泰然神州助力联通省公司打造BSS防泄密安全堡垒

【.com 综合消息】随着电信市场竞争的日益激烈，业务网络及客户资料、企业运营数据、营销策略文件等各类信息资产已成为企业的核心资产。近年来，电信运营商敏感信息数据泄漏安全事件频繁发生，不仅对运营商自身的核心机密、同行业竞争力和市场声誉造成了严重影响，也对客户的隐私和个人信息安全构成不同程度的危害。因此，防范敏感信息数据泄漏事件的发生已是 IT 安全工作的重要任务。

运营商核心应用系统面临的威胁

1、外部威胁：外部人员通过黑客技术、利用特殊的外包身份等各种手段侵入业务系统和终端，盗取重要的企业信息数据或客户资料向外界传播。网上肆虐的病毒、木马、蠕虫等危险信息对于应用系统构成严重威胁，内部众多的机密账号存在被黑客窃取造成信息泄漏的风险。而原有应用系统简单的认证手段显然成为了内网信息安全的短板，因此运营商必须有进一步应用安全加固机制来保障内网信息的安全。

2、内部威胁：内部人员或某些恶意员工为了谋求私利将企业核心机密或客户资料信息私自带出公司向市场兜售。来自病毒的危害给企业造成的损失是显性的，可以量化的，而数据泄密造成的损失则是无法估量的。有调查显示，80%的企业信息泄露事件都是由内部员工造成，外部黑客攻击不超过20%。因此，保护企业核心机密，防“内鬼”要比防“外鬼”重要得多。

泰然神州数据防泄密解决方案

针对应用系统因安全防范措施不牢固而导致的数据失窃和核心机密泄露问题，目前较简单有效的解决方案是通过远程接入和应用虚拟化来实现。通过虚拟化技术，将应用系统安装在服务器上，客户端零安装，用户对程序远程调用，避免真实数据的传输和流失，从源头上杜绝数据泄密的发生。泰然神州是这一方案的倡导者。目前，该公司已经为部分联通省公司量身打造了BSS防泄密解决方案，在应用安全加固，防止数据泄密方面，发挥了关键的作用。
目前联通省公司拥有的重要应用系统包括BSS系统、企业运营数据、OA系统等。这些应用系统的安全加固工作显得格外的重要。尤其BSS系统，聚集了大量重要的客户资料和经营决策数据信息，一旦数据泄密，后果不堪设想。因此，对BSS系统的安全防护，是联通省公司IT安防工作的重中之重。

联通省公司BSS系统的安全隐忧

在采用BSS防泄密解决方案之前，由于各运营商敏感数据泄密的新闻不断传出，联通意识到原有的BSS系统的安全防护手段并不足以保证信息系统的安全。如单一的身份认证手段导致账号易被冒用，造成内部信息泄露；现有的部署方式、访问方式都不同程度地给应用系统带来安全威胁等。因此迫切需要对原有BSS系统进行安全加固，保证业务系统的安全。但如果对原应用系统进行二次开发，一是无法估计实际的开发周期，容易造成业务访问的真空时期，二是将导致原有的业务系统中断，严重的会影响正常业务的开展。因此，对原BSS系统进行二次开发的安全加固方案，风险与成本都是联通难以承担的。联通必须要找到更简单有效的解决方案。

泰然神州Janeos安全堡垒平台的问世，迎合了联通在这方面的需求。Janeos平台采用应用虚拟化技术，在企业现有IT设施基础上，不改变任何现有应用系统，无需对现有的BSS系统进行二次开发，可集中管理并快速发布BSS系统，实现用户登录的安全管控和全程审计，以简单可行和低成本的方式达到对已有应用系统安全加固和数据防泄密的目的。#p#

方案特点

对应用系统进行加固，实现集中运行应用客户端，终端操作无痕，防止信息泄露。

应用和操作终端网络隔离，保护应用系统免受网络攻击。

实现应用系统的 4A 加固：身份认证、授权访问、安全审计和统一用户管理及单点登录。

实现对应用系统访问文件和数据库的强制访问控制。

实现用户跨域受控访问数据和文件。

通过虚拟操作及逻辑隔离技术，实现工具管理型的数据和文件的跨域应用交换。提供安全可控的多域数据交互，支持单向数据传输。

方案原理

泰然神州Janeos安全堡垒平台采用Virtualapp应用虚拟化技术，将应用的表现与计算逻辑进行分离，实现虚拟应用交互、本地化应用体验，客户端与服务器之间只传递键盘、鼠标和荧屏变化等交互信息，没有实际的业务数据流到客户端，客户端看到的只是服务器上应用运行的显示映像。整个过程中，应用100％运行在服务器上，从而实现了应用的集中部署管理，客户端零维护，彻底改变了桌面管理的模式，只需要维护服务器上的应用，所有客户端只要连接到服务器就可以使用最新版本的系统，同时也提供了一种新型的应用安全模式。

Janeos安全堡垒平台的整体安全体系，包括事前安全策略规划、事中安全访问控制和事后安全审计三个层次，通过端点、用户、通信、系统、应用、数据、审计七个子层次提供全方位的安全保护，打造一个安全的统一应用交付和访问控制管理平台。如下图所示。

（泰然神州Janeos安全堡垒平台层次安全模型）

1、对接入端点设备，通过绑定MAC地址、IEKY验证等实现准入控制；

2、对用户通过密码、动态口令、指纹等进行不同等级的准入身份验证；

3、在客户端和服务器之间，采用单一端口进行通信，采用一次性会话密钥对数据进行高强度加密传输，保证通信的安全；

4、通过屏蔽系统用户信息、设置系统安全策略实现系统级的安全防护；

5、应用100％在服务器运行，没有任何应用组件运行客户端环境，以虚拟的方式与客户端交互，实现一种新型的应用访问安全架构，并通过Janeos安全堡垒平台平台对应用设置授权访问策略，进一步增强应用的安全性；

6、文件和数据根据需要进行发布，没有发布的数据对客户端不可见，发布的文件和数据终端用户根据授权进行访问，有的只能看，有的可以下载，可以根据需要设置安全策略。

7、通过对用户访问行为的录制，实现事后的审计。#p#

方案价值

1、应用虚拟化，无真实数据流向客户端，从源头防止信息泄露

泰然神州Janeos安全堡垒平台采用先进的Virtualapp应用虚拟化技术，数据在没有得到特别授权的情况下不会离开数据中心，满足了合规性和安全要求。内置的安全策略控制会根据每个用户的职务、设备特点和网络状况来确定用户对应用和数据的访问权限。这些动态属性还会影响用户可以在什么地方存储和打印敏感信息。如此有力的安全措施降低了敏感信息不小心暴露的可能性，极大地降低数据丢失和被盗的风险。

2、集中部署，客户端零维护

Janeos安全堡垒平台采用虚拟化技术打造统一应用交付和管理平台，实现应用虚拟化和桌面虚拟化，在应用交付和管理中心（ADC－Application Delivery Center）集中部署应用系统和桌面环境，通过Janeos安全堡垒平台交付给客户端，实现本地化的体验和集中化管理和客户端零维护，成为控制TCO的最有效手段之一。

3、业务连续性保障

采用集群和负载均衡技术，提供高度的系统可靠性和业务扩展性，可通过故障转移提高业务的可靠性，保证业务的连续性。

4、单点登录

登录Janeos安全堡垒平台统一应用平台，只需要输入一次密码，打开所有应用不需要再次输入密码，减少了每次输入密码的操作，提高桌面工作效率。

5、集中安全审计管理

Janeos安全堡垒平台能够收集、记录、管理用户对业务支撑系统的高敏感度的数据访问和关键操作行为记录。统计对高敏感度数据的访问情况和操作记录，在出现安全事故时用于责任追踪。同时，对人员的登录过程、关键操作行为等进行审计和处理。形成了针对核心应用系统访问过程的完整审计管理。

【编辑推荐】