论坛公告:应用容器安全指南(SP800-190)中文版   美国政府宣布禁用卡巴斯基软件   《中华人民共和国网络安全法》讨论帖   新手报到专用帖   【论坛公告】关于本站广告贴泛滥问题的整理通知   

当前时区为 UTC + 8 小时


发表新帖 回复这个主题  [ 9 篇帖子 ] 
作者 内容
 文章标题 : 文档安全之我见
帖子发表于 : 2013-09-27 20:43 
离线
高级用户

注册: 2007-12-21 15:09
最近: 2014-08-26 21:00
拥有: 1,099.70 安全币

奖励: 337 安全币
在线: 1658 点
帖子: 163
地址: 南京
文档安全一直是一个百听不厌的话题,古今中外都有很多文档泄密的案例,尤其是现在信息化这么发达,文档载体这么方便的情况下更是如此。所有现在冒出来了这么多的文档安全产品,数据放泄密产品等等。从本质上来看就是想防泄密。但防泄密是一个很空泛的话题。尤其是现在中国的情况特别喜欢走极端。

前几天在网上有一个聊天,感觉很有意思在这里记录下来。

无涯 17:36:55
防打印有毛线有
现在手机像素都这么高,直接拍照
宁-
这又是一个指望技术能搞定所有问题的
无涯
以前哥哥一个同学
是在第二炮兵学院学导弹什么什么的
后来工作了
提起过一段放拍照的技术
防拍照的技术
那叫防辐射
根本就拍不到

我拿笔抄下来还可以啊
杭州
那时候液晶还没有那个

或者我天生记忆好,就记住了
杭州
你拿笔抄写,就意味你可以看
无涯
再说有些人真可以做到过目不忘呢
杭州
你抄写,就有摄象头
杭州
所以三分技术7分管理
在中国这种情况特别多,喜欢钻牛角尖,我有手机拍照你如何放泄密,对文档保护,在不行我抄下来总可以把。

其实这总是一种误区,因为到目前为止没有任何一种或者多种技术能解决所有问题,所有讨论到最后又变成了三分技术七分管理了。

其实讨论安全总要有一种假设情况,就是假设最少有一个人是安全的,或者几个人是安全的,国外的三权分立就是基于这种原理,不然如果三家都凑在一起做坏事那何谈安全。

说完假设后,我们来分析一下,我们要保护的什么东西。就是保护的主体是什么。

通常来说保护的对象一般是文档,下面我们从几个场景来分析如何保护我们的文档。

我写的文档只有我自己看,别人不能看,这种情况比较简单的是对文档进行加密放在硬盘上就可以了。不需要透明加密,只要写完加个密码就可以了。当然这里面也有很多抬扛的事情可以做,比如你机器上有个木马,后者说你在写文档的时候后面有个高清摄像头。呵呵,我认为我们暂时假设我的环境是安全的。不然问题就没有办法分析了。

我写的文档可以给别人看,任何人都可以看,但是我希望别人不要copy里面的内容或者改一下作者说是自己的。这个时候如何处理呢,这个时候我认为有两种解决方案,一种是像百度文库一样只能看,不能下载和copy的那种。还有一种就是我做一个图片pdf加上一个水印给别人,别人爱怎么看怎么看,爱给谁给谁。我认为这个时候就达到目标了。但这个时候也是可以抬扛的,比如我用ocr识别,用截屏取一部分内容。这种情况下我认为等同于他自己又敲一边的作用,除非你不给别人看,只要给别人看,这种没有就解决不掉。

我写的文档只能给一部分人看,我认为这种情况是现在的主要解决的场景。就这种场景,我们有以下解决方案:

1、加密,这种情况可以解决存储和传输过程的泄密,因为没有密码,所有拿到的文档意义不大。但是有种情况就是我有查看的密码,我吧文档和密码一起给别人,你如何处理。我认为这种情况就很难处理,这也是大多数现有产品重点解决的场景。比如防copy,防截屏,防传输,防接口。我认为这是一个逻辑上的悖论,因为我给一个我看起来受信任但实际情况却有可能不受信任的人身上。因为从技术上来说只要他想泄密就一定能泄密。就比如拍照、手机录像、手写等。因为这种情况就本身脱离的电脑的控制。所有这种情况只能通过行政手段来处理。通过上面的分析,那就是如果有人真的想泄密,那是没有办法从技术上防住的。那上这种产品的意义何在呢,我认为只能解决一部分的无意识泄密,或者增加大家的放泄密意识或者增加泄密的成本,我在监控你,你要注意些。从很多厂家的分析报告中,这个是重点。

2、云端,这是时候类似百度网盘,你只能看不能下载。看的时候需要密码认证。而且也拿不走。

3、我下发的文档具有不可修改和带水印功能,这种情况就可以把文档添加查看人的水印在文档里面,而且是不可修改的,这个时候他就会很慎重的吧文档发给别人,因为上面有他的水印,就知道是他泄密出去的。当然这种情况还是防止不了拍照等,但这种情况我认为也没有办法防止。现在有个产品《pdf水印虚拟打印机》可以实现第三种解决方案和你给别人看又不想让别人改的那种场景。


--------本帖迄今已累计获得6安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 : Re: 文档安全之我见
帖子发表于 : 2013-09-27 22:01 
离线
顶级用户

关注按钮

注册: 2005-06-29 22:32
最近: 2017-06-11 20:54
拥有: 9,387.60 安全币

奖励: 1067 安全币
在线: 5485 点
帖子: 1296
地址: www.youxia.org
其实也不一定每个人都可靠,但是至少可以狗咬狗……
比如三员……
1个人不行,还有2个人看着……
除非3个人一伙儿……当然,三员分配的时候最好有不和的人在内……等着鸡蛋里面挑骨头……是吧?

生活中假定每个人都是好的,人心向善
做安全就必须认为每个人都是坏蛋, 才能做好


--------本帖迄今已累计获得38安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 : Re: 文档安全之我见
帖子发表于 : 2013-09-29 09:00 
离线
高级用户

注册: 2008-11-12 11:34
最近: 2017-08-09 16:10
拥有: 3,368.70 安全币

奖励: 300 安全币
在线: 3550 点
帖子: 140
看多了谍战片的,想想是不是得先把内鬼挖出来,叛徒给消灭,其他的措施才有效。行政管理,技术措施,物理安全。


--------本帖迄今已累计获得38安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 : Re: 文档安全之我见
帖子发表于 : 2013-09-29 10:13 
离线
中级用户

关注按钮

注册: 2012-10-30 17:50
最近: 2014-12-24 10:31
拥有: 2,652.00 安全币

奖励: 0 安全币
在线: 1825 点
帖子: 107
很赞成这段分析,本身就有权限的人故意泄密根本防不住,只有在事前人员选拔上下功夫,一旦发现司法严办。
但现在很多企业还是连这个也要防,成本何其高,效果也何其差。
//
1、加密,这种情况可以解决存储和传输过程的泄密,因为没有密码,所有拿到的文档意义不大。但是有种情况就是我有查看的密码,我吧文档和密码一起给别人,你如何处理。我认为这种情况就很难处理,这也是大多数现有产品重点解决的场景。比如防copy,防截屏,防传输,防接口。我认为这是一个逻辑上的悖论,因为我给一个我看起来受信任但实际情况却有可能不受信任的人身上。因为从技术上来说只要他想泄密就一定能泄密。就比如拍照、手机录像、手写等。因为这种情况就本身脱离的电脑的控制。所有这种情况只能通过行政手段来处理。通过上面的分析,那就是如果有人真的想泄密,那是没有办法从技术上防住的。那上这种产品的意义何在呢,我认为只能解决一部分的无意识泄密,或者增加大家的放泄密意识或者增加泄密的成本,我在监控你,你要注意些。从很多厂家的分析报告中,这个是重点。


--------本帖迄今已累计获得38安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 : Re: 文档安全之我见
帖子发表于 : 2013-09-29 10:21 
离线
中级用户

关注按钮

注册: 2012-10-30 17:50
最近: 2014-12-24 10:31
拥有: 2,652.00 安全币

奖励: 0 安全币
在线: 1825 点
帖子: 107
这个假定还是要分情况的。
特别是企业安全管理,如果假设大家都是坏蛋,严防死守,业务人员就没法干活了。 应该是基于信任,防止无意泄密,防非授权访问,对本身有权限的恶意泄密以事后发现严惩为主,建立威慑。 对防外部攻击的防护要考虑的强一些。
安全的三个层次:不能干--》不敢干---》不想干

网路游侠 写道:
其实也不一定每个人都可靠,但是至少可以狗咬狗……
比如三员……
1个人不行,还有2个人看着……
除非3个人一伙儿……当然,三员分配的时候最好有不和的人在内……等着鸡蛋里面挑骨头……是吧?

生活中假定每个人都是好的,人心向善
做安全就必须认为每个人都是坏蛋, 才能做好


--------本帖迄今已累计获得3安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 : Re: 文档安全之我见
帖子发表于 : 2013-09-29 11:41 
离线
初级用户

注册: 2009-11-17 18:13
最近: 2014-11-12 20:06
拥有: 630.00 安全币

奖励: 88 安全币
在线: 1817 点
帖子: 34
最近数据防泄密这块儿也关注的比较多,我觉得防泄密主要防得是以下两种情况:
1. 内部人员无意识的泄密:
这种情况下,实际上就是上面大家所提到的假定对内部人员存在一定的信任基础,那么需要的是一个良好的数据泄密风险的控制环境,在这个控制环境下能够保证内部人员在日常的工作流程和工作环境中对敏感信息的操作不会造成无意识的泄密(如DLP系统对网络流量或终端外设接口进行监控)。
2.内部人员有意识的泄密和外部攻击人员APT等搜集信息的行为
这种情况下,仅有基础的数据泄密风险控制环境(如DLP产品)是不够的了,需要的是整体的安全控制环境的加强。安全控制环境的加强一方面是技术控制层面的(系统的权限控制、访问控制等),一方面是安全管理层面的(如人员资质的审核、 流程审批、人员惩戒等),通过对整体安全保证能力的加强,打好了良好的安全环境基础,才能去谈单纯的数据防泄密的事情。

以上只是自己的一点看法,请大家指正。


--------本帖迄今已累计获得38安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 : Re: 文档安全之我见
帖子发表于 : 2013-10-24 11:19 
离线
初级用户

注册: 2012-08-28 19:38
最近: 2015-12-05 17:52
拥有: 1,262.00 安全币

奖励: 0 安全币
在线: 1707 点
帖子: 24
人人都是坏蛋?那老总是坏蛋吗?你自己是坏蛋吗?请问这样的安全如何做?


--------本帖迄今已累计获得5安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
 文章标题 : Re: 文档安全之我见
帖子发表于 : 2013-10-28 18:23 
离线
高级用户

注册: 2007-12-21 15:09
最近: 2014-08-26 21:00
拥有: 1,099.70 安全币

奖励: 337 安全币
在线: 1658 点
帖子: 163
地址: 南京
brightking 写道:
人人都是坏蛋?那老总是坏蛋吗?你自己是坏蛋吗?请问这样的安全如何做?

我也是这么认为的,我认为这种思路做安全没有任何意义。


回到顶部
 奖励本帖 用户资料  
 
 文章标题 : Re: 文档安全之我见
帖子发表于 : 2014-03-13 23:59 
离线
初级用户

注册: 2014-03-13 13:04
最近: 2015-02-26 13:12
拥有: 73.00 安全币

奖励: 0 安全币
在线: 335 点
帖子: 22
信息安全我的一些扩展思维:国外信息安全的三个层次:不能干--》不敢干---》不想干
国内信息安全的三个层次: 能干?-->偷偷干(缺乏技术保障手段)--->名目张胆有预谋的干(没人审查和追究);
作信息安全,都是把人作为最不可靠的因素来考虑,特别是国内的企业,人员岗位职责不清晰,一人兼多岗,人员管理本身的漏洞;


--------本帖迄今已累计获得38安全币用户奖励--------


回到顶部
 奖励本帖 用户资料  
 
显示帖子 :  排序  
发表新帖 回复这个主题  [ 9 篇帖子 ] 

当前时区为 UTC + 8 小时


在线用户

正在浏览此版面的用户:Baidu [Bot] 和 1 位游客


不能 在这个版面发表主题
不能 在这个版面回复主题
不能 在这个版面编辑帖子
不能 在这个版面删除帖子
不能 在这个版面提交附件

前往 :  
cron
华安信达(CISPS.org) ©2003 - 2012