內網移動存儲介質安全管理

引言：使用移動存儲介質開展信息數據交換容易產生如信息泄露、病毒傳播等諸多信息安全問題。本文針對內網移動存儲介質管理系統的組成、功能及實現方式進行介紹及分析，并對其使用功效進行了總結。

近年來，隨著信息化的發展，U盤、移動硬盤等移動存儲介質，因其體積小、存儲量大等特點得到迅速普及。在享受到移動存儲所帶來的方便性的同時，也出現了諸多的信息安全問題，特別是由于公安機關人員眾多、業務種類繁雜，使用的移動存儲介質數量大、管理無序等，帶來敏感信息泄露、病毒木馬傳播等風險。

系統介紹

內網移動存儲介質安全管理由移動存儲介質管理系統和安全移動存儲介質(硬件)組成，而管理系統又由服務端管理系統和客戶端監控系統組成，如圖1所示。

管理系統完成對內網的安全移動存儲介質統一管理，客戶端和服務端采用C/S架構。服務端進行統一策略配置管理，下發策略到客戶端，接收客戶端上報日志數據。

圖1 管理系統組成

圖2 服務器端組成

客戶端軟件對接入內網終端的USB接口類移動存儲介質進行認證、注冊、注銷、更改密碼等操作，完成接收、下發、執行服務端策略，向服務端上報數據工作。內網終端計算機上的客戶端軟件與安全移動存儲介質進行雙向認證。

移動存儲介質管理系統對移動存儲介質進行接入認證、權限控制、日志審計等安全防護，建立了一套完整的防范體系。移動存儲介質管理系統整合底層驅動、設備識別、進程互控等多種技術，由服務器端和客戶端構成，對內網安全移動存儲介質進行控制。其中管理端系統是管理控制部分（管理層），具體包括終端配置管理平臺、管理信息庫和管理器；客戶端接受并執行管理端的策略和指令（執行層），包括多個模塊和移動介質控制接口；安全U盤在提供公安業務單位使用前，在密鑰中心初始化數據存取密鑰，通過雙向認證進行受控移動存儲管理（受控層）。

服務器端主要由數據庫、管理平臺、區域管理器組成，完成策略制定、數據匯總、存儲、查詢等，結構如圖2所示。

管理平臺：系統管理配置中心，Web形式配置系統的各項基本參數，進行系統維護等配置操作，進行系統應用策略制訂，顯示狀態信息、報警信息和各種日志記錄等，管理平臺中所有操作的過程和結果均存儲在管理信息庫中。

數據庫：用來存放和管理各種策略、參數配置、客戶端設備的軟硬件信息、報警信息、審計信息、日志信息等各種信息。

管理器：系統數據處理中心。通過實時監控數據庫獲取控制臺的各種策略和命令，發送到客戶端軟件執行。管理器接收客戶端軟件提供的各類狀態和報警信息，發送至管理信息庫，以備管理人員通過管理平臺查閱。

客戶端軟件由通訊模塊、功能控制模塊、標簽認證模塊以及進程保護模塊組成，作為服務器端的響應程序要按照服務器制定的安全策略實現相應的功能，結構如圖3所示。

通訊模塊：完成服務器與客戶端的數據（加密）通訊，接收服務器下發的所有指令，上報客戶端存活信息、客戶端的審計日志，以及其他服務器要求上報的信息；

圖3 管理器結構

進程保護模塊：負責保護進程，以防止客戶端進程被惡意停止，該模塊在安全模式下仍然有效；

功能控制模塊：負責執行服務器下發的安全策略，例如硬件設備控制、非法外聯監控、移動存儲控制等；

移動存儲介質控制模塊：通過策略解析對移動存儲介質進行認證與控制；

審計模塊：審計移動存儲介質的操作信息并上報到服務器；

U盤接口模塊：完成安全U盤的注冊、注銷、數據銷毀、接入認證、策略下發、審計日志收集功能；

標簽模塊：對移動存儲介質進行唯一標記設定和清除，包含標簽制作、標簽清除和密碼重置，同時還具備警員證書識別和認證的功能；

其他模塊：主要進行對硬件接口的控制和對設備資產的收集，對非移動存儲類的USB接口設備進行識別和放行。

安全U盤基本功能

1.身份認證:只有通過正確的身份認證才能使用安全U盤存儲數據。

通過密鑰初始化過程，使安全U盤不需保存用戶口令，口令認證、修改口令和恢復口令的過程也有所不同。

修改口令:若修改身份認證口令，通過默認口令B將B1進行解密，得出字符串“GA_XXXXX XX”，然后再通過用戶新口令C加密該字符串，生成新密鑰加密塊C1替換B1。

口令認證:通過用戶輸入的認證口令C或者B對加密密鑰C1或者B1進行解密，得出字符串“GA_XXXXXXX”，若解密得到的字符串不是該格式的字符串，則說明輸入密碼錯誤。

恢復口令:用戶忘記口令后，需要通過超級口令進行恢復。首先通過超級口令A將密鑰加密塊A1進行解密得出字符串“GA_XXXXXXX”，然后再通過默認口令B對字符串“GA_XXXXXXX”進行加密得出最初的密鑰加密塊B1，然后將用戶修改口令后得出的C1進行替換，這樣口令就恢復為默認口令B。

2.自定義設備分區：將設備數據區域分為可見區與不可見區。

可見區用于存放移動存儲設備管理程序的只讀區，Windows系統能識別并訪問該區域。

不可見區為一段無法被任何操作系統識別訪問的數據區域，必須通過移動存儲設備管理程序進行訪問。

3.安全瀏覽器：安全U盤僅以CD驅動器形式加載，安全瀏覽器為移動存儲設備管理程序的圖形界面操作提供對安全U盤數據存儲區的訪問控制的圖形界面。

4.日志審計：安全U盤將用戶使用行為根據策略設定情況記錄日志并實時上傳到服務器，不在盤內保留日志，通過移動存儲介質管理軟件進行日志審計功能。

5.自我保護：安全U盤自帶軟件針對許多反編譯工具內嵌防反編譯功能，增加程序被調試難度；通過加密編譯防止程序被靜態分析，同時對關鍵的變量采用動態生成，加大采用內存特征碼分析程序的難度。另外，程序一旦運行，在運行期內將與設備特征值綁定，一旦運行期發現設備被替換，則自動退出程序。

6.高強度加密：包括軟件加密、硬件加密、程序代碼加密等技術，軟加密采用國產SMS4加密算法，硬加密算法采用AES（CBC）-256位；程序編譯使用“代碼混淆”、“虛擬機”等技術加密。

7.安全U盤提供供客戶端軟件調用的文件：Secusb.Dll文件用于認證安全U盤合法性，恢復密碼和粉碎。

數據結構定義如下：

char m_lpDiskPath[64];//返回該USB設備的所有邏輯盤符 (如 ：ABC)，不包括lpszDiskRoot中指定的盤符,空值表示沒有需要放行的額外邏輯盤符;最大長度256字節

Secusbsign.dll文件，用于讀/寫安全U盤電子標簽內容。

數據結構體定義如下：