企业信息化安全防水墙项目实施方案

1、企业信息化安全防水墙项目实施方案目 录 TOC o 1-3 h z u HYPERLINK l _Toc55919683 1 总则 PAGEREF _Toc55919683 h 3 HYPERLINK l _Toc55919684 1.1 项目背景 PAGEREF _Toc55919684 h 3 HYPERLINK l _Toc55919685 1.1.1 北京鸿日鸿源食品背景 PAGEREF _Toc55919685 h 3 HYPERLINK l _Toc55919686 1.2 产品概况 PAGEREF _Toc55919686 h 5 HYPERLINK l _Toc55919687

2、 1.3 项目概述 PAGEREF _Toc55919687 h 5 HYPERLINK l _Toc55919688 1.3.1 技术标准 PAGEREF _Toc55919688 h 5 HYPERLINK l _Toc55919689 1.3.2 实施周期 PAGEREF _Toc55919689 h 6 HYPERLINK l _Toc55919690 1.3.3 建设目标 PAGEREF _Toc55919690 h 6 HYPERLINK l _Toc55919691 2 产品介绍 PAGEREF _Toc55919691 h 8 HYPERLINK l _Toc55919692

3、2.1. 产品概况 PAGEREF _Toc55919692 h 8 HYPERLINK l _Toc55919693 2.1.1 系统灾难恢复模块 PAGEREF _Toc55919693 h 8 HYPERLINK l _Toc55919694 2.1.2 外设准入管理模块 PAGEREF _Toc55919694 h 9 HYPERLINK l _Toc55919695 2.1.3 透明加密解密模块 PAGEREF _Toc55919695 h 9 HYPERLINK l _Toc55919696 2.1.4 文档权限管理模块 PAGEREF _Toc55919696 h 9 HYPER

4、LINK l _Toc55919697 2.1.5 工作流审批设置模块 PAGEREF _Toc55919697 h 10 HYPERLINK l _Toc55919698 2.1.6 日志审计分析模块 PAGEREF _Toc55919698 h 11 HYPERLINK l _Toc55919699 2.1.7 静默安装实施模块 PAGEREF _Toc55919699 h 11 HYPERLINK l _Toc55919700 2.2 产品部署 PAGEREF _Toc55919700 h 11 HYPERLINK l _Toc55919701 2.2.1 部署使用 PAGEREF _T

5、oc55919701 h 11 HYPERLINK l _Toc55919702 3.3 产品功能满足 PAGEREF _Toc55919702 h 12 HYPERLINK l _Toc55919703 3.3.1 服务器安装部署 PAGEREF _Toc55919703 h 12 HYPERLINK l _Toc55919704 3.3.2 网络通讯 PAGEREF _Toc55919704 h 13 HYPERLINK l _Toc55919705 3.3.3部署方式 PAGEREF _Toc55919705 h 13 HYPERLINK l _Toc55919706 3.3.4强制加密

6、 PAGEREF _Toc55919706 h 13 HYPERLINK l _Toc55919707 3.3.5密文明文转换策略 PAGEREF _Toc55919707 h 15 HYPERLINK l _Toc55919708 3.3.6外设管理 PAGEREF _Toc55919708 h 16 HYPERLINK l _Toc55919709 3.3.7文档权限管理 PAGEREF _Toc55919709 h 19 HYPERLINK l _Toc55919710 3.3.8防水墙系统和OA、ERP等系统的融合 PAGEREF _Toc55919710 h 25 HYPERLINK

7、 l _Toc55919711 3.3.9解密申请 PAGEREF _Toc55919711 h 27 HYPERLINK l _Toc55919712 3.3.10 文件外发控制 PAGEREF _Toc55919712 h 28 HYPERLINK l _Toc55919713 3.3.11 事后追踪审计 PAGEREF _Toc55919713 h 29 HYPERLINK l _Toc55919714 3.3.12出差管理 PAGEREF _Toc55919714 h 32 HYPERLINK l _Toc55919715 3.3.13合作伙伴管理 PAGEREF _Toc559197

8、15 h 33 HYPERLINK l _Toc55919716 3.3.14防水墙系统灾难恢复 PAGEREF _Toc55919716 h 34 HYPERLINK l _Toc55919717 3.3.15 管控分级 PAGEREF _Toc55919717 h 35 HYPERLINK l _Toc55919718 4 项目实施 PAGEREF _Toc55919718 h 37 HYPERLINK l _Toc55919719 5 进度安排 PAGEREF _Toc55919719 h 37 HYPERLINK l _Toc55919720 6 方案优势 PAGEREF _Toc55

9、919720 h 381 总则1.1 项目背景传统纸质文档办公时期，对于重要文档的保密措施是把文档存放在专门的保险柜或档案室中。那个时候的管理模式就是：专门有人管理保险柜和档案室这些硬件资源，当有使用或查看的需要时，需经过专人审批才能获得文档。而随着信息化的发展，计算机及各种信息管理系统和办公自动化系统的使用，传统的人工的管理和控制已逐渐被电子化和自动化的程序代替，电子文档取代纸质文档成为信息化环境中的主要信息载体。相较之下，电子文档更易修改、复制和重新分发，因此对电子文档的管理和使用控制显得更为重要。而目前，电脑等IT硬件资源从表面看来是归属企业或者机构的IT部门管理，但又没有统一的“保险柜

10、”、“档案室”，并且这些硬件的管理还不在IT管理者本人的视线范围内，这些管理又需要一定程度的专业技能和专业工具，更重要的是，这些IT硬件资源里面的“数据资源”才是机构或者组织的核心资产，更易修改、复制和重新分发的核心资产。因此，对IT资产中电脑硬件的终端管理，和对电脑硬件里面的数据管理成为信息安全管理亟待解决的两大问题。对于数据安全威胁，据研究超过80%是由内部员工故意或无意地泄漏和破坏引起的。通常的网络安全模型中，内部员工是被信任的，常规的入侵检测工具及内网访问控制无法解决合法用户的窃取与泄漏。由于内部合法人员熟悉文档的存放，可以接触到机密文档，所以一旦发生内部人员故意泄漏事件，其危害程度大

11、大操作外部的入侵窃取。对局部组织来讲，信息安全的核心是内部信息安全的问题，是对内部电脑资源设备的管控和为电脑资源设备上的数据文档的管控。1.1.1 北京鸿日鸿源食品背景北京鸿日鸿源食品有限责任公司是生产各种产调味料（半固态、食用调味油）；速冻食品（包括虾丸、鱼丸、猪肉丸、牛肉丸、鱼块、馒头）；批发预包装食品、食用农产品（含水产品、含冷鲜畜禽产品）；餐饮管理；技术开发、转让、推广、服务、咨询；旅游资源开发；承办展览展示；会议服务；组织文化艺术交流活动；收购农副产品；销售新鲜蔬菜、新鲜水果的大型企业。1.1.2 泄密风险不断高度发展的北京鸿日鸿源食品，同样面临着不断开放的网络环境不断增高的数据泄密

12、风险。可能的泄密途径，应该来讲主要包括：服务器上泄密、工作站泄密、移动设备解密、网络泄密、输出设备泄密、客户泄密、合作单位员工转发泄密几个方面，主要的表现形式如下： 服务器泄密：网络维护人员在进行维护时使用移动硬盘将服务器上的资料自备一份。维护人员知道服务器密码，远程登陆上，将服务器上的资料完全的拷到本地或者自己家里的机器上。工作站泄密：乘同事不在，开启同事电脑，浏览，复制同事电脑里的资料。内部人员将资料通过软盘、U盘或移动硬盘从电脑中拷出带走。将笔记本（或者台式机）带出管控范围重装系统或者安装另外一套系统从而将资料拷走。将笔记本（或者台式机）带出管控范围利用GHOST程序进行资料盗窃。将笔记

13、本（或者台式机）的硬盘拆回家盗窃资料，第二天早早来装上。将办公用便携式电脑直接带回家中。将笔记本（或者台式机）带出管控范围使用光盘启动的方式，使用磁盘管理工具将资料完全拷走。将笔记本（或者台式机）的硬盘或整机送修，资料被好事者拷走。电脑易手后，硬盘上的资料没有处理，导致泄密。笔记本（或者台式机）遗失或者遭窃，里面的资料被完整的窃取。网络泄密：内部人员通过互联网将资料通过电子邮件发送出去。内部人员通过互联网将资料通过网页bbs发送出去。随意将文件设成共享，导致非相关人员获取资料。将自己的笔记本带到公司，连上局域网，使用各种手段如ftp、telnet窃取资料随意点击不认识的程序、上不熟悉的网站导致

14、中了木马产生的泄密。输出设备（移动设备）泄密：移动存储设备共用，导致非相关人员获取资料。移动设备包括：u盘、移动硬盘、蓝牙、红外、并口、串口、1394等将文件打印后带出。 客户泄密：客户将公司提供的文件自用或者给了竞争对手。客户处管理不善产生的泄密。员工收到文件后将文件发送给其他人员产生的泄密。1.2 产品概况文档安全需从以下方面来保证：强保密：防止未授权的用户获得文档内容，防止由于存储设备的遗失、失窃窃造成机密文档的泄漏。防篡改：防止未授权的用户篡改文档内容。可用性：保证授权的用户能使用机密数据，包括在公司网络内的员工、出差的员工、客户、合作伙伴。防泄漏：防止授权用户在获得文档后，通过拷贝、

15、移动存储、网络发送、打印等方式将文档或文档内容发送给其它人，造成机密数据的散播。防恢复：防止硬盘等数据载体在维修等脱离管理者视线的情况下，被别有用心的人使用各种恢复工具将看似安全的硬盘变成了安全的噩梦。文档安全的直接目的是保证文档的安全，保证机密的数据只能在安全环境下使用，即便脱离了特定的网络环境也应能控制机密数据的使用。但不能因此对文档本身的处理效率产生过大影响，改变文档的使用流程。1.3 项目概述 本项目设设计和实施方案书（以下简称项目设计书）是在北京鸿日鸿源食品（以下简称甲方）内网安全管理系统及实施咨询服务项目建设工程，寻求有关软件提供厂商，提出的关于本期项目所用软件的主要技术、业务功能

16、和供货要求，整体解决方案等问题的基础上由山丽信息安全有限公司（以下简称乙方）特为此编写的项目设计书，设计书涵盖了系统技术方案、调试、测试、验收方案、性能说明等内容。1.3.1 技术标准.乙方所提供的所有系统(包括软件)符合的总体技术标准要求如下：a）乙方提供的各项系统功能、性能应完全符合甲方指明的标准，并满足或高于甲方提出的要求。对于在本项目设计书中没有说明的条款，应符合相应的国家标准、行业标准、国际标准及建议。b）若乙方的系统包含自己的专用标准，应在技术建议书中具体说明，并附上相应的详细技术资料。C）乙方所提供的山丽防水墙软件系统应保证是最新生产的山丽防水墙软件系统，并应对涉及专利、知识产权

17、等法律条款承担义务，甲方对此不承担任何责任。d）乙方供应的山丽防水墙软件系统的性能应符合本项目设计书的要求。乙方应列出所提供系统的规范，任何与项目设计书相关条款不同的都应指示出来，否则甲方即认为乙方满足本项目设计书的要求。1.3.2 实施周期 在本期项目工程的建设内容中，将进行北京鸿日鸿源食品山丽防水墙数据安全保护系统的建设，乙方应根据项目设计书要求，制定本期工程的安装，调试，培训，技术支持。如无特殊说明，整个项目设计书中日期要求以工作日为准。1.3.3 建设目标 项目建设目标：根据北京鸿日鸿源食品信息安全策略的要求，需要在公司内网部署山丽防水墙数据安全保护系统（以下简称山丽防水墙软件系统），

18、对公司范围所有PC（包括笔记本电脑及部分PC Server）用户进行外接设备、数据交换的行为进行控制和审计。技术要求实现对数据的保密性要求。具体如下：网内的权限管理，满足平级关系、上下级关系文档权限管理；加密后文档在流转与oa.erp等系统的集成；介质的管理； 操作审计的管理 外面合资公司的管理； 文件外发的管理；实施部署合计在1000个之内。 项目总体要求与目标总体要求 要求方案实施后，可以保护到所有涉密数据，能做到信息在整个生命周期（产生、变更、归档、销毁）内安全、可控，回避各种主动或被动泄密风险。 最终目标 解决了信息保护的同时兼顾工作便利性问题，减少因信息保护问题而增加人力资源成本及提

19、高员工工作效率。总体目标：为实现上述总体目标，引进先进的信息安全等级保护管理系统并结合北京鸿日鸿源食品目前信息安全管理现状和现实需求，通过成功的实施充分发挥系统功能，提升企业价值。针对目前北京鸿日鸿源食品的特点，高效率、高质量、低风险地实现总体目标。项目具体要求1、安装部署：可以满足总部集中部署，或者异地部署，具体部署方式由用户根据需要的硬件投资性价选择，但产品服务器端需要满足这种面相开放式部署的需求；2、网络通讯：可以满足目前服务器在互联网上端口映射的运行方式，也可以满足企业部署VPN的的网络改造需求；在将来不需要再次部署客户端；3、部署方式：客户端可以采用静默安装、标准手工安装、或者和域控

20、结合的强制安装；4、产品实现对内数据强制加密需求，加密策略可以根据各个用户、用户组的要求自由定义，加密策略至少可以提供全盘加密（非引导区加密）、目录加密、程序加密、程序不加密、网络加密、外设加密、空加密等多种选择；5、产品可以实现对密文的移动根据用户需求自由定义，即密文（明文）在按照需求移动的时候，可以按照既定策略在密文（明文）之间自由的转换；6、产品可以提供对移动存储设备等外设进行管控；管控可以实现禁止、只读、读写的控制策略，实现对移动存储设备的内容进行审计（而不仅仅是log）；管控还可以根据需求，将客户移动存储设备、公司员工移动存储设备、公司移动存储设备尽心分类管理；实现对数据的无缝隙审计

21、；7、产品可以实现网内密文的权限管理，满足平级关系、上下级关系文档权限管理；产品可以实现对企业标准化文件的精细化管理，至少可以实现特定的标准化文件只能在特定的服务器上只读，不能修改，不能下载到本地可以读取；8、产品部署后，加密文档在流转中与OA、ERP等系统的集成；产品的部署和使用如何和企业现有的系统如何融合需要进行说明；9、密文发送给用户需要解密处理，密文解密需要通过审批流程互动；10、产品部署后，对提供给用户的文档需要进行控制如何处理；11、产品部署后，对用户、管理人员的操作如何进行审计；12、产品可以提供对出差员工的管理方案；13、产品可以提供对合作伙伴的管理方案；14、产品的部署和使用

22、需要考虑到对服务器的灾难恢复问题；2 产品介绍2.1. 产品概况山丽防水墙数据安全保护系统软件部署与效果总体来讲,山丽有限公司的部署方案是牵扯到以下模块的一整套系统:系统灾难恢复模块；外设准入管理模块；透明加密解密模块；文档权限系统模块；日志审计分析模块；静默安装实施模块；多模加密/TPM可信/审批管理/离线管理/外设管理。2.1.1 系统灾难恢复模块满足需求：对应需求方说明的备份服务器。山丽防水墙系统可同时设置主服务器和备份服务器，备份服务器将同步主服务器的数据内容。当主服务器发生故障，无法正常运行时，客户端将进行间隔判断、连接到备份服务器，从而保证了系统的正常运行。大大提高了系统的健壮性！

23、同时，系统的“克隆”必须在山丽信息安全有限公司提供专业工具的基础上实现。可以满足的需求还包括：总体要求：提供加密软件产品的同时提供实施与咨询服务；，但可以实现跨地域操作,可实现集团化管理。2.1.2 外设准入管理模块本模块可以用于非核心部门的管理。山丽防水墙外设管理模块可以实现对u盘、红外、蓝牙、1394、串口、并口、刻录等等外设的管控和认证，其中，对使用最为普遍的移动数据存储设备的认证和实际可以达到用户最关心的状况：对usb数据存储设备可以达到禁止、只读、读写三种设置，其中经过认证的usb数据存储设备只能在企业内部指定的机器上使用，拿到外边即无法使用，同时还可以设置是否允许未经过认证的usb

24、存储设备是否可以公司内部的机器上使用。更重要的是可以设定对数据存储设备的数据存储、读取进行内容的审计，而不仅仅是log（日志）的审计。2.1.3 透明加密解密模块山丽防水墙系统具有和应用系统无关、文件格式无关的特定。因此，不需要任何的二次开发工作。系统主要采用透明加解密技术对机密文件进行保护，所有加解密行为都在后台由系统自动完成，无需用户参与，不改变用户使用习惯。山丽防水墙的透明加解密模块不同于一般市面上所见的加密技术。市场上所见的加密技术，或者是采用了个钩子（Hook）技术、或者采用了驱动技术，但这些软件或者只能达到和文件格式有关，或者实际上是硬盘加密，市场上许多硬盘如seagate硬盘已经

25、自带硬盘加密，实际上互联网上已经有了这些加密软件的破解工具！而且和文件格式有关的软件无法适应未来的文件格式，更无法解决软件格式被加壳的情况，而互联网上基本有4000余种加壳工具。2.1.4 文档权限管理模块山丽防水墙对文档的权限控制可以实现全面的过程控制：1、作者权限控制作者产生的文件进行权限控制,如是否允许作者外带,作者文档多是职务发明2、同事权限控制可以看到别人文档的同事的权限控制,包括各种权限,对资料汇集者意义重大3、合作权限控制国际分工愈来愈烈,合作伙伴往往不仅仅是自己的,可能也是别人的合作伙伴4、客户权限控制客户的资料接受人员往往会将您的资料给其他供应商处理,不得不进行防范山丽防水墙

26、对文档的权限控制可以达到相当颗粒度细节的控制：只读、（不能进行任何形式的修改和引用）写入、（可以编辑）打印、（打印控制）重命名、（重命名控制）删除、（删除控制）下载、（只能在服务器上进行编辑或者阅览，拿到本地就无法打开）离线。（仅仅能在公司内部包括虚拟的公司环境使用，拿回家即使在合法授权的机器上也无法使用，防止离线的拍照或者录像窃取文件）从理论上来讲，权限的控制可以达到不受限制。对密文的只读、打印等权限进行控制，尤其是打印权限，目前市场上的产品普遍只能控制物理打印或者将物理打印和虚拟打印一并控制，而“山丽网安”首推物理打印和虚拟打印区分控制：对于物理打印，企业可根据需要设置客户端用户是否可以对

27、机密文件进行物理打印；对于虚拟打印，打印出来的文件一样是密文。2.1.5 工作流审批设置模块审批流的流程支持设置，详细如下：工作流的配置1，登录控制台，在需要进行流程审批的用户点右键例如用户test1，选择“是否使用自定义流程”2，在弹出的对话框勾选自定义流程3，在用户（test1）右键选择流程设置4，弹出流程设置对话框5，设置流程审批的组名（例如：审批一组），添加用户是指具有审批test1这个用户的用户。（例如a用户）。可以继续添加多个用户进行多次审批。注：这样设置完成后test1的申请都是a用户来审批的。流程审批的应用用户test1在防水墙工作界面上传区上传文件填写申请原因用户自己查看提交

28、的审批信息。在视图-工作流查看可以查看自己提交的审批信息状态。具有审批权限的用户，进行流程审批具有审批权限的用户进行流程审批（例如a用户）。在防水墙的工作界面 视图-工作流审批查看用户提交的审批信息，可以对此信息的文件进行查看，可以批准和不批准。3，审批通过后，申请人端会有气泡提示，可以进行对应的操作。（例如导出文件）2.1.6 日志审计分析模块记录用户登录系统后所进行的操作。如用户登录、退出系统的时间、用户所查询的详细记录、用户对文件的操作（删除）等；日志管理员可对系统生成的详尽日志进行审计，以便追查违规行为及追究相关责任人。日志形式除了提供报表的形式之外，也提供图形形式提供给审计人员进行审

29、计。 2.1.7 静默安装实施模块任何管控类产品在实施中总会碰到用户一定程度的抵触情绪，再加上企业的系统管理人员均面临着其他大量的维护工作需要进行，软件厂商也面临着大量的客户端需要安装部署实施，因此，不管是实施需要、还是效率需要、甚或使用者使用感受，采用无干扰静默安装的实施方式最为用户所期待。2.2 产品部署2.2.1 部署使用山丽防水墙软件系统策略分发及日志服务器端部署在普通PC Server上，数据库采用mysql数据库。用户登录使用：用户登陆山丽防水墙软件系统可以进行工作，不会产生任何不便。在需要将文件转成明文的时候需要上级审批。上级审批及审计方式：上级登陆山丽防水墙软件系统后能审批本部

30、门用户权限变更申请。审计人员审计方式审计人员分为公司级审计员及部门级审计员。公司级审计人员在山丽防水墙软件系统上能查询公司范围内所有用户信息。部门级审计人员由公司级审计人员任命，在山丽防水墙软件系统上具有本部门用户的审计权限。审计人员无权变更权限。3.3 产品功能满足3.3.1 服务器安装部署效果：可以满足总部集中部署，或者异地部署，具体部署方式由用户根据需要的硬件投资性价选择，但产品服务器端满足这种面相开放式部署的需求；采用对企业信息资产主动设防的理念，一旦设定保护策略，将对核心信息进行全生命周期强制加密保护，有效规避员工由于有意识或无意识导致的信息泄密，让企业变被动为主动。实施效果图（举例

31、）实现：在总部部署主服务器；可以选择是否在分支机构部署服务器，需要部署的时候，则对主服务器采用“克隆”方式，在异地进行部署；部署之后，可以满足异地用户回到总部的时候使用总部的系统服务器仍然可以工作，反之亦然；也可以进行限制。3.3.2 网络通讯效果：可以满足目前服务器在互联网上端口映射的运行方式，也可以满足企业部署VPN的的网络改造需求；在将来不需要再次部署客户端；实现：如上图。在总部部署主服务器；开放NAT给异地；提供产品的客户端支持双IP；根据所处的网络环境（互联网、内网、VPN）系统会自动根据客户端处在的环境选择登陆地址。满足现在和未来延展性的需求，没有二次部署的风险。3.3.3部署方式

32、 效果：客户端可以采用静默安装、标准手工安装、或者和域控结合的强制安装；实现：采用标准安装，需要用户输入对应的IP地址；采用静默安装，由厂商提供自定义的安装包；安装包中已经涵盖了用户网络相应信息；采用域控安装，在域控的环境下，由厂商提供相关技术和脚本，实现对用户的强制无干预安装。3.3.4强制加密效果：产品实现对内数据强制加密需求，加密策略可以根据各个用户、用户组的要求自由定义，加密策略至少可以提供全盘加密（非引导区加密）、目录加密、程序加密、程序不加密、网络加密、外设加密、空加密等多种选择；实现：为了更高的效率，总有用户需要给与特权，如企业的所有人。山丽防水墙应对客户需求，提供了模板定义：全

33、盘加密，目录加密，格式加密，格式不加密，解密等几种模式。为了数据防泄漏，可在控制台端对工作站设置全盘加密，工作站内创建、修改的所有文件都会被加密，不经授权的密文拿到防水墙环境外不可使用。如果您想对工作站的某些文件不加密，可在控制台端对工作站设置全盘加密模式下指定目录不加密，在此目录内创建或复制到此目录内的文件都是明文。如果您想只对部分文件加密，可使用指定加密模式，然后在控制台端对工作站设置指定目录加密，把需要加密的文件放在指定加密目录内即可。如果您不想对工作站本地文件加密但又担心数据外泄，可在控制台端对工作站设置指定加密模式，移动设备加密、网络加密，此时工作站本地文件不加密，但通过网上邻居和外

34、接存储设备传出的文件会自动加密。等等。客户端加密策略配置其中，动态加密有7种方式，可以根据管理目标-用户或者用户组，进行设置，具体包括：1、加密特定的格式，如用户所列出的各种软件，这个是市面上一般企业可以提供的加密模式；这种模式的优点是简单，但存在着被破解的可能性，目前网上已经出现了破解工具；这种方式的另外特点是应对未来的发展性较差；2、某些格式不加密，其他格式均被加密，这个目前仅只有山丽网安提供；这种方式的特点也是简单，同时安全性相比1有所提高，对未来的扩展性也有很好的适应，因为未来的均会被加密；3、目录加密，这种模式可以做到和文件格式无关，即文件放到加密目录下面即自动被加密，这种模式主要的

35、应用对象是企业的高级管理人员，其本人可以自主将资料解密，而不需要申请；目前仅有山丽网安提供有这种模式；4、全盘不加密模式，这种模式显然是应用与企业或者组织的最高级领导的，即：最高级的领导本身的资料不进行任何的加密，但其本人又可以自由的阅览任何密文；目前仅有山丽网安提供有这种模式；5、网络加密模式，这种模式可以决定以网络形式存在于服务器上的数据的加密属性，可以自由的决定数据存在于服务器是密文还是明文，而不管其本身原来是何状态；目前，仅有山丽网安提供有此模式；6、外设加密模式，这种模式是为了满足工作内部、外部自由交流的方便性而设，可以自由的决定数据存在于外设是密文还是明文，而不管其本身原来是何状态

36、；目前，仅有山丽网安提供有此模式的高级功能其他软件只能加密，山丽防水墙可自由设置是否加密；7、全盘加密模式，这种模式最严格，一般应用与研发人员或设计人员，这些人员的创造成果对企业的发展具有举足轻重的作用，有时侯，为了平衡使用者的心理，有些管理人员也主动采用这种模式进行防护；目前，仅有山丽网安提供有此模式；所有的动态加密，文件一旦被修改或者新创建（包括复制等操作），文件就会按照既定的策略被加密。在静态加密上，山丽防水墙提供有两种，用户右手点击某文档决定是否加密（有权限的也可以直接点击右键解密）8、手动加密，这种模式目前有美国airzip提供，同时山丽网安也提供有这种模式；这种模式的特点就是完全依

37、赖作者本人的行为，比较适用高层管理人员；9、批量加密，控制台操作，对历史的文件进行一次性的处理，文件变成密文。这种方式的目的一般是对服务器上的文件进行加密操作。山丽网安的8种客户端加密模式，管理人员可以自由的组合，以应用与任何组，或者组的成员；区别于一般公司的产品不同的是，山丽网安的产品的这些模式是同时提供给用户的，而不是仅仅只能提供其中一种加密模式，不会造成用户的适用性、扩展性无法满足的现状。另外，互联网上已经有公开的加密软件解密工具可以得到。这些工具可随意的对格式加密类软件进行破解。这也是山丽防水墙提供了多种加密模式的区别。3.3.5密文明文转换策略效果：产品可以实现对密文的移动根据用户需

38、求自由定义，即密文（明文）在按照需求移动的时候，可以按照既定策略在密文（明文）之间自由的转换；实现：客户端高级加密策略3.3.6外设管理效果：产品可以提供对移动存储设备等外设进行管控；管控可以实现禁止、只读、读写的控制策略，实现对移动存储设备的内容进行审计（而不仅仅是log）；管控还可以根据需求，将客户移动存储设备、公司员工移动存储设备、公司移动存储设备尽心分类管理；实现对数据的无缝隙审计；实现：移动数据存储设备管理对移动硬盘、U盘等数据存储设备可以支持禁止使用、只读使用、读写使用几种模式；对移动存储设备拷贝进入客户端电脑的数据、拷贝出客户端电脑的数据可以设置将拷贝的内容进行记录并上传到审计系

39、统的服务器上，实现对拷贝数据行为和内容全面法规遵从式审计；可以将移动存储设备在加密系统中进行“注册”，注册后的外设按照设置的策略在企业内部内部绑定的机器上或者组内机器上使用，注册移动存储设备可以在企业以外地方使用；可以将移动存储设备在加密系统中进行“认证”，认证后的外设按照设置的策略在企业内部内部绑定的机器上或者组内机器上使用，认证移动存储设备不能在企业以外地方使用；认证后设备里面数据以密文形式存在，注册后设备里面数据的存在形式取决于客户端联动的外设加密策略；其他外设其他可以管控的外设包括：红外、蓝牙、1394、串口、并口、刻录等；这些外设的管控策略为可以使用或者禁止使用；外设管理策略的优先级

40、选择系统支持外设策略的机器优先级或者用户优先级策略，采用机器为优先级策略，任何用户登录到本机器上均执行该机器的管理策略，这种模式一般用于对服务器外设的管理；采用用户为优先级的策略，则任何用户登录上某台机器上，均执行该用户的外设管理策略，这种管理模式一般用户对工作站的外设管理；工作站外设、端口管理设置图工作站设备认证管理图用户、工作站优先级设置图3.3.7文档权限管理效果：产品可以实现网内密文的权限管理，满足平级关系、上下级关系文档权限管理；产品可以实现对企业标准化文件的精细化管理，至少可以实现特定的标准化文件只能在特定的服务器上只读，不能修改，不能下载到本地可以读取；实现：基于脚色的文档权限控

41、制 山丽防水墙的文档权限控制部分，可以基于脚色进行相互之间的关系设置，一旦设置之后，各个脚色新产生、原来的秘文均按照这种相邻关系进行约束；这些脚色可以是一个用户、一个用户组、一个部门、一个分公司等等。基于脚色控制，完全不需要将这些文档预先上传到服务器上去追加权限权限和文档处于的位置完全不受限制。设置用户平级脚色的共享关系图设置用户的下级、上级、自我权限关系图自主分发式的文档权限控制 在基于脚色之外，山丽防水墙的文档权限还可以设置给特定用户自行改变文档权限的能力自行设置权限文件夹，设置该文件夹的访问权限，当用户访问这些文件夹中文件的时候，将按照用户新设置的权限进行控制。对有些文档，属于一定的机密

42、文档，需要对其扩散范围进行限制。比如，A和B属于一个部门的，有些文件只能在A和B之间流转，纪律规定不能共享给C，这个使用，用户A需要在本地加密目录中建一个目录，然后对目录设置对应的用户权限，当将文件往这个文件夹里一丢，这个文文件的权限控制就变成了和这个文件夹一样的权限属性了。然后，A将这个文件给B（任何方式），B只能在权限限制的范围内阅览了。这个时候，即使C拿到这个文件，也无法阅览因为没有权限。 文档权限的精细化管理 除了可以控制剪切板、截屏、录屏软件之外，山丽防水墙对文档的精细化管理可以达到：只读、写入、下载、离线、删除、重命名、打印等等。包括了可以禁止另存、格式转换之后还是秘文，虚拟打印还

43、是秘文等等。山丽防水墙对客户端产生的文件、服务器上存在的文件，有多种权限可以供灵活设置，权限控制包括了权限颗粒度和用户之间的相互权限限制两个方面。权限颗粒度包括并不限于：只读、文件对特定用户而言只能阅读，并且不能编辑、另存、修改。对没有只读权限的人显示的就是乱码了。编辑、文件可以采用各种方式被修改。文件修改后，文件的作者将变成了修改者本人。复制、文件可以在特定的地方打开，不能copy到另外的地方使用。打印、文件没有打印权限，用户打印即提示没有特定的权限。用户需要打印，必须经过一个审批流程。截屏、用户可以对文件进行合法操作，但无法通过截屏的方式将文件通过QQ等方式泄密。下载、文件只能在特定的服务

44、器上使用，复制到本地无法使用。离线、文件仅仅能在组织内部使用，带出组织环境（即使在合法的离线笔记本上）也无法使用。次数、文件有打开时间的限制。时间、文件有打开此次数的限制。截屏控制策略文件其他权限颗粒度文件无权限打开的提示文件权限显示次数和时间标准化文档管理部门在其内部的项目文件服务器上设立“科技项目标准化文档管理文件夹”。在文件夹内为每个项目建立一个子文件夹，在子文件夹内设置一个“编辑文件夹”和一个“发布文件夹”。同时设立项目组员和项目组长。所有标准化组员在“编辑文件夹”中可以自由新建、编辑文件。项目结束后项目组长统一将“编辑文件夹”中的项目资料存放到“发布文件夹”。该文件夹中的文档只能由项

45、目组长编辑，项目组员保留只读权限，项目组长可设置项目组员的访问权限。网上邻居截图：对历史性文件可以由批量加密、设置权限，如截图：3.3.8防水墙系统和OA、ERP等系统的融合效果：为避免机密数据泄露，必须与公司协同工作平台等兼容。产品部署后，加密文档在流转中与OA、ERP等系统的集成；产品的部署和使用如何和企业现有的系统如何融合需要进行说明；实现：山丽防水墙在设计上充分考虑了系统边界的问题，在底层执行的技术可以确保和各种应用系统完美兼容。系统边界原理图在应用体系上，山丽防水墙和PDM、图库等系统又有许多灵活应用，这些应用需要用到防水墙的可信环境和可信程序相关模块。可信模块在SEM/Tribon

46、的方案部署中，山丽防水墙可以在可信模块的支持下，发送密文或者明文数据到SEM/Tribon系统服务器端。当发送密文到SEM/Tribon服务器端的时候，希望看到服务器上数据的客户端就必须在客户端进入防水墙系统（不然打开是密文），从而保护了SEM/Tribon系统上的数据不会产生任何泄密。当发送明文到SEM/Tribon服务器端的时候（在实际部署中，客户选择此种方案的数量还比较多），希望看到SEM/Tribon服务器上数据的客户端必须在客户端进入防水墙系统，不然无法连接进入SEM/Tribon服务器端，这是因为山丽防水墙依据自己服务器的TPM装置，天然的在自己的客户端建立了一个自动可信的环境，而

47、没有安装防水墙的客户端无法连接进来，从而保护了PDM系统上的数据不会产生任何泄密。当然，即使在SEM/Tribon服务器上以明文形式存在的情况下，也可以通过可信设置，设置特定的用户端不安装防水墙客户端就可以连上来，以满足跨区域用户的需要。如在山丽防水墙客户中，上海海关的服务器需要和总署进行交互，就采用了这样的管理方式。PDM/图库等系统兼容部署图对和北京鸿日鸿源食品系统的融合上，可以实现：服务器上文件数据可以是密文也可以是明文，仅仅通过控制台设置即可实现，而不需要增加其他任何设置，尤其不能增加可能会带来单点故障的设备，更不能改变现有的网络结构；服务器上数据是密文时候，可以自由的对系统中的文件进

48、行签转；当对系统中以及其他系统中的数据进行明文备份时候，不能改变文件的修改属性，以免破坏系统对文件的检索；3.3.9解密申请效果：密文发送给用户需要解密处理，密文解密需要通过审批流程互动；实现：文件的加密是处于防范泄密的需要，但企业也有数据解密的需要，以用于特殊目的。山丽防水墙提供多种解密方式供用户选择，其中，对一般用户建立了流程审批的管理，以在管理上杜绝数据的随意解密泄密。管理流程采用了“审批定制”的引擎设计，即审批的级数和用户可以由管理员进行定制执行，满足不同部门的管理需要。审批流程图3.3.10 文件外发控制效果：密文明送管理（俗称外发控制），可以实现：给客户一种特殊的明文，客户只能看，

49、但看到时间、次数、打印、截屏、复制均被设置了管理限制；必要的时候，还会被限制在特定的电脑上才能打开；文件也可以设置用户无法破解的密码。实现：为了应对许多客户机器没有安装客户端的时候也想看到受限制的“密文”。“山丽防水墙数据防泄漏系统”可对外发到企业外部的机密文件进行控制，包括设置外发文件的生命周期，只读、打印等所有使用期限。目前市场上的产品普遍将内部文件保护和外发文件保护区分开来，并且外发文件只能以阅读器模式使用（即外发文件只能使用专门的浏览器查看，而不能对文件进行任何编辑），“山丽网安”则将内部保护和外发保护无缝结合，一套系统即可解决两类问题，合力构建了一个全方位的文件权限体系。3.3.11

50、 事后追踪审计效果：提供了强大的日志审计平台，能够为企业提供丰富的日志报表查询，同时根据需要可设定日志存活周期，也可支持无期限记录系统日志；系统管控范围内终端及用户的所有操作日志，均被详细记录，同时根据审计需要可输出各种类型报表。实现：在防水墙系统，安全管理员端是一个具有丰富内容的管理端。安全管理员可以进行静态管理和动态管理，静态管理如查看日志，文档管理，文件监控，动态管理如对工作站所进行的申请进行审批，离席委托等。防水墙系统中独特的管理员和安全管理员分开的特点使得日志只能为更高管理级别的人员查阅，具体管理人员却无法察看，起到了更加有效的管理效果。山丽防水墙各端的操作都会被记录下来存为日志，日

51、志系统可对日志进行详细分类统计让用户迅速了解防水墙日常使用情况，同时也可以定制多种搜索条件进行组合查询来得到特定的日志信息，搜索出的日志信息可直接导出成xls、htm等多种格式，同时还有图表统计功能可迅速生成多种直观的图表。日志系统主界面日志系统-条件设置日志导出成htm、txt、xls各种格式直接打印日志统计图3.3.12出差管理效果：产品可以提供对出差员工的管理方案；防止外出工作人员通过笔记本泄密，满足外出工作人员在外地需要延长使用时间实现：山丽防水墙透明加密解密模块支持离线控制。如图：离线控制原理图用户登录的时候可以选择联机登录或脱机登录，在脱机登录时即执行离线控制。登录选择图当用户已经

52、过了时限，则将无法登录登录失败图需要延长时效的时候，可以在不等登录之前导入离线文件延长时效（也可缩短时效）修改时效图采用离线控制，即使笔记本出差途中被盗，数据安全性依然可以得到保障。因为对方得到的将是一个加密的电脑或者硬盘。3.3.13合作伙伴管理效果：对一些配套单位需要使用加密数据的，山丽防水墙也提供了数种方案，以满足管理。实现：包括：申请解密明文外发方案，秘文明送外发控制方案，电子钥匙离线授权方案等三种以上的解决方案。3.3.14防水墙系统灾难恢复效果：有冗灾系统实现：系统运行对带宽和设备有相应要求，需要考虑单点故障技术处理，山丽防水墙有灾难恢复系统予以支持。单点故障的处理需要硬件参与支持。对硬件故障的处理方法属于配件维修的方法：在资源充沛的情况下，配置足够的资源。灾难恢复系统利用系统的灾难恢复系统，可以实现不联网的分布实施：可以实现系统分布实施（五个分部之上），实施之后，五个分部