浙大大天图文档安全加密系统(GS-DES)简介

【天幕】GS-DES企业信息安全解决方案天幕机要文档安全管理系统是杭州浙大大天信息有限公司自主研发的企业数据防护软件。

大天以十数年的CAD软件的研发功底和企业信息化管理的咨询实施经验，洞察企业信息安全的现状和需求，率先推出此系统，为中国企业的自主创新提供有力的安全保证。

经过几年和上千家客户的实践验证，防范严密，宽紧有度，成为行业领导品牌，并率先通过国家密码管理局和公安部的权威认证。

一企业面临的安全隐患经调查和分析，计算机数据外泄的方式一般以下几种形式出现：●拷贝复制：通过软盘、U盘、硬盘、刻录机；●打印文档：通过本地、网络或虚拟打印机，打印成纸质文档或PDF格式；●网络传输：通过邮件，ftp，即时聊天工具（如QQ，MSN）等；●数据共享：通过网络环境，直接访问和下载；●异地登陆：通过黑客技术直接进入计算机直接进行访问和下载。

通过上述的分析，我们不难发现，文件泄密的大部分途径其实是在企业内部（内网），而昂贵的防火墙，杀毒软件对于泄密的防备，所起的作用其实相当有限。

二【天幕】GS-DES运行机制GS-DES的核心技术是数据加密。

简单的说，这种技术就是按照一定的加密算法，把普通的电子文档“置换”成一种“密文”。

这种密文，只有在能够识别这种加密算法的客户端电脑上，才能打开查看。

这样一旦文件被非法拷贝出去，由于企业外部的电脑无法“翻译”这种密文，打开文件看到的只是乱码。

这种加密算法，在我国是由国家密码管理局进行管理，只有取得国家密码管理局的生产和销售许可的软件企业才能生产和销售这种安全加密软件。

企业的实际情况相当复杂，安全性与灵活性方便性都需要兼顾。

所以，加密软件又附加了很多管理功能，最重要的就是操作权限的控制，和操作日志的记录。

这样才能实现事前，事中和事后的控制，从而完整解决企业信息安全问题。

三设计理念事前防御，拿走了，用不了事中控制，要操作，需授权事后追踪，谁做过，有记录四解决方案1.事前防御，在泄密可能发生之前，就尽可能的杜绝。

1).文件在保存时自动加密GS-DES目前支持对400多种文件格式的加密，基本涵盖目前市面上常见的各种文件，在指定应用软件产生指定格式的文件时，系统自动对文件进行加密。

2).原有的文档自动扫描加密GS-DES在安装完毕后，会自动对电脑中指定盘符中指定格式的文件进行扫描并加密。

所以无论是新旧文档，均无后顾之忧。

3).可以对硬件端口进行管控对客户机上的硬件端口，在服务器上进行集中管控，依不同的权限可以进行禁用或者启用，例如：USB端口（针对U盘，其他如USB鼠标不会禁用）、1394端口、红外线端口、存储卡接口等……4).安装过程非常隐蔽高效系统在安装前，最容易发生泄密和机密文件的转移。

所以在安装实施的时候，一方面，企业要做好事前的防范，更重要的是，安装过程要迅速和高效。

GS-DES在域的网络环境下，可以通过远程安装的方式，在服务器上对客户端进行安装，过程非常迅速，同时对使用人员的干扰很小，可以实现隐蔽安装。

既稳定人心，同时也避免惊动不轨者，提前实施文件的转移。

2.事中控制，在有泄密危险的操作发生过程中，也提供全程的保护企业要安全，也要效率，如果因为安全的问题，限制一些虽然有潜在危险却又必须进行的操作，不仅会引起员工的反感，也会大大影响工作的效率。

但是若不对这些操作进行控制，又会对企业造成很大威胁。

因此能否在操作过程中实行有效的监控是检验一个加密软件好坏的试金石。

最好的方式应该是，安全加密软件应该是透明的，隐形的，普通用户可能甚至感觉不到它的存在，但是一旦有人图谋不轨，这张隐形的【天幕】，立刻会变成天网。

1).加密文件的无障碍操作在安装了GS-DES客户端的电脑上，用户可以自如地对各类加密文件进行各种操作，丝毫感觉不到加密软件的存在。

2).对受控制的应用软件系统实时动态地进行控制在受控的应用程序中对文件进行各种编辑操作时，是受到系统实时动态监控的，其内容不能被复制、剪切到未受控的应用软件中。

比如，不能在将受控的Word上将文件中的内容复制到不受控的记事本中。

无权限用户不能拷贝或录制屏幕，不能进行OLE操作无权限用户不能在受控程序中将文件以附件形式发送邮件，不能将文件内容通过Ftp、Http上传。

文档的打印，通过权限进行控制，没有权限的用户，无法打印受控的加密文件。

可以结合公司的管理制度，施行文档的集中打印。

3).外发邮件的管控外发邮件自动解密的功能实现了企业能快速地与外部进行无障碍交流，而不需通过解密的方式进行交流。

为确保文件的安全，外发邮件需要通过严格的信任认证：首先是发件人的信任认证：发件人邮箱必须出现在可信任队列中；其次是收件人的信任认证：收件人邮箱必须出现在可信任队列中；通过双重认证，发出的邮件才可以被自动解密，否则将不允许外发邮件或发出的邮件仍是密文。

4).支持移动办公现在移动办公非常常见，如何在用户离开企业的网络环境后，进行控制？对离开企业环境的用户提供几种不同的解决方案。

以保证受控格式文件处于受控状态，而无需将文件解密后带出企业，有效防范文件泄密。

方案一：以离网状态移动加密；这个适合短途出差的用户，或者需要把笔记本电脑带回家的用户。

方案二：以软许可状态移动加密；这个适合企业高层领导，通过软许可的方式，把密钥和笔记本的硬件如硬盘主板序列号，或者网卡的MAC地址绑定，这样用户可以“一直”处于加密环境中。

方案三：以单机锁状态移动加密；这个适合出差人员较多，且时间不定的客户。

出差人员在临行前，向管理部门申请单独的加密锁。

返回后，再归还给公司。

5).网络故障，系统也能自动应对企业的网络会因为种种原因处于不稳定状态，时常断掉，若这个时候没有应对方案，则会给企业的员工带来很大不便，同时也增加了安全隐患。

在网络断掉时，GS-DES会继续运行一段时间（缺省最长2小时，特殊需求的企业可定制），这个时间可由企业自己设定。

在此期间客户可以正常使用受控的应用软件，并且产生的文件也是加密的。

6).具有自我保护功能，即使遭到恶意破坏或攻击，也没有破绽GS-DES客户端进程不可见，不会出现在任务管理器中。

无权限用户无法卸载GS-DES客户端程序。

无法通过任务管理器或杀进程工具终止GS-DES客户端程序，杀掉之后会自动重新运行或重新启动电脑。

不能通过更改受控程序名称的方式脱离GS-DES控制。

使用者无法私自脱离程序控制，比如有的用户试图通过拔掉网线的方式，或更改IP 地址等方式避开系统的监控。

7).解密权限高度集中对于某些必须解密后带出公司的文件，系统也给出了解决方案。

只有最高层级的人员具有此权限。

8).系统的维护与管理集中在后台进行在服务器总控制台，管理者可以对所有客户端进行监控与管理。

系统更新与维护简单方便，对前端的影响非常小。

采用群组管理，可建立企业的组织关系，以树状方式分类组织各部门所管理的受控机器，方便授权与监控。

•可显示总许可数与使用节点数；•可动态实时设置客户端使用权限与控制列表；•可动态设置客户端硬件端口的使用权限；•可动态设置客户端离网与软件许可策略；•可设置客户端默认连接权限；•动态显示客户端的网络连接情况。

9).人性化功能【天幕】GS-DES在提供周密安全防护的同事，也以体贴入微的细致，设置了许多人性化功能，让使用者最大可能的享受到工作的便利，不致因为安全的需要而降低工作效率和热情。

手工停用控制：支持加密客户端手工停用/启用，这个功能需要授权。

这个功能适用于无须加密的部门或个人（如高层），但是又需要打开查看某些加密的文件。

托盘图标控制：支持显示与隐藏客户端图标3 事后追踪，可以根据操作日志追查责任人GS-DES对系统中的所有敏感操作进行记录，以备查询与统计，日志记录可以输出为文本或Excel文件报表。

这些敏感操作包括：解密；打印；离网策略授予；软许可授予；这些权限都是集中于系统管理员或者高层管理人员身上，他们相对来说是可靠的，一般不会发生主动泄密。

但是万一真的发生，系统可以根据操作日志，追查到具体的责任人。

五系统特点1.“透明隐形”的【天幕】，不改变原有操作习惯安装了GS-DES系统的客户端，在使用的过程中没有改变使用者以往的任何操作习惯，受控的应用软件的使用界面也没有任何变化，唯一改变的是最终产生的文件是加密文件。

2.便捷、高效的加解密机制经加密后的文件需通过专用的解密工具进行解密后，才可外发并脱离企业内部使用，否则文件会因验证码和硬件环境不符而无法打开和浏览，不同企业的加密文件互不通用。

3.实时、动态加密，在文档的全部生命周期都提高有效的防护GS-DES系统安装并完成初始化后，企业中将不存在非加密的受控电子文件，客户端上的图纸文件实时处于加密状态。

4.高效、稳定的加密算法采用与软硬件相结合的加密技术和灵活、高效的加密算法，使工作密钥动态变化，对同一文件多次加密，其密文也不一样。

5.完善的管理工具管理端工具除具有用户管理、客户机权限、批量加解密、初始化操作等功能外，还可以实时监控所有客户机的安装运行状态、操作权限、离网策略、受控软件、操作日志等。

6.灵活的系统部署支持客户端远程强制更新、客户端开机自动更新、客户端离网手工更新等多种灵活的系统部署方式。

7.高效的离网许可发放管理控制台可远程制作、发放、安装、更新与卸载离网许可，设定客户机离网策略，包括离网使用时效、次数等。

8.严格高效的邮件解密管理员通过控制台可远程对信任邮箱的收、发件人管理，满足条件的邮件自动将邮件附件解密为明文，便于与外部合作伙伴进行正常业务往来。

9.强大系统集成能力系统通过配置，不但可实现与目前主流的桌面应用系统集成，如OFFICE系列、CAD 系列、图像处理系列等，而且具有与大型的管理系统集成能力，包括OA、PDM、CPC、ERP 等，已成功与LOTUS NOTES、国外内主流PDM、基于WEB的OA、CPC等的集成案例。

七【天幕】DES支持的文件类别GS-DES系统适应各种应用软件的控制，除下表中列出的常见软件外，还对客户提出的其它类型的软件进行控制。

也接受客户专门的软件定制。

八增强模块GS-eMonitor功能简介1. 文件操作监控该功能为其它各项文件相关功能的基础。

文件操作监控按监控的范围可分为系统监控和目录监控。

默认情况下，系统监控将所有本地磁盘、光盘驱动器、移动硬盘、网络驱动器等列入监控范围，任何文件更改事件都将被列入后续处理队列；而目录监控只记录指定的一个或多个目录中发生的文件更改事件。

开启系统监控时，用户可选择监控的设备类型，包含本地磁盘、光盘驱动器、移动硬盘、网络驱动器等。

由于eMonitor基于文件更改事件的特殊性，从远程共享目录映射而成的网络驱动器中所发生的文件更改事件将不能被本地系统接收，因而存在网络驱动器监控无效的情况。

并不是所有格式的文件都需要列入监控范围，因而eMonitor可自主配置需要监控的文件类型。