项目部桌面终端安全防护系统规划与实施

王景峰

摘要：当前，企业机密文件保护的重要性不言而喻，机密文件的泄露不仅会给企业带来重大的经济损失，而且还影响到企业未来的市场竞争，更严重的还会牵扯到法律纠纷。为此，企业应该采取各种举措保护公司机密文件，防止机密文件泄露事件的发生。

关键词：网络准入控制桌面终端;管理文档防泄密

1 项目部现状

目前项目部的大部分秘密信息：例如商业文档、客户资料、专利技术、技术文档等，都是以明文电子文档的形式存放在项目部内部共享网盘和服务器中，为了保证机密文档的安全，需要对这些文档进行加密处理，这些电子文档可能通过外接设备、U盘、打印等方式外泄，并且对于文档通过U盘、网络、打印外带也需要相应的日志记录及副本备份。同时结合同行评估专家的整改意见，在管理上需要对系统管理方式进行改进，也需要规范员工的行为，增强员工的工作效率和保密意识。

2 设计原则

2.1 易部署

整套桌面终端安全防护系统的安全部署应简单、方便、灵活，支持直接安装、域脚本安装多种部署方式，同时，系统应具备优异的自我保护功能，能够有效避免终端用户自行卸载，无需IT管理人员多次重复部署。

2.2 易使用

系统界面应友好、通俗、简单易懂，即使是非技术人员也能在短期内运用自如。

2.3 易管理

系统的策略制定应简单、灵活、易管理，可满足管理者多种多样的管理需求，并可分别对计算机和用户进行管理。

2.4 全面的容灾备份功能

提供文档找回机制，避免文档丢失、破坏造成的严重后果。

2.5 功能全面、稳定

系统应具备全面的内网信息防泄漏功能，并且运行稳定，产品应拥有自主知识产权，提供源代码级的支持。

3 系统架构

3.1 系统功能

系统应至少包含三个模块组成：客户端模块、服务器模块和控制台模块。

项目部内所有用户的办公电脑均需安装客户端模块，服务器模块部署在系统分配的服务器上，控制台模块有管理人员安装在管理设备上。各功能模块的功能要求如下：

客户端基本功能：

3.1.1 执行系统设定的各种管理策略

3.1.2 采集客户端运行的各项数据

3.1.3 定时将采集的数据传送到服务器

3.1.4 根据控制台发出的指令进行监控操作

服务器基本功能：

3.1.1 管理所有客户端计算机，并向其传递相关的规则和指令

3.1.2 收集客户端采集的数据并保存

3.1.3 提供方便灵活的记录管理、查看、归档、搜索等功能

控制台基本功能：

3.1.1 查看和审计客户端的数据

3.1.2 数据统计，分析和导出

3.1.3 对客户端计算机实时监控和系统维护

3.1.4 设置监控规则和管理策略

3.2管理架构

系统应采用三权分立的管理架构，相互约束。从系统角色角度，划分为三类角色：管理员、监察员和审计员。具体的角色功能是：

管理员：系统管理员具有特定策略的设置、用户管理功能，但不具备分配其他管理员账号的权限。系统管理员可根据实际需求设置多个。系统管理员的权限直接受超级管理员admin的制约。

监察员：审计功能。包括超级管理员admin在内的所有管理员的操作行为和审批行为均受审计员的监督。

审计员：审计员的默认账户是audit，审查所有中断的日志信息。

4 功能实现

4.1 网络准入控制

通过多种认证方式对接入内部网络的用户身份进行严格认证，确保接入用户的身份合法;对接入内部网络的终端设备执行统一的安全检查策略，确保接入终端设备的安全合规;在用户身份合法以及终端设备安全合规的前提下，对访问权限进行动态授权，实现基于用户的资源访问控制。从而帮助用户从根源上将病毒、蠕虫等各类攻击拒绝于内网之外，确保网络系统安全稳定运行，实现企业内网终端资产管理安全可视化。

4.2 桌面管理功能

对终端进行软件黑白名单管理、远程协助管理、U盘等移动存储设备管理、违规外联接口等行为进行监控和管理。

4.3 文档全生命周期审计

详细记录内部网络中所有终端设备上的文档操作，包括创建、访问、修改、移动、复制、删除等动作。另外，对于修改、删除等相关操作发生时同步将该文件备份至服务器存根，有效防范文档被泄露、篡改和删除的风险。

4.4 文档外发审计

对各种类型邮件的收发内容，包括收件人、发件人、邮件正文及附件等进行审计、记录，便于后续追溯。

对于使用企业微信、QQ、微信等即时通讯工具进行的文件传输也需要进行安全审计记录。

对文档在内部流转路径进行追踪，实现隐形的文档流转路径追溯。

4.5 移动存储设备管理

项目内部人员进行数据交换时，必须对移动存储设备进行注册、授权管理（注册绑定到用户、限制USB设备使用范围、期限等），并通过文件操作实现内部使用USB设备从终端本地拷贝到U盘自动加密、从U盘拷贝到终端本地的加密文件自动解密，保证数据在通过U盘交换过程的数据安全，并对整个过程进行详细审计。

项目员工对外部人员进行数据交换时，提供明文申请审批管理，对需要从终端本地明文拷贝到U盘的数据进行申请审批，并将明文拷贝文件备份上传到系统内置的文件服务器备查，方便事后追溯。

4.6 打印管理

管理用户对各类打印机的使用权限，包括虛拟打印机、共享打印机、本地打印机、网络打印机等。限制对内网项目部管理系统中流转业务的无文档形式打印。

同时，建立打印审批管理流程，任何人员的打印请求均需经过上一级领导审批通过后方可执行。

4.7 水印功能

支持实现“屏幕水印”与“打印水印”两类场景下的水印加载及追溯;实现对拍照泄密及打印泄密两个情况下的数据泄密的有效管控;水印类型支持明文水印、二维码水印、图片矢量水印、矢量水印四类水印效果。

5 结语

桌面终端安全管理系统的建立，实现了内部网络的安全接入、终端标准化管理，全面保护了项目部内部数据的安全，降低信息泄露风险;同时建立分级保密体系，提升了项目部的信息安全水平，实现了信息安全目标。

参考文献：

[1] 陈龙. 网络信息安全的防范技术[J]. 中国安防产品信息，2000（04）：15-1

[2] 王彬;王葛;安全的网络打印[J];才智;2009年19期

[3] 刘永彬，亓东峰，赵茂栋，郭满，王凤环基于企业网络安全防护系统的设计与实施[J].计算机光盘软件与应用，

[4] 徐国芹;谈企业内部网安全防护策略[J];办公自动化;2009年04期