xx有限公司内网安全管理系统项目解决方案

xx有限公司内网安全管理系统项目解决方案内容摘要：

目标与原则 系统建设目标 建立 XX 有限公司 内网安全管理系统是为 XX 有限公司 构造一个整体的、全方位的、功能强大的内网安全管理体系， 以防止 XX 有限公司 内网涉密信息外泄 ，通过对 XX 有限公司 内网安全工作现状和需求的分析 ,建立内网安全管理系统的总体目标如下 ：  终端集中授权管理 ：友好的 控 制台 界面， 使管理员可以 方便、快速的针对不同终端进行策略下发。  敏感文件透明加密 ： 建立基于进程的文档透明加解密系统，对 设计行业的专业软件（ AutoCAD 系列等）与普通软件和日常办公软件所产生的文档进行加密。  涉密文件全程跟踪，智能防护 ， 解决对涉密文档的远程授权，使分发出去的文档权限依然受虎御内网安全 管理 系统的控制。  建立硬件安全防护系统， 实现对硬件端口和移动存储设备的管理。  建立资产管理系统，实现 公司 提高现有设备的利用率 的功能。  建立监控审计系统，实现与数据安全所有相关行为的信息审计的功能。 系统建设原则 先 进性原则 鉴于企业 内 网安全运行的重要性，内网安全管理系统方案设计应充分考虑产品技术上的先进性，尽量选择著名大公司的成熟产品，要充分考虑系统的易于更新、扩充和升级，以确保系统具有旺盛的生命力。 易于管理、操作和维护原则 内网安全管理系统应便于工程实施、方便运行管理、简化用户操作、易于技术维护，应使用简体汉化版软件。 充分利用现有资源原则 内网安全 管理方案 应充分考虑利用 XX 有限公司 现 有资源，保护既有投资，尽量减少额外开销。 同时 内网安全管理 产品应与现有系统完全兼容，不能对现有系统软硬件提出太多的限制，更不能影响其 正常运行。 安全与性能负载均衡原则 安全与性能是一对矛盾体，在方案设计中应针对各个层面，考虑 内网安全管理软件 对系统和网络资源的占用情况。 通过优化结构、灵活配置来达到安全与性能的负载均衡，系统整体的平衡安全，在性能上使其对 XX 有限公司 网络应用的关键业务和最终用户的影响降至最低。 第三章 总体设计方案 根据对 XX 有限公司 内网安全管理系统的需求分析和总体目标与设计原则，结合天喻虎御内网安全管理系统的产品特性，针对 XX 有限公司 内网安全管理系统中 的文件加密、存储设备细 粒 度管理、外接设备控制、涉密文件外发控制 、终端监控与审计 及系统扩展性等各项功能的技术实现方案设计如下： 系统 总体 架构 XX 有限公司 内网安全管理系统 用 C/S 架构 ， 按照部署 方式 可以划分为密钥管理系统 、服务器 系统 、 控制台系统 和客户端 四个部分，其中 密钥 管理系统和 服务器 系统可以安装在同一台计算机上。 业 务 服 务 器交 换 机主 控 制 台O A 服 务 器邮 件 服 务 器部 门 1客 户 端 . . . 客 户 端子 控 制 台客 户 端 . . . 客 户 端子 控 制 台客 户 端 . . . 客 户 端子 控 制 台防 火 墙I n t e r n e t部 门 2部 门 n虎 御 服 务 器 本系统采用灵活的系统架构，采用统一密钥，集中管理的部署方式，虎御服务器和控制台可以安装在同一台计算机上，对客户端进行集中授权管理，全程统一密钥，涉密文档在企业内部可以自由共享。 一： 密钥管理 子 系统 ：初始化 XX 有限公司 文档加密的根密钥，创建安全可靠的密钥环境。 为保证不同企业客户之间密钥的唯一性，文档加密密钥均由企业客户自行创建，然后保存在主 KEY 内；服务器必须插入主 KEY 后才可运行。 二： 服务器 子 系统 ： 内网安全产品的核心组成部分，插入主 KEY 后作为 后台服务 自动运行 ，无界面，主要完成 ： 1． 存储系统组织结构信息、控制台用户信息和系统工作配置参数； 2． 存储各客户端代理用户信息、加密密钥； 3． 存储策略，并接收控制台的指令向客户端代理下发策略； 4． 存储客户端代理上传的日志信息和备份数据文件，备份数据文件采用对应的客户端用户密钥加密后存储； 5． 接收来自控制台和客户端的身份认证 6． 接收控制台用户数据请求指令，传送数据文件到控制台，由控制台进行解密查看分析 三： 控制台 控制台是实现系统管理、参数配置、策略管理和系统审计的人机交互界面软件系统，采用单级控制台，实现统一密钥、集中管理。 主要功能包括： 1． 设置控制台的工作参数； 2． 管理密钥， 初始化 、 备份 和 恢复 密钥； 3． 客户端代理的添加和卸载； 4． 客户端代理策略的配置和下发； 5． 实时监控客户端状态 ； 6． 监测日志的查看、分析和审计，生成报表； 7． 文件、文件夹的批量加解密操作。 四：客户端 客户端是策略的最小执行单元。 1． 接 收服务器下发的策略，并按照该策略控制客户端代理的工作模式； 2． 文档加密，对特定进程产生的文档进行动态加密 3． 涉密文件防护，防止涉密文档通过打印、截屏、内容复制等手段造成内容外泄 4． 移动存储设备安全管理，从粗细两种粒度控制终端存储安全 5． 运行监测：实时记录和上传终端的运行情况、文件的删除、重命名，进程、服务、驱动、用户和组的变化情况；如果客户端当时脱机，则保持在客户端本地，待联机后再次上传。 系统功能架构设计 本系统由 认证 授权、数据安全保密、硬件安全防护、文件外发、 IT 资产管 理、自我保护 、 终端监控与审计 七 大功能组成， 覆盖了内网信息安全的各个方面，从源头上解决了企事业内部的信息安全问题。 基于进程的文档加密驱动 驱动加密技术基于 windows 的文件系统（过滤）驱动（ IFS）技术，工作在 windows 的内核层。 我们在安装计算机硬件时，经常要安装其驱动，如打印机、 U 盘的驱动。 文件系统驱动就是把文件作为一种设备来处理的一种虚拟驱动。 当应用程序对某种后缀文件进行操作时，文件驱动会监控到程序的操作，并改变其操作方式，从而达到透明加密的效果。 驱动加密技术与应用程序无关，他工作于 windows API 函数的下层。 当 API 函数对指定 类型文件进行读操作时，系统自动将文件解密；当进入写操作时，自动将明文进行加密。 由于工作在受windows 保护的内核层，运行速度更快，加解密操作更稳定。 所有的文件系统操作都是向操作系统 I/O 管理器提出的，再由操作系统 I/O管理器将操作定位到具体的某个文件系统来完成。 文件的操作者和平常一样，对文件进行正常操作，他们不会感觉到 Windows I/O 及底层发生的一切变化。 文件经过 Windows I/O、透明加密技术平台和 Windows 文件系统的处理，最后存放在磁盘上的文件是经过加密的。 同时，加密策略（算法、密钥 和加密文件的指定）内置在透明加密技术平台中，由系统管理员集中管理，文件操作者无权获取或更改。 加 密 算 法加 密 密 钥被 加 密 文 件W i n d o w s I / O 管 理 器加 密 策 略明 文 方 式 操 作 该 文 件 数 据透 明 文 件 加 密 技 术 平 台W i n d o w s 文 件 系 统密 文 方 式 操 作 文 件 数 据实 时 加 密 该 文 件 数 据密 文 方 式 操 作 文 件 数 据加 密 策 略 内 置 在 透 明 加密 系 统 中 ， 系 统 管 理 员集 中 管 理 ， 文 件 操 作 者无 权 读 取 或 更 改在 磁 盘 上 存 储 被加 密 的 文 件 端口控制驱动 端口控制主要采用 inline hook 的技术 ， 通过在驱动层截获激活设备和创建符号连接的 API来达到选择性的禁用设备的目的。 具体来说 ， 通过 inline hook 系统在调用正常 API 之前 ， 跳转到了我们自己的代码中 ， 在这段代码中 ， 我们可以获取设备比较详细的信息 ,如总线类型 ,设备类型 ,设备特征码等 ，在 将这些信息与应用层传过来的信息比较之后 ， 可以决定禁用还是启用该设备。 禁用是通过向设备发送 IRP 包的方式来实现的 ， 因为所有的 I/O 请求都是以方式 IRP 的方式来表现的 ， 采用这种方式不会打乱 windows 的正常流程 ； 启用通过跳转到系统正常的 API,放行设备进入系统的正常流程来实现的。 移动存储设备控制驱动 移动存储设备 只是一个被动的存储空间而无主动的控制代码。 因此只能采用了一种特别的识别方法，即 破坏 移动存储设备 的引导扇区部分，通过修改 移动存 储设备 所在逻辑分区的引导扇区部分中的跳转指令和 BPB 部分中每 FAT扇区数，分配单元簇的大小等信息，达到破坏 移动存储设备 起始格式化状态使 移动存储设备 无法访问，因为操作系统无法获得正常的 BPB 信息一方面无法正常通过跳转指令得到 BPB 的起始位置，另外 BPB 信息和分区状态不符，使 移动存储设备 的引导扇区部分在离开特定主机后处于破坏状态，当这样的 移动存储设备 插入其他系统后会无法使用而提示对其进行格式化，同时进一步修改 移动存储设备 内文档格式内容。 当 移动存储设备 插入装有恢复引导扇区软件的机器后，首先恢复引导扇区部分，然后正常使用 移动存储设备 ，当 移动存储设备 要拔出时，破坏其引导扇区部分，达到对特定盘安全管理并只能被特定范围 的主机使用的目的。 系统配置清单 序号 货物名称 品牌型号 单位 数量 备注 1 USBKEY 天喻 个 2 2 虎御服务器 系统 天喻 套 1 3 虎御控制台 系统 天喻 套 1 4 虎御 客户端 天喻 套 第四章 系统功能 设计 认证授权系统 设计 本系统是整个系统的基础运行平台，主要实现对纳入内网安全管理体系的计算机进行动态注册和注销；接受来自于控制台和客户端网络身份认证；对通过认证的计算机终端进行集中授权管理，授权的内容包括 脱机时限、 数据安全保密和硬件安全防护 策略，然后下发 ；策略下发到客户端后 强制执行，客户端代理根据这些策略信息防护终端信息安全。 客户端动态注册，浮动 License管理 客户端安装完成以后自动重启，然后连接到服务器进行注册申请；在控制台可以对待审核的计算机进行审批，只有通过审批的客户端才可纳入企业内网安全 管理体系，每审批通过一个客户端 License 许可数目就减少一个，每删除一个客户端节点 License 许可数目就减少一个。 整个企业内部的客户端注册完全动态进行，实行浮动 License 的管理。 控制台和客户端的网络身份认证 接受来自于客户端和控制台的。