一、案例背景：

中國石化工程建設(shè)有限公司（Sinopec Engineering Incorporation,簡稱SEI）是中國石油化工集團(tuán)公司直屬的，以工程設(shè)計(jì)為主體，可實(shí)施工程建設(shè)總承包和工程項(xiàng)目管理的工程公司。按2011年統(tǒng)計(jì)，公司在冊職工2200余人，資產(chǎn)總額158億元人民幣。

SEI集高素質(zhì)的人才、豐富的工程設(shè)計(jì)和建設(shè)經(jīng)驗(yàn)、雄厚的技術(shù)實(shí)力，在石油煉制和石油化工、煤液化和煤化工、天然氣加工、環(huán)境工程與公用工程等諸多領(lǐng)域，為國內(nèi)外客戶提供優(yōu)質(zhì)全面的工程服務(wù)。公司能夠同時(shí)運(yùn)作大型煉油化工聯(lián)合工廠的總體設(shè)計(jì)、煉油化工裝置設(shè)計(jì)、大中型煉油化工EPC或PMC項(xiàng)目，并在煉油化工一體化項(xiàng)目上具有獨(dú)特的優(yōu)勢。

在SEI實(shí)力不斷壯大的同時(shí)，計(jì)算機(jī)技術(shù)也在飛速發(fā)展，計(jì)算機(jī)應(yīng)用范圍的不斷拓展使得現(xiàn)在幾乎所有的企事業(yè)單位都有自己的內(nèi)部計(jì)算機(jī)網(wǎng)絡(luò)，一些涉密信息也不可避免的存儲在位于內(nèi)部網(wǎng)絡(luò)的計(jì)算機(jī)當(dāng)中。

當(dāng)前內(nèi)網(wǎng)中計(jì)算機(jī)的泄密途徑，主要有網(wǎng)絡(luò)輸出、移動存儲介質(zhì)帶出、打印帶出、電磁輻射泄漏、偷窺記憶帶出等情況。其中，移動存儲介質(zhì)以其使用方便、存儲量大、隱蔽難以防范的特點(diǎn)，成為內(nèi)部網(wǎng)絡(luò)泄密的主要途徑。加強(qiáng)移動存儲介質(zhì)的風(fēng)險(xiǎn)分析和風(fēng)險(xiǎn)管理已成為有效保障涉密內(nèi)網(wǎng)中信息安全的重要工作。

SEI迫切需要一套完善的"移動存儲介質(zhì)使用管理系統(tǒng)"，從而有效解決以下移動存儲介質(zhì)管理問題：企業(yè)外部移動存儲介質(zhì)未經(jīng)授權(quán)在內(nèi)部使用；企業(yè)內(nèi)部移動存儲介質(zhì)及信息資源被帶出，在外部非授權(quán)使用；使用過程的疏忽，導(dǎo)致病毒感染；存貯在媒體中的秘密信息在聯(lián)網(wǎng)交換時(shí)被泄露或被竊取，存貯在媒體中的秘密信息在進(jìn)行人工交換時(shí)泄密；移動存儲介質(zhì)發(fā)生故障時(shí)，存有秘密信息的介質(zhì)不經(jīng)處理或無人監(jiān)督就帶出修理，或修理時(shí)沒有懂技術(shù)的人員在場監(jiān)督，而造成泄密；移動存儲介質(zhì)管理不規(guī)范，秘密信息和非秘密信息放在同一媒體上，明密不分，媒體介質(zhì)不標(biāo)密級，不按有關(guān)規(guī)定管理秘密信息的媒體，容易造成泄密；媒體失竊，存有秘密信息的磁盤等媒體被盜，就會造成大量的國家或企業(yè)秘密信息外泄，其危害程度將是難以估量的，丟失造成后果非常嚴(yán)重；移動存儲介質(zhì)的使用過程無審計(jì)，事后沒有追究責(zé)任的依據(jù)。

針對SEI所提出的移動存儲介質(zhì)管理問題與需求，北京圣博潤高新技術(shù)股份有限公司為其建立了LanSecS移動存儲介質(zhì)使用管理系統(tǒng)。

二、解決方案：

LanSecS移動存儲介質(zhì)使用管理系統(tǒng)

1.產(chǎn)品簡介

LanSecS移動存儲介質(zhì)管理系統(tǒng)是北京圣博潤高新技術(shù)股份有限公司（以下簡稱圣博潤）推出的專門用于政府和企業(yè)的移動存儲介質(zhì)安全管理系統(tǒng)。系統(tǒng)通過對移動存儲介質(zhì)實(shí)施分類注冊和使用管理，有效避免了移動存儲介質(zhì)的濫用，以此提高政府和企業(yè)存儲介質(zhì)的安全性。LanSecS移動存儲介質(zhì)使用管理系統(tǒng)可為用戶解決如下一系列問題：

◆敏感信息和涉密信息的非法拷貝

◆未經(jīng)授權(quán)存儲介質(zhì)在企業(yè)內(nèi)部使用

◆內(nèi)部授權(quán)存儲介質(zhì)在外部非法使用

◆惡意病毒通過存儲介質(zhì)在企業(yè)網(wǎng)內(nèi)傳播

◆存儲介質(zhì)使用不規(guī)范造成數(shù)據(jù)丟失或泄密

◆涉密信息在拷貝中被竊取或丟失

◆存儲介質(zhì)維修造成敏感數(shù)據(jù)泄密

◆存儲介質(zhì)報(bào)廢造成重要信息丟失

◆存儲介質(zhì)丟失造成私密信息外泄

◆存儲介質(zhì)使用的操作記錄和審計(jì)管理

在為用戶提供終端安全保護(hù)手段的同時(shí)，LanSecS移動存儲介質(zhì)使用管理系統(tǒng)更加強(qiáng)調(diào)為用戶提供便利的移動存儲介質(zhì)管理手段，提供集中式、人性化的介質(zhì)管理功能是LanSecS移動存儲介質(zhì)使用管理系統(tǒng)的特色。

2.產(chǎn)品構(gòu)架

LanSecS移動存儲介質(zhì)管理系統(tǒng)在架構(gòu)設(shè)計(jì)上采用了三層管理結(jié)構(gòu)：安全代理、總控中心、管理控制臺。

圖1 LanSecS移動存儲介質(zhì)使用管理系統(tǒng)架構(gòu)

安全代理以服務(wù)的形式運(yùn)行于終端計(jì)算機(jī)上，是終端計(jì)算機(jī)管理的核心和基礎(chǔ)部件，用于管理和審計(jì)終端計(jì)算機(jī)的安全介質(zhì)使用。安全代理的設(shè)計(jì)充分考慮了穩(wěn)定性、安全性和兼容性要求。安全代理可防止惡意停止，并全面兼容各類防病毒軟件、防火墻軟件、設(shè)計(jì)開發(fā)軟件、業(yè)務(wù)軟件、辦公軟件。

總控中心用于移動存儲介質(zhì)的集中管理，為安全代理和管理控制臺提供一系列的管理服務(wù)。由策略管理服務(wù)、審計(jì)管理服務(wù)、注冊服務(wù)和數(shù)據(jù)庫組成。視企業(yè)網(wǎng)絡(luò)規(guī)模和性能要求，這些服務(wù)可分別部署在不同的硬件平臺上，也可部署在同一個(gè)硬件平臺上。

管理控制臺為系統(tǒng)管理人員提供系統(tǒng)管理入口，采用B/S方式進(jìn)行系統(tǒng)管理，通過管理控制臺可以完成系統(tǒng)管理的全部操作。

三層管理結(jié)構(gòu)大大提高了系統(tǒng)設(shè)計(jì)開發(fā)、安裝部署和運(yùn)行維護(hù)的靈活性、便利性和擴(kuò)展性。

3.產(chǎn)品功能

未注冊介質(zhì)管理：系統(tǒng)對未注冊介質(zhì)的管理通過分發(fā)主機(jī)策略實(shí)現(xiàn)。通過主機(jī)策略，可以設(shè)置主機(jī)對未注介質(zhì)的使用權(quán)限。主機(jī)對介質(zhì)使用權(quán)限可以設(shè)置為只讀、只寫、讀寫、禁用幾種，建議用戶在初次部署系統(tǒng)時(shí)，將未注冊移動存儲介質(zhì)管理策略設(shè)置為禁用，以保證移動存儲介質(zhì)使用的安全。

介質(zhì)加密管理：系統(tǒng)可以對移動存儲介質(zhì)進(jìn)行加密管理。加密管理過程需要對移動存儲介質(zhì)進(jìn)行授權(quán)和注冊，通過對介質(zhì)的加密注冊管理保證該介質(zhì)只能在特定的網(wǎng)絡(luò)環(huán)境使用，提高了介質(zhì)使用的安全性。建議用戶在部署系統(tǒng)時(shí)，將絕大部分需要管理的介質(zhì)采用加密管理方式進(jìn)行管理，既可以保證移動存儲介質(zhì)使用的安全性，也可以保持一定的使用方便性。

多分區(qū)介質(zhì)管理：多分區(qū)U盤管理模式是系統(tǒng)特有的一種U盤管理模式，適用于U盤類移動存儲介質(zhì)。在這種模式下，普通U盤將被分為啟動區(qū)、加密區(qū)、交換區(qū)和日志區(qū)等四個(gè)物理分區(qū)，使得U盤的使用更加靈活。利用多分區(qū)特性，可以實(shí)現(xiàn)多種場景模式應(yīng)用，適合差旅人員對數(shù)據(jù)的攜帶，既有一定的數(shù)據(jù)保護(hù)能力，又可方便的存取使用數(shù)據(jù)。建議用戶在部署系統(tǒng)時(shí)，視情況對部分U盤采用多分區(qū)方式對其進(jìn)行管理，以實(shí)現(xiàn)安全的內(nèi)外網(wǎng)單向數(shù)據(jù)交換。

特權(quán)介質(zhì)管理：特權(quán)介質(zhì)管理是系統(tǒng)對普通介質(zhì)的一種特殊管理模式，適用于移動硬盤、SD卡、CF卡、MMC卡和記憶棒等特種存儲介質(zhì)的管理。系統(tǒng)對介質(zhì)進(jìn)行特權(quán)標(biāo)簽標(biāo)記，表明該介質(zhì)的獨(dú)特身份，該標(biāo)簽不影響介質(zhì)在外網(wǎng)使用，但是在安裝有安全代理的計(jì)算機(jī)上，安全代理可以識別該標(biāo)簽，并可根據(jù)策略對其進(jìn)行訪問控制。建議在部署系統(tǒng)時(shí)，應(yīng)盡量避免特權(quán)介質(zhì)管理模式使用，因?yàn)樵摴芾砟Ｊ饺詴o內(nèi)網(wǎng)帶來一定的安全風(fēng)險(xiǎn)。

專用安全U盤管理：專用安全U盤是系統(tǒng)配套使用提供單獨(dú)硬件加密的存儲介質(zhì)。專用安全U盤與多分區(qū)U盤的結(jié)構(gòu)類似，也分為啟動區(qū)、加密區(qū)、交換區(qū)、日志區(qū)四個(gè)分區(qū)，各分區(qū)用途也與多分區(qū)U盤類似。與其它類型介質(zhì)相比，專用安全U盤具有更安全更便攜的特點(diǎn)，適合在內(nèi)網(wǎng)和外網(wǎng)共同使用。建議在部署系統(tǒng)時(shí)，視情況采購部分專用安全U盤，實(shí)現(xiàn)更加安全的內(nèi)外網(wǎng)單向數(shù)據(jù)交換和差旅模式應(yīng)用。

4.產(chǎn)品特點(diǎn)

完善的分級管理架構(gòu)，"分散不分立"：LanSecS移動存儲介質(zhì)使用管理系統(tǒng)支持分級管理，上級可對下級進(jìn)行實(shí)時(shí)的監(jiān)控，管理下級的安全策略；同時(shí)下級的安全事件可以按照設(shè)定的上報(bào)策略進(jìn)行逐級上報(bào)。通過分級管理，LanSecS移動存儲介質(zhì)使用管理系統(tǒng)可實(shí)現(xiàn)跨地域分散部署和集中管理，"分散不分立"，形成有效和有機(jī)安全管理架構(gòu)。

靈活的分權(quán)管理機(jī)制，"集中不集權(quán)":在LanSecS移動存儲介質(zhì)使用管理系統(tǒng)中，由統(tǒng)一的管理中心對主機(jī)代理進(jìn)行管理。同時(shí)，LanSecS系統(tǒng)提供了基于安全角色的授權(quán)管理機(jī)制，用戶可以根據(jù)功能模塊分類以及行政機(jī)構(gòu)的劃分自定義安全角色，一種安全角色只能執(zhí)行其所轄部門范圍內(nèi)的相應(yīng)安全代理的安全策略和審計(jì)事件的管理。"集中不集權(quán)"，保證了管理的安全和合理性。

多層次的安全性措施，保證系統(tǒng)運(yùn)行的安全可靠:LanSecS移動存儲介質(zhì)使用管理系統(tǒng)的設(shè)計(jì)充分考慮了自身的安全性，從系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡(luò)通訊、策略分發(fā)與存儲等多個(gè)層面加強(qiáng)了安全保護(hù)，確保系統(tǒng)運(yùn)行的安全可靠。

全方位的安全審計(jì)功能，有效的防止泄密:LanSecS移動存儲介質(zhì)使用管理系統(tǒng)提供對所有接入移動存儲介質(zhì)的操作進(jìn)行綜合的監(jiān)控和審計(jì)，全方位的監(jiān)控存儲介質(zhì)的運(yùn)行狀態(tài)以及用戶的操作行為，實(shí)現(xiàn)涉密信息的全程審計(jì)與跟蹤。

完善的基于數(shù)字證書的身份認(rèn)證機(jī)制:LanSecS移動存儲介質(zhì)使用管理系統(tǒng)內(nèi)嵌身份認(rèn)證服務(wù)，實(shí)現(xiàn)了與數(shù)字證書的完美結(jié)合，管理控制臺、安全代理、總控中心以及所有系統(tǒng)管理用戶和計(jì)算機(jī)用戶均可通過數(shù)字證書進(jìn)行身份認(rèn)證。

豐富、多樣的統(tǒng)計(jì)報(bào)表功能:LanSecS移動存儲介質(zhì)使用管理系統(tǒng)提供列表和統(tǒng)計(jì)圖的報(bào)表輸出，報(bào)表的輸出支持HTML、EXCEL、PDF、RTF等四種格式；同時(shí)提供手動報(bào)表、自動報(bào)表兩種運(yùn)行模式，用戶可以通過手動報(bào)表實(shí)時(shí)定義過濾條件進(jìn)行報(bào)表的輸出，也可以通過自動報(bào)表完成基于自定義報(bào)表模版的定時(shí)輸出，自動報(bào)表提供日報(bào)表、周報(bào)表、月報(bào)表等三種形式。

高度模塊化設(shè)計(jì)，需求響應(yīng)迅速:LanSecS移動存儲介質(zhì)使用管理系統(tǒng)管理控制臺、安全代理和總控中心均采用模塊化設(shè)計(jì)，并提供用戶設(shè)計(jì)、開發(fā)接口和示例，用戶可以根據(jù)企業(yè)的安全需求定制采購，同時(shí)也可以根據(jù)需求的變化，在運(yùn)行時(shí)動態(tài)改變其工作狀態(tài)，提高系統(tǒng)的運(yùn)行效率。針對新的安全需求用戶可以采用委托開發(fā)或者自主開發(fā)方式擴(kuò)展和增強(qiáng)移動存儲介質(zhì)管理功能。

所有組件支持自動升級，系統(tǒng)維護(hù)方便、快捷:LanSecS移動存儲介質(zhì)使用管理系統(tǒng)的主機(jī)代理及其功能模塊均支持基于版本號的網(wǎng)絡(luò)自動下載更新，只需要在總控中心一次部署即可以完成全網(wǎng)的自動升級。對于總控中心的升級，則可采用系統(tǒng)升級補(bǔ)丁包本地運(yùn)行的方式完成。

安全代理程序安裝部署方式靈活、多樣:LanSecS移動存儲介質(zhì)使用管理系統(tǒng)安全代理程序同時(shí)支持域模式安裝、本地安裝、網(wǎng)絡(luò)分發(fā)安裝以及WEB安裝等多種安裝部署方式，用戶可以根據(jù)實(shí)際網(wǎng)絡(luò)環(huán)境自由選擇，采取最適合自己環(huán)境的安裝部署方式，從而極大限度地滿足不同網(wǎng)絡(luò)和不同用戶的部署需求。

三、效果分析：

LanSecS移動存儲介質(zhì)使用管理系統(tǒng)的建立，使SEI在移動存儲介質(zhì)管理中可對多分區(qū)介質(zhì)實(shí)施加密區(qū)，交換區(qū)可指定適用策略，管理交換區(qū)、加密區(qū)的讀寫權(quán)限，對多分區(qū)介質(zhì)實(shí)施訪問加密處理；實(shí)現(xiàn)了對所有介質(zhì)的注冊、使用、權(quán)限、維護(hù)、銷毀做全程管理和信息記錄；對所有通過移動存儲介質(zhì)進(jìn)行數(shù)據(jù)交換的行為做詳細(xì)記錄。包括文件的建立（文件夾）、拷貝、刪除、等動作；會根據(jù)當(dāng)前審計(jì)信息做信息統(tǒng)計(jì)，根據(jù)審計(jì)信息做通過介質(zhì)拷貝數(shù)據(jù)量的統(tǒng)計(jì)，包括內(nèi)網(wǎng)數(shù)據(jù)拷貝總量、外網(wǎng)介質(zhì)拷貝總量、介質(zhì)拷入總量、介質(zhì)考出總量；所有審計(jì)信息可以通過報(bào)表形式導(dǎo)出，各項(xiàng)的審計(jì)信息、統(tǒng)計(jì)信息、介質(zhì)注冊信息、主機(jī)統(tǒng)計(jì)信息，都可直接以EXCEL、HTML、PDF、WORD等格式導(dǎo)出。

LanSecS移動存儲介質(zhì)使用管理系統(tǒng)完全符合SEI對于移動存儲介質(zhì)管理的要求，為SEI核心競爭力的提升做出了積極貢獻(xiàn)。