首页 >

1 概述

随着计算机网络技术、和数字通信技术飞速发展，信息网络技术的应用层次不断深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展，大量的技术和业务机密存储在计算机和网络中，对网络安全性要求变得越来越高，需要有效地制定安全策略以保护机密数据信息。而事实上，随着企业信息化进程的加速，内部泄密正在成为企业内部数据安全的最大威胁之一。

据IDC报告，70%的安全损失是由企业内部原因造成的，也就是说企业中不当的资源利用及员工上网行为往往是“罪魁”，间谍软件、恶意程序、计算机病毒、端对端文档分享等不当的上网行为，导致了企业机密资料被窃，网络资源的浪费，企业运作的不畅等损失。FBI 和CSI 调查显示，超过８５％的安全威胁来自企业内部，威胁源头包括内部未授权的存取、专利信息被窃取、内部人员的财务欺骗等。在国内，诸如设计方案被窃取、关键客户名单和销售数据丢失等事件屡见不鲜，给企业造成了非常大的经济损失。

针对内部泄密的问题，绿盾信息安全管理软件（以下简称绿盾）整合文件透明加密、远程监控、设备限制，从三大方面来减少内部泄密的可能。

1、 文件实时自动加密存储：如今，企业机密信息大量以电子文档方式存在，而电子文档是很容易散播的。目前大量的信息泄密手段往往是最直接的收买、拷贝方式、人员离职把电脑上资料直接带走。而绿盾能在不影响使用者操作习惯的情况下，在操作系统内核里面采用文件过滤驱动程序实现透明加密存储，加密后的文件可以在公司内部正常流通使用，一旦脱离公司网络，文件将无法打开。即公司所有人员在操作电脑新建的文档或图纸同时后台自动加密文件，但是操作人员毫无察觉，使得强制自动加密文件离开企业电脑环境无法使用，文件只能在公司内部任意电脑上正常使用。在脱离企业电脑环境下，文件只有经过公司专人解密，才能正常使用。这样就将企业中的一些核心数据牢牢限定在了本企业中，防止用户之间非法复制、外部发行，防止单位内部机密电子信息泄露及电子文档的二次传播，有效的保证了核心数据的安全。

2、 远程监控终端的操作行为：绿盾可以定时进行屏幕录像，并将录像存储在服务器；绿盾还可以实时记录终端的程序窗口切换过程、可以实时记录终端的文件操作行为等。所有这些足以起震慑作用，可以追查信息泄露的渠道；使得“事前防泄露、事中可控制、事后易追查”落到实处，防止内部泄密行为的发生。

3、 设备限制：绿盾可以禁止使用USB存储设备（包括U盘、移动硬盘、数码相机、各种存储卡等可以作为USB存储的设备）；可以禁止光盘的刻录；可以禁止软盘的使用；可以禁止终端使用打印机。这样可以杜绝使用U盘、软盘、光盘，电子邮件、文档打印等方式窃取企业的机密技术文件、设计图稿、会计帐目、战略计划书、研究论文等文档，足以切断泄密的途径。

2 系统组成

2.1 方案概述

通过绿盾对机密文件进行保护时，系统在不改变用户原有工作流程和文件使用习惯的前提下，对需要保护的进程生成的所有文件(无论该文件原来是明文还是密文)进行强制加密保护，并对机密文件的使用过程进行全程监控，有效防止了被动和主动泄密，消除内部安全隐患于无形之中。

解决问题：

l 防止单位内部机密电子信息泄露；

l 防止单位内部不同部门越权使用文档；

l 可追查信息泄露的渠道；

l 普遍适用于各种格式的电子文档；

l 从根本上解决了文档的二次传播，有力保障企业信息安全；

l 有效管理、监控局域网内电脑，提升办公效率

2.1.1 系统架构

2.1.2 方案阐述

系统方案：

在服务器上安装绿盾服务端，然后在文件服务器和需要使用共享文件的电脑上安装绿盾终端。在绿盾服务端上创建若干终端帐户，绿盾终端使用这些帐户登入。

只有安装了绿盾终端的电脑在登入帐户后才可以使用或查看加密的文件，离开局域网后使用或查看加密文件需要得到服务端的解密或者授权才可以。安装绿盾终端后，终端电脑上的文件在创建、存储、应用、传输等环节中均以加密形式存在，可以杜绝黑客工具的窃取和监听，防止磁盘介质丢失导致的资料外泄等。

文件外发方案：

如有内部文件需要外发，可以向上级申请解密，或设置成系统自动应答解密，经过解密后的文件即可外发；也可以对外发文件的读取方式做限制，其中包括限制打开次数、限制只在规定时间段内可以打开、限制只能在某一台电脑上打开，以及设置文件密码等。这样可以轻松、灵活地控制外发文件，在实现信息共享的同时，能够防止资料越权读取，防止外发文档二次扩散，确保信息安全。

离线方案：

（1）短期离线方案：直接在服务器上设置允许脱机时间，离线后仍可以阅读文档。比如高级管理人员的笔记本电脑下班后需要阅读加密文档；

（2）中长期离线方案（如出差）：可以使用绿盾的离线策略。离线策略需要向管理员申请，获得批准后导入即可。且离线策略可以灵活设定离线使用天数，这样在方便员工外部办公的同时也有效地保证了文档的安全。

2.2 系统工作流程

l 系统管理员通过控制台为每个终端操作员定制安全策略；

l 终端启动时将从服务器获取对应的安全策略和密钥，安全策略保护范围之内的文件被存储时，客户端将自动对其进行加密（而不论其打开时是明文还是密文），被合法进程读取时，客户端将自动对其解密；

l 在机密文件使用过程中，终端将对操作员的所有操作行为进行全程监控

l 系统具有强大的自我防护功能，任何恶意终止、退出或卸载客户端程序的行为都将是徒劳；

l 企业密钥可根据企业需要进行更改（需要USBKey支持）

2.3 系统逻辑组成

绿盾由硬件和软件组成。软件包括服务端程序、控制台程序、终端程序；硬件上由服务端使用的软件狗和终端使用的USBKey组成。

其中USBKey为可选件。

2.3.1 服务端程序

服务端用于存储系统的各项数据，并处理来自于客户端的各项验证，避免客户端可以随意安装和使用。

服务端程序需要运行在不关机的服务器电脑上。用于管理主密钥、企业密钥及各种策略；用于存储终端的屏幕录像数据、实时程序窗口切换记录、文件操作记录、聊天内容等。服务端程序支持扩容，支持海量数据存储。

主要作用包括如下：

l 管理加密密钥，包括每个企业全球唯一的主密钥、支持定期更换的企业密钥等。

l 进行软件注册。

l 终端操作员身份验证等。

l 存储系统配置信息。

l 海量存储系统运营数据。

l 提供控制台接入。

主界面如下图所示：

（注：不同软件版本，界面可能会有所不同，以实际使用的为准。）

2.3.2 控制台程序

控制台通过网络与系统管理中心联接,对系统管理中心进行在线配置和管理。只有持有管理员密钥的用户才能登录控制台。

控制台程序运行在管理员电脑上。是系统的管理配置界面。

主要功能包括：

l 实时监视终端操作行为。

l 配置终端策略。

l 查看历史记录。

l 查询统计信息。

主界面如下图所示：

（注：不同软件版本，界面可能会有所不同，以实际使用的为准。）

2.3.3 终端程序

绿盾终端程序分为两种。一种为全功能终端，即包含文件加解密与内网管理功能的终端；另一种为只启用文件加解密功能的终端。

安装终端程序可以有两种方法：有界面提示的安装和无界面提示的安装。

安装前，系统管理员必须通过控制台为终端分配一个操作员帐号，将其安装在需要保护机密文件或者是需要阅读加密文件的主机上。

安装成功以后，终端会随操作系统的启动而自动启动，每次启动时，终端会从服务器获取最新的安全策略及系统密钥，所有策略范围内的文件都会被自动加密，并且在使用过程中被全程监控，并生成操作日志，留待日志审计员事后追踪责任人。终端主机只有在与管理中心联机的状态下或者在离线策略（包括短期离线策略和长期离线策略两种）允许下，才能正常启动终端。终端根据IP地址来识别服务端，支持更改终端连接的服务端地址，方便服务器迁移。

主要功能如下：

l 操作员登录验证。

l 自动加解密文件。

l 实时记录操作行为，并上传记录。

l 执行终端策略。

终端程序包括登录程序和主程序两部分。主程序为服务程序，没有用户界面。登录程序界面如下图所示：

（注：不同软件版本，界面可能会有所不同，以实际使用的为准。）卸载终端的方法:

当安装了绿盾终端的电脑不需要再进行文件加解密时（如永久脱离公司网络），需要卸载终端。在卸载之前，要确保该终端电脑上的所有文件都已解密，这样在卸载终端后才能正常打开这些文件。解密方法是：用具有批量解密权限的终端操作员用户登陆该电脑，打开“我的电脑”，在每个盘符处分别右击 - 批量解密，解密完成即可，这样就能彻底解密该电脑上的所有文件。

这时就可以卸载终端了。有两种卸载方法：

a. 在绿盾控制台上卸载终端

登录绿盾控制台，点击“终端信息”，在“终端信息”窗口中选中要卸载

的那台终端，点击“卸载终端并删除数据”，确认即可。

b. 在终端电脑上,用终端安装程序卸载

把安装组件里的终端安装程序（绿盾终端.exe）拷贝到终端电脑上，运行

该安装程序，选择“卸载终端软件”，在下一屏中输入控制台密码即可卸载。

3 主要功能介绍

3.1 文件自动加密

3.1.1 文件加密

绿盾信息安全管理软件主要是针对企业的重要文件进行加密。杜绝使用U盘、软盘、光盘，电子邮件等方式窃取企业的机密技术文件、设计图稿、会计帐目、战略计划书、研究论文等文档。

当授权员工在企业内部打开受保护文件时，他可以像操作普通文件一样的通过鼠标左键双击，或者右键的“打开”命令来应用这个文件。在文件打开的过程中，透明解密过程在系统后台完成，对用户操作习惯没有任何影响。如果这个加密文件被利用 MSN、QQ、电子邮件、移动存储设备等手段传输到企业授权范围以外（企业外部），那么它将无法被打开和应用，并且始终保持加密状态。

加密后的文档的图标会增加一个绿色的锁的标志。

将文件拷贝到网络外或者没有安装绿盾终端的电脑上，将显示乱码：

3.1.2 终端操作员管理

3.1.2.1 终端操作员设置

每个终端操作员都可以设置成属于某种终端类型。绿盾默认有两种终端类型：“普通终端（默认）”和“高级管理人员”。主要的区别在于“加密类型”的不同。加密类型包括：只解密不加密和透明加解密。终端类型可以添加、修改、删除。

3.1.2.2 终端操作员管理权限

绿盾信息安全管理软件具有“操作员权限”的管理功能。

1. 阅读文档权限：当企业要求某一部门的文档只能在指定部门内流通，禁止其他部门的终端操作员使用该文档时，可以使用软件的“阅读文档权限”功能。该功能可以授权终端操作员允许使用指定部门的文档，而无法阅读、使用其他部门的文档；同理，其他部门的中断操作员也无法查看未经授权的部门内部的文档。

2. 受理解密申请权限：当终端用户需要外发文件时必须将文件解密后才能外发，这时可在线向拥有“受理解密申请”权限的终端操作员发送“申请解密文件”；

3. 受理外发文件申请权限：当终端用户需要外发机密文件时，想对外发文件进行设置阅读时效、阅读次数、打开密码等权限，这时可在线向拥有“受理外发申请”权限的终端操作员发送“申请外发文件”；

4. 受理离线申请权限：当终端用户需要带笔记本电脑出差时，需要向拥有“受理离线申请”权限的终端操作员发送“离线申请”才可在脱离公司网络后正常使用加密文件；

5. 权限的设置：“阅读文档权限”、“受理解密申请”、“受理离线申请”均可在“终端操作员”的添加、修改的时候设置（参考绿盾使用说明），如下图所示：

3.1.2.3 离线终端

绿盾信息安全管理软件的离线终端功能，可用于需要长期脱离公司网络，同时也需要保护电脑上的文件及查看公司其他电脑上的加密文件的电脑。离线终端的策略和常规终端一样，也是在规则中心里设置的，但不是实时更新的，必须生成策略文件，在终端电脑上导入该策略。如下图所示：

3.1.3 文件解密、外发

绿盾信息安全管理软件可针对一些需脱离公司网络使用，或业务往来时需外发给客户的文件进行解密。

1）申请解密文件：员工可在线的管理人员（自动显示有受理解密申请权限的在线终端）发出申请，管理人员可以查看该文件的内容并选择是否同意解密，同意解密后，员工终端点击“下载解密文件”下载文件即可。

2) 批量解密：具有批量解密权限的员工可点击任务栏终端图标，选择“批量解密”，在弹出的“批量解密”窗口中选择要解密的文档，点确定即可。

3) 系统自动应答解密：当管理员外出不在线，无法及时处理解密申请时，管理员可在控制台中将“解密模式设置”下选择“申请解密时，系统自动解答，并保留记录”。

3.1.4 文件外发

绿盾信息安全管理软件的外发制作功能主要是针对一些重要文件需脱离公司网络外发给客户时，对这些外发文件的安全性具有很高的要求而设置的，外发制作功能可对外发文件进行阅读时效、阅读次数、阅读权限或只允许在一台电脑上打开等限制，有效地提高这些文件的安全性。有两种外发功能可供选择：一是“打印外发”，即做成类似pdf的只读文件，只能阅读，不能修改，也不能打印，这种适用于纯文本信息以及对图像质量要求不高的文件；二是“直接外发”，即保持原文件的格式以及加密状态，外部电脑通过运行微型终端来打开文件，适用于对图像质量要求较高、尤其是具有三维效果的文件。

3.1.5 文件自动备份

文件备份记录这一功能主要用于防范重要文件遭破坏或遭恶意删除等情况。在绿盾终端电脑上操作过的加密文件均会在绿盾服务端的指定目录（此目录可由管理员自由设置路径）下有备份，预防重要文档遭恶意删除或破坏。

注意：备份的文件是以绿盾终端上的文件路径为标志，即终端电脑上不同路径下保存的相同文件名的文件在服务器上均有备份（在不同终端上的同名文件也有分别备份）。

3.1.6 查询文件操作日志记录

绿盾信息安全管理软件还针对文件操作设置了文件操作日志记录查询功能，在控制台主界面的用户列表选择本地网络或者某一组或者某一终端就可以对全体终端或选中的组或终端进行文件操作日志查询。它可对文件操作记录、文件解密记录、文件备份记录、文件外发记录、离线申请记录等进行查询。默认查询当天日志，也可以对查询日期进行选择或按时间段进行查询。