简介

我们公司刚刚设计出来的新产品，怎么对手公司也推出了同样的产品呢？

技术人员王工去了对手的公司，会不会带走我们的最新设计成果呢？

我们花了几百万买来的图纸，怎么对手公司的新产品设计和我们的如此相似？

我们的光驱、软驱、USB接口都封掉了，怎么还是阻止不了图纸外泄呢？

……

我们已经想了很多办法：出入公司要检查、禁止使用U盘等移动存储设备、禁止向外发送邮件、断开公司内外网络、安装防火墙等安全系统……

但是，泄密事件还是发生了。

现在，secWall 企业版（数据围墙）从源头上解决问题！

secWall企业版（数据围墙）致力于解决企业的内部数据防泄密问题。该系统一改传统安全系统“防、堵”的模式，采用创新的文件全生命周期保护安全策略，实现电子化文档数据的实时保护。secWall数据围墙安全策略的出发点不是通过防止文件被带出，而是所有企业机密数据都以加密形态存放和使用，与外部处于虚拟隔离状态。加密的企业数据只有在企业内部才能被正常识别，企业环境是实时加解密引擎解码数据的必要条件。同样的数据通过复制、网络传送，甚至拆走存放数据的硬盘，一旦离开企业环境，这些数据就是毫无意义的乱码一堆。如同为企业的计算机环境加了一道无形的围墙，技术图纸、商务机密、客户资料、财务数据等在墙内没有任何变化，同样是这些数据一旦被带出企业，因为失去了secWall构筑的企业安全环境的支持，这些数据因为无法解码而变得毫无价值。

secWall 数据围墙的目标：构建一个安全的企业办公环境

⑴ 保存企业机密的电子文件在全生命周期（包括在新建、浏览、编辑、更改等操作文件的时候）始终都是加密的。

⑵ 受保护的电子文件只在secWall数据围墙内部的计算机上可用，在其他计算机上不可用。

⑶ secWall安全环境下，以实时加解密引擎为核心。所有应用程序（如Word、各种CAD软件等）不需要解密就直接读写、编辑、更改文件；如果把文件复制到secWall安全环境外，没有secWall安全环境的支持，应用程序就无法处理文件。

⑷ 在企业secWall安全环境中，任何文件只要引用了机密文件的内容，都将自动加密。保证机密数据/文件的引用和重组安全性。

⑸ 在secWall安全环境中，普通用户能正常使用机密文件，但不能通过拷贝粘贴片断机密数据内容经由QQ、MSN等聊天工具将机密内容传递给互联网上的其他人。

安全不能影响工作效率：secWall，安全与易用兼备

secWall系统安全和易用兼备，彻底改变了传统信息安全产品安全性和易用性总是背道而驰的尴尬局面。secWall不需要使用者具有信息安全理念和技术背景，用户甚至不需要知道自己使用的数据是不是加密数据，因为secWall安全系统保密的数据或文档不改变原来存放的位置，也不改变用户原来的操作方式和使用习惯，授权用户可以直接使用。所有与数据安全相关的工作都由secWall系统在后台自动完成和保障。

secWall系统体系结构采用软件和硬件结合的方式，硬件称为secWall IC（本手册中或简称为“IC”），采用标准USB接口，类似常见的U盘外形。secWall IC集智能卡、读卡器和微型安全操作系统功能于一体。可以这样理解secWall单用户版的体系结构：

Ø 没有安全系统的计算机处于全开放状态，任何人都可以从计算机上拿走他想要的数据。

Ø secWall软件平台为计算机系统加了锁，机密数据对其他人是不可见的，即使锁被别人砸坏了。

Ø secWall IC是加了锁的计算机的钥匙。授权使用者只需要插上钥匙使用计算机，操作和感觉与没有安装secWall系统前没有任何不同。

secWall 企业版（数据围墙）主要技术特征：

Ø 实时主动强制加密技术

secWall 企业版采用智能数据流向追踪技术主动强制加密涉密数据，企业环境中任何设定为涉密数据的文件内容在被复制、引用、转移时都将保持加密状态。加密的数据只能在企业环境中才能被正确解读。

Ø 即插即用的保密文档

secWall IC使用USB接口，secWall 系统把USB接口的即插即用特性扩展到保密文档上。用户只需要插上IC，保密的文档无须解密就可以正常使用；拔掉IC，保密的文档就地消失。这一特性源于 secWall 系统采用了业界领先的实时加解密技术。实时加解密技术加密时不需要搬动文件的位置，使用时也不需要事先解密。由于这种先进技术的引入，secWall 系统具有很多一般加密系统无法做到的新特征。

ü 可以加密其他应用程序的程序或数据文件

如可以加密文档资料、即时聊天记录、上网历史记录、通讯录、证券交易软件、网上银行客户端软件等，这种加密其他应用软件程序和数据的特性使 secWall 系统成为真正的安全平台，用户可以与自己的实际应用环境组合出千变万化的安全解决方案。

ü 可以以文件、文件夹或逻辑盘符（驱动器）为单位进行加密

secWall 加密对象的最小单位是单个文件，最大可以是驱动器。在 secWall 环境下，未授权的用户不能进入加密的驱动器和文件夹，

也不能存取加密文件。在 secWall 安全环境失效（如：自主卸载 secWall 系统、拆卸数据硬盘进行暴力性攻击）时，加密文件以密文形式存在，攻击者无法获得加密文件的内容。

ü 自动加密操作员新建和保存的文件

secWall 加密的文件夹或驱动器具有保密继承属性，任何在加密文件夹或驱动器下生成的文件或文件夹都会保持加密状态。管理员只需要进行一次加密，以后操作员新生成的文件都会自动加密。这一特性使保密可靠性与实际操作员无关，不会因为操作员的操作失误或操作员的保密能力意识欠缺等原因导致机密数据的流失。

ü 加密文件使用过程中不会在磁盘上留下机密资料明文文件

由于 secWall 加密的文件不需要解密就可以直接使用，不象传统保密软件在使用加密数据前必须先解密成明文文件，因此不存在传统保密系统机密数据使用时的风险。

Ø 高强度分组加密技术

secWall 采用了符合AES标准的高强度分组加密技术，采用128分组和256位密钥对数据进行全程编码加密。

Ø 随身携带的密钥

secWall 系统将加密使用的关键密钥放在可随身携带的 secWall IC硬件上(集控服务器版密钥在企业服务器上动态分发)，与密文的存储位置在物理上分离，具有极高的安全性。secWall IC自身采用PIN技术识别主人身份，防止他人盗用和消除IC遗失后可能的安全隐患。

Ø 可选的IC自动登录和拔离自动锁定功能

用户在登录计算机时无需输入用户名与密码，只需插入IC，便可登录到计算机。拔掉IC，计算机立即锁定，插回IC，立刻恢复到原来的工作画面。

Ø 增强的硬件身份认证功能

登录系统和解锁计算机时可选择使用强制IC硬件身份认证功能以阻止其他用户通过输入用户名/密码进入计算机。

Ø 加密文件自动隐藏

用户对文件设置保密后，拔掉IC，加密文件自动隐藏；插入IC，加密文件则自动显现并可以正常使用。

典型应用范例

l 某研究所技术成果保护方案

图1- 1

这是secWall 企业版保护单个重要部门数据的典型应用，适合企业用于单一的保护知识产权目的。

在这个案例中，技术部原有的文件服务器同时兼做secWall服务器，为其所管辖的客户机（上图中黄褐色的工作站）提供存取企业机密资源所必须的解码条件。secWall硬件IC、secWall服务器和加入到secWall服务器中的所有企业计算机节点共同构成企业的安全环境，企业和机密资源只能在这个安全范围内使用。不管以什么手段把企业的机密资源带离这个安全环境，这些机密资源都因为得不到secWall服务器和secWall硬件IC的支持而无法解码。

上图中工作站11和工作站13虽然同处于内网，但因为没有加入到企业安全环境，因而不能存取企业的机密资源。企业可以通过secWall服务器灵活地控制安全环境的组成计算机。

本手册警示级别说明：

提示：技巧性的提示或说明，建议用户知晓并遵照执行；

警告：重要注意点，用户必须遵照执行，违反可能会引起严重后果。

警告：使用secWall系统前，请认真阅读本手册，按手册说明安装使用本产品。

  版权所有　©　2003–2014

软件产品版权登记号：2005SR05028

信息安全专用产品许可证：XKC30727 XKC36436

用户手册版本：简体中文 2007年１月 第１版

2016年5月　 第9次修订

注：

Windows, Windows 2000, Windows XP, Windows 2003, Windows Vista, Windows 7是Microsoft Corporation的注册商标或商标。

Pentium是Intel Corporation的注册商标。

其他未注明的注册商标或商标所有权归属各自拥有公司。


安装secWall

软硬件环境要求

安全环境体系结构

软件安装过程


软硬件环境要求

Ø 操作系统：Windows 2000/XP/ 2003/Vista/ Win7(32 /64位)/ Win8(32 /64位)

Ø CPU（中央处理器）：Intel PentiumIII 166以上

Ø RAM（内存）：64MB以上

Ø 硬盘：最少20MB硬盘空间

Ø USB接口：至少一个USB 1.1或2.0标准的接口

Ø 鼠标：与Windows操作系统兼容的二键或三键鼠标

Ø 光盘驱动器：如果使用光盘安装则必须具备


安全环境体系结构

(1) 网络集控版

图2- 1

网络集控版由集控服务器为每个客户端分发企业通行证。客户机在用户插上IC时，secWall 客户端向集控服务器提交IC上包含的用户电子身份信息，集控服务器对电子身份信息进行认证，认证通过后把该用户对应权限的企业通行证返回给申请的客户机。如果验证失败，客户机则得不到企业通行证，也就没有权限操作机密数据。

大客户版本中有些客户机不使用IC而是使用集控服务器上预设的账户登录。

(2) 非网络集控版

图2- 2

非网络集控版的客户端不接受集控服务器的统一管理，安全环境是单机独立的。客户机在工作时可以不依赖于网络的通断。

不管是网络集控版还是非网络集控版，客户机IC都接受管理员的管理。管理员通过管理软件管理客户机IC并为IC用户分配权限。整个安全环境中仅有管理员IC有权限解密机密数据。管理员可以为客户机IC分配权限（如：打印机密文件、使用互联网等）。


软件安装过程

提示1：软件安装之前，请不要把IC插入到计算机。安装程序在安装过程中会自动安装硬件驱动程序，在安装程序提示你插入IC时再插。

提示2：安装程序需要系统管理员权限，否则安装会失败。如果你没有系统管理员权限，请不要运行安装程序。

将secWall 安装光盘放入计算机的光盘驱动器内：

图2-3

一般情况下，安装程序将自动运行。如果你的系统关闭了光盘的自动运行特征，请从Windows资源管理器中打开光盘驱动器，找到AutoRun.exe文件，双击这个文件运行它，如下图。

网络版安装

图2- 4

提示：在安装选项界面右上方，所显示的是产品代码、产品型号、发行版本以及安全策略等信息。

中小企业版安装

图2- 5

集控服务器安装

客户端安装

管理员定制客户端安装


集控服务器安装

集控服务器处理客户机的登录请求，负责验证用户并对合法用户发放合适的企业通行证。

提示：集控服务器需要集控IC联机才能工作。

提示：非网络集控版用户不需要安装集控服务器。

(1) 点击“安装 secWall集控服务器”，出现如下画面（图2-6）。

图2- 6

(2) 单击“是(Y)”按钮，显示如下画面（图2-7）：

图2- 7

这里要求管理员设置集控服务使用的IP地址和端口号。如果这台计算机有多个网卡，可能会有多个IP地址，管理员必须选择与客户机相同的网段地址。端口号的值在0~65534中选取。(提示：为了避免与常用端口号相冲突，尽量使用1024以后的端口号。)客户机在设置集控服务器参数时必须指定和这里相同的参数（参考“客户端安装”的 “集控服务器设置”部分）。

如果系统中安装有第三方的防火墙，必须设置防火墙允许集控服务器连接网络。如果使用的是Windows系统中内置的防火墙，可以不作设置，安装程序会自动将集控服务器添加到Windows系统内置防火墙的例外列表中。防火墙的配置方法请参阅防火墙的说明书。

(3) 按“确定”按钮，显示如下 (图2-8)：

图2- 8

按“确定”，安装完成。


客户端安装

图2- 9

(1) 点击“安装 secWall企业版客户端”运行安装程序，等待安装程序加载直到显示欢迎界面 (图2-10)：

图2- 10

(2) 点击“下一步”，将显示许可证协议。画面如下 (图2-11)：

图2- 11

请认真阅读许可证协议中的所有条款。你必须接受许可证协议中的所有条款才能继续安装。如果你不接受许可证协议，请不要安装本系统。

(3) 单击“下一步”按钮，选择安装文件夹的位置（图2-12）。

图2- 12

(4) 单击“下一步”按钮，选择是否要“启用卸载密码保护”（图2-13）。

图2- 13

(5) 点击“下一步”，显示安装确认画面(图2-14)。

图2- 14

(6) 点击“安装”按钮，安装程序开始复制文件到你的计算机(图2-15)。

图2- 15

(7) 文件复制完成后，安装程序将启动IC设置向导。

如果你是第一次使用 secWall IC，请在计算机的任意一个USB端口插入IC，并按向导提示完成IC硬件驱动程序的安装（图2-16）。如果你的IC已经使用过而且不需要更改IC设置，请按“跳过”完成安装（图2-23）。

图2- 16

① 如果你需要设置IC，请把 secWall IC插入到任一USB端口。系统硬件驱动向导会提示你发现新硬件（图2-17），并为你自动安装驱动程序（图2-18）。

图2- 17

图2- 18

② 如果你不是第一次使用，并且不需要重新设置IC，请按跳过直接完成安装(图2-23)。

硬件驱动程序向导在不同的系统中可能会有所区别，在Windows XP中弹出图2-19所示的对话框，选择“自动安装软件（推荐）”。因为secWall安装程序已经设置好了硬件驱动程序的安装环境，系统将自动安装硬件驱动程序，按“下一步”完成硬件驱动程序的安装（图2-20和图2-21）。

图2- 19

图2- 20

图2- 21

(8) 单击“完成”，跳出“配置集控服务器”的窗口。填写集控服务器地址与端口号，显示如下(图2-22)。

提示：非网络集控版安装时无此画面。

图2- 22

这里填写的集控服务器地址和端口号必须与集控服务器安装时指定的服务IP地址和端口号相同（参考“集控服务器安装”）。

(9) 点击“下一步”，secWall 安装完成（图2-23）。用户必须重新启动计算机，secWall 系统才能正常工作。

图2- 23


管理员定制客户端安装

使用 secWall 定制客户端安装，管理员可以定制 secWall 客户机安装包，更改客户机的默认权限和简化客户端的安装过程。

图2- 24

将 secWall 光盘放到CD驱动器，secWall 安装会自动运行。点击“secWall 定制客户端安装”。如果你的CD不能自动启动，请打开 secWall 光盘，找到“Autorun.exe”，双点击运行它。你也可以直接运行X:\BIN\NetSetup.exe启动 secWall 定制客户端安装（X是光盘盘符）。

有以下两种模式进行定制：

Ø 向导模式

图2- 25

Ø 经典模式

图2- 26

客户机选项：

Ø 安全登录

如果选取“启用安全登录”，客户机安装后将启用IC登录。选取这个选项后，可以同时设置以下两个选项。

图2- 27

ü 启用强制硬件IC身份验证

启用该选项，在重新启动或者注销进入系统时，登录用户名和密码框变成灰色，不可以通过键盘输入账号的方式进入系统，只有插入正确的IC，通过IC身份认证后才能进入系统。

ü 启用拔离锁屏

启用该选项，拔掉硬件IC后，屏幕自动锁屏。

Ø 默认权限

ü 隐藏未授权的加密对象

如果选取，客户机上当前没有权限操作的加密文件将自动隐藏；如果不选取，非授权用户可以看到这些加密文件，但不能访问这些加密文件。

ü 允许截屏

默认除管理员外，其余的用户没有截屏的权限，管理员可以根据实际需求选择该项，允许特定用户可以截屏。

ü 允许不涉密生成敏感文件

如果选择该项，普通用户在不插IC的情况或是不登录集控服务器的情况下可以创建敏感文件。

ü 允许强制隔离运行

勾选该选项后，则可以在涉密的环境下，隔离运行的程序不会被加密文件所感染

ü 允许强制涉密运行

该选项可以使一些隔离应用的程序转为普通应用程序运行。如勾选了该选项，右键点击浏览器（如IE图标），有显示“涉密运行”操作，以该权限启动后，IE可以访问加密文件。

ü 隔离策略未定义的行为

勾选该选项后，在安全策略中未定义的行为都会默认以隔离方式运行。

图2- 28

Ø 存储器

存储器安全主要针对可移动存储设备的存取限制，以防止内部机密资料的外泄。客户机安装 secWall 软件后默认的存储器存取权限在此设置。包括软盘、移动存储器（基于USB、1394等热插拔端口的移动硬盘、U盘、读卡器等）、CD/DVD、网络驱动器、终端驱动器、虚拟驱动器等。

图2- 29

存储安全策略有下列选项:

ü 正常：该类型存储设备可以正常读取和写入数据。

ü 只读：只能从该类型存储设备读取数据到计算机，而不能把计算机上的数据复制或存储到该类型存储设备。

ü 禁用：禁止该类型存储设备的使用。

提示：禁止使用移动存储的企业或部门级应用可以在定制化安装时指定禁用全部可移动存储器；而在需要使用移动存储器的用户的IC上开放相应的移动存储器存取权限时，可不在此进行设置，安装客户端后，由管理员在“IC管理器”中设置相应的使用权限。

Ø 客户默认安装目录

客户机默认的安装目录。如果设定，客户机在安装时将不再询问用户安装到什么位置。如果不设置，客户机将在安装时询问。

图2- 30

Ø 安装设定

勾选“安装管理员组件”，管理员组件仅供IC管理员使用，所以IC管理员一般不需要在每个客户端安装管理员组件。

图2- 31

Ø 卸载密码

勾选“启用客户端卸载密码”，客户机必须输入管理员指定的卸载密码才能卸载 secWall 软件。

图2- 32

Ø 服务器信息(提示：网络集控版有该功能)

“集控服务器”是指输入连接到集控服务器的IP地址，“端口号”是指客户要访问的集控服务器的端口。管理员在此设置完，客户端安装时就不需要再设置。

图2- 33

ü 勾选“开机自动登录到集控服务器”选项，会弹出“secWall账户”窗口（图2-33），设置好自动登录的用户名和密码后，客户端用户在开机后会以此账户自动登录到集控服务器。

图2- 34

Ø 设置路径

定制的客户端安装包复制的位置。管理员一般把定制的安装包复制到文件服务器上的共享目录中，客户机可以连接到这个共享目录安装 secWall 客户端软件。

图2- 35


系统设定

安装了 secWall 系统软件，程序组中会出现“secWall 系统设定”的快捷菜单 。可以使用这个工具对 secWall 系统进行快速设置。在使用这个工具时，你必须是IC的合法持有者。如果当前用户没有通过 secWall 系统的身份验证，只能打开部分页面。

从“开始”菜单à“所有程序”à“万华数据安全墙”程序组中启动“secWall 系统设定”。

图3- 1

启动“secWall 系统设定”时，IC必须插在计算机上，并且通过了用户身份认证。否则，“secWall 系统设定”只可打开“加密对象”、“界面扩展”和“引擎优化”页，如图3-2所示。

图3- 2

“secWall系统设定”显示的页面与当前secWall系统的版本相关。IC管理员可以关闭一些设定功能，从而使一些设定页面不可见或不可用。

加密对象

界面扩展

PIN设定

安全登录

引擎优化


加密对象

图3- 3

Ø 自动隐藏

自动隐藏打开时，如果当前用户不具备操作加密文档的权限，用户将看不到这些加密文档。

例如：文档A采用证书1加密，文档B采用证书2加密。如果当前用户IC没有插在计算机上，文档A和文档B都不显示；如果用户的IC插在计算机上，IC上有证书1，则文档A会显示，如果IC是有证书2，则文档B会显示。

如果自动隐藏关闭，系统显示所有加密文件的名称。但用户不能存取没有加密证书的加密文件或文件夹。

Ø 加密图标

可以给加密文档图标选择添加一个加密标志以区分加密文件(图3-4)。你可以选择这个标志的样式，也可以不使用加密标志。

提示：改变这个设置须重新登录才能生效。

图3- 4

Ø 高级：（“高级”功能只有插上管理员IC并且在进入secWall系统设定时按住shift键才会显现。）

图3- 5

Ø 反黑功能

反黑功能是从源头切断黑客盗取数据的网络资源，任何计算机程序（包括黑客工具、后门程序、木马程序）在涉密后立刻与外网虚拟隔离（类似于物理隔断），从而将机密数据的存在范围严格限制在用户的计算机内。

提示：反黑功能只对加密文件有保护作用，对非加密文件不起作用。

启用加密文件反黑功能：勾选此项，则加密文件或文件夹始终与外网隔离。此时IC联机，可以正常使用加密文件或文件夹，但与外网断开，用户无法访问外部网络，QQ等即时聊天工具也无法进行通讯；拔掉IC，用户无法使用加密文件或文件夹，而网络恢复正常。

提示：若要取消反黑功能，需要PIN码的验证，此时必须要通过PIN身份验证才能成功关闭反黑功能。否则将视为无效，反黑功能不关闭。

信任来自内网的连接：勾选此项，会跳出PIN码验证框进行验证，验证通过后，方能正确启用此项功能。成功启用该功能后，则凡是涉及到局域网应用(如：ERP)的不会受到反黑功能的阻断，局域网内部可以正常交流。如果不勾选此项，则在进行局域网应用时，会受到反黑功能的限制。

提示：开启此项功能，有一定的风险，建议没有局域网应用的用户不要开启此项功能。

Ø 透明文件服务器模式

勾选该项后，本机以明文方式共享加密的文件，其他客户机不需要加密环境就可以直接存取开启透明共享的机器共享的加密文件。一般在文件服务器上开启此项。

需要注意的是，开启透明共享后，如果有未安装加密软件的机器访问文件服务器，可以将加密文件以明文形式拷贝带走，造成泄密的可能。所以从安全角度考虑，建议将“透明文件服务器模式”和“端口加密”功能结合起来使用，保证加密数据的安全。

加密客户机上传的文件：在“透明模式”开启时才可设置。勾选后，客户端上传到文件服务器共享文件夹中的文件会被服务器端自动加密。

提示：如果服务器端的加密用户没有登录，客户端能否向文件服务器的共享文件夹中生成文件取决于“允许非涉密状态生成敏感文件”选项的设定。


界面扩展

图3- 6

可以通过界面扩展设置secWall与操作系统的集成界面外观。

在资源管理器中使用右键菜单可以快速操作感兴趣的文件或文件夹，同时还可以为右键菜单指定样式。


PIN设定

图3- 7

PIN码即个人身份识别码，用于验证IC持有者的合法身份，开启PIN验证可以有效防止IC丢失或被盗后有人冒充IC持有者的合法身份。

Ø 当启用PIN码验证时，用户把IC插入到计算机时，系统会提示用户输入PIN码以验证用户的合法身份（图3-8）。一定要牢记这个PIN码，secWall 系统按此来验证用户是否为合法用户。

提示：若设置了验证PIN码，IC联机后，跳出验证PIN对话框，此时，只有输入正确的PIN码才可以正常使用加密文件，“取消”或是直接关闭该窗口，都被视为非法用户，无法使用加密文件。

Ø 当设置由启用PIN码验证状态变为“无效”状态时，同样会弹出图3-8所示的“secWall IC持有者身份认证”对话框，只有输入正确的PIN码，才可以正常关闭PIN码验证功能。

图3- 8

u PIN码有多种验证方式，安全级别依次递增。

² 无效：secWall 系统认为IC总是安全的，不做PIN验证。用户在确保IC安全的前提下可以选择这个选项。

² 关机或重启后有效：只在计算机下次开机时才需要检验PIN码。

² IC拔离系统后XXX分钟后有效：IC在拔离系统指定的时间后再次插入，需要用户输入PIN码。XXX是用户指定的时间长度，以分钟为单位。这个选项默认与“关机或重启动后有效”选项同时使用。

² 总是有效：secWall 系统每次在IC插入系统时都要验证PIN。

提示：用户的PIN码连续输错3次，IC将被锁定(图3-9)。IC管理员可以通过IC管理器解锁被锁定的IC(请参照“IC管理器”)。

图3- 9

u 修改PIN

用户根据实际情况，设置安全性高的PIN码来提高IC的安全性。

ü 当设置由“无效”变为启用PIN码验证状态，也就是第一次设置PIN码时，只需输入“新PIN”和“确认新PIN”，但两次输入的PIN码必须一致(图3-10)。如果在勾选启用PIN码验证选项后，忘记点击“修改PIN码”按钮进行PIN码的设置，则在点击“应用”时，也会弹出“修改PIN”的对话框，提示用户设置PIN码，用户可以在此更改。

图3- 10

ü 当需要重新更改PIN码时，点击“修改PIN码”按钮，在弹出的“修改PIN码”对话框中，输入“旧PIN”、“新PIN”和“确认新PIN”即可。其中输入的“新PIN”和“确认新PIN”必须一致(图3-11)。

图3- 11


安全登录

图3- 11

ü IC自动登录：启用该选项时，用户只要插入IC，就可自动登录系统；拔掉IC，将自动默认锁屏。

ü 启用强制硬件验证：启用该选项时，在重新启动或者注销进入系统时，登录用户名和密码框变成灰色（图3-12和图3-13），不可以通过键盘输入账号的方式进入系统，只有插入正确的IC，通过IC身份认证后才能进入系统。

ü IC拔离时不锁定系统：启用该选项时，IC拔离计算机时，不自动锁定计算机。IC拔离锁定计算机可以增强系统的安全性。如果需要自动锁定，不要选择复选框选项。

图3- 12

图3- 13


安全登录

3.5．引擎优化

图3- 15

Ø 性能/兼容性

如果系统中的第三方安全软件导致兼容性问题，如金山等杀毒软件，可以启用兼容性优化。启用后，实时加解密引擎会面向性能和兼容性做更好的优化。

Ø 编译器优化

启用命令行编译器优化可以提高编译速度。解决部分命令行编译器在加密环境下可能会出现的编译效率差的问题。


第一章

文档管理器

文档管理器是secWall系统的集成用户环境，方便用户对由“文档管理器”加密的文档进行管理以及相关配置操作。

启动文档管理器： 单击“开始”→“程序”→ “万华数据安全墙” →“secWall文档管理器”(图4-1 )

图4- 1

文档管理器的操作方式与Windows资源管理器类似。在地址栏中可以直接输入文件路径，也可以从下拉列表选取（图4-2）。文档管理器初始视图显示收藏主页（已加密的文档列表）。

图4- 2

在文档管理器中可以直接对文档进行加密或解密。一些使用鼠标右键菜单不能加密的对象（如桌面上的快捷图标，启动菜单中的程序组等）都可以在文档管理器中加密。

提示：普通用户没有解密权限，企业安全环境中仅管理员可以解密文件。

文档加密

文档解密

加密邮件包

加密文件并发送

解密邮件包

修复损坏的加密文件

Shell 集成

系统设置


文档加密

选中一个文件夹，用户可以通过文档管理器的菜单、工具条按钮、右键菜单多种方式来对文件/文件夹进行加密操作。

⑴． ．文档管理器菜单： 单击“文件”→“加密”（图4-3）

图4- 3

⑵．工具条按钮：点击工具条上“加密按钮”。(如图4-4)

图4- 4

⑶．鼠标右键菜单：用户选中一个文件/文件夹,单击鼠标右键，即显示右键菜单（图4-5）

图4- 5

上述三种加密操作都将弹出加密对话框，如图4-6所示：

图4- 6

Ø 加密证书

加密证书是加密的必要条件，选择一个加密证书，按“加密”按钮对文档进行加密。

加密后的文件夹或文件可以通过属性来查看所用的加密证书信息，选中加密的文件，点击“右键”→“属性”或属性栏上的“属性”图标，弹出如图4-7所示的属性框。

图4- 7

属性中显示文件的加密信息。

ü 加密IC：用于加密这个文件的IC硬件序列号。

ü 加密时间：该加密文件加密的时间。

ü 动态编码：如果加密时选取了“动态编码”，对同一明文加密每次产生的密文都不一样。

提示：仅数据服务器版支持选择“动态编码”。

ü 写保护：如果在加密时选取了“其他IC用户不能修改加密文件”，这个选项为“是”，否则为“否”。

ü 下载保护：如果加密时选取了“禁止通过网络远程下载”，这个选项为“是”，否则为“否”。

提示：仅数据服务器版支持选择“禁止通过网络远程下载”。

ü 证书名称：用于加密这个文件的证书名称。

ü 编码算法：加密采用的编码算法。

ü 证书有效期：加密证书的有效期。

Ø 加密选项

加密文档时的可选项(图4-8)。

图4- 8

ü 其他IC用户不能修改加密文件：指用其它IC用户只能查看，不能修改这个加密文件（只读）。

ü 彻底销毁原文件：文件加密时在原文件的物理存储位置执行抹除操作，抹除后的文件任何片断都无法复原。

ü 忽略已加密的文件：加密过程中不对已经加密的文件重新加密。

ü 在公共收藏夹中添加快捷方式：多用户共用同一计算机时，其他用户可以在加密收藏夹中看到你加入到公共收藏夹中的加密文件快捷方式。

Ø 错误处理

在加密过程中遇到错误，有以下4种处理方式(图4-9)。

图4- 9

记录错误并继续加密：记录发生的错误，继续加密未加密的文件。

停止加密：遇到错误停止加密。

停止并取消所有已经完成的加密：发生错误停止加密，并撤消已经完成的加密。

询问我怎么做：发生错误弹出错误处理对话框，询问用户怎样操作(图4-10)。

图4- 10


文档解密

提示：只有管理员才有解密的权限。

在文档管理器中对于已加密过的文件/文件夹用户也是可以通过3种方式来进行解密操作。

⑴． 文档管理器菜单：单击“文件”→“解密”（图4-11）

图4- 11

⑵．工具条按钮（图4-12）：

图4- 12

⑶．鼠标右键菜单：（图4-13）

图4- 13


加密邮件包

在文档管理器中有两种途径使文档加密为邮件包。

⑴．文档管理器菜单：单击“文件”→“加密邮件包”（图4-14）

⑵．鼠标右键菜单→“加密邮件包”（图4-15）

注：32位中MMP文件上限为2G，64位中无2G限制，64位中生成的超过2G的MMP文件在32位系统中不能正确解析。

图4- 14 图4- 15

提示：在“收藏主页”中，只能对单个加密文件执行“加密邮件包”操作；若需要对同一目录下的多个文件同时进行打包加密操作，需要在“地址栏”中输入该目录的路径，确保在物理路径下进行，才可以执行多文件的“加密邮件包”操作。

图4- 16

弹出加密邮件对话框(图4-16)输入或通过“浏览”选择文件的存放位置和文件名，选择适当的加密算法和加密证书。点击“确定”就可以保存成一个MMP文件。

MMP文件类似于压缩包，可以作为邮件附件进行发送。

图4- 17


加密文件并发送

单击“文件”→“加密文件包并发送”，弹出图4-16对话框。点击“确定”后文档管理器将启动邮件发送程序，启动的邮件发送程序和你的邮件软件相关，这里启动的是Outlook Express（图4-18）。你加密的邮件包将作为这个邮件的附件发送给你的联系人。

图4- 18


解密邮件包

双击打开MMP邮件包，在打开的secWall文档管理器中，可以找到MMP文件中的文件。

可以有两种方式解密邮件包：

1.选择需要解密的文件，点击“文件”à“解密邮件包”。

图4- 19

2.选择需要解密的文件，点击鼠标右键选择“解密邮件包”。

图4- 20


Shell 集成

修复损坏的加密文件

如果由于操作不当导致加密文件丢失加密信息，出现加密文件打开是乱码的情况，可以用文档管理器中的修复功能修复乱码的加密文件。

1、选中乱码的文件，点击“文件→修复”，如图4-21。

图4- 21

2、修复完成后，文档管理器会弹出提示框，如图4-22。

图4- 22


Shell 集成

Ø 将secWall文档管理器中的对象拖放到Windows资源管理器窗口可以把secWall文档管理器中的项目拖放到Windows资源管理器窗口，secWall文档管理器会把当前选择的项目复制到Windows资源管理器窗口的指定位置。

Ø 将加密文件从Windows资源管理器拖放到secWall文档管理器的“加密文件收藏夹”，secWall文档管理器将重建这个加密文件的快捷方式。

Ø 从Windows资源管理器中快速启动文档管理器的功能

² 使用Windows资源管理器的上下文菜单可以快速启动secWall文档管理器的加密、解密、加密发送等功能（参考右键菜单功能）。

² 从Windows Explorer窗口中双点击扩展名为MMP的文件，会自动在secWall文档管理器中打开这个文件。


系统设置

单击“选项”→“系统设置”，弹出图4-23对话框：

图4- 23

Ø 外观

“整行选择”：选中此项时，选择文件时是整行显示，如图4-24所示：

图4- 24

“可调整列顺序”：选择此项，可以调整列的显示顺序，如图4-25所示，图4-24是“名称”列在最前面，图4-25调整为“类型”列在最前面。

图4- 25

“网格线”：选择此项后，列表有细的网格线，如图4-26所示：

图4- 26

“热跟踪”：选择此项后，当前选择的项目将跟踪鼠标的移动(图4-27)。

图4- 27

Ø 操作

图4- 28

“允许对只读属性文件加密”：选择这个选项后，secWall对只读文件可以进行加密处理。

“允许对系统属性文件加密”：选择这个选项后，secwall 对系统属性文件可以进行加密处理。有些系统属性的文件是操作系统的关键文件，有可能在系统启动时用到，如果你确定那些系统属性的文件加密后不影响使用，可以选中这个选项，secWall将允许对系统属性的文件进行加密。

“Shell右键菜单使用默认加密”：选择这个选项后，在Windows 资源管理器中使用右键快捷菜单加密文档时，secWall 将使用默认选项加密文档而不提示用户更改加密选项。


IC管理器

IC 管理器是IC管理员专用工具，可以对IC进行各种设置。如密码的更改，证书的设置/备份，IC的备份。

启动IC管理器，输入IC管理器密码（图5-1）。IC管理器密码用于保护IC管理器发行IC的历史记录。当第一次使用IC管理器时，IC发行历史记录不存在，默认的密码为空。

图5- 1

用户在运行IC管理器时请确保IC插在计算机的USB端口上。

如果IC管理员密码错误，IC管理器会显示如下画面（图5-2）。

图5- 2

点击“确定”，返回IC管理员密码窗口。

如果管理员密码连续3次验证失败，IC管理器会自动退出。

IC管理员设置

发行历史

IC信息

用户信息设置

可移动存储设置

安全区域设置

IC 写入/读取

系统设定


IC管理员设置

图5- 3

修改管理员密码

点击“更改密码”按钮，可以修改IC管理员密码(如图5-4)。

图5- 4

两次输入的密码必须一致，否则不能修改密码。（图5-5）

图5- 5


发行历史

发行历史保存IC的发行履历。通过IC发行历史管理，IC管理员可以将IC数据恢复到历次发行中的每一天(图5-6)。

IC的历史记录是指当用户改变了IC信息(如：证书发生了变化)并写入IC时，会在IC发行历史中增加一条记录；当IC里的信息没有发生变化时(如：用户姓名等发生变化)，不会添加新的记录，而是在原记录上直接修改，并更新发行时间为当前系统时间。

图5- 6

〔1〕.抽取

指将一条IC历史记录信息还原到IC信息视图。

操作步骤：

① 选取一条IC历史记录。

② 点击“抽取”按钮，提示你抽取成功(图5-7)。

图5- 7

③ 抽取成功后，可以看到该条记录的IC信息。对于漫游IC，管理员可以为其制作离线授权文件，更改其权限及有效期等操作。

图5- 8

〔2〕.详细

选择一条记录，按“详细”按钮。详细指用来描述IC用户的各项信息，如用户名，部门，联系方式，备注等，便于管理员对IC的辨别和管理(图5-9)。

图5- 9

〔3〕.备份

对IC发行历史记录进行备份。

按“备份”按钮，选择备份文件存放的位置，并设置备份文件的密码(图5-10)。

你可以将过时的历史记录备份存档。然后使用“清理”功能清理掉过时的历史记录。再需要使用这些历史记录时可以使用“恢复”功能重新导入这些历史记录。

图5- 10

操作步骤：

① 输入导出 的历史备份文件的存放位置。

② 输入备份文件的密码，两个密码必须一致。

③ 按“确定”按钮备份当前历史记录。

〔4〕.恢复

将历史记录的备份文件导入到当前的发行历史中(图5-11)。

图5- 11

操作步骤：

① 输入要导入的历史备份文件路径。

② 输入此备份文件备份时的密码。

③ 按“确定”按钮导入IC历史备份文件。

〔5〕.清理

清除IC发行历史记录。

按“清理”按钮，弹出界面(图5-12)，可以指定的日期为界进行清理，选定的日期之后的历史记录将被保留。如果不选择保留日期，则仅保留每个IC的最后一次发行记录。

图5- 12


IC信息

包括“IC信息”和“用户权限”。

图5- 13

Ø IC信息

IC信息里包括IC的状态与IC的有效期。IC的状态分为“正常”与“锁定”，管理员在此可控制IC是否可用或是给普通用户IC解锁。设置此IC的有效期，IC用户仅在设定的有效期内可以被系统识别。如果不需要为IC指定有效期限，清除“有效期”上的选取标记。

Ø 用户权限

1. 用户不能更改PIN设定：如果管理员选择了此项，“secWall系统设定”就没有“PIN设定”这一页（图5-14）。

图5- 14

2.用户不能更改安全登录设定：如果管理员选择了此项，“secwall系统设定”就没有“安全登录”这一页（图5-15）。

图5- 15

3. 用户可以截取屏幕图像：勾选此项，则普通用户IC可以拥有截屏的权限。提示：如果是网络集控版用户，则无法在此处设置该功能。

4. 用户不能打印加密文件：勾选此项，则普通用户IC不可以打印加密文件；若不勾选，则普通用户拥有打印加密文件的权限。提示：如果是网络集控版用户，则无法在此处设置该功能。

提示：管理员拥有所有权限，因此这些选项对管理员IC没有意义。如果当前的IC是管理员IC，“用户可以截取屏幕图像”和“用户不能打印加密文件”两项是不可勾选的(图5-16)。

图5- 16

Ø 离线授权

管理员可以给漫游IC制作离线授权文件，可以方便给出差在外的用户更改用户权限或延长有效期等设置。

注：离线授权功能只针对漫游IC，在线IC此功能不可用。

点击“离线授权”按钮，弹出如下提示框。设置好授权文件存放位置，保护密码（可选）及选择需要授权的IC序列号（必选）后，点击“确定”按钮，就可以保存授权文件了。

图5- 17

点击“确定”按钮后，提示文件保存成功

图5- 18

离线授权文件保存为“.af”后缀名的文件。管理员可以将这个文件及设置的密码发送给出差在外的用户，出差用户导入该文件后，漫游IC的设置就被更新了。

图5- 19

出差用户导入离线授权文件有两种方法：

① 当IC已被锁定时，插入IC时会弹出提示锁定的界面，点击“自助解锁”按钮，如图5-20。

② 当IC未被锁定时，在提示出入PIN码的界面，双击左上角的图标，即会弹出导入授权文件的界面，如图5-21。

图5- 20

图5- 21

以上两种方式都会弹出如下界面，选择离线授权文件后，点击“打开”按钮。

图5- 22

输入保护密码后，点击“确定”按钮。

图5- 23

提示授权成功，重新插入IC后新的授权即可生效。

图5- 24


用户信息设置

设置用户登录系统的用户名、密码，域名、PIN验证码以及IC与计算机的绑定。

图5- 25

⑴．用户信息设置。

“用户名”、“密码”、“域”必须与用户在系统内当前账户相一致，如果用户要登录到域，同时还必须填入登录的域名。如果IC上的用户信息和系统当前登录的用户信息不一致，用户将不能使用IC自动登录和拔离锁屏功能。

⑵．PIN码设定

PIN码用于验证IC持有者的合法身份,它有4个安全级别（图5-26），用户也可以通过“secWall系统设定”自行设定（参考secWall系统设定－>IC用户）。

提示：管理员可以在此为忘记PIN码的用户清除PIN码。

图5- 26

⑶．绑定计算机

将IC绑定到计算机，绑定后，IC只能在绑定的计算机上使用。

图5- 27

点击浏览，输入需要绑定的计算机的IP地址。

图5- 28

确定后输入绑定计算机的登录用户名和密码，会自动获取到该计算机的标识码，点击确定按钮绑定成功。

图5- 29

图5- 30

如果不能获取到目标计算机的标识码，会出现如下错误提示。

图5- 31

如果设置成“首次使用时绑定”，就不再需要输入目标计算机的标识码，IC在首次插到计算机上时会弹出提示绑定的窗口（图5-32）。

图5- 32

设置首次使用时绑定的IC第一次连接到计算机时，会弹出提示窗口，询问是否绑定到该计算机，选择“绑定”。

图5- 33

再次弹出确认窗口，点击“是”，完成绑定。

设置绑定的IC只能在绑定的计算机上使用，在其它计算机上不能使用。

图5- 34

如果IC不再需要绑定到计算机，在管理机上设置解除绑定。点击“解除绑定”按钮，就可以清除IC的绑定信息。

图5- 35


可移动存储设置

设置普通用户的使用权限（图5-18）

提示：这里设置的可移动存储权限对集控服务器管理的用户无效，集控服务器管理的用户可移动存储权限由服务器下发。

图5- 18

存储设备安全策略：分别对“软盘”、“可移动存储器”、 “网络驱动器”、“DVD/CD-ROM”、“终端驱动器”进行设置，前三种状态分为“正常”、“只读”和“禁用”，后两种状态分为“正常”、“禁用”，管理员可以根据需求对普通用户IC进行权限设置。


安全区域设置

提示：IC上的安全区域对集控服务器管理的用户无效，集控服务器管理的用户安全区域由服务器下发。管理员IC可以自由访问外网，因此安全区域对于管理员IC没有意义，插上管理员IC，该页面呈灰色，无法添加，如下图所示。

图5- 19

普通用户在涉密后与远程网络通讯会受阻，通过设置例外的服务，普通用户可以访问安全区域中设定的主机（图5-21）。

ERP系统、OA系统、大型工作组设计软件等使用网络特定端口通讯的环境如果网络受阻，在确定没有涉密数据外泄的情况下可以将其使用的端口号添加到安全区域。

图5- 20

ü 连接后涉密：即与安全区域主机连接后涉密。勾选该选项，则客户端上传到服务器端的指定涉密文件是解密的，而从服务器端下载这些类型的文件则是加密的。

ü 被动连接：默认情况下无需勾选该选项。如安装了第三方的ftp工具，有设置了被动连接的话，则需要勾选该选项。

图5- 21


IC 写入/读取

“IC写入”指管理员通过IC管理器对IC的各项设置的更改需要写入IC后才能生效。如果用户没有做任何更改，IC管理器菜单“操作”中的 “写入IC”不可用（灰色）（图5-22），如果用户作了更改，“写入IC”变成有效状态（图5-23） ；工具条“IC写入”按钮作用相同(图5-24) 。

“IC读取”读取当前联机IC的内容（图5-25）。

图5- 22 图5- 23

图5- 24

图5- 25

当用户退出IC管理器，IC管理器检测到用户更改了设置并且没有写入IC时，IC管理器将提示用户（图5-26）。点击“是”保存设置的修改；点击“否”放弃对IC设置的修改；点击“取消”退出此对话框。

图5- 26

当用户更改了IC里的信息时，如你想返回到原来IC的设置状态，按“IC读取”按钮，原来IC的信息将覆盖新的IC信息(图5-25)。


系统设定

在IC管理器的菜单“查看”中，选择“选项设定”项，打开如下图(图5-27)。

图5- 27

⑴. IC密码生成方式

第一种是不改变密码。

第二种是当前的IC管理器密码。系统自动获取IC管理器的密码，使IC的密码与IC管理器当前的密码一致。

第三种是固定密码，管理员可以自行输入密码，可以与IC管理器的密码不同。

⑵. IC历史记录更新时提示输入关联信息

有三种状态，选择“不提示”时，IC历史记录更改时不弹出提示信息；选择“仅在不存在时提示”是指历史记录里没有此IC的信息时弹出提示信息；“总是提示”指不管历史记录里有没有此IC有信息，只要修改了此IC，写入时，就会弹出提示信息。

⑶. IC拔出时

选择“保留当前IC视图”，指当IC拔出计算机时，IC管理器里的每个页面仍可显示，里面的信息仍可以进行修改，与IC没拔之前的页面一样，但无法保存IC(图5-28)。

图5- 28

选择“删除当前IC视图”，指当IC拔出计算机时，IC管理器里只能看到IC的发行历史，IC信息、用户信息页将不显示(图5-29)。

图5- 29

选择“提示用户决定”，IC拔出时，弹出提示用户选择当IC拔出时是否保留当前IC的视图对话框(图5-30)。

图5- 30

如选择对话框里的“不要再提示”，以后拔出IC时将不再提示用户选择，默认执行当前设置。


日志审计

secWall 日志审计由日志审计员对系统安全事件进行审计。日志审计中记录的内容在集控服务管理器用户组“日志审计”页中进行设置。

启动“secWall 日志审计”，并输入日志审计员密码（图6-1）。初始的日志审计密码为空，日志审计员应该在初次使用后设置日志审计密码。

图6-1

日志审计员身份验证通过后，日志审计员可以查看和管理 secWall 系统日志（图6-2）。

图6-2

提示：黄色三角警示标记提示，日志审计员可以在此看到执行解密操作的相关信息。同时，日志审计员也可以看到对硬件IC执行的更新操作，IC连接系统及注销的信息、secWall系统设定启动的信息。

日志管理

修改日志管理员密码

其它


日志管理

Ø 另存为

将系统日志保存成CSV格式的文件，CSV文件可以在EXCEL中打开。

Ø 清除

清除全部系统日志。


修改日志管理员密码

点击工具条“修改密码”按钮修改日志审计员的密码。

图6-3

提示：日志审计密码是与日志文件相关的，因此，不同计算机上的日志审计密码必须分别设置。


其它

Ø 刷新

更新日志视图的显示。

Ø 退出

关闭日志审计。

Ø 查找

在事件中按关键字查找所需要的内容。如图6-4，6-5所示。

图6- 4

图6- 5

Ø 查找下一个

查找下一个包含关键字的事件。


集控服务管理器

集控服务管理器用于管理集控服务器。可以通过网络连接到集控服务器并进行远程管理。单击“开始”菜单à“万华数据安全墙”à“集控服务管理器”运行集控服务管理器（图7-1）

提示：非网络集控版用户没有集控服务管理器。

图7- 1

弹出登录服务器的对话框，在此输入集控服务器所在计算机的IP地址和端口号（如图7-2）。集控服务器管理员密码默认为空，登录后可修改(参考“管理服务器”à 管理员密码)。

图7- 2

管理服务器

用户组

证书组

会话

服务器备份/恢复


管理服务器

⑴. 服务器信息

显示该服务器可以服务的用户数量和拥有组的数量，如图7-3所示：

其中“用户授权数5个”是指普通用户数和IC用户数分别最多可以创建5个；“已用用户数1个”是指“会话”中登录集控服务器的用户数。

提示：同时登录集控服务器的用户数不能超过授权用户总数。

图7- 3

⑵. 管理员密码

点击“更改密码”按钮，可以修改管理员密码(图7-4)

图7- 4


用户组

用户组分为普通用户和IC用户，记录了各个用户的详细信息，包括用户的名称、组名、绑定的IP地址、绑定的MAC地址、用户的权限备注以及用户属性。

图7- 5

(1). 添加普通用户

提示：这里所添加的普通用户是不插IC而直接输入用户名/密码登录集控服务器从服务器获取证书的用户。

有两种途径添加普通用户：

① 单击“用户”→“添加”→“普通用户”（图7-6）。

图7- 6

② 直接点击工具栏中的“添加用户”按钮(图7-7)。

图7- 7

提示：添加普通用户的数量不能超过服务器的授权数。

(2). 添加IC用户

有两种途径添加IC用户：

1 单击“用户”→“添加”→“IC用户”（图7-8）。

图7- 8

2 直接点击工具栏中的“添加用户”按钮（图7-9）。

图7- 9

提示：添加IC用户的数量不能超过服务器的授权数。

(3). 删除用户

有两种途径删除用户：

① 单击“用户”→“删除”（图7-10）。

图7- 10

② 直接点击工具栏中的“删除用户”按钮(图7-11)。

图7- 11

(4). 修改用户信息

双击IC序列号（或是普通用户名称），弹出该IC用户（或是普通用户）的属性信息，可在此对话框中进行修改。

² 修改IC用户信息（图7-12）

IC用户信息包含IC序列号、组名(即证书名)、备注以及高级设置，管理员可以根据实际需求设置相应用户的权限。

图7- 12

² 修改普通用户信息（图7-13）

普通用户信息包括用户名、密码、证书组、备份信息以及高级设置，管理员可以根据实际需求设置相应用户的权限。

其中勾选“允许多个实例登录”该项，则允许多个用户登录同一个用户名。反之，则只允许一个用户登录该用户名。

图7- 13

其中“高级”中，可以设置绑定信息、存储设备安全策略、可信安全区域及用户权限。

绑定信息

存储设备安全策略

可信安全区域

用户权限

证书属性

远程管理

通信设备

日志审计


绑定信息

绑定信息即设置该用户是否采用绑定IP地址或是绑定MAC地址的形式登录集控服务器，设置后其他非匹配用户即使知道用户名或是拥有IC，也无法通过集控服务器的认证，无法登录集控服务器。

图7- 14

绑定IP地址（提示：绑定MAC地址方法与绑定IP地址相同）

ü 勾选“IP地址”，弹出如下对话框：

图7- 15

ü 如果输入了非法字符或是不合法的IP地址，则弹出如下警示框：

图7- 16

提示：如果设置了绑定信息后，则“允许多个实例登录”该项不可选（图7-17）。

图7- 17


存储设备安全策略

设置普通用户的使用权限。

分别对“软盘”、“可移动存储器”、 “网络驱动器”、“终端驱动器”、“DVD/CD-ROM” 、 “虚拟驱动器”进行设置，前四种状态分为“正常”、“只读”和“禁用”，后两种状态分为“正常”、“禁用”，管理员可以根据实际需求对普通用户IC进行权限设置。

提示：中小企业版用户由管理员在“IC管理器”中设置相应的存储设备安全策略。（详见“IC管理器”à“可移动存储设置”一章）

图7- 18


可信安全区域

普通用户在涉密后与远程网络通讯会受阻，通过设置例外的服务，普通用户可以访问安全区域中设定的主机。

ERP系统、OA系统、大型工作组设计软件等使用网络特定端口通讯的环境如果网络受阻，在确定没有涉密数据外泄的情况下可以将其使用的端口号添加到安全区域。

ü 使用严格的安全区域策略

如果启用严格的安全策略，所有对外发送的数据包都必须在可信安全区域定义的范围才能发送。如果不启用，仅主动对外发起的网络请求受限。

图7- 19

点击添加，在弹出的“例外远程主机”的对话框中，输入安全主机的“IP地址”和“端口号”。

图7- 20

ü 连接后涉密：即与安全区域主机连接后涉密。勾选该选项，则客户端上传到服务器端的指定涉密文件是解密的，而从服务器端下载这些类型的文件则是加密的。

ü 被动连接：默认情况下无需勾选该选项。如安装了第三方的ftp工具，有设置了被动连接的话，则需要勾选该选项。

ü 认证用户：如果可信安全区域中勾选了认证用户，当前用户在连接这个安全区域指定的IP的主机时，要求这个主机必须是合法的加密客户端（安装加密客户端并且正常登录）。


用户权限

设置用户的使用权限。

ü 允许截屏：默认除管理员外，其余的用户没有截屏的权限，管理员可以根据实际需求选择该项，允许特定用户可以截屏。

ü 禁止打印：默认除管理员外，其余用户没有打印加密文件的权限，管理员可以根据实际需求选择该项，允许特定用户可以打印文件。

ü 允许在非涉密状态生成敏感文件：默认不选择该项。如果选择该项，则所涉及到管理员设置的敏感文件类型，普通用户在不插IC的情况或是不登录集控服务器的情况下可以创建这些敏感文件。管理员也可以根据实际需求将该权限分配给指定的用户。

ü 允许涉密环境中隔离运行应用程序：勾选该选项后，则可以在涉密的环境下，隔离运行的程序不会被加密文件所感染。管理员可以根据实际需求将该权限分配给指定的用户。

ü 允许网络应用涉密运行：该选项可以使一些隔离应用的程序转为普通应用程序运行。如用户勾选了该选项，右键点击浏览器（如IE图标），有显示“涉密运行”操作，以该权限启动后，IE可以访问加密文件。管理员可以根据实际需求将该权限分配给指定的用户。

ü 允许管理员关闭主动加密运行：该选项可以使管理员关闭主动加密运行的功能。如管理员勾选了该选项，右键点击记事本快捷键，有显示“关闭主动加密运行”操作，以该权限启动后，记事本打开任意加密txt文件，另存为后保存为明文。该功能只对管理员IC有效。

ü 启用共享加密文件托管服务：客户机写入服务器的共享文件时，服务器将托管客户机需要加密的文件。同时客户机必须将文件服务器的共享路径设置成文件系统安全区域，托管关系才能生效。通过设置托管关系，客户机可以将加密文件写入安装了加密系统的文件服务器的共享文件夹。由于客户端无法在服务器上直接生成加密文件，因此使用托管时服务器的共享文件夹一般是加密的。

ü 同步客户机日志到服务器：如果启用，客户机的日志会同步上传到集控服务器。集控服务器的客户机日志存储在%CommonAppData%\Mawadata\secWall\MWCSSvc\Log文件夹下。客户机日志的内容与本机日志审计工具中查看到的内容相同，在“日志审计”页中设置。

ü 启用安全区域本地连接认证：勾选此选项后，可限制仅连接到集控服务器的网络适配器访问安全区域（漫游IC将无法访问安全区域）。

ü 隔离策略未定义的行为：勾选此选项后，在安全策略或远程管理中未定义的行为都会默认以隔离方式运行。

图7- 21


证书属性

设置证书的有效期，可以有效避免因网络的意外中断或是其他原因导致短时间无法连接到集控服务器，用户对加密文件的操作产生影响。

默认证书的有效期是10分钟：指用户在无法连接到集控服务器的情况下，10分钟之内，加密文件仍能正常操作；超过10分钟后，加密证书失效，加密文件无法使用。管理员可以根据实际情况，更改证书相应的有效期。

图7- 22


远程管理

远程管理是防止没有通过secWall身份验证的用户访问涉密服务器。

提示：设置远程管理的前提条件，一定要有一个用户(无论是软用户还是IC用户)正确登录到集控服务器上，且必须是对该用户进行“远程管理”的设置，其中“网络策略”中必须有一条记录，否则将视为权限放开，无法实现功能。设置完成后，只有这个用户登录到集控服务器才会实现保护涉密服务器的效果。

ü 启用服务端口主动加密：如果没有勾选，那么仅按远程管理列表中明确的规则加密网络端口。

如果勾选，服务端口默认会执行主动加密策略，在服务程序涉密时自动加密其服务端口，除非该端口被上面的显式规则排除。

ü 不信任NAT后面的客户机：勾选该项后，NAT后面的客户机无法访问端口加密的主机。

图7- 23

u 网络策略：

以SQL Server 2000为例进行相关设置：

图7- 24

进程名称：指定网络服务的进程名，如：SqlServ.exe；

涉密端口：指网络服务所开放的端口，可以指定某个特定的端口，也可以是全部端口，用“-”指定范围；

开放端口：指排除涉密端口，即可以不通过身份验证访问的端口。


通信设备

此处可用来禁用通信端口或设备（包括：串行通信、调制解调器、并行通信、蓝牙设备、1394设备、USB总线设备、SCSI传输）。

图7- 25


日志审计

此处用来选择客户端日志中记录的内容项。记录的内容可以在“日志审计”工具中查看。如果在用户权限中勾选了“同步客户机日志到服务器”，也可以在服务器端%CommonAppData%\Mawadata\secWall\MWCSSvc\Log文件夹下查看。

ü 保存文件到文件系统安全区域：勾选该项后，客户端保存文件到文件系统安全区域的动作将会被记录。

ü 与可信安全区域主机通信：如果启用，客户机与设为可信安全区域的主机间的通信将会被记录到日志中。

ü 进程活动：勾选该项后，客户机的进程活动将会被记录。

ü 应用程序涉密：勾选该项后，客户机应用程序涉密的活动将会被记录到日志中。

ü 被阻止的网络通信：勾选该项后，日志中会记录客户机被阻止的网络通信。

ü 被阻止的设备通信：勾选该项后，日志中会记录客户机被阻止的设备通信。

ü 被阻止的文件系统操作：勾选该项后，日志中会记录客户机被阻止的文件系统操作。

ü 被阻止的其它操作：勾选该项后，除去被阻止的网络通信、设备通信、文件系统操作，其它被阻止的操作都会被记录到日志中。

图7- 26


证书组

证书组定义了用户的权限，组包装了企业安全环境通行证证书等信息。用户属于哪个组就拥有哪个组的权限，与Windows系统的用户和组具有相似的权限管理方式。

提示：集控服务器授权如果不允许用户自定义组设置，用户将不能添加、删除证书组。

图7- 26

⑴．添加组

有两种途径添加组：

① 集控服务管理器菜单：单击“证书组”→“添加”（图7-27）

图7- 27

② 直接点击工具栏中的“添加组”按钮(图7-28)

图7- 28

提示：添加组的数量不能超过服务器的授权数。

⑵．删除组

警告：请慎重使用“删除组”功能。组被删除后，该组封装的企业安全环境通行证证书同时被删除，所有以该证书加密文件将永久性无法解密和使用。

在删除组之前，必须确保已经没有使用该组证书加密的文件了。为防止因删除证书导致加密文件无法打开，请在删除组之前先备份组。

有两种途径删除组：

① 集控服务管理器菜单：单击“证书组”→“删除”（图7-28）

图7- 29

② 直接点击工具栏中的“删除组”按钮(图7-30)

图7- 30

提示：如果集控服务器授权不允许用户自定义用户组，删除用户组将返回失败。

⑶．组属性

单击“证书组”→“属性”（图7-31）

图7- 31

也可以直接双击组名，在弹出的对话框中修改组属性(图7-32)。

图7- 32

⑴． 组的重命名

单击“证书组”→“重命名”（图7-33）

图7- 33


会话

会话选项可以方便管理员查看当前用户登录集控服务器的情况，包括登录的用户名称、IP地址、MAC地址、活动时间以及计算机名称。

图7- 34


服务器备份/恢复

服务器备份/恢复是于服务器所在系统的数据再生，在系统重新安装时可以快速重建 secWall 集控服务器。

Ø 备份：

“备份”将集控服务器中所有用户账户及证书组信息保存到一个文件。

有两种途径备份账户：

① 单击“文件”à“备份”(图7-35)

图7- 35

② 直接点击工具栏中的“备份账户”按钮(图7-36)

图7- 36

在弹出的对话框中选择要存放备份文件的具体位置，并设置备份文件的保护密码(图7-37)。

图7- 37

操作步骤：

① 输入需要备份文件的存放位置。

② 输入备份文件的保护密码，两个密码必须一致。

③ 按“确定”按钮备份当前用户及证书组的信息。

Ø 从备份文件恢复：

有两种途径备份账户：

① 单击“文件”à“恢复”(图7-38)。

图7- 38

② 直接点击工具栏中的“恢复账户”按钮(图7-39)

图7- 39

弹出确认对话框，如果要覆盖当前账户信息，则选择“是”，否则按“否”退出恢复。(图7-40)

图7- 40

从备份文件中恢复所有用户的信息(图7-41)。

图7- 41

操作步骤：

① 输入要恢复的备份文件路径。

② 输入此备份文件的密码。

3 按“确定”按钮恢复备份信息。

Ø 导入安全策略

导入策略的目的是为了方便管理员从服务器下发策略，客户端无需再更新secWall系统。

图7- 42

在弹出的对话框（图7-43）中选择所需要的策略文件即可。

图7- 43

Ø 上传客户机升级包

该功能在不影响客户端正常工作的同时，在后台进行更新。

有两种途径上传升级包：

① 单击“文件”à“上传客户机升级包”(图7-44)

图7- 44

② 直接点击工具栏中的“软件升级”按钮(图7-45)

图7- 45

在弹出的对话框中，选择更新包。

图7- 46

点击“确定”后，会显示更新的进度，直至更新完成。

图7-47

提示：更新完成后，客户端会提示是否要重启计算机，此时按提示重启即可完成secWall系统更新。


安装secWall

用户登录

用户登录

托盘区图标


用户登录

此项功能用于普通用户登录集控服务器，获取查看、修改加密文件的权限。单击“开始”菜单à“万华数据安全墙”à“secWall 用户登录”运行secWall 用户登录（图8-1）。

提示：非网络集控版用户没有用户登录功能。

图8- 1

弹出“secWall 用户登录”对话框(图8-2)：

图8- 2

输入正确的用户名和密码登录集控服务器。

如果登录出现错误，参考附录2错误代码表查找产生错误的原因。

Ø 开机自动运行：选择此项，则每次启动计算机，“secWall用户登录”就自动运行。

Ø 以此账户自动登录：选择此项，则每次系统启动后都会以设定好的用户名和密码自动登录到集控服务器。

Ø 单击“取消”，则自动隐藏“secWall 用户登录”界面。


托盘区图标

右键点击系统托盘区的用户登录图标，会弹出一个菜单项（图8-3,8-4）。

图8- 3 图8- 4

Ø 显示：点击会显示“secWall用户登录”界面。

Ø 切换：点击“切换”，用户可以在弹出的“secWall用户登录”界面输入其他的用户名登录

Ø 注销：注销后，不能加密文件，也不能访问已经加密的文件。

提示：用户可以通过右键注销用户(图8-3或图8-4)，或是直接双击“secWall 用户登录”图标，登录另一证书多的用户或是权限级别高的用户覆盖该用户。

ü 注销前会弹出确认界面（图8-5）。

图8- 5

ü 用户登录或注销后，系统托盘都会有相应的通知(图8-6)。

图8- 6

Ø 刷新通行证：客户端策略更改后，可以选择“刷新通行证”，新的策略会立刻生效。否则新的策略会在客户机与服务器的下一个握手周期更新。

Ø 修改密码：如果是仅允许一个用户登录集控服务器，则可以点击鼠标右键选择“修改密码”（如图8-4所圈的部分），而对于多个用户以同一用户名登录集控服务器，则“修改密码”该项无效（图8-3）。

Ø 网络配置：快速启动“secWall网络配置”，设置或修改服务器的IP地址和端口号，参考2.3.2 客户机安装的“配置集控服务器”

Ø系统设定：快速启动“secWall系统设定”，参考第三章“系统设定”。

Ø加密文档扫描：快速启动“secWall加密文档扫描”，参考第十章“加密文档扫描工具”。

Ø 隐藏托盘区图标：选择这一项后，系统右下角的托盘区就不再显示“secWall用户登录”的图标。如果需要再次在托盘区显示图标，可以从程序组中运行“secWall 用户登录”。


右键菜单功能

此项功能必需在“万华数据安全墙”中选中“使用右键菜单”，具体设置方法请参阅界面扩展－>右键菜单。

右键加、解密功能

右键拖放

右键粘贴并加密

右键解开邮件包


右键加、解密功能

在Windows资源管理器中使用鼠标右键的上下文菜单进行加密/解密操作。

选中一个或多个文件或文件夹，在选中的文件或文件夹上单击鼠标右键，如下图所示：

客户端IC：

图9- 1

管理员IC：

图9- 2

在弹出的菜单中选中“万华数据安全墙”，出现第二级菜单（图9-1和图9-2）。管理员IC与客户端IC所展开的二级菜单有所不同。

客户端IC：（右键默认不带“加密”功能，通过“文档管理器”加密文件）

不管选中的是加密文件还是没有加密的文件，第二级菜单中只有“打

包加密”和“加密发送”两个选项。

管理员IC：（支持所有功能）

如果所选的是没有加密的文件，第二级菜单中不显示“解密”选项。

如果所选的是没有加密的文件夹，第二级菜单中同时显示“加密”和“解密”选项。

如果所选的是加密的文件或文件夹，第二级菜单中只显示“解密”选项。

Ø 加密

单击加密，出现加密对话框（图9-3）

如果文档管理器选项设置中选择了“Shell右键菜单使用默认加密”，加密对话框将不出现，secWall将使用默认的选项加密。

图9- 3

选择合适的选项，具体的选项功能及其设置方法请参阅“文档加密”的有关内容。单击“加密”显示加密进度信息（图9-4）。

图9- 4

暂停： 可以暂停加密操作的进行。

取消： 停止加密操作。

详细资料：显示/不显示详细的加密状态和错误信息。

Ø 解密

单击解密，显示解密进度（图9-5）。

图9- 5

提示：只有管理员权限才能解密

Ø 加密发送

请参阅“加密文件包并发送”


右键拖放

在Windows资源管理器中使用鼠标右键进行拖放操作。

选中一个或多个文件或文件夹，在选中的文件或文件夹上按住鼠标右键拖动至另一文件夹，弹出如图9-6。

图9- 6

Ø 加密复制

把选择的文件或文件夹复制到指定的文件夹中，同时对复制的内容进行加密。这个操作不影响原文件的状态。选择这个菜单，弹出如图9-3所示的界面（请参考“文档加密”）。

Ø 加密移动

与“加密复制”功能相似，不同之处是原始的文件被删除，只保留加密后的文件。选择这个菜单后，弹出如图9-3所示的界面（请参考“文档加密”）。


右键粘贴并加密

选择要复制或剪切的文件或文件夹，在目标磁盘或文件夹空白处单击右键，弹出如下图（图9-7），所粘贴的文件或文件夹保持加密状态。

提示：管理员拥有该项功能，其他权限的用户则没有该右键菜单功能。

图9- 7


右键解开邮件包

图9- 8

如WinRar一样，可以有选择的将MMP文件解开到指定的位置。

ü “加密”：因为MMP文件本身不是加密文件，所以其可以与其他类型的文件一样进行加密。(提示：此项功能只有管理员拥有，而插上普通IC则无此选项)

ü “解开到当前文件夹”：解开的文件与MMP文件处于同一文件夹中。

ü “解开到 test”：解开的文件全部存放于test的文件夹中，其中test与MMP文件名相同。


secWall加密文件查找工具

secWall加密文件扫描工具

企业版客户端由于主动加密涉密文件，加密文件会逐渐增多。secWall加密文档扫描工具可以快速查找这些加密文件。

选择“开始菜单->所有程序->万华数据安全墙->secWall 文件查找”启动secWall 加密文档扫描。

图10- 1

输入查找加密文件的路径，如输入C:\则表示查找整个C盘；也可以点击“浏览”按钮选择指定的文件夹。

点击“搜索”按钮开始查找，查找到的加密文件显示在下面的列表中。管理员可以对列表中的文件使用右键菜单进行解密。

图10- 2

² 右键快捷方式：

ü 解密：将加密文件或文件夹解密。只有管理员才有该权限。

提示：解密时，可以根据实际情况按名称、类型、证书名、加密时间等排序，选择需要解密的文件。（如图10-2所圈出来的地方所示）

ü 修复：当加密文档扫描工具查找到有非法数据库或是提示文件不存在时，都可以通过修复操作，修复非法数据库或不存在的文件。该项功能适用于所有用户。

ü 打开文件夹：打开加密文件或文件夹所处的位置。

ü 全部选定：选中所有查找出来的加密文件。

提示：管理员在卸载secWall客户端软件前应该使用加密文档扫描工具对该计算机所有分区进行查找，解密所有加密文件以确保卸载secWall客户端软件后客户机的正常使用。

数据正在读写时非正常的关机有可能会造成加密信息数据库的损坏，桌面右下角会弹出报告错误的弹窗，错误代码为149，提示修复损坏的加密数据库。如图10-3所示。

图10- 3

按照提示打开“secWall 加密文档扫描”工具扫描指定位置，如果有损坏的加密数据库，扫描后会弹出提示修复的弹窗，如图10-4所示。点击“是”修复损坏的加密信息。

图10- 4

注意：一旦发现损坏的加密数据库，请及时扫描修复。否则可能会造成文件夹无法保存，软件无法打开等问题，更严重的可能会引起系统崩溃。


卸载secWall

万华数据安全墙secWall一旦从系统中卸载掉，所加密的文件将不再受secWall系统的保护。所加密的文件将不再隐藏，但是由于文件经过全程编码，文件的内容受到保护。强行打开这些加密文件将是一堆毫无意义的乱码。

警告：强烈建议你在卸载 secWall 系统前解密所有 secWall 系统加密的文件，secWall系统卸载后，你将不能打开这些加密的文件，系统也不再为加密文件提供保护。这些加密文件可能会永久性不可恢复。

卸载步骤


卸载步骤

万华数据安全墙secWall提供了标准的软件卸载方法。如果确实不再需要使用secWall了，可以通过系统控制面板的“添加/删除程序”卸载secWall。

提示：卸载secWall必须有系统管理员权限。

图11- 1

点击“删除”，系统将启动卸载向导。

系统将显示警示消息，确认客户是否需要卸载万华数据安全墙(secWall)系统。

图11- 2

提示：如果管理员设置了卸载密码，则必须输入卸载密码才能卸载(图11-3)。

图11- 3

点击“确定”，万华数据安全墙（secWall）系统将从你的计算机上卸载。卸载后你应该重新启动计算机以便系统对锁定的文件进行清理。以后在需要时你可以再次安装万华数据安全墙（secWall）系统。

图11- 4


secWall加密文件说明

警告：secWall加密文件只有在安装了secWall加密系统客户端软件的机器上才受到保护，在没有安装secWall客户端软件的机器上加密文件不会受到保护，任何存取加密文件的操作都可能导致加密文件的损坏，因此不可以将存储有secWall加密文件的存储介质挂载到没有secWall加密软件的系统中，更不可以在加密环境之外对加密文件直接进行任何操作，包括但不限于编辑、复制、移动、删除、覆盖、重命名、备份、恢复等各种导致写入存储介质的操作。没有加密环境的支持，加密文件的备份或复制副本都是无效的。

secWall企业版采用实时加解密技术主动加密涉密数据，对于授权操作者加密数据是透明的，使用加密数据时没有显式解密过程。因此，操作者在使用加密文件时与普通文件没有区别。由于主动强制加密行为，普通用户将无权干涉新生成的数据是否加密。

主动加密行为在理论上遵守以下法则：

1）如果新生的数据没有接触过任何涉密数据，新生的数据不加密；

2）如果新生的数据接触过任何加密数据，新生数据被强制加密，加密规则继承最近接触过的加密数据；

3）如果新生数据引用过涉密数据（如通过系统剪切板粘贴数据，鼠标拖放复制等），即使是一个字符的引用也会导致新生数据的整体加密。

因为以上规则的作用，大部分使用配置文件（或模板文件）的应用程序在打开过涉密文件后配置文件（或模板文件）也会被强制加密。而下次启动应用程序时由于加载配置文件又会导致所有新生数据的加密。所以在使用secWall企业版的过程中，系统中的加密文件会不断增加。

文件的复制和移动

文档修改保存

使用文件容器的加密属性继承性保持加密状态

哪些文件不能加密

在移动存储器上使用加密文件

加密信息数据库文件


文件的复制和移动

secWall企业版在复制或移动加密文件时将保持原文件的加密状态。非加密文件在复制或移动时一般不会被强制加密，但在有些情况下也会被加密：

1） 目标文件夹是加密的；

2） 复制使用的软件接触过涉密数据。


文档修改保存

加密文档修改保存后无论采用何种保存方式（保存/另存为/导出等）结果文件都将保持加密状态。非加密文件在修改保存时如果当前应用程序接触过涉密数据也会被强制加密。

大尺寸的非加密文件使用涉密应用程序打开时会被强制以只读方式打开而无法保存，这是因为主动加密大尺寸的文件会十分耗时，因此secWall不会在后台加密大尺寸文件。用户可以先加密需要修改的大尺寸文件，或者修改后另存为新的加密文件。


使用文件容器的加密属性继承性保持加密状态

文件夹、驱动器等可以存放文件的存储位置称为文件容器。secWall系统可以加密文件容器，加密的文件容器具有加密属性继承特性，在文件容器下新生成的文件或其它文件容器都会继承其父容器的加密属性。


哪些文件不能加密

secWall IC采用USB端口驱动，因此secWall系统只有在系统USB驱动正常工作后才具备解码条件。因此系统中运行级别在USB驱动程序以下的程序及其使用的数据文件是不能加密的，否则这些软件将不能正常运行。为避免用户误加密Windows系统文件，secWall的加密界面自动禁止对Windows文件夹内的文件加密（实时加密引擎主动强制加密的数据不受此限制）。

以下类型（但不限于）的文件不能加密：

Ø 系统驱动文件不能加密；

Ø反病毒软件及其病毒库数据文件不能加密；

ØISO、IMG等光盘镜像文件，如果在内核模式读取（如Daemon-Tools虚拟光驱），加密后可能不能正常读取数据；如用WinISO、WinRAR基于文件的形式操作加密后可以正常使用。

用户对于不能确定能否加密的文件应该先备份，然后再加密。如果加密后不能正常工作，应该立刻解密，并使用备份还原。

警告：禁止在加密文件不能正常解读和显示时改写数据。


在移动存储器上使用加密文件

secWall 支持对U盘、存储卡等可移动存储设备及其中的文件或文件夹进行加密，操作方式与本地硬盘上的加、解密方式一致。

如果在可移动存储器上使用加密文件，当移动存储器在没有安装 secWall 软件平台的计算机使用时，加密文档内容将不能被解读，但加密文档不再具备阻止非授权用户操作的访问控制能力。在没有安装 secWall 软件的系统中使用移动存储器时：

Ø 非授权用户可以看到加密的文件和文件夹名称

Ø 非授权用户可以进入加密的文件夹

Ø 加密容器不具备加密继承属性

Ø 非授权用户可以在加密文件夹下新建文件

Ø 加密文件的修改将不受保护，修改将导致加密文件的损坏

因此，在没有安装 secWall 软件的系统中，请慎用存放有加密文件的移动存储器。


加密信息数据库文件

在未安装 secWall 软件平台的系统中你可能会看到类似下面的文件名的文件（x代表一个数字或字母）：

con.@mw-{xxxxxxxx-xxxx-xxxx-xxxxxxxxxxxx}

这个文件是 secWall 内部使用的加密信息数据库文件，操作系统会禁止对该文件直接进行操作。在 secWall 软件平台下该文件被自动隐藏。有些工作于操作系统底层的工具软件在安装有 secWall 软件的系统中也能搜索到这个文件。

在数据读写时不正常的关机可能会导致加密信息数据库损坏，右下角弹窗报告错误代码149，出现这种情况时可以通过“secWall加密文档扫描”工具来修复。


服务与支持

技术支持

品质保证

IC补发

增值资源


技术支持

用户在使用 secWall 系统过程中遇到问题可以通过以下方式获取免费的技术支持。

电话：(0757)-83331860 66839868

QQ： 3433842811 823974840

邮件：gdtmsoft@163.com


品质保证

按国家规定的质保标准向用户提供质量保证，secWall IC硬件质保标准按《微型计算机商品修理更换退货责任规定》标准执行，保修期为自购买之日起12个月。

以下情况进行有偿修理：

Ø 用户使用不当或擅自拆机引起的故障或损伤

Ø 人为因素引起的损坏，如火烧、进水、物理损伤等

Ø 因电压不正常引起的失灵


IC补发

secWall IC是合法用户身份和加密证书的载体，用户应妥善保管。如遇遗失或意外损毁，可以凭合法用户凭证向原经销商申请有偿补发IC。


附录

各种密码说明

secWall 数据围墙系统中使用的密码，出厂默认值在包装盒的密码封中。用户在使用本套系统时应该设置相应的密码以保障系统的安全性。

Ø IC持有者身份验证（PIN）码

每次IC插上计算机时提示用户输入的密码，用于验证IC持有者的身份，防止其他人获得IC后冒充原IC持有者的身份获得授权。

遗忘处理办法：请IC管理员清除PIN码。

Ø IC管理器密码

IC管理员启动“secWall IC管理器”的密码，也是IC管理员发行历史记录密码。

Ø IC密码

IC密码是IC管理员操作IC的密码。这个密码一般和IC管理器密码同步，在IC管理器每次写入IC时更新IC密码。IC密码会在IC管理员发行历史记录中存储，因此，除非丢失了发行历史记录，IC管理员在通过IC管理器密码验证后一般不需要再次输入IC密码。

遗忘处理办法：必须回原厂才能清除。

Ø IC集控服务器密码

集控服务器密码实际是集控服务器专用IC的密码。

遗忘处理办法：必须回原厂才能清除。

Ø 日志审计密码

日志审计密码是“secWall日志审计”的密码，也是日志文件的密码。


错误代码表

名称 | 代码 | 描述
IC_NOTFOUND | 1 | IC没有找到
IC_INVALIDUSER | 2 | 用户名不匹配
IC_INVALIDPIN | 3 | 错误的PIN码
IC_INVALIDPASSWORD | 4 | 错误的密码
IC_NOTBLANK | 5 | IC非空白
IC_OUTOFMEMORY | 6 | 内存不足
IC_IOERROR | 7 | IC设备I/O错误
IC_INVALIDDATA | 8 | IC数据错误
IC_EXPIRED | 9 | IC账户已过期
IC_INVALIDPARAM | 10 | 非法参数
IC_INITERROR | 11 | 初始化错误
IC_NORIGHTS | 12 | 权限不足
IC_NOTSUPPORT | 13 | 不支持的功能调用
IC_OUTOFBUFFER | 14 | 缓冲区溢出
IC_BINDMISMATCH | 15 | 当前计算机与绑定要求不一致
IC_BINDNOTINIT | 16 | 绑定信息没有初始化
IC_OUTOFICSTORAGE | 17 | 数据超出IC的存储容量
IC_NOTBIND | 18 | IC没有设置绑定到主机
IC_LOGOUT | 19 | IC已被注销
NS_ERROR_READALLUIB | 30 | 读取用户账户失败
NS_ERROR_INVALIDPARAM | 31 | 非法参数
NS_ERROR_INVALIDCLIENT | 32 | 非法的客户端
NS_ERROR_INVALIDIP | 33 | 不是绑定的IP地址
NS_ERROR_INVALIDMAC | 34 | 不是绑定的MAC地址
NS_ERROR_WRITEUIB | 36 | 写入用户账户错误
NS_ERROR_DELUSER | 37 | 删除用户账户失败
NS_ERROR_UIDBNOTINIT | 38 | 用户账户数据库未初始化
NS_ERROR_RENAME | 39 | 重命名失败
NS_ERROR_INVALIDUSER | 40 | 非法用户
NS_ERROR_UPDATEUIB | 41 | 更新用户账户失败
NS_ERROR_RETLOGONMETHOD | 46 | 取客户端登录方式失败
NS_ERROR_OVERBOUND | 47 | 访问越界
NS_ERROR_NOINITSM | 48 | 会话管理器没有初始化
NS_ERROR_GETDEFAULTNAME | 52 | 取系统默认路径失败
NS_ERROR_INVALIDUMS | 53 | 无效的用户账户数据库
NS_ERROR_INVALIDUMSKEY | 54 | 无效的用户账户数据库密钥
NS_ERROR_UMSNOINIT | 55 | 账户数据库没有初始化
NS_ERROR_UMSENCRYPT | 56 | 加密失败
NS_ERROR_UMSDECRYPT | 57 | 解密失败
NS_ERROR_NOUSERDATA | 58 | 用户数据不存在
NS_ERROR_INVALIDUSERTYPE | 59 | 无效的用户类型
NS_ERROR_NOFOUNDUSER | 60 | 没有用户
NS_ERROR_USERTYPENOEQUAL | 61 | 用户类型不匹配
NS_ERROR_RENAMEFORMODIFY | 62 | 名称冲突
NS_ERROR_NOENOUGHLICENSE | 63 | 授权数已满
NS_ERROR_UMSNAMENOTEXIST | 64 | 账户数据库不存在
NS_ERROR_SIZENOMATCHNUMBER | 65 | 用户数与用户大小不匹配
NS_ERROR_USERSIZEBOUNDERROR | 66 | 用户大小边界不对齐
NS_ERROR_ADDMULTIUSER | 67 | 添加用户失败
NS_ERROR_UNSETLICENCE | 69 | 未设置授权标志
NS_ERROR_NOFOUNDSESSION | 70 | 没有发现会话
NS_ERROR_SESSIONEXIST | 71 | 指定的会话已经存在
NS_ERROR_NOSESSIONLICENCE | 72 | 会话授权不足
NS_ERROR_NOSESSIONEXIST | 73 | 会话不存在
NS_ERROR_SNAPSHOTLIMIT | 74 | 会话快照溢出
NS_ERROR_NOSNAPSHOT | 75 | 会话快照不存在
NS_ERROR_SESSIONINDEXOVER | 76 | 会话索引越界
NS_ERROR_USEREXISTING | 77 | 用户已经存在
NS_ERROR_NOADDUSER | 78 | 不存在添加的用户
NS_ERROR_NOMODIFYRIGHT | 79 | 没有权限修改密码
NS_ERROR_NOSUPPORTICTYPE | 80 | 不支持IC类型用户
NS_ERROR_CERNOEXISTS | 81 | 集控IC中的证书不存在
NS_ERROR_PRILIVEGENOENOUGH | 82 | 权限不足
NS_ERROR_ZEROSIZE | 83 | 文件长度为0
NS_ERROR_CSIPNOTEXIST | 84 | 本地连接集控服务器的IP地址不存在
NS_ERROR_CONNECTCSFAILED | 85 | 网络原因导致连接失败
NS_ERROR_NBSENDFAILED | 86 | 网络原因导致发送数据失败
NS_ERROR_NBRECVFAILED | 87 | 网络原因导致接收数据失败
NS_ERROR_ICGETHARDWAREID | 88 | 取IC序列号失败
NS_ERROR_ICGETENTERPRISEID | 89 | 获取企业ID失败
NS_ERROR_ICGETSETTINGS | 90 | 取IC的设定信息失败
NS_ERROR_ICGETOPENHOSTLIST | 91 | 取IC安全区域设定失败
NS_ERROR_ICGETCERTIFICATE | 92 | 取证书失败
NS_ERROR_ICGETSERVEROPTION | 93 | 取预设数据失败
NS_ERROR_DEVGETSECURITYBITS | 94 | 取安全位失败
NS_ERROR_NOMSENTVER | 95 | 不是中小企业版
NS_ERROR_NOMATCHONLINEIC | 96 | 在线IC不匹配
NS_ERROR_INVALIDCLIENTTYPE | 97 | 无效的客户端类型
NS_ERROR_CREATEPOLICYNAME | 98 | 创建本地策略失败
NS_ERROR_USERLOGONING | 99 | 网络用户已经登录
NS_ERROR_INVALIDUSERNAME | 101 | 非法用户名
NS_ERROR_DEVGETENTERPRISEFLAGS | 102 | 取企业属性失败
NS_ERROR_PUBLICACCOUNT | 103 | 不能修改公共账户的密码
NS_ERROR_NOMODIFYKEYRIGHT | 104 | 没有修改密码的权限
NS_ERROR_INPUTKEYNOMATCH | 105 | 密钥不匹配
NS_ERROR_FILEEND | 106 | 文件已经结束
NS_ERROR_USERCANCEL | 107 | 用户取消了操作
NS_ERROR_NOFOUNDRESOURCE | 108 | 没有发现资源
NS_ERROR_SRMNOTEXIST | 109 | 服务器资源管理器不存在
NS_ERROR_MEMINSUFFICIENT | 111 | 内存不足
NS_ERROR_INVALIDSUBPATH | 112 | 无效的路径
NS_ERROR_NOUPDATEITEM | 113 | 没有升级项目存在
NS_ERROR_INVALIDUPDATELIST | 114 | 无效的升级文件列表
NS_ERROR_SAMEUPDATELIST | 115 | 更新列表没有变化
NS_ERROR_NOTSUPPORTNETMODE | 117 | 不支持的网络模式
NS_ERROR_SERVERBUSYFORUPLOAD | 120 | 服务器正在处理其它上载
NS_ERROR_REQUESTNOTMATCH | 121 | 用户请求的代码与实际处理的协议不符
NS_ERROR_INVALIDRELEASEREQUEST | 122 | 无效的释放请求
NS_ERROR_INVALIDUDPPACKET | 123 | 无效的UDP网络包
NS_ERROR_FILETOOLENGTH | 128 | 文件太大
NS_ERROR_FILENOTEXIST | 129 | 文件不存在
NS_ERROR_FILECREATEFAILED | 130 | 文件创建失败
NS_ERROR_INVALIDOPCODE | 131 | 无效的操作码
NS_ERROR_FILEREADFAILED | 132 | 读取文件失败
NS_ERROR_INVALIDPOLICY | 133 | 无效的策略文件
NS_ERROR_INVALIDOLDPWD | 134 | 密码无效
NS_ERROR_GETPOLICYFAILED | 135 | 取策略数据失败
NS_ERROR_GETPOLICYNAMEFAILED | 136 | 取策略文件名失败
NS_ERROR_POLICYNOTEXIST | 137 | 策略不存在
NS_ERROR_UNIMPLEMENT | 138 | 未实现的功能
NS_ERROR_OPENFILEFAILED | 139 | 打开文件失败
NS_ERROR_UFEXCEED2G | 140 | 用户账户数据库太大
NS_ERROR_READFILEFAILED | 141 | 读取文件失败
NS_ERROR_DELETEPOLICYFAILED | 142 | 删除策略失败
NS_ERROR_WRITEFILEFAILED | 143 | 写入文件失败
NS_ERROR_GROUPLIMITED | 144 | 用户所在的组数超过服务器允许的最大值
NS_ERROR_USERTYPELIMITED | 145 | 服务器不允许开设的用户类型
NS_ERROR_DRIVERNOTLOADED | 146 | 客户机内核驱动没有加载
NS_ERROR_RECVTIMEOUT | 147 | 接收网络数据超时，对方没有在预期时间内回应
NS_ERROR_CLIENTVERSION | 148 | 客户机加密软件版本不符合要求
NS_ERROR_CRASHEDEDB | 149 | 磁盘上发现损坏的加密数据库
NS_ERROR_OUTOFMEMORY | 151 | 内存不足
NS_ERROR_ENTERPRISEID | 152 | 企业ID不匹配
NS_ERROR_OFFLINE | 153 | 集控IC不在线
NS_ERROR_CERTIFICATE | 154 | 没有企业通行证
NS_ERROR_NOTSUPPORT | 155 | 申请的功能当前系统不支持
NS_ERROR_PASSWORD | 156 | 密码错误
NS_ERROR_NETWORK | 157 | 网络连接错误
NS_ERROR_PARAMETER | 158 | 错误的参数
NS_ERROR_OUTOFLICENSE | 159 | 授权数已用完
NS_ERROR_CERTEXIST | 160 | 证书已存在
NS_ERROR_CERTNOTEXIST | 161 | 证书不存在
NS_ERROR_NOTLOGON | 162 | 用户没有登录
NS_ERROR_INTERNAL | 163 | 内部错误
NS_ERROR_MULTIINSTANCE | 164 | 另一个实例已经运行


增值资源

secWall 官方网站会定期发布基于 secWall 安全平台的增值工具、应用技巧和行业解决方案，secWall 用户可以从官方网站免费获取适合自己 secWall 版本的增值资源。

官方网站同时还会发布基于 secWall 安全平台的二次开发接口及优秀的第三方接口软件（插件），使用这些接口插件可以扩充 secWall 系统的功能。

详情请访问 secWall 产品官方网站：http://www.gdtmsoft.com