数据安全系统方案.doc

13上虞市隆鑫商贸服务有限公司 *有限公司数据安全系统方案上虞市隆鑫商贸服务有限公司2007年10月第一章前言3第二章用户需求42.1 系统概述42.2 保护内容42.3 运行效果42.4网络兼容性52.5权限管理和控制5第三章解决方案63.1 方案概述63.2 系统组成73.3解决方案83.4 开发部分113.5 系统特色功能113.6 适用范围123.7 系统配置12 第一章 前言计算机系统以及计算机网络，在提高了数据和设备的共享性的同时，也为非法窃取国家机密或者企业内部敏感数据打开了绿灯。为了防止数据外泄，企业往往不惜成本，购入防火墙，入侵检测，防病毒，漏洞扫描等被动式的网络安全产品。事实上信息的安全仅仅依靠上述的手段是远远不够的。现在是一个以1，2决胜负的商业时代，同样的机密信息在自己手中就是企业的核心竞争力。如果不慎落在对手手里，那对企业来说那则是一场灾难，轻则使公司蒙受损失，重则毁灭公司。FBI（Federal Bureau of Investigation美国联邦调查局）和CSI（Computer Security Institute计算机安全学会）对484家公司进行了网络安全专项调查，调查结果显示：超过85%的安全威胁来自公司内部。在损失金额上，由于内部人员泄密导致了6056.5万美元的损失，是黑客造成损失的16倍，是病毒造成损失的12倍。在全球范围内平均每天有2个企业因为信息安全问题濒临倒闭。企业机密信息可以通过各种手段轻易的从企业拿走，这些包括网络共享，光盘刻录，U盘复制，打印，传真，邮件发送等等。对于企业来说，这样的危险时刻有很多，根据网络上对100个经理人的调查，它们往往最容易出现在电脑易手（甚至是丢失的情况），招标前两分钟，解聘后半小时，入职后一星期，合作后半个月，离职后30天。可见，如果文件本身是没有经过任何的安全处理，要防范文件信息不被恶意的获取是非常困难的，因此只有对文件本身进行加密才能达到企业的要求。但是传统中的文件加密技术基本上都是以静态加解密为理论根据的。这种加解密技术过多的依赖应用程序和个人的操作，虽然技术本身可以比较好的实现对文件的加解密，但是无法化解信息安全和工作效率之间的矛盾，也不能完全的防止企业内部人员主动泄密的隐患的发生。随着信息的发展，协同工作的要求愈来愈强烈，这需要信息的完全共享，这时传统意义上的加解密技术就无法满足这一时代要求。安全系数大大降低！另外，传统中的加解密技术基本上都需要人的手工操作，非智能化的，这种手工操作费时费精力，员工在专心工作的同时还要考虑着文件是否被加密的问题，降低了工作效率，有时还会因为一时的疏忽大意酿成无法挽回的严重后果。 第二章 用户需求2.1 系统概述随着动态的加解密技术的出现，弥补了静态的加解密技术的不足，结合计算机原理和Windows平台，通过计算机底层操作系统实现了对磁盘介质以及移动存储设备上的数据进行实时的自动加密解密。华途文档安全管理系统加解密操作完全是动态的，无需用户手动操作。这样既节省了用户时间，同时也达到了保护文件的目的。整个加解密操作完全是后台透明实现的，只要用户有改写磁盘的操作，那么预先选定的文件类型就会被自动加密或是解密，用户感觉不到加解密过程的存在，不仅节省了用户手动加解密的操作，而且这种加密方式并不影响文件的一些固有属性（如只读，创建时间，修改时间，访问时间等等）2.2 保护内容l 保护内部重要文档信息不被泄密 防止内部人员未经许可非法获得公司内部重要信息 防止文件与外部交流中非法传播 防止外部非法入侵者非法盗取公司内部重要信息l 保护重要文档信息的合法使用 保证企业内部之间，内部与外部之间的信息交流顺畅，安全 保证企业内部文档的权限控制 保证内部重要文档不被人为的恶意删除 保证文档通过邮件发送的可控性2.3 运行效果l 保持现有的工作模式和操作习惯不改变用户熟悉使用的应用程序，同时不改变用户固有的文档操作习惯，加解密过程实时的后台完成，用户不会有任何的感觉。l 保证工作效率加解密过程执行速度快，系统运行过程占用的系统资源少（CPU，内存）2.4 网络兼容性需要保证与现有网络体系的一致性，不需要重新改造和部署企业的网络环境。可以直接在现有的网络体系上运行客户端和服务器端。2.5 权限管理和控制l 权限管理 建立与企业相关的角色体系，每个角色可以拥有不同的操作权限 建立不同的安全等级，通过设置来确定不同等级之间的文档交流l 防御和记录 事先策略定制权限体系的定制，保证企业内部的等级化。 事中调整策略根据企业的变化（部门变化，人员变化）方便的调整策略设置。 事后记录操作有权限不等于不监控，关键文档操作日志全记录，可供查询。第三章 解决方案3.1 方案概述 华途DocGuarder文档安全系统由服务器端和客户端两部分组成，同时支持C/S。适用于任何基于TCP/IP协议的网络体系（局域网或广域网）。以下是系统结构图：华途DocGuarder文档安全系统综合集成了动态文档加密技术、份认证技术、硬件绑定技术等多种技术来企业内部机密文档进行全方位的保护。企业内部的信息流转的控制，如下图所示： 在企业不同部门应用等级化的动态加解密技术，所有根据配置的设定的文件类型都被系统自动的以密文形式存放在磁盘上（移动硬盘，U盘）。不同的部门或者具有特殊权限的人员可以方便的打开同一部门的文档，用于交流。在权限系统的控制下，部门之间的数据可设定为单向打开，双向打开，不互通等各种状态，保证不同部门可以享有独立的数据。 当企业需要与配套单位进行数据交换时，系统支持多种形式的发放授权。企业数据文件均是以密文的形式发放，根据不同的授权可以控制使用期限，以及可以打开的相应等级的文档。管理员可以随时改变已经被分发的授权的信息，保证企业人员在外出过程中正常的使用的指定的加密文件。3.2 系统组成 DocGuarder安全系统主要由以下几个模块组成： 系统服务模块 系统服务运行在企业的服务器上，提供网络支持，保证客户端获得及时的用户信息和权限。同时监控客户端的具体操作，将整个系统的运行情况记录在服务器上。配合管理程序进行用户权限的分配和调整。 自动更新服务模块自动更新模块主要负责系统的更新和维护，保证客户端的自动修复和更新。系统管理员只需要在服务器更新相应的程序，所有的客户端就会自动的响应并同时更新，保证企业内部大规模的实施和部署。 管理模块管理程序可以运行在网络环境内任何一台机器，主要的功能是修改用户信息，定制客户端安装盘，远程安装，系统监控以及日志管理。 客户端模块客户端程序又分为两个部分：加密模块 该模块是DocGuarder的核心模块，主要的功能就是控制文件的加解密以及相关的操作（如复制，OLE，邮件等）。通讯模块 与服务器通信，更新客户端，以及获得必要的操作权限。 插件为了方便客户的操作，我们在系统的资源管理器中添加了两个插件。一个用于显示系统文件是否是加密文件。另一个用于提供一个右键菜单用于方便进行加密，解密，等级调整操作。3.3 解决方案华途DocGuarder文档安全系统将提供完善的方案解决客户遇到的问题，包括： 可靠的安全性系统采用128位高强度加密算法，企业唯一的加密密钥，密钥保存在USBKEY中，同时客户端也采取了先进的保护措施，可以防止通过更改程序名或扩展名、OLE插入、远程桌面连接拷屏、文档间鼠标拖拽、终止客户端进程、移动存储设备、即时通讯、邮件等来绕过加密系统。 零感觉的客户端应用 客户端在安装后，对于原有的正常使用没有任何的影响，而且也不改变客户端原有的使用习惯。利用系统提供的插件可以对文档图标加以变化，方便用户区分加密文档和非加密文档。下图为资源管理器中加密文档的显示。 完善的客户端外发机制 文档安全系统提供多种授权机制，可以使您方便的将需要与外部交流的文档安全的，可控的进行发布。 USB Key 授权 系统提供使用USB Key来保护外发文档的安全性，为了适合用户的多种需求，我们使用了两种不同方式的USB Key授权方式。 时间递减模式 您只需要在上图所示的编辑框中输入指定的时间，USB Key将在您指定的使用时间终止后失效，受保护的文档也将不能被再次打开精确时钟模式您可以自行设定文档的使用起始时间和终止时间，这将保证具有强实效性的文档（比如您的招投标文件）安全性。从此您将不用担心信息在离开企业时失去控制。 当外出人员的USB Key失效时，您也可以方便的使用我们提供的工具使远在外地的USB Key重新启用，保证员工的工作不被中断。软授权方式 这种方式的授权适用于企业与配套单位交流文档信息，软授权具有和USB Key授权等同的权限控制和时间控制。使用期限到期后，即使是重新安装客户端，也不能企业的关键文档。当然也可以通过重新发布新的客户端安装来保证配套单位的继续使用。 兼容的网络通信模式华途DocGuarder文档安全系统的通信模块是基于通用的网络通信包开发的，适合于任何基于TCP/IP的网络。我们最大通信容量可以支持多达2000个节点的同时使用，系统同时提供在广域网上的应用，远程用户可以同局域网的用户一样进行连接和工作。在企业的网络遇到故障或者调整时，系统可以根据管理员的事先设定，保证客户端的正常运行，保证整个企业工作的顺利开展 速度更快系统经测试对速度影响在3%-8%之间，在保证加密安全的基础上大力优化系统速度，避免影响用户正常使用。系统的内存占用量仅只有6M-7M之间。在不进行文件读写操作时，应用程序的执行速度不会受到额外的影响 完善的权限控制和文档等级管理员可以设置每一个用户的具体权限，动态的修改权限，客户端会相应的做出变化。每一个用户都会属于一个等级，等级管理员通过对不同等级的设置，可以定义等级间的关系。 全面的日志监控完备的监控管理和日志管理，可以监控客户端的活动情况，及对文档加解密和文档打印等操作。3.4 开发部分针对员工离职时删除关键文档的解决方案 提供加密文件备份工具可以定期将系统内的指定类型的文件复制到服务器指定目录。同时保护数据不被非法访问。提供加密文件信息查询功能。 删除文件控制并监控增加系统插件以阻止用户不能未经授权的删除加密文档。同时上传用户删除文件的操作日志。针对对外发送邮件可以被打开(自动解密)的问题解决 如果不控制邮件，这是一个严重的系统漏洞，这样企业内部的加密文档都会通过这个渠道被泄漏。现在DocGuarder是可以通过识别邮件软件（outlook），来做到自动解密。不过这一功能不推荐使用。3.5 系统特色功能 压缩文件的穿透加解密系统支持对常用压缩文件的加密和解密操作，如Rar，Zip文件，加密和解密可以穿透到压缩文件内部，将压缩文件内部的所有文件进行加密和解密。 打印快照 用户打印过程中除了上传打印文档的信息(用户名，文档名，打印时间，机器名等)之外，系统还特别提供了打印当时的用户屏幕信息，保证管理员可以看到打印文档原始的情况。 U盘文件自动加密系统可动态的找到U盘等移动存储设备，并将所有复制或新建到U盘的文件统一进行加密。 监控指定目录 系统可监视指定的目录，并且将该目录下的文件自动加密。 禁止程序运行 为了防止企业内部一些不必要的软件运行（如QQ，MSN等），系统可以根据用户的需要将这些软件禁用，保证了企业内部的工作效率。3.6 适用范围支持所有可以