天榕DLP解决方案助制造行业加强APT攻击防护

一. 制造行业DLP项目的驱动力

制造行业的核心竞争力就是知识产权，一张设计图就可以决定公司的盈亏。三一与中联的案例每天都会在国内上演，信息保护法律相对滞后的大环境下，推进DLP项目便成了制造行业保护核心竞争力的最主要的驱动力了。

各种窃取手段当中，最难防的就是最近曝光度很高的APT攻击。但制造业在这方面有个先天优势，即可以用最直截了当的方式来防止APT攻击，不用像其它行业那样，上加密产品还要遮遮掩掩。因此，制造行业最有效防止APT攻击一般都是直接考虑加密产品，因为制造业耗不起长时间的取证、诉讼的漫长过程。

二. 数据防泄密需求

2.1 加密需求

1. 信息加解密必须是强制的;

2. 不改变用户的使用习惯;

3. 文件的解密工作可由用户提出，并按照内部的工作习惯进行流程审批;

4. 转换授权后的文档具有使用时限、浏览次数等控制;

5. 在特殊情况下，计算机能够脱离网络环境使用，同时保证信息安全性;

6. 计算机离线能够由用户提出申请，按照内部的工作习惯进行流程审批;

7. 受保护的文档只能在公司内部流传，即使泄露出去，对方也无法打开 ;

8. 保证中高层领导可以对私人文档进行控制;

9. 防止员工通过截屏、修改后缀名等方式绕过防护;

10. 分公司的架构要满足;

11. 支持制造行业软件和应用系统。

三. 解决方案

3.1 总体设计

根据某公司的数据安全需求，在总部部署总控制台和子系统，在各分公司部署子系统。总体设计如下图所示：

各公司的终端用户都接入到各自的子系统中，各子系统全部接入总部的总控制台中，各公司管理员通过统一的入口访问总控制台来管理各公司的客户端。

3.1.1 总部和分公司架构

考虑到各分公司实际客户端的数量，有些分公司客户数比较小，在带宽允许的情况下，客户端可直接接入总部，由总部统一管理。分公司客户数大的，需要建设子系统。下图为总部和分公司之间系统的架构图：

各服务器及设备作用如下：

总控制台：系统管理员统一登录的入口，各分公司管理员登录后，按自身的级别和权限显示可管理的范围及权限，如武汉分公司的管理员登录后，只能管理武汉分公司的客户端，假如该管理员没有日志管理权限，那么他不会查看到日志及报表;

AD服务器：该服务器为企业已有的AD服务器(假设有)，可以考虑天榕的用户信息集成AD域的用户，实现单点登录。也可支持LDAP系统;

认证服务器：负责接入客户端及身份认证;

FTP服务器：负责存储客户端供升级或安装，接收并存储被解密的原文件，供信息审计部门审核;

日志服务器：接入客户端的操作日志及管理员的操作日志，供信息审计部门审核;

Oracle数据库(运行数据和日志数据)：存储运行数据和日志数据的服务器，分开部署的好处是增加高可用性(日志数据出现问题不会影响系统运行);

负载均衡设备：为认证服务器提供负载均衡服务，保证系统的高可用性;

总部和分公司的架构：

◆总部有子系统和总控制台，总部的子系统与总控制台共用一套数据库，数据库存储全公司的数据;

◆总部数据库支持集群架构，可按实际客户数计划部署方案;

◆全公司客户端的组织结构分配、策略分发、后台服务器设置、日志查询、报表生成、客户端管理等功能都在总控制台上完成;

◆总部互联网区域为DMZ区部署的服务器组，负责接入总部地区的外网客户端，此架构可按实际需要部署;

◆分公司子系统中有认证服务器、日志服务器、FTP服务器及数据库服务器，负责分公司的客户端升级及下发、客户端的接入、日志的记录;

◆分公司的数据库可定时同步到总部的数据库中;

◆分公司互联网区域为DMZ区部署的服务器组，负责接入分公司地区的外网客户端，此架构可按实际需要部署。

3.1.2 用户认证设计

天榕提供三种用户认证模式，具体如下：

◆硬件ID方式：天榕客户端安装时取计算机的硬件ID，作为用户认证的标识，如果管理员确认是本公司内的计算机，可以选择允许接入，否则不能接入系统;

◆集成内部AD或LDAP账户：天榕服务端直接取AD或LDAP服务器的账户信息，合法的内部用户才能接入使用;

◆令牌模式：使用令牌(usb-key)作为用户唯一身份识别，插入令牌并输入正确的密码才能通过身份认证，接入使用。

3.1.3 信息审计设计

1.1.1.1. 角色的职责和权限

对于属于制造行业所有的电子文档，设立以下管理角色，具体职责和权限如下：

3.2. 数据安全策略

这个地方我以一个制造客户的部分安全策略案例提供数据安全策略的建议。

各部门及每个岗位制定如下安全策略(仅以Office和PDF为例，实际项目中会有非常多的专业软件)：