UniBDP業(yè)務(wù)數(shù)據(jù)防泄露技術(shù)簡(jiǎn)介

1、UniBDP業(yè)務(wù)數(shù)據(jù)防泄露簡(jiǎn)介1 UniBDP業(yè)務(wù)數(shù)據(jù)防泄露管理技術(shù)方案1.1 LeagView業(yè)務(wù)數(shù)據(jù)防泄露（UniBDP）總體介紹1.1.1 什么是UniBDP 傳統(tǒng)的信息系統(tǒng)，數(shù)據(jù)非常容易被用戶截留下來并帶走。如網(wǎng)絡(luò)文件共享系統(tǒng)、數(shù)據(jù)庫(kù)系統(tǒng)、OA系統(tǒng)等，可控制哪個(gè)帳號(hào)能夠訪問系統(tǒng)上的數(shù)據(jù)，但是這個(gè)帳號(hào)對(duì)應(yīng)的用戶，一旦從系統(tǒng)獲得數(shù)據(jù)后（數(shù)據(jù)一旦脫離系統(tǒng)被訪問終端獲取之后），終端可將數(shù)據(jù)另存在本地保存或通過網(wǎng)絡(luò)、移動(dòng)存儲(chǔ)介質(zhì)（U盤）等方式，將數(shù)據(jù)截留在本地或直接帶走。內(nèi)部人員將自己獲得的數(shù)據(jù)泄露出去、外包人員完成任務(wù)后帶走數(shù)據(jù)、電腦被黑客攻破后數(shù)據(jù)被竊取，這些已經(jīng)成為企業(yè)、政府都非常嚴(yán)重的安

2、全問題。聯(lián)軟科技的UniBDP業(yè)務(wù)數(shù)據(jù)防泄露技術(shù)方案，專為解決業(yè)務(wù)系統(tǒng)的數(shù)據(jù)泄密而設(shè)計(jì)。能有效解決數(shù)據(jù)使用后的及時(shí)銷毀，及員工或外包人員完成工作任務(wù)后的數(shù)據(jù)回收問題。無論他們?cè)L問的數(shù)據(jù)是文件服務(wù)器上的一個(gè)文件，還是數(shù)據(jù)庫(kù)上的一條記錄，亦或是一個(gè)網(wǎng)頁，甚至是網(wǎng)絡(luò)設(shè)備上的配置信息，都可以對(duì)這些數(shù)據(jù)進(jìn)行保護(hù)，防止他們將數(shù)據(jù)泄露出去。UniBDP建立在LeagView安全管理系統(tǒng)獨(dú)有專利技術(shù)金箍圈技術(shù)和資源訪問控制技術(shù)（RAC）基礎(chǔ)之上，UniBDP成功地解決了數(shù)據(jù)脫離業(yè)務(wù)系統(tǒng)之后的數(shù)據(jù)防泄露保護(hù)問題。UniBDP技術(shù)方案實(shí)現(xiàn)了：1）強(qiáng)制訪問資源的終端必須受控、可信；2）受控制的終端，在訪問業(yè)務(wù)系統(tǒng)之

3、后，其從業(yè)務(wù)系統(tǒng)獲取的數(shù)據(jù)，在使用過程中，將受到如下控制：Ø 另存或?qū)С隹刂疲何唇?jīng)明確的授權(quán)或批準(zhǔn)，終端無法將從業(yè)務(wù)系統(tǒng)獲取的數(shù)據(jù)在本地或U盤中保存；Ø 復(fù)制控制：未經(jīng)授權(quán)許可，終端無法將數(shù)據(jù)復(fù)制到其它應(yīng)用之中，如復(fù)制到QQ/MSN/飛信等軟件中；Ø 打印、截屏控制：未經(jīng)授權(quán)許可，終端無法將數(shù)據(jù)打印、截屏；Ø 防止外拍限制：通過智能水印技術(shù)，在數(shù)據(jù)顯示時(shí)印上使用者的姓名、時(shí)間、IP、計(jì)算機(jī)名稱等信息，防止使用者通過外拍手段獲取信息。除以上控制手段以外，金箍圈技術(shù)還提供了審批、審計(jì)流痕、備份式數(shù)據(jù)操作審計(jì)等功能。如果使用者只是對(duì)數(shù)據(jù)進(jìn)行正常的使用、操作，則

4、金箍圈技術(shù)對(duì)其不會(huì)產(chǎn)生任何限制、影響。如：數(shù)據(jù)的輸入、查詢、修改，以及合法授權(quán)的導(dǎo)出、打印、復(fù)制等行為，都不受影響。1.1.2 UniBDP技術(shù)方案的核心組成部件LeagView業(yè)務(wù)數(shù)據(jù)防泄露（簡(jiǎn)稱UniBDP）技術(shù)方案包括兩個(gè)部分：1）RAC，資源訪問控制技術(shù)2）金箍圈，虛擬計(jì)算保護(hù)技術(shù)其中，RAC是在LeagView網(wǎng)絡(luò)準(zhǔn)入控制（NAC）基礎(chǔ)上，增加了自動(dòng)應(yīng)用感知功能后，發(fā)展而來。金箍圈技術(shù)，是專為防止業(yè)務(wù)數(shù)據(jù)泄露而研發(fā)，確保進(jìn)入電腦終端的業(yè)務(wù)數(shù)據(jù)，只能在獨(dú)立的業(yè)務(wù)技術(shù)環(huán)境中被訪問，數(shù)據(jù)或文件脫離業(yè)務(wù)計(jì)算環(huán)境須經(jīng)審批。下圖是UniBDP核心技術(shù)構(gòu)成說明圖。圖 1 LeagView業(yè)務(wù)數(shù)據(jù)防

5、泄露兩大核心技術(shù)1.2 核心技術(shù)：RAC技術(shù)簡(jiǎn)介1.2.1 為什么需要RAC技術(shù)傳統(tǒng)NAC，關(guān)注的焦點(diǎn)是“網(wǎng)絡(luò)本身”的安全，今天的用戶，除了網(wǎng)絡(luò)，還更關(guān)注業(yè)務(wù)系統(tǒng)、信息本身的安全。RAC從保護(hù)網(wǎng)絡(luò)，轉(zhuǎn)向保護(hù)資源（“網(wǎng)絡(luò)本身”也是RAC保護(hù)的對(duì)象之一）。今天，管理、生產(chǎn)、設(shè)計(jì)、辦公，都依賴于網(wǎng)絡(luò)與應(yīng)用系統(tǒng)的正常運(yùn)行。無論是金融、電信、政府、醫(yī)療等，業(yè)務(wù)運(yùn)行，已經(jīng)離不開網(wǎng)絡(luò)。然而，下列因素使得業(yè)務(wù)系統(tǒng)，處于非常危險(xiǎn)的境地：Ø 網(wǎng)絡(luò)不斷擴(kuò)大、應(yīng)用越來越復(fù)雜，開發(fā)、維護(hù)、使用人員越來越多Ø 無法落地的管理規(guī)定，滯后的管理手段，管理規(guī)定與技術(shù)手段嚴(yán)重脫節(jié) Ø 隨處可得的攻擊

6、工具，越來越多的系統(tǒng)攻擊、業(yè)務(wù)中斷、信息泄露事件 安全風(fēng)險(xiǎn)問題，若不從源頭上-“接入網(wǎng)絡(luò)的每臺(tái)終端”，就無法得到徹底解決。NAC技術(shù)的本質(zhì)就是：從源頭上(接入網(wǎng)絡(luò)的終端)解決網(wǎng)絡(luò)的安全問題，RAC的本質(zhì)，也是要從源頭(接入網(wǎng)絡(luò)的終端及接入終端的存儲(chǔ)設(shè)備)等入手，解決：n 網(wǎng)絡(luò)安全穩(wěn)定運(yùn)行問題 n 應(yīng)用安全穩(wěn)定運(yùn)行問題 n 業(yè)務(wù)數(shù)據(jù)的安全保密問題1.2.2 什么是RAC技術(shù)為解決越來越復(fù)雜的安全風(fēng)險(xiǎn)，聯(lián)軟科技在7年NAC經(jīng)驗(yàn)基礎(chǔ)之上，創(chuàng)造性地提出RAC(資源訪問控制)概念及技術(shù)，并發(fā)展出相應(yīng)的產(chǎn)品。具體來說：RAC = NAC + AAC，(AAC: 應(yīng)用訪問控制，與NAC技術(shù)無縫集成)

7、6; RAC：資源訪問控制，網(wǎng)絡(luò)上的資源包括：網(wǎng)絡(luò)本身、應(yīng)用系統(tǒng)、數(shù)據(jù) Ø AAC：只有授權(quán)的應(yīng)用軟件客戶端，才能與應(yīng)用系統(tǒng)交互 RAC通過網(wǎng)絡(luò)設(shè)備動(dòng)態(tài)ACL和終端上的動(dòng)態(tài)防火墻技術(shù)，對(duì)終端訪問網(wǎng)絡(luò)、訪問業(yè)務(wù)資源進(jìn)行動(dòng)態(tài)控制，系統(tǒng)實(shí)現(xiàn)：n 網(wǎng)絡(luò)更安全 Ø 指定合規(guī)終端、人員才能訪問業(yè)務(wù)系統(tǒng)，并實(shí)現(xiàn)網(wǎng)絡(luò)安全域隔離Ø 合規(guī)軟件，才能訪問業(yè)務(wù)系統(tǒng)Ø 防止對(duì)業(yè)務(wù)系統(tǒng)的DDoS和緩沖區(qū)溢出、注入式攻擊等 n 應(yīng)用更安全 Ø 保障指定的業(yè)務(wù)軟件客戶端才能訪問業(yè)務(wù)系統(tǒng)，應(yīng)用不受攻擊 Ø 實(shí)現(xiàn)業(yè)務(wù)操作安全、操作有效審計(jì) n 數(shù)據(jù)更安全：業(yè)務(wù)數(shù)據(jù)防泄露

8、，保障業(yè)務(wù)數(shù)據(jù)不泄露 1.3 核心技術(shù)：金箍圈技術(shù)簡(jiǎn)介1.3.1 金箍圈技術(shù)誕生的背景傳統(tǒng)的數(shù)據(jù)庫(kù)等系統(tǒng)，只對(duì)用戶設(shè)置了數(shù)據(jù)的訪問權(quán)限，如果用戶獲得數(shù)據(jù)之后，可將數(shù)據(jù)保存、轉(zhuǎn)發(fā)、打印等，數(shù)據(jù)的使用就脫離了系統(tǒng)的權(quán)限控制。金箍圈技術(shù)正是為解決這類問題研發(fā)。1.3.2 金箍圈技術(shù)實(shí)現(xiàn)簡(jiǎn)述傳統(tǒng)的PC 終端，沒有將單位的數(shù)據(jù)和個(gè)人的數(shù)據(jù)做有效的分割，致使數(shù)據(jù)防泄露異常困難。因?yàn)橐鉀Q這個(gè)問題，傳統(tǒng)的方案往往只能你對(duì)進(jìn)出PC的所有數(shù)據(jù)進(jìn)行控制，這樣必然導(dǎo)致使用復(fù)雜、效率降低，勢(shì)必犧牲PC原有的強(qiáng)大及便利性。金箍圈技術(shù)，創(chuàng)造性地通過如下方法解決業(yè)務(wù)數(shù)據(jù)與個(gè)人數(shù)據(jù)的隔離，及業(yè)務(wù)數(shù)據(jù)的保護(hù)問題：1）為每個(gè)訪問

9、業(yè)務(wù)系統(tǒng)的進(jìn)程，建立獨(dú)立的計(jì)算環(huán)境；2）訪問業(yè)務(wù)系統(tǒng)的進(jìn)程，其從業(yè)務(wù)系統(tǒng)中獲取的數(shù)據(jù)，只能在獨(dú)立的計(jì)算環(huán)境中使用；3）業(yè)務(wù)數(shù)據(jù)必須經(jīng)過授權(quán)，才能脫離原有的計(jì)算環(huán)境。下圖是金箍圈技術(shù)的示意圖：圖 2 金箍圈技術(shù)示意圖簡(jiǎn)單舉例說明起見，金箍圈好比將一臺(tái)電腦邏輯上劃分為兩臺(tái)電腦，一臺(tái)為業(yè)務(wù)電腦，另外一臺(tái)為個(gè)人電腦。只有業(yè)務(wù)電腦才能訪問業(yè)務(wù)數(shù)據(jù)，個(gè)人電腦不能訪問業(yè)務(wù)數(shù)據(jù)。兩臺(tái)邏輯電腦之間交換數(shù)據(jù)，需要審批管理。對(duì)于因?yàn)闃I(yè)務(wù)原因，需要在電腦終端上保存數(shù)據(jù)，LeagView安全管理系統(tǒng)獨(dú)有專利技術(shù)金箍圈技術(shù)，可在電腦終端上提供一個(gè)保護(hù)區(qū)（保護(hù)區(qū)稱為：虛擬O盤），授權(quán)的用戶可將來自業(yè)務(wù)系統(tǒng)的數(shù)據(jù)暫時(shí)保存在虛

10、擬O盤中。所有保存在虛擬O盤中的文件數(shù)據(jù)，其控制方法與業(yè)務(wù)系統(tǒng)中的數(shù)據(jù)控制方法一致，即：數(shù)據(jù)脫離O盤或打印、截屏、外拍等，均受管理控制。1.3.3 移動(dòng)辦公與O盤功能為解決移動(dòng)辦公等需要，金箍圈技術(shù)支持O盤功能，O盤屬于業(yè)務(wù)計(jì)算環(huán)境。如果管理員給用戶配置了O盤策略，用戶在訪問業(yè)務(wù)系統(tǒng)時(shí)，可將數(shù)據(jù)保存在O盤，便于離線工作或或便于某些特殊工作要求。O盤中的數(shù)據(jù)，不能進(jìn)入個(gè)人計(jì)算環(huán)境。如需進(jìn)入計(jì)算，則需審批。1.4 數(shù)據(jù)操作的審批與審計(jì)UniBDP支持強(qiáng)大的審批管理和審計(jì)管理功能，具體來說包括：1）雙向控制，無論是進(jìn)入、還是離開“業(yè)務(wù)計(jì)算環(huán)境”，都能進(jìn)行審批、控制；2）審批支持自動(dòng)審批、人工審批。其

11、中人工審批支持多人并聯(lián)審批和多人串聯(lián)審批；3）所有進(jìn)入、離開“業(yè)務(wù)計(jì)算環(huán)境”的數(shù)據(jù)操作，都有審計(jì)。管理員可配置審計(jì)時(shí)是否對(duì)“數(shù)據(jù)”做備份式留檔；4）所有審批，都有記錄流痕。審批人員和安全系統(tǒng)管理員的權(quán)限分離；5）審計(jì)記錄，安全系統(tǒng)管理員無法刪除。1.5 UniBDP的應(yīng)用場(chǎng)景UniBDP支持各種類型的數(shù)據(jù)，對(duì)這些數(shù)據(jù)可進(jìn)行防泄露控制，具體包括：1）基于B/S、C/S類的業(yè)務(wù)應(yīng)用系統(tǒng)數(shù)據(jù)，包括數(shù)據(jù)庫(kù)類應(yīng)用；2）基于網(wǎng)絡(luò)共享的文件服務(wù)器上的數(shù)據(jù)；3）通過Telnet/SSH等協(xié)議獲取的網(wǎng)絡(luò)設(shè)備、主機(jī)的配置信息；4）保存在終端O盤上的數(shù)據(jù)此外，UniBDP也支持防止外部非法數(shù)據(jù)進(jìn)入“業(yè)務(wù)系統(tǒng)”，例如

12、：未經(jīng)批準(zhǔn)對(duì)業(yè)務(wù)系統(tǒng)的源代碼、配置文件進(jìn)行替換更新。2 UniBDP業(yè)務(wù)數(shù)據(jù)防泄露管理配置清單序號(hào)名稱詳細(xì)描述1LeagView UniBDP信息防泄露模塊2LeagView UniNAC網(wǎng)絡(luò)準(zhǔn)入控制模塊3LeagView Management System防泄露策略管理后臺(tái)以500點(diǎn)為例，產(chǎn)品標(biāo)準(zhǔn)配置清單如下：序號(hào)產(chǎn)品名稱數(shù)量1LeagView Management System22LeagView UniNAC5003LeagView UniBDP5003 UniBDP業(yè)務(wù)數(shù)據(jù)防泄露管理測(cè)試方案3.1 環(huán)境準(zhǔn)備1.1、服務(wù)器1臺(tái)由聯(lián)軟科技測(cè)試工程師直接攜帶安裝好的虛擬機(jī)。1.2、客戶機(jī)2臺(tái)

13、由客戶配合測(cè)試的工程師提供現(xiàn)場(chǎng)客戶機(jī)2臺(tái)，其中1臺(tái)為日常使用工作站、1臺(tái)為包含業(yè)務(wù)應(yīng)用客戶端的工作站（可以正常連接業(yè)務(wù)系統(tǒng)后臺(tái)并進(jìn)行業(yè)務(wù)開展）。1.3、信息防泄露客戶端軟件由聯(lián)軟科技測(cè)試工程師提供，為一鍵式EXE可安裝程序。3.2 測(cè)試功能提醒：針對(duì)C/S模式和B/S模式的應(yīng)用系統(tǒng)防泄露，均采用BDP模塊進(jìn)行測(cè)試；以下功能項(xiàng)可以自適應(yīng)于C/S和B/S 2類模式；其中資源訪問控制功能測(cè)試重點(diǎn)以硬件NACC準(zhǔn)入方式為主，其他方式不為測(cè)試重點(diǎn)。3.2.1 對(duì)客戶現(xiàn)有環(huán)境的支持能力測(cè)試序號(hào)是否支持32位、64位操作系統(tǒng)環(huán)境預(yù)期實(shí)際1客戶端是否可以順利安裝Y2重新啟動(dòng)后是否可以正常啟動(dòng)Y3是否與殺毒軟件

14、出現(xiàn)沖突Y4是否可以正常加載各項(xiàng)驅(qū)動(dòng)、插件Y3.2.2 對(duì)業(yè)務(wù)系統(tǒng)數(shù)據(jù)防泄露支持能力測(cè)試序號(hào)是否支持業(yè)務(wù)系統(tǒng)數(shù)據(jù)防泄露導(dǎo)出數(shù)據(jù)阻止預(yù)期實(shí)際1是否可以順利復(fù)制業(yè)務(wù)系統(tǒng)內(nèi)的數(shù)據(jù)到其他任意應(yīng)用程序中。N2是否可以順利另存業(yè)務(wù)系統(tǒng)內(nèi)的數(shù)據(jù)到任意位置中。N3是否可以順利打印業(yè)務(wù)系統(tǒng)內(nèi)的數(shù)據(jù)通過尋機(jī)文件打印機(jī)（PDFOFFICE）或者物理打印機(jī)。N4是否可以順利通過任意截屏軟件對(duì)業(yè)務(wù)系統(tǒng)進(jìn)行截屏。N序號(hào)是否支持業(yè)務(wù)系統(tǒng)數(shù)據(jù)防泄露導(dǎo)出數(shù)據(jù)控制預(yù)期實(shí)際1是否可以只允許另存業(yè)務(wù)系統(tǒng)內(nèi)的數(shù)據(jù)到虛擬O盤中。Y2是否可以打印業(yè)務(wù)系統(tǒng)內(nèi)的數(shù)據(jù)但有強(qiáng)制水印顯示。Y3是否可以阻止復(fù)制虛擬O盤中的業(yè)務(wù)數(shù)據(jù)到非O盤的位置。N4

15、是否可以在業(yè)務(wù)系統(tǒng)中顯示屏幕水印來防止拍照。Y序號(hào)是否支持業(yè)務(wù)系統(tǒng)數(shù)據(jù)防泄露審計(jì)與審批控制及自身安全性預(yù)期實(shí)際1是否對(duì)脫離虛擬O盤的文件進(jìn)行審批控制。Y2是否可以審計(jì)試圖保存、導(dǎo)出業(yè)務(wù)系統(tǒng)數(shù)據(jù)的行為。Y3是否可以在退出或者卸載客戶端的情況下，自動(dòng)不顯示O盤。Y3.2.3 對(duì)資源訪問控制支持能力測(cè)試序號(hào)對(duì)資源訪問控制支持能力測(cè)試主要測(cè)試網(wǎng)絡(luò)準(zhǔn)入控制功能預(yù)期實(shí)際1不安裝防泄露客戶端訪問B/S應(yīng)用被頁面重定向，訪問C/S應(yīng)用被網(wǎng)絡(luò)拒絕Y2不安裝防泄露客戶端不能訪問指定的業(yè)務(wù)系統(tǒng)Y3安裝了防泄露客戶端的計(jì)算機(jī)，身份驗(yàn)證失敗不能訪問指定的業(yè)務(wù)系統(tǒng)，其中身份驗(yàn)證支持硬件id、軟件id、交換機(jī)端口、交換機(jī)i

16、p、計(jì)算機(jī)mac、帳號(hào)。Y4安裝了防泄露客戶端的計(jì)算機(jī)，安全檢查失敗不能訪問指定的業(yè)務(wù)系統(tǒng)，其中安全檢查包含：防病毒軟件檢查、補(bǔ)丁檢查等。Y5身份驗(yàn)證通過、安全檢查通過，是否可以順利訪問指定的業(yè)務(wù)系統(tǒng)。Y6訪問指定的業(yè)務(wù)系統(tǒng)是否會(huì)感覺到慢，跟沒有啟用準(zhǔn)入控制之前進(jìn)行對(duì)比N7在NACC設(shè)備不可用時(shí)，是否影響業(yè)務(wù)的正常使用N8在后臺(tái)服務(wù)不可用時(shí)，是否影響業(yè)務(wù)的正常使用N9是否能記錄下計(jì)算機(jī)準(zhǔn)入的行為，含準(zhǔn)入時(shí)間、準(zhǔn)入帳號(hào)、準(zhǔn)入地點(diǎn)、準(zhǔn)入后獲取的acl、準(zhǔn)入失敗的原因。Y4 UniBDP業(yè)務(wù)數(shù)據(jù)防泄露應(yīng)用場(chǎng)景及實(shí)例4.1 TelnetSSH管控應(yīng)用實(shí)例（Client/Server 模式）4.1.1

17、策略后臺(tái)配置截圖4.1.2 策略后臺(tái)配置說明4.1.3 客戶端應(yīng)用效果截圖l 復(fù)制效果l 另存效果含虛擬O盤l 截屏效果l 打印效果l 審計(jì)效果4.2 RDP管控應(yīng)用實(shí)例（Client/Server 模式）4.2.1 策略后臺(tái)配置截圖4.2.2 策略后臺(tái)配置說明4.2.3 客戶端應(yīng)用效果截圖l 復(fù)制效果l 映射磁盤導(dǎo)出數(shù)據(jù)效果含虛擬O盤l 截屏效果l 遠(yuǎn)程打印效果l 審計(jì)效果4.3 HIS管控應(yīng)用實(shí)例（Client、Browser /Server 模式）4.3.1 策略后臺(tái)配置截圖4.3.2 策略后臺(tái)配置說明4.3.3 客戶端應(yīng)用效果截圖l 復(fù)制效果l 另存效果含虛擬O盤l 截屏效果l 打印效果l 審計(jì)效果4.4 Webmail管控實(shí)例（Browser/Server模式）4.4.1 策略后臺(tái)配置截圖4.4.2 策略后臺(tái)配置說明4.4.3 客戶端應(yīng)用效果截圖l 復(fù)制效果l 另存效果含虛擬O盤l 截屏