更新时间：2022-07-31 21:47
内网安全防护主要通过加强内网计算机的外设端口管理、介质使用情况管理、接入认证管理、非法外联管理等手段，对硬件设备的使用状况和使用者的操作行为进行监控，从而达到防止内部泄密事件发生的目的。但作为防护核心对象的涉密数据信息仍分散存储在各计算机中，凸显出了最为核心的安全问题——即终端用户不仅是涉密文档的产生者和使用者，也是涉密文档的存储者和所有者。使用权和所有权没有分离，致使终端用户手里留有大量的涉密信息，泄密事件自然屡禁不止，对存密的个体带来保密管理风险——不得不担心疏忽或意外导致的涉密责任；对秘密的所有者（单位或集体）也带来保密管理风险——不得不面对数量庞大的个人泄密源，涉密事件随时可能一触即发。
“涉密电子信息集中管控平台”是一个面向涉密行业的高可靠的信息安全管理系统。平台通过对军工、军队等重要信息系统中各类机密数据信息的授权、加密安全保护，可以显著提高机构中核心数据资产的安全防护能力。同时在对文件安全保护的基础上，又通过对文档的集中控制，使得涉密人员可以使用密，但不留密、不存密，有效切断了内部人员泄漏机构机密信息的途径，防止内部窃密事件的发生。
平台由六个部分组成，采用C/S+B/S的设计架构，即集中管理子系统与客户端以C/S模式工作，保证了系统的使用安全；平台管理端对文件集中存储服务器的管理以B/S结构工作，方便管理员的操作 。
平台九大基本功能：
1) 文件集中存储
安装本系统后，用户可将原来分散在计算机终端上的涉密电子文件单向上传到集中存储子系统，部署后再生成的一切电子文件，均自动存入集中存储子系统，本地不会保存任何文件信息。
2) 提供终端安全办公环境
客户端的虚拟安全工作域，提供了经签名校验的应用软件及办公环境，同时采取内核修剪、数字签名等多种技术，控制用户通过各种方式对数据的操作，有效防止用户的主动泄密，并且私密存储区“我的私有文档”其他任何用户无法访问。
3) 文档权限精确控制
本系统对文档的权限控制，并没有像其他同类软件一样仅停留在文件夹层面，而是把操作权限精确控制到每一个文档，使得文档的共享流转更安全快捷，同时掌握了每一个文档的安全使用状态。
4) 软件安装行为可控，防止木马病毒
用户在客户端发起安装应用程序的签名申请，由安全管理员审批授权。通过对运行程序的数字签名，确保只有经授权的程序才能安装使用，避免任何主动或被动行为导致的木马病毒及恶意程序的非法窃密。
5) 设备管理控制功能
管理员通过对磁盘、介质、光驱等一系列设备的读、写、执行、复制等操作权限的策略配置，实现对终端计算机常用设备的精确控制。
6) 公文流转审批功能
用户对“我的私有文档”中的文件拥有完全的控制权和使用权，可以根据办公需求将其共享给指定的同事或领导，但共享过程需经上级首长审批授权。
7) 文档打印审批功能
即使在文档集中管控的环境里，随意的文件打印也是泄密的重要途径。在本系统中，对于需要打印的文档，终端用户可以提交打印申请，由用户的上级首长或其他指定人员审批后方可进行打印。
8) 文档外带审批功能
对于需要外带的文件，系统提供单人审批或多人逐层审批功能，文件获得审批后才可下载到安全介质中外带，并依据上级首长审批时赋予的相应权限进行使用，同时生成相应的审计记录。
9) 日志管理
三员分立的架构设计为系统的安全性和健壮性提供了基础条件，审计管理员负责对用户操作记录、用户登录记录和管理员操作记录等进行审计并生产报表，是系统安全可靠运行的监督官。
平台三大增强功能
1) 建立涉密电子文档的全局唯一身份标识
为每一份电子文档建立一个统一的身份标识，即电子标签，标签在整个系统内唯一。标签记录文件的创建人、创建时间、密级等信息。在生命周期内，标签记录该文件的流转过程，使用人员的查阅、修改、复制、打印等操作，形成详细的审计日志。
2) 实现对涉密电子文档的安全外带办公
通过保密包实现涉密电子文档的安全外带使用，对外带使用的绝密、机密、秘密信息实施加密保护，防止涉密电子文档外带过程中因存储载体丢失、失窃等带来的安全隐患，能在不安全的环境中安全地查看和交换涉密电子文档；
3) 打印可审计，不可抵赖
为每一台计算机赋予唯一的独立编码，作为身份识别的凭据，将编码转化为数字信息嵌入每一份需要打印的电子文件中。该水印对用户透明，不可见、不可改。可以依据该水印定位纸质文件的具体打印人员，追查打印文件泄密源头，定位泄密人员。
1) 完全自主技术开发
终端用户工作使用的“虚拟安全域”完全基于Windows平台的底层文件驱动过滤、操作系统内核修剪等自主技术开发。第一，与Windows操作系统和第三方软件兼容性高，程序运行稳定；第二，完全采用自主技术，不依赖于任何第三方开源代码，如开源虚拟机、瘦客户端等技术，自身安全可控，不易受第三方黑客攻击，整体设计安全性更高。
2) 敏感数据全面加密
对称和非对称加密算法相结合，实现a、通信加密（终端和服务器间的控制信息加密传送）；c、文件传输加密（终端和服务器间的用户电子文档加密传输）；d、存储加密（服务器端电子文档加密存储）；e、数据库核心字段加密存储；从而有效杜绝身份假冒、中间人攻击、网络窃听、管理员主动泄密等隐患。
1) 用户操作使用简单
系统完全基于Windows平台开发，无须另外设计操作界面，因此终端用户在操作使用上完全与原来保持一致，除了修剪、屏蔽掉一些Windows原有的高安全风险功能，界面风格上完全保持一致，使用户对新系统不再有接触陌生感和抵触情绪。新增的安全功能，操作习惯上也与Windows保持一致，如视窗风格、右键快捷键、人机对话框、系统提示对话框、管理平台即时消息发布提示等，不增加用户使用负担。
2) 支持流媒体播放
由于工作需要，用户在办公过程中经常使用视频和流媒体，如教育宣传短片、学习短片等视频文件。在集中管控环境中用户可以访问并播放流媒体文件，且使用操作与原有模式相同，不改变用户原有办公习惯。
3) 兼容用户关键软件
由于完全基于Windows平台开发，不嵌入任何第三方中间件和开源软件，先天具有良好的兼容性。兼容主流第三方存储系统；兼容吉大正元、30所、总参机要局等主流CA；兼容主流防病毒软件和OA办公软件；兼容保密防护系统和国家保密局正配备推广的三合一涉密专用系统。
1) 不改变客户网络架构
集中管控系统为纯软件形态。集中管理平台安装在指定的专职硬件务器上，后台管理端通过IE浏览器即可登录管理服务器，客户端软件直接安装在用户终端主机上。整个系统实施部署无须改动用户原有任何网络架构，部署快速，实施简洁。
2) 适应大规模网络部署
由于平台采用了集中存储管理、分布运算处理的技术路线，使平台具有较高的运算、分析和管理能力。一套平台可以实现至少500个客户端并发连接工作的大规模网络部署，适合于大规模网络部署。
两种不同的技术针对的不同的应用和需求：
服务器虚拟化更多的是解决服务器的资源利用问题 成分的降低信息化运行成本 充分利用服务器的运算处理能力 达到最高效
终端虚拟化充分考虑到市场的实际需求 成分利用客户端资源 将服务器的运算压力降到最低 提高办公效率
服务器虚拟化更多针对各种复杂应用分布管理的问题 可以在一台高效服务器上分布不同的空间 为用户用最低的运行成本 建立高效的服务器集群。服务器虚拟化更多的针对办公系统或者业务系统等轻量级的应用。
终端虚拟化更多是解决数据的集中管理问题 将数据集中存储在服务器上，而所有的运算成分利用本地资源 大大降低了服务器的压力 中线针对大型软件的应用 更加体现其优势 并且负载的客户端梳理相对较多。