移动介质管理安全解决方案.doc

北信源移动介质管理安全解决方案北信源移动介质管理安全解决方案 北京北信源软件股份有限公司北京北信源软件股份有限公司 20102010 年年 1111 月月 移动介质管理安全解决方案 2 目录 1系统背景分析系统背景分析 4 1 1项目背景 4 1 2需求分析 5 1 2 1应用环境安全需求 5 1 2 2终端平台可控 6 1 2 3网络安全环境 6 1 2 4安全管理平台 6 1 3项目总体建设方案 6 1 3 1方案设计原则 6 1 3 2安全建设总目标 8 2系统解决方案系统解决方案 9 2 1系统管理构架 9 2 2系统详细解决方案 10 2 2 1移动介质管理安全系统设计 10 2 2 2移动存储设备管理系统功能 17 2 2 3移动存储设备管理系统应用 23 2 2 4中间机数据交换 25 2 2 5移动存储设备管理系统特点 28 2 3安全 U 盘管理 29 2 3 1系统功能描述 29 2 3 2加密算法 29 3方案总结方案总结 32 移动介质管理安全解决方案 3 1系统背景分析系统背景分析 1 11 1 项目背景项目背景 在网络终端安全加固项目建设中 安全加固设备是抵御来自网络的攻击 防止不法分子的入侵 保障网络安全 便捷 畅通无阻运行的基本工具 完备 的信息安全解决方案是保障系统安全的基本而又重要的一部分 网络安全解决 方案不仅包括安全产品的设计 安全策略制定 安全架构制定 安全策略架构 的实施 还包括企业系统风险评估 以及员工的培训 事后的安全审计等 只 有将硬件软件结合起来统筹规划 才能发挥最大的效力 保障用户网络系统 杜绝一切安全隐患 信息系统网络的网络安全 服务器安全 用户安全 应用程序和服务安全 数据安全各个环节 均采取了切实有效的管理方法和技术手段 在每个部分都 有领先的产品和服务以确保系统的整体安全 随着网络安全的建设 网络和终端安全管理体系都已逐渐完善 包括常规 的网络物理隔离保障 操作系统补丁分发管理 终端资产管理 终端行为和网 络访问控制等技术基本得到了普及 然而面对 信息安全等级保护管理办法 仍然存在很多令网络管理者棘手的问题 在信息安全管理中 既要达到高强度 安全管理标准 又要保证基于计算机和网络的业务正常运营 其中必然存在诸 多的矛盾 计算机及网络发展中一个永恒不便的规律就是提供的服务越多 带 来的安全隐患就越大 面对信息安全相关管理部门和终端用户的双重压力 每 个网络管理员都积极努力的探求最优的解决方案 本文主要针对移动存储设备 管理这一最棘手的问题展开论述 最终为您提供解决方案 移动存储介质在信息交流中为用户提供极大便利的同时 也为用户和计算 机管理员带来了很大的麻烦 80 以上的病毒都有利用USB移动存储设备进行传 播的特点 众多的泄密事件也都是由USB移动存储设备引起的 然而我们却不能 因此就完全禁用USB移动存储设备 尤其在双网 内外网 环境中 往往需要将 在内网撰写的文件通过USB存储设备拷贝到外网中 再通过互联网发布出去 也 移动介质管理安全解决方案 4 就是说虽然内网是物理隔离的 但内网中的一些文件是需要交互处理的 这就 对网络管理者提出了一些极高的要求 1 限制移动存储设备在内网中的使用 禁止非本单位或本部门的移动 存储设备在本单位计算机上使用 2 对内网中移动存储设备的读取 拷入 拷出 等行为进行审计记录 3 对内网中使用的移动存储设备进行加密或保护 只能由通过身份验 证的人或者在规定范围内的计算机上使用 4 为了方便内网中部门间或用户间的信息交换 注册一批移动存储设 备 限制该设备只能在内网计算机上使用 无法在除内网以外的任 何网络或计算机上使用 5 对已经注册的移动存储设备 限定其读写 只读或严格禁止其在非 授权的计算机上进行使用 6 注册一批信息交互专用存储设备 既要方便内网计算机文件与外部 的交互 又要保证不会因存储介质被木马或黑客入侵而导致涉密信 息泄漏 相信达到了上述的要求 不但可以轻松通过信息安全等级保护评估 还可 以方便用户的使用 更保障了网络信息数据的安全 而北信源内网安全管理系 统在移动存储设备的管理上可以完全满足上述要求 为用户和管理员提供便利 的工作环境和安全的信息保障体系 1 21 2 需求分析需求分析 1 2 1 应用环境安全需求应用环境安全需求 对于网络系统建设来说 当前面临的一项重点内容就是移动存储设备管理 的建设 应用环境的安全主要为内部网络终端的接入安全 移动存储设备管理 的安全 如何保证个人终端计算机正常 稳定的对外提供服务 同时还要保证 内网终端数据的安全防护 移动介质管理成为应用环境安全需求的重中之重 移动介质管理安全解决方案 5 1 2 2 终端平台可控终端平台可控 应用环境安全的核心是可控的终端安全管理系统 它是构成计算机信息网 络系统基础元素 也是中网络系统安全加固项目承载的主要平台和表现实体 保障其安全可靠至关重要 操作系统是整个用户系统的承载平台 要想提高信息网络系统的整体安全 性 实现计算机信息网络高可靠性和信息的完整性 保密性 必须依赖于操作 系统这个承载平台的安全性的提高 任何想象中的 脱离操作系统的应用软件 的高安全性 就如同幻想在沙滩上建立坚不可摧的堡垒一样 毫无根基可言 因此 加强各个终端操作系统的安全的工作成为了此次系统安全加固中的一项 重要的辅助工作 1 2 3 网络安全环境网络安全环境 在网络系统中 网络环境安全整体表现为网络链路的通畅和对不同的网络 区域实现不同的移动存储管理规则 尤其注意防范内网中的安全威胁 1 2 4 安全管理平台安全管理平台 在内部网络的信息安全保障工作中 需要从整体的角度出发来考虑问题和 解决问题 1 31 3 项目总体建设方案项目总体建设方案 1 3 1 方案设计原则方案设计原则 建立整体安全体系建立整体安全体系 安全性设计必须从全方位 多层次加以考虑 即通过系统级 网络级 应 用级的安全性 安全可靠性安全可靠性 方案中使用的安全产品必须具有良好的稳定性 能够持续可靠地在系统中 移动介质管理安全解决方案 6 运行 从而彻底的贯彻实施方案中制定的安全策略 技术先进性技术先进性 方案中采用的信息安全产品以及响应的管理手段 安全策略必须有足够的 先进性 技术成熟性技术成熟性 方案中采用的信息安全产品必须是已经经过实际应用考验的安全技术和产 品 开放性开放性 系统具有开放性 支持国际标准 能够接受和输出标准格式的数据 提供 给各种网络 实现资源共享 主动式安全和被动式安全相结合主动式安全和被动式安全相结合 主动式安全主要是从人的角度考虑 通过安全教育与培训 提高相关技术 人员的安全意识 使之主动自觉地根据既定策略利用各种工具去加强安全性 被动式安全则主要是从具体安全措施的角度考虑 只有建立人与信息安全设备 完美互动的安全策略 方能切实有效地实现信息安全 切合实际实施安全性切合实际实施安全性 必须紧密切合要进行安全防护的实际对象来制定具体的安全策略 并根据 策略选择不同规格的安全加固设备 既要避免过于庞大冗杂的安全策略或措施 导致性能下降 又要杜绝盲目选用高端设备导致的系统资源浪费以及无谓成本 的投入 真正做到有的放矢 行之有效 易于实施 管理与维护易于实施 管理与维护 整套安全工程设计必须具有良好的可实施性与可管理性 同时还要具有尚 佳的易维护性 具有较好的可扩展性具有较好的可扩展性 安全工程设计 系统安全加固设备具体规格的选型 必须具有良好的可伸 缩性及兼容性 整个安全系统必须留有接口 以适应未来工程规模拓展的需要 节约系统投资节约系统投资 在实现既定安全策略的前提下 必须充分考虑投资 将用户的利益始终放 移动介质管理安全解决方案 7 在第一位 通过认真规划安全性设计 有针对性的选择适当规格的安全加固设 备 既要保证安全加固设备系统资源的充分利用 又要尽可能的为用户节约系 统投资 此外 本次项目建设中所使用的安全产品 制定的安全策略以及涉及到的 工程标准等环节必须符合或满足国家相关法律法规 相关国家标准的规定 1 3 2 安全建设总目标安全建设总目标 信息安全的基本需求就是满足五个基本安全要素 机密性 完整性 可用 性 可控性与可审查性 能够有效地实现以下任务 使用访问控制机制 阻止非授权用户进入网络 即 进不来 从而保证系 统的网络资源被受控合法的利用 使用授权机制 实现对用户的权限控制 即不该拿走的 拿不走 同时结 合内容审计机制 实现网络资源及信息的可控性 使用加密机制 确保机密信息不暴露给未授权的实体或进程 即 看不懂 从而实现信息的保密性 使用数据完整性鉴别机制 保证只有得到允许的合法用户才能修改数据 而其它人 改不了 从而确保信息的完整性与真实性 使用审计 监控 防抵赖等安全机制 使得攻击者 破坏者 抵赖者 走 不脱 并进一步对网络出现的安全问题提供调查依据和手段 实现信息安全的 可审查性 移动介质管理安全解决方案 8 2系统解决方案系统解决方案 2 12 1 系统管理构架系统管理构架 S Se er rv ve er r 服服务务器器 C Cl li ie en nt t 客客户户端端B Br ro ow ws se er r 管管理理员员访访问问终终端端 数数据据库库 策略文件 由服务器下发 记 载着需要客户端程 序所执行命令的文 件 它最终被保存在终 端计算机内 系统管理结构图 系统管理采用 B S 构架 管理员可在网络的任何终端通过登录内网管理服 务器的管理页面进行管理和各种信息查询 根据用户的实际情况需要可以将内网安全管理系统部署为多级级联的方式 在用户及下属单位的范围建立起内网安全管理系统的管理架构 或采用集中部 署的方式对所有终端进行统一监控和管理 移动介质管理安全解决方案 9 2 22 2 系统详细解决方案系统详细解决方案 2 2 12 2 1移动介质管理安全系统设计移动介质管理安全系统设计 2 2 1 12 2 1 1系统设计概述系统设计概述 系统管理概述系统管理概述 组织管理 指定专人 部门负责进行 USB 设备载体的管理 审计管理 安全组织之外 由保密部门负责 USB 管理的检查工作 技术控制 采用各种技术支撑设施 方法 对 USB 设备载体进行管控 制度管理 制定 USB 设备载体管理制度 进行日常操作约束 应急管理 建立 USB 设备事故应急处理预案机制 系统技术概述系统技术概述 设备管理 集中注册 专门管理员统一对入网 usb 设备注册管理 移动介质管理安全解决方案 10 分别授权 不同人员 不同部门分密级获取相应授权 设备控制 授权访问 非注册授权设备不能在本网络使用 权限控制 禁止 只读 读写 外来报警等自定义控制 设备审计 入网审计 合法 非法 USB 设备入网记录 合法性校验 使用审计 日常数据读写 拷贝行为审计 外来设备操作记录 2 2 1 22 2 1 2系统设计系统设计原理原理 移动存储介质管理系统是根据网络应用特点而设计的一套移动存储管理方 案 目的在于满足内网移动存储介质日常安全管理 系统综合应用底层驱动 扇区加密 进程守护等多种安全防护技术 磁盘文件底层驱动技术对普通移动 存储设备 主要 USB 类型 作唯一性标签处理 AES128 位高强度算法对磁盘 进行数据区划分并作加密处理 标签移动存储介质结合受控客户端主机的安全 访问控制策略作匹配授权 确保标签移动存储介质使用的安全性与合法性 系统通过集中的注册管理平台对 USB 存储设备作严格的设备介质身份认证 数据信息重构 数据加密等一系列安全防护操作 针对办公网内计算机 USB 存 移动介质管理安全解决方案 11 储设备的使用和管理建立了完整的防范解决体系 系统采用 C S 和 B S 混合式 架构 由服务器端和客户端构成 客户端主机通过移动存储介质的产品唯一生命特征识别码和硬盘唯一码 其重复概率相当于人类的指纹 二者结合进行识别 当主机数据库和移动存 储介质中的认证信息相同时 接受其入网使用 未经注册的移动存储设备将会 自动被系统强制卸载 实现单位 U 盘外出使用需要到单位保密或网络管理员处 登记 否则在外部无法打开 系统在解决安全方面的问题 同时还兼顾工作的实际 力求使用的方便 简洁与高效 具体分析 系统设计主要满足用户以下多个方面的需求 一一 提供对移动存储设备全生命周期的管理提供对移动存储设备全生命周期的管理 移动存储设备管理提供对移动存储设备从购买 使用到销毁整个过程的跟 踪与管理 能够随时对移动存储设备的情况进行监管 随时了解某个移动存储 设备的在网络中的使用情况和当前联机所处状态 二二 能够区分合法与非法的移动存储设备能够区分合法与非法的移动存储设备 合法的移动存储设备 指单位内部并被准许在内部使用的移动存储设备 非法的移动存储设备 指来源不明未被准许在内部使用的 或者是外来单位带 入的移动存储设备 要求做到 非法的移动存储设备在工作环境中不能使用 和 合法的移动存储设备在工作环境中能够正常使用 但在非工作环境中不能 使用 即 非法的进不来 合法的出不去 三三 增设移动存储设备的访问机制增设移动存储设备的访问机制 对于合法的移动存储设备的访问 进一步增强访问控制机制 根据访问者 的身份 密级 时间期限等限制仅有 正确 的用户才能访问 四四 移动存储设备中的数据提供加密保护移动存储设备中的数据提供加密保护 为了防止移动存储设备丢失造成泄密 存储在移动介质中的数据是加密的 而且是磁盘级的透明加密 避免被不法分子躲避或恶意行为留下安全隐患 五 提供对移动存储设备使用的详细日志审计五 提供对移动存储设备使用的详细日志审计 记录对移动存储设备的访问 便于以后进行跟踪审计 六六 分权限管理分权限管理 系统管理权限和使用权限分开 具有安全性高 可靠性强 适合集中授权 移动介质管理安全解决方案 12 多角色参与监控的管理模式 普通用户权限在没有管理员许可的情况下 为被 限制对象 对自身的数据日志等均无管理权限 七七 通信及日志文件加密通信及日志文件加密 服务器端与客户端使用 TCP 协议通信 端口可以自行灵活修改 同时客户 端数据上报和服务器端指令 策略下发采用加密算法 防止他人旁路刺探信息 客户端日志文件加密存储 防止用户修改或删除 服务器端自动接收客户端日 志数据 八八 客户端保护机制客户端保护机制 系统的客户端系统具有自我防护机制 防止用户随意停止 卸载 系统具备很强的自我保护功能 在正常模式和安全模式下均提供主机安全 代理自身防护功能 并可防止用户停止代理进程 破坏代理运行目录和相关文 件 停止代理等相关服务 若管理人员要求强制卸载客户端时 需要输入管理员的密码方可执行卸载 操作 2 2 1 32 2 1 3系统设计系统设计流程流程 系统模块工作流程 系统模块工作流程 1 客户端报警信息上报 控制台指令接收 2 USB 设备注册信息上报 密码还原信息获取 3 综合数据入库 出库 4 系统数据综合分析处理 5 系统设备扫描自动发现 主机设备 6 报警及系统数据呈现 系统策略数据存储 移动介质管理安全解决方案 13 网络设备信息采集模块 负责采集计算机中相关报警 病毒状况等信息 包含二个子模块 客户端模块 网络设备信息自动发现模块 客户端管理模块 通过安装在计算机上的客户端程序 对本机移动存储 接口进行管理 并对接入各种移动存储设备进行行为审计 处理后提交 给后台数据库 数据存储与分析模块 将采集完毕的数据和数据库内已有的数据进行比 对 整理 并进行分析 然后根据情况进行数据更新或报警 中央控制管理 报警模块 该模块为本系统的核心模块 作用在于统一 调度其他模块工作 包括各模块参数配置 网络通讯管理配置 模块连 接 信息汇总显示 报警显示等 USB 设备注册管理模块 专用移动存储设备授权工具模块 将普通 U 盘 作特殊格式化处理 并作标签标记 系统报警处置工作流程系统报警处置工作流程 1 合法设备 经管理员认证授权设备 2 非法设备 外来设备 无授权设备 3 新入网设备 未注册移动存储设备 新入网未注册计算机 移动介质管理安全解决方案 14 基于定时扫描机制 自动扫描检测管理网段内的计算机是否已经安装移 动存储管理客户端软件情况 将设备信息数据同数据库中原始数据进行 比较 如发现异常则报警 并阻断非法设备的入网 基于实时检测机制 由客户端代理程序自动发现接入主机的移动存储设 备 对其进行合法性验证 并作行为记录和审计 2 2 1 42 2 1 4系统关键技术系统关键技术 标签认证技术标签认证技术 通过专用工具程序为 USB 移动存储设备作唯一性认证标记 该程序从服 务器中读取本系统的唯一性属性信息数据 经过二次处理 将处理后的信息 会同预定义属性标签写入磁盘 专用工具程序把数据写到系统分区时 采用特定算法对写入的数据进行 加密 普通的 format 方式无法删除这些数据 该程序对移动存储设备所打 标签拥有特殊信息 移动存储设备硬件属性信息 服务器系统唯一性标签号 经过随机密钥加密后 具有唯一性标识 防止将标签信息复制到其它客户 移动介质管理安全解决方案 15 端设备上 进行伪装接入使用 USB 移动存储设备内置标签 同客户端代理程序的策略对应 USB 标签 符合策略许可才可以使用 虚拟磁盘技术虚拟磁盘技术 将文件虚拟成磁盘 把所有直接对磁盘访问定向到文件 采用创建文件 方式对磁盘进行扇区分割 分区大小可以自由划分 虚拟磁盘技术涉及对总 线驱动 物理磁盘驱动 磁盘过滤驱动等操作 虚拟加密磁盘技术主要由磁盘应用程序 虚拟加密磁盘驱动程序 加密 驱动程序等软件模块实现 对机密文件信息的安全保护 加密存储 在虚拟磁盘技术基础上 采用 AES 128 位加密算法 对磁盘扇区进行加 密 磁盘的安全性 并附带口令二次加密密钥 对虚拟磁盘的数据进行双重 加密 确保无法破解 AESAES 加解密技术加解密技术 1 1 密钥生成 密钥生成 在利用专用工具对介质分区时即生成 文件加密密钥 然后用处理后的初始密码口令 xxxxyyyy 对文件加密密钥进 行加密 此后加密原始口令 连同加密后的文件密钥及其它 hash 信息作二 次加密存放在磁盘 2 2 用户登录 用户登录 验证用户口令 通过后用处理的口令解密文件密钥 然后 监测对磁盘的文件读写操作 进行文件加解密 对称算法 3 3 修改密码 修改密码 验证密码口令 通过后 用处理后的密码口令解密文件密 钥 然后用新的用户口令加密文件密钥 生成密钥 4 4 128128 位加密算法 位加密算法 在虚拟磁盘技术基础上 采用 AES 128 位加密算法 对扇区进行加密 同时加带一个随机加密密钥 使得虚拟磁盘的数据获得双 重加密 确保无法破解 利用磁盘驱动技术对介质分区时即对磁盘进行加密 同时生成随机的 128 位加密密钥防护磁盘访问 5 5 二次加密技术 二次加密技术 密钥随机产生 同登录口令进行 CRC32 校验 生成校 验码 系统将密钥随机值同校验码一同加密 保存在 U 盘中 加密程序在操 作系统对扇区格式化时进行加密 并对对数据文件的读写进行加解密 算法 是经过变化处理 密钥 偏移位 的 AES128 位算法 移动介质管理安全解决方案 16 多进程互控技术多进程互控技术 多进程监控守护技术 防止用户非法自行关闭客户端主程序的运行 系 统使用中 可能会出现个别用户故意关闭中间件的情况 也可能出现由于操 作系统错误导致中间件进程关闭的情况 因此需要系统守护模块 保证中间 件在使用时不会被意外关闭 即使在中间件在系统发生意外错误关闭时 守 护模块也可重新启动中间件 以保证系统的有效性和可靠性 双因子认证技术双因子认证技术 系统采用的任何硬件识别 均采用对唯一标识经过特殊算法得出的唯一 赋值对照后作出判断 防止客户端计算机设备变更而引起的安全隐患 U U 盘信息重构技术盘信息重构技术 采用扇区映射方式进行二级抽象 完全打乱文件的存储位置 防止结构 性破解 2 2 22 2 2移动存储设备管理系统功能移动存储设备管理系统功能 一一 移动存储设备集中注册与授权移动存储设备集中注册与授权 移动存储设备管理系统应用拓扑 移动介质管理安全解决方案 17 系统支持对所有移动存储设备使用前必须经过授权中心统一注册与授权 只有经过授权的移动存储设备才能正常使用 授权内容至少应包括 安全级别标签 硬件管理 ID 号 使用人 使用部门 保护口令等 唯有授权后的移动存储设备才能发放给个人使用 注册与授权通过系统专 用认证工具实现 不同的网络环境具有不同的唯一性标志符 系统支持对非 USB 存储设备 USB 键盘 鼠标 打印机 硬件 key 等 的 自动识别 支持对特定 USB 存储介质 如数据交换中间机 设置不同的访问权 限 针对实际工作的特点 还考虑到分权分级管理 设备兼容性等 移动存储 设备管理系统与硬件接口 磁盘类型无关 可管理所有硬件接口 磁盘类型的 移动存储设备 即现有的移动存储设备都可以纳入管理 最大限度地减少重复 投入 二二 移动存储设备分区管理移动存储设备分区管理 移动存储介质按需求可以划分为交换区和保密区 分区容量可由管理员灵 活定义 同样 系统对于移动存储介质还可以按照需求只进行保密区的划分 并将 全盘指定为保密区域 保密区在本单位已安装客户端并具有访问权限的计算机上可以读写 在未 安装客户端的计算机上或者外单位安装客户端计算机将不被识别 交换区凭密码认证可在所有计算机上使用 交换密码可以灵活修改 三三 移动存储设备访问控制移动存储设备访问控制 系统支持对移动存储设备的访问控制 通过系统内置的策略库以及管理分 组功能 实现终端访问的灵活控制 最大限度地防止数据被滥用 保证数据的 可用性 具体功能通过标签认证方式实现 未统一授权的移动存储设备 可设置为 不允许使用 允许只读 方式使用 允许读写方式 使用等安全标识 经授权的移动存储设备 在系统内依据其授权信息进行多层次的访问 控制 具体包括 基于用户身份的访问控制 基于密级的访问控制 基于口令的保护及对使用次数的限制 移动介质管理安全解决方案 18 四四 移动存储设备磁盘级的数据加密移动存储设备磁盘级的数据加密 加密是移动存储设备数据保护的重要技术手段 数据加密功能要兼顾安全 性和易用性 系统支持对交换区和保密区的自动加解密 磁盘级的透明加解密 加解密过程对用户透明 用户感觉不到加解密 的存在 但是数据始终以密文形式存储在移动存储设备上 非授权用户无法解密 即使载有机密数据的移动存储设备丢失也不会 造成泄密事故 五五 移动存储设备数据安全擦除移动存储设备数据安全擦除 如移动存储设备中的机密数据删除不彻底 通过一些技术手段将能够恢复 其中的机密数据 这些未被彻底删除的机密数据 残留在已报废的移动存储设 备中或者在移动存储设备的交叉使用过程中 都存在泄密的风险 数据安全擦除 通过对数据进行逐扇区的多次重写 实现磁盘数据的 彻底粉碎 擦除 通过任何技术手段均无法恢复数据 系统对已注册移动存储介质的格式化不影响移动存储介质原有的注册 信息 六六 分组管理与策略定义分组管理与策略定义 一般的网络都作相应的功能区划分 如办公系统 业务系统 管理决策系 统等 便于信息交流与保密 为使网络管理具有一定的条理性 系统支持按不同部门划分工作组 这样管理员可以直接对不同性质工作组进行策略分发 系统内置策略中心 管理员可以根据不同的管理需求和网络环境 灵 活制订不同的移动存储设备策略进行应用 分组功能给移动存储设备网络化管理带来一定的简洁性 尤其是对于庞大 的网络来说则可以减少错综复杂的局面 为管理员进行程序化策略管理提供高 效手段 七七 移动存储设备操作日志审计与报表移动存储设备操作日志审计与报表 对移动存储设备从购买 使用到销毁整个生命周期进行审计 借助审计功 能 可以如实地看到磁盘的整个使用过程 同时可通过报表直观 方便的得到 统计数据 审计功能具体如下 移动介质管理安全解决方案 19 对于移动存储设备的资产入库登记 使用人 权限等 授权使用 插 入 拔出 文件读写 IP 地址 各种违规操作 人员 事件内容 等 提供详细的日志记录 基于以上数据 具备强大的日志审计功能 支持对数据交换进行指定格式的文件审计过滤 系统报表能够导出为 txt htm xls 等格式文件 必要时产生包括饼 图 线图和表等各种形式的定制报告 可根据用户需要定制报告模板 和内容 八八 违规保护与报警处置违规保护与报警处置 针对可能受到的违规操作行为 系统提供违规保护与报警处置功能 具体 如下 系统可按照要求设定违规操作 并在这些违规操作达到阀值时启动自 我防护功能 违规尝试保护功能提供的保护方式包括 磁盘只读 磁 盘锁定 支持集中的报警和报告 在综合报警平台上能够全面及时查看不同区 域范围的报警和报告 包括注册计算机的主机名 IP 地址 权限控制 违规信息等 报警方式支持声音 图形 邮件 手机短信等多种手段 未注册存储 介质接入受控网络时将在客户端产生嗡鸣器报警并弹出消息框提醒 服务器端并有响应的报警 服务器端报警支持向第三方平台进行报警 转发 SNMPTRAP SYSLOG 方式 2 2 2 12 2 2 1移动存储移动存储设备设备管理管理方法方法 支持对移动存储介质进行分级安全注册认证 支持远程注册授权 通过打标 签的方式对移动存储介质进行管理 从而保证内部的移动存储介质未经授权 无 法在外部使用 外部的移动存储介质未经许可 无法在内部使用 同时具备灵活 的策略分发模式 可以指定某个 或某组 存储介质只能在某台 或某组 计 算机上使用 并设定使用方式 系统具备在操作系统安全模式下和离开局域网时同样具有对移动存储介质 移动介质管理安全解决方案 20 的监管控制能力 具备自身安全能力 无法卸载 修改 破解等 并具有自身 修复能力 1 1 公司专有移动存储设备集中标签化管理 公司专有移动存储设备集中标签化管理 通过对移动存储设备写入两种不同权限及功能的标签 来实现分级权限的 控制 并以策略的形式分发给不同的域 实现对指定范围内的终端授权 并对 写入标签移动存储设备的访问进行控制 另外 对移动存储设备格式化无法去 除标签 普通标签 写入普通标签后 在管理区域内根据策略的设置 来限制移动 存储设备的读 写功能 如果在管理区域外使用移动存储设备认证 则不限制 移动存储设备认证读 写功能 加密标签 写入加密标签后将普通移动存储设备 闪存盘 移动硬盘 分 为二个区域 交换区 保密区 涉密网络可只生成保密区 交换区和保密区启 动均需输入独立的密码 数据在二个区存储时均以加密方式存储 1 在涉密网络中或高要求的办公网络中 可只生成保密区一个区 该保 密区只能在有对应安全策略的主机上通过认证标签后 同时输入正确密码才能 访问 同时有安全策略的主机可以根据策略控制未经标签认证的移动存储设备 的使用 保密区在外网或未授权计算机上不可见 2 在普通办公网络中 可生成交换区 保密区二个区 保密区的使用方 法 可与上述涉密网络或高要求的办公网络相同 交换区的使用方法 可以根 据用户需要 在内部网络中通过策略限制使用方式 交换区在外网使用是同样 要输入密码方可使用 保密区在外网不可见 2 2 公司专有移动存储设备集中审计管理 公司专有移动存储设备集中审计管理 1 提供移动存储介质上所有文件操作的详细记录 包括文件的创建 复制 删除 读写和重命名等操作 具体包括文件名 审计描述 时间 用户名 计算机 IP 地址和其他必要的信息 2 提供移动存储介质的插入和拔出动作的详细记录 具体包括事件类型 移动存储介质的名称 用户 计算机 IP 地址 事件时 间等 3 3 非公司专有移动存储设备管理办法 非公司专有移动存储设备管理办法 移动介质管理安全解决方案 21 1 对非公司专有移动存储设备 即未打标签的可移动存储设备 当这 种设备接入公司网络的已注册计算机上的 USB 口时 可根据该计算机用户所属 的安全级别 设置为禁止读写 只读 只写 允许读写 2 对非公司专有移动存储设备接入公司网络内的注册计算机 在服务 器上会产生相应的详细报警记录 3 对非公司专有移动存储设备在非公司网络内的计算机可以由使用人 根据需要使用 2 2 2 22 2 2 2其它输入输出设备的管理办法其它输入输出设备的管理办法 1 对于以 USB 存储设备 移动硬盘非法接入内网的情况 我们通过对外 设及端口进行启用 禁用控制 必要时候还能够控制只读入 可写出等细致操 作行为 2 除了人体工程学设备外的一切 USB 端口 可以从驱动级禁用 USB 端口 光驱 软驱 串口 并口 打印机 红外 蓝牙 磁带机 多网卡 1394 口 调制解调器 PCIMCIA 卡等 3 对于其他 I 0 输入输出设备接口 同样支持驱动级的禁用 启用功能 2 2 2 32 2 2 3移动存储移动存储设备管理高级策略应用设备管理高级策略应用 1 支持在登录公司标签化可移动存储设备的交换区后 自动调用杀毒软件 对可移动存储设备进行扫描杀毒 2 支持对可移动设备策略生效的时间进行高级自定义 如可设定策略生效 的时间段或者策略失效的时间段 具体精确到具体工作日的几点几分 3 支持设定可移动存储设备策略生效的用户账户生效范围 如可设定该策 略只对 administrator 生效 可控制策略在公司注册的计算机离开公司网络的 情况下是否生效 4 可移动存储设备策略的管理对象 可以设置为单个用户 可以是一个具 体部门 还可以是自定义的组 非常灵活 对可移动存储设备做到不同细粒度 的管理和控制 移动介质管理安全解决方案 22 2 2 32 2 3移动存储设备管理系统应用移动存储设备管理系统应用 2 2 3 12 2 3 1系统管理效益系统管理效益 移动存储介质管理系统能够从主机层次和传递介质层次对文件的读写进行 访问限制和事后追踪审计 为网络内部可能出现的数据拷贝泄密 移动存储介 质遗失泄密 以及 U 盘等移动介质接入病毒安全的问题提供了解决方案 1 主机数据介质拷贝标签认证访问控制 2 专用移动存储介质数据加解密存储 3 专用移动存储介质内嵌主动式病毒安全防御 4 双数据区交互使用 专用 U 盘支持交互区和保密区划分 交互区在 授权计算机上透明使用 在外网或非授权计算机上支持口令登录使用 保密 区在授权计算机上受控使用 在外网或非授权计算机上不可见 5 全盘数据加密 采用 AES128 位高强度算法对磁盘全面加密 在没有 登录口令的情况下 使用任何第三方磁盘管理工具都无法获取内部加密数据 6 高强度口令保护 在 AES 高强度加密基础上 采用 8 位以上字母 数字组合口令保护专用 U 盘的登录 7 授权访问控制 专用 U 盘配合终端计算机注册程序的安全策略 灵 活控制不同数据区的访问权限 对于网络中存在不联网的单机服务器或者工作站 可以安装单机版移动存 储管理软件 单机版移动存储管理系统在各服务器上独立安装 普通操作人员 无法对其进行修改 卸载 以及软件策略的管理 单机版移动存储管理系统针 对单机的管理策略由管理人员事先在管理器上制定 在安装过程中导入预定义 策略 2 2 3 22 2 3 2系统增强功能系统增强功能 提供对除 U 盘 移动硬盘的存储介质管理外 还能够对终端的输入输 出设备 MP3 打印机 数码相机 摄像仪 USB 刻录机 磁带机 并 口 串口 1394 口等 进行管理 确保对计算机数据通道的控制 防 移动介质管理安全解决方案 23 范数据通过移动存储介质之外的途径泄密 提供对未安装移动存储介质管理客户端计算机的自动 手动远程阻断功 能 强制网络中每台计算机都必须安装受控代理程序 避免未注册计 算机带来的管理隐患 同时能够提供特殊的黑白名单管理机制 保证 重要服务器 关键主机不受移动存储介质管理策略的限制 在二次扩展功能中能够提供对计算机其它数据输入输出通道的审计管 理 如邮件传输 FTP 传输 网络共享传输 刻录机复制等 非介质 途径的控制和审计 弥补移动存储介质管理系统对通道管理的缺陷 2 2 42 2 4中间机数据交换中间机数据交换 由于所有注册移动存储设备只能在内部网络使用 并且数据是加密的 外 部普通移动存储设备又不能在内网使用 因此导致内外数据无法进行交换 必 须建立一套安全可靠的内外数据交换机制 因此 在外部文件拷入内部网络 内部文件拷出内网时 都要经过专门的 中间机进行数据交换 具体情况和流程如下 中间机指在授权计算机和非授权计算机之间传递信息的专用计算机 其对 注册专用存储设备和其他存储设备均具有访问权限 中间机策略 中间机针对存在整盘加密策略的计算机和外来移动存储 设备的情况提供数据交换 通过策略内容逻辑的组合设计来实现 授权计算机指已安装移动存储介质管理系统客户端 并对注册专用存 储设备具有访问权限的计算机 非授权计算机指未安装移动存储介质管理系统客户端或已安装客户端 但对注册专用存储设备不具有访问权限的计算机 上述中间机设置情况根据北调实际涉密情况确定 1 内部文件拷出 内部文件拷出 1 对外部传输涉密文件 a 通过中间机将涉密文件从内部专用 U 盘拷贝到外带专用 U 盘拷贝到外部 移动介质管理安全解决方案 24 涉密计算机中 如下图 b 通过中间机将涉密文件从内部专用 U 盘拷贝到外部未授权 U 盘中 再由 外部的外带专用 U 盘拷贝到外部涉密计算机中 如下图 2 对外部传输非涉密文件 a 通过中间机将非涉密文件从内部专用 U 盘拷贝到外带专用 U 盘将文件拷 贝到外部非涉密计算机中 如下图 b 通过中间机从内部专用 U 盘将文件拷贝到外部未授权 盘中 在由外部 U 盘拷贝到外部非涉密计算机中 如下图 2 2 外部文件拷入 外部文件拷入 1 对内部涉密文件 a 通过中间机将外部未授权 U 盘中的文件拷贝到内部专用 U 盘 再由内部 专用 U 盘将文件拷贝到内部涉密计算机中 如下图 移动介质管理安全解决方案 25 b 使用外带专用 U 盘拷贝外部的中间机中的涉密文件 再通过中间机将外 带专用 U 盘中将涉密文件拷贝到内部涉密计算机中 如下图 2 对内部非涉密文件 a 通过中间机将外部非涉密文件从外部未授权 盘拷贝到内部专用 盘中 再由内部专用 盘拷贝到内部涉密计算机中 如下图 b 通过中间机外带专用 U 盘将外部非涉密文件拷贝到内部专用 U 盘中 再 由内部专用 U 盘将文件拷贝到内部涉密计算机中 如下图 2 2 52 2 5移动存储设备管理系统特点移动存储设备管理系统特点 系统特点系统特点特点描述特点描述 采用对称的 AES 128bit 高强度加密算法 安全强度高 加密方式 按扇区进行加密 每次一密钥 移动介质管理安全解决方案 26 TTDS 采用扇区映射方式进行二级抽象 完全打乱文 件的存储位置 防止结构性破解 客户端代理程序具有超强自保护能力 即使在安全模 式也无法删除停止 同时在文件受到损坏后 能够及 时自我修复 同各种防病毒软件兼容运行 如北信源 瑞星 金山 江民 Norton 趋势 卡巴斯基等主流杀毒软件 内置强大策略中心 通过多种策略组合方式实现对终 端移动存储介质的自定义访问控制 访问控制策略支持分组 分区域 分操作系统等方式 的统一 周期分发执行 允许特殊权限终端的移动存储 访问不受限 多种告警方式 除在用户终端提供蜂鸣器报警外 同 步在服务器进行声音 图形 短信报警 在本机提示 消息同时 在服务器作后台认证日志记录 细粒度 多层 次的访问控制 管理服务器支持对主机 IP 访问的限定 仅允许指定的 主机访问管理服务器 防止恶意攻击行为 组件通讯加密 组件间通信时 数据传输是经过加密的 终端数据上 报和服务器端指令 策略下发采用加密算法 防止他 人旁路嗅探信息 终端和服务器端相互通信使用双向 认证机制 防止已安装同类终端的非本网络计算机非 法进入网络 同时也防止模拟的假终端和服务器进行 通信 详细日志记录 提供系统运行审计和操作审计机制 用户登录日志详 细记录登录用户登录时间 IP 地址 登录用户名称等 策略操作日志针对管理员对系统策略的修改 增删等 各种操作进行详细记录 无缝功能扩展 与升级 系统采用 C S 与 B S