2014-11-27 14:27:44
来源：
一、产品介绍
酷卫士涉密电子文档集中管控平台是一款基于云计算架构下采用虚拟化技术实现安全桌面工作环境的数据管控系统。酷卫士涉密电子文档集中管控平台作为首家国产虚拟化云桌面安全系统。
它在Windows操作系统上利用虚拟技术构建出一个全新的安全工作环境，重要数据与非重要数据隔离在两个不同的环境中进行访问，实现“终端用密、不留密”，保证数据从生成、存储、访问、销毁等全生命周期的动态加密管理。该系统改变传统数据存储模式将涉密数据集中存储统一输出，封堵终端计算机上的所有泄密途径保障泄密数据安全可控，所有的文件操作都有详细的操作记录、集中管控对涉密信息实施集中存储，“个人不留密，终端不存密”，确保核心数据信息安全。
二、产品功能
| 功能列表 | 详情介绍 |
| 安全环境文件加密功能 | 酷卫士涉密电子文档集中管控平台将普通环境与安全工作环境相隔离，不同环境处理不同数据，确保安全工作环境中重要信息的保密性与普通环境中一般信息使用的便捷性。安全工作环境中产生的数据默认均保存在系统创建的虚拟磁盘中，所有数据经过AES 256位高强度加密，加密的密钥每个用户不同。此外，为了防止用户密钥丢失造成数据无法访问，酷卫士涉密电子文档集中管控平台还提供紧急恢复功能，能够让管理员使用系统唯一的USB-KEY来恢复这些虚拟磁盘上的数据。 |
| 文档分类管理与权限控制 | 酷卫士涉密电子文档集中管控平台提供了个人模式、部门模式、项目组模式3种不同的文档管理方式，每一种方式都能进行严格的权限管理，包括创建、只读、修改、删除等。可以利用多层目录结构进行多种权限设定，从而设计出适合多种场合的应用需求。 |
| 安全公文流转功能 | 为了方便不同用户在安全工作环境中的交流，酷卫士涉密电子文档集中管控平台设置了公文流转功能。用户在安全桌面内可以通过设置文件共享、内部短消息或者导出密文等多种形式进行公文流转，既有效保证了公文在流转过程中的安全，也满足了不同使用模式的需求。 |
| 文档的多版本控制 | 酷卫士涉密电子文档集中管控平台自动维护每个文档历史版本。每次完整的修改结果都会记录下来，可以知道任何时间任何人对这个文档做过的修改。这样防止了错误的修改造成的文档信息丢失，保证了文档编辑前后的完整性、安全性和可追溯性。 |
| 安全数据交换管理 | 酷卫士涉密电子文档集中管控平台的安全桌面和普通环境逻辑上是隔离的，安全桌面内使用“宽进严出”的原则，即：用户可以将普通环境下的数据直接导入到安全桌面下使用；而安全桌面下的数据在导出到普通环境下则需要酷卫士涉密电子文档集中管控平台的授权。 |
| 防病毒、木马功能 | 酷卫士涉密电子文档集中管控平台安全桌面中运行的软件均进行合法性校验，非法程序无法运行，这样保证安全桌面中运行的始终是安全合法的程序，由于安全桌面与原有操作系统是逻辑上隔离的，即使原有操作系统已经被植入木马或者感染病毒，也无法访问或破坏安全桌面内部的数据。 |
| 离线工作管理 | 酷卫士涉密电子文档集中管控平台安全桌面支持在线登录和离线登录两种登录使用方式。当用户具有“离线登录安全桌面”权限后即可离线登录安全桌面，使用本地虚拟磁盘中受控的文件。 离线登录方式可以设置离线登录时间，超出预设时间范围后，系统自动退出安全桌面，无法再次离线登录安全桌面。 |
| 外发文档控制管理 | 酷卫士涉密电子文档集中管控平台外发文档控制管理是指酷卫士电子文档安全用户将安全工作桌面内的文档导出到单位外部进行使用时的控制管理，目前酷卫士电子文档安全系统采用转换文档格式，并结合酷卫士电子文档安全专用绿色阅读器浏览的方式。 酷卫士涉密电子文档集中管控系统用户将安全桌面内的文件转换成酷卫士电子文档安全系统特有的文档格式，将转换后的文档与酷卫士电子文档安全专用绿色阅读器一同发送给接收者，酷卫士电子文档安全系统验证接收者的合法性后，接收者可以根据文档的设定权限打开使用。权限包括：打开次数、是否可以打印、打印次数、文档有效期等。 |
| 外带文档控制管理 | 酷卫士涉密电子文档集中管控平台支持多种外带管理方式： 1）支持数据导出为酷卫士涉密电子文档集中管控平台特有的数据加密格式。该方式需要指定的解密文件方已经安装酷卫士涉密电子文档集中管控平台； 2）支持数据导出为PGP格式。由于PGP格式为开放数据格式，因此指定的解密文件方只要已经安装PGP类的软件，即可解密使用。 3）支持数据导出为“绑定硬件加密狗打开”方式。该方式指定的解密文件方不需要安装任何的第三方系统，只需要插入文件绑定的硬件加密狗，输入密码解密文件使用。 |
| 企业邮件安全管理 | 酷卫士涉密电子文档集中管控平台的企业邮件安全管理功能通过将电子邮件正文及附件进行加密处理解决其在传输过程的安全问题，并支持对邮件进行数字签名，确保电子邮件不被别人篡改或假冒。除了加密发送的邮件之外，还能控制成员可以给哪些邮件帐户发送邮件，还能根据审计的需要，自动记录特定邮件的内容，有效防止了企业重要信息通过电子邮件扩散的可能。 |
| 外设管理控制功能 | 酷卫士涉密电子文档集中管控平台对系统外设进行实时管理控制。控制包括光驱、软驱、USB设备、打印机、磁带机、调制解调器、红外设备、蓝牙、1394设备、PCMCIA卡、智能卡、串口并口等。其中对最常用的光驱、USB存储设备进行了详细的控制。 光驱控制策略：控制普通环境下光驱是否可以使用，对可刻录光驱还可以控制是否可刻录；USB存储设备控制策略：控制USB存储设备是否可以使用，在可使用的情况下还可进一步控制存储设备为只读还是可写入数据。 |
| 打印控制功能 | 酷卫士涉密电子文档集中管控平台可以对安全工作环境和普通环境下的文件打印进行控制，能够分别控制这两种环境下是否可以使用打印机，以及指定可打印的打印机名称。 |
| 应用服务器保护功能 | 企业应用服务器保护功能是针对企业/组织应用系统服务器进行保护的解决方案，它可保护应用系统的服务器，比如ERP、CRM、OA等等，它允许用户在安全桌面下登录这些系统，同时能够阻止任何不安全的登录，即使登录者知道正确的帐户和口令。 |
| 用户在线状态监控 | 酷卫士涉密电子文档集中管控平台的监控工具可以查询用户是否使用酷卫士电子文档安全客户端系统、登录计算机名、安全桌面登录名、登录IP地址、登录MAC地址、最后一次登录时间等等 |
| 用户软硬件资产管理 | 酷卫士涉密电子文档集中管控平台的监控工具可以查看已经部署了酷卫士涉密电子文档集中管控平台的客户端用户的软硬件信息并支持生成按照部门和个人分别生成硬件资产报表、硬件变动日志报表、用户属性报表。 其中，软件：包括操作系统已经安装的软件和系统补丁包信息；硬件：电脑制造商、计算机型号、CPU型号、CPU频率、CPU数量、内存大小、网卡地址、磁盘型号、磁盘容量等等。 |
| 文件搜索 | 针对有些组织单位需要定期检查用户的文档使用情况的需要，特开发自动搜索客户端文件的功能，方便对已经部署了酷卫士涉密电子文档集中管控平台的客户端的文档使用情况进行审计查询。文件搜索支持策略下发到客户端自动执行搜索文件功能，可自定义多种搜索条件，如：文件类型、文件名、创建日期、安全桌面内、普通桌面内等等。 |
| 客户端使用环境控制 | 为了让酷卫士涉密电子文档集中管控平台客户端在更安全的环境下运行，酷卫士涉密电子文档集中管控平台支持策略限制酷卫士电子文档安全客户端的使用环境。 可禁止酷卫士涉密电子文档集中管控平台客户端在虚拟操作系统和远程桌面下使用。 |
| 日志管理功能 | 酷卫士涉密电子文档集中管控平台日志详细记录客户端用户、系统管理员的各种操作，能够完全回溯客户端用户和系统管理员的操作流程，同时酷卫士涉密电子文档集中管控平台采用“三权分立”原则，系统管理员日志只有日志管理员可以查看。 |
| 容灾备份功能 | 酷卫士涉密电子文档集中管控平台具有容灾备份功能，可以对主文档服务器进行实时备份，包括任何重要的文件。当主文档服务器出现故障的时候，备份服务器被激活，提供和主服务器一样的功能，不会发生数据的丢失。 |
三、产品特色
1.将普通环境与安全工作环境相隔离，不同环境处理不同数据，确保安全工作环境中重要信息的保密性与普通环境中一般信息使用的便捷性。采用酷卫士涉密电子文档集中管控平台后，用户只能在安全工作环境中处理重要文件，在安全工作环境中所产生的数据受到安全保护，无法向非授权用户扩散，保证了重要内部信息的安全保密，防范信息泄露；普通文件仍旧在Windows环境中处理，不影响一般信息使用的方便性。
2.保证重要文件在访问期间的安全，防范信息外泄。酷卫士涉密电子文档集中管控平台提供多种安全机制，防止通过各种操作手段（另存为…、粘贴复制、截屏等）泄漏重要文档信息；安全工作环境中文档导出、离线工作均需要申请，经过审核批准后方可操作，离线工作需在系统允许时间之内，超出时间限制系统将自动退出安全工作环境；用户所有操作都有详细的操作记录，方便审计。
3.防木马、病毒功能。酷卫士涉密电子文档集中管控平台采用虚拟磁盘技术在原有Windows操作系统中构建出安全工作环境，该环境与原操作系统逻辑隔离，即使原有操作系统被植入木马、病毒也无法对安全工作数据进行恶意访问、破坏。而安全工作环境内部运行的程序均经过系统策略审核，木马病毒无法在其中运行。
4.可与企业原有应用系统无缝集成，为应用系统提供数据安全防护，透明提升企业原有应用系统的安全性。防止应用系统中的重要资料外泄，防止非法电脑接入。酷卫士涉密电子文档集中管控平台保护模块可以直接在企业原有应用系统服务器中部署，无须重新规划，无需额外投入成本。例如：将企业原有OA应用系统中配置上透明代理服务器模块，将OA应用系统纳入到安全工作环境中，配置后用户只能在安全工作环境内部对该OA应用系统进行访问，无法将OA应用系统中数据外泄到安全工作环境外。同时，私自从外部带入的电脑，即使知道OA上的登录帐号和密码，将无法接入到企业受保护的OA应用系统。
5.控制普通环境外设使用，让系统更加安全。安装酷卫士涉密电子文档集中管控平台后，原有操作系统中的所有外设均可以被禁用，包括：光驱、软驱、USB设备、打印机、磁带机、调制解调器、红外设备、蓝牙、1394设备、PCMCIA卡、智能卡、串口并口等。在以允许使用外设的账号登录安全环境后，才可以访问相应的外设。
6.控制客户端系统登录环境，提高工作环境安全级别。酷卫士涉密电子文档集中管控平台客户端可以通过系统策略限制为：禁止在“虚拟机系统”和“远程桌面”中登录，这样保证了用户只能在电脑的真实操作系统下登录酷卫士涉密电子文档集中管控平台，让试图通过截屏、录屏等行为得到有效控制，进一步确保企业/组织的重要数据安全可靠。
7.兼容Windows操作习惯，无需额外培训和专业训练，易于使用。酷卫士涉密电子文档集中管控平台虚拟出的安全桌面无论是系统界面还是操作习惯均与普通环境高度相似，只要在普通环境下可以工作，在安全桌面中就可以无需培训直接操作使用。
四、关键技术
虚拟磁盘
虚拟磁盘技术能够在系统中创建一个或多个虚拟的磁盘。每个虚拟磁盘对应一个真实磁盘上的文件，读写虚拟磁盘扇区的操作被转换为读写文件中相应偏移量的数据。酷卫士涉密电子文档集中管控平台使用虚拟磁盘保存安全环境内应用程序产生的所有数据。所有数据在保存前经过高强度加密，加密的密钥每个用户不同。此外，为了防止用户密钥丢失造成数据无法访问，本产品还提供紧急恢复功能，能够让管理员使用系统唯一的USB-KEY来恢复这些虚拟磁盘上的数据。
数据加密
酷卫士涉密电子文档集中管控平台提供了远胜于一般产品的加密强度。虽然使用的同样是AES等算法，但算法的使用模式不同。很多同类产品出于实现方便的考虑，往往使用ECB（电子密码本）模式，这违背了密码学理论中不能直接使用ECB模式的基本观点，削弱了安全性。酷卫士涉密电子文档集中管控平台使用的是CBC（密码分组链接）模式外加扩散器算法，使得一个扇区中任何一个字节数据改变，都会导致整个扇区的密文完全不同，从而有效抵抗“选择明文攻击”等各种破解手段。该算法已由微软率先应用在最新的Vista操作系统中（BitLock功能）。我们产品的算法与其保持一致，为用户提供国际一流、真正专业的数据加密服务。
环境隔离
酷卫士涉密电子文档集中管控平台使用智能文件重定向技术，结合虚拟磁盘和文件访问控制技术，实现安全环境与普通环境的数据隔离。安全环境内的应用程序无法写数据到普通环境。同时，普通环境中的应用程序被禁止访问虚拟磁盘。这样就保证了安全环境和普通环境的文件数据隔离（对安全环境来说，数据是“只进不出”的），并且智能文件重定向技术能保证不影响两种环境中应用程序的正常使用。
透明加密代理
为了解决网络嗅探和非法接入应用服务器等恶意行为，酷卫士涉密电子文档集中管控平台提供了网络透明加密代理功能。该功能可以透明地加密应用程序和服务器之间的网络通讯，保证数据传输的安全。加密代理分别存在于客户端和服务端，其中服务端的加密代理既可以安装在应用服务器上，也可以安装在单独的主机上。应用程序的通讯经过客户端代理加密后，自动发送到服务端代理，再由服务端代理解密并转发给应用服务器。通过在服务器上配置防火墙，使得只有加密代理才能够访问应用服务器端口，从而保证只有授权用户的应用程序才能通过加密代理访问应用服务器，杜绝了用户脱离安全环境非法接入应用服务器获取数据的可能。
下图为酷卫士电子文档安全透明代理系统部署效果示意图：
酷卫士电子文档集中管控系统透明代理系统部署效果示意图
五、应用范围
酷卫士涉密电子文档集中管控平台适用于政府部门、军队、军工、民用及各种有涉密需求的单位。
