移動存儲管理解決方案及運維管理辦法

1、降低成本 安全運營 提升效率 http:/www.imo- 中辰華創(chuàng)科技移動存儲管理解決方案及運維管理辦法目 錄第一章 移動存儲管理應(yīng)用背景1第二章 移動存儲管理系統(tǒng)功能需求32.1 移動存儲介質(zhì)的注冊授權(quán)與訪問控制32.2 數(shù)據(jù)保護與自我防護52.3 日志審計與報表功能6第三章 移動存儲管理系統(tǒng)設(shè)計73.1 系統(tǒng)設(shè)計概述73.2 系統(tǒng)流程設(shè)計83.3 系統(tǒng)關(guān)鍵技術(shù)10第四章 移動存儲系統(tǒng)應(yīng)用114.1系統(tǒng)管理效益114.2 系統(tǒng)增強功能12第五章 中間機數(shù)據(jù)交換13第六章 安全風(fēng)險分析15第七章 附件（表格）16第一章 移動存儲管理應(yīng)用背景移動存儲設(shè)備，如u盤、移動硬盤等，因其體積小、容量大

2、等優(yōu)點，已得到廣泛應(yīng)用。作為數(shù)據(jù)交換的主要手段之一，移動存儲設(shè)備正成為內(nèi)數(shù)據(jù)和信息的重要載體，但是我們也應(yīng)該看到，移動存儲設(shè)備在給我們帶來極大方便的同時，也給我們帶來了不少的安全隱患。近兩年的安全防御調(diào)查也表明，政府、企業(yè)單位中超過70%的管理和安全問題來自單位內(nèi)部人員，特別是移動存儲介質(zhì)的普遍應(yīng)用。移動存儲介質(zhì)使用靈活、方便的特性使得它在單位信息化過程中迅速得到了廣泛的應(yīng)用，越來越多的敏感信息、秘密數(shù)據(jù)和檔案資料被隨意的拷貝、存儲在移動存儲介質(zhì)里。單位和個人持有的移動存儲設(shè)備不區(qū)分，單位信息和個人信息同時存儲在同一個存儲設(shè)備中，秘密信息保管不善或惡意木馬病毒帶入單位計算機網(wǎng)絡(luò),這都給單位的信

3、息資源帶來了巨大的安全隱患。目前，移動存儲設(shè)備的安全問題尚未引起足夠的重視，使用的隨意與管理的無序使得移動存儲設(shè)備成為現(xiàn)階段的安全盲點，移動存儲設(shè)備疏于管理帶來的嚴(yán)重問題比比皆是：案例一：上百萬臺電腦感染“熊貓燒香”，u盤是病毒傳播的主要途徑年初爆發(fā)的“熊貓燒香”病毒導(dǎo)致上百萬臺電腦受到損害，而u盤正是病毒傳播和藏身的主要介質(zhì)。據(jù)江民科技反病毒專家介紹，“熊貓燒香”病毒會向u盤釋放出一個名為“autorun.inf”的病毒文件，使用u盤的用戶只要雙擊u盤，就會激活并運行病毒。案例二：word文件不見了，u盤病毒“word文檔殺手”在搗鬼電腦里重要的word文檔為何神秘失蹤？反病毒專家會告訴你，

4、是因為感染了“word文檔殺手”病毒。而導(dǎo)致用戶電腦感染病毒的正是大家日常使用的u盤?！皐ord文檔殺手”病毒自主加載到u盤的自動運行文件里，一旦用戶將感染了該病毒的u盤接入電腦，便導(dǎo)致所有word文檔神秘失蹤。案例三：美國核實驗室頭號泄密案，u盤成為主要泄密工具據(jù)美國新聞周刊2006年11月13日報道，美國洛斯阿拉莫斯國家實驗室的一位檔案管理員盜走了大量機密文件，其u盤中包含了400多頁從洛斯阿拉莫斯國家實驗室的電腦上下載的機密文件，其中一些是核武器設(shè)計方案的絕密資料。近年來屢屢發(fā)生的移動存儲介質(zhì)泄密、竊密案件給國家和企事業(yè)單位帶來了不可估量的損失，也逐漸引起了國家和企事業(yè)單位的重視，單位通

5、過各種行政管理手段對usb存儲設(shè)備做了相應(yīng)的規(guī)定，但往往由于使用人對于單位保密意識的淡漠或其他原因，仍然不可避免的產(chǎn)生了很多的問題，過去有的單位采用了用樹脂膠填充甚至手工強制拆除usb硬件組件的辦法，或者采用一些軟件對usb口進行阻斷等等，但這些辦法又給工作效率的提高帶來了極大的障礙，與信息化提高工作效率的初衷背道而馳，同時在使用過程中仍然缺乏相應(yīng)的監(jiān)管力度，安全隱患仍然存在。第二章 移動存儲管理系統(tǒng)功能需求2.1 移動存儲介質(zhì)的注冊授權(quán)與訪問控制 支持對移動硬盤、u盤等存儲介質(zhì)進行并發(fā)可信化集中注冊，注冊介質(zhì)在內(nèi)網(wǎng)具有唯一標(biāo)志符。注冊授權(quán)內(nèi)容包括：安全級別標(biāo)簽、硬件管理唯一id號、使用人、使

6、用部門、使用期限以及是否采用序列號口令保護等，只有帶有注冊標(biāo)簽并且符合移動存儲管理策略的存儲介質(zhì)才可以接入計算機使用。 移動存儲介質(zhì)可劃分為可信區(qū)和普通區(qū)，分區(qū)容量可由管理員靈活定義。管理員通過注冊認(rèn)證工具對移動存儲介質(zhì)進行劃分可信區(qū)和普通區(qū)，分區(qū)大小可以靈活控制。 可信區(qū)在已安裝客戶端并具有訪問權(quán)限的計算機上可以讀寫，在未安裝客戶端的計算機上將不被識別并彈出可定制化的消息框提醒；普通區(qū)憑密碼認(rèn)證可在所有計算機上使用。 普通區(qū)密碼用戶可以靈活修改，由用戶在客戶端任意修改變換口令。 系統(tǒng)至少支持1000個注冊計算機客戶端；對移動存儲介質(zhì)的注冊數(shù)量無限制，系統(tǒng)最大網(wǎng)絡(luò)客戶端數(shù)量支持15000臺。

7、系統(tǒng)支持注冊移動存儲介質(zhì)和授權(quán)計算機形成“多對多”的使用方式。每臺計算機和每個注冊移動存儲介質(zhì)的授權(quán)數(shù)沒有限制，專用認(rèn)證工具可以無限制對移動存儲設(shè)備注冊認(rèn)證。 系統(tǒng)支持計算機的離線注冊認(rèn)證，支持通過u盤、移動硬盤等方式手動同步策略，策略文件在服務(wù)器端以可見文件形式存在，而在客戶端不可見，防止終端用戶隨意刪除。 支持注冊后的移動存儲介質(zhì)依據(jù)授權(quán)信息進行細(xì)粒度、多層次的訪問控制；支持禁止、讀、寫、加密寫等訪問權(quán)限的細(xì)化。未統(tǒng)一授權(quán)的移動存儲設(shè)備，可設(shè)置為“不允許使用” 、“允許只讀方式使用” 、“允許讀寫方式”使用等安全標(biāo)識。 管理員可以按所有的網(wǎng)絡(luò)終端結(jié)點進行任意分組，不同組可以執(zhí)行不同的介質(zhì)訪

8、問策略。系統(tǒng)支持按不同部門劃分工作組，這樣管理員可以直接對不同性質(zhì)工作組進行策略分發(fā)，分組功能給移動存儲設(shè)備網(wǎng)絡(luò)化管理帶來一定的簡潔性，尤其是對于龐大的網(wǎng)絡(luò)來說則可以減少錯綜復(fù)雜的局面，為管理員進行程序化策略管理提供高效手段。 系統(tǒng)支持對非usb存儲設(shè)備（usb鍵盤、鼠標(biāo)、打印機、硬件key等）、特定usb存儲介質(zhì)設(shè)置不同的訪問權(quán)限。vrvedp-usb v2.0系統(tǒng)支持對非usb存儲設(shè)備（usb鍵盤、鼠標(biāo)、打印機、硬件key等）的自動識別，支持對特定usb存儲介質(zhì)（如數(shù)據(jù)交換中間機）設(shè)置不同的訪問權(quán)限。針對實際工作的特點，還考慮到分權(quán)分級管理、設(shè)備兼容性等。移動存儲設(shè)備管理系統(tǒng)與硬件接口、磁

9、盤類型無關(guān)，可管理所有硬件接口、磁盤類型的移動存儲設(shè)備。 提供對除u盤、移動硬盤的存儲介質(zhì)可信管理外，還能夠?qū)K端的輸入輸出設(shè)備（mp3、打印機、數(shù)碼相機、攝像儀、usb刻錄機、磁帶機、并口、串口、1394 口等）進行管理，確保對計算機數(shù)據(jù)通道的控制，防范數(shù)據(jù)通過可信存儲介質(zhì)之外的途徑泄密。 支持客戶端策略的導(dǎo)入、導(dǎo)出功能。系統(tǒng)服務(wù)器內(nèi)置策略庫，制訂策略后分發(fā)到認(rèn)證終端執(zhí)行，客戶端專有策略文件保存下發(fā)策略，管理員在控制臺可以預(yù)先定義策略，從策略服務(wù)器導(dǎo)出，需要的時候?qū)敕?wù)器或者認(rèn)證終端執(zhí)行。 注冊后的移動存儲介質(zhì)支持和計算機軟件、硬件資產(chǎn)或管理員自定義id進行綁定，系統(tǒng)自動產(chǎn)生唯一性標(biāo)識id

10、符號, 雙因子認(rèn)證技術(shù)采用對唯一標(biāo)識經(jīng)過特殊算法得出的唯一賦值對照后作出判斷，防止客戶端計算機設(shè)備變更而引起的安全隱患；僅識別本服務(wù)器管理的注冊客戶端，拒絕外來注冊客戶端的欺騙接入。 客戶端重新安裝后，服務(wù)器端可以為下發(fā)其原有控制策略，控制策略實時發(fā)送，一旦客戶端入網(wǎng)，立即進行策略比對，變化則自動更新。 未注冊存儲介質(zhì)接入內(nèi)網(wǎng)時將在客戶端產(chǎn)生嗡鳴器報警并彈出可定制化的消息框提醒，服務(wù)器端并有響應(yīng)的報警。vrvedp-usb v2.0系統(tǒng)報警方式支持聲音、圖形、郵件、手機短信等多種手段，未注冊存儲介質(zhì)接入受控網(wǎng)絡(luò)時將在客戶端產(chǎn)生嗡鳴器報警并彈出消息框提醒，服務(wù)器端并有響應(yīng)的報警，服務(wù)器端報警支持

11、向第三方平臺進行報警轉(zhuǎn)發(fā)（snmptrap/syslog方式）。 支持為計算機和注冊后的移動存儲介質(zhì)授權(quán)不同的密級識別。不同密級客體之間的數(shù)據(jù)交換應(yīng)遵從的管理員定義的規(guī)則。經(jīng)授權(quán)的移動存儲設(shè)備，在系統(tǒng)內(nèi)依據(jù)其授權(quán)信息進行多層次的訪問控制，具體包括：基于用戶身份的訪問控制、基于密級的訪問控制、基于口令的保護及對使用次數(shù)和使用日期的限制。 提供對未安裝可信介質(zhì)管理客戶端計算機的自動/手動遠(yuǎn)程阻斷功能，強制網(wǎng)絡(luò)中每臺計算機都必須安裝受控代理程序，避免未注冊計算機帶來的管理隱患，同時能夠提供特殊的黑白名單管理機制，保證重要服務(wù)器、關(guān)鍵主機不受可信介質(zhì)管理策略的限制。 系統(tǒng)必須為二次開發(fā)提供開放的接口。

12、系統(tǒng)遵循tcp協(xié)議/ip、snmp、http、ftp等相關(guān)的國際標(biāo)準(zhǔn)或工業(yè)標(biāo)準(zhǔn)，支持對網(wǎng)絡(luò)設(shè)備廠商管理工具的集成，具有開放的api接口。2.2 數(shù)據(jù)保護與自我防護 移動存儲介質(zhì)上的數(shù)據(jù)都以密文方式保存。采用對稱的aes(128bit)高強度加密算法，按扇區(qū)進行加密，每次一密鑰。 加密方式是扇區(qū)級加密，加解密過程自動完成。磁盤級的透明加解密：加解密過程對用戶透明，用戶感覺不到加解密的存在，但是數(shù)據(jù)始終以密文形式存儲在移動存儲設(shè)備上。 支持對注冊后移動存儲介質(zhì)的數(shù)據(jù)進行徹底刪除，專用特殊數(shù)據(jù)標(biāo)簽清除工具，僅有管理員掌握。 系統(tǒng)對已注冊移動存儲介質(zhì)的格式化不會影響移動存儲介質(zhì)原有的注冊信息，格式化操

13、作僅刪除普通數(shù)據(jù)，通過專用認(rèn)證工具的寫入移動存儲設(shè)備的信息無法抹除，需要用系統(tǒng)相應(yīng)提供的擦除工具方可以抹去。 用戶不能自行卸載客戶端代理；管理員通過密碼認(rèn)證可以卸載客戶端。通過專用卸載程序和卸載密碼，方可以卸載客戶端程序。 客戶端支持安全模式啟動；支持windows 9x、windows 2000 professional/server、windows 2003 server、windows xp professional /home、windows vista、linux等操作系統(tǒng)平臺。 客戶端兼容目前主流的各種防病毒軟件（北信源、瑞星、江民、金山、諾頓、趨勢、卡巴斯基、macafee、熊貓

14、、安博士等）和各種反流氓軟件，不會被上述軟件發(fā)生沖突或者作為病毒/木馬清除。2.3 日志審計與報表功能 具備注冊移動存儲介質(zhì)詳細(xì)資產(chǎn)（使用人、權(quán)限、注銷時間等）統(tǒng)計功能。對于移動存儲設(shè)備的資產(chǎn)入庫登記（使用人、權(quán)限、注銷時間等）、授權(quán)使用（插入、拔出、文件讀寫、ip地址）、各種違規(guī)操作（人員、事件內(nèi)容）等，提供詳細(xì)的日志記錄。 對于移動存儲介質(zhì)的插入、拔出、文件讀寫、ip地址、各種違規(guī)操作等，有詳細(xì)的日志記錄；管理員根據(jù)需求可以自定義客戶端上傳服務(wù)器的日志類型。具備強大的日志審計功能，審計的內(nèi)容包括：授權(quán)日志臺帳、使用日志臺帳、違規(guī)日志臺帳等。 支持集中的報警（通過郵件）和報告，在管理服務(wù)器上

15、能夠方便查看全部范圍（或組范圍）的報警和報告，包括注冊計算機的主機名、ip地址、權(quán)限控制等。在系統(tǒng)警平臺上能夠全面及時查看不同區(qū)域范圍的報警和報告，包括注冊計算機的主機名、ip地址、權(quán)限控制、違規(guī)信息等。 在二次擴展功能中能夠提供對其它計算機數(shù)據(jù)輸入輸出通道的審計管理，如郵件傳輸、ftp傳輸、網(wǎng)絡(luò)共享傳輸、刻錄機復(fù)制等（非介質(zhì)）途徑的控制和審計，彌補可信介質(zhì)管理系統(tǒng)對通道管理的缺陷。 系統(tǒng)報表必須易于閱讀，能夠?qū)С?txt/.htm/.csv/.xls等格式，同時產(chǎn)生包括餅圖、線圖和表等各種形式的定制報告，可由用戶定制報告模板和內(nèi)容。支持各類數(shù)據(jù)(移動存儲設(shè)備操作信息、安全策略、設(shè)備狀態(tài)等)統(tǒng)

16、計，并能生成多種分析報表，提供豐富的報表模板，按不同部門、不同操作系統(tǒng)提供報表；報表輸出支持以網(wǎng)頁的方式展現(xiàn)，提供鏈接可在各項查詢功能中跳轉(zhuǎn)，報表輸出支持.txt/.htm/.csv/.xls等格式，同時可根據(jù)需要輸出柱形圖、餅圖等。系統(tǒng)報表可根據(jù)用戶定制模板產(chǎn)生各種形式的定制報告，并支持第三方管理工具集成。第三章 移動存儲管理系統(tǒng)設(shè)計3.1 系統(tǒng)設(shè)計概述系統(tǒng)管理概述： 組織管理：指定專人/部門負(fù)責(zé)進行usb設(shè)備載體的管理。 審計管理：安全組織之外，由保密部門負(fù)責(zé)usb管理的檢查工作。 技術(shù)控制：采用各種技術(shù)支撐設(shè)施（方法）對usb設(shè)備載體進行管控。 制度管理：制定usb設(shè)備載體管理制度，進行

17、日常操作約束。 應(yīng)急管理：建立usb設(shè)備事故應(yīng)急處理預(yù)案機制。系統(tǒng)技術(shù)概述： 設(shè)備管理 集中注冊：專門管理員統(tǒng)一對入網(wǎng)usb設(shè)備注冊管理。 分別授權(quán)：不同人員、不同部門分密級獲取相應(yīng)授權(quán)。 設(shè)備控制 授權(quán)訪問：非注冊授權(quán)設(shè)備不能在本網(wǎng)絡(luò)使用。 權(quán)限控制：禁止、只讀、讀寫、外來報警等自定義控制。 設(shè)備審計入網(wǎng)審計：合法、非法usb設(shè)備入網(wǎng)記錄，合法性校驗。 使用審計：日常數(shù)據(jù)讀寫、拷貝行為審計，外來設(shè)備操作記錄。3.2 系統(tǒng)流程設(shè)計系統(tǒng)模塊工作流程：（1）客戶端報警信息上報，控制臺指令接收（2）usb設(shè)備注冊信息上報，密碼還原信息獲取（3）綜合數(shù)據(jù)入庫、出庫（4）系統(tǒng)數(shù)據(jù)綜合分析處理（5）系統(tǒng)設(shè)

18、備掃描自動發(fā)現(xiàn)（主機設(shè)備）（6）報警及系統(tǒng)數(shù)據(jù)呈現(xiàn)，系統(tǒng)策略數(shù)據(jù)存儲 網(wǎng)絡(luò)設(shè)備信息采集模塊：負(fù)責(zé)采集計算機中相關(guān)報警、病毒狀況等信息。包含二個子模塊：客戶端模塊、網(wǎng)絡(luò)設(shè)備信息自動發(fā)現(xiàn)模塊。 客戶端管理模塊：通過安裝在計算機上的客戶端程序，對本機移動存儲接口進行管理，并對接入各種移動存儲設(shè)備進行行為審計，處理后提交給后臺數(shù)據(jù)庫。 )數(shù)據(jù)存儲與分析模塊：將采集完畢的數(shù)據(jù)和數(shù)據(jù)庫內(nèi)已有的數(shù)據(jù)進行比對、整理，并進行分析，然后根據(jù)情況進行數(shù)據(jù)更新或報警。 中央控制管理、報警模塊：該模塊為本系統(tǒng)的核心模塊，作用在于統(tǒng)一調(diào)度其他模塊工作，包括各模塊參數(shù)配置、網(wǎng)絡(luò)通訊管理配置、模塊連接、信息匯總顯示、報警顯示

19、等。 usb設(shè)備注冊管理模塊：專用移動存儲設(shè)備授權(quán)工具模塊，將普通u盤作特殊格式化處理，并作標(biāo)簽標(biāo)記。 系統(tǒng)報警處置工作流程:（1）合法設(shè)備：經(jīng)管理員認(rèn)證授權(quán)設(shè)備。（2）非法設(shè)備：外來設(shè)備，無授權(quán)設(shè)備。（3）新入網(wǎng)設(shè)備：未注冊移動存儲設(shè)備，新入網(wǎng)未注冊計算機。 基于定時掃描機制，自動掃描檢測管理網(wǎng)段內(nèi)的計算機是否已經(jīng)安裝移動存儲管理客戶端軟件情況，將設(shè)備信息數(shù)據(jù)同數(shù)據(jù)庫中原始數(shù)據(jù)進行比較，如發(fā)現(xiàn)異常則報警，并阻斷非法設(shè)備的入網(wǎng)。 基于實時檢測機制，由客戶端代理程序自動發(fā)現(xiàn)接入主機的移動存儲設(shè)備，對其進行合法性驗證，并作行為記錄和審計。3.3 系統(tǒng)關(guān)鍵技術(shù) 標(biāo)簽認(rèn)證技術(shù) 通過專用工具程序為usb

20、移動存儲設(shè)備作唯一性認(rèn)證標(biāo)記，該程序從服務(wù)器中讀取本系統(tǒng)的唯一性屬性信息數(shù)據(jù)，經(jīng)過二次處理，將處理后的信息會同預(yù)定義屬性標(biāo)簽寫入磁盤。 專用工具程序把數(shù)據(jù)寫到系統(tǒng)分區(qū)時，采用特定算法對寫入的數(shù)據(jù)進行加密，普通的format方式無法刪除這些數(shù)據(jù)。該程序?qū)σ苿哟鎯υO(shè)備所打標(biāo)簽擁有特殊信息（移動存儲設(shè)備硬件屬性信息、服務(wù)器系統(tǒng)唯一性標(biāo)簽號），經(jīng)過隨機密鑰加密后，具有唯一性標(biāo)識（防止將標(biāo)簽信息復(fù)制到其它客戶端設(shè)備上，進行偽裝接入使用）。 usb移動存儲設(shè)備內(nèi)置標(biāo)簽，同客戶端代理程序的策略對應(yīng)， usb標(biāo)簽符合策略許可才可以使用。 虛擬磁盤技術(shù) 將文件虛擬成磁盤，把所有直接對磁盤訪問定向到文件，采用創(chuàng)建

21、文件方式對磁盤進行扇區(qū)分割，分區(qū)大小可以自由劃分。虛擬磁盤技術(shù)涉及對總線驅(qū)動、物理磁盤驅(qū)動、磁盤過濾驅(qū)動等操作。 虛擬加密磁盤技術(shù)主要由磁盤應(yīng)用程序、虛擬加密磁盤驅(qū)動程序、加密驅(qū)動程序等軟件模塊實現(xiàn)，對機密文件信息的安全保護、加密存儲。 在虛擬磁盤技術(shù)基礎(chǔ)上，采用aes-128位加密算法，對磁盤扇區(qū)進行加密，磁盤的安全性，并附帶口令二次加密密鑰，對虛擬磁盤的數(shù)據(jù)進行雙重加密，確保無法破解。 aes加解密技術(shù) 1）密鑰生成：在利用專用工具對介質(zhì)分區(qū)時即生成 文件加密密鑰，然后用處理后的初始密碼口令xxxxyyyy對文件加密密鑰進行加密。此后加密原始口令，連同加密后的文件密鑰及其它hash信息作二

22、次加密存放在磁盤。 2）用戶登錄：驗證用戶口令，通過后用處理的口令解密文件密鑰，然后監(jiān)測對磁盤的文件讀寫操作，進行文件加解密（對稱算法）。 3）修改密碼：驗證密碼口令，通過后，用處理后的密碼口令解密文件密鑰，然后用新的用戶口令加密文件密鑰，生成密鑰。第四章 移動存儲系統(tǒng)應(yīng)用4.1系統(tǒng)管理效益移動存儲介質(zhì)管理系統(tǒng)能夠從主機層次和傳遞介質(zhì)層次對文件的讀寫進行訪問限制和事后追蹤審計，為網(wǎng)絡(luò)內(nèi)部可能出現(xiàn)的數(shù)據(jù)拷貝泄密、移動存儲介質(zhì)遺失泄密、以及u盤等移動介質(zhì)接入病毒安全的問題提供了解決方案。 1、主機數(shù)據(jù)介質(zhì)拷貝標(biāo)簽認(rèn)證訪問控制； 2、專用移動存儲介質(zhì)數(shù)據(jù)加解密存儲；3、專用移動存儲介質(zhì)內(nèi)嵌主動式病毒

23、安全防御。4、雙數(shù)據(jù)區(qū)交互使用：專用u盤支持交互區(qū)和保密區(qū)劃分。交互區(qū)在授權(quán)計算機上透明使用，在外網(wǎng)或非授權(quán)計算機上支持口令登錄使用；保密區(qū)在授權(quán)計算機上受控使用，在外網(wǎng)或非授權(quán)計算機上不可見。5、全盤數(shù)據(jù)加密：采用aes128位高強度算法對磁盤全面加密，在沒有登錄口令的情況下，使用任何第三方磁盤管理工具都無法獲取內(nèi)部加密數(shù)據(jù)。6、高強度口令保護：在aes高強度加密基礎(chǔ)上，采用8位以上字母、數(shù)字組合口令保護專用u盤的登錄。7、授權(quán)訪問控制：專用u盤配合終端計算機注冊程序的安全策略，靈活控制不同數(shù)據(jù)區(qū)的訪問權(quán)限。對于網(wǎng)絡(luò)中存在不聯(lián)網(wǎng)的單機服務(wù)器或者工作站，可以安裝單機版移動存儲管理軟件，單機版移

24、動存儲管理系統(tǒng)在各服務(wù)器上獨立安裝，普通操作人員無法對其進行修改、卸載，以及軟件策略的管理。單機版移動存儲管理系統(tǒng)針對單機的管理策略由管理人員事先在管理器上制定，在安裝過程中導(dǎo)入預(yù)定義策略。4.2 系統(tǒng)增強功能 提供對除u盤、移動硬盤的存儲介質(zhì)管理外，還能夠?qū)K端的輸入輸出設(shè)備（mp3、打印機、數(shù)碼相機、攝像儀、usb刻錄機、磁帶機、并口、串口、1394 口等）進行管理，確保對計算機數(shù)據(jù)通道的控制，防范數(shù)據(jù)通過移動存儲介質(zhì)之外的途徑泄密。 提供對未安裝移動存儲介質(zhì)管理客戶端計算機的自動/手動遠(yuǎn)程阻斷功能，強制網(wǎng)絡(luò)中每臺計算機都必須安裝受控代理程序，避免未注冊計算機帶來的管理隱患，同時能夠提供特

25、殊的黑白名單管理機制，保證重要服務(wù)器、關(guān)鍵主機不受移動存儲介質(zhì)管理策略的限制。 在二次擴展功能中能夠提供對計算機其它數(shù)據(jù)輸入輸出通道的審計管理，如郵件傳輸、ftp傳輸、網(wǎng)絡(luò)共享傳輸、刻錄機復(fù)制等（非介質(zhì)）途徑的控制和審計，彌補移動存儲介質(zhì)管理系統(tǒng)對通道管理的缺陷。第五章 中間機數(shù)據(jù)交換由于所有注冊移動存儲設(shè)備只能在內(nèi)部網(wǎng)絡(luò)使用，并且數(shù)據(jù)是加密的，外部普通移動存儲設(shè)備又不能在內(nèi)網(wǎng)使用，因此導(dǎo)致內(nèi)外數(shù)據(jù)無法進行交換，必須建立一套安全可靠的內(nèi)外數(shù)據(jù)交換機制。因此，在外部文件拷入內(nèi)部網(wǎng)絡(luò)，內(nèi)部文件拷出內(nèi)網(wǎng)時，都要經(jīng)過專門的中間機進行數(shù)據(jù)交換，具體情況和流程如下：中間機指在授權(quán)計算機和非授權(quán)計算機之間傳

26、遞信息的專用計算機，其對注冊專用存儲設(shè)備和其他存儲設(shè)備均具有訪問權(quán)限。 中間機策略：中間機針對存在整盤加密策略的計算機和外來移動存儲設(shè)備的情況提供數(shù)據(jù)交換，通過策略內(nèi)容邏輯的組合設(shè)計來實現(xiàn)。 授權(quán)計算機指已安裝移動存儲介質(zhì)管理系統(tǒng)客戶端，并對注冊專用存儲設(shè)備具有訪問權(quán)限的計算機。 非授權(quán)計算機指未安裝移動存儲介質(zhì)管理系統(tǒng)客戶端或已安裝客戶端但對注冊專用存儲設(shè)備不具有訪問權(quán)限的計算機。上述中間機設(shè)置情況根據(jù)北調(diào)實際涉密情況確定。1、內(nèi)部文件拷出(1)對外部傳輸涉密文件：a.通過中間機將涉密文件從內(nèi)部專用u盤拷貝到外帶專用u盤拷貝到外部涉密計算機中。（如下圖）b.通過中間機將涉密文件從內(nèi)部專用u盤

27、拷貝到外部未授權(quán)u盤中，再由外部的外帶專用u盤拷貝到外部涉密計算機中。（如下圖） (2)對外部傳輸非涉密文件：a.通過中間機將非涉密文件從內(nèi)部專用u盤拷貝到外帶專用u盤將文件拷貝到外部非涉密計算機中。（如下圖）b.通過中間機從內(nèi)部專用u盤將文件拷貝到外部未授權(quán)盤中，在由外部u盤拷貝到外部非涉密計算機中。（如下圖）2、外部文件拷入（1）對內(nèi)部涉密文件：a. 通過中間機將外部未授權(quán)u盤中的文件拷貝到內(nèi)部專用u盤，再由內(nèi)部專用u盤將文件拷貝到內(nèi)部涉密計算機中。（如下圖）b.使用外帶專用u盤拷貝外部的中間機中的涉密文件，再通過中間機將外帶專用u盤中將涉密文件拷貝到內(nèi)部涉密計算機中。（如下圖） (2)對內(nèi)部非涉密文件：a.通過中間機將外部非涉密文件從外部未授權(quán)盤拷貝到內(nèi)部專用盤中，再由內(nèi)部專用盤拷貝到內(nèi)部涉密計算機中。(如下圖)b.通過中間機外帶專用u盤將外部非涉密文件拷貝到內(nèi)部專用u盤中，再由內(nèi)部專用u盤將文件拷貝到內(nèi)部涉密計算機中。（如下圖）第六章 安全風(fēng)險分析 盡管客戶端兼容目前主流的各種防病毒軟件（瑞星、江民、金