手机研发行业背景
1. 手机研发行业背景
随着手机研发信息化程度的逐渐加深，研发、生产和销售等部门运营流程越来越依赖于信息系统，单位内主要保护的数据有设计文档、代码和其他设计方案等形式的电子资料，由于具有容易复制、传输方便、形式多样以及手机编译软件众多等特点，随着业界竞争的加剧，这些重要数据被泄密的风险越来越大，必须采用技术手段，结合企业保密管理制度，对企业核心数据实现有效的保护。
2. 信息化现状
由于网络规模大，信息化程度高，终端分布广以及重要数据分散等问题，需要采取完善的管理措施，对核心数据进行全方位的保护，具体分析某公司内网现状如下：
1) 地理位置分布广，之间采用专线连接，传输过程中没有采取任何的数据保护措施；
2) 具有一定的网络监控设备和手段，已经达到了一定的信息化安全等级。
3) 需要保护的计算机以研发科研部门为主，核心代码、文档及设计方案等涉密数据均明文存储在这类终端上，并且研发编译环境十分复杂。
4) 公司重要的服务器在本地没有采取任何保护措施，仅仅在网络层采用了外网防火墙进行保护。
5) 普通员工的计算机水平较高，桌面应用环境十分复杂。
3. 行业特点
作为研发型企业，设计文档、开发代码和整机的设计方案等都是手机研发企业的核心知识产权，也是企业的核心竞争力所在，如何保护好这些核心数据的安全是重中之重，然而，与其他研发型企业相比，手机研发行业又有自己的特点，主要有以下几个特点：
1) 研发编译环境复杂
某公司有多个开发平台比如Lotus 平台、Brewster 平台、 Windows mobile 平台，每一个平台上面运行的软件达10几种，以Lotus平台举例，其使用的软件有：python-2.5、ActivePerl-5.10.0.1002-MSWin32-x86-283697、SBuild_RLS_2.3.1.win32、scons-0.96.92.win32等。
2) 分布式编译
某公司研发部门经常用到分布式编译，对于大批量的源文件，单机需要很长时间才能完成，但是利用网内闲置的机器，搭建一个分布式系统，多台机器同时编译，可以收到明显效果，在分布式编译的过程中会产生很多的编译子进程，对这些子进程是不能做加密处理的，同时对网络有一定的要求，如果这两方面都达不到，将会影响编译速度甚至导致编译中断。
3) 测试设备
研发人员经常使用测试设备进行程序调试，此设备一般会通过USB口连接到终端电脑，但会走串口并口协议，实现测试代码的传输。
4) 端口控制
研发人员经常使用USB设备模拟出串口、并口设备与测试手机进行程序调试或测试，通过模拟端口与测试手机进行交互，实现在开放串口、并口的情况下保证数据的安全性。
需求分析
4. 需求分析
通过上述行业特点、公司IT现状以及对数据安全的考虑，加强内网信息的保密和安全管理，保护企业自身的知识产权成果，手机研发行业内网需求主要体现在以下几个方面：
4.1. 网络安全传输
异地采用专线连接，网络传输过程中没有做任何保护，为保证数据的安全性以及完整性，防止数据在传输的过程中被侦听，因此，需要对网络中传输的数据采取加密手段。
4.2. 移动存储管理
随着移动存储设备的兴起，特别是U盘、移动硬盘容量越来越大，使用也越来越普及，包括各种数码产品如MP3、数码相机、手机等，都成了生活和工作的不可缺少的工具。因此，必须对移动存储设备进行统一的管理，既要满足公司内部通过移动存储设备进行数据交换又要防止数据通过移动存储设备造成信息的泄露。
4.3. 数据的安全存储
源码、设计文档等重要数据均存放在本地硬盘上，要实现保证数据的安全存储，当硬盘被盗也不会造成数据的泄漏。
4.4. 各开发平台数据的独立性及保密性
研发部门拥有多套开发平台，随着3G业务的拓展，其开发平台将逐渐增多，即要求同一开发平台内部数据通过网络、移动存储设备均可实现数据的交换，又要求在非授权的情况下，非同一个开发平台下的数据不允许交换，最大程度上实现各平台数据的低耦合，保证业务平台内数据的安全性。
4.5. 服务器的保护
服务器比较多，这些服务器均存放在机房中，要防止未经授权的用户访问服务器造成数据的泄漏。
4.6. 端口管理
研发人员经常使用USB设备模拟出串口、并口设备与测试手机进行程序调试或测试，如何在开放串口、并口的情况下保证数据的安全性，即在开放串口、并口的前提下也不会造成数据的泄漏。
具体建设方案
5. 具体建设方案
通过以上的需求分析，Chinasec在手机行业的应用方案将以"数据安全"为核心，采用Chinasec可信网络安全平台来作为技术支撑。
5.1. 数据安全保护
数据安全包括数据在存储、传输这两个过程的安全，数据存储指存储在终端、服务器、移动存储设备上，数据传输安全指的是数据在网络传输的安全，因此数据安全主要考虑终端数据安全管理即硬盘数据安全、服务器数据安全、移动存储设备的数据安全、网络传输数据安全，对应的解决办法如下：
1) 硬盘数据安全
本地磁盘加密后，所有写入加密分区的数据在磁盘扇区层进行加密处理。用户正常使用时感觉不到任何变化，但如果将硬盘窃取外接或者重装操作系统，加密分区的数据无法正常读取，由于采用了硬盘加密技术，与用户具体应用系统无关，这也保证了本平台在软件环境如此复杂的手机研发行业中顺利应用和推广。
2) 服务器数据安全
手机研发业内网有较多重要服务器，比如邮件转发服务器、版本控制服务器、CC服务器、CQ服务器等。而这些服务器承载了网络中大量的数据，一旦这些服务器受到攻击或者崩溃，会使某公司整个网络陷入瘫痪，正常工作难以进行，所以对各种服务器的保护也是尤为重要，Chinasec采用"安全网关"对服务器进行保护，对要访问服务器的电脑进行筛选判断，如果是授权的，则可以通过"安全网关"的过虑，访问到服务器的数据；反之，如果此机器没有授权，将会被自动过滤掉，通过访问过滤的方式保证内网服务器的安全。
3) 移动存储设备的数据安全
Chinasec可信网络系统可以提供对移动存储设备的人员、终端、时间、权限的细致管理，通过设置移动存储介质的使用信息，可以将移动存储介质对应到管理部门、管理人、使用部门和使用人，从而使移动存储设备的使用可以透明化。
4) 网络传输的数据安全
为了防止数据传输在网络上被侦听，采用网络传输加密技术，网络传输加密技术是实现Chinasec可信网络安全平台功能的关键技术之一。当数据传输加密功能因为特定策略被启用后，点到点之间的所有数据传输都将被加密。
5.2. 各应用平台数据的独立及保密
为了保障各开发平台内的数据的独立性以及保密性，可以采用可信网络保密系统将各平台划分为独立的保密子网（VCN），同一个保密子网内部的计算机可以实现相互自由的数据交换（通过网络或者存储设备），不在同一个保密子网内部的计算机相互之间不能进行正常的数据交换，除非获得管理员的授权。
通过保密子网的划分，可以在保障网络统一维护的前提下，对各开发平台实现有效的数据隔离，增加内网安全级别，降低安全风险。通过保密子网，还可以有效防止非法外连或者非法接入。非法外连不管是基于Modem、ADSL拨号或者双网卡，都能够有效防止。非法接入不管是通过交换机接入或者通过网线将两台计算机直连，也都能够有效防止。不同保密子网（VCN）之间可以设定信任关系，从而允许他们的计算机之间进行数据交换。
数据安全严格管理
5.3. 终端监控审计管理
通过Chinasec可信网络保密系统有效的对文档安全进行了管理，做到了事前预防和事中控制，为了做到事后的审计形成强大的权限约束力，可配合监控审计管理进行更深入的完善。
1） 文件操作记录
Chinasec可信监控平台提供了文件操作记录审计，实现了针对文件的复制、粘贴、修改、删除等操作进行了记录，同时可设置在不同状态的记录事件，比如针对移动存储设备，网络共享等方式。根据XXX公司实际情况，将有权限可使用明文外带的用户和计算机进行移动存储的文件操作记录。有效的监督了对于授权人员和相关解密人员。
2） 端口管理
研发人员经常使用USB设备模拟出串口、并口设备与测试手机进行程序调试或测试，通过模拟端口与测试手机进行交互，如何在开放串口、并口的情况下保证数据的安全性，Chinasec通过应用程序控制和端口控制进行组合，只有特定的应用程序模拟串口、并口才可以进行数据的交互，达到在对串口、并口控制的条件下完成测试手机调试。
3） 测试手机的管理
研发人员经常使用测试手机进行程序调试，在不影响正常工作的前提下如何保证烧录到测试手机里面的数据安全，即保证只有允许烧录的文件才可以明文烧录到手机里面，其他文件则烧录后事密文，防止研发人员通过测试手机将源码或其他的文件带出内网, Chinasec支持自定义文件格式进行明文烧录，只有当管理员授权的文件格式烧录到测试手机里是明文，反之，其他文件烧录到测试手机都是密文，从而保证数据的安全性。
4） 打印审计管理
对打印进行控制和审计管理，设定特殊机密部门禁止普通员工使用打印机，需要打印可由授权人员审批以后进行打印，对重要部门的打印内容进行完整记录，便于以后对打印内容进行查看或者还原。一般数据部门可对打印进行简单记录，记录打印文件名、操作计算机、地址等信息。并将日志信息汇总成报表供相关人员可根据关键字，用户等信息进行综合查询。
5） 审计和违规管理
客户端的所有操作记录都能被监控审计，并且能审计到详细的使用者、计算机、用户、权限以及使用时间，包括在线和离线，对文件的打印、修改、删除、新建等操作，并且可以准确的定位到IP地址、时间、操作内容、操作用户。同时可对违规事件进行记录。比如禁止A用户使用移动存储设备，但是A用户想去使用，在系统控制的情况下同样可形成违规记录供管理员分析。
通过Chinasec可信平台的报表程序，可实现根据地址、计算机、操作内容等进行筛选查看和日志的输出。并可支持多种输出，支持查询、统计及报表的直接打印，并可导出RTF、Excel、PDF等多种格式的文件。
5.4. 和用户应用环境的兼容
Chinasec通过应用程序控制和端口控制进行组合达到在对串口、并口安全控制的条件下完成测试手机调试。而对于手机软件的烧录，提供了审核机制，只有经过审核的代码才可以烧录到测试手机中。同时，本系统提供了IP白名单、邮件域名白名单、终端白名单等众多白名单方式，实现安全和便利的有机结合。
系统部署示意图与方案效果
6. 系统部署示意图
7. 方案效果
本方案实施后，将可以满足某公司内网安全保护的需要，效果如下。
1) 在不影响分布式编译、本机编译速度的前提下，保证源码数据安全。
2) 在保证测试手机正常测试的过程中，防止数据通过测试手机泄露。
3) 实现各开发平台内数据逻辑隔离，达到各平台数据的安全性及保密性。
4) 在安全等级提高的同时，移动存储设备得到更有效的管理。
5) 服务器得到有效的保护，并且实现了服务器明文存储。
6) 有效防止了非法外连和非法接入。
7) 核心保密数据实施严格的控制，未经授权，不能通过任何途径将数据带出保密内网信息系统。
8) 授权人员可以将数据安全带出内网，但是其行为和操作将被记录。
总之，通过chinasec可信网络系统，既可以实现授权用户和计算机安全访问核心数据，防止核心数据的泄密，又实现了对内网所有计算机的监控审计，最终实现了内网安全事件的事前预防，事中控制，事后审计的安全管理。
网友评论