2014年2月23日 星期日

企業數位權限管理，個資防護，公司文件保護，員工外洩資料，安控措施，文件保護，資料保護，資料外洩

2008年03月號
主題探討
 
在現在有很多的廠商都會到客戶端去談如何保障網路不會被病毒攻擊、癱瘓，或是如何防禦主機不被駭客入侵，這些廠商說的天花亂墜要如何如何去做，要用什麼樣的設備來防禦等等，但是他們都忽略真正企業重要的核心問題就是「數位資產的保護」才是真正的重點。
 
產品資訊
 

本次電子報探討了不同型態的數位資產保護方式，所以本期將會介紹不同數位資料保護產品。

 
 
成功案例
 
 

民營企業內部文件管理規劃探討

 
此企業為全球最大及最先進的唯讀記憶體領導廠商，更是世界級的非揮發性記憶體領導廠商。不斷以最佳產品品質與充足彈性提供客戶在嵌入式系統，消費性及企業應用上擁有最佳的解決方案。
 
 
資安新聞
 
資安新聞
 
敦陽科技為擴大網路及資訊安全專業服務，特別引進全球應用安全第一大品牌Citrix NetScaler，並於今年初完成簽約儀式
 
 
誰摧毀你的企業--數位資產保護
一、前言在現在有很多的廠商都會到客戶端去談如何保障網路不會被病毒攻擊、癱瘓，或是如何防禦主機不被駭客入侵，這些廠商說的天花亂墜要如何如何去做，要用什麼樣的設備來防禦等等，但是他們都忽略真正企業重要的核心問題就是「數位資產的保護」才是真正的重點。就筆者以前的例子而言，網路中斷其實對公司的影響不能說不大，但真的就會造成運作無法完全的執行，這是不盡然的，不然以前是怎麼做生意的呢？何為數位資產不外乎就是公司所產生一些工程文件、機密文件甚至是一些圖檔等文件，這些文件就是一個企業最重要的核心，就猶如可口可樂的那一只配方，如果一旦對外公佈了，這公司就等於是垮了，而本期的電子報重點就是在介紹如何保護您的數位資產，讓這些重要的資料不會外洩或是被有心人士給帶走。
二、數位資產保護的影響 很多人都會認為這些數位資產對我們的影響到底有多大呢？就拿一些最近有很多的洩密事件來說吧，例如東森購物、payeasy購物網站及誠品書店等會員資料外洩，這會讓一些消費者不敢再透過這些網站來購物了，你會放心把你的一些資料放在這些網站嗎？再來對企業而言，就拿半導體而言，說穿了重要的核心就是製程方式，這些方式及方法會記錄在一些文件裏面，一旦這些文件被其它競爭對手拿到了就會提高競爭對手的能力，而削減了自己企業的競爭能力。而一些IC設計的公司，其重要的核心就一些圖檔了，這些圖檔一旦外洩就可能讓對手利用專利保護的方式來讓自己陷入一些問題當中，而這些企業最有名的外洩事件如台積電與中蕊半導體的事件、迎輝科技向嘉威光電提出妨害秘密告訴等。再來甚至是政府都有可能是這類事件的受害者，例如某二名軍官分別將演習兵推及指揮通訊資料帶回家中作業，導致重要國防機密因而外洩。影響層面之深，不僅多名將校將會被懲處，連帶也使得「玉山兵推」向後推遲，國防安全呈現門戶洞開的局面。因此數位資產會影響的層面有下列幾點：
1. 競爭力的下降：由於這些資料外洩而導致其它競爭者的獲利。
2. 法律面問題：智財權的問題、客戶隱私權問題等等。
3. 國家面問題：國土安全問題等等。
三、數位資產保護的考量點：
目前在做數位資產的保護考量點有很多，以下將細分為五項來逐一說明：
1. 數位資產的型態：它可能是圖檔、office文件甚至是文字檔或是影印後的電子檔，這些型態要透過什麼樣的方式來保護，因為這些型態可能影響你所採用的方法或是能採用的技術。
2. 數位資產之架構：也就是你想要保護的數位資產目前的架構是放置在伺服器上，亦或是在員工的電腦裏面，而這些架構可能是在一個工廠裏面或是分在不同的區域裏面，筆者曾經和一些企業的資訊人員交談後發現其實他們另外一個擔心的來源是大陸，因為現在有很多企業都將生產的重心移往大陸，但是往往這些大陸的員工的忠誠度是有問題的，他們往往拿了這些資料就跑到競爭對手的陣營裏，再利用賤賣這些資料來提高自己的薪水，往往導致自己還沒生產出來的產品，可能競爭對手就已經上市了，所以如何跨區域的來保護這些重要的資產就變的相對重要。
3. 數位資產保護的政策：政策往往影響資安的成敗，筆者曾經與一個客戶對談，他希望防止文件被攜出卻無法能夠禁止員工攜帶個人電腦入廠，又不能夠安裝一些監管的軟體於這些私有的電腦上，這樣的話又怎麼能夠避免資料被個人帶走呢？因此，政策的制定會影響整個資安推行的成功與否，所以在推行數位資產的保護應該由上而下方能成功，但大部份的IT都受制於研發的強勢的抵抗而造成推行上的困難，而這類的事件就一而再的發生讓IT人員感到相當的棘手。
4. 數位資產的權限制定：一般而言，「權責劃分」是權限政策的基線，也就是對文件沒有權限觀看的人員，就一定不能夠看到文件，「最小權限」的方式適用於數位資產的保護，這樣才有效的防止這些數位資產的洩漏，而往往權限管理能夠做的好就能減少40%以上的外洩事件。
5. 數位資產的稽核：很多資訊人員往往在建置一個資安專案的時候，只注意產品本身的功能，而缺乏事件發生後的稽核記錄，而這些稽核記錄可能有助資訊人員來追?整個事件發生的過程或是可以提供一個預警的功能。例如很多的入侵的事件都會有一些前置動作，而這些動作可能就是一些預警，舉例而言，筆者曾發現有一些被植入木馬的主機都會有對外不正常的連線動作，或是有執行一些不該或不知名的程式，而這樣的動作就必須靠稽核記錄來協助資訊人員找出一些線索，而數位資產的保護也是同樣的道理，萬一發現的文件的洩密的事件，要如何在這些記錄裏快速的找到洩密的來源及洩密的內容，如同這次陳冠希事件一般，警方如何追查到整個洩密的來源一樣，但在稽核的原則也必需考慮到你要保存的資料有那一些，因為萬一保存的資料過於龐大會造成追查的困難或是問題，筆者曾經發現有些公司連一些光碟燒錄的內容都要備存，結果過大的稽核記錄造成硬碟被塞爆而導致系統被毀損，所以稽核記錄固然重要但也要慎選，否則一堆稽核記錄你真的會看嗎？如果你會看保證到你下班都看不完，所以要如何提供你一些記錄篩選及警示是相當重要。
三、數位資產的技術探討：
了解整個數位資產的保護後，開始討論在整個數位資產的保護所用的技術及大概的方式，在討論前我們先知道什麼是文件的生命週期，如下圖所示：
首先，當文件製作的時候，可能是在自己的電腦或是透過知識管理系統來建立等，這些建立的文件會做修改、刪除等動作，所以誰可以對這份文件有相對權限的控制就是相當重要的課題，但在這階段的文字又沒有辦法做太嚴謹的管控，畢竟，此時的文件及檔案還是一個雛形的階段，一旦太嚴謹會造成作者及其它共同共作者的問題。當文件完成後就被放置在儲存文件的空間中，而同樣的這些文件儲存的地方，可能是在集中的檔案伺服器上，或是在一些文件管理系統上如PLM等等，在這階段需要注意版本及版次的控制。畢竟，如果沒有對版本及版次管理清楚的話，會讓取用的人員不清楚這份文件的新舊，而導致後續參考錯誤的問題，除了版本及版次外權限的考慮也是相對重要，而另一個重要的課題就是這些文件及檔案是屬於集中還是分散的架構，這會導致後面採用防護策略的不同。再來儲存的地方也都定案後，這些儲存檔案的存取管制，誰擁有這些文件的修改、刪除的權限，當然也包含文件的核定權等，一旦文件經過了核定後就有可能進入文件發行的階段，在文件沒有發行前，前面的三個階段都會循環進行一直到文件的發行。發行後的文件有可以提供給內部合法使用者，例如檔案管理中心的ISO文件等；文件也可能提供給外部合法合作夥伴，例如與夥伴利用協同軟體共同開發產品等；這些文件也可能給外部配合廠商例如上、下游的廠商等，所以整個數位資產的保護就必須依不同階段的生命週期而有不同的方式來完成，而不只是單單去買一產品回來就可以完成整個數位資產的保護。
因此，在不同的階段需要不同的技術來協助保護，一般而言會採用的基本原理就是資料的加密、寫出寫入的控制及認證這三塊技術，而大部份會用的種類有下列幾種：
一、數位版權管理DRM(digital right management)：
過去主要運用於防止影音資料被盜拷，近年來被視為保全機密文件的有效解決方案。它的原理就是在音樂、文件與郵件等數位檔案進行統一的版權管理，包括修改、存取、傳遞等權限控管，以防止機密文件遭非法列印、複製、郵件轉寄及螢幕瀏覽等。而DRM的運用在機密文件的傳閱的管理，也就用於文件生命週期中的文件的發行部份，其技術性的做法會在文件上放置一些管理文件的程式，一旦使用打開這份文件就必需經過授權才可以打開這份文件，其詳細的探討可以參閱敦陽資安電子報200704期「優化數位文件管控流程」相關的介紹，除了文件外另外可用郵件的管理，利用PKI的機制可以加密外也能確認來源及發行者等資訊。而一般的DRM之架構如下圖所示：
所有的文件需要經過轉檔放置於一些主機上，而這些文件的使用者必需透過認證的方式才可取用合法的KEY，有了合法的KEY才能打開文件，優點是可以達到完全的控管，因為這些文件不論任何的複製及散佈，在開始文件的時候勢必會連回公司進行認證，這時我們就可完全的掌控這份文件。因此，這樣型態的文件保護適用於文件生命週期中的文件發行。但其缺點就是無法對那一些未轉檔的原始文件進行保護，也就是作者手上那一份文件，所以作者會是洩密管道，再來這些文件需要轉檔才可以進行保護。因此，會造成管理上的不便，你必須要把這些檔案集中才可以進行保護。其次，由於轉檔就會有格式上的限制，一般而言，這樣的類型適用於office、pdf等文件格式，但近年來格式慢慢會增加，現行還有一些新的技術可以將格式擴大於不限，但仍然還是有些技術上的瓶頸。
二、資料加密及數位簽章：
早期傳統的加密及簽章保護對文件的生命週期而言適用於文件的製作上，因為文件的製作或是數位資料的產生時會是一組人員來製作，因此避免經常性的變動，利用加密機制讓一組人員可以隨時對這些資產來修改及變更，而不屬於這組的人員就無法看到其內容，其架構如下圖所示：
所有的人將劃分不同的權限，每個人只能看到屬於他們自己本身所屬的群組內的資料，取用的時候會經過認證，認證後無誤就可以將檔案解密，這種架構的優點在於可以適用於全部的檔案，而每個人都可以維持原有作業習慣，同時不需要經過轉檔的程序。其問題點在於這些合法的使用者如果未經授權將檔案私自給第三者的話就會造成洩密的問題，因此，稽核記錄的保存及追查就變的相對重要。
三、個人端資料保護：
個人端的保護最主要的議題是來自於Data lekage provention，因為有鑑於洩密事件的來源大多數是來自於個人端電腦。因此，如何避免這些個人端電腦不會有洩密事件的發生，就必須控制所有的個人端電腦的存取，所以在個人端電腦上面利用程式來執行監控、管理就是這類技術發展的方向，其技術性是控制個人端電腦在做一些取存的時候利用kernel的方式來控制電腦能執行哪一類的動作或是不能執行哪一些動作為主，其架構如下圖所示：
所有人在存取檔案時，都會透過OS的Kernel來執行，此時我們控制這樣的存取動作，然後讓它變成政策的允許與否，就可以達到控制電腦的外洩管道，而這類的產品慢慢也將加密機制放在裏面，籍此來強化一些資料流入後的加密機制。
四、檔案實體隔離：
檔案實體隔離並不是一項新技術，而是將原有的技術重新包裝，這類方式較簡單，它的想法是過去我們是重視檔案如何防止外洩而來，但他的想法是如何讓資料保留在原有的主機上，就不會有洩密的問題。因此，採用的就是terminal的方式，所有的人要檔案及修改資料就必須到這台主機來修改，修改完後這些檔案還是在這台主機上，這樣不論如何都不會有洩密的疑慮了，其架構如下圖所示：
使用者將檔案上傳後，所有的檔案就被鎖定，任何人需要這些檔案就必須到這台主機來執行，而執行的人無法將檔案給下載及轉傳等動作，這類的方式簡單但重要的問題點如同DRM般無法管理到原始的作者，再來是一旦文件的創作都是在主機上，因此多人共用一台主機的時候其產生的效能就是一個重要的問題，但好處是不像一般的解決方案需要昂貴的建置費用，再來方便管理不會有安全上的疑慮，這類的解決方案適用文件的創作及文件發行來使用，但不適用於RD的研發及一些圖形的開發來使用。
數位資產原本是一家企業的核心，而如何去保護這些資產則相對是去保護這家企業的核心，然而在保護這些核心的同時，我會了解保護的標的、型態及政策才是可能成功的王道，往往政策的支持才是這些方案完全落實的重要方法，有了上述的方法及支援外，最後要如何在這眾多的事件中找出可疑的事件才是真正的達到預防勝於治療，否則這些資產都已經被對手拿到了，找到洩密來源又有何用，就如同陳冠希事件發生，找到的洩密的來源但傷害都已經造成，又於事何補。
本次電子報探討了不同型態的數位資產保護方式，所以本期將會介紹不同數位資料保護產品。
一、數位版權管理(DRM Digital right management)
文件安控管理系統（Authentica SecureOffice/SecurePDF），是一套建構於其專利的ARM主動式權限控管（Active Rights management）的電子文件權限中央控管系統。其獨特的加密、權限控管系統架構，文件管理者或寄件者，將可完全掌控電子郵件附件、文件檔案被使用的權限無論其是否在內部流通或者已經對外發佈您都能隨時掌握，調整並稽核其使用狀況。OfficeSecure/PageRecall運用Authentica的ARM專利技術來確保數位文件傳遞發行出去後的安全機制。身為數位文件發行者，您可以隨時動態決定每一份數位文件的發行權限。您可以控制如下：誰可以閱讀該數位文件？ 可以閱讀哪幾頁？
1. 何時、何地、何段時間區間可以打開該數位文件？
2. 數位文件是否可以被"印表"、"拷貝"、"複製/貼上"、"有效轉寄"？
3. 針對每頁數位文件設定不同的安全存取權限，不同人僅被授權存取不同頁面的內容。
4. 隨時"召回(Recall)"該數位文件所有安全存取權限，無論該電子文件儲存在何種儲存媒介（軟碟／光碟／行動碟／資料庫…）。
5. 完整稽核與紀錄該數位文件被存取的各種被允許的行為與紀錄：誰何時何地看了哪些文件？作了哪些行為？
產品特色:
說明
禁絕機密文件濫用
防止敏感而有價的數位文件內容未經授權的複製與轉寄或列印或者螢幕拷貝(PrintScreen)。
集中式權限控管
無論文件被複製到何種儲存媒介，均能提供集中式文件存取權限控制。
自動化的安控金鑰管理機制
所有安控金鑰與權限設定檔均自動化儲存於安控伺服器上，您毋需煩惱一籮筐的後續管理問題，更避免了文件存取金鑰交換等等繁複的連線處理程序。 同時安控伺服器Policy Server 僅儲存加密金鑰，並不需儲存「敏感文件」落實ISMS 責任分離以及異地儲存的資訊安全策略。
支援離線存取
加密文件雖然一致要求連回安控伺服器以利控管權限，但PageRecall 仍能支援離線存取，以利郵件閱覽者在特殊情況下斷線之後仍能保有正常之存取權限。並可設定離線租用時限（lease），一旦用戶再度連線，使用歷程記錄仍能完整回存安控伺服器中。
完備的存取控制能力
文件管理者可決定誰可以存取加密文件，以及加密後文件何時可以被閱覽。甚至加密文件能在何處被讀取或列印。也可以進一步設定文件詳細的使用期限，以確保文件內容的時效性。
可自由選用身分認證模式
OfficeSecure/PageRecall 提供多樣化的身份認證設定方式。包括Guest Access，它可讓文件在不要求閱覽者身份認證下，仍能進行後續安全控管的加密動作。以確保日後隨時修改權限的機會，以保障文件安控範圍的完整性。
動態且即時性的權限管理
文件管理者可以隨時調整/改變加密文件的權限設定，您完全毋需理會文件複本是否需要更新權限的問題，一旦使用者再度開啟此份加密文件，修訂過的使用權限將立即生效，以決定其是否有權使用以及相關限制。
數位文件存取過程稽核追蹤
SecureOffice/PageRecall 安控伺服器上提供加密文件完整的記錄(log)，包括從文件管理者到最後閱覽者的使用過程都一併涵蓋。甚至連線成功或存取失敗的記錄都一一在列。文件管理者能鉅細靡遺地檢視文件被開啟的過程記錄：包括何時被列印；閱覽等等。有利於文件安控之後的稽核追蹤處理。
系統需求:
作業系統(PolicyServer)
Windows NT /2000 Server (500 Mhz CPU, 256MB RAM, and 10GB HDD 以上) Sun SPARC Solaris 2.6 or 7 (Ultra SPARC-II with 400 MHz, 512MB RAM, and 10 GB HDD以上)
作業系統 (Authentica Client)
Windows 95/98/NT/2000/XP
SecureOffice and SecurePDF
Microsoft Office 2000/XP/2003 Adobe Acrobat Reader 5.0, 6.0 or 7.0
資料庫(Database)
Microsoft SQL Server Oracle version 8.15 and 8.17 or 9i
支援認證方式
RSA SecurID version 4.x and 5.x LDAP version 3.0 (MS AD 2000 Server and iPlanet Directory Server 6.x)支援自然人憑證, Netscape Certificate Server , Microsoft Certificate Server 1.0, VeriSign, Entrust ,GTE Cyber trust , Baltimore Technologies, and RSA Security Keon 5.0 等CA機制 Windows NT Domain authentication
二、個人端資料保護(IP Guard)
IP-guard是在企業網路內監視和記錄各台電腦的全面使用情況的工具。它具有強大的螢幕快照、網路管理、即時跟蹤、運行統計、歷史歸檔，設備管理及控制等功能。IP-guard 根據需要自動截取工作站的螢幕快照、應用程式運行和瀏覽互連網的情況，記錄用戶在電腦上的各項操作並能對指定的操作進行限制。這樣，IP-guard 可以讓您隨時瞭解您公司電腦用戶的資源利用情況，從而保證企業的資訊安全，提高生產效率。
IP-guard產品特色:
1. 保護您核心業務的知識產權
在IP-guard的幫助下，您可以隨時對區域網絡的各電腦工作站螢幕畫面作全程監控。您更可記錄電腦螢幕畫面，以便日後查看。如下圖所示:
2. 按規定約束用戶使用電腦
按規定阻止各電腦工作站執行指定應用程式和瀏覽指定網站，以確保公司規定被嚴格執行。
3. 記錄檔案操作
記錄各電腦工作站的檔案操作，記錄機密檔案被非法操作的證據。
4. 防止機密資料外洩
禁用電腦工作站移動存儲設備介面，防止員工通過移動存儲設備竊取公司機密資料。
5. 客觀評估員工工作質量
您可以輕易地利用IP-guard追溯並且重播螢幕歷史畫面。這除了有助評估員工服務質量，在出現問題時，更可協助調查並追溯證據。
6. 推動策略性的資源計劃
IP Guard可以提供每台電腦的使用歷史記錄，例如網站瀏覽報告和應用程式執行報告。從而使您可以制訂一項策略性的電腦資源運用計劃，作更有效的資源分配。
7. 提供有效的軟硬體資產管理
有了IP-guard，企業的技術人員不用走到工作站，亦可查看所有各地辦公室的電腦軟硬體配置。
8. 限制使用者之權限
為提供系統安全，每個授權監察之使用者均須以獨立密碼登入系統，而且不同的使用者會被授予不同程度的監察權限。
9. 方便遙控管理跨國辦公室
即使您企業的辦公室分散在全球各地，IP-guard仍能助您有效監督與遙控生產流程，以及資訊交換過程。
10. 備有數據加密程序
IP-guard Agent跟IP-guard Server的數據傳輸，均用64-Bit的資訊加密標準(DES)進行加密，以加強保護企業資訊。
11. 節約成本的解決方案
IP-guard可應用在任何桌面電腦以至網絡系統上，您無須提昇或更換現有之系統設備，從而減低投資成本。
系統要求
作業系統:Microsoft Windows 95 OSR 2/98/ME/NT4/2000/XP
最低配置:處理器 32-bit Pentium 266MHz
硬碟空間:需要10MB的可用硬碟空間
網路卡:10/100 MB 網路介面卡
區域網絡介面: TCP/IP 通訊協定
三、檔案隔離(DOFS)
DOFS(display only file system)提供了一種"顯示存取，實體隔離”的文檔存取專利技術。從而保證即使是具有足夠許可權的內部員工也無法獲得機密檔案內容的任何位元組。不僅如此，DOFS 在防止資訊竊取的同時，既不會影響用戶的工作習慣，也不會要求企業現有的IT 結構做出任何的改變。DOFS 設計上的關鍵技術是應用程式的透明化遠端執行。這種技術將任何對DOFS 上檔案存取請求轉送到DOFS 伺服器上面的應用程式去執行，然後再將執行結果的圖形介面傳送回用戶的電腦，從而保證任何檔案一旦被存入DOFS 檔案伺服器，該文檔內容的任何位元組就再也無法離開DOFS 伺服器。與此同時，用戶仍然可以正常存取保存在DOFS伺服器上的檔案，就如同存取本地端檔案一樣。DOFS整個的架構及所使用的技術，如下圖所示：
產品特色：1. 檔案一旦被存入DOFS 伺服器，該檔案再也無法離開DOFS 伺服器。
2. 經過授權的用戶可以開啟、流覽、複製、剪貼及編輯修改保存在DOFS 伺服器上的檔案，就如同存取用戶端的檔案一樣。
3. DOFS 可以與作業系統提供的用戶身份認證和檔案存取控制協同工作，從而簡化DOFS 自身的操作和配置要求。
4. 為防止機密檔案被用戶以copy & paste 文書編輯功能複製到用戶端的電腦，DOFS只允許單向的剪貼板操作。檔案資料可以從DOFS 用戶端傳到DOFS 伺服器，但反向傳送則被禁止。
5. 每當用戶存取檔案時，用戶端電腦上的螢幕輸出 (screen dump) 功能，及各種螢幕輸出記錄 (screen recording) 軟體都被禁止運行。
6. DOFS 伺服器上檔案的重要存取操作，例如存入，輸出，列印，郵件寄送等等，都被寫入日誌並進行監控。其運作的原理與Terminal server類似但不同的差異如下表所示：
系統需求：
作業系統(伺服器端)
MS Windows 2K，Server 或Advanced Server Edition; MS Windows Server 2003，Standard 或 Enterprise Edition
應用程式
用於存取檔案的應用程式，例如(MS Office，Adobe，等等)。
作業系統戰(用戶端)
MS Windows NT 4.0/2K/XP/Server 2003
四、文件安全控管嚴謹
1. 保護檔案格式範圍
TrsutView DRM for Office、PDF、ProE、AutoCAD。
2. 文件安全控管權限範圍
文件安全控管下列文件使用權限：可防止複製 / 貼上、防止列印、防止修改、防止另存未加密檔、離線閱讀、閱讀期限(天數)、無帳號離線閱讀。
3. 防止抓圖功能程式擷取螢幕畫面資料。
4. 文件政策的制訂方式
TrustView提供有三種文件政策的制定方式，讓文件管理員可以達到保密政策分級 / 分組權限控管的目的。
個別制訂政策: 可設定對所有帳號使用者個別設定使用權限，也可針對不同群組及個人設定不同權限。
無帳號離線閱讀: 任何人均可開啟文件，不需有登入TrustView的帳號，只需安裝Office Client Agent後即可在被允許的期限內開啟文件，開啟後只能唯讀或列印。
選擇文件政策範本: 選擇以事先定義好的政策範本作為文件的權限，可以根據不同的群組設定不同權限。若政策範本內容日後有所更動，之前套用此範本的所有文件將會適用新的範本權限。
5. 文件動態權限設定(Dynamic Policy Mapping;DPM)
Dynamic Policy Mapping (DPM)技術能動態即時針對每一個文件建立起group-based policy，而不需套用政策範本，在文管流程上可隨時動態修改每份文件的群組權限而無須管理者事先設定範本，真正能夠做到全自動化無人管理的地步。強大的TrustView權限解析引擎能分析同時隸屬於多個群組的使用者權限，讓同時隸屬於多個專案群組的使用者也能順利獲得正確的文件閱讀權限。
6. 文件回收
即使文件已經被拷貝或到他人手上之後，仍可透過線上機制改變文件使用政策或甚至回收該文件。一旦文件管理人員透過系統管理者界面(ACM)使用文件回收功能，即使實體文件仍在，但使用者權限已被回收，仍無法開啟文件。
7. 使用先進RSA 256-bit AES加密技術
TrustView 獲得授權使用業界最先進的RSA 256-bit AES加密引擎。AES加密技術是獲得多項國際認證且最受肯定的世界級加密機制，是新一代的主要加密標準，且AES兼具速度快，消耗運算資源少等多重優勢，其破解困難度在學理上較競爭對手使用的微軟 RC4 或 Triple-DES 加密演算法困難上兆倍 。
8. 文件災難復原機制
TrustView系統的文件加密流程，除了可以保障文件安全之外，更有災難復原的強大功能。rustView的緊急復原金鑰，可分散給不同管理者保管，以降低人員洩密風險。只要妥善保存緊急復原的三組金鑰，即使不幸發生TrustServer及資料庫全毀的情況，TrustView的災難復原機制，仍可以將TrustServer與資料庫重建，讓機密文件不受損毀，仍然可以安全地被閱讀使用AES加密技術。
因此在TrustView系統運作時產生兩組金鑰；公鑰及私鑰，這兩組金鑰都是以檔案格式存放，平時系統管理者應該妥善保存備份這幾組鑰匙，如果不幸發生TrustServer及資料庫全毀的情況，可將存放的公鑰帶回TrustView原廠，原廠將根據客戶所提供的公鑰產生一組災難復原鑰匙，客戶使用這組災難復原鑰匙和私鑰，將可把已加密保護過文件，還原到原本未加密的狀態。
TrsutView系統應用整合多元
1. 帳號系統模組支援Single Sign On功能(選購模組)
TrustView 的LDAP帳號整合模組支援LDAP 3，可以與企業機構內現有的Microsoft AD或Lotus Notes帳號系統整合Single Sign On，達到使用者透通(Transparent)的境界，因為Single Sign On功能在使用者開啟Office 或PDF程式時，TrustView系統自動將使用者帳號連線登錄到系統上，即使閱讀TrustView保護文件，使用者開啟加密文件時不需再登錄一次帳號密碼，原來使用文件習慣不變。
2. Authentication模組支援多家PKI廠商認證機制(選購模組)
採取TrustView UAPI(Universal Authentication Plug-In)介面，可彈性整合各類認證方式，除一般帳號密碼認證，其他如 PKI 方式或者指紋辨識等等認證，亦可輕易地與 TrustView 系統整合。
3. 提供帳號整合、權限整合及流程整合API(選購模組)
企業機構內既有或即將導入各種KM / 文管 / 公文 / Notes / PLM系統，但是考慮到文件管理機制上的安全漏洞，通常都是附件文件控管功能不足，無法針對文件本身做有效的權限控管，因此TrustView提供豐富的API功能整合文件管理機制，尤其在帳號整合、權限整合及流程整合上，全方位的提供客戶及合作夥伴文件安控的最佳解決方案。
4. File Server自動加密模組(選購模組)
針對File Server上的目錄，File Server自動加密模組會根據預先設定，自動針對不同檔案夾套用不同權限，對檔案進行保護，自動加密。並具有作業系統的檔案通知機制，自動地定時檢查是否有尚未加密的檔案，不需毫無效率地固定檢查所有檔案，增加系統效率。若有，則系統會將該檔案自動加密，所有從File Server上拿走文件的人，必須依照此文件的權限來使用該文件。
5. 浮水印功能模組(選購模組)
可提供動態浮水印功能，將特定圖案(例如公司LOGO)、使用者帳號或閱讀時間等資料，以指定的位置，依據不同的使用者資料，使用浮水印方式出現在螢幕畫面和列印資料上。
TrustView Agent系統需求如下表:
TrustView Agent系統需求
＊Microsoft Windows 2000以上
＊Microsoft Office SR-1a, XP SP3, 2003 SP1
＊Adobe Acrobat Standard/Professional 5.0-7.0(加密)
＊Adobe Acrobat Reader 5.1-7.0(閱讀)
Pro/Engineer版本需求：Wildfire2.0以上
TrustServer:
＊Microsoft Windows 2000 Server SP2
＊Microsoft Windows 2003 Standard Edition
＊RedHat Linux v9.0
建議硬體配備(100 User)
＊Intel Pentium 4 at 2GHz or Sun UltraSPARC III at 1.2GHz
＊1CPU/1GB of RAM
＊Hard Drive 20GB(含系統及資料)
Database
＊Oracle 8i/9i/10g on Windows 2000/2003 Server, Solaris 9 or RedHat 9
＊Microsoft SQL Server 2000 SP3 on Windows 2000 SP2/2003 Server
產業--民營企業內部文件管理規劃探討
公司背景
此企業為全球最大及最先進的唯讀記憶體領導廠商，更是世界級的非揮發性記憶體領導廠商。不斷以最佳產品品質與充足彈性提供客戶在嵌入式系統，消費性及企業應用上擁有最佳的解決方案。
需求起源
企業內部文件管理僅透過Lotus Domino/Notes 的客制化應用系統及傳統的檔案資料夾權限來管理，這二種解決方案在文件二次傳遞後，都會喪失原始資訊存取控制的繼承性，或者在文件發佈傳遞之後，即無法動態地調整原有的存取權限，這對擁有許多特定專利的企業研發團隊及生產銷售文件的文管中心存在著相當大的風險。而隨著「文件版權管理（Document Rights Management, DRM）」產品技術的成熟進而導入企業文件管理的應用領域中，內容存取的政策管理機制，正好符合此企業對於文件安全控管的系統需求。
整合規劃與溝通
敦陽科技資訊安全團隊憑藉在文件版權管理產品擁有的豐富建置經驗，並且也投入深入研究文件版權管理產品的客製化技術與延伸應用。因此，在專案前置作業之時，細心地與企業主管和技術人員充分溝通產品的功能與技術架構。在不影響使用者原本的流程系統和操作習慣的前提之下，依然可以享受到文件版權管理保護機制，大幅減少IT部門在推動新解決方案時，受到使用者層面的抗拒壓力。並設計出能與客戶現存文件管理系統完美結合的技術方案如下圖所示：

Lotus Domino/Notes 整合技術
敦陽科技資訊安全團隊從DRM產品API(Application Programming Interface)延伸開發出來的DRM for Notes套件，能直接在Lotus Domino/Notes應用程式上運行DRM相關功能，配合與客戶端Lotus Domino/Notes技術人員的合作，即可將公司的文件管理系統中嵌入DRM功能。
批次文件處理系統
針對大量文件版權管理的模式(例如:檔案伺服器上的大量文件)，敦陽科技資訊安全團隊也開發出「DRM批次文件處理系統」來滿足這一類的需求。能依各別檔案目錄設定不同的安全政策，並自動掃描將該目錄的文件轉換成DRM文件。
整合式稽核與追蹤查詢系統
文件版權管理系統上線後，管理人員最麻煩的是在於落實稽核與追蹤的工作，成千上萬的文件，資訊散落於伺服器記錄檔、產品資料庫、各別文件需要人工單獨作業..等等困擾。敦陽科技資訊安全團隊有鑑於此，開發出將DRM產品各式記錄資訊匯整成單一平台的查詢系統，大幅提升查詢速度和效率，方便管理人員可以在單一查詢平台上即能快速執行各種稽核追蹤的工作。
DRM批次處理管理工具
數萬筆已經受DRM保護的文件，如果要同時異動其中的授權內容，則會是管理人員最大的惡夢，只能一筆一筆文件修改。敦陽科技資訊安全團隊也將原廠DRM產品很少考慮到的這種特殊狀況的管理功能一併給解決了。「DRM批次處理管理工具」能讓管理人員單一設定即可執行批次異動N筆文件授權內容的工作。
成果與效益
企業在不改變原本文件管理系統的流程使用下，順利加入文件版權管理系統的控管能力。完成導入後，對於內部的重要文件擁有下列所示的七項安全控管功能：
1. 控制重要文件的存取對像
2. 防止重要文件被不當散佈給未受權人員
3. 禁止重要文件或部份內容被任意列印
4. 無法透過複製/貼上或者螢幕截取功能取得重要文件內容
5. 授權重要文件列印功能時加註浮水印證明來源
6. 重要文件隨時可以撤回文件或變更有效時間
7. 完整追蹤稽核重要文件的活動歷程最重要的企業IT管理人員透過敦陽科技資訊安全團隊技術移轉訓練課程，完整取得DRM產品技術及延伸開發應用的擴充能力。
結論
市場上DRM產品擁有許多品牌，在選擇產品上除了價格之外，尚需考慮產品全球市佔率及品牌以保障產品的可靠性和穩定性(由市場使用狀況來驗證)。這次案例之所以會如此順利成功，除了採用DRM全球第一品牌EMC IRM(前Authentica)產品外，更重要的是敦陽科技資訊安全團隊提供足夠的客製化整合技術能力，滿足不同企業的應用環境下個別的使用需求和延伸功能。在事前的充分溝通並站在客戶的立場來考量系統設計，預先提出客戶尚未考量到的問題和解決方式，並且能在POC測試階段完成整合可行性的技術佐證取得客戶的信任。因此，總歸來說，DRM產品好壞固然是一回事，但是好的DRM產品更需要有好的系統整合廠商才能讓產品的應用符合企業的期望與事後維護能力的保障。
敦陽科技正式成為Citrix 簽約經銷商(Application Network Group, ANG)
敦陽科技為擴大網路及資訊安全專業服務，特別引進全球應用安全第一大品牌Citrix NetScaler，並於今年初完成簽約儀式，正式成為Citrix在台灣的ANG經銷合作夥伴。Citrix產品之強大應用安全防護及效能，加上敦陽完整的銷售服務及建置經驗，未來將提供客戶更強大、更完整的網路及資訊安全解決方案！




張貼者： 於

沒有留言:

張貼留言

訂閱： 張貼留言 (Atom)