??| 天銳綠盾數(shù)據(jù)防泄密系統(tǒng)產(chǎn)品介紹說明 | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
| 發(fā)布時間：2018-05-25 02:15:55???已被 1044 人閱讀????分享到： | ||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
1. 需求背景當前，數(shù)據(jù)安全是我們關(guān)心的重要話題。企業(yè)大量機密數(shù)據(jù)以電子文檔的形式存在，其傳播的方式多樣，如何才能確保文檔不泄密？特別是在開放網(wǎng)絡(luò)環(huán)境下，員工通過網(wǎng)絡(luò)泄密重要文件，以及黑客入侵竊取機密數(shù)據(jù)等，造成客戶檔案、財務(wù)報表、技術(shù)圖紙以及其他敏感文檔被非法查看和分發(fā)，給企業(yè)業(yè)務(wù)及聲譽帶來重大的損失。2. 需求分析從總體上看，基本上可以分為來自內(nèi)部和外部兩大類。細分起來，應(yīng)該有以下七種情況：1. 內(nèi)部人員離職拷貝帶走資料泄密：這類情況發(fā)生概率最高。據(jù)調(diào)查，中國企業(yè)員工離職拷貝資料達到70%以上。在離職的時候，研發(fā)人員帶走研發(fā)成果，銷售人員帶走企業(yè)客戶資料，甚至是財務(wù)人員也會把企業(yè)的核心財務(wù)數(shù)據(jù)拷貝帶走。 2. 內(nèi)部人員無意泄密和惡意泄密：企業(yè)內(nèi)部人員在上網(wǎng)時候不小心中了病毒或木馬，電腦上存儲的重要資料被流失的情況也非常多。由于病毒和木馬泛濫，使得企業(yè)泄密的風險越來越大。而部分員工明知是企業(yè)機密信息，還通過QQ、郵件、博客或者是其他網(wǎng)絡(luò)形式，把信息擴散到企業(yè)外部，這種有針對性的惡意泄密行為，將給企業(yè)造成極大的經(jīng)濟與聲譽損失。 3. 同行競爭對手竊密：競爭對手采用收買方式，買通企業(yè)內(nèi)部人員，讓內(nèi)部人員把重要信息發(fā)送競爭方，從而竊取機密的情況也非常多。這種方式直接損害了企業(yè)的核心資產(chǎn)，給企業(yè)帶來致命的打擊。 4. 內(nèi)部文件權(quán)限失控泄密：在公司內(nèi)部，往往機密信息會分為秘密、機密和絕密等不同的涉密等級。一般來說，根據(jù)人員在公司中的地位和部門的不同，其所接觸和知悉的信息也是不同。然而，當前多數(shù)公司的涉密文檔管理缺乏嚴格的權(quán)限劃分，導致不具備相應(yīng)密級的人員獲知了高密級信息。 5. 存儲設(shè)備丟失和維修泄密：移動存儲設(shè)備例如筆記本電腦、移動硬盤、手機存儲卡、數(shù)碼照相/攝錄機等，一旦遺失、維修或者報廢后，其存儲的數(shù)據(jù)往往暴露無遺。隨著移動存儲設(shè)備的廣泛使用，家庭辦公興起，出差人員的大量事務(wù)處理等等都會不可避免地使用移動存儲設(shè)備。因此，移動存儲設(shè)備丟失和維修導致泄密也是當前泄密事件發(fā)生的主要原因之一。 6. 對外信息發(fā)布失控泄密：在兩個或者多個合作公司之間，由于信息交互的頻繁發(fā)生，涉密信息也可能泄露，導致合作方不具備權(quán)限的人員獲得涉密信息。甚至是涉密信息流至處于競爭關(guān)系的第三方。因此，對于往外部發(fā)送的涉密信息，必須加以管控，防止外發(fā)信息失控而導致泄密。 綜上所述，解決這些問題的關(guān)鍵就是使用專業(yè)的加密軟件對數(shù)據(jù)本身進行加密，這樣即使數(shù)據(jù)不幸泄露或丟失也很難被第三者破譯。 3. 我們的建設(shè)目標1) 在不改變員工任何操作習慣、不改變硬件環(huán)境和網(wǎng)絡(luò)環(huán)境、不降低辦公效率，員工感覺不到數(shù)據(jù)被加密的存在，實現(xiàn)了公司數(shù)據(jù)防泄密管理；2) 員工不管通過QQ、mail、U盤等各種方式，將公司內(nèi)部重要文件發(fā)送出去，數(shù)據(jù)均是加密狀態(tài)； 3) 存儲著公司重要數(shù)據(jù)的U盤、光盤不慎丟失后，沒有在公司的授權(quán)環(huán)境下打開均是加密狀態(tài)； 4) 員工出差辦公不慎將筆記本丟失，無公司授予的合法口令，其他人無法閱讀筆記本內(nèi)任何數(shù)據(jù)； 5) 未經(jīng)審批，不管員工以任何方式，試圖將各種新款設(shè)計圖紙、財務(wù)報表等重要資料泄密到競爭對手公司，都是徒勞； 6) 外發(fā)給客戶的重要文件，可以根據(jù)公司的要求任意設(shè)定該文件給誰看，什么地方看、可以看幾次、是否可以打印、截屏等權(quán)限任意控制； 7) 員工攜帶公司的文件回家加班，只對文件本身進行安全保護，對個人電腦文件不做任何的影響； 8) 不改變現(xiàn)有應(yīng)用服務(wù)器結(jié)構(gòu)、不在應(yīng)用服務(wù)器上安裝任何插件，終端加密文件上傳到服務(wù)器自動解密成明文保存，下載到本地電腦自動加密； 9) 公司內(nèi)部最新的市場運營方案，總是能保障公司內(nèi)部相關(guān)人員閱讀，其他人員無權(quán)訪問該方案； 10) 在保障移動辦公給公司帶來的方便快捷的辦公效率的同時，防止內(nèi)部重要數(shù)據(jù)泄密； 11) 文件在新建或者編輯后會自動備份并上傳到服務(wù)器進行保存，防止誤操作或惡意刪除帶來的文件丟失，特別是員工離職格式化硬盤導致的文件永久丟失。 4. 解決方案天銳綠盾充分考慮重要數(shù)據(jù)面臨的主動和被動泄密風險，從數(shù)據(jù)的創(chuàng)建、修改、傳輸、歸檔、分發(fā)、銷毀等全過程去進行控制，任何未經(jīng)授權(quán)發(fā)送或者獲取的數(shù)據(jù)都會處于被控制或加密狀態(tài)。加強外發(fā)數(shù)據(jù)及終端離線的管理，對正常授權(quán)外帶范圍內(nèi)的數(shù)據(jù)流程進行規(guī)范。設(shè)計圖紙、文檔等成果數(shù)據(jù)在客戶和合作商流轉(zhuǎn)過程中實現(xiàn)有效的訪問權(quán)限控制，并杜絕惡意的成果剽竊或二次泄密行為。  4.1.實現(xiàn)核心部門文檔數(shù)據(jù)強制透明加密保護對于企業(yè)內(nèi)部研發(fā)、設(shè)計等核心數(shù)據(jù)創(chuàng)造部門來說，其內(nèi)部所生產(chǎn)創(chuàng)造的數(shù)據(jù)均為企業(yè)核心數(shù)據(jù)。因此，需要確保這些核心數(shù)據(jù)隨時處于加密保護狀態(tài)。² 解決方案 1) 強制加密：通過文件過濾驅(qū)動透明加解密技術(shù)，對核心部門文檔進行強制加密處理，從文檔創(chuàng)建開始即可自動加密保護。 2) 透明使用：核心數(shù)據(jù)在加密前后對于數(shù)據(jù)合法使用者無任何差異，不增加用戶負擔、不改變?nèi)魏喂ぷ髁鞒碳笆褂昧晳T。文件的保存加密、打開解密完全由后臺加解密驅(qū)動內(nèi)核自動完成，對用戶而言完全透明、無感知。  4.2.解決非核心部門加密文檔安全傳輸與使用半透明加密其實就類似一個閱讀加密文件的功能，本地自己生成的文件都不加密，而能打開公司內(nèi)部的加密文件，并確保這些加密文件編輯保存還是處于加密狀態(tài)。簡單來說就是，自己創(chuàng)建的文件都不加密，明文的文件編輯也不加密，但是別人發(fā)的加密文件，你可以打開，且文件始終保持加密狀態(tài)。² 應(yīng)用場景 對于企業(yè)支撐部門或管理部門來說，他們往往不是數(shù)據(jù)的生產(chǎn)者，但由于業(yè)務(wù)需要，會是數(shù)據(jù)的使用者。因此，不需要加密電腦上的文件，只希望能夠打開加密文件就可以，這個時候就可以采用這種加密模式。 4.3.文檔閱讀權(quán)限管理對于一家企業(yè)來說，不同的數(shù)據(jù)重要程度不一樣，對于擁有核心數(shù)據(jù)的人員，其數(shù)據(jù)必須增強保密強度，對于核心數(shù)據(jù)也要加強保護。4.3.1. 密級管理管理員根據(jù)企業(yè)內(nèi)部的安全需求，給終端用戶設(shè)置相應(yīng)的密級級別，并強制低密級終端用戶不能訪問高密級文檔，用以保護企業(yè)核心人員的文件，從而有效防止內(nèi)部重要文檔被越權(quán)查看。另外，為了方便內(nèi)部文檔交互使用，具備密級轉(zhuǎn)換權(quán)限的用戶，能夠進行文檔密級轉(zhuǎn)換，且只能將文檔轉(zhuǎn)換成比自己低的密級。普通用戶需要查看高于自己密級的文檔或者需要提高文檔密級，以增加文件瀏覽的人員限制時，可通過走申請文檔密級轉(zhuǎn)換流程，待審批通過后下載查看。4.3.2. 內(nèi)部流轉(zhuǎn)文件由于企業(yè)內(nèi)部機密文件（比如：客戶資料、財務(wù)數(shù)據(jù)等）時效性、機密性要求高，通常會因?qū)嶋H業(yè)務(wù)需要涉及到不同部門的相關(guān)人員，或者相關(guān)領(lǐng)導查閱，需要增加保密強度。l 作者在企業(yè)內(nèi)部創(chuàng)建了機密文件（如：客戶資料、財務(wù)信息等）后，根據(jù)實際業(yè)務(wù)的需要，對需要訪問的不同員工設(shè)定不同的訪問權(quán)限（即密級設(shè)定）； l 被授權(quán)的員工獲得該機密文件后，打開時必須輸入作者賦予的正確口令，才能訪問該機密文件； l 機密文件的訪問權(quán)限控制包括：閱讀次數(shù)、是否可打印、是否可截屏、是否可編輯、閱讀時間、禁止刪除、過期自毀等。 4.3.3. 部門閱讀權(quán)限隔離可以根據(jù)需要，設(shè)置不同部門、不同操作員的文檔閱讀權(quán)限，即授權(quán)指定部門或用戶只能訪問指定部門的文檔，其他文檔，即使獲取到，也無法打開，有效避免因誤發(fā)文檔導致泄密的情況發(fā)生。4.4.自定義各種應(yīng)用程序產(chǎn)生的文件加密天銳綠盾“自定義添加受控應(yīng)用程序”，理論上滿足對所有的應(yīng)用程序產(chǎn)生的文件加密。不限于office格式、PDF格式、文本格式、工程制圖、各類圖片、軟件代碼等格式，無需二次開發(fā)。同時對這些自定義的應(yīng)用軟件生成的所有文件，及衍生的各種文件都是自動進行加密。即使修改應(yīng)用程序的名稱或者修改生成文件的擴展名，文件內(nèi)容均處于加密狀態(tài)。再者，解決用戶擔心購買了天銳綠盾后，對后續(xù)增加新的應(yīng)用程序，文件無法加密的問題。4.5.全盤加密歷史文檔在系統(tǒng)部署上線時，對企業(yè)所有電腦現(xiàn)有需要加密保護的文件，可通過管理員統(tǒng)一下發(fā)全盤加密策略，對終端上的文件進行全盤加密。在卸載天銳綠盾終端程序之前需要先把終端電腦上的加密文件進行解密，也可以通過控制臺上的“全盤加解密”功能進行全盤解密。4.6.封堵各類泄密途徑除了對文檔進行安全加密外，還需要對文件內(nèi)容進行安全管控，防止用戶通過剪切板、截錄屏等途徑進行泄密。1) 剪切板/拖拽控制：合法用戶打開加密文件時，系統(tǒng)將對合法程序的剪切板行為進行監(jiān)控，受控程序之間可以進行內(nèi)容的復制、粘貼、剪切等操作，但是受控程序的內(nèi)容不允許粘貼至非受控程序中。 2) 拷屏/錄屏：禁止各類截屏、錄屏軟件，防止通過截屏造成數(shù)據(jù)泄密。當需要截屏時，可使用天銳綠盾自帶截屏功能，在受控程序中自由黏貼，徹底杜絕泄密風險。 3) 屏幕水印：對于重要文件打開時可設(shè)置屏幕水印，屏幕水印顯示內(nèi)容可自定義，能夠有效的警示試圖通過拍照泄密的行為。 4) OLE插入：禁止終端用戶在應(yīng)用程序（如Word、Excel等）里通過插入對象的方法將加密文檔另存為明文文檔。 4.7.離線辦公管理員工攜帶著存放企業(yè)重要技術(shù)資料的筆記本在外辦公，他們頻繁的流動性，讓數(shù)據(jù)面臨著丟失、惡意泄密等巨大風險，對于這些情形，天銳綠盾通過以下方案解決：1) 離線外帶的電腦，終端登錄時，需使用口令認證或者綁定USBKey認證，沒有合法的口令或USBKey，終端不能正常登錄，電腦上的文件也就打不開； 2) 通過離線管理功能，控制出差人員只能在授權(quán)離線時間內(nèi)正常打開離線計算機上的加密文件，一旦超過離線時間，筆記本上的所有加密文檔均無法打開； 3) 如果在授予的時間期限內(nèi)，仍需要在外繼續(xù)辦公的，可以通過電話聯(lián)系上級，再重新制作一個授權(quán)文件，發(fā)給在外人員導入電腦后，又可以繼續(xù)在外辦公； 4) 同時，離線期間的所有操作記錄仍然實時記錄，在連上服務(wù)器后會自動上傳，以便管理員審計。 4.8.防止外發(fā)文件在外二次擴散泄密4.8.1. 審批授權(quán)的文件外發(fā)與外界進行頻繁的信息溝通已成為企業(yè)必要的一種業(yè)務(wù)模式，這些交互的信息可能會涉及企業(yè)核心信息，而這些信息一旦流出企業(yè)就面臨著失控的風險。為了解決對外業(yè)務(wù)交互的后顧之憂，我們提供如下對外發(fā)布管理思路：q 當需要給客戶或者合作伙伴外發(fā)文件時，首先向上級領(lǐng)導進行外發(fā)申請，而后才有權(quán)將該文件打包成一個受控文件，外發(fā)給客戶或合作伙伴； q 被授權(quán)的客戶或合作伙伴獲得該受控外發(fā)文件后，打開時需先進行合法的身份認證，而后才能在授予的權(quán)限范圍內(nèi)訪問； q 身份認證的方式包括：口令認證、機器碼認證、聯(lián)網(wǎng)認證； q 訪問權(quán)限包括：閱讀次數(shù)、可打印、可截屏、可編輯、閱讀期限、過期自毀、回收等； q 被授權(quán)的客戶或者伙伴在訪問該文件時，無需在自己的電腦上安裝任何插件，即可訪問。 4.8.2. 郵件白名單、自動解密針對企業(yè)外發(fā)給固定供應(yīng)商、核心代理公司的文件，相對比較多，且是比較信賴的合作伙伴，對外發(fā)的郵件，無需經(jīng)過反復審批的方式，可通過郵件白名單的方式直接解密。q 將固定的供應(yīng)商、核心代理的郵件地址，添加到綠盾的郵件白名單隊列中； q 只要企業(yè)外發(fā)給該白名單隊列中的郵件地址，加密的文件均會自動解密成明文，無需審批； q 支持特殊協(xié)議（如：domino、exchange）郵件服務(wù)器環(huán)境下，通過“郵件安全網(wǎng)關(guān)”的方式，對發(fā)往白名單隊列中信賴的郵件地址，文件自動解密； q 支持發(fā)送人郵件白名單，比如：公司的某個領(lǐng)導發(fā)出去的郵件，都能自動解密，無需審批。 4.8.3. 文件解密外發(fā)對企業(yè)內(nèi)部的核心人員，由于電腦的文件重要性比較高，且企業(yè)對其信任度也比較高，對外發(fā)的文件如果經(jīng)過上級審批，對實際應(yīng)用效果不好。對此，天銳綠盾提供對公司核心人員，自己可以手動將加密文件，解密成明文外發(fā)。4.9.服務(wù)器白名單對企業(yè)內(nèi)部所有的終端數(shù)據(jù)透明加密后，通過服務(wù)器白名單功能實現(xiàn)對公司內(nèi)部各種服務(wù)器上的數(shù)據(jù)保護。比如：PDM服務(wù)器、OA服務(wù)器，將加密的文件上傳到服務(wù)器會影響正常使用，必須將加密的文件上傳到指定服務(wù)器，自動解密成明文，且下載自動加密。q 如果要求終端數(shù)據(jù)上傳到公司某些應(yīng)用服務(wù)器（比如：PDM、ERP）的數(shù)據(jù)是明文，那么可以將這些應(yīng)用服務(wù)器配置添加到白名單隊列中，終端上傳的數(shù)據(jù)會被自動解密成明文后保存在服務(wù)器上。如果上傳到其他服務(wù)器還是密文存儲； q 員工將服務(wù)器上明文數(shù)據(jù)下載到公司內(nèi)部終端時，數(shù)據(jù)被自動加密
4.10. 安全接入網(wǎng)關(guān)4.9中有提供服務(wù)器白名單的功能，上傳至服務(wù)器的文件自動解密，下載自動加密，但是對于應(yīng)用服務(wù)器集群的接入沒有做保護，結(jié)合安全接入網(wǎng)關(guān)，可以控制接入應(yīng)用服務(wù)器集群的設(shè)備，只有經(jīng)過授權(quán)用戶才允許訪問指定的內(nèi)部服務(wù)器，從而保障內(nèi)部應(yīng)用服務(wù)器的數(shù)據(jù)安全。Ø 應(yīng)用接入：在用戶的局域網(wǎng)內(nèi)部署天銳綠盾應(yīng)用服務(wù)器安全接入系統(tǒng)，只允許安裝有數(shù)據(jù)防泄密系統(tǒng)客戶端的終端用戶正常接入應(yīng)用服務(wù)器，非法用戶禁止接入； Ø 上傳下載：安裝有數(shù)據(jù)防泄密系統(tǒng)客戶端的終端用戶，在允許訪問合法應(yīng)用服務(wù)器同時，配合終端的透明加解密模塊和服務(wù)器白名單模塊，實現(xiàn)文件上傳自動解密、下載自動加密； Ø 非法外聯(lián)：安裝有數(shù)據(jù)防泄密系統(tǒng)客戶端的終端用戶將禁止連接仿冒應(yīng)用服務(wù)器，防止非法用戶利用客戶端上傳自動解密機制進行非法外聯(lián)泄密。 4.11. 防止員工離職泄密1) 文檔加密機制保證了即使員工離職時，非法帶走幾年下來大量重要的資料，也無法在外正常打開使用。2) 員工在新建、編輯重要文件時，服務(wù)器自動對重要文件備份到服務(wù)器指定隱藏目錄下保存，避免員工離職時有意刪除或格式化電腦，給企業(yè)帶來損失； 3) 限制準離職員工對本機及其他重要服務(wù)器的文檔的刪除權(quán)限，只允許其正常讀、寫，杜絕非法刪除帶來安全隱患。 4.12. 審批方式豐富，提高辦公效率對加密文件外發(fā)解密、員工泄密筆記本外出辦公，都需要公司領(lǐng)導的審批，天銳綠盾提供豐富流程化審批功能，做到有效防止xx公司內(nèi)部數(shù)據(jù)泄密，又不影響內(nèi)部員工的辦公效率，詳細如下：q 自定義多人多級審批（如：A/B角色）審批，可用性高； q 支持審批人在線、離線、全部狀態(tài)時自動審批； q 流程審批即時消息提醒，提高了流程審批效率； q 支持Web審批方式，提高流程審批便捷性； q 支持移動終端（如：iPhone、Android）方式審批； q 審批人員審批時需要輸入合法口令，提高審批安全性； q 可查詢所有發(fā)起審批、待審批、已審批等信息； q 審批可以在線查看或者下載文件內(nèi)容。 4.13. 便捷的移動辦公方式隨著移動辦公慢慢成為一種潮流，擺在管理者面前的問題是，企業(yè)網(wǎng)絡(luò)的邊界擴大了，數(shù)據(jù)加密的需求已經(jīng)不僅僅局限于企業(yè)內(nèi)部，如何適應(yīng)移動辦公的要求，使加密文件隨時能在外出人員需要的時候進行調(diào)用？天銳綠盾移動終端管理模塊支持Android、IOS移動客戶端，既能滿足用戶的高效移動辦公需求，還能有效保障移動辦公的安全性。 （1）高效移動辦公 ü 在外出過程中，用戶可隨時隨地調(diào)用在企業(yè)內(nèi)部加密文件，實現(xiàn)隨時隨地的移動辦公； ü 對于手機QQ、郵箱等通訊工具上接收的加密文件，可通過天銳綠盾移動終端app直接在線打開閱讀； ü 支持通過Android、IOS移動客戶端在線處理審批工作（如：解密申請、離線申請、外發(fā)申請等），且審批消息實時推送，保證審批及時性，還可以追溯審批歷史記錄。 （2）安全移動辦公 ü 安全身份認證，保證操作者的合法性； ü 設(shè)置定時無操作自動鎖屏，保護移動端上的數(shù)據(jù)安全； ü 對Android移動終端上存儲的重要文件，可保存到文件管理區(qū)，進行自動加密保護，且用戶可直接在線閱讀加密文件； ü 移動端支持文檔密級、文檔權(quán)限控制功能，對于下載下來的文檔仍然保持原來的密級等權(quán)限控制狀態(tài)，未授權(quán)用戶無法正常讀取。 4.14. Linux平臺源代碼加密保護Linux操作系統(tǒng)是當前最流行的開發(fā)平臺，所以對軟件開發(fā)企業(yè)來說Linux平臺上的源代碼安全同樣至關(guān)重要。天銳綠盾采用基于Linux內(nèi)核的文檔透明加解密技術(shù)，能夠在不改變用戶使用習慣、計算機文件格式大小和編譯程序的前提下，對指定類型的文件進行實時、強制、透明加密，同windows加密體驗無差別，且能夠與windows加密客戶端完美兼容。方便用戶在windows和Linux平臺上對源代碼加密文件進行查看、編譯等交互操作。具體實現(xiàn)效果： l 在linux平臺上進行安卓開發(fā)、網(wǎng)站開發(fā)等產(chǎn)生的源代碼全部自動加密保護； l Windows平臺上的加密文件拷貝到linux平臺上能夠直接編譯，無需解密； l 通過任意工具從linux平臺上將代碼拷貝到本地全部都是加密的。 4.15. Mac終端數(shù)據(jù)加密保護現(xiàn)在使用Mac的企業(yè)基數(shù)逐漸增加，涉及的商密數(shù)據(jù)也越來越多，在使用、傳輸、保管的過程中仍然存在較多安全隱患。天銳綠盾新增MAC終端數(shù)據(jù)透明加密，可以在不影響員工正常工作的情況下實現(xiàn)對Mac終端中的商密數(shù)據(jù)進行強制加密和透明使用，防止數(shù)據(jù)外泄。另外，大部分企業(yè)是Windows和Mac終端混合使用，在進行文檔加密管理時通常會遇到不兼容的現(xiàn)象，而為了統(tǒng)一化的管理，又必須使用同一套加密系統(tǒng)，從而保障企業(yè)的信息安全和內(nèi)部工作人員之間的文檔流通閱覽。針對如此現(xiàn)象，天銳綠盾已經(jīng)全面覆蓋Mac、Windows以及Linux系統(tǒng)，在多個系統(tǒng)之間實現(xiàn)文檔的統(tǒng)一加密，無縫管控！ 4.16. 數(shù)據(jù)防泄密審計1) 文件備份記錄：查看終端用戶備份的詳細情況，并可進行文檔恢復操作，防止終端用戶有意或無意刪除企業(yè)重要文件。2) 文件解密預警：用戶某一時間段內(nèi)解密的文件數(shù)量超過預設(shè)值，系統(tǒng)會自動生成報警日志，報警日志可支持郵件提醒、控制臺提醒。 3) 文件外發(fā)記錄：查看終端用戶的文件外發(fā)情況，了解內(nèi)部文件的外發(fā)去向。 4) 審批解密日志：查詢各部門經(jīng)理的文件審批及解密情況，避免具有解密權(quán)限的人員濫用職權(quán)，導致內(nèi)部機密信息泄露。 5) 全盤加解密日志：提供全盤加解密日志，可以查詢每個人全盤加密的數(shù)據(jù)數(shù)量。 6) 密級轉(zhuǎn)換日志：查詢終端用戶的密級轉(zhuǎn)換信息，從而了解機密文件的使用情況。 7) 離線申請日志：了解內(nèi)部員工的出差情況。 5. 方案優(yōu)勢5.1.功能優(yōu)勢1) 天銳綠盾采用Windows內(nèi)核的文件過濾驅(qū)動實現(xiàn)數(shù)據(jù)加解密，安全、穩(wěn)定、效率高；主動對終端數(shù)據(jù)進行加密，有效控制所有數(shù)據(jù)在授權(quán)的范圍內(nèi)訪問。做到用戶無感知，不改變員工使用習慣、不封閉網(wǎng)絡(luò)、不封閉豐富外設(shè)端口、不改變文件格式；2) 天銳綠盾“自定義添加受控應(yīng)用程序”，自動枚舉條件應(yīng)用程序安裝目錄下的所有exe進程，操作方便、快捷。且理論上滿足對所有的應(yīng)用程序產(chǎn)生的文件加密。同時解決用戶擔心購買了天銳綠盾后，對后續(xù)增加新的應(yīng)用程序生產(chǎn)文件無法加密的問題； 3) 為客戶提供透明加密、半透明加密、只解密不加密三種加密模式，為企業(yè)的數(shù)據(jù)安全管理提供了多樣化的管理方式； 4) 天銳綠盾全面覆蓋Mac、Windows以及Linux系統(tǒng)，在多個系統(tǒng)之間實現(xiàn)文檔的統(tǒng)一加密，無縫管控！ 5) 豐富的流程化功能，解決了加密與辦公效率矛盾的問題。流程靈活性類似OA系統(tǒng)一樣，以及獨有的大文件快速審批效率； 6) 針對可信賴的合作伙伴頻繁郵件往來，為了不影響交互效率，支持各種協(xié)議的郵件服務(wù)器環(huán)境下，加密的文件自動解密。并與foxmail、outlook結(jié)合，不改變辦公習慣。支持各種特殊協(xié)議的郵件服務(wù)器，實現(xiàn)郵件白名單功能； 7) 支持應(yīng)用服務(wù)器明文下載自動生成受控外發(fā)文件，確保交互安全； 8) 服務(wù)器白名單實現(xiàn)無需在應(yīng)用服務(wù)器上安裝任何插件，做到終端電腦加密的文件，上傳到白名單服務(wù)器上自動解密，下載到終端電腦自動加密； 9) 支持與天銳綠盾應(yīng)用服務(wù)器安全接入系統(tǒng)結(jié)合使用，實現(xiàn)只有安裝了加密客戶端的電腦才能訪問應(yīng)用服務(wù)器； 10) 指定辦公人員在對某些類型的文件進行新建、編輯時，自動備份到天銳綠盾服務(wù)器，避免辦公人員誤刪，導致數(shù)據(jù)丟失； 11) 支持IPAD在線閱讀加密文件，比如：mail、OA、CRM、ERP等加密附件在線閱讀，方便辦公。 5.2.技術(shù)優(yōu)勢1) 天銳綠盾采用驅(qū)動級加密技術(shù)，與其它加密技術(shù)對比優(yōu)勢如下：Ü 磁盤加密： 磁盤加密技術(shù)工作在內(nèi)核層下面，磁盤層上面，無法識別哪些數(shù)據(jù)是哪個進程寫入或讀取的，這樣導致任意應(yīng)用程序輕易就可以讀取該加密文件，比如保存在網(wǎng)絡(luò)共享磁盤，就是明文。 Ü 應(yīng)用層加密： 應(yīng)用層加密通過windows的鉤子技術(shù)，監(jiān)控應(yīng)用程序?qū)ξ募拇蜷_和保存，當打開文件時，先將密文轉(zhuǎn)換后再讓程序讀入內(nèi)存，保證程序讀到的是明文，而在保存時，又將內(nèi)存中的明文加密后再寫入到磁盤中。與應(yīng)用程序密切相關(guān)，它是通過監(jiān)控應(yīng)用程序的啟動而啟動的。一旦應(yīng)用程序名更改，則無法掛鉤。同時，由于不同應(yīng)用程序在讀寫文件時所用的方式方法不盡相同，同一個軟件不同的版本在處理數(shù)據(jù)時也有變化，鉤子透明加密必須針對每種應(yīng)用程序、甚至每個版本進行開發(fā)。應(yīng)用程序為了防止黑客入侵設(shè)置了反鉤子技術(shù)，這類程序在啟動時，一旦發(fā)現(xiàn)有鉤子入侵，將會自動停止運行，所以應(yīng)用層加密很容易通過反鉤子來避開繞過。應(yīng)用層透明加密技術(shù)（鉤子透明加密技術(shù)）開發(fā)容易，但存在技術(shù)缺陷，應(yīng)用程序版本變更容易產(chǎn)生不兼容，而且容易被反Hook所破解。 Ü 驅(qū)動層加密： 驅(qū)動層透明加密技術(shù)工作在windows的內(nèi)核層，他工作于windows API函數(shù)的下層。當API函數(shù)對指定類型文件進行讀操作時，系統(tǒng)自動將文件解密；當進入寫操作時，自動將明文進行加密。由于工作在受windows保護的內(nèi)核層，運行速度更快，加解密操作更穩(wěn)定，但開發(fā)難度大。 2) 國內(nèi)獨有的“三重密鑰”體系： q 主密鑰：由天銳分配給每個用戶全球唯一的密鑰，保證每個購買天銳綠盾的企業(yè)文件不會互通； q 公司密鑰：由用戶自己設(shè)置的密鑰，保證加密廠家獲取加密文件也無法解密； q 文件密鑰：每個文件加密時隨機生成一個文件密鑰，提高加密的安全性。 3) “多采集服務(wù)器”部署方式，即實現(xiàn)集中式和分布式一體化管理。 理論上實現(xiàn)無限制終端用戶數(shù)統(tǒng)一平臺化管理。比如：七匹狼5000用戶、山東齊魯制藥4000用戶使用多采集服務(wù)器。 4) 為天銳綠盾量身定做自主開發(fā)的數(shù)據(jù)庫 安裝方便快捷，存取速度極快，數(shù)據(jù)庫維護方便，數(shù)據(jù)庫安全性高。同時天銳綠盾支持主流的數(shù)據(jù)庫。天銳綠盾數(shù)據(jù)庫模塊是專門針對天銳綠盾信息安全管理軟件的業(yè)務(wù)功能而開發(fā)的一個數(shù)據(jù)存儲子模塊，在設(shè)計階段我們經(jīng)過大量的研究與測試，最終決定采用自己開發(fā)一個天銳綠盾數(shù)據(jù)庫模塊來實現(xiàn)，以下主要說明下為什么要再開發(fā)一個數(shù)據(jù)庫模塊而不是使用當前已有的數(shù)據(jù)庫管理系統(tǒng)。 舉個例子：一臺終端每操作（新增、修改、刪除）一個文件或者變換窗口都會產(chǎn)生一條的日志(如文件操作日志、窗口標題日志)，則在正常的辦公環(huán)境下，平均一臺終端一天開機10小時就會有近1000條左右的日志，相應(yīng)的1萬臺終端則一天就會有1000萬條的數(shù)據(jù)。按照公安部計算機信息系統(tǒng)安全產(chǎn)品質(zhì)量監(jiān)督檢驗中心頒布的標準：日志信息至少保存兩個月以上，那么兩個月就是6億條。這么大的數(shù)據(jù)量，業(yè)務(wù)功能能否實現(xiàn)，主要體現(xiàn)在以下幾點上。  插入效率天銳綠盾數(shù)據(jù)庫模塊針對我們的業(yè)務(wù)需要只做最簡單的數(shù)據(jù)插入，而其它浪費插入效率的操作如索引、簇我們都不做。天銳綠盾數(shù)據(jù)庫管理模塊每秒鐘能夠插入的數(shù)據(jù)在20000條左右，遠遠超出我們業(yè)務(wù)對表數(shù)據(jù)插入效率的要求。 查詢效率天銳綠盾數(shù)據(jù)庫模塊針對我們的業(yè)務(wù)應(yīng)用需求，采用了分布式存儲方式，我們存儲數(shù)據(jù)時將這些數(shù)據(jù)按每天和每個終端分成每一個表進行存儲，這樣查詢就能快速的定位到哪一天及哪一臺終端上。從1000條記錄中查詢一條數(shù)據(jù)記錄與從6億條記錄中查詢一條記錄效率差別可想而知。 維護靈活性由于天銳綠盾數(shù)據(jù)庫模塊采用分布式的存儲，每臺終端每天都分開存儲，這樣無論是清理或者備份都只需找到指定日期目錄的文件夾然后進行刪除或者拷貝即可。 安全性由于天銳綠盾數(shù)據(jù)庫模塊是我們獨立自主開發(fā)的，所以我們可以實現(xiàn)對數(shù)據(jù)存儲字段進行加密存儲，保障數(shù)據(jù)更加安全，就算數(shù)據(jù)庫泄露被人獲取也無法獲取數(shù)據(jù)庫里的數(shù)據(jù)。 綜上所述，天銳綠盾數(shù)據(jù)庫模塊是專門針對天銳綠盾信息安全管理軟件的業(yè)務(wù)功能而開發(fā)的，完全能夠滿足綠盾信息安全管理軟件業(yè)務(wù)功能上的需求。 當然像SQL SERVER、ORACLE這種大型的數(shù)據(jù)庫管理系統(tǒng)都支持海量的數(shù)據(jù)存儲，但是這種大型的數(shù)據(jù)庫軟件要實現(xiàn)海量的數(shù)據(jù)存儲無論從前期的設(shè)計，開發(fā)到后期的部署、實施和維護都比較復雜，顯然對于天銳綠盾信息安全管理軟件這種類型的軟件應(yīng)用，我們自主開發(fā)的數(shù)據(jù)庫模塊，無論從設(shè)計、業(yè)務(wù)應(yīng)用還是成本上都是最適合我們的綠盾信息安全管理軟件的。 天銳綠盾數(shù)據(jù)庫模塊是由我們天銳科技獨立自主開發(fā)，是天銳綠盾信息安全管理軟件中的一個子模塊，它并不是一套數(shù)據(jù)庫管理系統(tǒng)，而是屬于天銳綠盾信息安全管理軟件。天銳綠盾信息安全管理軟件于2008年09月04日獲得軟件著作權(quán)，軟件著作權(quán)登記號：2008SR18094。 6. 系統(tǒng)架構(gòu)6.1.系統(tǒng)概述天銳綠盾數(shù)據(jù)防泄密系統(tǒng)（簡稱：數(shù)據(jù)防泄密系統(tǒng)）采用文件過濾驅(qū)動實現(xiàn)透明加解密，對用戶完全透明，不影響用戶操作習慣，從源頭上保障企業(yè)數(shù)據(jù)安全。通過對電子文檔的實時動態(tài)保護、操作全程跟蹤，對各種可能造成泄密的途徑進行控制，防止企業(yè)計算機信息被破壞、丟失、泄密。6.2.系統(tǒng)組成天銳綠盾數(shù)據(jù)防泄密系統(tǒng)由硬件和軟件組成。軟件包括：服務(wù)端程序、控制臺程序和終端程序。硬件上由服務(wù)端使用的軟件狗，以及控制臺和終端使用的USBKey組成。服務(wù)端程序 服務(wù)端程序需要運行在不關(guān)機的服務(wù)器電腦上。用于管理密鑰及各種策略；存儲終端的文件審批記錄、文件解密記錄等；處理來自于客戶端的各項驗證，避免客戶端可以隨意安裝和使用。服務(wù)端程序支持擴容，實現(xiàn)海量數(shù)據(jù)存儲。 主要作用包括如下： ² 管理加密密鑰 ² 進行軟件注冊 ² 終端操作員身份驗證 ² 存儲系統(tǒng)配置信息 ² 海量存儲系統(tǒng)運營數(shù)據(jù) ² 提供控制臺接入 控制臺程序 控制臺程序運行在管理員電腦上，是系統(tǒng)的管理配置界面?？刂婆_通過網(wǎng)絡(luò)與系統(tǒng)管理中心聯(lián)接，對系統(tǒng)管理中心進行在線配置和管理。只有持有管理員密鑰的用戶才能登錄控制臺。 主要功能包括： ² 配置終端策略 ² 查看歷史記錄 ² 查詢統(tǒng)計信息 終端程序 天銳綠盾客戶端程序安裝在需要文件加密或監(jiān)控管理的終端電腦上。天銳綠盾服務(wù)端對終端電腦的監(jiān)控管理和對文檔的加解密功能都是通過天銳綠盾客戶端實現(xiàn)的，終端電腦即使脫離了服務(wù)端也仍受到設(shè)置好的控制規(guī)則限制。此外，還可在終端電腦上修改用戶的登錄密碼、申請解密文件、申請離線、批量解密等功能，并支持對以上行為進行詳細審計。 主要功能如下： ² 操作員登錄驗證 ² 自動加解密文件 ² 執(zhí)行終端策略 6.3.服務(wù)器分布式部署部署方式：公司總部與分公司部署一套綠盾；管理效果：統(tǒng)一管理公司總部與分公司的所有人員，管理人員登錄綠盾管理控制臺能看到公司總部與分公司所有的終端用戶。終端用戶的權(quán)限管理，包括解密審批、外發(fā)審批和離線審批等各種審批流程都能在同一個控制臺進行設(shè)置。同時，分公司的人員也可以交由公司總部的審批人員進行審批； 總結(jié)：統(tǒng)一管理公司總部與分公司的所有人員，支持同時查看公司總部與分公司的綠盾數(shù)據(jù)，分公司人員可以交由公司總部審批人員統(tǒng)一進行審批管理，分公司綠盾數(shù)據(jù)保存在分公司服務(wù)器上，無需實時上傳到公司總部服務(wù)器上，數(shù)據(jù)交互受網(wǎng)絡(luò)傳輸速度影響較大。 6.4.服務(wù)器單獨式部署部署方式：公司總部與分公司各自部署一套綠盾（各自的加密文件對方都能正常打開）；管理效果：公司總部與分公司各自管理自己的綠盾，管理人員登錄綠盾管理控制臺只能看到各自的終端用戶。終端用戶的權(quán)限管理，包括解密審批、外發(fā)審批和離線審批等各種審批流程都只能設(shè)置自己公司相應(yīng)的終端用戶； 總結(jié)：不受網(wǎng)絡(luò)傳輸速度影響，公司總部與分公司各自的加密文件依然可以互相打開使用，無法統(tǒng)一管理公司總部與分公司的所有人員，無法同時查看公司總部與分公司的綠盾數(shù)據(jù)，分公司需要自行設(shè)置審批人員進行審批管理。 7. 售后服務(wù)體系7.1.服務(wù)宗旨公司始終將“構(gòu)建安全體系，滿足客戶期望，樹立品牌形象”作為目標，充分重視產(chǎn)品和服務(wù)的雙重品牌建設(shè)，在提升產(chǎn)品性能的同時，以“客戶永遠是第一位”作為客戶服務(wù)的宗旨，從客戶的實際需求出發(fā)，為客戶提供真正有價值的產(chǎn)品及服務(wù)。7.2.服務(wù)內(nèi)容
7.3.服務(wù)保障在全國各區(qū)域建立子公司及服務(wù)點，均有專業(yè)技術(shù)團隊對各個區(qū)域用戶提供專業(yè)、快速的專業(yè)服務(wù)。7.4.服務(wù)響應(yīng)機制
7.5.服務(wù)流程客戶可以通過熱線電話、網(wǎng)站留言、在線方式等方式向廈門天銳客服發(fā)起服務(wù)請求，廈門天銳為客戶提供6*8小時響應(yīng)服務(wù)，明確問題后安排專業(yè)技術(shù)顧問提供電話指導、遠程調(diào)試或現(xiàn)場支持，問題解決后，會有專職客服人員回訪，調(diào)研客戶問題是否關(guān)閉及服務(wù)滿意度。7.6.服務(wù)方式1) 電話/郵件服務(wù)在接到客戶的技術(shù)支持請求或故障報告后，將立即以電話或郵件方式與客戶聯(lián)系，了解問題的詳細情況，分析故障原因，判斷故障的類型，并指導客戶使用人員及時排除故障，恢復系統(tǒng)的正常運行。 2) 遠程服務(wù) 當電話或郵件服務(wù)未能解決客戶故障時，在得到客戶授權(quán)的前提下，技術(shù)服務(wù)人員將通過網(wǎng)絡(luò)遠程登錄，提供技術(shù)服務(wù)。在網(wǎng)絡(luò)遠程登錄訪問中，保證所有對客戶電腦的操作不違反現(xiàn)行的相關(guān)安全法律法規(guī)。 3) 現(xiàn)場服務(wù) 當電話或郵件、遠程服務(wù)等方式均無法解除故障時，技術(shù)人員將到現(xiàn)場解決問題。如客戶認為需要，除不抗拒的原因外，技術(shù)人員將在24小時內(nèi)趕到現(xiàn)場(國家法定節(jié)假日除外)。如遇特殊情況，雙方通過協(xié)商解決。 7.7.服務(wù)監(jiān)督公司有專門的售后管理系統(tǒng)對服務(wù)人員的服務(wù)態(tài)度、服務(wù)效率、服務(wù)質(zhì)量、服務(wù)意識進行跟蹤，并按照一定辦法予以考核，以便監(jiān)督和跟蹤服務(wù)，進而提高服務(wù)質(zhì)量，對于用戶的投訴，我們將核實情況并妥善處理，盡快給出解決辦法。對于情節(jié)嚴重者，將予以警告和適當懲戒。7.8.服務(wù)投訴用戶在和我司服務(wù)人員進行溝通時有任何不滿，可通過以下方式進行投訴如果對我們的服務(wù)質(zhì)量的提高有任何建議，也可通過以上聯(lián)系方式反饋，我們會采納合理的建議并努力提高服務(wù)質(zhì)量。 ? |
| 上一條：辛巴進銷存系列廣告業(yè)功能技術(shù)手冊 | 【關(guān)閉】 |
| 下一條：綠盾數(shù)據(jù)加密系統(tǒng)離線終端安裝步驟與方法 |
