1、銀行業(yè)數(shù)據(jù)防泄密平臺方案建議書目 錄 TOC o 1-3 h z u HYPERLINK l _Toc56071394 1 項目背景概述 PAGEREF _Toc56071394 h 4 HYPERLINK l _Toc56071395 1.1 項目背景 PAGEREF _Toc56071395 h 4 HYPERLINK l _Toc56071396 1.2 企業(yè)泄密風險 PAGEREF _Toc56071396 h 4 HYPERLINK l _Toc56071397 1.3 數(shù)據(jù)防泄密項目背景 PAGEREF _Toc56071397 h 5 HYPERLINK l _Toc560713

2、98 1.4 數(shù)據(jù)防泄密項目網(wǎng)絡現(xiàn)狀和信息安全需求分析 PAGEREF _Toc56071398 h 5 HYPERLINK l _Toc56071399 2 山麗防水墻產(chǎn)品介紹 PAGEREF _Toc56071399 h 6 HYPERLINK l _Toc56071400 3 山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)解決方案 PAGEREF _Toc56071400 h 7 HYPERLINK l _Toc56071401 3.1 產(chǎn)品功能對透明加密管理的滿足 PAGEREF _Toc56071401 h 7 HYPERLINK l _Toc56071402 3.2 產(chǎn)品功能對加密模式本地策略管理的滿足

3、 PAGEREF _Toc56071402 h 8 HYPERLINK l _Toc56071403 3.3 產(chǎn)品功能對多種加密模式管理的滿足 PAGEREF _Toc56071403 h 9 HYPERLINK l _Toc56071404 3.4 產(chǎn)品功能對一文一密鑰安全性管理的滿足 PAGEREF _Toc56071404 h 11 HYPERLINK l _Toc56071405 3.5 產(chǎn)品功能對加密系統(tǒng)剪貼板管理的滿足 PAGEREF _Toc56071405 h 12 HYPERLINK l _Toc56071406 3.6 產(chǎn)品功能對加密系統(tǒng)多種登錄方式管理的滿足 PAGERE

4、F _Toc56071406 h 12 HYPERLINK l _Toc56071407 3.7 產(chǎn)品功能對出差筆記本防泄漏（加密客戶端離網(wǎng)使用）管理的滿足 PAGEREF _Toc56071407 h 13 HYPERLINK l _Toc56071408 3.9 產(chǎn)品功能對文件解密申請管理的滿足 PAGEREF _Toc56071408 h 14 HYPERLINK l _Toc56071409 3.10 產(chǎn)品功能對密文明送文件外發(fā)控制管理的滿足 PAGEREF _Toc56071409 h 17 HYPERLINK l _Toc56071410 3.12 產(chǎn)品功能對文件權限管理的滿足 P

5、AGEREF _Toc56071410 h 18 HYPERLINK l _Toc56071411 3.12.1基于用戶為腳色的文檔權限控制 PAGEREF _Toc56071411 h 19 HYPERLINK l _Toc56071412 3.12.2基于文檔為角色的自定義文檔權限控制 PAGEREF _Toc56071412 h 20 HYPERLINK l _Toc56071413 3.12.3文檔權限控制的精細化管理 PAGEREF _Toc56071413 h 21 HYPERLINK l _Toc56071414 3.15 產(chǎn)品功能對基于B/S應用服務器和防水墻系統(tǒng)融合方案的滿足

6、 PAGEREF _Toc56071414 h 23 HYPERLINK l _Toc56071415 3.16 產(chǎn)品功能對PDM、FTP服務器和防水墻系統(tǒng)融合方案的滿足 PAGEREF _Toc56071415 h 23 HYPERLINK l _Toc56071416 3.16.1產(chǎn)品功能和應用服務器融合的原理 PAGEREF _Toc56071416 h 24 HYPERLINK l _Toc56071417 3.16.2產(chǎn)品功能和應用服務器融合的方案 PAGEREF _Toc56071417 h 25 HYPERLINK l _Toc56071418 3.17 產(chǎn)品功能對文件交互管理的

7、滿足 PAGEREF _Toc56071418 h 27 HYPERLINK l _Toc56071419 3.17.1分支機構(gòu)和總部的交流 PAGEREF _Toc56071419 h 27 HYPERLINK l _Toc56071420 3.17.2產(chǎn)品功能對分支機構(gòu)和供應商管理的滿足 PAGEREF _Toc56071420 h 28 HYPERLINK l _Toc56071421 3.18 產(chǎn)品功能對計算機外設管理的滿足 PAGEREF _Toc56071421 h 29 HYPERLINK l _Toc56071422 3.18.1 終端外設管理范圍 PAGEREF _Toc56

8、071422 h 29 HYPERLINK l _Toc56071423 3.18.2外設管理在線、離線策略 PAGEREF _Toc56071423 h 30 HYPERLINK l _Toc56071424 3.18.3注冊移動存儲設備管理策略 PAGEREF _Toc56071424 h 30 HYPERLINK l _Toc56071425 3.18.4認證移動存儲設備管理策略 PAGEREF _Toc56071425 h 31 HYPERLINK l _Toc56071426 3.19 產(chǎn)品功能對服務器災難恢復功能的滿足 PAGEREF _Toc56071426 h 33 HYPER

9、LINK l _Toc56071427 3.20產(chǎn)品功能對審計功能的滿足 PAGEREF _Toc56071427 h 34 HYPERLINK l _Toc56071428 3.20.1對加密文件的各種操作行為進行審計 PAGEREF _Toc56071428 h 34 HYPERLINK l _Toc56071429 3.20.2對加密系統(tǒng)各種操作行為的自動預警式審計 PAGEREF _Toc56071429 h 35 HYPERLINK l _Toc56071430 3.21 產(chǎn)品功能對系統(tǒng)管理功能的滿足 PAGEREF _Toc56071430 h 38 HYPERLINK l _To

10、c56071431 3.21.1防水墻加密系統(tǒng)三員分立管理模式 PAGEREF _Toc56071431 h 38 HYPERLINK l _Toc56071432 3.21.2防水墻加密系統(tǒng)系統(tǒng)管理員管理模式 PAGEREF _Toc56071432 h 39 HYPERLINK l _Toc56071433 3.22 產(chǎn)品功能對安全性要求的滿足 PAGEREF _Toc56071433 h 41 HYPERLINK l _Toc56071434 3.23 產(chǎn)品功能對客戶端自我防護的滿足 PAGEREF _Toc56071434 h 42 HYPERLINK l _Toc56071435 3

11、.24 產(chǎn)品功能對加密客戶端授權管理的滿足 PAGEREF _Toc56071435 h 42 HYPERLINK l _Toc56071436 3.25 產(chǎn)品功能對客戶端自動升級的滿足 PAGEREF _Toc56071436 h 42 HYPERLINK l _Toc56071437 4 產(chǎn)品部署方法和部署效果 PAGEREF _Toc56071437 h 43 HYPERLINK l _Toc56071438 4.1 部署方法 PAGEREF _Toc56071438 h 43 HYPERLINK l _Toc56071439 4.2 部署效果 PAGEREF _Toc56071439

12、h 43 HYPERLINK l _Toc56071440 4.2.1 法規(guī)的遵從 PAGEREF _Toc56071440 h 43 HYPERLINK l _Toc56071441 4.2.2 管理的視角 PAGEREF _Toc56071441 h 44 HYPERLINK l _Toc56071442 4.2.3 用戶的視角 PAGEREF _Toc56071442 h 44 HYPERLINK l _Toc56071443 5 建議服務器配置 PAGEREF _Toc56071443 h 44 HYPERLINK l _Toc56071444 6 技術優(yōu)勢 PAGEREF _Toc5

13、6071444 h 47 HYPERLINK l _Toc56071445 7售后服務體系 PAGEREF _Toc56071445 h 48 HYPERLINK l _Toc56071446 7.1系統(tǒng)售后服務內(nèi)容 PAGEREF _Toc56071446 h 48 HYPERLINK l _Toc56071447 7.2售后服務的關鍵是處理應急服務 PAGEREF _Toc56071447 h 50 HYPERLINK l _Toc56071448 7.3售后服務流程 PAGEREF _Toc56071448 h 52 HYPERLINK l _Toc56071449 8 產(chǎn)品培訓 PAG

14、EREF _Toc56071449 h 52 HYPERLINK l _Toc56071450 8.1培訓計劃 PAGEREF _Toc56071450 h 52 HYPERLINK l _Toc56071451 8.1.1培訓對象 PAGEREF _Toc56071451 h 53 HYPERLINK l _Toc56071452 8.1.2培訓時間 PAGEREF _Toc56071452 h 53 HYPERLINK l _Toc56071453 8.1.4培訓師資 PAGEREF _Toc56071453 h 53 HYPERLINK l _Toc56071454 8.1.5培訓考核

15、PAGEREF _Toc56071454 h 54 HYPERLINK l _Toc56071455 9 項目實施 PAGEREF _Toc56071455 h 54 HYPERLINK l _Toc56071456 9.1項目實施流程 PAGEREF _Toc56071456 h 54 HYPERLINK l _Toc56071457 9.2實施團隊的特點 PAGEREF _Toc56071457 h 55 HYPERLINK l _Toc56071458 9.2.1 項目經(jīng)理和實施組成員情況 PAGEREF _Toc56071458 h 55 HYPERLINK l _Toc5607145

16、9 9.3 管理體系 PAGEREF _Toc56071459 h 55 HYPERLINK l _Toc56071460 9.4 風險管理 PAGEREF _Toc56071460 h 56 HYPERLINK l _Toc56071461 9.5 服務器、網(wǎng)絡設備等硬件需求 PAGEREF _Toc56071461 h 56 HYPERLINK l _Toc56071462 9.6 技術指標 PAGEREF _Toc56071462 h 58 HYPERLINK l _Toc56071463 9.7 網(wǎng)絡拓撲 PAGEREF _Toc56071463 h 59 HYPERLINK l _T

17、oc56071464 9.9 實施進度安排 PAGEREF _Toc56071464 h 611 項目背景概述1.1 項目背景2012年1月16日，中國互聯(lián)網(wǎng)絡信息中心(CNNIC)發(fā)布第29次中國互聯(lián)網(wǎng)絡發(fā)展狀況統(tǒng)計報告，報告顯示，截至2011年12月底，中國網(wǎng)民規(guī)模突破5億，達到5.13億。網(wǎng)民的生活、信息交流、辦公已經(jīng)無法離開互聯(lián)網(wǎng)；基于網(wǎng)絡的工作、創(chuàng)新、仿真、制造、管理已經(jīng)是當代企業(yè)生存的必要條件。但因為國際、國內(nèi)企業(yè)之間的進一步加劇、各個國家保護產(chǎn)權創(chuàng)新的力度和范圍大有不同，基于個人或者企業(yè)的信息泄密事件時時在發(fā)生中其中，超過80%是由內(nèi)部員工故意或無意地泄漏和破壞引起的對IT資產(chǎn)中

18、電腦硬件的終端管理，和對電腦硬件里面的數(shù)據(jù)管理成為信息泄密安全管理問題亟待解決的兩大問題。信息安全的核心是內(nèi)部信息安全的問題，是對內(nèi)部電腦資源設備的管控和電腦資源設備上的數(shù)據(jù)文檔的管控。1.2 企業(yè)泄密風險可能的泄密途徑，應該來講主要包括：服務器上泄密、工作站泄密、移動設備泄密、網(wǎng)絡泄密、輸出設備泄密、客戶泄密、合作單位員工轉(zhuǎn)發(fā)泄密等主要的表現(xiàn)形式如下： 服務器泄密：網(wǎng)絡維護人員在進行維護時使用移動硬盤將服務器上的資料自備一份。維護人員知道服務器密碼，遠程登陸上，將服務器上的資料完全的拷到本地或者自己家里的機器上。工作站泄密：乘同事不在，開啟同事電腦，瀏覽，復制同事電腦里的資料。內(nèi)部人員將資料

19、通過軟盤、U盤或移動硬盤從電腦中拷出帶走。將筆記本（或者臺式機）帶出管控范圍重裝系統(tǒng)或者安裝另外一套系統(tǒng)從而將資料拷走。將筆記本（或者臺式機）帶出管控范圍利用GHOST程序進行資料盜竊。將筆記本（或者臺式機）的硬盤拆回家盜竊資料，第二天早早來裝上。將辦公用便攜式電腦直接帶回家中。將筆記本（或者臺式機）帶出管控范圍使用光盤啟動的方式，使用磁盤管理工具將資料完全拷走。將筆記本（或者臺式機）的硬盤或整機送修，資料被好事者拷走。電腦易手后，硬盤上的資料沒有處理，導致泄密。筆記本（或者臺式機）遺失或者遭竊，里面的資料被完整的竊取。網(wǎng)絡泄密：內(nèi)部人員通過互聯(lián)網(wǎng)將資料通過電子郵件發(fā)送出去。內(nèi)部人員通過互聯(lián)網(wǎng)

20、將資料通過網(wǎng)頁bbs發(fā)送出去。隨意將文件設成共享，導致非相關人員獲取資料。將自己的筆記本帶到公司，連上局域網(wǎng)，使用各種手段如PDM、FTP、telnet竊取資料隨意點擊不認識的程序、上不熟悉的網(wǎng)站導致中了木馬產(chǎn)生的泄密。輸出設備（移動設備）泄密：移動存儲設備共用，導致非相關人員獲取資料。移動設備包括：u盤、移動硬盤、藍牙、紅外、并口、串口、1394等將文件打印后帶出。 客戶泄密：客戶將公司提供的文件自用或者給了競爭對手。客戶處管理不善產(chǎn)生的泄密。員工收到文件后將文件發(fā)送給其他人員產(chǎn)生的泄密。1.3 數(shù)據(jù)防泄密項目背景數(shù)據(jù)防泄密項目已經(jīng)采取了積極的手段對重要文檔加以保護，能夠有效地防止外部威脅入

21、侵竊取公司敏感信息，但仍存在一定的文檔泄密風險。1.4 數(shù)據(jù)防泄密項目網(wǎng)絡現(xiàn)狀和信息安全需求分析企業(yè)大量機密數(shù)據(jù)均以電子文檔的形式存在，其傳播方式也是多種多樣。互聯(lián)網(wǎng)時代的快速發(fā)展推進了企業(yè)信息化進程，同時也將企業(yè)機密數(shù)據(jù)置于巨大的風險之中，保護機密數(shù)據(jù)和敏感信息免遭惡意或意外泄露，是當今企業(yè)所面臨的最大安全問題之一。目前，數(shù)據(jù)防泄密項目已經(jīng)在內(nèi)部采用了一些管理措施，就數(shù)據(jù)安全方面，公司的基本情況和需求如下： 基于上述對數(shù)據(jù)防泄密項目項目需求的分析，結(jié)合山麗信息安全有限公司在數(shù)據(jù)泄露防護領域多年信息安全項目建設經(jīng)驗，我們建議部署山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)來保護數(shù)據(jù)防泄密項目數(shù)據(jù)的安全性。2 山麗

22、防水墻產(chǎn)品介紹山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)是一套包含了數(shù)據(jù)透明加密、剪貼板截屏控制、文件外發(fā)控制、USB存儲設備控制、信息資產(chǎn)查詢、文檔權限控制、數(shù)據(jù)備份管理的綜合性信息安全管理系統(tǒng)。系統(tǒng)的各個模塊廣泛用于企業(yè)、政府、金融、軍工等單位，為服裝、設計、制造、集成電路、軟件開發(fā)、船舶、航空等各行業(yè)提供著強大的信息安全防護。山麗防水墻數(shù)據(jù)安全保護系統(tǒng)軟件部署與效果3 山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)解決方案3.1 產(chǎn)品功能對透明加密管理的滿足山麗防水墻采用基于操作系統(tǒng)內(nèi)核的處理技術,并不使用Hook技術,滿足對不同軟件的加密需求。目前可以設置成支持所有格式的加密（全盤加密，包括綠色軟件的加密，隨意壓縮格式文件的

23、加密，所有數(shù)據(jù)庫格式文件的加密），可以設置為支持特定格式的加密，可以設置為支持具體目錄的加密等等。一般公司的加密軟件無法支持所有格式的加密，無法支持綠色軟件的加密，甚至都不能支持特定目錄的加密。市場上所見的加密技術，或者是采用了個鉤子（Hook）技術、或者采用了驅(qū)動技術，但這些軟件或者只能達到和文件格式有關，或者實際上是硬盤加密，市場上許多硬盤如seagate硬盤已經(jīng)自帶硬盤加密，實際上互聯(lián)網(wǎng)上已經(jīng)有了這些加密軟件的破解工具！而且和文件格式有關的軟件無法適應未來的文件格式，更無法解決軟件格式被加殼的情況，而互聯(lián)網(wǎng)上基本有4000余種加殼工具。山麗加密功能不采用Hook技術體現(xiàn)在即使將防水墻客戶

24、端程序終止了用戶仍會在加密環(huán)境中，而許多加密軟件只要將進程終止后加密效果就失效了，而從原理上，么有不能禁止的進程！山麗防水墻支持穿透壓縮包功能，可以實現(xiàn)對壓縮文件的穿透加密。（所有壓縮格式均可）山麗防水墻支持對所有格式的加密，包括所有壓縮文件的加密，經(jīng)過加密的壓縮文件，壓縮包里面的內(nèi)容也都是密文，即使被解壓縮出來也是密文，除非是在加密環(huán)境里面解壓縮。文件的操作者和平常一樣，對文件進行正常操作。他們不會感覺到Windows I/O及底層發(fā)生的一切變化。文件經(jīng)過Windows I/O、透明加密技術平臺和Windows 文件系統(tǒng)的處理，最后存放在磁盤上的文件是經(jīng)過加密的。同時，加密策略（算法、密鑰和

25、加密文件的指定）是內(nèi)置在透明加密技術平臺中的，由系統(tǒng)管理員集中管理的，文件操作者是無權獲取或更改的。透明加密效果示意圖3.2 產(chǎn)品功能對加密模式本地策略管理的滿足山麗防水墻完全和文件格式無關，山麗防水墻的透明加解密模塊處于系統(tǒng)內(nèi)核里面，隨系統(tǒng)啟動而啟動，隨系統(tǒng)關閉而關閉。可以應對未來產(chǎn)生的文件格式，更能應對被加殼的文件。管理人員可以自由定義用戶（組）的加密模式或策略：全盤加密、目錄加密、特定格式加密、特定格式不加密、自主加密等。用戶在登陸進入加密系統(tǒng)后，本地即執(zhí)行對應加密策略。管理人員也可以設置系統(tǒng)為自動登陸或者開機登陸，滿足用戶不需要輸入密碼的使用體驗。（實際上，有時候為了安全，在實踐中又往

26、往是在企業(yè)內(nèi)部選擇采用自動登陸在企業(yè)外部采用秘密登陸的方式）達到效果：1、內(nèi)部的用戶，管理的需要，可以加載全盤加密方式、目錄加密方式、程序加密方式、空加密方式，滿足對不同角色用戶的管理；2、內(nèi)部資料，不經(jīng)過公司允許，通過各種途徑外發(fā)的均是密文，對大多數(shù)用戶而言，需要審批批準方可解密，對特殊用戶，可以自行解密外發(fā)；3.3 產(chǎn)品功能對多種加密模式管理的滿足山麗網(wǎng)安的多種客戶端加密模式，管理人員可以自由的組合，以應用與任何組，或者組的成員；區(qū)別于一般公司的產(chǎn)品不同的是，山麗網(wǎng)安的產(chǎn)品的這些模式是同時提供給用戶的，而不是僅僅只能提供其中一種加密模式，不會造成用戶的適用性、擴展性無法滿足的現(xiàn)狀。另外，互

27、聯(lián)網(wǎng)上已經(jīng)有公開的加密軟件解密工具可以得到。這些工具可隨意的對格式加密類軟件進行破解。這也是山麗防水墻提供了多種加密模式的原因。多種加密模式示意圖具體來講，山麗防水墻對數(shù)據(jù)的加密提供動態(tài)加密和靜態(tài)加密兩種。其中，動態(tài)加密有7種方式，可以根據(jù)管理目標-用戶或者用戶組，進行設置，具體包括：1、加密特定的格式，如用戶所列出的各種軟件，這個是市面上一般企業(yè)可以提供的加密模式；這種模式的優(yōu)點是簡單，但存在著被破解的可能性，目前網(wǎng)上已經(jīng)出現(xiàn)了破解工具；這種方式的另外特點是應對未來的發(fā)展性較差；2、某些格式不加密，其他格式均被加密，這個目前僅只有山麗網(wǎng)安提供；這種方式的特點也是簡單，同時安全性相比1有所提高

28、，對未來的擴展性也有很好的適應，因為未來的均會被加密；3、目錄加密，這種模式可以做到和文件格式無關，即文件放到加密目錄下面即自動被加密，這種模式主要的應用對象是企業(yè)的高級管理人員，其本人可以自主將資料解密，而不需要申請；目前僅有山麗網(wǎng)安提供有這種模式；4、空加密模式，這種模式顯然是應用與企業(yè)或者組織的最高級領導的，即：最高級的領導本身的資料不進行任何的加密，但其本人又可以自由的閱覽任何密文；目前僅有山麗網(wǎng)安提供有這種模式；5、網(wǎng)絡加密模式，這種模式可以決定以網(wǎng)絡形式存在于服務器上的數(shù)據(jù)的加密屬性，可以自由的決定數(shù)據(jù)存在于服務器是密文還是明文，而不管其本身原來是何狀態(tài)；目前，僅有山麗網(wǎng)安提供有此

29、模式；6、外設加密模式，這種模式是為了滿足工作內(nèi)部、外部自由交流的方便性而設，可以自由的決定數(shù)據(jù)存在于外設是密文還是明文，而不管其本身原來是何狀態(tài)；目前，僅有山麗網(wǎng)安提供有此模式的高級功能其他軟件只能加密，山麗防水墻可自由設置是否加密；7、全盤加密模式，這種模式最嚴格，一般應用與研發(fā)人員或設計人員，這些人員的創(chuàng)造成果對企業(yè)的發(fā)展具有舉足輕重的作用，有時侯，為了平衡使用者的心理，有些管理人員也主動采用這種模式進行防護；目前，僅有山麗網(wǎng)安提供有此模式；所有的動態(tài)加密，文件一旦被修改或者新創(chuàng)建（包括復制等操作），文件就會按照既定的策略被加密。在靜態(tài)加密上，山麗防水墻提供有兩種，用戶右手點擊某文檔決定

30、是否加密（有權限的也可以直接點擊右鍵解密）8、手動加密，這種模式目前有美國airzip提供，同時山麗網(wǎng)安也提供有這種模式；這種模式的特點就是完全依賴作者本人的行為，比較適用高層管理人員；9、批量加密，控制臺操作，對歷史的文件進行一次性的處理，文件變成密文。這種方式的目的一般是對服務器上的文件進行加密操作。山麗網(wǎng)安的8種客戶端加密模式，管理人員可以自由的組合，以應用與任何組，或者組的成員；區(qū)別于一般公司的產(chǎn)品不同的是，山麗網(wǎng)安的產(chǎn)品的這些模式是同時提供給用戶的，而不是僅僅只能提供其中一種加密模式，不會造成用戶的適用性、擴展性無法滿足的現(xiàn)狀。3.4 產(chǎn)品功能對一文一密鑰安全性管理的滿足山麗防水墻采

31、用的是國際先進的對稱加密和非對稱加密相結(jié)合的方式，在管理中，并不進行密鑰許可，這是極為不安全的。因為加密軟件必須采用國家規(guī)定的加密算法，如果密鑰可以拿到。用戶即使拿到密文也是可以被解密的。在山麗防水墻系統(tǒng)中，文檔的加密密鑰是動態(tài)變化的，這一點可以從密文另存為相同幾份密文后，在加密環(huán)境外打開密文內(nèi)容不一樣得到確認。山麗防水墻用戶并不持有文件加密密鑰，而持有PKI證書中自己的私鑰，這個私鑰只是確認自己是一個合法的用戶而已，當用戶合法后，本地的加解密驅(qū)動開始工作，實現(xiàn)對文件的動態(tài)、實時、透明加解密。山麗防水墻的用戶相鄰可以查看彼此文件的關系就是通過PKI體系來管理的，而不是通過文件加密密鑰實現(xiàn)。因為

32、那樣安全風險是非常大的。另外還需要注意的是：山麗防水墻系統(tǒng)基于腳色管理的權限系統(tǒng)，對文件的流轉(zhuǎn)途徑?jīng)]有任何限制，也就是說，一旦腳色相互之間的關系確認，通過u盤、qq、mail、應用系統(tǒng)等等方式流轉(zhuǎn)的文件均接受這樣的管控權限的約束。在市場上，有的公司的產(chǎn)品加密和權限是兩套系統(tǒng)，對文檔的權限控制需要將文檔上傳到特定的服務器進行設置才行，這個管理帶來了巨大的挑戰(zhàn)，畢竟，用戶購買產(chǎn)品的目的是使用產(chǎn)品，不是增加自己的管理成本的。如果實施加密產(chǎn)品而不考慮產(chǎn)品的安全性，那信息化管理人員就不是在買安全產(chǎn)品了。因此，加密產(chǎn)品的安全性應該成為產(chǎn)品購買和實施的重點考慮對象。目前的加密產(chǎn)品，按照國家管控的要求，加密算

33、法必須是采用國家指定的加密算法（也是公開的），否則產(chǎn)品不能在國內(nèi)進行銷售。這個也是國外的安全產(chǎn)品遲遲不能今進入中國境內(nèi)進行銷售的原因。但國外安全產(chǎn)品的安全性往往又非常高，這個又是什么原因呢？這個是因為，有的數(shù)據(jù)加密產(chǎn)品，在產(chǎn)品交付給用戶的時候，往往供應商會講，是給用戶提供一個密鑰，或者說給一個部門一個密鑰。不要相信什么不能破解的神話。沒有不能破解的。當其他人一旦獲得了公司的密鑰或者一個部門的密鑰，加密算法是公開的（也不用費神破解加密算法了），企業(yè)的數(shù)據(jù)還有什么不能破解的。因此，一文一密鑰是安全的基本保證。國外產(chǎn)品的安全性高的原因就是一文一密鑰（一個文件一個密鑰）。這樣，破解者即使得到了一個產(chǎn)品

34、的密鑰，也不會對數(shù)據(jù)安全產(chǎn)生根本性的影響要實現(xiàn)一文一密鑰，必須采用對稱加密和非對稱加密的相結(jié)合的方法。目前pdf的加密、windows的efs的加密是這樣的，國內(nèi)也有山麗防水墻是這樣的。因此，采用對稱加密和非對稱加密，并實現(xiàn)一文一密鑰是產(chǎn)品安全性的保證。3.5 產(chǎn)品功能對加密系統(tǒng)剪貼板管理的滿足用戶組用戶剪貼板管理復制和粘貼功能：防止重要的文件內(nèi)容從受控程序中直接復制到非受控程序中，如需復制和粘貼，則可以指定復制、拷貝到某一應用程序中。 山麗防水墻的剪貼板管理也有獨立的模塊進行管理。山麗防水墻對剪切板具有精細化的管控：或者全開，或者關閉，兩種模式；在管理模式情形下，又可以設置剪貼板可信的程序，

35、從而可以copy內(nèi)容進入；具體的管理細則如下;1、所有的受控程序相關的內(nèi)容均不得copy進入非受控進程； 2、所有的非受控程序的內(nèi)容均可copy進入受控進程具有寫入權限的文件； 3、具有只讀權限的密文內(nèi)容不得copy進入任何其他文件，只讀權限之間亦然； 4、受控程序之間的內(nèi)容可以自由copy，只讀除外； 5、如果放開了剪貼版控制，則以上不再管理，但只讀密文仍在管控范圍； 6、如果禁止了剪貼板管理，則遵行以上原則； 7、如果設置了某程序剪貼板可信進程，則內(nèi)容仍可copy進入之；3.6 產(chǎn)品功能對加密系統(tǒng)多種登錄方式管理的滿足山麗防水墻系統(tǒng)可以提供多種登陸進入加密系統(tǒng)的方式。包括：1、域結(jié)合登陸：

36、和域控賬號結(jié)合的登陸方式，用戶登陸域即自動進入加密系統(tǒng)；2、自動登陸：山麗防水墻提供有自動進入加密系統(tǒng)的選項，可以在開機即隨之進入加密系統(tǒng)而無需用戶輸入密碼；用戶也可以取消自動登陸的功能；3、標準登陸：對有的用戶，在需要看密文的時候再進行登陸也是一種選擇；3.7 產(chǎn)品功能對出差筆記本防泄漏（加密客戶端離網(wǎng)使用）管理的滿足用戶有將電腦帶回家辦公或者到客戶現(xiàn)場辦公的實際需要，對這種需求，山麗防水墻提供了多種解決方案。方案一：采用VPN聯(lián)入內(nèi)網(wǎng)后登入加密系統(tǒng)，適合可以通過互聯(lián)網(wǎng)連接進入公司內(nèi)網(wǎng)的情況；方案二：采用軟件Key證書在沒有任何網(wǎng)絡情況下進入加密系統(tǒng)；方案三：采用硬件Key證書在沒有任何網(wǎng)絡

37、情況下進入加密系統(tǒng)；使用硬件key的安全性要大于軟件key；具體來講，對不同的用戶，出差時候管控策略也可以不一致，一個用戶，也可以在不同的場景下采用不同的策略；策略可以包含如下：1、為用戶發(fā)放離線電子鑰匙（硬件Key或者軟件key），用戶在沒有網(wǎng)絡的情形下使用該電子鑰匙登錄進入加密環(huán)境，對密文進行操作；說明：筆記本丟失后，拾遺者沒有電子鑰匙和登錄口令將無法查看和處理密文；軟件離線證書可在證書過期后重新發(fā)放；硬件離線證書在證書過期前可以將時間延長；2、對使用燒錄軟件進行燒錄的情況，將燒錄軟件管理策略定制在離線電子鑰匙里面即可；這樣，用戶在進行代碼編輯仍然可以進行，但需要將代碼燒錄到設備里面的時候

38、則燒錄時即會自動解密燒錄進入PLC等設備，不需要現(xiàn)場進行任何解密操作；但這些代碼文件單純的使用U盤（移動存儲設備）拷貝出去的時候還可以是密文；3、為部分用戶提供3G上網(wǎng)卡，這些用戶可以通過VPN方式登錄進入防水墻服務器系統(tǒng)，像在公司局域網(wǎng)一樣接受管控；在登錄一次防水墻之后，只要用戶不重啟機器，安全策略就一直有效；對出差員工的管理，因為不能做到實時有效的反饋需求，因此，離線管理是一種優(yōu)選方案；同時，通過VPN提供遠程登陸也是一種可以參考的方案；其次，通過對燒錄軟件的管理，也實現(xiàn)了安全和方便的要求；部署結(jié)構(gòu)：3.9 產(chǎn)品功能對文件解密申請管理的滿足密文發(fā)送給用戶需要解密處理，密文解密需要通過審批流

39、程互動；文件的加密是處于防范泄密的需要，但企業(yè)也有數(shù)據(jù)解密的需要。審批流程圖山麗防水墻提供了多種文件解密的方式，其中一種是使用電子鑰匙由管理人員對文件進行解密, ，以用于特殊目的，比如大批量文件的解密等等。如圖發(fā)放解密工具發(fā)放解密工具必須要對應工作站用戶的電子鑰匙，可以按用戶發(fā)放也可以按工作站發(fā)放；區(qū)別在于給用戶發(fā)放的可以在多臺工作站上使用，給工作站發(fā)放的只能在一臺工作站上使用。很多數(shù)據(jù)加密軟件廠商在綜合型企業(yè)設置審批文件者往往都固定在一個人或者一個部門，隨著企業(yè)不斷發(fā)展壯大，公司內(nèi)部業(yè)務越來越多，文件審批外用的申請也會隨之增加，隨時會有泄密的風險。在管理方面，綜合型企業(yè)具有跨地域、跨行業(yè)等特

40、點，面臨的管理問題更多，更為復雜由于管理跨度大、層次多，綜合型企業(yè)對下屬公司的控制乏力。由于信息不能及時、準確地收集和傳遞，導致集團決策滯后、市場反饋遲緩。綜合型企業(yè)的內(nèi)網(wǎng)是一個信息點較為密集的高速網(wǎng)絡系統(tǒng)，且網(wǎng)絡中運行重要業(yè)務系統(tǒng)，如ERP、OA、財務等業(yè)務，有多個分支機構(gòu)與主體相連。在如此龐大的樹形結(jié)構(gòu)中，審批管理的快速與方便顯得尤為重要！ HYPERLINK /product/index.htm 山麗網(wǎng)安在自身的審批管理模塊中添加了審批流的技術創(chuàng)新概念。將公司業(yè)務流程如同生產(chǎn)流水線般針對工作需求進行審批管理，這在 HYPERLINK /product/index.htm 信息安全行業(yè)可謂

41、是首創(chuàng)！山麗網(wǎng)安在自身產(chǎn)品設計上已經(jīng)實現(xiàn)了串行審批、自動審批、委托審批。山麗網(wǎng)安開創(chuàng)的多級審批流程在原有基礎上開創(chuàng)了4個全新的功能：平行審批：可同時設置兩條或者以上平級審批人此功能可以同時設置兩個或者以上平級一審批人，當其中一條線的審批人不在公司時，另外一條線可以審批文件，這樣就可以將文件傳遞下去，進行接下來的第二、第三人審批。同樣的，我們也可以同時設置第二、第三審批人也為兩人。單線審批：當某一層的審批人不在時，可設置此功能兩條不同的審批線，但最后的審批結(jié)果是一樣的，是一個審批通道。單線效果：當其中一條線中的某個審批人不在時，第二條線的審批人就可以進行審批。例如，誰先看到有審批的文件就可以審批

42、。當其中一條線審批不通過審批時，另外一條審批線還是可以根據(jù)自己的決定批準或者拒絕，即第二線審批人審批通過，那么文件就能進行使用，無需兩條線同時進行審批。全線審批：根據(jù)文件的機密性來進行設置全線也分為兩條線進行審批，全線的重點在于審批的文件一定要全部審批人都通過審批才能使用。反之，如果其中一個人沒有審批通過，那么就無法使用這個文件。這就是全線審批與單線審批的區(qū)別。單線是其中一條不通過審批，另外一條線可以通過審批。全線更能反映出企業(yè)機密文件的重要性。全線審批，可以設置所有的審批人為并行，這個時候就是無順序的會審效果，誰先拿到誰審批，全部審批才算通過。提審：根據(jù)需審批的文件的緊急程度來設置高級權限的

43、擁有者是整個公司的高機領導人員。當文件已經(jīng)審批的情況下，此時最高領導人員看到了這個文件的緊急程度，可以把文件提前出來，進行審批通過。在高級領導人員審批通過的同時，無論是單線審批還是全線審批的審批成員都會收到消息，告知其他審批成員此文件已經(jīng)審批通過，無需再次審批。審批模式示意圖山麗網(wǎng)安作為獨領信息安全行業(yè)的翹楚企業(yè)，在山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)的多模審批管理模塊中不斷創(chuàng)新，為廣大企業(yè)用戶開創(chuàng)新的管理理念！3.10 產(chǎn)品功能對密文明送文件外發(fā)控制管理的滿足為了應對許多客戶機器沒有安裝客戶端的時候也想看到受限制的“密文”。“山麗防水墻數(shù)據(jù)防泄漏系統(tǒng)”可對外發(fā)到企業(yè)外部的機密文件進行控制，包括設置外發(fā)文

44、件的生命周期，只讀、打印等所有使用期限。“山麗網(wǎng)安”則將內(nèi)部保護和外發(fā)保護無縫結(jié)合，一套系統(tǒng)即可解決兩類問題，合力構(gòu)建了一個全方位的文件權限體系。也就是說：密文明送管理（俗稱外發(fā)控制），可以實現(xiàn)：給客戶一種特殊的明文，客戶只能看，但看到時間、次數(shù)、打印、截屏、復制均被設置了管理限制；必要的時候，還會被限制在特定的電腦上才能打開；文件也可以設置用戶無法破解的密碼。3.12 產(chǎn)品功能對文件權限管理的滿足山麗防水墻產(chǎn)品可以實現(xiàn)密文的權限管理，滿足平級關系、上下級關系文檔權限管理；產(chǎn)品可以實現(xiàn)對企業(yè)標準化文件的精細化管理，可以實現(xiàn)特定的標準化文件只能在特定的服務器上只讀，不能修改，不能下載到本地可以讀

45、取；對公司的管理方法，就是把一個個公司當作一個組來進行管理即可，組內(nèi)的用戶就是公司的員工。文檔權限管理示意圖按層級進行密級授權管理，不同密級的管理者擁有不同的管理權限，上級擁有查看下級文檔的權限，下級無權查看上級文檔，如需查看需經(jīng)上級進行授權；可針對部門或不同使用人群設置不同密級，未經(jīng)授權相互之間無法訪問。山麗防水墻的文檔權限控制可以用戶腳色之間的關系進行設置。設置之后，可以滿足上級可以自由查看下級文件，下級無權查看上級文件，如需查看，需要上級進行許可。山麗防水墻采用的是國際先進的對稱加密和非對稱加密相結(jié)合的方式，在管理中，并不進行密鑰許可，這是極為不安全的。因為加密軟件必須采用國家規(guī)定的加密

46、算法，如果密鑰可以拿到。用戶即使拿到密文也是可以被解密的。在山麗防水墻系統(tǒng)中，文檔的加密密鑰是動態(tài)變化的，這一點可以從密文另存為相同幾份密文后，在加密環(huán)境外打開密文內(nèi)容不一樣得到確認。山麗防水墻用戶并不持有文件加密密鑰，而持有PKI證書中自己的私鑰，這個私鑰只是確認自己是一個合法的用戶而已，當用戶合法后，本地的加解密驅(qū)動開始工作，實現(xiàn)對文件的動態(tài)、實時、透明加解密。山麗防水墻的用戶相鄰可以查看彼此文件的關系就是通過PKI體系來管理的，而不是通過文件加密密鑰實現(xiàn)。因為那樣安全風險是非常大的。山麗防水墻系統(tǒng)基于腳色管理的權限系統(tǒng)，對文件的流轉(zhuǎn)途徑?jīng)]有任何限制，也就是說，一旦腳色相互之間的關系確認，

47、通過u盤、qq、mail、應用系統(tǒng)等等方式流轉(zhuǎn)的文件均接受這樣的管控權限的約束。在市場上，有的公司的產(chǎn)品加密和權限是兩套系統(tǒng)，對文檔的權限控制需要將文檔上傳到特定的服務器進行設置才行，這個管理帶來了巨大的挑戰(zhàn)，畢竟，用戶購買產(chǎn)品的目的是使用產(chǎn)品，不是增加自己的管理成本的。3.12.1基于用戶為腳色的文檔權限控制山麗防水墻的文檔權限控制，可以基于腳色進行相互之間的關系設置，一旦設置之后，各個腳色新產(chǎn)生、原來的秘文均按照這種相鄰關系進行約束；這些腳色可以是一個用戶、一個用戶組、一個部門、一個分公司等等。基于腳色控制，完全不需要將這些文檔預先上傳到服務器上去追加權限，權限和文檔處于的位置不需要預設限

48、制條件。設置用戶平級腳色的共享關系圖設置用戶的下級、上級、自我權限關系圖3.12.2基于文檔為角色的自定義文檔權限控制在基于腳色之外，山麗防水墻的文檔權限還可以設置給特定用戶自行改變文檔權限的能力，即自行設置權限文件夾，設置該文件夾的訪問權限，當用戶訪問這些文件夾中文件的時候，將按照用戶新設置的權限進行控制。對有些文檔，屬于一定的機密文檔，需要對其擴散范圍進行限制。比如，A和B屬于一個部門的，有些文件只能在A和B之間流轉(zhuǎn)，安全策略規(guī)定不能共享給C使用，用戶A需要在本地加密目錄中建一個目錄，然后對目錄設置對應的用戶權限，當將文件往這個文件夾里一丟，這個文件的權限控制就變成了和這個文件夾一樣的權限

49、屬性了。然后，A將這個文件給B（任何方式），B只能在權限限制的范圍內(nèi)閱覽了。這個時候，即使C拿到這個文件，也無法閱覽因為沒有權限。3.12.3文檔權限控制的精細化管理除了可以控制剪切板、截屏、錄屏軟件之外，山麗防水墻對文檔的精細化管理可以達到：只讀、寫入、下載、離線、刪除、重命名、打印等等。包括了可以禁止另存、格式轉(zhuǎn)換之后還是秘文，虛擬打印還是秘文等等。山麗防水墻對客戶端產(chǎn)生的文件、服務器上存在的文件，有多種權限可以供靈活設置，權限控制包括了權限顆粒度和用戶之間的相互權限限制兩個方面。權限顆粒度包括并不限于：只讀、文件對特定用戶而言只能閱讀，并且不能編輯、另存、修改。對沒有只讀權限的人顯示的就

50、是亂碼了。編輯、文件可以采用各種方式被修改。文件修改后，文件的作者將變成了修改者本人。復制、文件可以在特定的地方打開，不能copy到另外的地方使用。打印、文件沒有打印權限，用戶打印即提示沒有特定的權限。用戶需要打印，必須經(jīng)過一個審批流程。截屏、用戶可以對文件進行合法操作，但無法通過截屏的方式將文件通過QQ等方式泄密。下載、文件只能在特定的服務器上使用，復制到本地無法使用。離線、文件僅僅能在組織內(nèi)部使用，帶出組織環(huán)境（即使在合法的離線筆記本上）也無法使用。次數(shù)、文件有打開時間的限制。時間、文件有打開此次數(shù)的限制。截屏控制策略文件其他權限顆粒度文件無權限打開的提示次數(shù)和時間3.15 產(chǎn)品功能對基于

51、B/S應用服務器和防水墻系統(tǒng)融合方案的滿足用戶部署有較多的ASP/Php開發(fā)的B/S架構(gòu)的應用服務器系統(tǒng)，用戶希望密文文件上傳到這些服務器系統(tǒng)上附件直接轉(zhuǎn)化為明文，但用戶電腦的密文在用戶發(fā)送到私人的webmail中（如qqmail）還是保持原狀，即密文還是密文。利用山麗防水墻網(wǎng)絡可信程序的設計，滿足當密文發(fā)送到基于ASP/Php開發(fā)的B/S應用服務器系統(tǒng)上時，文件自動解密；但文件發(fā)送到自己的私人webmail中則保持原狀密文還是密文；這種設計滿足：IE6、IE7、IE8 、IE9等；支持打開一個IE進程后關閉再打開另外一個進行進行分別文件傳遞，支持同時打開兩個IE進程分別進行文件傳遞，也支持打

52、開一個IE進程使用不同的選項卡分別進行文件傳遞（一共三種狀態(tài)）。3.16 產(chǎn)品功能對PDM、FTP服務器和防水墻系統(tǒng)融合方案的滿足也有的用戶有許多的PDM、FTP服務器，使用的PDM、FTP程序也是五花八門，用戶希望能夠?qū)崿F(xiàn)使用任何PDM、FTP程序從PDM、FTP服務器上下載下來的任何文件都是密文，但上傳到服務器上就是明文。當然，已經(jīng)加密的文件發(fā)送到不信任的PDM、FTP服務器上又必須是密文了。利用山麗防水墻網(wǎng)絡可信程序的設計，設置特定的PDM、FTP服務器是可信的，則通過任何PDM、FTP程序從該服務器上下載下來的文件（包括導出的文件）均是密文；如果用戶指定了特定的端口或者固定的PDM、F

53、TP程序，在防水墻的設置中，也可以設置為該特定的程序下載下來的任何文件均是密文（包括導出的文件）。3.16.1產(chǎn)品功能和應用服務器融合的原理為避免機密數(shù)據(jù)泄露和協(xié)同管理，加密系統(tǒng)必須與公司協(xié)同工作平臺等兼容。山麗防水墻在設計上充分考慮了系統(tǒng)邊界的問題，在底層執(zhí)行的技術可以確保和各種應用系統(tǒng)完美兼容。系統(tǒng)邊界原理圖在應用中，山麗防水墻和PDM、FTP、OA、CAD管理軟件等系統(tǒng)有許多靈活應用。在應用系統(tǒng)融合的方案部署中，山麗防水墻可以在可信模塊的支持下，發(fā)送密文或者明文數(shù)據(jù)到PDM、FTP、OA、CAD管理軟件系統(tǒng)服務器端。當發(fā)送密文到PDM、FTP、OA、CAD管理軟件服務器端的時候，希望看到

54、服務器上數(shù)據(jù)的客戶端就必須在客戶端進入防水墻系統(tǒng)（不然打開是密文），從而保護了PDM、FTP、OA、CAD管理軟件系統(tǒng)上的數(shù)據(jù)不會產(chǎn)生任何泄密。當發(fā)送明文到PDM、FTP、OA、CAD管理軟件服務器端的時候（在實際部署中，客戶選擇此種方案的數(shù)量還比較多），希望看到PDM、FTP、OA、CAD管理軟件服務器上數(shù)據(jù)的客戶端必須在客戶端進入防水墻系統(tǒng)，不然無法連接進入PDM、FTP、OA、CAD管理軟件、服務器端，這是因為山麗防水墻依據(jù)自己服務器的TPM裝置，天然的在自己的客戶端建立了一個自動可信的環(huán)境，而沒有安裝防水墻的客戶端無法連接進來，從而保護了PDM、FTP、OA、CAD管理軟件、系統(tǒng)上的數(shù)

55、據(jù)不會產(chǎn)生任何泄密。即使在PDM、FTP、OA、CAD管理軟件服務器上以明文形式存在的情況下，也可以通過可信設置，設置特定的用戶端不安裝防水墻客戶端就可以連上來，以滿足跨區(qū)域用戶的需要。PDM、FTP、OA、CAD管理軟件等系統(tǒng)兼容部署圖注：本方案不需要添加硬件設備。3.16.2產(chǎn)品功能和應用服務器融合的方案因為山麗防水墻可以實現(xiàn)在不增加任何設備的情況下客戶端上傳到服務器上即自行解密，下載即自行加密，而且和使用的程序無關，需要加密的文件格式無關，這種方式也滿足對任何應用系統(tǒng)的支持。但用戶可能在不啟用加密系統(tǒng)的情況下，登陸進入應用系統(tǒng)，從而造成安全隱患。山麗防水墻推薦如下四種方案：在應用系統(tǒng)服務

56、器上部署山麗防水墻認證端在windows應用系統(tǒng)服務器上，防水墻的處理方案是在windows系統(tǒng)上安裝防水墻認證客戶端，從而實現(xiàn)不安裝并且登陸防水墻的客戶端機器不能登陸windows應用系統(tǒng)服務器；在應用系統(tǒng)服務器上一樣，也安裝防水墻認證客戶端，從而實現(xiàn)不安裝并且登陸防水墻的客戶端機器不能登陸windows應用系統(tǒng)服務器；方案優(yōu)點：不需要在網(wǎng)絡環(huán)境中增加任何硬件設備，僅僅需要輕量級的安裝即可滿足對所有服務器的防護；而且沒有任何的安全縫隙；方案缺點：需要在服務器上安裝防水墻認證客戶端，有工作量，尤其是服務器多的情況下。在企業(yè)內(nèi)部部署網(wǎng)絡準入設備隨著企業(yè)終端規(guī)模的擴大，哪些客戶端工作站可以連接哪些

57、服務器是企業(yè)管理的重點，任何外來的電腦、手持設備不能肆意接入公司網(wǎng)絡是企業(yè)網(wǎng)絡邊界管理的重點；因此，許多企業(yè)已經(jīng)完成了網(wǎng)絡準入設備的部署。在解決非window應用系統(tǒng)服務器數(shù)據(jù)防護方面，采用防水墻+網(wǎng)絡準入設備也可以滿足這個管理需求，而且一樣，可以實現(xiàn)沒有任何的安全縫隙。即：在部署的時候，可以將是否登陸了防水墻客戶端作為客戶端電腦連接到對應服務器的安全策略（正如是否安裝和啟用了殺毒軟件、是否打了補丁一樣）。在用戶沒有部署網(wǎng)絡準入設備的情況下，用戶可以采用山麗網(wǎng)安的網(wǎng)絡準入設備。實際上，網(wǎng)絡準入設備的安全范疇要遠遠大于本處描述的作用，正如一個國家需要管理自己的邊境線一樣，網(wǎng)絡準入設備是網(wǎng)絡邊界安

58、全的必備設備。在應用系統(tǒng)服務器前部署山麗防水墻系統(tǒng)安全網(wǎng)關對應用系統(tǒng)服務器的防護，也可以采用加密安全網(wǎng)關進行防護。在實踐中，將安全網(wǎng)關部署在應用系統(tǒng)服務器前面，文件上傳到安全網(wǎng)關時候進行解密，文件從應用系統(tǒng)服務器下載到客戶端工作站的時候，在安全網(wǎng)關上進行加密；“安全網(wǎng)關”和山麗防水墻客戶端之間形成一個安全域的堡壘，所有想訪問安全網(wǎng)關后面服務器的客戶端首先需要部署山麗防水墻客戶端才能通過安全網(wǎng)關進行通訊；沒有安裝山麗防水墻客戶端的電腦將無法和后面的服務器進行通訊；用戶通過安全網(wǎng)關，將實現(xiàn)數(shù)據(jù)下載加密、上次解密的效果，這樣，數(shù)據(jù)在應用系統(tǒng)服務器仍然是明文，但用戶下載下來就是密文了。優(yōu)點：實現(xiàn)了對應

59、用系統(tǒng)服務器的防護缺點：所有經(jīng)過應用系統(tǒng)服務器的數(shù)據(jù)均需經(jīng)過安全網(wǎng)關的處理；網(wǎng)絡中需要新增加硬件設備，會改變網(wǎng)絡拓撲；數(shù)據(jù)加密網(wǎng)關拓撲在應用系統(tǒng)服務器和山麗防水墻系統(tǒng)之間進行數(shù)據(jù)接口開放，二次開發(fā)具體的二次開發(fā)需要依據(jù)具體應用系統(tǒng)來進行分析。山麗防水墻在中控股份、思源電氣方面進行的是二次開發(fā)的方式。3.17 產(chǎn)品功能對文件交互管理的滿足3.17.1分支機構(gòu)和總部的交流在防水墻管理架構(gòu)下，分支機構(gòu)和總部交流方式有以下幾種（用戶可以選擇并行或者固定采用其中一種）：總部每次發(fā)送附件的時候，先行解密然后發(fā)送方案優(yōu)點：分支機構(gòu)辦公方式無須任何的改變，工作方式和原來一樣；分支機構(gòu)自己起草的任何文件均不會有

60、加密的情況，可以自由的外發(fā)自己的客戶；方案缺點：總部外發(fā)文件前需要先將文件申請解密；在交流過于頻繁的情下會增加一定程度的工作量；總部每次發(fā)送附件的時候，設置分公司的mail地址為綠色信任郵箱，這樣，通過山麗防水墻的專用工具發(fā)送給這些用戶的mail附件將會自動解密，方案優(yōu)點：分支機構(gòu)辦公方式無須任何的改變，工作方式和原來一樣；分支機構(gòu)自己起草的任何文件均不會有加密的情況，可以自由的外發(fā)自己的客戶；方案缺點：總部外發(fā)文件前需要先申請信箱解密，因為是一次申請，多次解密，存在一定的安全隱患；總部人員將外發(fā)文件放到服務器上，分支機構(gòu)人員自行登陸上來在自己被管控的目錄中自由獲取（分支機構(gòu)人員連接公司服務器