‌内网安全管理‌是指保护企业内部网络（即局域网）免受各种网络威胁、数据泄露和内部违规行为影响的一系列措施和技术。内网安全管理的目标是确保企业内部网络中的信息和资源安全，防止内部和外部的潜在安全风险‌。

提起网络安全，人们自然就会想到病毒破坏和黑客攻击，其实不然。常规安全防御理念往往局限在网关级别、网络边界（防火墙、漏洞扫描、防病毒、IDS）等方面的防御，重要的安全设施大致集中于机房或网络入口处，在这些设备的严密监控下，来自网络外部的安全威胁大大减小。相反，来自网络内部的计算机客户端的安全威胁却是众多安全管理人员所普遍反映的问题。

对于国内的网络管理者而言，现有的网络安全防护手段大多强调对来自外部的主动攻击进行预防，检测以及处理，而授予内部主机更多的信任。但是，统计数字表明，相当多的安全事件是由内网用户有意或无意的操作造成的。为保护内网的安全，一些单位将内网与外网物理隔离，或者将内部通过统一的网关接入外网，并在网关处架设防火墙，IPS,IDS等安全监控设备。尽管如上述所示的各类安全措施都得到了实现，众多管理者们却仍然头疼于泄密事件或其它各类内网安全事件的频繁发生，这就充分说明了内网安全维护的复杂性。

互联网的迅速普及，网络应用已成为企业发展中必不可少的一部分。然而，企业在感受网络所带来的便利的同时，也面临着各种各样的进攻和威胁：机密泄漏、数据丢失、网络滥用、身份冒用、非法入侵……有些企业建立了相应的网络安全系统，并制定了相应的网络安全使用，但在实际使用中，由于用户对操作系统安全使用策略的配置及各种技术选项意义不明确，各种安全工具得不到正确的使用，系统漏洞、违规软件、病毒、恶意代码入侵等现象层出不穷，导致用户计算机操作系统达不到等级标准要求的安全等级。

调查数据表明，我国有63.6%的企业用户处于“高度风险”级别，每年因网络泄密导致的经济损失高达上百亿。虽然大多数企业都非常重视内网安全管理问题，内网安防投入也不断增加，但是内网安全问题却仍然严峻。在国家出台的《信息安全等级保护管理办法》中，就明确指出了信息安全等级保护的重点在于内网安全措施的建设和落实。事实表明，有效保护企业内部资源和网络的安全，需要建立全面的内网安全体系。

随着信息化的建设，信息应用的活跃，不同领域不同时期，人们对信息安全的认识都不尽相同，对解决信息安全问题的侧重也有所差别。早期人们对信息安全体系的关注焦点，即以防护技术为主的静态的信息安全体系。随着人们对信息安全认识的深入，其动态性和过程性的发展要求愈显重要。针对中国的国情，应用活跃防护薄弱的现状，就需要一个新的信息安全建设模型来应付日益变化的安全风险。所以浙江远望电子有限公司在政府等单位中几年来的研究提出了M-DRP模型，在信息安全建设中成为一个全新的、重要的角色。

国际上有一个最常见的安全模型就是PDR模型。PDR模型就是3个英文单词的头字符：Protection(防护)、Detection(检测)、Response(响应)，这三个部分构成了一个动态的信息安全周期，以防护为核心的中心思想。因为在国外，信息化建设都有相应的立法保护，规定要建设一个信息化应用项目必须将15%—30%的项目资金用于信息安全防护建设。有了立法机构的保护、资金的保障，所以一般国外的信息化建设项目先进行安全防护的建设，然后再对网络中存在的安全风险进行检测，最后做出响应、处置。

但是中国的国情并不如此。自从1998年国家大力推动信息化建设以来，将重心放在信息化的应用上，会将所有的资金都用于购买信息应用产品，只将很少的资金投入到信息安全防护建设或者甚至都没有投入。所以往往当出现了安全事故，才会引起各相关领导人的重视，才去购买防火墙、IDS、IPS等防护产品。同时，各种防护产品监测出大量的安全风险，安全管理员要进行及时的定位、处置，“四处救火”、“疲于奔命”，缺乏一个协调作战的机制和平台。远望电子有限公司在几年来的企事业单位中的实践研究认为，安全风险的产生都是由人的行为引起的，只有管好了网络使用者的使用行为，提升人的技能，技术的完善，管理制度的落实，再结合中国的信息化建设现状，应用活跃防护薄弱，远望公司认为只有做好主动监测去发现安全风险再进行及时响应处置，最终推动安全防护体系的落实完善，所以远望公司的专家团队从PDR的基础上提出了M-DRP模型。

浙江远望电子有限公司推出的内网安全管理模型——M-DRP模型即管理（Manager）、Detection(监测)、Response(响应)、Protection(防护)，以管理为核心，以监测为首要性。通过可靠的监测来发现安全威胁，实现有效的响应（第一时间发现第一时间响应），推动完善整个安全防护，安全处置工作。

以监测为重点，是通过对安全风险的描述、定义，利用远望专家库配置的策略对平台进行全面有效、完整可靠的监测，把安全威胁反映出来，实现有效响应，作出警示、处置、反馈和考核，在监测与响应的相互作用下推动人、技术、管理上的安全防护。以管理为核心，通过各种机制和手段，实现安全管理工作的信息化，形成日常化的工作机制。因为人的行为才是最重要的，不管是网络使用者，还是人的使用技能的提升，或者是管理制度的“落地”，从根本上都需要由“人”来操作，要将所有的人和设备都管理起来，这样才能从根本上保障网络的安全。所以远望电子公司M-DRP模型的核心思想就是“以管理为核心，以技术为手段，以人为本”，“安全监测为首要性”。

产品特点：

1. 透明加解密技术：提供对涉密或敏感文档的加密保护，达到机密数据资产防盗窃、防丢失的效果，同时不影响用户正常使用。

2. 泄密保护：通过对文档进行读写控制、打印控制、剪切板控制、拖拽、拷屏/截屏控制、和内存窃取控制等技术，防止泄漏机密数据。

3. 强制访问控制：根据用户的身份和权限以及文档的密级，可对机密文档实施多种访问权限控制，如共享交流、带出或解密等。

4. 双因子认证：系统中所有的用户都使用USB-KEY进行身份认证，保证了业务域内用户身份的安全性和可信性。

5. 文档审计：能够有效地审计出，用户对加密文档的常规操作事件。

6. 三权分立：系统借鉴了企业和机关的实际工作流程，采用了分权的管理策略，在管理方法上采用了职权分离模式，审批，执行和监督机制。

7. 安全协议：确保密钥操作和存储的安全，密钥存放和主机分离。

产品功能：

1. 密指定程序生成的文档

强制加密指定程序编辑的文档。用户访问加密文档时，需要连接服务器（在线，非脱机状态），并且具有合适的访问权限。该加密过程完全透明，不影响现有应用和用户习惯。通过共享、离线和外发管理可以实行更多的访问控制。

2. 泄密控制

对打开加密文档的应用程序进行如下控制：打印、内存窃取、拖拽和剪贴板等，用户不能主动或被动地泄漏机密数据。

3. 审批管理

支持共享、离线和外发文档，管理员可以按照实际工作需求，配置是否对这些操作进行强制审批。用户在执行加密文档的共享、离线和外发等操作时，将视管理员的权限许可，可能需要经过审批管理员审批。

4. 离线文档管理

客户端需要连接服务器才能访问加密文档。通过本功能制作离线文档，即使客户端未连接服务器，用户也可以阅读这些离线的文档。根据管理员权限许可，离线文档可能需要经过审批管理员审批离线时，可以控制客户端的离线时间和离线时是否允许打印。

5. 外发文档管理

外部人员不能阅读加密文档的内容。本功能制作外发文档，即使在未安装客户端的机器上，也可以阅读这些外发的文档。根据管理员权限许可，外发文档可能需要经过审批管理员审批外发的文档，和内部使用一样，受到加密保护和泄密控制，不会造成文档泄露，同时增加口令和机器码验证，增强外发文档的安全性。

6. 用户/鉴权

集成了统一的用户/鉴权管理，用户统一使用USB-KEY 进行身份认证，客户端支持双因子认证。

7. 审计管理

对加密文档的常规操作，进行详细且有效的审计。控制台提供了基于WEB的管理方式。审计管理员可以方便地通过浏览器进行系统的审计管理。

8. 自我保护

通过在操作系统的驱动层对系统自身进行自我保护，保障客户端不被非法破坏，并且始终运行在安全可信状态。即使客户端被意外破坏，客户端计算机里的加密文档也不会丢失或泄漏。

应用效果：

1. 数据资产保护

只有通过身份认证，并在服务器管理下，才能访问这些文档。因此，无论是因为计算机失窃，还是由于内部员工通过移动存储设备、电子邮件或即时通讯工具把加密文档外传，都能够保证加密文档无法阅读。

2. 防止泄密

有效防止用户主动或被动泄漏机密数据，用户无法通过拷贝、打印、内存窃取、外传等方式外泄这些加密文档的内容，即使是通过黑客工具也无法窃取加密文档的内容。

3. 文档访问管理

用户只能访问属于本人的加密文档，根据管理员配置，对加密文档的指定操作需要管理员审批才能进行，例如共享和解密文档。

4. 灵活、容易操作

不改变用户使用习惯和业务操作流程，根据实际应用需求，可进行系统配置，支持加密文档的共享、解密以及带出功能，同时允许设置管理员进行审批，规范了文档的管理,降低了管理成本。

5. 事件追踪

全面的系统管理，及数据文档操作事件审计，系统详细记录了管理员管理系统的事件，用户操作加密文档的事件，做到系统发生的事件均可追溯相关责任人。

6. 无需值守，管理成本低

提供基于WEB的管理方法，管理员可以通过浏览器进行系统管理。用户与计算机设备绑定，同时使用USB-KEY身份认证技术，每个用户依据配置的策略进行操作，即使“管理员不在场”也不会发生违规操作和窃、泄密事故。

一直以来，安全防御理念局限在常规的漏洞扫描、防火墙、安全审计、防病毒、IDS等方面的防御，重要的安全设施大致集中于机房、网络入口处，在这些设备的严密监控下，来自网络外部的安全威胁大大减小。然而，来自网络内部的安全威胁却渐渐地突显出来，网络的内部安全问题大于外部问题，已经成为业界共识。频频暴露出来的违规安装软件，私自拨号上网，私自带入其他设备接入等情况使得内网安全隐患重重，进行内网系统安全优化建设已经刻不容缓。然而要进行内网安全建设，第一步首先要全面了解系统，评估系统安全性，认识到自己的风险所在，从而迅速、准确得解决内网安全问题。

经过多年的深入研究和技术积累，于2010年8月推出了多维度智能主机安全检查系统（TDS），它是针对内网计算机进行全面的安全保密检查及精准的安全等级判定的软件系统，并有着强有力的内网安全检测分析能力和修复能力。 如今企业或单位的网络内都存有众多重要数据，而这些网络交叉相连，操作系统混杂不一，主机型号多种多样的，内部网络规模庞大，应用系统复杂，加上工作人员庞杂，给企业内部信息安全管理带来了巨大压力。TDS解决了这一问题，它可以对主机进行自动化检查，检测内网安全隐患，实时查明内网节点安全漏洞。尤其是针对敏感部门、重点机构和信息化建设中的企事业单位。TDS的一键式运行操作，减少了企业部门在内网安全方面投入的人员数量，减轻操作人员的工作强度。TDS无需安装软件，检测后不留痕迹的特点，适合政府机关、企业单位机密数据的保密制度，防止机密泄漏、数据丢失的现象发生，保证了国家政府机关、企业单位的信息安全。

前一阶段各企业为了保证内网安全，纷纷购买了独立的杀毒软件，检测工具。然而，随着经济发展所带来的人员流动性的不断增强，由于这些由不同厂商提供，不同种类的网络和安全设备之间，缺乏有效的信息整合，很容易形成信息孤岛，从而被各个击破。以往的检查产品扫描过程漫长、排查隐患不合理、问题定位不精确、扫描缺乏深度、安全结论模糊等一系列业内技术难题始终存在。TDS主机安全检查系统再一次突破以往的技术领域，它具有高性能的检测能力和多维度的检测角度的特点，能全面分析检测内网计算机保密安全性与系统脆弱性，对身份鉴别、安全标记、访问控制、安全审计、通讯保密性等进行全面检查，提取近百个检测点分析， 还具有漏洞扫描探测、操作系统信息采集与分析、日志分析、木马检查、安全攻击仿真、网络协议分析、系统性能压力、渗透测试、安全配置检查、进程查看分析、数据恢复取证（涉密定制）、网络行为分析等多个方面评判计算机安全性能的能力，TDS将会引领新一代的主机安全检查潮流。

2004年，通过网络快速自动传播的蠕虫病毒颠覆了内网安全的格局，所造成的经济损失首次超过信息被窃所造成的损失，跃居第一。为了防止灾难再次发生，TDS主机安全检查系统还提供病毒扫描快速通道，通过调用获得科技部创新基金的安天AVL SDK可嵌入反病毒引擎，可以检查系统中各种病毒、后门、木马、蠕虫、黑客工具、恶意程序、关注文件等有害数据和敏感程序，并能发现私自访问互联网行为，全面保护内网系统安全不再受病毒的侵害。

自2003年来，以SQL蠕虫、“冲击波”、“震荡波”等病毒的连续性爆发为起点，到计算机文件泄密、硬件资产丢失、服务器系统瘫痪等诸多客户端安全事件在各地网络频繁中发生，让政府机关和企业单位的网络管理人员头痛不已。总结起来，政府机关和企业单位的内部网络管理大致面临着以下一些常见问题：

? 如何发现客户端设备的系统漏洞并自动分发补丁。

? 如何防范移动电脑和存储设备随意接入内网。

? 如何防范内网设备非法外联。

? 如何管理客户端资产，保障网络设备正常运行。

? 如何在全网制订统一的安全策略。

? 如何及时发现网络中占用带宽最大的客户端。

? 如何点对点控制异常客户端的运行。

? 如何防范内部涉密重要信息的泄露。

? 如何对原有客户端应用软件进行统一监控、管理。

? 如何快速有效的定位网络中病毒、蠕虫、黑客的引入点，及时、准确的切断安全事件发生点和网络。

? 如何构架功能强大的统一网络安全报警处置平台，进行安全事件响应和事件查询，全面管理网络资源。

这些常见的客户端安全威胁随时随地都可能影响着用户网络的正常运行。在这些问题中，操作系统漏洞管理问题越来越凸现，消除漏洞的根本办法就是安装软件补丁，每一次大规模蠕虫病毒的爆发，都提醒人们要居安思危，打好补丁，做好防范工作——补丁越来越成为安全管理的一个重要环节。黑客技术的不断变化和发展，留给管理员的时间将会越来越少，在最短的时间内安装补丁将会极大地保护网络和其所承载的机密，同时也可以使更少的用户免受蠕虫的侵袭。对于机器众多的用户，繁杂的手工补丁安装已经远远不能适应大规模网络的管理，必须依靠新的技术手段来实现对操作系统的补丁自动修补。

信息产业的发展，使人们的生活发生发翻天地覆的改变，但是，也埋下了众多的安全隐患:数据丢失、信息泄露、蠕虫爆发，网络滥用等等。有数据表明，我国有70%的企业用户处于“高度风险”级别，每年因网络泄密导致的经济损失高达上百亿。

在这样的安全形势下，企业也日趋重视内网安全问题，但往往事与愿违，常常是内网信息安全防护投入不断增加，病毒、木马、攻击却不断产生；硬件和带宽投入持续增长，网络却时断时续，关键应用性能无法得到保障，内网安全问题不断地折磨着企业，考验着网管的神经。

企业安全需要削铁如泥的上古神兵利器，更需要固若金汤的安全防线。作为多年致力于内网安全的极地银河公司，对企业内网安全问题进行了深入研究，其面向全球首家推出的——极地银河终端与内网安全管理系统，从准入控制管理、终端维护管理、补丁分发管理、上网行为管理、信息访问控制、终端资产管理六大功能体系出发，很好地解决了内网安全问题。

关冲剑：准入控制管理

系统对于非法进入企业内网的终端进入进行监控与管理。在安全接入管理方面，系统可以通过监听和主动探测等方式检测内部网络中所有在线的主机，并判别在线主机是否是信任主机，然后，对于探测到的非法主机，系统可以主动阻止其访问任何网络资源，从而保证非法主机不对网络产生影响，无法有意或无意的对网络进行攻击或者试图窃密。

少泽剑：终端维护管理

极地银河终端与内网安全管理系统的用户和权限管理采用的是由美国国家标准协会提出的RBAC模型，即基于角色访问控制模型。基于角色的访问控制提供了一种简单灵活的访问控制机制，只给角色分配权限，用户通过成为角色的成员来获得权限。这与过去系统中直接给用户授权的管理模型相比更灵活方便。同时，管理人员可以通过控制台远程取得客户机的控制权，身临其境般进行操作。对于远端客户机出现的问题，管理人员能够即时、方便的解决。在远程维护或者远程操作业务系统中发挥多方面的作用。

商阳剑：补丁分发管理

近些年来以红色代码、尼姆达、蠕虫王、冲击波为代表的蠕虫病毒频繁爆发，给全球网络运行乃至经济都造成了严重影响，这些蠕虫都利用了操作系统或者应用程序的漏洞。与此同时，利用漏洞进行攻击也成为黑客最常用的手段之一。攻击者首先通过扫描工具发现漏洞，然后利用相应的攻击工具实施攻击，这种攻击模式简单易行且危害极大。消除漏洞的根本办法就是安装软件补丁，补丁分发管理越来越成为安全管理的一个重要环节。

极地银河终端与内网安全管理系统提供网络扫描与主机扫描两种模式，内置nessus扫描引擎，也可与市场上主流漏洞扫描设备进行联动。扫描完成后可以根据扫描结果自动对系统漏洞下发补丁并报警。补丁分发管理主要完成客户端的补丁检测和安装，强化客户端自身健壮性。允许管理员自定义软件分发，完成用户自由系统的补丁管理。可以远程进行软件分发。可以深入结合对客户端防病毒程序安装和运行情况的检测，为安全接入管理系统提供授权认证凭据。

少商剑：上网行为管理

对于一个企业网络来说，最薄弱的环节不是内网入侵，而是内网用户终端的非法上网外联行为。极地银河终端与内网安全管理系统对非法外联监控方面，系统主要解决发现和管理用户非法自行建立通路连接非授权网络的行为。通过非法外联监控的管理，可以防止用户访问非信任网络资源，并防止由于访问非信任网络资源而引入安全风险或者导致信息泄密。系统通过对上网权限审计控制，对网络行为审计控制和邮件外发的审计控制，使得企业内网终端上网安全可控。

中冲剑：信息访问控制

随着网络技术的发展和企业业务的繁忙，企业内网各终端难免随时进行各种外接设备的应用，以及为了各种网络应用需要打开系统的多个接口。以各种即插即用设备为例，比如利用即插即用设备可以很容易地把大量重要数据瞬间拷走，但大量的U盘木马通过该设备带进内网，使企业网络安全性大大降低。这时候，就为内网安全埋下了巨大的隐患，也给单位的IT管理带来了新的问题。

外设与接口管理主要对终端上的各种外设和接口进行管理。极地银河终端与内网安全管理系统可以禁用系统的外设和接口，防止用户非法使用。在外部存储设备的禁用方面，可以在禁止使用通用移动存储设备的同时，对经过认证的移动存储设备允许使用。同时，极地银河终端与内网安全管理系统可以实现对终端用户的文件操作控制和文件加密等功能，彻底解决在信息访问过程中，每个能导致安全问题的隐患。

少冲剑：终端资产管理、

现代企业的网络设备日渐增多，网络结构也更复杂，企业网络和资产的管理部门需要花费大量的人力物力来维护企业的计算机运行环境。同时，计算机硬件技术发展迅速，经常需要进行更新和淘汰，或者配合软件的升级进行硬件的升级。财务或资产管理部门对企业的计算机的管理和统计经常处于一种无序及手工统计的状态，当设备更新频繁时，原本的资产记录往往会出现管理滞后和与实际情况不相符的情况，从而造成设备管理的混乱。

系统可以自动收集分析终端计算机的物理内存、处理器类型、处理器速度、处理器个数、数学协处理器、总线类型等各种计算机硬件信息。系统可以通过组合查询，报告硬件的各种信息，查询可以基于硬件、存储容量等多种关键字进行。同时，系统可以自动收集分析终端计算机安装的软件信息，并通过多种条件进行查询和统计。系统智能实现自动监测系统软硬件资产的变动，记录日志并可以产生报警，同时可以根据策略自主采用响应措施，防止资产变更给客户端或者网络带来更大的危害。

内网安全解决管理隐患

员工通过不受监控的网络通道将企业的商业机密泄漏出去，给企业带来经济损失

员工所使用的笔记本电脑等移动设备若管理不善，很有可能携带有病 毒或木马，一旦未经审查就接入企业内网，可能对内网安全构成巨大的威胁。

上网聊天、网络游戏，使用电驴等工具载电影、游戏、软件等大型文件，听歌、看网络电影、浏览与工作无关的网站。

内网资产（CPU、内存、硬盘等）被随意更换，计算机数量越来越多，无法集中管理软、硬件数量无法精确掌握，盘点困难

进入共享文档服务器，窃取机密文件，通过存储设备和通讯设备进行外泄，比如：USB存储；通过MAIL、FTP、BBS等途径将单位内部信息泄密到外网。

禁用设备：

1、禁止使用USB(禁用，记录接入和禁用时间)

2、允许使用公司指定的USB(接入和移出都有记录)

3、允许并监 视USB(除接入移出USB都有记录外，还能够记录USB文件操作:拷进文件名、文件重命名、文件删除、文件修改及其操作时间)

4、重启阻断(一发现接入USB，计算机就立即重启).这四种策略能够在拔 了网线离开网络后仍然生效。在禁用USB情况下，能够继续使用USB打印机、鼠标和键盘等

5、同时也可以禁止修改IP地址。

禁止应用程序：

可以对指定的程序进行禁止

上网限制：

1、可对指定的网站进行禁止，或者采取反选，对指定的网站外的网站进行禁止。

包括网站浏览限制、邮件收发限制、聊天行为限制、

流量限制、自定义限制、端口级控制；

2、所有的控制都可针对3层对象（一个网络、一个分组、一个电脑），并可以定义时间规则，在指定的时间段内进行指定的限制。

屏幕快照并保留记录：

1、可以看到网络内员工正在操作计算机的最新画面；

2、可以查看到网内员工操作过的历史画面，并连续播放历史画面。

3、完整地记录屏幕历史,针对不同应用程序采用不同的记录频率

聊天内容监控：

对msn、qq等聊天工具的聊天内容进行监控

外来电脑接入管理：

通过设置禁止外来电脑访问内部局域网共享资源、内部重要的服务器。

应用程序报告：

可分时间段查看某个员工打开某个应用程序的全部时间和活动的时间，以及所占的百分比。

A、应用程序日志和统计

1、记录应用程序的启动和退出

2、记录窗口切换和标题变化，跟踪电脑使用过程

3、分类统计应用程序的使用情况，评估工作效率

B、应用程序控制

1、限制游戏、聊天等程序的运行

2、禁止恶意程序的运行

资产管理：

1、 完整的软硬件资产信息

2、 详尽的资产变更记录

3、 增加自定义资产属性进行辅助信息管理

4、 增加自定义资产对非电脑资产实现标准化管理

远程维护：

可以远程控制、登陆、注销、重启计算机，支持键盘输入和登录快捷键操作。

A、实时维护

实时查看客户端上的运行信息

远程分析客户端的运行状况和故障原因

B、远程控制

便于远程协助或者进行操作示范

C、远程文件传送

远程传送文件, 辅助更快速地更新文件和收集故障样本

网络流量监控：

A、网络流量统计

按网络地址以及类别统计和分析网络流量

按网络端口以及协议统计和分析网络流量

分时段分析网络资源的使用情况

B、网络流量控制

针对不同网络地址和协议限制不同的通讯流量

防止BT，P2P，网络视听或下载工具等占用大量带宽资源

事件日志:

详细记录网内计算机的操作窗口、报警记录、控制台发出的控制信息、浏览的网页、启动和关闭的应用程序、软件的添加与删除、系统的启动与关闭、应用程序的启动与关闭、硬件的添加与删除

信息化时代，对于一个企业来说，搞清楚内网安全面临的风险，并充分评估这些风险可能带来的危险，将是实施安全建设中必须首要解决的问题，也是制定安全策略的基础和依据。那么，企业的内网安全主要有以下三个方面的威胁。

内部机密文档安全

企业中与业务相关的信息有九成左右都会以电子文档的形式存在，这些内部信息往往涉及商业机密，甚至是企业的核心关键技术，保密性要求甚高，一旦泄密，极有可能给企业带来巨大的经济损失。

解决方案：

1、高强度的透明加密技术，对机密信息进行安全保护，使文件在用户新建后就自动被加密保护。加密后的文件即使被非法传输到企业外部也无法解密和应用。

2、根据不同的部门和级别，设置不同的内部文档访问控制权限，从而建立完整的保密体系。

3、解决组织内部移动存储设备应用矛盾，总体控制计算机外部设备包括USB、蓝牙、光存储设备使用权限的基础上，分类规范网内的移动存储设备使用行为并进行加密，辅之以全面的移动存储审计，最终达到移动存储设备便携性与安全性兼得的目的。

4、对外发文档的权限进行管理。限制外发超过指定大小或包含指定关键字的文档，甚至彻底禁止外发文档，保护重要的文档不会通过即时通讯工具泄露出去。同时完整记录用户的聊天内容、发送的邮件内容，方便管理者了解用户在进行对话时是否有意或无意地泄露公司重要信息。

用户桌面行为规范

除了企业内部的机密信息，对企业发展起到至关重要作用的就是员工的工作效率。网络的普及，无疑改善了员工的工作条件，提高了企业的整体效率。但是，企业内部可能存在部分员工沉迷于网络或者桌面游戏，忽视专职工作，严重影响企业发展。

解决方案：

1、过滤一切与工作无关的应用程序，分时段或全天候阻止游戏、炒股、媒体播放、即时通讯、BT等程序的运行。

2、限制P2P软件的使用，帮助企业合理分配带宽资源，力保网络平稳。

3、用户应用程序和网页浏览情况的统计表，让管理者对用户的桌面行为一清二楚。

过滤黄色、暴力和恶意传播病毒的网站。

系统维护、资产管理

企业要健康发展，还离不开IT系统的正常运作。由于企业规模的扩大、实力的增强，企业的办公地点可能分布在不同楼层甚至不同地区，由此造成大量计算机系统分布分散、企业内部的资产统计工作非常繁琐。

解决方案：

1、实时查看客户端计算机的应用程序、网络连接、进程、系统信息等基本资料和运行情况，在单一控制台上就可以实现对整个网络内计算机运行信息的掌握。

2、系统运行情况分析，在系统发生异样时及时解决，预防系统故障的发生。

3、远程控制和操作任一计算机，可在控制台对需要帮助的远程计算机进行操作，实现远程桌面访问、双向文件传输。

4、自动搜索和整合企业网络内客户端计算机的IT资产信息，并集中记录硬件型号，节省人手统计的时间。

5、自动统计软硬件资产的变更，提供一目了然的软硬件资产变更列表。

移动存储管理

移动存储设备作为日常的信息交换载体几乎在所有规模的各类组织中被广泛应用，然而超强的便捷性也为IT管理者带来高泄密风险的困扰，在便捷性与安全性之间难以取舍。移动存储管理解决方案可以对各种移动存储设备进行集中管理，帮助企业规范设备使用，遏制外来病毒入侵，防止内部重要信息泄露。

解决方案：

1、禁止USB移动存储、蓝牙、光盘刻录及任何新设备，有效防治外部设备随意接入盗取重要资料而导致泄密。

2、控制对移动存储设备的读写，限制财务部、设计部、开发部的重要文档通过U盘非法转移随意流传到其他部门。

3、使内部移动存储在部门以外的非授信环境中无法使用，防止因U盘丢失导致内部机密泄露。

4、限制首次接入的移动存储设备自动播放，防止因U盘泛滥带来的病毒扩散至企业内网。

5、将移动存储设备制成加密盘，只能在装有客户端的计算机上才能使用。