移动介质管理项目安全解决方案

移动介质管理安全解决方案目录1系统背景分析41.1项目背景41.2需求分析51.2.1应用环境安全需求51.2.2终端平台可控61.2.3网络安全环境61.2.4安全管理平台61.3项目总体建设方案61.3.1方案设计原则61.3.2安全建设总目标82系统解决方案92.1系统管理构架92.2系统详细解决方案102.2.1移动介质管理安全系统设计102.2.2移动存储设备管理系统功能172.2.3移动存储设备管理系统应用232.2.4中间机数据交换252.2.5移动存储设备管理系统特点282.3安全U盘管理292.3.1系统功能描述292.3.2加密算法293方案总结321 系统背景分析1.1 项目背景在网络终端安全加固项目建设中,安全加固设备是抵御来自网络的攻击、防止不法分子的入侵,保障网络安全、便捷、畅通无阻运行的基本工具。完备的信息安全解决方案是保障系统安全的基本而又重要的一部分。网络安全解决方案不仅包括安全产品的设计,安全策略制定、安全架构制定、安全策略架构的实施,还包括企业系统风险评估、以及员工的培训、事后的安全审计等。只有将硬件软件结合起来统筹规划,才能发挥最大的效力,保障用户网络系统,杜绝一切安全隐患。信息系统网络的网络安全、服务器安全、用户安全、应用程序和服务安全、数据安全各个环节,均采取了切实有效的管理方法和技术手段,在每个部分都有领先的产品和服务以确保系统的整体安全。随着网络安全的建设,网络和终端安全管理体系都已逐渐完善,包括常规的网络物理隔离保障、操作系统补丁分发管理、终端资产管理、终端行为和网络访问控制等技术基本得到了普及。然而面对信息安全等级保护管理办法,仍然存在很多令网络管理者棘手的问题：在信息安全管理中,既要达到高强度安全管理标准,又要保证基于计算机和网络的业务正常运营,其中必然存在诸多的矛盾。计算机及网络发展中一个永恒不便的规律就是提供的服务越多,带来的安全隐患就越大。面对信息安全相关管理部门和终端用户的双重压力,每个网络管理员都积极努力的探求最优的解决方案,本文主要针对移动存储设备管理这一最棘手的问题展开论述,最终为您提供解决方案。移动存储介质在信息交流中为用户提供极大便利的同时,也为用户和计算机管理员带来了很大的麻烦,80以上的病毒都有利用USB移动存储设备进行传播的特点,众多的泄密事件也都是由USB移动存储设备引起的。然而我们却不能因此就完全禁用USB移动存储设备,尤其在双网外网环境中,往往需要将在网撰写的文件通过USB存储设备拷贝到外网中,再通过互联网发布出去。也就是说虽然网是物理隔离的,但网中的一些文件是需要交互处理的。这就对网络管理者提出了一些极高的要求：1、 限制移动存储设备在网中的使用,禁止非本单位或本部门的移动存储设备在本单位计算机上使用；2、 对网中移动存储设备的读取、拷入、拷出、等行为进行审计记录；3、 对网中使用的移动存储设备进行加密或保护,只能由通过身份验证的人或者在规定围的计算机上使用；4、 为了方便网中部门间或用户间的信息交换,注册一批移动存储设备,限制该设备只能在网计算机上使用,无法在除网以外的任何网络或计算机上使用；5、 对已经注册的移动存储设备,限定其读写、只读或严格禁止其在非授权的计算机上进行使用；6、 注册一批信息交互专用存储设备,既要方便网计算机文件与外部的交互,又要保证不会因存储介质被木马或黑客入侵而导致涉密信息泄漏。相信达到了上述的要求,不但可以轻松通过信息安全等级保护评估,还可以方便用户的使用,更保障了网络信息数据的安全。而某网安全管理系统在移动存储设备的管理上可以完全满足上述要求,为用户和管理员提供便利的工作环境和安全的信息保障体系。1.2 需求分析1.2.1 应用环境安全需求对于网络系统建设来说,当前面临的一项重点容就是移动存储设备管理的建设。应用环境的安全主要为部网络终端的接入安全、移动存储设备管理的安全。如何保证个人终端计算机正常、稳定的对外提供服务,同时还要保证网终端数据的安全防护,移动介质管理成为应用环境安全需求的重中之重。1.2.2 终端平台可控应用环境安全的核心是可控的终端安全管理系统,它是构成计算机信息网络系统基础元素,也是中网络系统安全加固项目承载的主要平台和表现实体,保障其安全可靠至关重要。操作系统是整个用户系统的承载平台,要想提高信息网络系统的整体安全性,实现计算机信息网络高可靠性和信息的完整性、性,必须依赖于操作系统这个承载平台的安全性的提高,任何想象中的、脱离操作系统的应用软件的高安全性,就如同幻想在沙滩上建立坚不可摧的堡垒一样,毫无根基可言。因此,加强各个终端操作系统的安全的工作成为了此次系统安全加固中的一项重要的辅助工作。1.2.3 网络安全环境在网络系统中,网络环境安全整体表现为网络链路的通畅和对不同的网络区域实现不同的移动存储管理规则,尤其注意防网中的安全威胁。1.2.4 安全管理平台在部网络的信息安全保障工作中,需要从整体的角度出发来考虑问题和解决问题。1.3 项目总体建设方案1.3.1 方案设计原则l 建立整体安全体系安全性设计必须从全方位、多层次加以考虑,即通过系统级、网络级、应用级的安全性。l 安全可靠性方案中使用的安全产品必须具有良好的稳定性,能够持续可靠地在系统中运行,从而彻底的贯彻实施方案中制定的安全策略。l 技术先进性方案中采用的信息安全产品以及响应的管理手段、安全策略必须有足够的先进性。l 技术成熟性方案中采用的信息安全产品必须是已经经过实际应用考验的安全技术和产品。l 开放性系统具有开放性,支持国际标准,能够接受和输出标准格式的数据,提供给各种网络,实现资源共享。l 主动式安全和被动式安全相结合主动式安全主要是从人的角度考虑,通过安全教育与培训,提高相关技术人员的安全意识,使之主动自觉地根据既定策略利用各种工具去加强安全性；被动式安全则主要是从具体安全措施的角度考虑。只有建立人与信息安全设备完美互动的安全策略,方能切实有效地实现信息安全。l 切合实际实施安全性必须紧密切合要进行安全防护的实际对象来制定具体的安全策略,并根据策略选择不同规格的安全加固设备,既要避免过于庞大冗杂的安全策略或措施导致性能下降,又要杜绝盲目选用高端设备导致的系统资源浪费以及无谓成本的投入,真正做到有的放矢、行之有效。l 易于实施、管理与维护整套安全工程设计必须具有良好的可实施性与可管理性,同时还要具有尚佳的易维护性。l 具有较好的可扩展性安全工程设计、系统安全加固设备具体规格的选型,必须具有良好的可伸缩性及兼容性。整个安全系统必须留有接口,以适应未来工程规模拓展的需要。l 节约系统投资在实现既定安全策略的前提下,必须充分考虑投资,将用户的利益始终放在第一位。通过认真规划安全性设计,有针对性的选择适当规格的安全加固设备,既要保证安全加固设备系统资源的充分利用,又要尽可能的为用户节约系统投资。此外,本次项目建设中所使用的安全产品、制定的安全策略以及涉及到的工程标准等环节必须符合或满足国家相关法律法规、相关国家标准的规定。1.3.2 安全建设总目标信息安全的基本需求就是满足五个基本安全要素：性、完整性、可用性、可控性与可审查性,能够有效地实现以下任务： 使用访问控制机制,阻止非授权用户进入网络,即进不来,从而保证系统的网络资源被受控合法的利用。 使用授权机制,实现对用户的权限控制,即不该拿走的拿不走,同时结合容审计机制,实现网络资源及信息的可控性。 使用加密机制,确保信息不暴露给未授权的实体或进程,即看不懂,从而实现信息的性。 使用数据完整性鉴别机制,保证只有得到允许的合法用户才能修改数据,而其它人改不了,从而确保信息的完整性与真实性。使用审计、监控、防抵赖等安全机制,使得攻击者、破坏者、抵赖者走不脱,并进一步对网络出现的安全问题提供调查依据和手段,实现信息安全的可审查性。2 系统解决方案2.1 系统管理构架系统管理结构图系统管理采用B/S构架,管理员可在网络的任何终端通过登录网管理服务器的管理页面进行管理和各种信息查询。根据用户的实际情况需要可以将网安全管理系统部署为多级级联的方式,在用户及下属单位的围建立起网安全管理系统的管理架构；或采用集中部署的方式对所有终端进行统一监控和管理。2.2 系统详细解决方案2.2.1 移动介质管理安全系统设计2.2.1.1 系统设计概述系统管理概述： 组织管理：指定专人/部门负责进行USB设备载体的管理。 审计管理：安全组织之外,由部门负责USB管理的检查工作。 技术控制：采用各种技术支撑设施方法对USB设备载体进行管控。 制度管理：制定USB设备载体管理制度,进行日常操作约束。 应急管理：建立USB设备事故应急处理预案机制。系统技术概述： 设备管理 集中注册：专门管理员统一对入网usb设备注册管理。 分别授权：不同人员、不同部门分密级获取相应授权。 设备控制 授权访问：非注册授权设备不能在本网络使用。 权限控制：禁止、只读、读写、外来报警等自定义控制。 设备审计入网审计：合法、非法USB设备入网记录,合法性校验。 使用审计：日常数据读写、拷贝行为审计,外来设备操作记录。2.2.1.2 系统设计原理移动存储介质管理系统是根据网络应用特点而设计的一套移动存储管理方案,目的在于满足网移动存储介质日常安全管理。系统综合应用底层驱动、扇区加密、进程守护等多种安全防护技术,磁盘文件底层驱动技术对普通移动存储设备主要USB类型作唯一性标签处理, AES128位高强度算法对磁盘进行数据区划分并作加密处理,标签移动存储介质结合受控客户端主机的安全访问控制策略作匹配授权,确保标签移动存储介质使用的安全性与合法性。系统通过集中的注册管理平台对 USB存储设备作严格的设备介质身份认证、数据信息重构、数据加密等一系列安全防护操作,针对办公网计算机USB存储设备的使用和管理建立了完整的防解决体系,系统采用C/S和B/S混合式架构,由服务器端和客户端构成。客户端主机通过移动存储介质的产品唯一生命特征识别码和硬盘唯一码其重复概率相当于人类的指纹二者结合进行识别,当主机数据库和移动存储介质中的认证信息相同时,接受其入网使用；未经注册的移动存储设备将会自动被系统强制卸载,实现单位U盘外出使用需要到单位或网络管理员处登记,否则在外部无法打开。系统在解决安全方面的问题,同时还兼顾工作的实际,力求使用的方便、简洁与高效。具体分析,系统设计主要满足用户以下多个方面的需求：提供对移动存储设备全生命周期的管理移动存储设备管理提供对移动存储设备从购买、使用到销毁整个过程的跟踪与管理。能够随时对移动存储设备的情况进行监管,随时了解某个移动存储设备的在网络中的使用情况和当前联机所处状态。能够区分合法与非法的移动存储设备合法的移动存储设备,指单位部并被准许在部使用的移动存储设备；非法的移动存储设备,指来源不明未被准许在部使用的,或者是外来单位带入的移动存储设备。要求做到非法的移动存储设备在工作环境中不能使用和合法的移动存储设备在工作环境中能够正常使用,但在非工作环境中不能使用,即非法的进不来,合法的出不去。增设移动存储设备的访问机制对于合法的移动存储设备的访问,进一步增强访问控制机制,根据访问者的身份、密级、时间期限等限制仅有正确的用户才能访问。移动存储设备中的数据提供加密保护为了防止移动存储设备丢失造成泄密,存储在移动介质中的数据是加密的,而且是磁盘级的透明加密,避免被不法分子躲避或恶意行为留下安全隐患。五提供对移动存储设备使用的详细日志审计记录对移动存储设备的访问,便于以后进行跟踪审计。分权限管理系统管理权限和使用权限分开,具有安全性高、可靠性强,适合集中授权、多角色参与监控的管理模式。普通用户权限在没有管理员许可的情况下,为被限制对象,对自身的数据日志等均无管理权限。通信及日志文件加密服务器端与客户端使用TCP协议通信,端口可以自行灵活修改,同时客户端数据上报和服务器端指令、策略下发采用加密算法,防止他人旁路刺探信息。客户端日志文件加密存储,防止用户修改或删除,服务器端自动接收客户端日志数据。客户端保护机制系统的客户端系统具有自我防护机制,防止用户随意停止、卸载。系统具备很强的自我保护功能,在正常模式和安全模式下均提供主机安全代理自身防护功能,并可防止用户停止代理进程、破坏代理运行目录和相关文件、停止代理等相关服务。若管理人员要求强制卸载客户端时,需要输入管理员的密码方可执行卸载操作。2.2.1.3 系统设计流程系统模块工作流程：1客户端报警信息上报,控制台指令接收2USB设备注册信息上报,密码还原信息获取3综合数据入库、出库4系统数据综合分析处理5系统设备扫描自动发现主机设备6报警及系统数据呈现,系统策略数据存储 网络设备信息采集模块：负责采集计算机中相关报警、病毒状况等信息。包含二个子模块：客户端模块、网络设备信息自动发现模块。 客户端管理模块：通过安装在计算机上的客户端程序,对本机移动存储接口进行管理,并对接入各种移动存储设备进行行为审计,处理后提交给后台数据库。 数据存储与分析模块：将采集完毕的数据和数据库已有的数据进行比对、整理,并进行分析,然后根据情况进行数据更新或报警。 中央控制管理、报警模块：该模块为本系统的核心模块,作用在于统一调度其他模块工作,包括各模块参数配置、网络通讯管理配置、模块连接、信息汇总显示、报警显示等。 USB设备注册管理模块：专用移动存储设备授权工具模块,将普通U盘作特殊格式化处理,并作标签标记。 系统报警处置工作流程:1合法设备：经管理员认证授权设备。2非法设备：外来设备,无授权设备。3新入网设备：未注册移动存储设备,新入网未注册计算机。 基于定时扫描机制,自动扫描检测管理网段的计算机是否已经安装移动存储管理客户端软件情况,将设备信息数据同数据库中原始数据进行比较,如发现异常则报警,并阻断非法设备的入网。 基于实时检测机制,由客户端代理程序自动发现接入主机的移动存储设备,对其进行合法性验证,并作行为记录和审计。2.2.1.4 系统关键技术 标签认证技术 通过专用工具程序为USB移动存储设备作唯一性认证标记,该程序从服务器中读取本系统的唯一性属性信息数据,经过二次处理,将处理后的信息会同预定义属性标签写入磁盘。 专用工具程序把数据写到系统分区时,采用特定算法对写入的数据进行加密,普通的format方式无法删除这些数据。该程序对移动存储设备所打标签拥有特殊信息移动存储设备硬件属性信息、服务器系统唯一性标签号,经过随钥加密后,具有唯一性标识防止将标签信息复制到其它客户端设备上,进行伪装接入使用。 USB移动存储设备置标签,同客户端代理程序的策略对应, USB标签符合策略许可才可以使用。 虚拟磁盘技术 将文件虚拟成磁盘,把所有直接对磁盘访问定向到文件,采用创建文件方式对磁盘进行扇区分割,分区大小可以自由划分。虚拟磁盘技术涉及对总线驱动、物理磁盘驱动、磁盘过滤驱动等操作。 虚拟加密磁盘技术主要由磁盘应用程序、虚拟加密磁盘驱动程序、加密驱动程序等软件模块实现,对文件信息的安全保护、加密存储。 在虚拟磁盘技术基础上,采用AES-128位加密算法,对磁盘扇区进行加密,磁盘的安全性,并附带口令二次加密密钥,对虚拟磁盘的数据进行双重加密,确保无法破解。 AES加解密技术 1密钥生成：在利用专用工具对介质分区时即生成 文件加密密钥,然后用处理后的初始密码口令xxxxyyyy对文件加密密钥进行加密。此后加密原始口令,连同加密后的文件密钥及其它hash信息作二次加密存放在磁盘。 2用户登录：验证用户口令,通过后用处理的口令解密文件密钥,然后监测对磁盘的文件读写操作,进行文件加解密对称算法。 3修改密码：验证密码口令,通过后,用处理后的密码口令解密文件密钥,然后用新的用户口令加密文件密钥,生成密钥。4128位加密算法：在虚拟磁盘技术基础上,采用AES-128位加密算法,对扇区进行加密,同时加带一个随机加密密钥,使得虚拟磁盘的数据获得双重加密,确保无法破解。利用磁盘驱动技术对介质分区时即对磁盘进行加密,同时生成随机的128位加密密钥防护磁盘访问。5二次加密技术：密钥随机产生,同登录口令进行CRC32校验,生成校验码,系统将密钥随机值同校验码一同加密,保存在U盘中,加密程序在操作系统对扇区格式化时进行加密,并对对数据文件的读写进行加解密,算法是经过变化处理密钥+偏移位的AES128位算法。 多进程互控技术多进程监控守护技术,防止用户非法自行关闭客户端主程序的运行；系统使用中,可能会出现个别用户故意关闭中间件的情况,也可能出现由于操作系统错误导致中间件进程关闭的情况,因此需要系统守护模块,保证中间件在使用时不会被意外关闭,即使在中间件在系统发生意外错误关闭时,守护模块也可重新启动中间件,以保证系统的有效性和可靠性。 双因子认证技术系统采用的任何硬件识别,均采用对唯一标识经过特殊算法得出的唯一赋值对照后作出判断,防止客户端计算机设备变更而引起的安全隐患。 U盘信息重构技术采用扇区映射方式进行二级抽象,完全打乱文件的存储位置,防止结构性破解。2.2.2 移动存储设备管理系统功能 移动存储设备集中注册与授权移动存储设备管理系统应用拓扑系统支持对所有移动存储设备使用前必须经过授权中心统一注册与授权,只有经过授权的移动存储设备才能正常使用。授权容至少应包括：安全级别标签、硬件管理ID号、使用人、使用部门、保护口令等。唯有授权后的移动存储设备才能发放给个人使用,注册与授权通过系统专用认证工具实现,不同的网络环境具有不同的唯一性标志符。系统支持对非USB存储设备USB键盘、鼠标、打印机、硬件key等的自动识别,支持对特定USB存储介质如数据交换中间机设置不同的访问权限。针对实际工作的特点,还考虑到分权分级管理、设备兼容性等。移动存储设备管理系统与硬件接口、磁盘类型无关,可管理所有硬件接口、磁盘类型的移动存储设备,即现有的移动存储设备都可以纳入管理,最大限度地减少重复投入。 移动存储设备分区管理移动存储介质按需求可以划分为交换区和区,分区容量可由管理员灵活定义。同样,系统对于移动存储介质还可以按照需求只进行区的划分。并将全盘指定为区域。区在本单位已安装客户端并具有访问权限的计算机上可以读写,在未安装客户端的计算机上或者外单位安装客户端计算机将不被识别。交换区凭密码认证可在所有计算机上使用,交换密码可以灵活修改。 移动存储设备访问控制系统支持对移动存储设备的访问控制,通过系统置的策略库以及管理分组功能,实现终端访问的灵活控制,最大限度地防止数据被滥用,保证数据的可用性。具体功能通过标签认证方式实现： 未统一授权的移动存储设备,可设置为不允许使用 、允许只读方式使用 、允许读写方式使用等安全标识。 经授权的移动存储设备,在系统依据其授权信息进行多层次的访问控制,具体包括：基于用户身份的访问控制、基于密级的访问控制、基于口令的保护及对使用次数的限制。 移动存储设备磁盘级的数据加密加密是移动存储设备数据保护的重要技术手段,数据加密功能要兼顾安全性和易用性,系统支持对交换区和区的自动加解密： 磁盘级的透明加解密：加解密过程对用户透明,用户感觉不到加解密的存在,但是数据始终以密文形式存储在移动存储设备上。 非授权用户无法解密：即使载有数据的移动存储设备丢失也不会造成泄密事故。 移动存储设备数据安全擦除如移动存储设备中的数据删除不彻底,通过一些技术手段将能够恢复其中的数据。这些未被彻底删除的数据,残留在已报废的移动存储设备中或者在移动存储设备的交叉使用过程中,都存在泄密的风险。 数据安全擦除：通过对数据进行逐扇区的多次重写,实现磁盘数据的彻底粉碎、擦除,通过任何技术手段均无法恢复数据。 系统对已注册移动存储介质的格式化不影响移动存储介质原有的注册信息。分组管理与策略定义一般的网络都作相应的功能区划分,如办公系统、业务系统、管理决策系统等,便于信息交流与。 为使网络管理具有一定的条理性,系统支持按不同部门划分工作组,这样管理员可以直接对不同性质工作组进行策略分发。 系统置策略中心,管理员可以根据不同的管理需求和网络环境,灵活制订不同的移动存储设备策略进行应用。分组功能给移动存储设备网络化管理带来一定的简洁性,尤其是对于庞大的网络来说则可以减少错综复杂的局面,为管理员进行程序化策略管理提供高效手段。 移动存储设备操作日志审计与报表对移动存储设备从购买、使用到销毁整个生命周期进行审计。借助审计功能,可以如实地看到磁盘的整个使用过程,同时可通过报表直观、方便的得到统计数据, 审计功能具体如下： 对于移动存储设备的资产入库登记使用人、权限等、授权使用插入、拔出、文件读写、IP地址、各种违规操作人员、事件容等,提供详细的日志记录。 基于以上数据,具备强大的日志审计功能。 支持对数据交换进行指定格式的文件审计过滤。 系统报表能够导出为.txt/.htm/.xls等格式文件,必要时产生包括饼图、线图和表等各种形式的定制报告,可根据用户需要定制报告模板和容。违规保护与报警处置针对可能受到的违规操作行为,系统提供违规保护与报警处置功能。具体如下： 系统可按照要求设定违规操作,并在这些违规操作达到阀值时启动自我防护功能。违规尝试保护功能提供的保护方式包括：磁盘只读、磁盘锁定。 支持集中的报警和报告,在综合报警平台上能够全面及时查看不同区域围的报警和报告,包括注册计算机的主机名、IP地址、权限控制、违规信息等。 报警方式支持声音、图形、手机短信等多种手段,未注册存储介质接入受控网络时将在客户端产生嗡鸣器报警并弹出消息框提醒,服务器端并有响应的报警,服务器端报警支持向第三方平台进行报警转发SNMPTRAP/SYSLOG方式。2.2.2.1 移动存储设备管理方法支持对移动存储介质进行分级安全注册认证,支持远程注册授权,通过打标签的方式对移动存储介质进行管理,从而保证部的移动存储介质未经授权,无法在外部使用,外部的移动存储介质未经许可,无法在部使用。同时具备灵活的策略分发模式, 可以指定某个或某组存储介质只能在某台或某组计算机上使用,并设定使用方式。系统具备在操作系统安全模式下和离开局域网时同样具有对移动存储介质的监管控制能力；具备自身安全能力,无法卸载、修改、破解等,并具有自身修复能力。1、公司专有移动存储设备集中标签化管理通过对移动存储设备写入两种不同权限及功能的标签,来实现分级权限的控制。并以策略的形式分发给不同的域,实现对指定围的终端授权,并对写入标签移动存储设备的访问进行控制。另外,对移动存储设备格式化无法去除标签。普通标签：写入普通标签后,在管理区域根据策略的设置,来限制移动存储设备的读、写功能；如果在管理区域外使用移动存储设备认证,则不限制移动存储设备认证读、写功能。加密标签：写入加密标签后将普通移动存储设备闪存盘、移动硬盘分为二个区域：交换区、区。涉密网络可只生成区。交换区和区启动均需输入独立的密码,数据在二个区存储时均以加密方式存储。1在涉密网络中或高要求的办公网络中,可只生成区一个区,该区只能在有对应安全策略的主机上通过认证标签后、同时输入正确密码才能访问,同时有安全策略的主机可以根据策略控制未经标签认证的移动存储设备的使用。区在外网或未授权计算机上不可见。2在普通办公网络中,可生成交换区、区二个区。区的使用方法,可与上述涉密网络或高要求的办公网络相同。交换区的使用方法,可以根据用户需要,在部网络中通过策略限制使用方式,交换区在外网使用是同样要输入密码方可使用,区在外网不可见。2、公司专有移动存储设备集中审计管理1提供移动存储介质上所有文件操作的详细记录包括文件的创建、复制、删除、读写和重命名等操作,具体包括文件名、审计描述、时间、用户名、计算机IP地址和其他必要的信息。2提供移动存储介质的插入和拔出动作的详细记录具体包括事件类型、移动存储介质的名称、用户、计算机IP地址、事件时间等。3、非公司专有移动存储设备管理办法1 对非公司专有移动存储设备,即未打标签的可移动存储设备,当这种设备接入公司网络的已注册计算机上的USB口时,可根据该计算机用户所属的安全级别,设置为禁止读写,只读,只写,允许读写。2 对非公司专有移动存储设备接入公司网络的注册计算机,在服务器上会产生相应的详细报警记录。3 对非公司专有移动存储设备在非公司网络的计算机可以由使用人根据需要使用。2.2.2.2 其它输入输出设备的管理办法1对于以USB存储设备、移动硬盘非法接入网的情况,我们通过对外设及端口进行启用、禁用控制,必要时候还能够控制只读入、可写出等细致操作行为。2除了人体工程学设备外的一切USB端口,可以从驱动级禁用USB端口、光驱、软驱、串口、并口、打印机、红外、蓝牙、磁带机、多网卡、1394口、调制解调器、PCIMCIA卡等。3对于其他I/0输入输出设备接口,同样支持驱动级的禁用、启用功能。2.2.2.3 移动存储设备管理高级策略应用1、支持在登录公司标签化可移动存储设备的交换区后,自动调用杀毒软件对可移动存储设备进行扫描杀毒；2、支持对可移动设备策略生效的时间进行高级自定义：如可设定策略生效的时间段或者策略失效的时间段,具体精确到具体工作日的几点几分；3、支持设定可移动存储设备策略生效的用户账户生效围：如可设定该策略只对administrator生效,可控制策略在公司注册的计算机离开公司网络的情况下是否生效；4、可移动存储设备策略的管理对象,可以设置为单个用户,可以是一个具体部门,还可以是自定义的组,非常灵活。对可移动存储设备做到不同细粒度的管理和控制。2.2.3 移动存储设备管理系统应用2.2.3.1 系统管理效益移动存储介质管理系统能够从主机层次和传递介质层次对文件的读写进行访问限制和事后追踪审计,为网络部可能出现的数据拷贝泄密、移动存储介质遗失泄密、以及U盘等移动介质接入病毒安全的问题提供了解决方案。 1、主机数据介质拷贝标签认证访问控制； 2、专用移动存储介质数据加解密存储；3、专用移动存储介质嵌主动式病毒安全防御；4、双数据区交互使用：专用U盘支持交互区和区划分。交互区在授权计算机上透明使用,在外网或非授权计算机上支持口令登录使用；区在授权计算机上受控使用,在外网或非授权计算机上不可见；5、全盘数据加密：采用AES128位高强度算法对磁盘全面加密,在没有登录口令的情况下,使用任何第三方磁盘管理工具都无法获取部加密数据；6、高强度口令保护：在AES高强度加密基础上,采用8位以上字母、数字组合口令保护专用U盘的登录；7、授权访问控制：专用U盘配合终端计算机注册程序的安全策略,灵活控制不同数据区的访问权限。对于网络中存在不联网的单机服务器或者工作站,可以安装单机版移动存储管理软件,单机版移动存储管理系统在各服务器上独立安装,普通操作人员无法对其进行修改、卸载,以及软件策略的管理。单机版移动存储管理系统针对单机的管理策略由管理人员事先在管理器上制定,在安装过程中导入预定义策略。2.2.3.2 系统增强功能 提供对除U盘、移动硬盘的存储介质管理外,还能够对终端的输入输出设备MP3、打印机、数码相机、摄像仪、USB刻录机、磁带机、并口、串口、1394 口等进行管理,确保对计算机数据通道的控制,防数据通过移动存储介质之外的途径泄密。 提供对未安装移动存储介质管理客户端计算机的自动/手动远程阻断功能,强制网络中每台计算机都必须安装受控代理程序,避免未注册计算机带来的管理隐患,同时能够提供特殊的黑白管理机制,保证重要服务器、关键主机不受移动存储介质管理策略的限制。 在二次扩展功能中能够提供对计算机其它数据输入输出通道的审计管理,如传输、FTP传输、网络共享传输、刻录机复制等非介质途径的控制和审计,弥补移动存储介质管理系统对通道管理的缺陷。2.2.4 中间机数据交换由于所有注册移动存储设备只能在部网络使用,并且数据是加密的,外部普通移动存储设备又不能在网使用,因此导致外数据无法进行交换,必须建立一套安全可靠的外数据交换机制。因此,在外部文件拷入部网络,部文件拷出网时,都要经过专门的中间机进行数据交换,具体情况和流程如下：中间机指在授权计算机和非授权计算机之间传递信息的专用计算机,其对注册专用存储设备和其他存储设备均具有访问权限。 中间机策略：中间机针对存在整盘加密策略的计算机和外来移动存储设备的情况提供数据交换,通过策略容逻辑的组合设计来实现。 授权计算机指已安装移动存储介质管理系统客户端,并对注册专用存储设备具有访问权限的计算机。 非授权计算机指未安装移动存储介质管理系统客户端或已安装客户端但对注册专用存储设备不具有访问权限的计算机。上述中间机设置情况根据北调实际涉密情况确定。1、部文件拷出对外部传输涉密文件：a.通过中间机将涉密文件从部专用U盘拷贝到外带专用U盘拷贝到外部涉密计算机中。如下图b.通过中间机将涉密文件从部专用U盘拷贝到外部未授权U盘中,再由外部的外带专用U盘拷贝到外部涉密计算机中。如下图 对外部传输非涉密文件：a.通过中间机将非涉密文件从部专用U盘拷贝到外带专用U盘将文件拷贝到外部非涉密计算机中。如下图b.通过中间机从部专用U盘将文件拷贝到外部未授权盘中,在由外部U盘拷贝到外部非涉密计算机中。如下图2、外部文件拷入1对部涉密文件：a. 通过中间机将外部未授权U盘中的文件拷贝到部专用U盘,再由部专用U盘将文件拷贝到部涉密计算机中。如下图b.使用外带专用U盘拷贝外部的中间机中的涉密文件,再通过中间机将外带专用U盘中将涉密文件拷贝到部涉密计算机中。如下图 对部非涉密文件：a.通过中间机将外部非涉密文件从外部未授权盘拷贝到部专用盘中,再由部专用盘拷贝到部涉密计算机中。b.通过中间机外带专用U盘将外部非涉密文件拷贝到部专用U盘中,再由部专用U盘将文件拷贝到部涉密计算机中。如下图2.2.5 移动存储设备管理系统特点系统特点特点描述安全强度高采用对称的AES高强度加密算法。加密方式：按扇区进行加密,每次一密钥。TTDS：采用扇区映射方式进行二级抽象,完全打乱文件的存储位置,防止结构性破解。客户端代理程序具有超强自保护能力,即使在安全模式也无法删除停止,同时在文件受到损坏后,能够及时自我修复。同各种防病毒软件兼容运行,如某、瑞星、金山、江民、Norton、趋势、卡巴斯基等主流杀毒软件。细粒度、多层次的访问控制置强大策略中心,通过多种策略组合方式实现对终端移动存储介质的自定义访问控制。访问控制策略支持分组、分区域、分操作系统等方式的统一/周期分发执行,允许特殊权限终端的移动存储访问不受限。多种告警方式,除在用户终端提供蜂鸣器报警外,同步在服务器进行声音、图形、短信报警,在本机提示消息同时,在服务器作后台认证日志记录。管理服务器支持对主机IP访问的限定,仅允许指定的主机访问管理服务器,防止恶意攻击行为。组件通讯加密组件间通信时,数据传输是经过加密的。终端数据上报和服务器端指令、策略下发采用加密算法,防止他人旁路嗅探信息。终端和服务器端相互通信使用双向认证机制,防止已安装同类终端的非本网络计算机非法进入网络,同时也防止模拟的假终端和服务器进行通信。详细日志记录提供系统运行审计和操作审计机制：用户登录日志详细记录登录用户登录时间、IP地址、登录用户名称等。策略操作日志针对管理员对系统策略的修改、增删等各种操作进行详细记录。无缝功能扩展与升级系统采用C/S与B/S混合模式设计,支持集中式和分布式部署,确保部署构架的通用性,具有模块化软件定制的特点；支持标准API,具有无缝功能扩展与平滑稳定升级等优点。同时,系统具有良好的兼容性,能够同现有各种终端主机类软件兼容运行。2.3 安全U盘管理2.3.1 系统功能描述1遵循标准USB设备的使用流程,所有安全功能对用户透明；2采用专用控制模块防止U盘介质非授权格式化；3结合某移动存储介质使用管理系统,可实现多种方式的接入控制,具体详见移动存储介质使用管理系统相关介绍；4从原理上杜绝病毒自动传播,防止病毒拷入U盘导致病毒传播；5支持基于角色的细粒度强访问控制机制,采用可定制的数据访问和审计策略,提供数据的多级多域安全防护；6采用安全容器技术,实现信息的存储和传输安全,保证信息容本身的应用审计安全；7可对信息的分发路径进行全程跟踪,结合自主采集的多维主机指纹采集技术,从而对通过盘的数据交换行为进行全方位的细粒度审计；8审计信息记录在U盘本地的审计区,以供分析；9支持设备和主机的双向认证,防止主观和客观的数据非法访问；10一体化管理平台,便于U盘集中分发和管理。2.3.2 加密算法1加密算法：标准版本采用AES高强度对称加密算法,根据需要也可支持用户定制的加密算法和芯片,支持多种加密模式；2TTDS：采用扇区映射方式进行二级抽象,完全打乱文件的存储位置,防止结构性破解。某厂商提供芯片级保护的安全U盘硬件介质,该产品采用数据防护算法和硬件验证技术,避免了存储数据的非法存取和意外泄漏。该介质中自带操作系统,并可分配为专用分区和普通分区两个区域。专用区提供身份认证和数据加密转为拷贝存储网专用数据使用,普通区可方便在任何计算机上使用,为用户提供信息转储的中间介质。该产品具有以下功能及特点的同时可以配合上述的USB标签策略实现更完善的功能： 1 唯一性：部具有唯一序列号,无法更改和复制,可实现 U 盘失控状态下的快速追查和定位； 2 强审计： U 盘操作均被强制记录,用户无法删除和修改,通过两层权限设置,可实现对单位部电子文档的监督管理； 3 防病毒：采用独立专用文件系统,有效防止病毒、木马等恶意代码攻击,可切断病毒通过 U 盘感染和传播的途径； 4 防丢失：对数据进行高强度保护,非授权访问时 U 盘可自动锁死,可有效防止密码尝试和暴力破解； 5 无需额外安装软件,可实现对 U 盘文件的创建、复制、粘贴、拖放、删除等操作,界面友好直观。安全 U 盘特有的日志管理系统,具有下列特点： 1 定位设备：包括 CPU ID 、 MAC 地址、硬盘序列号、用户名、计算机名和 IP 地址等。 2 日志类型：包括访问区域、口令验证结果、文件操作和时戳等。 3 日志查询与分析：根据用户定制的规则对日志进行安全性审查。3 方案总结移动存储介质管理系统是根据移动存储介质应用特点设计的一套移动存储管理方案,目的在于满足网移动存储介质的日常安全管理。系统综合应用了底层驱动、扇区加密、进程守护等多种安全防护技术,磁盘文件底层驱动技术对普通移动存储设备主要USB类型作唯一性标签处理,AES128位高强度算法对磁盘进行数据区划分并作加密处理,标签移动存储介质结合受控客户端主机的安全访问控制策略作匹配授权,确保标签移动存储介质使用的安全性与合法性。因此,移动存储介质管理系统作为用户核心商业和敏感信息的载体,实现对它们安全、有效的管理是保证企业信息安全的重要手段。移动存储介质管理系统的使用能够为用户提供介质管理使用的安全保障,从而对用户提供完整的介质存储解决方案。28 / 28