《汇源防信息泄漏 系统》由会员分享，可在线阅读，更多相关《汇源防信息泄漏 系统（37页珍藏版）》请在金锄头文库上搜索。
1、 四川汇源光通信股份有限公司 汇源防信息泄漏系统 LPS 技术白皮书 SiChuan HuiYuan Optical Communication LTD 四川汇源光通信股份有限公司 2004 年 10 月 汇源防信息泄漏系统 LPS 技术白皮书 目 录 1 1 技术背景技术背景 5 5 1 1 数字信息安全概况 5 1 2 内部网络安全 6 1 3 内网安全产品现状分析 6 2 2 系统概述系统概述 8 8 2 1 系统定义 8 2 2 功能简介 8 2 2 1 数据安全管理 8 2 2 2 设备安全管理 8 2 2 3 用户身份管理 8 2 2 4 综合安全审计 9 2 2 5 系统辅助功能
2、 9 2 3 系统结构 9 3 3 系统功能系统功能 10 10 3 1 数据安全管理 10 3 1 1 机密信息的防泄漏 10 3 1 2 数据安全共享 10 3 1 3 私人信息保密 10 3 2 设备安全管理 10 3 2 1 外部设备接口管理 11 3 2 2 移动存储设备管理 11 3 2 3 内外网计算机防泄漏管理 11 3 3 用户身份认证管理 12 3 3 1 用户身份认证 12 3 3 2 人机分离防盗用 12 3 4 安全数据审计分析报告 12 3 4 1 用户行为审计 12 3 4 2 计算机资源审计 13 3 4 3 打印监控 14 3 4 4 审计报表 14 3 5
3、系统辅助功能 14 3 5 1 计算机资源管理 14 3 5 2 分级分权限的集中安全管理 15 3 5 3 安全策略生命周期管理 15 3 5 4 系统自身安全保障体系 17 3 5 5 系统性能扩展接口支持 17 3 5 6 系统安装部署辅助功能 18 4 4 主要技术特点主要技术特点 19 19 5 5 运行环境和系统指标运行环境和系统指标 22 22 5 1 运行环境 22 5 2 系统指标 23 汇源防信息泄漏系统 LPS 内部数据信息安全管理专家 2 汇源防信息泄漏系统 LPS 技术白皮书 5 2 1 综合系统指标 23 5 2 2 汇源防信息泄漏系统LPS 管理服务器 25 5
4、2 3 汇源防信息泄漏系统LPS 管理控制台 32 5 2 4 汇源防信息泄漏系统LPS 受管理端 32 6 6 系统应用和部署系统应用和部署 33 33 6 1 数据集中式单级部署 33 6 2 数据分散式单级部署 34 6 3 数据集中式多级部署 35 6 4 数据分散式多级部署 36 7 7 联系方式联系方式 37 37 汇源防信息泄漏系统 LPS 内部数据信息安全管理专家 3 汇源防信息泄漏系统 LPS 技术白皮书 图表目录 图表 1 典型的单级LPS系统结构图 9 图表 2 LPS G10000 整合系统 22 图表 3 综合系统指标 23 图表 4 防信息泄漏服务器基本性能指标 2
5、6 图表 5 工作组级服务器特性 产品外观 26 图表 6 工作组级服务器特性 环境及规范 26 图表 7 工作组级服务器特性 电源 27 图表 8 工作组级服务器特性 机箱结构 27 图表 9 工作组级服务器特性 产品外观 27 图表 10 工作组级服务器特性 环境及规范 27 图表 11 工作组级服务器特性 电源 28 图表 12 工作组级服务器特性 机箱结构 28 图表 13 部门级服务器特性 产品外观 28 图表 14 部门级服务器特性 环境及规范 29 图表 15 部门级服务器特性 电源 29 图表 16 部门级服务器特性 机箱结构 29 图表 17 企业级服务器特性 产品外观 29
6、 图表 18 企业级服务器特器管理功能 30 图表 19 企业级服务器特性 环境及规范 30 图表 20 企业级服务器特性 电源 30 图表 21 企业级服务器特性 机箱结构 31 图表 22 集团级服务器特性 产品外观 31 图表 23 集团级服务器特器管理功能 31 图表 24 集团级服务器特性 环境及规范 32 图表 25 集团级服务器特性 电源 32 图表 26 集团级服务器特性 机箱结构 32 汇源防信息泄漏系统 LPS 内部数据信息安全管理专家 4 汇源防信息泄漏系统 LPS 技术白皮书 1 技术背景技术背景 1 1 数字信息安全概况数字信息安全概况 计算机和计算机网络已经成为企业
7、 政府和其它各种组织的重要信息载体和传输渠道 很明显 计算机 计算 机网络和其所带来的信息数字化大幅度提供了工作效率 也使得海量的信息存储和处理成为了现实 但是 在享受 到计算机以及计算机网络所带来的方便性的同时 也出现了目前受到广泛关注的信息安全问题 数字信息安全之所以比传统的数据文件安全更加受到关注 一方面是由于数字信息本身具有易于复制的特性 利用这个特性 信息更易于受到难以控制和追溯的盗取威胁 另一方面是由于计算机网络所具有的远程信息存取功 能 网络使信息更容易受到破坏 更改和盗取的威胁 很明显 能否最大限度确保企业 政府或者其它组织内部数 字信息的安全性已经关系到了计算机和计算机网络能
8、否真正成为有实质意义大规模应用的关键因素 信息安全关注的是信息的可靠性 完整性和保密性 信息的可靠性可以通过各种数据备份系统来实现 本白皮 书所描述系统关注的是完整性和保密性 一个组织内部的计算机通常都以网络的形式相互连接 甚至跟外部的公共 网络相连以提供和获取更加丰富的信息和更加广泛的应用 所以 对数字信息安全的关注也就自然而然的演变为对 网络安全的关注 但事实上 传统网络安全和信息安全关注的重点是不一样的 传统网络安全关注更多的是系统安全 而信息安 全关注更多的是数据安全 系统安全关注的对象是整个网络系统 网络子系统 计算机系统或者应用系统的安全性 它关注的是系统以及所提供服务的稳定性和可
9、靠性 数据安全关注的是数据本身 包括数据的可靠性 完整性和保 密性 相比于系统安全来说 数据安全是一种更细粒度的控制 信息安全所关注的问题可以概况为以下两个方面 信息的完整性 必须确保存储和获取的信息是完整的 即保证信息的合法性和真实性 确保信息没有受到 破坏或者未授权改动 信息的保密性 必须确保在信息在存储 传输和使用的过程中都是保密的 不能受到未授权的窃听 破坏 和仿造等攻击 针对上述两种信息安全的需求 许多的专家 学者和机构从不同角度提出了各种解决方案和技术方案 从关注 信息访问控制的对象和区域的侧重点来划分 基本上可以分为内部网络安全和外部网络安全两种 外部网络安全 简称外网安全 基于
10、这么一种信任模型 网络内部的用户都是可信的 在这种信任模型下 假 设所有可能的对信息安全造成威胁的攻击者都来自于组织外部 并且是通过网络从外部使用各种攻击手段进入内部 网络信息系统的 在这种模型中 衍生了众多的网络安全产品 如防火墙 入侵检测 IDS 内外网隔离以及其它 针对外部网络的访问控制系统等等 但是 很明显 外网安全的这种信任模型假设是存在巨大的漏洞的 它必然难 以解决所有的网络安全问题 汇源防信息泄漏系统 LPS 内部数据信息安全管理专家 5 汇源防信息泄漏系统 LPS 技术白皮书 内部网络安全 简称内网安全 基于这么一种信任模型 所有的用户都是不可信的 在这种信任模型种 假设 所有
11、用户 无论内部网络用户还是外部网络用户 都可能对信息安全造成威胁 并且可以各种更加方便的手段对信 息安全造成威胁 比如内部人员可以直接对重要的服务器进行操控从而破坏信息 或者从内部网络访问服务器 下 载重要的信息并盗取出去 内部网络安全的这种信任模型更符合现实的状况 美国联邦调查局 FBI 和计算机安全 机构 CSI 等权威机构的研究也证明了这一点 超过 80 的信息安全隐患是来自组织内部 这些隐患直接导致了信 息被内部人员所窃取和破坏 但是 相较于外网安全而言 内网安全目前还没有引起足够的重视 基于内网安全思 想的完整解决方案和产品也并不丰富 1 2 内部网络安全内部网络安全 从某种意义上来
12、说 内部网络安全 内网安全 是外网安全的一种扩展和提升 它是基于更加科学和客观的信 任模型建立起来的 内网安全关注的对象不仅仅包括外部网络的所有用户 也包括了更可能引起信息安全威胁的内 部网络用户 内网安全从更加全面和完整的角度对信息安全威胁的途径进行了分析 处理和控制 使信息安全成为 一个完整的整体 而不是一个存在明显漏洞的片面解决方案 内网安全将用户划分为内网用户和外网用户 并且给予内网用户更加仔细的关注 对所有外网用户 内网安全 理论将它们统一划分为不信任的用户 对来自外网的用户通过身份验证 授权和其它手段进行控制 对于内网用户 内网安全理论给予每个用户和其使用的个人计算机以极其详细的关
13、注和控制 因为这些用户和计算机是更易于引起 信息安全威胁的来源 下面是两个简单的例子 内部人员可以轻松地从自己使用的计算机中复制机密信息 或者先从内部文件服务器下载机密信息 然后 通过移动存储设备或者网络发送到组织外部 但是却可以不留下任何痕迹 内部人员可以在一个没有内网安全产品支撑的网络中轻松地对服务器进行攻击 而不留下任何痕迹 这里 攻击的手段可以是多样的 比如通过网络工具 或者直接接触服务器进行物理接触攻击等等 一个完整的内网安全解决方案或者产品应该包含以下特征 能够防止外部用户对内部网络的恶意信息盗取 信息破坏和信息篡改等攻击行为 能够防止内部用户通过网络将组织内部的机密信息通过网络有
14、意识或者无意识泄漏出去 能够防止内部用户通过计算机或者计算机网络的外部设备或终端设备将组织内部的机密信息有意识或者 无意识泄漏出去 能够防止内部用户对内部重要数据服务器进行攻击和破坏 能够对内部网络的所有计算机进行有效的管理和控制 并可以提供详细的审计报告 在一旦发生信息安全 威胁事件后进行责任追查 只有具备上述特征的内部网络安全产品 才能具备完整保护内部网络信息安全的能力 提供符合客观管理模型 的有效应用 1 3 数据安全数据安全 内网安全的核心保护对象是数据 数据安全也是内外安全的核心内容 数据安全确保内网数据的完整性 保密 性和可信性 事实上 所有的系统 应用以及相应的数据最终都可以表现
15、为数据的形式 只要确保了数据的安全 汇源防信息泄漏系统 LPS 内部数据信息安全管理专家 6 汇源防信息泄漏系统 LPS 技术白皮书 其他系统安全和应用安全问题也就迎刃而解 数据安全的实现需要对数据产生 存储 传输 使用和销毁整个生命周期进行控制 跟踪和保护 采用现代密 码学技术 PKI 技术和其他辅助管理措施 来确保数据的完整性 保密性和可信性 数据安全关注的对象是非常明确 的 即数据本身 数据完整性的安全目前发展已经非常成熟 多种形式的数据备份和灾难恢复系统确保了数据完整 性的安全 但是 数据保密性安全和可信性安全受到的重视却不够 在中国尤其如此 随着网络和计算机使用的普 及 以及相应的应
16、用的增加 信息网络中有价值的数据越来越多 那么数据保密性的安全受到的重视程度也必然日 益增加 一个好的数据安全产品 应该能够从数据本源解决数据安全问题 而不用关心数据的体现形式 存储形式和交 换形式 以数据安全为核心来构造新的内网安全系统将给信息安全带来新的活力 1 4 安全产品现状分析安全产品现状分析 传统的基于外网安全理论的产品如防火墙 IDS 和漏洞扫描等 仅仅解决了内网安全理论的一个方面 对于内 网安全的内部用户攻击和威胁事件是无能为力的 目前来说 对一些具体内网安全问题 出现了一些针对性非常强的产品 比如防止移动存储设备复制文件和检 查组织内部的邮件服务器等 这些产品共同的特点是针对某一个具体问题提出了解决方法 但是 根据木桶理论 网络安全是一个有机的整体 也是一个环环相扣的链条 缺少其中任何一个环节 其安全性能就大幅度降低或者几 乎为零 内网安全绝不是这些产品的简单组合能够实现的 在理论上 这些产品在设计的阶段没有看到信息安全的核心问题 没有构造一个以数据安全为核心的系统 只 是简单地企图从不同途径来确信息的安全性 而现有存储和交换技术的发展 以及攻击手段的
