Vontu DLP数据防泄漏方案模版

XX移动

数据防泄漏解决方案

赛门铁克软件（北京）有限公司

2008年11月

数据防泄漏方案

目 录

第1章 设计思路 ................................................................................................................................. 1 1.1 1.2 1.3 1.4

什么是数据防泄漏 ................................................................................................................. 1 机密信息的划分标准 ............................................................................................................. 1 全面的多层次防护 ................................................................................................................. 2 首要解决大概率事件 ............................................................................................................. 4

第2章 数据防泄露技术介绍 ............................................................................................................. 5 2.1 2.2

概述 ......................................................................................................................................... 5 产品功能模块介绍 ................................................................................................................. 5

第3章 数据防泄漏技术实现 ............................................................................................................. 8 3.1 3.2 3.3

定义企业机密信息：如何建立机密信息样本库 .................................................................. 8 制定监视和防护策略 ........................................................................................................... 12 部署监视防护策略，检测敏感数据 .................................................................................... 13

3.3.1 3.3.2 3.3.3

网络 DLP ..................................................................................................................... 14 端点DLP ...................................................................................................................... 18 存储DLP ...................................................................................................................... 23

附录一：VONTU DLP支持的文件类型 ............................................................................................ 29

I

数据防泄漏方案

第1章 设计思路

1.1 什么是数据防泄漏

对企业而言，在面临来自外部的病毒、木马、网络攻击等种种网络安全威胁时，来自内部的数据泄露或许是一个更需要重视的问题。无论企业处于何种规模，都存在数据泄密的风险，而这些风险将会让企业面临安全、知识产权、财产、隐私和法规遵从方面的威胁。在这些数据泄露情况中，大部分情况下都是员工在无意中泄露出去的，但还有一些则是由员工有意为之。一个使用没有安全防护的笔记本电脑的移动办公人员，可能有意或无意地通过无线网络泄漏公司机密信息。与此同时，大量支持USB连接的设备不断涌现，也使得企业的机密信息很可能便被装进U盘或者移动硬盘等方便地带走。当发生数据泄密时，在安全专家忙于恢复敏感数据和修补泄密漏洞期间，企业的时间、资金和声誉都会遭受到严重的威胁。企业安全专家总处于一场没有终点的战争中：当原来的泄密漏洞刚刚得到控制，新的数据泄密情况却又伴随着其他众多设备的使用而频繁出现。

企业信息化目的是为了信息和数据的共享，而数据的生命周期中包括存储（生成数据的服务器和存储设备）、使用（数据的使用者对数据进行操作）和传输（数据从一个地点传送到到另外一个地点）三个基本的生命过程。

数据防泄漏就是要保护企业的机密信息不被非法的存储、使用和传输。

1.2 机密信息的划分标准

显然，如果对企业内各种各样的海量数据全部进行同样级别的保护，等于没有任何保护。因此数据防泄漏的一个基本点是确定信息的机密性分类。对于可以完全对外公开的数据，不需要任何的信息防泄漏防护措施；对于关系到企业生存、发展、声誉的重要数据，应当严格控制其存储位置，使用方式和传输方式。

如何对信息进行机密性的分类呢？最根本思想的是依据信息的内容来判断其机密性级别。信息的所有者（如业务人员）可以根据个人或者企业的相关规范理解自己创建的信息内容的机密性级别。至于如何操作，实现方式包括以下两种：

- 1 -

数据防泄漏方案

1. 基于权限。信息所有者对信息载体（数据库或者文件）进行权限设定，

即什么样的人可以访问什么样的信息。这是一种最直观的信息保护模型，但是其实践和操作具有很大的局限性。首先，被保护的对象不是数据的内容，而是数据的载体，因此一旦载体发生变化，原有的权限设定和控制就失去效力。比如，从数据库查询到信息存成文件格式，则对数据库表的权限设置即失去意义。另外，当把文件中的某些关键信息拷贝粘贴到其他文档，或者转换成其他格式，对于原有文件的权限设定也同样失去防护意义。其次，权限设定在操作中将极大地影响现有的工作流程管理和用户使用习惯。显然，越大型的网络环境复杂度将呈现指数型上升，这也是基于数字权限的防护技术一直不能在市场上大规模应用的主要原因。特别是对于非结构数据，如文件，设想一下，对不计其数的文件进行权限的管理，为每个文件设定可以访问、阅读、修改等权限，最终用户和管理员将不堪负重。最后，并不是所有的文件类型都可以象pdf文档一样进行权限设定，因此为了保证有效性经常需要进行格式转换，这又带了了转化后数据无法逆转，格式失真，用户使用习惯更改等更多问题。

2. 基于内容。显然，信息防泄漏关注的根本在于信息的内容。基于内容的

机密信息分级将大大地减少管理实施难度，确保防护的有效性。管理员只需要知道我们的机密信息应当存储在数据库的那个表中，或者服务器上的哪个目录下，就可以完成对信息机密性级别的定义。显然，信息的所有者很容易提供以上信息，并且无需费神去设定权限。一旦确定了机密信息的存储位置，则可以自动地建立机密信息样本数据库，进而在存储、网络、终端各个层面发现机密信息泄漏事件。

1.3 全面的多层次防护

信息防泄漏不是单独地依靠一种产品或者一种技术就可以完善解决的任务，必须建立全面的多层次防护体系，并辅以适当的管理、流程和培训，才能确保我们实现数据防护的目标。从防护层次上包括IT基础架构安全、数据安全、安全

- 2 -

数据防泄漏方案

管理三个方面：

? IT基础架构安全防护

IT基础架构安全包括网络、服务器和终端的安全。

对于大型网络首先要划分安全域，在安全域之间的边界实施监视和访问控制，做到看得见、管得着。细粒度的网络访问权限控制 …… 此处隐藏：2907字，全部文档内容请下载后查看。喜欢就下载吧 ……