亿赛通文档安全管理系统DLP-CDG3.0产品技术白皮书

亿赛通文档安全管理系统CDG3.0技术白皮书二〇〇九年四月版本历史版本日期备注1.02009年4月1日第1版《亿赛通文档安全管理系统DLP-CDG3.0技术白皮书》Copyright©2009ESAFENETCorporationBeiJingP.R.ChinaESAFENETCONFIDENTIAL:ThisdocumentcontainsproprietaryinformationofESAFENETCorporationandisnottobedisclosedorusedexceptinaccordancewithapplicableagreements.DuetoupdateandimprovementofESAFENETproductsandtechnologies，informationofthedocumentissubjectedtochangewithoutnotice.目录1.研发背景.................................................................................................................42.设计理念.................................................................................................................53.核心优势.................................................................................................................74.产品概述.................................................................................................................85.产品靓点...............................................................................................................196.运行环境...............................................................................................................201.研发背景随着计算机和网络技术的飞速发展，越来越多的信息以电子形式存储在个人和商用电脑中，并且通过网络进行广泛地传递，在大量的信息存储和交换中，信息的安全问题越来越引起人们的重视。企业一般有着完善的书面文档涉密管理制度，并且由单独的文控中心负责制订、监督、审计企业内部重要情报信息使用状况，亦达到了很好的效果。而电子文档却都以明文方式存储在计算机硬盘中，电子格式存储的重要情报信息却由于传播的便利性和快捷性，对分发出去的文档无法控制，极大的增加了管理的复杂程度，这部分的资产极易于受到损害，那就是明文泄密！按照对电子信息的使用密级程度和传播方式的不同，我们将信息泄密的途径简单归纳为如下几方面：¾由电磁波辐射泄漏泄密(传导辐射、设备辐射等)这类泄密风险主要是针对国家机要机构、重要科研机构或其他保密级别非常高的企、事业单位或政府、军工、科研场所等，由于这类机构具备有非常严密的硬保密措施，只需要通过健全的管理制度和物理屏蔽手段就可以实现有效的信息保护。¾网络化造成的泄密(网络拦截、黑客攻击、病毒木马等)网络化造成的泄密成为了目前企业重点关注的问题，常用的防护手段为严格的管理制度加访问控制技术，特殊的环境中采用网络信息加密技术来实现对信息的保护。访问控制技术能一定程度的控制信息的使用和传播范围，但是，当控制的安全性和业务的高效性发生冲突时，信息明文存放的安全隐患就会暴露出来，泄密在所难免。¾存储介质泄密(维修、报废、丢失等)便携机器、存储介质的丢失、报废、维修、遭窃等常见的事件，同样会给企业带来极大的损失，在监管力量无法到达的场合，泄密无法避免。¾内部工作人员泄密(违反规章制度泄密、无意识泄密、故意泄密等)目前由于内部人员行为所导致的泄密事故占总泄密事故的70%以上，内部人员的主动泄密是目前各企业普遍关注的问题，通过管理制度规范、访问控制约束再加上一定的审计手段威慑等防护措施，能很大程度的降低内部泄密风险，但是，对于终端由个人灵活掌控的今天，这种防护手段依然存在很大的缺陷，终端信息一旦脱离企业内部环境，泄密依然存在。¾传统防御手段的不足对于核心电子信息的防护，传统方法为完善的管理制度和人性感化，同时也采用终端防御类技术配合，如：防水墙、终端安全平台、审计平台、行为管理等，这类技术和方法的主要缺陷在于无法防止内部员工的有意识、主动泄密！如重新安装操作系统、从盘引导、破坏防御平台运行环境等带来的泄密隐患。信息的安全保护，必须从源头做起，即信息加密；只有对信息进行加密，才能有效的实现信息全生命周期保护。亿赛通作为国内数据泄露防护领域第一品牌，专注于数据安全研究，为企业提供最优的安全解决方案。2.设计理念核心信息的加密保护，已经成为企业信息资产保护的一个必要手段。为了配合企业人性化管理的特点，亿赛通公司贯彻先进的设计理念，结合丰富的实施经验，并吸收广大客户建议，设计出符合企业安全现状和发展需要的数据防泄露解决方案-亿赛通文档安全管理系统V3.0(简称CDGV3.0)。2.1.事前主动防御企业对于信息资产的保护，传统保护模式均为被动式防御：出现泄密事件后才引起信息资产的保护重视，紧急调整管理制度并采用硬屏蔽手段来约束泄密再次发生，无法快速锁定泄密对象和途径来降低泄密损失。亿赛通CDGV3.0将打破传统的保护思路，采用对企业信息资产主动设防的理念，一旦设定保护策略，将对核心信息进行全生命周期强制加密保护，有效规避员工由于有意识或无意识导致的信息泄密，让企业变被动为主动；同时，提供用户主动的细粒化权限设置保护，防止核心信息在内部共享、流转、使用时所带来的数据扩散泄密。2.2.事中灵活控制亿赛通CDGV3.0拥有强大的策略设定平台和密钥定制平台，能够根据企业各种复杂应用和业务需求定制出个性化的管理策略，并通过管理策略的调整来灵活设定各个终端及用户的保护范围和保护模式，并可动态调整保护对象的安全密级，如企业分公司与分公司间、部门与部门间、部门内部不同分组间、项目组与项目组间以及部门与临时项目组间、人员与人员之间等。可以根据各种不同的业务需求来设定和调整对应安全策略，在保证安全的同时又能支持灵活的业务应用，给企业带来前所未有的安全收益。2.3.事后追踪审计亿赛通CDGV3.0提供了强大的日志审计平台，能够为企业提供丰富的日志报表查询，同时根据需要可设定日志存活周期，也可支持无期限记录系统日志；系统管控范围内终端及用户的所有操作日志，均被详细记录，同时根据审计需要可输出各种类型报表。亿赛通CDGV3.0结合企业多维审计的需求，在国内率先推出图文并茂的审计功能，在传统报表审计的基础上，融入统计报表功能，通过直观统计图来为企业提供详细的日志审查信息。2.4.集中管理亿赛通CDGV3.0采用权限集中化管理、信息可分布存储的特点，为企业提供了强大的集中管控平台。可集成化的身份认证平台、强大的终端管控能力、科学的管控策略、灵活的审批流程等特点，为企业提供高质量的规范管理、高性能的安全管控和低开销的运营成本。2.5.管控分级亿赛通CDGV3.0采用权限分离、管控分级的信息安全管控理念，将系统管理维护和日志审计权限有机分离，避免由于管理人员权限过大而导致的泄密隐患；同时为了缓解大中型企业系统管理人员工作压力和强度，亿赛通CDGV3.0提供了管控权限分级下放功能，通过各种分级管理权限来分担系统管理职责，同时也可根据企业需要来自主设置管理权限组合，方便企业规范管理。2.6.人性化应用亿赛通CDGV3.0在面向终端用户时，采用了透明、无感知特性，任意受控用户基本感觉不到安全系统的存在。不改变用户原有工作习惯、不增加用户工作负担、不限制用户的操作行为，在保证用户原有业务模式的情况下，不影响用户的工作效率，让用户在安全的环境中无感知的处理各种涉密业务。人性化的平台支持让用户舒心、称心。2.7.流程化协同为了保障企业原有的工作效率和业务流程，亿赛通CDGV3.0提供了功能强大、操作简单、设计合理的流程化协同工作流，如在线审批流程、离线审批流程、卸载审批流程、邮件自动化申请发送流程、权限变更审批流程等，结合冒泡提醒、在线短消息、短信通知、邮件通告等特性功能，为企业自动化协同办公提供了保障，也极大的方便了终端用户的使用，更促进了企业的规范化管理。3.核心优势3.1.完全自主知识产权亿赛通拥有软件产品著作权，并是国内第一套完全基于BS7799信息安全管理标准的内网信息安全管理产品。3.2.世界领先技术亿赛通公司的核心技术“智能动态加解密”，应用于操作系统文件过滤驱动层，是由亿赛通自主研发并在国内外首先提出的文档安全管理理念，该技术安全、高效、稳定、升级维护简单，具有很强的兼容性和延展性，不管应用层为何种文件格式，只需策略设定，即可对所有格式文件进行加密。3.3.最有效系统集成对不同行业特点及技术平台，凭借亿赛通CDGV3.0本身具备的兼容性，有效地与不同行业不同客户的系统进行集成，推出了不同行业的文档加密行业解决方案。目前已经广泛应用于政府、军队、电信、制造业、研究院及教育机构。4.产品概述4.1.产品架构亿赛通CDGV3.0系统由服务器端和客户端两大部分组成，同时支持C/S和B/S两种组织结构，如图1所示：图1CDGV3.0文档安全系统的架构服务端主要由用户管理、密钥管理、文档流转管理、安全引擎等组成。其中用户管理主要负责用户身份的验证，权限的分配和管理等；文档流转管理的主要功能是负责文档在单位内部不同部门之间的流转和单位内部与外部之间的流转工作，在保证文档不影响用户交流的情况下，为文档提供安全保障。如控制文档的浏览次数、使用时间，拥有的权限等。密钥管理用于实现不同部门之间的密钥分配和交换等功能；安全策略管理用于设置和管理系统的安全策略以及为每个用户分配相应的安全策略等；安全引擎主要为服务器系统提供安全保障，如验证安全系统模块的运行权限和条件等，并提供对服务器端存储的文档进行加密/解密等多种安全相关的功能。图2给出了亿赛通CDGV3.0客户端的实现原理，从中可以看出，CDG的动态加解密是以文件过滤驱动程序的方式进行实现的，同时在应用层和内核层均提供访问控制功能，除此之外，还提供了日志和程序行为控制等功能，这种通过应用层和内核层相互配合的实现方式，不仅能提供更高的安全性，而且有助于降低安全系统对系统性能的影响。图2亿赛通CDGV3.0动态加解密的实现4.2.连接支持亿赛通CDGV3.0系统服务器端与客户端间采用IP可达的连接原则，可以适用于各种网络环境，在确保不改变企业内部网络构造的基础上，满足企业的不同的连接需求。亿赛通CDGV3.0能够在包括域结构、内部专线、VPN、拨号连接、Internet、VLAN以及各种内部隔离网络间进行部署和正常连接，如图3所示：图3亿赛通CDGV3.0网络连接支持4.3.功能详情CDGV3.0服务器端功能模块功能说明备注支持本地认证机制支持企业自主创建用户及组织结构、支持批量录入用户及组织结构支持统一认证机制支持与AD、ED、CA等统一身份认证平台无缝集成，并支持基于Ldap标准协议的其他第三方认证平台集成帐户生命周期管控可以设置用户的生命周期，可设定正式用户(无期限限制)、临时用户(启用周期限制)等属性帐户安全等级设定可以设定帐户的密级等级(A级、B级、C级、D级或企业自定义密级)，对账号进行不同级别的安全保护，并提供冻结、密码重置等管理功能