背景分析

随着各行各业业务数据信息化发展，各类产品研发及设计等行业，都有关乎自身发展的核心数据，包括业务数据、源代码保密数据、机密文档、用户数据等敏感信息，这些信息数据有以下共性：

— 属于核心机密资料（如源代码保密数据），万一泄密会对企业造成恶劣影响，包括市场占有率下降、丧失核心竞争力、损失客户信心等各种显性与隐性影响；

— 核心数据类型多，还有业务系统数据，非实体文件，管控难；

— 员工计算机水平高，通过篡改、反编译等手段绕过传统源代码保密措施的风险显著；

企业对数据的保护最先考虑的是外部攻击者，容易忽略内部员工。在源代码保密场景中，内部人员比外部攻击者更有优势。如果不对其进行管控，设计者和使用者很容易通过各种途径把核心数据复制出去，造成泄密。

由于研发人员比普通办公人员要精通电脑，针对源代码保密的泄密手段，除了常见的网络，邮件，U盘，QQ等数据扩散方法外，还有很多对于研发人员来说非常容易的方法（未列全）：

物理方法：

— 网线直连，即把网线从墙上插头拔下来，然后和一个非受控电脑直连;  

— winPE启动，通过光盘或U盘的winPE启动，甚至直接用ISO镜像启动；

— 虚拟机，通过安装VMWare虚拟机，在虚拟机内使用外设U盘，网络；

— 其他非受控电脑中转，即把数据拷贝给网络内其他非受控电脑上，中转；

— 网络上传，通过在公网上自建一个上传服务器，绕过上网行为管理；

数据变形：

— 编写控制台程序，把代码打印到DOS控制台上然后屏幕信息另存；

— 把代码写到Log日志文件中，或把代码写到共享内存，然后另一个程序读走；

— 编写进程间通信程序，把代码通过socket，消息，LPC，COM，mutex，剪切板，管道等进程间通信方式，中转把数据发走；

— 通过IIS/Tomcat等web解析器中转，把代码数据当网页发布出去，然后浏览器浏览后另存，或干脆写个txt框，初始化时把代码都拷贝进来；

外设中转：

— 对于嵌入式开发场景，可以通过串口，U口，网口把代码烧录到设备中转泄密。

解决方案

SDC沙盒数据防泄密系统，是专门针对敏感数据防泄密的保护系统，尤其是对源代码保密数据防泄密保护。实现对数据的代码级保护，且不影响工作效率，不影响正常使用。所有源代码保密数据都自动加密并配合多种管控机制，从而得到有效的范围控制，防止泄密。

SDC沙盒系统的构成与概念

管理端：系统控制中心，对整个沙盒系统进行管理控制

机密端：源代码及设计文档版本管理服务器，可以有复数台

外发审核服务器(可选)：外发涉密文件

客户端：防泄密终端，可以有复数台，所有终端源代码，文档全盘透明加密

功能介绍

涉密可信网络（在不可信的环境下建立可信网络）

-客户端和机密服务器通过相互主动认证，建立源代码保密专用加密隧道，组成可信网络；-可信网络内，客户端和机密端之间，客户端和客户端之间，自由通信。

-非客户端或外来PC进入该网络，被主动隔离，无法访问到源代码保密服务器和客户端。

 多安全域支持

SDC沙盒支持单个终端启用多个沙盒接入多个不同安全域，安全域之间、安全域与本机之间，有严格的源代码保密隔离机制以及权限划分 SDC沙盒支持多安全域之间的文件流转，支持不同业务部门间的文件传输等业务场景。

客户端所有涉密数据自动加密

客户端从SVN等服务器下载代码、文档等数据都只能存放在加密磁盘内，沙盒内所有文件格式、所有软件读写的源代码保密数据都自动加密，不区分文件格式，不影响正常开发调试。 终端的涉密数据无法通过U盘，邮件，网络通信，聊天工具，光盘刻录，硬盘拔取等所有泄密途径泄密。 数据可以是源代码、文档、图纸、数据库等。

涉密文件加密导入导出

客户端可以把某文件加密导出，然后发给另一个客户端，再解密导入，整个过程不泄密。

应用场景例：

沙盒客户端之间进行文件交互，过程不泄密。 员工出差外地，现场根据客户需求开发调试，调试好了的东西，需要提交给客户，如果直接让解密，无法控制该人把其他涉密文件拷贝出去。所以这个时候，出差人员把要给客户的文件加密导出，然后发回公司，公司审核后，解密，走审核流程，然后把明文发给客户，形成有效控制。 

 

文档外发审核

对于需要把包含源代码等涉密资料以明文的形式从涉密环境内导出，系统提供了文件外发审核功能 -文档明文外发：涉密文档明文发出必须经过审批，具有支持多流程、多级审批、事后审计等特点。

-移动端审核：管理员在审核文件时，可通过PC端、手机端（企业微信、钉钉）等形式进行审核。

 

离线策略

为满足出差或家里加班情况，通过策略设定，可以让携带源代码保密数据的终端离线使用：

-离线使用时，所有源代码保密文件都还处于加密状态，可以在防泄密状态下正常继续工作。但如果超过期限，所有涉秘密数据都自动关闭，整个系统将处与保护状态，直到返回公司接入网络连接服务器后，才能正常工作。

-如果万一笔记本电脑丢失或被盗，由于对方没有解密口令，所有源代码保密数据都处于保护状态，重新安装系统，硬盘插拔等，都无法获取电脑中的机密数据。 -离线策略过期可以在管理员支援下延长可用时间。

智能端口功能

智能端口过滤功能是SDC沙盒防泄密系统的外设控制模块。是通过软件方式，控制外设准入，过滤传出的数据文件，并对通过的数据进行服务器记录追朔。

 

产品特点

适合有业务系统和文档源代码等需要防泄密的企业，特别是有源代码保密需求的研发型企业。

SDC沙盒采用内核级加密技术，拥有代码级安全防护，可以防止各种变形泄密途径（如日志输出，web平台中转发布，通信小程序，外设烧录中转等），对精通开发的程序员也能有效管控。研发环境内所有涉密文件都只进不出，要出必须走审批。

-支持所有文件格式（包括源代码保密数据），是环境加密。

-能对研发人员进行有效管理；

-允许使用非涉密资源（如上网），不影响工作效率；

-对外设烧录内容过滤和审计； 

与应用服务器无缝结合，服务器端无需加密

-能和现有的B/S架构系统，C/S架构系统无缝集成；如业务系统，文件共享服务器，文档服务器，ERP服务器，PDM服务器，OA等，VSS,CVS,SVN版本服务器等无缝结合。

-服务器上的源代码保密数据都是原数据，不需要对其进行加密，当数据离开服务器到达客户端时，才自动加密。原有的服务器备份等都继续使用，从根本上保证了业务的连续性，可用性，稳定性。 

产品对比

产品 对比项目	SDC沙盒(代码级)	文档加密产品
设计理念	代码级安全，不区分进程和文件类型，是一个容器。	文档级安全，绑定进程和文件类型，对保存的 文件进行透明加密解密
管控人员	精通电脑的，会编程的研发人员	主要针对不太懂电脑的办公人员。
管控内容	涉密空间内的文档文件和非文件数据(业务系统表单，数据库)	指定进程保存的文档文件
抗破解度	可以抵御会编程的人，可支持各种数据变形	可以抵御办公人员，会编程人员可以秒破， 比如数据变形
复杂大型图纸加密	可以，且无速度损耗,速度快	可以，但速度损耗大
文件破损	无文件破损	小文件不会破损，大文件容易破损
支持平台	Windows平台/linux平台	Windows平台/linux平台
总结	代码级安全，适合安全要求高的公司	基本安全，适合安全要求不高的公司