信息安全技术主机信息泄露防护产品安全技术要求.ppt.pptVIP

* * 标准内容 自身安全功能要求等级划分 自身安全功能要求 第一级 第二级 第三级 组件安全 自身保护功能 * * * 防止非授权监控 * * 远程必威体育官网网址传输 * * 集中分组管理 * * * 审计数据续传 * * * 安全管理 标识与鉴别 * ** ** 安全管理功能 * * * 区分安全管理角色 * ** 远程管理 * ** 审计功能 审计日志生成 * ** ** 审计日志存储 * ** ** 审计日志管理 * ** ** 系统报警 报警事件类型 * ** *** 报警消息 * ** ** 报警方式 * * * 谢 谢 qi@ * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * 信息安全技术 主机信息泄露防护产品 安全技术要求 吴其聪 公安部信息安全产品检测中心 公安部计算机信息系统安全产品质量监督检验中心 背景 十年防泄路 2000年开始办公自动化日益普及 文件加密产品井喷式增长 糟糕的用户体验 全局的信息泄露防护需求 背景 云时代“防泄”依旧是大课题 数据泄露是企业安全威胁的头号障碍 “内忧”远胜于“外患” 背景 防泄密类软件的迅速发展 主要以安全审计为主的防护产品 主要以透明技术体系为基础的防护产品 主要依托安全审计、访问控制、监控等综合技术的防 护产品 目的 转变有需求没有标准的尴尬局面 规范防信息泄露产品的设计以及生产 前期调研 内网安全隐患分析 无限制的信息共享与传递 传统防护手段的缺陷 2. 内网系统信息泄露途径和方式 前期调研 内网系统信息泄露途径 信息泄露方式 计算机网络化造成的信息泄露 文件共享；互联网应用服务，如电子邮 件、MSN、 FTP等 计算机外设接口造成的 USB口、 1394口、串口、并口等 计算机存储介质、媒体造成的信息泄露 移动硬盘、U盘、光盘等 计算机打印机、显示器造成的信息泄露 屏幕照相、打印机打印文件 其它途径泄密 由工作人员由于必威体育官网网址意识不强而造成的无意识泄密 前期调研 3. 传统主机信息泄露防护手段的缺陷 没有有效的预防和检查机制 强制的管理方法，不便于管理 解决方法不完善，存在诸多隐患 前期调研 4. 主机信息泄露防护产品的功能需求 网络失泄露防护 计算机外部接口失泄露防护 移动存储介质失泄露防护 打印机失泄露防护 前期调研 5. 主机信息泄露防护产品的安全管理体系 前期调研 6. 防信息泄露产品的标准化分析 简要工作过程 2007年6月，在前期工作积累的基础上，组织有关人员成立项目课题 组，进行分工调研； 2007年7月，汇总调研成果，完成技术报告； 2007年8月，在技术报告的基础上完成《标准》草案； 2007年9月，编制完成《标准》征求意见稿； 2007年11月，处理《标准》征求意见稿的基础上编制《标准》送审 稿； 2007年12月，召开《标准》送审稿送审会议； 2008年1-2月，处理《标准》送审稿的基础上编制《标准》报批稿； 2008年3-5月，根据标委会要求召开《标准》报批稿审查会； 2008年6月前，处理《标准》审查意见，形成最终稿，报标委会。 产品对应类别 编制原则 1）实用性原则 2）多层次原则 3）兼容性原则 4）前瞻性原则 标准内容 主机信息泄露防护产品的定义 对主机信息的泄露输出途径（包括存储介质方式、接口方式、网络通讯方式、打印输出方式）进行监控，通过访问控制和审计等技术手段，防止敏感信息被泄露的产品。 标准内容 标准要求 安全功能：存储介质方式泄露防护、接口方式泄露防护、网络通 讯方式泄露防护、打印输出方式泄露防护、支持默认禁 止原则 自身安全功能：组件安全、安全管理、审计功能、报警 安全保证要求：配置管理、交付与运行、开发、指导性文档、 生命周期支持、测试和脆弱性分析保证 标准内容 安全功能要求 存储介质方式泄露防护 标准内容 安全功能要求 接口方式泄露防护 标准内容 安全功能要求