[產品介紹] HPE NonStop Comforte SecurDPS

作者/郭哲銘

作者簡歷 作者現職凌群電腦NSK服務總處系統工程師，主要負責HPE NonStop證券、期貨、銀行客戶交易系統維運服務、軟體產品整合服務，專長為HPE NonStop系統整合。 前言 HPE Comforte SecurDPS是一款先進的資料保護解決方案，專為企業和組織的敏感資料安全需求而設計，可以幫助企業安全地管理和保護敏感性資料。它提供了一系列全面的功能，包括加密、去識別化、監控和合規性支援等，確保企業能夠有效地應對各種資料安全挑戰。 該產品採用了業界領先的技術，並經過嚴格的測試和認證，符合主要法令規範的要求，包含PCI DSS、GDPR、FFIEC、SOX等，可為企業的關鍵資料提供堅實的保護。通過HPE Comforte SecurDPS，企業可以降低資料外洩風險，提高整體的安全性和合規性，從而有效地保護自身的聲譽和競爭優勢。 資料加密方式 資料加密是保護敏感資訊免受未經授權存取的關鍵手段，它可以確保資料在傳輸或儲存過程中保持安全性和機密性，以下將概述幾種常見的資料加密方法： 一、Tokenization (標記化) 是將資料轉換為獨特的標記或代碼的過程，這可以應用於多種情況，例如在電腦科學領域中，將文字內容轉換為符號序列，或者在金融交易中將信用卡號碼轉換為代碼以保護敏感訊息。 二、Masking (遮罩) 是將資料中的某些部分替換為隱藏值或通配符的過程，以防止資料暴露或洩漏，這在保護敏感訊息時特別有用，例如將信用卡號的部分數字用 * 替換。 三、Encryption (加密) 是將資料轉換為無法直接理解的形式的過程，以保護其安全性和隱私性，加密使用密鑰將原始資料轉換為密文，只有持有正確密鑰的人才能解密和讀取原始資料，這在資料傳輸和儲存中廣泛應用，以確保敏感訊息不被未經授權的人訪問。 SecurDPS Overview SecurDPS 使用諸如標記化、遮罩和加密等技術，實現了企業範圍內對敏感資料的保護。SecurDPS 的整合可以透過其提供的透明整合技術進行，也可以透過直接的 API 整合方式完成。在 HPE NonStop 系統上，最常見的整合方式是利用產品提供的透明整合功能。這些功能允許添加保護層而無需實際修改任何程式碼或資料庫結構。 為實現資料保護，SecurDPS會在資料庫檔案中以tokens(非敏感佔位符)、遮罩或加密的方式取代敏感資料項目，並在需要時保留原始資料的格式。SecurDPS同時也確保只有獲授權的應用程序才能存取原始敏感資料。 對於實際的標記化或保留格式的加密操作，SecurDPS可以與NonStop伺服器上可用的任何資料保護機制進行整合。它還包括自己的標記引擎(tokenization engine)，該引擎經過優化以適用於NonStop伺服器。 此外，NonStop上的SecurDPS提供了透明啟用應用程式加密完整順序處理檔案的機制。它還可選擇整合符合OpenPGP標準(RFC 4880)的PGP加密程式，該標準在大多數其他企業系統上也可使用。還可使應用程式能夠透過安全FTP或SFTP/SSH直接與外部系統交換檔案，同時消除在NonStop伺服器上儲存中間檔案的需求。 最後，SecurDPS for NonStop 能夠透明地為Pathway伺服器獨立處理程序、資料庫檔案或表格新增稽核記錄功能，而無需修改任何程式碼。其先進的機制允許指定和定位不同的資料項目，以記錄進入資料庫的I/O操作或伺服器請求以及傳出的回應訊息。SecurDPS稽核記錄功能補充了保護敏感資料的一系列功能特性，但也可以完全獨立使用。 SecurDPS Architecture and Components 一、SecurDPS架構 下圖展示了 SecurDPS 解決方案的各個元件，並說明它們與 NonStop 上的應用程式之間如何操作和整合，以保護 Enscribe 或 SQL 資料庫中的欄位資料。 二、Audit Collector (SDATA AUDITCOLLECTOR) Audit Collector process的目的是收集來自SDATA Manager processes的稽核紀錄訊息，它以persistent process的形式運行。 三、File Encryption Proxy (SDATAFE PROXY) 在讀取或寫入加密檔案時，SecurDPS for NonStop SDATA Manager會啟動一個檔案加密代理程序 (File Encryption Proxy)，此程序會在檔案I/O路徑中增加一個額外的層級，用於處理檔案資料的加密和解密。 四、Key Server (SDATAFE KEYSERVER) SecurDPS for NonStop Key Server扮演著中央服務器的角色，提供對系統中使用的主要密鑰的控制存取，它以persistent process的形式運作。The Key Server將金鑰保存在local KeyStore中，並可使用外部Hardware Security Module (HSM)上的金鑰來提供額外的保護。 五、Random Data Generator (SRAND) SRAND是一個高效能的secure random number generator process，它收集系統熵來在 HPE NonStop上產生加密安全的隨機資料。SRAND提供隨機資料用於生成Token Vault，以及任何 cryptographic keys。 《註：熵在資訊領域用來衡量資訊的不確定性或隨機性。例如，一個隨機生成的文字序列比一個有意義的句子具有更高的熵。熵的概念被廣泛應用於資訊壓縮、資料傳輸和密碼學等領域。》 六、Manager (SDATA MGR) Manager 是 SecurDPS for NonStop 解決方案的核心組件，它在每個 CPU 上持續運行，決定哪些檔案需要攔截，並根據被攔截的應用程式對這些檔案的 I/O 呼叫進行操作。它還會在記錄緩衝區中定位需要保護或揭露的敏感資料。Manager 承載著標記引擎 (tokenization engine)，在 HPE NonStop 系統上本地執行敏感資料的實際解/加密操作 (de-/tokenization)。 敏感資料項目與 tokens 的關聯是由初始化時生成的隨機替換表 (random substitution table)決定的，並儲存在 Token Vault 中。在啟動時，Manager 會將整個 Token Vault 完全載入其記憶體中。 由於不需要進行任何檔案存取即可執行標記化或去標記化操作，因此可以確保最佳性能。此外 Manager 還會授權對明文敏感資料的存取。根據應用程序處理的屬性，會檢查存取控制清單 (ACL) 以決定是否允許請求的資料保護操作。 七、SecurDPS for NonStop Intercept Libraries (SDLIB,*SDDLL*) The SecurDPS for NonStop Intercept Library會攔截應用程式，以便於讀取或寫入資料庫時所呼叫的系統調用，並將操作及必要時的I/O緩衝區傳送至SecurDPS for NonStop Manager。The SecurDPS Intercept Library可與User Libraries或其他第三方Intercept Libraries合併，並綁定至應用程式。 針對 Native and Non-native Programs有多種不同的Intercept Library，需要將適當的 Appropriate Library綁定至所有應該受NonStop SecurDPS控制的正在運行或批次處理的 Processes。 參考資料 SecurDPS_Administrator_s_Guide_for_HPE_NonStop