更新历史

2013-11-06，v1.0，创建文档

DLP企业

国内有哪些防泄密DLP厂商，各家的优势是什么？

国内的防泄密厂商很多，但良莠不齐，这里先列举部份主流厂商，欢迎朋友们补充：

大成天下：http://www.unnoo.com/
亿赛通科技：http://www.esafenet.com/
前沿科技：http://www.drm.net.cn/
思智泰克：http://www.sagetech.com.cn/
明朝万达：http://www.wonder-soft.cn/

国外有哪些防泄密（DLP）厂商，各自有什么优缺点？

国外主要有以下DLP大厂：

symantec:http://www.symantec.com/business/products/family.jsp?familyid=data-loss-prevention
trendmicro:http://us.trendmicro.com/us/products/enterprise/data-loss-prevention/index.html
mcafee:http://www.mcafee.com/us/enterprise/products/data_protection/index.html
CA:http://www.ca.com/us/products/product.aspx?id=8299
microsoft:http://www.microsoft.com/windowsserver2003/technologies/rightsmgmt/default.mspx

DLP是什么意思？

在信息安全领域，DLP是英文Data Loss Prevention（数据丢失防护）的缩写，有时也被称为Data Leak Prevention（数据泄露防护）或Information leakage prevention（信息泄漏防护），在中国，也往往被称为“防泄密系统”。

我们对防泄密（DLP）系统的定义是：用于防止数据信息被非授权获取与传播的计算机软硬件系统。

数据信息有三种“状态”，即使用中（data in use）、传输中（data in motion）与存储中（data at rest），在这三种状态下，也各有不同的“泄密场景”，例如：

1、使用中 a.操作失误导致技术数据泄漏或损坏； b.通过打印、剪切、复制、粘贴、另存为、重命名等操作泄漏数据。

2、传输中 a.通过email、QQ、MSN等网络工具传输机密资料； b.通过网络监听、拦截等方式篡改、伪造传输数据。

3、存储中 a.数据中心、服务器、数据库的数据被随意下载、共享泄漏； b.离职人员通过U盘、CD/DVD、移动硬盘随意拷走机密资料； c.移动笔记本被盗、丢失或维修造成数据泄漏。

这些场景都在防泄密（DLP）系统的管理范围内。

刚刚有客户问到CheckPoint的PointSec，是否能介绍一下这个产品？

Pointsec原来是一家瑞典企业，从事PC、笔记本电脑、PDA和智能手机的数据安全业务，在2006年被CheckPoint收购，当时CheckPoint发布的新闻参见： http://www.checkpoint.com/press/2006/pointsec112006.html

目前可以通过以下链接访问Pointsec产品的信息： http://www.checkpoint.com/pointsec/

什么是Metadata？

从字面意思看，Metadata是“元数据”的意思。但在信息安全领域，Metadata指的是在文件（通常有文档、电子表格、电子幻灯、音乐、照片、视频等）中存放的隐私信息。

这些信息可能包括了：作者、文件创建或修改的时间、文件的版本信息、注释等，对照片来说，还可能包括了照片的拍摄地点、拍摄时间、拍摄时的光圈快门等技术参数信息。

但对普通计算机用户来说，这些信息是不可见，也不容易被删除的，因此很容易由此造成隐私的泄露。

在哪里能看到最新的泄密事件发生趋势？

在DataLossDB，你可以找到一些公开的泄密案例信息： http://datalossdb.org/

该网站还对数据进行了分类，并按年度进行统计，从中可以有效发现泄密事件发生的趋势。

文件发给合作伙伴后，能防止他们进一步复制与传播吗？

在防泄密厂商的产品中，有两种方式可以防止文件被进一步复制与传播：

1、改变文档格式，用专用阅读器打开，并加上安全控制措施。ADOBE PDF、TSP文件锁等产品就是通过这种方式实现的；

2、不改变文档格式，但需要用专用“外壳程序”打开，铁卷密信是通过这种方式实现的。

防泄密软件究竟能否真正做到对程序源代码进行加密？

我们认为，在目前的技术实现中： 1、试图用常规的“透明加解密软件”对付有经验的程序员，是“不可能完成的任务”； 2、使用桌面虚拟化技术，代码全在远程，才有可能做到对程序源码的“完美加密”。

为什么说常规的透明加解密软件无法对程序源代码完美加密呢？原因简述如下：

因为应用程序最终需要被编译为exe/dll并发布，而exe/dll与doc的区别在于，exe/dll需要被运行和调试。

如果允许exe以明文状态存在，那么程序员就能把源代码作为资源，嵌入编译后的exe里，然后导出成明文。

如果exe在正式发布前以密文形式存在，那么一般的透明加解密产品恐怕没法通过配置策略满足这个需求。因为这些产品都是以访问文件的进程类型来判断是否解密的。访问exe的是它的父进程和它自己，访问dll的是加载它的进程。这些进程的类型是多变的，很难用规则准确匹配。

退一步说，如果通过改进产品满足了上述匹配，对进程本身来说，自己就是明文可读的。于是就无法防止exe运行时把程序员隐藏在资源中的源代码通过网络传递出去，尤其是当前开发的正是一个网络程序（比如QQ）的时候。

防泄密产品与防火墙、入侵检测、上网行为管理等安全产品有什么不同？

防泄密产品与防火墙、入侵检测、上网行为管理等安全产品的不同点——有许许多多，最直接的——产品名称就不同嘛 :)

如果用一幢大楼来做比喻，那么：

防火墙相当于门卫，判断是否让人进入楼宇；入侵检测相当于走道里摄像头，监控外来人员的可疑行为；上网行为管理则相当于办公室里的摄像头，监控内部人员的可疑行为；

而防泄密产品，则是：

1、对贵重物品（文件）做了标签，如果想要带离大楼，就会报警； 2、给贵重物品（文件）上了锁，即使被人偷走了，盗贼也无法打开；

从另一方面说，加密类的防泄密产品，着眼在“根本”，将最核心的数据做了加密保护——这可以说是信息安全的最后一道防线。

安装防泄密产品前产生的文件，怎样做才能保证其安全？

一般的防泄密软件，除了保护“安装后”产生的文档之外，也普遍可以对安装前的机器文档进行全盘加密——也就是对整个磁盘中的特定类型文档（如doc、xls、dwg等）进行检索，找到后就执行加密操作。

因此您可以根据选择产品的不同，在各个软件中寻找“全盘加密”相关的配置参数。

有多个分支机构的企业，应该怎样部署防泄密产品？

有多个分支机构的企业，防泄密产品的部署通常有以下几种方式：

1、通过ADSL或VPN连接总部的小型分支机构，可以无需部署服务器，直接连接总部的防泄密服务器； 2、对于大型分支机构，担心远程网络连接的带宽不足，可以考虑在每个分支机构部署一台服务器，并设置数据库与总部的主服务器保持策略、用户、日志的同步即可； 3、网络质量很差的小型分支机构，总部如果对日志没有实时性要求，则可以直接在分支机构部署一台“采用同样密钥”的服务器，总部定期进行日志审计工作。

对电脑中的文件进行全盘加密，效率如何，会不会影响使用？

一般防泄密产品都有全盘加密功能，但是在全盘扫描、加密的时候，通常占用系统资源会比较大，一来要检索出特定后缀、特定格式的文档，二来要对这些文档执行一次加密操作。CPU与磁盘、内存占用都会较大——通常比防病毒产品的全盘病毒扫描要多占用5-10%的系统资源。

因此较为优秀的产品都会有更体贴的设置。例如铁卷的全盘加密，可以做到：

1、在系统空闲的时候（无人操作时）执行扫描与加密动作； 2、记录断点，如果某次加密到一半就关机，重起后能从断点继续工作。

有哪些流行的防泄密技术，各有哪些利弊？

在我看来，当前防泄密产品、技术有五种主流的技术实现：

1、设备控制管理 2、加密 3、DRM（数字权限管理） 4、DLP（数据鉴别+网关阻断） 5、桌面虚拟化

其中加密又分为三种：

1、文件主动加密 2、文件透明加密 3、磁盘加密

保护源代码用哪类产品比较合适？

目前市场上的“透明加密产品”，包括铁卷在内，能保护源代码，但是：

对客户端代码（如C++），都避免不了两个问题：

1、编译效率问题； 2、各种绕过手段问题；

对服务器端执行的代码，则容易遇到的问题是，代码在服务器端实际使用时还是明文，运维等人员都能直接拷走。

要保护源代码，目前常用的方案还是两种：

1、“瘦客户端”方式，代码、编译都在服务器端； 2、封堵方式，网络隔离、各种接口（如U盘、网络、蓝牙等）受限使用。

« 首页