產品介紹
格爾USB守護神產品（簡稱USN），主要從安全保密的角度，是對USB存儲介質進行安全管理和控制的產品，從技術和管理的角度解決了USB移動存儲介質導致的信息外泄和病毒等安全隱患。
產品功能
格爾USB守護神產品，主要應用于保密要求較高的若干個內部局域網之間利用USB存儲介質進行頻繁的信息交換。
該產品將用戶網絡中的計算機和USB存儲介質分為內部和外部計算機，以及內部USB存儲和外部USB存儲介質，最終實現：
- 外部計算機不能識別內部的USB存儲介質；
- 內部的計算機拒絕外部的USB存儲介質接入；
- 對內部USB存儲介質的接入和使用也根據策略進行細致、有效的控制；
- 內部計算機和外部計算機通過嚴格的監控機制進行安全數據交換；
- 內部計算機通過USB存儲介質輸入輸出操作有詳細的日志記錄。
這樣可以有效防止內部信息通過USB存儲介質泄密，以及外部病毒等非法數據帶入內部，同時又能充分發揮USB存儲介質若干個安全涉密內部網之間的信息交換作用。
產品組成
格爾USB守護神產品分為服務端和客戶端，服務端包括注冊中心、控制中心，形態為專用硬件，提供WEB操作界面；客戶端包括聯機版、單機版和交換軟件，形態為軟件方式。
- 注冊中心：USB存儲設備的統一管理中心，負責對USB存儲設備注冊操作，將USB存儲設備標記為注冊中心管轄范圍內的合法設備。
- 控制中心：USB存儲設備的認證策略和決策中心， 一方面提供WEB界面設置管轄范圍內的USB設備接入的策略，另一方面提供認證決策服務，根據策略為客戶端認證請求進行決策。每個獨立的網絡環境或者獨立的職能范圍都應部署一個控制中心。
- 客戶端控制軟件：安裝在客戶機上，對USB設備進行監控，根據控制中心的策略對USB設備進行相應的控制，記錄設備的接入記錄。客戶端控制軟件分為聯機版和單機版，聯機版軟件必須根據控制中心的策略控制USB存儲設備的接入，單機版軟件根據本地策略控制USB存儲設備的接入。
- 客戶端數據交換軟件：用于在外部USB存儲設備和內部系統之間交換數據，安裝在網絡中專用的客戶終端上。
產品優勢
- 場景針對性，在一個保密要求較高的行業，存在大大小小諸多物理不相通的網絡和單機的場景下，需要有內部可信可控的USB移動存儲介質進行信息交換，譬如軍工科研院所、軍隊、政府內部網，我們為此積累了10年以上穩定運行的成功經驗。
- 控制策略豐富，根據不同的場景需求和保密要求，可控制到人、控制到電腦、控制到網絡、控制到使用時間等各種可粗可細的安全策略。
- 兼容性，適配各種常規的USB存儲介質。
行業解決方案
1、涉密網絡使用USB移動存儲介質的現狀和困惑
USB移動存儲介質通常的使用過程中，沒有有效的認證與控制措施，可將內部資料拷貝到外部環境中，極易造成泄密； 而外部USB移動存儲介質的隨意接入，也帶來了很多安全風險（如發生竊密、病毒事件）。因此需要考慮如何實現內部USB介質的安全使用，防范使用過程中的數據外泄，以及防止外部USB介質的非法接入； 同時又需要考慮如何實現內部和外部之間一種安全可控的數據交換，提供必要數據的流入或流出。
2、解決方案
針對內部辦公環境與外部環境USB移動存儲介質的使用需求和制度，結合用戶數字證書認證方式或用戶名口令認證，可實現USB存儲介質的接入認證、控制，內外數據的合理受控交換，以及上述使用過程的詳細審計。
在大網或小網中部署一套或多套USB守護神設備（硬件安全專用設備，包含注冊中心和控制中心兩部分），同時客戶終端安裝USN客戶端軟件，即可滿足此需求。有兩種部署模式：
（1）對于同一系統的多個隔離小網以及單機，可采用一網注冊，多網應用的模式；
（2）對于同一系統，只存在一個網絡，采用注冊與控制集成的模式。
方案具體內容：
(1)USB存儲介質與證書、機器、用戶綁定，實現強身份認證和權限控制，只有登記注冊過的USB介質方可在內部環境中使用；
(2)限制外部系統讀取內部注冊USB存儲介質中的信息；
(3)限制外來USB介質在內部系統機器中使用；
(4)注冊USB存儲介質能在單機上使用，也能在各辦公網絡中使用，且必須與使用人的身份相配合；
(5)注冊USB存儲介質的擁有者可將其USB存儲介質授權給他人使用，且可限制該用戶對此介質只讀或可寫；
(6)網絡中的介質接入策略由控制中心統一設定和管理；單機上的介質接入也由單機上的管理員提供相應策略設置；
(7)外來USB介質在特定授權的內部系統機器上進行數據交互，交互數據受嚴格的監控；
(8)通過用戶證書對內部USB存儲介質進行高強度加密，無法破解；
(9)注冊、認證和交換操作都有詳細的審計。
3、方案效果
(1)杜絕了通過USB移動存儲介質輕易的進行內外數據交互的問題，尤其是內部數據輕易的通過USB移動存儲介質流出到外部、造成泄密的問題；
(2)通過合理的技術手段，保持USB移動存儲介質在信息交換方面的方便性和優越性，可信的USB移動存儲介質在內部可信終端上可進行數據交換；
(3)通過合理的技術手段，能夠在受控終端上進行內外數據交換，滿足內外數據必須在受控情況下方可交互的需求；
(4)充分利用用戶的數字證書KEY，實現USB移動存儲介質的控制，更符合涉密網的強身份認證的安全保密要求，并且通過證書鏈的信任關系方便有效的實現同一行業內兩個地區、兩個小網內USB移動存儲介質的互通。
