；；技术创新溺ｉ ｉ； 基于云计算技术的 数据安全管控平台方案研究 周宇，刘军，孙月新 （华信邮电咨询设计研究院有限公司，浙江杭州３１【Ｊｆ】１４） 【摘要】 为了解决目前数据安全管控存在的问题，结合某电信运营商的实际情况，提出基于云计算技术的数据安全管控平 台实现方案，并介绍了平台实施的复杂性及解决方案。用户首先访问数据安全管控平台，再单点登录ＮＩＪＯＡ、经 营分析等业务系统，通过闭环审批、数字加密￣Ｉ］ＰＤＦ水印等技术，提供跟踪、追溯、查询、审计的手段，能有效 切断敏感数据通过ＩＴ系统外泄的渠道。 【关键词】 数据安全管控 云计算 应用虚拟化 权限管理 共享存储 中图分类号：ＴＰ３９３ 文献标识码：Ａ 文章编号：１００６—１０１０（２（ｉ）１ ４卜０／一００６５—０５ １引言 云计算起源于互联网，２００７年由Ｇｏｏｇｌｅ首先提 ◆高可扩展性：计算能力与服务可以随用户的需 要而随意增减； ◆按需服务：云是一个庞大的资源池，可以像 水、电一样按需购买； 出，此后得到迅速发展。它将计算任务分布在大量计 算机构成的资源池上，使各种应用系统能够根据需要 获取计算、存储和信息服务等。在云计算中，ＩＴ业 务通常运行在远程的分布式系统上，通过开放的技术 和标准把硬件和软件虚拟为动态可扩展、可配制的资 ◆价格低廉：企业、客户获得信息服务的成本大 大减少。 随着电信市场竞争的曰益激烈，客户资料、生产 分析数据、公司内部文件等各类信息已成为全业务运 营商的核心资产。近年来各运营商敏感数据泄露事件 频频发生，不仅对运营商自身的核心机密、同行业竞 源，并以对外服务的形式提供给用户。用户通过互联 网访问这些服务，获取所需的资源。云计算具有如下 主要特点： ◆超大规模：后台由大规模的计算机集群系统组 争力和市场声誉造成了严重影响，同时也对运营商客 户的隐私和个人信息安全构成不同程度的危害。通过 分析各类信息安全事件的原因，发现网络与信息系统 已成为信息安全事件和泄密事件的主要途径，国家对 成，能赋予用户前所未有的计算能力； ◆虚拟化：后台计算机集群采用虚拟技术，用户 随时随地使用任何联网终端都可以享受到服务，而无 需知道其来自哪一个实体； ◆高可靠性：采用数据冗余，计算节点同构等手 段保证服务的高可靠性； 网络与信息安全工作高度重视，曾多次发文提出严格 要求，相关部委也加大了检查频度与处罚力度。因此 运营商急需加强对ＩＴ信息安全的建设，以防护敏感数 据的泄露。 收稿日期：２０１３一（１８—３（） 为了解决目前数据安全管控存在的问题，本文结 责任编辑：李帅ｌｉｓｈｕａｉ＠１１１ｂｃｏｍ ＣＩ１ 合某电信运营商的实际案例，提出基于云计算技术的 ２０ １年第１４ 蔫Ｉ期Ｉ ６５技术创新 ； 数据安全管控实现方案。 ２现状分析 由于前期安全建设相对滞后于系统建设，某电信 运营商在数据安全管控方面尚未形成较完备的ＩＴ安全 保障体系，无法有效防范企业重要数据信息泄露，急 需进行ＩＴ信息安全方面的建设。对照集团安全标准， 某电信运营商在数据安全管控方面存在以下问题： （１）缺乏统一有效的专有加密手段：由于各类应 用系统的存储和传输都是明文方式，因此在传输过程 中很容易发生信息泄露或被截获，即使部分应用采用 加密技术，如后台数据运用ＭＤ５（消息摘要算法第五 版），但是无法形成统一的标准，为信息的开放和融 合带来障碍； （２）无法控制敏感数据不泄露：企业经营分析的 敏感数据可能从客服系统、Ｗｅｂ发布、ＯＬＡＰ（联机分 析处理）、即席查询、开发测试、运维等多个环节泄 露，ＯＡ系统的保密公文也可能泄露，目前缺乏控制手 段； （３）缺乏跟踪追溯查询的手段：在没有特殊技术 手段的情况下，很难通过日志审计发现异常或违规行 为，发生数据泄露后，无法对泄露环节和责任人进行 、 ３平台业务功能 ３．１设计目标 基于云计算技术建设数据安全管控平台，通过 闭环审批、数字加密和ｐＤＦ水印等技术，有效防范核 心数据的泄露，保证核心数据只能看、不能下，能互 传，需要下、领导批、加水印。 ３．２应用虚拟化 基于应用云技术将用户需要使用的应用软件或工 具（包括Ｂ／Ｓ￣ＩＣ／Ｓ架构的应用）集中部署在应用服务 器上，通过网关节点向不同用户或用户群发布其所需 的应用，用户在客户端通过数据安全管控平台提供的 远程ＩＥ浏览器访问其所需要的应用，且不影响用户的 正常使用。此外，系统还支持节点服务器按业务负载 实现应用的动态伸缩、按需分配，从而降低能耗，达 到节能减排的效果。用户登录访问过程如图１昕示： 用户 数据 ／＼ Ｉ － Ｊ 登录门户 网关节点１～ 各业务系统 用户 ｌ 用户访问登录过栏 ３．３用户集中管理 系统基于“主从账号”机制实现用户的集中管理 和单点登录功能。主账号是用户登录数据安全管控平 台的账号。系统的各项安全策略设置、用户的操作审 计记录等均基于该账号实现，该账户需进行身份的实 名认证；从账号是用户登录各业务系统的原始账号， 每个从账号需根据各用户的实名身份与主账号进行自 动关联。 系统提供用户主账号的生命周期管理功能，并 支持对用户的属性（临时用户、周期性用户、永久用 户）进行灵活设置。 ３．４权限管理 （１）角色管理 系统基于对角色的授权管理实现用户权限管理， 并提供角色分配规则和操作检查规则。管理员可根据 需要定义各种角色，并设置适当的访问权限和命令执 行权限，用户再根据其职责和岗位被指派为不同的角 色。整个访问控制过程被分成两个部分，即访问权限 与角色相关联，角色与用户关联，从而实现用户与访 问权限的逻辑分离。 （２）授权管理 授权管理分为四个级别：应用级授权、实体级授 权、实体内授权和敏感数据授权。管理员通过配置管 理程序，对用户的权限进行设置。不同权限的用户登 录系统后，被授权使用的应用程序、访问的系统、允 ； 许运行的操作命令以及ＳＱＬ语句都各不相同。 １）应用级授权管理：提供对用户可使用的应用资 源，￣ＨＵｌｔｒａＥｄｉｔ、ＳｅｃｕｒｅＣＲＴ、ＰＬ／ＳＱＬ等各种应用程 序进行授权管理，可实现对某组用户可使用的应用程 序进行限制。严格控制后台访问使用的工具，杜绝未 经许可的、不安全的应用程序。 ２）实体级授权管理：提供对用户可访问的系统资 批即可进行文件的相互传递和流转，但被传递和流转 的文件内容将被审计记录。当用户需要将自己私有文 件夹中的某个文件传递或流转给其它用户时，只需点 击文件传递或流转申请即可进行文件的传递或流转。 当系统接收到文件传递或流转申请的请求后，管 理服务器将需传递或流转的文件以及相关的审计信息 直接传递至文档服务器的其他用户的权限目录下，同 源，如主机、网络设备、数据库等进行授权管理，将 某一主账号可使用的各种从账号可访问的资源（包含 主机ＩＰ地址、从账号名、从账号密码）写入到相应的 策略文件中，进而实现对用户可访问的系统资源进行 控制。 ３）实体内授权管理：提供用户对资源可采用的主 机命令（Ｕｎｉｘ／Ｌｉｎｕｘ命令）以及数据库ＳＱＬ语句进行 管理。 ４）数据下载授权管理：在不影响用户正常访问系 统的情况下，通过敏感数据管理模块，系统可实现数 据上传、下载的授权管理。用户上传和下载的文件全 部进行存档、备份；下载的文件需通过ＰＤｆＴｋ印技术 实现泄露数据的可追溯、可定位、可审计。 ３．５私有文件夹 系统针对每个用户的主账号提供相应的私有文件 夹功能。私有文件夹具备以下特点： （１）每个主账号只能访问自己的私有文件夹，禁 止互相访问； （２）主账号在数据安全管控平台的操作数据将保 存在私有文件夹中； （３）当主账号需要对某文件进行下载时，该文件 将被同步至专有的文档服务器中，用户需要在文档服 务器中进行下载； （４）数据安全管控平台需针对所有文件的上传、 下载进行审计； （５）数据安全管控平台需提供针对所有文件上 传、下载审计的模糊搜索和报表功能； （６）下载时需采用加密机制保证数据的安全。 ３．６文件传递和流转 数据安全管控平台支持在私有文件夹中进行文件 的相互传递和流转功能。在私有文件夹中，不需要审 时将该文件以及该文件的审计信息备份到文档操作备 份服务器上。 ３．７ ＰＤＦ水印 为保证用户下载的文件安全，管理员可对某些账 号或某些文件设置导出文件添ＪＪ［］ＰＤＦ水印功能，相关 处理流程如下： （１）管理员可定义数据安全策略，包括纳入控 制的主账号列表、只允许通过ＰＤＦ形式导出文件的列 表。ＰＤＦ的设置权限需包括是否允许导出（包括打 印）、是否需添加水印（水印内容为下载用户的姓 名、工号等实名信息）、是否允许被复制等； （２）用户选择需导出的文件，申请下载，系统将 提示用户将文档导出为ＰＤＦ格式； （３）用户启动ＰＤＦ导出工具，选择文档进行导 出，导出后的文件将显示为ＰＤＦ格式，且已进行安全 设置； （４）用户下载申请通过后，成功下载带水印的 ＰＤＦ文档。 ３．８虚拟工作区 在私有文件夹中，系统支持用户使用远程发布的 Ｗｏｒｄ、Ｅｘｃｅｌ、ＰＰＴ、计算器等常用办公软件对文件进 行编辑、修改等操作。所有数据均保存在数据安全管 控平台的私有文件夹中，不允许保存在本机硬盘。如 需保存在本机硬盘，必须进行下载审批并添加相应的 水印。 ３．９公共文件共享存储区 系统支持建立公共文件共享存储区，所有用户从 ＯＡ系统下载的文件均保存在后台的公共文件共享存储 区内（且相同文件只能保存一份），并在用户私有文 件夹中保留该文件的映射。如用户需要对其下载的文 件进行编辑时，系统将该文件复制一份并保存在用户 矽 通信Ｉ ２Ｏ１ ４年第１期ｌ ｂ／ ｉ ｉ技术创新ｉｉ 的私有文件夹中；如用户仅仅是 对下载的文件进行查看操作，系 电子审批／通知技术实现 安全管理模块 信息推送模块 统将该文件复制一份并暂存在用 户的私有文件夹中，当用户查看 结束后，系统应从用户的私有文 件夹中删除该文件，并继续在该 用户的私有文件夹中保留该文件 的映射；如用户需要删除其存储 在公共文件共享存储区内的文件 时，系统仅仅删除该用户私有文 件内的文件映射。 ，． 获取上级领导号码 生成电子验证码 日志记录 访问己申请 ， 成功的文件 访问申请 舞源 输入验证码 发送申请请求Ｉ 短信接口厂 和、发 羞申电请 ｉ臀器ｅ 上级｛ 验证电子验证码 日志记录 ＾巴口 ｂ Ｊ ｕＬ Ⅱ棚 同时，系统还具备定期清理 公共文件共享存储区历史文件的 功能。历史文件的判定准则为： １ 结束 １ 图２ 电子审批流程 在公共文件共享存储区内保存了 一定时间（该时间要求可设定）， 同时在所有用户的 平台的登录门户登录ｏＡ、，然后由数据安全管控平台远程单点 私有文件中不存在该文件的映射， 即可判定为历史文 件 经营分析等业务系统。 ３．１０审批与审计 数据安全管控平台可对文件的上传、下载等操 作行为进行审批和审计。如某用户因业务需要需下载 某些敏感数据，系统将根据相关的安全策略对数据的 下载进行审批、审计，同时通过短信、邮件等方式通 ４平台实施方案 数据安全管控平台对ＯＡ、经营分析等业务系统的 改造较大，并且会改变用户的使用习惯，因此建议分 步实施，保证系统的平滑过渡。 （１）需求梳理：对ＯＡ、经营分析等业务系统的 使用现状进行调研，需要加强与业务系统厂商的协调 沟通，双方协商接口方案。 知相关负责人某员工正在下载某核心资料，最终形成 闭环审批。同时也可将某用户设置为无需审批权限， 即该用户可直接下载、上传敏感资料，无需领导的审 批，但其下载、上传的文件和操作过程必须存档备 份，以便事后查询。电子审批流程如图２所示。 （２）平台集成：将业务系统的组织结构、账号属 性、角色名称在数据安全管控平台上进行统一，并收 集同步业务系统的所有账号。 （３）试点测试：选择ＯＡ系统的某一本地网进行 数据安全管控平台的文件审计信息是事后分析的 依据。审计数据对数据安全管控平台的用户登录、文 件操作过程等信息进行记录。此外，系统还提供相应 的报表统计分析功能。 小范围的试点，将这些用户先集成到数据安全管控平 台中进行管理，用户只能登录数据安全管控平台再访 问０Ａ系统。 ３．１ｌ与业务系统的接口 ＯＡ、经营分析等业务系统将相关账号信息（包括 （４）应用封堵：把数据安全管控平台的使用范围 推广到全公司的ＯＡ、经营分析等业务系统，把业务系 统的直接访问入口封死，所有用户只能通过数据安全 管控平台访问。这一阶段需要解决用户并发量大对平 账号ＩＤ、账号密码、关联角色列表等）通过数据同步 接口传递给数据安全管控平台。同时，数据安全管控 平台通过身份实名信息将主账号与各业务系统原有账 号信息进行关联，用户通过主账号登录数据安全管控 台的影响，并需继续引导用户习惯新的访问方式。 ＲＱ ｌ 逼信 ｕ Ｉ ２ｏ１ ４年第１期 ｉ 技术创新 ；ｉ ５结束语 基于云计算技术的数据安全管控平台上线后，大 大加强了某电信运营商ＩＴ安全的防护能力，并形成较 为完备的ＩＴ安全保障体系，有效防范企业重要数据信 息泄露，保证了企业的正常运行和安全生产。此外， Ｘ８６服务器虚拟化技术的运用也在一定程度上达到节 能减排的效果。 编镯食 周宇：＿Ｙ－程师，学士，现任职于华信 邮电咨询设计研究院有限公司，主要 从事数据通信咨询及设计工作。 参考文献： ［１】杨旭．基于云计算的数据安全性研究【Ｊ】．移动通信， ２０１３（９）：６９—７２． 刘军：高级工程师，学士，现任职于 华信邮电咨询设计研究院有限公司， 主要从事数据通信咨询与设计工作。 ［２１刘富春，高雪平．云计算一一电信业发展的一把双刃 剑Ｕ］．移动通信，２００９（２１）：５８—６１． ［３】冯登国，张敏，张妍，等．云计算安全研究Ｕ】．软件学 报，２０１１（１）． 孙月新：高级工程师，硕士，现任职 ［４ Ｊ郭辰．如何化解云计算的潜在风险Ｕ］．信息安全与技 术，２０１２（３）． 于华信邮电咨询设计研究院有限公 司，主要从事数据通信咨询与设计工 作。 ［５】李玮．云计算安全问题研究与探讨Ｕ］．电信工程技术 与标准化，２０１２（４）．★ （上接第６ ４页） 发展与应用，２００９（１）：２－６． ［５］Ｎｕｒｍｉ Ｄ，Ｗｏｌｓｋ １Ｋ．Ｔｈｅ Ｅｕｃａｌｙｐｔｕｓ Ｏｐｅｎ—ｓｏｕｒｃｅ Ｃｌｏｕｄ—Ｃｏｍｐｕｔｉｎｇ Ｓｙｓｔｅｍ［Ａ］．９ｔｈ ＩＥＥＥ／ＡＣＭ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｃｌｕｓｔｅｒ Ｃｏｍｐｕｔｉｎｇ ａｎｄ ｔｈｅ Ｇｒｉｄ ２００９（ＣＣＧＲｄＤ’０９）．Ｓｈａｎｇｈａｉ，２００９： 】２４—１３】．★ 王翔：硕士毕业于长沙国防科技大 学通信与电子系统专业，现任广州 杰赛科技股份有限公司云计算研究 与应用中心副总经理，一直从事软 件工程、项目管理、云计算应用开 发管理＿Ｙ－作，曾主持多项电信运营 商云计算应用集成项目，发表文章 多篇。 匡华：硕士毕业于北京邮电大学，现 任中国移动通信集团广东有限公司信 息系统部项目经理、工程师，研究方 向为云计算和大数据，曾获“２ ０１１年 王欣明：博士毕业香港大学，ＩＥＥＥ 和Ｉ ＥＥＥ计算机学会学生成员，现 任职于中山大学软件学院，研究方 向：软件测试和分析、程序调试和 软件挖掘。 度中国移动科技进步及业务服务创新 奖”的科技进步奖三等奖、 “２ Ｏ１ Ｏ一 ２０１１年度广东公司创新成果奖”二等 奖等奖项。 矽 通信ｌ。 ２０１４年第１期ｌ ｂ