基于桌面云的企業數據安全保護設計與實踐

張 波

(1.北京全路通信信號研究設計院集團有限公司，北京 100070；2.北京市高速鐵路運行控制系統工程技術研究中心，北京 100070)

1 現狀與問題

信息技術的快速發展，讓當今的技術傳遞和交流更加自由和高效。但在方便的同時，也帶來了信息快速泄密的風險。傳統的書面技術文檔、圖紙通過人工方式管理，利用面對面的方式進行借閱，易于得到控制。即便泄密，也僅僅是局部，短期內很難拿走技術的全部，當然也帶來共享的難度，不利于技術的進步。利用服務器、集中存儲等技術，信息得到有效的集中和高效的共享，但是當發生泄密時，數據丟失也顯得更為容易。利用計算機和網絡技術，數千頁的設計文檔、上萬行的代碼可以在幾秒內被拷貝走；一個企業幾十年積累的數據可以非常方便的裝入一塊硬盤并被帶走。2018 年FaceBook 的3 000 萬用戶賬戶信息泄露、圓通公司10 億用戶數據被售出、順豐3 億條用戶信息被外泄[1]。這些電子文件包含的信息量如果轉換成紙介質，其數量是難以想象的。

傳統的桌面辦公分散并且數量眾多，技術文檔、核心代碼從產生之初，就被技術人員通過桌面計算機接觸并掌握。為方便工作，部分員工將核心資料放在本地計算機上，這使得任何一臺計算機都可能是泄密點。由于員工信息安全保密意識相對薄弱，加上可能因為中病毒或木馬，出現信息泄密情況；或者是因為誤操作，將信息傳遞給非受信的人員，導致信息泄密。

因此，在無法拒絕數據大集中的趨勢下，解決傳統桌面計算機的安全問題，變革傳統的桌面計算機管理技術架構是關鍵。加強桌面計算機這一信息產生源頭的防護，做到從源頭將數據進行有效保護，降低信息泄密可能性，有效保護企業資產尤為重要。

2 加強桌面防護的關鍵點

對于一個技術型企業來說，數據就是企業發展的基石，知識產權就是企業競爭的生命。分析信息的全生命周期不難發現：信息的產生，主要集中在員工日常辦公的桌面計算機；信息的傳遞，主要通過網絡或移動進行；信息的保存，主要利用服務器及存儲設備支持。

對于集中存儲部分，通常只有一定數量的設備，可以重點進行防護和監管，通過訪問隔離等手段，保證信息安全。網絡傳輸部分，可以通過協議加密等方式，降低被竊取的風險。但是桌面計算機部分，涉及眾多員工，防范的面積大，其難度可想而知。而這些桌面計算機，擔負著日常信息的處理，本地硬盤存放了大量數據。如果某個員工的安全意識不強，就可能因為個人原因出現信息被竊取的情況。雖然可以開展操作系統打補丁、安裝防病毒軟件等防范工作，并且加強員工信息安全教育，但難免出現疏漏。因此，加強桌面計算機防護是信息安全的防護源頭。

防護桌面計算機，主要從信息的保存地點和信息的傳輸通道兩個方面考慮。如果信息存放在本地，則要考慮本地保護，避免通過硬盤接口直接讀取，例如在筆記本丟失的情況下；如果信息不在本地存儲，則桌面計算機如筆記本丟失時，硬盤上沒有涉及信息安全的內容。當日常操作時，涉及信息安全的內容可能被傳遞到本地，是否可以通過網絡、USB 等接口傳遞到其他設備上。

表1 桌面計算機防護點組合風險評估Tab.1 Portfolio risk assessment of desktop computer protection point

針對上述內容，通常的桌面計算機防護主要關注如下幾點。

1）移動辦公要求。

2）數據本地存儲要求。

3）接口開放要求，是否允許支持網絡及USB等接口傳遞數據。

通過表1 不難發現，開放接口的風險最大，在沒有監管的情況下，很容易將數據轉移到其他地方。而桌面計算機眾多的情況下，監管是相對比較困難的事情。數據本地存儲也是一個風險源，特別是在移動辦公下風險比較大。

現實工作中，移動辦公的場景非常普遍。在該條件下，加強數據存儲管理及接口的監管，才能有效地保護企業信息資產。利用桌面云技術，強化數據集中存儲，加強網絡通信控制，支持在移動辦公下終端與信息的分離，同時加強相關接口控制，能有效地滿足企業需求[2]。

3 基于桌面云的解決方案

以某一軌道交通領域技術型公司（簡稱“公司”）為例，因為實際工作的需要，該公司的技術人員會接觸設計文檔、程序代碼等企業核心機密。此前采用傳統桌面管理模式，技術人員的筆記本電腦中保存了相當一部分核心技術資料。加上技術人員要參與現場調試和問題分析診斷工作，存在異地辦公的情況，增大了企業數據泄露風險。因此，需要通過一定的技術手段，在保證信息安全的前提下，滿足技術人員移動辦公的實際需要，盡可能支持員工易用性的要求。

通過綜合比較，公司選用Fusion Cloud 桌面云解決方案。該解決方案是基于華為云平臺的一種虛擬桌面應用，通過在云平臺上部署華為桌面云軟件，使終端用戶通過瘦客戶端或者其他任何與網絡相連的設備來訪問跨平臺的應用程序，以及整個客戶桌面。系統的整體結構如圖1 所示。

圖1 系統整體結構圖Fig.1 System structure diagram

Fusion Cloud 桌面云解決方案具有安全可靠、卓越體驗及敏捷高效等特點，華為公司自身研發體系近8 萬用戶也正使用該桌面云，這讓用戶使用該系統的信心倍增。在桌面終端高安全性方面，主要體現在兩個方面。

1）終端安全

采用瘦客戶端(TC)接入認證，防止非法接入，并能夠管理USB、串口、并口等接口。允許禁止使用某些端口，從而對接口進行有效控制。瘦客戶端采用無硬盤設計，本地計算機不保存數據，數據集中在數據中心保存，防止本地數據泄露。如果采用其他終端接入如筆記本電腦，終端也不保存數據，并能進行接口控制。

2）用戶接入安全

支持指紋登錄認證，以及USB Key 登錄認證、動態口令登錄認證等。支持TC 與用戶賬號綁定。此用戶只能在固定地點登錄虛擬桌面。

Fusion Cloud 桌面云解決方案相關部件獲得中國信息安全測評中心EAL 3+認證、公安部銷售許可證。此外，該系統在傳輸安全使用Portal over HTTPS，用戶通過portal 界面的訪問傳輸通道都是加密的。支持ICA over SSL，管理信任域與非信任域之間的數據通過SSL 加密傳輸；在網絡安全方面，支持內外網完全物理隔離，確保內網的絕對安全。SSL-VPN 保證遠程接入安全，保證出差員工安全訪問本企業的數據和應用云平臺安全。此外，云平臺進行了系統加固和防護，對集中存儲的數據進行加密，提供數據無痕處理，虛擬機回收后，磁盤信息徹底刪除，防止被惡意用戶利用數據恢復軟件讀出磁盤數據，導致前用戶數據泄漏。同時，提供管理安全和智能審計功能。

4 桌面云在企業中的實施

公司編制信息化規劃，針對信息安全形成專項規劃，如圖2 所示，對信息的保密性、完整性、可用性提出要求，按照I S O27001 構建信息安全管理體系[3]，實現“進不來、拿不到、看不見”的分層次目標，明確“以研發為試點建立桌面云，數據集中管理，取消本地存儲，保護核心代碼及文檔”。

圖2 信息安全規劃Fig.2 Information security planning

按照規劃，公司于2013 年下半年試點實施桌面云系統，部署了350 個用戶?？紤]用戶實際需要，為每個用戶虛擬終端設計規格為4 顆虛擬CPU，4 G內存，提供100 G 系統盤和500 G 用戶盤，其中系統盤采用固態硬盤（Solid State Drive），以提升系統響應速度。按照上述規模，桌面云平臺采用E6000一體化機箱，配置10 臺BH622 刀片計算機。10 臺刀片計算機采用9+1 模式，9 臺用于支撐業務，1 臺為熱冗余。每臺刀片計算機配兩顆Xeon E5-2640 CPU，配13 條16 G DDR3 內存。2014 年末，隨著公司進入軌道交通產業園區，系統進行了擴容，新增1 500 用戶，形成以事務處理為主的普通辦公桌面云和以系統研發為主的核心安全桌面云。2016 年總用戶數進一步擴容到2 400，同時針對三維建模等增加圖形處理器（GPU）資源池。

在終端層面，為每個納入桌面云統一管理的用戶分配訪問賬戶，提供一個或多個虛擬桌面?？紤]到既有計算機資產未到報廢年限問題，采用既有計算機安裝訪問軟件和新增瘦客戶端并存模式。用戶可以通過既有計算機安裝的插件訪問桌面云統一入口地址，或者通過瘦客戶端內嵌軟件直接訪問桌面云地址、輸入相應的賬戶后，就可以訪問到桌面云上的個人虛擬桌面。每個用戶的虛擬桌面限制訪問互聯網，能訪問桌面云范圍內的資源和企業特定的服務如OA 等。同時，通過桌面云的控制策略，普通用戶終端的USB 接口進行限定，只允許連接鍵盤、鼠標、打印機等非存儲設備；項目經理和特定人員可以連接只讀型存儲設備；極少數人員可以通過安全可信的USB 設備進行數據讀寫。對核心安全桌面終端采用物理隔離、禁用USB 端口等策略，避免資料外泄。部分人員可以訪問USB 接口，但是設備輸出的文件自動進行加密并且系統自動進行日志記錄以便審計。為了進一步從源頭控制，2017 年調整安全管理策略，所有從核心安全桌面云拷貝資料，必須經過審批后才能拷貝。

為保證信息安全，原有的用于存放文檔、代碼的版本管理服務器、文件交換服務器等，統一搬遷至企業機房管理，并且通過三層交換上的訪問控制列表，限定只允許桌面云上的虛擬終端訪問。

通過桌面云的實施，用戶訪問的所有資源都在桌面云系統所限定的安全范圍內，數據不在本地，數據的存儲和計算都在服務器端進行，用戶訪問到的只是在服務器處理結果的界面展現，不用擔心客戶端竊取資料。即便是移動辦公的人員，可以通過各種終端在接入企業VPN 后訪問桌面云進行工作處理，相關的信息也是處于安全區域內，不會泄密。其次，由于限制了互聯網訪問和終端接口信息輸出，僅能訪問技術研發所需要的內部服務器，既保證了工作的方便性、易用性，又避免了數據外泄。所有的核心資料限定在一個安全的可控區域內，用戶無法主動或者被動將核心資料傳遞出去。特定用戶的終端接口數據傳輸有日志記錄，后續可以進行IT 審計。非桌面云范圍內的終端無法訪問上述資源，達到信息保密的目標。此外，由于桌面終端服務的集中化管理，IT 部門可以及時根據安全挑戰制作出新規則，這些新規則可以快速作用于每個桌面。因此，企業的信息安全程度得到極大提升，核心數據處于受控狀態。

同時，用戶使用桌面云，減少了對終端PC 或筆記本的需求，增大服務器資源的復用共享，IT 維護人員不再面對形形色色的終端問題，將重心轉移到服務器端的維護。這樣降低了企業的終端硬件購置成本和維護成本[4]。

5 后續業務提升方向

桌面云已實施多年，增強了企業核心信息的安全防護程度，有效的保護企業數據，對信息安全發揮了重要作用。但隨著桌面云在公司的持續使用和應用范圍不斷擴大，不斷有新的需求提出和問題暴露，例如訪問桌面云的用戶是否是受信的，特定用戶開放本地USB 接口成為泄密點，限定了互聯網訪問，不利于技術研究工作等。

針對上述問題，公司的信息化部門進行研究和分析，確定多系統齊抓共管、相互配合的原則，以桌面云為基礎，實施配套系統，達到薄弱點增強和關鍵點防護的目標。具體措施包括如下。

1）實施準入系統，對終端接入進行檢查，進一步凈化終端環境，減少惡意設備訪問核心信息系統。

2）增強身份認證，建立桌面云客戶端登錄雙因子認證模式，提供除用戶名加密碼之外的多種認證方式，如動態短信密碼、指紋、證書等，提高認證可靠性。

3）完善接口開放管理規則，建立網絡訪問白名單和黑名單，實施基于網頁POST 數據過濾甚至禁用模式；對本地USB 等接口數據傳輸提供動態分析，對瞬間大數據量和累計總流量進行智能分析判斷、告警甚至鎖定。

信息安全防護是一個永恒的話題，特別是對技術型企業，要在不斷發展的信息竊取技術面前，結合企業的自身現狀和需要，尋找更好、更有效的防護方法。公司也意識到這個工作的重要性與艱巨性，將依托桌面云構建的基礎平臺，積極的尋找行之有效的方法，切實保護企業的核心資產并促進企業的技術發展。