研發(fā)部門數(shù)據(jù)安全保護(hù)最佳實(shí)踐

nts0)WMielength

Ivarrepl?ce

agNamequerySelector

fypeof

uerySelectorAll,,[msal-

撲checked"querySelectorAlL

torAlIu:enabled"lengthpush

研發(fā)部門數(shù)據(jù)安全保護(hù)IjlI,,[s!=,*J;xMpush

Icontains

Bt//ci/(t).Olv/J/,//)<',/；COE

I00var0

I.f??fundIonft*turnf&

最佳實(shí)踐rt*turn<tttih，”，〃，〃fa

?ttrlbut9?(jfftAttributr

pathhii,

I保護(hù)代碼產(chǎn)權(quán)

防止信息泄露

”■

\i.------

刖s3

第一章研發(fā)部門有哪些資料需要保護(hù)？5

研發(fā)部門會(huì)產(chǎn)生哪些數(shù)據(jù)資料？5

哪些數(shù)據(jù)是需要保護(hù)的6

第二章研發(fā)部門的泄密方式7

造成數(shù)據(jù)泄密的人為原因7

造成數(shù)據(jù)泄密的技術(shù)原因8

數(shù)據(jù)泄密的方式9

第三章研發(fā)代碼泄密對(duì)企業(yè)造成的影響12

近年代碼泄密事故13

代碼泄密對(duì)企業(yè)的影響14

第四章代碼等數(shù)據(jù)的常見保護(hù)方法16

針對(duì)代碼本身的技術(shù)保護(hù)手段16

研發(fā)部門內(nèi)部管控手段18

第五章網(wǎng)絡(luò)隔離方式介紹22

DMZ區(qū)隔離22

雙網(wǎng)卡主機(jī)隔離22

防火墻隔離23

VLAN隔離23

網(wǎng)閘/光閘隔離23

虛擬桌面隔離24

第六章研發(fā)數(shù)據(jù)如何跨隔離網(wǎng)安全交換？25

研發(fā)數(shù)據(jù)需要跨隔離網(wǎng)交換25

開端口26

人工操作26

網(wǎng)閘擺渡27

FTP傳輸27

專用跨網(wǎng)文件交換方案介紹28

幾種常見的跨網(wǎng)文件交換方案對(duì)比30

研發(fā)部門數(shù)據(jù)保護(hù)的最佳實(shí)踐31

附錄：跨網(wǎng)文件交換Demo視頻演示32

研發(fā)部門數(shù)據(jù)安全保護(hù)最佳實(shí)踐

經(jīng)過三次審議的《中華人民共和國數(shù)據(jù)安全法》（以下簡稱《數(shù)據(jù)安全

法》）公布，于今年2021年9月1日起施行。這是數(shù)據(jù)領(lǐng)域的基礎(chǔ)性法律，

也是國家安全領(lǐng)域的一部重要法律，使數(shù)據(jù)的有效監(jiān)管實(shí)現(xiàn)了有法可依，

填補(bǔ)了數(shù)據(jù)安全保護(hù)立法的空白，完善了網(wǎng)絡(luò)空間安全治理的法律體系。

在數(shù)據(jù)海量聚集的當(dāng)下，這部法律的出臺(tái)，可以說是正當(dāng)其時(shí)，其助力守

好安全底線，支持創(chuàng)新應(yīng)用，有利于促進(jìn)數(shù)字經(jīng)濟(jì)良性發(fā)展。

數(shù)安法的頒布實(shí)施，給數(shù)據(jù)安全市場(chǎng)帶來了“春天”，也為數(shù)據(jù)安全產(chǎn)品技

術(shù)的發(fā)展注入了一劑強(qiáng)心劑，無論是普通的公民，還是在數(shù)據(jù)安全市場(chǎng)耕

耘的廠商以及國家職能監(jiān)管部門，通過此法應(yīng)該對(duì)數(shù)據(jù)安全的概念及應(yīng)用

領(lǐng)域都有了更加深刻的認(rèn)識(shí)，也將共同為促進(jìn)中國的“數(shù)據(jù)安全'健康發(fā)展

貢獻(xiàn)更大的力量與智慧。

研發(fā)部門數(shù)據(jù)安全保護(hù)最佳實(shí)踐

第一章研發(fā)部門有哪些資料需要保護(hù)？

研發(fā)部門會(huì)產(chǎn)生哪些數(shù)據(jù)資料？

我們先以一個(gè)完整的軟件項(xiàng)目開發(fā)過程為例，看看這個(gè)過程中有哪些

文檔資料產(chǎn)出：

?項(xiàng)目章程?需求變更流程?開發(fā)文檔

?項(xiàng)目計(jì)劃?需求列表?代碼文件

?資源計(jì)劃?RQM?測(cè)試計(jì)劃

?預(yù)算文檔?需求文檔?測(cè)試用例

?溝通方案?設(shè)計(jì)文檔?測(cè)試報(bào)告

輸入開發(fā)人員輸出

開始

結(jié)束

哪些數(shù)據(jù)是需要保護(hù)的？

我們先來看一組國內(nèi)領(lǐng)先的網(wǎng)絡(luò)安全行業(yè)門戶Freebuf就對(duì)網(wǎng)絡(luò)安全專

業(yè)人士進(jìn)行的一項(xiàng)在線調(diào)查，一半以上（60%）的受訪者認(rèn)為客戶信

息需要保護(hù)，這個(gè)無可厚非，畢竟大部分企業(yè)的生存是需要靠客戶的。

有一半（49%）的受訪者認(rèn)為知識(shí)產(chǎn)權(quán)是需要保護(hù)的數(shù)據(jù)。

囪

60%49%43%

客戶信息知識(shí)產(chǎn)權(quán)員工數(shù)據(jù)

0件及其他通訊業(yè)務(wù)信息公司財(cái)努或支付信息用戶憑據(jù)

數(shù)據(jù)來源：Freebuf

那么，知識(shí)產(chǎn)權(quán)包括哪些呢？主要包括專利（發(fā)明專利、實(shí)用新型專

利、外觀專利）、軟件著作權(quán)、作品著作權(quán)、集成電路布圖設(shè)計(jì)、商

標(biāo)等。

這些大部分都是跟研發(fā)部門相關(guān)的，比如專利、軟件著作權(quán)、集成電

路布圖設(shè)計(jì)等，都是研發(fā)部門的智慧成果。尤其是軟件開發(fā)類、游戲、

手機(jī)等企業(yè)的源代碼、技術(shù)專利等，都是企業(yè)尤為重要的核心數(shù)據(jù)。

研發(fā)部門數(shù)據(jù)安全保護(hù)最佳實(shí)踐

第二章研發(fā)部門的泄密方式

造成數(shù)據(jù)泄密的人為原因

據(jù)安全專家統(tǒng)計(jì)報(bào)告說明，企業(yè)在遭遇數(shù)據(jù)泄露事件時(shí)，有百分之八

十的概率是出現(xiàn)在內(nèi)部人員泄密身上。這樣的結(jié)果表明，內(nèi)部數(shù)據(jù)安

全問題遠(yuǎn)遠(yuǎn)比網(wǎng)絡(luò)攻擊更加可怕。尤其是在研發(fā)型企業(yè)里，代碼這種

重要又值錢的數(shù)據(jù)，是最容易讓別有用心之人動(dòng)歪心思的。其原因就

是在于企業(yè)數(shù)據(jù)管理上，沒有部署有效的保護(hù)體系，讓數(shù)據(jù)安全一次

次遭受嚴(yán)重打擊。

企業(yè)內(nèi)部人員泄密主要有這么幾種可能：

?過于分散-很多重要文件和科研成果都分散存儲(chǔ)在個(gè)人電腦上，無

法集中管控，無法控制數(shù)據(jù)主動(dòng)或無意的外泄

?離職跳槽-離職創(chuàng)業(yè)或者高薪跳槽，為了謀求更好的發(fā)展，有意識(shí)

的竊密；

?共享泄密-文件共享過程中，無法控制使用者的權(quán)限，給數(shù)據(jù)安全

造成巨大隱患

?為謀私利-員工受到金錢誘惑出賣公司的機(jī)密文件；

?商業(yè)間諜-競(jìng)爭對(duì)手獲取商業(yè)機(jī)密常用的手段；

?無意泄密-員工使用計(jì)算機(jī)和互聯(lián)網(wǎng)的過程中無意識(shí)的泄密

造成數(shù)據(jù)泄密的技術(shù)原因

1、數(shù)據(jù)通信安全：網(wǎng)絡(luò)端口、數(shù)據(jù)傳輸?shù)榷紩?huì)因各種原因造成電磁

泄露，企業(yè)數(shù)據(jù)庫存儲(chǔ)未安置防護(hù)設(shè)施，信息在通信傳輸過程中未進(jìn)

行加密處置（SSL證書），竊聽、非法終端接入、利用非應(yīng)用方式侵入

數(shù)據(jù)庫、線路干擾等方式都可以得知通信信息數(shù)據(jù)。

2、數(shù)據(jù)庫管理系統(tǒng)脆弱性：數(shù)據(jù)及數(shù)據(jù)庫管理系統(tǒng)通常以分級(jí)管理，

由此DBMS必然存在很多弱點(diǎn)。另外，為了方便訪問數(shù)據(jù)，DBMS會(huì)

留下不少接口，但其與操作系統(tǒng)的配套必然存在不少不足之處，而且

這種不足是先天的，無法完全克服。

3、病毒與非法入侵：由于病毒或者非法入侵而導(dǎo)致數(shù)據(jù)泄漏，病毒入

侵感染后，破壞數(shù)據(jù)、勒索加密數(shù)據(jù)等導(dǎo)致數(shù)據(jù)不可用，甚至盜取拖

庫，非法入侵指惡意攻擊者運(yùn)用不道德的手段侵入數(shù)據(jù)庫或者數(shù)據(jù)存

儲(chǔ)空間，盜取數(shù)據(jù)。

4、系統(tǒng)漏洞：系統(tǒng)內(nèi)數(shù)據(jù)庫漏洞、操作系統(tǒng)漏洞，硬件上防火墻、存

儲(chǔ)設(shè)備等網(wǎng)絡(luò)產(chǎn)品的漏洞，補(bǔ)丁更新不及時(shí)或不安全配置，導(dǎo)致惡意

攻擊者主動(dòng)發(fā)現(xiàn)了系統(tǒng)存在的漏洞，從而竊取數(shù)據(jù)。

5、訪問控制和權(quán)限管理不善：人和數(shù)據(jù)的權(quán)限分層、安全分級(jí)，帳號(hào)

的生命周期管理，安全的訪問控制，以及因?yàn)槿说拇嗳跣源嬖诙鴮?dǎo)致

的數(shù)據(jù)泄露屢見不鮮。

數(shù)據(jù)泄密的方式

竊密

攻擊者主動(dòng)竊密：惡意攻擊者或外部競(jìng)爭對(duì)手，基于經(jīng)濟(jì)利益或政治

原因驅(qū)動(dòng)，通過層出不窮的高超技術(shù)手段，竊取企業(yè)的各種重要數(shù)據(jù)。

每年都會(huì)披露出來多起外部惡意攻擊導(dǎo)致的數(shù)據(jù)泄露事件，大部分都

是中大型企業(yè)，從小型的入侵竊密事件到超大型的入侵竊密事件，從

黑客激進(jìn)分子(hacktivism)到網(wǎng)絡(luò)間諜，再到為錢作案的網(wǎng)絡(luò)犯罪集

團(tuán)，有太多太多的事情發(fā)生了。

這一類的泄密途徑主要來自于外部的威脅，網(wǎng)絡(luò)上的各種木馬、蠕蟲、

勒索軟件層出不窮，通過服務(wù)器縫隙、桌面縫隙、移動(dòng)代碼、在郵件

中選用嵌入式HTML、對(duì)HTTP和HTTPS的遍及訪問、cookie竊取、通

過大量ping攻擊服務(wù)器、腳本攻擊對(duì)應(yīng)網(wǎng)站

全球大數(shù)據(jù)安全市場(chǎng)蟲

來源：KBVResearch

泄密

這一類的泄密不僅僅是主動(dòng)泄密，也包括被動(dòng)泄密。泄密的途徑主要

有：

離職人員泄密：由于權(quán)限管理疏忽等，離職人員在離職時(shí)有意或無意

違規(guī)帶走大量核心數(shù)據(jù)（專利著作及源碼數(shù)據(jù)等）。

內(nèi)部人員泄密：

?由于內(nèi)部員工安全意識(shí)薄弱，數(shù)據(jù)安全分級(jí)不明確，操作失誤，部

分涉密人員無意中泄露數(shù)據(jù)；

?將企業(yè)內(nèi)部文檔私自拷貝外帶及復(fù)用泄密（USB/網(wǎng)絡(luò)/即時(shí)通訊/刻

錄）；

?通過截屏/錄屏/復(fù)制等方式泄露企業(yè)機(jī)密信息

?盜用他人賬號(hào)及設(shè)備非法訪問數(shù)據(jù)泄密

?通過打印機(jī)、傳真機(jī)等將敏感數(shù)據(jù)進(jìn)行介質(zhì)轉(zhuǎn)換泄密

?對(duì)敏感數(shù)據(jù)的惡意傳播及擴(kuò)散泄密；

?對(duì)核心應(yīng)用系統(tǒng)的非安全接入及訪問泄密；

?移動(dòng)筆記本、USB存儲(chǔ)設(shè)備遺失或失竊導(dǎo)致數(shù)據(jù)泄密

?郵件或網(wǎng)絡(luò)誤操作、誤發(fā)送等，數(shù)據(jù)的誤用引起的泄密

?感染病毒、木馬后引發(fā)的敏感數(shù)據(jù)泄密；

?將存放重要數(shù)據(jù)的機(jī)器、存儲(chǔ)介質(zhì)隨意交與他人使用引發(fā)的泄密

?不遵守管理制度的其他導(dǎo)致數(shù)據(jù)泄密的行為等

失密

權(quán)限失控失密：由于帳號(hào)生命周期管理不善，權(quán)限劃分及認(rèn)證鑒別方

式失控，導(dǎo)致人員對(duì)數(shù)據(jù)的密級(jí)訪問權(quán)限不對(duì)等，高密級(jí)數(shù)據(jù)流向低

權(quán)限帳號(hào)，涉密數(shù)據(jù)流向無權(quán)限帳號(hào)等。

數(shù)據(jù)維護(hù)及處置失密：不安全的加密方式或明文存儲(chǔ)、公開的存儲(chǔ)位

置、管理密鑰或存儲(chǔ)介質(zhì)丟失、未完全擦除報(bào)廢，存儲(chǔ)數(shù)據(jù)發(fā)生泄露。

信息發(fā)布失密：合作渠道商管理不善數(shù)據(jù)交互泄露，發(fā)布信息審核不

當(dāng)涉及密級(jí)數(shù)據(jù)泄露，信息數(shù)據(jù)流入未授權(quán)、競(jìng)爭關(guān)系的第三方。

因此，需要技術(shù)手段和管控制度相結(jié)合

目

自

研發(fā)部門數(shù)據(jù)安全保護(hù)最佳實(shí)踐

第三章研發(fā)代碼泄密對(duì)企業(yè)造成的影響

近年代碼泄密事故

關(guān)于代碼泄露的報(bào)道，我們?cè)诰W(wǎng)上也經(jīng)?？吹剑a泄露不但是小公

司，連蘋果、微軟這樣防范嚴(yán)密的大公司也無法幸免，國內(nèi)的大疆、B

站也都發(fā)生過，下面是最近幾年的幾個(gè)事例：

A2017年，大疆前員工將含有公司商業(yè)機(jī)密的代碼上傳到了GitHub

的公有倉庫中，造成源代碼泄露的事件。根據(jù)當(dāng)時(shí)的報(bào)道，通過這

些源代碼，攻擊者能夠訪問客戶的敏感信息，比如用戶信息、飛行

日志等等。

A2018年2月，一位名為“ZioShiba”的用戶在開源代碼托管平臺(tái)

GitHub上泄露了蘋果公司專有的舊oot源代碼。根據(jù)蘋果公司的聲明，

遭到泄露的是兩年前iOS9的源代碼，與現(xiàn)在相隔甚遠(yuǎn)，不會(huì)導(dǎo)致大

規(guī)模安全事件。但仍然可能被相關(guān)iOS安全研究人員和越獄愛好者

加以利用，在iPhone鎖定系統(tǒng)中發(fā)現(xiàn)其他新的漏洞。

>2019年4月，B站整個(gè)網(wǎng)站后臺(tái)工程源碼泄露，并且“不少用戶密碼

被硬編碼在代碼里面，誰都可以用當(dāng)天，在開源及私有軟件項(xiàng)目

托管平臺(tái)GitHub上,出現(xiàn)了名為“啤哩嘩哩bilibili網(wǎng)站后臺(tái)工程源碼”

的項(xiàng)目。導(dǎo)致當(dāng)日B站股價(jià)跌3.27%。

>2020年3月，AMD發(fā)布了一條公告，宣布有黑客竊取了AMD現(xiàn)在及

即將發(fā)布的圖形產(chǎn)品及子集的測(cè)試文件，盡管目前已知的并不是

AMD圖形產(chǎn)品的核心機(jī)密，但還不確定黑客是否還擁有其他任何

AMDIPo

>2020年7月，包括微軟、Adobe,聯(lián)想、AMD、高通、聯(lián)發(fā)科、通

用電氣、任天堂、迪士尼在內(nèi)的50家知名公司的源代碼泄露，并被

發(fā)布在了公開網(wǎng)絡(luò)上。據(jù)報(bào)道，泄露的代碼由某瑞士軟件開發(fā)人員

收集，并以「機(jī)密&專有(excoconfidential)」的名稱放在公開訪問

的GitLab存儲(chǔ)庫中。該公共倉庫中大約包含了超過50家公司的源

碼。

>2021年1月，三井住友銀行的一名前員工，為了找工作，在開源網(wǎng)

站GitHub上傳了自己寫過的三井住友銀行的部分源代碼。1月29日，

三井住友銀行(SMBC)1月29日公開回應(yīng)，網(wǎng)傳的銀行系統(tǒng)源代碼

泄露確有其事，但是泄露的代碼已經(jīng)是6年前的版本，對(duì)客戶信息和

交易安全不會(huì)產(chǎn)生影響。除了三井住友銀行之外，還有許多知名日

企如NTTdata、NEC的源代碼也同時(shí)泄露。

代碼泄密對(duì)企業(yè)的影響

企業(yè)公眾聲望受損

當(dāng)企業(yè)發(fā)生數(shù)據(jù)泄露時(shí)，公眾會(huì)對(duì)企業(yè)產(chǎn)生不信任感，這種不信任感

會(huì)影響公眾的選擇，因此，數(shù)據(jù)泄密事故可能會(huì)令企業(yè)失去一批客戶，

包括潛在客戶。

比如雅虎郵箱曝出泄密事件后，大批用戶棄用，正在商談收購事宜的

雅虎甚至一度難以賣出。

企業(yè)經(jīng)濟(jì)利益受損

一方面，數(shù)據(jù)本身就是企業(yè)財(cái)產(chǎn)的一部分，當(dāng)數(shù)據(jù)泄露，這部分?jǐn)?shù)據(jù)

資產(chǎn)相當(dāng)于拱手讓給別人，對(duì)企業(yè)的競(jìng)爭力會(huì)產(chǎn)生威脅，間接提高了

成本、且減少收益。另一方面，聲望折損會(huì)導(dǎo)致企業(yè)股價(jià)下跌、用戶

流失，這都將對(duì)企業(yè)經(jīng)濟(jì)利益產(chǎn)生直接影響。

之前，趣店發(fā)生用戶數(shù)據(jù)泄露時(shí)，股價(jià)出現(xiàn)連續(xù)下跌，甚至一度出現(xiàn)

開盤跳水30%。

面臨訴訟等法律指控

數(shù)據(jù)一旦發(fā)生泄露，必定會(huì)出現(xiàn)受害者，受害者可能是數(shù)據(jù)來源者本

身，也可能是企業(yè)的下游客戶或遭受數(shù)據(jù)泄露影響的其他合作者。

美國征信巨頭EquiFax發(fā)生1.43億用戶泄露后，面臨一場(chǎng)美國波特蘭

聯(lián)邦法庭的集體訴訟，賠償金額高達(dá)700億美元。

內(nèi)部易產(chǎn)生不和諧因素

有的數(shù)據(jù)泄露是黑客攻擊造成的，有的則是內(nèi)部管理不善造成的，后

者更容易讓員工對(duì)企業(yè)產(chǎn)生不信任感，繼而影響企業(yè)整體的團(tuán)結(jié)。

世界500強(qiáng)公司之一的英國超市Morrisons曾發(fā)生一起泄漏事故——10

萬名員工的工資細(xì)節(jié)、住址、銀行賬戶等被內(nèi)部審計(jì)員盜取并泄露販

賣，不僅審計(jì)員入獄，Morrisons也因此被5千多名員工集體告上法庭,

要求企業(yè)為此負(fù)責(zé)并賠償。

引發(fā)高層震蕩

一場(chǎng)數(shù)據(jù)泄露背后必然有企業(yè)內(nèi)部的各種問題，而當(dāng)企業(yè)發(fā)生嚴(yán)重的

數(shù)據(jù)泄露時(shí)，通常會(huì)有高管為此擔(dān)責(zé)甚至被下臺(tái)。

美國小姐CE。被曝出郵件丑聞后，該CE。隨即離職；Uber曝出10萬

黑客封口費(fèi)后，首席安全官被罷免。

由此看來，數(shù)據(jù)泄露的代價(jià)對(duì)于

企業(yè)來說的確是十分昂貴的，損

失不可估量，有的小型或者創(chuàng)業(yè)

期企業(yè)，一旦發(fā)生核心數(shù)據(jù)泄密，

會(huì)導(dǎo)致企業(yè)身家性命丟了一半，

甚至因此而倒閉。

研發(fā)部門數(shù)據(jù)安全保護(hù)最佳實(shí)踐

第四章代碼等數(shù)據(jù)的常見保護(hù)方法

針對(duì)代碼本身的技術(shù)保護(hù)手段

代碼混淆

也稱為模糊處理，其技術(shù)原理是代碼重命名，也就是說原先具有含義

的方法名稱，重命名為毫無意義的（A,B,C諸如此類）。弱點(diǎn)：無法

隱藏調(diào)用的系統(tǒng)的函數(shù)

混淆前混淆后

packageiAmDrivingfpackaged(

publicclassLetsNavigatef...)publicclassd{...)

})

packageiAmConnecting(packagee(

publicclassMyBluetoothHandle{..)publicclasse{...)

)

packageuserIsActive{packagef(

publicclassMainActivity(...)publicclassf(...)

代碼隱藏

因?yàn)榇a混淆改變了方法簽名，在很多時(shí)候是有問題的，例如程序集

要被其他人使用的時(shí)候。因?yàn)榉椒兂闪撕翢o意義的一些字符，將

造成使用者極大的麻煩。也可以導(dǎo)致現(xiàn)有引用程序集的失效。

弱點(diǎn)：內(nèi)存有完整的代碼，利用軟件可以將內(nèi)存dump出來，得到完整

的代碼。

非托管代碼編寫

使用非托管代碼編寫核心代碼（例如核心算法），然后使用平臺(tái)交互

的方式進(jìn)行調(diào)用，非托管代碼比較難反編譯。

強(qiáng)名稱簽名

這種方法，用通俗的話說就是對(duì)文件按照Microsoft的算法對(duì)文件進(jìn)行

Hash,然后將hash出來的數(shù)據(jù)(publickeytoken)寫入文件。在運(yùn)行

或者對(duì)文件進(jìn)行調(diào)用的時(shí)候，SDK會(huì)檢查publickeytoken,若不符合

則拋出異常，退出。

弱點(diǎn)：反編譯后將publickeytoken部分去掉即可。

代碼加密

改變MSIL和JIT的通信，根據(jù)底層的需要來解密代碼。破解的難度大，

較安全，內(nèi)存無完整代碼。

弱點(diǎn)：編程的難度大，若利用專門的加密軟件，則會(huì)加大系統(tǒng)的開發(fā)

成本。

代碼本地化

代碼完全編譯成本機(jī)代碼，同Win32下的應(yīng)用程序一樣，完全失去

了.NET的優(yōu)越性。

代碼加水印

簡單的說，就是讓特定的字符串以圖片的形式，繪制在程序的界面上，

用來提示軟件是否注冊(cè)，這種保護(hù)方法，關(guān)鍵的地方就是對(duì)圖片繪制

條件的判斷，如果僅僅是用true或者false來判斷，就形同虛設(shè)了。

研發(fā)部門內(nèi)部管控手段

禁用U口

企業(yè)可以通過禁用USB接口，這種方式可以

有效防止惡意的數(shù)據(jù)拷貝，如果需要對(duì)外發(fā)

送的話，需要經(jīng)過審核后由專人拷貝出來再

外發(fā)。但是這種方法不能算一個(gè)完美的方案

比如員工真想拷貝的話，可以直接開機(jī)把硬

盤拿出來拷貝數(shù)據(jù)。

其實(shí)說白了就是終端安全防護(hù)這塊，禁用

USB接口只是終端安全防護(hù)的一種，還有

禁止打印、禁用光驅(qū)等等。

加密軟件

文件透明加密是一種比較常見的數(shù)據(jù)安全保護(hù)手段。不影響員工日常

的操作，加密的文件只能在單位內(nèi)部電腦上正常使用，一旦脫離單位

內(nèi)部的網(wǎng)絡(luò)環(huán)境，在外部電腦上使用是亂碼或無法打開。這樣可以有

效防止內(nèi)部員工的主動(dòng)泄密。

這種方式尤其適合圖紙、代碼等科技研發(fā)型企業(yè)或者高新制造業(yè)。

控制訪問權(quán)限

網(wǎng)站白名單，只允許訪問工作需要的網(wǎng)站，其他一律禁止掉。這個(gè)算

是比較嚴(yán)格的限制方式了。

采用應(yīng)用過濾，禁止掉所有的文件傳輸、網(wǎng)盤、郵件等。這個(gè)方案相

對(duì)有效，但是不能排除通過未知的應(yīng)用協(xié)議來傳文件，而且會(huì)給日常

工作帶來一些不便。還是需要慎用的。

部署DLP（數(shù)據(jù)防泄漏）系統(tǒng)

有條件的企業(yè)可能會(huì)在內(nèi)外網(wǎng)邊界部署DLP（數(shù)據(jù)防泄漏）系統(tǒng)，所

有內(nèi)部向外部發(fā)出的數(shù)據(jù)，都要經(jīng)過DLP系統(tǒng)的內(nèi)容掃描，在確保不

包含敏感信息的情況下才允許發(fā)出。這也是比較常見的一種方式，可

以有效防止各個(gè)渠道的外發(fā)泄密。

第三方身份驗(yàn)證

現(xiàn)在有許多基于標(biāo)準(zhǔn)且高度安全的身份驗(yàn)證產(chǎn)品可供選擇，這樣的話，

你的員工/客戶等等就不需要一個(gè)個(gè)記住賬號(hào)密碼了，這樣就能減少賬

號(hào)泄密的風(fēng)險(xiǎn)了。

服務(wù)器上備份文件

及時(shí)的將重要文件備份，以便丟失后能及時(shí)找回，同時(shí)可以減少無意

的泄密帶來損失。

特殊部門不允許進(jìn)行文件外發(fā)

比如研發(fā)部門或者財(cái)務(wù)部門這種，核心和敏感數(shù)據(jù)較多，不允許他們

直接的對(duì)外發(fā)送文件，如果需要發(fā)送的話，需要經(jīng)過審批后，由專人

進(jìn)行發(fā)送。

監(jiān)控電腦的文件外發(fā)動(dòng)作

這個(gè)就需要有帶有監(jiān)控功能的軟件了，可以監(jiān)控到每個(gè)人的電腦操作

行為，一旦產(chǎn)生外發(fā)動(dòng)作，就會(huì)給管理員發(fā)出警報(bào)。

云桌面

云桌面也是一種很流行的方式，很多研發(fā)型企業(yè)都在使用，它的成本

比較低，使用靈活，可以快速響應(yīng)企業(yè)和開發(fā)需求，比如企業(yè)規(guī)模擴(kuò)

大時(shí)，可快速實(shí)現(xiàn)資源配置和擴(kuò)展。

最重要的是，數(shù)據(jù)都集中在服務(wù)器上，開發(fā)人員的終端不再保存數(shù)據(jù)

和存儲(chǔ)，實(shí)現(xiàn)代碼等數(shù)據(jù)不落地，對(duì)于企業(yè)來說，不僅僅是便于管理

了，而且更能保障信息安全。

網(wǎng)絡(luò)隔離

這個(gè)算是目前最流行的方式了。絕大多數(shù)企業(yè)采取的第一個(gè)步驟是將

企業(yè)內(nèi)網(wǎng)與互聯(lián)網(wǎng)進(jìn)行隔離，將內(nèi)部數(shù)據(jù)“困在”內(nèi)網(wǎng)，同時(shí)也能夠有

效屏蔽外部網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)。

較大規(guī)模的企業(yè)還可能對(duì)內(nèi)部網(wǎng)絡(luò)實(shí)施進(jìn)一步的隔離，比如劃分為辦

公網(wǎng)、研發(fā)網(wǎng)、生產(chǎn)網(wǎng)、測(cè)試網(wǎng)等，主要用來屏蔽不同部門、不同業(yè)

務(wù)之間的違規(guī)數(shù)據(jù)交換。通過網(wǎng)絡(luò)隔離的方式，可以有效防止內(nèi)部核

心代碼數(shù)據(jù)泄露。

研發(fā)辦公

內(nèi)網(wǎng)，內(nèi)網(wǎng)

研發(fā)部門數(shù)據(jù)安全保護(hù)最佳實(shí)踐

第五章網(wǎng)絡(luò)隔離方式介紹

回DMZ區(qū)隔離

DMZ（DemilitarizedZone,隔離區(qū)）它是為了解決安裝防火墻后外部網(wǎng)絡(luò)的訪問

用戶不能訪問內(nèi)部網(wǎng)絡(luò)服務(wù)器的問題，而設(shè)立的一個(gè)非安全系統(tǒng)與安全系統(tǒng)之間的

緩沖區(qū)。

一般來講，企業(yè)在內(nèi)外網(wǎng)間架設(shè)兩道防火墻，兩道防火墻中間的區(qū)域即為DMZ區(qū)。

內(nèi)部網(wǎng)絡(luò)可以主動(dòng)訪問DMZ區(qū)，DMZ區(qū)可以主動(dòng)訪問外部網(wǎng)絡(luò)，這樣就形成了一個(gè)

中間緩沖區(qū)，從而可以達(dá)到更高的安全標(biāo)準(zhǔn)。

DMZ防火墻為要保護(hù)的內(nèi)部網(wǎng)絡(luò)增加了一道安全防線，通常認(rèn)為是非常安全的。同

時(shí)它提供了一個(gè)區(qū)域放置公共服務(wù)器，從而又能有效地避免一些互聯(lián)應(yīng)用需要公開，

而與內(nèi)部安全策略相矛盾的情況發(fā)生。

為了讓特定業(yè)務(wù)跨網(wǎng)，需要使其穿透DMZ區(qū)，這一般要求在DMZ區(qū)內(nèi)部署針對(duì)該業(yè)

務(wù)的代理（中轉(zhuǎn)）設(shè)備。

國雙網(wǎng)卡主機(jī)隔離

在一臺(tái)物理主機(jī)上安裝兩個(gè)網(wǎng)卡，一個(gè)連接內(nèi)部網(wǎng)絡(luò)，一個(gè)連接外部網(wǎng)絡(luò)。

這種隔離方式實(shí)際上是構(gòu)造了一個(gè)同時(shí)能夠連接兩個(gè)

網(wǎng)絡(luò)的特殊設(shè)備，一般需要有專人管理。當(dāng)需要進(jìn)行

跨網(wǎng)文件交換時(shí)，發(fā)送者將數(shù)據(jù)傳輸?shù)皆撝鳈C(jī)上，由

專人進(jìn)行文件內(nèi)容的審查和登記后，再將數(shù)據(jù)由這臺(tái)

主機(jī)發(fā)送到另一個(gè)網(wǎng)絡(luò)內(nèi)。

A

SS防火墻隔離

在內(nèi)部網(wǎng)和外部網(wǎng)之間、專用網(wǎng)與公共網(wǎng)之間的邊界上構(gòu)造的保護(hù)屏障。在兩

個(gè)網(wǎng)絡(luò)之間架設(shè)防火墻，默認(rèn)阻斷所有跨網(wǎng)通信。

為了讓特定業(yè)務(wù)跨網(wǎng)，可以在防火墻上配置針對(duì)于該業(yè)務(wù)的特殊規(guī)則，使該業(yè)

務(wù)的通信可以穿過防火墻。

使用防火墻的好處有：保護(hù)脆弱的服務(wù)，控制對(duì)系統(tǒng)的訪問，集中地安全管理，

增強(qiáng)保密性，記錄和統(tǒng)計(jì)網(wǎng)絡(luò)利用數(shù)據(jù)以及非法使用數(shù)據(jù)情況。

VLAN隔離

VLAN隔離技術(shù)根據(jù)特定的策略，把物理上形成的局域網(wǎng)(LocalArea

Network,LAN)劃分成不同的邏輯子網(wǎng)，把數(shù)據(jù)鏈路層廣播報(bào)文隔離在邏輯

子網(wǎng)之內(nèi)，形成各自的廣播域，每個(gè)邏輯子網(wǎng)就是一個(gè)“虛擬的局域網(wǎng)(Virtual

LAN)”。每個(gè)接入至支持VLAN的交換機(jī)的終端設(shè)備，都屬于一個(gè)特定的

VLAN,不同VLAN中的終端設(shè)備無法直接通過數(shù)據(jù)鏈路層通信。

網(wǎng)閘/光閘隔離

網(wǎng)閘/光閘是專用的網(wǎng)絡(luò)隔離設(shè)備，其隔離安全性

最高，基本原理是阻斷網(wǎng)絡(luò)通信協(xié)議，在內(nèi)部采

用私有通信協(xié)議，同一時(shí)間只連接一個(gè)網(wǎng)絡(luò)，輪

流連接兩個(gè)網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)擺渡。

L^J虛擬桌面隔離

如果企業(yè)已經(jīng)實(shí)施了虛擬桌面平臺(tái)，可以在虛擬化平臺(tái)內(nèi)構(gòu)造兩個(gè)虛

擬子網(wǎng)（比如一個(gè)辦公虛擬子網(wǎng)，一個(gè)研發(fā)虛擬子網(wǎng)），兩個(gè)虛擬子

網(wǎng)子網(wǎng)間不連通。企業(yè)可以為每個(gè)有需求的員工分配兩個(gè)虛擬桌面，

分別連接兩個(gè)虛擬子網(wǎng)，通過這種方式來實(shí)現(xiàn)虛擬桌面的隔離。

虛擬桌面隔離的優(yōu)勢(shì)：

＞降低運(yùn)維成本。一方面PC機(jī)變成了價(jià)格更低、功耗更低和免維護(hù)

的云終端，大大降低企業(yè)TCO成本；另一方面云桌面可實(shí)現(xiàn)桌面環(huán)

境快速就緒，還可以加快故障排查速度，極大地減少整體運(yùn)維成本。

＞使用靈活，易于擴(kuò)展。當(dāng)企業(yè)規(guī)模擴(kuò)大、辦公人員增加或者需要提

升開發(fā)配置時(shí)，云桌面可以快速實(shí)現(xiàn)資源配置和擴(kuò)展，靈活響應(yīng)企

業(yè)和開發(fā)需求。

＞便于統(tǒng)一管理。所有數(shù)據(jù)都集中在服務(wù)器上統(tǒng)一管理和運(yùn)行，管理

員都可以在服務(wù)器進(jìn)行統(tǒng)一管理和維護(hù)，比PC更方便快捷。

＞安全性得以保障。數(shù)據(jù)都集中在服務(wù)器上，終端不再保存數(shù)據(jù)和存

儲(chǔ)，員工訪問重要數(shù)據(jù)和拷貝資料都要權(quán)限才可以進(jìn)行，實(shí)現(xiàn)數(shù)據(jù)

不落地，保障信息安全，就不再需要終端安全管控產(chǎn)品了。

通過虛擬化隔離后，不僅僅終端安全問題解決了，網(wǎng)絡(luò)層面的安全問

題也解決了。

研發(fā)部門數(shù)據(jù)安全保護(hù)最佳實(shí)踐

第六章研發(fā)數(shù)據(jù)如何跨隔離網(wǎng)安全交換？

研發(fā)數(shù)據(jù)需要跨隔離網(wǎng)交換

所以，對(duì)于研發(fā)部門來說，推薦的方式就是虛擬化+網(wǎng)絡(luò)隔離，可以

有效保護(hù)研發(fā)代碼等核心數(shù)據(jù)。不過隔離之后，還是存在很多數(shù)據(jù)交

換的業(yè)務(wù)場(chǎng)景和需求：

?處在內(nèi)網(wǎng)的員工，需要將設(shè)計(jì)圖紙、項(xiàng)目資料等文件發(fā)送給外網(wǎng)的

用戶。

?客戶、供應(yīng)商、合作伙伴，需要通過互聯(lián)網(wǎng)將文件發(fā)送給內(nèi)網(wǎng)員工。

?研發(fā)型企業(yè)需要持續(xù)將從外部獲取的大量數(shù)據(jù)導(dǎo)入到研發(fā)網(wǎng)，進(jìn)行

機(jī)器學(xué)習(xí)、數(shù)據(jù)挖掘等數(shù)據(jù)處理工作，比如傳感器采集的數(shù)據(jù)、測(cè)

試數(shù)據(jù)、網(wǎng)絡(luò)服務(wù)收集的數(shù)據(jù)等。

所以，IT部門需要選擇一個(gè)既符合安全管理標(biāo)準(zhǔn)，又能滿足研發(fā)部

門用戶需求，同時(shí)又可以被IT管控的跨網(wǎng)文件交換系統(tǒng)。

研發(fā)部門對(duì)于跨網(wǎng)文件交換IT部門對(duì)于跨網(wǎng)文件交換

的需求有：的要求有：

?便捷?管控

?直接?可視化

等易用?安全

?快?合規(guī)

開端口

在采用防火墻等軟隔離手段時(shí)，許多企業(yè)在解決跨網(wǎng)文件交換時(shí)，為

了方便，常常采用為特定業(yè)務(wù)開通特例端口的方式，使其不受跨網(wǎng)隔

離的限制。

這種“開口子”的方式盡管一時(shí)方便，但是實(shí)際上違背了網(wǎng)絡(luò)隔離的初

衷，降低了安全標(biāo)準(zhǔn)，最終口子開得越來越多，防火墻上百孔千瘡，

網(wǎng)絡(luò)隔離形同虛設(shè)。

人工操作

在采用無法開口子的硬隔離手段時(shí)，企業(yè)可能選用

的另一種方式——人工，指派具有特殊權(quán)限的專人，_

以人工手動(dòng)的方式在兩個(gè)網(wǎng)絡(luò)之間進(jìn)行數(shù)據(jù)拷貝。

在這種情況下，企業(yè)不但操作麻煩，浪費(fèi)人力、效

率低下，業(yè)務(wù)需求往往無法得到及時(shí)響應(yīng)，而且無

法保證人工操作本身的正確性和安全性，無法監(jiān)管

到究竟拷貝了哪些內(nèi)容，拷貝的內(nèi)容最終是誰使用

了，沒有任何記錄可查詢，一旦出現(xiàn)數(shù)據(jù)泄露的情

況，是難以追責(zé)的。

網(wǎng)閘擺渡

網(wǎng)閘等專用隔離設(shè)備，一般自帶在兩個(gè)網(wǎng)絡(luò)間文件同步的功能，企業(yè)

可能會(huì)利用這一功能完成跨網(wǎng)文件交換。

然而網(wǎng)閘的文件同步功能，一般是從一個(gè)網(wǎng)絡(luò)的存儲(chǔ)位置到另一網(wǎng)絡(luò)

的存儲(chǔ)位置，而企業(yè)的安全管理訴求遠(yuǎn)不止于此。比如，哪些人可以

將文件放到指定存儲(chǔ)位置，是否可以由管理人員審批，哪些人可以從

存儲(chǔ)位置將文件取走，是否有通知，這些過程是否有記錄，是否可審

計(jì)等等。

FTP傳輸

有些企業(yè)可能會(huì)架設(shè)一個(gè)FTP服務(wù)器或網(wǎng)絡(luò)

共享，在網(wǎng)絡(luò)設(shè)備中將其設(shè)置為例外，以此

實(shí)現(xiàn)文件交換。FTP是一種標(biāo)準(zhǔn)的網(wǎng)絡(luò)協(xié)議，

可以用于在互聯(lián)網(wǎng)上傳遞文件，它是可以解

決不同網(wǎng)段之間數(shù)據(jù)交換的部分問題的。

但是在文件擺渡中，還是存在著一些問題。

比如沒有任何安全策略，存在泄密的風(fēng)險(xiǎn)；

可靠性較差，經(jīng)?？赡艹霈F(xiàn)傳輸錯(cuò)誤、中斷，

甚至文件丟失的現(xiàn)象；沒有日志記錄功能，

出現(xiàn)問題難以追溯；要有專人值守，耗費(fèi)大

量人力成本。

專用跨網(wǎng)文件交換方案介紹

（FtransFerry跨網(wǎng)文件安全交換系統(tǒng)》：企業(yè)文件數(shù)據(jù)在一個(gè)平臺(tái)

內(nèi)完成發(fā)送、檢測(cè)、審批、接收、審計(jì)的全流程，大幅提升操作易用

性及業(yè)務(wù)時(shí)效性，建立統(tǒng)一、安全、可控、便捷的跨網(wǎng)數(shù)據(jù)交換通道，

實(shí)現(xiàn)事前可控制、事中可審查、事后可追溯的跨網(wǎng)文件交換全生命周

期管控。

以軟件系統(tǒng)為核心，無需復(fù)雜的環(huán)境支持，部署簡單，大幅減少IT人

員日常維護(hù)工作量。使用界面一目了然，不改變用戶日常使用習(xí)慣，

操作簡單，開箱即用，平滑建設(shè)跨網(wǎng)文件交換體系。

辦公外網(wǎng)

支持多種網(wǎng)絡(luò)隔離方式

Ftrans

唐網(wǎng)文件安全交換系統(tǒng)

■■（炯

4劇

虛擬桌面隔離網(wǎng)閘隔施防火墻隔離

由O品

VLAN隔離DMZ隔離軟件邏輯隔離

跨網(wǎng)安全擺渡

（收件人）

典型應(yīng)用場(chǎng)景：

辦公網(wǎng)、研發(fā)網(wǎng)、生產(chǎn)網(wǎng)間的數(shù)據(jù)交換

虛擬桌面環(huán)境與外部網(wǎng)絡(luò)間的數(shù)據(jù)交換

研發(fā)部門數(shù)據(jù)安全保護(hù)最佳實(shí)踐

《FtransFerry跨網(wǎng)文件安全交換系統(tǒng)》功能介紹

可管可控的Rrans跨網(wǎng)文件安全交換解決方案

主要功能：

?全平臺(tái)日志審計(jì)：隨時(shí)獲取文件交換行為日志

?文件歸檔可追溯：輕松追溯所有操作行為和文件內(nèi)容

?確保安全合規(guī)：告別FTP/U盤，100%數(shù)據(jù)安全性

?重要文件審批才能發(fā)送：滿足各類審批要求，保護(hù)知識(shí)產(chǎn)權(quán)不流失

?為不同交換場(chǎng)景提供最優(yōu)解：支持多種文件交換方式

?支持多種網(wǎng)絡(luò)隔離架構(gòu)：適用于防火墻、DMZ、網(wǎng)閘、虛擬化等

?攔截病毒文件：自動(dòng)防病毒檢查，防止病毒擴(kuò)散

?敏感內(nèi)容發(fā)現(xiàn)：防止不合規(guī)的文件泄露

?強(qiáng)大的集成能力和延展性：快速適配既有IT體系

?大體量可靠交換：TB級(jí)單一文件，百萬級(jí)海量文件，傳輸無壓力

?快速部署，實(shí)施周期短：支持私有化部署，支持虛擬化部署

研發(fā)部門數(shù)據(jù)安全保護(hù)最佳實(shí)踐

幾種常見的跨網(wǎng)文件交換方案對(duì)比

移動(dòng)硬盤拷雙網(wǎng)卡專用跨網(wǎng)文件交換

考慮因素網(wǎng)閘擺渡

貝FTP/雙（如Ftrans跨網(wǎng)文件交

FTP換）

隔離安全性較好好較差好

數(shù)據(jù)交換速度一般差一般極高

難

防病毒檢查難難內(nèi)置自動(dòng)殺毒檢查

易染病毒