信息防泄漏解决方案

随着企业全面信息化时代的到来，人们越来越多地借助以计算机、互联网等先进技术为代表的信息手段，将企业的经营及管理流程通过计算机和网络实现，所有业务数据经由系统处理，快速形成企业所需的图纸、代码、合同、客户资料等各种文档，这样，电子文档就成为企业信息的主要存储方式及企业内、外部之间进行信息交换的重要载体，同时，也成为了企业的核心资产。

面对激烈的市场竞争，对各种核心数据的保护就显得尤为重要。当前，大部分企业采用传统安全设备（如防火墙、IDS、IPS等）进行安全防护，防止黑客等外来入侵窃取企业内部核心数据。但是，针对企业内部人员，传统的安全防护措施是无法防止内部人员的主动泄密，由于业务需要，内部员工可将敏感信息通过U盘、网络、打印等各种途径轻松泄露出去，因此，如何防止企业内部信息泄露、保护企业核心竞争力已然成为了企业当前面临的头等大事。 

现状及风险

计算机和网络已成为企业日常办公、通信交流和协作互动的必备工具和途径。但是，信息化在提高人们工作效率的同时，也存在诸多的泄密风险，具体如下：


1、主动泄密

• 通过网络途径（邮件、聊天工具、HTTP上传、共享等）将机密泄露出去

• 通过外接设备（U盘、刻录、蓝牙、智能手机等）将机密带离企业

• 将机密打印成纸质文档带离泄密

• 离职员工非法带离企业核心资产

• 拆除硬盘泄密

• 通过U盘或光盘中的自启动系统登录PC进行拷贝泄密

• ......

2、被动泄密

• 出差期间笔记本、U盘等丢失泄密

• 保密意识淡薄引发的无意泄密（如：无意聊天泄密、随意共享泄密等）

• 各种误操作引发的泄密（如：错发邮件泄密等）

• ......

3、其他泄密

• 外来访客窃取企业机密

• 外包给第三方开发、运维人员非法获取企业后台敏感数据

• 发送给客户的敏感数据被有意或无意（如保管不当、丢失）泄密

• ......

需求分析

针对电连企业的实际情况，电连企业的实际需求如下：

•  限制各种网络传输途径（如：邮件、QQ等聊天工具、HTTP上传等），杜绝员工通过网络途径泄密；

•  防止各种外设（如：蓝牙、刻录、智能手机等）滥用泄密；

•  细化U盘管理，满足日常U盘使用的同时防止U盘拷贝、丢失泄密；

•  杜绝打印泄密；

•  防止离职员工拷贝、恶意破坏机密文档；

•  防止外来人员非法接入内网窃取企业机密；

•  防止出差人员有意或无意（如：笔记本丢失等）泄密；

•  确保机密文档带离企业后无法使用；

•  防止外发文档被客户二次泄密；

解决方案

方案设计

设计原则

内网是信息泄露的源头，内网数据安全管理问题早已引起国内外众多内网管理者的重视，对于内网中的敏感数据，其信息安全的目标包括机密性、完整性、可用性、可追踪性以及保障。随着信息安全理论及技术的发展，相应的安全保护模型也不断出现，总的来说，信息安全理论和技术的发展经历了静态防御安全体系、深度防御安全体系以及动态防御安全体系三个阶段，动态防御模型是现代信息安全理论的主流，以PDR和P2DR安全理论模型为代表。

图1、PDR安全模型
 

PDR安全模型的内涵如下：

1、 防护

防护是安全的第一步，是根据系统可能出现的安全问题而采取的预防措施。

2、 检测

采取各式各样的安全防护措施并不意味着网络系统的安全性就得到了100%的保障，网络状况是变化无常的，昨天刚部署的防护措施可能今天就会被发现存在新的漏洞，因此，需要采取有效的手段对网络系统进行实时检测、监督。

3、 响应

当发现了攻击企图或出现安全事件之后，需要系统及时的进行反应并处理。
PDR模型在整体安全策略的控制和指导下，在综合运用防护工具的同时，利用检测工具了解和评估系统的安全状态，通过适当的响应将系统调整到“最安全”和“最低风险”的状态。防护、检测和响应组成了一个完整的、动态的安全循环，在安全策略的指导下保证信息系统的安全。

设计原理

针对企业存在的各种信息泄漏风险，凭借多年深耕于内网安全、数据防泄漏领域，结合PDR动态安全防护模型，IP-guard创造性的提出了“三重保护”整体防泄漏理念：

图2、三重保护模型

• 针对核心资产，采用强制加密手段，从数据源头进行保护，确保数据带离企业无法正常使用，保护企业核心竞争力。

• 通过各种管控手段，对终端各种信息交流途径进行合规控制，防止机密信息随意泄露出去。

• 通过审计，详细了解并掌握企业内部数据流转动态，发现已知及潜在的安全风险，对各种安全事件进行有效追溯，并为策略改进提供依据。

• IP-guard三重保护机制，能够形成完善的“事前防御-事中控制-事后审计”安全管理体系，实现动态管理闭环。

方案详解

防止员工主动泄密

场景描述

由于业务办公需要，企业需要开放网络、U盘及打印等办公资源，但是，员工在正常利用办公资源的同时，也可以轻易将机密信息通过网络、U盘、打印等方式泄露出去，给公司带来巨大损失。

 

图3、主动泄密多种途径

 

解决方案

防止U盘拷贝、丢失泄密

禁止外来U盘非法接入内网，一来可有效防止随意拷贝窃密，二来也可避免病毒、木马的感染，实现“外盘外用”。

图4、外盘外用

 

企业内部的U盘，只能在企业内部正常使用，在外部无法使用，实现“内盘内用”；此外，即便U盘丢失，拾得者也无法使用，有效防止U盘丢失泄密。

图5、内盘内用

 

对于公、私两用U盘，在“公用”期间，公司文档拷入U盘时会被自动加密，这样，当U盘“私用”时，公司文档因被加密而无法使用，实现了公、私文档的隔离，有效防止公司文档的泄漏，实现了“公私兼用”的效果。

图6、公私兼用

 

对于需要对外交互的U盘，详细记录所有通过U盘的文档操作，尤其对于拷贝行为，备份U盘拷贝的具体文档，实现事后追溯。

防止邮件泄密

对收、发件人、附件等进行统一管理，规范邮件外发行为。
针对敏感部门或人群，外发的邮件必须强制抄送给相关负责人（如：部门经理等），对员工形成心理威慑，防止邮件泄密。
有效记录外发邮件的内容（正文及附件），实现事后追溯。

图7、邮件外发管理

 

防止聊天泄密

禁止QQ等聊天工具外传文件泄密。
详细记录员工聊天内容，备份通过QQ等聊天工具外传的文件，实现事后追溯，形成心理威慑。

图8、限制IM外传

防止打印带离泄密

• 限制无关人员的打印行为，减少打印泄密风险。

• 出于工作需要的打印，需对其打印行为进行合规管理，如：指定打印机类型、禁止敏感应用程序（如ERP、）的打印等。

• 详细记录员工每次打印的具体内容，实现事后追溯。

防止网络上传泄密

• 禁止员工通过HTTP、FTP上传文件泄密。

• 对于上传行为，备份其上传的文件，实现事后追溯。

防止共享泄密

• 关闭员工不必要的共享，减少共享泄密风险。

• 规范员工对诸如文件服务器的访问权限，防止机密扩散或泄漏。

防止外设滥用泄密

• 禁止员工使用蓝牙、刻录、智能手机等各种外设，防止外设滥用泄密。

• 禁止员工连接各种非法的wifi、手机热点等，防止非法外联泄密。

确保机密数据在外部无法使用

• 采用高强度加密算法，将企业内部的核心文档进行强制加密，加密文档在内部可正常使用，不受任何影响；一旦被非法带离企业，在外部将无法打开或以乱码形式呈现。

• 加密过程是强制、自动完成的，文档一旦被加密，不论在何时、何地都是加密的，有效防止诸如拆硬盘等导致泄密；

• 加密不会改变员工对文档操作的使用习惯，对用户是透明的。

 
图9、强制透明加密

 

防止离职员工恶意破坏

场景描述

员工离职，已是现代企业人事变动、流转的一种常态，但是也会存在诸多安全隐患，如：员工离职前复制带离一些企业的数据，更恶劣的在于，有些对公司不满的员工，离职前将本机或文件服务器上的重要文档（如设计图纸、代码等）进行恶意篡改、甚至删除，对企业造成重大损失。


解决方案

限制准离职员工对本机及其他重要服务器的文档的删除权限，只允许其正常读、写，杜绝非法删除带来安全隐患。

 
图10、限制文档权限

 

 出于工作原因不能限制其删除权限的准离职员工，可在其篡改、删除文档前对重要文档进行备份，防止文档遭到破坏，避免企业重大损失。

 
图11、篡改、删除前备份

 

防止服务器信息泄露

场景描述

企业的核心业务系统（如：OA、CRM、ERP等）中存有大量敏感业务数据，员工通过合法账号可正常查看、导出数据，而数据一旦导出则可通过其他途径带离企业，存在泄密风险。
此外，员工可利用非法应用程序或盗用合法账号访问并窃取业务系统中的数据，存在较大安全隐患。

解决方案

图12、应用服务器保护
 

•  架设IP-guard安全网关，对应用服务器进行安全保护。

•  服务器数据下载至本地则自动加密，防止非法下载泄密。

•  加密文档上传至服务器则自动解密，以明文形式存放在服务器，确保正常使用。

•  非法客户端即使盗用合法账号或利用非法应用程序也无法访问受保护的应用服务器，杜绝了非法访问泄密。

防止出差员工泄密

场景描述

员工出差期间，由于脱离了企业内部安全防护，在外办公有可能导致数据泄漏。另外，出差期间笔记本电脑、U盘等的丢失也会带来很大的麻烦，除了经济损失，存储在笔记本电脑及U盘中的敏感数据也存在泄漏的风险。


解决方案

加密保护：针对企业的敏感数据，需要从源头上进行保护，通过强制透明加密，确保数据不论何时、何地都是加密的，确保了数据的安全。
出差管理：为保证员工出差期间依然可以打开加密文档，员工出差前需申请离线授权，由上级领导审批，通过后在授予的离线授权范围内可正常使用加密。

图13、出差管理

 

 安全密码保护：IP-guard加密系统提供安全密码保护功能，只有在正确的安全密码验证之后才能正常打开加密数据，因此，即便笔记本电脑丢失，拾得者无法得到安全密码，也就无法查看加密数据，有效杜绝了笔记本电脑丢失泄密。

图14、安全密码保护

 

 安全U盘：员工出差时可使用IP-guard安全U盘，安全U盘在外部使用时需要密码验证，只有输入正确的密码方可使用，一旦安全U盘丢失，拾得者无法得到安全U盘的验证密码，也就无法获取U盘中的数据，有效确保了U盘中数据的安全。

 
图15、安全U盘密码验证

 

防止外发文档二次泄密

场景描述

与外界进行信息交流已成为企业常态化的一种业务模式，这些交互的信息可能会涉及企业核心信息（如：外发设计图纸给生产方、外发合同给客户等），而这些信息一旦流出企业就面临着失控的风险，很可能经由客户或合作伙伴造成信息泄露。

图16、二次泄密风险

 

解决方案
如下图所示：

 
图17、对外交互机制
 

• 当需要给客户或合作伙伴外发文件时，首先需向上级领导提出外发申请，审批通过后方可将普通文档制作成受控的外发文件，外发给客户或合作伙伴。

• 接收方（客户或合作伙伴）收到外发文件后，打开时需要进行身份验证，验证通过后才能在授予的权限范围内正常使用。

• 身份认证方式包括：口令认证、机器码认证、联网认证等。

• 访问权限包括：阅读次数、阅读时间、复制剪贴、修改、截屏、打印（含虚拟打印）等。

公司内部文档交流

场景描述

研发图纸进行加密，但图纸会发送给其他部门，大量的文档交流不做控制可能会出现泄密。


解决方案

如下图所示：

 
图17、对外交互机制
 

• 当需要把设计图纸发给内部其他员工时，如果员工只需要查看而不需要修改，可以设置只读加密，只能查看文档而不能做修改保存。

• 公司内部不同部门设置安全区域，不同安全区域的人员不能相互访问，同个安全区域的人员可设置文档加密级别，高加密级别的文档不能被低级别权限的员工访问。安全区域可以申请修改以便有需要时发给其他部门人员查看。

内部外发文档到供应商

场景描述

企业内部的研发会通过邮件向客户、采购发送大量的图纸，大量的加密文件发送走审批流程比较麻烦，切不能管控明文文件发送去处。
 

解决方案

如下图所示：

 
图、对外邮件发送

 

 针对客户、采购的邮箱设置白名单，发送给白名单的邮件的附件会自动解密，不在白名单范围内的依然是加密文件，避免了大量解密文件发送的情况，降低泄密风险。


 

系统部署

部署拓扑

部署方式一：集中式部署

部署方式二：分布式级联部署

方案优势

全面防止信息泄露

IP-guard三重保护体系，通过核心数据加密、交流渠道管控及内网全面审计，为企业提供了整体的信息防泄漏解决方案，从不同纬度解决了用户的信息泄露难题，建立了“事前防御、事中控制、事后审计”的安全保护机制，符合PDR动态安全模型理论。

功能强大

IP-guard内网安全整体解决方案，包含16大功能模块，涉及内网安全的方方面面，从网络边界、设备边界的防护，到计算机桌面安全的防护，以及企业核心资产的保护，全面解决了企业的内网安全难题。

实现灵活

量体裁衣

IP-guard产品按照模块化进行设计，用户可以根据自己的实际需要，灵活选择相应的模块，建立适合自身特点的安全防护体系。
 

完美扩展

随着信息化的发展，企业的安全需求也在不断变化之中，IP-guard模块化设计的理念不仅能够很好的满足企业当前的安全需求，还能实现未来需求的无缝扩展，而且无需部署多套客户端。


部署简便

IP-guard提供客户端手动安装、远程安装、域脚本安装等多种安装方式，企业可根据自己的实际情况选择最便利的方式进行部署。

性能稳定

• 目前已经有超过4,700,000台计算机在运行IP-guard，这些计算机分属于超过22个行业的一万多家客户。

• 在IP-guard服务的众多客户中，约11%的客户为部署超过1000点的大规模客户，其中部分客户服务时间超过5年。

• IP-guard的客户遍及国内各行各业以及北美、日本、新加坡和台湾的知名企业，稳定性经过众多客户实际运行检验，深受客户好评。

个性化定制

IT越来越趋向服务化发展， IP-guard也深知服务的重要性，考虑到不同行业、不同企业的实际情况不太一样，IP-guard提供产品个性定制服务，根据用户的个性需求，定制相应产品功能，满足用户需要。