非涉密移动存储介质管控系统建设研究

非涉密移动存储介质管控系统建设研究
摘要：随着信息化进程的不断加快，信息化水平正在逐步成为衡量一个国家或地区综合竞争力的重要标志。

社会各行各业对计算机应用的需求和依赖程度也日趋增强，各级政府也已将计算机信息与网络技术作为加速办公现代化的手段。

近年来随着采用USB端口为主的便携式设备（例如U盘、移动硬盘、移动刻录机等其它采用USB端口的存储设备）的盛行，通过USB端口泄密已经是计算机内部网络信息泄漏发生的一个重要途径。

为防止非法用户从企业内部和个人PC机上盗取重要文件或资料，对通过USB端口以及采用USB端口为主的便携式设备进行监控的任务迫在眉睫。

关键词：电子政务；安全保密；公务优盘；USB端口管控；非
涉密移动存储介质管理
0 引言
随着信息化、电子化进程的发展，数据越来越成为政府部门、企业事业单位日常运作的核心决策发展的依据。

归根到底信息安全的核心就是数据安全。

能否有效地保护信息资源，保护信息化进程健康、有序、可持续发展，直接关系到国家安危，关系到民族兴亡，是
国家、民族的头等大事。

笔者所在政府部门作为贯彻执行国家及上海市经济和社会发
展的战略、方针和政策，研究提出相应的政策措施，研究提出新区经济社会发展和城市发展战略，组织编制新区经济和社会发展年度计划和中长期规划的部门，在数据整理、修改、维护上存在强烈的数据安全需求，尤其对于国内外宏观经济形势、重大及热点问题的专题调研以及浦东新区经济发展过程中重大问题、热点问题的调研是非常宝贵
的数据，对于内部信息采取严密的防护措施显得尤为重要。

1 项目建设的背景和依据
防火墙、IDS、内外网隔离以及其它针对外部网络的访问控制系统，可有效防范来自网络外部的进攻，但对于政府部门、企业事业单位内部的信息保密问题，却一直没有好的防范措施。

目前，尽管国家制定了很多相关规章制度，并明确规定企事业单位的涉密计算机必须采取相应的安全防护措施，但是在政务网内的非涉密计算机中还是有大量的工作内部公务信息虽然不涉密，可是也必须采取相应的安全防护措施。

否则内部人员可以轻松地将计算机中的重要信息通过网络、存储介质或打印等方式泄露出去，一旦这些敏感信息、重要数据、设计图纸等流失到敌对势力、竞争对手手中，将给国家、企、事业单位造成重大损失。

据统计，信息的流失80%来自企业事业单位内部，而相对于投资巨大的网络安全设备，黑客攻击只占了5%。

相比之下，内部人员更容易通过网络或移动存储设备把敏感的信息泄露出去，人为原因造成的损失往往是不可估计，对企业事业单位的破坏是十分巨大的。

另据统计，在损失的金额上，内部人员泄露信息导致的损失，是黑客攻击造成损失的16倍，是病毒造成损失的12倍。

近年来随着采用USB端口为主的便携式设备（U盘、移动硬盘、移动刻录机等其它采用USB端口的存储设备）的盛行，通过USB端口泄密已经是计算机内部网络信息泄漏发生的一个重要途径，它在方便了信息传递的同时，也为将信息从计算机本机或者网络内部的信息非法复制出去创造了一个方便的条件。

不少专家认为，这些设备所带来的安全隐患要超过它们为工作所带来的便利。

为防止非法用户从企业内部和个人PC机上盗取重要文件或资料，对通过USB端口以及采用USB端口为主的便携式设备进行监控的任务迫在眉睫。

在保密办和信息委的大力支持下，要求笔者所在政府部门先行试点在非涉密USB移动存储设备方面的安全管理技术措施，为以后全区政府部门及其下属单位的移动存储设备安全规范管理打下基础。

这就要求我们进一步完善信息管理制度，强化信息安全建设，防范和杜绝政务网内的重要信息数据，通过USB端口以及采用USB端口为主的便携式设备（如U盘、移动硬盘等）外泄，保护政府机构的信息资产，让内部信息源头控制，使USB端口不再成为信息安全的隐患。

2 功能需求
考虑到非涉密介质的管理毕竟还是与涉密介质有较大区别，而且要在保证非涉密介质数据安全的前提下，尽可能地不影响工作人员日常的使用习惯，所以我们要求管控系统达到的系统功能可概括为三句话“外面进不来”、“里面能出去”、“操作有记录”。

具体说明如下：
2.1 政务网内管控需求
（1）在新区政务网内，通过技术手段，统一由指定的管理员管控机器的USB端口，防止数据随意地从USB端口外泄,并实时监视USB存储设备的使用情况，且详细地记录使用痕迹，以方便日后审
计和追踪；
（2）经管理员授权的USB存储设备（包括U盘、移动硬盘、数码相机、MP3等，无型号、厂家、容量等条件限制），可在政务网内使用；
（3）经管理员授权的USB存储设备（包括U盘、移动硬盘、数码相机、MP3等，无型号、厂家、容量等条件限制），带离至政务
网外的机器仍可用；
（4）未经管理员授权的USB存储设备（包括U盘、移动硬盘、数码相机、MP3等，无型号、厂家、容量等条件限制），接入政
务网络，则不可用。

（5）在一定条件下自动安装USB管控系统的客户端，简化管理成本。

2.2 政务网外管控需求
（1）经过授权的U盘，在员工带离至政务网之外的计算机上使用时，在不改变用户使用习惯的前提下（即，授权的U盘与普通U
盘在使用习惯上无异），需监视USB存储设备的使用情况，且详细地记录使用痕迹（记录的信息包括机器名、使用时间、IP地址、拷入和拷出的文件路径及文件名、文件大小、MAC地址、登录名等），以方
便日后审计和追踪。

（2）对在政务网外使用过的U盘，再次接入政务网时，系统对其进行日志审计和追踪。

3 系统架构
3.1 系统设计原理
USB端口管控系统基于C/S模式，通过USB 存储协议在Windows系统底层对USB存储设备进行读写控制，可自动识别存储类与非存储类的移动存储设备；U盘的识别基于USB标识或者U盘的序列号。

一旦U盘插入到安装客户端的计算机中，客户端通过标识或者序列号设置相应的权限，在网内U盘可以设置成三个权限“阻止”、“只读”、“放行”。

客户端亦可以识别公务U盘，并且立即将公务U盘秘密区保存的日志记录发送到服务器。

3.2 USB存储设备识别原理
USB端口管控系统使用以下两项技术对移动存储设备进行识别：序列号和USB标识。

3.2.1 USB标识
USB标识是USB端口管控系统的一项特有技术，该标识记录
该盘的一些物理信息，并且产生一个全球唯一的标识码，该标识码用于识别该移动存储设备。

USB标识存于U盘或者移动硬盘的第一个
扇区。

3.2.2 基于USB存储设备的序列号
支持USB2.0协议的存储设备都有一个序列号，通过该序列号即可对USB存储设备进行识别。

该序列号是不会改变的，就算对整个分区进行格式化操作也不会改变。

3.3 基于底层的驱动技术
管控系统使用最新的USB2.0存储协议，同时支持USB1.0与USB1.1协议。

支持最新的SCSI存储协议。

通过协议层对USB传输的数据进行分析或者进行加解密，由于该驱动程序处于USB协议的底层，故速度与其它的基于其它技术的软件相比要高出许多。

另外由于处于系统驱动的底层，即使Windows开机进入安全模式，USB端口依然受管控系统的保护。

3.4 系统外使用Ｕ盘的监控原理
在员工带离至政务网之外的计算机上使用时，在不改变用户使用习惯的前提下（即：授权的U盘与普通U盘在使用习惯上无异），需监视USB存储设备的使用情况，且详细地记录使用痕迹。

本系统使用的是目前市场上主流的U盘（可支持分区），在U盘中植入一段应用程序（命名为“公务U盘.exe”）。

特定的U盘分为3个区，结构如图3。

工具盘分区[]普通分区（存放用户文件）[]日志数据区
3.4.1 工具盘分区
该分区存放“公务U盘.exe”程序，接入计算机后立即显示。

3.4.2 普通分区（存放用户文件）
该分区存放用户的文件夹和文件，在“公务U盘.exe”程序启动后，自动打开。

3.4.3 日志数据区
该分区用于存放日志信息（即，记录U盘使用痕迹，包括机器名、使用时间、IP地址、拷入和拷出的文件路径及文件名、文件大小、MAC地址、登录名等），该分区对用户不可见，用户无法将里面
的内容删除或格式化。

4 系统概览
USB端口管控系统是一套计算机USB端口屏蔽、USB端口控制、实时监视、实时监控于一体的计算机信息安全管控系统。

它通过USB 存储协议在Windows系统底层对USB存储设备进行读写控制，自动识别USB存储设备，彻底防止信息从计算机USB端口泄漏。

USB端口管控系统由3个组件构成：客户端（Client），服务器端（Server）和管理中心（Administration Center）。

USB端口管控系统客户端程序是安装在需要管理的机器上，服务器端程序是安装在集中管理的服务器上（也可以是任意一台计算机上），管理中心程序（控
制台）可以安装在局域网内部或外部环境。

USB端口管控系统可自动识别插入的设备是USB存储设备还是非存储设备，不会影响USB鼠标、键盘和打印机的正常使用。

只有管理员才能登录设置界面更改USB端口设置，也只有管理员才能关闭或卸载软件。

且系统一经安装，开机后自动启动并隐藏运行，除
管理员之外不能被恶意地删除、终止、卸载和破解。

管理员可以对任意的USB存储设备写入标识并对其设定一个使用权限，利用本系统将机器的USB端口封锁的情况下，只有写过标识的盘在单位网络内部通用，未经授权的U盘或者外来的U盘不可用。

经过授权的U盘，在员工带离至政务网之外的计算机上使用时，在不改变用户使用习惯的前提下，需监视USB存储设备的使用情况，且详细地记录使用痕迹，以方便日后审计和追踪。

系统运行安全稳定可靠，不影响Windows系统运行效率。

同时USB端口管控系统采用了“远程控制、集中管理、统一配置”的方式，拥有先进的分布式计算技术，成功的实现了智能安装、组策略管理、统一升级、远程设置、统一设置等功能，大大提高了政府部门的信息安全系数，为政府部门的信息安全建设添加了一份有力的屏障。

5 项目实施情况
笔者所在政府部门在2009年初实施USB端口管控系统以来，运行稳定，没有出现与系统其它软件冲突的现象，通过USB端口管控系统认证过的公务U盘等移动介质使用正常，在政务网内外都可
以方便地正常使用。

网络内所有计算机自从部署USB端口管控系统以后，由于没有注册过的U盘（及其它移动存储设备）无法使用，并且由于可以监控U盘文件的操作，所以现在政务网内计算机上非正常拔插USB 存储设备的次数大大降低，特别是与工作无关的移动存储介质操作几乎绝迹。

6 结束语
国家科技部前部长徐冠华曾在某市信息安全工作会议上说：“信息安全是涉及我国经济发展、社会发展和国家安全的重大问题。

近年来，随着国际政治形势的发展，以及经济全球化过程的加快，人们越来越清楚，信息时代所引发的信息安全问题不仅涉及国家的经济安全、金融安全，同时也涉及国家的国防安全、政治安全和文化安全。

因此，可以说，在信息化社会里没有信息安全的保障，国家就没有安
全的屏障。

信息安全的重要性怎么强调也不过分。

”
本计算机USB端口管控系统的建设，使新区政府部门信息安全建设再上一个新台阶，为和谐社会建设作出更大的贡献。

衷心希望在不久的将来，我国信息安全工作能跟随信息化发展，上一个新台阶。

参考文献：
\[1\] 郑平泰.磁盘数据安全技术与编程实例\[M\].北京：水利水电出版社,2007.
\[2\] \[美\]丹宁.信息战与信息安全\[M\].吴汉平,译.北京：电子工
业出版社,2003.
\[3\] \[美\]惠特曼、马托德.信息安全原理\[M\].徐焱,译.北京：清华大学出版社,2004.
\[4\] 刘家真.拯救数字信息：数据安全存储与读取策略研究\[M\].北京：科学出版社,2004.
\[5\] 张新华.信息安全:威胁与战略\[M\].上海：上海人民出版社,2003.
\[6\] 沈昌祥.信息安全工程导论\[M\].北京：电子工业出版社,2003.
\[7\] 张春江,倪健民.国家信息安全报告\[M\].北京：人民出版社,2000.。