CN104219077A - 一种中小企业信息管理系统 - Google Patents

Abstract

本发明公开了一种中小企业信息管理系统，包括路由器、交换机、系统控制台、平台服务器和客户端，所述交换机分别与路由器、交换机、系统控制台和平台服务器相连，所述路由器与互联网相连。此系统兼顾了保密性和开放性，通过提供工作模式或者普通模式来改变客户端计算机的连接状态，为内网构建一个安全的数据使用环境，具有完善的模式切换方式。建立安全数据区，具备离线工作模式，具备外设禁用功能，采用统一的用户管理模式，用户可以是简单的用户名/口令用户，也可以跟安全认证系统相结合，使用统一的令牌用户。

Description

一种中小企业信息管理系统

技术领域

本发明涉及一种管理系统，尤其涉及一种中小企业信息管理系统。

背景技术

许多企业内部虽然安装有防火墙防护，但是无法防护企业内部入侵；然而操作系统本身自带的加密功能又十分脆弱。很多员工的安全意识较薄弱，将携带木马或病毒常常通过移动设备(如U盘、移动硬盘等)插入办公电脑中，这些病毒自动植于局域网电脑中，利用局域网“偷窥”网内的文件信息或者破坏文件，造成重大损失。由于没有专业的防护软件监控，没有日志记录，计算机管理员查找原因费时有费力。国内只有较少的单位涉及面对中小企业的基于商用密码产品的，上网行为审计，网络准入，文件加密的产品，其他公司的产品，只能实现一项功能的产品，而且部署复杂，管理繁琐。

发明内容

本发明的目的在于提供一种中小企业信息管理系统，基于内网安全理论与加密理论研发的安全管理产品，以密码技术为支撑，身份认证为基础，数据、内网安全以核心、监控审计为辅助，可灵活全面的定制并实施各种安全策略，实现对内网中用户、计算机和信息的安全管理，达到有效的用户身份管理、计算机设备管理、数据安全保密存储和防止机密信息泄露等目标。

本发明采用如下技术方案实现：

一种中小企业信息管理系统，其特征在于，包括路由器、交换机、系统控制台、平台服务器和客户端，所述交换机分别与路由器、交换机、系统控制台和平台服务器相连，所述路由器与互联网相连。

本发明具备的有益技术效果是：

此系统兼顾了保密性和开放性，有效实现了企业内部计算机既要连接外网又要防止核心数据泄密的目标，还可以跟中小企业信息管理系统其他系统统一使用，从而建立企业完善的集身份认证、安全管理和安全保密于一体的信息安全保障体系。

通过提供工作模式或者普通模式来改变客户端计算机的连接状态，为内网构建一个安全的数据使用环境。用户登录普通模式可介入互联网，但不能介入企业内部受管理的数据服务器和业务系统之中；切换到工作模式后，即进入保密数据工作环境，此时只能介入内网受管理的数据服务器和业务系统，同事将自动切断内部系统之外的所有通信。

完善的模式切换方式。用户可能需要切换各种工作模式，在不同的工作模式之间切换的时候，为了有效清除内存和缓冲区数据，防止不同模式之间的泄密，管理员可以设定不同模式之间的切换动作，包括：注销、重启或直接切换。

建立安全数据区，所有存储数据都是加密的，客户端仅在进入工作模式情况下才能访问，所有数据都不会被泄密到普通模式中，从而有效实现数据保密功能。

具备离线工作模式。在计算机与服务器断开连接后，进入离线工作模式。进入离线工作模式后，将切断所有网络和存储输出，但可以在安全数据区的加密受控空间工作，存储数据。

具备外设禁用功能。可根据需要设定在某种工作模式下，强制禁止客户端计算机的所有外设输出端口，进一步增强客户端数据使用环境的安全性。这些外设包括常用的数据输出端口，如USB、红外、光驱、软驱、串口、并口、1394等。

采用统一的用户管理模式，用户可以是简单的用户名/口令用户，也可以跟安全认证系统相结合，使用统一的令牌用户。

附图说明

图1是本发明中小企业信息管理系统的整体结构图。

图2是客户端注册流程图。

图3是客户端卸载流程图。

图4是实时命令执行流程图。

图5是行为管理执行流程图。

图6是令牌注册流程图。

图7是令牌认证流程图。

图8是网络数据管理流程图。

具体实施方式

通过下面对实施例的描述，将更加有助于公众理解本发明，但不能也不应当将申请人所给出的具体的实施例视为对本发明技术方案的限制，任何对部件或技术特征的定义进行改变和/或对整体结构作形式的而非实质的变换都应视为本发明的技术方案所限定的保护范围。

现有技术概述：国内已有的基于云计算的安全管理平台技术研究提出了一种基于云计算的安全管理平台模型，该模型采用先进的云计算技术，利用其提供的强大数据处理能力解决海量安全事件处理效率低的难题；实现对网络安全设备的分布化、虚拟化、服务透明化的实时管理；充分保证网络的安全性、可靠性，降低网络风险。

国内已有一种云计算安全架构的实现方法，是用网闸将云计算平台分成云计算中心的前台和云计算中心的后台，在云计算中心前台存储云用户的明文文件，在云计算中心的后台存储云用户的密文文件，在云用户端与云计算中心的后台之间建立加密通道，保证云用户将程序及其数据，通过加密通道安全、完整的传输到云计算中心的后台，并在云计算中心的后台运行程序，再将程序运行“结果”通过加密通道，安全、完整传输到云用户端的客户机里，在云安全中心建立登录日志数据库和操作日志数据库，监控外部黑客对云计算平台的攻击，监控云计算平台来自内部管理的非法操作，从而建立云计算的安全系统。

国内已有基于云计算的USBKey身份认证技术研究，在相关文献中阐述了云计算和USBKey身份认证的基本概念和框架，分析USBKey在身份认证中存在的不足，将云计算与USBKey紧密结合起来，建立一种基于云计算的USBKey身份认证模型，该模型简单、安全、实用，充分体现了云计算的优势，有效的解决了USBKey身份认证的安全问题。

本发明基于云计算的高性能安全控制和管理系统，采用基于云计算技术、密码硬件芯片的用户标识、口令用户标识、独立于windows域的集中认证系统及采用主动加密、强制加密方法、支持策略模型，对安全策略、各硬件和系统进行统一的安全控制盒管理。对日志等信息进行关联分析，支持集群的负载均衡、实现计算机远程监控的及身份认证、安全管理和安全保密于一体。

现有的加密技术往往占用系统资源较大、容易产生内存碎片；容易受到病毒的感染；加密密码容易忘记后很难破解；被动加密，需要人为主动执行加密操作；加密体系的局限性，要么针对文件，要么针对磁盘，要么针对网络，不够全面。而且现有技术方案中，各个系统来自不同的厂家，系统架构繁琐，各个子系统之间不兼容，冲突不断，经常造成系统整体瘫痪，管理不当就会造成重要文件外泄，造成信息安全事故。不仅占用大量的软硬件资源，而且会大量增加部署及管理成本。影响计算机网络系统整体运行速率，也不能合理、全面的管理整个网络系统。

本发明的中小企业信息管理系统系列产品是基于内网安全理论与加密理论研发的安全管理产品，以密码技术为支撑，身份认证为基础，数据、内网安全以核心、监控审计为辅助，可灵活全面的定制并实施各种安全策略，实现对内网中用户、计算机和信息的安全管理，达到有效的用户身份管理、计算机设备管理、数据安全保密存储和防止机密信息泄露等目标。

中小企业信息管理系统系列产品是在中小企业信息管理系统基础上，由五个系统组成，分别是安全认证系统(ATS)、终端安全保密系统(SNW)、终端安全监控系统(MCS)、文档数据管理系统(DCS)、移动存储设备管理系统(RMS)。这五个系统均采用模块化设计，根据安全机制的需求将模块打包成产品基础包，基础包作为终端安全产品单独使用，同时又可根据用户特殊需求与可选包进行灵活组合。

本发明的中小企业信息管理系统系列产品注重从信息的源头开始抓安全，对信息的存储、交换和使用等环节实现全面保护，从而达到信息的全程安全，主要有以下几个特点。

对内网原网络系统性能影响小。此产品体系完全基于TCP/IP协议，不需要改变现有网络结构，支持远程管理。

提供一致的内网安全解决方案，基于统一管理平台，提供身份认证、授权管理、数据保密和监控审计的完整互动安全策略。

提供多种灵活的透明加密措施，根据用户需求可以进行文件加密、文件夹加密、应用系统加密、本地磁盘加密、移动存储设备加密等。

具备广域网和大用户数等大规模网络部署的架构和性能，支持多机热备、负载平衡、分级管理和多级部署的功能。

支持基于用户、计算机和控制内容的三要素策略设计思想，策略可以灵活控制，针对不同的用户和不同的计算机实现不同的策略，支持权限在内部信息网络中的漫游。

充分考虑和尊重一般企业既要访问互联网，又希望对核心数据进行保护的需求，提供基于模式切换的解决方案，帮助用户有效实现既要上网又要保密数据的目标，提供灵活的企业数据安全解决方案。

提供了对移动存储设备的强大管理功能，提供针对移动存储设备的注册、认证、策略控制和使用审计等措施。其中，策略控制支持禁用、制度、加密、解密等方式，注册则可以基于用户、计算机和控制策略三要素进行管理

提供了基于应用系统的数据保护功能，能够有效地区分应用系统流转的受控数据和本地非受控数据，对应用系统中的受控数据采用加密和权限控制技术，本地其他非受控数据的使用则不受影响。

提供丰富的授权管理内容，包括服务器访问、中端计算机使用、外设、网络、应用程序和U盘使用等。

支持丰富的日志审计、报表生成以及实时报警监控等功能，提供丰富的管理手段。

1.关键技术

2.1 高性能安全服务器技术

中小企业信息管理系统是内网计算机的安全管理平台，其服务器是整个安全管理系统核心，需要对所有计算机客户端进行实时管理和策略实时，并接受客户端代理的日志和监控信息，所以必须保证服务器的稳定性，使其具有365天的持续服务能力，并具有较强的抗攻击和抗病毒能力。同时，因为Bomse服务器的客户端可能是多大上万台，要求服务器具有高校的负载能力。具有上述两点，中小企业信息管理系统在设计的时候充分考虑了以下关键要点，并在技术上取得了突破。

1.1.1 资源最小化运行技术

在中小企业信息管理系统设计中，资源最小化主要关注的内容包括：CPU使用率、内存使用率和第三方程序依赖程度等。

为了降低CPU使用率，对服务器的流程和动作做了各方面的分析和优化，减少冗余的运算和操作，降低CPU使用率的同时提高了服务器的性能和稳定性。内存控制技术使用了内存重用技术，减少可能产生的系统内存碎片，减少系统内存消耗。在设计过程中，为了减少用户的投资和保证服务器的资源充分，最大程度降低对第三方程序的依赖，如数据库和其他各种协议等，使用中小企业信息管理系统的服务器资源最小化，环境适应型号。同事，为了适应用户的需求，也预置了通过远程通信方式与第三方数据程序进行协同工作的借口，从而减少本地服务器的系统负载，提供本地服务器系统的稳定性。

1.1.2 高效并发处理技术

中小企业信息管理系统服务器是整个网络安全管理的核心，负责对多大上万个客户端代理的登录认证、实时管理、策略实施和日志记录工作，其负载非常大，并发的链接数量也必然庞大。为了建立高效的并发处理机制，确保服务器能够在高负载情况下正常提供服务，中小企业信息管理系统的服务器设计中通过综合应用多线程、队列、主动轮询等技术，使得服务器具有良好的高效并发处理能力，能够满足任何大型网络安全管理需求。

1.1.3 安全认证技术

中小企业信息管理系统的服务器是整个系统的核心，管理控制着内网所有客户端机器。为了确保服务器的安全性，防止服务器被冒充等行为的发生，中小企业信息管理系统的服务器采用了基于公开密钥算法的安全认证技术，基于硬件授权令牌启动服务器，确保服务器的身份真实性。

2.1.4 传输加密技术

中小企业信息管理系统服务器与客户端之剑传输着策略日志等敏感信息，为了防止窃听和攻击，服务器和客户端、服务器和控制台之间的传输信道都采用了加密技术，保障了服务器的安全性和抗攻击能力。

2.2 身份认证技术

确认用户身份，确保信息习用中用户身份的真实性，是一个安全系统的基本要素，也是进行授权、管理和监控的基础。中小企业信息管理系统采用高强度身份认证技术，确保用户身份的安全性和可靠性，并在此基础上实现了灵活的用户管理体制。

2.2.1 基于密码硬件芯片的用户标识

中小企业信息管理系统采用内置密码芯片的USB KEY作为用户身份标识的载体，所有关于用户身份确认的关键运算步骤都在USB KEY的密码芯片上完成，不会暴露在计算机的内存中，避免了在计算机中可能遭遇木马攻击等危险，从而提高安全性。

USB KEY还采用了双因素身份的思想，设置了用户个人识别码(PIN)，并设置了可以防止重放攻击的自动死锁功能，进一步提高了用户的安全性。

2.2.2 口令用户标识

中小企业信息管理系统支持非硬件的用户标识，用户使用一个字符串(用户名称)作为用户身份的标识，用户名称配合一个密码(支持复杂密码验证)，提高用户的安全性。普通用户标识增加保密的同时降低成本。

2.2.3 基于PKI体系的数字证书认证技术

中小企业信息管理系统采用了PKI技术，支持目前通用的各种CA运营商发放的X.509数字证书，PKI技术是目前公认的安全强度可靠的身份认证技术，并得到了国家的大力支持。国家电子签名方案在2004年通过，使得数字证书的认证技术和签名技术具有了法律效应。安全认证系统严格按照PKI的思想和标准进行设计，结合硬件USB KEY作为数字证书载体，使用户身份得到了高强度的安全保证。

2.2.4 独立于windows域的集中认证系统

中小企业信息管理系统的认证系统是一个独立的系统，与Windows域是相互独立的。安全认证系统有自己的独立认证服务器中心和策略中心，不需要依赖于Windows域而存在。独立的认证系统给用户提供了更多灵活性和更高的安全性。用户可以跨域实施灵活的用户认证策略，给不同Windows域的用户制定相同的认证策略，从而提高管理的灵活性。安全认证系统采用了完全基于PKI体制达到认证协议，独立于Windows系统，从而给用户提供了更加专业的认证技术保证。

虽然安全认证系统独立于Windows的安全域，但是为了更加方便用户使用，安全认证系统支持内置Windows登录信息，并与Windows的登录系统紧密结合，从而使得用户可以实现快速的一次性登录，方便且安全。

2.2.5 基于认证的资源授权控制

首先，可以针对用户授权其能否使用计算机，指定某个用户只能登录使用某几台计算机，或者某台计算机只能由哪些经过授权的用户使用。如果用户没有经过授权，即便其拥有计算机的管理员账号，其也不能登录使用该计算机。

此外，基于安全认证系统，还能够授权用户能否使用计算机上的各种资源，这些资源包括应用程序、各种外设资源、网络资源和设备等。

安全认证系统通过安全网关，还可以对内网中的各种服务器资源进行有效的授权，这些服务器资源包括OA系统、Mail服务器和FTP服务器等。通过安全认证系统，给不同的用户授予不同的访问权限，从而做到对内部用户进有效的权限管理。

2.2.6 认证技术的扩展性能

结合认证技术，还有更多灵活的扩展功能。

安全保密磁盘为每个用户提供了个人的保密存储空间，从而实现了再公共计算机上的个人安全保密需求。

离机锁定功能使得用户可以在离开计算机时，拔出USB令牌使计算机自动处于锁定状态，防止计算机被非授权人员使用，安全方便。

2.3 存储加密技术

2.3.1 存储加密体系综述

中小企业信息管理系统是以密码技术为支撑，加密技术在系统中占有重要的组成部分。其加密体系分为网络加密体系和存储加密体系，其中存储加密体系考虑非常周全，既考虑了从企业和管理者出发需要的强制加密，也考虑了个人自己需求的主动加密，并且让这两者得到了有机结合。

2.3.2 主动加密

2.3.2.1 安全保密磁盘

安全保密磁盘时安全认证系统的功能模块之一，主要用于为每个用户提供自己的安全隐私空间，采用了完全透明的加密技术。

在安全认证系统中，系统管理员为每个用户注册和发放一个USB硬件凌攀作为个人身份的标识，用户使用这个硬件凌攀登录自己的计算机后，可以在管理界面创建一个或多个安全保密磁盘。安全保密磁盘本质上是一个加密文件，存储在里面的文件数据都是加密的。安全保密磁盘的特性如下：

安全保密磁盘里面的存储的数据和文件都是加密的；

只有创建该安全保密磁盘的用户才能打开该安全磁盘；

安全保密磁盘的使用与普通磁盘分区完全相同；

用户注销后，安全保密磁盘自动关闭；

多个用户可以在同一计算机上各自创建自己的安全保密磁盘；

安全保密磁盘文件可以随时转移到其他计算机；

安全保密磁盘可以设定为插入令牌后自动打开或手动打开；

安全保密磁盘可以指定特定的盘符从而适用于安装应用程序；

安全保密磁盘支持自由算法、DES、3DES、AES或者其他国产算法。2.3.2.2 客户端保密文件子系统

客户端保密文件子系统完全依赖于可惜网络认证系统。该躬耕模块主要为企业计算机用户之间安全传输文件数据提供有利的安全保障，采用了非透明的加密技术。

客户端保密文件子系统依赖于ATS系统的授权用户，支持在ATS用户之间的安全文件数据传输。例如用户A要安全传输一个文件给用户B，如果直接传输，可以能会因为网络窃听或存储设备丢失造成泄密事件。为了避免这种情况，用户A可以开启客户端保密文件字系统，选择接收文件的对象，然后加密。经过加密的文件可以通过任何数据交换途径交给B，B必须使用自己的用户名和密码才能解密和阅读该文件。使得即使在加密文件传输过程中文件被窃听或丢失，取得文件的人因为没有B的用户名和密码，也不能阅读该文件，从而实现了有效客户端保密文件。

更重要的是，客户端保密文件子系统和文件审计相互呼应，文件在需要外带请求审批时可以在文件审批模块上直接调用保密文件对文件进行授权，在数据交换时能够极大满足数据在交换过程中的安全需求。保密文件可以与SNW移动存储设备管理模块相互协调，从而相实现在不突破SNW储存滚利规则的情况下，和在SNW系统外的特殊权限用户进数据交换，满足企业紧急情况下或者管理者远程工作情况下文件审批需要。

2.3.3 强制加密

2.3.3.1SNW 移动存储设备管理

SNW移动存储设备管理用于对软盘、U盘和移动硬盘灯便携式存储设备进行有效的管理，当移动存储设备被注册为加密读写策略时候，所有写入该移动存储设备的文件数据将被强制加密。采用了透明加密技术。

SNW移动存储设备管理加密的数据文件在默认状况下，只能在加密该数据的计算机所在的虚拟保密子网SNW内使用，即如果使用移动存储设备将这些数据携带到不在指定的SNW，将是毫无意义的加密数据，无法正确解密。该技术有效限定了数据的共享范围，这样，对于用户来说，既可以享受移动存储设备共享数据的方便性，又可以实现有效地数据共享范围管理。如果数据要在两台不属于同一SNW的计算机上进行共享，那么需要者两个SNW建立信任关系，并且管理员给该数据所在磁盘授权有允许信任域共享的权限。

SNW移动存储设备管理的加密技术是完全透明的，对于用户来说，只要在允许范围内使用数据，跟使用普通U盘活移动硬盘完全一样，对于用户来说没有任何习惯上的改变，但是如果用户试图将数据在非指定SNW内计算机上使用，则数据是无效的。

2.3.3.2SNW 本地磁盘加密

SNW系统安装后，可以设定本地磁盘加密策略。本功能模块也同样采用了透明加密技术。

本模块启用后，所有本地磁盘保存的文件，都被SNW系统自动强制加密保存在磁盘中，这样，即使磁盘被盗用或丢失，都不会造成企业重要信息的泄密。鱿鱼采用了透明的加密技术，对用户和应用程序来说都不会有任何影响，也不会因为安全性的提高而影响用户的使用习惯。该功能模块是强制加密，适用于需要加强其数据保密安全措施的企业。

2.3.3.3DCS 本地受控加密区

本地受控加密区是DCS系统用户用于缓存数据到本地的区域，该区域同样采用了透明加密技术，属于DCS安全数据区的一部分。

DCS启动并进入工作模式后，一般情况下将禁止用户将任何数据保存在本地磁盘。但是存在这种情况，即笔记本用户如果出差或离开公司需要工作的时候，可能需要查阅或者使用一些文件，而这时候不能连接上公司文件服务器。为了解决用户这个需求，DCS系统提供了本地受控加密区，即用户在工作模式下，可以将文件保存在本地这个加密区，这个加密区是受控的，仅在工作模式下才能打开，即意味着数据不能通过网络或者其他存储设备保存在别的任何地方。推出工作模式后，加密受控区即刻关闭，其数据加密保存在本地磁盘的某个地方。

由于一台计算机可能由不同用户使用，DCS系统针对每个用户自动建立本地的受控加密区，采用不同的密钥进行加密，从而避免不同用户之间数据相互泄密。

2.3.3.4RMS 移动存储设备加密

RMS系统作为客户端移动存储设备提供完善的管理方案，通过对移动存储设备的注册、授权、挂失和注销进行各种控制。一般情况下客户端禁止使用移动存储设备，但实际情况中客户端用户需要使用移动存储设备进行相关工作，为解决用户合理的需求，RMS系统授权用户可以在客户端使用移动存储设备，同时该设备的使用权限收到管理员控制。本模块采用了透明加密技术。

由于客户端使用移动存储设备非常频繁，为方便管理员查看管理设备的使用情况，RMS系统对移动存储设备进行日志记录，记录包括客户端移动存储设备的使用和设备里文件的操作记录。管理者可以随时查看各个计算机上移动存储设备的文件操作日志，而且可以通过记录确定客户端移动存储设备的使用情况。

2.3.4 存储加密体系协调

中小企业信息管理系统的存储加密体系是一个完整的存储加密体系，考虑到了企业和个人、存储和传输、易用和安全等方面因素。对于底层三个功能模块，由于是强制性的，所以策略启动后所有符合规定的文件都被强制使用该策略，对于主动加密的功能来说，则用户具有其他的选择途径。

2.4 网络加密技术

网络加密技术是中小企业信息管理系统的关键技术之一，在平台的研发和设计中，采用了多层次的网络加密技术，既有用于保障中小企业信息管理系统自身可靠性的系统信息加密，又有实现虚拟保密网等功能的传输加密技术。

2.4.1 数据传输加密

中小企业信息管理系统的多个系统采用了数据传输加密技术，包括SNW、ATS、DCS系统。数据传输加密时实现平台功能的关键技术之一。当数据传输加密功能因为特定策略被启动后，点到点之间的所有数据传输都被加密。基于数据传输加密技术，实现了中小企业信息管理系统中的许多重要特性和功能，如SNW分域、安全网关和DCS网络管理技术等。

中小企业信息管理系统的数据传输加密在IP层实现，并根据策略进行灵活的密钥和算法管理。中小企业信息管理系统的数据传输中，采用了集中的密钥管理体制，定期更细密钥，并且每个中端都使用不同的密钥进行数据加密。

2.4.2 系统信息加密

中小企业信息管理系统为了保证系统自身安全，对系统之间传输的指令、策略和日志等信息也进行了加密。中小企业信息管理系统对系统信息传输的加密是在应用协议层实现的。

2.5 资源控制技术

2.5.1 资源控制概述

中小企业信息管理系统的各个系统总的来说就是提供一种有效的资源控制手段，根据管理需要和规则对内部网络信息系统的各种资源进行有效控制。这些资源是广泛的，包括计算机资源、服务器资源和网络资源等。

在中小企业信息管理系统的设计理念中，所有的控制对象都是一宗资源。中小企业信息管理系统的系统所有这些有价值的资源进行控制，采用了授权使用、违规记录及审计等多种手段结合，确保了所有资源的可控性，从而提高了内网信息系统的安全性和可管理性。

授权使用是指中小企业信息管理系统的所有资源必须经过管理员授权的用户在制定状态下才能使用。

违规记录是指中小企业信息管理系统用户违反管理规则，试图使用美经过授权的资源。

审计是指中小企业信息管理系统对用户行为和信息系统的一些重要信息进行记录。记录信息包括详细描述、用户、计算机及时间要素，可以作为以后查证使用，也可以在此基础上生成更加有意义的审计报表。

2.5.2 状态策略控制

中小企业信息管理系统的系统中，尤其在安全监控系统中，状态是策略中的重要元素。所谓状态，是指策略应该在什么条件下生效或者失效，目前，中小企业信息管理系统中支持在线/离线两种状态。

所谓在线状态，是指受控客户端代理能够跟服务器之间建立实时心跳链接，收到服务器的实时管理和控制，这种状态一般是在受控设备在企业的时候。

所谓离线状态，是指受控客户端与服务器之间不能建立实时心跳连接，这种状态一般是指受控设备脱离内部网络状况。

管理员在制定策略的时候，可以指定不同状态下的策略，受控客户端就根据其状态自动启动相应的策略，从而实现灵活控制。

2.5.3 用户策略控制

中小企业信息管理系统系统中，用户也是策略制定中的重要要素，只要安装使用了终端安全认证系统，该要素就可以在策略制定中体现出来。用户要素的使用，使得管理员制定策略的时候，对同一资源，可以针对不同的用户进行区别授权。

安装安全认证系统后，只要与用户相关的资源，都可以将用户要素加入，进行策略制定，从而适应企业不同人员具有不同权限的复杂管理模式。

2.产品特点

3.1 安全认证系统特点

完全独立于计算机、网络系统原有的认证体系，安全可靠性更高，支持各类标准的CA服务器，方便使用，对原有的内网体系影响很小。

基于PKI技术的“双因素认证”。用户必须使用合法的认证令牌，并提供认证令牌对应的PIN码，才能登陆安装了认证代理的计算机操作系统，两层保护提高了认证安全级别。

支持非硬件用户标识，用户拥有合法的用户名及密码，才能登陆安装了认证代理的计算机操作系统，两层保护提高了认证安全级别同时降低成本。

支持将Windows域用户的用户名同步到系统作为口令用户来处理，方便用户的管理和使用。

支持在USB令牌用户之间的安全文件数据传输。加密文件可以通过网络或者存储设备等进行交换传输，只有指定的用户或者用户组使用硬件USB令牌才能打开或者阅读被加密的文件，提高文件传输安全性。

提供了高等级的个人计算机保护功能。用户可以设定计算机操作系统在凌攀拔出后自动锁定，以保护个人计算机的安全，同时可以实现控制安全模式的使用、

用户可以设置安全磁盘，数据以加密形式在此磁盘存储，与用户令牌绑定使用，只有使用正确的令牌才能加载。在该磁盘上的操作对用户完全透明，和正常的硬盘使用完全一样，并提供了异常情况下的数据恢复功能。

用户可以创建安全的加密文件，只有指定的具有解密安全接受者能够正确解密该文件并打开该文件。在此基础上又提供文件二次防泄密功能，即文件脱离内网后，授权使用户虽然乐队，但是其复制和修改等二次传播权限收到限制。

支持客户端用户无需输入第三方系统用户名密码就可以自动登录。

建立安全服务器区。使用安全网关，管理员可以指定每个用户能够访问企业内部哪些特定应用服务器，或者指定某台服务器只能授权哪些用户使用。这些用户访问这些服务器之前，都需要通过服务器统一认证，获得授权。

令牌分发、令牌吊销、令牌授权、令牌更新等操作由管理员在管理中心即可完成，管理效率得到极大提高。

令牌PIN码输入错误达到预设值，令牌立即锁定，防止令牌丢失后对令牌的强行字典破解。令牌中的密钥是唯一且不可复制的，不能通过复制令牌的能够方法来伪造用户身份。

3.2 安全保密系统特点

SNW部署和使用简单方便，SNW是在开放信息网络中划分出虚拟网络，各项功能通过软件实现，无需改变原有的网络拓扑结构，且数据加密和解密对永固和计算机应用来说都是完全透明，也不会影响用户使用习惯。

数据加密传输，网络更加安全可靠。部署SNW的所有计算机，启用网络策略后，其传输数据都是经过加密的，且每两台计算机使用的通信密钥都是不一样的，从而有效防止网内使用恶意监听软件的行为。网络加密的密钥由SNW服务器同一管理，并且定时更新。

在内网中按照安全级别、信任关系等标准可设多个SNW，同一SNW内的计算机可以实现相互之间的数据通信，并可与经过认证的存储设备进行正常的数据交换，不在同一SNW内的计算机相互之间不能进行正常的数据交换，也不能通过存储设备交换数据，除非获得管理员授权。

SNW强制加密所有本地磁盘保护的文件，只能在SNW系统启动情况下才能正常使用本地磁盘，有效防止了因为硬盘丢失、多操作系统和光盘启动等造成的数据泄密事件发生。

有效防止了非法外连和非法接入。SNW内的计算机不能与SNW外的计算机进行网络通信，有效防止了基于Modem、ADSL拨号或者双网卡等方式实现非法外连，而且防止了通过交换机或者通过网线将两台计算机直连方式的非法接入。

通过安全网关建立一个安全服务器区，可以对企业的所有重要信息资源如OA、Mail和文件服务器等进行有效保护，防止非法接入计算机的攻击。

3.3 安全监控系统特点

可以实现计算机远程监控。对所有内网计算机进行有效集中的监控管理，及时监控计算机环境，包括监控计算机应用程序、硬件设备、用户账号、网络状况和其他可能信息等。

支持灵活的策略模型，可以对每台计算机根据在线/离线状态设置不同的策略，从而达到有效控制计算机目的。

可以实现文件分发功能，将程序或者文件分发到客户端，客户端可以选择性安装。

为了企业内部管理需要和网络安全稳定需要，可以对用户行为进行有效管理，比如禁止使用QQ等应用程序，落实企业的管理规章制度。

可以实现对计算机外设使用的有效管理控制，比如对USB使用、打印机的使用或者拨号Modem的使用等。

技能实现对每台计算机的网络状态进行实时监控，又能对整个计算机网络的使用进行有效管理。

提供IP绑定和非法IP阻断等网管功能。

提供文件外发控制功能，限制终端网络发送流量，对终端的外发数据大小进行限制，可达到在不禁止用户正常上网情况下防止用户网络泄密。

提供文件外发加密功能，控制客户端用户外发文件时使用的发送工具程序，对用户使用该渠道外发的文件进行加密。

提供资产管理和资产审计功能，提供各种丰富资源管理报表。

提供完整审计信息，对用户违法管理规则的行为进行记录，对用户的文件操作进行记录甚至对网络发送邮件的内容进行记录，为以后企业进行信息安全追查提供有力依据。

3.4 文档数据管理系统特点

此系统兼顾了保密性和开放性，有效实现了企业内部计算机既要连接外网又要防止核心数据泄密的目标，还可以跟中小企业信息管理系统其他系统统一使用，从而建立企业完善的集身份认证、安全管理和安全保密于一体的信息安全保障体系。

通过提供工作模式或者普通模式来改变客户端计算机的连接状态，为内网构建一个安全的数据使用环境。用户登录普通模式可介入互联网，但不能介入企业内部受管理的数据服务器和业务系统之中；切换到工作模式后，即进入保密数据工作环境，此时只能介入内网受管理的数据服务器和业务系统，同事将自动切断内部系统之外的所有通信。

完善的模式切换方式。用户可能需要切换各种工作模式，在不同的工作模式之间切换的时候，为了有效清除内存和缓冲区数据，防止不同模式之间的泄密，管理员可以设定不同模式之间的切换动作，包括：注销、重启或直接切换。

建立安全数据区，所有存储数据都是加密的，客户端仅在进入工作模式情况下才能访问，所有数据都不会被泄密到普通模式中，从而有效实现数据保密功能。

具备离线工作模式。在计算机与服务器断开连接后，进入离线工作模式。进入离线工作模式后，将切断所有网络和存储输出，但可以在安全数据区的加密受控空间工作，存储数据。

具备外设禁用功能。可根据需要设定在某种工作模式下，强制禁止客户端计算机的所有外设输出端口，进一步增强客户端数据使用环境的安全性。这些外设包括常用的数据输出端口，如USB、红外、光驱、软驱、串口、并口、1394等。

采用统一的用户管理模式，用户可以是简单的用户名/口令用户，也可以跟安全认证系统相结合，使用统一的令牌用户。

当然，本发明还可以有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可以根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (1)

1.一种中小企业信息管理系统，其特征在于，包括路由器、交换机、系统控制台、平台服务器和客户端，所述交换机分别与路由器、交换机、系统控制台和平台服务器相连，所述路由器与互联网相连。