公安网安WEB应用弱点扫描器解决方案
Public Security Network Security WEB application vulnerability scanner solution

1. 背景

公安部网络安全保卫局有关负责人表示,当前我国网络黑客攻击破坏活动形势仍然非常严峻,境内黑客攻击破坏活动仍然处于高发状态,大量的计算机系统未采取有效的安全保护措施,上网用户安全意识薄弱,防范能力较弱。公安机关将继续加大打击力度,继续重点严厉打击僵尸网络活动,集中打击一批分布式拒绝攻击破坏活动,全面清理境内互联网运营单位被放置木马病毒、非法控制软件以及网络信息服务认证工具回传服务器,维护信息网络安全;严厉打击黑客攻击破坏活动利益链条,重点整治打击木马病毒程序制售团伙、以黑客教学为幌子开展非法培训活动,铲除黑客攻击破坏活动的源头。

2. 面临问题

当前黑客对互联网信息的破环活动日益猖獗,包括制作提供黑客工具、实施攻击、实施数据盗取、页面篡改、盗窃倒卖账号、销售木马后门、提供交易平台等等犯罪形式。公安网安缺乏一款专门用于网站安全扫描工具、为被攻击和篡改的网站提供风险分析和报告的工具。以从根本上检测出被攻击网站的漏洞,促使网站管理者加强WEB防护,使得攻击者无法实施作案。 从等级保护角度来讲,缺乏以应用系统为扫描对象的便捷工具,以及针对最易产生风险的应用系统层安全检测的工具。

3. 解决方案

安恒信息推出了明鉴WEB应用弱点扫描器,旨在降低WEB应用的风险,使国家利益、社会利益、企业利益乃至个人利益的受损风险降低,广泛适用于公安网安在等级保护测评、WEB和应用安全风险评估以及网络刑事案件调查等工作。 作为公安部等级保护测评中心专用应用安全测评产品,工信部安全中心WEB应用安全检查工具,他全面支持OWASP TOP 10检测,可以帮助用户充分了解WEB应用存在的安全隐患,建立安全可靠的WEB应用服务,改善并提升应用系统抗各类WEB应用攻击的能力(如:注入攻击、跨站脚本、钓鱼攻击、信息泄漏、恶意编码、表单绕过、缓冲区溢出等),协助用户快速准确的完成了等级保护测评应用层检查,为制订实施和整改方案提供了有利的依据。 其功能的主要作用包括:
满足网安对扫描深度的需求:以WEB漏洞风险为导向, 通过对WEB应用(包括WEB2.0、JAVAScript、FLASH等)进行深度遍历,以安全风险管理为基础,支持各类WEB应用程序的扫描。
满足网安对扫描类型的需求::提供有丰富的策略包,针对各种WEB应用系统以及各种典型的应用漏洞进行检测(如SQL注入、Cookie注入、XPath注入、LDAP注入、跨站脚本、代码注入、表单绕过、弱口令、敏感文件和目录、管理后台、敏感数据等)。
满足网安对木马的需求::对各种挂马方式的网页木马进行全自动、高性能、智能化分析,并对网页木马传播的病毒类型做出准确剖析和网页木马宿主做出精确定位。
满足网安对深度取证的需求配置审计:通过当前弱点获取数据库的相关敏感信息,对后台数据库进行配置审计,如弱口令、弱配置等。
满足网安对漏洞深入验证的需求:通过当前弱点,模拟黑客使用的漏洞发现技术和攻击手段,对目标WEB应用的安全性做出深入分析,并实施无害攻击,取得系统安全威胁的直接证据。

4. 部分公安客户名单

公安部第11局、公安部第一研究所、公安部第三研究所、北京市公安局、江西省公安厅、浙江省公安厅、山东省公安厅、天津市公安局、宁夏回族自治区公安厅、福建省公安厅、广州市公安局、三亚市公安局、山西运城公安局、山西太原市公安局、潍坊市公安局、北京房山公安分局、北京延庆公安分局、北京丰台公安分局、北京门头沟公安分局、北京海淀公安分局、北京怀柔公安分局、北京东城公安分局、北京朝阳公安分局、北京西城公安分局、北京顺义公安分局、北京大兴公安分局、北京平谷公安分局、宁阳县公安局、温州市公安局、温州乐清市公安局、衢州市公安局、杭州市公安局萧山区分局、义乌市公安局、金华市公安局、湖州市公安局、舟山市公安局、绍兴县公安局、无锡市公安局

电信网上营业厅安全检测与防护解决方案
Telecom online business security detection and prevention solutions

客户面临的风险

网络技术的不断发展,电信公司作为IT技术应用的领航者,很快建立了某电信网上营业厅,电信客户可以通过网上营业办理大部分业务。目前网上营业厅品牌专区、信息传递、产品介绍、业务办理、自助服务、客户服务等栏目,用户可以了解电信相关产品,了解电信公司近期活动,可以实现话费查询,套餐办理,网上投诉等功能,方便用户便捷地进行电信业务的办理。随着时间的推移,网上营业厅已经成为了电信业务系统的重要组成部分,也是电信公司对外宣传的重要窗口。如此,系统的稳定运行、有效运行成为了系统自身内在的基本要求,开展网上营业厅系统的保障工作有着非常重要的意义。
  随着客户需求及市场与技术的成熟,运营商纷纷把网上营业厅的建设作为快捷、方便的新型营销渠道投入运营。网上营业厅的建设在给最终用户带来便捷(比如:足不出户就可以随时随地查看自己的手机/电话费用清单的同时,也给运营商的支撑系统业务数据安全带来了许多风险。
  同时最新的《网上营业厅安全防护检测要求》及《网上营业厅安全防护要求》中都对网上营业厅提到相应的要求,如《网上营业厅安全防护检测要求》中提到了第1级的应用安全中已要求网上营业厅数据库中用户身份识别是否重复,身份鉴别信息是否不易被冒用等要求;《网上营业厅安全防护要求》中提到"在网上营业厅与互联网网络之间安装应用层防火墙"。

解决方案

安恒信息在和电信技术部门探讨分析之后,在当前严峻的网站安全形势下,如果单靠传统的检查防护手段已经达不到保障的效果,在充分了解杭州安恒信息技术有限公司作为WEB应用及数据库安全的领航者基础上,结合网上营业厅的实际需求,随着业务的不断发展,应用系统也应随之不断地更新,应从安全检测及防护的要求上为电信提供专业的应用安全检测平台及网上营业厅的应用层防护设备。一方面通过应用安全检测平台对第三方开发单位提交的程序进行安全性检查,检测系统是否存在应用层的安全隐患,如SQL注入、跨站脚本、表单绕过等高危性的漏洞,以保证更新上传的程序中未包含应用层漏洞,减少因存在漏洞而面临被不法分子利用并进行恶意攻击和入侵;另一方面通过在网上营业厅的服务器前端部署安恒WEB应用防火墙实现对网上营业厅系统的保护,由以往的被动攻击转换为主动防御,实现对未知及已知的攻击的有效过滤,有效的实现了对XSS跨站脚本、SQL注入、表单绕过、Cookie注入、恶意文件包含、敏感信息泄露等等攻击的防范,确保网上营业厅的稳定运行。

客户收益

项目实施后,可以极大地提高电信信息化部门对于网上营业厅的安全预警和安全防护能力,使用户可以及时发现攻击行为和违规操作,能够有效地保护网上营业厅,针对非法访问及恶意攻击进行全方位的保护,并提供WEB访问加速减少服务器的负载,提高响应速度,更好地为客户服务,能够提升电信公司的整体竞争力。

社保行业应用及数据安全解决方案
Social security industry application and data security solutions

社保行业安全分析

通过近几年的建设,社保行业在电子政务统一网络平台上,依据国家"金保工程"建设要求,建成了各市级劳动保障数据中心,构建了市级主干广域网以及局域网,建成了社保专网、核心生产网、劳动就业网等业务网,建成了包括社会保险管理信息系统(五险合一)、劳动保障社区服务平台、劳动保障12333咨询服务平台、行业统筹养老保险管理系统、机关事业养老保险管理系统等在内的业务信息系统,接入用户包括公众用户、企业用户、医院、药店、就业相关单位、社保相关单位、省厅及各地市社保内部工作人员等等,实现了劳动保障业务经办的全程信息化。整体系统支持省内跨地市、跨省的社会保险关系转移、异地就医和异地离退休人员安置和管理服务,实现了社会保险、劳动就业及综合管理等业务信息及其统计类的信息交换与共享,实现了社会保障基金的非现场监督,实现了社会公众对社会保险事务的有关服务要求,实现了与相关部门的横向信息交换,实现了网络扫描方式的信息采集和深层次的信息分析,为宏观决策提供支持。
  随着社保各业务系统信息化进程的不断发展,庞大的数据库也面临着众多的应用数据安全问题,如养老保险数据篡改、个人信息泄露、管理员操作失误等。目前,社保行业数据库信息安全面临严峻挑战,并已引起社保信息化主管单位高度重视,成为迫切需要解决的问题。

解决方案

针对目前社保行业面临的业务系统安全风险,杭州安恒信息技术有限公司根据用户的需求进行分析,从数据安全的角度出发考虑整体的数据库安全性,将应用系统各数据库服务器的业务流量及所需要关联审计的各WEB服务器,分别将数据流量端口镜像到明御数据库审计与风险控制系统(DAS- Auditor)各端口,并在系统中设置相应的审计对象及审计规则,总体部署示意图如下:

采用静态审计实现数据库自身安全隐患的审计

数据库静态审计的目的是代替繁琐的手工检查,预防安全事件的发生。众所周知,社保数据库复杂并且庞大,如果采用人工、手工去检查数据库自身的安全隐患,将会费时费力,而安恒依托其权威性的数据库安全规则库,自动完成对几百种不当的社保数据库不安全配置、潜在弱点、数据库用户弱口令、数据库软件补丁等等静态审计,通过静态审计,可以为后续的动态防护与审计的安全策略设置提供有力的依据。

采用数据库实时审计解决数据库操作中的细粒度审计

采用了细粒度的审计策略对操作与访问进行全监控
明御数据库审计与风险控制系统提供了对社保专网所有用户操作行为的全监控,包括帐户对数据库的用户、表、字段、视图、索引、过程、函数、包等元素的访问操作,
实现了针对所有帐户对数据库访问与操作的全面监测审计
明御数据库审计与风险控制系统提供包括对社保内部和外部系统管理员的账户在内的所有帐户登录、访问和各种操作行为,可以审计来自客户端直接进入数据库系统的,也可以审计通过应用中间件进入数据库系统的,通过关联分析可以清晰地知道何时、何地、何人进入数据库系统在做什么,是授权的,还是非授权的,访问和操作是否合规或违规。
加强了对数据库临时帐户的审计监测审计
社保行业数据库系统的维护人员有时需要在数据库中建立一些临时的账户,用于数据库的日常维护,然而这样的账户如果被非系统维护人员恶意利用,由于使用时间较短,系统管理员很难发现数据资源被窃取或是被恶意修改。明御数据库审计与风险控制系统具有针对此类安全风险的审计功能,可以把临时帐户对数据库的访问和操作全部记录在案,保证了审计记录的完整性。
加强了针对重要敏感数据的访问的审计监测
社保数据库系统中的数据,如医疗保险、药店费用结算、养老金等,都具有商业性、保密性的特点,如果这些数据被泄露或篡改,会给社保自身威信和客户带来各种严重的后果。明御数据库审计与风险控制系统严密的监测审计功能,可以帮助社保信息中心的系统管理人员严密地监测和掌控所有对数据库系统中重要敏感数据的访问和操作,及时发现违规操作和追根查源。
提供了详细的数据库审计记录及分类统计
明御数据库审计与风险控制系统能够对所有审计信息进行记录、分类统计。根据用户需要,提供内容丰富、详细的审计统计报表,清晰地掌握数据库系统安全运行和合规使用情况。
实现了数据库异常操作监测报警
明御数据库审计与风险控制系统实现了数据库异常操作监测报警功能。根据事先制定的监测报警策略,对各类操作进行实时监测。当发现违反策略的操作时,立即产生报警信息(如邮件、短信、SYSLOG等),警示管理部门尽快查明原因,降低风险系数,严重的可直接通过堡垒进行阻断。
弥补了数据库系统内置日志审计的缺陷
数据库系统内置的日志审计功能单一,日志记录可以被人为修改、删除,明御数据库审计与风险控制系统是一个完全独立于数据库系统的"黑盒子",采用独立审计的工作模式,审计记录自保护性强,弥补了数据库内置日志审计的缺陷。

应用系统与数据库操作进行关联,有效解决操作行为的追溯

在三层或多层的应用架构中,社保行业系统通过WEB服务器实现对数据库的访问,传统的数据库审计系统只能审计到WEB服务器的相关信息,无法识别是哪个原始访问者发出的请求。明御数s据库审计与风险控制系统通过关联应用层的访问和数据库层的访问操作请求,可以追溯到应用层的原始访问者及请求信息(如:操作发生的URL、客户端的IP等信息),产品主要根据时间片、关键字等要素进行信息筛选,以确定符合数据库操作请求的WEB访问,通过三层审计更精确地定位事件发生前后所有层面的访问及操作请求。

解决方案优势

通过数据库的安全审计,能够在应用和数据库无影响条件下,实现用户需要的数据实时内控审计功能;
通过独特的专业技术,实现对信息从内部和外部的全面保护,防止外部的恶意操作和内部的数据窃取、误操作、恶意操作;
通过敏感信息的特别监控,实现对系统内部保密数据的保护;
支持专业要求的(等保/SOX/PCI)的详尽和全面的审计功能;
协助社保用户内部建立完善的数据库安全管理体系,规范内部人员的职责及流程;

能源行业解决方案
Energy Industry Solutions

行业特性

敏感数据类型

国家机密、企业商业秘密和其他一些不希望外部获知的内部资料。

敏感数据分布

各种应用系统,如:OA系统、CRM系统和油田资源信息管理系统等综合办公平台等。

需求分析

根据核心数据"大集中"存放在各个应用系统中的特点,通过统一的安全策略实现有针对性的系统数据安全管控,并关注各数据流在不同系统间的流转,具有较强的适应性、兼容性和灵活性等特点。
随着3G网络的发展,办公的部分应用从电脑终端迁移至手机终端,由于手机具有移动灵活并且通讯无限传输等特性,如何保证手机访问应用系统后的数据安全、传输安全、访问控制也是能源行业数据安全关注的重点。

解决方案

能源行业数据安全整体解决方案的设计理念:以能源单位核心应用系统的数据安全建设作为核心内容,以传统的终端数据安全和移动终端(电脑、手机/PDA等)作为基础支撑来搭建一套完整的数据安全解决方案,该整体方案搭配灵活,模块化结构,亦可针对能源单位各部门各系统等不同的数据安全保护要求进行解决方案级的系统建设。
应用数据安全解决方案
应用保护系统实现对应用系统数据保密方案,主要实现对能源单位核心应用系统(如:ERP、OA、能源信息管理系统等)中数据的落地/下载进行相关的控制和加密,防止应用系统的数据随意流失,并且采用独特的数据保护技术区分应用系统和本地维度的敏感数据,和文件格式以及创建文件程序无关,集成了用户和终端的两种管理模式,对应用数据进行加密、授权、审批一系列的管理。
移动终端安全解决方案
移动安全解决方案统依托公共移动接入网络基础设施,基于运营商基础网络移动通信技术(GPRS/CDMA/3G),以能源单位的手机、PAD和笔记本电脑等作为移动终端设备,从网络的安全认证与接入、网络访问控制、安全传输、接入安全管理以及移动安全应用等方面进行综合安全防护,构成多层次、全方位的移动安全办公保障体系。 方案部署图

方案特点

对能源行业敏感数据的识别极具针对性,能够根据能源行业用户的应用场景提供强有力的数据保密解决方案;
安全管理灵活,分布式加解密技术,降低单点风险,提高处理效率;
高度的"业务相关性"和"技术无关性",不改变现有网络结构和应用方式,具备良好的扩展性;
移动安全解决方案是针对应用数据防护的安全扩展和延伸,是基于新形势下能源行业移动办公安全的重要体现,大大促进了能源信息化产业的快速发展。

金融行业数据安全解决方案
Financial industry data security solutions

行业特性

随着金融系统信息化不断发展和提高,各银行、证券公司等单位都已建立了相对成熟的应用系统,如:OA系统、CRM系统、信息管理系统MIS系统、证券交易系统或是基于Portal技术的综合办公平台等,给日常的信息处理和传递提供了极大的便利。但在带来便利的同时,金融业信息网络和重要信息系统正成为敌对势力、不法分子进行攻击、破坏和恐怖活动的重点目标。与此同时,根据国办颁布的《中央企业商业秘密保护暂行规定》,公安部颁发的《计算机信息系统安全等级保护基本要求》及银监会颁布《银行业金融机构信息系统风险管理指引》、证监会出台《证券期货业信息安全管理办法》和保监会颁发的《保险公司信息系统安全管理指引》,IEC/ISO 27001等一系列金融行业信息安全相关政策的规定,金融行业目前急需对金融业核心应用系统数据进行保护。

敏感数据类型:。

银行储蓄、贷款信息;证券公司交易信息;保险机构数据;金融系统涉密资料等;

敏感数据分布:

以各核心应用系统为主,其他办公终端中也存储部分相关敏感信息,核心应用系统包括:OA协同办公系统、CRM系统、MIS系统和证券交易系统等.

需求分析

应用系统的发展和完善是金融信息化的必然趋势,在不断完善应用数据安全的同时也需要针对各金融单位内部的实际情况进行灵活分析,采用针对性的数据安全解决方案来进行保护,包括对单位内网的终端进行数据防泄密保护和移动办公系统进行安全加固,从而形成一套整体的终端数据安全解决方案。
金融单位各应用系统(OA、MIS、业务管理系统等)由于其数据集中存储的特殊性和重要性,金融单位迫切需要建设主动的、全面的基于应用系统为核心的信息防泄漏防护体系;
金融单位务系统承载着大量的核心重要数据,一方面这些数据均来源于各应用系统,另一方面部分核心终端上本身也存储着大量的数据,如:信用卡中心、软件开发部和财务部等,因此亦需要对部分核心终端进行全方位的数据防泄密管控;
随着手机银行、移动办公等应用的普及,如何保障金融单位移动终端安全接入、安全应用和安全管理等问题成为了关键的安全风险因素。

解决方案

金融行业数据安全整体解决方案的设计理念:以金融单位核心应用系统的数据安全建设作为核心内容,以传统的终端数据安全和移动终端(电脑、智能手机等)作为基础支撑来搭建一套完整的数据安全解决方案。
应用数据安全解决方案
应用保护系统可精确定位数据安全风险,主要实现对金融单位核心应用系统(如:MIS、OA等)中数据的落地/下载进行相关的控制和加密,防止应用系统的数据随意流失,并且采用独特的数据保护技术区分应用系统和本地维度的敏感数据,和文件格式以及创建文件程序无关,集成了用户和终端的两种管理模式,对应用数据进行加密、授权、审批一系列的管理。
终端数据安全解决方案
以'环境加密技术'为技术理念,为金融单位构架敏感终端安全的保密体系(如:信用卡中心、软件开发部等)。所谓的'环境'是指数据在生成、存储、交互、使用的过程中所接触的载体、使用者、传输渠道的一个总称。而'环境加密技术'就是采用了多种管理手段结合的方式,安全管控贯彻于完整的数据生命周期之中。
移动终端安全解决方案
移动安全解决方案依托公共移动接入网络基础设施,基于运营商基础网络移动通信技术(GPRS/CDMA/3G)为支撑,以金融单位手机、PAD和笔记本电脑等作为移动终端设备,从网络的安全认证与接入、网络访问控制、安全传输、接入安全管理以及移动安全应用等方面进行综合安全防护,构成了多层次、全方位的移动安全办公保障体系。 方案部署图

方案特点

对敏感数据的识别更具针对性。不是以某种类型数据保密为出发点,而是针对应用系统数据、终端敏感数据进行保密,与文件格式无关,所需保护的数据针对性强;
安全管理更趋灵活。方案提供文档权限管理、审批管理、日志管理等多种管理手段,通过组合各种管理手段,更有效的对应用系统内文档权限(阅读、更新、打印、复制、另存等)、数据交换(与外界的数据交互)和数据操作(创建、复制、删除等)等方式进行多维度管理;
方案整体性强、架构灵活。方案提供基于应用系统数据、终端数据、移动终端办公安全等多维度的整体解决方案,亦可根据金融单位的数据安全现状进行搭配,体现了方案良好的延展性。

政府行业移动终端数据安全解决方案
Government the industry mobile terminal data security solutions

行业特性

在"十二五"发展规划和电子政务发展规划的指导下,政府电子政务发展取得了长足进步,政府政务信息化工作逐渐摆脱了对传统固定办公环境、办公时间、电脑设备以及网络的依赖,将电子政务移动办公应用无缝延展到每位办公人员手中。目前,政府机关使用的办公系统涵盖业务的方方面面,公务人员的日常工作必须依赖信息化系统。然而人员一旦因出差、开会、外出学习而离开固定办公场所,则需要通过移动终端设备来处理公文往来,移动办公所带来的安全问题也随之出现,一方面希望能够安全方便的接入单位网络,进行公文阅览/审批、数据查询和收发邮件等,同时保证存储在移动终端上的办公信息安全;另一方面希望能够提供移动终端个人应用上的安全保障。安全问题覆盖了移动终端、身份认证、网络通信、移动接入和移动办公应用系统的每一个环节。

公安部、国家保密局、国家密码管理委员会办公室和国务院信息化工作办公室也联合发文,要求各个政府单位应该以国家保密局颁发的《信息系统安全等级保护基本要求》为评价基准,进行政府单位的信息安全防护体系建设。以进一步提高政府单位信息安全的保障能力和防护水平,确保国家基础信息网络和重要信息系统的安全运行。

需求分析

移动办公最大程度上解决了由于公务繁忙,经常出差等情况下对传统固定办公地点、环境和电脑设备的依赖,然而在移动办公中的安全问题也日益突出,主要包括以下几点:
终端接入不可信:由于接入终端的移动特性,在接入时存在非法使用/非授权访问等安全隐患,缺乏安全机制保障终端安全和用户合法性。
链路通信遭威胁:移动终端接入时需采用链路认证机制及数据传输机密、完整的保障机制,保障链路的合法性,防止单位敏感信息在传输过程中被泄露/篡改。
网络安全风险:由于网络是非法人员对系统进行攻击的首要目标,因此必须通过网络访问控制、包过滤和隔离等方式加强网络环境的安全防护,抵抗来自公网的各种攻击。
移动办公应用安全风险:在移动办公应用中,应确保存储在移动终端设备上应用系统数据的安全,有效防止因设备丢失造成的数据泄密风险。
移动终端的合规管理:随着移动办公的普及,移动智能终端更需要有统一的管理机制,如:移动办公接入管控、安全应用数据管理、终端环境安全检测和终端资产管理等。

解决方案

移动终端安全接入时,通过客户端软件和加密卡(存放个人数字证书和签名私钥)进行校验,可有效解决用户的抵赖问题;移动安全接入网关与客户端建立的安全通道,可实现数据通信的机密性、完整性;移动安全接入网关对移动终端进行有效的身份认证及访问授权,杜绝越权访问和非法访问;
移动安全接入系统在移动终端接入内网时,可有效实现远程接入的网络审计、移动终端的行为审计等安全策略;
移动终端安全应用主要通过控制、加密等技术手段提供三个维度的安全应用,管理维度上,提供集中统一对外设管理,如红外、蓝牙等设备管理;个人数据安全应用维度上,提供安全通讯录、安全短信、安全摄像头等,实现个人数据存储在移动终端上的安全性;办公数据安全应用维度上,提供安全浏览器、安全office等保证通过移动办公系统存储在移动终端设备上的数据安全性;
移动终端安全管理对移动终端进行安全的接入控制、外设管控、资产管理、终端环境安全检测等功能,全面为移动办公提供有效且合规的安全环境;
方案部署图:

方案特点

移动访问用户通过多重硬件认证手段,对移动终端进行强身份鉴别,经过确认的合法用户才可与内网中的应用建立通讯隧道;
有效利用数字证书对其访问数据包进行加密,把身份信息与访问信息整合,有效防范抵赖现象;
通过IP隧道封装技术保障远程通讯过程中数据的机密性和完整性,防止泄密和篡改等攻击行为发生;
移动终端安全应用支撑框架支持和兼容IOS、Android、Mobile和CE等各主流操作系统;支持Apple、HTC、Motorola、Huawei和ZTE等厂商的主流机型移动设备;
移动终端安全应用支撑框架为各种加密应用提供一个安全、可靠的加密环境,确保移动应用数据在终端的落地加密安全。同时,提供各类个人应用数据安全。

机械制造行业数据安全解决方案
Machinery manufacturing industry data security solutions

行业特性

随着机械制造业在信息化建设方面的投入持续增大,信息的生成、流转、传输变得非常快捷。并且伴随着行业竞争越发激烈,数据安全问题越发凸显出来。传统强调边界安全的信息安全管理体系明显不能胜任机械制造业的数据安全管理需求。为此,需要针对机械制造业信息的安全特点,制定完整的数据信息安全管理体系,以巩固信息化成果,降低企业信息安全风险。

敏感数据类型

设计图纸/文档从研发到投产过程中产生的各种类型数据的集合。

敏感数据分布

复杂多变的应用环境,应用服务器(如OA、ERP、PDM等);

所有参与研发/设计/生产的内部终端;

需要进行数据交互的合作方。

需求分析

在内网安全体系的建设过程中,机械制造企业需要结合企业的整体环境,从制度建设、技术保障等多方面入手,构建统一的内网安全管理体系;
企业敏感数据(如设计图纸)在生成和传播过程中高度依赖于网络和各类信息处理终端,要保证数据在设计、生产(包括冲压、焊装、涂装、装配等)等部门间流转的安全。同时,系统的上线不能引发数据损毁的风险(包括终端数据和服务器数据);
终端应用程序种类众多且更新周期不定,解决方案需保证与应用程序(如CAD、CAM、CAPP、PDM、 MPM等)良好的兼容性,避免带来大量的管理和维护成本;
数据防泄密系统对于业务流程效率的影响必须在可以承受的范围之内;
供应链管理设计合作单位非常多,在信息化过程中外单位的来往人员也比较频繁,企业应建立对外来人员的信息安全风险防范手段。

解决方案

数据防泄密解决方案分析数据在流转过程中所有可能泄露的风险点,采用多种技术手段来对分析出的风险点进行合理的解决,在保证数据安全带的同时又最大限度的降低了数据安全带来的风险。
以加密为核心,以认证为基础,以管控为辅助,以审计为补充的多种技术手段,针对数据的传播出口进行安全控制,建立信息防泄漏的基础体系(DLP体系),保证数据在合法区域之内透明流转,非法外发之后加密保护;
服务器访问控制技术和终端DLP技术的结合,在保证服务器明文存储的同时,达到服务器数据防泄密的效果;
终端模式切换技术,简洁有效的解决合作方数据交互过程中的泄密问题;
文档加密技术和审批功能的综合运用,在规范内部数据交互流程/降低泄密风险的同时,为企业的数据外发沟通提供了安全外发通道。
方案部署图:

方案特点

兼容性好,在统一的产品平台下,实现复合型的管理与保密功能,不会产生子功能间相互干扰与影响的情况,保证终端稳定运行,并且保证加密技术支持所有格式的文件;
效率影响极低,基于磁盘驱动层与网络协议层的数据控制,最大程度的降底了系统对网络与本地计算机的资源消耗;
风险很小,从下线风险角度来考虑,因为方案是基于环境来进行控制,如果需要应急,公司可以在短期之内迅速解除对环境的控制措施,摆脱对厂家的依赖性。

电子通讯行业数据安全解决方案
Electronic communications industry data security solutions

行业特性

现今我国已是全球第三大电子信息产品制造国,电子信息产品已经渗透到我们生活的各个角落,包括通信、医疗、计算机及周边视听产品、玩具、军工用品等。电子通讯行业是典型的知识技术密集型行业,具有科技含量高、专利多,知识产权丰富,核心数据密级高等特点。随着业内竞争的加剧,为寻求竞争中的有利地位,保证产品的核心技术优势以及保护自己核心知识产权的安全变得尤其重要。

敏感数据类型

常见的办公研发环境中,如:元器件图纸设计、软件代码研发(包括编写、编译、分布式编译等)、数据运算、硬件烧录等。

常见的信息系统中,如:代码编写与编译、版本控制、图纸设计和文档编写等系统/软件等。

敏感数据分布

研发类计算机、硬盘、移动存储设备和文件服务器等。

需求分析

电子文档(源码、设计图纸、设计方案等)均要做数据保护措施,防止内部人员有意或无意造成数据泄露;
对数据进行规范化管理,数据外发时进行安全控制;
有效管理移动存储设备,避免泄密事件的发生;
对员工出差携带的笔记本做相应管控,保证数据的安全存储;
只有受控的计算机并同时拥有权限的用户才能访问文件服务器;
不能影响硬件烧录工具的使用,向硬件中烧录程序可以正常使用。

解决方案

针对需要受保护的文件服务器,采用服务器访问控制技术,用来控制客户端对安全服务器的访问;
对移动存储介质进行加密处理,解决由于移动存储介质非法接入而导致的数据泄密问题;
多层次的网络加密技术,既对系统信息加密,又实现虚拟保密网等功能的数据传输加密;
根据需要将内网的计算机划分多个安全域,有效实现不同业务部门的网络逻辑隔离;
文件外发控制与外带审批功能确保文件的二次防泄密安全使用;
员工出差携带的笔记本通过"模式切换",即保证数据的安全,又不影响电脑的使用;
针对硬件烧录工具单独放开,建立白名单,所有通过开放的烧录工具不受影响,正常使用。
方案部署图:

方案特点

安全强度高:系统基于硬盘扇区加密技术、网络传输技术和移动存储设备加密技术,通过其他辅助控制手段,构建了高安全强度的数据保密系统;
兼容性良好:系统具有良好的兼容性,与具体的应用软件和系统无关,不需要针对用户现有的应用软件进行二次开发,用户进行应用升级或者以后采用新的应用系统,产品也可以无缝支持;
扩展性能强:统一平台下的集中安全管理,将使电子企业内网的信息安全管理更加规范和高效,降低安全风险和管理复杂度;
成熟度较高:系统已经成功部署超过2000家用户,在众多设计研发单位已经得到广泛应用,能够适应各种复杂的设计应用环境,用户评价良好。

设计院行业数据安全解决方案
Design Institute of Industry Data Security solutions

行业特性

国内设计院所在科技建院、科技兴院和可持续发展的方针指导下,大力推进信息化建设,以信息化带动设计院的现代化,取得了瞩目的成绩。特别在设计应用软件资产规模、三维设计技术推广应用和协同办公等领域,企业投入了大量的资金,逐步形成了一整套覆盖设计院各个业务和管理领域的信息化基础体系。在此基础上,数据安全作为信息化建设的重要环节,对于以知识成果为企业重要效益来源的设计院所,显得尤为重要。

敏感数据类型

大量设计文档、图库资源、涉密基础数据、成果数据等价值信息;

一些院所还涉及国防战略信息的数据。

敏感数据分布

负责生产的生产网,如设计人员终端计算机;

对外交流的办公网。

需求分析

设计成果保护。设计方案、设计图纸甚至一些敏感数据分散存储在设计人员计算机上,需要采取技术手段进行有效保护,有效杜绝设计人员对计算机上存储数据的随意拷贝外发行为,防止数据被未授权的人员发送或者传播;
充分考虑重要数据面临的主动和被动泄密风险。从数据的产生、访问、存储、外发等多个过程去进行控制,任何未经授权发送或者获取的数据都会处于被控制或加密状态;
加强外发数据管理。对正常授权外带范围内的数据流程进行规范。设计图纸、文档等成果数据在客户和合作商流转过程中实现有效的访问权限控制,并杜绝恶意的成果剽窃或二次泄密行为;
计算机登录认证控制、服务器访问授权。设计院所有共享设计素材和设计成果,统一保存在共享服务器,对服务器访问授权进行统一安全管理;
充分考虑办公网的特殊性,既不影响办公网的正常使用,又需要加强对办公网计算机的管理。

解决方案

设计院数据最终泄密的途径是在各地分散的终端上产生的,因此主要针对的对象是使用这些数据的终端。
通过磁盘加密、网络传输加密、移动存储设备加密、外设控制等技术建立生产网数据保密体系,防止数据泄密;
文件审批管理和数据交换管理通道的使用,完善数据外发流程,保证数据在外带或交换过程中的安全;
对外发文件进行权限管理,有效规避因文件的二次传播带来不必要的损失,如投标文件等;
采用安全网关的方式对资源库等重要数据进行访问授权,通过安全网关有效保障与各应用系统的结合,降低项目实施风险,提升信息化系统扩展空间;
网址访问黑白名单、进程黑白名单、终端实时监控、打印监控等功能协助建立办公网管控机制;
日志审计系统可以对系统使用员、管理员的行为进行跟踪和记录。
方案部署图:

方案特点

搭建数据安全生产平台,形成以设计院内网终端为中心的数据保密体系,实现"区域内透明,区域外加密",防止未经授权的任何格式数据私自外带;
对内网重要服务器进行授权访问,防止非法计算机进行非法访问,防止重要的文件服务器被非法访问造成资料流失,规避了文件的二次传播风险。
规范设计院数据外发流程,加强文件外发管理;
以安全介质为中心的数据外发系统,有效的保证外发数据的安全,同时,也规避了因外发数据量大而带来的技术瓶颈;
加强制度管理,通过技术手段把相关的规章制度"落地"。

军工行业数据安全解决方案
Military industry data security solutions

行业特性

随着军工行业信息化建设的快速推进,各企事业单位基本上都建立了自己的涉密信息系统和非涉密信息系统。由于工作性质的特殊性, 各军工企事业单位中涉及的国家秘密信息数量大、范围广,信息安全保密成为一个备受关注的问题。军工企业在推进信息化工作的同时,怎样做好信息安全保密成为一个非常严峻的问题。国家保密局先后发布了《计算机信息系统保密管理暂行规定》和《BMB-17》等一系列分级技术保护要求的文件,要求对涉密信息系统明确进行等级防护的规划。

现阶段涉密信息系统安全保障工作还处于起步阶段,普遍存在安全保障能力低,没有划分安全保密层次与级别,信息对抗能力不足等问题。目前,各军工企业虽均与员工签订保密协议,但仅仅从制度上约束还不够,还需要通过技术手段进行控制,保障各军工企事业单位内终端数据的存储、使用、流转安全的同时,提高数据安全强度,杜绝信息泄密事件的发生。

需求分析

单位内部系统用户登录机制欠安全且混乱,主机登录认证依靠系统自带身份识别方式,安全强度低,易被冒用或盗用;
需要加强对涉密网与非涉密网的管理力度,即要在涉密网或非涉密网内依据人员或部门进行细粒度管理,依据涉密安全保密级别不同,进行严格划分,达到分级分域管控;
对涉密内网的移动存储介质以及外设需要采取有效安全控制,防止随意使用;
对涉密网内数据进行严格管理,防止未经授权的文件随意携带出涉密网;
对于非涉密网不仅是简单用户行为的管理或监控,还需要对非涉密网内存在的敏感数据、重要的应用系统进行保护,提高非涉密网的安全等级,从而提升数据价值。

解决方案

依据分级保护技术要求,网络保密系统可以将涉密内网信息系统计算机终端和服务器根据不同保密级别和职能逻辑划分为不同的安全域,进行分级分域管理;
在同一保密域内,信息可相互进行正常网络通讯,也可以移动存储介质为载体进行有效的数据交互,但是不同保密域间不能通过任何方式进行数据交互;并且通过网络加密技术可彻底杜绝各种方式的非法外联和接入,包括对等网连接等;完善的硬盘加密技术,对数据的安全存储提供了安全保障;
外设管理功能可提供完善的移动存储设备管理功能,支持多种灵活的策略和授权方式,实现移动存储介质注册管理,还支持对红外、蓝牙等外设的集中管理;
网络保密系统构建了涉密网数据保密体系,提供严格的数据管理功能,所有的数据在未经授权的前提下,均无法私自携带出涉密网,提高了涉密网内数据安全性;
可以依赖重要业务系统、文档服务器和文档三个维度进行安全加固,实现以业务系统、文档服务器、文档为中心的数据保密体系,大大提高了非涉密网内数据安全的管理,既提升了数据价值,又没有影响用户的正常使用。
方案部署图:

方案特点

满足保密局分级保护要求,在涉密内网内建立不同保密级别的数据安全区域,实现了分级分域管理;
在网络边界完整性上有效实现了非法内联阻断和非法外联控制,提高网络边界安全;
通过在涉密网内构建数据保密体系,从而保证涉密网内数据的安全存储、使用、流转,在不影响正常的前提下,提高对涉密网内数据的安全管控;
可以灵活对重要的业务系统、文档服务器、文档等多维度进行管理,依据不同部门、人员、涉密级别进行管理,提升数据应用价值;
依靠Usb_key方式实现双因素认证,实现了主机登录安全,提高用户登录强度;
建立统一集中外设管理平台,不仅仅实现了对移动设备的全方位的管理,还对红外、蓝牙等集中管控功能。

军队数据安全解决方案
Army data security solutions

行业特性

随着国家军队信息化建设的不断升入,计算机已成为我军作战指挥、教育训练、装备研发、后勤保障以及日常办公等方面的重要信息载体和传输渠道,在享受计算机办公带来方便的同时,存储、流转在计算机/网络中的数据安全问题也引起广泛的关注,特别是计算机/网络中含有大量的国家涉密信息。根据中央军委颁发《关于加强新形势下军队信息安全保障工作的意见》以及国家保密局前后颁布的《计算机信息系统安全等级保护基本要求》和 《涉及国家秘密的信息系统分级保护技术要求》系列文件的指导要求,需对涉密信息系统明确进行严格的安全防护和安全等级建设的规划。

近年来,军内失泄密事件频发,全军计算机信息安全的问题日益凸显,尤其是敏感数据、业务系统需要重点进行保护,因此,需要对涉密计算机、数据、敏感业务系统采用认证、加密、监控等技术手段进行控制,促进我军信息安全保障能力的整体跃升。

需求分析

涉密单位内部员工相对较多,按照军委以及国家保密局相关指导文件的要求,对内部人员的权限进行统一管理,统一授权;
按照终端的涉密信息级别和主客体类别建立安全访问机制;
需要对不同部门的计算机进行逻辑分域管理(不仅仅是建立物理隔离内网),并且根据计算机的使用性质,设置不同安全等级的保护策略,避免秘密信息的随意传播和泄密;
采用安全的技术手段来加强对涉密内网数据传输的控制,避免数据遭受非法用户的窃听分析;
加大力度管控杂乱的外设设备和计算机IP端口的使用;
内部使用的移动存储介质和涉密数据的硬盘存储,采用相关加密技术和管理措施, 来进行规划和保护。

解决方案

在涉密网内构建集信息保护安全认证、网络安全访问、数据加密、数据传输、终端监控与审计等功能于一体的完整内网安全保障体系,针对数据信息的存储、使用和交换等环节进行完整防护。
终端用户身份认证体系对用户进行集中管理和授权。对信息系统中涉及涉密数据用户终端系统进行用户身份鉴别。
提供内部网络分级分域控制功能,提高内部网络的可管理性和可控性。
终端数据硬盘加密功能采用透明加解密技术,控制所有本地磁盘的文件,不影响用户使用习惯,确保即使硬盘被偷窃后内部数据亦是安全的。
采用IP封装技术实现终端数据传输加密,有效防止非法外联或者非法接入,对涉密内网的边界完整性进行控制。
通过对终端行为、外设、网络相关的管理控制实现对涉密终端进行强有力管理,来约束终端和合法操作和使用,并且在事后建立起以终端行为操作、网络访问、资产台账等为一体的综合日志审计体系。
方案部署图:

方案特点

建立安全的用户管理体系,加强终端安全登录管理;
实现了终端安全访问控制;
实现对涉密内网分级分域管理,不同的安全域执行不同的管控策略;
在网络边界完整性上有效实现了非法内联阻断和非法外联控制;
在数据传输完整性上实现了加密控制,保证了数据传输安全;
实现硬盘数据存储安全,防止了硬盘丢失/蓄意偷窃带来的数据泄密;
建立统一安全的移动存储设备管理机制;
涉密终端的数据出口均有效得到了安全管控。

医疗行业数据安全解决方案
Healthcare industry data security solutions

行业特性

随着国内各大医院数字化建设的快速发展,其核心HIS业务系统积累和掌握了大量的患者基本信息、化验检查结果、电子处方信息及医院生产数据和运营信息。这些数据涉及到公民隐私、医患关系、医院自身经营发展等众多方面。建立起对医疗HIS业务数据的保护,减少由于数据泄漏所带来的公民信息泄漏、医患矛盾、公信度降低,提高患者对医院的信任度具有重要意义。

医院的HIS业务支撑网具有数据分散、子系统繁多、环境复杂等特点。数据在不同的阶段均存在不同的风险点。

敏感数据类型

患者基本信息:(包括患者及家属的个人信息、身份证号、家庭住址、联系方式、家族病史及既往病史等);

各种化验检查信息:化验信息(包括常规检查、体液检查等)、检查信息(包括心电图、放射影像、CT影像、内窥镜影像和B超影像等);

电子处方信息:医生诊断信息、药物医嘱和诊疗医嘱等;

管理信息数据:挂号收费数据、住院管理信息和药品管理信息等;

敏感数据分布

医院HIS系统(CIS系统、LIS系统、PACS系统、EMR系统和MIS系统等);

医生工作站、护士工作站、各医疗科室、移动临床应用和收费处等终端上。

敏感数据使用人员

对应人员分为三类:医生、护士、收费人员。

总体示意图如下:

需求分析

根据医院当前的数字化建设,对数据的访问、传输、存储、交换过程进行分析和判断,根据泄密点和风险点,采用加密、控制、授权、审计等方式组合而成的数据保密体系;
根据环境对涉及到的敏感数据终端进行安全的边界防护,实现"区域内透明,区域外保护"的效果;
兼容医院的HIS业务系统并能够适应实际工作流程,在使用时不增加不必要的操作环节;
数据保密系统的操作必须人性化,符合用户的使用习惯。同时也要求该系统对计算机系统资源的占用不能明显降低用户计算机的性能;
充分的考虑到网络的稳定性和大规模部署要求,能够支持医院的业务终端进行管理。

解决方案

由于医院的HIS业务系统比较复杂,涉及到的子系统类型众多,所以应该从应用系统数据保密、终端数据安全及移动办公终端安全四个方面分别进行规划。
针对应用系统的防护,对所有的应用系统(如CIS系统、LIS系统、EMR系统和MIS系统等),在正常访问的途径上,增加了安全控制组件。保证应用系统在内部正常沟通,同时实现数据落地加密;
针对各医疗科室终端数据泄密防护,通过对数据出口的安全控制,建立安全虚拟区域,实现数据在区域内部的原态化,数据离开区域加密保护的效果;
对于移动临床应用中,移动智能终端在工作中遇到的身份冒用、网络窃听、资源耗尽、设备丢失等问题,通过数字证书、链路加密、权限管理等技术可以实现身份认证、加密通信、资源控制与移动终端本地数据的保密。
方案部署图:

方案特点

针对医疗HIS应用系统内的数据进行保密,与文件格式无关,所需保护的数据针对性强。
安全管理更趋灵活,具备灵活的授权管理机制和分级管理机制。实现层层分级管理,灵活地适应各种复杂管理模型的需要。其于不同的角色配置策略、制定管控力度。
对敏感数据的识别更具针对性,所采用的技术与HIS各子系统类型无关,兼容所有的HIS系统。保护HIS应用系统内数据的全程安全,除所保护的HIS及其子系统外的其他数据均不受影响。
分布式加解密技术,降低单点风险,提高处理效率,采用先进的"分布式加解密技术",支持数据加解密动作既可以在终端完成,又可以在服务器端完成,降低数据风险,提高系统运行效率。
支持大规模部署,实现了多台服务器运行环境的负载均衡。
针对性强,可以针对医院不同的风险场景,具有针对性解决方案。

电信运营商行业数据安全解决方案
Telecommunications carriers industry data security solutions

行业特性

随着国内各大运营商的快速发展,其核心业务系统积累和掌握了大量的客户信息、生产数据和运营信息。这些数据涉及到运营商的自身发展、公民隐私、国家政策等众多方面。保护核心业务数据,减少由于数据泄露带来的财务/竞争力/公信度的损失,对提高客户和合作伙伴的信任度有着重要意义。

运营商业务支撑网具有区域分散、数据分散、系统繁多、环境复杂等特点。数据在不同的阶段均存在不同的风险点。

敏感数据分类

BOSS敏感数据:客户资料(包括普通客户资料、个人大客户资料、集团大客户资料、渠道合作伙伴资料等)、计费帐务数据(包括详单、账单、帐务信息和记录等)和统计数据(包括统计报表、结算报表等)。

经营分析敏感数据:经营分析统计数据(包括用户发展情况分析、业务量发展情况分析、收益情况分析、市场竞争分析、服务质量分析、营销管理分析、大客户分析等业务分析数据);

OA系统数据:涉及到运营商自身的办公数据、流程审批、通知提示、知识共享、行政制度等内部数据。

敏感数据分布:各大业务系统(BOSS系统、经营分析系统、OA)和个人终端。

敏感数据使用人员:对应人员分为三类:开发人员、 运维人员和使用人员。

总体示意图如下:

需求分析

根据运营商当前的IT建设,对数据的访问、传输、存储、交换过程进行分析和判断,根据泄密点和风险点,采用加密、控制、授权、审计等方式组合而成的数据保密体系;
根据环境对涉及到的敏感数据终端进行安全的边界防护,实现"区域内透明,区域外保护"的效果;
兼容运营商的业务系统并能够适应实际工作流程,在使用时不增加不必要的操作环节;
数据保密系统的操作必须人性化,符合用户的使用习惯。同时也要求该系统对计算机系统资源的占用不能明显降低用户计算机的性能;
充分的考虑到网络的稳定性和大规模部署要求,能够支持运营商的业务终端进行管理。

解决方案

由于运营商业务比较复杂,涉及到的数据类型众多,所以应该从应用系统数据保密、文件服务器管理、终端数据安全、第三方办公人员安全及移动办公终端安全五方面分别进行规划。
针对应用系统的防护,对所有的应用系统(如:BOSS系统、OA等),在正常访问的途径上,增加了安全控制组件,保证应用系统在内部正常沟通,同时实现数据落地加密;
针对各医疗科室终端数据泄密防护,通过对数据出口的安全控制,建立安全虚拟区域,实现数据在区域内部的原态化,数据离开区域加密保护的效果;
对共享服务器中的文件,通过文件加密技术和权限管理技术,实现数据在外部加密保护的基础上,对内还具有权限控制;
针对第三方办公人员通过加密技术配合虚拟化技术,虚拟出不同的工作环境,保证工作环境下的数据安全和个人环境下的自由化操作;
对于移动办公终端在工作中遇到的身份冒用、网络窃听、资源耗尽、设备丢失等问题,通过数字证书、链路加密、权限管理等技术可以实现身份认证、加密通信、资源控制、移动终端本地数据保密。
方案部署图:

方案特点

针安全管理更趋灵活,具备灵活的授权管理机制和分级管理机制。实现层层分级管理,灵活地适应各种复杂管理模型的需要。其于不同的角色配置策略、制定管控力度;
对敏感数据的识别更具针对性,所采用的技术与具体应用系统类型无关,兼容所有的应用系统。保护应用系统内数据的全程安全,与文件格式无关,除所保护的应用系统外的其他数据均不受影响;
分布式加解密技术,降低单点风险,提高处理效率,采用先进的"分布式加解密技术",支持数据加解密动作既可以在终端完成,又可以在服务器端完成,降低数据风险,提高系统运行效率;
支持大规模部署,实现了多台服务器运行环境的负载均衡;
针对性强,可以针对运营商不同的风险场景,具有针对性解决方案。

政府行业等级保护数据安全解决方案
Government industry grade protection of data security solutions

行业特性

随着电子政务的普遍应用,信息网络已经成为国家各级政府单位运行的基础设施之一。政府部门的网络涉及国家各个层面的机密信息,其信息的保密性和可控性显得尤为重要。为进一步提高政府单位信息安全的保障能力和防护水平,确保国家基础信息网络和重要信息系统的安全运行,公安部、国家保密局、国家密码管理委员会办公室和国务院信息化工作办公室联合发文,要求各个政府单位应该以国家保密局颁发的BMB17-2006《涉及国家秘密的信息系统分级保护技术要求》与《信息系统安全等级保护基本要求》为评价基准,进行政府单位的信息安全防护体系建设。

政务网主要呈现以下特点:

1、网络环境复杂,办公网、涉密网和外网等多个网络并存,经常在不同网络间交换数据时出现有意或无意的数据泄密情况;

2、内网政务信息数据非常敏感,内部行政人员的过失行为造成的信息泄密极易造成重大负面影响,甚至危及国家安全和社会稳定。

需求分析

融合现有的安全设施基础,从整体出发,统一建设一套符合等级保护制度的安全体系。
对信息系统的存储、传输、处理实现分等级安全保护;对信息系统中使用的信息安全产品实行等级管理;对信息系统中发生的信息安全事件分等级响应,进行处置。
政务网络中的计算机存在不同的密级,需要对内部网络的计算机进一步细分,依据国家提出的信息等级保护条例,应实现分级分域管理;
政务网内的计算机硬盘上分散存放着大量的涉密信息,必须对这些涉密数据进行保密和控制;
响应国家政策要求,落实信息系统等级保护建设工作。

解决方案

信息系统的等级保护建设,是一项庞大的信息安全集成性建设,基于评估、集成、管理、服务为一体的整体保障体系,是信息安全产品安全策略的综合体现,Chinasec内网安全平台从以下方面满足等级保护指标要求,实现网络、主机的整体防护与管理。
1.网络安全部分
结构安全:实现虚拟安全域划分,将不同网段之间划分多个安全域,安全域之间实现不同的安全策略访问。
边界完整性检查:禁止非法内连/非法外连行为,有效阻止非法终端恶意接入敏感数据区,敏感数据区恶意外接其他网络。
2.主机安全部分
身份鉴别:提供基于USBkey硬件身份识别及Windows用户绑定,对系统登录身份进行唯一识别。
访问控制:实现主体对客体的访问控制,依据安全策略的控制,对设置敏感标记的重要信息文件赋予相应的读、写、另存权限,且对系统默认共享权限进行控制。
安全审计:基于自建用户,对操作系统上的所有文件操作记录都可审计,包括重要敏感信息。
剩余信息保护:通过虚拟化技术,实现虚拟模式的安全访问,做到无缓存痕迹处理。
入侵防范:提供主机监控功能,包括:客户端实时监控、IP与端口控制、外设控制、邮件收发控制、网址访问监控、进程服务控制、网络共享控制等,并对违反安全策略的恶意访问行为进行审计。
资源控制:具备接入认证功能,可限制ip及端口的访问,并支持虚拟安全域划分,不同安全域直接可以实现信任访问与非信任访问。
方案部署图:

方案特点

完整的保密体系建设,针对数据信息的存储、使用和交换等环节进行完整的防护,解决了等级保护最突出的信息保密需求;
完善的网络边界安全防护方案,从网络、存储设备等途径全方位考虑,提供了对边界安全防护灵活完善的解决方案,用户可以清晰、灵活和安全的界定不同密级和不同业务部门的信息安全边界,防止非法外联、非法接入和非法信息泄漏等破坏边界完整性行为的发生;
以密码技术为核心的融合信息安全解决方案,可以充分兼顾实施等级保护的用户现有复杂网络和应用环境,在部署过程中,基本不影响各类机构现有网络和业务;
良好的易用性和兼容性,不会改变业务系统的主要结构,也不会对业务系统的操作人员带来过多的习惯改变。