U2U型中間機

USB2文件流轉型中間機

本模式是打通擺渡中間機、內部流轉、內部存儲備份等幾個系統，提供了一套能夠的滿足政企內部的互通互聯、文件交互、轉發、審計多個需求完整方案。

由于模式一單純采用 U 盤作為數據擺渡介質，安全性雖然較高，但是沒有和內部公文流轉結合，便捷性低。我司推出了一套集中間機數據擺渡和內部文件流轉、存儲結合的完整解決方案，該方案在具備模式一的中間機本身特點外，還具有以下特點：

u 增加一套基于內部安全私有云盤和分布式存儲技術的文件流轉系統。

u 中間機和流轉服務器通過 VLan 劃分和捍衛者終端準接入技術保證中間機只能與流轉服務器做性鏈接。

u 中間機完成病毒查殺、數據格式屏蔽（比較禁止可執行文件上傳）、U 盤接入控制

（單雙向）。

u 敏感數據自動放入存儲隔離區（管理員審計后可以轉出）。

u 可以實現文件導入導出審計、內部共享設置、流轉過程審計。

方案中使用的產品和技術簡介

（一） 主機加固技術（中間機）：

中間機使用捍衛者加固技術如：進程白名單、網絡接入外聯、注冊表監控、外設和文件監控、敏感信息檢查、原生界面攔截等技術對中間機主機進行加固防護。

l 進程白名單：系統設定安全進程白名單，白名單以外進程無法再加固計算機內運行。可以有效防止病毒和木馬進程侵入系統。

l 網絡計入外聯控制：通過網絡過濾層技術和封包標簽審計等捍衛者特色技術，實現中間機限定只能和文件流轉服務器鏈接，中間機無法私接其他網絡和終端。

l 主機中的注冊表進行驅動級別的守護，禁止非法修改。

l 外接存儲介質和文件拷貝進行日志記錄和審計。

l 對交互文件進行全文檢索，發現包含敏感文字的文件進行阻斷和日志記錄。

l 阻止系統原生界面，用戶只能通過捍衛者提供的 UI 訪問本系統，阻斷非法操作。

l 插入維護用 Ukey，可以進入維護模式和原始 UI 進行系統維護。

（二） 捍衛者外設與移動存儲介質管理技術：

捍衛者終端安全與訪問控制--移動存儲及外設安全管理系統為終端計算機使用移動存儲設備提供了完整的安方案。實現了對 U 盤、移動硬盤、SD 卡等移動存儲設備的有效管理客戶和控制。既保證了移動存儲設備的安全使用，又避免了移動存儲設備隨意使用造成的信息外泄風險。

移動存儲及外設安全管理系統提供計算機端口的安全管理、移動存儲設備的使用、內部安全 U 盤使用。

計算機端口安全管理，主要對 USB 端口和其他非常用端口進行安全管理。對 USB 端口

設置：禁用、只讀、開放三種模式，三種模式可以靈活使用，還可以對 USB 端口權限設置臨時開放或只讀，一定時間后自動禁用。其他非常用外設端口（如：光驅、本地連接、無線網卡、手機同步、藍牙等）設置：禁用、開放模式。

移動存儲設備使用，在終端計算機端口禁用/只讀管控狀態下，移動存儲及外設安全管理系統對的移動存儲設備，后的移動存儲設備得到權限，可以在認證的計算機上使用，未經過認證的移動存儲設備則是不可以使用的。

內部安全 U 盤使用，此為我公司研發的專屬 U 盤，通過特殊加密技術，實現專屬 U 盤可以在內部安全使用，在外部專屬 U 盤不可以使用的效果。

（三） 終端網絡認證與接入外聯控制技術

捍衛者準入控制系統，是解決企業內部終端計算機非法訪問外網或外部終端，外部終端非法訪問內部網絡或內部計算機終端的最完善的解決方案。采用底層安全控制技術，有效的隔離內部終端計算機訪問非法網絡和非法終端，屏蔽外部終端或外部網絡。同時還阻止內部終端通過私改 MAC 和 IP 非法訪問外部終端或網絡。

捍衛者準入控制系統的主要功能：

l 通過終端準入機制，建立可信網絡，為企業建立可信的網絡環境；

l 可信網絡內部終端通過認證，可以相互正常通信；非認證終端不可訪問可信終端；

l 建立網絡訪問控制機制，可信終端未經允許，不可訪問非認證網絡或終端；

l 捍衛者準入控制系統低成本實現內外網軟件隔離和內網準入信息安全防護，防止外部終端因為非法接入、內部終端非法外聯導致。

（四） 登錄管理控制

通過特殊電子鑰匙 USB KEY(簡稱 Ukey)實現對終端計算機的系統訪問控制。在沒有插入電子鑰匙 Ukey 的終端計算機上不能登陸操作系統，插入電子鑰匙 Ukey 狀態下終端計算機正常操作，拔出后鎖定計算機系統。可實現 1 對 1 或 1 對多綁定。

在本方案中主要用于維護模式的識別，控制。

（五） 進程白名單控制技術

通過驅動技術實現對系統進程的識別和阻斷放過。與殺軟配合更好的實現終端的安全防護。

（六） 捍衛者文件存儲與流轉控制系統

1) 文件的邏輯區分儲存：

將工作中所遇到的文件按其性質進行劃分，在我們日常辦公所使用的文件一般可以區分為以下幾個類別：

個人文件：根據個人喜好所書寫，下載，收集到的一些文件，例如：個人照片，音樂，小說，電影，工作計劃，學習計劃，自我成長類文件。

項目（團隊）文件：日常工作參與的項目文件，這類文件對項目很重要，需要經常與項目成員進行溝通協作，一般為工作類文件，文件類型根據工作性質而定；

部門文件：部門文件為部門成立后積累下來的文件，為部門知識文化傳承的必要手段，文件類型豐富。會根據部門大小，人員，地域等形式設置不同的訪問權限。

單位（共享）文件：一般可分類公開類型文件，或者必要的軟件安裝源文件，設計。

Logo 源文件等等可以被大家共有的文件，為了避免重復，統一使用文件。

2) 分布式文件系統，實現跨地域容災

分布式文件系統提供了：分布式文件存儲、文件同步、文件訪問（文件上傳、文件下載）這幾個基本功能，解決了大容量存儲和負載均衡的問題。文件系統主要有兩個角色：跟蹤器（tracker）和存儲節點（storage）。跟蹤器主要做調度工作，在訪問上起負載均衡的作用。

存儲節點存儲文件，完成文件管理的所有功能：存儲、同步和提供存取接口。

3) 對外高級安全控制

文件水印：通過對外鏈的文件生成水印，防止外網用戶分發截圖等方式傳播；

訪問白名單：通過 IP 等手段防止，限制使用設備（手機電腦等），來拒絕非意向用戶訪問；

4) 多人編輯與版本管理： 正常文件是無法進行多人編輯的，通過企業網盤，可以進行多人編輯。有些網盤會產生大量沖突版，以保證文件的安全性。捍衛者使用文件編輯鎖定機制，使文件打開被鎖定，其他人無法編輯此文件。保證版本的連續性和文件的安全性。

1) 文件預覽全格式支持

2) 日志與報表審計可以記錄查詢人員文件下載、上傳等信息記錄

自動根據人員動態，文件動態，系統運行狀態這些指標提供，周報，月報，排行榜等功能，讓管理員隨時知道系統的狀況。

3) 敏感字審計

發現敏感信息告警、隔離。