admin 计算机技术的不断发展和硬件价格的不断下降，使得计算机迅速普及，企业信息化程度也不断的提高，企业中使用计算机办公早已司空见惯。同时，信息化水平的提高给企业数据的安全性带来了巨大的威胁，黑客攻击、病毒感染等等已经使越来越多的企业开始重视企业机密数据的保护。
数据加密是保证数据安全的有效手段之一， 但是传统加密手段需要人工参与，加密和解密过程需要手动进行，操作上较为繁琐且文件在操作修改的过程中以明文形式存在，存在很大的安全隐患。另外，加密软件的使用有一定的学习曲线，这也给企业数据安全带来一定困扰。
1、企业数据安全现状
1．1网络入侵
企业计算机系统的漏洞以及员工的操作不当都可以带给黑客或恶意攻击者入侵企业网络的机会。黑客或恶意攻击者一旦侵入企业计算机，盗取企业机密数据，导致商业机密外泄，就会给企业造成巨大的经济损失。
1．2为安全牺牲效率
由于企业数据安全存在上述威胁，部分企业为了保证数据的安全性，采用断网、禁用U盘等封堵措施，这样带来的后果往往是员工工作效率的下降和使用便利性的降低，得不偿失。
1．3内网安全无法保障
企业常用的病毒防护软件、防火墙、VPN等防护手段仅仅能够保证外网的安全，不能够保证企业自身内部网数据的安全性以及远程办公的数据的安全性。
1．4企业内部泄密是数据外泄主因
据IDC报告显示，70％的安全损失是由企业内部原因造成的，员工不当的上网行为，导致了企业机密数据资料被窃；FBI和CSI调查显示，超过85％的安全威胁来自企业内部，威胁包括内部未授权的存取、专利信息被窃取、内部人员的财务欺骗等。企业机密数据的外泄给企业自身造成了非常严重的经济损失。
2、透明加解密技术简介
透明加解密技术是针对企业文件保密安全需求应运而生的一种文件加密技术，也是近几年来炙手可热的一门技术。该技术与操作系统中的文件系统部分紧密结合，能够增强文件系统的某些功能，或改变和监控某些系统行为。
透明加解密技术通常工作于系统的底层，根据使用技术的不同，可分为内核层加解密和应用层加解密两种。内核层加解密一般采用文件系统过滤驱动技术，通过编写文件系统过滤驱动，在内核层过滤并处理来自应用层的读写请求，达到加解密的目的。应用层加解密则通常采用API HOOK技术，接管文件读写操作，监视文件读写，从而实现文件的加解密。
透明加解密技术通常具有强制性和透明性。所谓强制性是指机密文件的加密和解密过程是自动强制进行的，用户无法干预。而透明性则是指加密和解密的过程是对用户不可见的，用户几乎感受不到加密和解密的进行，也就是对用户来说是透明的；用户不需要改变原有的操作习惯，也不需要学习如何使用透明加密系统。
此外，透明加解密技术通常采用动态加解密方式。相对于静态加解密的方式，动态加解密效率更高，用户几乎感觉不到速度上的损失。
3、透明加解密技术在企业数据安全中的应用方案
透明加解密技术是针对企业文件保密安全需求应运而生的文件加密技术，用在企业数据安全防护中是自然而然的选择。内核层的过滤驱动技术实现的透明加解密相对于应用层的加解密在效率、安全性和稳定性上有着更突出的优势，功能也更加强大，因此对于推动网络安全技术的发展有着很重要的意义，是国内外安全厂商和研究者主推的技术。
3．1企业数据透明加解密方案的模型
文件系统过滤驱动技术在企业数据安全中的应用方案一般包括以下功能模块：
3．1．1内核层过滤驱动模块
该模块是数据安全方案的核心模块。其主要功能是与应用层的控制模块进行通信，接受来自应用层的控制指令或加解密密钥；读取安全策略，根据安全策略实现文件的透明加解密；进行访问控制，拒绝非法访问；向应用层的控制模块提供功能调用接口。
3．1．2应用层控制模块
也可以称之为应用层交互模块。本模块主要与密钥管理模块进行交互，从密钥管理模块获取加解密密钥，需要更新密钥时通知密钥管理模块更新密钥；控制内核层过滤驱动的启动和停止；与内核层通信，向内核层过滤驱动发送控制指令或加解密密钥，接收内核层返回的操作结果；与用户进行交互，并根据用户安全需求制定相应的安全策略，如需要加密的磁盘分区或目录，受监控的进程和文件类型等。另外，必要情况下还要向身份认证模块发送身份认证信息，接收认证结果以检查用户身份是否合法。
3．1．3密钥管理模块
图1 企业数据透明加解密方案模型示意图
密钥管理模块是企业数据安全方案中至关重要的一环，它是整个加密方案的关键。该模块负责密钥的分发、存储、密钥的分级管理以及密钥更新等等。
3．1．4 身份认证模块
有时还需要身份认证模块，以防止非法用户登录使用透明加解密系统。验证用户身份的合法性，并将认证结果返回应用层控制模块。只有用户身份合法时，应用层控制模块才能够从密钥管理模块获得加解密密钥。
3．4．5离线应用模块
对于企业员工因出差而无法接入企业内部网等类似情况，企业数据透明加解密方案还应提供离线应用模块，来应对离线办公的情况。该模块可以控制文件的拷贝 打印等权限，甚至还可以限制离线办公的有效时间长短。
3．2透明加解密方案关键技术
3．2．1文件透明加解密的实现
过滤驱动技术需要对windows系统内核及文件系统部分有充分的了解，因此技术门槛较高，实现难度较大。本方案文件透明加解密采用文件系统过滤驱动技术，数据的加密和解密过程主要是通过拦截系统IRP读写请求，然后操作读写请求对应的数据缓冲区中的数据来实现的。
3．2．2文件加密标志
加密标识是一个数据结构，它一般由几部分组成，可存放加密算法类型、文件实际长度、公司名等标识信息。其作用主要是区分是否加密文件。加密标识的保存位置分为保存在文件外和保存在文件本身两种方式。文件标识保存在文件外存在同步问题、拷贝问题、文件标识丢失后加密文件无法解密等问题。因此，将加密标识保存在文件本身是较稳妥的方式。
将加密标识保存在文件本身一般有两种选择，保存在文件头或添加一个文件尾。这两种方案各有其优点，添加文件头的方式好处是稳定可靠，位置是固定的，不会因文件长度的变化受影响，但是实现比较困难，需要隐藏加密标识文件头；而保存在文件尾的方式比较容易实现，但文件尾不是一个固定的位置，一旦文件长度发生改变，需要重写文件尾。
3．2．3 内核层与应用层的通信
在整个透明加解密方案中，应用层和内核层是交互最频繁的两个模块，因此内核层与应用层彼此之间需要进行数据交换，内核层与应用层的通信是较为关键的技术之一。
计算机技术的不断发展使得计算机办公成为企业不可或缺的一部分，数据安全问题也越来越突出，企业应根据自身实际需要建立合适的数据安全防护系统。文章介绍了一种当前流行的数据安全加密技术，为企业数据的安全提供借鉴。
