防泄密解决方案书

解决方案

一、客户需求

1.保护对象

主要使用PRO/E、CAD等机械制图工具，重点对这几种设计软件产生出来的图纸等进行安全防范。

2.效果要求

1)公司内部的重要图纸资料不会因复制、邮件等各种方式泄密出去

2)文件可以给公司外部人员修改，但不会因此被随意拷贝泄密出去

二、泄密途径分析

1）利用U盘、移动硬盘、SD卡、刻录机刻录等方式复制；

2）通过打印机打印；

3)通过P2P传输、即时通讯、电子邮件等网络方式传送；

4)网络黑客、商业间谍通过病毒、木马等非法侵入，直接传送或复制企业

涉密信息，盗卖获利；

5)在报废电脑或硬盘时，未对其中的文件进行销毁处理，导致泄密；

6)公司员工携带涉密图纸资料的电脑离职或涉密电脑外带时不慎丢失。

三、反商业泄密软件解决方案

1.设计原理

公司是一家专业从事文档加密软件的研发和服务的高技术公司，公司成立于2005年,国内知名的加密软件产品的研发供应机构。反商业泄密系统软件集文档加密、硬件管理、行为监控、日志审计、程序控制等多个功能模块于一体，为企

事业单位提供了一套安全、方便、实用、低应用成本的反商业泄密一体化解决方案。

基本设计原理就是阻断计算机文档的通用性，并保证这种通用性在内部的有效性、数据使用的方便性。

在此基础上，文档守望者要达成以下设计目标：

(1)保证理想的防护效果，不能因为各种原因（内部、外部、有意、无意）而导致泄密发生；

(2)万一产生泄密事件，要能够追查回溯，查出责任人，并保存相关证据；

(3)不影响现有的工作模式和操作习惯；

(4)不提高管理成本；

(5)内部沟通没有阻碍。

2.实现原理以及设备需求

在操作系统中, I/O（输入输出）管理器负责处理所有设备的I/O操作。 I/O 管理器通过设备驱动程序、中间驱动程序、过滤驱动程序、文件系统驱动程序等完成I/O操作，见图。

驱动程序位于工作程序的最底层。当有需要受控的软件在运行时，驱动程序将会监视该程序的I/O动作。当要写文件时，加密程序会将其自动加密，然后交给下层设备驱动程序来完成真正的磁盘写入动作。当监视到有读的动作时，首先识别此文件是否是已经加密的文件，如果是加密文件，则在读取时自动对读取到内存的数据进行解密。这样在应用程序看起来，就象是什么事都没有发生。用户所有的使用习惯都不会受到影响。

系统要求

●最低配置 CPU PII400、内存64M、硬盘 20M可用空间。

●推荐配置 CPU PIII800以上、内存128M以上、硬盘20M以上可用空间。

●操作系统Windows 2000、Windows XP、Windows 2003。

3.主要功能

1)基本功能——加密、硬件管理、提供追溯日志

●自动加密：自动透明的对受控软件生成的文件进行加密。

●移动存储设备控制：控制U盘、移动硬盘等移动存储设备是否可用，

是否需要加密，而不会影响其它USB设备如打印机、鼠标等的正常

使用。

●文件拷贝日志：如果允许使用U盘等移动存储设备，可以记录其拷

贝日志。

●打印控制：控制是否可以打印文件。

●打印日志：如果需要打印的话，可以记录打印日志。

2)附加功能——行为监控、程序控制、离线电脑管理

●即时或定时截屏：可以定时或实时地将用户的屏幕内容传送到服务

器并保存下来。

●黑名单控制：可以禁止使用游戏、QQ等与工作无关的软件。

●离线电脑，如携带笔记本电脑外出，可以离线使用，也可以设置该

电脑的有效期。

4.优势

1) 加、解密速度快，不影响工作效率；

2) 难以被追踪破解，安全系数高；

3) 应用范围不受限制，可以根据客户的需要任意添加受控程序（应用软件）；

4) 加解密过程幕后自动完成，用户无需也无法进行干预，真正不影响用户

使用习惯；

5) 操作简便，使用与维护容易掌握；

6) 可以与大多数软件和硬件系统友好兼容与对接,如公司ERP系统；

7) 强大的平台功能，为各类用户的定制开发提供了方便之门，软件的扩展

应用空间广阔。

四、实施流程与功能预测

1.功能模块和实施步骤

功能模块

CS构架包含三个组件，分别为服务器、客户端、解密端，另外为方便管理，可以选装管理端和解密助手。其中

1) 服务器：

服务器主要用于统一管理公司内的机器。其主要功能有：

自定义受控文件类型（即哪些软件生成的文件需要进行加密保护）

自定义黑名单（禁止使用哪些软件）

设置用户密钥管理服务端用户及其权限

管理管理端用户及其权限

工作组的管理及设置

客户端的管理及设置

日志的查询及导出

2) 客户端（及专有客户端）

客户端采用无界面设计，在安装好客户端后，员工并不会感觉到有守望者的存在。

所有的加密均是在背后由守望者自动完成的，此过程无需也无法干预。

专有客户端与普通客户端的区别为专有客户端可以正常读取加密的文件而其自身生成的文件则不加密。专有客户端主要用于企业高层或绝对可靠的员工。

3) 解密端

主要分配给企业领导或安全员，对需要外发的文件进行解密。

其解密动作也将会在服务器上产生日志记录。

4) 管理端

主要分配给企业领导或安全员

接受解密助手发来的解密、打印、开放使用U盘、开放复制粘贴功能等

申请，根据申请理由进行即时授权。

5) 解密助手

主要分配给公司的员工

主要用来让员工在有解密文件，临时使用打印，临时使用U盘，临时使

用受控软件和非受控软件的负责黏贴功能的需要时能够在线和管理者联

系，发出申请。

⏹企业部署方案

考虑到企业内电脑比较少的因素，我们可以采取服务器加客户端，并以解密端进行辅助的模式。

首先我们在服务器（该服务器可以是独立的服务器也可以用某一台电脑作为服务器）上安装服务器，在每个员工的电脑上安装好客户端。以后就不需要经常的使用服务器进行操作，给管理人员配上一个解密端，对企业内部有需要解密的员工的文件审核后进行解密。

其次在给外部协作人员配备的电脑上安装客户端，设置成离线使用模式，然后交给对方使用。这样，图纸只能在这台电脑上使用，离开这台电脑的图纸资料将无法打开。

2.实施效果预测

⏹对储存于内部计算机中的文档信息加密保护

1)部署后，可以在服务器端选择需要加密的程序软件，通过对客户端计算