LanSecS内网安全管理系统7.0版技术白皮书
3.4. 移动存储介质管理
USB移动存储介质是目前使用最为广泛的数据交换手段。也正因为USB移动存储介质使用的广泛性，为政府和企业内网信息的安全防护带来了很大的安全隐患，如何对其进行有效的管理，成为政府、企业和信息安全产品提供商需要共同面对的问题。系统通过对移动存储介质实施注册管理，有效避免了移动存储介质的滥用，以此提高政府和企业内网信息的安全性。
移动存储介质注册管理是指将移动存储介质进行特殊处理后，在移动存储介质无法被直接访问的区域写入该移动存储介质相对应的注册信息，注册信息包括两种类型：标记信息：用于表明该移动存储介质的所有者、联系方式、管理者、所属部门等。访问控制信息：当该移动存储介质插入计算机时，依靠访问控制信息决定是否允许在计算机上使用。
根据用户管理需求的不同，系统将移动存储介质的管理分为五种管理模式：未授权移动存储介质、加密移动存储介质、多分区U盘、专用安全U盘、特权移动存储介质。注册介质的授权使用范围包括全局、部门与主机三个选项。注册介质的授权操作权限包括只读、读写与禁用、只写四种工作模式。
系统通过专用工具对各种存储介质进行注册管理，系统自带U盘资源管理器，实现对注册移动存储介质的访问与文件操作，有效地保证了移动存储介质管理的安全性。
系统采用了文件操作动态监控和审计的技术思路。当有文件在加密移动存储介质和本地磁盘进行拷贝时，系统将自动记录文件操作行为，包括访问、创建、删除、修改等。
类型 未授权移动存储介质 加密移动存储介质 多分区U盘 专用安全U盘 特权移动存储介质 说明 所有未在系统中进行注册管理的移动存储介质。系统默认将自动禁止其在装有终端监控引擎的计算机上使用。 经过系统加密格式化并注册的移动存储介质。 经过系统格式化为多个分区并注册的U盘，包括启动区、交换区、加密区、日志区，用户的访问操作权限可细化到分区。 与系统配套提供的专用U盘，可格式化为多个分区，自带COS操作系统。 经系统注册并打印特权标签的移动存储介质，尤其适用于各种数码产品存储卡。 ?版权所有 2001-2010 7/15
LanSecS内网安全管理系统7.0版技术白皮书
3.5. 终端安全审计
任何政府部门和企业单位，均拥有自己的机密信息。这些机密信息，如果没有良好的技术防护手段，很容易发生侵害政府和企业利益的信息泄露事件。政府和企业面临的信息泄露威胁有两种：被动信息泄露和主动信息泄露。
被动信息泄露：由于人员缺乏信息保密意识，常常由于专业知识不熟悉或者工作疏忽而造成泄密。如有些人由于不知道计算机的电磁波辐射会泄露秘密信息，计算机工作时未采取任何措施，因而给他人提供窃密的机会；有些人由于不知道计算机软盘上的剩磁可以提取还原，将曾经存贮过秘密信息的软盘交流出去，因而造成泄密；有些人因事离机时没有及时关机，或者采取屏幕保护加密措施，使各种输入、输出信息暴露在界面上；有些人对自己使用的计算机终端缺乏防护意识，如没有及时升级病毒库和更新系统补丁，导致病毒和木马的入侵，在不知不觉中泄露了机密信息。
主动信息泄露：这种情况是由于内部人员出于个人利益或者发泄不满情绪，有意识的收集和窃取机密信息。由于电子信息文档不象传统文档那样直观，极易被复制，且不会留下痕迹，所以窃取秘密也非常容易。电子计算机操作人员徇私枉法，受亲友或朋友委托，通过计算机查询有关案情，就可以向有关人员泄露案情。计算机操作人员被收买，泄露计算机系统软件保密措施，口令或密钥，就会使不法分子打入计算机网络，窃取信息系统、数据库内的重要秘密。
对于政府部门和企业来说，计算机终端作为信息处理的工具，在其上存储、传输和处理的信息的安全性保护相当重要。任何一个环节的疏漏均可导致信息的丢失。因此，必须加强对信息的监控和审计管理。LanSecS?内网安全管理系统提供了设备输出监控、违规外联监控、共享监控、打印监控、文件监控、帐户监控、进程监控、服务监控、软件安装监控、注册表监控和网络行为审计等一系列信息监控与审计功能，为政府和企业的信息保密与信息防护提供了有力的技术手段和工具。 模块名称 I/O设备输出审计 违规外联监控 普通光驱和刻录机。 实时监测和阻断终端计算机的MODEM拨号、ADSL拨号、网关上网、代理上网等行为，实现对终端计算机连接互联网或者其它网络行为的严格控?版权所有 2001-2010 8/15
功能描述 对硬件设备的使用进行监控。采取黑名单和白名单的控制方式，可区分 LanSecS内网安全管理系统7.0版技术白皮书 制。 文档打印审计 文件审计与文件保护 对终端计算机的打印操作进行监控与管理。全面监控本地打印、虚拟打印和共享打印。 1) 对文件的创建、删除、改名、访问等操作行为进行审计； 2) 对文件内容进行关键字扫描监控； 3) 对指定文件或文件夹的安全进行保护，限定特定进程对被保护对象的操作。 共享审计与共享访问控制 本地帐户审计 进程管理 服务管理 软件安装监控 注册表监控 网络行为审计 对终端计算机的系统默认共享、用户文件夹共享及共享文件夹的操作权限情况进行监控，避免内网用户通过共享的途径达到机密信息外泄 对本地计算机的帐户安全相关参数进行配置，对帐户变更进行监控和审计。 对本地计算机运行程序进行管理，包括运行控制、运行保护、运行统计与进程别名管理。 对本地计算机上所运行服务进行管理，控制本地服务的运行状况。通过黑名单、白名单和红名单方式管理。 对终端计算机上的软件安装行为进行监控与控制 对终端计算机本地注册表的访问进行监控和保护 对终端计算机的网络访问的监控与审计。包括HTTP访问、SMTP/POP3邮件收发、WEB邮件收发等。系统提供基于规则的访问控制手段
4. 产品性能
4.1. 总控中心性能
LanSecS?内网安全管理系总控中心采用了分层设计理念，统架构设计时采用了分布式负载均衡技术和动态性能扩展技术，路由与定位服务、业务服务、数据库服务均支持多个服务镜像，从而有效分散终端计算机连接请求，实现负载均衡。同时，在系统运行过程中，可以根据业务需要随时增加路由与定位服务、业务服务和数据库服务镜像，从而达到动态性能扩展的目的。系统可以在一个总控中心单元管理10万台终端计算机。
4.2. 终端监控引擎性能
终端监控引擎设计时充分考虑了其可能对桌面计算机造成的性能影响，通过多次优化，形成了现在的终端监控引擎架构。该架构保证了终端监控引擎在稳定
?版权所有 2001-2010 9/15
LanSecS内网安全管理系统7.0版技术白皮书
可靠运行的前提下，仍能保持极少的静态工作模式系统资源占用。
经过严格的第三方测试，以及大量用户的实际使用证明，终端监控引擎在静态工作模式下，对系统资源的占用几乎可以达到零消耗。静态工作模式下，CPU的占用率低于1%，内存占用低于10M，网络带宽占用低于0.2K/s/客户端。
4.3. 产品性能指标
LanSecS?内网安全管理系统主要性能指标如下： 1) 总控中心最大并发连接数：550
2) 总控中心最大可管理注册主机数量：50000台 3) 总控中心网络带宽占用：100K/1000客户端 4) 终端监控引擎CPU占用（静态模式）：< 1% 5) 终端监控引擎内存占用（静态模式）：8M
4.4. 自身安全性
LanSecS系统设计之初便对其自身安全性做了充分的考虑和技术处理，使得LanSecS系统的安全性得到了有效的保障。自身安全性主要考虑了如下几个方面的安全问题：
? 总控中心安全性：系统通过采用最小服务原则、系统管理控制、代理访
问认证等几个措施确保总控中心的安全运行。
? 终端监控引擎安全性：系统通过采用监控进程隐藏技术、本地文件访问
保护、多入口恢复技术及监控引擎完整性校验技术等确保终端监控引擎的安全运行。
? 数据库安全性：系统通过采用数据库访问控制、数据加密与数据备份等
措施确保数据库的安全运行。
? 策略安全性：系统通过策略订单生成控制、加密策略传递与存储、策略
完整性校验等措施确保策略的安全性
? 通讯安全性：系统通过采用加密传输、身份认证、本地安全存储等措施
确保终端监控引擎与总控中心之间的通讯的安全运行。
?版权所有 2001-2010 10/15
相关推荐：
loading