《XX有限公司内网安全管理系统项目解决方案》由会员分享，可在线阅读，更多相关《XX有限公司内网安全管理系统项目解决方案（27页珍藏版）》请在金锄头文库上搜索。
1、内网安全管理系统项目方案内网安全管理系统项目方案科技有限公司科技有限公司二二八年十一月八年十一月目目 录录第一章第一章概述概述.41.1建立内网安全管理系统的必要性.41.2现状分析.41.3项目需求.4第二章第二章系统建设目标与原则系统建设目标与原则.52.1系统建设目标.52.2系统建设原则.62.2.1先进性原则 62.2.2易于管理、操作和维护原则 62.2.3充分利用现有资源原则 62.2.4安全与性能负载均衡原则 6第三章第三章总体设计方案总体设计方案.63.1系统总体架构.73.2系统功能架构设计.93.2.1基于进程的文档加密驱动 93.2.2端口控制驱动 103.2.3移动存
2、储设备控制驱动 103.3系统配置清单.11第四章第四章系统功能设计系统功能设计.114.1认证授权系统设计.114.1.1客户端动态注册，浮动 License 管理114.1.2控制台和客户端的网络身份认证 124.1.3多种身份认证相结合 124.1.4策略集中分级管理 124.1.5支持按分组和单个计算机灵活定制策略 134.1.6限时有效策略 134.2数据安全保密系统设计.134.2.1文件透明加解密 144.2.2涉密文件安全防护 154.3硬件安全防护系统设计.164.3.1存储设备控制 164.3.2通讯设备控制 164.3.3存储设备准入认证 164.4IT 资产管理系统设计
3、174.4.1资产的完备性 174.4.2资产变更的准实时性 174.4.3详细的报告 174.5文件外发系统设计.184.5.1文件加解密中心 184.5.2获取分发主机硬件指纹 184.5.3涉密文档分发 184.5.4分发文档使用 194.6终端监控与审计系统设计.194.6.1终端实时在线状态监控 194.6.2终端软、硬件状态监控 194.6.3移动存储设备使用监控 194.6.4文件操作监控 194.6.5事故追踪 204.6.6终端安全监控 204.6.7审计日志查询与统计 204.7自我保护系统设计.204.7.1终端系统防止非法卸载 204.7.2终端进程隐藏、防杀 214.
4、7.3终端服务防停 214.7.4终端目录和文件隐藏、防删 21第五章第五章系统实施方案系统实施方案.225.1项目的组织.225.1.1人员安排 225.1.2主要职能 23第六章第六章公司介绍与成功案例公司介绍与成功案例.256.1天喻公司简介.256.2天喻公司产品.256.2.1主营业务方向 256.2.2产品表现形态 266.2.3主要产品 266.3天喻公司资质.266.4虎御内网安全系统成功案例.27第一章第一章概述概述1.1 建立内网安全管理系统的必要性建立内网安全管理系统的必要性计算机和计算机网络已经成为企业、政府和其它各种组织的重要信息载体和传输渠道。很明显，计算机、计算机
5、网络和其所带来的信息数字化大幅度提高了工作效率，也使得海量的信息存储和处理成为了现实。但是，在享受到计算机以及计算机网络所带来的方便性的同时，也出现了目前受到广泛关注的信息安全问题。由于数字信息本身具有易于复制的特性，利用这个特性，信息更易于受到难以控制和追溯的盗取威胁；另一方面是由于计算机网络所具有的远程信息存取功能，网络使信息更容易受到盗取的威胁。为了健全企业网安全体系，堵住企业涉密数据信息的安全漏洞，建立的企业内网安全管理系统刻不容缓。1.2 现状分析现状分析1.网络规模：120 多台 PC 机；2.网络环境：小型局域网，网络互通，分属多个网域；3.对内通讯方式：网络共享；4.对外通讯方
6、式： U 盘（或移动硬盘）复制；电子邮件。5.常用文件类型：设计软件文档（AUTOCAD） 、Office 文档（Word、Excel、PowerPoint） 、图形图像处理文档（Photoshop、CorelDraw、AcdSee、3Dmax） 。1.3 项目需求项目需求1.文件自身加密对 AutoCAD、AUTOCAD、Microsoft Office、Adobe acrobat、PDF FactoryPhotoshop、CorelDraw、AcdSee、3Dmax 透明加密。2.移动存储设备细粒度管理防止通过移动存储设备(U 盘、移动硬盘)造成泄密。3.外接设备使用控制防止通过光驱、US
7、B、软驱、串口、并口、MODEM 等外接设备泄密。4.涉密文件外发控制防止企业涉密文档外发造成泄密的需求。5.IT 资产管理6.终端监控与审计监控与审计终端的接口使用情况、硬件设备变更和用户行为。第二章第二章系统建设目标与原则系统建设目标与原则2.1 系统建设目标系统建设目标建立 XX 有限公司内网安全管理系统是为 XX 有限公司构造一个整体的、全方位的、功能强大的内网安全管理体系，以防止 XX 有限公司内网涉密信息外泄，通过对 XX 有限公司内网安全工作现状和需求的分析,建立内网安全管理系统的总体目标如下：终端集中授权管理：友好的控制台界面，使管理员可以方便、快速的针对不同终端进行策略下发。
8、敏感文件透明加密：建立基于进程的文档透明加解密系统，对设计行业的专业软件（AutoCAD 系列等）与普通软件和日常办公软件所产生的文档进行加密。涉密文件全程跟踪，智能防护，解决对涉密文档的远程授权，使分发出去的文档权限依然受虎御内网安全管理系统的控制。建立硬件安全防护系统，实现对硬件端口和移动存储设备的管理。建立资产管理系统，实现公司提高现有设备的利用率的功能。建立监控审计系统，实现与数据安全所有相关行为的信息审计的功能。2.2 系统建设原则系统建设原则2.2.1 先进性原则先进性原则鉴于企业内网安全运行的重要性，内网安全管理系统方案设计应充分考虑产品技术上的先进性，尽量选择著名大公司的成熟产
9、品，要充分考虑系统的易于更新、扩充和升级，以确保系统具有旺盛的生命力。2.2.2 易于管理、操作和维护原则易于管理、操作和维护原则内网安全管理系统应便于工程实施、方便运行管理、简化用户操作、易于技术维护，应使用简体汉化版软件。2.2.3 充分利用现有资源原则充分利用现有资源原则内网安全管理方案应充分考虑利用 XX 有限公司现有资源，保护既有投资，尽量减少额外开销。同时内网安全管理产品应与现有系统完全兼容，不能对现有系统软硬件提出太多的限制，更不能影响其正常运行。2.2.4 安全与性能负载均衡原则安全与性能负载均衡原则安全与性能是一对矛盾体，在方案设计中应针对各个层面，考虑内网安全管理软件对系统
10、和网络资源的占用情况。通过优化结构、灵活配置来达到安全与性能的负载均衡，系统整体的平衡安全，在性能上使其对 XX 有限公司网络应用的关键业务和最终用户的影响降至最低。第三章第三章总体设计方案总体设计方案根据对 XX 有限公司内网安全管理系统的需求分析和总体目标与设计原则，结合天喻虎御内网安全管理系统的产品特性，针对 XX 有限公司内网安全管理系统中的文件加密、存储设备细粒度管理、外接设备控制、涉密文件外发控制、终端监控与审计及系统扩展性等各项功能的技术实现方案设计如下：3.1 系统总体架构系统总体架构XX 有限公司内网安全管理系统用 C/S 架构，按照部署方式可以划分为密钥管理系统、服务器系统
11、、控制台系统和客户端四个部分，其中密钥管理系统和服务器系统可以安装在同一台计算机上。业务服务器交换机主控制台OA服务器邮件服务器部门1客户端 . .客户端子控制台客户端 . .客户端子控制台客户端 . .客户端子控制台防火墙Internet部门2部门n虎御服务器本系统采用灵活的系统架构，采用统一密钥，集中管理的部署方式，虎御服务器和控制台可以安装在同一台计算机上，对客户端进行集中授权管理，全程统一密钥，涉密文档在企业内部可以自由共享。一：密钥管理子系统一：密钥管理子系统：初始化 XX 有限公司文档加密的根密钥，创建安全可靠的密钥环境。为保证不同企业客户之间密钥的唯一性，文档加密密钥均由企业客户
12、自行创建，然后保存在主 KEY 内；服务器必须插入主 KEY 后才可运行。二：服务器子系统二：服务器子系统：内网安全产品的核心组成部分，插入主 KEY 后作为后台服务自动运行，无界面，主要完成：1 存储系统组织结构信息、控制台用户信息和系统工作配置参数；2 存储各客户端代理用户信息、加密密钥；3 存储策略，并接收控制台的指令向客户端代理下发策略；4 存储客户端代理上传的日志信息和备份数据文件，备份数据文件采用对应的客户端用户密钥加密后存储；5 接收来自控制台和客户端的身份认证6 接收控制台用户数据请求指令，传送数据文件到控制台，由控制台进行解密查看分析三：控制台三：控制台控制台是实现系统管理、
13、参数配置、策略管理和系统审计的人机交互界面软件系统，采用单级控制台，实现统一密钥、集中管理。主要功能包括：1 设置控制台的工作参数；2 管理密钥，初始化、备份和恢复密钥；3 客户端代理的添加和卸载； 4 客户端代理策略的配置和下发；5 实时监控客户端状态； 6 监测日志的查看、分析和审计，生成报表；7 文件、文件夹的批量加解密操作。四：客户端四：客户端客户端是策略的最小执行单元。1 接收服务器下发的策略，并按照该策略控制客户端代理的工作模式；2 文档加密，对特定进程产生的文档进行动态加密3 涉密文件防护，防止涉密文档通过打印、截屏、内容复制等手段造成内容外泄4 移动存储设备安全管理，从粗细两种
14、粒度控制终端存储安全5 运行监测：实时记录和上传终端的运行情况、文件的删除、重命名，进程、服务、驱动、用户和组的变化情况；如果客户端当时脱机，则保持在客户端本地，待联机后再次上传。3.2 系统功能架构设计系统功能架构设计本系统由认证授权、数据安全保密、硬件安全防护、文件外发、IT 资产管理、自我保护、终端监控与审计七大功能组成，覆盖了内网信息安全的各个方面，从源头上解决了企事业内部的信息安全问题。3.2.1 基于进程的文档加密驱动基于进程的文档加密驱动 驱动加密技术基于 windows 的文件系统（过滤）驱动（IFS）技术，工作在 windows 的内核层。我们在安装计算机硬件时，经常要安装其
15、驱动，如打印机、U 盘的驱动。文件系统驱动就是把文件作为一种设备来处理的一种虚拟驱动。当应用程序对某种后缀文件进行操作时，文件驱动会监控到程序的操作，并改变其操作方式，从而达到透明加密的效果。 驱动加密技术与应用程序无关，他工作于 windows API 函数的下层。当 API 函数对指定类型文件进行读操作时，系统自动将文件解密；当进入写操作时，自动将明文进行加密。由于工作在受 windows 保护的内核层，运行速度更快，加解密操作更稳定。所有的文件系统操作都是向操作系统 I/O 管理器提出的，再由操作系统I/O 管理器将操作定位到具体的某个文件系统来完成。文件的操作者和平常一样，对文件进行正
16、常操作，他们不会感觉到 Windows I/O 及底层发生的一切变化。文件经过 Windows I/O、透明加密技术平台和 Windows 文件系统的处理，最后存放在磁盘上的文件是经过加密的。同时，加密策略（算法、密钥和加密文件的指定）内置在透明加密技术平台中，由系统管理员集中管理，文件操作者无权获取或更改。加密算法加密密钥被加密文件Windows I/O管理器加密策略明文方式操作该文件数据透明文件加密技术平台Windows文件系统密文方式操作文件数据实时加密该文件数据密文方式操作文件数据加密策略内置在透明加 密系统中，系统管理员 集中管理，文件操作者 无权读取或更改在磁盘上存储被 加密的文件3.2.2 端口控制驱动端口控制驱动端口控制主要采用 inline hook 的技术，通过在驱动层截获激活设备和创建符号连接的 API 来达到选择性的禁用设备的目的。具体来说，通过inline hook 系统在调用正常 API 之前，跳转到了我们自己的代码中，在这段代码中，我们可以获取设备比较详细的信息,如总线类型,设备类型,设
