文件加密方案参考教学课件.ppt

1、敏感信息防泄漏解决方案UUDynamics产品介绍Agenda公司介绍企业数据安全背景企业安全现状及泄密途径分析应对举措分析数据要怎么加密？透明加解密技术介绍应用层加解密技术原理与瓶颈内核层加解密技术原理数据加密之后？系统性能影响软件兼容与系统稳定如何保证数据不损坏产品介绍四大特征TPKC系统架构介绍应用系统数据安全方案策略&功能介绍项目实施步骤我们的客户演示与问答我们的客户作为中国最大的SUV生产厂商，长丰集团近年发展迅速，07年销售收入即已超过260亿，这家由军工厂转制的大型企业非常注重企业信息安全建设，为保护其庞大的图文机密资料，长丰集团从06年就开始筹备文档保护项目，经过考察并试用国内

2、多家厂商的产品后，最终选用了“Dynamics 文档安全管理系统”。长丰集团机构众多，遍布全国，需要保护的除了办公文档，还有各种CAD/CAM图纸和文件，涵盖的软件从OFFICE/PDF/PS到复杂的CAD/CAM等大型开发工具软件多达30余种重邮信科是国内拥有3G核心技术的为数不多的几家源头企业之一，从事3G协议栈与芯片的研发，信息安全事关该企业的生存和发展，其对相关信息防护措施的要求非常严苛。在选用加密系统的招标过程中，重邮信科经过严格反复的测试发现，在所有的参测产品中，除Dynamics 系统以外，其他产品在复杂的开发、编译、仿真和测试环境等方面无法满足其稳定性、安全性等要求，诸多关键应

3、用无法得到支持。重邮信科要求加密保护的软件包括日常办公软件（OFFICE/PDF/IPD/EMAIL）、代码工具、编译软件、设计软件、仿真软件、其他工具软件总计80余种，其严格的要求与实施难度代表着国内目前最复杂的加密环境作为省级运营商，湖南移动对信息系统的建设要求一向严谨专业，文档安全项目是其完善信息安全体系的基础措施之一。经过多方考察和严密测试，湖南移动选择了UUDynamics作为其日常办公文档安全保障的核心设施。当前企业数据安全面临的挑战 安全重点由外到内的转变安全重点由外到内的转变 -根据Ponemon Institute 的研究，78%的资料外泄事件 都是由企业内的合法使用者所造成

4、 信息泄露事件愈演愈烈信息泄露事件愈演愈烈 -竞争企业之间上演无间道，数据泄密所带来的损失逐年增加 机密信息管理薄弱机密信息管理薄弱 -企业部署了许多防护措施，例如VPN、防火墙、网络监视器等等 但这些措施只能做到防外却不能做到安内。20062006年年CSICSI调查显示：调查显示：在所有的安全技术应用中，以数据加密传输和加密存储为基础的技术应用所占比率分别为66%和47%。近期泄密案例 2006年，国内信息安全等级保护管理办法，美国萨班斯奥克斯利法案的正式实施对于信息安全产业产生了标志性的影响。HROAPDMERP企业安全现状一：开放式工作软件：OfficePDF2D3D drawingP

5、rotelVC Coredraw通讯软件：QQMSN邮件系统：FoxmailOutlookHTTP：163QQ网盘WEB应用系统百度Google其它截图录像：Camtasia硬件接口：USB接口蓝牙敏感信息的安全隐患：敏感数据外发时可能被合作伙伴泄漏网络木马、病毒、黑客攻击导致敏感信息泄漏敏感信息通过工作软件自带的通讯功能模块泄漏敏感信息通过通讯软件泄漏敏感信息通过邮件系统泄漏敏感信息通过硬件接口拷贝泄漏敏感信息通过网络存储泄漏敏感信息通过外网访问业务系统泄漏敏感信息通过打印泄漏敏感信息因出差时电脑设备外带导致泄漏外部人员的电脑接入内网导致信息泄漏路由器敏感信息外发给合作伙伴时泄漏网络黑客攻击

6、工作软件自带通讯功能泄漏通讯工具、邮件泄漏移动存储介质泄漏上传敏感信息泄漏打印敏感信息泄漏外网访问泄漏移动设备外带泄漏外协电脑连入泄漏企业安全现状及泄密途径分析 企业安全现状二：封堵式(典型应用：桌面安全产品）HROAPDMERP工作软件：OfficePDF2D3D drawingProtelVC Coredraw通讯软件：QQMSN邮件系统：FoxmailOutlookHTTP：163QQ网盘WEB应用系统百度Google其它截图录像：Camtasia硬件接口：USB接口蓝牙方案特点：牺牲便捷性换取敏感信息安全性的提高限制联网阻断敏感信息通过互联网泄漏优点：不影响用户操作，对业务环境影响较小

7、缺点：无法解决敏感信息泄漏的问题方案安全漏洞敏感数据外发时可能被合作伙伴泄漏网络木马、病毒、黑客攻击导致敏感信息泄漏敏感信息因出差时电脑设备外带导致泄漏外网访问业务系统泄漏方案问题：能否全部范围限制接口和互联网连接？路由器敏感信息外发给合作伙伴时泄漏网络黑客攻击工作软件自带通讯功能泄漏通讯工具、邮件泄漏移动存储介质泄漏上传敏感信息泄漏打印敏感信息泄漏外网访问泄漏移动设备外带泄漏外协电脑连入泄漏企业安全现状及泄密途径分析 企业安全现状三：磁盘加密式(典型应用：安全堡垒、环境加密）HROAPDMERP工作软件：OfficePDF2D3D drawingProtelVC Coredraw通讯软件：Q

8、QMSN邮件系统：FoxmailOutlookHTTP：163QQ网盘WEB应用系统百度Google其它截图录像：Camtasia硬件接口：USB接口蓝牙方案特点：针对敏感信息的存储介质进行加密只能保证磁盘硬件丢失情况下的数据安全优点：不影响用户操作，有较好便捷性缺点：依然无法解决敏感信息泄漏的问题方案瓶颈存储在被加密的磁盘里的数据全部是明文，并且接受任何应用程序的访问（QQMSN，各种网络磁盘等所有通过互联网泄漏的应用程序）路由器工作软件自带通讯功能泄漏通讯工具、邮件泄漏上传敏感信息泄漏打印敏感信息泄漏敏感信息外发给合作伙伴时泄漏企业安全现状及泄密途径分析 通讯软件：QQMSN邮件系统：Fo

9、xmailOutlook应对举措分析HROAPDMERP工作软件：OfficePDF2D3D drawingProtelVC CoredrawHTTP：163QQ网盘WEB应用系统百度Google其它截图录像：Camtasia硬件接口：USB接口蓝牙路由器敏感信息外发给合作伙伴时泄漏网络黑客攻击工作软件自带通讯功能泄漏通讯工具、邮件泄漏移动存储介质泄漏上传敏感信息泄漏打印敏感信息泄漏移动设备外带泄漏透明加解密智能解密密文权限控制业务系统安全工作软件URL限制外协电脑连入泄漏工作软件保存数据自动加密，读取数据自动解密可能泄密的应用程序访问数据时不予解密控制工作软件可能泄密的通道，禁止访问工作外U

10、RL加密数据的打印，生存期，读写权限、次数等业务系统检出加密、检入自动解密外网访问泄漏安全举措安全举措详细描述详细描述Agenda公司介绍企业数据安全背景企业安全现状及泄密途径分析应对举措分析数据要怎么加密？透明加解密技术介绍应用层加解密技术原理与瓶颈内核层加解密技术数据加密之后？系统性能影响软件兼容与系统稳定如何保证数据不损坏产品介绍四大特征TPKC系统架构介绍应用系统数据安全方案策略&功能介绍项目实施步骤我们的客户演示与问答透明加解密技术介绍 透明加解密技术是近年来针对企业文件保密需求应运而生的一种文件加密技术。所谓透明，是指对使用者来说是不可见的。当使用者在打开或编辑指定文件时，系统将自

11、动对未加密的文件进行加密，对已加密的文件自动解密。文件在硬盘上是密文，在内存中是明文。一旦离开使用（环境），由于应用程序无法获得自动解密的服务而无法打开，从而起到保护文件内容的效果。透明加解密技术是与操作系统紧密结合的一种技术，它工作于操作系统底层，从技术角度看，可分为内核级加密和应用级加密两类。应用层加密：属于内容级安全管理软件，基于Windows操作系统的API hook技术制造，其软件本身 是跟应用软件有紧密关系的一种方式。驱动层加密：基于windows的文件系统（过滤）驱动（IFS）技术，工作在windows的内核层。与应 用软件无相关性，属于内容级管理软件.Windows I/O M

12、anagerUser SpaceKernel SpaceWindows Cache ManagerCache OperationNative DOS INT 2E Windows Installable File SystemWindows Real File SystemDiskWin32 Application Programming interfaceAPI HOOKSorryI cant!应用层加密介绍a)文件加解密与应用程序相关，即加解密是分布于各应用程序b)无法实现缓冲管理，导致效率低下c)支持面小，对不调用API函数的应用程序无法支持；对部分调用API函数的程序产生数据部分加密部

13、分无法加密的效果，导致文件损坏；对使用驱动程序完成部分文件操作的应用程序无法支持；无法支持流文件对象；d)针对使用内存映射的应用程序，在处理大文件透明加解密时容易对文件造成破坏应用层加解密原理与技术瓶颈Windows I/O ManagerEn/Decrypt Data Realtime（实时加解密）（实时加解密）TSFS 平台平台(Windows)Win32 Application Programming interface密文密文明文明文密文密文明文明文密文密文明文明文密文密文密文密文User SpaceKernel SpaceWindows Cache ManagerCache Oper

14、ationWindows Installable File SystemWindows Real File SystemDiska)业界领先的加密技术b)受操作系统保护c)具有无可质疑的稳定性d)文件加解密统一由TSFS平台处理内核层透明加解密原理Agenda公司介绍企业数据安全背景企业安全现状及泄密途径分析应对举措分析数据要怎么加密？透明加解密技术介绍应用层加解密技术原理与瓶颈内核层加解密技术数据加密之后？系统性能影响软件兼容与系统稳定如何保证数据不损坏产品介绍四大特征TPKC系统架构介绍应用系统数据安全方案策略&功能介绍项目实施步骤我们的客户演示与问答数据加密之后的重点考量数据加密绝对不止

15、是加密那么简单！系统性能影响a)加解密速度？b)大文件加解密效率？c)加密系统自身安全性？d)运行于内核的加解密软件对操作系统的影响？软件兼容与系统稳定a)怎么梳理用户终端的软件进程？b)加密数据的访问控制？（金山词霸、杀毒软件、对应的编辑软件）c)怎样防止泄密软件进程不泄露敏感信息？d)加密数据使用过程的明文状态保护？e)软件厂商对于内核加密程序的维护能力？如何保证加密数据不损坏a)怎样预防加密数据出现明密文交互导致数据损坏数据加密系统，如何选择！数据需要加密！数据要怎么加密？数据加密之后？数据加密之路，安核考虑得更远！DISKWindows File SystemWin32 Applica

16、tion Programming interfaceMemory随需读取解密内存读写5KB5KB5KB5KB300M2M5KB5KB5KB5KB8KB8KB采用部分加密的方式，保证大文件数据安全的同时兼顾了效率集成缓冲管理使内存映射文件实现随需读取，提高效率集成缓冲管理使内存映射文件实现只针对修改数据进行加密保存，避免大数据整体加密保存导致效率低下的情况出现。系统性能影响集成缓存的重要意义DLL注入OLE拖拉软件兼容与系统稳定Win7XPVista2003sever32bit 64bit终端用户应用软件操作系统工作软件通讯工具辅助应用安全软件截图录相服务软件提供透明加解密密文服务防止泄密允许访

17、问加密内容兼容运行允许扫描限制使用提供明文服务分类必要的策略1、能否支援所有Windows系统？2、因加密内核导致的异常是否具备处理能力？3、操作系统升级是否能够长期提供内核加密？加密数据防破坏加密数据损坏的原因 造成加密数据损坏的原因只有一个，那就是加密的文件里面同时存在明文和密文，即所谓的明密文交互。明密文交互是怎么产生的？如何预防？虽然情况一和情况二可以通过硬件设备和数据备份的方式来弥补，但对于情况三，如果没有有效的安全机制，则对于企业数据风险是巨大的。情况一：数据在加解密过程中出现宕机、断电导致加解密中断出现明密文交互情况二：无权限用户打开加密的数据，虽然显示乱码但可修改并保存，导致明

18、密文交互情况三：病毒感染加密的数据造成加密数据被写入明文，出现大面积数据损坏。Agenda公司介绍企业数据安全背景企业安全现状及泄密途径分析应对举措分析数据要怎么加密？透明加解密技术介绍应用层加解密技术原理与瓶颈内核层加解密技术数据加密之后？系统性能影响软件兼容与系统稳定如何保证数据不损坏产品介绍四大特征TPKC系统架构介绍应用系统数据安全方案策略&功能介绍项目实施步骤我们的客户演示与问答产品介绍什么是TPKC？Transparent（透明）Process（基于进程）Kernel（内核层）Customization（客制化）系统架构敏感信息防泄露系统为C/S架构服务器采用硬件集成软件的方式，无

19、需安装，配置和管理基于B/S系统具备三层架构p接入层：为客户端用户提供身份认证，实现差异化用户控制p策略功能层：通过服务器配置并在客户端登录时下发到客户端执行控制p数据处理层：根据策略执行客户端数据与企业应用系统数据的安全加密优势和益处定制的硬件和操作系统更加稳定服务器、客户端软件绑定硬件信息，安全环境不可复制产品形态：Dynamics 服务器平均无故障时间10万小时。系统：定制LINUX 2.3.3X，Dynamics 服务端软件绑定硬件信息植入。双硬盘支援RAID1什么是TPKCTransparent(透明)不改变用户操作习惯 数据加解密无需人为干预Process(基于进程)pinfo.d

20、ll注入 预防进程伪造 加密与数据后缀无关 支援自定义进程添加Kernel(内核)基于TEFS技术 无缝集成缓存管理器 支援全系列Windows系统，包括32bit&64bitCustomization(客制化)强大研发实力 满足企业定制需求透明加解密动画应用系统数据安全方案Dynamics 专用浏览器Dynamics 服务器BOSSHROAAgenda公司介绍企业数据安全背景企业安全现状及泄密途径分析应对举措分析数据要怎么加密？透明加解密技术介绍应用层加解密技术原理与瓶颈内核层加解密技术数据加密之后？系统性能影响软件兼容与系统稳定如何保证数据不损坏 产品介绍四大特征TPKC系统架构介绍应用系

21、统数据安全方案策略&功能介绍项目实施步骤我们的客户演示与问答a)保证工作软件数据安全与便捷使用b)防止泄密程序泄漏敏感信息c)保证其它软件正常运行d)防止数据过度加密e)规范企业软件应用种类智能加密：加密文件写入加密非加密文件写入不加密典型应用：.txt文件需要加密时将记事本程序设置为明文程序，此时如果用记事本修改系统（软件）配置文件.ini并保存则会被加密，导致系统或软件异常甚至崩溃。所以启用智能加密就可以避免此类问题明文进程：内置常用工作软件库，方便管理员快速配置密文进程：可能导致敏感信息泄漏的软件程序，这类程序访问数据不予解密禁止进程：截图、录像工具、即时通信等可能转移数据类型进行敏感信

22、息泄漏的应用程序，这类程序禁止启动信任进程：一些工作时需要嵌入数据的辅助应用程序保证其它安全软件与服务软件的正常工作Dynamics 功能：进程分类控制进程分类控制技术延伸自定义添加的进程a)为企业复杂的软件应用提供支持b)为企业日后发展提供长期安全保障c)内核层加解密技术是自定义进程的基础支持进程维护：采用内核层透明加解密技术是自定义进程的基础条件，在Dynamics 系统内置程序库中未能提供的行业特殊、专业的应用程序，可使用自定义进程添加，保证系统内置库以外的软件都可以实现进程分类控制。明文进程URL限制：针对部分工作软件自带的通讯功能提供URL限制服务，保证工作软件的安全通讯。（例如PR

23、O/ENGINEER内置WEB浏览器限制只允许访问企业PDM系统的URL）Dynamics 功能 数据加解密自动（强制）加密：自动（强制）加密：明文程序产生的文档自动强制加密，透明 不改变习惯手动加密：手动加密：自主选择是否对文档加解密，处理方式更人性化扫描加密：扫描加密：根据设定全盘扫描并加密指定数据智能加密：智能加密：已加密文件写入时必定加密，未加密文件写 入时不加密。段落式加密：段落式加密：针对大文件的加密策略，保证安全的同时兼顾效率。必不加密文件夹：必不加密文件夹：此文件夹下数据不加密，可实现多种应用必定加密文件类型：必定加密文件类型：避免明文程序设置遗漏导致敏感信息未加密隐形功能：隐

24、形功能：CBR(Crash Backup Restore)崩溃转储客户端初装YN全盘扫描加密保存数据创建数据的程序是明文进程吗？数据明文存储该明文进程是否启用智能加密？数据存储位置是必不加密文件夹吗？Y该数据原来是加密数据吗？NYN数据密文存储NY数据明文存储数据存储位置是必不加密文件夹吗？数据密文存储NY手动加密数据加密功能介绍Dynamics 为明文进程应用程序提供透明加解密服务即：写入时必定加密，读取时自动解密。适用于只创建敏感信息的应用程序，例如设计软件等右键菜单实现文件手动加解密操作（注：解密需要权限或走流程）启用智能加密的明文程序在保存数据时采取判断策略，密文保存时加密，非密文保存

25、时不加密。防止应用程序在编辑非敏感信息时产生过度加密的情况。设置大文件的段落加密属性，保证大文件数据的安全并兼顾数据加解密的效率设置必定加密文件类型，保证由外部（合作伙伴等）导入的明文敏感数据的安全。全盘加密文件类型指定。作为新客户端初装时的全盘扫描加密依据。保证历史数据安全必不加密文件夹：应用1：保护存放各种系统的Rule、Config的文件夹下的数据不被加密应用2：作为个别用户密文解密的途径。（配合文件夹策略使用）Dynamics 功能 权限控制关键能力：支持灵活的数据管理权限规则Dynamics 提供灵活的权限管理规则和数据安全机制来保障数据全生命周期的安全控制敏感信息控制策略 身份认证

26、 策略模板内容保护外设控制程序控制敏感信息流转策略密文外发管理明文外发、解密控制内部分发控制出差模式离线策略Lifecycle of Records流通流通发布发布审阅编审阅编辑辑创建创建废弃废弃/归归档档关键能力：数据全生命周期安全防护复制密文内容NY粘贴对象程序是明文进程吗？清空剪贴板完成复制粘贴粘贴Dynamics 功能 敏感信息控制策略超级管理员部门负责人自动加入密文分级管理&身份认证，未在下表中用户无法读取策略模板：支持创建多种策略模板，针对不同用户组、用户绑定不同的策略模板，实现不同级别用户有不同的安全体验针对基本控制、外设控制、程序控制分别建立策略模板，实现策略应用灵活调整基本控

27、制内容外设控制内容对程序的控制同样支持建立多种策略模板，密文进程的应用程序访问数据不予解密，可保证数据安全。禁止进程的应用程序不允许启动，防止数据通过转移类型的方式泄漏Dynamics 功能 敏感信息流转策略密文外发管理密文外发时对文件的控制内容：时间、读取次数、打印、水印保护、内容保护，截屏控制Dynamics 功能 敏感信息流转策略明文外发解密方式Dynamics 提供灵活的密文解密功能来满足企业实际的管理和业务需求手动解密：由具备手动解密权限的用户解密必不加密文件夹解密：发送到信任邮箱地址自动解密解密申请、审批流程解密密文解密当前用户具备手动解密的权限吗？密文被解密成明文文件解密审批流程

28、申请解密环节审批人全部批准了吗？YN等待、延迟密文被解密成明文YN发送带有密文附件的邮件收件人E-mail地址是信任的地址吗？直接发送解密附件后发送YNDynamics 功能 敏感信息流转策略内部分发控制企业现状：内部数据缺乏权限管控，容易造成敏感信息被无意中泄漏甚至是恶意破坏的情况。内部分发控制主要针对密文进行分级管理，使得敏感信息只供给有需要的人读取和使用。采用身份认证方式的Dynamics 使这一愿望得以实现。分发范围控制密钥&组织结构管理预设文件接收者项目小组部门公司个人密钥加密方式加密效果（可读人员）用户密钥加密用户+部门领导+公司领导+超级管理员工作组密钥加密部门全体成员+公司领导

29、+超级管理员站点级密钥加密公司全体成员Dynamics 功能 敏感信息流转策略离线与出差都会使Dynamics 进入更严格的安全策略模式离线控制心跳间隔默认离线时间出差申请流程离线模式适用于需要将电脑短时间带离企业环境并继续工作的情况，时间相对较短，频率较高，比如晚上下班带回家工作的情况。出差模式适用于需要较长时间将电脑带离企业环境并需要使用敏感信息的情况。离线控制出差控制客户端连接服务端的频率，检查客户端是否离线允许客户端离线使用的时间限制Dynamics 功能 日志管理Dynamics 系统针对敏感信息防泄漏除了做到事前预防、事中监控之外还可以实现事后追踪，日志管理功能可以帮助企业在出现敏

30、感信息泄漏时找出泄漏的原因，挽回损失并为企业安全工作提供参考依据解密日志加密日志分发日志登录日志客户端对文件的加密、解密、分发都产生日志并保存于客户端，当客户端与服务器产生联接时将自动上载到服务器端，便于审计员进行安全审计系统其它功能介绍服务器状态、性能分析查询在线用户信息企业水印属性设置，支持客户端窗口显示水印支持FTP密文自动备份，提高系统容灾能力临时用户设置，保证服务器中断之后的客户端正常使用。提高系统容灾能力注册USB Key提高安全等级与便捷性密钥的导出备份系统数据的备份与恢复客户端、服务器软件升级修改用户密码从服务器卸载客户端系统数据的备份与恢复应用场景分析数据明文存储路由器手动加

31、密+HTTP透明加解密安全网关用户与企业联手构建敏感信息防泄露体系，用户客户端创建的数据明文存储，且由客户端用户自行负责数据的安全。客户端数据安全由用户与操作系统负责客户端数据流转手动加密，保护用户劳动成果客户端数据检入业务系统后的安全由安全网关负责方案特点对终端用户完全没有影响防止用户泄漏他人创建的企业敏感信息敏感信息对外安全有保障部署、管理简单应用场景分析通过对加密方式、密文分级、解密方式的灵活组合可以实现各种不同类型的敏感信息防泄漏机制，满足不同企业的各种实际业务需求手动加密自动加密智能加密必定加密文件类型安全网关加密密文分级密文不分级手动解密文件夹解密流程解密邮件解密敏感信息高等级安全防护高便捷低影响对外安全a)安全与便捷兼顾b)方案策略部署灵活组合c)适用性广、对企业系统上线的风险小密文专用阅读器项目实施步骤 进行实施前会议，审核网络，软硬件准备需求，以及定义初步的现场实施时间表并确认客户的参与者 完成系统详细设计方案 完成客户需要二次开发的功能 制定业务场景描述报告 完成系统描述文档完成种子用户的培训课程实施环境再审核、定义现场实施时间表系统安装与配置与客户一起完成系统测试交付实施报告、安装手册、用户手册等项目总结汇报并上线运行Page 38Page 39Demonstration演示与问答THANK YOU!