很多企业为了数据的安全,需要对外发文件进行管控。而手机、usb存储的广泛使用,使得外发文件的管控非常难以实现。在本文中,我将抛砖引玉,探讨外发文件管控的几种方式。外发文件的管控,需要考虑如下几个方面:
屏蔽通过网络外发文件
屏蔽蓝牙、usb等外设外发文件
文件加密
1. 屏蔽通过网络外发文件
人员可以通过邮件、QQ、微信、网盘、FTP等方式来外发文件,所以,要屏蔽通过网络外发文件,可以考虑如下几个方案:
a). 网站白名单,只允许访问工作需要的网站,其他一律禁止掉。这是最严格的限制方式。
b). 采用应用过滤,禁止掉所有的文件传输、网盘、邮件等。这个方案相对有效,但是不能排除通过未知的应用协议来传文件。
相关截图如下:
2. 屏蔽通过usb、蓝牙等外设外发文件
这个章节探讨的是主机的安全需要,如果人员可以近距离接触到主机,就EMC易倍体育过外接usb存储、蓝牙等设备来拷贝相关的文件。所以最安全的方式是不允许近距离接触,所有的文件操作通过远程桌面来进行。其次的方案才是禁止usb和蓝牙。详解如下:
方案一:只允许通过远程桌面打开文件(推荐方案)
需要在远程主机配置如下的安全策略。
a). 只允许通过远程桌面打开文件,且不允许拷贝到本地。
b). 禁止远程主机访问互联网,杜绝通过网络传递的可能。
c). 禁止远程主机访问其他电脑的共享,杜绝通过局域网拷贝到其他设备上。
d). 禁止在远程主机上安装程序,避免病毒等不安全软件的侵袭。
如图,运行gpedit.msc打开组策略编辑器。
方案二:禁止usb和蓝牙设备。
如果条件不允许采用方案一,也能采用禁止usb和蓝牙设备来实现一定程度的文件保护。但是方案二不能算一个完美的方案。举例来说,人员可以直接开机把硬盘拿出来拷贝数据。
通过组策略一样可以禁止usb和蓝牙设备,组策略禁止usb的配置,请参见如下截图:
现在也有一些第三方软件提供禁止usb设备等功能,不过稳定性和可靠性都一般,所以不推荐。
3. 文件加密
文件透明加密也是一种数据保护技术。采用文件加密后,文件只能在安装了加密软件的电脑上打开。这样也可以有效的对数据安全进行保密。现在有很多的第三方软件可以对文件进行加密,这些软件大都采用微软的驱动级文件加密技术。
a). 文件透明加密的优点是:安装和部署比较方便,支持多级权限控制,功能强大。
b). 缺点在于密文的安全性。密文很容易被泄漏,只要有了密钥就可以进行解密,而且不排除有黑客技术人员对密文进行暴力破解的可能性。
4. 总结
a). 隔离物理访问的远程桌面方式,可以有效的杜绝泄密可能,是最佳方案。
b). 文件透明加密有一定的优点,也是可选方案。
c). 只禁止usb存储的方式,缺陷比较多。不推荐。
所以,建议你根据数据安全需要EMC易倍体育际的条件选择适合自己的方案,并且结合网络屏蔽方案,这样可以达到最佳的安全效果。