Hi:欢迎来到中国论文网     

所有论文科目分类

中国论文网 > 免费论文 > 计算机论文 > 计算机软件 >

烟草企业数据安全中心平台设计探析

作者:2019-06-26 01:21文章来源:未知

  摘    要: 本文通过梳理和分析全行业数据资产, 对数据敏感分类分级, 结合国内相关安全标准及法规, 制定相应的管理体系。通过对数据泄露原因、途径的深入分析, 研究规避泄露技术措施, 建设数据安全管理平台, 通过平台下发安全防护策略, 确保数据的安全使用, 为保证烟草行业业务的长期稳定和发展提供有力保障。

  关键词: 数据敏感; 安全防护; 数据保护;

  0、引言

  根据IBM与Ponemon Insituted的数据泄露研究报告, 企业的平均泄露总成本从379万美元增至400万美元, 大量的数据泄露事件影响重大, 作为烟草行业的信息安全工作面临较大的挑战。据IDC报告, 70%的安全损失是由企业内部原因造成, 也就是说企业中不当的资源利用及员工上网行为往往是“罪魁”, 不当的上网行为可以导致企业机密资料被窃、企业运作不畅等损失。

  在加密算法方面, Shai等[1]提出了加密方案, 公钥、私钥都和数据属性关联时, 用户才能解密出数据明文。Yu等[2]提出了一个安全、可扩展的细粒度访问控制的属性加密方案。Bethencour等[3]提出了密文策略的属性加密方法, 将接入策略嵌入在密文当中, 而解密私钥只与属性集合相关。Chase[4]提出了一个多授权中心属性加密系统。Zhao等[5]提出了分类代理重加密技术。Weng等[6]提出重加密方法, 引入了访问控制机制, 当重加密密钥匙和指定密文条件同时满足时, 解密操作才被允许。Fang等提出了支持关键词检索的匿名条件代理重加密方案[7]和模糊条件代理重加密方案[8]。Lan等[9]利用秘密共享机制和双线性对原理构造出多条件代理重加密方案。

  在完整性校验方面, Ateniese等[10]提出了一种可证明的数据持有协议。Wang等[11]提出了一种支持第三方验证的PDP协议, 该协议使用了双线性配对技术基于离散对数问题。Zhu等[12]提出了一种支持数据动态变化的第三方验证PDP协议, 该协议使用双线性配对技术和Index-hash表。Yang等[13]利用双线性配对的特点, 设计了一个高效的第三方审计PDP协议。该协议能够对用户存在多个云端的数据进行批量校验。Shacham等[14]提出了一个基于双线性对构造的数字签名方案, 支持无限次挑战询问, Dodis等[15]提出了一种允许第三方审计的POR协议。Sandhur等[16]提出了基于角色的访问控制 (rolebasedaccess control) 方法。Zhang等[17]提出的基于尺度的时空RBAC访问控制模型。Yang等[18]提出了一个云环境中多授权中心访问控制模型。

烟草企业数据安全中心平台设计探析

  烟草数据资产庞大, 涉及数据使用方式多样化, 数据使用角色繁杂, 数据共享和分析的需求刚性, 要满足数据有效使用的同时保证数据使用的安全性, 需要极强的技术支撑。面对如此严峻的网络安全局面, 本文通过制定全面的安全体系结合数据安全平台的实践落地工作, 全方位地防止数据泄露。

  1、 系统设计

  数据保护技术作为信息安全新兴的研究热点, 不论在理论研究还是实际应用方面, 都具有非常重要的价值, 近年大量国内外有关数据保护的安全技术相继提出, 并且在加密算法、完整性校验、访问控制技术、密文数据去重和可信删除、密文搜索等方面取得很大的进展。当大量的数据保护技术措施及工具摆在眼前时, 企业自身的数据梳理将是工作的难点, 定义敏感、明确数据类型、属性、分布、访问对象、访问方式、使用频率等。

  1.1、 功能需求

  (1) 数据访问控制

  对数据资产进行梳理, 明确数据类型、属性、分布、访问对象、访问方式、使用频率等相关信息。

  (2) 系统配置分级

  对人员进行配置, 对数据进行分类分级, 结合实际情况针对不同人员对不同级别数据制定访问权限, 确保数据操作的安全性。

  (3) 信息管理记录

  集中管理记录各种针对被保护数据的操作记录 (正常的和非法的) , 并进行统计分析与展示。

  (4) 安全解决方案

  独立的安全加固解决方案, 为关键服务器数据提供防护各类外来恶意软件和内部人员对数据的非法操作。

  (5) 安全平台建设

  建立数据安全的技术平台, 根据数据的安全级别下发相应的防护策略。

  1.2、 数据访问控制

  如下图1所示, 基于进程指纹识别机制, 防止非法进程对加密数据的访问, 保护系统业务的正常运转, 同时所有的操作记录都会上传到信息记录模块。

  双授权认证:安全操作员需要申请进入系统的身份认证授权书, 在操作系统数据文件时, 再次对访问数据的进程提取指纹信息并判断是否已加入授权白名单, 保证了业务域内用户身份和数据访问进程的安全性和可信性。通过严谨的进程检验和授权机制, 监控所有试图访问加密数据的进程, 阻止所有未授权进程的操作。许对被保护文件执行拷贝、移动、删除等操作, 防止机密数据外泄和被破坏。

  图1 数据访问控制流程
图1 数据访问控制流程

  数据防泄漏、防破坏:通过对目标文件进行读写控制, 不允强制访问控制:基于进程指纹信息, 设置安全访问白名单, 只允许合法进程访问数据, 拒绝非法进程对数据的访问。

  系统判断被访问数据是否有保护标识, 即对该进程进行认证信息判定, 判断该进程是否存在于系统白名单内, 以及是否符合数字指纹验证标准。只有被访问数据有保护标识, 系统才会进行访问控制, 当访问数据的进程判定为合法进程后, 允许该进程访问数据, 否则拒绝其访问。

  1.3、 系统配置分级

  用于配置数据访问控制列表, 通过系统配置模块的严格控制, 限定安全操作员、数据管理员、安全管理员之间的安全职责, 确保数据操作的安全性。

  产品对数据访问策略配置有严格的控制, 策略配置完成后随即进入到工作保护状态, 如需进行策略调整须授权审批, 安全操作员需拿到安全负责人授予的授权书方可进行变更配置。访问策略的变更过程如图2。

  图2 系统配置分级
图2 系统配置分级

  工作模式配置:产品提供两种模式, 即elevate和finalize, 即配置模式和工作模式。当保护策略修改结束后, 确保系统的安全性。

  1.3、 信息管理记录

  集中管理各种针对被保护数据的操作记录 (正常的和非法的) , 包括对被保护主机、被保护数据的访问、拒绝、攻击等事件, 同时提供针对这些记录的统计分析, 方便数据安全人员进行监控分析, 如图3所示。

  系统对被保护主机, 被保护数据的访问、拒绝、攻击等事件进行日志记录跟踪, 以方便数据安全人员进行监控分析及审计。

  系统会对关键数据的访问情况做出完整的记录。访问记录包括:访问发生的地点, 如目标系统的IP地址;访问源, 即什么进程进行数据访问;访问目标, 即什么数据目标被访问;访问方式, 读/写真实数据内容、读/写保护格式的数据等;访问结果, 即是否被授权通过。

  图3 信息管理记录
图3 信息管理记录

  2、 安全解决方案

  如图4对于加解密模块, 项目提供标准接口, 可支持SM4, AES256等算法。根据系统配置模块的保护策略, 自动对目标文件进行加密保护;当合法进程访问被保护的数据时, 自动解密文件并将明文交付于该进程。

  图4 加密流程图
图4 加密流程图

  图5 解密流程图
图5 解密流程图

  系统采用透明加解密技术, 即基于操作系统厂商签名的底层驱动, 运行在操作系统的kernel层, 用户无须关注加解密的过程。所有被保护的文件以密文状态存储, 只有合法的进程访问时, 用户对加解密过程零感知。支持可以访问被保护数据的真实内容的进程对被保护数据的全透明式数据访问, 即当前业务系统的服务的功能和性能都不受到保护加固系统的影响。

  3、 结束语

  本文在数据治理的基础之上, 整合所有业务系统的源数据, 通过建设集中的数据安全中心平台来实现统一数据视图和数据的服务和共享, 加强数据安全的保护, 建设一套高安全、高数据标准、高数据质量、高可用、高性能、高稳定的数据安全中心平台, 提高烟草企业安全管理水平。

  参考文献

  [1]姜鑫.科学数据开放政策研究现状分析及未来研究动向评判[J].现代情报, 2016.
  [2] 宋筱璇, 王延飞, 钟灿涛.数据安全管理系统的构建[J]情报理论与实践, 2016.
  [3]陈兴跃, 刘晓滔.数字时代的数据资产安全管理[J].互联网经济, 2017.
  [4]王挺, 单慧敏.数据安全管理工作现状及应对措施[J].金融科技时代, 2017.
  [5]陈驰, 马红霞, 赵延帅.基于分类分级的数据资产安全管控平台设计与实现[J].计算机应用.2016.
  [6] WENG J, DENG R H, DING X H, et al.Conditional proxy re-encryption secure against chosen-ciphertext attack[C]//The 4th International Symposium on Information, Computer, and Communications Security (ASIACCS) .c2009.322-332.
  [7]FANG L M, SUSILO W, GE C P, et al.Chosen-ciphertext secure anonymous conditional proxy re-encryption with keyword search[J].Theoretical Computer Science, 2012, 462 (1) :39-58.
  [8]FANG L M, WANG J D, GE C P, et al.Fuzzy conditional proxy re-encryption[J].Science China Information Sciences, 201556 (5) :1-13.
  [9]LAN C H, WANG C F.A new conditional proxy reencryption scheme based on secret sharing[J].Chinese Journal of Computers, 2013, 36 (4) :895-902.
  [10] ATENIESE G, BURNS R, CURTMOLA R, et al.Provable data possession at untrusted stores[C]//The 14th ACMConference on Computer and Communications Security (CCS) c2007:598-609.
  [11] WANG C, WANG Q, REN, K, et al.Privacy-preser ving public auditing for data storage security in cloud comp-uting[C]//The 29th IEEE Infocom.c2010:1-9.
  [12] ZHU Y, WANG H, HU Z, et al.Dynamic audit services for integrity verification of outsourced storages in clouds[C]//The2011 ACM Symposium on Applied Computing (SAC) .c2011:1550-1557.
  [13] YANG K, JIA X.An efficient and secure dynamic a uditing protocol for data storage in cloud computing[J].IEE-E Transactions on Parallel and Distributed Systems, 2013, 24 (9) :1717-1726.
  [14] YANG K, JIA X.An efficient and secure dynamic auditing protocol for data storage in cloud computing[J].IEE-E Transactions on Parallel and Distributed Systems, 2013, 24 (9) :1717-1726.
  [15] DODIS Y, VADHAN S, WICHS D.Proofs of retrievability via hardness amplification[C]//The 6th Theory of Cryptography Conference (TCC) .c2009:109-127.
  [16] SANDHU R S, COYNE E J, FEINSTEIN H L, et al Role-based access control models[J].Ansi Incits, 2009, 4 (3) :554-563.
  [17]ZHANG Y J, FENG D G.A role-based access control model based on space, time and scale[J].Journal of Computer Research and Development, 2010, 47 (7) :1252-1260.
  [18] YANG K, JIA X H.Attribute-based access control formulti-authority systems in cloud storage[C]//The 32nd International Conference on Distributed Computing Systems.c2012:536-545.

最近相关

中国论文网

最新更新

热门推荐

[人文社科]中学生原创作文精选
(一) 中国论文网 My Second-grade Teacher My second-grade French teacher ruined my first experience learning a new language. At first we were only expect...[全文]
[人文社科]人是有香味的瓶子
初一那年暑假,父亲从古旧的柜子里翻了半天,找出两本水写字帖。他把其中一本楷书给我,留下行书那本。我翻开一看,那...[全文]
[经济管理]事业单位档案管理信息化建设分析
摘要:档案管理是事业单位的管理工作的重要组成部分,其完成对单位经营信息以及各类人员信息的存储和管理,对事业单位...[全文]
[人文社科]攀爬的姿态
一场大雨席卷了这儿,便琢磨着乡下的屋顶早有些被吹破。乡下的屋子仍是老式建筑。瓦盖的顶,经过了几十年的风吹雨打,...[全文]
[经济管理]浅谈管理会计变革方式与创新研究
摘 要:伴随社会经济的发展,企业间的市场竞争日益激烈。新时代背景下,企业的管理会计体系面临著新的问题,企业应及...[全文]
[人文社科]用多媒体信息技术助力小学科学教学效率的策略
摘 要在科学课堂教学中运用多媒体技术可以充分调动学生学习的积极性,有效降低教学难度,大大提高课堂教学质量。结合...[全文]

热门标签