Vontu DLP数据防泄漏方案模版

XX移动数据防泄漏解决方案赛门铁克软件（北京）有限公司2008年11月目录第1章设计思路 (1)1.1什么是数据防泄漏 (1)1.2机密信息的划分标准 (1)1.3全面的多层次防护 (2)1.4首要解决大概率事件 (4)第2章数据防泄露技术介绍 (5)2.1概述 (5)2.2产品功能模块介绍 (5)第3章数据防泄漏技术实现 (8)3.1定义企业机密信息：如何建立机密信息样本库 (8)3.2制定监视和防护策略 (12)3.3部署监视防护策略，检测敏感数据 (13)3.3.1网络DLP (14)3.3.2端点DLP (18)3.3.3存储DLP (23)附录一：VONTU DLP支持的文件类型 (29)第1章设计思路1.1 什么是数据防泄漏对企业而言，在面临来自外部的病毒、木马、网络攻击等种种网络安全威胁时，来自内部的数据泄露或许是一个更需要重视的问题。

无论企业处于何种规模，都存在数据泄密的风险，而这些风险将会让企业面临安全、知识产权、财产、隐私和法规遵从方面的威胁。

在这些数据泄露情况中，大部分情况下都是员工在无意中泄露出去的，但还有一些则是由员工有意为之。

一个使用没有安全防护的笔记本电脑的移动办公人员，可能有意或无意地通过无线网络泄漏公司机密信息。

与此同时，大量支持USB连接的设备不断涌现，也使得企业的机密信息很可能便被装进U盘或者移动硬盘等方便地带走。

当发生数据泄密时，在安全专家忙于恢复敏感数据和修补泄密漏洞期间，企业的时间、资金和声誉都会遭受到严重的威胁。

企业安全专家总处于一场没有终点的战争中：当原来的泄密漏洞刚刚得到控制，新的数据泄密情况却又伴随着其他众多设备的使用而频繁出现。

企业信息化目的是为了信息和数据的共享，而数据的生命周期中包括存储（生成数据的服务器和存储设备）、使用（数据的使用者对数据进行操作）和传输（数据从一个地点传送到到另外一个地点）三个基本的生命过程。

数据防泄漏就是要保护企业的机密信息不被非法的存储、使用和传输。

1.2 机密信息的划分标准显然，如果对企业内各种各样的海量数据全部进行同样级别的保护，等于没有任何保护。

因此数据防泄漏的一个基本点是确定信息的机密性分类。

对于可以完全对外公开的数据，不需要任何的信息防泄漏防护措施；对于关系到企业生存、发展、声誉的重要数据，应当严格控制其存储位置，使用方式和传输方式。

如何对信息进行机密性的分类呢？最根本思想的是依据信息的内容来判断其机密性级别。

信息的所有者（如业务人员）可以根据个人或者企业的相关规范理解自己创建的信息内容的机密性级别。

至于如何操作，实现方式包括以下两种：1.基于权限。

信息所有者对信息载体（数据库或者文件）进行权限设定，即什么样的人可以访问什么样的信息。

这是一种最直观的信息保护模型，但是其实践和操作具有很大的局限性。

首先，被保护的对象不是数据的内容，而是数据的载体，因此一旦载体发生变化，原有的权限设定和控制就失去效力。

比如，从数据库查询到信息存成文件格式，则对数据库表的权限设置即失去意义。

另外，当把文件中的某些关键信息拷贝粘贴到其他文档，或者转换成其他格式，对于原有文件的权限设定也同样失去防护意义。

其次，权限设定在操作中将极大地影响现有的工作流程管理和用户使用习惯。

显然，越大型的网络环境复杂度将呈现指数型上升，这也是基于数字权限的防护技术一直不能在市场上大规模应用的主要原因。

特别是对于非结构数据，如文件，设想一下，对不计其数的文件进行权限的管理，为每个文件设定可以访问、阅读、修改等权限，最终用户和管理员将不堪负重。

最后，并不是所有的文件类型都可以象pdf文档一样进行权限设定，因此为了保证有效性经常需要进行格式转换，这又带了了转化后数据无法逆转，格式失真，用户使用习惯更改等更多问题。

2.基于内容。

显然，信息防泄漏关注的根本在于信息的内容。

基于内容的机密信息分级将大大地减少管理实施难度，确保防护的有效性。

管理员只需要知道我们的机密信息应当存储在数据库的那个表中，或者服务器上的哪个目录下，就可以完成对信息机密性级别的定义。

显然，信息的所有者很容易提供以上信息，并且无需费神去设定权限。

一旦确定了机密信息的存储位置，则可以自动地建立机密信息样本数据库，进而在存储、网络、终端各个层面发现机密信息泄漏事件。

1.3 全面的多层次防护信息防泄漏不是单独地依靠一种产品或者一种技术就可以完善解决的任务，必须建立全面的多层次防护体系，并辅以适当的管理、流程和培训，才能确保我们实现数据防护的目标。

从防护层次上包括IT基础架构安全、数据安全、安全管理三个方面：❒IT基础架构安全防护IT基础架构安全包括网络、服务器和终端的安全。

对于大型网络首先要划分安全域，在安全域之间的边界实施监视和访问控制，做到看得见、管得着。

细粒度的网络访问权限控制是信息防泄密的基础。

服务器往往是存储机密信息的基础平台。

因此我们需要在信息泄露事件发生之前能够预警、提前防范；在信息泄露事件发生时能够主动实时地防护；在信息泄露事件发生之后做到及时告警、快速响应和恢复。

即在预警、防护和响应三个层次上进行主动防护。

以响应为例，用户、管理员、集成商人员等对于服务器的访问和操作应当建立完备的审计机制，无论是通过网络登陆还是本机操作，都可以查询管理人员操作的历史记录。

通过详细记录用户行为，约束使用者对服务器上信息的操作，避免越权操作，并且可以确保安全事件发生时可以快速响应。

对于终端，严格地管理和约束终端行为，落实确保合法用户和合归操作。

通过采用准入控制技术，使用技术手段进行控制，对于违反企业安全策略的终端限制其访问网络资源，从而保证所有接入网络内部的终端符合企业安全策略要求，特别信息防泄密的要求。

❒数据防泄露企业需要重点保护客户数据、公司信息、知识产权及敏感或机密信息的安全，无论它们是通过电子邮件、web 邮件或其它因特网协议传出网络，还是通过USB/CD/DVD 传出端点或保存在端点上，或者是保存在共享服务器和数据存储库中。

本方案将重点介绍Symantec公司Vontu数据防泄漏技术方案。

V ontu Data Loss Prevention (DLP) 8是业界第一个结合了终端和网络功能的软件，它为机密数据的存储和使用提供保护。

无论是存储在网络的、还是不联网终端上的数据，V ontu都可以发现它们，并且可以防止数据从网络网关和终端泄密。

V ontu网络数据丢失防护功能全面覆盖面很广，包含了email, Web, SecureWeb (HTTPS), IM, FTP, P2P and Generic TCP。

它使得企业可以更好地保护知识产权、遵从法规、维护品牌和声誉。

安全管理针对一系列的安全问题和相应的人员职责，需要出台的更为具体的安全管理规范和制度，通过规范制度约束企业内各种人员角色的安全行为。

安全规范为企业的“人”提供了安全行为的规范和制度，解决了应该做什么不应该做什么的问题。

通过逐步建立适应中华保险组织结构、业务环境和业务流程的安全组织架构，重点考虑如何实现集中的安全控制和管理需求，明确从管理员到最终用户人员等各种角色的职责。

尤为关键的，通过技术的手段确保管理规范的落实和强制执行。

此外，安全管理不同一般的企业管理，制度的落实需要较强的安全意识和相关技术技能，这除了需要完善安全培训教育机制，为实施安全的管理人员或者最终用户提供安全操作的具体指南和手册也是至关重要的。

1.4 首要解决大概率事件所有的“安全”都是相对的，都是有成本的。

过于安全会牺牲系统运行效率、牺牲用户的方便性。

显然通过物理隔离的方式把存有机密文件的电脑网络与外隔绝是最佳的信息防泄漏方案，但同时也违背了信息可用的进本原则。

层次化的数据防泄漏方案需要通过完善的管理，多种技术共同配合实现。

这就需要我们在现有安全架构基础上，妥善分析各种安全风险优先级别，首先解决大概率安全事件。

分清哪些是大概率事件，哪些是小概率事件？对于类似用手机抓拍计算机屏幕的信息偷窃方式，显然属于小概率事件。

在设计防泄露方案时对于这些极端的数据泄露情况不可能也没必要完全防护。

必须把握“抓大放小”的建设原则，重点解决大概率事件。

通过一系列的技术手段培养用户的信息保密意识，避免由于用户的无意识泄密或者随意泄密。

第2章数据防泄露技术介绍2.1 概述数据保护领域，涉及诸多技术，其中最有代表性的主要有两种：第一种是针对含有机密数据的电子文档（或称文件）加强保护，方法主要是加密或者版权管理；第二种是针对机密数据内容本身加强保护，方法是对机密数据的存储、使用和传输进行监控和管理。

赛门铁克的数据丢失防护解决方案V ontu Data Loss Prevention采用的是第二种技术，适合在整个企业部署，以微小的性能代价，实现牢固的机密数据保护。

V ontu 检测基于实际的机密内容，而不是文件本身。

因此，V ontu 不仅能检测敏感数据的摘录和派生内容，而且能识别文件格式与指纹识别信息不同的敏感数据。

例如，如果某个机密Microsoft Word 文档经过了指纹识别，则当该文档以PDF 附件通过电子邮件发送时，V ontu 同样能精确检测到这一相同内容。

如前文所述，为了全面保护客户的信息，还需要全面的多层次化防护技术，特别是终端完整性管理、网络准入控制等的解决方案配合。

赛门铁克的网络准入控制产品在这两个领域提供了业界最好的解决方案。

因此，赛门铁克数据丢失防护解决方案结合终端保护功能，可以为客户提供最全面的数据保护。

2.2 产品功能模块介绍V ontu DLP 8 软件套件包含V ontu Enforce 管理应用和六个产品：V ontu Network Monitor 和V ontu Network Prevent（网络DLP）、V ontu Endpoint Discover 和V ontu Endpoint Prevent（端点DLP）、以及V ontu Network Discover 和V ontu Network Protect（存储DLP）。

尽管所有这六个产品既可以作为独立的产品进行部署，也可以联合部署，但它们都通过V ontu Enforce 管理应用进行实施。

Vontu EnforceV ontu Enforce 是所有V ontu 产品的中心管理应用，用于自动实施企业的数据安全策略。

在V ontu Enforce，数据丢失策略被创建，以自动检测和保护敏感数据，执行事故工作流和纠正措施，生成报告并配置基于角色的接入和系统管理。

V ontu Enforce 用通用的策略和报告来统一V ontu 产品套件。

单个数据丢失策略可以部署在所有V ontu 产品上，报告中包含统一的仪表板，可以将来自所有V ontu 产品的信息组合到用户界面的一个页面上。