零信任沙箱的源代码防泄密手段

SDC沙盒系统通过多种技术手段和功能设计，构建了一个全方位、多层次的数据防泄密体系，以下是其具体防止数据泄露的方式：

1. 内核级纵深加密技术

• 磁盘过滤驱动：对磁盘上的数据进行加密处理，确保数据在存储和读取过程中始终处于加密状态。即使硬盘被盗或丢失，数据也无法被直接读取。

• 文件过滤驱动：对文件进行加密，无论文件的格式、大小或类型如何，都能实现透明加密。这意味着用户在使用文件时无需感知加密过程，系统会自动对文件进行加密和解密。

• 网络过滤驱动：对网络传输的数据进行加密，防止数据在传输过程中被截获或篡改。确保数据在传输过程中的安全性和完整性。

2. 沙盒容器

• 隔离环境：SDC沙盒在用户的电脑上创建一个隔离的加密环境，将涉密数据和应用程序放入沙盒中运行。沙盒与外部环境完全隔离，数据无法直接从沙盒中传出，从而防止数据泄露。

• 透明加密解密：在沙盒内，数据以加密形式存储，但在用户使用时会自动解密，用户无需感知加密过程。当数据离开沙盒时，会自动加密，确保数据在传输和存储过程中的安全性。

3. 涉密网络隔离

• 内网隔离：SDC沙盒通过内核级驱动技术，实现涉密网络内部的通畅，同时隔离外来PC。只有经过认证的客户端才能访问涉密服务器和涉密网络资源，未认证的设备无法接入涉密网络，从而防止未经授权的访问和数据泄露。

• 外网访问控制：在策略允许的前提下，用户可以在沙盒内进行非涉密上网，如浏览互联网、使用即时通讯工具等。但涉密数据无法通过这些途径传输或泄露，确保数据在使用过程中的安全性。

4. 非涉密受限上网

• 受限上网：用户在沙盒内可以进行非涉密上网，如浏览互联网、使用即时通讯工具等，但涉密数据无法通过这些途径传输或泄露。系统会严格控制涉密数据的外发，确保数据在使用过程中的安全性。

• 安全隔离：在非涉密受限上网模式下，涉密数据与非涉密数据完全隔离，用户无法将涉密数据复制、粘贴或上传到互联网或其他非涉密环境中，从而防止数据泄露。

5. 涉密文件外发

• 审批流程：当业务需要将涉密文件外发时，必须经过严格的审批流程。用户需要提交申请，经过审核人员的审核后，才能将涉密文件外发。审批流程支持多级审批，确保文件外发的合法性和安全性。

• 加密外发：涉密文件可以以加密形式外发，接收方需要使用特定的密码或密钥才能解密和查看文件。系统可以对文件的使用权限进行设置，如使用次数、使用时间、绑定设备等，进一步防止文件的二次泄露。

6. 打印内容日志

• 打印控制：系统默认策略是不允许打印涉密文件，如果需要打印，用户可以指定打印机进行打印，但打印内容会被记录并传回服务器，以备日后审计。

• 审计追溯：通过打印内容日志，管理员可以追溯涉密文件的打印记录，确保打印行为的合法性和安全性。如果发现异常打印行为，可以及时采取措施，防止数据泄露。

7. 离线客户端

• 离线使用：对于需要出差或带回家的笔记本电脑，可以设定为离线客户端，在规定的时间内，用户可以继续使用本地的涉密数据。离线使用时，所有涉密文件都处于加密状态，用户可以正常工作。

• 超期保护：如果超过设定的离线期限，所有涉密数据将自动关闭，整个系统将处于保护状态，直到返回公司接入网络连接服务器后，才能正常工作。如果笔记本电脑丢失或被盗，由于对方没有解密口令，所有涉密数据都处于保护状态，无法被获取。

8. 服务器端数据保护

• 服务器保护：对于存储在机密服务器上的数据，如SVN的存储目录，SDC沙盒可以进行保护，防止非法用户直接登录服务器，将数据从服务器上拷贝走。服务器上的数据以明文形式存在，但只有经过认证的客户端才能访问和使用这些数据。

• 数据备份：服务器上的数据需要定期备份，以确保数据的连续性和稳定性。由于服务器上存放的是明文数据，减少了对加密软件的依赖性，确保在灾难发生时能够及时恢复生产。

9. 超强反截屏

• 屏幕保护：SDC沙盒对涉密文档的屏幕进行了保护，防止被截屏。无论是截屏键、截屏软件还是录屏软件，都无法截取涉密文档的屏幕图像，从而防止通过屏幕截图的方式泄露数据。

• 全方位防护：系统对涉密数据的屏幕显示进行了全方位的保护，确保涉密数据在屏幕上的显示内容不会被非法获取或传播。

10. 智能端口控制

• 端口准入：通过智能端口的协议解析，对设备进行接入准入控制。只有经过认证的设备才能接入系统，防止未经授权的设备接入系统并获取涉密数据。

• 数据审计：对下传烧录的数据进行内容审计，确保数据的合法性和安全性。如果发现异常数据传输行为，系统会及时采取措施，防止数据泄露。

通过以上多种技术手段和功能设计，SDC沙盒系统构建了一个全方位、多层次的数据防泄密体系，能够有效防止数据泄露，保护企业的核心机密数据。