銀行業(yè)數(shù)據(jù)防泄密平臺(tái)方案建議書

1、銀行業(yè)數(shù)據(jù)防泄密平臺(tái)方案建議書目 錄 TOC o 1-3 h z u HYPERLINK l _Toc56071394 1 項(xiàng)目背景概述 PAGEREF _Toc56071394 h 4 HYPERLINK l _Toc56071395 1.1 項(xiàng)目背景 PAGEREF _Toc56071395 h 4 HYPERLINK l _Toc56071396 1.2 企業(yè)泄密風(fēng)險(xiǎn) PAGEREF _Toc56071396 h 4 HYPERLINK l _Toc56071397 1.3 數(shù)據(jù)防泄密項(xiàng)目背景 PAGEREF _Toc56071397 h 5 HYPERLINK l _Toc560713

2、98 1.4 數(shù)據(jù)防泄密項(xiàng)目網(wǎng)絡(luò)現(xiàn)狀和信息安全需求分析 PAGEREF _Toc56071398 h 5 HYPERLINK l _Toc56071399 2 山麗防水墻產(chǎn)品介紹 PAGEREF _Toc56071399 h 6 HYPERLINK l _Toc56071400 3 山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)解決方案 PAGEREF _Toc56071400 h 7 HYPERLINK l _Toc56071401 3.1 產(chǎn)品功能對(duì)透明加密管理的滿足 PAGEREF _Toc56071401 h 7 HYPERLINK l _Toc56071402 3.2 產(chǎn)品功能對(duì)加密模式本地策略管理的滿足

3、 PAGEREF _Toc56071402 h 8 HYPERLINK l _Toc56071403 3.3 產(chǎn)品功能對(duì)多種加密模式管理的滿足 PAGEREF _Toc56071403 h 9 HYPERLINK l _Toc56071404 3.4 產(chǎn)品功能對(duì)一文一密鑰安全性管理的滿足 PAGEREF _Toc56071404 h 11 HYPERLINK l _Toc56071405 3.5 產(chǎn)品功能對(duì)加密系統(tǒng)剪貼板管理的滿足 PAGEREF _Toc56071405 h 12 HYPERLINK l _Toc56071406 3.6 產(chǎn)品功能對(duì)加密系統(tǒng)多種登錄方式管理的滿足 PAGERE

4、F _Toc56071406 h 12 HYPERLINK l _Toc56071407 3.7 產(chǎn)品功能對(duì)出差筆記本防泄漏（加密客戶端離網(wǎng)使用）管理的滿足 PAGEREF _Toc56071407 h 13 HYPERLINK l _Toc56071408 3.9 產(chǎn)品功能對(duì)文件解密申請(qǐng)管理的滿足 PAGEREF _Toc56071408 h 14 HYPERLINK l _Toc56071409 3.10 產(chǎn)品功能對(duì)密文明送文件外發(fā)控制管理的滿足 PAGEREF _Toc56071409 h 17 HYPERLINK l _Toc56071410 3.12 產(chǎn)品功能對(duì)文件權(quán)限管理的滿足 P

5、AGEREF _Toc56071410 h 18 HYPERLINK l _Toc56071411 3.12.1基于用戶為腳色的文檔權(quán)限控制 PAGEREF _Toc56071411 h 19 HYPERLINK l _Toc56071412 3.12.2基于文檔為角色的自定義文檔權(quán)限控制 PAGEREF _Toc56071412 h 20 HYPERLINK l _Toc56071413 3.12.3文檔權(quán)限控制的精細(xì)化管理 PAGEREF _Toc56071413 h 21 HYPERLINK l _Toc56071414 3.15 產(chǎn)品功能對(duì)基于B/S應(yīng)用服務(wù)器和防水墻系統(tǒng)融合方案的滿足

6、 PAGEREF _Toc56071414 h 23 HYPERLINK l _Toc56071415 3.16 產(chǎn)品功能對(duì)PDM、FTP服務(wù)器和防水墻系統(tǒng)融合方案的滿足 PAGEREF _Toc56071415 h 23 HYPERLINK l _Toc56071416 3.16.1產(chǎn)品功能和應(yīng)用服務(wù)器融合的原理 PAGEREF _Toc56071416 h 24 HYPERLINK l _Toc56071417 3.16.2產(chǎn)品功能和應(yīng)用服務(wù)器融合的方案 PAGEREF _Toc56071417 h 25 HYPERLINK l _Toc56071418 3.17 產(chǎn)品功能對(duì)文件交互管理的

7、滿足 PAGEREF _Toc56071418 h 27 HYPERLINK l _Toc56071419 3.17.1分支機(jī)構(gòu)和總部的交流 PAGEREF _Toc56071419 h 27 HYPERLINK l _Toc56071420 3.17.2產(chǎn)品功能對(duì)分支機(jī)構(gòu)和供應(yīng)商管理的滿足 PAGEREF _Toc56071420 h 28 HYPERLINK l _Toc56071421 3.18 產(chǎn)品功能對(duì)計(jì)算機(jī)外設(shè)管理的滿足 PAGEREF _Toc56071421 h 29 HYPERLINK l _Toc56071422 3.18.1 終端外設(shè)管理范圍 PAGEREF _Toc56

8、071422 h 29 HYPERLINK l _Toc56071423 3.18.2外設(shè)管理在線、離線策略 PAGEREF _Toc56071423 h 30 HYPERLINK l _Toc56071424 3.18.3注冊(cè)移動(dòng)存儲(chǔ)設(shè)備管理策略 PAGEREF _Toc56071424 h 30 HYPERLINK l _Toc56071425 3.18.4認(rèn)證移動(dòng)存儲(chǔ)設(shè)備管理策略 PAGEREF _Toc56071425 h 31 HYPERLINK l _Toc56071426 3.19 產(chǎn)品功能對(duì)服務(wù)器災(zāi)難恢復(fù)功能的滿足 PAGEREF _Toc56071426 h 33 HYPER

9、LINK l _Toc56071427 3.20產(chǎn)品功能對(duì)審計(jì)功能的滿足 PAGEREF _Toc56071427 h 34 HYPERLINK l _Toc56071428 3.20.1對(duì)加密文件的各種操作行為進(jìn)行審計(jì) PAGEREF _Toc56071428 h 34 HYPERLINK l _Toc56071429 3.20.2對(duì)加密系統(tǒng)各種操作行為的自動(dòng)預(yù)警式審計(jì) PAGEREF _Toc56071429 h 35 HYPERLINK l _Toc56071430 3.21 產(chǎn)品功能對(duì)系統(tǒng)管理功能的滿足 PAGEREF _Toc56071430 h 38 HYPERLINK l _To

10、c56071431 3.21.1防水墻加密系統(tǒng)三員分立管理模式 PAGEREF _Toc56071431 h 38 HYPERLINK l _Toc56071432 3.21.2防水墻加密系統(tǒng)系統(tǒng)管理員管理模式 PAGEREF _Toc56071432 h 39 HYPERLINK l _Toc56071433 3.22 產(chǎn)品功能對(duì)安全性要求的滿足 PAGEREF _Toc56071433 h 41 HYPERLINK l _Toc56071434 3.23 產(chǎn)品功能對(duì)客戶端自我防護(hù)的滿足 PAGEREF _Toc56071434 h 42 HYPERLINK l _Toc56071435 3

11、.24 產(chǎn)品功能對(duì)加密客戶端授權(quán)管理的滿足 PAGEREF _Toc56071435 h 42 HYPERLINK l _Toc56071436 3.25 產(chǎn)品功能對(duì)客戶端自動(dòng)升級(jí)的滿足 PAGEREF _Toc56071436 h 42 HYPERLINK l _Toc56071437 4 產(chǎn)品部署方法和部署效果 PAGEREF _Toc56071437 h 43 HYPERLINK l _Toc56071438 4.1 部署方法 PAGEREF _Toc56071438 h 43 HYPERLINK l _Toc56071439 4.2 部署效果 PAGEREF _Toc56071439

12、h 43 HYPERLINK l _Toc56071440 4.2.1 法規(guī)的遵從 PAGEREF _Toc56071440 h 43 HYPERLINK l _Toc56071441 4.2.2 管理的視角 PAGEREF _Toc56071441 h 44 HYPERLINK l _Toc56071442 4.2.3 用戶的視角 PAGEREF _Toc56071442 h 44 HYPERLINK l _Toc56071443 5 建議服務(wù)器配置 PAGEREF _Toc56071443 h 44 HYPERLINK l _Toc56071444 6 技術(shù)優(yōu)勢(shì) PAGEREF _Toc5

13、6071444 h 47 HYPERLINK l _Toc56071445 7售后服務(wù)體系 PAGEREF _Toc56071445 h 48 HYPERLINK l _Toc56071446 7.1系統(tǒng)售后服務(wù)內(nèi)容 PAGEREF _Toc56071446 h 48 HYPERLINK l _Toc56071447 7.2售后服務(wù)的關(guān)鍵是處理應(yīng)急服務(wù) PAGEREF _Toc56071447 h 50 HYPERLINK l _Toc56071448 7.3售后服務(wù)流程 PAGEREF _Toc56071448 h 52 HYPERLINK l _Toc56071449 8 產(chǎn)品培訓(xùn) PAG

14、EREF _Toc56071449 h 52 HYPERLINK l _Toc56071450 8.1培訓(xùn)計(jì)劃 PAGEREF _Toc56071450 h 52 HYPERLINK l _Toc56071451 8.1.1培訓(xùn)對(duì)象 PAGEREF _Toc56071451 h 53 HYPERLINK l _Toc56071452 8.1.2培訓(xùn)時(shí)間 PAGEREF _Toc56071452 h 53 HYPERLINK l _Toc56071453 8.1.4培訓(xùn)師資 PAGEREF _Toc56071453 h 53 HYPERLINK l _Toc56071454 8.1.5培訓(xùn)考核

15、PAGEREF _Toc56071454 h 54 HYPERLINK l _Toc56071455 9 項(xiàng)目實(shí)施 PAGEREF _Toc56071455 h 54 HYPERLINK l _Toc56071456 9.1項(xiàng)目實(shí)施流程 PAGEREF _Toc56071456 h 54 HYPERLINK l _Toc56071457 9.2實(shí)施團(tuán)隊(duì)的特點(diǎn) PAGEREF _Toc56071457 h 55 HYPERLINK l _Toc56071458 9.2.1 項(xiàng)目經(jīng)理和實(shí)施組成員情況 PAGEREF _Toc56071458 h 55 HYPERLINK l _Toc5607145

16、9 9.3 管理體系 PAGEREF _Toc56071459 h 55 HYPERLINK l _Toc56071460 9.4 風(fēng)險(xiǎn)管理 PAGEREF _Toc56071460 h 56 HYPERLINK l _Toc56071461 9.5 服務(wù)器、網(wǎng)絡(luò)設(shè)備等硬件需求 PAGEREF _Toc56071461 h 56 HYPERLINK l _Toc56071462 9.6 技術(shù)指標(biāo) PAGEREF _Toc56071462 h 58 HYPERLINK l _Toc56071463 9.7 網(wǎng)絡(luò)拓?fù)?PAGEREF _Toc56071463 h 59 HYPERLINK l _T

17、oc56071464 9.9 實(shí)施進(jìn)度安排 PAGEREF _Toc56071464 h 611 項(xiàng)目背景概述1.1 項(xiàng)目背景2012年1月16日，中國互聯(lián)網(wǎng)絡(luò)信息中心(CNNIC)發(fā)布第29次中國互聯(lián)網(wǎng)絡(luò)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告，報(bào)告顯示，截至2011年12月底，中國網(wǎng)民規(guī)模突破5億，達(dá)到5.13億。網(wǎng)民的生活、信息交流、辦公已經(jīng)無法離開互聯(lián)網(wǎng)；基于網(wǎng)絡(luò)的工作、創(chuàng)新、仿真、制造、管理已經(jīng)是當(dāng)代企業(yè)生存的必要條件。但因?yàn)閲H、國內(nèi)企業(yè)之間的進(jìn)一步加劇、各個(gè)國家保護(hù)產(chǎn)權(quán)創(chuàng)新的力度和范圍大有不同，基于個(gè)人或者企業(yè)的信息泄密事件時(shí)時(shí)在發(fā)生中其中，超過80%是由內(nèi)部員工故意或無意地泄漏和破壞引起的對(duì)IT資產(chǎn)中

18、電腦硬件的終端管理，和對(duì)電腦硬件里面的數(shù)據(jù)管理成為信息泄密安全管理問題亟待解決的兩大問題。信息安全的核心是內(nèi)部信息安全的問題，是對(duì)內(nèi)部電腦資源設(shè)備的管控和電腦資源設(shè)備上的數(shù)據(jù)文檔的管控。1.2 企業(yè)泄密風(fēng)險(xiǎn)可能的泄密途徑，應(yīng)該來講主要包括：服務(wù)器上泄密、工作站泄密、移動(dòng)設(shè)備泄密、網(wǎng)絡(luò)泄密、輸出設(shè)備泄密、客戶泄密、合作單位員工轉(zhuǎn)發(fā)泄密等主要的表現(xiàn)形式如下： 服務(wù)器泄密：網(wǎng)絡(luò)維護(hù)人員在進(jìn)行維護(hù)時(shí)使用移動(dòng)硬盤將服務(wù)器上的資料自備一份。維護(hù)人員知道服務(wù)器密碼，遠(yuǎn)程登陸上，將服務(wù)器上的資料完全的拷到本地或者自己家里的機(jī)器上。工作站泄密：乘同事不在，開啟同事電腦，瀏覽，復(fù)制同事電腦里的資料。內(nèi)部人員將資料

19、通過軟盤、U盤或移動(dòng)硬盤從電腦中拷出帶走。將筆記本（或者臺(tái)式機(jī)）帶出管控范圍重裝系統(tǒng)或者安裝另外一套系統(tǒng)從而將資料拷走。將筆記本（或者臺(tái)式機(jī)）帶出管控范圍利用GHOST程序進(jìn)行資料盜竊。將筆記本（或者臺(tái)式機(jī)）的硬盤拆回家盜竊資料，第二天早早來裝上。將辦公用便攜式電腦直接帶回家中。將筆記本（或者臺(tái)式機(jī)）帶出管控范圍使用光盤啟動(dòng)的方式，使用磁盤管理工具將資料完全拷走。將筆記本（或者臺(tái)式機(jī)）的硬盤或整機(jī)送修，資料被好事者拷走。電腦易手后，硬盤上的資料沒有處理，導(dǎo)致泄密。筆記本（或者臺(tái)式機(jī)）遺失或者遭竊，里面的資料被完整的竊取。網(wǎng)絡(luò)泄密：內(nèi)部人員通過互聯(lián)網(wǎng)將資料通過電子郵件發(fā)送出去。內(nèi)部人員通過互聯(lián)網(wǎng)

20、將資料通過網(wǎng)頁bbs發(fā)送出去。隨意將文件設(shè)成共享，導(dǎo)致非相關(guān)人員獲取資料。將自己的筆記本帶到公司，連上局域網(wǎng)，使用各種手段如PDM、FTP、telnet竊取資料隨意點(diǎn)擊不認(rèn)識(shí)的程序、上不熟悉的網(wǎng)站導(dǎo)致中了木馬產(chǎn)生的泄密。輸出設(shè)備（移動(dòng)設(shè)備）泄密：移動(dòng)存儲(chǔ)設(shè)備共用，導(dǎo)致非相關(guān)人員獲取資料。移動(dòng)設(shè)備包括：u盤、移動(dòng)硬盤、藍(lán)牙、紅外、并口、串口、1394等將文件打印后帶出。 客戶泄密：客戶將公司提供的文件自用或者給了競(jìng)爭(zhēng)對(duì)手。客戶處管理不善產(chǎn)生的泄密。員工收到文件后將文件發(fā)送給其他人員產(chǎn)生的泄密。1.3 數(shù)據(jù)防泄密項(xiàng)目背景數(shù)據(jù)防泄密項(xiàng)目已經(jīng)采取了積極的手段對(duì)重要文檔加以保護(hù)，能夠有效地防止外部威脅入

21、侵竊取公司敏感信息，但仍存在一定的文檔泄密風(fēng)險(xiǎn)。1.4 數(shù)據(jù)防泄密項(xiàng)目網(wǎng)絡(luò)現(xiàn)狀和信息安全需求分析企業(yè)大量機(jī)密數(shù)據(jù)均以電子文檔的形式存在，其傳播方式也是多種多樣?；ヂ?lián)網(wǎng)時(shí)代的快速發(fā)展推進(jìn)了企業(yè)信息化進(jìn)程，同時(shí)也將企業(yè)機(jī)密數(shù)據(jù)置于巨大的風(fēng)險(xiǎn)之中，保護(hù)機(jī)密數(shù)據(jù)和敏感信息免遭惡意或意外泄露，是當(dāng)今企業(yè)所面臨的最大安全問題之一。目前，數(shù)據(jù)防泄密項(xiàng)目已經(jīng)在內(nèi)部采用了一些管理措施，就數(shù)據(jù)安全方面，公司的基本情況和需求如下： 基于上述對(duì)數(shù)據(jù)防泄密項(xiàng)目項(xiàng)目需求的分析，結(jié)合山麗信息安全有限公司在數(shù)據(jù)泄露防護(hù)領(lǐng)域多年信息安全項(xiàng)目建設(shè)經(jīng)驗(yàn)，我們建議部署山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)來保護(hù)數(shù)據(jù)防泄密項(xiàng)目數(shù)據(jù)的安全性。2 山麗

22、防水墻產(chǎn)品介紹山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)是一套包含了數(shù)據(jù)透明加密、剪貼板截屏控制、文件外發(fā)控制、USB存儲(chǔ)設(shè)備控制、信息資產(chǎn)查詢、文檔權(quán)限控制、數(shù)據(jù)備份管理的綜合性信息安全管理系統(tǒng)。系統(tǒng)的各個(gè)模塊廣泛用于企業(yè)、政府、金融、軍工等單位，為服裝、設(shè)計(jì)、制造、集成電路、軟件開發(fā)、船舶、航空等各行業(yè)提供著強(qiáng)大的信息安全防護(hù)。山麗防水墻數(shù)據(jù)安全保護(hù)系統(tǒng)軟件部署與效果3 山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)解決方案3.1 產(chǎn)品功能對(duì)透明加密管理的滿足山麗防水墻采用基于操作系統(tǒng)內(nèi)核的處理技術(shù),并不使用Hook技術(shù),滿足對(duì)不同軟件的加密需求。目前可以設(shè)置成支持所有格式的加密（全盤加密，包括綠色軟件的加密，隨意壓縮格式文件的

23、加密，所有數(shù)據(jù)庫格式文件的加密），可以設(shè)置為支持特定格式的加密，可以設(shè)置為支持具體目錄的加密等等。一般公司的加密軟件無法支持所有格式的加密，無法支持綠色軟件的加密，甚至都不能支持特定目錄的加密。市場(chǎng)上所見的加密技術(shù)，或者是采用了個(gè)鉤子（Hook）技術(shù)、或者采用了驅(qū)動(dòng)技術(shù)，但這些軟件或者只能達(dá)到和文件格式有關(guān)，或者實(shí)際上是硬盤加密，市場(chǎng)上許多硬盤如seagate硬盤已經(jīng)自帶硬盤加密，實(shí)際上互聯(lián)網(wǎng)上已經(jīng)有了這些加密軟件的破解工具！而且和文件格式有關(guān)的軟件無法適應(yīng)未來的文件格式，更無法解決軟件格式被加殼的情況，而互聯(lián)網(wǎng)上基本有4000余種加殼工具。山麗加密功能不采用Hook技術(shù)體現(xiàn)在即使將防水墻客戶

24、端程序終止了用戶仍會(huì)在加密環(huán)境中，而許多加密軟件只要將進(jìn)程終止后加密效果就失效了，而從原理上，么有不能禁止的進(jìn)程！山麗防水墻支持穿透壓縮包功能，可以實(shí)現(xiàn)對(duì)壓縮文件的穿透加密。（所有壓縮格式均可）山麗防水墻支持對(duì)所有格式的加密，包括所有壓縮文件的加密，經(jīng)過加密的壓縮文件，壓縮包里面的內(nèi)容也都是密文，即使被解壓縮出來也是密文，除非是在加密環(huán)境里面解壓縮。文件的操作者和平常一樣，對(duì)文件進(jìn)行正常操作。他們不會(huì)感覺到Windows I/O及底層發(fā)生的一切變化。文件經(jīng)過Windows I/O、透明加密技術(shù)平臺(tái)和Windows 文件系統(tǒng)的處理，最后存放在磁盤上的文件是經(jīng)過加密的。同時(shí)，加密策略（算法、密鑰和

25、加密文件的指定）是內(nèi)置在透明加密技術(shù)平臺(tái)中的，由系統(tǒng)管理員集中管理的，文件操作者是無權(quán)獲取或更改的。透明加密效果示意圖3.2 產(chǎn)品功能對(duì)加密模式本地策略管理的滿足山麗防水墻完全和文件格式無關(guān)，山麗防水墻的透明加解密模塊處于系統(tǒng)內(nèi)核里面，隨系統(tǒng)啟動(dòng)而啟動(dòng)，隨系統(tǒng)關(guān)閉而關(guān)閉。可以應(yīng)對(duì)未來產(chǎn)生的文件格式，更能應(yīng)對(duì)被加殼的文件。管理人員可以自由定義用戶（組）的加密模式或策略：全盤加密、目錄加密、特定格式加密、特定格式不加密、自主加密等。用戶在登陸進(jìn)入加密系統(tǒng)后，本地即執(zhí)行對(duì)應(yīng)加密策略。管理人員也可以設(shè)置系統(tǒng)為自動(dòng)登陸或者開機(jī)登陸，滿足用戶不需要輸入密碼的使用體驗(yàn)。（實(shí)際上，有時(shí)候?yàn)榱税踩?，在?shí)踐中又往

26、往是在企業(yè)內(nèi)部選擇采用自動(dòng)登陸在企業(yè)外部采用秘密登陸的方式）達(dá)到效果：1、內(nèi)部的用戶，管理的需要，可以加載全盤加密方式、目錄加密方式、程序加密方式、空加密方式，滿足對(duì)不同角色用戶的管理；2、內(nèi)部資料，不經(jīng)過公司允許，通過各種途徑外發(fā)的均是密文，對(duì)大多數(shù)用戶而言，需要審批批準(zhǔn)方可解密，對(duì)特殊用戶，可以自行解密外發(fā)；3.3 產(chǎn)品功能對(duì)多種加密模式管理的滿足山麗網(wǎng)安的多種客戶端加密模式，管理人員可以自由的組合，以應(yīng)用與任何組，或者組的成員；區(qū)別于一般公司的產(chǎn)品不同的是，山麗網(wǎng)安的產(chǎn)品的這些模式是同時(shí)提供給用戶的，而不是僅僅只能提供其中一種加密模式，不會(huì)造成用戶的適用性、擴(kuò)展性無法滿足的現(xiàn)狀。另外，互

27、聯(lián)網(wǎng)上已經(jīng)有公開的加密軟件解密工具可以得到。這些工具可隨意的對(duì)格式加密類軟件進(jìn)行破解。這也是山麗防水墻提供了多種加密模式的原因。多種加密模式示意圖具體來講，山麗防水墻對(duì)數(shù)據(jù)的加密提供動(dòng)態(tài)加密和靜態(tài)加密兩種。其中，動(dòng)態(tài)加密有7種方式，可以根據(jù)管理目標(biāo)-用戶或者用戶組，進(jìn)行設(shè)置，具體包括：1、加密特定的格式，如用戶所列出的各種軟件，這個(gè)是市面上一般企業(yè)可以提供的加密模式；這種模式的優(yōu)點(diǎn)是簡(jiǎn)單，但存在著被破解的可能性，目前網(wǎng)上已經(jīng)出現(xiàn)了破解工具；這種方式的另外特點(diǎn)是應(yīng)對(duì)未來的發(fā)展性較差；2、某些格式不加密，其他格式均被加密，這個(gè)目前僅只有山麗網(wǎng)安提供；這種方式的特點(diǎn)也是簡(jiǎn)單，同時(shí)安全性相比1有所提高

28、，對(duì)未來的擴(kuò)展性也有很好的適應(yīng)，因?yàn)槲磥淼木鶗?huì)被加密；3、目錄加密，這種模式可以做到和文件格式無關(guān)，即文件放到加密目錄下面即自動(dòng)被加密，這種模式主要的應(yīng)用對(duì)象是企業(yè)的高級(jí)管理人員，其本人可以自主將資料解密，而不需要申請(qǐng)；目前僅有山麗網(wǎng)安提供有這種模式；4、空加密模式，這種模式顯然是應(yīng)用與企業(yè)或者組織的最高級(jí)領(lǐng)導(dǎo)的，即：最高級(jí)的領(lǐng)導(dǎo)本身的資料不進(jìn)行任何的加密，但其本人又可以自由的閱覽任何密文；目前僅有山麗網(wǎng)安提供有這種模式；5、網(wǎng)絡(luò)加密模式，這種模式可以決定以網(wǎng)絡(luò)形式存在于服務(wù)器上的數(shù)據(jù)的加密屬性，可以自由的決定數(shù)據(jù)存在于服務(wù)器是密文還是明文，而不管其本身原來是何狀態(tài)；目前，僅有山麗網(wǎng)安提供有此

29、模式；6、外設(shè)加密模式，這種模式是為了滿足工作內(nèi)部、外部自由交流的方便性而設(shè)，可以自由的決定數(shù)據(jù)存在于外設(shè)是密文還是明文，而不管其本身原來是何狀態(tài)；目前，僅有山麗網(wǎng)安提供有此模式的高級(jí)功能其他軟件只能加密，山麗防水墻可自由設(shè)置是否加密；7、全盤加密模式，這種模式最嚴(yán)格，一般應(yīng)用與研發(fā)人員或設(shè)計(jì)人員，這些人員的創(chuàng)造成果對(duì)企業(yè)的發(fā)展具有舉足輕重的作用，有時(shí)侯，為了平衡使用者的心理，有些管理人員也主動(dòng)采用這種模式進(jìn)行防護(hù)；目前，僅有山麗網(wǎng)安提供有此模式；所有的動(dòng)態(tài)加密，文件一旦被修改或者新創(chuàng)建（包括復(fù)制等操作），文件就會(huì)按照既定的策略被加密。在靜態(tài)加密上，山麗防水墻提供有兩種，用戶右手點(diǎn)擊某文檔決定

30、是否加密（有權(quán)限的也可以直接點(diǎn)擊右鍵解密）8、手動(dòng)加密，這種模式目前有美國airzip提供，同時(shí)山麗網(wǎng)安也提供有這種模式；這種模式的特點(diǎn)就是完全依賴作者本人的行為，比較適用高層管理人員；9、批量加密，控制臺(tái)操作，對(duì)歷史的文件進(jìn)行一次性的處理，文件變成密文。這種方式的目的一般是對(duì)服務(wù)器上的文件進(jìn)行加密操作。山麗網(wǎng)安的8種客戶端加密模式，管理人員可以自由的組合，以應(yīng)用與任何組，或者組的成員；區(qū)別于一般公司的產(chǎn)品不同的是，山麗網(wǎng)安的產(chǎn)品的這些模式是同時(shí)提供給用戶的，而不是僅僅只能提供其中一種加密模式，不會(huì)造成用戶的適用性、擴(kuò)展性無法滿足的現(xiàn)狀。3.4 產(chǎn)品功能對(duì)一文一密鑰安全性管理的滿足山麗防水墻采

31、用的是國際先進(jìn)的對(duì)稱加密和非對(duì)稱加密相結(jié)合的方式，在管理中，并不進(jìn)行密鑰許可，這是極為不安全的。因?yàn)榧用苘浖仨毑捎脟乙?guī)定的加密算法，如果密鑰可以拿到。用戶即使拿到密文也是可以被解密的。在山麗防水墻系統(tǒng)中，文檔的加密密鑰是動(dòng)態(tài)變化的，這一點(diǎn)可以從密文另存為相同幾份密文后，在加密環(huán)境外打開密文內(nèi)容不一樣得到確認(rèn)。山麗防水墻用戶并不持有文件加密密鑰，而持有PKI證書中自己的私鑰，這個(gè)私鑰只是確認(rèn)自己是一個(gè)合法的用戶而已，當(dāng)用戶合法后，本地的加解密驅(qū)動(dòng)開始工作，實(shí)現(xiàn)對(duì)文件的動(dòng)態(tài)、實(shí)時(shí)、透明加解密。山麗防水墻的用戶相鄰可以查看彼此文件的關(guān)系就是通過PKI體系來管理的，而不是通過文件加密密鑰實(shí)現(xiàn)。因?yàn)?/p>

32、那樣安全風(fēng)險(xiǎn)是非常大的。另外還需要注意的是：山麗防水墻系統(tǒng)基于腳色管理的權(quán)限系統(tǒng)，對(duì)文件的流轉(zhuǎn)途徑?jīng)]有任何限制，也就是說，一旦腳色相互之間的關(guān)系確認(rèn)，通過u盤、qq、mail、應(yīng)用系統(tǒng)等等方式流轉(zhuǎn)的文件均接受這樣的管控權(quán)限的約束。在市場(chǎng)上，有的公司的產(chǎn)品加密和權(quán)限是兩套系統(tǒng)，對(duì)文檔的權(quán)限控制需要將文檔上傳到特定的服務(wù)器進(jìn)行設(shè)置才行，這個(gè)管理帶來了巨大的挑戰(zhàn)，畢竟，用戶購買產(chǎn)品的目的是使用產(chǎn)品，不是增加自己的管理成本的。如果實(shí)施加密產(chǎn)品而不考慮產(chǎn)品的安全性，那信息化管理人員就不是在買安全產(chǎn)品了。因此，加密產(chǎn)品的安全性應(yīng)該成為產(chǎn)品購買和實(shí)施的重點(diǎn)考慮對(duì)象。目前的加密產(chǎn)品，按照國家管控的要求，加密算

33、法必須是采用國家指定的加密算法（也是公開的），否則產(chǎn)品不能在國內(nèi)進(jìn)行銷售。這個(gè)也是國外的安全產(chǎn)品遲遲不能今進(jìn)入中國境內(nèi)進(jìn)行銷售的原因。但國外安全產(chǎn)品的安全性往往又非常高，這個(gè)又是什么原因呢？這個(gè)是因?yàn)?，有的?shù)據(jù)加密產(chǎn)品，在產(chǎn)品交付給用戶的時(shí)候，往往供應(yīng)商會(huì)講，是給用戶提供一個(gè)密鑰，或者說給一個(gè)部門一個(gè)密鑰。不要相信什么不能破解的神話。沒有不能破解的。當(dāng)其他人一旦獲得了公司的密鑰或者一個(gè)部門的密鑰，加密算法是公開的（也不用費(fèi)神破解加密算法了），企業(yè)的數(shù)據(jù)還有什么不能破解的。因此，一文一密鑰是安全的基本保證。國外產(chǎn)品的安全性高的原因就是一文一密鑰（一個(gè)文件一個(gè)密鑰）。這樣，破解者即使得到了一個(gè)產(chǎn)品

34、的密鑰，也不會(huì)對(duì)數(shù)據(jù)安全產(chǎn)生根本性的影響要實(shí)現(xiàn)一文一密鑰，必須采用對(duì)稱加密和非對(duì)稱加密的相結(jié)合的方法。目前pdf的加密、windows的efs的加密是這樣的，國內(nèi)也有山麗防水墻是這樣的。因此，采用對(duì)稱加密和非對(duì)稱加密，并實(shí)現(xiàn)一文一密鑰是產(chǎn)品安全性的保證。3.5 產(chǎn)品功能對(duì)加密系統(tǒng)剪貼板管理的滿足用戶組用戶剪貼板管理復(fù)制和粘貼功能：防止重要的文件內(nèi)容從受控程序中直接復(fù)制到非受控程序中，如需復(fù)制和粘貼，則可以指定復(fù)制、拷貝到某一應(yīng)用程序中。 山麗防水墻的剪貼板管理也有獨(dú)立的模塊進(jìn)行管理。山麗防水墻對(duì)剪切板具有精細(xì)化的管控：或者全開，或者關(guān)閉，兩種模式；在管理模式情形下，又可以設(shè)置剪貼板可信的程序，

35、從而可以copy內(nèi)容進(jìn)入；具體的管理細(xì)則如下;1、所有的受控程序相關(guān)的內(nèi)容均不得copy進(jìn)入非受控進(jìn)程； 2、所有的非受控程序的內(nèi)容均可copy進(jìn)入受控進(jìn)程具有寫入權(quán)限的文件； 3、具有只讀權(quán)限的密文內(nèi)容不得copy進(jìn)入任何其他文件，只讀權(quán)限之間亦然； 4、受控程序之間的內(nèi)容可以自由copy，只讀除外； 5、如果放開了剪貼版控制，則以上不再管理，但只讀密文仍在管控范圍； 6、如果禁止了剪貼板管理，則遵行以上原則； 7、如果設(shè)置了某程序剪貼板可信進(jìn)程，則內(nèi)容仍可copy進(jìn)入之；3.6 產(chǎn)品功能對(duì)加密系統(tǒng)多種登錄方式管理的滿足山麗防水墻系統(tǒng)可以提供多種登陸進(jìn)入加密系統(tǒng)的方式。包括：1、域結(jié)合登陸：

36、和域控賬號(hào)結(jié)合的登陸方式，用戶登陸域即自動(dòng)進(jìn)入加密系統(tǒng)；2、自動(dòng)登陸：山麗防水墻提供有自動(dòng)進(jìn)入加密系統(tǒng)的選項(xiàng)，可以在開機(jī)即隨之進(jìn)入加密系統(tǒng)而無需用戶輸入密碼；用戶也可以取消自動(dòng)登陸的功能；3、標(biāo)準(zhǔn)登陸：對(duì)有的用戶，在需要看密文的時(shí)候再進(jìn)行登陸也是一種選擇；3.7 產(chǎn)品功能對(duì)出差筆記本防泄漏（加密客戶端離網(wǎng)使用）管理的滿足用戶有將電腦帶回家辦公或者到客戶現(xiàn)場(chǎng)辦公的實(shí)際需要，對(duì)這種需求，山麗防水墻提供了多種解決方案。方案一：采用VPN聯(lián)入內(nèi)網(wǎng)后登入加密系統(tǒng)，適合可以通過互聯(lián)網(wǎng)連接進(jìn)入公司內(nèi)網(wǎng)的情況；方案二：采用軟件Key證書在沒有任何網(wǎng)絡(luò)情況下進(jìn)入加密系統(tǒng)；方案三：采用硬件Key證書在沒有任何網(wǎng)絡(luò)

37、情況下進(jìn)入加密系統(tǒng)；使用硬件key的安全性要大于軟件key；具體來講，對(duì)不同的用戶，出差時(shí)候管控策略也可以不一致，一個(gè)用戶，也可以在不同的場(chǎng)景下采用不同的策略；策略可以包含如下：1、為用戶發(fā)放離線電子鑰匙（硬件Key或者軟件key），用戶在沒有網(wǎng)絡(luò)的情形下使用該電子鑰匙登錄進(jìn)入加密環(huán)境，對(duì)密文進(jìn)行操作；說明：筆記本丟失后，拾遺者沒有電子鑰匙和登錄口令將無法查看和處理密文；軟件離線證書可在證書過期后重新發(fā)放；硬件離線證書在證書過期前可以將時(shí)間延長(zhǎng)；2、對(duì)使用燒錄軟件進(jìn)行燒錄的情況，將燒錄軟件管理策略定制在離線電子鑰匙里面即可；這樣，用戶在進(jìn)行代碼編輯仍然可以進(jìn)行，但需要將代碼燒錄到設(shè)備里面的時(shí)候

38、則燒錄時(shí)即會(huì)自動(dòng)解密燒錄進(jìn)入PLC等設(shè)備，不需要現(xiàn)場(chǎng)進(jìn)行任何解密操作；但這些代碼文件單純的使用U盤（移動(dòng)存儲(chǔ)設(shè)備）拷貝出去的時(shí)候還可以是密文；3、為部分用戶提供3G上網(wǎng)卡，這些用戶可以通過VPN方式登錄進(jìn)入防水墻服務(wù)器系統(tǒng)，像在公司局域網(wǎng)一樣接受管控；在登錄一次防水墻之后，只要用戶不重啟機(jī)器，安全策略就一直有效；對(duì)出差員工的管理，因?yàn)椴荒茏龅綄?shí)時(shí)有效的反饋需求，因此，離線管理是一種優(yōu)選方案；同時(shí)，通過VPN提供遠(yuǎn)程登陸也是一種可以參考的方案；其次，通過對(duì)燒錄軟件的管理，也實(shí)現(xiàn)了安全和方便的要求；部署結(jié)構(gòu)：3.9 產(chǎn)品功能對(duì)文件解密申請(qǐng)管理的滿足密文發(fā)送給用戶需要解密處理，密文解密需要通過審批流

39、程互動(dòng)；文件的加密是處于防范泄密的需要，但企業(yè)也有數(shù)據(jù)解密的需要。審批流程圖山麗防水墻提供了多種文件解密的方式，其中一種是使用電子鑰匙由管理人員對(duì)文件進(jìn)行解密, ，以用于特殊目的，比如大批量文件的解密等等。如圖發(fā)放解密工具發(fā)放解密工具必須要對(duì)應(yīng)工作站用戶的電子鑰匙，可以按用戶發(fā)放也可以按工作站發(fā)放；區(qū)別在于給用戶發(fā)放的可以在多臺(tái)工作站上使用，給工作站發(fā)放的只能在一臺(tái)工作站上使用。很多數(shù)據(jù)加密軟件廠商在綜合型企業(yè)設(shè)置審批文件者往往都固定在一個(gè)人或者一個(gè)部門，隨著企業(yè)不斷發(fā)展壯大，公司內(nèi)部業(yè)務(wù)越來越多，文件審批外用的申請(qǐng)也會(huì)隨之增加，隨時(shí)會(huì)有泄密的風(fēng)險(xiǎn)。在管理方面，綜合型企業(yè)具有跨地域、跨行業(yè)等特

40、點(diǎn)，面臨的管理問題更多，更為復(fù)雜由于管理跨度大、層次多，綜合型企業(yè)對(duì)下屬公司的控制乏力。由于信息不能及時(shí)、準(zhǔn)確地收集和傳遞，導(dǎo)致集團(tuán)決策滯后、市場(chǎng)反饋遲緩。綜合型企業(yè)的內(nèi)網(wǎng)是一個(gè)信息點(diǎn)較為密集的高速網(wǎng)絡(luò)系統(tǒng)，且網(wǎng)絡(luò)中運(yùn)行重要業(yè)務(wù)系統(tǒng)，如ERP、OA、財(cái)務(wù)等業(yè)務(wù)，有多個(gè)分支機(jī)構(gòu)與主體相連。在如此龐大的樹形結(jié)構(gòu)中，審批管理的快速與方便顯得尤為重要！ HYPERLINK /product/index.htm 山麗網(wǎng)安在自身的審批管理模塊中添加了審批流的技術(shù)創(chuàng)新概念。將公司業(yè)務(wù)流程如同生產(chǎn)流水線般針對(duì)工作需求進(jìn)行審批管理，這在 HYPERLINK /product/index.htm 信息安全行業(yè)可謂

41、是首創(chuàng)！山麗網(wǎng)安在自身產(chǎn)品設(shè)計(jì)上已經(jīng)實(shí)現(xiàn)了串行審批、自動(dòng)審批、委托審批。山麗網(wǎng)安開創(chuàng)的多級(jí)審批流程在原有基礎(chǔ)上開創(chuàng)了4個(gè)全新的功能：平行審批：可同時(shí)設(shè)置兩條或者以上平級(jí)審批人此功能可以同時(shí)設(shè)置兩個(gè)或者以上平級(jí)一審批人，當(dāng)其中一條線的審批人不在公司時(shí)，另外一條線可以審批文件，這樣就可以將文件傳遞下去，進(jìn)行接下來的第二、第三人審批。同樣的，我們也可以同時(shí)設(shè)置第二、第三審批人也為兩人。單線審批：當(dāng)某一層的審批人不在時(shí)，可設(shè)置此功能兩條不同的審批線，但最后的審批結(jié)果是一樣的，是一個(gè)審批通道。單線效果：當(dāng)其中一條線中的某個(gè)審批人不在時(shí)，第二條線的審批人就可以進(jìn)行審批。例如，誰先看到有審批的文件就可以審批

42、。當(dāng)其中一條線審批不通過審批時(shí)，另外一條審批線還是可以根據(jù)自己的決定批準(zhǔn)或者拒絕，即第二線審批人審批通過，那么文件就能進(jìn)行使用，無需兩條線同時(shí)進(jìn)行審批。全線審批：根據(jù)文件的機(jī)密性來進(jìn)行設(shè)置全線也分為兩條線進(jìn)行審批，全線的重點(diǎn)在于審批的文件一定要全部審批人都通過審批才能使用。反之，如果其中一個(gè)人沒有審批通過，那么就無法使用這個(gè)文件。這就是全線審批與單線審批的區(qū)別。單線是其中一條不通過審批，另外一條線可以通過審批。全線更能反映出企業(yè)機(jī)密文件的重要性。全線審批，可以設(shè)置所有的審批人為并行，這個(gè)時(shí)候就是無順序的會(huì)審效果，誰先拿到誰審批，全部審批才算通過。提審：根據(jù)需審批的文件的緊急程度來設(shè)置高級(jí)權(quán)限的

43、擁有者是整個(gè)公司的高機(jī)領(lǐng)導(dǎo)人員。當(dāng)文件已經(jīng)審批的情況下，此時(shí)最高領(lǐng)導(dǎo)人員看到了這個(gè)文件的緊急程度，可以把文件提前出來，進(jìn)行審批通過。在高級(jí)領(lǐng)導(dǎo)人員審批通過的同時(shí)，無論是單線審批還是全線審批的審批成員都會(huì)收到消息，告知其他審批成員此文件已經(jīng)審批通過，無需再次審批。審批模式示意圖山麗網(wǎng)安作為獨(dú)領(lǐng)信息安全行業(yè)的翹楚企業(yè)，在山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)的多模審批管理模塊中不斷創(chuàng)新，為廣大企業(yè)用戶開創(chuàng)新的管理理念！3.10 產(chǎn)品功能對(duì)密文明送文件外發(fā)控制管理的滿足為了應(yīng)對(duì)許多客戶機(jī)器沒有安裝客戶端的時(shí)候也想看到受限制的“密文”。“山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)”可對(duì)外發(fā)到企業(yè)外部的機(jī)密文件進(jìn)行控制，包括設(shè)置外發(fā)文

44、件的生命周期，只讀、打印等所有使用期限。“山麗網(wǎng)安”則將內(nèi)部保護(hù)和外發(fā)保護(hù)無縫結(jié)合，一套系統(tǒng)即可解決兩類問題，合力構(gòu)建了一個(gè)全方位的文件權(quán)限體系。也就是說：密文明送管理（俗稱外發(fā)控制），可以實(shí)現(xiàn)：給客戶一種特殊的明文，客戶只能看，但看到時(shí)間、次數(shù)、打印、截屏、復(fù)制均被設(shè)置了管理限制；必要的時(shí)候，還會(huì)被限制在特定的電腦上才能打開；文件也可以設(shè)置用戶無法破解的密碼。3.12 產(chǎn)品功能對(duì)文件權(quán)限管理的滿足山麗防水墻產(chǎn)品可以實(shí)現(xiàn)密文的權(quán)限管理，滿足平級(jí)關(guān)系、上下級(jí)關(guān)系文檔權(quán)限管理；產(chǎn)品可以實(shí)現(xiàn)對(duì)企業(yè)標(biāo)準(zhǔn)化文件的精細(xì)化管理，可以實(shí)現(xiàn)特定的標(biāo)準(zhǔn)化文件只能在特定的服務(wù)器上只讀，不能修改，不能下載到本地可以讀

45、?。粚?duì)公司的管理方法，就是把一個(gè)個(gè)公司當(dāng)作一個(gè)組來進(jìn)行管理即可，組內(nèi)的用戶就是公司的員工。文檔權(quán)限管理示意圖按層級(jí)進(jìn)行密級(jí)授權(quán)管理，不同密級(jí)的管理者擁有不同的管理權(quán)限，上級(jí)擁有查看下級(jí)文檔的權(quán)限，下級(jí)無權(quán)查看上級(jí)文檔，如需查看需經(jīng)上級(jí)進(jìn)行授權(quán)；可針對(duì)部門或不同使用人群設(shè)置不同密級(jí)，未經(jīng)授權(quán)相互之間無法訪問。山麗防水墻的文檔權(quán)限控制可以用戶腳色之間的關(guān)系進(jìn)行設(shè)置。設(shè)置之后，可以滿足上級(jí)可以自由查看下級(jí)文件，下級(jí)無權(quán)查看上級(jí)文件，如需查看，需要上級(jí)進(jìn)行許可。山麗防水墻采用的是國際先進(jìn)的對(duì)稱加密和非對(duì)稱加密相結(jié)合的方式，在管理中，并不進(jìn)行密鑰許可，這是極為不安全的。因?yàn)榧用苘浖仨毑捎脟乙?guī)定的加密

46、算法，如果密鑰可以拿到。用戶即使拿到密文也是可以被解密的。在山麗防水墻系統(tǒng)中，文檔的加密密鑰是動(dòng)態(tài)變化的，這一點(diǎn)可以從密文另存為相同幾份密文后，在加密環(huán)境外打開密文內(nèi)容不一樣得到確認(rèn)。山麗防水墻用戶并不持有文件加密密鑰，而持有PKI證書中自己的私鑰，這個(gè)私鑰只是確認(rèn)自己是一個(gè)合法的用戶而已，當(dāng)用戶合法后，本地的加解密驅(qū)動(dòng)開始工作，實(shí)現(xiàn)對(duì)文件的動(dòng)態(tài)、實(shí)時(shí)、透明加解密。山麗防水墻的用戶相鄰可以查看彼此文件的關(guān)系就是通過PKI體系來管理的，而不是通過文件加密密鑰實(shí)現(xiàn)。因?yàn)槟菢影踩L(fēng)險(xiǎn)是非常大的。山麗防水墻系統(tǒng)基于腳色管理的權(quán)限系統(tǒng)，對(duì)文件的流轉(zhuǎn)途徑?jīng)]有任何限制，也就是說，一旦腳色相互之間的關(guān)系確認(rèn)，

47、通過u盤、qq、mail、應(yīng)用系統(tǒng)等等方式流轉(zhuǎn)的文件均接受這樣的管控權(quán)限的約束。在市場(chǎng)上，有的公司的產(chǎn)品加密和權(quán)限是兩套系統(tǒng)，對(duì)文檔的權(quán)限控制需要將文檔上傳到特定的服務(wù)器進(jìn)行設(shè)置才行，這個(gè)管理帶來了巨大的挑戰(zhàn)，畢竟，用戶購買產(chǎn)品的目的是使用產(chǎn)品，不是增加自己的管理成本的。3.12.1基于用戶為腳色的文檔權(quán)限控制山麗防水墻的文檔權(quán)限控制，可以基于腳色進(jìn)行相互之間的關(guān)系設(shè)置，一旦設(shè)置之后，各個(gè)腳色新產(chǎn)生、原來的秘文均按照這種相鄰關(guān)系進(jìn)行約束；這些腳色可以是一個(gè)用戶、一個(gè)用戶組、一個(gè)部門、一個(gè)分公司等等?；谀_色控制，完全不需要將這些文檔預(yù)先上傳到服務(wù)器上去追加權(quán)限，權(quán)限和文檔處于的位置不需要預(yù)設(shè)限

48、制條件。設(shè)置用戶平級(jí)腳色的共享關(guān)系圖設(shè)置用戶的下級(jí)、上級(jí)、自我權(quán)限關(guān)系圖3.12.2基于文檔為角色的自定義文檔權(quán)限控制在基于腳色之外，山麗防水墻的文檔權(quán)限還可以設(shè)置給特定用戶自行改變文檔權(quán)限的能力，即自行設(shè)置權(quán)限文件夾，設(shè)置該文件夾的訪問權(quán)限，當(dāng)用戶訪問這些文件夾中文件的時(shí)候，將按照用戶新設(shè)置的權(quán)限進(jìn)行控制。對(duì)有些文檔，屬于一定的機(jī)密文檔，需要對(duì)其擴(kuò)散范圍進(jìn)行限制。比如，A和B屬于一個(gè)部門的，有些文件只能在A和B之間流轉(zhuǎn)，安全策略規(guī)定不能共享給C使用，用戶A需要在本地加密目錄中建一個(gè)目錄，然后對(duì)目錄設(shè)置對(duì)應(yīng)的用戶權(quán)限，當(dāng)將文件往這個(gè)文件夾里一丟，這個(gè)文件的權(quán)限控制就變成了和這個(gè)文件夾一樣的權(quán)限

49、屬性了。然后，A將這個(gè)文件給B（任何方式），B只能在權(quán)限限制的范圍內(nèi)閱覽了。這個(gè)時(shí)候，即使C拿到這個(gè)文件，也無法閱覽因?yàn)闆]有權(quán)限。3.12.3文檔權(quán)限控制的精細(xì)化管理除了可以控制剪切板、截屏、錄屏軟件之外，山麗防水墻對(duì)文檔的精細(xì)化管理可以達(dá)到：只讀、寫入、下載、離線、刪除、重命名、打印等等。包括了可以禁止另存、格式轉(zhuǎn)換之后還是秘文，虛擬打印還是秘文等等。山麗防水墻對(duì)客戶端產(chǎn)生的文件、服務(wù)器上存在的文件，有多種權(quán)限可以供靈活設(shè)置，權(quán)限控制包括了權(quán)限顆粒度和用戶之間的相互權(quán)限限制兩個(gè)方面。權(quán)限顆粒度包括并不限于：只讀、文件對(duì)特定用戶而言只能閱讀，并且不能編輯、另存、修改。對(duì)沒有只讀權(quán)限的人顯示的就

50、是亂碼了。編輯、文件可以采用各種方式被修改。文件修改后，文件的作者將變成了修改者本人。復(fù)制、文件可以在特定的地方打開，不能copy到另外的地方使用。打印、文件沒有打印權(quán)限，用戶打印即提示沒有特定的權(quán)限。用戶需要打印，必須經(jīng)過一個(gè)審批流程。截屏、用戶可以對(duì)文件進(jìn)行合法操作，但無法通過截屏的方式將文件通過QQ等方式泄密。下載、文件只能在特定的服務(wù)器上使用，復(fù)制到本地?zé)o法使用。離線、文件僅僅能在組織內(nèi)部使用，帶出組織環(huán)境（即使在合法的離線筆記本上）也無法使用。次數(shù)、文件有打開時(shí)間的限制。時(shí)間、文件有打開此次數(shù)的限制。截屏控制策略文件其他權(quán)限顆粒度文件無權(quán)限打開的提示次數(shù)和時(shí)間3.15 產(chǎn)品功能對(duì)基于

51、B/S應(yīng)用服務(wù)器和防水墻系統(tǒng)融合方案的滿足用戶部署有較多的ASP/Php開發(fā)的B/S架構(gòu)的應(yīng)用服務(wù)器系統(tǒng)，用戶希望密文文件上傳到這些服務(wù)器系統(tǒng)上附件直接轉(zhuǎn)化為明文，但用戶電腦的密文在用戶發(fā)送到私人的webmail中（如qqmail）還是保持原狀，即密文還是密文。利用山麗防水墻網(wǎng)絡(luò)可信程序的設(shè)計(jì)，滿足當(dāng)密文發(fā)送到基于ASP/Php開發(fā)的B/S應(yīng)用服務(wù)器系統(tǒng)上時(shí)，文件自動(dòng)解密；但文件發(fā)送到自己的私人webmail中則保持原狀密文還是密文；這種設(shè)計(jì)滿足：IE6、IE7、IE8 、IE9等；支持打開一個(gè)IE進(jìn)程后關(guān)閉再打開另外一個(gè)進(jìn)行進(jìn)行分別文件傳遞，支持同時(shí)打開兩個(gè)IE進(jìn)程分別進(jìn)行文件傳遞，也支持打

52、開一個(gè)IE進(jìn)程使用不同的選項(xiàng)卡分別進(jìn)行文件傳遞（一共三種狀態(tài)）。3.16 產(chǎn)品功能對(duì)PDM、FTP服務(wù)器和防水墻系統(tǒng)融合方案的滿足也有的用戶有許多的PDM、FTP服務(wù)器，使用的PDM、FTP程序也是五花八門，用戶希望能夠?qū)崿F(xiàn)使用任何PDM、FTP程序從PDM、FTP服務(wù)器上下載下來的任何文件都是密文，但上傳到服務(wù)器上就是明文。當(dāng)然，已經(jīng)加密的文件發(fā)送到不信任的PDM、FTP服務(wù)器上又必須是密文了。利用山麗防水墻網(wǎng)絡(luò)可信程序的設(shè)計(jì)，設(shè)置特定的PDM、FTP服務(wù)器是可信的，則通過任何PDM、FTP程序從該服務(wù)器上下載下來的文件（包括導(dǎo)出的文件）均是密文；如果用戶指定了特定的端口或者固定的PDM、F

53、TP程序，在防水墻的設(shè)置中，也可以設(shè)置為該特定的程序下載下來的任何文件均是密文（包括導(dǎo)出的文件）。3.16.1產(chǎn)品功能和應(yīng)用服務(wù)器融合的原理為避免機(jī)密數(shù)據(jù)泄露和協(xié)同管理，加密系統(tǒng)必須與公司協(xié)同工作平臺(tái)等兼容。山麗防水墻在設(shè)計(jì)上充分考慮了系統(tǒng)邊界的問題，在底層執(zhí)行的技術(shù)可以確保和各種應(yīng)用系統(tǒng)完美兼容。系統(tǒng)邊界原理圖在應(yīng)用中，山麗防水墻和PDM、FTP、OA、CAD管理軟件等系統(tǒng)有許多靈活應(yīng)用。在應(yīng)用系統(tǒng)融合的方案部署中，山麗防水墻可以在可信模塊的支持下，發(fā)送密文或者明文數(shù)據(jù)到PDM、FTP、OA、CAD管理軟件系統(tǒng)服務(wù)器端。當(dāng)發(fā)送密文到PDM、FTP、OA、CAD管理軟件服務(wù)器端的時(shí)候，希望看到

54、服務(wù)器上數(shù)據(jù)的客戶端就必須在客戶端進(jìn)入防水墻系統(tǒng)（不然打開是密文），從而保護(hù)了PDM、FTP、OA、CAD管理軟件系統(tǒng)上的數(shù)據(jù)不會(huì)產(chǎn)生任何泄密。當(dāng)發(fā)送明文到PDM、FTP、OA、CAD管理軟件服務(wù)器端的時(shí)候（在實(shí)際部署中，客戶選擇此種方案的數(shù)量還比較多），希望看到PDM、FTP、OA、CAD管理軟件服務(wù)器上數(shù)據(jù)的客戶端必須在客戶端進(jìn)入防水墻系統(tǒng)，不然無法連接進(jìn)入PDM、FTP、OA、CAD管理軟件、服務(wù)器端，這是因?yàn)樯禁惙浪畨σ罁?jù)自己服務(wù)器的TPM裝置，天然的在自己的客戶端建立了一個(gè)自動(dòng)可信的環(huán)境，而沒有安裝防水墻的客戶端無法連接進(jìn)來，從而保護(hù)了PDM、FTP、OA、CAD管理軟件、系統(tǒng)上的數(shù)

55、據(jù)不會(huì)產(chǎn)生任何泄密。即使在PDM、FTP、OA、CAD管理軟件服務(wù)器上以明文形式存在的情況下，也可以通過可信設(shè)置，設(shè)置特定的用戶端不安裝防水墻客戶端就可以連上來，以滿足跨區(qū)域用戶的需要。PDM、FTP、OA、CAD管理軟件等系統(tǒng)兼容部署圖注：本方案不需要添加硬件設(shè)備。3.16.2產(chǎn)品功能和應(yīng)用服務(wù)器融合的方案因?yàn)樯禁惙浪畨梢詫?shí)現(xiàn)在不增加任何設(shè)備的情況下客戶端上傳到服務(wù)器上即自行解密，下載即自行加密，而且和使用的程序無關(guān)，需要加密的文件格式無關(guān)，這種方式也滿足對(duì)任何應(yīng)用系統(tǒng)的支持。但用戶可能在不啟用加密系統(tǒng)的情況下，登陸進(jìn)入應(yīng)用系統(tǒng)，從而造成安全隱患。山麗防水墻推薦如下四種方案：在應(yīng)用系統(tǒng)服務(wù)

56、器上部署山麗防水墻認(rèn)證端在windows應(yīng)用系統(tǒng)服務(wù)器上，防水墻的處理方案是在windows系統(tǒng)上安裝防水墻認(rèn)證客戶端，從而實(shí)現(xiàn)不安裝并且登陸防水墻的客戶端機(jī)器不能登陸windows應(yīng)用系統(tǒng)服務(wù)器；在應(yīng)用系統(tǒng)服務(wù)器上一樣，也安裝防水墻認(rèn)證客戶端，從而實(shí)現(xiàn)不安裝并且登陸防水墻的客戶端機(jī)器不能登陸windows應(yīng)用系統(tǒng)服務(wù)器；方案優(yōu)點(diǎn)：不需要在網(wǎng)絡(luò)環(huán)境中增加任何硬件設(shè)備，僅僅需要輕量級(jí)的安裝即可滿足對(duì)所有服務(wù)器的防護(hù)；而且沒有任何的安全縫隙；方案缺點(diǎn)：需要在服務(wù)器上安裝防水墻認(rèn)證客戶端，有工作量，尤其是服務(wù)器多的情況下。在企業(yè)內(nèi)部部署網(wǎng)絡(luò)準(zhǔn)入設(shè)備隨著企業(yè)終端規(guī)模的擴(kuò)大，哪些客戶端工作站可以連接哪些

57、服務(wù)器是企業(yè)管理的重點(diǎn)，任何外來的電腦、手持設(shè)備不能肆意接入公司網(wǎng)絡(luò)是企業(yè)網(wǎng)絡(luò)邊界管理的重點(diǎn)；因此，許多企業(yè)已經(jīng)完成了網(wǎng)絡(luò)準(zhǔn)入設(shè)備的部署。在解決非window應(yīng)用系統(tǒng)服務(wù)器數(shù)據(jù)防護(hù)方面，采用防水墻+網(wǎng)絡(luò)準(zhǔn)入設(shè)備也可以滿足這個(gè)管理需求，而且一樣，可以實(shí)現(xiàn)沒有任何的安全縫隙。即：在部署的時(shí)候，可以將是否登陸了防水墻客戶端作為客戶端電腦連接到對(duì)應(yīng)服務(wù)器的安全策略（正如是否安裝和啟用了殺毒軟件、是否打了補(bǔ)丁一樣）。在用戶沒有部署網(wǎng)絡(luò)準(zhǔn)入設(shè)備的情況下，用戶可以采用山麗網(wǎng)安的網(wǎng)絡(luò)準(zhǔn)入設(shè)備。實(shí)際上，網(wǎng)絡(luò)準(zhǔn)入設(shè)備的安全范疇要遠(yuǎn)遠(yuǎn)大于本處描述的作用，正如一個(gè)國家需要管理自己的邊境線一樣，網(wǎng)絡(luò)準(zhǔn)入設(shè)備是網(wǎng)絡(luò)邊界安

58、全的必備設(shè)備。在應(yīng)用系統(tǒng)服務(wù)器前部署山麗防水墻系統(tǒng)安全網(wǎng)關(guān)對(duì)應(yīng)用系統(tǒng)服務(wù)器的防護(hù)，也可以采用加密安全網(wǎng)關(guān)進(jìn)行防護(hù)。在實(shí)踐中，將安全網(wǎng)關(guān)部署在應(yīng)用系統(tǒng)服務(wù)器前面，文件上傳到安全網(wǎng)關(guān)時(shí)候進(jìn)行解密，文件從應(yīng)用系統(tǒng)服務(wù)器下載到客戶端工作站的時(shí)候，在安全網(wǎng)關(guān)上進(jìn)行加密；“安全網(wǎng)關(guān)”和山麗防水墻客戶端之間形成一個(gè)安全域的堡壘，所有想訪問安全網(wǎng)關(guān)后面服務(wù)器的客戶端首先需要部署山麗防水墻客戶端才能通過安全網(wǎng)關(guān)進(jìn)行通訊；沒有安裝山麗防水墻客戶端的電腦將無法和后面的服務(wù)器進(jìn)行通訊；用戶通過安全網(wǎng)關(guān)，將實(shí)現(xiàn)數(shù)據(jù)下載加密、上次解密的效果，這樣，數(shù)據(jù)在應(yīng)用系統(tǒng)服務(wù)器仍然是明文，但用戶下載下來就是密文了。優(yōu)點(diǎn)：實(shí)現(xiàn)了對(duì)應(yīng)

59、用系統(tǒng)服務(wù)器的防護(hù)缺點(diǎn)：所有經(jīng)過應(yīng)用系統(tǒng)服務(wù)器的數(shù)據(jù)均需經(jīng)過安全網(wǎng)關(guān)的處理；網(wǎng)絡(luò)中需要新增加硬件設(shè)備，會(huì)改變網(wǎng)絡(luò)拓?fù)?；?shù)據(jù)加密網(wǎng)關(guān)拓?fù)湓趹?yīng)用系統(tǒng)服務(wù)器和山麗防水墻系統(tǒng)之間進(jìn)行數(shù)據(jù)接口開放，二次開發(fā)具體的二次開發(fā)需要依據(jù)具體應(yīng)用系統(tǒng)來進(jìn)行分析。山麗防水墻在中控股份、思源電氣方面進(jìn)行的是二次開發(fā)的方式。3.17 產(chǎn)品功能對(duì)文件交互管理的滿足3.17.1分支機(jī)構(gòu)和總部的交流在防水墻管理架構(gòu)下，分支機(jī)構(gòu)和總部交流方式有以下幾種（用戶可以選擇并行或者固定采用其中一種）：總部每次發(fā)送附件的時(shí)候，先行解密然后發(fā)送方案優(yōu)點(diǎn)：分支機(jī)構(gòu)辦公方式無須任何的改變，工作方式和原來一樣；分支機(jī)構(gòu)自己起草的任何文件均不會(huì)有

60、加密的情況，可以自由的外發(fā)自己的客戶；方案缺點(diǎn)：總部外發(fā)文件前需要先將文件申請(qǐng)解密；在交流過于頻繁的情下會(huì)增加一定程度的工作量；總部每次發(fā)送附件的時(shí)候，設(shè)置分公司的mail地址為綠色信任郵箱，這樣，通過山麗防水墻的專用工具發(fā)送給這些用戶的mail附件將會(huì)自動(dòng)解密，方案優(yōu)點(diǎn)：分支機(jī)構(gòu)辦公方式無須任何的改變，工作方式和原來一樣；分支機(jī)構(gòu)自己起草的任何文件均不會(huì)有加密的情況，可以自由的外發(fā)自己的客戶；方案缺點(diǎn)：總部外發(fā)文件前需要先申請(qǐng)信箱解密，因?yàn)槭且淮紊暾?qǐng)，多次解密，存在一定的安全隱患；總部人員將外發(fā)文件放到服務(wù)器上，分支機(jī)構(gòu)人員自行登陸上來在自己被管控的目錄中自由獲取（分支機(jī)構(gòu)人員連接公司服務(wù)器