终端安全管控如何更灵活-安全桌面 – 作者:Tsecurity

背景分析

随着云计算和移动互联网等技术的高速发展和混搭应用，企业的网络边界趋于模糊化，不再是简单的划分内网外网。现代企业的办公模式趋于多样化和灵活化，随着多终端接入、移动办工、SOHO和BYOD等多种组合办公模式的普及化，企业的数据边界越来越难以定义和划分。

企业数据边界模糊化，该如何有效保护机密数据安全？

方案一 初始的隔离方案-物理隔离

特点：单机版，内外网隔离

缺点：①需要额外的硬件资源    ①投入更多运维成本    ①从外部获取资料素材不方便，影响效率 ①无法满足移动办公需求

方案二 传统的隔离方案.云桌面VDI

特点：数据不落地，集中管理

缺点：①依赖网络，移动办公体验不好  ②建设成本高  ③复杂软件无法支持  ④硬件开发调试不方便接入等

方案三 强管控安全方案-文档加密

特点：方案重，安全性高

缺点：①复杂开发编译类环境，实施难度大，有一个调优过程，需要随着应用软件环境变化而维护更新。   ②大型开发设计类项目，对效率有一定影响。  ③无法很好区分个人/公司的数据。

那么更理想数据隔离方案该是怎么样的呢？

传统的数据隔离手段已经不适应现代企业复杂的网络环境和灵活多样的办公场景。同时企业对于用户的体验要求更高，对于效率的冲击也要做到最低。那么更理想的数据隔离方案就应该具备更便捷、更灵活、更独立，高安全，兼顾效率的特点。

方案四 双域安全防护体系 

①在终端设备上逻辑隔离出两个桌面，实现一机两用。

②基于软件定义边界概念，实现双域办公，更便捷更省成本。

③严格区分个人数据和企业机密数据，互不干扰。

双桌面形态

用户自主一键切换普通/安全桌面，不改变使用习惯，操作等同实体PC。

整体效果

基于虚拟化沙箱技术，从终端上隔离出一个区别于个人桌面的虚拟安全域。对该虚拟安全域进行严格隔离保护，包括数据、注册表、进程和网络等隔离，有效保护信息资产落地终端后的安全。

安全桌面-数据隔离

①安全桌面修改/保存的文件，自动保存在安全沙箱空间。

②个人普通桌面无法查看/搜索到安全桌面任何文件。

③安全桌面的文件未经允许，禁止通过任何形式往外传播，包括文件拷贝、剪切板复制、注册表、截屏和进程间通讯等常见方式。

安全桌面-应用隔离

根据应用软件的用途以及泄密风险程度，对其在个人普通桌面和安全桌面的使用权限进行区分控制。

安全桌面-边界防护

以下权限管控可通过策略灵活调整

①禁止USB存储、蓝牙、红外和串并口等所有可交换数据的设备。

②只允许访问特定网络（核心系统等），不允许随意访问互联网，从而利用各种网络行为传播文档。

③禁止使用所有实体打印行为，只放开虚拟打印功能，防止打印泄密。

安全桌面-数据交流

安全桌面-离线容灾

①离开公司网络环境后，默认禁止进入安全桌面。

②可预先设定容灾时间，防止网络不稳定等情况。

安全桌面-日志审计

基本操作日志：进入/退出安全桌面等

文档交流日志：导入/导出等

方案优势

1. 完全利用本地资源，构建成本低。

2. 不依赖网络或者只需要基本网络通讯。

3. 等同本地PC，不改变用户使用习惯。

4. 不受硬件约束，适应复杂软件，支持特别硬件（如特别显卡等）

来源：freebuf.com 2021-06-25 18:21:12 by: Tsecurity