目录1DLP系统检查 (2) 2DLP系统监控 (6) 2.1服务监控 (6) 2.2性能监控 (6) 3DLP系统维护 (7) 3.1ENDPOINT服务器的停止、重新启动 (7) 3.2配置事件计数器 (9) 3.3日志文件 (11) 4DLP系统常见问题处理 (13) 4.1DLP客户端常见问题 (13) 4.1.1客户端主要进程有哪些 (13) 4.1.2如何卸载客户端 (13) 4.1.3如何检查DLP客户端是否连接服务器 (13) 4.1.4客户端安装日志收集方法 (13) 4.1.5DLP客户端支持哪些操作系统 (13) 4.1.6为何安装了DLP客户端后，我的C盘（系统盘）剩余空间很 快用完了 (14) 4.1.7DLP客户端为何连接不到Endpoint Server (14) 4.1.8客户端安装出现进度条回滚 (14) 4.1.9客户端安装时，CMD窗口一闪就消失了，并提示Windows Installer存在问题 (14) 4.1.10客户端程序安装结束后发现没有EDPA.EXE服务和进程 (15) 4.1.11EDPA服务器无法启动，提示16398 0X4005错误 (15) 4.2DLP服务器常见问题 (15) 4.2.1搭建管理服务器时，执行命令报错或不成功 (15) 4.2.2使用EM登入到数据库发现表空间占用接近100% (15) 4.2.3升级服务器的过程中出现文件被锁定的错误提示 (15) 4.2.4使用sqlplus连接数据发现数据库用户被锁 (15) 4.2.5管理服务器控制台中发现生成的事件没有关联到域属性信息 (16)
1 DLP系统检查1、DataInsight系统服务器主机检查： 1）步骤：本地运行mstsc，输入IP，输入用户名和密码 检查项1：能否正常登录服务器 2）步骤：开始-----运行-----输入：service.msc 检查项2：检查服务Datainsight相关服务是否开启 DataInsightComm DataInsightConfig DataInsightFpolicy DataInsightWeb 此部分的Datainsight服务可利用现有的监控平台对应用程序运行状态进行监控。 3）步骤：双击桌面程序“Symantec Data Insight Console”------输入用户名和密码检查项3：能否正常登录控制台
数据泄露防护（DLP）解决方案 以数据资产为焦点、数据泄露风险为驱动，依据用户数据特点（源代码、设计图纸、Office文档等）与具体应用场景（数据库、文件服务器、电子邮件、应用系统、PC终端、笔记本终端、智能终端等），在DLP平台上灵活采取数据加密、隔离、内容识别等多种技术手段，为用户提供针对性数据泄露防护整体解决方案，保障数据安全，防止数据泄露。 其中包括： 数据安全网关 数据安全隔离桌面 电子邮件数据安全防护 U盘外设数据安全防护 笔记本涉密数据隔离安全保护系统 笔记本电脑及移动办公安全 文档数据外发控制安全 1、数据安全网关 背景： 如今，企业正越来越多地使用ERP、OA、PLM等多种应用系统提升自身竞争力。与此同时，应用系统中的数据资产正受到前所未有的安全挑战。如何防止核心数据资产泄露，已成为信息安全建设的重点与难点。 概述： 数据安全网关是一款部署于应用系统与终端计算机之间的数据安全防护硬件设备。瞬间部署、无缝集成，全面实现ERP、OA、PLM等应用系统数据资产安全，保障应用系统中数据资产只能被合法用户合规使用，防止其泄露。
具体可实现如下效果： 应用安全准入 采用双向认证机制，保障终端以及服务器的真实性与合规性，防止数据资产泄露。非法终端用户禁止接入应用服务器，同时保障合法终端用户不会链接至仿冒的应用服务器。合法用户可正常接入应用服务器，访问应用系统资源，不受限制； 统一身份认证 数据安全网关可与LDAP协议等用户认证系统无缝集成，对用户进行统一身份认证，并可进一步实现用户组织架构分级管理、角色管理等； 下载加密上传解密 下载时，对经过网关的文件自动透明加密，下载的文档将以密文保存在本地，防止其泄露；上传时对经过网关的文件自动透明解密，保障应用系统对文件的正常操作； 提供黑白名单机制 可依据实际管理需要，对用户使用权限做出具体规则限定，并以此为基础，提供白名单、黑名单等例外处理机制。如：对某些用户下载文档可不执行加密操作； 提供丰富日志审计 详细记录所有通过网关的用户访问应用系统的操作日志。包括：时间、服务器、客户端、传输文件名、传输方式等信息，并支持查询查看、导出、备份等操作； 支持双机热备、负载均衡，并可与虹安DLP客户端协同使用，更大范围保护企业数据资产安全； 2、数据安全隔离桌面 背景： 保护敏感数据的重要性已不言而喻，但如何避免安全保护的“一刀切”模式（要么全保护、要么全不保护）？如何在安全保护的同时不影响外部网络与资源的正常访问？如何在安全保护的同时不损坏宝贵数据？ 概述： 在终端中隔离出安全区用于保护敏感数据，并在保障安全区内敏感数据不被泄露的前提下，创建安全桌面用于安全访问外部网络与资源。在保障敏感数据安全的同时，提升工作效率。 具体可实现效果： 1）只保护安全区内敏感数据安全，其它数据不做处理； 2）通过身份认证后，方可进入安全区； 3）安全区内可直接通过安全桌面访问外部网络与资源； 4）安全区内敏感数据外发必须通过审核，数据不会通过网络、外设等途径外泄； 5）敏感数据不出安全区不受限制，数据进入安全区是否受限，由用户自定义；
按需构建·安全可控亿赛通数据防泄露 DLP 系统系列计算机一体化防护产品白皮书 V1.6 北京亿赛通科技发展有限责任公司 2010 年 8 月 亿赛通科技 ANISEC 产品白皮书 V1.6 版权声明本文的内容是亿赛通数据防泄露 DLP 系统系列 AniSEC 产品白皮书。文中的资料、说明等相关内容归北京亿赛通科技发展有限责任公司所有。本文中的任何部分未经北京亿赛通科技发展有限责任公司（以下简称“亿赛通” ）许可，不得转印、影印或复印。支持信息感谢您关注亿赛通数据泄露防护产品！公司地址：北京市海淀区上地信息路 10 号南天大厦 2 层邮编：100085 亿赛通客服中心：电话：400-898-1617 如果您希望得到更多的关于亿赛通的产品信息、技术支持以及产品的报价等信息，请您查阅我公司网站： https://www.doczj.com/doc/708697810.html, 亿赛通科技北京亿赛通科技发展有限责任公司 亿赛通科技 ANISEC 产品白皮书 V1.6 目录第 1 章亿赛通数据防泄露 DLP 系统简介 ................................................................ 1 第 2 章 AniSEC 产品简 介 ........................................................................................... 2 2.1 产品概述.......................................................................................................... 2 2.2 产品应用需求.................................................................................................. 2 2.3 产品效果图...................................................................................................... 2 第 3 章 AniSEC 产品主要特点 ................................................................................... 3 3.1 全面的数据泄露防护...................................................................................... 3 3.1.1 硬盘全盘加密模块（full-disk encryption，FDE 模块） .................. 3 3.1.2 外设控制模块....................................................................................... 3 .3.1.3 光盘加密模块...................................................................................... 3 3.2 系统高安全性.................................................................................................. 3 3.2.1 全盘加密技术....................................................................................... 3 3.2.2 安全可靠的加密算法........................................................................... 4 3.2.3 足够长的密钥长度............................................................................... 4 3.2.4 先进的身份认证技术........................................................................... 4 3.3 高可维护性...................................................................................................... 4 3.4 分级管
技术白皮书 苏州深信达2013年10月
目录 第一章. 概述 (3) 1.1 常见的机密电子文件泄密途径 (3) 1.2 防泄密的现状 (3) 1.3 深信达SDC机密数据保密系统 (4) 第二章SDC系统介绍 (6) 2.1 SDC系统架构 (6) 2.2 SDC系统功能 (7) 2.2.1客户端涉密文件自动加密 (7) 2.2.2涉密网络内部通畅，隔离外来PC (7) 2.2.3非涉密受限白名单 (8) 2.2.4涉密文件外发 (9) 2.2.5打印内容日志 (10) 2.2.6离线客户端 (10) 2.2.7 客户端涉密文件自动备份 (10) 2.2.8涉密文件加密导出导入 (11) 2.2.9 服务器端数据保护 (11) 第三章SDC系统特点 (13) 3.1沙盒加密是个容器，和软件类型无关，文件类型无关 (13) 3.2能和文件共享服务器，应用服务器无缝结合 (13) 3.3安全稳定，不破坏数据 (13) 3.4使用便利，操作机密数据的同时，可以上网 (14) 3.5超强的反截屏 (14) 第四章推荐运行环境 (15) 4.1 管理端（可以和机密端装在一起） (15) 4.2 机密端（可以和管理端装在一起） (15) 4.3 外发审核服务器（可以和管理端装在一起） (15) 4.4 客户端 (15) 第五章关于深信达 (16) 5.1深信达介绍 (16) 5.2联系我们............................................................................................. 错误!未定义书签。附录一：透明加密技术发展 (17) 附录二：SDC沙盒资质及成功客户.............................................................. 错误!未定义书签。
在当信息化高速发展的今天，国内很多企业业务流程对OA系统,CRM客户关系管理系统,财务软件，PLM/PDM等业务软件依赖度越来越高。通常ERP服务器上存放关系着企业生死存亡的核心数据和各种技术文档，但是企业老总或IT部门对信息安全的投入仅限于采购软硬防火墙，杀毒软件，备份软件等传统外围信息安全工具等，还没有一个切实有效的防泄密手段，一旦发生黑客入侵或内部员工非法泄漏事件，给企业将带来重大损失甚至是灭顶之灾！ 经调查，国内常见的通达OA、用友OA、金蝶OA等网络办公系统在使用过程中，经常发生的泄密事件大致通过以下几种途径： 一、员工在访问OA系统的时候，屏幕内容通过截屏键截图或者截屏软件进行截屏或录屏，导致信息外泄。 二、员工在访问OA系统的时候，系统内的页面，文档，图片可以下载或者另存到本地，然后经过邮件，u盘，网络等各种泄密途径传播。 三、员工在访问OA系统的时候，浏览的内容，表单，图片，文字等通过剪切板复制粘贴方式复制到OA系统外，然后通过文件另存，或者直接贴到IM中发送脱离OA系统。 四、外部黑客通过漏洞攻击，网页木马、暴力破解、非法入侵、数据库注入等方式获取企业核心数据，募取暴利。 虽然有些企业，已经采取了一些信息安全防护措施，但是防泄密效果都非常差： 措施一：断网，内外隔离-----影响工作效率，并且无法防止把数据复制到新接入的电脑上。 措施二：安装监控软件------电脑进入安全模式或者用WinPE重新启动或者重新安装操作系统后，就可以自由访问OA系统并不被监控。新接入的电脑也能访问OA系统不受监控。 OA系统的软件架构大多数是B/S架构，或者C/S架构，通过在企业内部机房部署ERP服务器来保证企业业务的正常运行，因ERP服务器上存放着企业的核心数据，所以企业的经营者希望OA系统在被使用的过程中，能够进行有效的防泄密强制措施；也就是讲，在不影响员工正常的浏览阅读，编辑修改，上传下载等正常业务流程的前提下，需要禁止员工数据另存，内容复制粘贴，U盘拷贝，邮件发送，甚至是屏幕截图，录屏等非法操作。但是现实中员工使用OA系统的方式各种各样，时间、地点、网络环境都不同，归纳来讲，员工一般通过http/https网页浏览，编辑，上传下载，远程登录等方式使用OA系统；所以企业需要一种有效的强制防泄密工具，在不影响员工工作效率的同时，进行必要的数据防泄密措施，杜绝泄密事件的发生！ 有没有一个不影响工作效率，不影响OA系统正常使用，并且可以彻底杜绝数据扩散的系统呢？ 国内著名的防泄密解决方案厂商--北京合力天下公司推出的合力天下防泄密系统解决方案，可以彻底解决上述问题。 合力天下防泄密系统，在权限控制，操作审计，文档加密，数据库加密，文档外发管理上具有独家核心技术；HL-DATAAS安全稳定，不占用系统资源，适用各种企业网络环境，可保护各种OA系统运行，杜绝企业泄密事件的发生！
信息安全数据泄露防护DLP解决方案Copyright HESUN COMPUTER INFORMATION SYSTEMS
目录 信息安全数据泄露防护DLP解决方案 (1) 一、概述 (3) 1.背景 (3) 2.数据泄露防护技术DLP (3) 二、解决方案 (4) 1.目标 (4) 2.分析信息外泄的途径 (4) 3.DLP防护指导思想 (5) 4.信息安全的特点和保护策略 (6) 三、产品功能介绍 (7) 1.Windows数据防丢失子系统功能列表 (7) 2.Linux数据防丢失子系统功能列表 (10) 3.安全网关子系统功能列表 (11) 四、产品规格 (12) 1.Windows系统支持规格 (12) 2.Linux系统支持规格 (13) 3.Windows 加密与Linux加密兼容 (13) 五、产品技术 (13) 1. Windows文件加密系统优势 (13) 六、项目实施 (15) 1.确认可信域 (15) 2.信息安全评估 (15) 3.选择部署策略 (15) 4.软件实施过程 (16)
一、概述 1.背景 有一农户在杀鸡前的晚上喂鸡，不经意地说：快吃吧，这是你最后一顿！第二日，见鸡已躺倒并留遗书：爷已吃老鼠药，你们别想吃爷了，爷他妈也不是好惹的。 当对手知道了你的决定之后，就能做出对自己最有利的决定。——纳什均衡理论 所以加强信息内容安全的管理很重要。 当今信息技术高度发达，人们早已习惯了用电子化平台获取信息，企业的数据、信息以电子档案形式处理，传输，存储已成主流。但是信息化就像一把双刃剑，给企业运营带来极大便利的同时，也相应地存在安全隐患。威胁企业信息安全的方式多种多样，计算机犯罪、网络“黑客”行为、内部泄密、信息丢失、人为错误，甚至自然灾害、意外事故等都能造成信息侵害。要保障企业信息安全，一方面是要加强内部管理，提高人员道德修养和技术水平，防止内部泄密或者因技术水准不高而引发的失误性损害；另一方面是加强信息技术软硬件建设，做好信息安全防护工作。 实际上，随着信息化发展，企业的信息安全管理开始重视，可是相关调查显示，多数企业并未设立专业的信息管理团队，因此信息安全形势不容乐观。一旦信息被破坏或泄露，要挽回损失，将面临取证困难和法律规范将是两大难点。因此，企业建立完备的信息安全体系势在必行。 2.数据泄露防护技术DLP 信息安全威胁主要来源于外部的黑客攻击和内部员工的信息泄露。通过防火墙、防毒软件等手段可以阻挡外部的入侵，但是事实上90%以上的信息泄密事件源于企业内部，针对企业内部数据泄露防护技术DLP应运而生。DLP主要是提供文档加密、身份认证、行为管理、监控审计等功能对信息安全进行防护。防火墙是由外而内的信息安全防护，DLP的是由内而外的信息安全防护，两者相辅相成，一起构筑了企业的信息安全环境。
数据防泄密方案 一、数据泄密的原因 1、黑客、间谍、竞争对手窃密； 2、内部人员离职拷贝带走资料泄密； 3、内部人员无意泄密和恶意泄密； 4、内部文档权限失控失密； 5、存储设备丢失和维修失密； 二、数据泄密的途径 1、USB口、光驱等外设； 2、打印文件、虚拟打印文件转换； 3、邮件发送； 4、QQ、MSN即时通讯； 5、截屏、复制粘贴、拖拽； 根据上述数据泄密原因和途径的分析，以及结合我公司现阶段实际情况，现草拟如下两套防泄密方案： 三、防泄密方案一 薪酬福利、财务等核心部门各配置一台专用电脑，专人使用，并作如下限制和要求： 1、电脑禁用网络、蓝牙、WIFI； 2、电脑禁止打印； 3、电脑禁用光驱；
4、电脑限制使用USB口，使用时需输入密码； 5、对存储数据分区进行加密，打开分区需输入密码； 6、对重要文件进行加密，打开文件需输入密码； 7、使用USB设备考取数据后，使用完即刻删除； 该方案是针对电脑中数据的入、出进行控制。优点是不需要增加任何费用和设备，配置操作短时间内可以完成。弊端是基本依靠人工操作，数据流出后不可控性较大，仍存在数据泄密可能性。 四、防泄密方案二 对关键部门、岗位电脑安装防泄密软件，根据配置策略对电脑中数据进行加密，软件可实现如下功能： 1、对电脑中全部数据根据配置策略自动加密
2、对电脑中重要的数据进行手动选取加密 3、外发加密数据可根据策略配置审批人员、阅览次数、使用 时限等使用权限 4、加密数据可根据策略配置打印机、USB口设备、刻录光驱、 虚拟打印、复制粘贴、截屏、拖拽等使用权限 5、对电脑中数据操作进行人员、时间、行为信息的日志记录该方案是对数据本身进行底层加密，并对数据外泄的各种途径进权限设置，数据正常流出后仍可具有很强的可控性，结合多种策略的配置使用，可基本满足数据防泄密的要求。弊端是软件需根据业务使用要求进行一段时间的安装、配置、调试，且根据软件用户端的数量需5-10W费用。
图片简介: 本技术介绍了一种数据库安全防护用数据防泄漏系统，属于大数据管理技术领域，包括用户层、服务层、应用层和数据层；所述用户层通过提供web浏览器作为交互界面，使用户和所述服务层之间进行数据交互；所述服务层包括数据智能分类模块和入侵防护模块，通过所述智能分类模块将所述用户层上传的数据进行分类，通过所述入侵防护模块对交互的场景进行保护；所述应用层为该数据防泄漏系统核心功能层，包括数据保护模块、文档安全模块和事件溯源模块；所述数据层用于为该数据防泄漏系统提供硬件支持。通过服务层对数据库和用户的交互进行安全防护，应用层对文件进行安全防护，从而对数据上传、交互和自身安全进行全面保护，使数据使用更加安全。 技术要求 1.一种数据库安全防护用数据防泄漏系统，其特征在于：包括用户层、服务层、应用层和数据层； 所述用户层通过提供web浏览器作为交互界面，使用户和所述服务层之间进行数据交互； 所述服务层包括数据智能分类模块和入侵防护模块，通过所述智能分类模块将所述用户层上传的数据进行分类，通过所述入侵防护模块对交互的场景进行保护； 所述应用层为该数据防泄漏系统核心功能层，包括数据保护模块、文档安全模块和事件溯源模块； 所述数据层用于为该数据防泄漏系统提供硬件支持。
2.根据权利要求1所述的一种数据库安全防护用数据防泄漏系统，其特征在于：所述数据智能分类模块包括文件内容识别分类、文件压缩识别分类、文件嵌套识别分类、关键词匹配识别分类、文件智能打标分类和OCR图像识别分类。 3.根据权利要求2所述的一种数据库安全防护用数据防泄漏系统，其特征在于：所述入侵防护模块包括防火墙管理、邮件安全管理和磁盘定期杀毒。 4.根据权利要求1所述的一种数据库安全防护用数据防泄漏系统，其特征在于：所述数据保护模块包括网络DLP、终端DLP和邮件DLP，通过网络DLP对通过网络交互的流量数据进行内容扫描和安全防护，通过终端DLP对终端使用监控，通过邮件DPL对邮件交互的数据进行内容扫描和安全防护。 5.根据权利要求1所述的一种数据库安全防护用数据防泄漏系统，其特征在于：所述文档安全模块包括智能加密、权限管理和外发控制，通过智能加密对包含敏感数据的文件进行加密，通过权限管理对访问该文件的用户进行管理，通过外发控制对文件转发进行管控。 6.根据权利要求1所述的一种数据库安全防护用数据防泄漏系统，其特征在于：所述事件溯源模块包括文件溯源、事件日志和事件取证，通过文件溯源对文件的流动进行追溯，通过事件日志记录每次访问文件的操作日志，通过事件取证对发生泄露的事件进行记录。 7.根据权利要求1所述的一种数据库安全防护用数据防泄漏系统，其特征在于：所述数据层包括文件服务器、数据存储服务器和web服务器。 技术说明书 一种数据库安全防护用数据防泄漏系统 技术领域 本技术涉及大数据管理技术领域，特别涉及一种数据库安全防护用数据防泄漏系统。 背景技术 当前，全球大数据产业正值活跃发展期，技术演进和应用创新并行加速推进，非关系型数据库、分布式并行计算以及机器学习、深度挖掘等新型数据存储、计算和分析关键技术应运而生并快速演进，大数据挖掘分析在电信、互联网、金融、交通、医疗等行业创造商业价值和应用价值的同时，开始向传统第一、第二产业传导渗透，大数据逐步成为国家基础战略资源和社会基础生产要素。
公司数据防泄密方案 Standardization of sany group #QS8QHH-HHGX8Q8-GNHHJ8-HHMHGN#
数据防泄密方案 一、数据泄密的原因 1、黑客、间谍、竞争对手窃密； 2、内部人员离职拷贝带走资料泄密； 3、内部人员无意泄密和恶意泄密； 4、内部文档权限失控失密； 5、存储设备丢失和维修失密； 二、数据泄密的途径 1、USB口、光驱等外设； 2、打印文件、虚拟打印文件转换； 3、邮件发送； 4、QQ、MSN即时通讯； 5、截屏、复制粘贴、拖拽； 根据上述数据泄密原因和途径的分析，以及结合我公司现阶段实际情况，现草拟如下两套防泄密方案： 三、防泄密方案一 薪酬福利、财务等核心部门各配置一台专用电脑，专人使用，并作如下限制和要求： 1、电脑禁用网络、蓝牙、WIFI； 2、电脑禁止打印； 3、电脑禁用光驱； 4、电脑限制使用USB口，使用时需输入密码；
5、对存储数据分区进行加密，打开分区需输入密码； 6、对重要文件进行加密，打开文件需输入密码； 7、使用USB设备考取数据后，使用完即刻删除； 该方案是针对电脑中数据的入、出进行控制。优点是不需要增加任何费用和设备，配置操作短时间内可以完成。弊端是基本依靠人工操 作，数据流出后不可控性较大，仍存在数据泄密可能性。 四、防泄密方案二 对关键部门、岗位电脑安装防泄密软件，根据配置策略对电脑中数据进行加密，软件可实现如下功能： 1、对电脑中全部数据根据配置策略自动加密 2、对电脑中重要的数据进行手动选取加密 3、外发加密数据可根据策略配置审批人员、阅览次数、使用时限 等使用权限 4、加密数据可根据策略配置打印机、USB口设备、刻录光驱、虚 拟打印、复制粘贴、截屏、拖拽等使用权限 5、对电脑中数据操作进行人员、时间、行为信息的日志记录 该方案是对数据本身进行底层加密，并对数据外泄的各种途径进权限设置，数据正常流出后仍可具有很强的可控性，结合多种策略的配置使用，可基本满足数据防泄密的要求。弊端是软件需根据业务使用要求进行一段时间的安装、配置、调试，且根据软件用户端的数量需 5-10W费用。 五、对公司数据安全的规划建议
Forcepoint数据泄漏防泄漏（DLP）解决方案 1.1 背景 随着知识经济的深入发展，信息资源的保护对各行各业显得越来越重要。对单位或企业而言，重要客户信息、核心技术、市场计划等机密信息，一旦泄露给竞争对手，会给单位或企业带来严重后果，造成不可估量的损失。 在政府机关、金融、证券、电信、医疗、教育等行业，以及石油化工、汽车制造等机械制造行业，通常用于企业科研或者内部事务处理的网络与互联网需要物理上隔离，如何防止内部人员私自将电脑接入互联网，或者防止非法主机擅自接入局域网，这都不是单单一块隔离卡或者网络隔离器可以解决的问题。越来越多的政府机构、企事业单位等认识到系统化安全保障的必要性，在安全措施上也采用了多种产品进行保护。这些常用的安全产品包括：防火墙、入侵检测系统、漏洞扫描系统、防病毒系统、安全网关、审计系统等等，它们从不同的角度，维护着用户的网络系统及数据安全。比如防火墙产品能有效阻止外部对单位或企业内部的攻击，入侵检测作为防火墙产品的补充，也能在一定程度上检测内部攻击。这些产品除了成本高，易用性差以外，都是基于内部是安全的这一前提，不能有效解决内部员工泄密的问题。从互联网上我们不难找到泄密事故的案例： IDC2008年研究报告指出，无意中造成的信息泄露已经从企业最大的威胁排名中的第四位上升到了第一位。
欧盟和38个美国州（截止到2008年3月）开始要求公开披露数据破坏，该法案即将出台。 每一条被泄露信息的平均成本高达305美金 因此，我们不难看出，防信息泄露已经是众多机构和企业急需解决的问题。 防信息泄露（Data Leakage Protection，DLP）是安全市场上炒得最热却了解最少的工具之一。它拥有至少六种不同名称以及更多的技术方案，从而使得想要了解这些工具的最终价值以及哪种产品最适用于哪类环境并不容易。本建议书将提
银行业数据防泄密平台 方案建议书
目录 1 项目背景概述 (4) 1.1 项目背景 (4) 1.2 企业泄密风险 (4) 1.3 数据防泄密项目背景 (5) 1.4 数据防泄密项目网络现状和信息安全需求分析 (5) 2 山丽防水墙产品介绍 (6) 3 山丽防水墙数据防泄漏系统解决方案 (7) 3.1 产品功能对透明加密管理的满足 (7) 3.2 产品功能对加密模式本地策略管理的满足 (8) 3.3 产品功能对多种加密模式管理的满足 (9) 3.4 产品功能对一文一密钥安全性管理的满足 (11) 3.5 产品功能对加密系统剪贴板管理的满足 (12) 3.6 产品功能对加密系统多种登录方式管理的满足 (12) 3.7 产品功能对出差笔记本防泄漏（加密客户端离网使用）管理的满足 (13) 3.9 产品功能对文件解密申请管理的满足 (14) 3.10 产品功能对密文明送文件外发控制管理的满足 (17) 3.12 产品功能对文件权限管理的满足 (18) 3.12.1基于用户为脚色的文档权限控制 (19) 3.12.2基于文档为角色的自定义文档权限控制 (20) 3.12.3文档权限控制的精细化管理 (21) 3.15 产品功能对基于B/S应用服务器和防水墙系统融合方案的满足 (23) 3.16 产品功能对PDM、FTP服务器和防水墙系统融合方案的满足 (23) 3.16.1产品功能和应用服务器融合的原理 (24) 3.16.2产品功能和应用服务器融合的方案 (25) 3.17 产品功能对文件交互管理的满足 (27) 3.17.1分支机构和总部的交流 (27) 3.17.2产品功能对分支机构和供应商管理的满足 (28) 3.18 产品功能对计算机外设管理的满足 (29) 3.18.1 终端外设管理范围 (29) 3.18.2外设管理在线、离线策略 (30) 3.18.3注册移动存储设备管理策略 (30) 3.18.4认证移动存储设备管理策略 (31) 3.19 产品功能对服务器灾难恢复功能的满足 (33) 3.20产品功能对审计功能的满足 (34) 3.20.1对加密文件的各种操作行为进行审计 (34) 3.20.2对加密系统各种操作行为的自动预警式审计 (35) 3.21 产品功能对系统管理功能的满足 (38) 3.21.1防水墙加密系统三员分立管理模式 (38) 3.21.2防水墙加密系统系统管理员管理模式 (39) 3.22 产品功能对安全性要求的满足 (41) 3.23 产品功能对客户端自我防护的满足 (42) 3.24 产品功能对加密客户端授权管理的满足 (42) 3.25 产品功能对客户端自动升级的满足 (42) 4 产品部署方法和部署效果 (43) 4.1 部署方法 (43) 4.2 部署效果 (43) 4.2.1 法规的遵从 (43)
保密技术防护专用系统 计算机在使用过程中的安全、合规性检查是保密检查的工作重点，也是涉密单位和重要企业的日常保密安全检查工作要点。对越权保存、制作涉密文件，涉密与非涉密存储介质交叉使用，未经授权的网络联接、文件上传、下载等违规行为进行检查；对未经批准的计算机硬件环境的变动、软件环境的更改等行为实施有效的检查；对计算机运行环境的安全可靠性进行评估，发现并有效地阻止泄密事件的发生，拥有准确、高效的智能化检查工具是开展保密检查工作的重要辅助手段。 北京联华中安信息技术有限公司长期致力于信息安全领域的产品研究与开发，紧贴国家政策和新的保密检查技术标准，在多年积累的安全检查技术与应用的基础上，研制了保密技术防护专用系统。 产品简介: 保密技术防护专用系统（简称“三合一”）为中央指定涉密机关单位必须安装的产品，本产品针对当前突出的安全保密问题进行功能定位，在符合国家保密标准的涉密环境中使用，重点解决违规性操作导致过失泄露秘密问题。经过多次产品检测、用户试用和技术改进，“三合一”产品采用并集成了国内先进技术，可以有效解决涉密计算机违规互联网和移动存储介质交叉使用问题，功能符合当前的安全保密需求。 功能特性： 用户端功能 1、违规外联报警 2、违规外联阻断 3、专用U盘读写 4、通用U盘控制 5、外部信息导入
1、专用U盘注册 2、涉密终端注册 3、违规外联审计 4、U盘接入审计 单向导入装置功能 1、利用光单向传输特点，提供从普通U盘到涉密机单向无反馈的硬件传输通道。 2、外端提供普通移动存储介质通用接口 3、内端提供涉密移动存储介质专用接口 4、提供数据自动导入、导入数据校验功能 5、传输速率不低于500 kb/s,文件传输成功率不低于99.99％ 产品安全性 1、用户端软件需在管理终端注册并经过授 2、用户软件具有自我保护功能。即使在安全模式下，普通用户无法中断该软件的进程，也无法删除、卸载该软件 3、保证本地审计信息（如违规外联记录、移动存储介质及访问记录等）安全。用户无法访问、修改或删除 4、管理终端设置系统管理员和审计管理员，二者权限分离，不可互兼
1、投标资质和服务要求 投标方需提供加盖原厂公章的售后服务承诺书，确保提供3年原厂服务。原厂及代理商服务内容至少包括： a、系统软件版本升级服务； b、产品故障保修服务，包括对bug和安全漏洞的修复； c、7*24小时原厂专线电话技术支持服务； d、系统部署、调整所涉及到的现场技术支持服务； e、系统上线和升级后的使用培训服务。 2、技术指标和付款方式要求 付款要求：合同签署后支付90%款项，在部署实施完成后执行后续10%尾款。 技术指标要求： 1、系统包括数据防泄漏模块、硬盘加密模块、文件及文件夹加密模块 2、基于内容识别的模式进行数据防泄漏，可以通过不同的方式对敏感信息 进行内容识别，例如内容关键字匹配、正则表达式匹配、文件指纹匹配、文件标记等，以及可以通过“与”和“或”的关系进行混合匹配，保证可以有效识别出CNNIC上述各类敏感信息。 3、客户端产品适用于各个Windows操作系统版本，可以支持不同文件格式的敏感信息，包括office文档格式、pdf格式、图片格式、源代码文件格式、压缩文件格式等，以及自定义应用软件生成的其他文件格式。 4、对敏感信息的各种外传途径都可以进行识别，包括外设、打印、邮件发
送、WEB上传、网络共享、IM传输等等，此外，还可以自定义应用程序以识别非默认应用软件。 5、对外传行为，可以根据需要采取不同应对策略，包括对可疑的行为实施 监控、阻断、通知用户等不同的处置措施，并对事件信息进行详细记录。 6、可以对用户进行分组，对不同用户执行不同的策略，并赋予不同的权限。 7、安装在用户PC上的客户端不会影响用户正常操作，可设定客户端对PC 资源的占用，以降低对终端和网络的影响。8、安装在用户PC上的客户端具有防破坏、删除功能，不会被不正当的停用、卸载。 9、在用户PC离线时数据防泄漏策略可以仍然可以正常生效。 10、具备完毕的事件记录日志，包括时间、对象、操作、结果等信息以备事后追查，并具备良好的报表功能可以对事件记录进行处置形成报告。 11、产品只会根据统一配置的策略关注敏感信息的处理，不会窥探PC中其他信息，也不会记录用户其他的操作，保证员工的隐私不会被泄露。 12、磁盘加密模块可以对硬盘分区进行加密，避免设备、硬盘丢失时出现的信息外泄；文件夹和文件加密可以实现文件和文件夹的加密保存，授权用户可以直接访问，而非授权用户无法打开。 13、产品具备可扩展性，后续如果需要，还可以配置网络型产品与其进行配合，加强数据防泄漏效果。
密级：商业秘密 文档编号： XX集团数据防泄密解决方案 技术建议书 专供 XX集团 2013年11月2013年11月4日 尊敬的XX集团用户，您好！ 赛门铁克是提供安全、存储和系统管理解决方案领域的全球领先者，可帮助XX集团保护和管理信息。我们的首要任务之一是认识数字世界的变化趋势并快速找到解决方案，从而帮助我们的客户提前预防新出现的威胁。另外，我们会提供软件和服务来抵御安全、可用性、遵从性和性能方面的风险，从而帮助客户保护他们的基础架构、信息和交互。 赛门铁克致力于： ?与您携手合作，共同打造一个全面且可持续的解决方案，从而满足您的全部需求。 ?确保项目取得成功并最大程度地降低风险。 ?在部署后向 XX集团提供支持与建议，从而确保平稳运营和持续防护。 ? 如果您在阅读完本产品技术方案后仍有疑问，请与我联系。如果您在决策过程中需要赛门铁克的任何其他支持，也请尽管告诉我。 我期待着与您合作，并为这个重要项目的成功而尽力。
保密声明与用途 本产品技术方案包含“保密信息”（如下定义）。本产品技术方案旨在提供赛门铁克提交本文之时提供的产品和（或）服务的相关。本产品技术方案专向XX集团（以下简称“您”或“您的”）提供，因为赛门铁克认为“您”与赛门铁克公司（以下简称“赛门铁克”）达成交易。赛门铁克努力确保本产品技术方案中包含的信息正确无误，对于此类信息中的任何错误或疏漏，赛门铁克不承担责任，并在此就任何准确性或其他方面的暗示保证提出免责。“您”接受本文档并不代表“您”与赛门铁克之间达成约束性协议，仅表明“您”有义务保护此处标识的任何“保密信息”。赛门铁克有权就任意及所有客户协议的条款与条件进行协商。 “您”与赛门铁克之间有书面保密协议，但“您”阅读赛门铁克建议书即表明，在因本产品技术方案而交换和接收的赛门铁克保密信息和专有信息的范围内，包括但不限于报价、方法、知识、数据、工作文件、技术和其他商业信息，无论书面还是口头形式（以下简称“保密信息”）， “您”同意依照“您”在申请函中所述用途仅在内部阅读本“保密信息”。“您”同意不泄露、销售、许可、分发或以任何其他方式向他人提供“保密信息”，除非因需知晓该信息而必须提供，但必须遵守此类“保密信息”使用的管理条款与条件，而且该条款与条件的限制性必须至少相当于“您”用于保护自有同类信息所用的条款与条件，且在任何情况下绝不低于合理的商业保护。 本产品技术方案及已提供的任何其他赛门铁克相关信息仍归赛门铁克独自所有，未经赛门铁克事先书面许可，不得拷贝、复制或分发。赛门铁克提供本产品技术方案，但并不负责为“您”提供任何产品或任何服务。本产品技术方案阐述赛门铁克就本文所述主题而言的一般意图， 除非“您”已经获得赛门铁克的事先书面许可，否则赛门铁克谨请“您”不要联系本产品技术方案中可能提及的任何赛门铁克客户。 一经请求即可提供此处所述产品使用和（或）服务交付所适用的赛门铁克条款与条件的副本以供查阅和审议。条款与条件可在签订合同时进行协商。 Contents 1 概述.......................................................................................................................................................... 1.1项目背景 ........................................................................................................................................... 1.2 XX集团信息安全项目目标............................................................................................................. 1.3 术语解释........................................................................................................................................... 2XX集团信息安全项目需求及实现......................................................................................................... 2.1 XX集团信息安全涉密信息分级控管需求与实现......................................................................... 2.1.1分阶段推进方法 ........................................................................................................................ 2.1.2 管理要求建议 ............................................................................................................................ 2.1.3 人员岗位建议 ............................................................................................................................ 2.1.3 管理流程建议 ...........................................................................................................................
数据防泄漏解决方案 - - - Array & VMware 整体解决方案 一、前言 您是否遇到过这样的问题？ 1、您公司的某个员工在出差时，不慎把笔记本电脑丢失。电脑并不值多少钱，但电脑中的数据万一被竞争对手获得，后果将不堪设想。 2、某个对公司不满的员工将电脑中的数据复制并故意泄漏。 3、员工的电脑中了恶意木马，在不知情的情况下，电脑中的机密信息不幸被泄露。 此时您该怎么办? 难道您要放弃网络给大家带来的便利，要把公司的电脑全部都锁到保险柜中，让员工只能在办公室摄像头的监控下工作吗？ 只要您拥有Array & VMware数据防泄漏解决方案，企业机密信息仅在VMware的虚拟机中运行，并且只能通过Array的SSL VPN加密隧道的方式传输到公司数据中心，这样您就能轻松保护企业的数据安全了。 Array & VMware 数据防泄漏解决方案让一切变得都这么简单！ 二、企业数据风险分析 当今企业在迅猛发展的同时，企业的机密数据存在如下风险： 风险1，用户故意将电脑中的数据拷贝泄漏。 风险2，用户上网时，恶意木马窃取了电脑中的机密信息。 风险3，用户电脑丢失而导致的数据泄漏。 风险4，。。。。 如何解决移动办公和数据安全之间的矛盾？如何保证企业机密数据在个人PC中的安全？很多企业采用了严格的内、外网隔离的管理方式，试图用管理方式来解决现实中面临的数据泄漏方面的风险。 内外网隔离的管理方式，虽然可以解决数据防泄漏的问题，但是，它一方面要求客户建
设两套完全不同的网络，增加了客户的投资。另一方面又无法解决用户同时使用两套网络的灵活性。 是否能通过技术手段来解决机密数据隔离的问题？是否可以构建一个安全虚拟网络来代替物理的内外网分离方式，让机密的数据只能在安全虚拟的网络环境中运行？ 请看Array & VMware 数据防泄漏整体解决方案！ 三、Array & VMware 数据防泄漏解决方案 Physical PC ACE Management Server Physical PC VMware ACE Remote User 如上图所示，物理机用于处理日常非机密类的流量，而物理机上的虚拟机则用于处理机密的业务类数据流。 虚拟机与物理机的通信隔离，保证虚拟机中数据在本地不被窃取。且虚拟机是加密方式存储的，即使电脑丢失，也可保证虚拟机中的数据不被破解泄漏。 在虚拟机上，启动L3 功能与企业数据中心的Array SSL VPN 建立一条full tunnel，并且虚拟机上的安全策略，只允许与SPX 通信，保证虚拟机联网时的数据不被恶意木马窃取。 通过以上技术手段，我们可以利用VMware 虚拟机，实现数据在同一物理介质上的安全隔离，利用Array SSL VPN 的full tunnel，构建一个安全的虚拟专用网络。保证数据在传输时的安全。从而通过技术手段实现了非业务流量与业务流量的隔离。