《电力规划设计院知识产权保护方案》.docx
《《电力规划设计院知识产权保护方案》.docx》由会员分享，可在线阅读，更多相关《《电力规划设计院知识产权保护方案》.docx（13页珍藏版）》请在冰豆网上搜索。
《电力规划设计院知识产权保护方案》
《电力规划设计院知识产权保护方案》
电力规划设计院知识产权保护方案
1需求分析
电力规划设计院一般是统一的网络，通过统一防火墙进行出口控制，因为内部存在通过inter跟外部网络进行设计图纸交换、资料查找的需求，所以目前除了能够对内部pop3和smtp服务器进行比较有效的控制外，其它网络交换途径如web和ftp服务基本无法管理，可能造成机密设计图纸的泄漏。
另一方面，由于计算机终端外设端口数据交换的方法越来越方便，特别是移动存储设备（如u盘）等的广泛使用，使得设计图纸等的保密性更加难以控制。
这些设计院重要材料的泄漏，对设计院的知识产权保护构成极大的威胁，需要从技术手段和管理手段进行提升，建立有效的设计院知识产权保护体系，维护和提高设计院的长期竞争力。
归纳起来，电力设计院的需求有下述几点。
1.开放网络的保密管理
在电力规划设计院，因为工作人员需要上网进行资料查找，也需要跟其它外部网络进行设计图纸的交换，所以网络必须对外开放，否则将严重降低设计院的工作效率。
但是，网络开放随之带来的问题就是信息的不可控制性，内部设计人员或者计算机上的木马可能把设计院的重要资料通过网络泄漏出去。
所以，必须提供一种有效的解决方案，可以在开放的网络状态下，实现关键资料的知识产权保密。
2.存储设备的保密管理
存储设备是网络之外最主要的数据交换途径之一。
目前，随着轻便的移动存储设备越来越普及，对数据保密的管理提出了更高的挑战。
如何实现对移动存储设备和甚至本地硬盘的有效管理，防止重要资料的泄密是电力设计院安全系统的关注点之一。
3.网络行为的审计监控
为了加强对设计院内网的有效管理，提高应对内网安全风险的能力，还需要提供对主机的一些审计监控功能，主要包括：
邮件监控、网页监控、ftp监控和文件操作监控等。
4.图纸文件的交换安全
设计院作为电力行业的设计单位，经常需要跟客户进行图纸或者其它文件的交换；在单位领导出差或者不在设计院的情况下，也需要通过网络将文件发给领导审批。
所有上述的情况，文件都需要脱离内网，在非安全的数据载体或者链路上进行交换，为此，需要提供一种完善的解决方案，实现以下要求：
。
文件脱离时必须以加密状态保存；
。
文件只能由指定的接受者阅读，即便是发送者本身，在文件脱离内
网安全环境下也无法阅读使用该文件。
5.移动计算机的安全性
设计院的工作人员经常要出差到客户现场，为了防止笔记本途中丢失，或者在客户现场并其它人偷阅材料，要求提供对计算机的安全管理手段：
。
非授权人员不能进入计算机操作系统；。
员工离开计算机自动锁定；
。
计算机或者硬盘丢失不会造成数据泄密。
6.安全系统的可扩展性
由于安全的需求可能随着信息化程度的提高和业务的需要增加，所以本方案提供的安全系统必须具备可扩展性，主要考虑要点如下：
。
员工身份统一管理认证的需求，以及使用第三方数字证书的兼容性；。
应用系统数字签名的可能性；。
新应用的支持。
2解决方案
2.1设计原则
1.安全系统应该统一规划，分步实施，实施各个阶段应该保持良好的衔接；
2.安全系统与应用相关性应该尽可能低，支持应用系统的升级和新应用的
扩展；
3.安全系统的选型必须是基于现有的成熟产品和系统，具有可靠的稳定性；
4.安全系统应用具有良好的可管理性和可维护性，有统一的管理中心，依
据“分布式控制、集中式管理”管理的原则；
5.安全系统必须具有良好的易用性和兼容性，不会改变业务系统的主要结
构，也不会对业务系统的操作人员带来过多的习惯改变；
6.安全系统应该符合国家制定的相关安全管理规范，取得相关资质。
2.2总体方案
根据上述原则和目前市场产品的情况，本方案基于中安源（chinasec）可信网络安全平台提出。
根据需求分析，本方案分成重要数据保密、网络集中管理和移动计算机安全三个部分。
重要数据保密主要基于chinasec可信数据管理系统（dms）实现，可以有效解决开放网络和存储设备的保密管理问题。
网络集中管理主要基于chinasec可信网络监控系统实现（mgt），可以满足网络行为的审计监控问题。
移动计算机安全主要基于chinasec可信网络认证系统（tis）实现。
因为上述三个系统都是基于统一的chinasec可信网络安全平台开发，所以具有良好的相互兼容性，可以使用统一的服务器和管理中心，从而简化管理工作。
2.3重要数据保密
dms系统通过模式切换满足在开放网络条件下网络保密和存储保密的需求。
在dms系统中，可以定义工作模式和普通模式，所有设计相关的工作文件只能在工作模式下使用和存储，普通模式仅用于处理非工作文件、上网查询资料或者传输文件等。
计算机开机登录操作系统后，即进入普通模式，在普通模式下，安全系统对计算机基本上不进行控制，用户可以自由地使用存储设备、网络和处理文件等。
但是，在普通模式下，用户将不能接入设计院的内部文件服务器、oa服务器和图纸服务器等各种设计资源，同时也不能打开本地的可信数据区。
可信数据区是一个特殊的存储区域，其空间由本地硬盘和远程的文件服务器两部分组成。
其中，本地硬盘空间存储的数据是自动加密的。
可信数据区仅在用户登录工作模式的时候会自动开启。
可信数据区的远程文件服务器组成部分以目录的方式映射到本地，用户可以跟使用自己计算机的一个文件夹一样存储数据和建立文件，并且可以针对自己的文件存储区设立权限，从而实现跟其它用户共享数据。
如果用户需要开始设计工作或者处理保密工作相关的文件时，可以模式切换
和认证，可以登录进入工作模式。
在工作模式状态下，用户将可以接入和使用内部的文件服务器、oa服务器和图纸服务器等各种保密资源，并且将自动开启可信数据区。
但是，这时候所有的非受控网络（即互联网和其它管理员没设定为工作模式允许使用的网络）都将被切断隔离，而且非可信数据区的其它存储设备（包括本地硬盘和移动存储设备等）文件存储都将被禁止，并且可以强制要求关闭计算机所有通用的数据通信端口（红外、usb和串并口等），但是用户可以读取普通模式下的所有文件。
用户一旦退出工作模式，可信数据区自动关闭，系统内存也会清空，从而彻底隔离工作模式和用户模式的数据。
即在工作模式下，用户所有的工作处于一种安全环境下，所有数据只能存储在可信数据区或者服务器上，使用者无法将工作模式下产生的新文件或者数据带出工作模式，从而有效实现了在开放网络下的网络和存储数据保密问题。
2.4网络集中管理
mgt系统提供了全面的监控功能，在本方案中，可以实现对邮件发送监控、邮件接受审计、ftp审计、网页访问控制以及文件操作审计。
邮件发送监控可以接受者的地址设定黑/白名单，并且支持通配符的规则设置。
系统还可以将发送的所有邮件进行完整的记录（包括附件），存储在服务器中。
邮件接受监控以发送者的地址设置名单，可以记录接受邮件的完整内容。
网页访问控制也可以网站设定黑/白名单，并记录访问网址的信息，包括用户、计算机、网址和时间等。
ftp审计和文件操作审计将记录所有计算机用户ftp和文件操作，并上传到服务器中。
2.5移动计算机安全
tis系统提供每个合法用户一个usb接口的硬件令牌，该令牌内置标识是唯一的，并且提供了口令的双重保护。
安装了tis系统的移动计算机，必须在插入使用者自己的usb令牌并输入正确的口令后，才能登录进入windows操作系统，从而防止计算机被非法使用。
如果使用需要短期离开计算机，只要拔出usb令牌，计算机自动锁定屏幕和键盘鼠标等输入，从而确保了离机安全。
tis系统还提供了安全保密磁盘，该虚拟磁盘在现有硬盘空间创建，但是仅有特定用户的usb令牌插入计算机后才能自动开启，拔出计算机该磁盘自动关
闭消失，并且以加密的方式保存在计算机中，从而有效防止信息泄密。
这样，结合dms系统的可信数据区，即便计算机丢失或者硬盘丢失，也不会导致保密数据泄密。
3产品介绍
3.1chinasec可信网络安全平台3.1.1平台的结构
chinasec可信网络安全平台是所有产品共同的工作平台，其基本结构分为服务器（server）、客户端代理（agent）和控制台（managementconsole）三部分，全部为软件系统。
chinasec可信网络安全平台的系列产品都运行在这个共同的平台上，使用共同的服务器、共同的控制台和共同的核心客户端代理引擎。
它们的通信体系和通道也是共同的，基于这个平台，chinasec的全系列产品能够相互协调，并保证了占用最少的系统资源和网络资源。
服务器（server）是可信网络安全平台的核心组成部分，是所有策略的存储中心，也是系统运行和维护的中心。
在服务器上，存储着用户信息、计算机信息、组织体系、策略信息以及日志信息。
服务器软件需要一个授权的硬件usb令牌，才能够正常运行。
中安源（chinasec）不同的系统，其服务器都使用共同的核心运行。
客户端代理（agent）运行在可信网络安全平台需要控制的计算机终端上，该客户端代理采用安全的方式接受服务器（server）的统一管理，接受服务器下发的策略，并通知相应的功能模块执行。
所有的chinasec可信网络安全平台系列产品的系统，其功能模块都通过平台的核心代理引擎与服务器进行通信。
控制台（managementconsole）是可信网络安全平台的用户界面，用于实现对服务器（server）的远程管理，它是整个平台的控制中心，平台中的各个系统都可以集中体现在该控制台中。
控制台基于windows标准的mmc技术，用户界面友好。
下图是一个典型的chinasec可信网络安全基本架构。
控制台只通过服务器对客户端进行管理，跟所有客户端代理之间没有直接的通信连接建立。
2计算机使用授权管理员可以设定某个用户能够使用那些计算机，也可以设定某台计算机只允许指定的一个或者多个用户使用。
没用授权的用户，在使用自己令牌登陆计算机的时候，将不能通过认证，从而不能进入该计算机的操作系统使用。
用户令牌还具有离线锁定的功能，即一旦使用者要离开计算机一段时间，为了防止其它人在此期间使用自己的计算机，可以将令牌拔出带走，这时候计算机就自动进入锁定作态，只有使用者再次将自己的令牌插入该计算机，才能够解锁。
3保密磁盘每个用户使用自己的令牌，可以建立多个虚拟的保密磁盘，使用方法跟普通磁盘完全相同，但是存储在这些保密磁盘中的数据是完全加密的，而且只有使用本人的令牌才能打开自己建立的安全磁盘。
当多个人使用同一台计算机的时候，每个人都可以建立自己的安全磁盘，从而为每个人都创建了隐私保密空间。
虚拟的安全磁盘是一个文件，用户在更换计算机或者出差的时候，可以将该磁盘文件带走，在别的计算机系统只要使用自己的令牌，一样可以打开安全文件使用，携带方便。
4服务器访问授权配合安全网关的使用，管理员可以指定每个用户能够访问单位内部哪些特定的应用服务器，或者指定某台服务器只能授权哪些用户使用。
这些用户访问这些服务器之前，都需要通过服务器的统一认证，获得授权。
5文件安全分发系统安全文件分发系统让用户可以创建安全的加密文件，在创建的时候需要指定一个或者多个接受者，只有指定的接受者使用自己的usb令牌才能够正确解密该文件并打开该文件，其它任何没有权限的人获取该文件，都将不能获得有效的信息。
该功能为用户提供了一种通过网络或者其它途径远程交换文件的安全方法，例如结合电子邮件使用等。
6ftp安全增强认证系统该扩展模块可以将某个ftp服务器的用户帐号和代表用户身份的硬件usb令牌强制绑定，用户在使用该令牌登陆使用计算机期间，访问ftp服务器都将使用管理员指定的帐号，从而避免了内部盗用领导或者其它人ftp帐号非法下载资料情况的发生。
3.2.3认证系统的选件
chinasec可信网络认证系统的可选件包括标准令牌、128m令牌和安全网关。
如果使用者数量超过客户端计算机数量或者需要一些备份使用的令牌，那么用户可以选择购买更多的标准令牌或者128m令牌。
128m令牌除了具有标准令牌的功能外，还附加了一个128m的u盘空间。
如果用户需要对重要服务器使用授权保护，那么需要购买安全网关，安全网关有多种型号可以选择，详见3.6节介绍。
3.3chinasec可信网络监控系统（mgt）3.3.1监控系统的结构
chinasec可信网络监控系统基于chinasec可信网络安全平台进行开发，其结构与安全平台结构完全一致，组成部分包括服务器（server）、控制台（mc）和客户端代理（agent），其各自的功能描述如下表：
序号组件名称1服务器（server）功能描述可信网络监控系统的核心部件。
存储计算机信息、策略信息、权限配置以及审计记录等。
实时管理所有客户端代理。
2客户端代理（agent）接受系统服务器的管理，负责具体执行服务器的指令和策略，并对用户计算机的状态、资源和行为进行监控，同时根据策略对用户的行为进行详细记录和审计。
3控制台（mc）系统的管理用户界面，提供对服务器的远程管理功能，所有系统的管理、策略实施和监控审计工作都通过mc完成。
监控系统的结构图如下：
agent
agent
mc
server
3.3.2监控系统的功能
chinasec可信网络监控系统提供了对内网计算机终端进行集中的资源和用户行为授权管理，并提供详细的审计记录的功能，减少单位内网的安全漏洞和风险，提高了管理效率。
其功能描述如下表：
序号模块名称1实时监控功能描述实时远程监视和控制客户端计算机的状态，这些状态包括：
安装的应用程序、服务、驱动以及他们的运行状态；当前网络连接状态、打开的窗口、运行的进程、系统的用户和用户组、共享目录、当前的屏幕截图等信息，并可以实时远程控制，比如关闭某个打开的进程、服务或者窗口等。
2端点防火墙集中管理和控制的客户端防火墙，其策略由管理员根据单位管理需要指定，可以根据ip地址、网络端口和数据流向等设定客户端计算机或者用户访问的权限，以白名单或者黑名单的方式工作。
例如发现蠕虫病毒，可以及时全网统一封锁相应的传播端口，从而有效控制该类型病毒的破坏效果。
3外设监控外设监控策略运行管理员针对每台计算机进行外设端口使用的授权，比如允许或者禁止usb存储设备的使用等。
这些端口和设备类型包括usb存储设备、usb普通设备、红外、串口、并口（打印端口）、键盘鼠标、光驱、软驱和1394端口等，用户还可以根据关键字和设备类型进行自定义，管理所有计算机上的设备。
使用关键字是一种非常灵活的方式，比如只允许某个打印机使用，而其它任何打印机不能使用等。
4邮件监控邮件监控功能提供了集中控制和管理终端计算机发送邮件的手段。
管理员可以白名单或者黑名单的方式设定用户允许使用的邮件服务器和地址。
并可以完整记录（包括附件）发送和接受的邮件内容和时间等。
5网页监控网页监控提供了管理员集中授权计算机和用户访问的网址范围，可以白名单或者黑名单的方式设置。
同时可以进行审计和记录。
6ftp监控ftp监控提供了管理员记录和控制ftp协议和客户端使用的方法，可以记录所有用户上传和下载的完整ftp文件。
7应用监控应用监控提供了管理员集中授权管理客户端应用的方法。
管理员可以黑名单或者白名单的方式授权，并且可以基于进程名称、服务名称或者窗口名称进行管理。
8文件操作记录自动记录计算机上的文件操作记录，包括创建、删除和复制等操作，并记录用户名、文件名和相应的时间等。
9违规记录对所有试图违反管理员设定和授权规则的行为进行记录。
上述的所有监控策略，根据客户端的状态，可以分为离线策略和在线策略。
在线策略是指客户端计算机在chinasec可信网络监控系统服务器的实时管理网络中，能实时接受服务器的管理，比如接入单位内部网络的时候，这时候自动启用在线策略。
离线策略则是指客户端计算机不能接入服务器所在的网络的时候，比如笔记本电脑出差或者带回家的时候，这时候客户端自动执行离线策略。
基于这两种策略模式，管理员可以根据用户计算机的不同环境设置不同的用户使用策略，比如在单位（在线）设置宽松的策略，离开单位（离线）设置严格的策略。
chinasec可信网络监控系统还可以和chinasec可信网络认证系统联合使用，实现更加强大和灵活的功能，可以根据用户和计算机的不同组合实施不同的授权和策略，例如：
使用同一台计算机，用户a可以使用光驱，而用户b则没有这个权限不能使用。
3.4chinasec可信网络保密系统（vcn）3.4.1保密系统的结构
chinasec可信网络保密系统基于chinasec可信网络安全平台进行开发，其主体架构依赖于chinasec可信网络安全平台，主要由服务器（server）、控制台（mc）、客户端代理（agent）、安全网关（gateway）和转发网关（switcher）组成，各部分功能描述如下表：
序号组件名称1服务器（server）功能描述可信网络保密系统的核心部件。
存储计算机信息、策略信息、权限配置以及审计记录等。
实时管理所有客户端代理和网关设备。
2客户端代理（agent）接受系统服务器的管理，负责具体执行服务器的指令和策略，并对用户计算机的状态、资源和行为进行监控。
3控制台（mc）系统的管理用户界面，提供对服务器的远程管理功能，所有系统的管理、策略实施和监控审计工作都通过mc完成。
4转发网关（switcher）用于在vcn网络和外部非受控网络之间转发数据，当内部的计算机需要访问外部网络的时候，需要经过转发网关进行数据转发；当需要构建公共服务器区的时候，也需要使用转发网关。
5安全网关（gateway）用于构造安全服务器区，保护重要数据和应用服务器，使用安全网关后，管理员可以针对每台计算机进行授权，允许/禁止计算机访问应用服务器。
chinasec可信网络保密系统的结构如下：
oa服务器
vcnmc
vcnserver
mail服务器
vcn
file服务器
vcn
有vcnagent的
有vcnagent的外来接入计算
3.4.2保密系统的功能
chinasec可信网络保密系统主要用于构造内网保密网络，对网络传输和存储
设备两个主要途径进行有效控制和管理，其主要功能如下表：
序号模块名称1保密域管理功能描述根据单位需要，vcn系统可以将内网划分为一个或者多个保密子网（vcn），同一个保密子网内部的计算机可以实现相互自由的数据交换（通过网络或者存储设备），不在同一个保密子网内部的计算机相互之间不能进行正常的数据交换，除非获得管理员的授权。
通过保密子网的划分，可以在保障网络统一维护的前提下，对单位内部不同职能部门实现有效的数据隔离，例如财务部和其它部门独立开来，增加内网安全级别，降低安全风险。
通过保密子网，还可以有效防止非法外联或者非法接入。
非法外联不管是基于modem、adsl拨号或者双网卡，都能够有效防止；非法接入不管是通过交换机接入或者通过网线将两台计算机直连，也都能够有效防止。
不同保密子网（vcn）之间可以设定信任关系，从而允许他们的计算机之间进行数据交换。
2网络传输加密部署vcn的所有计算机，启用网络策略后，其传输的数据都是经过加密的。
无论是同一个vcn内的计算机，或者不同vcn之间的计算机（管理员允许的情况下）进行网络通信，其每两台计算机使用的通信密钥都是不一样的，从而有效防止了网内使用恶意侦听软件的行为。
网络加密的密钥由vcn服务器统一管理，并且定时更新。
3移动存储设备管理vcn部署后，可以实现对移动存储设备的有效管理。
在部署的时候，管理员可以设定没有注册的移动存储设备（u盘或者移动硬盘等）默认的使用策略，可选策略包括禁用（没有注册的磁盘禁止使用）、只读（可以将没注册磁盘数据拷入到vcn网内的计算机，但不能拷出数据）或者加密读写（所有写入该未注册磁盘的数据自动加密，加密的数据只能在计算机所在的vcn内使用）。
如果移动存储设备要在vcn中获得默认策略以外的权限，则必须经过管理员注册，注册的权限包括：
只读、加密读写和直接读写，并可以设定信任域是否也能够使用。
加密读写可以有效控制数据的安全共享范围，并且不影响存储设备使用的方便性。
直接读写策略则将以普通明文的方式输出数据，存在风险，一般不建议使用。
4本地磁盘加密为了防止因为本地硬盘丢失造成的数据泄密问题，vcn提供了本地磁盘加密策略，强制加密所有本地磁盘的文件。
5终端使用模式因为本地磁盘加密策略执行后，为了不影响系统盘的效率，将不会对系统盘进行加密。
为了避免从系统盘泄密数据，管理可以启用终端使用模式，这时候计算机系统盘不会写入任何东西，在操作系统重启后恢复到原状。
如果用户需要安装新的应用程序，则需要管理批准，临时取消该模式。
6安全服务器区安全服务器区要求使用安全网关构建，可以用来保护单位重要的应用服务器和数据服务器。
仅有安装了vcn并且经过管理员批注的客户端计算机能够访问安全服务器区相应的服务器，有效实现了安全授权，也实现了防止针对服务器的非法接入访问。
7开放服务器区开放服务器区的构建需要使用转发网关（switcher），可以用来放置单位公开的服务器，如web服务器，接受内网计算机和外网计算机的访问，同时有效隔离内网和外网。
vcn的磁盘加密、移动存储加密和网络加密对用户和计算机应用来说都是完全透明的，不会影响用户的使用习惯。
上表对vcn的功能进行了全面的描述，vcn系统提供了不同的型号，不同型号的性能不完全一样，请参考下一节的说明。
3.4.3保密系统的型号
chinasec可信网络保密系统根据功能不同，分成三个型号，其功能如下表所示：
型号vcn-a精简型单安全域磁盘无需注册，默认为加密策略提供解密工具vcn-b标准型支持最多三个安全域磁盘有注册管理非注册磁盘默认策略可以设置为加密、只读或者禁用vcn-c增强型无限制安全域磁盘有注册管理非注册磁盘默认策略可以设置为加密、只读或者禁用本地磁盘加密策略/使用模式支持注：
该报价不包括安全网关和转发网关。
xx1480功能单点列表价（元）9803.4.4保密系统的选件
chinasec可信网络保密系统的选件包括安全网关和转发网关。
如果需要构建安全服务器区对重要的数据进行保护，则需要选择安全网关。
如果需要或者构建公共服务器区，则需要选择转发网关。
安全网关和转发网关都提供不同的型号供用户选择，详见3.6节介绍。
3.5chinasec可信数据管理系统（dms）3.5.1数据管理系统的结构
chinasec可信数据管理系统基于chinasec可信网络安全平台开发，主体架构依赖于可信网络安全平台，其组成部分包括服务器（server）、控制台（mc）、客户端代理（agent）、安全网关（gateway）和安全文件服务器，各个部分的功能如下：
序号组件名称1服务器（server）功能描述可信数据管理系统的核心部件。
存储计算机信息、策略信息、权限配置以及审计记录等。
实时管理所有客户端代理和网关设备。
2客户端代理（agent）接受系统服务器的管理，负责具体执行服务器的指令和策略，根据不同的模式进行本地安全环境的构建。
3控制台（mc）系统的管理用户界面，提供对服务器的远程管理功能，所有系统的管理、策略实施和监控审计工作都通过mc完成。
4安全网关（gateway）用于构建安全服务器区，保护重要数据和应用服务器，配合工作模式设置，对客户端的接入执行允许/禁止操作。
5安全文件服务器安全文件服务器放置在安全网关后面，用于作为用户集中存储文件数据和共享数据的空间。
下图是典型的chinasec可信数据管理系统的部署图：
3.7chinasec可信桌面认证系统3.7.1桌面认证系统的功能
chinasec可信桌面认证系统针对个人用户提供，为个人用户保护自己的计算机和隐私数据提供了手段，其主要功能如下：
序号模块名称1计算机登陆认证功能描述安装本系统后，使用者必须使用自己的usb令牌才能够登陆进入操作系统，有效防止别人盗用自己的计算机。
安装本系统时使用的令牌将作为该计算机的管理员，可以添加多个令牌用户到该台计算机，满足多人使用同一台计算机的要求。
2计算机离机锁定使用者临时离开计算机的时候，拔出usb令牌，计算机随之锁定，防止离开期间被他
升级会员 