教你如何进行数据安全综合防护

    随着计算机应用的普及，计算机数据安全问题成为了日益突出的问题，特别是在网络环境下，数据的安全问题不仅涉及到系统数据和用户数据遭到逻辑级别或物理级别的损坏威胁，而且涉及到敏感数据通过网络泄漏的威胁。如何保护计算机数据安全已经是重大的战略问题。

    从目前来看，对计算机数据安全构成威胁的主要来源有：

    1. 用户误操作引起的数据丢失、系统崩溃等。

    2. 病毒等恶意程序对数据的破坏。

    3. 敏感数据(如财务报表等)和各种账号(如邮箱账号和密码；网上银行的账号和密码、网上股票交易的账号和密码等)的安全。

    这些问题的完整解决需要多个部分的配合，是目前单纯的杀毒软件、防火墙或其它数据防护产品难以胜任的，因此迫切需要研发一种具有综合防护能力的计算机数据安全系统。

    一、数据保护的基本原理

    对于数据的保护，本质上是通过数据冗余方式来实现的，但不同的保护算法，产生的数据冗余程度会有很大的差别，如基于文件的备份方式，如果不使用压缩算法，文件的每个备份就会额外需要和原文件相同大小的存储空间。

    在现代操作系统中，数据的逻辑存储方式是以文件形式进行组织和存放的，文件在存储介质上的组织和结构依赖于具体的文件系统，不同的文件系统在存储介质上的组织和结构会有不同的形式。

    在计算机中，数据的访问方式主要以文件的形式进行，但也可绕过文件系统直接存取存储介质上的数据，其具体结构参见图1。

图1

    计算机中数据的组织和存放形式决定了在计算机上实现数据保护的基本原理和方法，从实现的层次上，大致可以分为两大类：

    1． 基于文件级的数据保护

    目前市场上主流的加密软件多数是文件集的数据保护。以北京亿赛通文档安全管理系统CDG为代表。

    基于文件级的数据保护，其算法的实现主要通过软件进行实现，具体实现的层次一般位于文件系统的内部或外部，一般以文件为单位对数据进行备份处理，参见图2。

图2

    按照对文件的不同处理方式，可进一步划分为：

    1) 文件同步备份方式

    该保护方式是指在写文件时， 同时写两份或以上，达到实时备份的目的，如双机热备份就属于这种方式。

    该方式在实现上一般位于文件系统的内部，它的主要特点是数据的可靠性高，但实现的难度比大。

    2) 文件异步备份方式

    该保护方式是指在操作系统已经完成文件的写入后，立即或以后将文件拷贝到其它的地方将数据保存起来的方式，是最常用的数据保护方式，如同常使用的数据备份方式就属于这种方式。

    该方式在实现上一般位于文件系统的外部，它的主要特点是方便灵活，实现简单。

    2． 基于存储介质的数据保护

    市场上磁盘级加密软件，以北京亿赛通磁盘全盘加密系统DiskSec为代表。

    基于存储介质的数据保护，其算法的实现可通过纯软件或硬件实现，也可软硬件结合进行实现，如常用的磁盘冗余阵列磁盘RAID，其实现方式有基于硬件的RAID卡，也有软件实现的软RAID。具体实现的层次一般位于存储介质控制器或存储介质驱动程序层中，     由于在这一级别难以获得文件的有关概念，因此其实现基本上均以存储介质的基本单位为单位进行数据备份，参见图3。

图3

    基于这一级别现实的算法主要有以容错为主的RAID0－RAID5，以系统保护为主的磁盘双工等。

    3． 基于文件级和存储介质级的数据保护的主要特点

    虽然不同的保护算法，会有各自不同的特点，但其实现的层次在很大程度上决定了其主要特点。

    1) 基于文件级的数据保护

    主要优点：

    方便灵活，针对性强，既可以备份特定的文件，也可以备份整个文件系统，数据的可靠性比较高。

    主要缺点：

    对于系统的保护较弱，在系统遭到透过文件系统的破坏操作时，难以直接恢复系统，占用的磁盘空间一般比较多(和具体实现算法有关)，而且难以实现系统的快速还原。

    2) 基于存储介质的数据保护

    主要优点：

    对系统的保护较强，占用的磁盘空间一般比较小(和具体实现算法有关)，容易实现系统的快速还原。

    主要缺点：

    数据的可靠性一般不如基于文件级的数据保护高，难以解决由于文件系统的逻辑损坏造成的数据丢失问题。

    三、已经实现的硬盘数据保护的实现方式和特点

    1、 实现方式

    采用基于文件和基于存储介质的数据保护进行综合实现，充分利用各自的特点，相互取长补短，从而实现既能有效抵御高强度的数据破坏，并能有效地保护用户数据的安全。

    其中基于存储介质的数据保护算法采用数据映射方式进行实现，主要作用是抵御病毒、恶意程序、误操作等引起的系统的损坏，在系统遭到严重破坏的情况下，保证能够快速还原系统。

    该算法充分利用基于存储介质数据保护所能实现的功能，其突出特点是占用磁盘空间小，保护强度高，系统还原速度快，对系统的性能影响比较小。但获得这些性能是以牺牲用户数据安全性为代价的，因此也决定了这种算法的致命弱点：在还原系统数据的同时，将用户产生的有用数据也同时还原掉，从而造成用户数据的丢失。

    为了弥补这一算法的缺点并保留该算法的优点，开发了基于文件级的数据保护算法作为该算法的姊妹算法。

    基于文件级的数据保护算法采用文件同步备份算法，可根据用户设置的数据备份策略，实时自动备份用户保存的关键数据文件，提供按文件类型或目录等多种策略设置方式。该算法的主要特点是对文件进行同步备份，对系统性能的影响比较小，由于用户产生的数据量一般比较少，因此其额外占用磁盘空间比较少。

    2、 主要特点

    由于采用文件级和磁盘级相互配合的实现方式，因此该数据保护方法兼有文件级和磁盘级数据保护的优点，并且克服了两种保护方式中的缺点。

    1) 能有效地保护系统文件和用户数据文件。

    2) 可防止各种方式对硬盘数据的破坏，对于格式化硬盘和各种病毒的攻击以及人为的破坏等均能有效防范。

    3) 保护方式多样，可随意设置保护任何一个或数个希望保护的逻辑盘。

    4) 可以将分区设置成只读、隐藏等属性，有效保护重要数据不被改写。

    5) 目前支持Windows 95/98/ME/NT/2000等常用的操作系统，支持FAT12/FAT16/BigDOS/FAT32/NTFS等常用的文件系统。

    6) 额外占用硬盘空间小，数据还原速度快

    7) 支持容量高达2000GB的大硬盘。

    8) 支持CMOS数据的保护及还原

    9) 适用于各种台式机和笔记本电脑

    四、计算机数据安全综合防护系统的组成

    从实现的角度来看，计算机数据安全综合防护系统主要由图4所示的模块组成。其中网络控制模块和文件进程控制模块编写为驱动程序方式，这样可以实现对系统的完全控制，这两个模块均具有行为识别和控制器双重功能,是整个系统的关键组成部分。网络的监控过滤和程序行为的监控过滤均在这两个模块中进行。其中文件进程控制模块还承担文件访问控制，动态加解密、关键数据实时自动备份等功能。程序静态还原模块和程序动态还原模块是用来消除有害程序的两个模块。程序结构静态分析模块和程序动态分析模块是用来扫描有害程序的两个模块，其中程序动态分析模块还担负程序的自学习功能。程序动态分析模块和程序动态还原模块在运行时均需要网络监控模块和文件、进程监控模块的配合，这样在万一被分析的程序是有害程序时，其破坏行为会得到控制，不会对系统造成破坏。知识库主要用来存放各种已知文件的存储格式等静态知识，规则库主要存放通过人工输入或程序自学习产生的各种控制规则、行为规则等，综合库用来存放程序用到的各种参数等。其中黑体部分是已经实现完成的模块。

图4  计算机数据安全综合防护系统的组成模块