18884853001
中安网脉移动存储介质管理方案
企业移动存储介质使用管理方案
一、概要
近年来，移动存储介质作为一种方便、流行的存储介质，其应用越来越广泛。通过移动存储介质而发生的资料丢失、泄密等安全事件越来越多，移动存储介质的使用安全已经成为信息安全研究领域的一个急需解决的问题。防火墙、IDS、内外网隔离以及其他针对外部网络的访问控制系统，可有效防范来自网络外部的进攻，但对于单位内部的信息保密问题，却一直没有好的防范方法，内部人员可以轻松地将计算机中的机密信息通过网络、存储介质和打印等方式泄露出去，一旦这些敏感信息、重要数据等流失出去，将给国家、企事业单位造成重大损失。美国CSI/FBI的调查结果显示，企业和政府机构因重要信息被窃所造成的损失超过病毒感染和黑客攻击所造成的损失，80%以上的安全威胁来自内部，而内部安全威胁中一个最容易出问题的地方就是移动存储介质的安全使用和管理问题。
去年，由解放军总参谋部牵头组织的涉密单位保密大检查中，暴露问题最多的是移动存储介质的安全使用和管理问题，包括移动存储导致信息泄漏、交叉使用、病毒木马传播等。多样化的U盘、移动硬盘、手机/MP3/MP4、CF/MD/SD卡、数码相机以及各类Flash Disk等移动存储介质容量越来越大，体积越来越小，携带使用方便，这类移动存储介质为信息传递带来便捷的同时，也给信息安全保密工作带来严重的威胁。
**企业信息系统作为国家重要的涉密网络，随着国家等级保护制度和涉密分级保护制的开展，要求加强**企业的信息安全保障工作。**企业涉密网有必要进行全面的信息系统安全建设，并根据国家涉密分级保护制度的基本要求为标准，结合其网络运维管理和信息安全管理的实际问题，建议**企业把单位内部所有移动存储介质进行有效地管理，同时根据保密要求以及管理制度的基本要求为标准建立全面的信息安全体系。
二、移动存储介质管理面临的难题
U盘、移动硬盘、手机、数码相机、摄像机、iPod、MP3/MP4、PDA、各种CF/MD/SD/Flash Disk等移动存储介质由于使用灵活、携带方便，迅速得到普及；而且其储存容量也越来越大，体积越来越小，形态越来越隐蔽，难于识别和管理。
根据对U盘、手机、iPod、MP3/MP4、PDA等典型USB设备的产品销售进行的测算，当前全球使用中的各类移动存储介质超过20亿个。
U盘在带来使用便利性的同时，也带来了非常多的安全问题：
2.1、交叉使用
由于普通U盘本身可以在任意计算机进行使用，因此有意无意地将涉密U盘插入非涉密计算机、或者有意无意地将非涉密U
盘插入涉密计算机的违规事件时有发生。一旦发生交叉使用的违规事件，就极有可能造成机密文件被非法拷贝出去，造成泄密。
2.2、无法审计
U盘的使用者将U盘带出外部后，即使进行违规操作，也无法有效审计和取证。
2.3、木马摆渡
通过U盘，木马摆渡可突破“物理隔离”，在与Internet隔离的网络上，木马先将文件拷贝到U盘。一旦该U盘插入到其他能够连接Internet的计算机时，该U盘就会将拷贝出来的文件通过Internet发送出去。
2.4、病毒传播
染毒的计算机会将病毒感染到U盘，一旦带毒U盘插入其他计算机，会造成计算机感染病毒。如此反复会造成计算机和U盘的循环交叉感染，难以清除，病毒经常死灰复燃。根据目前的统计数据，U盘已经成为Internet之后的第2大病毒传播途径。
2.5、丢失被盗
如果U盘丢失、被盗，其保存的敏感信息将会丢失，造成信息泄密。
2.6、通过虚拟机软件使用U盘
在计算机（主机）上安装VMWare等虚拟机系统软件后，插入计算机的U盘可以在虚拟机中进行操作。使用者可以将计算机主机中的文件拷贝到虚拟机，然后从虚拟机中拷贝到U盘，从而使得U盘的使用更加隐蔽，甚至可突破常规的U盘管理系统的管理。
2.7、通过手机同步软件使用手机窃取文件
某些类型的手机可以在计算机上安装特定的同步软件。通过同步软件，手机不再是以U盘盘符出现，而是表现为在手机同步软件中的特殊文件夹，通过对此特殊文件夹的操作，使用者就能在计算机和手机之间进行数据交换，从而使对手机的管理更加困难，甚至可突破常规的U盘管理系统的管理。
由于上述问题的普遍存在，移动存储介质的滥用成为了目前信息系统中最为突出的一个漏洞，并造成了许多后果极其严重的危害。
三、**企业需求分析
据了解，**企业办公网络分内网和外网，加强内网USB移动存储介质的管理，具体需求和解决方法如下表：
序号 | **企业需求 | 中安网脉解决方法 |
1 | 要求对内外网计算机全部部署移动存储介质管理软件，对人员使用移动存储加以监管。 | 中安网脉GM-SMP-U移动存储介质管理系统将在**企业内外网计算机全面部署客户端，对人员使用U盘进行实名登记，且U盘具有唯一ID号，具有无法抵赖性。 |
2 | 要求内网专用U盘在外网无法使用；且U盘登陆具有身份认证功能。其他U盘在内部均不允许使用。 | 中安网脉GM-SMP-U移动存储介质管理系统能对所有的专用U盘进行使用范围划分，实现内外网U盘无法混用。所有的保密U盘登陆均具有强密码身份认证功能，增强保密性。未经过系统认证的U盘均无法使用。 |
3 | 对计算机不安全的设备端口具有关闭功能。针对内网与外网的数据交换提供全面解决方案； | 中安网脉GM-SMP-U移动存储介质管理系统能将计算机系统的设备端口进行强制关闭；规定在外网计算机的数据导入到内网计算机时，使用单向导入安全U盘。单向导入U盘在外网计算机正常使用，在内网计算机上为只读不可写，即只能将U盘数据导入到计算机，而无法将计算机数据导入到U盘中； |
4 | 保密U盘具有日志审计功能，对非法接入连接互联网应具有告警功能。 | 中安网脉GM-SMP-U移动存储介质管理系统不但能记录计算机U盘的使用和具体操作的记录，而且保密U盘本身具有日志审计功能，对U盘在不同机器的使用加以监控审计。对保密U盘违规连接互联网进行告警提示并将告警信息发送到告警中心，管理员及时了解情况！ |
四、中安网脉移动存储介质管理系统解决方案
针对当前U盘使用过程中所暴露出来的问题，很多单位都制定出相应的管理制度，但是问题仍然经常发生，所以仅仅强调行政制度，加强对保密意识的宣导，并不能完全保障U盘使用的安全。但是另一方面，如果因此而完全禁止U盘的使用，则会因噎废食，与信息化大潮背道而驰。因此必须采取必要的技术手段来协助管理，使得U盘既能保持使用上的灵活方便性，同时也能保障使用上的安全性，满足保密要求。
中安网脉秉着“国家兴旺，匹夫有责；迈向强盛，科技为先”的企业价值灵魂，经过多年与部队、军工企业和党政机关保密办及信息中心的充分接触沟通，充分理解相关单位的保密要求和目前存在的困境，凭借自身技术优势和对用户需求的充分理解，结合《中共中央保密委员会办公室、国家保密局关于国家秘密载体保密管理的规定》、《关于加强党政机关计算机信息系统安全和保密管理的若干规定》以及各个省国家保密局有关《涉密计算机及移动存储介质保密管理规定》的有关精神，并根据**企业计算机网络的实际情况，向**企业推荐中安网脉GM-SMP-U移动存储介质管理系统解决方案书。
4.1、方案设计原则
**企业已经建设了一个比较成熟的计算机信息网络，并初步建立了计算机信息安全保护体系，但对于具体的信息安全与信息保护工作，还需要进一步采取技术措施和管理手段来加以完善。
本方案针对**企业网络及信息安全保密需要，建议**企业以行政管理制度与技术管理手段相结合，二者相辅相成，一方面提高安全与保密意识，一方面规范安全操作行为，最终达到“未经授权进不来，进来之后看不到，看到了拿不走，拿走了看不了”的效果。
本方案根据BMB17-2006《涉及国家秘密的信息系统分级保护技术要求》的指引，综合考虑**企业网络现状和信息安全与信息保护目标需要，参考并遵循《信息系统安全分级保护基本要求》、《信息系统安全分级保护实施指南》以及《ISO17799：信息安全管理实施指南》的具体要求，按照如下四大设计原则进行整体规划：
4.1.1、合规性原则
方案的整体保护效果应能符合国家法规和文件以及国家保密标准的判定要求，保障**企业的信息安全，从物理安全、网络安全、主机系统安全、应用安全、数据安全五大方面全面满足安全技术测评的合规性。
建设参照标准
Ø 国家法规和文件
1.《中华人民共和国保守国家秘密法》
2.《中共中央关于加强新形势下保密工作的决定》（中发〔1997〕16号）
3.《计算机信息系统保密管理暂行规定》（国保发〔1998〕1号）
4.《涉及国家秘密的通信、办公自动化和计算机信息系统审批暂行办法》（中保办发〔1998〕6号）
5.《关于加强政府上网信息保密管理的通知》（国保发〔1999〕4号）
6.《关于加强高技术条件下保密工作的意见》（中保发〔1999〕7号）
7.《计算机信息系统国际联网保密管理规定》（国保发〔1999〕10号）
8.《关于加强计算机信息网络保密管理的通知》（中保委发[2002]4号）
9.《国家信息化领导小组关于我国电子政务建设指导意见》（中办发[2002]17号）
10.《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）
11.《关于信息安全等级保护工作的实施意见》（公通字[2004]66号）
12.《关于加强信息安全保障工作中保密管理的若干意见》（中保委发〔2004〕7号）
13.《涉及国家秘密的信息系统分级保护管理办法》（国保发〔2005〕16号）
14.《电子政务信息安全等级保护实施指南（试行）》（国务院信息化工作办公室2005年9月）
15.《国家信息化领导小组关于推进国家电子政务网络建设的意见》（中办发〔2006〕18号）
16.《中央企业全面风险管理指引》（国资发改革〔2006〕108号）
17.《关于加强党政机关计算机信息系统安全和保密管理的若干规定》（国保发〔2007〕13号）
18.《信息安全等级保护管理办法》（公通字〔2007〕43号）
19.《中共中央保密委员会办公室、国家保密局关于国家秘密载体保密管理规定》（厅字[2000]58号）
20. 各级保密局关于涉密移动存储介质安全保密专项检查办法
Ø 国家保密标准
1. ISO27001：2005《信息安全管理体系要求》
2. ISO17799：2005《信息安全管理实施指南》
3. MSTL_JGF_04-010 0101-2006《信息安全技术-访问控制产品检验规范》
4. MSTL_JGF_04-012 0101-2006《信息安全技术-非授权外联监测产品检验规范》
5. GJB 1295-91 《军队通用计算机系统使用安全要求》
6. GB17859-1999《计算机信息系统安全保护等级划分准则》
7. BMB15-2004《涉及国家秘密的信息系统安全审计产品技术要求》
8. BMZ1-2000《涉及国家秘密的计算机信息系统保密技术要求 》
9. BMZ2-2001《涉及国家秘密的计算机信息系统安全保密方案设计指南》
10. BMB17-2006《涉及国家秘密的信息系统分级保护技术要求》
11. BMB18-2006《涉及国家秘密的信息系统工程监理规范》
12. BMB20-2007《涉及国家秘密的信息系统分级保护管理规范》
13. BMS21-2007《涉及国家秘密的载体销毁与信息消除安全保密要求》
14. BMB22-2007《涉及国家秘密的信息系统分级保护测评指南》
15. BMB23-2008《涉及国家秘密的信息系统分级方案设计指南》
4.1.2、易用性原则
方案的实施、运行和维护应尽量简单，应尽量不影响现有网络拓扑结构和网络性能特点，对应的管理措施也应尽量简洁，应尽量少的需要专业人员参与日常运行维护，不增加或尽量少增加附加操作，以便提升管理效率。方案必须对管理起到推动、提升和促进作用，从安全管理机构、安全管理制度、人员安全管理、系统建设管理和系统维护管理五大方面全面满足安全管理测评的合规性。
4.1.3、整体性原则
方案的实施，应能有效防范当前网络安全的“短板”问题，从而提高整个系统的“安全低点”，有效防止系统当前最薄弱的环节发生问题，从而以相对最小的代价，获得相对最大的系统安全整体性能提升。
4.1.4、动态发展原则
方案系统应具备良好的扩展性能，能根据网络以及网络安全形势的变化，不断调整和完善安全措施，适应新的网络环境，应对未来的安全挑战，满足不断发展的网络安全需求。
4.2、GM-SMP-U移动存储介质管理系统的核心目标
GM-SMP-U移动存储介质管理系统是针对不连接互联网的内部网络，或者已经有一定安全防御措施的局域网提供的内网安全解决方案。
l 实现内网的集中式网络管理
l 通过不同的权限策略，达到分级别管理
l 严格控制和审计U盘、移动硬盘、手机存储、数码相机、MP3/MP4、各种CF/MD/SD卡以及各类Flash Disk等移动存储介质在内部的使用
l 严格控制了计算机周边端口设备的启用、禁用
l 主动防御U盘病毒
l 单位全网计算机的资产软硬件管理
4.3、GM-SMP-U移动存储介质管理系统的解决方案总体架构
4.4、移动存储使用控制
4.4.1、移动存储介质管理解决问题
² 本单位的移动存储介质不经允许不可以交叉使用（无使用权限）
4.4.2、外面的移动存储介质进不来
非本单位的涉密移动存储介质插入本单位计算机内网，完全不能使用。
4.4.3、单位内部的涉密移动存储介质不经授权出不去
GM-SMP-U移动存储介质管理系统提供两种U盘管理方式：安全U盘和普通U盘。
安全U盘管理：安全U盘是由我公司配备的专用U盘，具有“身份认证管理、授权管理、审计管理、违规外联告警、病毒防护”五大专项功能，安全性高，实用性强。
普通U盘管理：外网对普通U盘进行注册后，可控制U盘的使用范围，保护数据安全而不泄密；普通U盘管理方式具有通用性，但相对而言，没有安全U盘安全性高，审计功能相对没有安全U盘强大。
备注：根据**企业对U盘是高强度保密要求，内网统一使用安全性较高的保密U盘，将不允许使用普通U盘。