数据防泄漏

当前我国涉密部门(军队、军工、政府、金融行业、保险行业、电信行业等)中，80%以上套用系统使用国外资料库产品，特别是Oracle；如何保证系统在高性能、高可用的同时提升数据的安全性，确保关键信息不被泄露、国家利益不受损失已经迫在眉睫。

数据防泄漏可以通过资料库加密实现核心数据加密存储，可以通过资料库防火墙实现批量数据泄漏的网路拦截，也可以通过数据脱敏实现外发敏感数据的匿名化，这些资料库安全技术可以实现数据防泄漏问题。

基本 介绍

中文名：数据防泄漏方式1：透明加解密技术方式2：泄密保护方式3：强制访问控制

防泄漏产品

套用背景及存在问题

我国已有的安全建设重要围绕着网路防护、主机访问和套用层安全防护以及伺服器层安全防护进行，但对真正核心的数据存储管理的核心资料库并没有採取有效的防护措施。网路层安全防护的主要产品有：防火墙、网路隔离设备、入侵检测、防病毒等；套用层安全防护的主要产品有：安全认证、统一授权等；伺服器层安全防护的主要产品有：伺服器防护、防病毒、入侵检测、主机审计等；数据层安全防护的主要产品有：资料库安全增强、资料库审计、文档防护等，数据层安全防护是存放于伺服器内的数据本身的最后一道安全防护屏障，如果网路层、套用层和伺服器层的安全防护被攻破，只要数据层安全防护有效，就不致予泄露敏感数据。可见数据层安全防护的重要性。

世界最大职业中介网站Monster遭到黑客大规模攻击，黑客窃取在网站注册的数百万求职者个人信息，并进行勒索；程式设计师程稚瀚四次侵入北京移动充值中心资料库，盗取充值卡密码，获利300 多万元。2003 年广东联通7 名人员，利用内部工号和密码，对欠费停机手机进行充值，使联通损失260 万元。2005 年12 月25 日,美国银行披露,2004 年12 月下旬,丢失了包括1200 万信用卡信息的磁带备份. ---Gartner Research；CSI/FBI 2005 年计算机犯罪和和安全会的相关报告中提到70%的信息系统数据丢失和遭受攻击，都来自于内部。

当前主流Oracle安全增强方案包括前置代理、套用加密和Oracle 自带加密选件DTE等。前置代理需要套用大幅改造、大量Oracle核心特性无法使用；套用加密必须由套用实现数据加密，加密数据无法检索，已有系统无法透明移植；DTE不能集成国产加密算法，不符合国家密码政策。因此这几种方案一直未能得到有效推广。

基本状况

国外的Oracle资料库加密产品相对较多，产品相对成熟。但面临着不能集成国产的加密算法、不符合国家安全政策，不能利用密文索引进行範围查询，造成性能严重下降等问题，因此以上产品在我国尚未得到有效套用。　国内的资料库安全增强产品往往採用套用层加密存储或者前置代理的技术实现方式。套用层加密方式的缺点是套用必须对数据进行加解密，增加编程複杂度；加密后的数据不能作为条件进行检索；同时对于已有的系统无法透明实现套用改造。前置代理的重要缺陷是套用必须进行现有程式的改造，使用加密前置代理提供的API；另外大量的Oracle重要特性将无法使用，如存储过程、函式等。

一、SecGateway文档安全网关用于企业数据中心与办公网路有效隔离的嵌入式专用设备。採用链路加密的方式，实现客户端的準入，从档案在企业的使用流程入手，将数据泄露防护与企业现有 OA 系统、档案服务系统、ERP 系统、CRM 系统等企业套用系统完美结合，对通过网关的文档数据进行透明加解密工作，有效解决文档在脱离企业套用系统环境后的安全问题。为企业部署的所有套用系统提供有效的安全保障。

1.完成安全网关和企业现有套用系统无缝集成，自动完成对经过网关的数据进行强制加解密——上传解密，下载加密；

2.加密客户端通过 SecGateway，正常访问套用系统伺服器；

3.非涉密客户端计算机，在通过安全网关时，会被安全网关筛选和拒绝，无法通过 SecGateway 访问 OA/PDM 伺服器。

二、安华金和资料库保险箱系统(简称DBCoffer) 是一款Oracle资料库安全加固系统，该产品能够实现对Oracle数据的加密存储、增强许可权控制、敏感数据访问的审计。DBCoffer可以防止绕过防火墙的外部数据攻击、来自于内部的高许可权用户的数据窃取、以及由于磁碟、磁带失窃等引起的数据泄密。

资料库保险箱DBCoffer的核心价值是：

1、防止硬体存储设备引起的泄密，当数据以明文形式存储在硬体设备上时，无论是资料库运行的存储设备，还是用于数据备份的磁带，若发生丢失或者维修，都会存在相应的数据丢失风险。一旦使用了资料库保险箱，无论是运行环境的硬体存储设备，还是数据备份的磁带，敏感数据都是以加密的形态存储的，从而有效地防止了由于硬体丢失或硬体维修等无意识的泄密。

2、防止作业系统档案引起的数据泄密，通常Oracle 的数据是以明文的形式存储在作业系统的档案中；通过对档案系统的访问，就会访问到敏感数据。这样，该主机的作业系统管理员和高许可权用户都可以接触到这些敏感数据。另外通过网路访问到这些档案的用户，也可以接触到这些敏感数据。一旦使用了资料库保险箱，敏感数据都是以密文的形式存储在作业系统上，从而有效防止了由作业系统档案引起的数据泄密。

3、防止资料库超级用户进行的数据窃取，在Oracle 中，以sys 和system 为代表的资料库管理员用户，具有至高无上的权利，可以访问到任何数据；在大型企业和政府机构中，除了系统管理员，以用户数据分析人员、程式设计师、开发方维护人员为代表的特权用户，也可以访问到敏感数据。这些都为数据的泄密，留下了极大的隐患。

资料库保险箱通过独立于Oracle 许可权控制之外的安全许可权体系，对数据的加解密进行了独立的控制。由安全管理员负责决定哪些资料库用户有权访问敏感数据的明文信息；防止DBA 成为不受控制的超级用户的同时，又可以使DBA 和开发人员正常地工作。

4、防止外部入侵进行的数据破解，随着Internet、无线网路的普及，黑客有了更多办法绕过防火墙和入侵检测系统，到用户的业务系统中进行窥视；当数据以明文的形式暴露在档案系统和资料库中时，黑客很容易获得敏感数据。当我们对数据进行了有效加密保护，再厉害的黑客，在不掌握密钥的情况下，都无法获得敏感数据的明文信息。

三、secdocx数据安全保护系统是广东南方信息安全产业基地公司，依据国家重要信息系统安全等级保护标準和法规，以及企业数字智慧财产权保护需求，自主研发的产品。它以全面数据档案安全策略、加解密技术与强制访问控制有机结合为设计思想，对信息媒介上的各种数据资产，实施不同安全等级的控制，有效杜绝机密信息泄漏和窃取事件。

数据安全保护系统的保护对象主要是政府及企业的各种敏感数据文档，包括设计文档、设计图纸原始码、行销方案、财务报表及其他各种涉及国家机密和企业商业秘密的文档，可以广泛套用于政府研发、设计、製造等行业。

1. 透明加解密技术：提供对涉密或敏感文档的加密保护，达到机密数据资产防盗窃、防丢失的效果，同时不影响用户正常使用。

2. 泄密保护：通过对文档进行读写控制、列印控制、剪下板控制、拖拽、拷屏/截屏控制、和记忆体窃取控制等技术，防止泄漏机密数据。

3. 强制访问控制：根据用户的身份和许可权以及文档的密级，可对机密文档实施多种访问许可权控制，如共享交流、带出或解密等。

4. 双因子认证：系统中所有的用户都使用USB-KEY进行身份认证，保证了业务域内用户身份的安全性和可信性。

5. 文档审计：能够有效地审计出，用户对加密文档的常规操作事件。

6. 三权分立：系统借鉴了企业和机关的实际工作流程，採用了分权的管理策略，在管理方法上採用了职权分离模式，审批，执行和监督机制。

7. 安全协定：确保密钥操作和存储的安全，密钥存放和主机分离。

竞争优势

DBCoffer产品，相对于市场上的其它产品在政策符合性、性能和套用透明性上具有明显优势，下面重点就国外产品和国内产品进行对比分析。

与普通的资料库安全加固产品的竞争分析：

1、资料库漏洞扫描产品

这种产品针对资料库管理系统的漏洞及潜在的风险进行检测。它可以对资料库系统的各项设定、资料库系统软体本身已知漏洞、资料库系统完整性进行检查和对资料库系统的整体安全性做出评估，并给出提高资料库安全性的修复建议。这种产品重要的是对现有的资料库系统在认证、授权上配置漏洞、数据局库补丁漏洞进行扫描，并不能对现有的资料库进行安全增强，与DBCoffer不是一类产品。

2、资料库安全审计产品

资料库审计作为信息安全审计的重要组成部分，同时也是资料库管理系统安全性重要的一部分。安全审计类产品的优势在于时候的追终与分析。DBCoffer除了具有对敏感数据的访问审计能力，同时也具备了资料库的加密功能、独立于Oracle的授权控制体系，这是DBCoffer的最大竞争优势。DBCoffer比起资料库审计产品能多提供以下几个方面的资料库安全防範能力：防止DBA等高许可权用户访问敏感数据、防止来自于档案层的数据窃取、防止硬体丢失的安全风险。

3、综合性的资料库安全增强产品

这一类的产品从资料库的认证、授权和审计均进行了有效增强，但是必须有几个限制：

（1）套用系统要经过改造，要使用该产品提供的套用接口

（2）DBA进行数据维护必须使用该产品提供的管理终端

总体上，DBCoffer不存在以上限制，与相关其他产品相比具有几大优势：更符合国家安全政策、性能更好、服务更好、更为透明、Oracle功能更为无损。

dlp 数据防泄漏

Data loss prevention指以内容为核心的控制手段，对档案的内容生成指纹记录，通过终端，网关，存储，对档案进行控制，例如，密级档案外发时被网关拦截。

注：档案加密不是DLP

虚拟化

虚拟化数据防泄露是利用虚拟化技术的技术特点，将虚拟化技术套用于数据防泄露领域。相对于传统的作业系统来说，虚拟化技术的特点决定其更符合数据防泄露的一些要求。主要体现在以下几个方面：

1.传统作业系统存在配置、管理、使用等各种许可权和操作无法清晰的分开，使系统各类操作权力容易被盗用，系统存在各种漏洞，由此带来各种入侵、数据窃取等等问题。利用虚拟化技术可以将管理和使用的许可权划分清楚，可以做到用户在虚拟系统里只能使用某些套用，绝无破坏系统、非法获得许可权、盗取数据之的可能。

2.虚拟化帮助不同用户之间的操作环境相互隔离，而传统作业系统无法真正做到用户之间的隔离。每个虚拟环境之间无论从套用还是存储都是相互隔离的，效果相当于两台相互独立的计算机，可以分别连线不同安全等级的网路，起到一个逻辑隔离的作用，档案无法直接在不同安全等级的网路间传输，杜绝了数据泄露的风险

3.虚拟化环境可以被集中配置和管理，管理者对每个虚拟机的掌控力度远比对一个个零散的物理计算机要强。用户在虚拟机里可用的程式、空间大小、上网的行为都可以被集中管控，而要对每一台真实计算机的上述特徵进行集中管理需要安装很多额外的软硬体，即便这样也无法达到对虚拟机的集中管控程度。这样用户的使用行为会更加安全有序，无法私自将机密数据带出机密环境

从上文可以看出，虚拟化在套用逻辑隔离和数据防泄露作用方面是有优势的，而且由于虚拟环境在使用地点和平台上有较大的灵活性，利用虚拟技术研发的安全产品往往具有安全和便利性兼顾的特点。因此虚拟化技术越来越多的被套用于数据防泄露领域。代表性的虚拟化数据防泄露产品厂家有达龙信息科技和深信服的上网安全桌面产品。

数据泄漏 原因

分为业务层面和技术层面

业务层面

1、缺乏对安全形色的正确理解

人们对便利性的需求远胜于安全，为了加速盈利而轻视安全问题的例子不在少数。安全防护其实是一套自上而下的业务解决方案，各企业的CTO需要积极参与产品及服务的研发过程中，并将安全整合到企业的发展战略中，促进安全智慧型转化为商业价值。

2、认为安全方案达标即万事大吉

在数据安全的监管压力下，所投入的预算及考量往往仅为满足项目的需求，而不是以保护数据安全为出发点。而实际上，达到监管部门的要求也只是让系统正常运作的基本而已，黑客们可以通过网路跳板或是窃取特权访问到企业的敏感数据。如常见的网路分段其实是不堪一击的，通过数字证书盗用，入侵者可以轻易的骗取更深层网段用户的信任，方便以周详的计画套取到更多的机密信息。

3、安全体系基础设施

多数企业更习惯于在项目的基础设施和业务方案中投入精力与预算，如安装防毒软体与防火墙等，但这没有真正考虑到当前高级安全威胁带来的挑战，这些手段虽然还能保持一定的作用，但却会因相对无效性从未来的安全体系中逐渐淡出。

4、过于关注先进技术

诚然，关注先进的技术无可厚非，但单纯的技术往往治标不治本。要成功实现全面的IT安全，必须整合进成套的员工管理方法及业务安全操作流程，作为企业文化的一部分被长期贯彻。

5、未能充分调用员工的能动性

仅仅提升员工对威胁的识别能力是永远不够的，许多员工并不了解他们正在使用的数据的价值所在，并错误地以为数据安全是由专人负责的，并未充分认识到自己也是在企业数据安全中的重要角色。企业需要对员工进行纵向及交叉的培训，让各部门对彼此在安全防护中职责和战略有相互的了解，并结合周期性的安全攻击演习，以检验培训的成果。

技术层面

1、新旧技术之间的融合问题企业所面临的最大挑战之一就是如何在现有的基础设施上融入新兴的技术，以提升安全体系的等级。为了与新兴技术相匹配，许多企业将基础设施作为发展的重点，却忽略了所要保护的数据本身，也没有意识到一些先进的技术很可能导致部署的不一致，白白耗费大量时间、人力与财力，反而留下了安全隐患。

2、移动与云计算将弱化基础设施的作用在移动互联及云计算高度发展的今天，数据可能出现在任何位置。这也是企业必须将关注重心由基础设施转为数据的另一个重要原因，移动化及数据增值正弱化在基础设施中在多层架构中的安防效果，加大基础设施的建设力度并不能对云数据提供相匹配的安全保障。

3、传统安全解决方案没有完全跟上各类威胁的快速演变即便拥有充足的预算，新技术的落实与安全解决方案的开发都很难与威胁的演变同步，二者之间的差距使得多数的解决方案在用户覆盖上有所不足。如何覆盖移动用户、顾及https与私有VPN的盲点、以行为分析摆脱对签名技术的过度依赖，才是真正需要预算投入的地方。

4、多数安全系统没有自主学习能力在传统的安全技术下，攻击者可以通过改变代码的方式绕过安全监测，让防火墙和反病毒解决方案失效。若系统不能实时升级以应对新的乱码攻击，就会留下许多极易被利用的漏洞。

5、缺乏整合是大多数企业的致命弱点多少情况下，网路上附加的安全功能并不是越多越好，他们在功能性上的重叠不会让系统变得更为强大，相反会因为不能共享彼此的信息而浪费资源。企业需要一些新的途径部署统一的控制台，在实现对安全项目高度统合管理的同时，将各自的安全智慧型相整合，实时收集相关数据，供安全团队作出明智的决策。

本文由'绍碧萱'发布，不代表演示站立场，转载/删除联系作者，如需删除请-> 关于侵权处理说明。

数据防泄漏数据安全性确保提升

红绳戴哪只手好？

财运,适合,红色,转运,运气，左手红绳在中国自古以来的民间传统中，都有一种辟邪、祈福和姻缘的象征，未婚女性手系红绳，就更容易找到心仪的另一半，所以自古待嫁闺中的少女们都喜欢手戴红绳，一种是标志待字闺中的标志，还有就是尽快有月老引线并且佩戴红绳也具有喜庆吉祥好运的意思，所以佩戴红绳的人是能转好运的，尤其是在本命年的时候佩戴红绳的更多同样也代表给一个好意头,带来好运气、转运、发财。在中国传统里红绳都是佩戴在左手的，因为一般饰物佩戴规律是左入右出...
工作制有几种

确保,企业,单位,连续,原因，三种中国劳动法规定的工时制度有三种，即标准工时制、综合工时制和不定时工时制。标准工时制：每日工作8小时，每周工作40小时。综合工时制：某一具体日（或周）的实际工作时间可以超过8小时（或40小时），平均每周工作时间不超过四十四小时的工时制度，延长工作时间的小时数平均每月不得超过36小时；不定时工作制：采用集中工作、集中休息、轮休调休、弹性工作时间等适当方式。综合工作制和不定时工作制主要是指企业因生产特点或工作性质...
一招教你快速提高信用卡额度

信用卡额度,信用卡额度怎么提升,信用卡额度提升,快速提升信用卡额度，提额,额度,信用卡,提升,银行,方法,情况,财经,信用,大全，信用卡额度怎么提升？快速提升信用卡额度的方法，提升信用卡额度就能透支更多消费，探其财经为您整理出提升信用卡额度的方法大全。信用卡额度怎么提升？快速提升信用卡额度的方法，提升信用卡额度就能透支更多消费，探其财经为您整理出提升信用卡额度的方法大全。信用卡最开始的额度，和班里的信用卡本身有关以外，还和学历、银行信用记...
微粒贷怎么快速开通？

开通微粒贷,微粒贷怎么开通,微粒贷开通教程，开通,信用,提升,信用卡,担保,贷款,资产,产品,推出,银行，微粒贷怎么快速开通？微粒贷开通教程，微粒贷是由腾讯微众银行推出的一款互联网银行贷款产品，无抵押、无担保，最快1分钟完成放款，提前还款无手续费，下面就教大家怎么开通微粒贷。微粒贷是由腾讯微众银行推出的一款互联网银行贷款产品，无抵押、无担保，最快1分钟完成放款，提前还款无手续费，下面就教大家怎么开通微粒贷。微粒贷开通：目前微粒贷处于限量名...
芝麻信用分怎么快速提高？

芝麻信用怎么提高,芝麻信用分怎么快速提高,芝麻信用分提高攻略，信用,支付宝,提升,情况,评估,服务,线下,转账,付款,信用卡，芝麻信用分怎么快速提高？芝麻信用分提高攻略教程，芝麻信用是蚂蚁金服旗下独立的第三方征信机构芝麻分主要通过五个方面的维度综合评估，包括信用历史、行为偏好、履约能力、身份特质和人脉关系。根据这五个方面的维度情况，更好的了解您目前信用状况。芝麻分是综合评估的结果，无法通过单方面行为迅速提升！查询步骤：您可以登录【手机支付...
氢气的密度比空气大还是小

密度,填充,元素,安全性,出入，小氢气，化学式为H₂，分子量为2.01588，常温常压下，是一种极易燃烧的气体。无色透明、无臭无味且难溶于水的气体。氢气是世界上已知的密度最小的气体，氢气的密度只有空气的1/14，即在1标准大气压和0℃，氢气的密度为0.089g/L。所以氢气可作为飞艇、氢气球的填充气体（由于氢气具有可燃性，安全性不高，飞艇现多用氦气填充）。氢气是相对分子质量最小的物质，还原性较强，常作为还原剂参与化学反应。氢气 (H2) 最...
中介说花钱就能消征信，靠谱吗？

花钱消征信,花钱消除征信不良记录,征信不良记录消除，信用,贷款,修改,报告,数据,机构,系统,人为,活动,受损，花钱就能消征信靠谱吗？花钱消除征信不良记录的真相是什么？很多曾今有过逾期记录的人想知道：征信能花钱洗白吗？个人信用是现代人的“经济身份证”。因为信用受损，不少人无法办理贷款等金融业务。但最近，在微信圈上却盛传一种说法：“现在网上有一种业务，我们只要交纳一定费用，个人的不良信用记录就保证可以消除...

数据防泄漏

防泄漏产品

基本状况

虚拟化

数据泄漏原因

相关推荐