一、公司文檔安全防護(hù)的背景

在信息安全領(lǐng)域，文檔防護(hù)一直是研究的重點(diǎn)，特別是文檔透明加密技術(shù)，它意旨在不改變用戶(hù)操作習(xí)慣的前提下自動(dòng)完成對(duì)文檔的加解密。實(shí)現(xiàn)穩(wěn)定、高效、安全的文檔防護(hù)系統(tǒng)是一個(gè)困難的問(wèn)題，但它在網(wǎng)絡(luò)安全、信息保護(hù)領(lǐng)域有著廣泛應(yīng)用。該項(xiàng)技術(shù)難點(diǎn)不僅僅是透明防護(hù)，更重要的是防止文檔泄密。

目前國(guó)內(nèi)外針對(duì)文檔透明防護(hù)的方法主要有兩種，一種是基于API攔截的HOOK技術(shù)，另一種是基于IRP攔截的驅(qū)動(dòng)技術(shù)。HOOK技術(shù)由于在應(yīng)用層實(shí)現(xiàn)，導(dǎo)致效率低下，并且以文件重入的方式容易使明文文件復(fù)制帶出；驅(qū)動(dòng)技術(shù)也可分為清緩存和雙緩沖技術(shù)，清緩存技術(shù)在效率上低于雙緩沖技術(shù)，目前雙緩沖技術(shù)只存在于理論研究當(dāng)中，穩(wěn)定性和實(shí)用性難以保證，例如基于分層文件系統(tǒng)（Layer FSD）的雙緩沖技術(shù)存在文件清理和緩存同步難的問(wèn)題，相比之下清緩存技術(shù)更加穩(wěn)定可靠，國(guó)內(nèi)很多商業(yè)應(yīng)用也是采用該方案。

但是僅僅對(duì)文件的透明防護(hù)是不夠的，這樣會(huì)使得透明防護(hù)失去意義且會(huì)影響系統(tǒng)效率，安全、穩(wěn)定的防泄密系統(tǒng)應(yīng)該綜合考慮在驅(qū)動(dòng)層和應(yīng)用層可能產(chǎn)生的泄密情況并堵住泄密出口，將文件安全性放在首位，盡可能的防止重要數(shù)據(jù)泄漏，無(wú)論是對(duì)企業(yè)還是個(gè)人而言，機(jī)密信息泄漏造成的后果都是非常嚴(yán)重的。

國(guó)內(nèi)外目前的研究成果主要針對(duì)Windows文件系統(tǒng)實(shí)現(xiàn)，即使是一些號(hào)稱(chēng)采用雙緩沖技術(shù)實(shí)現(xiàn)的價(jià)格也比較昂貴，只能算是理論研究系統(tǒng)，穩(wěn)定性和實(shí)用性難以保證?；贚inux環(huán)境實(shí)現(xiàn)透明加密的方案，該方案需要較多的修改Linux文件系統(tǒng)內(nèi)核源代碼并重新編譯，而且不適合主流操作系統(tǒng)。

大多采用Windows文件過(guò)濾驅(qū)動(dòng)方式實(shí)現(xiàn)的方案都降低了文檔保護(hù)力度，更側(cè)重于透明防護(hù)并且未能更準(zhǔn)確實(shí)際的考慮泄密問(wèn)題，比如透明防護(hù)時(shí)修改進(jìn)程名、明文文件不加密、后綴另存為或是數(shù)據(jù)復(fù)制的情況。一些方案或多或少堵住了其中一些途徑，但很難做到全面并且萬(wàn)無(wú)一失。目前為止還沒(méi)有一種高效經(jīng)濟(jì)、安全穩(wěn)定、適于目前主流操作系統(tǒng)的文檔透明防泄密研究方案。

 二、大勢(shì)至企業(yè)文檔防泄密解決方案

雖然國(guó)內(nèi)目前主流的電腦文件防泄密系統(tǒng)紛紛采用基于IRP攔截的驅(qū)動(dòng)級(jí)防護(hù)技術(shù)，但是基于API攔截的HOOK技術(shù)依然也不可或缺，尤其是針對(duì)用戶(hù)不可預(yù)知的電腦文件操作行為，這種情況下基于窗口攔截、進(jìn)程攔截和文檔描述攔截的HOOK技術(shù)就可以發(fā)揮重要作用。

大勢(shì)至企業(yè)文檔防泄密系統(tǒng)（下載地址：http://www.grabsun.com/monitorusb.html）基于IRP攔截的驅(qū)動(dòng)技術(shù)和API攔截的HOOK技術(shù)相結(jié)合，在核心功能基于驅(qū)動(dòng)防護(hù)的基礎(chǔ)上，配合API攔截的HOOK技術(shù)，可以為用戶(hù)進(jìn)行個(gè)性化的電腦文件防泄密功能進(jìn)行靈活擴(kuò)展，從而實(shí)現(xiàn)了更為全面的電腦文件防泄密管理。

圖：大勢(shì)至公司數(shù)據(jù)防泄密軟件

大勢(shì)至電腦文件防泄密系統(tǒng)具體功能如下：

1、  全面禁止U盤(pán)、禁用USB存儲(chǔ)設(shè)備的使用；
2、  只讓從U盤(pán)向電腦拷貝文件而禁止從電腦向U盤(pán)拷貝文件；
3、  只讓使用指定的U盤(pán)，只讓使用特定的USB存儲(chǔ)設(shè)備；
4、  禁止網(wǎng)盤(pán)、郵件、FTP文件上傳、禁止QQ發(fā)送文件、禁止微信發(fā)送文件、禁止skype文件上傳等；
5、  禁止電腦隨意安裝軟件、禁止隨意運(yùn)行軟件；
6、  只讓電腦訪問(wèn)特定網(wǎng)址，禁止電腦訪問(wèn)某些網(wǎng)站等；
7、  禁止開(kāi)機(jī)按F8進(jìn)入安全模式、禁止U盤(pán)啟動(dòng)電腦、禁止光驅(qū)啟動(dòng)電腦等；
8、  禁止修改注冊(cè)表、禁止修改組策略、禁止打開(kāi)設(shè)備管理器、禁止打開(kāi)計(jì)算機(jī)管理等；

同時(shí)，大勢(shì)至電腦文件防泄密系統(tǒng)還可以禁用無(wú)線網(wǎng)卡、禁用隨身wifi、禁止電腦共享文件、禁止網(wǎng)線直連拷貝電腦文件的行為等，可以嚴(yán)防通過(guò)各種途徑泄密電腦文件，全面保護(hù)電腦文件安全。

此外，大勢(shì)至公司數(shù)據(jù)防泄密系統(tǒng)集成了全面的個(gè)性化設(shè)置接口，可以讓網(wǎng)絡(luò)管理員人員隨時(shí)進(jìn)行個(gè)性化的電腦文件安全保護(hù)功能設(shè)置，從而可以實(shí)現(xiàn)動(dòng)態(tài)的、實(shí)時(shí)的和個(gè)性化的電腦文件防泄密管理功能，真正幫助企業(yè)實(shí)現(xiàn)電腦文件安全管理、防止商業(yè)機(jī)密泄露的最終目的。

最新評(píng)論