如上图所示,物理机用于处理日常非机密类的流量,而物理机上的虚拟机则用于处理机密的业务类数据流。 虚拟机与物理机的通信隔离,保证虚拟机中数据在本地不被窃取。且虚拟机是加密方式存储的,即使电脑丢失,也可保证虚拟机中的数据不被破解泄漏。 在虚拟机上,启动 L3 功能与企业数据中心的 Array SSL VPN 建立一条 full tunnel,并且虚拟机上的安全策略,只允许与 SPX 通信,保证虚拟机联网时的数据不被恶意木马窃取。 通过以上技术手段,我们可以利用 VMware 虚拟机,实现数据在同一物理介质上的安全隔离,利用 Array SSL VPN 的 full tunnel,构建一个安全的虚拟专用网络。保证数据在传输时的安全。从而通过技术手段实现了非业务流量与业务流量的隔离。
四、VMware部署示意图
VMware ACE 2.5 是一个全面的企业解决方案,使用该解决方案企业可以在安全且集中管理的虚拟机(称为 ACE)中部署标准化的客户端 PC 环境。每个 ACE 包含一个完整的客户端 PC - 包括操作系统和所有应用程序。桌面管理员可以使用 ACE 中的动态策略配置功能,通过控制设备和网络的访问权来锁定端点,从而保护公司的机密数据,并确保遵守 IT 策略。 使用 Workstation 6.5 来创建 ACE,并将其打包和部署到本地及远程端点(如笔记本电脑
和桌面 PC),甚至可以部署到可移动的 USB 设备(如拇指驱动器和移动硬盘)。
部署之后,使用 ACE 管理服务器可从一个中心位置监视 ACE 并执行公司策略。ACE 管理服务器使管理员能够向本地和远程 ACE 实例提供动态策略更新,还能控制承包商、顾问及其他临时用户所用产品包的激活和停用。 其主要功能如下:
1、 与 VMware Workstation 6.5 集成:VMware ACE 2.5 提供了与 VMware Workstation 6.5 的无缝集成,客户能够使用单个用户界面访问这两种产品。因此,现在管理员可以在扩展的企业中使用 Workstation 6.5 来配置和部署 ACE 产品包。
2、 ACE 2 管理服务器:使用新的 ACE 2 Management Server,可从一个集中的位置管理和控制 ACE 客户端。ACE 2 管理服务器具有动态更新控制和安全策略的能力,它还能激活/停用 ACE 客户端。
3、 便携 ACE:现在,管理员可以直接在一个便携式 USB 介质设备(如闪存记忆棒、便携式硬盘甚至 Apple iPod)上捆绑和部署 ACE 软件包。最终用户可以直接从 USB 设备运行其 ACE 客户端虚拟机,从而实现了无与伦比的移动性和灵活性。
4、增强的安全功能:ACE 2.5 增强了策略和产品包设置,因而可以更方便地保护和管理 ACE 客户端。对设备和网络访问灵活、细化的控制使管理员能够准确地指定 ACE 客户端可以访问的计算机或子网。此外,ACE 2.5 使用经 FIPS 验证的 128 位 AES 算法,来防止对存储在 ACE 客户端上的数据进行未经授权的访问。
五、风险分析
在构建一个数据防泄漏解决方案时,一定要充分考虑到方案所涉及的全部风险和漏洞,并对每个风险或漏洞给出解决方案。 细分下来,数据防泄漏解决方案将面临如下风险:
风险 1:虚拟机中的数据被本地物理实体机所访问,窃取。
风险 2:虚拟机中的数据被通过网络所访问,窃取。
风险 3:虚拟机中的数据通过网络传输时被窃听。
风险 4:虚拟机被病毒感染,导致数据被木马程序窃取。
风险 5:虚拟机丢失而导致的数据泄漏。
风险 6:员工备份了虚拟机,离职后仍然可以访问虚拟机中的数据。
风险 7:员工将家中的物理机仿冒成虚拟机窃取公司数据。
下面我们针对这些风险来一一进行剖析:
风险 1,虚拟机中的数据被本地物理实体机所访问,窃取。
解决方案,在 ACE instance 中设置策略禁用光驱、USB、打印等外部设备。