信息安全实战大解析 数据系统与数据加密的融合

       现在，越来越多的企业采用PDM或者PLM系统对自己的项目资料以及项目本身进行有序管理。而且，许多PDM/PLM厂家也对系统的服务器端进行了一定的安全处理，如将服务端的数据进行异化处理后存储，异化的方式包括了数据格式的转化等等。但总体来讲，因为这些PDM/PLM厂家本身并非是信息安全厂家，因此，在数据安全防护方面所虑有限，而且，安全本身需要的技术投入又是相当的大，所有的PDM/PLM厂家也无意在这些方面投入过多。

        所以，目前来讲，对PDM/PLM系统的安全防护基本上是由专业的信息安全厂家来完成的。

        PDM/PLM系统存在的安全问题

        总体来讲，对PDM/PLM系统存在的安全问题主要存在于两个方面。

        其一，在于PDM/PLM系统服务器端数据的安全问题。这些数据是全部系统的数据，一旦遭到全局性泄密，将造成公司数据毁灭性打击。

        其二，在于PDM/PLM系统客户端数据的安全问题。这些数据的泄密，可能造成用户局部的安全风险，但随着客户端权限的大小，泄密风险呈正相长的关系。

        在第一种情况下，虽然有的PDM/PLM系统厂家也进行了一定的安全防范，如将服务端的数据进行异化处理后存储，异化的方式包括了数据格式的转化等等，但因为如前文谈到的其在安全上的投入有限，面对这些数据在被网络、系统管理人员采用极端方式copy带走的风险面前，这些防护就显得不堪一击。(毕竟，PDM/PLM系统的目标是在于解决项目管理和项目数据的问题，这个不是他们的错。)

       在第二种情况下，PDM/PLM系统也貌似有着安全的防护，如，PDM/PLM系统的有关数据只能在其特定的客户端框架内打开甚至编辑。但实际上，用户可以借助非PDM/PLM系统的一些编辑工具实现对文档、图形的获得。

       最为严重的是：PDM/PLM系统为了提高自己的浏览效率，每次在浏览图纸的时候，均会在硬盘如c盘某个地方，将该文件临时保存起来，虽然当图档关闭后，该文件也将自动的删除，但在未删除之前，用户可以将该图纸copy到电脑的其他地方带走。这就是说，有浏览权限的人就有下载权限!如果请人写个脚本，实现自动copy临时文件里面图纸的功能，将会带来极其严重的后果：一个人可以在1-2天内通过不断的点点点将图纸全部带走!!!。至于有的PDM/PLM系统用户对图纸的浏览没有限制，有浏览图纸的权力，就可浏览所有的图纸，那风险就更大了。

        山丽防水墙数据加密系统解决方案

        各个PDM/PLM系统各有其特点，我们以西门子的TeamCenter为例进行说明。

        有三种方案可以考虑，可以通过测试选择：

        方案一：TeamCenter服务器上文件不加密;TeamCenter客户端数据加密;

        方案特点：

        仅仅防护客户端数据的泄密，无法防范数据从服务器端的泄密，或者不安装加密软件将数据从服务器端下载下来带走。

        方案二：TeamCenter服务器上文件加密;TeamCenter客户端数据加密

        方案优点：

        数据完全实现了保密的要求，在客户端还是在服务器端不管通过任何形式不登陆防水墙客户端均无法访问数据。只有安装了防水墙的机器，并经过合法的授权，并进行了登陆后才能访问加密的数据，是否具有读取数据的权限，还依赖公司配置的策略。

        TeamCenter服务器端策略配置方案和防泄密测试;

        系统防水墙安装

        位置原来库文件

        加密策略设置操作端新文件加密策略操作位置防泄密执行效果(√可用，且加密)

        TeamCenter系统TeamCenter服务器端库文件加密全部加密策略服务器本地√

        客户端远程√

        方案三：TeamCenter服务器上文件不加密，但执行空加密策略;TeamCenter客户端数据加密。

        方案优点：

        所谓空加密策略，指的是：文件(数据)保存在本地硬盘的时候，不进行加密，但数据通过U盘等外设方式，或者通过网络共享方式获得的数据都是密文，即使使用$的方式，访问本地的数据也是密文。

        一般情况下，服务器空加密策略和可信环境功能联合使用，可信环境的功能可以让任何没有装防水墙的机器无法访问采用空加密策略的服务器。如下图：

        方案优点：

       在空加密策略和可信环境模块的配合下，数据也完全实现了保密的要求，在客户端还是在服务器端不管通过任何形式不登陆防水墙客户端均无法访问数据。只有安装了防水墙的机器，并经过合法的授权，并进行了登陆后才能访问加密的数据，是否具有读取数据的权限，还依赖公司配置的策略。

        同时：在TeamCenter服务器上不进行加解密运算，大大缓解了服务器可能存在的压力。

        TeamCenter服务器端策略配置方案和防泄密测试;

        系统防水墙安装位置原来库文件

        加密策略设置操作端新文件加密策略操作位置防泄密执行效果(√可用，且加密)

        TeamCenterTeamCenter服务器端库文件不加密全部加密策略服务器本地√

        客户端远程√

        山丽防水墙数据加密系统和TeamCenter融合的具体功能

        山丽防水墙加密系统对TeamCenter系统具有良好的兼容性，具体实现功能如下：

        1、 能控制系统中所有的上传和下载的点，不会影响文件上传和下载的速度。

        解决方法：山丽防水墙控制台有可信程序模块，通过设置即可实现控制系统中所有的上传和下载的点。同时和上传下载速度无关。

        技术原理：山丽防水墙系统，在软件架构上采用面向服务的设计方法(Service-Oriented Architecture，SOA)，可以实现和各种系统的自由融合，而无需进行任何的二次开发。

        山丽防水墙首先是目前唯一一款和文件格式无关的加密软件;并且，因其软件结构的原因，软件和应用系统无关，因此，对“所有”的点就没有技术开发的必要性即可实现。同时，TC所有的上传和下载并不经过山丽防水墙的过滤，自然在原理上就没有影响上传下载速度的可能性。

        2、 对于Teamcenter的系统服务器不进行加密，但是服务器可以控制对系统内已加密的文件进行控制。

        解决方法：在TC服务端安装防水墙客户端，设置TC服务器端上防水墙客户端加密方式即可。

        技术原理：利用防水墙客户端的多种加密方式，采用空加密或者目录加密等方式，即可实现对于TeamCenter的系统服务器不进行加密，同时，TC服务器仍然可以按照对文件的处理控制自己的文件。

        3、 目前大部分的技术资料已经在PLM系统中进行流程审批和签字，防信息泄密系统不能影响流程的运行，特别不能影响系统对资料的自动签名。

        解决方法：在TC服务端安装防水墙客户端，设置TC服务器端上防水墙客户端加密方式即可。

        技术原理：山丽防水墙并不会影响任何应用系统自己的功能，包括系统对自己的资料的处理。因为山丽防水墙仅仅是和数据的存储有关，和任何对数据的处理无关。

        4、 所有的技术资料在PLM系统中进行密文管理，系统的权限和防信息泄密系统的权限不能冲突，如有冲突，应该服从PLM系统中的权限管理。

        解决方法：在TC服务端安装防水墙客户端，设置TC服务器端上防水墙客户端权限属性即可。

技术原理：权限是否