丰收天下数据防泄密系统方案

1、技术白皮书丰收天下数据防泄密系统北京丰收天下数码信息技术有限公司版 权 声 明北京丰收天下数码信息技术有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外,其著作权或其他相关权利均属于北京丰收天下数码信息技术有限公司。未经北京丰收天下数码信息技术有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。免责条款本文档依据现有信息制作，其内容如有更改，恕不另行通知。北京丰收天下数码信息技术有限公司在编写该文档的时候已尽最

2、大努力保证其内容准确可靠，但北京丰收天下数码信息技术有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。信息反馈您可以访问丰收天下数码网站，获得最新技术和产品信息： 目 录第1章：概述41.1关于丰收天下加密软件41.2数据防泄密4第2章：产品技术和特点52.1智能透明加密52.2分权限多策略管理62.3多种解密方式灵活使用72.4简易便捷的管理部署92.5多重主动防御泄密102.6软件使用审计102.7多重日志审计112.8全程监控与远程管理112.9高效稳定处理性能6第3章：部署结构113.1典型部署113.1异地部署12第4章：行

3、业解决方案134.1行业应用134.2系统支持类型14第5章: 综述17第1章：概述1.1关于丰收天下加密软件丰收天下数据防泄密系统（丰收天下加密软件，以下简称丰收天下加密软件）是丰收天下数码有限公司自行研发的数据防泄密产品。丰收天下数据防泄密系统围绕深层加密这个核心，通过各种对防泄密的深层研究，从外围到深层不断拓展研究，截获，防御各种泄密的方式。丰收天下坚信，不了解防泄密的最新发展，就谈不上对防泄密的有效防范。为了把握数据防泄密的动态发展，深化对企业数据防泄密的本质分析，预防泄密者的最新的手段，丰收天下数码建立了数据防泄密研究小组，通过持续不断地研究、实践和积累，逐渐建立起一系列数据、信息和

4、知识库作为公司产品、解决方案和专业服务的技术支撑。丰收天下数码在防泄密技术领域的成绩受到了广大客户的认可，得到业界的一致好评，为船舶协会为推介产品。丰收天下数据防泄密系统强大的功能、简单的操作、友好的用户界面、全面的技术支持解除了您的后顾之忧，是您值得信赖的数据安全产品。1.2数据防泄密防泄密行为包括哪些？什么样的行为可以称为防泄密行为？我们来看对防泄密行为的标准定义：非法人员是指在非授权的情况下，试图获取企业重要信息、处理信息或散布企业内部机密，达到某种目的的行为。在当今信息社会中，商业间谍、黑客、不良员工对企业的信息安全形成了巨大的威胁。而网络的普及和USB接口的大量使用给企业获取和交换信

5、息带来巨大方便的同时，也给这些威胁大开方便之门。如何来管理这些情况呢？大多数企业是采用拆除光驱软驱，封掉USB接口。限制上网等方法来尽可能的减少信息交换，以达到信息保密的目的。或者安装一些监控软件。监控员工的日常工作，使其不敢轻举妄动。但这些方法都严重影响工作的方便性，并容易引起员工的抵触情绪，甚至可能会带来法律方面的问题。并且现在大量事实证明这种方法效果不是很好，重要的文件往往依旧会泄漏。2003 年，美国的执法机构FBI 和CSI对数百家企业进行了调查。该调查结果认为绝大多数泄密事件是由内部人员所为，或者由内外勾结造成的。IDC 的报告也得出了类似的结论：70%的安全损失是由内部造成的。这

6、些都印证了中国的一句古话 “家贼难防”。由于内部人员熟悉文件的存放，还可以接触到密级高、范围广的文件，所以一旦发生内部人员故意泄密事件，其危害程度是大大超过外部人员的盗取（例如黑客攻击行为）。可见，从数据保密角度来讲要内外兼防、甚至要防内终于防外。第2章：产品技术和特点2.1智能透明加密丰收天下数据防泄密系统采用透明加密技术。所谓透明，是指对使用者来说是未知的。当使用者在打开或编辑指定文件时，系统将自动对未加密的文件进行加密，对已加密的文件自动解密。文件在硬盘上是密文，在内存中是明文。一旦离开使用环境，由于应用程序无法得到自动解密的服务而无法打开，从而起来保护文件内容的效果。所谓智能，是指丰收

7、天下数据防泄密系统并不依赖可执行程序的名称来确定是否是受控程序，而是有一套专用智能识别算法。智能识别技术，无论怎么改变程序的名称，甚至用UPX等软件压缩可执行程序来改变MD5值，依旧不会逃过丰收天下防泄密软件的监测。只要文件的内容是需要受控的话，无论将其保存成为什么扩展名，都将被自动加密。其加密的原理如下图所示：丰收天下防泄密系统加密原理国内加密软件的加密算法国内加密软件常用的加密算法有三种，IDEA 算法、RSA算法、AES算法，加密强度来讲，AES算法加密强度最高。 IDEA算法IDEA算法属于对称加密算法， 对称加密算法中，数据加密和解密采用的都是同一个密钥，因而其安全性依赖于所持有密钥

8、的安全性。 目前最常见的对称加密算法为数据加密标准DES算法,但传统的DES算法由于只有56位的密钥，因此已经不适应当今分布式开放网络对数据加密安全性的要求。欧洲数据加密标准IDEA等，目前加密强度最高的对称加密算法是128位的DES加密算法。对称加密算法的主要优点是加密和解密速度快，加密效率高，且算法公开. 缺点是实现密钥的秘密分发困难，在大量用户的情况下密钥管理复杂，而且无法完成身份认证等功能，不便于应用在网络开放的环境中。 由于加密算法是公开的，所以被破解的风险比较高。对称加密算法的特点是算法公开、计算量小、加密速度快、加密效率高、被破解风险高。 RSA算法RSA算法是非对称加密算法，非

9、对称加密算法的保密性比较好，它消除了最终用户交换密钥的需要，但加密和解密花费时间长、速度慢，它不适合于对文件加密而只适用于对少量数据进行加密。 对称加密算法、非对称加密算法和不可逆加密算法可以分别应用于数据加密、身份认证和数据安全传输。 RSA算法是建立在大数分解和素数检测的理论基础上。 RAS密钥的产生过程： 独立地选取两个互异的大素数p和q（保密）。 计算npq（公开），则(n)（p1）*（q1）(保密) 随机选取整数e，使得1e(n)并且gcd(n),e)1（公开） 计算d，d=e-1mod(n)保密。 RAS私有密钥由d，n，公开密钥由e，n组成 RAS的加密/解密过程： 首先把要求加

10、密的明文信息M数字化，分块； 然后，加密过程：C=Me(mod n) 解密过程：M=Cd(mod n) 非对称密钥加密体制的优点与缺点： 解决了密钥管理问题，通过特有的密钥发放体制，使得当用户数大幅度增加时，密钥也不会向外扩散；由于密钥已事先分配，不需要在通信过程中传输密钥，安全性大大提高；具有很高的加密强度。 与对称加密体制相比，非对称加密体制的加密、解密的速度较慢、被破解风险较小。AES加密算法AES加密算法属于不可逆加密算法，不可逆加密算法的特征是加密过程中不需要使用密钥，输入明文后由系统直接经过加密算法处理成密文，这种加密后的数据是无法被解密的，只有重新输入明文，并再次经过同样不可逆的

11、加密算法处理，得到相同的加密密文并被系统重新识别后，才能真正解密。 1997年4月15日,美国国家标准和技术研究所NIST发起了征集AES算法的活动,并成立了专门的AES工作组,目的是为了确定一个非保密的,公开披露的,全球免费使用的分组密码算,法用于保护下一世纪政府的敏感信息,并希望成为秘密和公开部门的数据加密标准.1997年9月12日,在联邦登记处公布了征集AES候选算法的通告.AES的基本要求是比三重DES快而且至少和三重DES一样安全,分组长度128比特,密钥长度为128/192/256比特.1998年8月20日,NIST召开了第一次候选大会,并公布了15个候选算法.1999年3月22日

12、举行了第二次AES候选会议,从中选出5个.AES将成为新的公开的联邦信息处理标准(FIPS-Federal Information Processing Standard),用于美国政府组织保护敏感信息的一种特殊的加密算法.美国国家标准技术研究所(NIST)预测AES会被广泛地应用于组织,学院及个人.入选AES的五种算法是MARS,RC6,Serpent,Twofish,Rijndael.2000年10月2日,美国商务部部长Norman Y. Mineta宣布,经过三年来世界著名密码专家之间的竞争,Rijndael数据加密算法最终获胜. 为此而在全球范围内角逐了数年的激烈竞争宣告结束.这一新加

13、密标准的问世将取代DES、RSA数据加密标准,成为21世纪保护国家敏感信息的高级算法。 与DES、RSA加密算法相比，AES加密算法的优点为加解密的速度更快、加密强度最高、且不占用硬件资源。 丰收天下数据防泄密系统采用256位AES智能加密算法和加密验证机制，确保加密文件无从破解。在国内应用广泛。2.2高效稳定处理性能丰收天下数据防泄密系统采用256位AES加密算法和加密验证机制，确保加密文件无从破解。AES算法加密速度可达到几百兆每秒，高于硬盘读写速度。从理论上说，读文件的解密操作与写文件的加密操作是一个流水线的过程，整个过程只增加0.38%的开销，用户主观上感觉不到延迟。 对于网络异常断线

14、，机器异常断电等突发异常，丰收天下数据防泄密系统可确保文档不被破坏。网络断线时，采用客户端内存数据验证，断线时间可以设定，能够适应任何复杂的网络环境。2.3分权限多策略管理l 丰收天下数据防泄密系统率引入了“密级”的概念，根据保密制度和策略，通过部门、密级、文档类型的相关联，细化到各部门加密的不同文件类型，划分“公开”、“普通”、“私密”、“保密”、“机密”、“绝密”六个等级。这样，只能是具有相应访问权限的客户端才能访问该部门的某种类型文件，每次访问时间都将以日志形式保存。l 客户端划分“联机客户端”、“单机客户端”、“老板客户端”。联机客户端就是部署在网络内部的，与服务器连接，获得密钥以加解

15、密数据。单机客户端是通过控制台生成，包含加密策略的，可以不连接服务器而实行加解密。老板客户端是比较特殊的客户端，在这台客户机上，可以查看加密文件，而不需要加密本机的文件，通过老板客户端打开的文件就成为未加密状态。l 对于联机客户端设定“离线”策略，用以管理出差或其他需要离开网络的机器，使其在脱离公司网络的情况下依然可以维持原先策略，自动加解密。l 需要外发给客户的文件可以采用单机客户端策略，设置好加密类型之后安装到客户的电脑上，以此保持外发文件的加密状态，防止客户泄密。l 对于加密后的文件，有时候不希望所有拥有该类权限的人查看，或者希望一些本没有该类权限的人查看时，可以用到文件授权的功能。可以

16、对某个组授权，也可以某个人授权。2.4多种解密方式灵活使用客户端透明加密或控制台手动加密之后，对于种种需要解密的情况，丰收天下数据防泄密系统制定了多种灵活的策略。1. 申请解密加密的文件，在右击菜单会出现申请解密的选项。可以给管理员发送解密申请消息，管理员视具体情况决定是否进行解密。这里有两种方式：顺序审批和共同审批。顺序审批就是只要某一个管理员同意即可进行文件解密；共同审批就是需要所有管理员都同意才能解密。2. 邮件解密邮件解密不需要申请审批，成功发送出去就会自动解密。这里有三种控制方式：只验证发件人，只验证收件人和同时验证发件人收件人。 只验证发件人，是指只要发件人在授权列表中，就可以发给

17、任何人以进行解密。 只验证收件人，是指这样内部任何人发往授权列表中的收件人，文件将解密。 更为严格的方式就是同时验证收发者，两者都在授权列表才能成功发送解密。另外还可以设置备份抄送邮箱，这样就能了解有哪些文件发送出去。2.5简易便捷的管理部署对于使用安全产品的用户而言，简单管理的第一步就是简单的部署方式，丰收天下数据防泄密加密软件遵循了“简洁”的部署原则。基于这个原则，丰收天下数据防泄密加密软件可以很容易的接入到用户计算机当中，并且不会对网络拓扑、应用服务、运营性能造成任何影响。用户无需改变操作习惯，只需将客户端透明接入到网络中，便可对数据文件进行加密。2.6多重主动防御泄密丰收天下数码数据防

18、泄密加密软件能够实现针对光驱、软驱、USB设备进行禁用，以避免员工使用与工作不相关的计算机设备。还实现了只禁用 USB 存储设备，而不禁用 USB 鼠标、键盘等非存储设备的智能识别功能，防止通过这些方式来实现文件防泄密。防止各种移动存储设备、网络、电子邮件、即时通讯工具（MSN、QQ）等方式泄密。2.7软件使用审计丰收天下数码数据防泄密加密软件能够实现针对指定的程序进行锁定，禁止非授权人员使用指定的程序。比如游戏、播放器、QQ、MSN等，能够规范员工使用程序。2.8多重日志审计1. 操作日志审计：能够记录所有文件的解密操作，将记录保存到服务器。2. 文件审计：监控文件读写，创建、删除、重命名，

19、将记录保存到服务器3. 打印审计：记录所有打印文档的信息，包括打印的时间，打印的计算机，打印文档名称，打印页数等等。2.9全程监控与远程管理实时监视员工计算机，并能对其进行控制。时刻监视着局域网内的一举一动，任何对一旦有信息泄漏等不法行为的发生，可以迅速取证、掌握失密内容和泄密途径，追查当事人的责任，防止泄密影响扩大化。管理员根据自己的权限，可以对所管辖的部门客户端机器的文件进行远程备份，远程手工加解密客户端文件。第3章：部署结构3.1典型部署如下图所示：3.1异地部署丰收天下数据防泄密系统提供3种异地部署方案：1. VPN方式对于分公司有规模较大的网络，采用VPN的部署方式，将各个分公司与总

20、部组成一个虚拟局域网。软件服务端在总部，对本部及分公司进行加解密控制。2. 同号加密狗方式采用同号加密狗的方式，总公司制定好策略，用加密狗的方式下发到分公司的服务端。总部与分公司各自控制加解密，各分公司可自行制定加密策略。3. 单机客户端对于公司在外规模不大的办事处，可简单的采用单机客户端的方式。总部制定好加密策略，直接生成单机客户端，下发到各办事处，安装到每台机器上。第4章：行业解决方案 4.1行业应用应用行业丰收天下数据防泄密加密软件，能够适用于各个有防泄密需求的行业，以下列出一些典型的行业解决方案。行业类型应用软件类型备注办公行业主要使用的是Word、Excel、ppt、Access、v

21、iso、WPS，以及OA、行业ERP等针对于OA和行业ERP系统需要提供具体的厂家产品型号制造行业主要应用OFFICE、AutoCAD、ProE、CAXA、UG、PROTEL等办公软件以及二维三维设计工具如果有未列出的软件需要提供软件版本IT行业主要应用OFFICE系列，编程VB、VC、VS.Net、Java、Delphi、PB、Asp等如果有未列出的软件需要提供软件版本多媒体行业主要是MP3、WAV、RealPalyer、MPG、Flash、歌库文件等相关视频音频文件如果有未列出的软件需要提供软件版本能源行业主要是OFFICE、PROTEL、CAD二维设计等相关工具如果有未列出的软件需要提供

22、软件版本其他行业行业相关配套软件需要提供程序版本4.2系统支持类型应用程序版本二维 CADAutoCADAutoCAD R14 、AutoCAD 2000 、AutoCAD 2002 、AutoCAD 2004 、AutoCAD 2005 、AutoCAD 2006、AutoCAD 2007中英文版本、包括AIP10.0和AIP11.0等基于 AutoCAD 内核二次研发的天河THPCCAD2002 、 THPCCAD2004 等、Genius、宇思cad等、机械工程师cad2003和2005、艾克斯特设计之星AutoDesk MechanicalMechanical 2005、Mechani

23、cal 2005等CAXACAXA V2 、CAXA XPr1.1、CAXA XPr2.2、CAXA XP 2004 、CAXA 2005（包含企业版）开目 KMCAD开目 KMCAD3.1 、KMCAD3.8 、KMCAD2003 、KMCAD2005、开目打印中心、开目转图程序等清软英泰 MDSMDS2002 等版本等天喻CADINTECAD 2000等中望 CAD中望 CAD2005 等浙江大天 CAD大天 GS-ZDDS 7.0和8.0等大恒 CAD大恒 CAD6.0 及其以上版本北京凯思博宏 CADPICAD2004、2005 等版本三维 CADPro/EPro/E 2000i2、P

24、ro/E 2001、Pro/E Wildfire 1.0、Pro/E Wildfire 2.0、Pro/E Wildfire 3.0 等Solid WorksSolid Works 2004、20005、2006sp0等版本Solid EdgeV16、V17 等版本CATIACATIA V5R14、V5R15、V5R16等UGUG NX1.0、UG NX 2.0、UG NX 3.0 等I-DEASI-deas 10.0、I-deas 11.0等AutoDesk InventorInventor Professional 8.0、 Inventor Professional 9.0、 Inven

25、tor Professional 11.0等CAXACAXA 实体设计 XP 等版本CAM/CAE 软件MasterCAMMasterCAM V9.xCimatronCimatron it12、Cimatron 5.0、Cimatron E6.0等AnsysAnsys7.0、Ansys8.0、Ansys9.0、Ansys10.0及以上版本GTIGTpost、Muffler、VTdesign、Discretizer、GTise等Altair HyperWorksAltair HyperWorks8.0等Fluent（流体分析）Fluent 6.3.26等TecplotTecplot 10等Aba

26、qus CAEAbaqus CAE等GambitGambit 2.2.30等SysnoiseSysnoise等MSC.PatranMSC.Patran 2005 r3等MSC.NastranMSC.Nastran 2005.5.0MSC.FldsMSC.Flds 2005 r3逆向设计软件系列ImagewareImageware系列SurfacerSurfacer系列Gemagic StudioGemagic Studio系列VPstudioVPstudio系列电路设计类ProtelProtel 99se 、 Protel 2004MentorMentor2001 、 Mentor2004 中

27、英文版图像处理类PhotoshopPhotoshop V7.0 及其以上版本CorelDrawCorelDraw V8.0 及其以上版本AcdSeeAcdSee 8.0等ImageReadyImageReady系列Lscape室内效果渲染软件Lscape系列IllustratorIllustrator系列Ciema 4DCiema 4D软件系列3Dmax3Dmax V6 、 V7 、 V8等CAPP软件开目 CAPPKMCAPP 6.0 、 KMCAPP 2004大恒CAPP大恒CAPP系列CAXA 工艺图表CAXA V2 、 CAXA XP 2004 、 CAXA 2005 工艺图表PDM系列法国达索公司Smarteam开目 PDMKMPDM3.xPTC公司Windchill大恒PDM大恒PDM系统艾克斯特 PDMXTPDMERP系统易飞易飞ERP系列金蝶金蝶K3 ERP系统浏览器类Voloview艾克斯特开发的Autodesk DWF ViewerAutodesk DWF Viewer(Autocad)AutovueAutovue Professional V17.0、V18.0及19.0等CadthumbCadthumbPTCProductV