---本文来源于网络，仅供参考，勿照抄，如有侵权请联系删除---赛门铁克DLP数据防泄密方案文档编号：创建日期：2009-02-12最后修改日期：2010-04-13版本号：1.0.0目录---本文来源于网络，仅供参考，勿照抄，如有侵权请联系删除------本文来源于网络，仅供参考，勿照抄，如有侵权请联系删除---1.设计思路1.1.什么是数据防泄漏对企业而言，在面临来自外部的病毒、木马、网络攻击等种种网络安全威胁时，来自内部的数据泄露或许是一个更需要重视的问题。无论企业处于何种规模，都存在数据泄密的风险，而这些风险将会让企业面临安全、知识产权、财产、隐私和法规遵从方面的威胁。在这些数据泄露情况中，大部分情况下都是员工在无意中泄露出去的，但还有一些则是由员工有意为之。一个使用没有安全防护的笔记本电脑的移动办公人员，可能有意或无意地通过无线网络泄漏公司机密信息。与此同时，大量支持USB连接的设备不断涌现，也使得企业的机密信息很可能便被装进U盘或者移动硬盘等方便地带走。当发生数据泄密时，在安全专家忙于恢复敏感数据和修补泄密漏洞期间，企业的时间、资金和声誉都会遭受到严重的威胁。企业安全专家总处于一场没有终点的战争中：当原来的泄密漏洞刚刚得到控制，新的数据泄密情况却又伴随着其他众多设备的使用而频繁出现。企业信息化目的是为了信息和数据的共享，而数据的生命周期中包括存储（生成数据的服务器和存储设备）、使用（数据的使用者对数据进行操作）和传输（数据从一个地点传送到到另外一个地点）三个基本的生命过程。数据防泄漏就是要保护企业的机密信息不被非法的存储、使用和传输。1.2.机密信息的划分标准显然，如果对企业内各种各样的海量数据全部进行同样级别的保护，等于没有任何保护。因此数据防泄漏的一个基本点是确定信息的机密性分类。对于可以完全对外公开的数据，不需要任何的信息防泄漏防护措施；对于关系到企业生存、发展、声誉的重要数据，应当严格控制其存储位置，使用方式和传输方式。如何对信息进行机密性的分类呢？最根本思想的是依据信息的内容来判断其机密性级别。信息的所有者（如业务人员）可以根据个人或者企业的相关规范理解自己创建的信息内容的机密性级别。至于如何操作，实现方式包括以下两种：1.2.1.基于权限信息所有者对信息载体（数据库或者文件）进行权限设定，即什么样的人可以访问什么样的信息。这是一种最直观的信息保护模型，但是其实践和操作具有很大的局限性。首先，被保护的对象不是数据的内容，而是数据的载体，因此一旦载体发生变化，原有的权限设定和控制就失去效力。比如，从数据库查询到信息存成文件格式，则对数据库表的权限设置即失去意义。另外，当把文件中的某些关键信息拷贝粘贴到其他文档，或者转换成其他格式，对于原有文件的权限设定也同样失去防护意义。其次，权限设定在操作中将极大地影响现有的工作流程管理和用户使用习惯。显然，越大型的网络环境复杂度将呈现指数型上升，这也是基于数字权限的防---本文来源于网络，仅供参考，勿照抄，如有侵权请联系删除---护技术一直不能在市场上大规模应用的主要原因。特别是对于非结构数据，如文件，设想一下，对不计其数的文件进行权限的管理，为每个文件设定可以访问、阅读、修改等权限，最终用户和管理员将不堪负重。最后，并不是所有的文件类型都可以象pdf文档一样进行权限设定，因此为了保证有效性经常需要进行格式转换，这又带了了转化后数据无法逆转，格式失真，用户使用习惯更改等更多问题。1.2.2.基于内容显然，信息防泄漏关注的根本在于信息的内容。基于内容的机密信息分级将大大地减少管理实施难度，确保防护的有效性。管理员只需要知道我们的机密信息应当存储在数据库的那个表中，或者服务器上的哪个目录下，就可以完成对信息机密性级别的定义。显然，信息的所有者很容易提供以上信息，并且无需费神去设定权限。一旦确定了机密信息的存储位置，则可以自动地建立机密信息样本数据库，进而在存储、网络、终端各个层面发现机密信息泄漏事件。1.3.全面的多层次防护信息防泄漏不是单...