专业针对源代码开发与大型图纸设计行业的防泄密解决方案.pdf

1 企业 数据防泄密系统部署方案 沙盒数据防泄密解决方案 2 24 目目 录录 1 前言 3 2 项目说明 3 3 项目背景 3 4 解决方案 5 4 1 SDC 沙盒数据防泄密解决方案概述 5 4 2 SDC 沙盒的设计理念 6 4 3 SDC 沙盒数据防泄密系统构成 8 4 4 SDC 沙盒系统主要功能 10 4 4 1 客户端涉密文件自动加密 10 4 4 2 涉密网络内部通畅 隔离外来 PC 10 4 4 3 非涉密受限白名单 11 4 4 4 涉密文件外发 12 4 4 5 打印内容日志 13 4 4 6 离线客户端 13 4 4 7 服务器端数据保护 14 5 SDC 沙盒系统部署后的工作场景推演 15 5 1 机密服务器和客户端的使用 15 5 2 客户端和非客户的使用 16 5 3 外部 Inernet 和内部非涉密资源的使用 16 5 4 邮件系统的使用 16 5 4 非 Windows 服务器映射方案 16 6 SDC 沙盒系统特点 18 7 项目实施计划 20 8 项目安装环境 20 9 成功案例清单 22 10 附录 公司介绍 23 沙盒数据防泄密解决方案 3 24 1 前言 前言 本方案意在展示 本方案意在展示 1 我们将如何从 的企业现状与最佳实践的分析中 探讨数据防泄密解决方案的 方向 2 我们将如何参照软硬件研发行业最佳实践 设计适合 的特点的数据防泄密系 统 3 我们将如何协助 顺利地实施的数据防泄密系统 建立规范的 统一的防泄 密开发环境 非常感谢 相关部门给予的大力协助 给本报告的编制提供了明确的要求 我们将 提供的方案 是基于SDC沙盒机密数据保密系统长久以来在软硬件研发行业的数据防泄密解 决方案的广泛积累和我们对 现状及发展趋势的了解 我们是专业的数据防泄密解决方 案制造商 对软硬件研发行业有深刻的认识和丰富的经验 所以才能以行业化的最佳实践案 例 做出符合 的数据防泄密解决方案 我们衷心希望 本建议书能成为我们双方增进了解 进一步开启彼此合作之门的基础 我们更加期待 能与 的发展携手共进 打造 更为辉煌的未来 SDC沙盒机密数 据保密系统 能有效防止项目参与的开发人员的主动泄密 让企业的核心数据留下来 保持 企业竞争力 2 项目说明项目说明 数据防泄密项目定位为研发部门的所有项目数据进行防泄密保护 有效防止开发人 员的主动泄密 本期的项目内容中主要为图纸 源代码以及技术文档集中管控 并且防泄密 系统和SVN等版本管理工具无缝结合 强化员工的开发流程规范化的同时 实现可以对程序 编译 调试 可以上网查阅资料等基础上 实现有效的防止主动泄密 3 项目背景项目背景 目前大环境下 研发人员流动性很强 这就要求企业建立一套机制 对企业自己的知 识库和项目源代码和图纸 技术文档等进行安全控制 不但要对在职人员的主动泄密行为进 行管控 更要杜绝离职人员拿走公司的核心资料 避免因泄密给企业造成损失 但现实情况 沙盒数据防泄密解决方案 4 24 是 这些研发人员在研发过程中 基本上都自己备份一份图纸 源代码以及技术文档 甚至 还在家中备份一份 这些源代码及技术图纸 极容易造成泄密 常见的泄密途径 机密电子文件通过U盘等移动存储设备从电脑中拷贝带出 内部人员将自带笔记本电脑接入公司网络 将机密电子文件复制带走 通过互联网将机密电子文件通过电子邮件 QQ MSN等发送 内部人员通过预览机密电子文件 对预览文件进行光盘刻录 屏幕截屏带出公司 内部人员将机密电子文件打印 复印后带出公司 通过internet网络存储 进行保存 内部人员把含有机密电子文件的电脑或电脑硬盘带出公司 含有机密电子文件的电脑因为丢失 维修等原因落到外部人员手中 沙盒数据防泄密解决方案 5 24 4 解决方案解决方案 4 1 SDC 沙盒数据防泄密解决方案概述沙盒数据防泄密解决方案概述 SDC沙盒防泄密方案采用世界上领先的第三代透明加密技术 内核纵深沙盒加密 基于 操作系统底层 吸收云的概念 对环境进行加密管控 不依赖软件 文件类型 文件大小 高可靠性防泄密解决方案 是一套高扩展性 可定制化的解决方案 系统本身集成网络验证 文件加密 打印控制 程序控制 上网控制 非认证PC入网限制 反移动存储 光盘刻录 反截屏等防泄密功能于一体 为 提供一套完整的防泄密系统 主要功能包括 机密SVN服务器的访问控制 只有防泄密沙盒客户端才能访问服务器 机密文件共享服务器的访问控制 只有防泄密沙盒客户端才能访问服务器 服务器SVN代码在被客户端使用过程中 落地即加密 传回服务器自动解密 代码在客 户端受管控 不能通过邮件 文件另存 复制粘贴 网络存储 U盘等方式泄密 沙盒是个容器 不区分文件类型和开发软件 支持所有开发工具 涉密文件拿出 必须走审批流程 个别涉密文档如果走加密外发 可以实现外发后 仍能防止2次泄密 外发的文件具有 密码 使用次数 时间 反复制粘贴 反屏幕截图等功能 沙盒数据防泄密解决方案 6 24 4 2 SDC 沙盒的设计理念沙盒的设计理念 当研发工作的时候 在研发电脑上虚拟出一个对外隔绝的磁盘加密的沙盒 沙盒会和服 务器认证对接 形成一个涉密的 加密的工作空间 员工在沙盒中工作 如下图 这个对外隔绝的磁盘加密的沙盒 如下图E 盘磁盘加密区 无法对外联系 数据只 能进去不能出 根本没有办法泄密 如果需要上网则用户在沙盒外上网 聊天 发送邮件等 由于和沙盒是内外隔绝的 所以不影响日常网络使用 沙盒内数据也不会经由网络泄密 在CVS VSS SVN 服务器安装沙盒的服务器端加密模块 机密端 这样一来除了开 发人员在沙盒内可以与CVS VSS SVN 服务器进行数据传送外 没有其他方式可以访问 沙盒数据防泄密解决方案 7 24 CVS VSS SVN 服务器 1 开发人员在电脑上的所有开发的成果可以设置为只能存放到服务器上 或者本地的 加密沙盒中 2 磁盘加密沙盒 对使用者的习惯不会改变 任何程序只要在windows 能跑的 就可以 在磁盘加密区跑 保护的对象和进程无关 和文件格式无关 和文件大小无关 更不会去破 坏文件 不会修改文件自身内容 3 我们也可以限制开发人员只能在沙盒里面使用开发工具 让其开发的任何均无法带 走 4 对于需要出差或者带回家的笔记本电脑 可以通过策略设定 在指定的时间内 让 其离线使用 离线使用期限时和公司内部的使用习惯一样 正常开发但是不能泄露 但如 果超过设定的期限 开发人员无法进入磁盘加密的沙盒内 整个磁盘加密沙盒将处与禁用 保护状态 直到返回公司接入网络连接服务器后 方可解禁 5 采用沙盒磁盘加密技术 磁盘过滤驱动 文件过滤驱动 网络过滤驱动等 进行开 发设计的 充分考虑了扩展性 易用性 系统本身集成网络验证 文件加密 打印控制 程 序控制 上网控制 服务器数据保护 非认证PC 入网限制 反移动存储 光盘刻录 反截 屏 防PC 丢失 硬盘丢失等防泄密功能于一体 真正做到全透明加密 不影响员工工作效 率和习惯 可以保护所有文件格式 包括所有文档格式 所有源代码格式 图纸格式 安全 沙盒数据防泄密解决方案 8 24 稳定 不破坏文件 只保密机密数据 源代码 图纸文档 而不监控不泄密的上网 尊重了员工隐私 外发文 档审计 加密 防泄密处理 外发邮件申请 审计业务流 使用沙盒磁盘加密软件 可以切 实保护软件开发企业数据 4 3 SDC 沙盒数据防泄密系统构成沙盒数据防泄密系统构成 深信达SDC机密数据防泄密解决方案分管理端 机密端 外发审核服务器 客户端四部 分 管理端是整个系统的控制中心 系统中只有一个 机密端是存放机密数据的服务器 一 个系统中允许有多台机密服务器 外发审核服务务器是对外发文件进行审核 客户端是安装 在员工PC上的防泄密策略的执行程序 根据需要 管理端 机密端 外发审核服务器可以安 装在同一台电脑上 SDC 防泄密系统架构图防泄密系统架构图 管理端 管理端 对系统中的机密端 客户端进行策略管理 组织管理 客户端日志收集 企业加密密钥管理 客户端卸载管理 机密服务器 外发审核服务器认证管理 机密端 机密端 保存机密数据的服务器 对来访用户进行严格审计 加密认证 可以是文件共享服务器 ERP PDM服务器 文档管理系统 或者是VSS CVS SVN文件版本管理服务器 非客户端无 法访问机密端 外发审核服务器 外发审核服务器 对外发的邮件 文件进行审核 对于涉密文件可自动加密 外发结果记录 客户端 客户端 沙盒数据防泄密解决方案 9 24 透明加密解密 真正和格式无关的加密 可信网络认证 机密资源认证 打印控制 禁止打印 指定打印机打印 打印内容日志回传 离线控制 文档外发等 沙盒数据防泄密解决方案 10 24 4 4 SDC 沙盒系统主要功能沙盒系统主要功能 4 4 1 客户端涉密文件自动加密客户端涉密文件自动加密 SDC采用内核级纵深加密技术 对所有涉密文件都进行透明加密处理 真正做到不区分 文件格式 不区分软件类型 只要是涉密信息 不管Office系列 PDF等常用文档 还是AutoCAD 等制图类软件 或者是Microsoft Visual Studio Eclipse等软件开发工具 一律自动加密 不但包括源代码 源图纸 而且编译中间文件等都自动加密 关键的是不影响本地编译 不 影响性能 对于需要提交服务器进行编译的也能轻松适用 客户端透明加密解密示意图客户端透明加密解密示意图 加密的数据不能通过移动存储 如U盘 光盘 网络 邮件 文件另存 内容复制 截 屏录屏等泄密途径泄密 甚至把硬盘拔走都不会造成泄密 4 4 2 涉密网络内部通畅 隔离外来涉密网络内部通畅 隔离外来 PC 机密服务器和进入涉密沙盒模式下的客户端 形成一个涉密地 安全的网络空间 在涉 密网络内部 信息传输是透明的 流畅的 传输方式包括文件共享 C S B S构架的应用 和布置SDC前比 没什么区别 涉密网络内 飞秋 IPMSG等局域网内部聊天工具照常可以使 用 但是 没有进入沙盒模式的客户端 或者外来PC接入网络 由于无法通过认证 立即被 隔离 成为孤岛 不能访问机密服务器 不能访问其他涉密客户端 局域网通讯工具也无法 和涉密的客户端进行对话 沙盒数据防泄密解决方案 11 24 外来外来 PC 被隔离示意图被隔离示意图 4 4 3 非涉密受限白名单非涉密受限白名单 在策略允许前提下 客户端在涉密工作的同时 在保证不会泄密的前提下 允许安某些 程序进行非涉密上网 在策略允许的前提下 上网可以进行的行为包括 浏览互联网进行必要的资料查询 QQ MSN 飞信的使用 非涉密邮件的使用 如WebMail或者OutLook Foxmail的非涉密收发邮件 上述非涉密上网过程中 涉密的文件内容无法通过复制粘贴 文件上传 鼠标拖拽 屏 幕截取等方式被非涉密程序使用 举例说明 用户正在编辑涉密的一个AutoCAD图纸 此时可以通过IE上互联网查找资料 通过QQ和业内人士讨论 但是涉密AutoCAD中的图片 文字 文件等都无法通过IE和QQ发送 出去 QQ的截屏等任何截屏软件 录屏软件都无法截去涉密AutoCAD画面 当然 如果觉得该员工上网会影响工作效率的话 通过策略设定 可以把外网完全断开 安全隔离上网功能 极大地提高了员工查找资料的便利性 沙盒数据防泄密解决方案 12 24 安全隔离非涉密受限上网示意图安全隔离非涉密受限上网示意图 4 4 4 涉密文件外发涉密文件外发 当业务需要把涉密文件发给顾客时 SDC系统提供了涉密文件外发业务流程 具体分为 涉密文件邮件外发 涉密文件明文外发和涉密文件加密外发三种方式 下面简单做下介绍 涉密文件邮件外发 当业务需要把涉密文件通过密邮方式发给客户时 提出申请 审核人员审核之后 涉密 文件方能通过邮件发给对方 为了提高效率 系统支持可信邮件地址列表 向可信邮件地址 列表中发送带有涉密文件的邮件 无需审核 直接发送 涉密文件明文外发 当业务需要 需要把涉密的文件图纸以明文的方式发给客户时 需要走明文外发审批流 程 经过审批后的涉密文件 可以通过邮件 QQ U盘等方式外发给客户 涉密文件加密外发 当业务需要 需要把涉密的文件图纸发给客户 同时还希望控制该文件的使用范围 则 可以使用涉密文件加密外发业务流程 对该文件的打开密码 使用次数 使用时间 是否绑 定某PC等进行设置 该文档自身的读取 修改 复制 打印等权限可以设定 该文件审批通 过之后 就可以发送给客户了 客户使用该文件的时候 有密码 使用次数 使用时间 是 否能打印 是否可以复制到其他PC使用等都受限制 沙盒数据防泄密解决方案 13 24 以上三种涉密文件外发审核流程 都是申请 审核 外发 并且日后有日志可以追溯 总之 涉密数据根据需求需要离开机密环境时 需要走审核流程 当然 企业管理者如 果觉得流程麻烦 可以只看发送日志 简化审核流程 4 4 5 打印内容日志打印内容日志 系统默认策略是不允许打印 当需要打印时 可以指定打印机进行打印 但是打印页面 内容将被记录并传会服务器 以备日后审计 4 4 6 离线客户端离线客户端 对于需要出差或者带回家的笔记本电脑 可以通过策略设定 在指定的时间内 让其离 线使用 离线使用时 所有涉密文件都还处于加密状态 可以在防泄密状态下正常继续工作 沙盒数据防泄密解决方案 14 24 但如果超过设定的期限 所有涉秘密数据都自动关闭 整个系统将处与保护状态 直到返回 公司接入网络连接服务器后 才能正常工作 如果万一笔记本电脑丢失或被盗 由于对方没有解密口令 所有涉密数据都处于保护状 态 重新安装系统 硬盘插拔等 都无法获取电脑中的机密数据 4 4 7 服务器端数据保护服务器端数据保护 对于存储在机密服务器上的数据 如SVN的存储目录 也可以进行保护 防止非法用户 直接把数据拷贝走 如果服务器端能接受加密的话 也可以直接安装一个特殊的机密端 把 SVN数据所在的盘直接加密 这样 该数据就不能制出PC机了 服务器端文件保护服务器端文件保护 沙盒数据防泄密解决方案 15 24 5 SDC 沙盒系统部署后的工作场景推演沙盒系统部署后的工作场景推演 在 的开发部部署SDC沙盒防泄密系统之后 其网络结构如下图 对工作场景逐一 进行分析规划 5 1 机密服务器和客户端的使用机密服务器和客户端的使用 我们把存储机密文件的文件共享服务器以及源代码版本管理服务器SVN服务器设定为机密服 务器 假定客户端存在系统C盘 数据加密D盘 普通数据E盘 那么 在使用机密服务器上 的机密文件时 将受以下约束 1 将只允许启动了SDC沙盒的客户端才能进行访问机密服务器 2 没有安装沙盒客户端的PC 外来PC 无法访问该服务器 3 服务器上的数据落到客户端的加密盘中 落地即加密 4 来自机密服务器的文件 只能存放到家密 D 盘中 5 加密盘中的文件 不能保存到非加密盘中 非加密盘为只读 6 U盘存储为只读 7 服务器上的文件或者加密盘中的文件 经过审批 可以保存到非加密盘或者U盘中 然后再经由QQ或webmail等方式发送出到外部 外发文件无格式限制 8 沙盒内可以运行的软件无特殊限制 沙盒数据防泄密解决方案 16 24 5 2 客户端和非客户的使用客户端和非客户的使用 部署好 SDC 沙盒系统之后 客户端 PC 之间 非客户端外部 PC 遵循以下规则 1 进入沙盒模式下的客户端们之间 自由通信 2 进入沙盒模式的客户端和非安装沙盒的外部 PC 之间禁止通信 但通过策略设定 可以实现沙盒客户端以只读只读方式访问非加密 PC 的文件共享目录 3 外来 PC 的数据 可以通过 U 盘导入到加密沙盒客户端中 4 外部 PC 无法访问沙盒客户端以及机密服务器 5 沙盒模式下各客户端之间可以通过飞秋等局域网通信工具进行通信 5 3 外部外部 Inernet 和内部非涉密资源的使用和内部非涉密资源的使用 部署好 SDC 沙盒系统之后 进入沙盒客户端可以在策略允许前提下 使用互联网资源以及 QQ MSN 等聊天工具 1 浏览互联网和内部非涉密资源的时候 资料可以下载 但不能把加密盘文件上传 2 加密盘数据以及服务器上的文件不能复制粘贴到上外网的 IE 和 QQ 中 3 QQ MSN 不能截取机密文件的画面 5 4 邮件系统的使用邮件系统的使用 部署好 SDC 沙盒系统之后 邮件的使用分 2 种 1 webmail 的使用 等同 6 3 的外部 Internet 使用 和沙盒内加密数据是隔离的 不能发送沙盒内数据 沙 盒内涉密文件 经过外发审批流程 可以通过 webmail 发出 2 邮件客户端 outlook 或 foxmail 的使用 需要首先把邮件数据迁移到非加密盘 然后再把客户端设成受限上网即可 此时 可以 自由接受邮件 但是不能发送加密盘中的文件 如果要发加密盘中的文件 需要走外发审核 流程 5 4 非非 Windows 服务器映射方案服务器映射方案 由于 SDC 沙盒系统的机密端只支持 Windows 操作系统 当环境内存在非 Windows 机密服 沙盒数据防泄密解决方案 17 24 务器的时候 需要使用网关做如下转换 转换方案有 2 个 分别如下图所示 网关上安装 SDC 沙盒机密端 沙盒数据防泄密解决方案 18 24 6 SDC 沙盒系统特点沙盒系统特点 可用性 可用性 SDC沙盒是个容器 和应用软件和文件格式关系不大 所以不需要针对开发程序一个一 个的设定 直接部署后即可使用 支持各种开发工具以及各种版本管理工具 能和SVN等系 统无缝集成 可用性 以及可集成度非常高 可以和AD域以及文件共享服务器无缝集成 安全性 安全性 SDC沙盒采用最先进的第三代透明加密技术 不是针对个别文件本身内容加密 而是针对 环境加密 所以没有文件加密解密破损的说法 和软件 文件格式 文件大小等没什么关系 另外 服务器上的源代码始终以明文形式存在 所以最大程度减低了企业对安全公司的 依赖性 便于灾难时及时恢复生产 如果需要对服务器进行U盘只读 数据区加密保护等 也可以 我们有独立的服务器端安全模块 可以实现机密服务器的数据安全 高性能 高性能 由于不是对单个文件进行加密 所以速度非常快 损耗在5 以内 超大文件 1G以上的 文件复制 移动的损耗在5 以内 由于和软件的无关性 所以各类软件在沙盒内运行时 只要不去做被认为是泄密行为的 网络访问 外部数据读写 那将速度非常快 和原来相比基本没有差别 管理性 管理性 根据业务需要 可以进行客户端逐一策略管理 也可以针对客户端批量管理 甚至一个 部门 几个部门使用同一个策略 极大的减少了维护工作量 方便维护 1 机密资源分配 谁能使用什么机密资源 2 部门 组织 人员管理 3 日志管理等 沙盒数据防泄密解决方案 19 24 沙盒数据防泄密解决方案 20 24 7 项目实施计划项目实施计划 说明 本计划仅为说明项目实施过程 具体以项目开始时双方项目经理签订的项目实施 计划为准 实施周期暂定 20 工作日 具体根据客户需求 做相应调整 序号 内容 主要事宜 客户方需准备事宜 工作量 人天 序号 内容 主要事宜 客户方需准备事宜 工作量 人天 1 数据整理 环 境准备 1 文件数据向机密服 务器集中 2 搭建环境 整理服 务器 客户端数据 使其符合 SDC 推荐要 求 3 安全相关业务流程 明确 1 文件数据向机密服务器集 中 2 外发模块服务器安装相关 环 境 操 作 系 统 IIS netframework3 5 提 供用户信息 学习 SDC 安装部 署 3 相关业务流程规范 2 2 培训 1 管理员培训 2 员工培训 组织人员参加培训 准备培训 场地 设备 做好培训记录 3 3 客 户 定 制 化 需求调研 需要根据客户提出的 定制需求进行确认 组织相关人员进行定制功能 讨论 整理定制功能的需求调 研报告并组织确认 2 4 客 户 定 制 化 功 能 定 制 开 发 根据客户的需求进行 二次开发 实施 并 与客户进行功能确认 配合定制功能的调试 对二次 开发的功能进行确认 待定 5 系统试运行 对系统问题进行修复整理相关问题并反馈 填写 试运行问题反馈单 待定 6 最 终 安 装 版 本的发送 发送最终安装光盘 包括 许可 手册 安装光盘等 请相关人员对最后安装包进 行检验 包括系统标准功能 定制功能 1 7 验收 提交项目验收申请 组织相关人员进行验收 签署 验收申请 1 8 项目安装环境项目安装环境 管理端 类别 版本 备注 类别 版本 备注 操作系统 Windows 2003 Server 2008 Server 标准版 企业版 非中文版本 需要有中文语言包 否则可能 会有乱码 硬件 CPU Xeon2 8 内存 4G 及以上 空余硬盘尽量大些 因为可能 需要备份客户端日志数据 沙盒数据防泄密解决方案 21 24 硬盘 可用剩余空间 5G 网络 千兆以太网 机密端 类别 版本 备注 类别 版本 备注 操作系统 Windows 2003 Server 2008 Server 标准版 企业版 非中文版本 需要有中文语言包 否则可能 会有乱码 硬件 CPU Xeon2 8 内存 4G 及以上 硬盘 可用剩余空间 10G 网络 千兆以太网 空余硬盘尽量大些 因为可能 需要备份客户端硬盘数据 外发审核服务器 类别 版本 备注 类别 版本 备注 操作系统 Windows 2003 Server 2008 Server 标准版 企业版 非中文版本 需要有中文语言包 否则可能 会有乱码 系统组件 IIS 组件 需要匹配操作系统 Net Framework3 5 Windows 自带 需要单独安装 或下载免费下载安装 硬件 CPU 普通 P4 以上 内存 4G 及以上 硬盘 可用剩余空间 10G 网络 千兆以太网 空余硬盘尽量大些 因为可能 需要备份客户端硬盘数据 客户端 类别 版本 备注 类别 版本 备注 操作系统 Windows xp win7 2003 2008 含 32 位和 64 位 操作系统 专业版 标准版 企业版 旗舰 版 硬件 CPU P4 内存 512 及以上 硬盘 系统盘空余空间 1G 以上 最要有 3 个以 上逻辑分区 网络 百兆以太网 空余硬盘尽量大些 因为可能 需要备份客户端硬盘数据 注 根据用户数据规模 鉴于数据规模不大 可以将管理端 机密端安装在一台服务器上 外发模块建议安装在另外一台普通 PC 上即可 沙盒数据防泄密解决方案 22 24 9 成功案例清单成功案例清单 软件行业客户 国家电科院软件行业客户 国家电科院 上海道生医疗上海道生医疗 苏州济丰寰亚苏州济丰寰亚 深圳华美深圳华美 软通动力软通动力 深圳 主线数码 深圳 主线数码 广州创硕广州创硕 无锡中卫信无锡中卫信 长沙佳驰长沙佳驰 贝尔卡特中国研发中心贝尔卡特中国研发中心 江苏东华测试股份有限公司 上市公司 苏州佳值电子有限公司 小松山推 中国 有限公司 苏州展宏电子科技有限公司 上海纽福克斯科技有限公司 常州风凯制造有限公司 苏州万德福科技有限公司 鑫苑置业