項目部桌面終端安全防護系統規劃與實施

王景峰

摘要：當前，企業機密文件保護的重要性不言而喻，機密文件的泄露不僅會給企業帶來重大的經濟損失，而且還影響到企業未來的市場競爭，更嚴重的還會牽扯到法律糾紛。為此，企業應該采取各種舉措保護公司機密文件，防止機密文件泄露事件的發生。

關鍵詞：網絡準入控制桌面終端;管理文檔防泄密

1 項目部現狀

目前項目部的大部分秘密信息：例如商業文檔、客戶資料、專利技術、技術文檔等，都是以明文電子文檔的形式存放在項目部內部共享網盤和服務器中，為了保證機密文檔的安全，需要對這些文檔進行加密處理，這些電子文檔可能通過外接設備、U盤、打印等方式外泄，并且對于文檔通過U盤、網絡、打印外帶也需要相應的日志記錄及副本備份。同時結合同行評估專家的整改意見，在管理上需要對系統管理方式進行改進，也需要規范員工的行為，增強員工的工作效率和保密意識。

2 設計原則

2.1 易部署

整套桌面終端安全防護系統的安全部署應簡單、方便、靈活，支持直接安裝、域腳本安裝多種部署方式，同時，系統應具備優異的自我保護功能，能夠有效避免終端用戶自行卸載，無需IT管理人員多次重復部署。

2.2 易使用

系統界面應友好、通俗、簡單易懂，即使是非技術人員也能在短期內運用自如。

2.3 易管理

系統的策略制定應簡單、靈活、易管理，可滿足管理者多種多樣的管理需求，并可分別對計算機和用戶進行管理。

2.4 全面的容災備份功能

提供文檔找回機制，避免文檔丟失、破壞造成的嚴重后果。

2.5 功能全面、穩定

系統應具備全面的內網信息防泄漏功能，并且運行穩定，產品應擁有自主知識產權，提供源代碼級的支持。

3 系統架構

3.1 系統功能

系統應至少包含三個模塊組成：客戶端模塊、服務器模塊和控制臺模塊。

項目部內所有用戶的辦公電腦均需安裝客戶端模塊，服務器模塊部署在系統分配的服務器上，控制臺模塊有管理人員安裝在管理設備上。各功能模塊的功能要求如下：

客戶端基本功能：

3.1.1 執行系統設定的各種管理策略

3.1.2 采集客戶端運行的各項數據

3.1.3 定時將采集的數據傳送到服務器

3.1.4 根據控制臺發出的指令進行監控操作

服務器基本功能：

3.1.1 管理所有客戶端計算機，并向其傳遞相關的規則和指令

3.1.2 收集客戶端采集的數據并保存

3.1.3 提供方便靈活的記錄管理、查看、歸檔、搜索等功能

控制臺基本功能：

3.1.1 查看和審計客戶端的數據

3.1.2 數據統計，分析和導出

3.1.3 對客戶端計算機實時監控和系統維護

3.1.4 設置監控規則和管理策略

3.2管理架構

系統應采用三權分立的管理架構，相互約束。從系統角色角度，劃分為三類角色：管理員、監察員和審計員。具體的角色功能是：

管理員：系統管理員具有特定策略的設置、用戶管理功能，但不具備分配其他管理員賬號的權限。系統管理員可根據實際需求設置多個。系統管理員的權限直接受超級管理員admin的制約。

監察員：審計功能。包括超級管理員admin在內的所有管理員的操作行為和審批行為均受審計員的監督。

審計員：審計員的默認賬戶是audit，審查所有中斷的日志信息。

4 功能實現

4.1 網絡準入控制

通過多種認證方式對接入內部網絡的用戶身份進行嚴格認證，確保接入用戶的身份合法;對接入內部網絡的終端設備執行統一的安全檢查策略，確保接入終端設備的安全合規;在用戶身份合法以及終端設備安全合規的前提下，對訪問權限進行動態授權，實現基于用戶的資源訪問控制。從而幫助用戶從根源上將病毒、蠕蟲等各類攻擊拒絕于內網之外，確保網絡系統安全穩定運行，實現企業內網終端資產管理安全可視化。

4.2 桌面管理功能

對終端進行軟件黑白名單管理、遠程協助管理、U盤等移動存儲設備管理、違規外聯接口等行為進行監控和管理。

4.3 文檔全生命周期審計

詳細記錄內部網絡中所有終端設備上的文檔操作，包括創建、訪問、修改、移動、復制、刪除等動作。另外，對于修改、刪除等相關操作發生時同步將該文件備份至服務器存根，有效防范文檔被泄露、篡改和刪除的風險。

4.4 文檔外發審計

對各種類型郵件的收發內容，包括收件人、發件人、郵件正文及附件等進行審計、記錄，便于后續追溯。

對于使用企業微信、QQ、微信等即時通訊工具進行的文件傳輸也需要進行安全審計記錄。

對文檔在內部流轉路徑進行追蹤，實現隱形的文檔流轉路徑追溯。

4.5 移動存儲設備管理

項目內部人員進行數據交換時，必須對移動存儲設備進行注冊、授權管理（注冊綁定到用戶、限制USB設備使用范圍、期限等），并通過文件操作實現內部使用USB設備從終端本地拷貝到U盤自動加密、從U盤拷貝到終端本地的加密文件自動解密，保證數據在通過U盤交換過程的數據安全，并對整個過程進行詳細審計。

項目員工對外部人員進行數據交換時，提供明文申請審批管理，對需要從終端本地明文拷貝到U盤的數據進行申請審批，并將明文拷貝文件備份上傳到系統內置的文件服務器備查，方便事后追溯。

4.6 打印管理

管理用戶對各類打印機的使用權限，包括虛擬打印機、共享打印機、本地打印機、網絡打印機等。限制對內網項目部管理系統中流轉業務的無文檔形式打印。

同時，建立打印審批管理流程，任何人員的打印請求均需經過上一級領導審批通過后方可執行。

4.7 水印功能

支持實現“屏幕水印”與“打印水印”兩類場景下的水印加載及追溯;實現對拍照泄密及打印泄密兩個情況下的數據泄密的有效管控;水印類型支持明文水印、二維碼水印、圖片矢量水印、矢量水印四類水印效果。

5 結語

桌面終端安全管理系統的建立，實現了內部網絡的安全接入、終端標準化管理，全面保護了項目部內部數據的安全，降低信息泄露風險;同時建立分級保密體系，提升了項目部的信息安全水平，實現了信息安全目標。

參考文獻：

[1] 陳龍. 網絡信息安全的防范技術[J]. 中國安防產品信息，2000（04）：15-1

[2] 王彬;王葛;安全的網絡打印[J];才智;2009年19期

[3] 劉永彬，亓東峰，趙茂棟，郭滿，王鳳環基于企業網絡安全防護系統的設計與實施[J].計算機光盤軟件與應用，

[4] 徐國芹;談企業內部網安全防護策略[J];辦公自動化;2009年04期