一、公司文檔安全防護(hù)的背景

在信息安全領(lǐng)域，文檔防護(hù)一直是研究的重點(diǎn)，特別是文檔透明加密技術(shù)，它意旨在不改變用戶操作習(xí)慣的前提下自動完成對文檔的加解密。實(shí)現(xiàn)穩(wěn)定、高效、安全的文檔防護(hù)系統(tǒng)是一個困難的問題，但它在網(wǎng)絡(luò)安全、信息保護(hù)領(lǐng)域有著廣泛應(yīng)用。該項(xiàng)技術(shù)難點(diǎn)不僅僅是透明防護(hù)，更重要的是防止文檔泄密。

目前國內(nèi)外針對文檔透明防護(hù)的方法主要有兩種，一種是基于API攔截的HOOK技術(shù)，另一種是基于IRP攔截的驅(qū)動技術(shù)。HOOK技術(shù)由于在應(yīng)用層實(shí)現(xiàn)，導(dǎo)致效率低下，并且以文件重入的方式容易使明文文件復(fù)制帶出；驅(qū)動技術(shù)也可分為清緩存和雙緩沖技術(shù)，清緩存技術(shù)在效率上低于雙緩沖技術(shù)，目前雙緩沖技術(shù)只存在于理論研究當(dāng)中，穩(wěn)定性和實(shí)用性難以保證，例如基于分層文件系統(tǒng)（Layer FSD）的雙緩沖技術(shù)存在文件清理和緩存同步難的問題，相比之下清緩存技術(shù)更加穩(wěn)定可靠，國內(nèi)很多商業(yè)應(yīng)用也是采用該方案。

但是僅僅對文件的透明防護(hù)是不夠的，這樣會使得透明防護(hù)失去意義且會影響系統(tǒng)效率，安全、穩(wěn)定的防泄密系統(tǒng)應(yīng)該綜合考慮在驅(qū)動層和應(yīng)用層可能產(chǎn)生的泄密情況并堵住泄密出口，將文件安全性放在首位，盡可能的防止重要數(shù)據(jù)泄漏，無論是對企業(yè)還是個人而言，機(jī)密信息泄漏造成的后果都是非常嚴(yán)重的。

國內(nèi)外目前的研究成果主要針對Windows文件系統(tǒng)實(shí)現(xiàn)，即使是一些號稱采用雙緩沖技術(shù)實(shí)現(xiàn)的價格也比較昂貴，只能算是理論研究系統(tǒng)，穩(wěn)定性和實(shí)用性難以保證。基于Linux環(huán)境實(shí)現(xiàn)透明加密的方案，該方案需要較多的修改Linux文件系統(tǒng)內(nèi)核源代碼并重新編譯，而且不適合主流操作系統(tǒng)。

大多采用Windows文件過濾驅(qū)動方式實(shí)現(xiàn)的方案都降低了文檔保護(hù)力度，更側(cè)重于透明防護(hù)并且未能更準(zhǔn)確實(shí)際的考慮泄密問題，比如透明防護(hù)時修改進(jìn)程名、明文文件不加密、后綴另存為或是數(shù)據(jù)復(fù)制的情況。一些方案或多或少堵住了其中一些途徑，但很難做到全面并且萬無一失。目前為止還沒有一種高效經(jīng)濟(jì)、安全穩(wěn)定、適于目前主流操作系統(tǒng)的文檔透明防泄密研究方案。

 二、大勢至企業(yè)文檔防泄密解決方案

雖然國內(nèi)目前主流的電腦文件防泄密系統(tǒng)紛紛采用基于IRP攔截的驅(qū)動級防護(hù)技術(shù)，但是基于API攔截的HOOK技術(shù)依然也不可或缺，尤其是針對用戶不可預(yù)知的電腦文件操作行為，這種情況下基于窗口攔截、進(jìn)程攔截和文檔描述攔截的HOOK技術(shù)就可以發(fā)揮重要作用。

大勢至企業(yè)文檔防泄密系統(tǒng)（下載地址：http://www.grabsun.com/monitorusb.html）基于IRP攔截的驅(qū)動技術(shù)和API攔截的HOOK技術(shù)相結(jié)合，在核心功能基于驅(qū)動防護(hù)的基礎(chǔ)上，配合API攔截的HOOK技術(shù)，可以為用戶進(jìn)行個性化的電腦文件防泄密功能進(jìn)行靈活擴(kuò)展，從而實(shí)現(xiàn)了更為全面的電腦文件防泄密管理。

圖：大勢至公司數(shù)據(jù)防泄密軟件

大勢至電腦文件防泄密系統(tǒng)具體功能如下：

1、  全面禁止U盤、禁用USB存儲設(shè)備的使用；
2、  只讓從U盤向電腦拷貝文件而禁止從電腦向U盤拷貝文件；
3、  只讓使用指定的U盤，只讓使用特定的USB存儲設(shè)備；
4、  禁止網(wǎng)盤、郵件、FTP文件上傳、禁止QQ發(fā)送文件、禁止微信發(fā)送文件、禁止skype文件上傳等；
5、  禁止電腦隨意安裝軟件、禁止隨意運(yùn)行軟件；
6、  只讓電腦訪問特定網(wǎng)址，禁止電腦訪問某些網(wǎng)站等；
7、  禁止開機(jī)按F8進(jìn)入安全模式、禁止U盤啟動電腦、禁止光驅(qū)啟動電腦等；
8、  禁止修改注冊表、禁止修改組策略、禁止打開設(shè)備管理器、禁止打開計(jì)算機(jī)管理等；

同時，大勢至電腦文件防泄密系統(tǒng)還可以禁用無線網(wǎng)卡、禁用隨身wifi、禁止電腦共享文件、禁止網(wǎng)線直連拷貝電腦文件的行為等，可以嚴(yán)防通過各種途徑泄密電腦文件，全面保護(hù)電腦文件安全。

此外，大勢至公司數(shù)據(jù)防泄密系統(tǒng)集成了全面的個性化設(shè)置接口，可以讓網(wǎng)絡(luò)管理員人員隨時進(jìn)行個性化的電腦文件安全保護(hù)功能設(shè)置，從而可以實(shí)現(xiàn)動態(tài)的、實(shí)時的和個性化的電腦文件防泄密管理功能，真正幫助企業(yè)實(shí)現(xiàn)電腦文件安全管理、防止商業(yè)機(jī)密泄露的最終目的。