企业数据保密与文档管理软件选型

从企业信息泄露的严峻现状说起

文档防护，尤其是文档透明加密技术，一直是信息安全领域的核心课题。它的初衷很简单：在用户毫无察觉、不改变原有操作习惯的前提下，自动完成文档的加解密。听起来很美好，但实现一个稳定、高效且安全的防护系统，却是一个实实在在的难题。难点不仅在于透明的加解密过程，更在于如何真正防止文档被泄密——这才是真正的难点所在。

目前，国内外主流的文档透明防护方法主要分为两大类：一类是基于API拦截的HOOK技术，另一类是基于IRP拦截的驱动技术。HOOK技术运行在应用层，效率相对低下，而且容易因为文件重入，导致明文文件被轻松复制带走。驱动技术内部则分为清缓存和双缓冲两种方案。清缓存方案在效率上不及双缓冲，但双缓冲技术目前更多还停留在理论层面，其稳定性和实用性有待商榷。例如，基于分层文件系统（Layer FSD）的双缓冲技术，就长期受困于文件清理和缓存同步的难题。相比之下，清缓存技术反而因为更稳定可靠，成为当前许多商业应用的首选方案。

然而，仅仅做好文件的透明防护是远远不够的。如果系统只关注加密，而忽视了泄密出口的封堵，那么整个透明防护机制就形同虚设，还会拖累系统效率。一个真正安全、可靠的防泄密系统，必须能够通盘考虑驱动层和应用层可能出现的所有泄密路径，逐一堵死。无论是对企业还是个人而言，机密信息一旦泄露，后果都是灾难性的。

一、公司文档安全防护的背景

我们来看看现状。目前国内外大部分的研发成果都集中在Windows文件系统上。即便是那些号称采用了双缓冲技术的产品，价格也相当昂贵，且实际上仍属于理论研究范畴，稳定性与实用性难以保障。至于在Linux环境下实现透明加密的方案，更是需要大量修改Linux文件系统的内核源代码并重新编译，不仅技术门槛高，而且不适用于主流的Windows操作系统。

大量基于Windows文件过滤驱动的方案，都在无意中降低了文档保护的强度。它们过于侧重“透明”防护，却未能更贴近实际地考虑泄密问题，比如进程名被轻易修改、明文文件未被加密、文件被另存为、或数据被复制粘贴等情况。虽然也有方案尝试堵住其中一些途径，但很难做到面面俱到、万无一失。可以说，目前还没有一种能够达到高效、经济、安全、稳定，且适用于主流操作系统的综合性文档透明防泄密方案。

二、大势至企业文档防泄密解决方案

尽管国内主流的电脑文件防泄密系统大多采用基于IRP拦截的驱动级防护技术，但基于API拦截的HOOK技术并非一无是处，甚至在特定场景下不可或缺。尤其是在面对用户那些不可预知的、非标准化的操作行为时，基于窗口拦截、进程拦截和文档描述拦截的HOOK技术，能发挥巨大的补充作用。

大势至企业文档防泄密系统正是基于这种理念设计的。它巧妙地将IRP拦截的驱动技术与API拦截的HOOK技术结合起来，以后者作为核心基础，再配合前者提供灵活的扩展能力。这样一来，系统不仅能提供稳定、底层的防护，还能针对用户个性化的电脑文件防泄密需求进行定制开发，从而给出一个更加全面的管理方案。

图：大势至公司数据防泄密软件

大势至电脑文件防泄密系统具体功能如下：

1. 全面禁止U盘、禁用USB存储设备的使用；
2. 只允许从U盘向电脑拷贝文件，禁止从电脑向U盘拷贝文件；
3. 只允许使用指定的U盘或特定的USB存储设备；
4. 禁止网盘、邮件、FTP文件上传，禁止通过QQ、微信、Skype发送文件；
5. 禁止电脑随意安装或运行软件；
6. 只允许访问特定网址，禁止访问某些网站；
7. 禁止开机按F8进入安全模式，禁止U盘或光驱启动电脑；
8. 禁止修改注册表、组策略，禁止打开设备管理器或计算机管理。

同时，系统还能禁用无线网卡、随身wifi，禁止电脑共享文件、网线直连拷贝文件等行为，可以说是严防死守，堵死了各种可能的泄密途径，全面保护电脑文件安全。

更值得关注的是，该系统集成了全面的个性化设置接口，网络管理员可以根据实际情况灵活配置，实现动态、实时、个性化的防泄密管理。最终目标，正是帮助企业与个人真正实现文件安全管理，防止商业机密泄露。