研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐-34正式版

研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐保護(hù)代碼產(chǎn)權(quán)防止信息泄露Ftrans飛馳云聯(lián)?2021目錄/CONTENT前言3第一章研發(fā)部門(mén)有哪些資料需要保護(hù)？5研發(fā)部門(mén)會(huì)產(chǎn)生哪些數(shù)據(jù)資料？5哪些數(shù)據(jù)是需要保護(hù)的6第二章研發(fā)部門(mén)的泄密方式7造成數(shù)據(jù)泄密的人為原因7造成數(shù)據(jù)泄密的技術(shù)原因8數(shù)據(jù)泄密的方式9第三章研發(fā)代碼泄密對(duì)企業(yè)造成的影響12近年代碼泄密事故13代碼泄密對(duì)企業(yè)的影響14第四章代碼等數(shù)據(jù)的常見(jiàn)保護(hù)方法16針對(duì)代碼本身的技術(shù)保護(hù)手段16研發(fā)部門(mén)內(nèi)部管控手段18第五章網(wǎng)絡(luò)隔離方式介紹22DMZ區(qū)隔離22雙網(wǎng)卡主機(jī)隔離22防火墻隔離23VLAN隔離23網(wǎng)閘/光閘隔離23虛擬桌面隔離24目錄/CONTENT第六章研發(fā)數(shù)據(jù)如何跨隔離網(wǎng)安全交換？25研發(fā)數(shù)據(jù)需要跨隔離網(wǎng)交換25開(kāi)端口26人工操作26網(wǎng)閘擺渡27FTP傳輸27專用跨網(wǎng)文件交換方案介紹28幾種常見(jiàn)的跨網(wǎng)文件交換方案對(duì)比30研發(fā)部門(mén)數(shù)據(jù)保護(hù)的最佳實(shí)踐31附錄：跨網(wǎng)文件交換Demo視頻演示32研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐前言經(jīng)過(guò)三次審議的《中華人民共和國(guó)數(shù)據(jù)安全法》（以下簡(jiǎn)稱《數(shù)據(jù)安全法》）公布，于今年2021年9月1日起施行。這是數(shù)據(jù)領(lǐng)域的基礎(chǔ)性法律，也是國(guó)家安全領(lǐng)域的一部重要法律，使數(shù)據(jù)的有效監(jiān)管實(shí)現(xiàn)了有法可依，填補(bǔ)了數(shù)據(jù)安全保護(hù)立法的空白，完善了網(wǎng)絡(luò)空間安全治理的法律體系。在數(shù)據(jù)海量聚集的當(dāng)下，這部法律的出臺(tái)，可以說(shuō)是正當(dāng)其時(shí)，其助力守好安全底線，支持創(chuàng)新應(yīng)用，有利于促進(jìn)數(shù)字經(jīng)濟(jì)良性發(fā)展。數(shù)安法的頒布實(shí)施，給數(shù)據(jù)安全市場(chǎng)帶來(lái)了“春天”，也為數(shù)據(jù)安全產(chǎn)品技術(shù)的發(fā)展注入了一劑強(qiáng)心劑，無(wú)論是普通的公民，還是在數(shù)據(jù)安全市場(chǎng)耕耘的廠商以及國(guó)家職能監(jiān)管部門(mén)，通過(guò)此法應(yīng)該對(duì)數(shù)據(jù)安全的概念及應(yīng)用領(lǐng)域都有了更加深刻的認(rèn)識(shí)，也將共同為促進(jìn)中國(guó)的“數(shù)據(jù)安全”健康發(fā)展貢獻(xiàn)更大的力量與智慧。4研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐第一章研發(fā)部門(mén)有哪些資料需要保護(hù)？研發(fā)部門(mén)會(huì)產(chǎn)生哪些數(shù)據(jù)資料？我們先以一個(gè)完整的軟件項(xiàng)目開(kāi)發(fā)過(guò)程為例，看看這個(gè)過(guò)程中有哪些文檔資料產(chǎn)出：l項(xiàng)目章程l需求變更流程l開(kāi)發(fā)文檔l項(xiàng)目計(jì)劃l需求列表l代碼文件l資源計(jì)劃lRQMl測(cè)試計(jì)劃l預(yù)算文檔l需求文檔l測(cè)試用例l溝通方案l設(shè)計(jì)文檔l測(cè)試報(bào)告5研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐哪些數(shù)據(jù)是需要保護(hù)的？我們先來(lái)看一組國(guó)內(nèi)領(lǐng)先的網(wǎng)絡(luò)安全行業(yè)門(mén)戶Freebuf就對(duì)網(wǎng)絡(luò)安全專業(yè)人士進(jìn)行的一項(xiàng)在線調(diào)查，一半以上（60%）的受訪者認(rèn)為客戶信息需要保護(hù)，這個(gè)無(wú)可厚非，畢竟大部分企業(yè)的生存是需要靠客戶的。有一半（49%）的受訪者認(rèn)為知識(shí)產(chǎn)權(quán)是需要保護(hù)的數(shù)據(jù)。數(shù)據(jù)來(lái)源：Freebuf那么，知識(shí)產(chǎn)權(quán)包括哪些呢？主要包括專利（發(fā)明專利、實(shí)用新型專利、外觀專利）、軟件著作權(quán)、作品著作權(quán)、集成電路布圖設(shè)計(jì)、商標(biāo)等。這些大部分都是跟研發(fā)部門(mén)相關(guān)的，比如專利、軟件著作權(quán)、集成電路布圖設(shè)計(jì)等，都是研發(fā)部門(mén)的智慧成果。尤其是軟件開(kāi)發(fā)類、游戲、手機(jī)等企業(yè)的源代碼、技術(shù)專利等，都是企業(yè)尤為重要的核心數(shù)據(jù)。6研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐第二章研發(fā)部門(mén)的泄密方式造成數(shù)據(jù)泄密的人為原因據(jù)安全專家統(tǒng)計(jì)報(bào)告說(shuō)明，企業(yè)在遭遇數(shù)據(jù)泄露事件時(shí)，有百分之八十的概率是出現(xiàn)在內(nèi)部人員泄密身上。這樣的結(jié)果表明，內(nèi)部數(shù)據(jù)安全問(wèn)題遠(yuǎn)遠(yuǎn)比網(wǎng)絡(luò)攻擊更加可怕。尤其是在研發(fā)型企業(yè)里，代碼這種重要又值錢(qián)的數(shù)據(jù)，是最容易讓別有用心之人動(dòng)歪心思的。其原因就是在于企業(yè)數(shù)據(jù)管理上，沒(méi)有部署有效的保護(hù)體系，讓數(shù)據(jù)安全一次次遭受?chē)?yán)重打擊。企業(yè)內(nèi)部人員泄密主要有這么幾種可能：過(guò)于分散--很多重要文件和科研成果都分散存儲(chǔ)在個(gè)人電腦上，無(wú)法集中管控，無(wú)法控制數(shù)據(jù)主動(dòng)或無(wú)意的外泄離職跳槽--離職創(chuàng)業(yè)或者高薪跳槽，為了謀求更好的發(fā)展，有意識(shí)的竊密；共享泄密--文件共享過(guò)程中，無(wú)法控制使用者的權(quán)限，給數(shù)據(jù)安全造成巨大隱患為謀私利--員工受到金錢(qián)誘惑出賣(mài)公司的機(jī)密文件；商業(yè)間諜--競(jìng)爭(zhēng)對(duì)手獲取商業(yè)機(jī)密常用的手段；無(wú)意泄密--員工使用計(jì)算機(jī)和互聯(lián)網(wǎng)的過(guò)程中無(wú)意識(shí)的泄密7研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐造成數(shù)據(jù)泄密的技術(shù)原因1、數(shù)據(jù)通信安全：網(wǎng)絡(luò)端口、數(shù)據(jù)傳輸?shù)榷紩?huì)因各種原因造成電磁泄露，企業(yè)數(shù)據(jù)庫(kù)存儲(chǔ)未安置防護(hù)設(shè)施，信息在通信傳輸過(guò)程中未進(jìn)行加密處置(SSL證書(shū))，竊聽(tīng)、非法終端接入、利用非應(yīng)用方式侵入數(shù)據(jù)庫(kù)、線路干擾等方式都可以得知通信信息數(shù)據(jù)。2、數(shù)據(jù)庫(kù)管理系統(tǒng)脆弱性：數(shù)據(jù)及數(shù)據(jù)庫(kù)管理系統(tǒng)通常以分級(jí)管理，由此DBMS必然存在很多弱點(diǎn)。另外，為了方便訪問(wèn)數(shù)據(jù)，DBMS會(huì)留下不少接口，但其與操作系統(tǒng)的配套必然存在不少不足之處，而且這種不足是先天的，無(wú)法完全克服。3、病毒與非法入侵：由于病毒或者非法入侵而導(dǎo)致數(shù)據(jù)泄漏，病毒入侵感染后，破壞數(shù)據(jù)、勒索加密數(shù)據(jù)等導(dǎo)致數(shù)據(jù)不可用，甚至盜取拖庫(kù)，非法入侵指惡意攻擊者運(yùn)用不道德的手段侵入數(shù)據(jù)庫(kù)或者數(shù)據(jù)存儲(chǔ)空間，盜取數(shù)據(jù)。4、系統(tǒng)漏洞：系統(tǒng)內(nèi)數(shù)據(jù)庫(kù)漏洞、操作系統(tǒng)漏洞，硬件上防火墻、存儲(chǔ)設(shè)備等網(wǎng)絡(luò)產(chǎn)品的漏洞，補(bǔ)丁更新不及時(shí)或不安全配置，導(dǎo)致惡意攻擊者主動(dòng)發(fā)現(xiàn)了系統(tǒng)存在的漏洞，從而竊取數(shù)據(jù)。5、訪問(wèn)控制和權(quán)限管理不善：人和數(shù)據(jù)的權(quán)限分層、安全分級(jí)，帳號(hào)的生命周期管理，安全的訪問(wèn)控制，以及因?yàn)槿说拇嗳跣源嬖诙鴮?dǎo)致的數(shù)據(jù)泄露屢見(jiàn)不鮮。8研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐數(shù)據(jù)泄密的方式竊密攻擊者主動(dòng)竊密：惡意攻擊者或外部競(jìng)爭(zhēng)對(duì)手，基于經(jīng)濟(jì)利益或政治原因驅(qū)動(dòng)，通過(guò)層出不窮的高超技術(shù)手段，竊取企業(yè)的各種重要數(shù)據(jù)。每年都會(huì)披露出來(lái)多起外部惡意攻擊導(dǎo)致的數(shù)據(jù)泄露事件，大部分都是中大型企業(yè)，從小型的入侵竊密事件到超大型的入侵竊密事件，從黑客激進(jìn)分子（hacktivism）到網(wǎng)絡(luò)間諜，再到為錢(qián)作案的網(wǎng)絡(luò)犯罪集團(tuán)，有太多太多的事情發(fā)生了。這一類的泄密途徑主要來(lái)自于外部的威脅，網(wǎng)絡(luò)上的各種木馬、蠕蟲(chóng)、勒索軟件層出不窮，通過(guò)服務(wù)器縫隙、桌面縫隙、移動(dòng)代碼、在郵件中選用嵌入式HTML、對(duì)HTTP和HTTPS的遍及訪問(wèn)、cookie竊取、通過(guò)大量ping攻擊服務(wù)器、腳本攻擊對(duì)應(yīng)網(wǎng)站9研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐泄密這一類的泄密不僅僅是主動(dòng)泄密，也包括被動(dòng)泄密。泄密的途徑主要有：離職人員泄密：由于權(quán)限管理疏忽等，離職人員在離職時(shí)有意或無(wú)意違規(guī)帶走大量核心數(shù)據(jù)(專利著作及源碼數(shù)據(jù)等)。內(nèi)部人員泄密：由于內(nèi)部員工安全意識(shí)薄弱，數(shù)據(jù)安全分級(jí)不明確，操作失誤，部分涉密人員無(wú)意中泄露數(shù)據(jù)；將企業(yè)內(nèi)部文檔私自拷貝外帶及復(fù)用泄密(USB/網(wǎng)絡(luò)/即時(shí)通訊/刻錄);通過(guò)截屏/錄屏/復(fù)制等方式泄露企業(yè)機(jī)密信息盜用他人賬號(hào)及設(shè)備非法訪問(wèn)數(shù)據(jù)泄密通過(guò)打印機(jī)、傳真機(jī)等將敏感數(shù)據(jù)進(jìn)行介質(zhì)轉(zhuǎn)換泄密對(duì)敏感數(shù)據(jù)的惡意傳播及擴(kuò)散泄密;對(duì)核心應(yīng)用系統(tǒng)的非安全接入及訪問(wèn)泄密;移動(dòng)筆記本、USB存儲(chǔ)設(shè)備遺失或失竊導(dǎo)致數(shù)據(jù)泄密郵件或網(wǎng)絡(luò)誤操作、誤發(fā)送等，數(shù)據(jù)的誤用引起的泄密感染病毒、木馬后引發(fā)的敏感數(shù)據(jù)泄密;將存放重要數(shù)據(jù)的機(jī)器、存儲(chǔ)介質(zhì)隨意交與他人使用引發(fā)的泄密不遵守管理制度的其他導(dǎo)致數(shù)據(jù)泄密的行為等10研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐失密權(quán)限失控失密：由于帳號(hào)生命周期管理不善，權(quán)限劃分及認(rèn)證鑒別方式失控，導(dǎo)致人員對(duì)數(shù)據(jù)的密級(jí)訪問(wèn)權(quán)限不對(duì)等，高密級(jí)數(shù)據(jù)流向低權(quán)限帳號(hào)，涉密數(shù)據(jù)流向無(wú)權(quán)限帳號(hào)等。數(shù)據(jù)維護(hù)及處置失密：不安全的加密方式或明文存儲(chǔ)、公開(kāi)的存儲(chǔ)位置、管理密鑰或存儲(chǔ)介質(zhì)丟失、未完全擦除報(bào)廢，存儲(chǔ)數(shù)據(jù)發(fā)生泄露。信息發(fā)布失密：合作渠道商管理不善數(shù)據(jù)交互泄露，發(fā)布信息審核不當(dāng)涉及密級(jí)數(shù)據(jù)泄露，信息數(shù)據(jù)流入未授權(quán)、競(jìng)爭(zhēng)關(guān)系的第三方。因此，需要技術(shù)手段和管控制度相結(jié)合11研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐第三章研發(fā)代碼泄密對(duì)企業(yè)造成的影響近年代碼泄密事故關(guān)于代碼泄露的報(bào)道，我們?cè)诰W(wǎng)上也經(jīng)常看到，代碼泄露不但是小公司，連蘋(píng)果、微軟這樣防范嚴(yán)密的大公司也無(wú)法幸免，國(guó)內(nèi)的大疆、B站也都發(fā)生過(guò)，下面是最近幾年的幾個(gè)事例：2017年，大疆前員工將含有公司商業(yè)機(jī)密的代碼上傳到了GitHub的公有倉(cāng)庫(kù)中，造成源代碼泄露的事件。根據(jù)當(dāng)時(shí)的報(bào)道，通過(guò)這些源代碼，攻擊者能夠訪問(wèn)客戶的敏感信息，比如用戶信息、飛行日志等等。2018年2月，一位名為“ZioShiba”的用戶在開(kāi)源代碼托管平臺(tái)GitHub上泄露了蘋(píng)果公司專有的iBoot源代碼。根據(jù)蘋(píng)果公司的聲明，遭到泄露的是兩年前iOS9的源代碼，與現(xiàn)在相隔甚遠(yuǎn)，不會(huì)導(dǎo)致大規(guī)模安全事件。但仍然可能被相關(guān)iOS安全研究人員和越獄愛(ài)好者加以利用，在iPhone鎖定系統(tǒng)中發(fā)現(xiàn)其他新的漏洞。2019年4月，B站整個(gè)網(wǎng)站后臺(tái)工程源碼泄露，并且“不少用戶密碼被硬編碼在代碼里面，誰(shuí)都可以用”。當(dāng)天，在開(kāi)源及私有軟件項(xiàng)目托管平臺(tái)GitHub上，出現(xiàn)了名為“嗶哩嗶哩bilibili網(wǎng)站后臺(tái)工程源碼”的項(xiàng)目。導(dǎo)致當(dāng)日B站股價(jià)跌3.27%。12研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐2020年3月，AMD發(fā)布了一條公告，宣布有黑客竊取了AMD現(xiàn)在及即將發(fā)布的圖形產(chǎn)品及子集的測(cè)試文件，盡管目前已知的并不是AMD圖形產(chǎn)品的核心機(jī)密，但還不確定黑客是否還擁有其他任何AMDIP。2020年7月，包括微軟、Adobe、聯(lián)想、AMD、高通、聯(lián)發(fā)科、通用電氣、任天堂、迪士尼在內(nèi)的50家知名公司的源代碼泄露，并被發(fā)布在了公開(kāi)網(wǎng)絡(luò)上。據(jù)報(bào)道，泄露的代碼由某瑞士軟件開(kāi)發(fā)人員收集，并以「機(jī)密&專有(excoconfidential)」的名稱放在公開(kāi)訪問(wèn)的GitLab存儲(chǔ)庫(kù)中。該公共倉(cāng)庫(kù)中大約包含了超過(guò)50家公司的源碼。2021年1月，三井住友銀行的一名前員工，為了找工作，在開(kāi)源網(wǎng)站GitHub上傳了自己寫(xiě)過(guò)的三井住友銀行的部分源代碼。1月29日，三井住友銀行（SMBC）1月29日公開(kāi)回應(yīng)，網(wǎng)傳的銀行系統(tǒng)源代碼泄露確有其事，但是泄露的代碼已經(jīng)是6年前的版本，對(duì)客戶信息和交易安全不會(huì)產(chǎn)生影響。除了三井住友銀行之外，還有許多知名日企如NTTdata、NEC的源代碼也同時(shí)泄露。13研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐代碼泄密對(duì)企業(yè)的影響企業(yè)公眾聲望受損當(dāng)企業(yè)發(fā)生數(shù)據(jù)泄露時(shí)，公眾會(huì)對(duì)企業(yè)產(chǎn)生不信任感，這種不信任感會(huì)影響公眾的選擇，因此，數(shù)據(jù)泄密事故可能會(huì)令企業(yè)失去一批客戶，包括潛在客戶。比如雅虎郵箱曝出泄密事件后，大批用戶棄用，正在商談收購(gòu)事宜的雅虎甚至一度難以賣(mài)出。企業(yè)經(jīng)濟(jì)利益受損一方面，數(shù)據(jù)本身就是企業(yè)財(cái)產(chǎn)的一部分，當(dāng)數(shù)據(jù)泄露，這部分?jǐn)?shù)據(jù)資產(chǎn)相當(dāng)于拱手讓給別人，對(duì)企業(yè)的競(jìng)爭(zhēng)力會(huì)產(chǎn)生威脅，間接提高了成本、且減少收益。另一方面，聲望折損會(huì)導(dǎo)致企業(yè)股價(jià)下跌、用戶流失，這都將對(duì)企業(yè)經(jīng)濟(jì)利益產(chǎn)生直接影響。之前，趣店發(fā)生用戶數(shù)據(jù)泄露時(shí)，股價(jià)出現(xiàn)連續(xù)下跌，甚至一度出現(xiàn)開(kāi)盤(pán)跳水30%。面臨訴訟等法律指控?cái)?shù)據(jù)一旦發(fā)生泄露，必定會(huì)出現(xiàn)受害者，受害者可能是數(shù)據(jù)來(lái)源者本身，也可能是企業(yè)的下游客戶或遭受數(shù)據(jù)泄露影響的其他合作者。美國(guó)征信巨頭EquiFax發(fā)生1.43億用戶泄露后，面臨一場(chǎng)美國(guó)波特蘭聯(lián)邦法庭的集體訴訟，賠償金額高達(dá)700億美元。14研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐內(nèi)部易產(chǎn)生不和諧因素有的數(shù)據(jù)泄露是黑客攻擊造成的，有的則是內(nèi)部管理不善造成的，后者更容易讓員工對(duì)企業(yè)產(chǎn)生不信任感，繼而影響企業(yè)整體的團(tuán)結(jié)。世界500強(qiáng)公司之一的英國(guó)超市Morrisons曾發(fā)生一起泄漏事故——10萬(wàn)名員工的工資細(xì)節(jié)、住址、銀行賬戶等被內(nèi)部審計(jì)員盜取并泄露販賣(mài)，不僅審計(jì)員入獄，Morrisons也因此被5千多名員工集體告上法庭，要求企業(yè)為此負(fù)責(zé)并賠償。引發(fā)高層震蕩一場(chǎng)數(shù)據(jù)泄露背后必然有企業(yè)內(nèi)部的各種問(wèn)題，而當(dāng)企業(yè)發(fā)生嚴(yán)重的數(shù)據(jù)泄露時(shí)，通常會(huì)有高管為此擔(dān)責(zé)甚至被下臺(tái)。美國(guó)小姐CEO被曝出郵件丑聞后，該CEO隨即離職；Uber曝出10萬(wàn)黑客封口費(fèi)后，首席安全官被罷免。由此看來(lái)，數(shù)據(jù)泄露的代價(jià)對(duì)于企業(yè)來(lái)說(shuō)的確是十分昂貴的，損失不可估量，有的小型或者創(chuàng)業(yè)期企業(yè)，一旦發(fā)生核心數(shù)據(jù)泄密，會(huì)導(dǎo)致企業(yè)身家性命丟了一半，甚至因此而倒閉。15研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐第四章代碼等數(shù)據(jù)的常見(jiàn)保護(hù)方法針對(duì)代碼本身的技術(shù)保護(hù)手段代碼混淆也稱為模糊處理，其技術(shù)原理是代碼重命名，也就是說(shuō)原先具有含義的方法名稱，重命名為毫無(wú)意義的（A,B,C諸如此類）。弱點(diǎn)：無(wú)法隱藏調(diào)用的系統(tǒng)的函數(shù)代碼隱藏因?yàn)榇a混淆改變了方法簽名，在很多時(shí)候是有問(wèn)題的，例如程序集要被其他人使用的時(shí)候。因?yàn)榉椒兂闪撕翢o(wú)意義的一些字符，將造成使用者極大的麻煩。也可以導(dǎo)致現(xiàn)有引用程序集的失效。弱點(diǎn)：內(nèi)存有完整的代碼，利用軟件可以將內(nèi)存dump出來(lái)，得到完整的代碼。非托管代碼編寫(xiě)使用非托管代碼編寫(xiě)核心代碼（例如核心算法），然后使用平臺(tái)交互的方式進(jìn)行調(diào)用，非托管代碼比較難反編譯。16研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐強(qiáng)名稱簽名這種方法，用通俗的話說(shuō)就是對(duì)文件按照Microsoft的算法對(duì)文件進(jìn)行Hash，然后將hash出來(lái)的數(shù)據(jù)（publickeytoken）寫(xiě)入文件。在運(yùn)行或者對(duì)文件進(jìn)行調(diào)用的時(shí)候，SDK會(huì)檢查publickeytoken，若不符合則拋出異常，退出。弱點(diǎn)：反編譯后將publickeytoken部分去掉即可。代碼加密改變MSIL和JIT的通信，根據(jù)底層的需要來(lái)解密代碼。破解的難度大，較安全，內(nèi)存無(wú)完整代碼。弱點(diǎn)：編程的難度大，若利用專門(mén)的加密軟件，則會(huì)加大系統(tǒng)的開(kāi)發(fā)成本。代碼本地化代碼完全編譯成本機(jī)代碼，同win32下的應(yīng)用程序一樣，完全失去了.NET的優(yōu)越性。代碼加水印簡(jiǎn)單的說(shuō)，就是讓特定的字符串以圖片的形式，繪制在程序的界面上，用來(lái)提示軟件是否注冊(cè)，這種保護(hù)方法，關(guān)鍵的地方就是對(duì)圖片繪制條件的判斷，如果僅僅是用true或者false來(lái)判斷，就形同虛設(shè)了。17研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐研發(fā)部門(mén)內(nèi)部管控手段禁用U口企業(yè)可以通過(guò)禁用USB接口，這種方式可以有效防止惡意的數(shù)據(jù)拷貝，如果需要對(duì)外發(fā)送的話，需要經(jīng)過(guò)審核后由專人拷貝出來(lái)再外發(fā)。但是這種方法不能算一個(gè)完美的方案，比如員工真想拷貝的話，可以直接開(kāi)機(jī)把硬盤(pán)拿出來(lái)拷貝數(shù)據(jù)。其實(shí)說(shuō)白了就是終端安全防護(hù)這塊，禁用USB接口只是終端安全防護(hù)的一種，還有禁止打印、禁用光驅(qū)等等。加密軟件文件透明加密是一種比較常見(jiàn)的數(shù)據(jù)安全保護(hù)手段。不影響員工日常的操作，加密的文件只能在單位內(nèi)部電腦上正常使用，一旦脫離單位內(nèi)部的網(wǎng)絡(luò)環(huán)境，在外部電腦上使用是亂碼或無(wú)法打開(kāi)。這樣可以有效防止內(nèi)部員工的主動(dòng)泄密。這種方式尤其適合圖紙、代碼等科技研發(fā)型企業(yè)或者高新制造業(yè)。18研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐控制訪問(wèn)權(quán)限網(wǎng)站白名單，只允許訪問(wèn)工作需要的網(wǎng)站，其他一律禁止掉。這個(gè)算是比較嚴(yán)格的限制方式了。采用應(yīng)用過(guò)濾，禁止掉所有的文件傳輸、網(wǎng)盤(pán)、郵件等。這個(gè)方案相對(duì)有效，但是不能排除通過(guò)未知的應(yīng)用協(xié)議來(lái)傳文件，而且會(huì)給日常工作帶來(lái)一些不便。還是需要慎用的。部署DLP（數(shù)據(jù)防泄漏）系統(tǒng)有條件的企業(yè)可能會(huì)在內(nèi)外網(wǎng)邊界部署DLP（數(shù)據(jù)防泄漏）系統(tǒng)，所有內(nèi)部向外部發(fā)出的數(shù)據(jù)，都要經(jīng)過(guò)DLP系統(tǒng)的內(nèi)容掃描，在確保不包含敏感信息的情況下才允許發(fā)出。這也是比較常見(jiàn)的一種方式，可以有效防止各個(gè)渠道的外發(fā)泄密。19研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐第三方身份驗(yàn)證現(xiàn)在有許多基于標(biāo)準(zhǔn)且高度安全的身份驗(yàn)證產(chǎn)品可供選擇，這樣的話，你的員工/客戶等等就不需要一個(gè)個(gè)記住賬號(hào)密碼了，這樣就能減少賬號(hào)泄密的風(fēng)險(xiǎn)了。服務(wù)器上備份文件及時(shí)的將重要文件備份，以便丟失后能及時(shí)找回，同時(shí)可以減少無(wú)意的泄密帶來(lái)?yè)p失。特殊部門(mén)不允許進(jìn)行文件外發(fā)比如研發(fā)部門(mén)或者財(cái)務(wù)部門(mén)這種，核心和敏感數(shù)據(jù)較多，不允許他們直接的對(duì)外發(fā)送文件，如果需要發(fā)送的話，需要經(jīng)過(guò)審批后，由專人進(jìn)行發(fā)送。監(jiān)控電腦的文件外發(fā)動(dòng)作這個(gè)就需要有帶有監(jiān)控功能的軟件了，可以監(jiān)控到每個(gè)人的電腦操作行為，一旦產(chǎn)生外發(fā)動(dòng)作，就會(huì)給管理員發(fā)出警報(bào)。20研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐云桌面云桌面也是一種很流行的方式，很多研發(fā)型企業(yè)都在使用，它的成本比較低，使用靈活，可以快速響應(yīng)企業(yè)和開(kāi)發(fā)需求，比如企業(yè)規(guī)模擴(kuò)大時(shí)，可快速實(shí)現(xiàn)資源配置和擴(kuò)展。最重要的是，數(shù)據(jù)都集中在服務(wù)器上，開(kāi)發(fā)人員的終端不再保存數(shù)據(jù)和存儲(chǔ)，實(shí)現(xiàn)代碼等數(shù)據(jù)不落地，對(duì)于企業(yè)來(lái)說(shuō)，不僅僅是便于管理了，而且更能保障信息安全。網(wǎng)絡(luò)隔離這個(gè)算是目前最流行的方式了。絕大多數(shù)企業(yè)采取的第一個(gè)步驟是將企業(yè)內(nèi)網(wǎng)與互聯(lián)網(wǎng)進(jìn)行隔離，將內(nèi)部數(shù)據(jù)“困在”內(nèi)網(wǎng)，同時(shí)也能夠有效屏蔽外部網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)。較大規(guī)模的企業(yè)還可能對(duì)內(nèi)部網(wǎng)絡(luò)實(shí)施進(jìn)一步的隔離，比如劃分為辦公網(wǎng)、研發(fā)網(wǎng)、生產(chǎn)網(wǎng)、測(cè)試網(wǎng)等，主要用來(lái)屏蔽不同部門(mén)、不同業(yè)務(wù)之間的違規(guī)數(shù)據(jù)交換。通過(guò)網(wǎng)絡(luò)隔離的方式，可以有效防止內(nèi)部核心代碼數(shù)據(jù)泄露。21研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐第五章網(wǎng)絡(luò)隔離方式介紹DMZ區(qū)隔離DMZ（DemilitarizedZone，隔離區(qū)）它是為了解決安裝防火墻后外部網(wǎng)絡(luò)的訪問(wèn)用戶不能訪問(wèn)內(nèi)部網(wǎng)絡(luò)服務(wù)器的問(wèn)題，而設(shè)立的一個(gè)非安全系統(tǒng)與安全系統(tǒng)之間的緩沖區(qū)。一般來(lái)講，企業(yè)在內(nèi)外網(wǎng)間架設(shè)兩道防火墻，兩道防火墻中間的區(qū)域即為DMZ區(qū)。內(nèi)部網(wǎng)絡(luò)可以主動(dòng)訪問(wèn)DMZ區(qū)，DMZ區(qū)可以主動(dòng)訪問(wèn)外部網(wǎng)絡(luò)，這樣就形成了一個(gè)中間緩沖區(qū)，從而可以達(dá)到更高的安全標(biāo)準(zhǔn)。DMZ防火墻為要保護(hù)的內(nèi)部網(wǎng)絡(luò)增加了一道安全防線，通常認(rèn)為是非常安全的。同時(shí)它提供了一個(gè)區(qū)域放置公共服務(wù)器，從而又能有效地避免一些互聯(lián)應(yīng)用需要公開(kāi)，而與內(nèi)部安全策略相矛盾的情況發(fā)生。為了讓特定業(yè)務(wù)跨網(wǎng)，需要使其穿透DMZ區(qū)，這一般要求在DMZ區(qū)內(nèi)部署針對(duì)該業(yè)務(wù)的代理（中轉(zhuǎn)）設(shè)備。雙網(wǎng)卡主機(jī)隔離在一臺(tái)物理主機(jī)上安裝兩個(gè)網(wǎng)卡，一個(gè)連接內(nèi)部網(wǎng)絡(luò)，一個(gè)連接外部網(wǎng)絡(luò)。這種隔離方式實(shí)際上是構(gòu)造了一個(gè)同時(shí)能夠連接兩個(gè)網(wǎng)絡(luò)的特殊設(shè)備，一般需要有專人管理。當(dāng)需要進(jìn)行跨網(wǎng)文件交換時(shí)，發(fā)送者將數(shù)據(jù)傳輸?shù)皆撝鳈C(jī)上，由專人進(jìn)行文件內(nèi)容的審查和登記后，再將數(shù)據(jù)由這臺(tái)主機(jī)發(fā)送到另一個(gè)網(wǎng)絡(luò)內(nèi)。22研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐防火墻隔離在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的邊界上構(gòu)造的保護(hù)屏障。在兩個(gè)網(wǎng)絡(luò)之間架設(shè)防火墻，默認(rèn)阻斷所有跨網(wǎng)通信。為了讓特定業(yè)務(wù)跨網(wǎng)，可以在防火墻上配置針對(duì)于該業(yè)務(wù)的特殊規(guī)則，使該業(yè)務(wù)的通信可以穿過(guò)防火墻。使用防火墻的好處有：保護(hù)脆弱的服務(wù)，控制對(duì)系統(tǒng)的訪問(wèn)，集中地安全管理，增強(qiáng)保密性，記錄和統(tǒng)計(jì)網(wǎng)絡(luò)利用數(shù)據(jù)以及非法使用數(shù)據(jù)情況。VLAN隔離VLAN隔離技術(shù)根據(jù)特定的策略，把物理上形成的局域網(wǎng)（LocalAreaNetwork，LAN）劃分成不同的邏輯子網(wǎng)，把數(shù)據(jù)鏈路層廣播報(bào)文隔離在邏輯子網(wǎng)之內(nèi)，形成各自的廣播域，每個(gè)邏輯子網(wǎng)就是一個(gè)“虛擬的局域網(wǎng)（VirtualLAN）”。每個(gè)接入至支持VLAN的交換機(jī)的終端設(shè)備，都屬于一個(gè)特定的VLAN，不同VLAN中的終端設(shè)備無(wú)法直接通過(guò)數(shù)據(jù)鏈路層通信。網(wǎng)閘/光閘隔離網(wǎng)閘/光閘是專用的網(wǎng)絡(luò)隔離設(shè)備，其隔離安全性最高，基本原理是阻斷網(wǎng)絡(luò)通信協(xié)議，在內(nèi)部采用私有通信協(xié)議，同一時(shí)間只連接一個(gè)網(wǎng)絡(luò)，輪流連接兩個(gè)網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)擺渡。23研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐虛擬桌面隔離如果企業(yè)已經(jīng)實(shí)施了虛擬桌面平臺(tái)，可以在虛擬化平臺(tái)內(nèi)構(gòu)造兩個(gè)虛擬子網(wǎng)（比如一個(gè)辦公虛擬子網(wǎng)，一個(gè)研發(fā)虛擬子網(wǎng)），兩個(gè)虛擬子網(wǎng)子網(wǎng)間不連通。企業(yè)可以為每個(gè)有需求的員工分配兩個(gè)虛擬桌面，分別連接兩個(gè)虛擬子網(wǎng)，通過(guò)這種方式來(lái)實(shí)現(xiàn)虛擬桌面的隔離。虛擬桌面隔離的優(yōu)勢(shì)：降低運(yùn)維成本。一方面PC機(jī)變成了價(jià)格更低、功耗更低和免維護(hù)的云終端，大大降低企業(yè)TCO成本；另一方面云桌面可實(shí)現(xiàn)桌面環(huán)境快速就緒，還可以加快故障排查速度，極大地減少整體運(yùn)維成本。使用靈活，易于擴(kuò)展。當(dāng)企業(yè)規(guī)模擴(kuò)大、辦公人員增加或者需要提升開(kāi)發(fā)配置時(shí)，云桌面可以快速實(shí)現(xiàn)資源配置和擴(kuò)展，靈活響應(yīng)企業(yè)和開(kāi)發(fā)需求。便于統(tǒng)一管理。所有數(shù)據(jù)都集中在服務(wù)器上統(tǒng)一管理和運(yùn)行，管理員都可以在服務(wù)器進(jìn)行統(tǒng)一管理和維護(hù)，比PC更方便快捷。安全性得以保障。數(shù)據(jù)都集中在服務(wù)器上，終端不再保存數(shù)據(jù)和存儲(chǔ)，員工訪問(wèn)重要數(shù)據(jù)和拷貝資料都要權(quán)限才可以進(jìn)行，實(shí)現(xiàn)數(shù)據(jù)不落地，保障信息安全，就不再需要終端安全管控產(chǎn)品了。通過(guò)虛擬化隔離后，不僅僅終端安全問(wèn)題解決了，網(wǎng)絡(luò)層面的安全問(wèn)題也解決了。24研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐第六章研發(fā)數(shù)據(jù)如何跨隔離網(wǎng)安全交換？研發(fā)數(shù)據(jù)需要跨隔離網(wǎng)交換所以，對(duì)于研發(fā)部門(mén)來(lái)說(shuō)，推薦的方式就是虛擬化+網(wǎng)絡(luò)隔離，可以有效保護(hù)研發(fā)代碼等核心數(shù)據(jù)。不過(guò)隔離之后，還是存在很多數(shù)據(jù)交換的業(yè)務(wù)場(chǎng)景和需求：處在內(nèi)網(wǎng)的員工，需要將設(shè)計(jì)圖紙、項(xiàng)目資料等文件發(fā)送給外網(wǎng)的用戶?？蛻簟⒐?yīng)商、合作伙伴，需要通過(guò)互聯(lián)網(wǎng)將文件發(fā)送給內(nèi)網(wǎng)員工。研發(fā)型企業(yè)需要持續(xù)將從外部獲取的大量數(shù)據(jù)導(dǎo)入到研發(fā)網(wǎng)，進(jìn)行機(jī)器學(xué)習(xí)、數(shù)據(jù)挖掘等數(shù)據(jù)處理工作，比如傳感器采集的數(shù)據(jù)、測(cè)試數(shù)據(jù)、網(wǎng)絡(luò)服務(wù)收集的數(shù)據(jù)等。所以，IT部門(mén)需要選擇一個(gè)既符合安全管理標(biāo)準(zhǔn)，又能滿足研發(fā)部門(mén)用戶需求，同時(shí)又可以被IT管控的跨網(wǎng)文件交換系統(tǒng)。研發(fā)部門(mén)對(duì)于跨網(wǎng)文件交換IT部門(mén)對(duì)于跨網(wǎng)文件交換的的需求有：要求有：l便捷l管控l直接l可視化l易用l安全l快l合規(guī)25研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐開(kāi)端口在采用防火墻等軟隔離手段時(shí)，許多企業(yè)在解決跨網(wǎng)文件交換時(shí)，為了方便，常常采用為特定業(yè)務(wù)開(kāi)通特例端口的方式，使其不受跨網(wǎng)隔離的限制。這種“開(kāi)口子”的方式盡管一時(shí)方便，但是實(shí)際上違背了網(wǎng)絡(luò)隔離的初衷，降低了安全標(biāo)準(zhǔn)，最終口子開(kāi)得越來(lái)越多，防火墻上百孔千瘡，網(wǎng)絡(luò)隔離形同虛設(shè)。人工操作在采用無(wú)法開(kāi)口子的硬隔離手段時(shí)，企業(yè)可能選用的另一種方式——人工，指派具有特殊權(quán)限的專人，以人工手動(dòng)的方式在兩個(gè)網(wǎng)絡(luò)之間進(jìn)行數(shù)據(jù)拷貝。在這種情況下，企業(yè)不但操作麻煩，浪費(fèi)人力、效率低下，業(yè)務(wù)需求往往無(wú)法得到及時(shí)響應(yīng)，而且無(wú)法保證人工操作本身的正確性和安全性，無(wú)法監(jiān)管到究竟拷貝了哪些內(nèi)容，拷貝的內(nèi)容最終是誰(shuí)使用了，沒(méi)有任何記錄可查詢，一旦出現(xiàn)數(shù)據(jù)泄露的情況，是難以追責(zé)的。26研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐網(wǎng)閘擺渡網(wǎng)閘等專用隔離設(shè)備，一般自帶在兩個(gè)網(wǎng)絡(luò)間文件同步的功能，企業(yè)可能會(huì)利用這一功能完成跨網(wǎng)文件交換。然而網(wǎng)閘的文件同步功能，一般是從一個(gè)網(wǎng)絡(luò)的存儲(chǔ)位置到另一網(wǎng)絡(luò)的存儲(chǔ)位置，而企業(yè)的安全管理訴求遠(yuǎn)不止于此。比如，哪些人可以將文件放到指定存儲(chǔ)位置，是否可以由管理人員審批，哪些人可以從存儲(chǔ)位置將文件取走，是否有通知，這些過(guò)程是否有記錄，是否可審計(jì)等等。FTP傳輸有些企業(yè)可能會(huì)架設(shè)一個(gè)FTP服務(wù)器或網(wǎng)絡(luò)共享，在網(wǎng)絡(luò)設(shè)備中將其設(shè)置為例外，以此實(shí)現(xiàn)文件交換。FTP是一種標(biāo)準(zhǔn)的網(wǎng)絡(luò)協(xié)議，可以用于在互聯(lián)網(wǎng)上傳遞文件，它是可以解決不同網(wǎng)段之間數(shù)據(jù)交換的部分問(wèn)題的。但是在文件擺渡中，還是存在著一些問(wèn)題。比如沒(méi)有任何安全策略，存在泄密的風(fēng)險(xiǎn)；可靠性較差，經(jīng)常可能出現(xiàn)傳輸錯(cuò)誤、中斷，甚至文件丟失的現(xiàn)象；沒(méi)有日志記錄功能，出現(xiàn)問(wèn)題難以追溯；要有專人值守，耗費(fèi)大量人力成本。27研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐專用跨網(wǎng)文件交換方案介紹《FtransFerry跨網(wǎng)文件安全交換系統(tǒng)》：企業(yè)文件數(shù)據(jù)在一個(gè)平臺(tái)內(nèi)完成發(fā)送、檢測(cè)、審批、接收、審計(jì)的全流程，大幅提升操作易用性及業(yè)務(wù)時(shí)效性，建立統(tǒng)一、安全、可控、便捷的跨網(wǎng)數(shù)據(jù)交換通道，實(shí)現(xiàn)事前可控制、事中可審查、事后可追溯的跨網(wǎng)文件交換全生命周期管控。以軟件系統(tǒng)為核心，無(wú)需復(fù)雜的環(huán)境支持，部署簡(jiǎn)單，大幅減少I(mǎi)T人員日常維護(hù)工作量。使用界面一目了然，不改變用戶日常使用習(xí)慣，操作簡(jiǎn)單，開(kāi)箱即用，平滑建設(shè)跨網(wǎng)文件交換體系。典型應(yīng)用場(chǎng)景：辦公網(wǎng)、研發(fā)網(wǎng)、生產(chǎn)網(wǎng)間的數(shù)據(jù)交換虛擬桌面環(huán)境與外部網(wǎng)絡(luò)間的數(shù)據(jù)交換28研發(fā)部門(mén)數(shù)據(jù)安全保護(hù)最佳實(shí)踐《FtransFerry跨網(wǎng)文件安全交換系統(tǒng)》功能介紹可管可控的Ftrans跨網(wǎng)文件安全交換解決方案主要功能：全平臺(tái)日志審計(jì)：隨時(shí)獲取文件交換行為日志文件歸檔可追溯：輕松追溯所有操作行為和文件內(nèi)容確保