工控主機加固解決方案

一．需求背景

       人工智慧三大核心要素：演算法、算力、資料。除了演算法、算力外，最重要核心因素是資料。實現人工智慧有兩個階段，即準備資料與訓練模型。資料準備工作量佔比達 70% 以上，但更重要的資料背後的人工，即資料預處理、模型選擇與引數調整。資料預處理過程中的需要在個人PC端進行大量的資料傳輸，這種傳輸很容易照成資料的洩露，透過網路的接入、網路的外發等各種行為都可輕易的將大量的資料外帶，透過各種網路傳輸方式都是輕易將資料洩密的主要通道。

       模型選擇和訓練一般都在公司終端伺服器進行但是也有部分佔用資源不高的模型在個人PC訓練。個人PC與公司伺服器傳輸模型資料就可能導致模型訓練成果外洩，資料洩密。

       並且還存在很大的儲存風險，磁碟是資料儲存的主要介質，終端日常的資料都儲存在本地硬碟上。在任何一個環節中，資料的儲存都將是嚴重的安全威脅，磁碟的被盜和膝上型電腦的遺失給磁碟的資料帶來了極大的安全隱患。資料在經過其他核心業務系統匯出時最終還是儲存在本地磁碟，透過硬碟拆卸等方式輕易將資料複製出去。即使結合了很多審計或者其他控制手段，但也可透過多系統或者掛接到其他系統將資料外帶。

二．資料防護的需求

•       內部防護需求

       內部防護主要是對於軟體開發人員的程式碼防護和演算法訓練人員的所用到的訓練素材，生成的演算法模型等進行管控。

•       外部防護需求

       主要是外售終端的智慧模組中，內含的演算法，程式等的防反編譯，防破解，防篡改，還有智慧裝置整體防中毒等。

三、人工智慧行業資料安全整體解決方案

       資料洩密的途徑總結起來無非是網路、移動裝置、第三方協議及外設，由於程式碼，演算法模型等資料都是在員工pc端上產生，主要在pc-pc、應用伺服器-pc之間流轉，因此主要針對的物件是使用這些資料的pc和伺服器。我們建議採用SDC防洩密系統進行資料防護的。對於向外銷售的智慧裝置終端我們提供CBS賽博鎖來保證裝置內含的資料演算法反編譯，反篡改，防抄板，以此來保證智慧裝置的資料安全。

1、內網辦公資料安全解決方案

        SDC平臺以‘環境加密技術’為技術理念，所謂的‘環境’是指資料在生成、儲存、互動、使用的過程中所接觸的載體、使用者、傳輸渠道的一個總稱。而‘環境加密技術’就是採用了多種管理手段結合的方式保護資料在生成、儲存、互動、使用過程中的安全環節控制。在保密系統中主要採用了磁碟加密、網路傳輸控制、移動儲存加密，外設控制等技術手段來保障了資料安全環境的建立。

       磁碟加密主要採用了磁碟驅動加密技術對磁碟扇區進行強制加密，一旦磁碟被拆卸或者丟失也無法獲得資料。

       外設控制則可控制計算機透過非正常手段，比如藍芽、紅外等裝置進行資料傳輸洩密。移動儲存加密可提供強大的移動儲存管理功能，既方便了內部交流使用又將資料加密防止資料洩密。

       網路准入控制可以控制所有管理範圍內終端只允許訪問核心應用系統，其他無關網路不能訪問。

       日誌審計終端所有燒錄聯調、解密、列印都將生成日誌，並備份檔案到伺服器。

如下圖：

                  圖 1-1 資料保密體系建立示意圖

1.1方案系統

基於防洩密平臺而設計的資料保密方案可以實現以下效果:

1. 提高了伺服器的登入安全級別，對於訪問者的身份和許可權進行認證，過濾非法訪問請求；

2. 對於資料在其流轉的過程當中（儲存、內部傳輸、介質交換、向外傳送）實現了全方位的加密與審批保護，對資料的生存環境進行了有效控制；

3. 對於敏感和違規的操作行為進行報警和記錄，並生成日誌。同時支援將日誌匯入到資料庫中，結合日誌檢視程式，按照需要生成自定義報表；

4. 對移動辦公具有對性的保護，在保證工作效率的同時保護了資料的安全；

5. 保證外發的資料不會二次洩密，大大增加了資料的可控性；

6. 其於不同的角色（研發人員、商務人員、合作伙伴）來配置策略、制定管控力度；

7. 提供多級管理的功能，形成級聯式的管理控制體系，在許可權下方的同時實現垂直監管；

8. 對於較大規模的部署，為了保證 防洩密平臺 伺服器的執行穩定，實現了多臺伺服器執行環境的負載均衡。

1.2方案特點和優勢

基於資訊保安平臺而設計的方案特點與優勢如下：

1.整體性的解決方案。基於防洩密平臺實現了整體方案架構的制定，實現了伺服器認證管理、資料執行環境加密、資料終端操作行為監控與審計等多種功能，從多個角度提升資料保護力度；基於資料備份平臺實現了自動的，有計劃的，網路集中的資料備份，保證公司資料的完整性；

2.相容性較好。在統一的產品平臺下，實現複合型的管理與保密功能，不會產生子功能間相互干擾與影響的情況，保證終端穩定執行；

3.基於環境加密的解決方案自適應性良好。在提供對現有環境與狀態下的資料防護，亦可滿足將來實施或升級各類應用系統與終端軟體而產生的新的保密需求；

4. 獨特的工作模式切換可以考慮到工作和生活的兼顧，降低了資料保密對使用人員的約束，提升了計算機的利用價值；

5. 從下線風險角度來考慮，因為方案是基於環境來進行控制，如果需要應急，公司可以在短期之內迅速解除對環境的控制措施，對廠家的依賴性與資料加解密風險較低。

.3、部署示意圖

                  圖1‐2部署示意圖

1.4方案小結

       此方案根據資料所面臨的風險不同，而提供多種保護手段，並且透過資料外洩埠的控制，有效的防止了資料的主動洩密和被動洩密的情況，不論使用者是透過剪下板、拷屏、網路外發等方式，都受到網路加密、硬碟加密、移動儲存加密、外設控制、網路安全准入等五重的保護，總而言之就是資料可以在環境內部自由使用，但沒法違規脫離環境。

2、外設終端裝置安全

       CBS(CyberSandbox)鎖是深信達公司研發的邊緣計算終端的保護鎖，透過把安全容器內嵌到作業系統中，對容器內的應用和資料進行加鎖，實現終端安全。

                  圖2-1 CBS功能示意圖

       CBS鎖透過容器接管作業系統，重新定義作業系統的許可權模組，讓程式和資料行為都在容器中白名單執行，非授權程式和指令碼一律禁止啟動。容器內所有資料，VPN賬號、密碼以及其他核心資料都在容器中儲存，非授權外界無法獲得，全容器加密。

       CBS鎖提供高安全性、高易用性的對稱和非對稱加密演算法，可供外圍呼叫。CBS提供身份唯一ID並繫結硬體環境，防止系統被克隆

2.1、安裝效果

1.只有必須的工作場景才能執行、陌生程式一律禁止執行

2.沒有中毒和駭客攻擊

3.資料防竊取、防洩露

4.容器內程式加殼執行，防止別人破解和抄板

5.即使管理員賬號被盜，仍然安全

6.可進行金鑰生成、銷燬管理

7.可自由選擇所需加密演算法

2.2、CBS產品特點

•       系統狀態保持

        部署時什麼樣就什麼樣，系統正常執行狀態得到保持，並且佔用資源低，不會影響效能，支援聯網和單機離線模式；

•       防止未經授權的軟體安裝

       非授權軟體無法安裝和執行，從根源上杜絕亂裝和中毒中木馬；

•       容器內資料區加密保護

       終端核心資料是加密的，可防止資訊洩密；

•       容器內應用反編譯

       應用程式跑在容器內加殼執行，防止反編譯。

2.3、CBS集中管理平臺

       CBS提供單機版和網路版兩種。

       網路版有集中的管理平臺可對每一個聯網終端進行維護審計