加密方案.docx
- 文档编号:25945337
- 上传时间:2023-06-16
- 格式:DOCX
- 页数:20
- 大小:54.71KB
加密方案.docx
《加密方案.docx》由会员分享,可在线阅读,更多相关《加密方案.docx(20页珍藏版)》请在冰豆网上搜索。
加密方案
XXXXXX
数据防泄密项目技术方案
方案目录
======================================================================
1方案前言5
2数据风险说明6
2.1敏感数据泄密风险汇总6
2.1.1访问风险6
2.1.2移动存储风险6
2.1.3集中存储风险6
2.1.4传输风险6
2.1.5无线网络传输风险6
3软件系统总体方案7
3.1软件系统各功能方案描述7
3.2系统功能需求汇总7
3.2.1终端数据保密管理需求7
3.2.2身份认证管理需求7
3.2.3内网桌面管理需求8
3.2.4保密检查需求8
3.2.5综合审计日志管理需求8
3.3设计原则8
3.4软件系统总体内容的描述9
3.4.1产品架构与部署环境9
产品架构与多级管理9
系统软硬件10
3.4.2扩展性与集成性10
3.4.3稳定性与可靠性10
3.4.4兼容性和易用性11
3.4.5策略和管理要求:
11
4技术建议书12
4.1终端数据保密管理12
4.1.1单文件/文件保密区域加密12
4.1.2内网分级/分区访问控制12
4.1.3文件外发审批管理12
4.1.4移动存储设备写加密13
4.1.5移动笔记本管理13
4.1.6封闭集中设计、外地总承包施工现场终端管理13
4.1.7服务器保护13
4.1.8邮件外发加密13
4.2身份认证管理14
4.2.1终端安全身份认证管理14
4.2.2用户管理14
4.3内网桌面管理功能14
4.3.1外设控制14
4.3.2文件分发和补丁管理14
4.3.3非法接入和非法外联15
4.3.4IP地址绑定15
4.4综合审计、日志管理15
4.4.1终端信息审计16
4.4.2文件操作监控审计16
4.4.3打印监控审计16
4.4.4网址访问控制与审计16
4.4.5邮件收发控制审计16
4.4.6移动存储设备审计16
4.4.7日志管理16
4.5方案综述16
5主要电子文档加密软件实施项目18
5.1方案实施图18
5.2项目实施目标18
5.2.1实施内网安全管理系统,主要实现如下功能:
18
5.2.2实施原则:
19
5.3项目实施组织工作19
5.4项目计划20
5.5项目实施阶段划分20
5.6项目实施日程安排21
5.7实施范围22
5.8策略配置22
5.9组定义22
5.9.1用户组定义22
5.9.2计算机组定义22
5.10角色定义23
5.10.1系统管理员23
5.10.2系统审计员23
5.10.3部门经理23
5.10.4高层管理23
5.10.5驻外人员23
5.10.6普通职员23
6实施步骤23
6.1网络环境准备23
6.2服务器系统准备24
6.3管理员控制台的安装24
6.4管理员培训24
6.5小规模环境测试24
6.6用户培训24
6.7客户端部署26
6.7.1客户端安装步骤26
6.7.2测试阶段27
7系统下线方案27
7.1系统下线准备27
7.2系统下线步骤27
7.3系统下线完毕检测28
8扩展方案:
移动办公解决方案28
8.1方案设计28
8.2移动安全管理系统构成28
8.3Chinasec移动安全管理平台解决方案28
8.3.1移动安全接入解决方案29
8.3.2移动安全管理解决方案29
8.3.3安全TF卡31
8.3.4部署示意图32
9售后服务计划33
9.1质保服务承诺(项目验收一年内)33
9.2保修期后服务34
10Chinasec产品相关资质35
1方案前言
现代的公司不可能完全断绝与互联网的交互,不可能将机构内网完全封闭成一个信息孤岛。
但存在交互就存在着泄密风险。
电子信息的保护需要依靠法律和行政手段作为规则与准绳,同时需要与相关的技术手段相结合,这才是解决信息安全问题的根本办法。
在当今企业综合实力的竞争当中,谁保住了经济情报,谁就能抢占市场;谁控制了科技制高点,谁就能在激烈竞争中处于优势地位。
在现代知识经济和信息经济的大背景下,一个真正拥有经济、科技实力的企业,也必须能够保障自身知识安全与经济安全。
2数据风险说明
2.1敏感数据泄密风险汇总
2.1.1访问风险
核心业务系统或业务服务器由于本身具有一定的开放性,只要有相关帐户信息(用户名、密码等)的人员均可以直接对其进访问并可将成规模的数据由业务系统或服务器下载到本地,且如果高阶(级别较高、权限较大)用户身份被他人冒用或盗用,后果不堪设想。
2.1.2移动存储风险
移动存储设备由于其便携、小巧的特性,因此成为了组织内部及组织向外进行数据传播、外带等的较佳途径。
相形之下硬盘等大容量容储器的使用更加广泛、频繁,是PC的基本要件之一,也是数据存储中心。
如果这两类设备保管、使用不当,都有可能产生泄密风险。
2.1.3集中存储风险
各种应用服务器上承载着公司所有核心的数据、图纸、单据等,而服务器的开放性会对数据的安全存储带来非常大的威胁,而如果将服务器的核心数据通过加密文档的手段进行安全防范,将丧失数据存储的安全准则,那么允许访问,面临泄密风险,对核心数据进行加密处理,则面临数据解密失败的风险。
2.1.4传输风险
网络传输分为内部传输与外部传输。
内部传输风险体现在,非法计算机的侵入内网资源(计算机、服务器、网络设备等)、数据从局域网内涉密计算机流向局域网内非涉密计算机、涉密计算机之间的通信被监听等;外部传输风险体现在,通过QQ、MSN、mail等文件传输工具将数据从涉密计算机发送给非涉密计算机。
2.1.5无线网络传输风险
无线技术的迅猛发展,提高了传输速录、便利性,摆脱了传统传输的方式,无线网络的普及,让其众多的移动设备之间可以互相兼容,笔记本与笔记本、笔记本与手机、手机与手机、蓝牙、红外等,这些设备间的兼容性越来越普遍,比如:
只要略懂计算机应用的人都可以通过笔记本的蓝牙或者无线,将数据上传至手机;
3软件系统总体方案
3.1软件系统各功能方案描述
针对对XXXXXX的了解,能为贵公司对当前系统架构安全防护方面所存在的问题提供一些参考,未贵公司提供数据安全方面,日常制度管理、应用以及信息安全的需要。
3.2系统功能需求汇总
通过调研与分析,我们了解到,XXXXXXXXXXXX的客户端数量众多,具有复杂的应用场景,集中办公与移动办公并存的情况,每个客户端的系统环境也比较复杂,应用程序非常多,我们将之需求分析加以归纳,大体汇总为五个方向:
终端数据保密管理需求、身份认证管理需求、内网桌面管理需求、保密检查需求、综合审计日志管理需求等
3.2.1终端数据保密管理需求
主要体现在将公司的管理意志通过技术手段加以实现的需求,主要涉及:
●电子文档密级可以划分,符合国家等级保护等相关规定
●产品加密支持所有格式文件,无需后期式开发或者二次开发
●单文件/文件保密区域加密
●内网网络分级/分区域访问控制
●文件外发审批管理
●移动存储介质使用管理;
●移动笔记本的管理
●封闭集中设计、外地总承包施工现场终端管理
●服务器保护
●受控终端发出的邮件进行控制
●外设(端口)使用管理;
●应用程序使用管理。
3.2.2身份认证管理需求
确认用户的身份,确保信息系统中用户身份的真实性,是一个安全系统的基本要素,也是进行授权、管理和监控的基础。
●多身份认证管理手段
●用户权限管理
3.2.3内网桌面管理需求
内网桌面管理需求,多体现在对内网计算机终端进行集中的资源和用户行为授权管理,并提供详细的审计记录,减少单位内网的安全漏洞和风险,提高了安全性与管理效率。
●设备终端使用、授权管理;
●文件分发和补丁管理;
●拒绝非法接入与非法外联;
●终端IP地址捆绑
3.2.4保密检查需求
●可以对计算机最近使用文档包括最近打开的文档基本属性检查
●对本机内敏感信息进行查询功能;
●对已经被删除的文件进行敏感信息检查;
●对盘符的整个扇区进行敏感信息检查;
●通过自定义所需检查关键项,对本机安全信息记录进行快速检查;
●支持对查询内容基于网页形式进行输出。
3.2.5综合审计日志管理需求
●文档操作监控与记录
●终端设备软/硬信息汇总统计及更改报警
●打印功能控制与监控
●网址访问审计、黑白名单控制以及非法外联控制管理
●邮件收发控制审计
●可以对终端的可移动存储设备使用情况进行审计
●可以对详细的资产管理、文件操作,行为监控审计、网络访问审计、各种报警记录、敏感检查记录
3.3设计原则
根据XXXXXX信息设备的规模和管理情况,本解决方案将根据以下原则进行内网保护方案的设计:
1.平台应该统一规划,分步实施,实施各个阶段应该保持良好的衔接;
2.平台与应用相关性应该尽可能低,支持应用系统的升级和新应用的扩展;
3.平台的选型必须是基于现有的成熟产品和系统,具有良好的可靠性与稳定性;
4.平台应具有良好的可管理性和可维护性,有统一的管理中心;
5.平台必须具有良好的易用性和兼容性,不会改变业务系统的主要结构,也不会对业务系统的操作人员带来过多的习惯改变;
6.平台应该符合国家制定的相关安全管理规范,取得相关资质。
7.随着互联网技术的不断发展,平台应具备良好的扩展性与集成性
3.4软件系统总体内容的描述
3.4.1产品架构与部署环境
由于Chinasec可信保密系统是一款系统应用环境的透明加密的防泄密产品,所以产品对于第三方应用软件、中间件均具备超强的兼容性(我们不基于应用程序进行加密),所以贵公司目前PC客户端、服务器上所安装的应用程序、业务系统,均可以做到非常好的兼容性(系统已安装了类似加密产品除外),
产品架构与多级管理
●此产品体系完全基于TCP/IP协议网络,不需要改变现有网络结构,支持远程管理,对原系统的性能影响很小。
●提供整体一致的内网安全解决方案,基于同一个管理平台,提供身份认证、授权管理、数据保密和监控审计的完整互动安全策略。
●提供多种灵活的透明加密措施,根据用户需求可以进行文件加密、文件夹加密、本地磁盘加密、移动存储设备加密等。
●具备广域网和大用户数等大规模网络部署的架构和性能,支持多机热备、负载均衡、分级管理和多级部署的功能。
●支持基于用户、计算机和控制内容的三要素策略设计思想,策略可以灵活控制,针对不同的用户和不同的计算机可以实施不同的策略,支持权限在内部信息网络中的漫游。
●紧扣国家保密局颁发的《涉及国家秘密的信息系统分级保护管理办法》,支持对政府、军队和军工等涉密内网的分级分域管理。
数据在同一个虚拟保密子网(VCN)内可以正常相互交换,不同虚拟保密子网内数据交换需要管理员授权,实现分域管理。
不同保密级别的VCN可以根据需要设置控制力度不同的保密策略,实现分级管理。
●充分考虑企业分支机构或者办事处等应用需求:
既需要访问互联网,又希望对核心数据进行保护的需求,支持VPN/DDN/专线连接,帮助用户有效实现既要上网又要保密的目标,提供灵活的企业数据安全解决方案。
●提供了对移动存储设备的强大管理功能,提供针对移动存储设备的注册、认证、策略控制和使用审计等措施。
其中,策略控制支持禁用、只读、加密和解密等方式,注册则可以基于用户、计算机和控制策略三要素进行管理。
●提供丰富的授权管理内容,包括服务器访问、终端计算机使用、外设、网络、应用程序和U盘使用等。
●支持丰富的日志审计、报表生成以及实时报警监控等功能,提供丰富的管理手段
系统软硬件
服务器软硬件:
操作系统支持Windows2000以上操作系统(支持多国语言)
数据库支持MSSQL2000、SQL2003、SQL2005、SQL2008、ORACLE9/10/11
建议硬件配置CPU:
≥3.4GHz*2、内存:
≥2GB、硬盘:
≥240G;
客户端软硬件要求:
操作系统:
windows98以上操作系统(支持多国语言)
建议配置:
CPU:
Intel≥800GHz、内存:
512M以上;
硬盘:
大于10G;需要做加密计算机不少于2个分区,分区格式为NTFS。
加密盘分区剩余空间大于4G
3.4.2扩展性与集成性
方案的扩展性在对边界接入、无线接入、手持终端接入的扩展、对应用种类的扩展、对性能的扩展和对功能的扩展上等方面得到了很好地体现(具体针对无线移动方案请详参方案最后一章)。
3.4.3稳定性与可靠性
单台服务器支持4000以上的接入用户,能够支持逐步扩展,提高性能,满足逐步提升的性能需求,最大负载整体响应性能在5秒以内,同时该平台能实现对当前配置参数的备份,保证系统瘫痪时能快速恢复。
1)未被权限管理员授权情况下,不论客户端在线或者离线,客户端均不会被用户私自卸载或非法终止(包括系统安全模式),可信平台不会被暴力破解;
2)支持系统密钥备份,系统管理员可以通过令牌查看器备份系统密钥、制作多级管理员权限等。
3)被加密的文档不能被破解,并能保证数据的完整性。
如硬盘本身发生故障或操作失误时,硬盘数据可由专业公司进行恢复。
可信平台采用的系统透明底层加密技术,如硬盘的加密格式化,将硬盘簇转换为明朝万达特有格式,以此杜绝被文档被破解拷贝的可能,如果硬盘遇到故障或者操作失败时,可由本地合肥融思科技认证工程师对其进行解密后,由专业的数据恢复公司进行恢复;
4)无论服务器工作是否正常,都不影响客户端数据、网络的正常使用,并保证客户端不会因系统漏洞以致数据失去保护。
可信平台采用在线与离线两种策略状态,即服务器端只是策略下发、日志上传汇总的平台,当服务器瘫痪或者断网时,客户端处于离线状态也不会影响其使用本地、以及网络的正常使用,基于服务器端的预设置策略保护数据仍然处于保护状态
5)系统下线时必须保证用户数据的安全,提供完备的下线方案,并对实施方案难易程度作出预估。
(具体下线方案请参见第7章系统下线方案)
3.4.4兼容性和易用性
1)软件安装后,在不改变用户操作习惯的情况下,实现数据信息的加密管理。
2)可信平台软件安装简单,可制作无人值守安装包,配置、升级与维护均简单快捷。
3)可信平台采用透明加密技术,完全兼容贵院现有各种软件,支持各类应用操作;
4)系统具有良好的扩展性,系统自身的升级换代不会影响原有版本的系统架构和贵院的数据安全,对于新增或部分功能和管理范围的扩展,至需要添加相应授权与策略下发,不影响原有系统的架构。
3.4.5策略和管理要求:
1)终端在线/离线控制:
无论在线/离线均能实现贵院内网终端安全管控和保密;
可信服务器的策略列表中包含在线与离线2种状态,只需要根据贵院需求下发相应策略状态,即可实现在线与离线的安全防护
2)支持分级管理,并可设置多级管理员,每级管理员只能管理本级机构或者群组(以下统称机构)和下级机构,不能管理上级机构。
通过令牌查看器与一级控制台可设置多级管理员,并且可设置严格的子级管理员的操作、查看等权限策略
3)策略下发:
策略下发灵活,支持对用户、终端不同的管理模式,不同部门可以进行不同的策略管理;
可信控制台采用微软MMC经典树模式,针对贵院组织架构的特点,可进行灵活的设置,可以基于部门、基于职权等管理模式进行不同的定义,灵活易用。
4)文件外发流程可根据要求进行定制,显示审批人的在线状态,支持多人多级审批,授权审批及自动审批。
4技术建议书
4.1终端数据保密管理
4.1.1单文件/文件保密区域加密
客户端保密磁盘是针对特定的用户(令牌用户和口令用户)而建立的,主要是对用户自身在终端建立个人私有的保密文件区域、对各类型的文件进行加/解密处理,并且对各类文档(可以控制使用权限(只读、允许写_保存、打印水印、另存、使用次数、时间)等,防止文件的二次泄密,并保证文档离线后的外带控制;支持批量文件的加/解密操作;用户注销后,打开的保密磁盘会自动关闭,以达到保密。
当用户重新登录后,原被强制关闭的保密磁盘会自动打开。
4.1.2内网分级/分区访问控制
系统提供内网终端进行分级分域划分,从而提高内部网络的可管理性和可控性。
根据需要,可以将内部网络中的计算机按照行政区域、级别和部门的不同逻辑上划分成不同的逻辑安全区。
划分逻辑安全区之后,同一安全区可以相互访问,非同一个安全区则不能相互访问。
如果不同逻辑安全区确实需要访问,则必须得到管理员的授权许可;Chinasec是从网络传输的信息防泄密在网络层进行的传输控制,只在规定的范围内和特定的应用系统进行连接访问,而无法通过网络对外传播数据。
对于网络传输保密,主要目的是通过对网络数据的加密,来防止数据非法传播,并且以环境区域为单位进行管理,而此环境区域可以是个人,也可以是部门,也可以跨部门的逻辑划分,完全不受到网络架构的影响,在Chinasec体系下称为“虚拟安全域”。
4.1.3文件外发审批管理
可信系统管理员在控制台上设定角色,并在规则组下设置和下发文件审批策略,每个策略对应着一个审批流程。
申请者可以根据需要来选择审批流程。
每个流程可包含多级审批,每级审批可有多个审批者,但每级只能审批一次,审批完后自动转至下级审批。
当最后一级审批者审批允许通过后,文件转至外带人员处,由外带人员或申请者外带外发文件;当任何一级审批者拒绝审批,拒绝信息会自动反馈给申请者,审批流程结束。
文件外带者可以提交申请,由相关的管理者进行单级或多级审批,可以生一个可外带的文件,该文件可以是完全明文,也可以是受到权限设定(是否允许编辑、打印、访问次数、时间、口令验证、授权对象控制)的形式,并限制授权文档只能在指定的计算机上使用;
4.1.4移动存储设备写加密
移动存储设备管理系统的主要功能是配置计算机与移动存储设备之间的对应关系、应用属性等,在数据安全的大前提下实现移动存储设备的生命周期化使用与管理,包括了对U盘的注册,使用授权,使用范围等。
在Chinasec体系下,移动存储可以分为未注册移动设备(私人移动存储)和注册的移动设备(公司认证的移动存储)。
注册设备通过加密等属性实现对介质的生命周期的安全管控;未注册设备可以根据实际安全需要通过禁止或宽进严出等方式进行灵活管控。
可对注册和未注册的移动存储介质进行读写权限管理,包括:
正常读写、只读、加密读写、禁用。
并对文件操作的各种行为进行审计,包括读、写、删除、修改、拷贝等。
4.1.5移动笔记本管理
区别对待计算机上存储的数据,个人数据不做任何的控制,针对工作产生的数据则进行加密,个人数据和工作数据识别方式不以文件类型为判断依据,而是基于磁盘分区进行区别对待;通过提供工作模式或普通模式来改变客户端计算机的网络连接状态,为内网构造了一个安全的数据使用环境。
用户登录普通模式时可接入互联网,但不能接入到企业内部受管理的数据服务器和业务系统之中;切换到工作模式后,即进入保密数据工作环境,此时只能接入内网受管理的数据服务器和业务系统,同时将自动切断除内部系统之外的所有网络通信。
采用统一的用户管理模式,用户可以是简单的用户名/口令用户,也可以跟Chinasec可信网络认证系统相结合,使用统一的令牌用户。
4.1.6封闭集中设计、外地总承包施工现场终端管理
建议采用移动笔记本管理模式,在工作模式下允许通过VPN接入院内使用院内资源以及网络打印和文件外发、外设控制等。
在工作模式的情况下,系统自动切断所在终端跟所有非受控网络的连接(其它未授权访问的计算机和其它未授权访问的服务器和互联网地址),只能与策略服务器,指定的开放服务器区和安全服务器区通信。
4.1.7服务器保护
采用Chinasec分布式安全网关,在企业网中起到保护windows安全服务器的作用,非授权客户端不能访问安全服务器,在不改变网络架构的前提下,对应用系统服务器明文存储,降低系统上线对业务系统带来的风险;
4.1.8邮件外发加密
实现对客户端上指定邮件客户端所发送的文件进行加密发送,有文件外发加密策略的客户端可以解密接收,并针对邮件可以进行审计。
4.2身份认证管理
4.2.1终端安全身份认证管理
Chinasec可信网络安全平台为用户提供了一套安全可靠的认证体系(TIS),在windows登陆认证之前,输入Chinasec用户名称和密码,输入正确之后就可以登陆计算机,继而确认了当前登录人员为合法人员。
同时还提供USB-KEY认证的方式,启用该功能模块后,计算机必须是使用者使用自己的USB令牌插入计算机,并输入正确PIN码后,才能进入计算机操作系统,以USB-key的方式代替了用户认证的方式。
该模块跟Windows登录系统集成在一起,用户只需输入一次PIN码即可,不用输入WINDOWS密码,不会增加用户登录操作系统的复杂度。
同时,此USB-key还支持CA认证,只要将CA证书导入到此USBKEY中,就可以和标准的CA进行结合认证,大大增加了系统的兼容性。
4.2.2用户管理
可根据企业组织结构创建用户,并分配用户权限,可以进行用户及密码的导入导出操作,并可将用户号与计算机的唯一特征码进行自动绑定;Chinasec可信网络安全平台还可以对windowsAD域用户中的用户列表进行同步。
用户登录Windows域后自动使用相同的用户名登录Chinasec系统。
管理员可以在Chinasec系统控制台上看到所有的域用户,并对域用户下发策略,增加管理便利性。
4.3内网桌面管理功能
4.3.1外设控制
计算机外设控制:
主要是指红外、蓝牙、串并口、打印机、刻录机等。
而前面提到的这类外设和一些未知的外设以及以后出现的外设,具有的共性是都具有唯一的名称和驱动。
Chinasec根据这个特性,制作出了相对应的控制框架,不论是现有的外设还是未知的外设以及以后出现的外设,只要将其相关信息录入此功能框架中,均可控制,且可以根据计算机所处的环境不同、使用的人员不同下发不同的控制力度。
管理员可以对每台终端计算机进行设备使用授权;
4.3.2文件分发和补丁管理
将windows补丁和文件分发到客户端计算机,客户端可以进行选择性安装,管理员也可进行强制安装。
补丁分发功能需要第三方软件单独下载windows补丁包,然后通过Chinasec文件分发下发补丁安装包。
4.3.3非法接入和非法外联
采用网络数据控制模式与虚拟安全域相配合,实现网络数据传输加密,实现防止内部终端非法外连控制和外部非法终端非法内连阻断;
4.3.4IP地址绑定
通过设置客户端计算机绑定IP地址的功能,让终端自动管理IP地址,用户修改IP地址时,控制台自己记录违规日志。
4.4综合审计、日志管理
行为审计方案由邮件收发审计、打印审计、网址访问审计、文件操作审记等四个方面构成。
方案对重要的行为风险点,进行了定向的审计处理,方案实现了:
●对指定行为进行全面的监控审计,包括与行为相关的要素,如行为名称、行为内容
(打印内容、邮件附件等)、计算机名称、IP、时间等进行了详细的
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 加密 方案