1、UniBDP業(yè)務數(shù)據(jù)防泄露簡介1 UniBDP業(yè)務數(shù)據(jù)防泄露管理技術方案1.1 LeagView業(yè)務數(shù)據(jù)防泄露（UniBDP）總體介紹1.1.1 什么是UniBDP 傳統(tǒng)的信息系統(tǒng)，數(shù)據(jù)非常容易被用戶截留下來并帶走。如網(wǎng)絡文件共享系統(tǒng)、數(shù)據(jù)庫系統(tǒng)、OA系統(tǒng)等，可控制哪個帳號能夠訪問系統(tǒng)上的數(shù)據(jù)，但是這個帳號對應的用戶，一旦從系統(tǒng)獲得數(shù)據(jù)后（數(shù)據(jù)一旦脫離系統(tǒng)被訪問終端獲取之后），終端可將數(shù)據(jù)另存在本地保存或通過網(wǎng)絡、移動存儲介質（U盤）等方式，將數(shù)據(jù)截留在本地或直接帶走。內部人員將自己獲得的數(shù)據(jù)泄露出去、外包人員完成任務后帶走數(shù)據(jù)、電腦被黑客攻破后數(shù)據(jù)被竊取，這些已經成為企業(yè)、政府都非常嚴重的安

2、全問題。聯(lián)軟科技的UniBDP業(yè)務數(shù)據(jù)防泄露技術方案，專為解決業(yè)務系統(tǒng)的數(shù)據(jù)泄密而設計。能有效解決數(shù)據(jù)使用后的及時銷毀，及員工或外包人員完成工作任務后的數(shù)據(jù)回收問題。無論他們訪問的數(shù)據(jù)是文件服務器上的一個文件，還是數(shù)據(jù)庫上的一條記錄，亦或是一個網(wǎng)頁，甚至是網(wǎng)絡設備上的配置信息，都可以對這些數(shù)據(jù)進行保護，防止他們將數(shù)據(jù)泄露出去。UniBDP建立在LeagView安全管理系統(tǒng)獨有專利技術金箍圈技術和資源訪問控制技術（RAC）基礎之上，UniBDP成功地解決了數(shù)據(jù)脫離業(yè)務系統(tǒng)之后的數(shù)據(jù)防泄露保護問題。UniBDP技術方案實現(xiàn)了：1）強制訪問資源的終端必須受控、可信；2）受控制的終端，在訪問業(yè)務系統(tǒng)之

3、后，其從業(yè)務系統(tǒng)獲取的數(shù)據(jù)，在使用過程中，將受到如下控制：Ø 另存或導出控制：未經明確的授權或批準，終端無法將從業(yè)務系統(tǒng)獲取的數(shù)據(jù)在本地或U盤中保存；Ø 復制控制：未經授權許可，終端無法將數(shù)據(jù)復制到其它應用之中，如復制到QQ/MSN/飛信等軟件中；Ø 打印、截屏控制：未經授權許可，終端無法將數(shù)據(jù)打印、截屏；Ø 防止外拍限制：通過智能水印技術，在數(shù)據(jù)顯示時印上使用者的姓名、時間、IP、計算機名稱等信息，防止使用者通過外拍手段獲取信息。除以上控制手段以外，金箍圈技術還提供了審批、審計流痕、備份式數(shù)據(jù)操作審計等功能。如果使用者只是對數(shù)據(jù)進行正常的使用、操作，則

4、金箍圈技術對其不會產生任何限制、影響。如：數(shù)據(jù)的輸入、查詢、修改，以及合法授權的導出、打印、復制等行為，都不受影響。1.1.2 UniBDP技術方案的核心組成部件LeagView業(yè)務數(shù)據(jù)防泄露（簡稱UniBDP）技術方案包括兩個部分：1）RAC，資源訪問控制技術2）金箍圈，虛擬計算保護技術其中，RAC是在LeagView網(wǎng)絡準入控制（NAC）基礎上，增加了自動應用感知功能后，發(fā)展而來。金箍圈技術，是專為防止業(yè)務數(shù)據(jù)泄露而研發(fā)，確保進入電腦終端的業(yè)務數(shù)據(jù)，只能在獨立的業(yè)務技術環(huán)境中被訪問，數(shù)據(jù)或文件脫離業(yè)務計算環(huán)境須經審批。下圖是UniBDP核心技術構成說明圖。圖 1 LeagView業(yè)務數(shù)據(jù)防

5、泄露兩大核心技術1.2 核心技術：RAC技術簡介1.2.1 為什么需要RAC技術傳統(tǒng)NAC，關注的焦點是“網(wǎng)絡本身”的安全，今天的用戶，除了網(wǎng)絡，還更關注業(yè)務系統(tǒng)、信息本身的安全。RAC從保護網(wǎng)絡，轉向保護資源（“網(wǎng)絡本身”也是RAC保護的對象之一）。今天，管理、生產、設計、辦公，都依賴于網(wǎng)絡與應用系統(tǒng)的正常運行。無論是金融、電信、政府、醫(yī)療等，業(yè)務運行，已經離不開網(wǎng)絡。然而，下列因素使得業(yè)務系統(tǒng)，處于非常危險的境地：Ø 網(wǎng)絡不斷擴大、應用越來越復雜，開發(fā)、維護、使用人員越來越多Ø 無法落地的管理規(guī)定，滯后的管理手段，管理規(guī)定與技術手段嚴重脫節(jié) Ø 隨處可得的攻擊

6、工具，越來越多的系統(tǒng)攻擊、業(yè)務中斷、信息泄露事件 安全風險問題，若不從源頭上-“接入網(wǎng)絡的每臺終端”，就無法得到徹底解決。NAC技術的本質就是：從源頭上(接入網(wǎng)絡的終端)解決網(wǎng)絡的安全問題，RAC的本質，也是要從源頭(接入網(wǎng)絡的終端及接入終端的存儲設備)等入手，解決：n 網(wǎng)絡安全穩(wěn)定運行問題 n 應用安全穩(wěn)定運行問題 n 業(yè)務數(shù)據(jù)的安全保密問題1.2.2 什么是RAC技術為解決越來越復雜的安全風險，聯(lián)軟科技在7年NAC經驗基礎之上，創(chuàng)造性地提出RAC(資源訪問控制)概念及技術，并發(fā)展出相應的產品。具體來說：RAC = NAC + AAC，(AAC: 應用訪問控制，與NAC技術無縫集成)

7、6; RAC：資源訪問控制，網(wǎng)絡上的資源包括：網(wǎng)絡本身、應用系統(tǒng)、數(shù)據(jù) Ø AAC：只有授權的應用軟件客戶端，才能與應用系統(tǒng)交互 RAC通過網(wǎng)絡設備動態(tài)ACL和終端上的動態(tài)防火墻技術，對終端訪問網(wǎng)絡、訪問業(yè)務資源進行動態(tài)控制，系統(tǒng)實現(xiàn)：n 網(wǎng)絡更安全 Ø 指定合規(guī)終端、人員才能訪問業(yè)務系統(tǒng)，并實現(xiàn)網(wǎng)絡安全域隔離Ø 合規(guī)軟件，才能訪問業(yè)務系統(tǒng)Ø 防止對業(yè)務系統(tǒng)的DDoS和緩沖區(qū)溢出、注入式攻擊等 n 應用更安全 Ø 保障指定的業(yè)務軟件客戶端才能訪問業(yè)務系統(tǒng)，應用不受攻擊 Ø 實現(xiàn)業(yè)務操作安全、操作有效審計 n 數(shù)據(jù)更安全：業(yè)務數(shù)據(jù)防泄露

8、，保障業(yè)務數(shù)據(jù)不泄露 1.3 核心技術：金箍圈技術簡介1.3.1 金箍圈技術誕生的背景傳統(tǒng)的數(shù)據(jù)庫等系統(tǒng)，只對用戶設置了數(shù)據(jù)的訪問權限，如果用戶獲得數(shù)據(jù)之后，可將數(shù)據(jù)保存、轉發(fā)、打印等，數(shù)據(jù)的使用就脫離了系統(tǒng)的權限控制。金箍圈技術正是為解決這類問題研發(fā)。1.3.2 金箍圈技術實現(xiàn)簡述傳統(tǒng)的PC 終端，沒有將單位的數(shù)據(jù)和個人的數(shù)據(jù)做有效的分割，致使數(shù)據(jù)防泄露異常困難。因為要解決這個問題，傳統(tǒng)的方案往往只能你對進出PC的所有數(shù)據(jù)進行控制，這樣必然導致使用復雜、效率降低，勢必犧牲PC原有的強大及便利性。金箍圈技術，創(chuàng)造性地通過如下方法解決業(yè)務數(shù)據(jù)與個人數(shù)據(jù)的隔離，及業(yè)務數(shù)據(jù)的保護問題：1）為每個訪問

9、業(yè)務系統(tǒng)的進程，建立獨立的計算環(huán)境；2）訪問業(yè)務系統(tǒng)的進程，其從業(yè)務系統(tǒng)中獲取的數(shù)據(jù)，只能在獨立的計算環(huán)境中使用；3）業(yè)務數(shù)據(jù)必須經過授權，才能脫離原有的計算環(huán)境。下圖是金箍圈技術的示意圖：圖 2 金箍圈技術示意圖簡單舉例說明起見，金箍圈好比將一臺電腦邏輯上劃分為兩臺電腦，一臺為業(yè)務電腦，另外一臺為個人電腦。只有業(yè)務電腦才能訪問業(yè)務數(shù)據(jù)，個人電腦不能訪問業(yè)務數(shù)據(jù)。兩臺邏輯電腦之間交換數(shù)據(jù)，需要審批管理。對于因為業(yè)務原因，需要在電腦終端上保存數(shù)據(jù)，LeagView安全管理系統(tǒng)獨有專利技術金箍圈技術，可在電腦終端上提供一個保護區(qū)（保護區(qū)稱為：虛擬O盤），授權的用戶可將來自業(yè)務系統(tǒng)的數(shù)據(jù)暫時保存在虛

10、擬O盤中。所有保存在虛擬O盤中的文件數(shù)據(jù)，其控制方法與業(yè)務系統(tǒng)中的數(shù)據(jù)控制方法一致，即：數(shù)據(jù)脫離O盤或打印、截屏、外拍等，均受管理控制。1.3.3 移動辦公與O盤功能為解決移動辦公等需要，金箍圈技術支持O盤功能，O盤屬于業(yè)務計算環(huán)境。如果管理員給用戶配置了O盤策略，用戶在訪問業(yè)務系統(tǒng)時，可將數(shù)據(jù)保存在O盤，便于離線工作或或便于某些特殊工作要求。O盤中的數(shù)據(jù)，不能進入個人計算環(huán)境。如需進入計算，則需審批。1.4 數(shù)據(jù)操作的審批與審計UniBDP支持強大的審批管理和審計管理功能，具體來說包括：1）雙向控制，無論是進入、還是離開“業(yè)務計算環(huán)境”，都能進行審批、控制；2）審批支持自動審批、人工審批。其

11、中人工審批支持多人并聯(lián)審批和多人串聯(lián)審批；3）所有進入、離開“業(yè)務計算環(huán)境”的數(shù)據(jù)操作，都有審計。管理員可配置審計時是否對“數(shù)據(jù)”做備份式留檔；4）所有審批，都有記錄流痕。審批人員和安全系統(tǒng)管理員的權限分離；5）審計記錄，安全系統(tǒng)管理員無法刪除。1.5 UniBDP的應用場景UniBDP支持各種類型的數(shù)據(jù)，對這些數(shù)據(jù)可進行防泄露控制，具體包括：1）基于B/S、C/S類的業(yè)務應用系統(tǒng)數(shù)據(jù)，包括數(shù)據(jù)庫類應用；2）基于網(wǎng)絡共享的文件服務器上的數(shù)據(jù)；3）通過Telnet/SSH等協(xié)議獲取的網(wǎng)絡設備、主機的配置信息；4）保存在終端O盤上的數(shù)據(jù)此外，UniBDP也支持防止外部非法數(shù)據(jù)進入“業(yè)務系統(tǒng)”，例如

12、：未經批準對業(yè)務系統(tǒng)的源代碼、配置文件進行替換更新。2 UniBDP業(yè)務數(shù)據(jù)防泄露管理配置清單序號名稱詳細描述1LeagView UniBDP信息防泄露模塊2LeagView UniNAC網(wǎng)絡準入控制模塊3LeagView Management System防泄露策略管理后臺以500點為例，產品標準配置清單如下：序號產品名稱數(shù)量1LeagView Management System22LeagView UniNAC5003LeagView UniBDP5003 UniBDP業(yè)務數(shù)據(jù)防泄露管理測試方案3.1 環(huán)境準備1.1、服務器1臺由聯(lián)軟科技測試工程師直接攜帶安裝好的虛擬機。1.2、客戶機2臺

13、由客戶配合測試的工程師提供現(xiàn)場客戶機2臺，其中1臺為日常使用工作站、1臺為包含業(yè)務應用客戶端的工作站（可以正常連接業(yè)務系統(tǒng)后臺并進行業(yè)務開展）。1.3、信息防泄露客戶端軟件由聯(lián)軟科技測試工程師提供，為一鍵式EXE可安裝程序。3.2 測試功能提醒：針對C/S模式和B/S模式的應用系統(tǒng)防泄露，均采用BDP模塊進行測試；以下功能項可以自適應于C/S和B/S 2類模式；其中資源訪問控制功能測試重點以硬件NACC準入方式為主，其他方式不為測試重點。3.2.1 對客戶現(xiàn)有環(huán)境的支持能力測試序號是否支持32位、64位操作系統(tǒng)環(huán)境預期實際1客戶端是否可以順利安裝Y2重新啟動后是否可以正常啟動Y3是否與殺毒軟件

14、出現(xiàn)沖突Y4是否可以正常加載各項驅動、插件Y3.2.2 對業(yè)務系統(tǒng)數(shù)據(jù)防泄露支持能力測試序號是否支持業(yè)務系統(tǒng)數(shù)據(jù)防泄露導出數(shù)據(jù)阻止預期實際1是否可以順利復制業(yè)務系統(tǒng)內的數(shù)據(jù)到其他任意應用程序中。N2是否可以順利另存業(yè)務系統(tǒng)內的數(shù)據(jù)到任意位置中。N3是否可以順利打印業(yè)務系統(tǒng)內的數(shù)據(jù)通過尋機文件打印機（PDFOFFICE）或者物理打印機。N4是否可以順利通過任意截屏軟件對業(yè)務系統(tǒng)進行截屏。N序號是否支持業(yè)務系統(tǒng)數(shù)據(jù)防泄露導出數(shù)據(jù)控制預期實際1是否可以只允許另存業(yè)務系統(tǒng)內的數(shù)據(jù)到虛擬O盤中。Y2是否可以打印業(yè)務系統(tǒng)內的數(shù)據(jù)但有強制水印顯示。Y3是否可以阻止復制虛擬O盤中的業(yè)務數(shù)據(jù)到非O盤的位置。N4

15、是否可以在業(yè)務系統(tǒng)中顯示屏幕水印來防止拍照。Y序號是否支持業(yè)務系統(tǒng)數(shù)據(jù)防泄露審計與審批控制及自身安全性預期實際1是否對脫離虛擬O盤的文件進行審批控制。Y2是否可以審計試圖保存、導出業(yè)務系統(tǒng)數(shù)據(jù)的行為。Y3是否可以在退出或者卸載客戶端的情況下，自動不顯示O盤。Y3.2.3 對資源訪問控制支持能力測試序號對資源訪問控制支持能力測試主要測試網(wǎng)絡準入控制功能預期實際1不安裝防泄露客戶端訪問B/S應用被頁面重定向，訪問C/S應用被網(wǎng)絡拒絕Y2不安裝防泄露客戶端不能訪問指定的業(yè)務系統(tǒng)Y3安裝了防泄露客戶端的計算機，身份驗證失敗不能訪問指定的業(yè)務系統(tǒng)，其中身份驗證支持硬件id、軟件id、交換機端口、交換機i

16、p、計算機mac、帳號。Y4安裝了防泄露客戶端的計算機，安全檢查失敗不能訪問指定的業(yè)務系統(tǒng)，其中安全檢查包含：防病毒軟件檢查、補丁檢查等。Y5身份驗證通過、安全檢查通過，是否可以順利訪問指定的業(yè)務系統(tǒng)。Y6訪問指定的業(yè)務系統(tǒng)是否會感覺到慢，跟沒有啟用準入控制之前進行對比N7在NACC設備不可用時，是否影響業(yè)務的正常使用N8在后臺服務不可用時，是否影響業(yè)務的正常使用N9是否能記錄下計算機準入的行為，含準入時間、準入帳號、準入地點、準入后獲取的acl、準入失敗的原因。Y4 UniBDP業(yè)務數(shù)據(jù)防泄露應用場景及實例4.1 TelnetSSH管控應用實例（Client/Server 模式）4.1.1

17、策略后臺配置截圖4.1.2 策略后臺配置說明4.1.3 客戶端應用效果截圖l 復制效果l 另存效果含虛擬O盤l 截屏效果l 打印效果l 審計效果4.2 RDP管控應用實例（Client/Server 模式）4.2.1 策略后臺配置截圖4.2.2 策略后臺配置說明4.2.3 客戶端應用效果截圖l 復制效果l 映射磁盤導出數(shù)據(jù)效果含虛擬O盤l 截屏效果l 遠程打印效果l 審計效果4.3 HIS管控應用實例（Client、Browser /Server 模式）4.3.1 策略后臺配置截圖4.3.2 策略后臺配置說明4.3.3 客戶端應用效果截圖l 復制效果l 另存效果含虛擬O盤l 截屏效果l 打印效果l 審計效果4.4 Webmail管控實例（Browser/Server模式）4.4.1 策略后臺配置截圖4.4.2 策略后臺配置說明4.4.3 客戶端應用效果截圖l 復制效果l 另存效果含虛擬O盤l 截屏