大數據泄露防護解決方案設計

1、數據泄露防護（DLP）解決方案以數據資產為焦點、數據泄露風險為驅動，依據用戶數據特點（源代碼、設計圖紙、Office文檔等）與具體應用場景（數據庫、文件服務器、電子郵件、應用系統(tǒng)、PC終端、筆記本終端、智能終端等），在DLP平臺上靈活采取數據加密、隔離、內容識別等多種技術手段，為用戶提供針對性數據泄露防護整體解決方案，保障數據安全，防止數據泄露。其中包括：> 數據安全網關> 數據安全隔離桌面> 電子郵件數據安全防護> U盤外設數據安全防護>筆記本涉密數據隔離安全保護系統(tǒng)> 筆記本電腦及移動辦公安全> 文檔數據外發(fā)控制安全1、數據安全網關背景：如今，企業(yè)

2、正越來越多地使用ERP、OA、PLM等多種應用系統(tǒng)提升自身競爭力。與此同時，應用系統(tǒng)中的數據資產正受到前所未有的安全挑戰(zhàn)。如何防止核心數據資產泄露，已成為信息安全建設的重點與難點。概述：數據安全網關是一款部署于應用系統(tǒng)與終端計算機之間的數據安全防護硬件設備。瞬間部署、無縫集成，全面實現ERP、OA、PLM等應用系統(tǒng)數據資產安全，保障應用系統(tǒng)中數據資產只能被合法用戶合規(guī)使用，防止其泄露。瞬間部署無縫集成全面實現ERP.OA、PLM等應用系統(tǒng)中數據適產安全具體可實現如下效果：應用安全準入采用雙向認證機制，保障終端以及服務器的真實性與合規(guī)性，防止數據資產泄露。非法終端用戶禁止接入應用服務器，同時保障

3、合法終端用戶不會鏈接至仿冒的應用服務器。合法用戶可正常接入應用服務器，訪問應用系統(tǒng)資源，不受限制；統(tǒng)一身份認證數據安全網關可與LDAP協(xié)議等用戶認證系統(tǒng)無縫集成，對用戶進行統(tǒng)一身份認證，并可進一步實現用戶組織架構分級管理、角色管理等；下載加密上傳解密下載時，對經過網關的文件自動透明加密，下載的文檔將以密文保存在本地，防止其泄露；上傳時對經過網關的文件自動透明解密，保障應用系統(tǒng)對文件的正常操作；提供黑白名單機制可依據實際管理需要，對用戶使用權限做出具體規(guī)則限定，并以此為基礎，提供白名單、黑名單等例外處理機制。如：對某些用戶下載文檔可不執(zhí)行加密操作；提供豐富日志審計詳細記錄所有通過網關的用戶訪問應

4、用系統(tǒng)的操作日志。包括：時間、服務器、客戶端、傳輸文件名、傳輸方式等信息，并支持查詢查看、導出、備份等操作；支持雙機熱備、負載均衡，并可與虹安DLP客戶端協(xié)同使用，更大范圍保護企業(yè)數據資產安全；2、數據安全隔離桌面背景：保護敏感數據的重要性已不言而喻，但如何避免安全保護的“一刀切”模式（要么全保護、要么全不保護）？如何在安全保護的同時不影響外部網絡與資源的正常訪問？如何在安全保護的同時不損壞寶貴數據？概述：在終端中隔離出安全區(qū)用于保護敏感數據，并在保障安全區(qū)內敏感數據不被泄露的前提下，創(chuàng)建安全桌面用于安全訪問外部網絡與資源。在保障敏感數據安全的同時，提升工作效率。具體可實現效果：1）只保護安全

5、區(qū)內敏感數據安全，其它數據不做處理；2）通過身份認證后，方可進入安全區(qū)；3）安全區(qū)內可直接通過安全桌面訪問外部網絡與資源；4）安全區(qū)內敏感數據外發(fā)必須通過審核，數據不會通過網絡、外設等途徑外泄5）敏感數據不出安全區(qū)不受限制，數據進入安全區(qū)是否受限，由用戶自定義；特色優(yōu)勢：1）避免安全保護“一刀切”，可只保護敏感數據；2）敏感數據保護與自由上網，互不影響；3）不會損壞敏感數據，適合保護各類敏感數據，包括源代碼、設計圖紙等動則上G的大文件；3、電子郵件數據安全防護背景：電子郵件已經成為日常工作中最常用的通信工具之一。然而，電子郵件在網絡中是以明文形式傳輸和存儲，就猶如在信息高速公路上“裸奔”一樣，

6、企業(yè)敏感信息隨時存在被截獲和瀏覽的風險。端到端電子郵件加密服務已成為電子郵件市場的迫切需求。電子郵件加密客戶端概述：電子郵件加密客戶端是在實現普通郵件系統(tǒng)功能之上，綜合運用身份認證、數字簽名、郵件正文及附件加密等安全技術手段，為用戶提供安全、可控、便捷的電子郵件服務.郵件正丈以疑咁停加密轉怕，存值-合法用戶正常瀏覽郵件正文與使用附件電子郵件加密客戶端主要實現效果：1）身份認證：保障電子郵件使用者身份的真實性；2）數字簽名與摘要：保障電子郵件內容的不可否認性與完整性；3）正文及附件加密：可對電子郵件的正文以及附件進行加密，未通過身份認證無法使用，保障電子郵件內容的安全性；4）權限控制：細粒度管控

7、用戶對電子郵件的使用權限，并對下載至本地終端的郵件附件仍可進行安全管控,保障合法用戶在授權范圍內使用電子郵件；5）日志審計：詳細記錄對電子郵件的操作記錄，泄露行為可追溯電子郵件加密主要特色優(yōu)勢：1）郵件正文與附件均可加密保護且不改變正常操作習慣；2）可與其它安全模塊協(xié)同使用，更大范圍保障用戶數據安全；4、U盤外設數據安全防護部署結構圖圖2策略實現結構圖針對移動存儲設備的信息防泄露的安全需求，通過部署外設控制管理產品，可以有效解決前述的各種問題和矛盾。首先，通過數據加密機制和外設端口管理，包括無線網卡、藍牙、紅外、打印機、光驅（或只禁止刻錄）、軟驅、1394、調制解調器等外設接口，對移存儲設備中

8、的工作文件進行安全防護，防止各種方式的泄露以及意外丟失所帶來的安全風險。其次，通過分組注冊機制，專用U盤（內部使用），通用U盤（內外均可正常使用），對策略進行細分，詳細控制使用者的使用范圍和使用權限，實現移動存儲設備的統(tǒng)一管理和策略授權。再次，通過離線時間控制策略，根據在線和離線不同場景，防止外出人員出差時候移動電腦失控，隨意使用U盤拷貝文件。配合網絡防火墻控制和訪問權限控制功能，防止外網連接帶來的木馬和病毒傳播擴散風險。最后，對U盤拷貝數據的流量進行限制，給出報警信息，并生成違規(guī)日志上報到后臺?？蛻舳嗽陔x線和在線的情況下都會進行USB交換數據的記錄,并在連線時自動連接服務器上傳日志文件。US

9、B交換數據的記錄能夠導出到Excel，方便進一步的流轉和分析。策略實現外設控制管理系統(tǒng)已經在被多家大型企業(yè)長期運行，結合信息在不同企業(yè)不同的流轉過程基于全面的數據安全防護理念，建立主動的內網信息防泄露平臺，有效管控了U盤等移動存儲設備泄密的風險，運行穩(wěn)定，與操作系統(tǒng)和各類應用軟件完全兼容，絲毫不影響員工的工作習慣。使用外設控制管理系統(tǒng)可以有效保護知識產權，防止企業(yè)核心數據通過移動存儲設備泄密系統(tǒng)簡便、易操作，不改變現有使用習慣。外設控制管理系統(tǒng)與虹安數據泄露防護系統(tǒng)結合，可進一步提升安全管理水平。彈性的外部設備使用管理，無需完全禁用USB設備，安全享受移動存儲設備為辦公帶來的便攜性。建立移動存

10、儲設備使用規(guī)范，加強使用權限管理，規(guī)范信息轉移，保證完整審計。通過透明加密文檔信息，保證移動存儲設備中的敏感信息安全。限制新接入移動存儲設備的使用，有效預防U盤病毒泛濫。5、筆記本涉密數據隔離安全保護系統(tǒng)在筆記本終端上對涉密數據進行安全隔離保護，全方位防止涉密數據泄密，具體實現如下效果：1、在筆記本終端構建涉密數據隔離保護模式與正常工作模式在筆記本終端構建涉密數據隔離模式與正常工作模式。隔離保護模式下保護涉密數據，正常工作模式下不做處理，給予用戶自由空間，最大限度消除用戶抵觸情緒，提升工作效率；正常工作撲戎同一合筆記本隔離出兩種模式0涉愿做據隔離保護模式2、需要進入筆記本涉密數據隔離保護模式時

11、插入硬件KEY即可在需要進入筆記本終端涉密數據隔離保護模式時，僅須插入硬件KEY，通過身份認證即可進入隔離保護模式。涉密數據安全保護方便快捷；3保護模式下多重隔離保護體系全方位防止涉密數據泄密在涉密數據隔離保護模式下，多重隔離防護體系，可全方位防止涉密數據泄密：過份證可入密據離護式通身認方進涉數隔保模涉密數振隔離保護模式正常工作模式涉密殺器英它殺據不徴處理3.1 防止通過偽造身份途徑泄密；通過硬件KEY加強用戶身份認證，且KEY與用戶終端綁定，進一步增強安全性；3.2 防止通過卸解磁盤途徑泄密；通過內核級磁盤加密技術，即使筆記本磁盤被卸載也不會導致涉密數據泄密；3.3 防止通過拷貝、粘貼復制、

12、另存為途徑泄密；通過還原技術，防止涉密數據通過拷貝、粘貼復制、另存為等途徑泄密；3.4防止通過網絡、U盤外設途徑泄密；通過網絡、U盤外設隔離，防止涉密數據通過郵件、QQ、MSN、飛信、移動存儲設備、打印機、紅外、藍牙、無形網卡等各種途徑泄密；3.5 涉密數據泄密行為可追溯；全面記錄涉密數據的操作行為，據此可對泄密行為進行追溯。并可通過安全審計，檢查系統(tǒng)所實施的安全策略是否恰當，尋求安全的持續(xù)改善；3.6 只允許合法授權用戶外發(fā)涉密數據；通過基于人員角色的權限控制，保障涉密數據外發(fā)必須通過合法授權且對外發(fā)行為進行記錄；既不影響工作正常開展，也解決了涉密數據外發(fā)安全問題；4、支持筆記本移動辦公場景

13、，提升工作效率；通過離線策略，支持合法授權用戶攜帶筆記本外出辦公，既不影響工作正常開展，也解決了攜帶筆記本外出的數據安全問題；5、系統(tǒng)損耗低且不會損壞數據，穩(wěn)定性好；通過隔離構建安全環(huán)境，而非對海量數據自身進行處理，來實現涉密數據安全保護目的。系統(tǒng)性能損耗低且不會損壞涉密數據，穩(wěn)定性好；6、筆記本電腦及移動辦公安全如今，在企業(yè)或用戶組織中，經常使用筆記本電腦或需要移動辦公的人員，往往在組織中處在比較重要的地位。對于企業(yè)而言，最典型的筆記本或移動辦公用戶是企業(yè)管理層、核心員工、銷售或支持人員。這些成員處理的信息往往具備較大的流動性和重要性，有些甚至是公司的核心機密。由于這些人員的業(yè)務特征，其流動

14、性和靈活性是必不可少的要求，因此，信息所面臨的風險也就更加突出。筆記本或移動辦公的信息安全問題也就成為大部分企業(yè)或組織的焦點問題。筆記本或移動辦公的安全問題從管理角度來看，一般存在下列突出的矛盾：出差人員時常處理一些核心機密，而出差在外，信息面臨的風險更大，需要更加嚴格的安全保護。事實上，筆記本丟失，硬盤丟失，出差人員使用外網發(fā)送機密信息，出差人員違規(guī)將信息發(fā)送給不恰當的對象等等。這些無一不成為企業(yè)信息安全主管，甚至是企業(yè)領導擔心的焦點。 在出差或移動辦公過程中，公司業(yè)務的連續(xù)性和及時性需要得到更強的保障。而一般的安全解決方案，比如常見的離線策略、解密審批策略等往往缺乏時效性，安全是有了保障，

15、業(yè)務卻受到極大的干擾。 筆記本或移動辦公用戶往往會在處理公司正常業(yè)務的同時，需要處理一些個人私事，甚至一些商務工作也必須要在公共網絡和平臺上開展。安全方案的實施，應該在不影響個人事務的開展前提下進行。 使用筆記本出差或移動辦公情況下，外發(fā)的文檔和信息需要得到有效的監(jiān)控和審計。概括上述問題，許多客戶都陷入到一個困境之中：溝通要順暢，安全要保障，二者似乎不可兼得。魚和熊掌可以兼得，基于虹安Isolator信息安全隔離系統(tǒng)，虹安提出一個全新的筆記本和移動辦公安全解決方案。安全方案隔離產品要求從存儲隔離、運行隔離和網絡隔離三個層次為用戶信息建立完備的安全保障體系。首先，將用戶電腦上的數據存儲分為普通區(qū)

16、和數據保護區(qū)，數據保護區(qū)進行數據加密處理。然后，針對兩個存儲區(qū)域數據的使用，分別形成普通模式和數據保護模式，二者隔離共存，切換自如。最后，保證用戶在數據保護模式中只能夠訪問辦公網絡，數據保護區(qū)的信息在外發(fā)時受到安全策略控制。在普通模式中可以任意訪問外部網絡，不受約束。策略部署結構圖隔離產品須具有5大功能： 網絡資源隔離 應用環(huán)境隔離 數據存儲隔離 文件日志審計 磁盤分區(qū)加密針對網絡隔離的需要，通過部署，可以有效解決前述的各種問題和矛盾。首先，通過在員工電腦終端上安裝管理軟件，電腦磁盤被劃分為兩個區(qū)域一一普通區(qū)和數據保護區(qū)，數據保護區(qū)進行數據加密處理。即使硬盤被盜，也不會導致由磁盤引起數據泄密。

17、其次，員工在數據保護模式開展工作，在普通模式下查閱資料，處理商務或個人事務。普通模式中的各種信息可以通過簡單的復制、粘貼或拖拽動作就很方便的拷貝到數據保護區(qū)中。在普通模式下，各種外設端口都可以正常使用；而在數據保護模式下，除了外發(fā)文件受到監(jiān)控之外，所有外設端口都是禁用的。最后，員工在普通模式中可以隨意上外部網絡、使用即時通訊軟件，但不能登錄公司內部辦公網絡和使用公司內部即時通訊軟件。相反，員工只能夠在數據保護模式中訪問公司內部網絡，所有內部網絡上獲得的信息也只會保存在數據保護區(qū)中。從數據保護模式向普通模式傳遞的任何信息都會受到安全策略的管理。根據權限，可能是禁止，也可能是申請審批或者事后審計。

18、策略部署網絡隔離信息安全解決方案，可以有效的解決網絡隔離的安全性與便利性之間的矛盾，使安全方案真正的被用戶所接受，提高工作效率，工作舒適度，確保工作思路不被隨意打斷，安全策略得到理解和尊重。網絡隔離信息安全解決方案在一個終端上實現了網絡、應用環(huán)境和存儲的隔離，極大的降低企業(yè)的管理、運維和IT成本。網絡隔離方案在網絡隔離的基礎上，將信息外發(fā)簡化為從數據保護模式到普通模式的唯一通道，管理策略簡單一致，員工容易理解和遵守，也極大的提高了安全策略的可維護性，降低管理難度，提高了管理效率。最后，最新的隔離產品一般都具有三重隔離手段，使網絡隔離從存儲加密開始，又在存儲加密上落地，杜絕了一切特例和私自拷貝或

19、外發(fā)的可能，提高了隔離的實效。7、文檔數據外發(fā)控制安全信息化高速發(fā)展的今天，企業(yè)的各種數據均以電子文檔的形式存儲和使用，而現代企業(yè)的運作建立在分工協(xié)作的基礎上。由此，工作中我們的文件資料經常需要在內部或者外部人員之間流通使用，電子文檔易于傳播和擴散的特點造成企業(yè)核心數據容易泄露給競爭對手，導致企業(yè)的核心利益的損失。鑒于此，我們以企業(yè)日常交流、協(xié)作過程中遇到的問題為例，說明文件外發(fā)所面臨的信息泄露以及安全保護問題。1. 企業(yè)將內部重要數據發(fā)給客戶后，客戶會將這些核心資料傳遞給其他用戶或者競爭對手使用，這些用戶又會將資料傳遞給另外的人員使用。如此循環(huán)，企業(yè)商業(yè)文件將大范圍不受控制地任意擴散、傳播，

20、會使企業(yè)機密遭受惡意曝露；由此引起的商業(yè)糾紛，即使通過法律手段解決，也不好界定或者為時已晚。2現行的操作系統(tǒng)，對企業(yè)外發(fā)文件沒有使用權限的管理機制。致使企業(yè)外發(fā)文件具備被任意操作的權限，例如復制、剪切、編輯、另存等，方便企業(yè)人員在使用外發(fā)文件過程中有意或者無意將數據泄露。3. 企業(yè)的外發(fā)文件即使采取身份認證、使用范圍限制和使用權限的控制等手段來保護外發(fā)文檔的安全，但出差、外出辦公等造成筆記本丟失等情況的發(fā)生，也會出現文件容易被非法破解而導致數據的泄露。4. 文件在整個外發(fā)使用過程中，不同的人員會參與其中，如果不對外發(fā)文件的生命周期內進行記錄，則很難保證外發(fā)文件被安全使用。5. 早期的一些外發(fā)文

21、件控制系統(tǒng)，采用格式轉換的方式，配以專用的瀏覽閱讀工具，使用權限控制強度不夠，外發(fā)文件制作效率低下，用戶使用起來很不方便。這類系統(tǒng)能夠控制的文件類型也非常有限，導致這些產品不能很好地滿足用戶的需求?；谝陨蠈ζ髽I(yè)外發(fā)文件的使用問題分析，一個良好的文件外發(fā)控制管理系統(tǒng)所需要滿足用戶的需求可以概括為：1. 企業(yè)外發(fā)文件的使用需要驗證使用者身份以及使用范圍，從這兩個方面入手，可以確保外發(fā)文件的傳播擴散的速度和范圍。2. 驗證外發(fā)文件使用者身份和使用范圍可以在一定程度上確保外發(fā)文件不為非授權用戶非法使用；但對外發(fā)文件的使用進行相應的如打印、編輯、復制等權限授權控制，更杜絕了授權用戶在使用過程中有意或無

22、意將內容泄露的途徑。3. 為了保證外發(fā)文件的機密性和減少文件丟失所帶來的安全威脅，需要對外發(fā)文件進行加密保護處理，確保文件不因意外情況導致數據泄露。4. 需要監(jiān)控外發(fā)文件整個操作過程，詳細記錄外發(fā)文件的使用，并形成相應的日志記錄，保證企業(yè)能清楚地知道外發(fā)出去的文檔的受控情況。5. 需要滿足用戶對外發(fā)文件制作流程復雜度、文件格式支持以及外發(fā)控制安全性方面的要求，符合行業(yè)相關安全規(guī)范。安全系統(tǒng)設計方案系統(tǒng)要求文件外發(fā)控制管理系統(tǒng)，結合企業(yè)在協(xié)同工作過程中對外發(fā)文件的控制和管理要求，制定了針對性強的外發(fā)控制管理策略。該方案采用目前成熟的加密機制，對外發(fā)文件的機密性進行保護；同時考慮到市場對大文件外發(fā)控制的需求，增加了可對大文件的外發(fā)制作進行特殊的加密壓縮處理策略，極大節(jié)省了存儲空間和網絡帶寬的占用。文件外發(fā)控制管理系統(tǒng)需要具有的核心功能如下： 豐富的授權認證 細粒度權限控制 嚴格的版權標記 統(tǒng)一的授權管理 靈活的制作方式 詳細的日志記錄系統(tǒng)實施企業(yè)針對文件外發(fā)制作對于防止信息泄露的安全需求，通過文件外發(fā)控制管理系統(tǒng)的部署，可以有效解決前述的各種問題和安全威脅。首先，通過數據加密和壓縮機制對需要外發(fā)的文件進行機密性防護處理，防止各種方式的泄露以及意外丟失所帶來的安全風險。其次，通過外發(fā)文件的身份認證以及使用范圍的限制，經過授權使用的用戶、環(huán)境才能打開外發(fā)文件，非法用