虹安DLP数据泄漏防护系统-技术白皮书-100730

虹安DLP数据泄漏防护系统

Ver3.0

技术白皮书

V1.0

公司名称：深圳市虹安信息技术有限公司

公司地址：深圳市南山区高新南一道赋安科技大厦B座308

邮政编码： 518057

公司网址： https://www.360docs.net/doc/f08419313.html,

联系电话： +86 (0755) 86315156

传真： +86 (0755) 26413060

目录

1 研发背景 (2)

2 系统简介 (3)

2.1概述 (3)

2.2系统架构 (3)

服务端 (4)

客户端 (5)

2.3 网络部署图 (6)

3 技术介绍 (6)

3.1内核级透明加密 (6)

3.1.1 应用程序保护 (6)

3.1.2 设备外设保护 (7)

3.1.3 网络保护 (7)

3.2身份认证和密钥管理 (7)

4 系统特色 (9)

4.1角色和策略管理 (9)

4.2进程学习 (9)

4.3全面的客户端保护 (9)

4.4丰富的移动存储管理 (9)

4.5无缝的接口控制 (9)

4.6明文备份 (10)

4.7数据迁移 (10)

5 功能介绍 (11)

5.1 主要功能模块 (11)

5.1.1 身份认证 (11)

5.1.2 加密保护 (11)

5.1.3 透明加密 (12)

5.1.4 基于角色的策略配置 (12)

5.1.5 移动存储管理 (13)

5.1.6 外发管理 (13)

5.1.7 日志管理 (14)

5.2 功能列表 (14)

6 关于虹安 (17)

7 资质证书 (18)

1研发背景

古云：得人心者得天下；今论：得信息者得市场。科技和商业飞速发展，企业数据保密和信息安全越来越重要，一旦这些信息和数据遭泄漏，企业往往会蒙受巨大的经济损失。

随着信息技术的进步，计算机和网络已成为日常办公、通信交流和协作互动的必备工具。但信息技术提高人们工作效率的同时，也对信息安全防范提出了更高的要求。目前大多数用户对办公网络的安全防范方式，仍然停留在采用防火墙、入侵检测、防病毒等被动防护阶段。而国家计算机信息安全测评中心数据显示：机密资料通过网络泄漏造成损失的单位中，其中被黑客窃取和被内部员工泄漏，两者比例为1：99。该调查显示，互联网接入单位由于内部机密通过网络泄漏而造成重大损失的事件中，只有1%是被黑客窃取的，另外99%全部是由于内部员工有意或无意的泄密行为所导致。

在外设管理方面，据统计有50%的企业因USB使用不当而丢失数据。用户可以随意接入各类外设和移动存储设备，带走内部资料。如：U盘、移动硬盘、手机/MP3/MP4、CF/MD/SD 卡、数码相机……这些外围设备容量越来越大，但体积越来越小，无疑提高了效率，给工作带来便捷。但在愉悦享受高科技产品带来的便利之时，也给信息安全带来严重威胁，让别有用心者有可乘之机。受利益驱使，可能会有内部员工直接参与盗取重要信息数据的行为，近年来，类似力拓“间谍门”的泄密事件时有发生。下图所示为目前主要泄密途径：

那么，如何防范内部泄密事件，安心享用现代科技的便捷？如何保护好企业的智力资产，保持市场信息优势呢？虹安DLP数据泄漏防护系统应运而生。

2系统简介

2.1概述

深圳虹安DLP数据泄漏防护系统（以下简称：虹安DLP）是深圳虹安信息技术有限公司自主研发，拥有完全自主知识产权的DLP平台产品。它以密码技术为支撑，数据保密为核心，身份认证为基础，信息安全为目标。虹安DLP通过内核级加密技术，整合端点控制技术，有效防止任何状态（使用、传输、存储）的内部资料和智慧资产泄漏。

虹安DLP的内核级加密技术和端点控制技术，能够在数据和文件使用时便对其进行自动加密，确保以任何方式泄漏的数据和文件均是密文，同时能够有效防止数据和文件通过任何非法操作和传输路径（如：截屏和另存、共享和外设、邮件、和移动存储设备）等方式泄露，助你更好的管理数据存储、使用、传输的生命周期全过程，如图所示：

虹安DLP防护数据存储、使用、传输概念图

部署虹安DLP，使泄密者不合法就进不来，进来了也找不到，找到了也打不开，打开了也看不懂；没有审核发不出，带走了也没有用，相关操作有记录，出现情况跑不了……

2.2系统架构

虹安DLP数据防泄漏系统包括服务端和客户端软件（含USBKEY）,服务端可以是纯软件，也可以是带硬件的服务端，系统整体架构图如下所示：

服务端

虹安DLP 数据防泄漏系统服务端后台管理系统分：证书密钥管理、策略库管理、系统略，

客户端

客户端软件运行于需要保护的计算机终端后台，实现策略加密、策略解密、日志管理、数据通讯等功能，并集成文件外发工具。该客户端采用安全的方式接受服务器统一管理，接受服务器下发的策略，并通知相应的功能模块执行策略。客户端软件还要与服务器通讯，上传日志和其他服务器需要的数据，同时客户端提供加解密功能，并通过服务端下发的策略来对不同类型的文件进行加解密。

当受保护的文件需要外发时，可以通过客户端集成的外发工具给管理者审核，审核通过后可以外发。

客户端

虹安DLP客户端功能模块图

2.3 网络部署图

3技术介绍

3.1内核级透明加密

虹安DLP支持目前业界领先的128位、256位DES、3DES、AES加密算法，将底层透明加密驱动嵌入到操作系统内核，对文档有多层保护手段。

3.1.1应用程序保护

●文件过滤驱动，实现进程和文件的透明加密，也可做全盘加密操作，文件产生时即

被强制加密，在文件使用（编辑、保存等）过程中进行跟踪加密，以任何方式泄露

出去的文件均为密文。

●进程保护驱动，防止进程被恶意终止，欺骗，注入等，同时避免内存直接读取的漏

洞。

●访问控制驱动，对文件和数据加以权限保护。

3.1.2设备外设保护

●设备文件驱动，对移动存储等文件加密，用于密文明文通用设备。

●设备磁盘驱动，对移动存储或硬盘等设备全盘加密，用于密文专用设备。

3.1.3网络保护

●防火墙驱动，用于控制客户端的网络使用。

具备了以上内核技术，从高层用户接口，到底层存储和传输，全部实现加密保护。且所有操作都通过驱动程序来实现，对用户完全透明，不改变用户使用习惯。

3.2身份认证和密钥管理

身份认证通过USBKey和软证书来进行注册，确保系统用户注册、登陆、注销和回复的全过程安全可靠。

●基于PKI/CA标准密钥和数字证书管理体系，银行交易级别的密钥管理和传输技术。

●USBkey硬件标识作为密钥证书载体，结合密码认证登录。

●双因子认证登录，增强身份认证的可信度，并实现一机多用户情况下权限明晰。

虹安DLP密钥体系图如下：

4系统特色

4.1角色和策略管理

基于角色的访问控制策略。分别设定用户和策略，在通过“角色”把用户与控制策略关联起来即完成策略下发。所有控制权限分类设定为策略模板，模板可导入导出，用户可通过厂商的技术支持获取常用的策略模板来导入。这种做法避免了每个用户组单独设定权限的繁琐操作，更利于实现细粒度的权限控制

4.2进程学习

文档加密的策略配置过程中，最头痛的就是多个进程识别，如某些文档的编辑软件，主进程运行时还会调用其他的子进程，而这些进程都是看不到的，如果这些子进程没有添加到策略中，则文档无法正常加密保护，甚至运行错误。在虹安DLP中，加入了进程自动学习功能，所以，配置策略时，只要把主进程填上即可，在软件运行时，就会把该主进程所调用的子进程都送到内核中，策略就会自动把学习到的子进程添加进来。这就使策略的配置变得非常简单。

4.3全面的客户端保护

数据加密保护系统，经常碰到的问题，就是客户端离线状态下，要么失去保护，要么无法使用。虹安DLP可分别设定在线和离线策略，根据两种不同状态采取针对性控制，既实现保护控制，又不影响工作。

4.4丰富的移动存储管理

对于移动设备的管理，虹安DLP除可控制在线和离线两种状态外，还可以将U盘等移动存储设备设定为内网专用和内外网通用两种不同模式，不会因为加密保护的原因，造成移动设备无法移动的尴尬。

4.5无缝的接口控制

虹安DLP可实现所有外设接口处在离线和在线两种不同状态下的权限控制。如：蓝牙、打印机、数码相机、红外、光驱、串口、并口、摄像头、刻录机、SD卡槽、无线上网卡、

U盘、USB无线网卡等等。

4.6明文备份

虹安DLP所有的加密操作，都可以配置明文备份保护，并实时更新，避免重要数据因系统崩溃、断电等原因损毁。

4.7数据迁移

虹安DLP提供备份和恢复系统数据的功能，在系统升级过程中，能实现不同版本之间的数据迁移。

5功能介绍

5.1 主要功能模块

5.1.1身份认证

通过用户身份认证技术，确保系统中用户身份的真实性，是安全系统的基本要素，也是进行角色管理的基础。虹安DLP采用USBKEY 和软证书认证相结合的方式，确保用户身份的安全性和可靠性，并在此基础上实现了基于角色的策略管理体系。

USBkey还采用了双重身份认证，除设置用户访问口令，还设置了可以防止重复输入攻击的自动锁定功能，进一步提高了用户的安全性。

软证书认证采用数字证书直接下载到个人终端的方式，用户只需设置口令，登录时输入口令就可以进行身份认证。

虹安DLP用户USBKEY认证示意图

5.1.2加密保护

文档加密系统使用微软Windows标准文件过滤驱动框架实现的透明加密内核，可以在文档写入时进行自动加密，读取时自动解密，用户觉查不到文档是否有加密操作，但实际在硬盘上该文档都已被加密。由于加密功能是通过在内核拦截方式实现，没有任何临时文件，故可以达到良好的加密性能，不会对用户有任何影响。加密的文件密钥均为一次一密。

同时加密文件内已经集成了多用户级别的身份认证权限，在内部文档拷贝时可以更好地保

护机密数据，可以方便地对文档进行默认的权限范围划分。文件打开时会对当前进程进行指纹验证以及密文进程保护功能，避免木马病毒或其他程序通过改名或注入到合法进程内部进行窃取密文数据。也可以解决网络开放和数据保密不能互存的现象。

5.1.3透明加密

在操作系统中嵌入文档过滤驱动程序，可以对所有应用程序读写的文档进行过滤，当机密文档被读出时，驱动程序即执行解密操作。当机密文档被写入时，驱动程序则执行加密操作，从而保证所有机密文档被保存到永久介质上的副本都是密文的。

透明加密内核是基于最新IFS文件过滤驱动架构的透明加密平台。加密标识内置于文件本身，加密算法可在内核，也可在应用层。可实现对加密硬件认证的支持。加解密操作均在受保护的内存区域完成，高效安全，不产生临时文件，进程防护驱动可防止进程注入、内存dump。保护机密资料。

5.1.4基于角色的策略配置

将对访问者的控制转换为对角色的控制，使授权管理更为方便实用、效率更高。角色与角色之间可以继承权限，使各个角色的策略划分更为清晰、明确，降低了策略管理的复杂性。用角色关联用户和权限对象，更加适合域细粒度的权限分配。角色可以对应实际的行政关系，不同角色的用户对应不同的策略组合，具备不同的访问权限。

5.1.5移动存储管理

移动存储管理分为两种模式：内网专用模式和内外网混合模式。可以对任何移动存储设备分别进行这两种模式设置。内网专用模式的安全级别最高，使用之前必须对移动存储设备进行注册、格式化后才可以在公司内网内使用，介质内部数据为全加密状态，该介质脱离公司环境后为未格式化状态；内外混合模式一般用在需要内外交互的情况下使用，可以把资料通过移动存储设备复制到公司内部，也可以把公司内部资料通过专人授权后带到公司外部，非授权的情况下强制拷贝到该设备的文件全部为密文不可读取。介质的使用权对应每个用户，权限都各不相同，内网专用模式的权限可以细划为“只读、不限和禁用”三个权限，内外混合模式的权限可分为“只读、加密、不受控、禁用”四个权限。

5.1.6外发管理

对已加密的文档，如果需要把文档向公司外部发送，可以申请进行外发转换。外发时有两个选择方式，一种是完全明文外发，一种是转换成图片进行外发。图片格式外发安全等级比较高，用户只能看到内容，但不能进行编辑或是复制。完全明文外发安全级别最低，它会把原始文件以明文发给外部用户。

5.1.7日志管理

日志内容主要包括外设使用记录、加密文件记录、文件基本操作记录、对加密文件操作的记录、外发存档记录等等。在发生数据泄漏事件时，日志记录为查找泄漏源提供了有力的证据。

5.2 功能列表

6关于虹安

深圳市虹安信息技术有限公司（简称“虹安”），致力于信息安全产品的自主研发、销售和服务，旨在为每一位客户提供可靠、高效、灵活、规范的产品和服务，使客户对信息系统的机密性、真实性和可用性更具信心。

自90 年代成立至今，我们一直专注于信息安全领域，并立志成为信息安全的新一代市场领导者。虹安位于深圳南山高新技术园区，于2009 年10 月配合总公司成都卫士通（002268）的战略需要，由其控股子公司深圳卫士通的研发和经营团队整体改制而成。历经十年发展，我们已完成由产品销售向自主研发的战略转型，同时实现了由单一密码产品到平台化信息安全产品的业务拓展，形成以“虹安DLP 数据泄密防护系列”和“虹安内网安全综合防护系列” 为核心的内网安全产品族系。

未来，虹安将秉承“务实进取，共同奋斗”的企业精神，坚持“科技创新，人才为本”的发展理念，在实务中不断促进公司运营的“市场化、资本化、国际化”改革，最终成就信息安全领域的新一代领导者品牌。

7资质证书