北信源电子安全产品技术白皮书

北信源电子文档安全管理产品技术白皮书北京北源件股份限司

目录第一章产品述-1-1.1产背景......................................................................................................................-1.2产定位......................................................................................................................-1.3设理念......................................................................................................................-第二章产品介-3-第三章系统构-4-3.1系架构概述..............................................................................................................-3.2系架构......................................................................................................................-3.2.1企内网构架-3.2.2广网构架-5-第四章产品能与特点-6-4.1文生期全程保...................................................................................................-64.2安策略制定..............................................................................................................-4.2.1自义密钥-7-4.2.2进指纹识别-4.2.3可进程策略-4.2.4自义的身份认证-9-4.2.5邮自动解密策略-4.3密管理....................................................................................................................-4.4策授加.............................................................................................................-4.5主授权....................................................................................................................-4.5.1文授权-12-4.5.2加文档外发（离线授权）-4.6文集中安全保护.-4.7全操作审计............................................................................................................-15-4.5.1文授权审计-4.5.2授访问审计-4.5.3文操作审计-4.5.4文打印审计-4.5.5文管理用户登录审计-16-4.5.6权申请审计-4.8审管理....................................................................................................................-4.8.1用申请权限审批-4.8.2文解密权限审批-4.9用管理....................................................................................................................-4.10文档份与归档--4.11水印息跟踪技术.-4.12软件统安全保护技术.--4.13支持有操作系统.-4.14与北源内网安全系统完美结合..........................................................................第五章关键术-19-

电子文档安全管理产品

技术白皮书5.1驱层透明加密-19-5.2驱层文档控制技术-第六章典型例-21--2-

电子文档安全管理产品第一章产品概1.1产品背景

技术白皮书随着互联网在中国的高速发展，越来越多的中国企业进入了信息化办公时代企业信息化提升了企业的经营管理效率扩大了企业的资源共享完善了企业的规范化突破了传统的企业经营思维模式进而提高了企业的竞争力和企业的经济效益在信息化浪潮中企业不断的得到了成长同时信息安全问题也日益呈现出危险态势黑客入侵木马病毒自动外发数据内部员工有意或无意的泄密行为以及重要信息设备被盗或丢失等均可能危及企业的信息安全据权威机构调查显示，有85%的安全威胁来自组织内部，其中电子文档泄露给企业造成的损失巨大黑客造成损失的16倍病毒造成损失的12倍Fortune排名前1000家的公司中每次电子文档泄露所造成的损失平均为万美元由此可见，电子文档成为了企业信息安全防护的核心。如何从根本防止企业内部人员将重要文档通过邮件或移动存储设备传送给其他人？如何能在不影响正常业务工作时进行对文档的信息安全保护？如何避免因员工离职后将重要文档带走？如何在员工出差时进行文档信息安全管理？如何对整个公司分公司各个部门的文档进行防泄密安全管理？如何对文档集中式管理进行安全防护？如何对重要的电子文档生命周期进行监控和管理？面对上述令人棘手的电子文档安全问题多公司进行了外网防护和专网的设置以及良好的防毒杀毒措施但是这种安全管理措施只能防止企业外部的人员的访问和病毒的传播，却不能防止内部人员的有意和无意的电子文档泄密行为对于电子文档安全管理需要使用综合的安全防范技术如文档透明加密技术、权限与策略控制技术、身份认证技术、安全防御软件的自身防御技术等。通过多种技术对电子文档进行的保护业就可以安枕无忧的在信息化浪潮中持续发展。-1-

电子文档安全管理产品

技术白皮书1.2产品定位北信源电子文档安全管理系统基于电子文档安全这个长期困扰业界的难题而研发具有高扩展性定制化的解决方案品集电子文档使用权限控制、系统身份验证主动与自动文档授权控制文档集中安全防护自动与手动透明加密文档文档密级与安全策略控制电子文档生命周期监控与审计等多种技术于一身防止了电子文档被盗或内部人员泄密同时本产品高度的扩展性模块可制定性人性化的操作性以及可与北信源内网安全系统无缝结合解决了信息系统使用的方便性和安全可控的难点企业信息化建设提供了强有力的安全保障。北信源电子文档安全管理系统可广泛应用于需要对电子文档进行安全管理的领域：

党政机关和军队：涉及国家机密的文档（公文、机密文档、会议纪要、统计数据、军事情报等）金融机构：包含大量敏感信息和商业秘密的文档（投资信息、大客户信息、上市公司年报等）医疗行业：带有不允许泄漏敏感信息的文档（医案、病案、病人信息、图片等）咨询行业含有商业秘密信息的文（调查报告咨询报告商业计划、客户资料等）制造行业：需要限制共享对象的企业文档（设计图纸、财务预算、商业计划、价格体系、采购成本、合同定单、物流信息、管理制度等）研发行业：需要保护知识产权的文档（源代码、设计文档、知识库等）1.3设计理念北信源电子文档安全管理系统通过电子文档的安全性与软件易用性两方面进行设计。产品实现了对文档全生命周期管理从文档的产生流转销毁进行了全程-2-

电子文档安全管理产品

技术白皮书的跟踪监控使文档的安全性获得了更大的提高以电子文档安全使用为核心设计角度通过文档主动授权用户自定义策略后系统自动对文档加密与解密文档集中安全管理三种模式进行文档使用全程的安全护驾。北信源电子文档安全管理系统让用户在使用本软件过程中改变对操作系统及办公软件的使用习惯过系统认证和拥有访问权限的用户使用可信任应用程序打开加密文档时，系统会自动解密文档，以明文显示。当关闭文档后，系统会自动加密文档，确保了数据无论何时、何地、何种状态都处于安全状态。通过内核级动态加解密技术与应用级文件访问控制技术保了文档安全状态同时也确保了自身的安全状态。第二章产品简北信源电子文档安全管理系统通过对文档主动授权（手动加密系统自动加密、文件集中安全保护三种模式对电子文档进行全方位的安全保护。电子文档主动授权模式户可以自行选择加密文档使用的授权内网对象和外网对象，授权使用时间，授权文档打开次数，授权方式，认证方式。系统自动加密模式：管理员通过北信源电子文档安全管理系统web管理平台，进行对密钥、可信进程，用户权限，文档密集权限管理。终端用户在使用系统规定应用程序创建及编写文档时，系统施行自动加密。文档集中安全保护企业内部文档集中管理时授权用户从文件服务器端下载文档后进行自动加密用户使用可信任应用程序打开后以明文显示不影响文件正常使用。在用户使用期间，文档全程是加密状态。未经授权或外发，文档仍然处于安全状态非法获得者不能使用确保了文档内容不泄漏用户上传文档后，系统会自动解密，使文件服务器中的文件明文方式存在。-3-

电子文档安全管理产品第三章系统架3.1系统架构概述

技术白皮书北信源电子文档安全管理系统采用了C/S与B/S混合模式设不仅支持企业内部局域网部署，而且支持在广域网环境下的多级级联部署。实现根据企业不同的网络架构，实现最佳的管理效果。电子文档安全管理系统服务器主要由系统数据库WEB管理平台、区域管理器组成。客户端主要是客户端程序和浏览器程序组成。用户安装完系统数据库、WEB管理平台、区域管理器后，系统运行正常，管理员可通过浏览器登陆WEB管理平台进行系统的配置与管理。内网中的客户端用户通过WEB管理平台可下载客户端程序，进行安装与注册。用户注册程序，注册程序自动采集系统的硬件设备信息，经过区域管理器处理后存入数据库，同时区域管理器将代理驻留程序发送到计算机终端，实时运行。通过探头、区域扫描器等对计算的电子文档操作进行探测。3.2系统架构企业内构架企业内网是一个或多个局域网所组成户可以在局域网中安装一套电子文档信息系统，进行对内网中所有设备的进行电子文档安全管理。-4-

电子文档安全管理产品

技术白皮书图3.2.1：企业网电子文档安全管理系统架构广域网架如果公司网络结构是跨地域广域网使用本产品提供的多级服务器级联架构模式主服务器向下属服务器级联监控下属服务器向主服务器上报数据确保整个公司的电子文档的安全统一管理。-5-

电子文档安全管理产品

技术白皮书图3.2.1：广域网电文档安全管理系统架构第四章产品功与特点4.1文档生命期全程保护电子文档的生命期分为文档创建、使用、流传、归档与销毁。受保护的电子文档整个生命期间均是加密状态有通过认证和授权的用户才能以浏览文档的明文只有获得文档操作权限的用户才能对文档内容操作受保护的文档无论在本机的哪个驱动器下无论在哪个文件夹下无论在全世界的任何电脑中都是加密状态。-6-

电子文档安全管理产品4.2安全策略制定自定义钥（多密钥管）

技术白皮书为了防止企业之间文档安全保护个使用本产品的企业将自动配置唯一的企业密钥同时为了满足企业中部门之间的文档安全用户可以非常灵活的配置部门密钥。密钥如同一把钥匙，只有拥有“钥匙”的部门才能使用本部门的加密文档现了部门文件之间文档不可使用的安全保障保了部门之间的私密性。图：自定义密钥进程指识别进程指纹的设置可以防止别人非法篡改应用程序文件通过指纹技术智能识别用户应用程序。为应用程序执行解密功能提供了安全的保障。-7-

电子文档安全管理产品

技术白皮书图4.2.2：进程指纹别可信进策略通过可信进程策略制定与用户自定义策略对象分配户可以灵活的设定哪些应用程序使用的文件需要加密策略制定后用户可以按照多种分配形式制定策略使用者同时为了满足特定用户的需要用户可以自己使用指纹识别软件获取需要加密的应用程序指纹上传给服务器然后经管理员审批后通过安全策略授权用户要求。-8-

电子文档安全管理产品

技术白皮书图：可信任进程策自定义身份认证产品支持多种身份认证满足用户各种安全级别的身份认证满足与企业内部、等系统的统一认证需要。目前，产品支持操作系统默认认证、用户自定义口令认证、KEY证、单点登录认证和认证。通过灵活的技术架构设计，我们也可以根据企业的需要制定满足您企业的认证要求。-9-

电子文档安全管理产品

技术白皮书图：自定义身份认邮件自解密策略用户可通过策略中设置的发件人及收件人邮箱件人收到的加密文件将在邮件发送过程中自动解密，以明文的形式收取文件。图4.2.5：邮件自动密策略-10

电子文档安全管理产品

技术白皮书4.3密级管理管理员可以制定用户的密级，根据中华人民共和国《保密法》规定，密级分为“绝“机密足更多企业的使用要求们《保密法的础上增加“部等。电子文档的密级也分为“绝密为了减少用户使用产品的复杂度品中不进行对电子文档密级管理是过什么密级的用户可以创建等同用户密级一下的电子文档，这样的解决方案满足用户的要求。图4.2密级管理4.4策略授权加密通过管理员安全策略制定安装了电子文档安全管理系统的客户端用户在使用可信任应用程序创建文档时系统将自动加密文档在加密过程中不会生成临时文件会影响办公软件的正常使用会改变用户正常使用软件行为方式。加密后的文档据用户及文档密级策略进行企业内部部门及人员浏览权限安全保护同时企业内部人员有意或无意泄密文档或者文档未经授权被拷贝流转到外网计算机上文档以密文存储均不能正常打开电子文档安全系统支持所有文件类型的加密，并且可进行灵活管理。-11

电子文档安全管理产品

技术白皮书图4.2策略授权加密4.5主动授权文档授文档授权也可以理解为主动加密用户可以自主进行对加密或者未加密文档的内网授权操作。用户可以对文档进行下列授权：1）文档操方式，包括是否只读、是否可编辑、是否禁止打印。-12

电子文档安全管理产品

技术白皮书2）被授权对文件打开次数。如果被授权文档超过打开次数，将被自动删除，并无法恢复。3）文件生期。如果超过生命期，被授权文档将自动删除。用户根据自身密级制定授权文件的密级过授权对象树状菜单选择被授权对象被授权用户的密级一定高于授权文件密级最后通过在线授权方式进行授权被授权的原始文件不进行任何更改系统会从新生成一个授权文件被授权的用户可以通过统一的用户系统平台进行授权文件的下载管理。图4.3.1：文授权（主动加密）加密文外发（离线授）加密文档外发是企业内网中加密或授权的电子文档，需要在不泄密前提下，正常在企业内外网使用取文档的用户需要进行密码验证和证书的双重认证才能具有对文档的浏览权限外发的加密文档的创建是不破坏原文档同时不能让企业内网以注册电子文档安全管理系统的计算机使用大程度的确保了外发文档不泄密的安全。-13

电子文档安全管理产品用户可以对外发文档进行下列授权：

技术白皮书1）文档操方式，只读、可编辑、禁止打印。2）被授权对文件打开次数。如果被授权文档超过打开次数，将被自动删除。一旦删除将不可恢复。3）文件生期。如果超过生命期，被授权文档将自动删除。一旦删除将不可恢复。4）外发出授权文件，用户不能将文件另存为、不能复制文件内容。图4.3.2：加文档外发4.6文件集中安全保护如果企业内部使用文件服务器集中管理

电子文档，如FTP服务器，SharePoint服务器、各种版本控制服务器等。电子文档以明文的方式储存在文件服务器中用户通过身份认证后在从服务器下载到自己的电脑过程时电子文档安全管理系统会自动将下载文件进行透明加密用户使用文档完毕后上传到文件服务器的过程中电子文档安全管理系统会将加密文档进行解密确保文-14

电子文档安全管理产品

技术白皮书件服务器文档以明文储存个安全保护过程不会破坏用户以往的正常使用软件习惯。图：件集中安全保护4.7全程操作审计电子文档安全管理系统具有强大的审计功能档安全管理员通过对文档授权审计授权访问审计文操作审计文档打印审计档管理用户登录审计、权限申请审计，全方位的对企业内部加密文档进行审计。文档授审计文档授权审计是对企业内网所有终端用户的文档授权行为进行即时记录档安全管理员可以详细的浏览到企业内部的每一个文件授权的名称、文档作者、授权时间、授权权限、授权方式和认证方式。通过快速查找方式，可以精准的确定文档安全管理员想要查看的文档名和授权者的文档授权信息。-15

电子文档安全管理产品授权访审计

技术白皮书授权访问审计是对企业内网终端用户对授权文档访问行为的即时记录档安全管理员可以详细的浏览到企业内部每一个授权文件的用户操作行为括授权文件名、使用者、授权方式、认证方式、打开方式、对文件操作结果、操作时间。文档操审计文档操作审计是对企业内部所有终端上的文件操作进行准确和严密记录过这样严密的监控和文档操作行为记录保了在发生文档安全事故后的责任追踪文档管理员可以审计到的条目包括用户名使用计算机名称使用应用程序名称、文件路径及名称、对文件的操作方式、操作时间。同时管理员还可以根据用户名、计算机名、进程名、文件名进行快速的查找，和便捷的浏览。文档打审计电子文档的打印安全防护是非常重要的为文档内容不仅使用电子文档可以被泄露同样传统的纸质文档也可以泄露公司机密那么本产品除了对文档打印进行了严格的授权控制还进行了对打印文档行为的监控与审计管理员可以审计到打印文件的用户名、文件所在计算机名、计算机IP地址、打印结果、打印页数打印时间和打印文档类型通过这样的严格审计如果发生了纸质文档泄密问题，可以准确的，即时的，方便的进行责任追踪。文档管用户登录审计文档管理用户登录审计作用是对企业内部人员登录电子文档安全管理系统客户端的登录注销更改登录密码等行为详细记录管理员可以清晰的看到用户名、登录的终端、登录时间和登录信息。-16

电子文档安全管理产品权限申请审计

技术白皮书权限申请审计是详细记录了企业内部人员申请权限的行为理员可以审计到文档管理用户名、申请权限类型、提交申请的计算机和交申请的时间。4.8审批管理用户申权限审批注册电子文档安全管理平台的用户可以申请加密权限文档授权权限文档解密权限修改密码权限离线使用权限管理员可以设置需要权限审批的用户密级。例如权限审批密级是“秘密那么高于“秘密”这个密级的用户将进行审批，等于和低于“秘密”密级，系统将默认申请成功，不需要管理员进行审批确认工作。图4.6.1：用户申请限审批文档解权限审批客户端用户登录电子文档安全管理系统后申请解密权限请成功后，管理员可以通过Web平台查看到申请详细信息。管理员确认并通过该用户申请-17

电子文档安全管理产品

技术白皮书后该用户具有解密权利同时此次被授权行为会被系统记录下来进行管理员审批行为的审计。4.9用户管理用户管理符合企业组织结构模型理员可以按照公司部门结构进行对用户的组织。使得用户管理更加人性化。同时支持量添加组织结构和用户，极大减轻了添加用户的工作量。4.10文档备份与归档为了帮助用户进行文档管理和文档丢失、损坏问题，系统提供了文档备份、归档、恢复功能。解决了用户这方面的后顾之忧。文档备份支持增量备份、差异备份和策略备份增量备份即系统可以把用户即将备份的文件与原有备份文件进行检索只对原有备份中没有的电子文档进行备份差异备份即系统可以把用户即将备份的文件与原有备份文件按照文件内容进行比对果文件内容有变化，则进行备份。策略备份，即用户可以配置备份的策略，如备份的时期时间、备份的文件范围备份路径等策略配置完毕后系统会自动根据用户备份策略完成备份工作。4.11水印信息跟踪技术管理员可通过配置登陆策略参数控制用户打印出文件的水印显示信息最大程度地减弱了关键信息泄密的可能性。4.12软件系统安全保护技术软件自身设有保护机制户无法自行删除注册探头或者通过恶意工具破坏软件进程。-18

电子文档安全管理产品4.13支持所有操作系统

技术白皮书电子文档安全管理系统支MicrosoftWindows，MicrosoftWindows2003，Vista和最新的MicrosoftWindows。4.14与北信源内网安全系统完美结合北信源公司多年的内网安全研发经验积累得内网安全和文档安全的一体化部署安全性，稳定性得到了更大的提高。文档安全管理系统既可以单独部署，又可以和内网安全功能同时部署产品可以按用户实际需要按功能模块进行自由订制。第五章关键技5.1驱动层透明加密透明加密主要分为两大类，即应用层透明加密技术和驱动层透明加密技术。应用层透明加密技术是Windows操作系统提供了一种叫Hook的消息机制，允许应用程序将自己安装第一个程序到其它的程序中用来监视某个消息当消息到达后，先处理安装的子程序，然后在处理源程序。这就是钩子的最大作用。对于应用层透明加密是当保存文件时内存的明文加密后再写入到文件中。解密过程是在打开文件时，将文件密文转换后再让程序读入到内存中。驱动层透明加密技术是基于Windows的文件系统驱动技术在Windows的内核层。驱动加密技术与应用程序无关，当应用程序对指定文件进行操作时，系统会自动加密。由于加密过程工作保护的内核层，运行速度更快，加解密操作更加稳定。-19