Cómo construir un terminal informático seguro y confiable en todos los aspectos
1. Desafíos y amenazas
1. Los empleados tienen una conciencia débil sobre la seguridad, es difícil implementar políticas de seguridad corporativas y los virus en la red abundan.
Las amenazas a la ciberseguridad, como virus, gusanos y software espía, dañan a los clientes y provocan pérdidas significativas de dinero y productividad. Al mismo tiempo, la proliferación de dispositivos móviles ha exacerbado aún más esta amenaza. Los usuarios de dispositivos móviles pueden conectarse a Internet o a la red de trabajo desde sus hogares o puntos de acceso públicos, lo que a menudo les facilita detectar virus sin darse cuenta y llevarlos a entornos corporativos, infectando la red.
Según el Informe de Seguridad de Valores de China/FBI de 2010, aunque la tecnología de seguridad se ha desarrollado durante muchos años y su implementación cuesta millones de dólares, los virus, gusanos y otras formas de malware siguen siendo un problema para las organizaciones. Los principales problemas enfrentados. La gran cantidad de incidentes de seguridad que enfrentan las organizaciones cada año resulta en interrupciones del sistema, pérdidas de ingresos, corrupción o destrucción de datos, reducción de la productividad y otros problemas, que tienen un enorme impacto económico en las organizaciones.
Para resolver estos problemas, muchas empresas han formulado políticas de seguridad de terminales empresariales, que estipulan que los terminales deben instalar software antivirus y actualizar las bases de datos de virus de manera oportuna; oportunamente; los terminales deben establecer contraseñas seguras, etc. Sin embargo, debido a la escasa conciencia de seguridad de los empleados, las políticas de seguridad corporativas son difíciles de implementar e ineficaces, y los problemas de seguridad de la red siguen siendo graves.
2. Usuarios no autorizados acceden a la red y se filtra información importante.
El acceso no autorizado incluye las dos partes siguientes:
(1) los usuarios ilegales externos aprovechan las vulnerabilidades en la gestión empresarial y utilizan PC para acceder a los conmutadores y obtener acceso a la red; luego, después de usar la contraseña del usuario legítimo para iniciar sesión en el sitio web con una identidad legítima, puede ver información confidencial, modificar el contenido de la información e interrumpir el funcionamiento del sistema de la aplicación.
(2) Los usuarios legítimos desde dentro pueden acceder libremente a recursos clave en la red y obtener información clave para fines ilegales.
La LAN utilizada actualmente por las empresas se basa en la arquitectura de red Ethernet. Mientras esté enchufado, podrás acceder libremente a toda la red. El acceso ilegal y no autorizado conduce a la destrucción de los sistemas empresariales y a la fuga de activos de información clave, lo que se ha convertido en un riesgo importante que las empresas deben resolver.
3. El uso irrazonable de los recursos de la red reduce la eficiencia del trabajo y corre el riesgo de violar leyes y regulaciones.
Según el último informe de datos de IDC, en promedio, los empleados de empresas e instituciones pasan más del 50% de su tiempo de trabajo en línea chateando, navegando por sitios web de entretenimiento, pornografía, juegos de apuestas o manejando asuntos personales de los empleados; utilizan Internet para descargar información diversa, de los cuales el 62% se utiliza para descargar software, el 11% se utiliza para descargar música y solo el 25% se utiliza para descargar materiales relacionados con la redacción de informes y documentos.
En China, la ley estipula que muchos sitios web son ilegales, como contenido pornográfico, antigubernamental, supersticioso, criminal, etc. Después de utilizar la banda ancha para acceder a Internet, la intranet de empresas e instituciones se ha convertido hasta cierto punto en un lugar de acceso a Internet "público * * *", y pueden ocurrir muchos comportamientos ilegales en la intranet. Estas cosas son difíciles de rastrear y conllevan riesgos legales y regulatorios para las empresas.
2. Medidas de protección
Los problemas actuales en la gestión de datos de terminales incluyen: la gestión de datos es difícil de institucionalizar y la pérdida de datos se produce de vez en cuando, los datos están dispersos en diferentes máquinas; diferentes aplicaciones y administración Dispersos, la seguridad no está garantizada; es difícil lograr una copia de seguridad en línea eficiente de los datos de la base de datos, es difícil administrar los medios de almacenamiento y guardar datos históricos;
Para ello, hemos tomado medidas desde los siguientes aspectos para lograr la seguridad del terminal.
1. Copia de seguridad de datos
Con el desarrollo de los sistemas de datos informáticos, los datos se han vuelto cada vez más importantes. La forma de gestionar eficazmente el sistema de datos se ha convertido cada vez más en un vínculo clave para garantizar la seguridad. funcionamiento normal del sistema. Sin embargo, los formatos de datos en el sistema de datos son diferentes, las ubicaciones físicas están ampliamente distribuidas, las aplicaciones están dispersas y el volumen de datos es grande, lo que dificulta la gestión eficaz de los datos y genera muchos peligros ocultos para el trabajo futuro. Por lo tanto, es de gran importancia establecer un sistema institucionalizado de respaldo de datos.
La copia de seguridad de datos se refiere a seleccionar una máquina en el sistema de datos como servidor de administración para la copia de seguridad de datos e instalar software cliente en otras máquinas para realizar una copia de seguridad automática de los datos de todo el sistema de datos en el servidor conectado al servidor de respaldo En el dispositivo de almacenamiento, se establece una tabla de índice correspondiente a los datos de respaldo en el servidor de respaldo para cada cliente de respaldo, y la tabla de índice se usa para controlar automáticamente el medio de almacenamiento para lograr la recuperación automática de datos. Cuando ocurren emergencias como fallas del sistema y operaciones ilegales, el sistema de respaldo de datos se puede utilizar para la recuperación. Desde una perspectiva de confiabilidad, el número de copias de seguridad es preferiblemente igual o mayor que 2.
1) Contenido principal de la copia de seguridad de datos
(1) Gestión de copia de seguridad de datos multiplataforma: admite varios sistemas operativos y sistemas de bases de datos;
(2) Copia de seguridad Seguridad y confiabilidad: doble sistema de protección de respaldo para garantizar que los datos de respaldo sean infalibles;
(3) Programación automática/alarma inteligente: genere alarmas a través de correo electrónico/transmisión/registro;
( 4 ) Prevención y recuperación de desastres de datos: proporciona recuperación de datos de directorios/archivos individuales específicos.
2) Solución de copia de seguridad de datos
La escala, la arquitectura, la plataforma del cliente y el software de aplicación compatible de cada entorno informático son diferentes, y sus requisitos de gestión de almacenamiento también serán diferentes, así que elija la solución. solución que mejor se adapta a su entorno. Aunque todavía no existe un estándar unificado, al menos debería tener las siguientes funciones: soporte integrado para agentes de cliente, amplio soporte para dispositivos de almacenamiento, administración avanzada de medios, programación avanzada, mecanismo de garantía de integridad de datos y protección de bases de datos. Por ejemplo, la solución de recuperación de desastres de datos VIS de Huawei, la solución de protección de continuidad de datos de HDP, la solución TrueCopy de HDS, la solución SVC de IBM, etc.
2. Sistema antivirus completo y confiable
La prevención y el tratamiento de los virus informáticos deben realizarse desde los tres aspectos del antivirus, la detección de virus y la desintoxicación del sistema. capacidades reales de prevención y control de virus informáticos y El efecto también debe juzgarse desde tres aspectos: antivirus, detección de virus y capacidades de desintoxicación.
Debido a que el entorno de los sistemas de datos empresariales es muy complejo, tiene diferentes sistemas y aplicaciones. Por lo tanto, para la prevención de virus en todo el sistema de datos empresarial, se deben tener en cuenta todos los enlaces; de lo contrario, los problemas en algunos enlaces pueden provocar el fallo de la prevención general. Por lo tanto, para el software antivirus, para lograr un antivirus completo, es necesario hacer todo lo posible técnicamente.
Dado que los virus de sistemas de datos y los virus independientes son esencialmente iguales, ambos son programas informáticos compilados artificialmente, por lo que los principios antivirus son los mismos. Sin embargo, debido a la especial complejidad de los sistemas de datos, los requisitos antivirus para los sistemas de datos no son solo antivirus, verificación de virus y antivirus, sino también una conexión perfecta con el sistema. Porque esta tecnología es la clave para afectar la eficiencia del funcionamiento del software y la detección integral de virus. Sin embargo, para lograr enlaces fluidos, es necesario dominar completamente los protocolos subyacentes y las especificaciones de interfaz del sistema.
Con el desarrollo de la tecnología antivirus contemporánea, los virus han podido integrarse estrechamente en las capas profundas del sistema operativo, incluso en el núcleo. Esta incrustación profundamente arraigada hace que sea muy difícil detectar y eliminar virus por completo. Si no se garantiza la detección de virus sin dañar el sistema operativo, el uso de este software antivirus puede tener graves consecuencias contraproducentes. La tecnología de enlace continuo puede garantizar que el módulo antivirus coopere estrechamente con varios sistemas operativos, sistemas de datos, hardware y entornos de aplicaciones desde el núcleo inferior para garantizar que las operaciones antivirus no dañen el núcleo del sistema operativo cuando un virus lo invade, al tiempo que garantiza la prevención de virus intrusos y la matanza.
VxD es una especificación de interfaz de controlador de dispositivo desarrollada por Microsoft específicamente para Windows. En resumen, el programa VxD es algo similar al controlador de dispositivo en DOS, que se utiliza especialmente para administrar varios dispositivos cargados por el sistema. VxD no sólo es adecuado para dispositivos de hardware, sino que también tiene una prioridad más alta que otros tipos de aplicaciones y está más cerca de los recursos subyacentes del sistema. Por lo tanto, en el sistema operativo Windows, la tecnología antivirus necesita utilizar el mecanismo VxD para controlar completamente los recursos del sistema y emitir una alarma inmediata cuando un virus invade. Además, la tecnología VxD es muy diferente de la tecnología TSR. Ocupa muy poca memoria y tiene poco impacto en el rendimiento del sistema.
Porque los virus están ocultos y se colarán en tu máquina de forma inconsciente. Si ni siquiera se puede resistir a este tipo de ocultamiento, entonces el software antivirus no tendrá ninguna función antivirus. Como tarea, el software antivirus en tiempo real monitorea los datos que ingresan y salen del sistema informático para garantizar que el sistema no sea invadido por virus. Al mismo tiempo, las otras aplicaciones del usuario pueden ejecutarse en paralelo en el sistema como otras tareas y no entran en conflicto con las tareas antivirus en tiempo real. Por lo tanto, en un entorno Windows, si no se puede lograr un antivirus en tiempo real, también se crearán peligros ocultos para la intrusión de virus. En vista de esta característica, es necesario utilizar tecnología antivirus en tiempo real para garantizar que se pueda evitar que los virus invadan el sistema informático desde el exterior en cualquier momento durante todo el proceso de trabajo del sistema informático, mejorando así integralmente la situación general. Nivel de protección del sistema informático.
Actualmente, la mayoría de archivos almacenados en discos ópticos y transferidos a sistemas de datos se almacenan en forma comprimida, y la situación es muy complicada. Actualmente, existen muchos formatos de compresión comunes. Algunas herramientas de compresión empaquetan el archivo comprimido en un archivo ejecutable autoextraíble con una extensión ".exe", que se puede ejecutar directamente sin utilizar una herramienta de compresión. Para las situaciones complejas de estos archivos comprimidos, si el software antivirus no puede juzgar con precisión o emitir un juicio unilateral, inevitablemente dejará un "punto muerto" para la eliminación de virus y provocará peligros ocultos para la prevención y el control de virus. Al dominar completamente el algoritmo de compresión general y el algoritmo de compresión definido por el fabricante del software, puede analizar en profundidad el contenido de los datos del archivo comprimido en lugar de simplemente verificar el nombre del archivo extendido y realizar la función de detectar y eliminar virus en todos los archivos comprimidos. .
Para la prevención y el control de los virus del sistema de datos, el software antivirus debe poder proporcionar una protección integral para que el virus no se filtre. En el caso de los virus de sistemas de datos, además de los medios infectados por virus más comunes, como los disquetes y los CD-ROM, también se debe prestar atención a canales de transmisión más encubiertos en los sistemas de datos empresariales.
Actualmente la comunicación electrónica entre empresas y entre personas es más utilizada. Sin embargo, a medida que aumenta este intercambio de datos, cada vez se esconden más virus en archivos adjuntos de correo electrónico y archivos de bases de datos.
Difundir y difundir. Por tanto, el software antivirus debería tener la función de controlar eficazmente este canal de transmisión de virus.
Con el desarrollo de los sistemas de datos, la probabilidad de infección por virus al descargar archivos ha aumentado exponencialmente.
Para esta fuente más extendida de virus, también es eficaz detectar y limpiar automáticamente los archivos comprimidos antes de que el virus del archivo descargado infecte la máquina.
En resumen, es necesario adoptar medidas integrales como el sistema inmunológico digital, la tecnología de monitoreo de fuentes de virus, la tecnología de kernel activo, la tecnología de "procesamiento distribuido" y la tecnología de administración de red segura para mejorar el antivirus del sistema. capacidades.
3. Medidas de seguridad del firewall y cifrado de datos
El llamado firewall es una barrera que separa Internet y la intranet. Hay dos tipos de cortafuegos, cortafuegos estándar y puertas doble M. Con el avance de la tecnología de firewall, han evolucionado dos configuraciones de firewall basadas en las dos puertas de enlace N, una es una puerta de enlace de host oculta y la otra es una puerta de enlace inteligente oculta (subred oculta). La puerta de enlace de host oculta es una configuración de firewall común en la actualidad. Como sugiere el nombre, esta configuración oculta el enrutador por un lado e instala el host bastión entre la interconexión N y el N interno por el otro. El host bastión está instalado en la intranet. A través de la configuración del enrutador, el host bastión se convierte en el único sistema de comunicación entre la intranet e Internet. El firewall de seguridad más complejo tecnológicamente y de mayor nivel es la puerta de enlace inteligente oculta, que oculta H-Pass detrás de los sistemas públicos para protegerlos de ataques directos. Las puertas de enlace inteligentes encubiertas brindan acceso prácticamente transparente a los servicios de Internet al tiempo que evitan que visitantes externos no autorizados accedan a sistemas de datos privados. En términos generales, este tipo de firewall es el que tiene menos probabilidades de ser vulnerado.
La tecnología de seguridad utilizada junto con los firewalls es la tecnología de cifrado de datos, que es uno de los principales medios técnicos para mejorar la seguridad y la confidencialidad de los sistemas de información y los datos y evitar que el mundo exterior descifre los datos secretos. . Con el desarrollo de la tecnología de la información, la gente presta cada vez más atención a la seguridad de los sistemas de datos y a la confidencialidad de la información. En la actualidad, además de fortalecer la protección de la seguridad de los datos en términos de ley y gestión, varios países también han tomado medidas técnicas en software y hardware, promoviendo el desarrollo continuo de la tecnología de cifrado de datos y la tecnología de prevención física. Según las diferentes funciones, la tecnología de cifrado de datos se divide principalmente en cuatro tipos: transmisión de datos, almacenamiento de datos, identificación de la integridad de los datos y tecnología de gestión de claves.
4. Implementación de tarjetas inteligentes
Otra tecnología estrechamente relacionada con la tecnología de cifrado de datos es la tecnología de tarjetas inteligentes. La llamada tarjeta inteligente es un medio clave, generalmente como una tarjeta de crédito, en poder de un usuario autorizado y al que el usuario le asigna una contraseña o contraseña. Esta contraseña es consistente con la contraseña registrada en el servidor del sistema de datos interno. La seguridad de las tarjetas inteligentes es bastante eficaz cuando las contraseñas y las funciones de identidad se utilizan juntas. Estas medidas preventivas para la seguridad del sistema de datos y la protección de datos tienen ciertos límites. Cuanto más seguras son, más confiables son. Por lo tanto, cuando analizamos si una intranet es segura, no solo debemos examinar los medios, sino más importante aún, realizar una evaluación integral de las diversas medidas tomadas por el sistema de datos, incluidas no solo las medidas preventivas físicas, sino también otras "blandas". medidas como factores de calidad del personal para llegar a una conclusión sobre si es seguro.
Además, otras medidas de seguridad específicas incluyen autenticación digital, sistemas de gestión estrictos y eficaces, alta conciencia de seguridad y gestión de red multinivel. Además, considerando la continuidad del negocio de los sistemas de datos, también necesitamos diseñar e implementar los planes BCP necesarios. ?
Tercero, solución
Combinar información sobre el estado de seguridad del terminal con nueva tecnología de control de acceso a la red es una forma eficaz de resolver los problemas de seguridad del terminal.
(1) Implementar e implementar control de acceso a la red. A través de equipos de control de acceso, se puede evitar eficazmente que terminales ilegales accedan a los recursos comerciales de la red y se puede prevenir eficazmente la fuga de información.
(2) Implementar un control de acceso mínimamente autorizado a través de equipos de control de acceso, de modo que los empleados con diferentes identidades y roles solo puedan acceder a sistemas comerciales específicamente autorizados, protegiendo recursos comerciales clave, como los sistemas financieros.
(3) El estado de seguridad de los terminales se combina con la tecnología de control de acceso a la red para evitar que terminales inseguros y terminales que no cumplen con las políticas de seguridad corporativa accedan a la red, hacer cumplir las políticas de seguridad corporativa a través de medios técnicos y reducir la red. incidentes de seguridad. Mejorar el cumplimiento de los sistemas de seguridad corporativos.
Fortalecer las auditorías posteriores al evento, registrar y controlar el acceso de los terminales a la red, controlar el uso de las aplicaciones de la red M, instar a los empleados a concentrarse en el trabajo, reducir los riesgos de la empresa en las leyes y regulaciones de acceso a Internet, y Proporcionar medios para rastrear la responsabilidad.
1. Solución de red centralizada
El sistema Terminal Security Management (TSM) admite grupos centralizados.
La red reúne todos los servidores de control para proporcionar funciones de control de acceso y gestión de seguridad para los terminales de la red. La solución de red centralizada se muestra en la Figura 9-3.
2. Si se cumplen las siguientes condiciones, es posible que se requiera una solución de red distribuida, como se muestra en la Figura 9-4. ?
(1) Las terminales están relativamente concentradas en varias áreas y el ancho de banda entre áreas es relativamente pequeño. Debido a que existe una cierta cantidad de tráfico entre el proxy y el servidor, si se adopta una implementación centralizada, ocupará el ancho de banda entre regiones y afectará la prestación de servicios.
(2) La escala del terminal es bastante grande y se puede considerar la creación de redes distribuidas para evitar que una gran cantidad de terminales accedan al servidor de TSM y ocupen una gran cantidad de ancho de banda de la red.
En una implementación distribuida, el agente de seguridad de TSM selecciona el servidor de control más cercano para obtener diversos servicios como autenticación de identidad y control de acceso.
3. Solución de red jerárquica
Si la escala de la red es demasiado grande, puede elegir una solución de red jerárquica, como se muestra en la Figura 9-5.
En este plan de implementación, cada nodo de TSM es una unidad de gestión independiente, responsable de los servicios independientes de gestión de usuarios, control de acceso y gestión de políticas de seguridad. El centro de gestión es responsable de formular políticas de seguridad generales, distribuirlas a todos los nodos de gestión de TSM y supervisar la implementación de los nodos de gestión de TSM.
El sistema TSM proporciona un mecanismo de copia de seguridad espejo para la base de datos de autenticación de usuarios clave. Cuando falla la base de datos principal, la base de datos espejo proporciona una fuente de autenticación de respaldo, que puede garantizar la provisión de servicios básicos y evitar fallas en la red de control de acceso causadas por una falla de una sola fuente de datos.
Cuando ocurre un fallo grave en el sistema TSM o la red donde está ubicado el sistema TSM tiene un fallo grave, el usuario puede elegir según la situación empresarial: prioridad empresarial/prioridad de seguridad.
Si selecciona prioridad comercial, el canal de escape diseñado en el dispositivo de control de acceso (excepto el conmutador 802.1X) puede detectar fallas graves en el sistema TSM y habilitar el canal de escape para evitar interrupciones comerciales importantes.
El sistema de gestión de seguridad del terminal TSM proporciona herramientas de monitoreo del estado del servidor, que pueden monitorear el estado de ejecución del servidor, como fallas en el enlace de la base de datos, fallas en el enlace SACG, anomalías de la CPU/memoria, etc. Cuando el estado del servidor es anormal, se puede notificar al administrador por correo electrónico, SMS, etc. para que lo maneje lo antes posible.
Cuarto, tecnología de virtualización de terminales
1. Tecnología tradicional de protección de seguridad de datos de terminales
1) DLP
(1) Modo de trabajo: La tecnología DLP (Prevención de pérdida de datos) se centra en la prevención de la fuga de información. Es un producto que puede identificar, detectar y proteger datos dinámicos, datos estáticos y datos en uso mediante un análisis de contenido en profundidad. Puede detectar y proteger el contenido de la información en terminales de PC, redes, servidores de correo y otros sistemas. Puede encontrar la ubicación de almacenamiento de sus datos confidenciales y luego realizar algunos procesamientos, pero existen algunas lagunas.
(2) Escenarios de uso y limitaciones: aunque la solución DLP cumple con los requisitos de seguridad de los datos en términos de flexibilidad, seguridad y capacidad de administración, la implementación exitosa de la solución DLP también requiere un requisito previo, es decir, su data La tasa de falsos positivos del algoritmo de coincidencia de contenido debe ser lo suficientemente baja. Sin embargo, debido a los diferentes métodos de expresión del contenido de los datos, es difícil equilibrar la tasa de detección perdida y la tasa de falsos positivos al definir reglas de coincidencia del contenido de los datos. No importa de qué fabricante sea el producto DLP, durante el proceso de prueba real, la tasa de falsas alarmas es generalmente alta y el efecto de protección de la solución DLP no se experimenta bien.
2) Gestión de derechos digitales
(1) Modo de trabajo: DRM (Gestión de derechos digitales) es cifrado.
Y metadatos que explican qué usuarios tienen permitido acceder a los datos y si pueden realizar determinadas operaciones sobre los datos. DRM puede decidir cómo acceder y utilizar los datos, lo que equivale a que un guardaespaldas lleve los datos con usted. Los permisos incluyen leer, cambiar, cortar y pegar, enviar correo electrónico, copiar, mover, guardar en un almacenamiento portátil e imprimir. Aunque DRM es muy poderoso, es difícil de implementar a gran escala.
(2) Escenarios de uso y limitaciones: DRM depende en gran medida de operaciones manuales y es difícil de implementar a gran escala. Los usuarios deben saber qué permisos se aplican a qué contenido. Esta complejidad a menudo hace que los empleados ignoren el DRM, lo que les impide mejorar la seguridad. Al igual que el cifrado, las empresas deben confiar en el juicio humano al solicitar permisos porque los dispositivos DRM no están equipados para comprender el contenido. Las implementaciones exitosas de DRM a menudo se limitan a pequeños grupos de trabajo con usuarios bien capacitados. Debido a esta complejidad, las grandes empresas generalmente no son aptas para implementar DRM. Pero al igual que el cifrado, DLP se puede utilizar para centrarse en DRM y reducir algunos de los procesos manuales que obstaculizan la implementación generalizada.
3) Cifrado completo
(1) Modo de trabajo: la llamada tecnología de cifrado de disco completo generalmente utiliza tecnología de cifrado y descifrado dinámico a nivel de disco para interceptar la lectura/escritura del Sistema operativo o software de aplicación para realizar el cifrado y descifrado en tiempo real de los datos completos del disco, protegiendo así la seguridad de almacenamiento y uso de todos los archivos en el disco y evitando el riesgo de fuga de datos causado por la pérdida de terminales portátiles o dispositivos móviles. , el desguace y mantenimiento de dispositivos de almacenamiento, etc.
(2) Escenarios de uso y limitaciones: similar a la tecnología de pared impermeable, la tecnología de cifrado total aún no puede tratar los datos de diferentes sistemas confidenciales de manera diferente. Tanto los archivos confidenciales como los archivos ordinarios se cifran y almacenan, y no pueden admitir datos internos normales. e intercambio de archivos externos. Además, aunque el esquema de cifrado general puede garantizar la seguridad del contenido de los datos desde la fuente de datos, no puede garantizar su propia seguridad y confiabilidad. Una vez que el sistema de software se daña, todos los datos serán inaccesibles, lo que representa una amenaza potencial para la disponibilidad de los datos comerciales.
Las tecnologías de seguridad tradicionales mencionadas anteriormente son los sistemas de seguridad básicos implementados actualmente en la industria bancaria. Estos sistemas de seguridad pueden desempeñar un papel protector en un momento determinado. A pesar de ello, las filtraciones de datos siguen produciéndose repetidamente. Se puede ver que la amenaza más grave para la seguridad general de las redes bancarias proviene actualmente de la seguridad de los terminales. Además, con tantas soluciones de sistema implementadas, la experiencia del usuario no es buena, no es fácil de popularizar y no se logran los resultados esperados. Para cambiar por completo la situación actual de la seguridad de la intranet corporativa, es necesario implementar soluciones de prevención de fuga de datos más efectivas para sistemas confidenciales.
2. Innovación en protección de datos: tecnología de virtualización de terminales
Para mejorar la facilidad de uso del usuario y la velocidad de implementación y al mismo tiempo garantizar la seguridad de los datos, algunas empresas han comenzado a utilizar tecnología de virtualización de terminales para proteger la seguridad de los datos.
Entre ellos, la tecnología de virtualización de escritorios/aplicaciones y el escritorio virtual seguro basado en tecnología de zona de pruebas de seguridad son dos métodos comunes.
1) Virtualización de escritorios/aplicaciones
La tecnología de virtualización de escritorios/aplicaciones es un modelo informático basado en servidor que aloja y administra todas las máquinas virtuales de escritorio en el centro de datos. Al comprar una gran cantidad de servidores, creamos centralmente CPU, memoria y otros recursos de hardware, creamos una capa de servicio de terminal y lanzamos escritorios y aplicaciones a los usuarios finales en forma de espejos. Como método de computación en la nube, dado que todos los cálculos se colocan en el servidor, los requisitos de equipos terminales se reducirán considerablemente y no se necesitarán computadoras de escritorio ni portátiles tradicionales. Los usuarios pueden obtener una experiencia de usuario similar a la de una PC tradicional a través del cliente o acceso remoto, como se muestra en la Figura 9-6.
Sin embargo, aunque la tecnología de virtualización de escritorio basada en el modo informático centralizado puede simplificar enormemente la administración y el mantenimiento de la terminal y resolver los problemas de seguridad de los datos de la terminal, también conlleva altos costos de implementación del servidor y mayores costos de administración.
(1) Todos los programas cliente se ejecutan en el servidor terminal y es necesario configurar un clúster de servidor terminal de alto rendimiento para equilibrar la presión de carga del servidor.
(2) Debido a factores objetivos como la latencia de la red, el rendimiento del servidor y la congestión simultánea, en las soluciones de virtualización de escritorios, la experiencia del usuario final es mucho menor que la de las aplicaciones locales en computadoras físicas.
(3) La informática centralizada puede conducir fácilmente a un único punto de falla del servidor terminal, y es necesario mejorar la estabilidad del sistema mediante copias de seguridad redundantes del servidor terminal.
(4) Backup, recuperación, migración, mantenimiento y aislamiento entre una gran cantidad de servidores terminales desplegados en soluciones de virtualización de escritorio y almacenamiento de datos centralizado.
(5) Debido a la centralización de datos, también es necesario considerar la gestión de autoridad del administrador. Después de todo, permitir que los administradores de red accedan a los datos comerciales del departamento bancario viola los requisitos de seguridad de los datos.
(6) La solución centralizada de escritorio aumenta los requisitos de estabilidad de la red y no puede satisfacer las necesidades de la oficina fuera de línea.
Por lo tanto, esta solución encontrará problemas de alto costo y mala experiencia cuando se implemente a gran escala, como se muestra en la figura.
Como se muestra en 9-7.
2) Escritorio seguro antifugas
Para resolver los problemas de virtualización de escritorios/aplicaciones, se ha aplicado una nueva tecnología de virtualización de terminales: escritorio seguro basado en R Sandbox. Ir a el campo de antifugas, como se muestra en la Figura 9-8.
Sin cambiar la arquitectura de TI actual, aproveche al máximo los recursos de software y hardware de la PC local y virtualice directamente un escritorio seguro localmente a través de la tecnología de espacio aislado de seguridad. Este escritorio puede entenderse como una copia de seguridad y un espejo del escritorio predeterminado original. Las aplicaciones, los datos y los permisos de red que se ejecutan en el entorno de escritorio seguro están completamente aislados del escritorio predeterminado. La zona de pruebas de seguridad puede realizar un control de seguridad detallado en diferentes escritorios. . Por ejemplo, solo se puede acceder a sistemas empresariales confidenciales desde el escritorio seguro y los datos contenidos en el escritorio seguro no se pueden enviar.
De esta manera, a través de la cooperación del escritorio seguro y la puerta de enlace de control de seguridad, se puede garantizar que los usuarios solo puedan acceder a los sistemas sensibles centrales después de que el escritorio seguro haya sido autenticado, logrando un aislamiento de riesgos multiservicio. de la terminal y garantizar la seguridad de la misma. Las soluciones de virtualización de escritorios seguros brindan a los usuarios múltiples escritorios virtuales seguros. Los recursos de archivos, los recursos de red y los recursos del sistema están aislados entre sí a través de diferentes escritorios virtuales seguros, y los usuarios pueden acceder a diferentes recursos comerciales a través de diferentes escritorios.
Por ejemplo, proporcionar un escritorio seguro a prueba de fugas con protección contra fugas de datos para los usuarios que acceden a sistemas comerciales confidenciales, minimizar el impacto en los hábitos de uso de los usuarios y resolver el problema de usabilidad de las soluciones de aislamiento físico, como se muestra en Figura 9-9 mostrada.
El valor de la solución de escritorio seguro basada en sandbox radica en evitar la fuga de datos comerciales confidenciales de terminales sin cambiar los hábitos de uso de los usuarios, mejorar la facilidad de uso y proteger las inversiones existentes de los usuarios. Anteriormente, los escritorios de seguridad antifugas se usaban ampliamente en finanzas, gobierno, empresas y otras unidades, y se implementaban principalmente en el front-end de CRM, ERP, planos de diseño y otros sistemas para evitar ventas internas, cadena de suministro, finanzas y otros miembros del personal filtren secretos activamente.
Sin embargo, la tecnología de escritorio seguro también tiene algunas limitaciones. Por ejemplo, no es adecuado para el entorno de desarrollo de generación de lenguajes Java y C, y existen algunos problemas de compatibilidad.
En resumen, ambas tecnologías de virtualización de terminales tienen sus propias ventajas y desventajas y son adecuadas para diferentes escenarios empresariales. Consulte la Figura 9-10 para obtener más detalles.