行業背景

隨著信息技術的飛速發展，計算機和網絡已成為日常辦公、通信交流和協作互動的必備工具和途徑。但是，信息系統在提高人們工作效率的同時，也對信息的存儲、訪問控制及傳輸關鍵數據，如何有效防止其丟失和泄漏等一系列問題提出了安全需求。目前對局域網的安全解決方案，還停留在采用防火墻、入侵檢測、網絡防病毒等保護網絡、限制信息訪問或者監控行為的被動防護手段上。在過去的一年中，全球98.2％的計算機用戶使用殺毒軟件；90.7％設有防火墻；75.1％使用反間諜程序的軟件。但卻有 83.7％的用戶遭遇過至少一次病毒、蠕蟲或木馬攻擊事件；79.5％遭遇至少一次間諜程序攻擊事件。據國家計算機信息安全測評中心數據顯示：由于內部重要機密通過網絡泄漏而造成經濟損失的單位中，重要資料被黑客竊取和被內部員工泄漏的比例為：1：99。這是來自于國家計算機信息安全測評中心的一個數據，據調查顯示，互聯網接入單位由于內部重要機密通過網絡泄漏而造成重大損失的事件中，只有 1%是被黑客竊取造成的，而 99%都是由于內部員工有意或無意的一些泄密行為所導致的。

行業需求分析

根據我們的總結分析，來自內部的安全威脅主要有以下幾類：

1)     竊取者將自己的計算機通過內網網絡交換設備或者直連網線非法就接入內網或者計 算機終端，竊取內網重要數據；

2)     竊取者直接利用局域網中的某一臺主機，通過網絡攻擊或欺騙的手段，非法取得其他主機甚至是某臺網絡服務器的重要數據；

3)     內部員工將只允許在局域網內部使用的數據通過磁盤復制、打印非法撥號外聯等 手段泄漏到單位外部；

4)     內部人員竊取管理員用戶名和密碼，非法進入單位重要的業務和應用服務器獲取內部重要數據。

5)     內部員工在工作時間瀏覽無關的網站，導致惡意程序在內網橫行，阻塞正常網絡帶寬

6)     應用系統（OA，業務系統）等未考慮應用級的安全，任何文件都是明文傳輸，明文存貯在應用系統的數據庫，這樣文件極易被截獲，并且文件容易被人從數據庫中提取，發生泄密事件。

7)     內部數據存貯在硬盤中，由于未使用數據加密技術，在PC電腦出現故障，需要維修時，維修人員可以輕易從硬盤中獲得任何數據。

8)     對于目前辦公內網所使用的監控和審計系統，這類系統雖然提供了一定的網絡控制功能，但其重點是對網絡數據進行記錄和審計，因此并不能很好地阻止單位信息泄密事件的發生。一旦泄密事件發生，對單位已經造成損失，此類產品的安全作用有限

9)     使用文檔加密系統來對敏感數據進行保護的方式，對于這類系統主要是采用各種加密軟件實現對計算機數據的加密，但是其對網絡、計算機、用戶的管理不靈活，而且內網資源眾多，需要分別進行權限的設置，管理難度大，尤其當用戶權限發生頻繁更換的時候，容易造成漏洞。此類產品并不利于單位內部信息的安全管理。

行業解決方案

從現狀分析而知， 首先需要樹立安全保密的意識，然后制訂針對電子信息保密的規范，并且在日常中貫徹執行。我們既要有完整的、可靠的信息安全理論指導我們的方向，也要有經過驗證的、實用的方案實現我們的想法，下面將介紹以：

內部拓撲圖

上圖為數據防泄漏系統的系統架構示意圖。其中每個客戶端和應用數據服務器中均可存有受控加密文件。

數據防泄漏系統由管理中心、控制臺和客戶端組成：

管理中心用于存儲系統數據和提供在線認證。

控制臺是管理員用于對系統進行配置的管理工具，

客戶端從管理中心下載策略并根據策略完成對機密文件的保護。

整套系統基于C/S模式，其實施架構如圖

1．文檔保護

文檔加密系統使用微軟Windows標準文件過濾驅動框架實現的透明加密內核，可以在文檔寫入時進行自動加密，讀取時自動解密，這樣用戶根本感覺不到該文檔是加密文檔，但實際在硬盤上該文檔都已被加密。由于加密功能是在內核攔截方式實現，沒有任何臨時文件，所以可以達到良好的加密性能，幾乎不會對用戶有任何影響。加密的文件密鑰均為一次一密，同時加密文件內部已經集成了多用戶級別的身份認證權限，在內部文檔流轉時可以更好地保護機密數據，可以很方便地對文檔進行默認的權限范圍劃分。文件打開時會對當前進程進行指紋驗證以及密文進程保護功能，可以避免木馬病毒或其他程序通過改名或注入到合法進程內部進行竊取密文數據的可能，也可以解決網絡開放和數據保密不能互存的現象。

2．透明加密技術

文件加密保存是文件安全保護的首要條件。只要是明文保存文件，無論運用任何手段進行防范，同樣會泄密。泄密的方式多種多樣，不法分子獲取商業機密的手段更是多種多樣，我們防不勝防。所以治本的方法就是對情報信息加密，使得拿到也沒用。

在操作系統中嵌入文檔系統過濾驅動程序，從而可對所有應用程序讀寫的文檔執行過濾，當機密文檔被讀出時，此驅動程序執行對它的解密。當機密文檔被寫入時，驅動程序執行對它的加密，從而保證機密文檔所有被保存到永久介質上的副本都被加密。

3．基于角色的策略配置

將對訪問者的控制轉換為對角色的控制，從而使授權管理更為方便實用、效率更高。同時，將系統的一些基礎功能，控制方式和權限設置為細粒度的策略，角色與角色之間可以繼承權限，使各個角色的策略劃分更為清晰、明確，降低了策略管理的復雜性。角色可以對應現實管理中的行政角色關系，不同角色的用戶可以訪問不同權限級別的資源和對應不同策略。系統實現對應用系統對象的訪問控制。其思想為將一類用戶歸結為一個角色，角色之間可以繼承和互斥，通過對角色進行策略控制，達到對用戶的管理。

4．移動存儲介質管理

針對移動存儲介質的管理我們分為兩種模式：內網專用模式和內外網混合模式，可以對任何支持的移動介質分別進行這兩種介質的模式設置。內網專用模式的安全級別最高，使用之前必須對介質安全格式化后才可以在公司內網內使用，介質內部數據為全加密狀態，該介質脫離公司環境后為未格式化狀態；內外混合模式一般用在需要內外交互的情況下使用，可以把資料通過介質拷貝到公司內部，也可以把公司內部資料通過專人授權后帶到公司外部，非授權的情況下強制拷貝到該介質的文件全部為加密不可讀取狀態。

5．外發管理

對應已加密的文檔，如果需要把文檔向公司外部發送，可以申請進行外發轉換。外發時有兩個選擇方式，一種是完全明文外發，一種是轉換成圖片進行外發。圖片格式外發安全等級比較高，用戶只能看到內容，但不能進行編輯或是復制。完全明文外發安全級別最低，它會把原始文件的明文以不受控的方式外發給外部用戶

6．日志管理

日志內容主要包括加密文件記錄、文件基本操作記錄、對加密文件進行非法操作的記錄