桌面云数据安全浅析

随着云计算与虚拟化技术的不断成熟，桌面云作为优化传统办公模式的解决方案而被广泛采用。

桌面虚拟化是支持企业级实现桌面系统的远程动态访问与数据中心统一托管的技术。通过后台服务器统一存储每台终端的桌面镜像，由终端计算机或者瘦客户端连入云桌面服务器来打开个人虚拟云桌面，通过虚拟云桌面来进行工作。一个形象的类比，就是今天，我们可以通过任何设备、在任何地点，任何时间访问在网络上的我们的邮件系统，或者个人桌面；而未来我们可以通过任何设备，在任何地点，任何时间访问在网络上的属于我们个人的桌面系统。

通常桌面虚拟化技术，具备如下特点：

◆更灵活的访问和使用：终端使用不局限于公司或者桌面pc，使用人员可以在家、机场等任意地点通过网络访问到公司内部的个人桌面进行个人办公。对于IT管理人员来讲也无需对繁杂的问题进行逐一排查，只需在机房中就可以对虚拟桌面遇到的问题进行排查，减少运维人员的工作量，提高了办公效率。

◆更广泛与简化的终端设备支持：通过使用桌面虚拟化，所有的计算过程和数据存储都在云端服务器来完成，对于终端来讲只需提供显示、输入、输出等动作既可以对远程虚拟桌面进行操作，这样就可以支持更多的终端设备来完成工作。

◆终端设备采购、维护成本大大降低：这种IT架构的简化，带来的直接好处就是终端设备的采购成本降低,通过瘦客户端作为桌面载体其成本比标准pc便宜的多，同时对于硬件设备的生命周期来讲，计算性能由云端服务器来进行决定，终端决定性不大，这就确定了瘦客户端的生命周期会更长与传统pc终端。

◆集中管理、统一配置，使用安全：由于所有的数据都是集中存储在企业数据中心，提高数据的集中应用，管理员可以在数据中心进行对所有桌面和应用进行统一配置和管理。例如系统升级、应用安装等。避免了传统由于终端分布造成的管理困难和成本高昂。由于传递的只是最终运行图像，所有的数据和计算都发生在数据中心，则机密数据和信息不需要通过网络传递，增加了安全性，另外这些数据也可以通过配置不允许下载到客户端，保证用户不会带走、传播机密信息。

针对上述特点不难发现，桌面虚拟化带来低成本，高效率的同时，依旧存在传统的信息存储、传输和使用过程中的安全风险问题。明朝万达经过细致研究，总结为四个方面：

◆虚拟化终端使用过程中，由于账户成为了控制资源是否允许使用的唯一控制方式，通过身份冒用可以越权使用非授权信息，造成涉密信息的泄密。

◆采用虚拟化技术的云终端，数据统一归档存储在核心存储设备上，数据集中存储后，敏感数据均存储在服务器上（云端），存在非授权使用和非法访问等安全隐患。

◆在虚拟化的IT构架下，企业内部不通过本地进行数据存储和调用，统一将数据存储在云端进行存储，这种情况下，减少了数据在存储层面造成的数据泄露风险，但是增加了数据的内部泄密情况的发生。

◆同时通过统一桌面云进行后台存储和管理，无法通过传统交换机方式实现VLAN的逻辑划分，对于部门之间或者工作组之间的隔离无法完成。同时，网络作为一个开放性的交互手段，数据交互存在很大的便利性，同时对于数据的外泄也是一个巨大的风险点。 尽管桌面虚拟化技术以爆炸式速度席卷全世界,但维护虚拟环境安全的技术却严重滞后，这对企业数据安全提出了更高的要求。明朝万达针对桌面虚拟化在使用的过程中身份认证、数据统一云端存储、移动存储介质使用、云桌面数据外带等使用场景中的风险点，结合Chinasec（安元）数据安全产品，推出Chinasec（安元）桌面云数据安全解决方案：

布署示意图

◆通过桌面虚拟镜像数据加密功能，解决云端数据集中存储带来的管理员优先访问权与虚拟机逃逸带来的隐患，防止桌面云使用者的私有数据泄密。

◆结合PKI技术的双因子云终端身份认证，避免云终端身份冒认使用风险，细粒度的访问控制提升远程使用云终端的安全性。

◆以云终端为识别依据的安全域划分，取缔传统PC终端依赖物理端口划分虚拟安全域的机制，符合云终端跨区域使用的特性，加强云终端之间数据传输安全管控。

◆数据动态边界自动加密功能实现云中部门间数据可控交互，防止云终端数据通过邮件、网页或即时通讯工具等造成的泄密。

方案特点

◆通过加密手段将统一存储的风险进行分摊。对用户虚拟磁盘空间或者后台真实数据存储空间进行加密，实现对非授权用户在访问磁盘空间和管理员非法访问虚拟机存储空间的管控。

◆针对桌面云瘦终端的数据安全，完全杜绝外发途径，能够有效的管控终端用户使用邮件、即时聊天工具等网络传播途径，避免数据泄露。同时还能审计终端用户的外发数据，能做到事后溯源查询。

◆Chinasec从网络层进行的传输控制，针对网卡封装的数据包进行加密，使得同组内具有相同秘钥的云桌面可以进行透明解密。通过该方式可以实现桌面云环境下的虚拟终端隔离，通过软件方式实现虚拟安全域的划分。

◆在统一的平台上可支持对普通PC终端、云桌面及虚拟化终端、移动智能终端和物联网终端等多种终端网络的协同管理，可以有效应对企业IT架构的快速变革与延伸，构建全IT架构协同联动的数据安全体系。 明朝万达从云终端、网络、服务器、存储等各个方面整体考虑桌面云数据安全问题，可与桌面虚拟化产品无缝整合，带来全新的易管理和安全的桌面虚拟化体验，为广大的云客户带来更显著的战略优势。