关于NAS电子文档和数据集中存储安全管理技术方案

1NAS电子文档安全和数据集中存储管理系统技术方案北京中讯锐尔科技有限公司上海中讯锐尔软件科技有限公司2目录1.XXX公司有限公司涉密信息系统的现状.................................................................................21.1.基本情况...........................................................................................................................21.2.XXX公司网络信息系统文件集中存放处使用情况......................................................32.XXX公司网络信息系统文件集中存放安全隐患及安全需求.................................................32.1.XXX公司网络信息系统中采用FTP集中存放文件安全隐患分析...........................32.1.1.文件服务器目录共享可能存在的安全隐患........................................................32.1.2.文件服务器采用FTP协议为用户提供文件服务存在的安全隐患分析...........42.2.XXX公司数据集中存储NAS电子文档安全管理系统建设的必要性和急迫性.........53.XXX公司数据集中存储NAS电子文档安全管理系统管理建设方案...................................53.1.XXX公司数据集中存储NAS电子文档安全管理系统安全需求................................53.2.XXX公司数据集中存储NAS电子文档安全管理系统产品选型................................63.3.XXX公司数据集中存储NAS电子文档安全管理系统技术方案................................63.3.1.系统部署................................................................................................................63.3.2.RierNasSafety网关和XXX公司信息系统用户管理平台的集成.....................73.3.3.RierNasSafety身份认证和域用户身份认证的集成............................................73.4.XXX公司数据集中存储NAS电子文档安全管理系统安全功能描述.........................83.4.1.RierNasSafety主要功能........................................................................................83.5.XXX公司数据集中存储NAS电子文档安全管理系统先进性描述............................94.产品证书....................................................................................................................................111.XXX有限公司涉密信息系统的现状1.1.基本情况XXX公司有限公司在公司领导的重视下，信息技术得到了很大的发展，XXX公司基本上建立了一套完整的信息系统，该信息系统在XXX公司的科研、生产、业务及办公自动化等领域发挥了重要的作用。目前XXX公司的信息系统分为：网络信息系统、单机涉密信息系统、中间机及国际互联网信息系统。网络信息系统、单机涉密信息系统、中间机不能和国际互联连接，而国际互联网信息系统采用网吧的形式统一管理。31.2.XXX公司网络信息系统文件集中存放处使用情况XXX公司已经建立了一套比较完备的网络信息系统，该网络信息系统有大量的文件集中存储。对于集中存储的文件，目前采用的方式是：利用windows操作系统建立了一个文件服务器，服务器管理的文件目录空间采用共享方式给用户使用或采用ftp上传或下载文件。2.XXX公司网络信息系统文件集中存放安全隐患及安全需求XXX公司有文件集中存放的需求，目前采用文件服务器来存放数据文件。不管采用目录共享或采用ftp文件服务协议，来使用户上传和下载文件。从安全性分析，这两种方式都存在安全隐患。具体见下面的分析。2.1.XXX公司网络信息系统中采用FTP集中存放文件安全隐患分析由于NAS系统在技术上重在实现对数据的网络存储，但对网络数据存储数据本身安全性以及数据存储访问控制的过程缺少控制和监管。特别是NAS或文件服务器文件目录常常以共享的方式被windows客户端所使用。无任何安全保密防护的共享在涉密信息系统是不允许使用的，具体原因如下。2.1.1.文件服务器目录共享可能存在的安全隐患文件服务器目录共享给用户使用，存在的安全隐患如下：（1）现有的NAS系统或文件服务器管理员权限过高，管理员可以直接访问NAS或文件服务器，查看NAS或文件服务器的文件内容。（2）基于windows平台的客户端访问NAS系统或文件服务器，NAS或文件服务器提供的访问控制机制对用户的身份认证的安全强度达不到保密的要求；4（3）现有NAS系统或文件服务器采用目录共享方式给用户使用，现有系统对文件目录权限控制机制不够严密，难以达到保密主管部门安全保密要求。其表现是：系统管理员将NAS或文件服务的目录共享给组织机构某部门使用，其结果是：部门所有成员都能访问该共享目录中的数据文件，存在敏感数据文件在部门内部泄密的安全隐患。（4）在涉密信息系统中，存放在NAS系统或文件服务器中的数据文件没有“密级”标识。按照国家保密局的要求，集中存放的文件，应当标注“内部”、“秘密”和“机密”等字样。现有的NAS系统或文件服务器对文件的存放位置没有按照“密级”分类管理和控制措施，“机密”数据文件可能和“内部”数据文件存放在同一的目录中。违背禁止“高密低流”等安全原则。（5）现有的NAS系统和文件服务器缺少用户对目录访问的审计机制。（6）现有的NAS系统和文件服务器缺少对文件的细粒度控制。2.1.2.文件服务器采用FTP协议为用户提供文件服务存在的安全隐患分析如果XXX公司采用FTP文件上传下载协议来集中存放文件，因FTP协议仅仅是文件上传和下文件下载的协议，并未从根本上解决文件存在存放的安全问题，具体体现如下：（1）文件集中存放，缺少文件标密。目前采用FTP协议上传和下载文件，只要具备FTP文件服务器账号的用户，都可以登录FTP文件服务器。存放在文件服务器上的文件，缺少文件密级标识，FTP文件服务器没办法阻止低密级人员访问高密级的文件。（2）文件服务器存放的文件，缺少按部门、按照人员涉密程度分类。集中存放的文件，完全可能成为文件泄密的集中源头。（3）FTP提供“用户名+口令”的方式使用户登录FTP文件服务器，身份认证的安全强度达不到国家保密局的有关要求。（4）现有的FTP文件服务器，用户上传和下载文件，缺乏审计功能，不符5合有关的保密规定。（5）现有的FTP文件服务，没有办法阻止系统管理员权限过大的问题，也就是说FTP文件服务器的文件对系统管理员是完全透明的。2.2.XXX公司数据集中存储NAS电子文档安全管理系统建设的必要性和急迫性XXX公司数据集中存储NAS电子文档安全管理系统建设的必要性：随着XXX公司信息建设的步伐加快，越来越多的数据文件将被集中存放。现有文件目录共享或FTP文件服务器的模式，不管是涉密信息的安全要求、企业内部知识产权的保护还是从国家保密的有关保密要求来看，都不能满足其要求。XXX公司数据集中存储NAS电子文档安全管理系统建设的必要性：XXX公司信息系统越来越多的应用依赖于数据的集中存储，数据集中存放带来的问题直接威胁到XXX公司数据安全和知识产权的保护在军工的保密资格认证，因XXX公司有文件服务器的应用。文件集中存储安全管理已经成为军工保密资格认证检查项。3.XXX公司数据集中存储NAS电子文档安全管理系统管理建设方案3.1.XXX公司数据集中存储NAS电子文档安全管理系统安全需求数据集中存储NAS电子文档安全管理系统安全需求如下：（1）在文件服务器和用户之间采用“存储安全网关”的方式来确保文件服务器和用户之间的安全。用户只能通过存储安全网关才能访问文件服务器的文件。（2）对于文件服务存储空间分类，系统管理员可以根据集团部门情况划分数据空间（即：建立文件目录）。并且可以对文件目录标密，如：内6部、秘密和机密等。（3）具备比较完备的用户管理，可以按照组织机构来管理用户，用户也有密级的划分。（4）系统管理员可以对文件目录按照用户组织机构的节点来授权，系统能根据组织机构节点用户密级以及文件目录的标密，自动生成基于目录的访问控制列表，实现用户对文件目录的访问控制。（5）采用USBKEY等智能密钥实现文件服务器对用户身份的强认证，并能和XXX建设的操作安全登录系统无缝集成。（6）用户上传文件前，需要对文件进行标密，标密的文件有“内部、秘密和机密”，高密级的文件不能存放在低密级的文件目录中；（7）用户上传文件，必须指定具有访问该文件同密级的用户，达到文件和用户的细粒度的控制。（8）系统具备比较完备的审计功能。（9）文件存放在文件服务数据的是加密的，防止文件服务器管理员越权获取文件信息。3.2.XXX公司数据集中存储NAS电子文档安全管理系统产品选型本次项目产品选型为上海中讯锐尔“RierNasSafety电子文档安全管理系统”(以下简称：RierNasSafety)，该系统是针对涉密单位系统数据集中存储电子文档安全管理系统。该系统已经通过国家保密局涉密信息系统安全保密测评中心测评，并获得产品证书。3.3.XXX公司数据集中存储NAS电子文档安全管理系统技术方案3.3.1.系统部署系统部署拓扑结构图如下：7用户终端用户终端交换机存储服务器192.168.2.11192.168.1.101192.168.1.102192.168.1.11192.168.2.12NasSafety电子文档安全系统说明：RierNasSafety电子文档安全管理系统串在存储服务器和客户端之间，用户对文件服务器的访问必须通过“RierNasSafety电子文档安全管理系统”网关才能访问。3.3.2.RierNasSafety网关和XXX信息系统用户管理平台的集成XXX已经建立了一套完整的信息系统，在该系统中有统一的用户管理平台，该平台和域ADS用户管理平台集成。为了确保部署的RierNasSafety用户管理和统一的用户管理保持一致，并尽量减少用户的维护工作，需要将RierNasSafety用户管理和域ADS用户管理集成。在本次项目中，只需要在ADS服务器驻留一个服务即可实现用户信息的同步。3.3.3.RierNasSafety身份认证和域用户身份认证的集成XXX身份认证采用中讯锐尔“RierKeySafety安全登录与监控审计系统”实现用户对域用户的身份的安全认证，RierNasSafety可以和“RierKeySafety安全登录与监控审计系统”集成，并能实现SSO，即：单点登录，用户登录域服务器，进入RierNasSafety系统，不需要用户输入额外的认证信息。83.4.XXX公司数据集中存储NAS电子文档安全管理系统安全功能描述3.4.1.RierNasSafety主要功能该系统的主要功能如下：◆系统