基于“云管端”三位一体终端信息安全管理系统的研究与设计①

(巢湖学院经济与管理学院，安徽 巢湖 238000)

0 引 言

随着网络规模的不断扩大、终端种类的不断丰富、网络应用的不断增长，企业面临来自内部和外部关于信息安全方面的隐患和威胁问题日益凸显，如何保障企业信息安全是一个重要研究课题。如何通过参照实际保密评估准则，提出一种高效合理的安全防护体系框架，充分考虑系统依赖、交叉、联动的关系模型[1]。终端属性方面：终端数量及种类的快速增长，增加了网络管理的难度。数据安全方面：数据存储的分散性和可复制性，增加了资料外泄的风险。IT支撑方面：IT支撑手段单一、被动支撑、统一性不强、效率低。面临的主要困境包括如何有效的建立终端资产管理体系，确保终端资产全生命周期的管控；如何建立统一的信息安全数据库，实现对终端的定时巡检、漏洞扫描、安全诊断、健康评估、安全修复、数据备份等功能；如何提升终端使用者的信息安全提醒和自检功能。因此必须通过有效的管理方法及手段，建立可持续的信息安全系统，实现对系统安全信任度的评估。通过抽取企业样本实际调研，了解企业信息安全管理现状及需求。以某通信企业为例，该企业终端概况：共有195台终端，其中台式工作电脑152台；一体机32台；工作便携电脑11台。操作系统：Windows 7、XP。应用系统：OA、BOSS、互联网。工作内容：终端入网、资产管理、定期或不定期终端信息安全检查(季度巡检、年度组巡)、信息安全问题处理(终端使用者通过故障单、电话、邮件等方式申告)等。主要问题：终端无法有效管控、维护能力不足、工作效率低、终端使用者缺乏主、被动管控手段。在调研基础上设计一种基于“云管端”三位一体的安全管理系统架构，通过采用分布式服务技术(Distributed processing)，实现统一的信息安全标准、全网实时监控及实时定位漏洞、终端管理自动化和漏洞自动修复功能。

1 系统结构与设计

1.1 系统总体结构

系统总体结构如图1所示，云模块内容分布式部署在企业全网内多台高性能、全时段终端上，并可根据终端自动检测评估结果(在线时长、性能参数、资源利用率等)动态调整存放位置；管模块实现账户权限的单独管理，通过动态授权管理模式下放权限，确保账号不外泄，对于未授权的请求不会单独处理，会按照处理机制结束相关服务[2]；端模块采用SNMP消息管理模块，实现云端与终端的信息交互，通过云端定期发布的自检模块，实现终端信息安全后台自检功能，确保全网终端健康度。考虑到目前终端操作系统大多基于windows系统，信息安全工作基于表单格式的内容较多，并且要确保分布式部署方式对系统负荷(内存和CPU)占比较少的特点，系统设计采用SQL+VC可视化集成编程语言实现。该编程语言主要在系统资源调用及与SQL接口方面存在响应速度快和兼容性好的优点。

该系统架构主要特点包括：系统完整性，涵盖了信息安全管理领域的各个环节及信息安全PDCA各个过程；系统层次性，涵盖基础层、控制层、应用层，实现基础资料库、控制授权、安全策略定制等功能；系统健壮性，给实现和推广带来可能，即一方面柔性系统架构可针对不同的场景实现终端信息安全管理功能,另一方面系统对终端资源的占用率(CPU、内存)较低，不会给终端使用者带来额外开销，体现技术层面推广的可行性。通过云平台采用分布式工作模式，把终端管理者与终端使用者结合、政策制度制定者与终端管理者结合、终端使用者与管理系统平台结合，使该系统最终在实际推广过程中无需额外资源投入，无需单独建设，系统操作简便无需专门培训。设计前需要对单位终端所处的网络结果有清晰的认识，确保每台终端可达，另外，对单位特殊类设备如高性能防火墙、服务器等需要区别对待。

1.2 系统设计与实现

终端资产管理模块设计：现有的为某通信运营商手动工作表单(如表1所示)，存在的主要问题包括：静态数据(数据无法实时更新)、资产明细缺失(因为操作人员的工作能力和劳动态度等因素都可能会带来资料准确性问题)、资产确认存在误差(操作人员与资产原有使用者和接替者之间的衔接工作不紧密，无法有效执行且执行结果因人而异)等。

表1 某通信运营商工作表单

图1 系统总体结构图

通过SQL server数据库技术，实现终端使用、变更、报废等全生命周期管控(数据库应用模型如图2所示)。实现数据治理、数据处理、数据体检、数据安全和数据运营全周期[3]。

图2 数据库应用模型

数据库模型的设计考虑信息安全系统的特点：健壮性(能满足数据频繁调度的稳定可靠)；实时性(能够对数据信息实时刷新，保证所有变更都可记录到数据库中)；安全性(由于系统涉及信息安全，需要配置包括软、硬件两方面的安全策略)。主要包含三个关系数据库表：终端入网数据库表Client_Innet()；终端资产管理数据库表Client_Manage()；终端退网数据库表Client_Outnet()。三张表关联变量为：资产编号Fixedasset_num；员工编号Em_ID；员工姓名EM_name。通过建立信息安全标准库(通过实时库Real_time()、中转库Transfer()、历史库History())全面展示终端信息安全记录信息)，如表2所示。

表2 信息安全标准库

管模块(实现对云、端的管控)对操作账户进行分权分域管理，设计了四个功能模块：操作账户管理模块、安全检测算法模块、操作功能管理模块和云端、终端功能模块，涵盖了所有功能点如图3所示。设置了三个角色：信息安全管理员、信息安全责任人、终端使用者。按照管理办法赋予三个角色不同的权限，对信息安全管理员角色赋予全部权限，对信息安全负总责；对信息安全责任人赋予所辖范围内的全部权限，对其所负责的信息安全域负责；终端使用者仅分配该终端的相关权限，对其使用的终端信息安全负责，可确保系统的稳定。将信息安全要求(基本要求、发文、领导等)转化为可执行的安全检测算法，对规则检测及非规则检测部分均能实现有效控制，最终可实现信息安全系统功能管理，提升系统使用体验，增强使用者使用频次和满意度。

根据终端类型配置统一安全策略(如图4所示)，该安全策略即要针对全局隐患也要考虑到针对终端形态、操作系统、企业规定等因素个性化配置。通过终端上安装的桌面客户端插件对终端进行安全策略扫描，该扫描工作即在确保信息安全和系统运行稳定的前提下通过读取系统注册表单信息获取信息安全变量值。并将扫描结果返回至云端形成扫描报告，当终端不符合预设值时，云端会根据评估结果进行信息安全干预，根据信息安全的影响程度采取相应的干预措施，干预内容主要包括：提醒、重复、隔离、强制修改等。提醒功能主要是对影响范围小的问题通过消息机制推送至终端侧；重复功能主要是针对未及时修复的漏洞进行定时推送至终端侧；隔离功能主要是针对严重信息安全漏洞或前期终端未能有效解决的问题进行隔离，确保系统安全和业务可用，防止扩散；强制修改主要是针对最危险漏洞进行强制修复，无需使用者干预即可自动完成。

图3 管端流程图

图4 统一安全策略图

图5 消息机制及算法模型

端模块(实现终端侧的自检和被检功能)主要包括信息接收功能(message信使)通过终端与云端服务器的网络连通性，采用SNMP管理模块，即利用SNMPv3安全模型满足：身份鉴别、合时性检查、重复性检查、报文加密功能[4]。

通过开放系统161、162端口实现服务器端信息接收功能message receiver ，确保服务器端推送的信息及时受理message accept，并对处理结果及时反馈message feedback。自检软件插件功能可实现同步云平台数据cloud synchronize platform ；更新管模块信息安全算法，服务端定期向桌面探测点发出探测信息，检测探测响应时间，由云端监控进行统计和展现，从而判断网络的状态情况，

算法公式为：MTTF=探测周期*成功次数

MTTR=探测周期*失败次数

Availability=MTTF/ (MTTF+MTTR)*100%

可用性=探测成功次数/探测总次数

终端使用者自检、上报及修复功能。终端级信息安全操作模块(提供服务进程，确保自检软件功能可靠运行)。基于安装的桌面客户端插件，利用云监控技术[5]实现对全网络的监控，包括OA、BOSS网络的可用性、响应时间、服务器资源等指标，安全策略[6]合规性，提供智能多样的告警方式、信息统计，及时发现问题所在，协助问题分析等，如图5所示。

2 结 语

通过该管理系统，一方面通过系统整合终端管理的工作内容和外延，将离散型管控模式转变为覆盖终端全生命周期的管控模式，使得工作效率提升明显、管控流程更加清晰、管理方法更加精细。另一方面提出的“云管端”三位一体的信息安全管理模式，实现了以“端”为目标、“管”为手段、“云”为核心，实现信息安全的全方位管理，以管理用户终端为基本目标，实现全网设备的风险监控和预警。全方位降低信息安全风险，为企业生产经营保驾护航。

参考文献：

[1] 王越，杨平利,李卫军，等.涉密计算机信息安全管理体系的设计与实现[J].计算机工程与设计,2010，31(18):3964-3967.

[2] 刘自成.计算机网络信息安全管理存在问题及对策分析[J].通讯世界,2017(2):41-42.

[3] 张磊,马春光,杨松涛,等.关联概率不可区分的位置隐私保护方法[J].通信学报，2017,38(8):44-45.

[4] 祝旭.SNMP协议在网络管理中的应用[J].中国新通信,2016, 18(18):120-121.

[5] 张磊,马春光,杨松涛,等.基于属性基加密的用户协作连续查询隐私保护策略[J].通信学报，2017,38(9):77-78.

[6] 杨凯.试论计算机网络工程的安全威胁及应对策略[J].通讯世界, 2017(4).96-96.