山麗實戰解析:PDM/PLM與數據加密融合
2024-11-19 20:35:11 2
PDM/PLM系統安全防護的緣由
現在，越來越多的企業採用PDM或者PLM系統對自己的項目資料已經項目本身進行有序管理。而且，許多PDM/PLM廠家也對系統的伺服器端進行了一定的安全處理，如將服務端的數據進行異化處理後存儲，異化的方式包括了數據格式的轉化等等。但總體來講，因為這些PDM/PLM廠家本身並非是信息安全廠家，因此，在數據安全防護方面所慮有限，而且，安全本身需要的技術投入又是相當的大，所有的PDM/PLM廠家也無意在這些方面投入過多。
所以，目前來講，對PDM/PLM系統的安全防護基本上是由專業的信息安全廠家來完成的。
PDM/PLM系統存在的安全問題
總體來講，對PDM/PLM系統存在的安全問題主要存在於兩個方面。
其一，在於PDM/PLM系統伺服器端數據的安全問題。這些數據是全部系統的數據，一旦遭到全局性洩密，將造成公司數據毀滅性打擊。
其二，在於PDM/PLM系統客戶端數據的安全問題。這些數據的洩密，可能造成用戶局部的安全風險，但隨著客戶端權限的大小，洩密風險呈正相長的關係。
在第一種情況下，雖然有的PDM/PLM系統廠家也進行了一定的安全防範，如將服務端的數據進行異化處理後存儲，異化的方式包括了數據格式的轉化等等，但因為如前文談到的其在安全上的投入有限，面對這些數據在被網絡、系統管理人員採用極端方式copy帶走的風險面前，這些防護就顯得不堪一擊。（畢竟，PDM/PLM系統的目標是在於解決項目管理和項目數據的問題，這個不是他們的錯。）
在第二種情況下，PDM/PLM系統也貌似有著安全的防護，如，PDM/PLM系統的有關數據只能在其特定的客戶端框架內打開甚至編輯。但實際上，用戶可以藉助非PDM/PLM系統的一些編輯工具實現對文檔、圖形的獲得。
最為嚴重的是：PDM/PLM系統為了提高自己的瀏覽效率，每次在瀏覽圖紙的時候，均會在硬碟如c盤某個地方，將該文件臨時保存起來，雖然當圖檔關閉後，該文件也將自動的刪除，但在未刪除之前，用戶可以將該圖紙copy到電腦的其他地方帶走。這就是說，有瀏覽權限的人就有下載權限！如果請人寫個腳本，實現自動copy臨時文件裡面圖紙的功能，將會帶來極其嚴重的後果：一個人可以在1-2天內通過不斷的點點點將圖紙全部帶走！！！。至於有的PDM/PLM系統用戶對圖紙的瀏覽沒有限制，有瀏覽圖紙的權力，就可瀏覽所有的圖紙，那風險就更大了。
山麗防水牆數據加密系統解決方案
各個PDM/PLM系統各有其特點，我們以西門子的TeamCenter為例進行說明。
有三種方案可以考慮，可以通過測試選擇：
方案一：TeamCenter伺服器上文件不加密；TeamCenter客戶端數據加密；
方案特點：
僅僅防護客戶端數據的洩密，無法防範數據從伺服器端的洩密，或者不安裝加密軟體將數據從伺服器端下載下來帶走。
方案二：TeamCenter伺服器上文件加密；TeamCenter客戶端數據加密
方案優點：
數據完全實現了保密的要求，在客戶端還是在伺服器端不管通過任何形式不登陸防水牆客戶端均無法訪問數據。只有安裝了防水牆的機器，並經過合法的授權，並進行了登陸後才能訪問加密的數據，是否具有讀取數據的權限，還依賴公司配置的策略。
TeamCenter伺服器端策略配置方案和防洩密測試；
| 系統 | 防水牆安裝位置 | 原來庫文件加密策略 | 設置操作端新文件加密策略 | 操作位置 | 防洩密執行效果（√可用，且加密） |
| TeamCenter系統 | TeamCenter伺服器端 | 庫文件加密 | 全部加密策略 | 伺服器本地 | √ |
| 客戶端遠程 | √ |
方案三：TeamCenter伺服器上文件不加密，但執行空加密策略；TeamCenter客戶端數據加密。
方案優點：
所謂空加密策略，指的是：文件（數據）保存在本地硬碟的時候，不進行加密，但數據通過U盤等外設方式，或者通過網絡共享方式獲得的數據都是密文，即使使用$的方式，訪問本地的數據也是密文。
一般情況下，伺服器空加密策略和可信環境功能聯合使用，可信環境的功能可以讓任何沒有裝防水牆的機器無法訪問採用空加密策略的伺服器。如下圖：
方案優點：
在空加密策略和可信環境模塊的配合下，數據也完全實現了保密的要求，在客戶端還是在伺服器端不管通過任何形式不登陸防水牆客戶端均無法訪問數據。只有安裝了防水牆的機器，並經過合法的授權，並進行了登陸後才能訪問加密的數據，是否具有讀取數據的權限，還依賴公司配置的策略。
同時：在TeamCenter伺服器上不進行加解密運算，大大緩解了伺服器可能存在的壓力。
TeamCenter伺服器端策略配置方案和防洩密測試；
| 系統 | 防水牆安裝位置 | 原來庫文件加密策略 | 設置操作端新文件加密策略 | 操作位置 | 防洩密執行效果（√可用，且加密） |
| TeamCenter | TeamCenter伺服器端 | 庫文件不加密 | 全部加密策略 | 伺服器本地 | √ |
| 客戶端遠程 | √ |
山麗防水牆數據加密系統和TeamCenter融合的具體功能
山麗防水牆加密系統對TeamCenter系統具有良好的兼容性，具體實現功能如下：
1、 能控制系統中所有的上傳和下載的點，不會影響文件上傳和下載的速度。
解決方法：山麗防水牆控制臺有可信程序模塊，通過設置即可實現控制系統中所有的上傳和下載的點。同時和上傳下載速度無關。
技術原理：山麗防水牆系統，在軟體架構上採用面向服務的設計方法（Service-Oriented Architecture，SOA），可以實現和各種系統的自由融合，而無需進行任何的二次開發。
山麗防水牆首先是目前唯一一款和文件格式無關的加密軟體；並且，因其軟體結構的原因，軟體和應用系統無關，因此，對「所有」的點就沒有技術開發的必要性即可實現。同時，TC所有的上傳和下載並不經過山麗防水牆的過濾，自然在原理上就沒有影響上傳下載速度的可能性。
2、 對於Teamcenter的系統伺服器不進行加密，但是伺服器可以控制對系統內已加密的文件進行控制。
解決方法：在TC服務端安裝防水牆客戶端，設置TC伺服器端上防水牆客戶端加密方式即可。
技術原理：利用防水牆客戶端的多種加密方式，採用空加密或者目錄加密等方式，即可實現對於TeamCenter的系統伺服器不進行加密，同時，TC伺服器仍然可以按照對文件的處理控制自己的文件。
3、 目前大部分的技術資料已經在PLM系統中進行流程審批和籤字，防信息洩密系統不能影響流程的運行，特別不能影響系統對資料的自動籤名。
解決方法：在TC服務端安裝防水牆客戶端，設置TC伺服器端上防水牆客戶端加密方式即可。
技術原理：山麗防水牆並不會影響任何應用系統自己的功能，包括系統對自己的資料的處理。因為山麗防水牆僅僅是和數據的存儲有關，和任何對數據的處理無關。
4、 所有的技術資料在PLM系統中進行密文管理，系統的權限和防信息洩密系統的權限不能衝突，如有衝突，應該服從PLM系統中的權限管理。
解決方法：在TC服務端安裝防水牆客戶端，設置TC伺服器端上防水牆客戶端權限屬性即可。
技術原理：權限是否衝突，完全是取決於管理人員的設置的。這個和山麗防水牆的產品本身無關，而是使用者如何使用。
5、 PLM系統中文件進行全密文管理，對資料庫不進行加密，所有的物理文件進行加密管理。
解決方法：在TC服務端安裝防水牆客戶端，設置TC伺服器端上防水牆客戶端加密方式即可。
技術原理：利用防水牆客戶端的多種加密方式，採用空加密或者目錄加密或者程序加密等方式，即可實現對於Teamcenter的系統伺服器資料庫不進行加密，同時，其他文件仍然可以被加密。
6、 對PLM系統中物理文件的備份，可以實現密文備份，同時再備份一份明文的文件，備份的明文文件不能改變原文件的原有屬性。
解決方法：在TC服務端安裝防水牆客戶端，設置TC伺服器端上防水牆客戶端加密方式，在用戶自己提供備份程序的情況下，實現密文文件和明文文件的備份；如果用戶自己沒有備份程序，採用山麗防水牆提供的腳本可以完成明文和密文的同時備份。
技術原理：備份需要獲取到原文件，山麗防水牆可以根據需要提供給明文或者密文：按需決定備份的是明文還是密文。
7、 山麗防水牆和Winchill-PDM系統融合方案
需求:
a．安裝防水牆機器可以訪問Windchill系統，，沒有安裝防水牆機器不能訪問Windchill系統。如下圖
b．防水牆機器上傳到Windchill圖紙自動解密，下載下來圖紙自動加密
策略設置:
防水牆設置策略：（略）
結果:
1、192.168.12.103安裝防水牆機器可以正常訪問且登陸到Windchill系統，上傳密文到Windchill為明文，Windchill下載明文到192.168.12.103後為密文。2、未安裝防水牆機器不能訪問Windchill系統，滿足客戶需求。
綜合來講， PDM/PLM和數據防洩密系統的融合方案也是包含了如下三種方案，用戶可以根據自己的實際情況決定採用具體的方案：
