海智网聚移动办公数据防泄漏解决方案

山丽信息移动办公数据防泄漏解决方案

目录

联系信息.........................................错误!未定义书签。

版权声明.........................................错误!未定义书签。

1概述...........................................................4

1.1行业背景...............................................................4

1.2移动办公时代移动数据的五大安全隐患...................................5

1.3监管政策..............................................................5

1.3.1信息安全法律....................................................5

13.2行政法规.........................................................6

13.3信息安全部门规章及规范性文件....................................6

134信息安全国际、国内技术标准.......................................6

1.3.5行政法规信息安全框架............................................6

2客户需求分析....................................................7

2.1需求分析...............................................................7

2.2目前安全措施...........................................................8

2.3用户信息安全需求......................................................8

3解决方案........................................................9

3.1方案设计思路..........................................................9

3.2方案拓扑..............................................................9

3.2技术方案..............................................................9

4山丽防水墙数据防泄漏系统功能详解...............................12

4.1产品功能之多模加密技术..............................................12

4.2产品功能之剪贴板控制技术............................................13

4.3产品功能之离线管理技术..............................................14

4.4产品功能之审批管理技术..............................................15

4.5产品功能之审批流定制技术............................................18

4.6产品功能之TPM防护技术.............................................20

4.7产品功能之密文明送技术..............................................21

4.8产品功能之屏幕水印&文档水印技术.....................................23

4.9产品功能之U盘防水墙技术............................................24

4.10产品功能之自主分发安装技术.........................................25

4.11产品功能之服务器容灾管理技术.......................................25

4.12产品功能之文件备份和删除管理技术....................................26

4.13产品功能之日志管理技术...............................................26

5方案优势.......................................................28

1、采用第三代技术：多模加密技术，加密方式和文件格式无关.................28

2、采用第三代技术：一文一密钥加密技术，加密密钥动态变化，防止被破解一一28

3、加密系统和用户的应用系统无关.........................................28

4、兼容性强，平台支持IOS、Andriod、Win8、Windowsphone等主流系统；

.....................................................................................................................................28

5、加密系统和域控等第三方系统完美融合....................................28

6、标准SDK接口，可提供标准CMSSDK接口，可与应用紧密集合，基于系统平台

框架可构建安全、有效的移动办公应用解决方案；.............................28

7、移动办公安全，不仅能实现移动安全接入安全（身份安全+通道安全），还能实现移

动办公应用的数据落地加密和移动终端管理；.................................28

8、政策安全，硬件/算法均采用目前国内移动安全领域最高的安全技术标准，符合国家

相关安全规定；............................................................29

9、山丽防水墙加密系统功能模块完善，管理平台简易，适合全方位信息安全管理29

6售后服务.......................................................29

6.1系统售后.............................................................29

6.2处理应急服务.........................................................31

6.3售后服务流程.........................................................34

7公司介绍及案例.................................................34

1概述

1.1行业背景

随着互联网信息技术的发展，BYOD（BringYourOwnDevice自带设备办公）趋势逐渐

盛行，企业员工、合作伙伴、供应商以及客户都可以随时随地的，通过智能手机、平板电脑

等多种终端设备，完成邮件收发、资源访问和业务处理，然而随之而来的安全问题也渐成隐

患。

对于企业来说，由于移动设备上个人信息与企业信息可能会混合在一起，一时的失误可

能会造成企业的损失。员工在使用移动设备时，随意点开链接、添加好友、"越狱"、上不正

规的网站下载软件都有可能带来安全隐患。

而且，手机等个人终端设备安全系统容易被攻克。2015年5月间移动威胁恶意样本数

量持续攀升，达到了6,200,034个，黑客利用"隐身大盗"、"键盘黑手”等手机木马和恶

意程序频频入侵智能手机和平板电脑等移动终端。这些病毒主要通过蓝牙、多媒体服务、手

机bug等方式传播，攻击手机提供的互联网内容、工具、服务项目和WAP服务器、网关

等，导致用户的移动办公信息被窃。

有调查显示，60%的企业员工会将商业机密数据储存在他们的智能手机中。各种移动

应用的实现，让手机病毒具备了合适的传染源、传染途径以及传播目标，为黑客对于手机安

全的进攻提供了机会。

另外，如果你解雇了其中的使用BYOD的员工，那么假如你想查看下他们的iPad以防

止有不属于员工个人的公司信息泄露时，却并不是那么简单。

一面是移动办公优越的便利性，另一面则是潜藏的移动安全"炸弹"。在BYOD的世界，

企业若想随性享受BYOD带来的便利,既需要BYOD移动办公方案提供商在安全控制手段、

安全策略和流程上有所革新。也需要企业加强对员工的安全培训I,明确员工的责任。需要指

出的是，上述这些挑战并非前所未有，只有迎难而上，方能迎刃而解。

1.2移动办公时代移动数据的五大安全隐患

/关键数据泄密

由于移动办公用户大多通过互联网或公用电话网进行数据通讯，数据以明文的方式被

传递的过程中，将很容易被窃取和篡改，造成关键的通信数据泄密；重要的数据被篡改

内容后，错误的信息被处理，影响总部正常业务的开展；

/非授权访问

移动办公用户的身份和口令信息在互联网和公用电话网中很容易被窃取和伪造，攻击

者伪造合法身份后，将对总部信息网络造雨E授权的访问，引起更大的破坏；

/越权访问

移动办公用户在缺乏有效访问资源控制的情况下，有可能造成对总部信息网络的越权

访问，即访问了超出其权限范围的资源；

/抵赖

移动办公人员的IP地址不固定,如果仅通过IP地址进行数据处理的判断，那么将有

可能造成抵赖，即移动人员抵赖自己曾经进行的访问和操作；

/病毒传播

由于移动办公终端自身的安全性，在其远程访问总部信息网络中，这些感染到移动办

公终端的病毒将直接传播到总部信息网络中，造成破坏。

由此可见，移动办公中存在很多不安全的因素，都将对总部信息网络造成很严重的影

响，因此必须采取必要的安全防护手段，保障系统的安全性。

1.3监管政策

1.3.1信息安全法律

•中华人民共和国宪法相关信息安全部分

•中华人民共和国刑法相关信息安全部分

•中华人民共和国保守国家秘密法

•中华人民共和国标准化法

•中华人民共和国国家安全法

1.3.2行政法规

•中华人民共和国计算机安全等级保护条例

•商用密码管理条例

•中华人民共和国产品质量认证管理条例

1.3.3信息安全部门规章及规范性文件

•计算机信息网络国际联网安全保护管理办法

•计算机病毒防治管理办法

•计算机信息系统国际联网保密管理规定

•计算机信息系统安全专用产品检测和销售许可证管理办法

•科学技术保密规定

•注册信息安全专业人员认证程序

•企业内部控制基本规范

•商业银行信息科技风险管理指引

L3.4信息安全国际、国内技术标准

•基础类标准

•物理安全标准

•系统与网络标准

•应用与工程标准

•管理标准

1.3.5行政法规信息安全框架

•开放系统安全框架ISO10181-1)

•鉴别框架(ISO10181-2)

•访问控制框架(ISO10181-3)

•抗抵赖框架(ISOI0181-4)

•完整性框架(ISO10181-5)

•保密性框架(ISO10181-6)

•安全审计框架(ISO10181-7)

•管理框架(IS。7498-4)

•安全保证框架(ISO/IECWD15443:1999)

2客户需求分析

2.1需求分析

随着移动互联技术的进步和通信基础设施建设的日益成熟与普及，越来越多员工已经

不仅仅在办公室处理单位的日常事务，各企事业单位和移动办公人员用智能手机、PAD和

笔记本等移动终端通过公共通信网络(如：3G/Wifi/Vpdn等)访问单位内部的资源和应用，

但是，这种通过公共网络接入也给单位网络引入了新的安全威胁，而传统的终端VPN已经

满足不了现有的智能手机/平板电脑等移动终端的安全接入需求。

由于移动办公人员是远程访问，访问地点、用户不固定，因此存在口令和用户名容易

被窃听；通信数据流容易北窃听和篡改；身份容易被伪造；自身安全性会对总部信息网络带

来破坏等风险，因此需要采取必要的安全措施，来规避风险，保障移动办公过程中的安全性，

具体包括：

/移动办公通信的机密性和完整性保护

移动办公人员在远程访问总部信息网络中，通信数据应采取加密措施，类似于用

户身份和口令的加密传输，使通信数据以密文的方式在网络中传递，及时被窃取

了也无法获得原始数据，降低泄密的风险；同时通信过程中应有完整性保护措施，

对通信过程中的数据篡改有检测手段；

/移动办公终端的安全性检查与过滤

对移动办公终端的安全性应当有监察措施，在移动办公人员远程接入网络时，系

统能够有效检查办公终端的安全性，至少应检查终端是否感染了病毒、终端操作

系统补丁状态、终端是否启用了防病毒系统、终端防病毒系统是否有效、安装了

非法的软件等信息，应能够防止因移动办公终端自身的缺陷对总部信息网络造成

威胁；

/移动办公的强身份认证

系统需要提供更强的身份认证手段，认证数据应以密文的方式在网络中传递，即

使被截取也无法

/移动办公终端的访问控制

通过身份认证技术，对非法的远程访问用户进行了屏蔽，限制其访问总部信息网

络。但是对于合法的访问用户，还需要控制其可以访问的资源，避免对总部信息

网络的越权访问；

/安全管理制度需求

要解决移动办公问题，除了采取必要的技术手段，还应当加强相应的安全管理建

设，防止人为因素（如不当的资源访问）对总部信息网络带来破坏。因此应增强

移动办公安全管理,将人为的因素降到最低。

2.2目前安全措施

目前企业内部暂时未部署有任何对应信息防泄密产品。

2.3用户信息安全需求

♦如何保证在开放网络中保障移动终端用户身份和接入安全、数据保密性以及网络边界

完整性等安全接入要求；

♦由于移动终端容易丢失，保证移动终端内存储数据的安全性；

♦移动版使用的终端多采用智能手机和平板电脑，针对这些新型终端加强管理，从而保

证设备的可控管理。

防护方式：

在用户提交的设备上，安装部署山丽防水墙软件，实现对整体的数据防护。

3解决方案

3.1方案设计思路

数据防泄密，有多种解决方案，信息行业共识的方案为：以裁剪后的信息安全标准为规

范，结合行政、管理制度，采用数据透明加密是目前最彻底的防护方案。

本解决方案推荐采用山丽防水墙数据防泄密系统7.0来实现数据防护，该产品采用加密

3.0多模透明加密技术,以加密3.0多模透明加密技术，一文一密钥加密效果，对称加密和非

对称加密相结合加密密钥机制成为目前透明加密技术的主流。

山丽防水墙数据防泄漏系统是一套包含了数据透明加密、剪贴板截屏控制、文件外发控

制、USB存储设备控制、信息资产查询、文档权限控制、数据备份管理的综合性信息安全

管理系统。

3.2方案拓扑

3.2技术方案

山丽信息移动办公安全解决方案从网络的移动用户身份安全、移动终端接入安全、网络

通信安全、应用访问控制和移动终端信息存储安全等环节进行综合安全防护，构成多层次、

全方位的移动安全管理体系。为智能手机用户、掌上电脑以及移动PC用户提供安全的移动

信息安全服务，为用户提供了强有力的数据信息安全支撑。

山丽信息移动办公安全解决方案以下几部分组成，分别是：网络安全、终端管控、信

息加解密、TPM应用安全等组成。主要功能有：

♦移动接入终端身份安全，通过Usbkey/证书/口令用户/动态口令密码等方式来保证接

入终端用户身份安全；

♦网络通信安全，通过高安全算法对传输通道加密，确保移动接入终端和内网通讯的链

路安全；

♦应用安全访问，基于移动安全接入网关的安全访问控制实现不同的接入终端可访问不

同的应用；

♦移动办公应用数据存储安全，对接入终端要求安全高或应用数据极为重要的客户建议

应用数据不落地（如：公安、政府客户），山丽信息能保证移动终端和内网应用能实时连接

且安全访问互访，•移动终端从移动应用上下载的文件落地加密存储在终端上，实现移动应用

数据的安全存储和交换。

♦移动终端管理，方案基于和移动设备厂商联动可实现对移动智能终端的网络、外设进

行更深层次的安全管控，如：移动终端在移动办公的同时保证在链路层上可有效阻断终端与

外网的连接，且还可以实现安全接入之后自动关闭红外、蓝牙等外设设备的数据传输，只保

留移动安全接入链路的数据通讯，从网络边界方面规范了数据的通讯安全。另：在移动终端

接入内网方面还可针对性做移动终端环境检测，如：移动终端是否安装杀毒软件/是否存在

某些风险因素等，以此来达到接入终端的安全接入管控。

♦与应用的结合移动办公中，关于应用场景有2类：一类是移动办公以应用录入、查询

和审批为主，此类应用场景的安全方案可完全由上述移动安全接入系统实现，而不用关注具

体的应用形态（因为数据不落地）；另一类是移动办公不仅考虑录入、查询和审批，还需要

将相关数据/文档下载至移动终端进行使用，此类应用场景的安全方案需重点关注和考虑下

载数据的安全性。

在移动办公方案的建设和应用中，基于移动办公需要，各移动应用系统的搭建有

WEB/WAP.APP和虚拟化三种情形；基于安全考虑，一旦应用数据需要落地，则必须对

此下载数据进行加密控制，从而防止数据泄密。

SANLENSECURITY项目设计和实施

方案

4山丽防水墙数据防泄漏系统功能详解

4.1产品功能之多模加密技术

1,系统内核透明加密功能：可以应企业现有任何软件产生之文件的加密需求；加密模式为

实时进行，并对用户透明，不需要用户的任何干预；企业现有软件的加密，包括常用office

类软件、可能的设计类软件如CAD等、可能的编程类软件如C++、java等、可能的烧录类

软件，如PLC类软件等。加密软件满足对绿色软件的加密，满足对RAR等压缩软件的加密。

这些加密均不通过二次开发即可满足。

2，加密模式的多样选择功能：山丽防水墙系统采用加密3.0技术一多模透明加密技术，领

先于加密1.0环境加密技术，加密2.0文件格式加密技术，技术处于业界领导地位。在多模

加密模式中，用户创建密文的方式支持主动和被动两种方式，至少包含如下模式：特定格式

加密模式、特定目录加密模式、特定格式不加密模式、特定用户空加密模式（但可以修改和

查看别人的密文的高级别模式）、特定用户不加密模式（可以查看别人但不能修改别人密文

的阅读者模式1U盘外设加密模式、网上邻居网络加密模式、手动加密、全盘加密等等；

这些加密模式可以赋予不同的用户或者用户组。

3,一文一密钥透明加密功能：采用对称加密和非对称加密技术，实现任何文件的加密密钥

均不一样，防止被破解，安全性能大大优先于单密钥或者多密钥产品。

4,文件格式无关透明加密技术：山丽网安承诺，因为用户新使用的应用软件产生的数据不

能加密的，终生免费开发，绝不再次收费。

5,通讯加密：该功能可以实现防水墙客户端和服务器端间流转的账号、密码、策略等内容

无法被监听到或者监听到的均是加密的；

6,U盘加密：采用U盘客户端管理模块，系统认定的管理策略将指向U盘，这样，在任

何一台电脑上防水墙将登录后执行，并对用户的加密数据执行对应的加密和管控策略；

©2016山丽网安密级：定向公开使用-12-

SANLENSECURITY项目设计和实施

方案

7、密文图标：通过控制台的设置，可以让客户端的密文显示、或者不显示、或者不同级别

密文显示不同的图标

8、文件格式无关的加密功能的二次开发保障：在用户文档格式发生变化时候不需要任何二

次开发或者需要的二次开发才能加密的，乙方承诺终生不收取任何费用（即不受合同时间的

约束）；

防水墙.大型企业版@［玖子系列］多模加密功能

且免二次开发2\

多瓢密模式中

用户可以根18不再的安全环境

VJAL/UJ2cls的皿i密除采用与之相对酬加£蟆式■

4.2产品功能之剪贴板控制技术

1,剪贴流程的控制技术：加密数据以明文形式存在于内存中显示给用户阅读，存在被用户

采用复制黏贴方式泄密可能，山丽防水墙剪贴板控制技术可以保证复制黏贴的数据无法被保

存在非受信区域，在受信区域中，被黏贴的数据也将以密文形式存在。

2,剪贴流程的控制技术：管理人员也可以设置可信的程序，让剪贴、复制的行为仅仅发生

在信任的程序之内，这样，在防止剪切泄密的前提下，又可以有效的保证了工作人员的效率；

3,剪贴流程的控制技术：可以对剪贴行为进行控制，以复制粘贴方式将无法复制到QQ、

WebmaikBBS中。对于行为的控制可以在源头上避免一些员工的泄密行为，同时这种禁

止操作的行为也会实时的提醒员工哪些行为可以做，哪些行为不可以做，从而在潜意识层面

对员工的信息安全意识进行了有效的培养。

©2016山丽网安密级：定向公开使用-13-

CSANLENSECURITY项目设计和实施

方案

4,剪贴流程的控制技术：使得用户通过QQ截屏发送，发送出去是黑屏、通过QQ远程，

将看到是的是白屏；随着远程办公的日益发展，越来越多的云服务、远程协助出现在日常生

活中，远程连接的方式将成为一条严重的数据泄密途径。

4.3产品功能之离线管理技术

1，离线登陆管理：当用户在离网时候需要使用加密系统的时候，可以通过离线登陆来实现。

离线登陆支持智能卡和离线证书两种方式，智能卡表现为电子钥匙式样，用户离开硬件电子

钥匙将无法使用加密系统；使用离线证书方式将采用软证书方式登陆，同样，用户不使用软

证书将无法使用加密系统。处于信息安全策略控制需要，离线证书和智能卡均只能在特定电

脑上使用，并且只能在管理人员设置的时间范围内使用。在使用的时候，具有证书体系和用

户PIN码双层保护。

2,离线策略管理：在离线登陆模式下，用户所有的控制策略均和在线时候一样，即：在离

线登陆成功模式下，对用户的加密策略控制等各种策略如同在网。离线模式可以实现即满足

对用户安全管控又可以方便用户移动办公。

©2016山丽网安密级：定向公开使用-14-

SANLENSECURITY项目设计和实施

方案

防水堵.中型企业版@［虎］离线管理功能

4.4产品功能之审批管理技术

1,邮件外发：用户可以使用山丽防水墙系统的邮件发送工具对数据进行发送前审核，在得

到审核同意之后，用户即会得到系统气泡提醒，而后被审核密文就会自动变成明文被发送至

审核同意的邮件地址。此过程中，用户手中的文件永远是密文，但审核同意的特定邮件地址

将得到明文文件。

2,明文导出：用户也可以通过防水墙对数据进行申请解密的操作，同样，在得到审核同意

之后，用户即会得到系统气泡提醒，这个时候，用户将审核同意的文件下载到本地即自动变

成明文，用户可以根据需要对该明文进行任何处理。

3,邮件白名单：用户也可以对一批的邮件地址进行申请，以希望享受到"邮件白名单”的

功能，即提出申请后，在得到审核同意之后，用户即会得到系统气泡提醒，这个时候，用户

将任何密文发送到这些邮件地址，数据都将自动解密。邮件白名单方式适合给固定用户发送

明文文件。

4,密文明送：用户可以使用山丽防水墙系统的密文明送模块进行文件外发控制申请，在得

到审核同意之后，用户即会得到系统气泡提醒，而后用户即可得到T分系统制作成功的密文

明送式外发控制文件。此过程中，用户手中的文件永远是密文，用户外发的将是使用次数、

使用时间等属性得到限制的文件。

5,外设使用：在外设禁止使用的情况下，用户可以对外设申请使用，在申请得到审核同意

后，用户即可在约束时间内，使用外设进行数据的拷进拷出，时间过后，用户将无法使用此

©2016山丽网安密级：定向公开使用-15-

SANLENSECURITY项目设计和实施

方案

功能，除非重新申请；

6,外设发送：在外设禁止使用的情况下，用户可以对密文文件进行外设发送使用，在申请

得到审核同意后，用户即可在约束时间内，和约定次数内，将密文数据拷进外设中，则数据

将自动变成明文，时间或者次数过后，用户将无法使用此功能，除非重新申请；

7,外设信任：在用户可以使用外设的情况下，用户将数据拷贝至外设中均为密文（外设加

密策略约束），外设信任功能即为在此种情况下，用户申请外设信任，在申请得到审核同意

后，用户即可在约束时间内，使用外设进行数据的拷进拷出，此时，拷出的密文数据均将变

成明文，时间过后，用户将无法使用此功能，除非重新申请；

8,审批提醒：采取流程解密、手工解密等多种方式灵活组合运用，满足不同单位的业务需

求。并且实现审批流选择、自定义审批流设置、管理层审批流设置、审批提醒等功能。尤其

是提供了多种方式的审批提醒：

⑴审批流程图示：申请审核者可清晰看到具体流程的节点,并清楚目前待审核文件流转的

进度；以了解之后和审核者进行线下沟通和督促；

⑵审批气泡提醒：在申请人提出申请后，按照流程设置的审核人将收到气泡提醒，用户按

照气泡引导即可进行审核，审核后即可进入审批的下一节点，但审核完成后，原申请者即可

得到审核结果的气泡提醒，如此种种，可确保第一时间得到审批讯息；

⑶审批邮件提醒：在申请人提出申请后，按照流程设置的审核人将收到邮件提醒，用户登

陆系统进行审核，审核后即可进入审批的下一节点，审核完成后，原申请者即可得到审核结

果的气泡或者邮件提醒，如此种种，可确保第一时间得到审批讯息；

（4）审批短信提醒：在申请人提出申请后，按照流程设置的审核人将收到短信提醒，用户登

陆系统进行审核，审核后即可进入审批的下一节点，审核完成后，原申请者即可得到审核结

果的气泡或者短信提醒，如此种种，可确保第一时间得到审批讯息；

©2016山丽网安密级：定向公开使用-16-

幽山丽网安

SANLENSECURITY项目设计和实施

方案

防水墙.大型企业版@【玖子系列］审批管理-1特点

.叱aw用户盲a四户

©2016山丽网安密级：定向公开使用-17-

SANLENSECURITY项目设计和实施

方案

4.5产品功能之审批流定制技术

1、标准审批：对加密后的密文进行审批解密的标准流程,按照国家检测部门要求，审批需

要通过两级审批进行：控制台进行形式审批、安全管理员进行实质审批。实现密文解密为明

文需要经过的审批流程，该流程是系统初始化定义的流程，即标准流程。

2、(2)自定义审批：管理人员按照需要对用户的审批流程进行设置，则用户提交的解密审

批文件就会按照设置的流程自动由对应的管理人员审核，审核的时候可以支持串行，也可以

支持并行。

(3)自动审批流程选择：管理人员可以以关键字、文档信息正则表达式、文档类型、文档

密级为准则设置不同的审批流，当申请人提交对应的密文进行审批的时候，系统即会自动或

者强制采取对应的审批流程提交审批，以大大节省审批流程中的时间，或者对特殊的文件类

型、对应的文档密级执行严格的审批流程。

9、审批提醒：采取流程解密、手工解密等多种方式灵活组合运用，满足不同单位的业务需

求。并且实现审批流选择、自定义审批流设置、管理层审批流设置、审批提醒等功能。尤其

是提供了多种方式的审批提醒：

⑸审批流程图示：申请审核者可清晰看到具体流程的节点，并清楚目前待审核文件流转的

进度；以了解之后和审核者进行线下沟通和督促；

⑹审批气泡提醒：在申请人提出申请后，按照流程设置的审核人将收到气泡提醒，用户按

照气泡引导即可进行审核，审核后即可进入审批的下一节点，但审核完成后，原申请者即可

得到审核结果的气泡提醒，如此种种，可确保第一时间得到审批讯息；

⑺审批邮件提醒：在申请人提出申请后，按照流程设置的审核人将收到邮件提醒，用户登

陆系统进行审核，审核后即可进入审批的下一节点，审核完成后，原申请者即可得到审核结

果的气泡或者邮件提醒，如此种种，可确保第一时间得到审批讯息；

⑻审批短信提醒：在申请人提出申请后，按照流程设置的审核人将收到短信提醒，用户登

陆系统进行审核，审核后即可进入审批的下一节点，审核完成后，原申请者即可得到审核结

©2016山丽网安密级：定向公开使用-18-

幽山丽网安

SANLENSECURITY项目设计和实施

方案

果的气泡或者短信提醒，如此种种，可确保第一时间得到审批讯息；

10、形式审批：对用户审批的时候是否查看浏览附件作为一个选项'即'在审批流程中，用户

审批时候可以查看附件进行审批彳旦如果不给该用户审批时候看文件的权限的时候，仅仅给

形式审批权限，'则该用户只能进行形式审批'并在点击附件时候提示"仅具有形式审批权限"。

11、闭环审批和开环审批：闭环审批模式流程'是谁申请谁解密‘解密动作不假借他人之手’

在现实中‘对明文导出（仅限于明文导出一项解密流程）’还可以提供一种开环式审批流程’

即申请解密的人和下载下来解密的人不是一个用户'而是最后审批者的那个角色'即其他用户

提请明文导出申请‘中间经过了若干用户审批’进入到最后一个用户'他审批同意，然后就可以

将审批完成的文档下载下来自动解密'从而就实现了开环式的审批’考虑到其他审批模式'均

需要申请者本人在得到申请同意后进行有关操作'因此'并不适合开环式申请。

防水墙.大型企业版@［玖子系列］审批管理-2定制审批流

/

♦盘/盘一

物髀东核控贻1运行安全的0

冽承*求形式和行实质回吐

审批管理

©2016山丽网安密级：定向公开使用-19-

SANLENSECURITY项目设计和实施

方案

4.6产品功能之TPM防护技术

有一种需求场景：用户希望上传到服务器上的数据是明文的，但希望从服务器上下载下来的

数据会被自动加密，而且包括了中间产生的临时文件。山丽防水墙系统在满足这种需求上有

两种实现方案：策略设置的TPM防护方案，和硬件安全网关方案.

1、TPM的实现：启用了山丽防水墙的客户端可以自由的访问应用系统服务器，实现在服务

器上打开文件、下载文件均会被加密保护，即使是临时文件也一样会被加密防护。未启用防

水墙的客户端的用户将无法访问应用系统服务器。这种严密的服务器安全防护，可以最大限

度避免终端与服务器之间数据传输的泄密问题。TPM方式的实现，可以完全不需要更改网

络结构，仅仅通过山丽防水墙控制台设置即可实现；

2、TPM的实现场景：特别适合对0A服务器、CRM服务器、VSS服务器、CVS服务器、

SVN服务器、PDM服务器、PLM服务器等。由于企业可能存在着基于不同信息系统和部

门的服务器，为了能在各个场景下都实现最好的安全服务，山丽的TPM实现了多场景的支

持，免去了企业二次开发的烦恼。

(1)通过策略设置，对用户需要保护的应用服务器，实现用户下载数据的时候，数据被自

©2016山丽网安密级：定向公开使用-20-

留＜山丽网安

OSANLENSECURITY项目设计和实施

方案

动加密，上传数据的时候，数据被自动解密；

(2)没有安装加密系统客户端的电脑，无法访问服务器；

(3)安装加密系统客户端的电脑，数据下载到本地是密文，但可以进行数据的阅读编辑等

操作，在1镯据上传到应用服务器的时候，又将自动被解密；

(4)根据策略：存储在应用服务器上的文件均是明文；

(5)对应用服务器上的文件，包含数据库文件，可以进行如下的防护：1)数据通过外设、

网络外拷的时候均为密文；2)在加载了本地加密策略后，数据库文件在你本地是加密存储,

但是不影响应用系统的运行；

4.7产品功能之密文明送技术

L密文明送(文档外发控制)：当用户需要外发文件时，用户可以采用山丽防水墙密文明

送技术实现给文档设置口令、打开次数、累计时间、打印权限、环境设置、复制、截屏等使

用限制功能。

2、密文明送(文档外发控制)：目前国内外唯一一款可以精确限制时间的文件外发控制软

件，即用户不管如何修改系统时间、不管将收到的密文明送文件复制为多少版本，一旦到截

至时间，则所有的版本均将失效。

3、密文明送(文档外发控制)：完全和格式无关的文件外发控制软件，即任何应用软件产

©2016山丽网安密级：定向公开使用-21-

被I山丽网安

&SANLENSECURITY项目设计和实施

方案

生的数据、包括可执行程序均可被设置为密文明送文件。和其他只能支持特定格式文件外发

控制的软件大有区别。山丽网安再次郑重承诺：任何应用程序产生的数据无法制作密文明送

文件的，都将终生免费开发，绝不二次收费。

4、密文明送（文档外发控制）：可以同时支持对多个文件、多层目录设置为一个总包的密

文明送文件，尤其适合提供设计总装图的使用场景，使用时绝不破坏总装图内部数据相互之

间的调用关系。

5、密文明送（文档外发控制）：密文明送文件因为是将"类"明文外发用户，虽有控制，

但数据仍可为使用者阅读，因此一般制作密文明送文件需得到审核同意。对企业高管，可自

行定制而无须进行审批。

6、密文明送（文档外发控制）：当采用文件夹密文明送外发控制模块时候，就可以对特定

文件夹里面的所有文件实现全面的外发控制，而无需一个一个设置和制作；

©2016山丽网安密级：定向公开使用-22-

SANLENSECURITY项目设计和实施

方案

4.8产品功能之屏幕水印&文档水印技术

1、强制水印：通过控制台的设置，可以强制用户打印的密文出现特定的水印。这种强制水

印的效果，大大提高了企业文档机密性，并且减少员工利用打印或者其他输出形式的漏洞来

窃取公司的机密资料。同时，作用于文档上的强制水印，让文档即使落入他人之手，由于水

印的存在也无法使用。并且让企业在牵涉到泄密问题司法诉讼过程中有了铁一般的证据。

2、用户特定水印：赋予特定用户指定水印为特定文件的权限；对于某些特权的用户，或者

特殊的文件，山丽还提供了用户自决定水印加载服务。这种定向制定的水印安全服务，可以

让企业用户更好区分文档安全等级，从而更好的区分防护等级，做到安全资源的有效防护。

©2016山丽网安密级：定向公开使用-23-

CSANLENSECURITY项目设计和实施

方案

3、用户打印水印：可以为指定的打印文档提供强制或特定呈现方式的水印安全服务。水印

的强制添加让打印的文档标记企业属性，从而提高了文档的安全性和独有性；打印的时候可

以增加打印时候的用户名（防水墙系统中的用户信息'IP地址、MAC地址、打印时间、

密级。

4、用户屏幕水印：屏幕水印，可以出现在屏幕的特定位置,从而防止通过照相造成数据泄

密”管理员可定义；大小，位置，管理员可定义，透明程度管理员可定义］屏幕水印的显示

应该不会对进行的工作产生明显的影响；

防水塘.大型企业版@［玖子系列］文档水印功能

4.9产品功能之U盘防水墙技术

1、使用场景：在实际工作使用中，有的用户需要临时将机密数据带回家加班，而家中的电

脑又是不确认的，也就是说用户可能需要将加密数据在不同的不确认电脑上使用。

2、使用效果：采用U盘客户端管理模块，系统认定的管理策略将指向U盘，这样，在任

何一台电脑上防水墙将自动执行，并对用户的加密数据执行对应的加密和管控策略。

3、策略管理：山丽防水墙中U盘客户端可由购买产品的用户自行制作；并且可以完全和

正常客户端一样执行完全一样的控制策略。

©2016山丽网安密级：定向公开使用-24-

SANLENSECURITY项目设计和实施

方案

4.10产品功能之自主分发安装技术

1、自主分发：通过防水墙的功能分发安装包到各个客户端；这种自主分发的功能可以大大

提高防水墙的实施效率，在防水墙客户端没有被部署之前，一般预先通过域控或者其他

工具实现对防水墙客户端的部署。

2、客户端升级：利用防水墙自主分发功能对远程客户端实现自主或者指定升级；这种远程

服务功能的实现不仅提高了用户在安装防水墙产品时对可能出现的情况作出反应的速

度，也为软件远程调试提供了有效的辅助支持，为更快速更有效的实现防水墙客户端用

户远程^务提供了条件。

4.11产品功能之服务器容灾管理技术

L实时备份：通过控制台预先对服务器数据中的类型进行时间实时设置，系统将会在主机

有任何更改后即时对数据在备机上进行备份，这样，在服务器因为各种原因如硬盘损坏的时

候，备机就可以立即启动提供服务。

2、定时备份：通过控制台预先对服务器数据中的类型进行时间定时设置，系统将会在确认

时间内进行备份，这样，在服务器因为各种原因如硬盘损坏的时候，就可以对系统在3-5

分钟内进行恢复。

3、负载均衡：对用户分支结构或者客户端数量众多的情况下，山丽防水墙系统部署时候可

©2016山丽网安密级：定向公开使用-25-

CSANLENSECURITY项目设计和实施

方案

以不依赖任何外部条件构建系统自身的负载均衡体系，从而满足多服务器部署同时系统的0

宕机的实现。

4.12产品功能之文件备份和删除管理技术

L删除管理：当用户有意或者无意对数据进行删除处理的时候，山丽防水墙系统可以对删

除的数据进行安全防护，让被删除的数据可以被重新恢复。删除管理可以支持在企业内部联

网时候的数据恢复，也可以支持用户将电脑带离环境后的数据恢复。

2、键盘鼠标删除：对用户通过键盘、鼠标、直接彻底删除操作行为均可以进行管理并恢复。

3、命令行删除：对用户通过命令行方式直接彻底删除操作行为均可以进行管理并恢复。

4、自主备份：用户可以选择对本地密文或者明文进行文件或者文件夹的备份，从而在本地

文件失灭的时候，可以从山丽防水墙系统中再次获取得到。

5、自动备份：管理人员也可以设置用户在本地需要监控备份的目录或者盘符，当本地文件

发生变化的时候，文件就将按照版本管理的时间顺序自动备份，以让用户可以随时查询到被

备份的文件。

4.13产品功能之日志管理技术

1、服务器日志记录维护：对山丽防水墙服务器上面日志文件过大、硬盘空间不足进行维护。

2、三种脚色：按照三权分立的原则，山丽防水墙系统中存在三种脚色，用户、系统管理员、

安全管理员，系统管理员（控制台）负责各种安全策略的设定，用户在使用防水墙安全系统

的时候接受这些策略的约束，系统管理员进行的任何操作、用户创建的任何文件的记录，安

全管理员均可通过特定平台查看。将用户进行各种审批的时候，所有审批均按照两层流程进

行，即先有系统管理员进行形式审核，然后到安全管理员处进行内容上的实质审核，用户的

申请只能在审核同意后才能达到欲达效果。

3、日志审计管理：通过安装管理员的日志系统，即可查询到对具体用户、具体管理人员日

志的审计。对用户、管理人员的操作进行记录的管理。常态记录为今后进行数据安防防护总

结提供了数据支持，同时为企业找寻可能存在的安全隐患提供了数据依据。在司法层面上,

对于一些泄密行为企业有了更有利的实体证据。

©2016山丽网安密级：定向公开使用-26-

燃之山丽网安

OSANLENSECURITY项目设计和实施

方案

4、操作预警：安全管理员还可以登录日志报警端，设置条件，当条件触发后，安全管理员

可以自动收到短信、邮件、报表等，以实时了解用户和管理人员的操作。依据警报功能，管

理人员可以定时收到管理人员或者用户的周、月操作行为统计报表、图标，以更有利于对企

业信息安全现状的把握。

防水墙.大型企业版@［玖子系列］日璇

对山BK防水墉服务器上面

日志文件过大、♦盘空匍

不足迸行缰护.

防水堵.小型企业版@［彪］审计管理功能

©2016山丽网安密级：定向公开使用-27-

SANLENSECURITY项目设计和实施

方案

5方案优势

根本上来讲，防水墙数据加密系统（数据防泄漏系统）具有以下重要特点：

1、采用第三代技术：多模加密技术，加密方式和文件格式无关

山丽防水墙可以支持对所有文件的加解密，并提供有客户端8种加密方式，满足现在

和将来文件加密解密的需求；

2、采用第三代技术：一文一密钥加密技术，加密密钥动态变化，防止被破解

山丽防水墙可以支持对文件采用一文一密钥技术，采用对称加密和非对称加密技术，文

件安全可以得到保证。

3、加密系统和用户的应用系统无关

山丽防水墙系统，可以通过控制台自由设置用户（组）上传到各种应用系统（包括内部

网络的mail系统）文件的密文和明文之间的变化。

这种方式，大大提供了用户操作的便捷性，带来的好处就是一个分局和总部之间的交流

可以自动变成明文，而不需要再进行任何的申请了。

同时，这种部署，还不会对对网络结构做任何的变更。不会增加用户的实施难度。

更重要的是，这种部署方式，不会增加单点故障。有的厂商是依赖增加一台硬件设备来

实现，一旦硬件设备出现故障，将会给组织带来不能挽回的损失。

4、兼容性强，平台支持IOS、Andriod、Win8、Windowsphone等主流系统；

山丽防水墙兼容性强，平台支持IOS、Andriod、Win8、Windowsphone等全方

位操作系统的支持，保证了用户的适用和不留死角的部署。

5、加密系统和域控等第三方系统完美融合

6、标准SDK接口，可提供标准CMSSDK接口，可与应用紧密集合，基于系统平台框架

可构建安全、有效的移动办公应用解决方案；

7、移动办公安全，不仅能实现移动安全接入安全（身份安全+通道安全），还能实现移动办

©2016山丽网安密级：定向公开使用-28-

SANLENSECURITY项目设计和实施

方案

公应用的数据落地加密和移动终端管理；

8、政策安全，硬件/算法均采用目前国内移动安全领域最高的安全技术标准，符合国家相

关安全规定；

9、山丽防水墙加密系统功能模块完善，管理平台简易，适合全方位信息安全管理

山丽防水墙具有多达40余种模块，可以满足多途径信息安全管理，是目前国内最全面

的信息安全管理平台。

6售后服务

6.1系统售后

山丽网安一直将用户的产品使用体验作为终极的产品开发追求目标。

因此，提供完备的售后服务。

售后服务技术支持中心(ASSC)

山丽信息安全工程师(SanlenInformationSecurityEngineer)简称SISE

1、培训；

包括本产品以及和本产品相关的安全知识的培训I,培训在客户现场和其他集中场地执

行。在免费服务期内提供分别针对项目管理人员和具体使用用户各不多于12次的技术培训.

即：培训有分别针对用户项目管理人员的培训I,还有针对具体使用者的培训I。

2、技术支持；

技术支持指的是实施安装软件后解决软件bug的特定行为。