研发工作站是企业最重要的数据资产载体，承载着企业重要的核心资产。其安全性、稳定性、兼容性等一直是用户最关注的特性。传统分布式计算架构使得企业在获得了开放式与个性化需求的同时，其安全性也面临着重大挑战，尤其是数据失窃密安全隐患，一直是研发企业挥之不去的梦魇。
从技术角度来看，数据失窃密防护有着比较“悠久”的历史，从早期的端口管理，安全审计，到后期的数据透明加密技术的应用，为企业的核心资产提供了多层面的保护。
端口管控技术：通过对终端外设的统一管理，实现各个端口的安全控制，如控制USB端口、串口、并口、蓝牙接口等等。端口管控技术是对主机的安全管理是一个行之有效的方法，有着大量的用户基础，特别是在内外网隔离的涉密场所，端口控制技术是最重要的安全防护手段之一。
安全审计技术：安全审计可以记录大部分桌面的运行状况已经管控环境，实现对用户行为的审计，杜绝用户的违规行为。安全审计技术可以实现风险跟踪，事故重现。是主机安全保障技术重要一环，成为涉密环境必选的安全防护技术之一。
透明加密技术：以白名单为核心的安全防护模型，能够智能识别用户的核心业务，确保只有核心业务才能透明读写加密数据，非核心业务无法明文读取数据。在这种基于业务的访问控制手段下，将核心业务与普通业务进行细粒度的区分，加强了系统的安全性。因为关注数据本身安全，识别了读写数据主体，保障了核心数据在开放环境下的安全，避免了通过网络、外设以及其他通道对数据的侵害。
这三种核心数据安全防护技术是市场上应用最广泛的技术，是企业核心数据防护的首选。但是，随着云计算与虚拟化的技术不断成熟，用户对安全架构的理解不断深入，发现上述技术的弊端也不断显现。
防护旁路问题：
所有安全防护技术都建立在操作系统层面，作为应用存在的安全防护应用随时可能被用户旁路，PE系统、各种启动盘可以轻而易举的绕过安全防护体系，形成二战著名的“马其顿防线”问题。
系统兼容性问题：
微软的操作系统在不断的更新过程中，虽然内核层面并不是革命性变化，但各种不同的版本差异性还是非常巨大，在这个未开源的系统上做内核级的安全防护组件，兼容性的问题是不能忽略的，一个兼容性不好，或者兼容性无法覆盖全部操作系统系列的产品对整个系统的稳定的是灾难性的。
分布式存储问题：
从数据管理的角度来看，企业的核心数据的主要管控主体是员工，这本身就是一个不可调和的矛盾，大多数安全防护措施都是在解决这一矛盾。如果一旦我们将企业的核心数据掌控在企业手中，从安全防护的效果来讲，就是一件事半功倍的事。所以对于企业来说，保护核心数据的安全与其在用户终端加强安全防护，不如将数据集中到企业数据中心，以终端不留密，个人不存密为建设目标，其安全效果会大大加强。
随着云计算与虚拟化技术不断成熟，越来越多的企业考虑将企业的计算、存储平台迁移到云端，以实现企业的高安全、易维护、高可用的整体IT架构目标。
虚拟化技术将操作系统与硬件解耦合，在宿主机的支撑下，虚拟机操作系统仅仅是一个应用。这样的计算环境下，安全防护措施以及安全防护力度都是传统计算环境无法比拟的。在虚拟化体系中，可以方便实现计算与存储分离，可以基于这种分离的系统架构，并结合用户的业务场景，打造出支持安全数据存储、使用、共享、分享以及归档的面向数据全生命周期的数据安全防护体系。
虚拟化技术支持手机、瘦客户端、PC机以及工作站等多种接入方式，我们已经习惯在任意设备上接受邮件，在不久的将来，无论何时何地，何种终端设备都可以接入高性能计算桌面也会成为主流应用。
通过云计算技术搭建面向业务以及用户体验的集中数据管理云平台也是解决研发环境数据安全问题的关键举措。对于分布式计算环境，企业的核心数据分布存储在员工主机上，大量的防护措施都是面向这一应用架构搭建的，一旦将企业的核心数据集中存储在企业的数据中心，很多安全问题就会迎刃而解，为企业构建一个“终端不留密个人不存密”的集中管控环境，从根本上保障企业核心数据的安全。
研发环境拥有大量工作站来运行大型的业务软件，这些工作站性能卓越、稳定性并且价格昂贵。充分利用这些工作站，逐步进行替换工作，保证用户的资产价值是本方案的一个重要建设原则。
传统的安全解决方案是采用透明加密的防护方式解决数据本身的安全问题，实现数据失窃密的安全管理目标。但随着业务的复杂性不断提高，微软提供的操作系统不断升级，防护软件稳定性、兼容性问题也不断暴露。利用更加稳定的新技术新方案解决现有解决方案的弊端，实现数据安全防护的整体目标，也是本方案的一个重要建设原则。
中标易云认为企业研发环境的安全防护建设可以借鉴国家保密单位的涉密信息系统的整体建设思路，以制度与技术并用，管理与管控结合的方式解决用户的数据安全问题。
在一般涉密信息环境下，首要考虑的是内外网的物理隔离，处理核心数据的主机无法与互联网连接，实现数据传输的安全防护。其次对主机的端口进行技术的控制，无法通过U盘、光盘以及其他途径向外部复制数据，实现核心数据的使用安全防护。再次，将核心数据集中存储，实现数据存储的安全防护。用户桌面不留数据或者留存有限数据，也可以为数据安全防护工作起到事倍功半的作用。通过构建内外网隔离的运行环境，打造数据集中管控的存储环境，控制核心数据通过外设接口外流的安全隐患，来实现数据在存储、使用、传输时的安全，确保企业核心机密不被内部员工、外部黑客的窃取与破坏。
这种方式最大的优势是避免过多的安装防护软件，对主机性能影响小，没有更多的系统兼容性稳定性的问题，用户运维成本相对较低。
中标易云结合多年对数据安全防护的整体理解，面向研发环境的业务，制定了vWall数据安全解决方案，该方案通过构建桌面虚拟化云平台、安全存储云平台以及用户管理云平台三个云计算平台，实现研发环境的数据安全防护体系。方案借鉴涉密网络的建设思路，以内外网隔离为基本访问控制手段，利用云存储技术为两个隔离网络构建数据安全交换环境，实现安全与易用性的平衡。总体建设思路如下：
桌面虚拟化云平台
对于研发环境来说，所产生的数据涉及企业的核心利益，所以必须要对这些数据的存储、使用、传输加以安全管控，防止核心数据被非法外泄。目前看，除去早期的三种防护手段，以桌面虚拟化技术为核心，通过将数据与计算分离的方式应该最能满足用户的需要：
1、 方案通过虚拟化构建了一个集中环境数据的使用、存储、传输等都已经与用户的工位环境分离，用户对数据没有直接控制能力，极大的减小了失窃密的可能。
2、 方案通过虚拟化环境将用户对计算机的应用要求通过不同的交付桌面分别实现，在研发与日常办公分离，构建出内外网隔离的安全环境，确保核心数据的安全。
3、 方案通过利旧解决用户资金投入问题。对于需要3D计算等大型图形图像应用的企业，一次性淘汰原有的专业工作站对企业来说也是一种浪费。充分利用研发工作站计算能力，实现“虚实”两个桌面，实体机可以运行大型的3D计算软件，但不能与互联网连接，利用原有的防护手段将数据锁定到物理机中。用户可以通过实体机连接面向办公的虚拟机桌面，实现与互联网的连接，方便高效的办公。
安全存储云平台
对于研发环境来说，产生的大量企业的核心机密都是非结构化数据。非结构化数据的管理核心是要将数据集中管控，以终端不留密为防护目标。对于云存储平台的建设总体要求如下：
1、 方案可以实现数据的备份功能。对于集中化的数据，可以依照传统成熟的数据备份技术进行安全防护，达到数据的可用性的安全目标
2、 方案可以实现版本配置功能。对于研发环境，版本配置功能尤为重要，不同的数据版本需要进行收集、管理、保存以及使用，可以提高研发的工作效率以及安全性。
3、 方案可以实现安全交换功能。每个用户拥有两个桌面，通过 “虚实”桌面的转换与隔离确保系统安全。方案按照BLP模型为用户构建出一个典型的防止高密低流的安全交换流程与方法，确保核心数据的共享安全。
用户管理云平台
活动目录是用户管理的核心，基于活动目录可以打造用户管理云平台。用户管理云平台总体设计包括如下几个方面：
1、方案支持用户与用户组的划分。实现最基本的用户管理架构，可以对用户以及用户组进行安全策略下发。
2、方案支持登录身份的管理。实现用户权限管理，为多系统构建统一的身份认证体系，并可实现单点登录的功能。
3、方案支持主机策略管理。可对主机集中进行策略控制，防止用户随意更改主机的安全属性，造成不必要的安全风险。
任何解决方案都不会是十全十美的，本方案残留风险如下：
1、 旁路风险。本方案提供的“虚实”双系统为用户实现两个安全域，实体机是无法连接互联网的，这样就大大加强信息系统的安全性，保障了数据传输的安全。在数据使用防护方面，依靠传统的端口保护软件进行防护，存在一定的旁路风险。但通过管理手段就可弥补这一技术缺失。
2、 数据本地残留风险。方案为用户建立一套云存储平台，但本地依旧会有数据留存，虽然这种留存从时间角度看比较短暂，但依旧存在一定的安全风险。对于这部分数据的安全问题可以考虑通过建立加密数据同步区的方式，为用户建立加密的虚拟磁盘，所有数据只有在同步区才能与云存储同步，并定时删除，加密同步区的访问是需要验证企业内部环境的，也就是说只有在企业内部才能打开该空间。
中标易云vwall数据安全解决方案针对研发环境的具体特点以及用户的实际情况，推出基于三个云平台的安全防护体系，保障用户的数据资产安全，成为继传统安全防护以外的另外一种行之有效解决思路。