基于云桌面技術的涉密辦公內網安全性增強方案

◆房瀟 劉鵬 張小坤

基于云桌面技術的涉密辦公內網安全性增強方案

◆房瀟 劉鵬 張小坤

（91977部隊 北京 100036）

文章針對傳統架構涉密辦公內網的特點，分析了其所面臨的安全風險，提出一種基于VDI架構云桌面技術的安全性增強方案，實現了辦公內網數據、計算環境以及網絡三方面的安全性增強及運維復雜度的降低，為涉密辦公內網整體安全性提升提供了有效解決方案。

云桌面；涉密辦公內網；VDI

隨著信息技術的高速發展，政企辦公信息化建設的推廣深入，政企單位對辦公信息化技術的依賴程度不斷加深，辦公信息安全保密問題也越來越引人關注。特別是，政企涉密辦公信息內網所承載的重要數據泄露或丟失事件，將造成惡劣的影響，并往往產生難以估量的損失。為此，文章在分析傳統架構涉密辦公內網所面臨的安全保密風險的基礎上，提出并設計了一種基于VDI（Virtual Desktop Infrastructure）架構云桌面技術的涉密辦公內網安全性增強方案，為解決線上辦公面臨的安全保密問題提供技術支撐。

1 傳統架構面臨的安全隱患及問題

傳統架構涉密辦公內網采用“實體用戶入網終端+業務應用服務器”架構。具有入網終端多，涉密文件數據存儲分散，終端硬件、操作系統、應用軟件差異顯著等特點。這種場景下，系統即使部署了防火墻、入侵檢測、主機管控等安全保密技防手段，還是通常會因為技術不完善與管理缺失，面臨如下安全保密隱患及問題：

1.1 終端存儲數據泄密風險高

通常情況下，涉密網內網中業務應用服務器往往存放著較大體量的涉密數據量，且其發生異常或安全保密問題后所產生的影響波及范圍較廣，直接作用于用戶群體。用戶入網終端相比業務應用服務器而言，數量龐大，其發生問題后所產生的影響波及范圍小，對用戶個體的作用效果顯著。相比權衡之下，管理運維團隊往往更關注業務應用服務器存儲涉密數據的安全性，忽視了終端數據安全存儲問題。然而，正是這一原因導致終端安全保密技術措施難以正確的部署和實施，并且物理隔離內網使得終端無法及時通過互聯網資源及時同步病毒特征庫、漏洞庫，終端多方面的差異化最終也導致終端往往無法正確、全面地更新安全補丁，終端系統存在漏洞的現象較為普遍。因此傳統架構下，既難以防止盜取硬盤或使用移動載體私自拷貝竊取涉密數據這類泄密事件的發生，也難以杜絕利用系統漏洞進行滲透內網終端竊密事件的發生[1]。

1.2 終端數據丟失隱患顯著

傳統架構涉密辦公內網，大量涉密數據分散存儲在各用戶終端上，技術上難以對這些分散存儲的重要涉密數據進行統一備份與恢復。桌面終端也通常不會采用獨立磁盤冗余陣列（Redundant Arrays of Independent Disks,RAID）技術進行數據冗余保護，終端數據可用性、完整性的保證依賴用戶個體備份操作行為習慣。在終端存儲介質物理損壞或數據遭受如勒索病毒惡意加密篡改的情況下，重要涉密數據極易丟失、且難恢復。

1.3 木馬病毒易感染、易傳播

傳統架構涉密辦公內網，終端安全保密技術措施難以正確的部署和實施的情況也使得無法保證通過U盤、光盤等移動載體導入外網數據的安全性，用戶終端極易感染病毒、木馬，且病毒、木馬易利用終端存在的高危漏洞在終端接入子網內肆意傳播。加劇了終端數據泄漏、丟失問題。

1.4 網絡邊界完整性難保證

傳統涉密辦公內網，在網絡設計方面常通過在用戶接入區與應用服務區之間部署防火墻、UTM網關類網絡訪問控制設備，并采用白名單方式配置合理的網絡訪問控制策略，限制數據交互，保證內網網絡邊界完整性，能夠在防御針對內網的滲透攻擊方面起到較好的作用。然而，辦公內網建設往往是一個隨著辦公需求不斷變化、動態迭代的過程，傳統模式下前端與后臺之間的數據通信協議本就復雜，業務系統功能以及提供業務應用支撐的計算設施等情況的變化，使得精準分析用戶接入區與應用服務器間的數據通信協議變得難以實施，系統的動態變化特征使得及時的根據業務通信需求配置較為完整的邊界網絡訪問控制策略的可操作性并不強。另一方面，由于WEB應用技術的日漸成熟，辦公應用采用B/S架構成為主流，即使設置合理的網絡訪問控制策略，采用入侵檢測技術在龐大的服務器與用戶終端交互數據中，判斷應用服務器通過HTTP協議向用戶終端進行數據擺渡行為的安全與否也變得較為困難。傳統辦公內網的網絡邊界完整性愈發難以保證，使得入網終端不僅成了非法用戶的靶標，也成了獲取、轉移后臺應用服務存儲的涉密數據的攻擊跳板。后臺、前端存儲的重要涉密數據的安全性都難以得到有效保障。

1.5 安全保密運維難度大

網絡攻防對抗是一個動態過程，傳統辦公網絡架構下，終端情況的復雜性、不一致性增加了安全運維難度[3]。相對問題產生而言，運維管理團隊發現、解決各類安全保密問題本就具有一定時延，運維難度的增加往往使得安全問題難以及時處理，問題影響范圍及影響程度難以有效控制。

2 基于云桌面技術的安全性增強方案方案設計

2.1 總體方案設計

總體方案設計如示意圖所示。本部中心節點由后臺服務區、前端用戶區組成，服務區、前端用戶區通過部署網絡訪問控制類設備進行邊界防護。后臺服務區由業務應用系統、云桌面系統與安全服務系統組成，通過VLAN及IP子網劃分，實現各后臺應用區間的網絡邏輯隔離。云桌面系統采用集群方式部署云桌面軟、硬件，為本部中心節點用戶提供云桌面服務，并保證集中存儲數據的完整性、可用性。業務應用系統部署應用系統軟、硬件，為中心節點用戶、分支機構用戶提供業務應用服務。安全服務系統部署防病毒系統、主機管控系統、入侵檢測系統、身份認證、漏洞掃描等安全軟、硬件，為中心節點用戶、分支機構用戶提供病毒查殺、補丁修復、身份認證等服務。分支機構節點由前端用戶區、云桌面系統組成，分支機構節點云桌面系統采用集群方式部署云桌面軟、硬件，為分支機構節點所屬用戶提供云桌面服務，降低網絡帶寬對分支機構節點用戶云桌面使用體驗的影響。同時，分支機構按圖所示方式，部署綜合類邊界安全防護設備，進行中心節點與分支機構節點間網絡邊界防護、前端用戶區與云桌面系統間的網絡邊界防護。

圖1 總體方案示意圖

2.2 云桌面系統擴展設計

云桌面系統擴展設計，如圖2所示。

圖2 VDI云桌面擴展設計

繼承主流VDI云桌面架構特征及功能，由后臺、前端組成。后臺由硬件環境、虛擬機監視器等組成，是云桌面虛擬機計算環境，前端類型包括瘦客戶端、普通計算機，為用戶提供云桌面人機控制接口[2]。同時，后臺系統具備集中管理功能，可對所有分散云桌面進行批量遠程管理，包括系統安裝、模板派發、軟件更新、故障定位、云桌面圖像水印功能，支持云桌面快照、恢復，以及虛擬機遷移功能。

在主流VDI架構基礎上，對遠程傳輸協議、PC客戶端進行擴展深化設計。遠程傳輸協議方面，按傳輸數據類型進行分離設計，可以通過網絡訪問控制或應用層控制實現U盤等外設從物理實體機向云桌面虛擬機的映射管控。PC客戶端方面，在原有遠程傳輸及控制模塊基礎上，增加主機安全模塊，實現應用軟件白名單功能、安全基線核查功能以及網絡準入控制功能。

3 方案效用分析

3.1 數據安全性更高

方案可改變原有數據交互模式，云桌面系統與應用進行復雜數據交互，可限制用戶入網終端與云桌面系統之間僅通過遠程桌面協議交互鍵盤、鼠標的操作控制數據和云桌面圖像數據。數據的增、刪、查、改行為操作實際在后端云桌面系統完成，用戶終端本地不產生、不存儲涉密信息，可防范通過盜取終端硬盤、使用移動載體盜拷涉密數據等安全保密事件的發生。同時，在云桌面部署統一的水印技術手段，可以對拍照、截屏等數據泄密安全事件進行溯源、取證。

方案可改變原有終端數據存儲模式，由原有傳統的數據在用戶終端分布式存儲模式變為數據在云桌面系統集中存儲的模式，通過IP-SAN、FC-SAN網絡存儲技術、服務器RAID冗余備份技術的配合使用，可以實現大容量集中存儲數據的統一容災備份。通過多副本數據存儲技術、快照技術可以快速恢復丟失數據及遭惡意代碼篡改的數據。

3.2 計算環境安全性更優

方案可從技術層面降低旁路終端安全機制可能性，監督用戶保證終端安全措施有效部署及實施。用戶終端環境安全層面，云桌面客戶端通過軟件白名單功能限制非法用戶在實體終端安裝、使用逆向調試工具，保證云桌面客戶端自身及防病毒客戶端等安全手段的有效性性。通過云桌面客戶端安全基線核查與網絡準入功能，可保證物理終端安全手段在按要求部署且生效、系統安全配置合理的情況下，才允許連接云桌面使用辦公應用資源，避免用戶不按規定部署安全保密技術現象發生。云桌面環境安全層面，可以通過模版定制技術對云桌面操作系統安全策略配置進行統一調整加固、補丁及云桌面防病毒等安全軟件進行統一部署。

3.3 網絡安全性更好

方案可進一步簡化網絡邊界關系數據交互關系，助力傳統網絡安全手段落實、落地。保證業務應用正常使用，僅需滿足實體用戶終端與云桌面后臺進行控制數據與圖像數據交互、與安全系統進行安全服務數據交互的需求即可。簡化了前段與后臺之前的通信關系，使得網絡邊界訪問控制策略更易制定、易實施[4]。同時通過入侵檢測技術更易捕捉、定位實體終端使用特殊協議與后臺進行異常數據通信的行為。

3.4 安全保密運行維護更易

方案可降低終端差異化對安全保密運維工作的影響。減少了運維團隊分析終端問題、尋找終端問題解決方案的時耗，可以使運維管理團隊聚焦云桌面后臺和業務應用后臺的安全保密問題發現和解決，顯著降低了安全保密運維復雜度。

4 總結語

本文設計了一種基于云桌面技術的涉密辦公內網安全性增強方案，并分析了方案在解決傳統架構面臨的安全隱患及問題的效用，分析表明方案可為涉密辦公內網整體安全性提升提供技術支撐。

[1]張偉駕.淺析利用桌面云技術解決電子政務外網數據安全問題[J]. 今日科技，2017（11）：60-61.

[2]李康，陳清華.分析對比 VDI 常用的幾種遠程桌面協議[[J]. 信息系統工程，2020（1）：112-113.

[3]許曌銓，張玲.云桌面技術在軍校信息化建設中的應用研究[J]. 公安海警學院學報，2020（4）：57-58．

[4]呂小兵. 基于涉密信息系統的VDI桌面虛擬化適用性研究[J]. 制造業自動化，2015（8）：63-64．