赛门铁克DLP数据防泄密方案2010

赛门铁克DLP数据防泄密方案
文档编号：
创建日期：2009-02-12
最后修改日期：2010-04-13
版本号：1.0.0
目录
1.设计思路 (1)
1.1.什么是数据防泄漏 (1)
1.2.机密信息的划分标准 (1)
1.2.1.基于权限 (1)
1.2.2.基于内容 (2)
1.3.全面的多层次防护 (2)
1.3.1.IT基础架构安全防护 (2)
1.3.2.数据防泄密 (2)
1.3.3.安全管理 (3)
1.4.首要解决大概率事件 (3)
2.数据防泄露技术介绍 (4)
2.1.概述 (4)
2.2.产品功能模块介绍 (5)
2.2.1.V ontu Enforce (5)
2.2.2.V ontu Network Monitor (5)
2.2.3.V ontu Network Prevent (5)
2.2.4.V ontu Endpoint Prevent (5)
2.2.5.V ontu Endpoint Discover (6)
2.2.6.V ontu Network Discover (6)
2.2.7.V ontu Network Protect (6)
3.数据防泄漏技术实现 (6)
3.1.定义企业机密信息：如何建立机密信息样本库 (7)
3.1.1.结构化数据：精确数据匹配 (7)
3.1.2.非结构化数据：索引文件匹配 (8)
3.1.3.补充：描述内容匹配 (8)
3.2.制定监视和防护策略 (9)
3.3.部署监视防护策略，检测敏感数据 (9)
3.3.1.网络DLP (10)
3.3.1.1.V ontu Network Monitor 的工作原理 (10)
3.3.1.2.V ontu Network Monitor 部署 (11)
3.3.1.3.V ontu Network Prevent 的工作原理和部署 (11)
3.3.1.3.1.V ontu Network Prevent for Email (12)
3.3.1.3.2.V ontu Network Prevent for Web (12)
3.3.2.端点DLP (13)
3.3.2.1.端点DLP架构 (13)
3.3.2.2.V ontu Endpoint Prevent 的工作原理 (14)
3.3.2.3.V ontu Endpoint Discover (15)
3.3.2.4.对网络和端点的影响 (16)
3.3.2.4.1.端点影响 (16)
3.3.2.4.2.网络影响 (16)
3.3.2.5.防篡改和安全性 (17)
3.3.3.存储DLP (17)
3.3.3.1.V ontu Network Discover 的工作原理 (17)
3.3.3.1.1.无代理 (18)
3.3.3.1.2.基于扫描程序 (18)
3.3.3.1.3.基于Windows 代理 (19)
3.3.3.2.玩网络 (19)
3.3.3.3.V ontu Network Protect 的工作原理 (19)
3.3.3.4.V ontu Storage DLP 部署 (20)
4.关于Gartner MQ (Magic Quadrant) (20)
4.1.赛门铁克DLP评估（摘自2008年6月的Gartner报告） (21)
4.2.什么是魔力象限(Magic Quadrant) (21)
1.设计思路
1.1.什么是数据防泄漏
对企业而言，在面临来自外部的病毒、木马、网络攻击等种种网络安全威胁时，来自内部的数据泄露或许是一个更需要重视的问题。

无论企业处于何种规模，都存在数据泄密的风险，而这些风险将会让企业面临安全、知识产权、财产、隐私和法规遵从方面的威胁。

在这些数据泄露情况中，大部分情况下都是员工在无意中泄露出去的，但还有一些则是由员工有意为之。

一个使用没有安全防护的笔记本电脑的移动办公人员，可能有意或无意地通过无线网络泄漏公司机密信息。

与此同时，大量支持USB连接的设备不断涌现，也使得企业的机密信息很可能便被装进U盘或者移动硬盘等方便地带走。

当发生数据泄密时，在安全专家忙于恢复敏感数据和修补泄密漏洞期间，企业的时间、资金和声誉都会遭受到严重的威胁。

企业安全专家总处于一场没有终点的战争中：当原来的泄密漏洞刚刚得到控制，新的数据泄密情况却又伴随着其他众多设备的使用而频繁出现。

企业信息化目的是为了信息和数据的共享，而数据的生命周期中包括存储（生成数据的服务器和存储设备）、使用（数据的使用者对数据进行操作）和传输（数据从一个地点传送到到另外一个地点）三个基本的生命过程。

数据防泄漏就是要保护企业的机密信息不被非法的存储、使用和传输。

1.2.机密信息的划分标准
显然，如果对企业内各种各样的海量数据全部进行同样级别的保护，等于没有任何保护。

因此数据防泄漏的一个基本点是确定信息的机密性分类。

对于可以完全对外公开的数据，不需要任何的信息防泄漏防护措施；对于关系到企业生存、发展、声誉的重要数据，应当严格控制其存储位置，使用方式和传输方式。

如何对信息进行机密性的分类呢？最根本思想的是依据信息的内容来判断其机密性级别。

信息的所有者（如业务人员）可以根据个人或者企业的相关规范理解自己创建的信息内容的机密性级别。

至于如何操作，实现方式包括以下两种：
1.2.1.基于权限
信息所有者对信息载体（数据库或者文件）进行权限设定，即什么样的人可以访问什么样的信息。

这是一种最直观的信息保护模型，但是其实践和操作具有很大的局限性。

首先，被保护的对象不是数据的内容，而是数据的载体，因此一旦载体发生变化，原有的权限设定和控制就失去效力。

比如，从数据库查询到信息存成文件格式，则对数据库表的权限设置即失去意义。

另外，当把文件中的某些关键信息拷贝粘贴到其他文档，或者转换成其他格式，对于原有文件的权限设定也同样失去防护意义。

其次，权限设定在操作中将极大地影响现有的工作流程管理和用户使用习惯。

显然，越大型的网络环境复杂度将呈现指数型上升，这也是基于数字权限的防护技术一直不能在市场上大规模应用的主要原因。

特别是对于非结构数据，如文件，设想一下，
对不计其数的文件进行权限的管理，为每个文件设定可以访问、阅读、修改等权限，最终用户和管理员将不堪负重。

最后，并不是所有的文件类型都可以象pdf文档一样进行权限设定，因此为了保证有效性经常需要进行格式转换，这又带了了转化后数据无法逆转，格式失真，用户使用习惯更改等更多问题。

1.2.2.基于内容
显然，信息防泄漏关注的根本在于信息的内容。

基于内容的机密信息分级将大大地减少管理实施难度，确保防护的有效性。

管理员只需要知道我们的机密信息应当存储在数据库的那个表中，或者服务器上的哪个目录下，就可以完成对信息机密性级别的定义。

显然，信息的所有者很容易提供以上信息，并且无需费神去设定权限。

一旦确定了机密信息的存储位置，则可以自动地建立机密信息样本数据库，进而在存储、网络、终端各个层面发现机密信息泄漏事件。

1.3.全面的多层次防护
信息防泄漏不是单独地依靠一种产品或者一种技术就可以完善解决的任务，必须建立全面的多层次防护体系，并辅以适当的管理、流程和培训，才能确保我们实现数据防护的目标。

从防护层次上包括IT基础架构安全、数据安全、安全管理三个方面：
1.3.1.IT基础架构安全防护
IT基础架构安全包括网络、服务器和终端的安全。

对于大型网络首先要划分安全域，在安全域之间的边界实施监视和访问控制，做到看得见、管得着。

细粒度的网络访问权限控制是信息防泄密的基础。

服务器往往是存储机密信息的基础平台。

因此我们需要在信息泄露事件发生之前能够预警、提前防范；在信息泄露事件发生时能够主动实时地防护；在信息泄露事件发生之后做到及时告警、快速响应和恢复。

即在预警、防护和响应三个层次上进行主动防护。

以响应为例，用户、管理员、集成商人员等对于服务器的访问和操作应当建立完备的审计机制，无论是通过网络登陆还是本机操作，都可以查询管理人员操作的历史记录。

通过详细记录用户行为，约束使用者对服务器上信息的操作，避免越权操作，并且可以确保安全事件发生时可以快速响应。

对于终端，严格地管理和约束终端行为，落实确保合法用户和合归操作。

通过采用准入控制技术，使用技术手段进行控制，对于违反企业安全策略的终端限制其访问网络资源，从而保证所有接入网络内部的终端符合企业安全策略要求，特别信息防泄密的要求。

1.3.
2.数据防泄密
企业需要重点保护客户数据、公司信息、知识产权及敏感或机密信息的安全，无论它们是通过电子邮件、web 邮件或其它因特网协议传出网络，还是通过USB/CD/DVD 传出端点或保存在端点上，或者是保存在共享服务器和数据存储库中。

本方案将重点介绍Symantec公司V ontu数据防泄漏技术方案。

Vontu Data Loss Prevention (DLP)是业界第一个结合了终端和网络功能的软件，它为机密数据的存储和使用提供保护。

无论是存储在网络的、还是不联网终端上的数据，V ontu都可以发现它们，并且可以防止数据从网络网。