企业数据安全,防泄密解决方案

技 术 白 皮 书 苏州深信达 2013年10月 目  录 第一章. 概述    3 1.1 常见的机密电子文件泄密途径    3 1.2 防泄密的现状    3 1.3 深信达SDC机密数据保密系统    4 第二章 SDC系统介绍    6 2.1 SDC系统架构    6 2.2 SDC系统功能    7 2.2.1客户端涉密文件自动加密    7 2.2.2涉密网络内部通畅，隔离外来PC    7 2.2.3非涉密受限白名单    8 2.2.4涉密文件外发    9 2.2.5打印内容日志    10 2.2.6离线客户端    10 2.2.7 客户端涉密文件自动备份    11 2.2.8涉密文件加密导出导入    11 2.2.9 服务器端数据保护    12 第三章 SDC系统特点    13 3.1沙盒加密是个容器，和软件类型无关，文件类型无关    13 3.2能和文件共享服务器，应用服务器无缝结合    13 3.3安全稳定，不破坏数据    13 3.4使用便利，操作机密数据的同时，可以上网    14 3.5超强的反截屏    14 第四章 推荐运行环境    15 4.1 管理端（可以和机密端装在一起）    15 4.2 机密端（可以和管理端装在一起）    15 4.3 外发审核服务器（可以和管理端装在一起）    15 4.4 客户端    15 第五章 关于深信达    16 5.1深信达介绍    16 5.2联系我们    16 附录一：透明加密技术发展    17 附录二：SDC沙盒资质及成功客户    21 第一章. 概述 1.1 常见的机密电子文件泄密途径 近年来,电脑以及互联网应用在中国的普及和发展，已经深入到社会每个角落，政府,经济，军事，社会，文化和人们生活等各方面都越来越依赖于电脑和网络。电子政务，无纸办公、MIS、ERP、OA等系统也在企事业单位中得到广泛应用。 但在这个发展潮流中,网络信息安全隐患越来越突出,信息泄密事件时有发生。众所周知，电子文档极易复制，容易通过邮件，光盘，U盘，网络存贮等各种途径传播。企事业的机密文档，研发源代码，图纸等核心技术机密资料，很容易经内部员工的主动泄密流转到外面，甚至落到竞争对手手中，给单位造成极大的经济与声誉损失。 常见的泄密的途径包括： - 内部人员将机密电子文件通过U盘等移动存储设备从电脑中拷出带出； - 内部人员将自带笔记本电脑接入公司网络，把机密电子文件复制走； - 内部人员通过互联网将机密电子文件通过电子邮件、QQ、MSN等发送出去； - 内部人员将机密电子文件打印、复印后带出公司； - 内部人员通过将机密电子文件光盘刻录或屏幕截图带出公司； - 内部人员把含有机密电子文件的电脑或电脑硬盘带出公司； - 含有机密电子文件的电脑因为丢失，维修等原因落到外部人员手中。 - 外部电脑接入公司网络，访问公司机密资源盗取机密电子文件泄密 - 内部人员将通过Internet网络存储，进行保存。 。。。。 。。。。 1.2 防泄密的现状 为解决这些泄密风险问题，许多单位采取拆除光驱软驱，封掉USB接口，限制上网等方法来进行限制；或者安装一些监控软件，监控员工的日常工作，使其不敢轻举妄动；或者安装各种网络信息安全防护产品，如防火墙，入侵检测，防病毒产品等来防范黑客攻击和病毒侵袭。但人们很快发现，限制上网、封闭USB接口、拆除光驱软驱、安装监控软件等等做法一方面严重影响工作的方便性，并容易引起员工的抵触情绪，甚至可能会带来法律方面的问题；另一方面还是无法根本杜绝有意的内部泄密行为，同时存在因噎废食之嫌。 大量事实也证明这些方法效果不是很好，主要存在的弊端为： l 影响员工工作情绪甚至造成法律纠纷； l 增加企业运营成本，降低工作效率； l 无法防止软件研发人员泄密； l 精力都花在泄密后的事后追溯上； 1.3 深信达SDC机密数据保密系统 技术处于国际领先的深信达公司研发的SDC（Secret Data Cage）机密数据保密系统，采用世界上最先进的第三代透明加密技术---内核级纵深立体沙盒加密技术，是专门为解决源代码，图纸，文档等机密数据泄密问题而设计的一套防泄密系统。 现在的企业都有自己的局域网，一般主要核心机密数据存放于服务器上，一部分存储在员工在自己的电脑上。SDC的保密设计理念是： 当员工工作的时候，在员工电脑上虚拟出一个对外隔绝的加密的沙盒，该沙盒会主动和服务器进行认证对接，然后形成服务器-客户端沙盒 这样一个涉密的工作空间，员工在沙盒中工作，这样一来： --服务器上的机密数据在使用过程中不落地，或落地即加密。 --员工电脑上的所有开发的成果只能存放到服务器上，或者本地的加密沙盒中。 --沙盘是和外界隔绝的，所以不会泄密。 SDC加密的沙盒，是个容器，什么都能装；加密自身不关心个体是什么，所以和进程无关，和文件格式无关，和文件大小无关，不会去破坏文件。也不像其他的加密软件一样，修改文件自身内容。 SDC沙盒示意图 客户端在接触涉密资源的时候，自动启动一个加密的沙盒，沙盒是个容器，把涉密软件，文件扔到沙盒容器中加密。而这个容器是透明的，使用者感觉不到它的存在。 SDC采用最先进的内核级纵深加密技术（磁盘过滤驱动，文件过滤驱动，网络过滤驱动等）进行开发设计的，充分考虑了扩展性，易用性。系统本身集成网络验证，文件加密，打印控制，程序控制，上网控制，服务器数据保护等，能有效防止外来PC，移动存储，光盘刻录，截屏等泄密行为发生。其主要特点为： - 全透明加密，不影响员工工作效率和习惯； - 可以保护所有文件格式，包括所有文档格式，所有源代码格式，图纸格式； - 安全稳定，不破坏文件； - 只保密机密数据(源代码，图纸)而不监控不泄密的上网，尊重了员工隐私。 - 外发文档审计，加密，防泄密处理； - 外发邮件申请，审计业务流。 使用深信达SDC沙盒数据保密系统，可以切实保护企机密数据的安全。 SDC机密数据防泄密系统示意图 适合的行业包括： - 软件、通讯、游戏、制造、电力、金融等拥有研发设计部门的企事业单位； - 拥有自己的研发部门，具有一定的技术优势企业； - PDM/ERP/文档管理/OA等应用系统的开发商； - 所有需要对自己的机密信息保密的企事业单位。 第二章 SDC系统介绍 2.1 SDC系统架构 深信达SDC机密数据保密系统分管理端，机密端，外发审核服务器，客户端四部分。管理端是整个系统的控制中心，系统中只有一个；机密端是存放机密数据的服务器，一个系统中允许有多台机密服务器；外发审核服务务器是对外发文件进行审核；客户端是安装在员工PC上的防泄密策略的执行程序。根据需要，管理端，机密端，外发审核服务器可以安装在同一台电脑上。 SDC防泄密系统架构图 管理端： 对系统中的机密端，客户端进行策略管理，组织管理；客户端日志收集； 企业加密密钥管理；客户端卸载管理；机密服务器，外发审核服务器认证管理； 机密端： 保存机密数据的服务器，对来访用户进行严格审计，加密认证。可以是文件共享服务器，ERP，PDM服务器，文档管理系统。或者是VSS，CVS，SVN文件版本管理服务器。非客户端无法访问机密端。 外发审核服务器： 对外发的邮件，文件进行审核，对于涉密文件可自动加密。外发结果 记录 混凝土 养护记录下载土方回填监理旁站记录免费下载集备记录下载集备记录下载集备记录下载 。 客户端： 透明加密解密，真正和格式无关的加密。可信网络认证，机密资源认证。 打印控制，禁止打印，指定打印机打印，打印内容日志回传。 离线控制；文档外发等 2.2 SDC系统功能 2.2.1客户端涉密文件自动加密 SDC采用内核级纵深加密技术，对所有涉密文件都进行透明加密处理，真正做到不区分文件格式，不区分软件类型。只要是涉密信息，不管Office系列，PDF等常用文档，还是AutoCAD等制图类软件，或者是Microsoft Visual Studio, Eclipse等软件开发工具，一律自动加密，不但包括源代码，源图纸，而且编译中间文件等都自动加密，关键的是不影响本地编译，不影响性能。对于需要提交服务器进行编译的也能轻松适用。 客户端透明加密解密示意图 加密的数据不能通过移动存储(如U盘)，光盘，网络，邮件，文件另存，内容复制，截屏录屏等泄密途径泄密，甚至把硬盘拔走都不会造成泄密。 2.2.2涉密网络内部通畅，隔离外来PC 机密服务器和进入涉密沙盒模式下的客户端，形成一个涉密地，安全的网络空间，在涉密网络内部，信息传输是透明的，流畅的。传输方式包括文件共享，C/S（客户端和管理端）B/S（浏览器/服务器）构架的应用，和布置SDC前比，没什么区别。涉密网络内，飞秋，IPMSG等局域网内部聊天工具照常可以使用。