一. 概述

中國(guó)工業(yè)和信息化部今年發(fā)布數(shù)據(jù)稱(chēng)，截至2013年1月底，中國(guó)電話用戶(hù)數(shù)達(dá)到14.0032億戶(hù)，其中手機(jī)用戶(hù)11.2億戶(hù)，固定電話用戶(hù)2.8億戶(hù)，二者之和已經(jīng)超過(guò)了中國(guó)大陸的人口數(shù)。

隨著手機(jī)用戶(hù)量的增加，運(yùn)營(yíng)商行業(yè)的客戶(hù)數(shù)據(jù)量也隨之增長(zhǎng)。個(gè)人用戶(hù)對(duì)于數(shù)據(jù)泄露問(wèn)題的意識(shí)也逐漸增強(qiáng)。比如大家所熟知的 3 月 15 日消費(fèi)者權(quán)益日的“3.15”事件，據(jù)新聞媒體披露，某地運(yùn)營(yíng)商以短信形式泄露了客戶(hù)的敏感信息。另外還有第三方代維人員私自下載VIP用戶(hù)數(shù)據(jù)進(jìn)行倒賣(mài)獲利。

315晚會(huì)后，運(yùn)營(yíng)商積極配合公安機(jī)關(guān)調(diào)查涉事單位，并且要求所有分公司自查并制定信息安全保護(hù)的法規(guī)。某運(yùn)營(yíng)商下屬分公司技術(shù)專(zhuān)家表示，“上到我們母公司，下到我們的管理人員和開(kāi)式員工，我們都會(huì)非常認(rèn)真地對(duì)待這一問(wèn)題，我們已經(jīng)斥巨資進(jìn)行數(shù)據(jù)泄露防護(hù)。”

二. DLP項(xiàng)目的驅(qū)動(dòng)力

規(guī)避自身法律風(fēng)險(xiǎn)是運(yùn)營(yíng)商行業(yè)推進(jìn)DLP項(xiàng)目最主要的驅(qū)動(dòng)力。

另外，隨著一些APT攻擊持續(xù)被曝光，如何防范APT攻擊也是運(yùn)營(yíng)商的一項(xiàng)長(zhǎng)期任務(wù)。從運(yùn)營(yíng)商行業(yè)泄密的案例來(lái)看，APT攻擊的對(duì)象一般是商密信息、客戶(hù)資料、VIP信息、通話、短信記錄等較容易被竊取，涉及的人員主要是第三方代維人員和有權(quán)限獲取敏感信息的內(nèi)部員工。因此建立運(yùn)營(yíng)商行業(yè)在APT攻擊下的數(shù)據(jù)防泄漏體系方案是緊急且重要的任務(wù)。

三. 用戶(hù)所面臨的問(wèn)題

用戶(hù)雖然已有安全管理平臺(tái)實(shí)現(xiàn)對(duì)業(yè)務(wù)操作賬號(hào)管理、登陸認(rèn)證、操作授權(quán)、操作內(nèi)容進(jìn)行審計(jì)和管理，但是敏感信息一旦從安全管控平臺(tái)流出后，即無(wú)法實(shí)現(xiàn)對(duì)敏感信息進(jìn)行有效的安全管控。

3.1 涉及到的敏感信息

1. 內(nèi)部系統(tǒng)的敏感信息主要集中在客戶(hù)的話單文件、位置信息、VIP客戶(hù)的詳細(xì)信息等;

2. 可通過(guò)內(nèi)部系統(tǒng)的數(shù)據(jù)庫(kù)獲取到相關(guān)信息;

3. 各類(lèi)含用戶(hù)信息、系統(tǒng)信息、帳號(hào)口令信息的日志、配置等的導(dǎo)出文件(以excel文件為主)。

3.2 哪些人擁有敏感信息?

1. 訪問(wèn)OA網(wǎng)絡(luò)網(wǎng)管部門(mén)員工;

2. 系統(tǒng)操作維護(hù)人員：

a) 主要是各內(nèi)部系統(tǒng)的建設(shè)廠商員工;

b) 對(duì)內(nèi)部系統(tǒng)架構(gòu)非常熟悉，對(duì)內(nèi)部系統(tǒng)的操作權(quán)限甚至比管理者高;

c) 維護(hù)人員清楚系統(tǒng)操作的死角，有能力避開(kāi)管理人員的監(jiān)控獲取敏感信息或操作。

3. 現(xiàn)場(chǎng)開(kāi)發(fā)人員;

4. 報(bào)表系統(tǒng)前端。

四. 數(shù)據(jù)防泄密需求

4.1 數(shù)據(jù)泄露風(fēng)險(xiǎn)點(diǎn)

1. 維護(hù)人員直接操作服務(wù)器：現(xiàn)場(chǎng)維護(hù)人員直接進(jìn)入機(jī)房，對(duì)服務(wù)器進(jìn)行訪問(wèn)與操作，并將數(shù)據(jù)導(dǎo)出后通過(guò)U盤(pán)帶走;

2. 維護(hù)人員通過(guò)通過(guò)內(nèi)部系統(tǒng)導(dǎo)出數(shù)據(jù)：維護(hù)人員接入內(nèi)部系統(tǒng)后，通過(guò)客戶(hù)端管理工具訪問(wèn)數(shù)據(jù)庫(kù)后，將數(shù)據(jù)導(dǎo)出到維護(hù)終端，并通過(guò)U盤(pán)、FTP、WEB上傳、郵件、QQ等方式將數(shù)據(jù)帶走;

3. OA人員有意或無(wú)意泄露數(shù)據(jù)：移動(dòng)內(nèi)部辦公人員從運(yùn)維人員處獲取數(shù)據(jù)后，通過(guò)U盤(pán)、FTP、WEB上傳、郵件、QQ等方式將數(shù)據(jù)帶走;

4. 報(bào)表系統(tǒng)前臺(tái)查詢(xún)?nèi)藛T：通過(guò)報(bào)表系統(tǒng)訪問(wèn)后端數(shù)據(jù)庫(kù)，并導(dǎo)出查詢(xún)數(shù)據(jù)帶走;

5. 維護(hù)人員/系統(tǒng)開(kāi)發(fā)人員通過(guò)前端服務(wù)器訪問(wèn)后端數(shù)據(jù)：維護(hù)人員通過(guò)前端服務(wù)器(如WEB、中間件等服務(wù)器)連接數(shù)據(jù)庫(kù)服務(wù)器，將導(dǎo)出的數(shù)據(jù)存儲(chǔ)在前端服務(wù)器上，然后通過(guò)U盤(pán)、網(wǎng)絡(luò)等方式將數(shù)據(jù)帶走。系統(tǒng)開(kāi)發(fā)人員對(duì)系統(tǒng)非常了解與熟悉，可能會(huì)不通過(guò)前臺(tái)直接連接后臺(tái)服務(wù)器，并導(dǎo)出數(shù)據(jù)帶走。

4.2 加密需求

1. 信息加解密必須是強(qiáng)制的;

2. 不改變用戶(hù)的使用習(xí)慣;

3. 文件的解密工作可由用戶(hù)提出，并按照內(nèi)部的工作習(xí)慣進(jìn)行流程審批;

4. 轉(zhuǎn)換授權(quán)后的文檔具有使用時(shí)限、瀏覽次數(shù)等控制;

5. 在特殊情況下，計(jì)算機(jī)能夠脫離網(wǎng)絡(luò)環(huán)境使用，同時(shí)保證信息安全性;

6. 計(jì)算機(jī)離線能夠由用戶(hù)提出申請(qǐng)，按照內(nèi)部的工作習(xí)慣進(jìn)行流程審批;

4.3 審計(jì)需求

1. 能夠?qū)λ腥藛T通過(guò)U盤(pán)、郵件、QQ、FTP、WEB上傳、WEBMAIL等方式向外部傳遞敏感信息做記錄與報(bào)警;

2. 支持對(duì)文件打印、刻錄等行為進(jìn)行監(jiān)控;

3. 支持Office、純文本、PDF、html、xml等格式文件;

4. 審計(jì)記錄信息需足夠詳細(xì)可信，誤報(bào)率低，只記錄所定義的敏感文件的操作信息;

5. 支持客戶(hù)端軟件利用空閑時(shí)間掃描;

6. 終端離開(kāi)網(wǎng)絡(luò)后進(jìn)行的文件操作記錄，在連回網(wǎng)絡(luò)后，可將斷網(wǎng)期間的文件導(dǎo)入導(dǎo)出行為記錄傳回審計(jì)服務(wù)器，即終端離開(kāi)網(wǎng)絡(luò)也不會(huì)影響操作的審計(jì);

五. 解決方案

在4A網(wǎng)絡(luò)(以下以4A平臺(tái)為例，不同客戶(hù)可能會(huì)有不同的系統(tǒng))中天榕數(shù)據(jù)加密與審計(jì)服務(wù)器部署在4A平臺(tái)的核心交換區(qū)，通過(guò)4A平臺(tái)的網(wǎng)絡(luò)系統(tǒng)同其它各個(gè)系統(tǒng)進(jìn)行連接。系統(tǒng)連接圖如下：

圖示1-系統(tǒng)連接圖

兩臺(tái)服務(wù)器分別安裝天榕數(shù)據(jù)加密模塊和天榕數(shù)據(jù)審計(jì)模塊，天榕數(shù)據(jù)加密服務(wù)器負(fù)責(zé)天榕數(shù)據(jù)加密模塊的策略的制定、數(shù)據(jù)庫(kù)、報(bào)告呈現(xiàn)等主控功能。

天榕數(shù)據(jù)審計(jì)模塊服務(wù)器負(fù)責(zé)天榕數(shù)據(jù)審計(jì)模塊的策略的制定、數(shù)據(jù)庫(kù)、報(bào)告呈現(xiàn)等主控功能，天榕數(shù)據(jù)加密與審計(jì)終端

天榕數(shù)據(jù)加密與審計(jì)終端主要實(shí)現(xiàn)對(duì)終端的加密、審計(jì)管控工作，需要在每臺(tái)終端上安裝部署。

天榕數(shù)據(jù)加密與審計(jì)終端納入4A的管理，其前臺(tái)和后臺(tái)都通過(guò)4A統(tǒng)一進(jìn)行管理和登陸。

針對(duì)網(wǎng)管系統(tǒng)特殊情況，在OA網(wǎng)絡(luò)中部署一臺(tái)數(shù)據(jù)審計(jì)服務(wù)器，對(duì)所有網(wǎng)管系統(tǒng)的OA 終端進(jìn)行敏感信息管控。