绿盟数据安全解决方案

登》zsFauus

绿盟数据安全

解决方案

绿盟科技

登》zsFauus

目录

第1章安全现状.....................................................2

1.1数据安全现状.............................................................2

1.2建设数据安全体系的必要性..................................................2

1.3建设目标..................................................................2

第2章需求分析.....................................................3

2.1数据安全建设的合规需求...................................................3

2.2数据的分级防护需求.........................................................3

第3章现状及风险分析...............................................4

3.1数据采集风险.............................................................4

3.2数据存储风险..............................................................4

3.3数据传输风险..............................................................4

3.4数据处理风险..............................................................4

3.5数据交换风险..............................................................4

3.6数据销毁风险..............................................................5

第4章系统解决方案.................................................5

4.1数据安全解决方案建设思路..................................................5

4.2数据安全解决方案建设流程..................................................6

4.2.1业务数据梳理...........................................................6

4.2.2定义与识别敏感数据....................................................6

4.2.3数据全生存周期安全风险评估............................................6

4.2.4数据安全纵深防护......................................................7

4.2.5敏感数据监察分析......................................................7

4.2.6优化改进与持续运营....................................................7

4.3数据安全解决方案应用场景..................................................8

4.3.1数据梳理与风险评估......................................................9

4.3.2运维数据安全防护.......................................................10

4.3.3业务数据安全防护.......................................................12

4.3.4主机数据安全防护.......................................................14

4.3.5数据可视化展现........................................................19

4.4核心技术.................................................................19

第5章数据安全解决方案优势.......................................20

5.1.1满足合规要求..........................................................20

5.1.2权限划定清晰..........................................................20

5.1.3数据生命周期全面掌控.................................................20

5.1.4降低数据泄露风险......................................................20

5.1.5提高数据使用者的安全意识.............................................20

第6章数据安全解决方案能力清单...................................21

第1章安全现状

1.1数据安全现状

随着云计算、大数据、物联网、移动互联网、人工智能等新技术的发展，网络边界被不断打破，

数字双生、敏捷创新、安全合规驱动快速转型，社会和企业都在面临数字化的转型带来的数据安

全风险。

数据安全已经与关键信息基础设施一并成为影响国家稳定、民生安全及社会安全的关键因

素。

1.2建设数据安全体系的必要性

一直以来，我国政府积极探索和研究云计算在电子政务中的应用，也鼓励党政部门使用云计

算进行服务模式创新，并开展了一系列试点示范工作。现在，政务云已经在全国范围内建设和普

及，为我国政府进行职能转变，构建为民务实高效政府，落实厉行节约工作，发挥了积极作用。

目前，我国电子政务进入了改革的深水区，正在加快落实“互联网+政务服务”，数据交换和信息

共享已经是信息化建设重点，各领域的政务信息系统和政务数据、公民个人信息，已经或正在迁

移至政务云平台上，加强网络和信息安全保护工作已经成为必然。

我国于2017年6月1日正式施行《中华人民共和国网络安全法》，规定了公民使用网络服务

需要实名认证，任何网络侵入、干扰和窃取网络数据都是违法的，个人信息安全得到真正的法律

保护，从此确立了公民个人信息保护的基本法律制度，促进经济社会信息化健康发展。

依据《中华人民共和国网络安全法》第三十一条，阐明了保护范围是国家对公共通信和信息

服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破

坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的关键信息基础设施。

保护方法为在网络安全等级保护制度的基础上，实施重点保护。重点保护的对象及关键信息基础

设施，包括设施保护、数据保护、产品和服务保护，而数据保护的对象为“个人信息”与“重要

数据

以《中华人民共和国网络安全法》为核心，我国就数据安全依法出台多项新政策，就包括已

提请审意草案的《数据安全法》，对外征求意见的《数据安全管理办法》《个人信息出境安全评估

办法》，已发布的有《信息安全技术个人信息安全规范》《儿童个人信息网络保护规定》《网络安全

等级保护制度》2.0,所有新政的数据保护核心对象依然都是“个人信息”和“重要数据”。

从上述内容可以看出国家在数据安全保护层面的力度，以及对数据安全保护的重视。

1.3建设目标

建设完善的数据安全体系，有效保护数据在全生命周期过程中的安全，及采集、存储、传输、

处理、交换、销毁六个阶段，达到合法采集、合理利用、静态可知、动态可控的防护目标。

>合法采集：利用大数据分拣技术，使企业在法律约束范围内合法采集敏感数据；

>合理利用：通过建立数据模型，以及对数据的敏感级别进行划分，设立不同的访问层级，

在数据被开发利用前做好防护措施，杜绝非法滥用；

>静态可知：对存储中的静态数据进行扫描发现，并展示数据的分布；

>动态可控：对流动的数据进行监控，防止数据在交互、共享中有意无意的泄露。

第2章需求分析

2.1数据安全建设的合规需求

在符合国家要求的同时，也要符合行业要求，因此合规需求是非常关键的。现在环境很多，云

计算、大数据、物联网、移动互联网等等环境中都存在的各类要求中提到的个人信息和重要数据，

个人信息和重要数据应该如何追踪、如何防护，就成为我们强烈的需求点。

2.2数据的分级防护需求

想更好的做到数据安全，就应该对数据进行分级，针对不同级别的数据进行有针对性的防范

措施，从而实现数据的分级防护。由于数据的种类繁多，也要根据业务的不同对数据做好分类，

将数据的分类与分级进行有效的关联，就可以让数据安全达到最优的效果，难度显而易见，需要

科学的方法来解决此问题。

第3章现状及风险分析

依据国标《数据安全能力成熟度模型》中定义的数据生存周期来看，数据的生命存期周期为采集、

存储、传输、处理、交换、销毁，对数据生存周期风险有了全面的了解，有利于构建数据安全方

案体系，基于数据的全生命周期各个环节的风险及管理办法如下所示，为了解决数据安全的风险，

就应该有管理上的制度和原则来约束和处置，也需要有技术手段来监督与保护。

3.1数据采集风险

非法获取、数据伪造：利用爬虫类工具对数据进行非法获取，为了获取利润，甚至对数据进

行伪造，直接发送数据到各种平台中，用来对受害人进行诱骗，对社会和国家造成不良影响。

应对此风险应对明确数据采集责任人，加强数据外送管理，开展常态化审计工作，禁止直接

发送采集数据。

3.2数据存储风险

非法访问、非法窃取：外部黑客会利用漏洞攻击、木马注入、弱配置、APT等攻击行为对系统

进行入侵，从而盗取数据，甚至对数据进行伪造，更有严重的会对数据造成不可修复的破坏。

应对此风险应加强访问控制、记录和审计，建立容灾备份与恢复机制，关键级数据要加密存

储，重要级数据按需模糊化脱敏处理。

3.3数据传输风险

网络监听、数据窃取：恶意人员利用工具对网络中的数据流进行窃听，从而窃取保密数据，

从而利用窃取到的数据，不正当获利。

应对此风险应对重要数据需加密传输，限制违规设备接入，保留日志记录以备审计、禁止采

用移动介质传输数据。

3.4数据处理风险

数据滥用：在数据处理的阶段会产生数据滥用的问题，数据没有进行分级管控，人员也没有

做好权限的规范。

应对此风险应遵循“谁使用，谁负责”原则，建立数据使用审核机制，测试环境与运营环境

隔离，尽量使用线上方式操作数据。

3.5数据交换风险

明文交互、隐私侵犯：在数据交换的环节上，随着数据被共享交换的次数越来越多，让数据

价值也变得越来越高，个人信息与重要数据也包含在交换的数据中，为个人、企业，甚至国家都

带来了极大的风险，因此要做好防范，杜绝明文数据交换，防止隐私被侵犯。

应对此风险应对外提供数据需严格审核，内部传输数据需评估风险，数据共享遵循最小化原

则。

3.6数据销毁风险

违规恢复、伪删除：数据的生命周期最后一个环节是数据销毁，在此环节会存在已删除数据

被非法违规恢复的现象，在业务系统中销毁数据时也存在页面上看到是数据已删除状态，但在存

储中原始数据依然存在的现象，及伪删除。

应对此风险应对销毁数据确保彻底清除,离线数据副本确保无法还原，杜绝数据伪删除现象。

第4章系统解决方案

4.1数据安全解决方案建设思路

在数据安全建设体系上我们提出“一个中心，四个领域，五个阶段"的顶层设计。一个中心

是指以数据安全防护为中心。四个领域是指的数据安全建设的四个领域：组织建设、制度流程，

技术工具和人员能力。五个阶段是指的数据安全建设的五个阶段：业务梳理，分级分类，策略制

定，技术管控，优化改进。

在数据安全建设体系中，组织建设、制度流程，技术工具，人员能力，四个领域都需要同步

开展建设工作，组织层面，决策层、管理层、执行层必须在数据安全建设领域达成一致，数据安

全建设工作必须得到组织高层的支持。组织高层在数据安全领域的战略目标应该能够被管理层和

执行层实现。

我们日常所说的“三分技术七分管理”也好“七分技术三分管理”也罢，都是在表明，管理

是技术的运营依据、技术是管理的落地保障。所以两者要相辅相成，跳一不可。

合

规

需

求

流程发展方针管理制度流程.规范计划、表格

&制度组织战略管理规范指南、标准报告、日志

业

技术分级数据泄露数据权限

务

分类保护防护标准管理审批

需工具

求

数据全生存周期

数据采集数据存储数据传输II数据处理11数据交换11数据销毁

数据安全建设体系

在这里，我们借鉴了Gartner的数据安全治理框架，定义了数据安全建设的五个阶段。形成

了绿盟的数据安全方法论。总结起来就是五个字“知”、“识”、“控”、“察”、“行

>知：分析政策法规、梳理业务及人员对数据的使用规范，定义敏感数据；

>识：根据定义好的敏感数据，利用工具对全网进行敏感数据扫描发现，对发现的数据进

行数据定位、数据分类、数据分级。

>控：根据敏感数据的级别，设定数据在全生命周期中的可用范围，利用规范和工具对数

据进行细粒度的权限管控。

>察：对数据进行监督监察，保障数据在可控范围内正常使用的同时，也对非法的数据行

为进行了记录，为事后取证留下了清晰准确的日志信息。

>行：对不断变化的数据做持续性的跟踪，提供策略优化与持续运营的服务。

4.2数据安全解决方案建设流程

4.2.1业务数据梳理

在组织与制度设计方面，传统网络安全均由n,部门负责，随着数据治理工作的深入开展，业

务部门要深入参与数据资产梳理以及分级分类工作之中，因为只有业务部门是最了解数据价值与

重要性的。因此需要自上而下形成高层牵头，横跨业务部门与安全部门的组织架构。由信息安全

管理团队和数据业务管理团队共同商讨建立数据安全制度流程体系。制定好制度体系应该以文档

化的方式进行落地管理。从最高级的方针战略，到最细节的表格日志，都应该由不同层级的团队

负责进行文档化的落地，并严格执行。在相应的业务组织与管理制度指导下，企业才能更好的开

展后续建设工作。

4.2.2定义与识别敏感数据

开展数据安全治理的第一步就是：定义什么是敏感数据，基于业务特点进行数据的识别、数

据分类、数据分级。数据分类分级的准确清晰，是后续数据保护的基础。由于数据类型不同，对

企业影响不同，我们建议根据《中华人民共和国网络安全法》要求对个人信息和重要数据分开进

行评估与定级，再按照就高不就低的原则对数据条目进行整体定级。

4.2.3数据全生存周期安全风险评估

完成敏感数据分类分级后，就要到风险识别的步骤：发现哪里有敏感数据，并对敏感数据进

行梳理与风险评估。敏感数据发现与数据风险评估的工作要结合人工服务和专业工具共同完成。

数据安全风险评估可以从数据的生存周期角度逐个考虑，这里引用国标GB/T37988-2019《信

息安全技术数据安全能力成熟度模型》DSMM架构图中的数据生存周期安全的步骤：数据采集安

全、数据传输安全、数据存储安全、数据处理安全、数据交换安全、数据销毁安全。

数据生存周期安全风险评估

绿盟科技研发了敏感数据发现与风险评估系统，可以实现智能数据分类分级、全网数据资产

测绘、实时数据流转测绘、大数据平台风险扫描的能力。结合上绿盟的数据安全评估服务，从数

据生存周期各个阶段评估数据安全风险，应该可以帮助您解决很大部分的敏感数据发现与风险评

估问题。

4.2.4数据安全纵深防护

针对数据安全的风险，应以数据为中心，向外对业务、网络、设备、用户采取“零信任”的

态度，既然每个环节都不可信，那么管控手段就要覆盖全部环节，任意环节失信后都能实现熔断

保护。

用户侧、终端侧、网络侧、业务侧，以及数据中心，都要做好安全防护措施，外向内防攻击

防入侵防篡改，内向外防滥用防伪造防泄露。最关键的是，要对全部纵深防护环节进行整体控

制，实现环境感知，可信控制和全面审计。整合多层次的纵深防御，及时发现问题，及时阻止安

全问题。总之我们的防护宗旨是认证好人并允许其通过，识别坏人并阻断其访问。

4.2.5敏感数据监察分析

敏感数据监察分析、发现安全问题与异常事件。可以考虑从用户、资产和数据的行为模式出

发，利用5W1H分析模型来进行敏感数据行为分析，基于行为模式发现数据异常事件。也就是我们

常说的UEBAo

基于历史的可信访问行为提取访问规则，利用各类算法进行行为聚类，形成可划分的访问行

为簇并可视化呈现。通过这种图谱分析与可视化展示让管理者对于敏感数据访问情况，由一无所

知转变为可视可管。

4.2.6优化改进与持续运营

当我们具备“知识控察”的能力后，不代表我们的数据是安全的。业务是在变的，数据也是

在变的。因此我们的安全也是要不断变化的。为了应对变化，我们在“知识控察”的基础上提出

了“行”，这是一个动词，代表着对数据安全的优化改进与持续运营。

登》zsFauus

在大的层面，合规要求指导安全策略的设置，安全策略支撑合规治理要求的落地，二者相辅

相成，配合上持续优化改进运营的“知识控察行”体系，实现持续自适应的数据安全防护能力。

业务梳理

数据分类

数据分级

敏感数据发现

数据资产测绘

识

4.3数据安全解决方案应用场景

绿盟数据安全解决方案，围绕着数据安全合规性管理、个人信息安全保护、重要数据安全保

护来设计多种安全应用场景。

•最上层为展示层，主要通过数据安全管控平台进行数据安全的四种视图展示，分别为数

据资产视图、数据流转视图、数据风险视图、数据事件视图。

•中间层为管理层，从绿盟数据安全方法论的角度出发，通过数据安全管控平台做数据安

全管理层面的集成，分别为数据梳理、数据识别、数据安全防护、风险分析与事件监测、

数据安全运营。

•最底层为能力层，通过各种产品能力来解决数据安全生存周期中的各种安全问题。

管理层制定统一的管理策略下发给能力层，由能力层来实现安全效果的落地，而能力层会将

收集到的各类日志信息输送给管理层，从而实现全面的数据分析，再通过展现层及时的进行可视

化展示与告警。

数据安全合规性管理

个人信息安全保护■重要数据安全保护

4.3.1数据梳理与风险评估

>数据系统基础调研：对关键数据及用户敏感信息的数据系统进行初步调研；

>关键数据定义及分级：对各系统中关键数据及用户敏感信息等数据进行定义，并对关键

数据、用户敏感信息按重要性进行分类、分级；

>数据生命周期梳理：从数据的采集、存储、传输、处理、共享、销毁等环节入手，覆盖

人员、设备、系统三要素，梳理各系统在各数据生命周期环节中相关网络关键数据详情；

>数据安全合规性检测：从数据安全制度管理、数据安全运营管理、数据安全生命周期管

理等纬度梳理数据合规性安全现状；

>业务安全合规性检测：对网络数据与用户数据集中的业务应用进行金库模式安全性、批

量数据违规获取、身份认证安全性、敏感信息模糊化、系统授权管理、防撞库攻击安全

性等多方面业务安全合规性检测；

>数据安全管理制度建设：在安全管理制度的制定、落实和审查的三个环节上形成可持续

完善的机制；

>网络数据泄露防护:通过采用DLP等网络数据泄漏技术监测手段,及人工主动干预方式，

对疑似泄漏渠道进行分析验证，对风险点进行识别、发现和处理；

>数据保护审计策略制定：对系统制定相关数据保护审计制度及详细审计策略，包括网络

数据安全保护审计、业务符合性审计等；

>数据保护安全审计服务：从数据的采集、存储、传输、处理、共享、销毁等环节入手，

建立、健全相关审计机制，并定期开展专项审计工作；

>安全检查支撑服务：针对上级单位安全检查、重大活动期间专项保障等期间提供支撑服

务。

数据梳理与风险评估服务企业带来的价值主要体现在：

>形成全局数据分布情况，奠定分级分类管理基础

>全方位了解数据安全现状与所面临的安全威胁

登》zsFauus

＞提供专业整改建议，促进系统整改

＞建立标准化、规范化、专业化数据安全管理体系

＞提升数据安全技术防护水平

＞针对性地、有序地进行各项日常数据安全工作和开展数据安全建设

4.3.2运维数据安全防护

随着信息化的发展，企事业单位IT系统不断发展，网络规模迅速扩大、设备数量激增，建

设重点逐步从网络平台建设，转向以深化应用、提升效益为特征的运行维护阶段，IT系统运维

与安全管理正逐渐走向融合。信息系统的安全运行直接关系企业效益，构建一个强健的IT运维

安全管理体系对企业信息化的发展至关重要，对运维的安全性也提出了更高要求。

巴

日常工作监管法律法规遵循事后追溯

通过对运维数据安全防许多企业和单位需要满足通过事后亩计信息可

护可以对运维人员和合国家或者行业监管部门的以对发生的安全事件

作伙伴的日常操作情况法律法规要求（如等级保护、进行追溯，保留一份

做防护和记录，方便监企业内控制度等）.不能修改不可删除的

管。

4.3.2.1运维统一监管

堡垒机做为专业的运维监管系统，提供了先进的运维安全管控与审计能力，是运维数据防护

的第一道防线，其目标是帮助企业转变传统IT安全运维被动响应的模式，建立面向用户的集

中、主动的运维安全管控模式，降低人为安全风险，对运维数据的访问行为实现全面的审计，满

足合规要求，保障企业效益。

堡垒机通过逻辑上将人与目标设备分离，建立“人-＞主账号（堡垒机用户账号）授权-＞从

账号（目标设备账号）-＞目标设备”的管理模式；在此模式下，通过基于唯一身份标识的集中账

登》zsFauus

号与访问控制策略，与各服务器、网络设备、安全设备、数据库服务器等无缝连接，实现集中精

细化运维操作管控与审计。

堡垒机为企业带来的价值主要体现在：

>可帮助企业建立面向用户的集中、有序、主动的运维安全管控平台；

>通过基于唯一身份标识的集中账号与访问控制策略，与各服务器、网络设备等无缝连

接，实现集中精细化运维操作管控与审计；

>对运维数据实时监控，日志+录屏双重审计，保障运维数据行为安全；

>降低人为安全风险，避免安全损失，满足合规要求，保障企业效益。

4.3.2.2数据库审计与防护

近年来，随着数据篡改、泄密等事件的频繁爆发，行业用户已经普遍意识到数据库访问疏于

监管所带来的巨大危害，数据库审计与防护产品受到空前关注。其中就包括数据库审计和数据库

防火墙。

数据库审计是通过对数据库网络流量的采集，利用数据库协议解析与还原技术，实现对数据

库所有访问行为的监控和审计、对其中的危险操作进行多种方式的告警、对数据库访问行为进行

多维度的统计并进行图形化展现。

数据库防火墙是利用数据库协议分析与控制技术，基于主动防御机制，实现数据库的访问行

为控制、危险操作阻断、可疑行为审计。

数据库防火墙数据库

将数据库审计与数据库防火墙结合使用，就实现了具有集数据库IPS、IDS和审计功能为一体

的综合安全防护能力。

现如今正处于一种多环境数据共享的时代，如传统环境、云环境、大数据环境等，因此对数

据库的审计与防护产品就需要做适配变化，传统环境依然采用传统硬件部署，云环境应满足虚拟

化要求实现软件化部署或者探针模式部署，大数据环境一般都应满足分布式部署的要求，最终可

以通过集中管控形成统一监管的模式。

数据库监控平台

数据库审计与防护为客户价值带来的价值包括:

>防止外部黑客攻击;

>防止内部高危操作;

>防止敏感数据泄漏;

>审计追踪非法行为。

4.3.2.3大数据安全运维

大数据的思想及其初步应用已经惠及人们的日常生活，与大数据相互依存的云计算技术、物

联网、智慧城市等新的应用模式同时印证了其在信息化时代的重要地位。随着数据的价值越来越

重要，大数据的安全稳定也逐渐被重视，在大数据时代，无论对于数据本身的保护，还是对与由

数据而演变的一些信息的安全，都对大数据环境提出了更高的要求。虽然大数据安全与大数据业

务是相对应的，但对于业务和环境的维护将更为重要，大数据安全运维将包含风险检查、控制防

护、审计监控三个方面。

>风险检查：可以发现大数据组件漏洞与配置威胁、定位大数据中的敏感数据，让运维人

员对大数据环境中的数据风险了如指掌。

>控制防护：通过实时获取请求者、环境和被访问数据三要素的属性信息，触发相应的访

问控制策略，从而实现访问控制的动态管理，降低企业的管理和运营成本。

>审计监控：针对大数据环境中的各个组件的数据调用与交互，准确的对数据进行审计、

回溯、风险控制、职权分离、操作过程回话等功能，同时生成访问日志，为运维人员提

供可分析的有效数据。

大数据安全运维为客户价值带来的价值包括：

>大数据组件风险全面监控；

>准确定位敏感数据的安全风险，快速预警；

>敏感数据访问动态管理，权限明确，风险可控；

>日志全面完整，为事后回溯提供有利数据支撑。

4.3.3业务数据安全防护

随着信息技术日新月异的发展，近些年来，企业利用计算机网络技术与各重要业务系统相结

合，可以实现无纸办公。有效地提高了工作效率，如外部门户网站系统、内部网站系统、办公自

动化系统等。然而信息化技术给我们带来便利的同时，各种网络与信息系统安全问题也逐渐暴露

出来，业务数据泄露事件频发.因此要对业务系统进行安全防护，保障业务系统中的静态数据、

动态数据的安全。

Web服务器旗件漏洞防护

Webil用防护

（SQCS入信令注入）防峥站入

非法下载限制

法上传防护

Webshell防护

敏感信息过滤

网络层访问控制（信用卡、身份证号等）

URL访问控制：限制敏感路暴力破解防护

径的访问，对数据库文件.

格的访问控制.

密码文件、管理员账户严格敏感信息防泄漏

策略

限制HTTP访问权限.

4.3.3.1WEB应用数据防护

Web应用防火墙（简称WAF）将客户资产作为组织Web安全解决方案的依据，用黑、白名单机

制相结合的完整防护体系，通过精细的配置将多种Web安全检测方法连结，并整合成熟的DDoS攻

击抵御机制，能够抵御各类Web安全威胁和拒绝服务攻击，并以较低的运营成本为各种机构提供

透明在线部署、路由旁路部署、镜像部署和云部署，能方便快捷的部署上线，保卫您的Web应用

数据免遭当前和未来的安全威胁。

根据典型的业务数据泄露事件可分为五种防护场景：

>网站访问控制：不仅可以达到权限控制的效果，还可以做到误报纠正；

>网页篡改在线防护：提供事中防护以及事后补偿的在线防护；

>敏感信息泄漏防护：可以识别并防护敏感数据泄漏，满足合规与审计要求；

>虚拟站点防护：能对一个IP对应多个不同域名的虚拟站点场景进行防护。

4.3.3.2业务数据脱敏

数据脱敏技术可实现自动化发现源数据中的敏感数据，并对敏感数据按需进行漂白、变形、

遮盖等处理，避免敏感信息泄露。同时又能保证脱敏后的输出数据能够保持数据的一致性和业务

的关联性。

数据脱敏技术可以满足为开发环境、测试环境、培训环境等提供脱敏后的生产数据，也可于

为数据交易、数据交换、数据分析等第三方数据应用场景提供适用的敏感信息泄露防护作用。

门户网站

脱或后数据I

138****9214

135•…4325

136….4991

各种业务系统动态脱敏

脱敝后数据

数据脱敏系统

静态脱敏

业务开发测试

各种数据库EaZM

SQLServerMYSQLOracle

以防止数据泄漏为核心点，最大限度的保证脱敏后数据的特征、结构、逻辑及各类数据间的

关联性、连续性、业务性。通过对客户业务数据的深度了解，保证整个业务系统正常运行。

4.3.4主机数据安全防护

当前无纸化办公己经普遍应用，办公环境中每位员工都拥有独立的办公终端，企业的研发源

代码，财务、政券信息，运营资料，人资等敏感数据以不同的文件形式存在于每个人的终端电脑

及存储服务器中，员工通过办公终端接入网络，连接到各种业务系统、各类服务器进行数据的使

用与交换，很难对敏感数据进行准确的定位和分析发现。

数据在办公环境中的类型多种多样，大体可分为结构化数据、半结构化数据与非结构化数

据，还可按形态分为存储中的静态数据和使用中的动态数据。

对数据的操作包括：创建、复制、编辑、剪切、截屏、保存、另存为、删除等。

数据传输途径包括：USB、打印、刻录、共享、网络上传、邮件、论坛、微博、聊天工具、

网盘，还有其他外设。

当前无论是终端，网络还是管理方面，都对敏感数据的泄漏存在有很大的风险。因此，需要

采取相应的措施来消除这些威胁，降低整体安全风险，确保内部办公环境下的数据安全，具体防

护方案可以归纳为以下几个方面：

4.3.4.1终端风险统一管控

实现全网终端的病毒查杀、攻击防御、漏洞修复、软件管理、行为管控、外设管理、流量管

控、远程维护等管理。

持续威胁跟踪，详细日志审计，云、界、端立体式防御框架及与第三方无逢联动对接，让隐

藏的APT攻击一鉴无余。

勒索病毒主动防御机制，漏洞一键全网修复，严格外设管控，邮件、下载及共享等边界实时

监控，有效防范勒索病毒及其变种威胁。

恶意代码实时防御，规范内网终端使用，外设严格管理，保证内网环境安全，降低数据泄漏

及破坏、业务中断风险。

4.3.4.2终端检测与响应

以端点检测与响应技术为核心，实时检测未知威胁并快速响应。适用于服务器、云主机、移

动/智能终端、工控主机、物联网终端等设备，支持Windows.Linux及国产操作系统，能轻松适

应各种规模和IT架构的企业，大大提升用户的安全主动防护能力。

我们熟知针对终端的网络威胁有很多种，如APT攻击、勒萦病毒、挖矿木马、Oday漏洞利

用。这种攻击行为我们很难预知，但是只要终端遭到入侵后，其系统内部状态或环境肯定会发生

变化，这种变化包括文件的创建修改、进程的运行、系统函数及接口的调用、配置的修改、用户

及权限、网络连接、系统资源的变化等。绿盟终端检测与响应系统通过可信特征管理、综合行为

检测、基线横向分析和安全沙箱等方式对用户的行为进行分析。通过上述4层检测机制的逐级分

析，可有效发现已知和未知的威胁。为保证检测行为的准确性和可控性，在提供自动化分析处理

机制外，系统也提供了便于管理员进行人工辅助干预的接口，可人工定义信任或威胁的文件和行

为，从而对自动化判定筛选后的结果进行微调。并对这些行为进行采取记录、阻断、隔离、清除

等响应措施。

自适应策略管理|态势可视化|人工辅助干预

检测子系统响应子系统

4.3.4.3数据访问安全

信息作为一种资源，它的普遍性、共享性、增值性、可处理性和多效用性，使其对于企业具

有特别重要的意义。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型

的威胁、干扰和破坏，即保证信息的安全性。根据国际标准化组织的定义，信息安全性的含义主

要是指信息的完整性、可用性、保密性和可靠性。但是，对于不同的企业和行业来说，其对信息

安全的要求和重点却是有区别的。最重要的问题是不能在对非法（非授权）获取（访问）不加防

范的条件下传输信息。

对于一个企业来说，往往有许多内部资源需要开放，但是又担心数据安全问题。安全认证网

关服务能提供对API、WEB资源的访问保护，使其在访问时需经过身份验证才可获取资源。

统一身份系统就是用来规范保护用户账号信息的关键技术环节，也是未来边界安全新定义。

通过单点登录一次一密的会话机制，使用户的账号信息从根源上防范不被窃取，从而保护用户数

据信息的安全。

无论是员工、合作伙伴还是客户，可以在任何时间、任何地点，通过任何终端设备，都可以

借助我们的安全认证网关和统一身份认证平台，对业务系统数据进行认证防护。

云平台

VPC

Web

WEB

访问链路加密单点登录

P一口地址隐藏认证授权Web

安全认证统一身份

网关认证平台

堡垒机Web防火墙数据库审计

安全管理子网

4.3.4.4数据外发途径防护

基于敏感信息识别技术的防护对办公终端的数据泄露途径进行全面的监控。

可管理通过终端泄漏敏感数据的多个途径，如打印，u盘拷贝，硬盘对拷，蓝牙/红外发送

文件,光盘刻录，文件共享，IM发送聊天内容/传送附件，如QQ,RTX等，邮件客户端发送邮

件，如OUTLOOK,FOXMAIL。

可自定义设置终端PC外设端口的开启和关闭，当端口关闭后，端口将不可工作，不可进行

信息的传输，如，USB,光盘驱动设备，串口驱动设备，并口驱动设备，蓝牙驱动设备，红外驱动

设备等。

4.3.4.5关键数据加密使用防护

在不影响本地原有明文文档的情况下，无障碍使用密文文档。敏感数据在加密前后对于数据

合法使用者无任何差异，不增加用户负担、不改变任何工作流程及使用习惯。文件的保存加密、

打开解密完全由后台加解密驱动内核自动完成，对用户而言完全透明、无感知。

可根据文档密级按照组织架构（部门、用户、项目组等）对文件进行密级标识及授权管理，

只允许合法授权用户根据分配权限受控使用；非授权用户即使获取到数据也将无法查阅。

对文档设置只读、打印、修改、再次授权、阅读次数及生命周期等权限，授权用户只能按照

规定好的权限进行使用，无法通过属性修改、内容复制、副本另存等方式越权使用。

登》zsFauus

通过内容复制/粘贴、拖拽、副本另存为、截屏/录屏、打印等方式对文档内容进行移植及转

储，需要对用户上述操作行为进行安全控制。

4.3.4.6数据离网交换安全

当数据需要与第三方进行合作编辑，或交由第三方审阅时，为了保证数据在交互中不会被泄

露，应采取全面的数据隔离机制来达到安全的效果。

利用沙盒技术与透明加解密相结合，创建一个完全隔离的安全空间，再将需要交换的数据放

入此空间，只有拥有密钥和权限的人员才能打开此空间。

认证方式包括：口令、KEY、机器码、口令+机器码。

权限包括：只读、编辑、拷屏、打印、水印、限时、限次、自动销毁。

4.3.4.7用户上网行为监管

上网行为管理主要解决内部员工上网带来的工作效率低下、带宽滥用、恶意软件感染、内部

信息泄漏以及法律合规等问题。

员工通过网络可以查找资料、沟通交流和从事电子商务等，但是相应的多种问题伴随而生，例

如：

•与工作无关的P2P和在线视频等应用占用带宽；

•与工作无关的聊天、炒股、游戏、博客和在线购物等活动影响工作效率；

•员工随意在网络上发帖和传输文件导致机密泄露；

•员工上网容易受到病毒、木马和蠕虫等攻击和感染；

•员工通过网络从事一些黄赌毒等违法活动；

•员工浏览和发布不良言论导致企业面临法律风险。

为解决以上一系列的问题，绿盟科技凭借在应用识别库和网络安全等全方面的多年积累，可

实现员工上网行为的管理、带宽的限制和确保员工上网安全等，可以极大提高员工的办公效率和

带宽利用率，防止机密数据泄密和员工通过网络从事违法活动。

4.3.4.8网络数据外发监控

支持多协议的敏感信息识别与监控能力。可以监控包含附件的SMTP,包含上传下载文件的

HTTP,FTP,还有包含上传文件的NNTP。还能够监控主流的IM协议(QQ,RTX),可正确分辨HTTP

隧道中的IM流量。

在一个事件产生时，系统可以自动的发送邮件警告给用户、用户经理，IT管理员。邮件的

主题，信体等内容均可以定制。

全流量采集安全流量

IP/协议I

4分析/应用

分析

HTTP

FTP

文件

SMTPGM