1 引言
新形勢(shì)下的保密管理工作，要求做到終端不存密、個(gè)人不留密，確保涉密電子信息管得住、控得了、不外泄，安全可靠，同時(shí)又要能做到信息的安全共享，實(shí)現(xiàn)信息化條件下的網(wǎng)絡(luò)辦公。集中管控是利用集中存儲(chǔ)、統(tǒng)一認(rèn)證、授權(quán)使用、精確控制、全程審計(jì)等技術(shù)和管理手段，對(duì)日常工作中產(chǎn)生的涉密和敏感電子信息實(shí)施安全管理和使用控制，是保密管理的發(fā)展趨勢(shì)。
傳統(tǒng)的保密管理只關(guān)注對(duì)文檔的管理，但在信息化條件下，涉密信息還包括應(yīng)用產(chǎn)生和使用的數(shù)據(jù)，以及對(duì)這些文檔和數(shù)據(jù)使用的過程。因此僅僅管理好文檔是不夠的，還必須有效地管控住應(yīng)用，才能真正保護(hù)好有價(jià)值的信息內(nèi)容。
應(yīng)用一般指的是應(yīng)用軟件（或應(yīng)用系統(tǒng)）。應(yīng)用軟件往往運(yùn)行在商用操作系統(tǒng)之上，而商用操作系統(tǒng)由于其功能豐富，強(qiáng)調(diào)通用性和開放性，其固有的保護(hù)機(jī)制很難映射到各種應(yīng)用系統(tǒng)的安全策略，使得應(yīng)用系統(tǒng)面臨安全威脅，進(jìn)而影響信息內(nèi)容的可用性、完整性、機(jī)密性。應(yīng)用安全的基本要求是要保護(hù)應(yīng)用軟件計(jì)算、使用、存儲(chǔ)、轉(zhuǎn)換的數(shù)據(jù)的可用性、完整性、機(jī)密性，以及訪問這些數(shù)據(jù)的用戶身份的真實(shí)性、不可抵賴性。
解決應(yīng)用安全問題，一般是采用將安全策略強(qiáng)制隔離在一個(gè)相對(duì)小型的、可信的部件內(nèi)執(zhí)行，免受其他部件影響。這個(gè)部件可以是 CPU、內(nèi)存系統(tǒng)等硬件，也可以是操作系統(tǒng)內(nèi)核、虛擬機(jī)等軟件。Loki是一個(gè)帶內(nèi)存標(biāo)記的系統(tǒng)架構(gòu)，通過對(duì)內(nèi)存的標(biāo)記，控制應(yīng)用對(duì)內(nèi)存的讀、寫訪問。操作系統(tǒng)可以利用Loki，將應(yīng)用系統(tǒng)安全策略映射到這種內(nèi)存保護(hù)機(jī)制。Overshadow統(tǒng)將應(yīng)用軟件運(yùn)行于虛擬機(jī)中，并且利用特定程序?qū)κ鼙Ｗo(hù)應(yīng)用的內(nèi)存頁面進(jìn)行加密，將應(yīng)用在商用操作系統(tǒng)環(huán)境中保護(hù)起來。
在集中管控下，應(yīng)用是指信息系統(tǒng)提供給用戶達(dá)到其工作目的的功能集合，包括用戶（主體）對(duì)信息內(nèi)容（客體）訪問和使用的全過程（人機(jī)交互—使用—存儲(chǔ)），而不僅僅指應(yīng)用軟件本身。應(yīng)用管控是對(duì)用戶訪問和使用信息內(nèi)容的全部過程進(jìn)行安全管理和控制，保證主體有條件、強(qiáng)制性、隔離性地訪問客體，防止各種非法、越權(quán)操作。在信息保密領(lǐng)域，客體應(yīng)該處于強(qiáng)制性的主導(dǎo)地位，而主體則處于從屬地位。客體包含多方面的屬性（如：秘密屬性），利用這些屬性對(duì)主體的訪問和使用進(jìn)行主動(dòng)約束（見圖1）。
圖1 應(yīng)用與應(yīng)用管控
應(yīng)用管控不僅要解決應(yīng)用軟件在主機(jī)上運(yùn)行的安全問題，還需要解決用戶接入、應(yīng)用的發(fā)布與使用管理、內(nèi)容管理、存儲(chǔ)管理等多方面問題。
接下來我們將探討解決這些問題、實(shí)現(xiàn)應(yīng)用管控的思路和方法，以及對(duì)應(yīng)用系統(tǒng)的要求。
2 應(yīng)用管控方法
為實(shí)現(xiàn)應(yīng)用管控，我們提出如下模型，如圖2。
圖2 應(yīng)用管控實(shí)現(xiàn)模型
實(shí)現(xiàn)模型的三個(gè)關(guān)鍵元素是：
（1）應(yīng)用網(wǎng)關(guān)
應(yīng)用網(wǎng)關(guān)應(yīng)具備以下功能：
1）用戶—資源（應(yīng)用和內(nèi)容）隔離；
2）人機(jī)交互；
3）應(yīng)用接入。
（2）應(yīng)用管控策略
包括用戶接入管控、使用管控、內(nèi)容管控和存儲(chǔ)管控策略。
（3）資源網(wǎng)關(guān)
主要實(shí)現(xiàn)應(yīng)用與內(nèi)容的隔離，以及內(nèi)容訪問管理。資源網(wǎng)關(guān)應(yīng)具備以下功能：
1）用戶、應(yīng)用—內(nèi)容隔離
2）內(nèi)容訪問管理
2.1接入管控
2.1.1用戶—資源隔離
首先要做到用戶—資源隔離，一般要求做到：
（1）阻斷普通 ＩＰ流量，只有授權(quán)應(yīng)用連接可以建立；
（2）不同用戶之間隔離；
（3）通道加密。
2.1.2人機(jī)交互
傳統(tǒng)的人機(jī)交互在應(yīng)用計(jì)算機(jī)本地進(jìn)行，用戶直接通過鍵盤、鼠標(biāo)輸入信息，本地計(jì)算機(jī)進(jìn)行功能實(shí)現(xiàn)和結(jié)果展現(xiàn)。
隨著終端、虛擬化技術(shù)的發(fā)展，出現(xiàn)了遠(yuǎn)程終端操作技術(shù)：用戶通過操作終端上傳鍵盤、鼠標(biāo)等操作信息，終端上顯示遠(yuǎn)程應(yīng)用計(jì)算機(jī)上的畫面信息。這樣就把人機(jī)交互操作與功能使用操作進(jìn)行某種程度上的分離，使得操作內(nèi)容和操作過程都在應(yīng)用計(jì)算機(jī)上，不在操作終端上保留，有利于信息安全保密。
這種情況下，還要在操作終端上采取防拷屏、防操作錄像等管控措施。
2.2使用管控
2.2.1應(yīng)用發(fā)布
作為使用前管控措施，應(yīng)用發(fā)布一般采用黑、白名單技術(shù)。
白名單是獲得安全審核的應(yīng)用列表，反之，黑名單則是經(jīng)審核為不安全的應(yīng)用列表，這些應(yīng)用不能在系統(tǒng)中運(yùn)行。
為使名單中的應(yīng)用不被篡改，需要使用數(shù)字簽名、哈希等手段，保證應(yīng)用的完整性。使用白名單時(shí)，應(yīng)將默認(rèn)策略設(shè)置為不可執(zhí)行。
黑、白名單必須運(yùn)行在系統(tǒng)級(jí)，因此必須確保建立在安全的系統(tǒng)上。
2.2.2應(yīng)用功能集
本著最小權(quán)限（或最小適用性）原則，應(yīng)該將應(yīng)用功能細(xì)分，組成應(yīng)用功能集。
以常見的文檔操作為例，常用功能可以定義為：閱讀、編輯、復(fù)制、下載、打印等等。如果針對(duì)文檔中的每一個(gè)段落定義功能集，則可以實(shí)現(xiàn)比文件更細(xì)粒度的管控。
2.2.3應(yīng)用隔離
應(yīng)用隔離是使用前和使用中的管控，為使用過程提供安全的環(huán)境。常用手段包括服務(wù)隔離、虛擬機(jī)隔離、物理主機(jī)隔離、網(wǎng)段隔離等。
（1）服務(wù)隔離
在終端服務(wù)架構(gòu)中，不同的應(yīng)用實(shí)例可以運(yùn)行在不同的終端服務(wù)環(huán)境中，實(shí)現(xiàn)相互隔離。其隔離性取決于提供終端服務(wù)的操作系統(tǒng)
（2）虛擬機(jī)隔離將不同的應(yīng)用實(shí)例運(yùn)行在不同的虛擬機(jī)上，其隔離性取決于虛擬機(jī)及虛擬機(jī)管理器。
（3）物理主機(jī)隔離
將不同的應(yīng)用實(shí)例運(yùn)行在不同的物理主機(jī)上，其隔離性取決于主機(jī)之間網(wǎng)絡(luò)通信的控制。
（4）網(wǎng)段隔離
在不同的應(yīng)用系統(tǒng)之間劃分不同的安全域，通過邏輯隔離設(shè)備實(shí)現(xiàn)不同網(wǎng)段之間的隔離，其隔離性取決于邏輯隔離設(shè)備。
這種隔離方式可以結(jié)合前面三種隔離方式，做到更好的隔離性。
2.2.4使用控制
使用控制需要結(jié)合用戶屬性、應(yīng)用功能集和信息屬性集，實(shí)現(xiàn)用戶在信息使用過程中的控制。使用控制應(yīng)包括輸入、輸出控制。
以打印控制為例，控制的內(nèi)容包括：誰可以打印什么內(nèi)容、打印份數(shù)、打印位置，等等（見圖3）。
圖3 輸入輸出控制
具體控制功能的實(shí)現(xiàn)位置，可以分為：
（1）終端控制
對(duì)于普通的應(yīng)用模式，人機(jī)交互與功能使用都在終端進(jìn)行，需要在終端上進(jìn)行使用控制。此時(shí)需要保證控制策略下發(fā)的安全性，以及控制策略在終端上的正確執(zhí)行。
（2）服務(wù)器控制
對(duì)于功能使用在服務(wù)器端進(jìn)行的應(yīng)用模式，終端上只進(jìn)行人機(jī)交互，具體使用控制在服務(wù)器端進(jìn)行，不需要考慮控制策略下發(fā)。
2.3內(nèi)容管控
首先是內(nèi)容的隔離。將不同管理域的內(nèi)容分區(qū)管理，分區(qū)使用。例如可以劃分為個(gè)人區(qū)、工作區(qū)、成品區(qū)。
其次可以定義內(nèi)容與應(yīng)用相關(guān)屬性（或標(biāo)簽）。以文檔為例，常見的屬性包括：密級(jí)、有效期、知悉范圍、打印份數(shù)、拷貝份數(shù)、水印等等。利用這些屬性，可以實(shí)現(xiàn)內(nèi)容針對(duì)用戶、應(yīng)用系統(tǒng)的過濾，用在使用控制過程中，實(shí)現(xiàn)用戶以授權(quán)的“合法”方式訪問和使用授權(quán)的“合法”信息。
資源網(wǎng)關(guān)上定義了“用戶—應(yīng)用—數(shù)據(jù)”的對(duì)應(yīng)關(guān)系，可以將使用管控和內(nèi)容管控結(jié)合起來，通過建立信息訪問和交換的統(tǒng)一標(biāo)準(zhǔn)，實(shí)現(xiàn)跨系統(tǒng)的應(yīng)用交換。這里的應(yīng)用交換不是簡(jiǎn)單地把數(shù)據(jù)交給對(duì)方，而是把自己的應(yīng)用邏輯延伸到對(duì)方，讓對(duì)方以授權(quán)的“合法”方式訪問和使用授權(quán)的“合法”信息，而信息本身還在擁有方控制中。
2.4存儲(chǔ)管控
信息存儲(chǔ)在存儲(chǔ)系統(tǒng)中，實(shí)際情況下很難做到不同應(yīng)用系統(tǒng)對(duì)應(yīng)各自獨(dú)立的存儲(chǔ)系統(tǒng)，往往是不同應(yīng)用系統(tǒng)的數(shù)據(jù)共用存儲(chǔ)。這種情況下，對(duì)存儲(chǔ)進(jìn)行管控是非常必要的，體現(xiàn)在以下幾方面。
（1）存儲(chǔ)系統(tǒng)訪問控制
應(yīng)用系統(tǒng)只有經(jīng)過認(rèn)證授權(quán)才能訪問存儲(chǔ)系統(tǒng)及其中的內(nèi)容。
基于網(wǎng)絡(luò)訪問的 ＣＩＦＳ、網(wǎng)絡(luò)數(shù)據(jù)庫系統(tǒng)均提供這方面的支持。
（2）存儲(chǔ)隔離
不同管理域的信息可以存儲(chǔ)在不同的區(qū)域，實(shí)現(xiàn)存儲(chǔ)隔離。
（3）存儲(chǔ)加密
為保信息內(nèi)容不被竊取，應(yīng)實(shí)現(xiàn)存儲(chǔ)加密。對(duì)不同用戶的數(shù)據(jù)采用不同的加密密鑰，可以實(shí)現(xiàn)更好的加密保護(hù)。
2.5對(duì)應(yīng)用的要求
在本文的應(yīng)用管控模型中，對(duì)應(yīng)用系統(tǒng)要求：
（1）功能的完備性、可細(xì)分
以圖4所示電子商務(wù)應(yīng)用為例，完整的功能需要“App訂單”“App支付”“App物流”等多個(gè)程序完成。由于“App訂單”需要的數(shù)據(jù)還需要來源于“App支付”和“App物流”，而非統(tǒng)一來源于資源網(wǎng)關(guān)，因此不能只通過資源網(wǎng)關(guān)控制數(shù)據(jù)的訪問和操作。
圖4 應(yīng)用功能的交叉性
因此需要“App訂單”的功能是完備的，其對(duì)數(shù)據(jù)的訪問全部來源于資源網(wǎng)關(guān)，才能通過資源網(wǎng)關(guān)控制數(shù)據(jù)的訪問和操作。為實(shí)現(xiàn)應(yīng)用功能的細(xì)粒度控制，還需要應(yīng)用功能可細(xì)分。
（2）應(yīng)用可識(shí)別并傳送用戶身份
對(duì)于單機(jī)應(yīng)用，一般情況下每個(gè)用戶對(duì)應(yīng)獨(dú)立應(yīng)用進(jìn)程。對(duì)于網(wǎng)絡(luò)多用戶應(yīng)用，一般每個(gè)用戶對(duì)應(yīng)一個(gè) Session ID。應(yīng)用應(yīng)具有區(qū)分用戶Session ID，并在需要時(shí)可將用戶身份與Session ID對(duì)應(yīng)關(guān)系傳遞給資源網(wǎng)關(guān)。
2.6對(duì)內(nèi)容的控制
內(nèi)容最常見的是文件系統(tǒng)和數(shù)據(jù)庫系統(tǒng)。對(duì)于文件系統(tǒng)，由于每個(gè)文件的獨(dú)立性，容易實(shí)現(xiàn)針對(duì)每個(gè)文件的訪問控制。但對(duì)文件中某節(jié)、某段的控制，則需要應(yīng)用軟件本身功能支持。
對(duì)于數(shù)據(jù)庫系統(tǒng)，需要采用基于內(nèi)容的訪問控制手段，如 Oracle支持虛擬私有數(shù)據(jù)庫（Virtual Private Database,VPD）技術(shù)，可以簡(jiǎn)單實(shí)現(xiàn)行級(jí)訪問控制；列敏感策略特性，可以實(shí)現(xiàn)列級(jí)訪問控制。在資源網(wǎng)關(guān)上實(shí)現(xiàn)文件的控制比較容易，要實(shí)現(xiàn)數(shù)據(jù)庫的控制則需要實(shí)現(xiàn)基于數(shù)據(jù)庫內(nèi)容的訪問控制功能。
3 有待解決的問題
集中管控是一套復(fù)雜的系統(tǒng)，其中應(yīng)用管控又是關(guān)鍵。
應(yīng)用管控中還有其他一些問題，需要進(jìn)一步研究和探討。
（1）應(yīng)用標(biāo)準(zhǔn)化
為實(shí)現(xiàn)功能的細(xì)粒度控制，需要標(biāo)準(zhǔn)化、精細(xì)化地定義應(yīng)用的功能集�？梢韵葟男袠I(yè)應(yīng)用的標(biāo)準(zhǔn)化開始。
（2）資源標(biāo)準(zhǔn)化
為實(shí)現(xiàn)資源的細(xì)粒度控制，需要標(biāo)準(zhǔn)化、精細(xì)化地定義資源屬性集�？梢韵葟男袠I(yè)數(shù)據(jù)的標(biāo)準(zhǔn)化開始。
（3）資源訪問控制
資源的訪問控制，尤其是數(shù)據(jù)庫資源的訪問控制，需要在資源網(wǎng)關(guān)里實(shí)現(xiàn)。
（4）存儲(chǔ)加密
大型系統(tǒng)中，如何處理大數(shù)據(jù)流的實(shí)時(shí)加解密，加密狀態(tài)下如何解決信息的快速檢索，還有待研究與開發(fā)。
4 結(jié)語
集中管控是保密管理的發(fā)展趨勢(shì)，其中應(yīng)用管控又是關(guān)鍵。
通過對(duì)信息系統(tǒng)應(yīng)用模型進(jìn)行分析，我們提出了一個(gè)應(yīng)用管控模型，對(duì)其中應(yīng)用管控面臨的問題提出了解決的思路和辦法。
基于此模型開發(fā)的系統(tǒng)已經(jīng)在黨政、軍隊(duì)多個(gè)單位使用，獲得用戶的一致認(rèn)可。
核心關(guān)注：拓步ERP系統(tǒng)平臺(tái)是覆蓋了眾多的業(yè)務(wù)領(lǐng)域、行業(yè)應(yīng)用，蘊(yùn)涵了豐富的ERP管理思想，集成了ERP軟件業(yè)務(wù)管理理念，功能涉及供應(yīng)鏈、成本、制造、CRM、HR等眾多業(yè)務(wù)領(lǐng)域的管理，全面涵蓋了企業(yè)關(guān)注ERP管理系統(tǒng)的核心領(lǐng)域，是眾多中小企業(yè)信息化建設(shè)首選的ERP管理軟件信賴品牌。
轉(zhuǎn)載請(qǐng)注明出處：拓步ERP資訊網(wǎng)http://www.oesoe.com/
本文標(biāo)題：集中管控下的應(yīng)用管控
本文網(wǎng)址：http://www.oesoe.com/html/consultation/10839310333.html
相關(guān)文章
