铠大师安全防护方案是什么？（如何保障安全的）

问题：铠大师如何保障安全的？

方案介绍

系统概述

自主可控桌面终端应用生态平台支持ARM和X86架构国产CPU，适配统信UOS和银河麒麟KOS国产操作系统。该平台直接安装和运行在国产操作系统上，平台内创建Windows应用的运行环境，可运行Windows应用和连接外设，从而兼容适配原有业务系统，保障在自主可控桌面终端上业务平滑迁移。

总体部署结构

图1：总体部署结构图

自主可控桌面终端应用生态平台安装部署在每台自主可控桌面终端上。平台内创建Windows应用的运行环境，可运行IE浏览器访问原有B/S架构业务系统，以及运行C/S架构业务系统客户端和应用软件。因该平台不需要服务器部署，浏览器、业务系统客户端和应用软件仍然运行在自主可控桌面终端本地，所以整体网络部署环境无需调整，自主可控桌面终端接入内网即可使用。

风险识别

自主可控桌面终端应用生态平台创建了Windows运行环境，需对Windows运行环境的物理安全、边界安全、应用安全、数据安全、主机安全和网络安全等进行全方位的防护保障。

方案目标

防护原则

自主可控桌面终端应用生态平台安装部署在自主可控桌面终端上，平台自身的安全防护离不开对桌面终端自身的安全防护，尤其在物理安全、边界安全、主机安全和网络安全上都依赖于对自主可控桌面终端本身的安全防护措施。

• 同时自主可控桌面终端应用生态平台需遵循以下安全原则：
• 应用安全原则：Windows业务系统和应用与国产操作系统上Linux应用之间互相隔离，互不访问。
• 数据安全原则：兼容适配的Windows应用和业务系统保存的本地数据（如文档）需保存到国产操作系统本地。由本地自主可控桌面终端数据防护措施保障。
• 网络安全原则：Windows运行环境的网络访问权限跟宿主机一致，并且对外单向访问，不能网络上其他设备主动访问，保护Windows运行环境不被网络攻击

防护目标

• 保障数据安全：保护公司的重要数据和信息安全，避免数据泄露、篡改或损坏。
• 维护系统稳定：确保自主可控桌面终端系统的稳定性和正常运行，避免因病毒、恶意攻击或其他原因导致的系统崩溃或瘫痪。
• 防止外部攻击：防止外部网络攻击和黑客入侵，保护公司网络和信息安全。
• 规范员工行为：通过制定员工使用自主可控桌面终端的行为规范，避免员工的不当操作导致的安全问题。
• 提高整体效率：通过安全防护措施和对业务系统的兼容适配，提高自主可控桌面终端的整体效率，避免不必要的损失和浪费。

防护措施

物理安全

自主可控桌面终端应用生态平台安装部署在自主可控桌面终端上。物理上自主可控桌面终端使用国产CPU和国产操作系统，本身是自主可控和安全可靠的终端。物理安全性由对自主可控桌面终端的物理安全防护保障。

对于自主可控桌面终端的物理安全防护，采取以下措施：

• 确保自主可控桌面终端放置在安全可靠的环境中，远离水源、高温、寒冷、震动等不利环境因素。
• 确保自主可控桌面终端的供电稳定，避免因电压波动或突然断电导致的数据丢失或硬件损坏。
• 为关键重要的自主可控桌面终端加装UPS（不间断电源），确保在电源中断时，硬盘不会立即停止工作，从而防止数据丢失。
• 对重要文件和数据进行备份，并存储在安全可靠的地方，如内部云端存储或外部硬盘。
• 定期清理电脑硬件，包括灰尘、污垢和静电干扰等，确保电脑的良好工作环境。
• 对外来设备如USB、移动硬盘等采取严格的安全管理，避免外部设备带来的病毒和恶意攻击。
• 在公司内部网络中加强对移动设备的管控，例如限制设备接入、加密传输数据等，以保障数据的安全性。
• 这些措施可以有效保护自主可控桌面终端的物理安全，避免因环境因素或人为失误导致的数据丢失或硬件损坏，确保自主可控桌面终端的良好运行状态。

边界安全

自主可控桌面终端应用生态平台安装部署在自主可控桌面终端上。边界安全性由对自主可控桌面终端的边界安全防护保障。

对于自主可控桌面终端的边界安全防护，采取以下措施：

• 确保公司网络防火墙、入侵检测系统（IDS）等边界安全设备完好部署并保持更新，以抵御外部威胁。
• 对公司网络进行合理的安全策略配置，例如设置内外网访问控制、关闭不必要的端口和服务等，以减少潜在的安全风险。
• 对员工进行网络安全教育，提高员工的网络安全意识，避免内部网络攻击和泄密事件的发生。
• 定期对网络边界进行安全审计，检查安全策略的有效性，及时发现并修复安全漏洞。
• 使用虚拟专用网络（VPN）技术，确保远程办公和出差时的数据传输安全。
• 安装网络监控和报警系统，实时监测网络流量和异常行为，及时发现并处理网络故障和安全事件。
• 对网络设备和服务器进行安全加固，例如开启日志记录、设置访问控制策略等，提高网络的整体安全性。

这些措施可以有效保护自主可控桌面终端的网络边界安全，确保公司内部网络与外部互联网之间的隔离和安全传输，同时防止内部网络攻击和泄密事件的发生。

应用安全

图2：应用安全架构示意图

Windows业务系统和应用只能访问虚拟机所占用的内存，没有权限访问国产操作系统上运行的应用和内存空间，Windows应用无法影响国产操作系统上应用的运行。平台通过Windows和国产操作系统的进程隔离和内存隔离，保障了国产操作系统的应用不受到Windows应用影响。

同时业务系统和应用的使用需遵守自身的应用安全防护原则和措施并得以安全保障。

数据安全

图3：数据安全架构示意图

兼容适配的Windows应用和业务系统保存的本地数据（如文档）仍然保存在国产操作系统本地，不需要保存到额外的服务器上，通过自主可控桌面终端本身确保本地数据的安全性。

对自主可控桌面终端的数据安全防护，采取以下措施：

• 数据加密：对于敏感数据，可以采用加密技术，对数据进行加密存储和传输，以保障数据的安全性。
• 数据备份：对于重要数据，需要进行备份，以防止数据丢失和损坏。可以选择本地备份或者内部云备份方式，同时需要注意备份数据的存储安全。
• 数据分类和标签管理：对于不同的数据类型，需要进行分类和标签管理，以方便进行数据管理和保护。例如可以将数据分为机密、秘密、内部和公开等不同级别，并为每个级别设置不同的保护措施。
• 访问控制：对于数据的访问和使用，需要进行控制和监管，只有具有相应权限的用户才能访问相应级别的数据。同时，也需要对用户的访问行为进行记录和分析，及时发现和应对潜在的安全威胁。
• 存储设备控制：对于存储设备的使用，需要进行控制和监管，例如限制USB的使用，避免未经授权的数据拷贝和泄露。
• 网络隔离：对于不同安全等级的网络，需要进行隔离和保护，例如设置不同的虚拟专用网络（VPN）通道，以避免数据泄露和攻击。
• 数据清理：对于过期和不再使用的数据，需要进行清理和销毁，以避免数据泄露和攻击。

总之，对于自主可控桌面终端的数据安全防护，需要从数据加密、数据备份、数据分类和标签管理、访问控制、存储设备控制、网络隔离和数据清理等多个方面进行全面考虑和保护，以确保数据的安全性和稳定性。同时，也需要加强对员工的培训和管理，提高员工的安全意识和技能。

主机安全

操作系统安全

自主可控桌面终端上使用国产操作系统，针对国产操作系统的安全保护，采取以下措施：

• 安装防火墙：安装防火墙可以防止黑客和病毒攻击，保障系统的安全性和稳定性。
• 安装杀毒软件：安装杀毒软件可以检测和清除病毒、木马等恶意程序，避免病毒和木马对系统造成损害。
• 及时更新系统：及时更新系统和相关软件，以修复已知的漏洞和安全问题，提高系统的安全性和稳定性。
• 禁用自动运行：禁用所有磁盘的自动运行功能，以防止U盘病毒等恶意程序自动运行。
• 禁止安装不明软件：禁止安装不明软件，避免安装带有病毒或木马的可疑软件。
• 定期检查启动项：定期检查启动项，发现异常启动项应及时进行处理，以避免病毒或木马程序自动运行。
• 加密重要文件：对重要文件进行加密处理，以避免数据泄露和损害。
• 安装系统备份：安装系统备份，可以在系统出现问题时快速恢复系统和数据。
• 使用复杂密码：采用复杂密码，避免使用简单的数字或字母组合，提高密码的安全性。
• 定期备份密码：定期备份密码，避免因密码丢失或遗忘而导致安全问题。
• 使用安全浏览器：使用安全浏览器可以减少中毒几率，提高上网的安全性。
• 关闭不必要的端口和服务：关闭不必要的端口和服务可以减少系统的安全风险。

数据库系统安全

自主可控桌面终端应用生态服务平台非业务系统，不涉及具体的业务数据，业务数据由各个兼容适配的业务系统负责，所以数据库系统安全由各个业务系统自身数据库系统安全防护措施进行保障。

网络安全

网络设备安全

自主可控桌面终端应用生态平台安装部署在自主可控桌面终端上。自主可控桌面终端主要用于办公和生产环境。

对自主可控桌面终端所处办公和生产环境的网络设备的安全防护，采取以下措施：

• 保障物理安全：确保网络设备所在的物理环境的安全，例如安装门禁系统、监控摄像头等，避免未经授权的访问和盗窃。
• 分类设置密码：对于不同的网络设备，如路由器、交换机等，设置不同的密码，并采用较为复杂的密码，以避免密码被猜测或破解。
• 定期检查日志：定期检查网络设备的日志，发现异常行为或可疑的访问记录，及时进行处理和报警。
• 限制访问：对于非法的网络访问，可以通过设置防火墙、入侵检测系统等方式，限制和阻断非法访问。
• 数据加密：对于传输的数据，采用加密技术进行加密，以避免数据被截获和泄露。
• 备份重要数据：对于重要的数据和配置信息，进行备份和存档，以避免数据丢失或被篡改。
• 使用安全协议：采用安全协议，如SSH等，代替不安全的协议，避免被攻击和窃听。
• 及时升级软件：及时升级网络设备的软件和固件，以修复已知的漏洞和安全问题。
• 定期维护：定期对网络设备进行维护，包括清洁、散热等，以保持设备的正常运转和安全性。
• 加强员工培训：加强员工的网络安全意识和技能培训，让他们了解如何避免网络攻击和保护公司信息的安全。

网络通道安全

图4：网络安全架构示意图

在NAT网络配置下，虚拟机只能单向对外访问，而不能被外部直接访问，可以保护虚拟机环境不被外部网络进行主动攻击。虚拟机可支持第三方网络安全防护系统，可安全接入到办公生产网络环境中。

对自主可控桌面终端所处网络的通道进行安全防护同时对运行在终端上的应用生态平台也进行了安全防护，故采取以下措施：

• 保障网络设备安全：通过配置访问控制列表、关闭不必要端口、定期更新补丁和限制远程访问等方式，确保网络设备的安全性。
• 使用安全协议：采用SSL/TLS等加密协议来替代非安全的协议，保障数据在传输过程中的安全性和完整性。
• 防止ARP攻击：通过绑定IP和MAC地址、设置ARP欺骗防护和定期更新IP/MAC地址映射表等方式，防止ARP攻击。
• 防止DNS劫持：通过使用可信的DNS服务器、设置DNS污染防护和定期检测DNS响应等方式，防止DNS劫持攻击。
• 配置安全审计策略：开启安全审计功能，记录网络流量和异常行为，以便及时发现和处理潜在的安全威胁。
• 限制网络广播：通过划分VLAN、使用私有网络或关闭网络广播等方式，减少网络广播带来的安全风险。
• 配置防火墙：在网络的进出口处部署防火墙，过滤不安全的数据包，并设置允许访问的IP地址和端口，避免外部攻击和入侵。
• 使用入侵检测系统：通过安装入侵检测系统（IDS/IPS），实时检测网络流量中的恶意行为，及时发现并阻止潜在的网络攻击。
• 数据加密：对于传输的数据，采用加密技术进行加密，以避免数据被截获和泄露。
• 备份重要数据：对于重要的数据和配置信息，进行备份和存档，以避免数据丢失或被篡改。
• 加强员工培训：加强员工的网络安全意识和技能培训，让他们了解如何避免网络攻击和保护公司信息的安全。

终端安全

自主可控桌面终端应用生态平台安装部署在自主可控桌面终端上，平台自身的安全防护离不开对桌面终端自身的安全防护。

针对自主可控桌面终端的安全防护，采取以下措施：

• 加强密码管理：对于重要数据和系统，必须采用复杂的密码进行保护，并定期更换密码。
• 实施访问控制：对于终端设备的访问要进行限制，只有经过授权才能访问。此外，还应该限制外部设备和存储介质的使用，防止病毒和恶意软件的传播。
• 及时更新防病毒软件：终端设备必须安装防病毒软件，并定期进行更新和扫描，以预防和清除病毒、木马等恶意程序。
• 安装防火墙：终端设备需要安装防火墙，并设置适当的规则，阻止未授权的网络通信和数据泄露。
• 关闭不必要的端口和服务：终端设备需要关闭不必要的端口和服务，以减少被攻击的可能性。
• 限制移动存储设备的使用：对于移动存储设备，如U盘、移动硬盘等，需要进行授权才能使用，并定期进行杀毒和检查，以防止病毒传播。
• 定期备份数据：对于重要数据，必须定期备份，并保存在安全的地方。同时，要对备份数据进行加密，以防止数据泄露。
• 使用安全软件：经过公司认证的安全软件能够很好的管理电脑的终端安全。
• 加强员工的安全意识培养：员工是企业信息安全的第一道防线，必须加强员工安全意识的培养，让员工了解信息安全的重要性，并提高其安全意识和安全素养。

安全管理

自主可控桌面终端的安全管理需要全面考虑各种安全风险和隐患，制定相应的管理制度和操作规范，并加强对员工的安全意识和培训，确保终端和数据的安全性，主要为以下几点：

• 用户账户管理：每个员工只能使用自己的账户和密码，不得共享账户信息。同时，办公室管理员需要定期对账户进行审计，查看是否有异常行为。
• 数据备份和恢复：对于重要数据，需要定期备份，并保存在安全的地方。如果发生数据丢失或损坏，需要及时进行恢复。
• 网络安全管理：禁止使用自主可控桌面终端进行私人网络连接，如因工作需要必须连接时，需经过公司管理员的审批和记录。同时，禁止访问未知或不可信的网络，以防止网络攻击和数据泄露。
• 防病毒和恶意软件：每台自主可控桌面终端都需要安装杀毒软件和防火墙，并定期进行更新和扫描，以预防和清除病毒、木马等恶意程序。
• 访问控制和权限管理：对于不同等级的用户，需要设置不同的访问权限。同时，对于不同部门和项目的文件和数据，也需要设置不同的访问权限，确保数据的安全性和保密性。
• 加密和安全存储：对于重要数据和文件，需要进行加密存储，以防止数据泄露和破坏。同时，对于废弃的纸张和电子设备，需要进行彻底销毁和处理，以防止数据泄露。
• 安全审计和监控：对于自主可控桌面终端的使用，需要进行审计和监控，确保没有异常行为和数据泄露。同时，对于违规行为，需要进行及时处理和记录。