教你如何進(jìn)行數(shù)據(jù)安全綜合防護(hù)(圖)

作者：佚名 2010-02-02 10:04:58

隨著計(jì)算機(jī)應(yīng)用的普及，計(jì)算機(jī)數(shù)據(jù)安全問(wèn)題成為了日益突出的問(wèn)題，特別是在網(wǎng)絡(luò)環(huán)境下，數(shù)據(jù)的安全問(wèn)題不僅涉及到系統(tǒng)數(shù)據(jù)和用戶(hù)數(shù)據(jù)遭到邏輯級(jí)別或物理級(jí)別的損壞威脅，而且涉及到敏感數(shù)據(jù)通過(guò)網(wǎng)絡(luò)泄漏的威脅。如何保護(hù)計(jì)算機(jī)數(shù)據(jù)安全已經(jīng)是重大的戰(zhàn)略問(wèn)題。

從目前來(lái)看，對(duì)計(jì)算機(jī)數(shù)據(jù)安全構(gòu)成威脅的主要來(lái)源有：

1. 用戶(hù)誤操作引起的數(shù)據(jù)丟失、系統(tǒng)崩潰等。

2. 病毒等惡意程序?qū)?shù)據(jù)的破壞。

3. 敏感數(shù)據(jù)(如財(cái)務(wù)報(bào)表等)和各種賬號(hào)(如郵箱賬號(hào)和密碼；網(wǎng)上銀行的賬號(hào)和密碼、網(wǎng)上股票交易的賬號(hào)和密碼等)的安全。

這些問(wèn)題的完整解決需要多個(gè)部分的配合，是目前單純的殺毒軟件、防火墻或其它數(shù)據(jù)防護(hù)產(chǎn)品難以勝任的，因此迫切需要研發(fā)一種具有綜合防護(hù)能力的計(jì)算機(jī)數(shù)據(jù)安全系統(tǒng)。

一、數(shù)據(jù)保護(hù)的基本原理

對(duì)于數(shù)據(jù)的保護(hù)，本質(zhì)上是通過(guò)數(shù)據(jù)冗余方式來(lái)實(shí)現(xiàn)的，但不同的保護(hù)算法，產(chǎn)生的數(shù)據(jù)冗余程度會(huì)有很大的差別，如基于文件的備份方式，如果不使用壓縮算法，文件的每個(gè)備份就會(huì)額外需要和原文件相同大小的存儲(chǔ)空間。

在現(xiàn)代操作系統(tǒng)中，數(shù)據(jù)的邏輯存儲(chǔ)方式是以文件形式進(jìn)行組織和存放的，文件在存儲(chǔ)介質(zhì)上的組織和結(jié)構(gòu)依賴(lài)于具體的文件系統(tǒng)，不同的文件系統(tǒng)在存儲(chǔ)介質(zhì)上的組織和結(jié)構(gòu)會(huì)有不同的形式。

在計(jì)算機(jī)中，數(shù)據(jù)的訪問(wèn)方式主要以文件的形式進(jìn)行，但也可繞過(guò)文件系統(tǒng)直接存取存儲(chǔ)介質(zhì)上的數(shù)據(jù)，其具體結(jié)構(gòu)參見(jiàn)圖1。

圖1

計(jì)算機(jī)中數(shù)據(jù)的組織和存放形式?jīng)Q定了在計(jì)算機(jī)上實(shí)現(xiàn)數(shù)據(jù)保護(hù)的基本原理和方法，從實(shí)現(xiàn)的層次上，大致可以分為兩大類(lèi)：

1．基于文件級(jí)的數(shù)據(jù)保護(hù)

目前市場(chǎng)上主流的加密軟件多數(shù)是文件集的數(shù)據(jù)保護(hù)。以北京億賽通文檔安全管理系統(tǒng)CDG為代表。

基于文件級(jí)的數(shù)據(jù)保護(hù)，其算法的實(shí)現(xiàn)主要通過(guò)軟件進(jìn)行實(shí)現(xiàn)，具體實(shí)現(xiàn)的層次一般位于文件系統(tǒng)的內(nèi)部或外部，一般以文件為單位對(duì)數(shù)據(jù)進(jìn)行備份處理，參見(jiàn)圖2。

圖2

按照對(duì)文件的不同處理方式，可進(jìn)一步劃分為：

1) 文件同步備份方式

該保護(hù)方式是指在寫(xiě)文件時(shí)，同時(shí)寫(xiě)兩份或以上，達(dá)到實(shí)時(shí)備份的目的，如雙機(jī)熱備份就屬于這種方式。

該方式在實(shí)現(xiàn)上一般位于文件系統(tǒng)的內(nèi)部，它的主要特點(diǎn)是數(shù)據(jù)的可靠性高，但實(shí)現(xiàn)的難度比大。

2) 文件異步備份方式

該保護(hù)方式是指在操作系統(tǒng)已經(jīng)完成文件的寫(xiě)入后，立即或以后將文件拷貝到其它的地方將數(shù)據(jù)保存起來(lái)的方式，是最常用的數(shù)據(jù)保護(hù)方式，如同常使用的數(shù)據(jù)備份方式就屬于這種方式。

該方式在實(shí)現(xiàn)上一般位于文件系統(tǒng)的外部，它的主要特點(diǎn)是方便靈活，實(shí)現(xiàn)簡(jiǎn)單。

2．基于存儲(chǔ)介質(zhì)的數(shù)據(jù)保護(hù)

市場(chǎng)上磁盤(pán)級(jí)加密軟件，以北京億賽通磁盤(pán)全盤(pán)加密系統(tǒng)DiskSec為代表。

基于存儲(chǔ)介質(zhì)的數(shù)據(jù)保護(hù)，其算法的實(shí)現(xiàn)可通過(guò)純軟件或硬件實(shí)現(xiàn)，也可軟硬件結(jié)合進(jìn)行實(shí)現(xiàn)，如常用的磁盤(pán)冗余陣列磁盤(pán)RAID，其實(shí)現(xiàn)方式有基于硬件的RAID卡，也有軟件實(shí)現(xiàn)的軟RAID。具體實(shí)現(xiàn)的層次一般位于存儲(chǔ)介質(zhì)控制器或存儲(chǔ)介質(zhì)驅(qū)動(dòng)程序?qū)又校?nbsp; 由于在這一級(jí)別難以獲得文件的有關(guān)概念，因此其實(shí)現(xiàn)基本上均以存儲(chǔ)介質(zhì)的基本單位為單位進(jìn)行數(shù)據(jù)備份，參見(jiàn)圖3。

圖3

基于這一級(jí)別現(xiàn)實(shí)的算法主要有以容錯(cuò)為主的RAID0－RAID5，以系統(tǒng)保護(hù)為主的磁盤(pán)雙工等。

3．基于文件級(jí)和存儲(chǔ)介質(zhì)級(jí)的數(shù)據(jù)保護(hù)的主要特點(diǎn)

雖然不同的保護(hù)算法，會(huì)有各自不同的特點(diǎn)，但其實(shí)現(xiàn)的層次在很大程度上決定了其主要特點(diǎn)。

1) 基于文件級(jí)的數(shù)據(jù)保護(hù)

主要優(yōu)點(diǎn)：

方便靈活，針對(duì)性強(qiáng)，既可以備份特定的文件，也可以備份整個(gè)文件系統(tǒng)，數(shù)據(jù)的可靠性比較高。

主要缺點(diǎn)：

對(duì)于系統(tǒng)的保護(hù)較弱，在系統(tǒng)遭到透過(guò)文件系統(tǒng)的破壞操作時(shí)，難以直接恢復(fù)系統(tǒng)，占用的磁盤(pán)空間一般比較多(和具體實(shí)現(xiàn)算法有關(guān))，而且難以實(shí)現(xiàn)系統(tǒng)的快速還原。

2) 基于存儲(chǔ)介質(zhì)的數(shù)據(jù)保護(hù)

主要優(yōu)點(diǎn)：

對(duì)系統(tǒng)的保護(hù)較強(qiáng)，占用的磁盤(pán)空間一般比較小(和具體實(shí)現(xiàn)算法有關(guān))，容易實(shí)現(xiàn)系統(tǒng)的快速還原。

主要缺點(diǎn)：

數(shù)據(jù)的可靠性一般不如基于文件級(jí)的數(shù)據(jù)保護(hù)高，難以解決由于文件系統(tǒng)的邏輯損壞造成的數(shù)據(jù)丟失問(wèn)題。

#p#

三、已經(jīng)實(shí)現(xiàn)的硬盤(pán)數(shù)據(jù)保護(hù)的實(shí)現(xiàn)方式和特點(diǎn)

1、實(shí)現(xiàn)方式

采用基于文件和基于存儲(chǔ)介質(zhì)的數(shù)據(jù)保護(hù)進(jìn)行綜合實(shí)現(xiàn)，充分利用各自的特點(diǎn)，相互取長(zhǎng)補(bǔ)短，從而實(shí)現(xiàn)既能有效抵御高強(qiáng)度的數(shù)據(jù)破壞，并能有效地保護(hù)用戶(hù)數(shù)據(jù)的安全。

其中基于存儲(chǔ)介質(zhì)的數(shù)據(jù)保護(hù)算法采用數(shù)據(jù)映射方式進(jìn)行實(shí)現(xiàn)，主要作用是抵御病毒、惡意程序、誤操作等引起的系統(tǒng)的損壞，在系統(tǒng)遭到嚴(yán)重破壞的情況下，保證能夠快速還原系統(tǒng)。

該算法充分利用基于存儲(chǔ)介質(zhì)數(shù)據(jù)保護(hù)所能實(shí)現(xiàn)的功能，其突出特點(diǎn)是占用磁盤(pán)空間小，保護(hù)強(qiáng)度高，系統(tǒng)還原速度快，對(duì)系統(tǒng)的性能影響比較小。但獲得這些性能是以犧牲用戶(hù)數(shù)據(jù)安全性為代價(jià)的，因此也決定了這種算法的致命弱點(diǎn)：在還原系統(tǒng)數(shù)據(jù)的同時(shí)，將用戶(hù)產(chǎn)生的有用數(shù)據(jù)也同時(shí)還原掉，從而造成用戶(hù)數(shù)據(jù)的丟失。

為了彌補(bǔ)這一算法的缺點(diǎn)并保留該算法的優(yōu)點(diǎn)，開(kāi)發(fā)了基于文件級(jí)的數(shù)據(jù)保護(hù)算法作為該算法的姊妹算法。

基于文件級(jí)的數(shù)據(jù)保護(hù)算法采用文件同步備份算法，可根據(jù)用戶(hù)設(shè)置的數(shù)據(jù)備份策略，實(shí)時(shí)自動(dòng)備份用戶(hù)保存的關(guān)鍵數(shù)據(jù)文件，提供按文件類(lèi)型或目錄等多種策略設(shè)置方式。該算法的主要特點(diǎn)是對(duì)文件進(jìn)行同步備份，對(duì)系統(tǒng)性能的影響比較小，由于用戶(hù)產(chǎn)生的數(shù)據(jù)量一般比較少，因此其額外占用磁盤(pán)空間比較少。

2、主要特點(diǎn)

由于采用文件級(jí)和磁盤(pán)級(jí)相互配合的實(shí)現(xiàn)方式，因此該數(shù)據(jù)保護(hù)方法兼有文件級(jí)和磁盤(pán)級(jí)數(shù)據(jù)保護(hù)的優(yōu)點(diǎn)，并且克服了兩種保護(hù)方式中的缺點(diǎn)。

1) 能有效地保護(hù)系統(tǒng)文件和用戶(hù)數(shù)據(jù)文件。

2) 可防止各種方式對(duì)硬盤(pán)數(shù)據(jù)的破壞，對(duì)于格式化硬盤(pán)和各種病毒的攻擊以及人為的破壞等均能有效防范。

3) 保護(hù)方式多樣，可隨意設(shè)置保護(hù)任何一個(gè)或數(shù)個(gè)希望保護(hù)的邏輯盤(pán)。

4) 可以將分區(qū)設(shè)置成只讀、隱藏等屬性，有效保護(hù)重要數(shù)據(jù)不被改寫(xiě)。

5) 目前支持Windows 95/98/ME/NT/2000等常用的操作系統(tǒng)，支持FAT12/FAT16/BigDOS/FAT32/NTFS等常用的文件系統(tǒng)。

6) 額外占用硬盤(pán)空間小，數(shù)據(jù)還原速度快

7) 支持容量高達(dá)2000GB的大硬盤(pán)。

8) 支持CMOS數(shù)據(jù)的保護(hù)及還原

9) 適用于各種臺(tái)式機(jī)和筆記本電腦

四、計(jì)算機(jī)數(shù)據(jù)安全綜合防護(hù)系統(tǒng)的組成

從實(shí)現(xiàn)的角度來(lái)看，計(jì)算機(jī)數(shù)據(jù)安全綜合防護(hù)系統(tǒng)主要由圖4所示的模塊組成。其中網(wǎng)絡(luò)控制模塊和文件進(jìn)程控制模塊編寫(xiě)為驅(qū)動(dòng)程序方式，這樣可以實(shí)現(xiàn)對(duì)系統(tǒng)的完全控制，這兩個(gè)模塊均具有行為識(shí)別和控制器雙重功能,是整個(gè)系統(tǒng)的關(guān)鍵組成部分。網(wǎng)絡(luò)的監(jiān)控過(guò)濾和程序行為的監(jiān)控過(guò)濾均在這兩個(gè)模塊中進(jìn)行。其中文件進(jìn)程控制模塊還承擔(dān)文件訪問(wèn)控制，動(dòng)態(tài)加解密、關(guān)鍵數(shù)據(jù)實(shí)時(shí)自動(dòng)備份等功能。程序靜態(tài)還原模塊和程序動(dòng)態(tài)還原模塊是用來(lái)消除有害程序的兩個(gè)模塊。程序結(jié)構(gòu)靜態(tài)分析模塊和程序動(dòng)態(tài)分析模塊是用來(lái)掃描有害程序的兩個(gè)模塊，其中程序動(dòng)態(tài)分析模塊還擔(dān)負(fù)程序的自學(xué)習(xí)功能。程序動(dòng)態(tài)分析模塊和程序動(dòng)態(tài)還原模塊在運(yùn)行時(shí)均需要網(wǎng)絡(luò)監(jiān)控模塊和文件、進(jìn)程監(jiān)控模塊的配合，這樣在萬(wàn)一被分析的程序是有害程序時(shí)，其破壞行為會(huì)得到控制，不會(huì)對(duì)系統(tǒng)造成破壞。知識(shí)庫(kù)主要用來(lái)存放各種已知文件的存儲(chǔ)格式等靜態(tài)知識(shí)，規(guī)則庫(kù)主要存放通過(guò)人工輸入或程序自學(xué)習(xí)產(chǎn)生的各種控制規(guī)則、行為規(guī)則等，綜合庫(kù)用來(lái)存放程序用到的各種參數(shù)等。其中黑體部分是已經(jīng)實(shí)現(xiàn)完成的模塊。