Chinasec可信网络安全平台特点

1.一体化的内网安全管理平台

         Chinasec可信网络安全平台是一个集身份认证、授权管理、数据保密和监控审计于一体的内网安全管理平台，遵循“以身份认证为基础、以数据安全为核心、以监控审计为辅助”的原则，解决了内部信息网络中存在的大量复杂问题。Chinasec可信网络安全平台的总体特点体现如下：

        1）一体化的安全管理平台和解决方案。Chinasec提供了一体化的安全管理方案，将用户身份认证、授权管理（包括服务器访问、计算机使用和终端各种资源）、数据保密和监控审计集中于统一的架构和平台进行管理，实现了用户、计算机和安全策略三者的灵活联动，大大提高了管理的效率，减少了安全漏洞。

        2）适应大规模和分散的网络管理和部署，支持集中管理、多级管理授权、多级部署、负载均衡和热备等需求，可以适应大规模网络的部署。

        3）Chinasec可信网络安全平台基于系统内核技术和密码技术，实现对数据安全和信息系统访问控制，从数据源本身有效解决了安全问题，避免了从数据传输途径上解决安全问题的局限性。

        4）Chinasec可信网络安全平台提供众多的亮点技术，并申请了多项专利，包括本地硬盘全盘加密、移动存储设备的管理、网络传输全网加密、工作模式定义、虚拟保密子网划分和邮件智能加密等。

        5）Chinasec可信网络安全平台还提供了多项开放接口，包括第三方密码算法和密码设备接口、标准PKI和数字证书接口、审计报表定制接口、第三方应用系统登陆接口以及办公自动化（OA）系统公文加密接口等，可以兼容负责的IT应用环境和管理环境。

2.Chinasec可信网络认证系统特点

        1) 完全独立于计算机、网络系统原有的认证体系，安全可靠性更高，且支持各类标准的CA服务器，使用方便，对原有的内网体系影响很小。

        2) 基于PKI技术的“双因素认证”，用户必须使用合法的认证令牌，并提供认证令牌对应的PIN码，才能登陆安装了可信认证代理的计算机操作系统，两层保护提高了认证安全级别。

        3) 支持在USB令牌用户之间的安全文件数据传输。加密文件可以通过网络或者存储设备等进行交换传输，只有指定的用户或者用户组使用硬件USB令牌才能打开和阅读被加密的文件，提高了文件传输的安全强度。

        4) 具备FTP安全增强功能。可将FTP服务器的用户帐号和代表用户身份的硬件USB令牌强制绑定，从而避免了内部盗用领导或者其它人FTP帐号非法下载资料情况的发生。

        5) 提供了高等级的个人计算机保护功能。用户可以设定计算机操作系统在令牌拔出后自动锁定，以保护个人计算机的安全；可以实现对安全模式的禁用。

        6) 用户可以设置安全磁盘，数据以加密形式在此盘存储，与用户令牌绑定使用，只有使用正确的令牌才能加载。在该磁盘上的操作对用户完全透明，和正常的硬盘使用完全一样，并提供了异常情况下恢复数据功能。

        7) 可建立安全服务器区。使用安全网关，管理员可以指定每个用户能够访问单位内部哪些特定的应用服务器，或者指定某台服务器只能授权哪些用户使用。这些用户访问这些服务器之前，都需要通过服务器的统一认证，获得授权。

        8)令牌分发、令牌吊销、令牌授权、令牌更新等操作由管理员在管理中心即可完成，管理的效率得到了极大的提高。

        9) 令牌PIN码输入错误达到预先设定的值，令牌立即锁定，防止令牌丢失后对令牌的强行字典攻击。令牌中的密钥是唯一且不可复制的，不能通过复制令牌等方法来伪造用户身份。

        10) 自动生成包括每次登录企图和操作的审计追踪信息，且具备自动日志维护功能，有助于防止内部员工滥用访问权或疏于执行安全策略而造成的损失。

3.Chinasec可信网络保密系统

        11) VCN部署、使用简单、方便。VCN是在开放信息网络中划分出的虚拟网络，各项功能通过软件实现，无须改变原有的网络拓扑结构，且数据加密和解密对用户和计算机应用来说都是完全透明的，也不会影响用户的使用习惯。

        12) 数据加密传输，网络更加安全可靠。部署VCN的所有计算机，启用网络策略后，其传输的数据都是经过加密的，且每两台计算机使用的通信密钥都是不一样的，从而有效防止了网内使用恶意侦听软件的行为。网络加密的密钥由VCN服务器统一管理，并且定时更新。

        13)在内网中按照安全等级、信任关系等标准可设多个VCN，同一个VCN内的计算机可以实现相互自由的数据通信，并可与经过认证的存储设备进行数据交换；不在同一个VCN内的计算机相互之间不能进行正常的数据交换，也不能通过存储设备交换数据，除非获得管理员的授权。

        14) VCN强制加密除本地系统盘外的所有本地磁盘保存的文件，只能在VCN系统启动的情况下才能正常使用本地磁盘，但为了防止通过系统盘造成数据泄密，VCN禁止向系统盘写入任何数据，包括安装任何新的应用程序；所有写入系统盘的数据，都被缓存在其它区域，一旦系统注销或者关闭，所有缓存数据将被清除；有效防止了因为硬盘丢失、多操作系统和光盘启动等造成的数据泄密事件的发生。

        15) 有效防止了非法外联和非法接入。VCN内的计算机不能与VCN外的计算机进行网络通信，有效防止了基于Modem、ADSL拨号或者双网卡等方式实现的非法外联，而且防止了通过交换机接入或者通过网线将两台计算机直连的方式实现的非法连接。

        16) 移动存储设备必须先由管理员进行认证，并在某VCN中注册，设定磁盘读写权限后，才能在所注册的VCN及其信任域内使用，其他的VCN内将无法对此设备进行正确解密，有效限定了移动存储设备的可用范围。

        17)通过安全网关建立一个安全的服务器区，可以对企业的所有重要信息服务资源，如OA、Mail和文件服务器等进行有效保护，防止非法接入计算机的攻击。

        18) 可使用转发网关构建开放服务器区，用来放置单位公开的服务器，如Web服务器，接受内网计算机和外网计算机的访问，同时有效隔离内网和外网。

4 . Chinasec可信网络监控系统

        19)  可以实现计算机的远程监控。对所有内网计算机进行有效的集中管理监控，及时发现计算机环境，包括发现计算机应用程序、硬件设备、用户帐号、网络状况和用户其它可能信息等。

        20) 支持灵活的策略模型，可以对每台计算机根据其在线/离线状态设置不同的策略，从而达到有效控制计算机的目的。

        21) 为了单位内部管理需要和网络安全稳定需要，可对用户的行为进行有效管理，比如禁止用户使用QQ等应用程序，落实单位的管理规章制度。

        22) 可实现对计算机外设使用的有效管理控制，比如USB口的使用、打印机的使用或者拨号Modem的使用等。本系统采取有效的措施对这些外设使用进行集中管理，而且能够在需要的时候进行灵活授权管理。

        23)  既能够实现对每台计算机的网络状况进行实时监控，又能够对整个计算机网络的使用进行有效管理，比如允许访问哪些站点、IP和端口，甚至可对访问网络的内容进行记录等。

        24) 提供完整的审计信息。可对用户违反管理规则的行为进行记录，对用户的文件操作进行记录甚至对用户网络发送邮件的内容进行记录，为以后单位进行信息安全追查提供有力依据。

        25) 此系统还可以和Chinasec可信网络认证系统联合使用，实现更加强大和灵活的功能，可以根据用户和计算机的不同组合实施不同的授权和策略，例如：使用同一台计算机，用户A可以使用光驱，而用户B则没有这个权限不能使用。

5 . Chinasec可信数据管理系统

        26) 此系统兼顾了保密性和开放性，有效实现了企业内部计算机既需要连接外网（Internet），又需要防止核心数据泄密的目标；还可以跟中安源（Chinasec）可信网络安全平台其它系统统一使用，从而建立企业完善的集身份认证、安全管理和安全保密于一体的信息安全保障体系。

        27)  通过提供工作模式或普通模式来改变客户端计算机的网络连接状态，为内网构造了一个安全的数据使用环境。用户登陆普通模式时可接入互联网，但不能接入到企业内部受管理的数据服务器和业务系统之中；切换到工作模式后，既进入保密数据工作环境，此时只能接入内网受管理的数据服务器和业务系统，同时将自动切断除内部系统之外的所有网络通信。

        28) 完善的模式切换方式。用户可能需要切换各种工作模式，在不同工作模式切换的时候，为了有效清除内存和缓冲区的数据，防止不同模式之间的泄密，管理员可以设定不同模式之间切换的动作，包括：注销、重启或者直接切换。

        29) 建立可信数据区，所有存储的数据都是加密的，客户端仅在进入工作模式的情况下才能访问，所有数据都不会被泄密到普通模式中，从而有效实现数据保密功能。该数据区可分为三部分：本地加密受控空间、远程共享区和远程个人数据区，满足客户端的不同使用需求。

        30) 可信数据区的文件可实现权限管理。具有管理权限的用户（管理员模式）可以设置每个文件或者文件夹相对于具体用户的权限，这些权限包括创建、删除、修改和阅读等等。普通用户也可以在自己的个人共享区对文件和文件夹进行权限管理，从而可以跟DMS系统内的其它用户进行协调工作或者数据交换。

        31) 具备离线工作模式。在计算机离开内网后，进入离线工作模式。此时，仅最后一次登陆DMS系统的用户能够进入计算机的工作模式。进入工作模式后，将切断所有网络和存储输出，但可以在可信数据区的加密受控空间工作，存储数据。

        32) 具备外设禁用功能。可根据需要设定在某种工作模式下，强制禁止客户端计算机的所有外设输出端口，进一步增强客户端数据使用环境的安全性。这些外设包括常用的数据输出端口，如USB、红外、光驱、软驱、串口、并口和1394端口等。

        33) 采用统一的用户管理模式，用户可以是简单的用户名/口令用户，也可以跟Chinasec可信网络认证系统相结合，使用统一的令牌用户。