移动存储设备管理系统

移动存储设备管理系统使用手册一、简介移动存储设备管理系统是一种用于管理移动存储设备的工具，旨在提供用户方便、安全的数据存储和传输解决方案。

本使用手册将详细介绍系统的使用方法与功能特点，使用户能够快速上手并正确地使用该系统。

二、系统安装与设置1. 硬件要求- 电脑主机×1- 移动存储设备×1- 数据线×12. 系统安装要使用移动存储设备管理系统，首先需要将系统安装到电脑主机上。

具体步骤如下：- 将移动存储设备插入电脑主机的USB接口。

- 打开系统安装程序并按照提示完成安装过程。

- 安装完成后，系统将自动运行。

3. 系统设置在系统启动后，用户需要进行一些设置以确保系统正常运行。

以下是相关设置的说明：- 选择语言：根据个人喜好选择系统语言。

- 设定密码：设置一个强密码以保护你的数据安全。

- 自动备份：设置系统是否自动备份数据。

三、系统功能1. 文件管理移动存储设备管理系统提供了便捷的文件管理功能，帮助用户快速查找和管理存储设备中的文件。

以下是常用的文件管理功能： - 创建文件夹：用户可以通过系统界面创建新的文件夹，并将文件整理到相应的文件夹中。

- 复制、剪切、粘贴：用户可以通过这些操作将文件从一个位置复制或剪切到另一个位置，并粘贴到指定的文件夹中。

- 文件搜索：用户可以根据文件名进行搜索，快速找到目标文件。

- 文件排序：用户可以按名称、大小、修改日期等条件对文件进行排序，便于浏览和管理文件。

2. 数据备份与恢复为了避免数据丢失，移动存储设备管理系统提供了数据备份与恢复功能，用户可以通过以下步骤来执行这些操作：- 数据备份：用户可以选择需要备份的文件或文件夹，并将其备份到指定的位置。

- 数据恢复：用户可以从备份文件中选择需要恢复的文件，并将其还原到原始位置。

3. 安全保护移动存储设备管理系统致力于保护用户的数据安全，提供以下安全保护功能：- 密码保护：用户可以设置密码来限制对移动存储设备中的文件的访问。

SGCC-USB1.0移动存储介质管理系统管理员手册国网电力信息通信公司2008目录第一章系统概述国家电网公司移动存储介质管理系统SGCC-USB V1.0以下简称SGCC-USB V1.0是根据国网网络应用特点而设计的一套移动存储管理方案,目的在于满足国家电网公司内网移动存储介质日常安全管理;SGCC-USB V1.0综合应用底层驱动、扇区加密、进程守护等多种安全防护技术,磁盘文件底层驱动技术对普通移动存储设备主要USB类型作唯一性标签处理, AES128位高强度算法对磁盘进行数据区划分并作加密处理,标签移动存储介质结合受控客户端主机的安全访问控制策略作匹配授权,确保标签移动存储介质使用的安全性与合法性;SGCC-USB V1.0系统通过集中的注册管理平台对 USB存储设备作严格的设备介质身份认证、数据信息重构、数据加密等一系列安全防护操作,针对办公网内计算机USB存储设备的使用和管理建立了完整的防范解决体系,系统采用C/S和B/S混合式架构,由服务器端和客户端构成;SGCC-USB V1.0客户端主机通过移动存储介质的产品唯一生命特征识别码和硬盘唯一码结合进行识别,当主机数据库和移动存储介质中的认证信息相同时,接受其入网使用；未经注册的移动存储设备将会自动被系统强制卸载,实现单位U盘外出使用需要到单位保密或网络管理员处登记,否则在外部无法打开;SGCC-USB V1.0在解决安全方面的问题,同时还兼顾工作的实际,力求使用的方便、简洁与高效;1-1 系统组成◆系统服务器端：SGCC-USB V1.0系统管理中心,自动发现网络中的终端计算机,并检测终端计算机是否安装系统客户端程序,管理中心内置移动存储管理策略中心和报警中心,提供对网络终端的分组管理设置;SGCC-USB V1.0系统服务器端由4个组件构成： SQL Server管理信息库安装包：环境初始化程序、Web中央管理配置平台安装包：网页管理平台、区域管理器安装包：Region Manage,原区域扫描器已作为模块集成到区域管理器、WinPcap程序;环境初始化程序：SQL Server管理信息库,建立移动存储介质管理系统的初始化数据库;包括：客户端主机设备属性信息、区域管理器信息、设备扫描器信息、区域管理范围信息、注册未注册机器信息、设备属性变化信息、报警信息等;扫描器将设备最新状态信息同数据库中原有信息进行遍历搜索对比,根据审计要求在管理平台上报警;Web管理平台：Web中央管理配置平台,本系统的管理配置中心;包括区域管理器、扫描器、注册客户端的功能参数设定,网络设备信息发现、系统应用策略制订、报警信息显示、定义任务功能制订、系统用户维护等配置操作;Region Manage：区域管理器,系统数据处理中心;与管理信息数据库通讯,接收注册程序提供的用户信息,将用户信息用户填写的物理信息和系统自动采集的硬件信息并行存入数据库；接受来自控制台的命令操作,发送到客户端、扫描器执行;对于存在多级管理要求的广域网,网络中可以存在多个区域管理器,系统数据提供逐级上报转发模式;区域管理器内置网络扫描器,扫描器将设备最新状态信息报送至区域管理器;扫描器配合区域管理器进行工作,可以在分级模式下使用,扫描器只依据Web管理平台中配置的工作范围进行扫描,超越其范围,将不负责执行;WinPcap程序：嗅探驱动软件,配合区域管理器工作;◆专用认证工具：SGCC-USB V1.0移动存储设备认证程序,用于管理员对网络中移动存储介质进行集中注册和授权管理,对普通移动存储设备加载认证标签,同时划分数据区交换区、保密区、启动区,将使用人、使用人部门、设备编号等信息写入移动存储设备,完成普通移动存储设备到专用移动存储设备安全U盘、安全移动硬盘的技术处理;专用认证工具还用于专用专用移动存储设备密码遗忘后的密码还原操作;认证工具程序可以在网管员主机上或任意主机,但必须由管理员控制使用,使用时必须能够同系统服务器连接,方可对移动存储设备进行认证管理工作;◆系统客户端注册程序Agent：安装在终端计算机,接受系统管理中心分发的策略,根据接受策略实时监控接入终端计算机移动存储设备的操作行为和状态,并进行管理或者控制;系统客户端注册程序Agent作用：用户填写本机信息,填写必要信息后上报区域管理器;注册程序自动探测系统硬件信息,连同用户填写的信息一同上报区域管理器;用户将本机注册信息发送到区域管理器后,区域管理器自动将客户端驻留程序应用策略发送给用户,并自动更新;客户端驻留程序功能：1、进行本机IP/MAC、资产等信息采集；2、本机移动存储设备使用状况监测；3、接受Web管理平台的管理策略命令,并执行；4、报送本机移动存储设备审计信息到控制台；5、阻断本机联网行为;注：区域管理器Region Manage、区域扫描器模块Region scan、注册程序系统的参数配置集中体现在网页管理平台操作上,上述三部分功能参数值统一在网页管理平台中进行配置;区域管理器Region Manage、扫描器模块Regionscan部分参数在自身组件中配置;1-2 系统构架移动存储介质管理系统SGCC-USB V1.0应用于局域网、广域网构架,支持跨网段、跨地域的内网客户端移动存储设备介质的管理和审计,系统应用主要分为以下两种构架：基本构架：对于一般网络例如1个C类地址或若干个C类地址的局域网范围,可使用一套本系统软件,集中管理所属区域内的所有设备;扩展构架：对于大规模的多个局域网或者跨地域广域网包括基于国家、省、市、县等多级管理模式的网络结构,可使用本系统提供的多区域集中管理构架,即一个或多个网段各拥有一套独立移动存储介质管理系统的同时,将本级所有设备信息再转发给上级管理数据库,使得上一级管理人员对整个网络的移动存储设备使用状况也能够完全掌握;移动存储介质管理系统SGCC-USB V1.0应用拓扑第二章系统安装2-1 安装环境要求条件一：硬件环境SQL Server数据库服务器：用于安装SGCC-USB V1.0系统管理信息数据库;PC 服务器或更高档服务器, PentiumⅣ 2.4C 以上CPU,512M以上内存;区域管理器：用于安装区域管理器程序;百兆或千兆网卡,PC服务器或更高档服务器, PentiumⅣ 2.4C 以上CPU,512M以上内存;扫描器模块：配置同区域管理器;如单独安装扫描器模块,比较高档的PC计算机即可;本系统各程序可安装在同一台计算机上,也可在不同机器上安装SQL数据库、IIS服务器、区域管理器、扫描器模块等,此时推荐该计算机内存为1G以上;建议将区域管理器、扫描器、网页管理平台安装在同一台机器上,作为管理服务器;条件二：提供数据库、IIS服务操作系统：Windows 2000或Windows 2003企业版操作系统;SQL Server2000软件：配备SQL Server数据库系统,用于移动存储介质管理系统建立管理信息库数据库列表项;IIS服务：配备IIS服务器提供Web服务,用于安装Web网页管理配置平台;如所装操作系统为Windows 2003企业版,则需要按照安装光盘中的Windows 2003的IIS配置说明进行IIS配置;条件三：为本系统提供相应端口移动存储介质管理系统SGCC-USB V1.0区域管理器将占用操作系统88端口,必须确保安装区域管理器的机器该端口不被占用;区域内的防火墙应打开如下端口：80,88, 161,137,22105,2388,2399以及ICMP协议端口,同时本机不启用DNS 服务;2-2 安装注意事项软件安装时,推荐将区域管理器、扫描器、数据库安装在同一台机器上以下称为管理服务器,建议按照下面要求进行移动存储介质管理系统服务器部署、软件安装、客户端注册;2-2-1 服务器部署1、移动存储介质管理系统服务器在网络中位置⏹确保该服务器能够ping通所有被管理网络中任意一台客户端机器,同时被管理客户端可以正常连接服务器的TCP的80,88两个端口;不⏹服务器给客户端下达策略的端口为：TCP端口22105;⏹服务器扫描发现客户端利用以下协议及端口：⏹ICMP协议发现IP地址存在的其中一种方式；◆NETBIOS协议,UDP端口137为了发现机器名和MAC地址；◆SNMP协议,TCP端口161为了发现智能设备如路由器、交换机等；⏹在本地网络中若划分了VLAN,或本地网络存在防火墙,请注意上述问题;2、存在网中子网如经过地址转换的网络布置点对于网络中存在网中网现象,如采用NAT地址转化或者代理方式在10.. . 网络中接入192.. . 网段,这些子网用户的管理方式如下：情况一：子网有专人管理,并且有独立机房,则应在该子网中安装一套完整的移动存储介质管理系统;情况二：子网无专人管理,或无独立机房,可采用以下3种方式之一处理1)机器数量少的建议统一更改IP为10.. . 网段;2)由管理员监督子网中所有机器进行注册并保证不得遗漏;3)在该网络中指定一台工作站专门安装区域管理器软件和区域扫描模块,并将区域管理器配置中SQL服务器地址指向服务器;2-2-2 安装和应用1、必须按照软件安装步骤进行安装1确认本机IIS服务正常；2确认本机SQL已正常安装并能正常使用以本地系统账户方式安装；3确认目标安装盘剩余空间不小于10G；4请务必按照指定顺序安装各个模块；5请在区域扫描模块所在计算机中安装SNMP服务；6安装完所有系统模块后,请一定按照说明文档进行客户端程序的配置及分发安装;2、移动存储介质管理系统服务器的安全性问题服务器安装Windows2000 Server操作系统带IIS、MS SQL Server2000数据库后,一定要确保对Windows2000、SQL和IE进行重要安全补丁修补,规范操作系统、数据库的口令和密码设置,保证SQL、IIS的正常启动运行;确保本服务器无病毒,同时可配置本服务器网络通讯端口仅打开：80,88,22105;3、保护机制的应用对大多数交换机、路由器、非Windows设备,需要将其设置为保护状态避免被阻断导致网络不通,其它如有系统无法识别的重要设备,请在网页管理平台设备信息查询中手动将其设置为保护状态;2-3 系统组件安装SGCC-USB V1.0安装顺序依次为：安装 SQL Server数据库；安装WinPcap驱动程序；安装并运行环境初始化程序,初始化数据库；安装网页平台并进行划分区域,配置区域IP范围、区域管理器参数、设备扫描器参数等推荐安装在默认路径下；安装区域管理器推荐安装在默认路径下；通知所有用户下载并运行注册客户端代理探头程序;2-3-1 安装SQL server数据库略,见附录一;2-3-2 安装WinPcap驱动模块在安装页面中选择“安装WinPcap驱动模块”按钮,单击“下一步”安装在区域管理器所在计算机上;2-3-3 初始化数据库初始化数据库是在SQL数据库中初始化建立VRVEIS数据库并生成系统必需的相关数据表格,在此过程中需要利用本地数据或者调用远程SQL数据库,用户需要根据实际安装情况按以下两种方式进行操作：本地SQL数据库服务器环境初始化1、环境初始化,建立初始数据库在SQL服务器地址栏中添加本地机器IP地址、SQL用户名、及SQL用户密码;SQL数据库服务器环境初始化根据数据库认证方式,选择windows身份认证或者sql身份认证建议选用后者;2、检查数据库初始化是否成功：检查数据库初始化当有如图“初始化数据库结构成功”提示框弹出时,说明已成功创建初始化数据库;否则会出现如下图所示提示信息：初始化数据库失败提示信息如果出现如上图所示提示信息,用户需要检查所填入的SQL数据库IP地址、用户名以及用户密码,重新初始化数据库;⏹远程SQL数据库服务器环境初始化建议非特殊情况不采用远程方式1、输入远程数据库信息,配置SQL客户端：安装远程数据库需要首先输入远程数据库IP地址、用户名称、用户密码,然后点击“配置SQL客户端”,出现如下界面：配置SQL客户端2、在通用栏中,启用TCP/IP协议：在通用栏中,选用TCP/IP协议,并启用,然后单击别名,进行别名添加设置;启用所选协议3、进行客户端别名的添加:单击上图中所圈中的别名,出现如下所示：对客户端别名的添加4、进行网络协议的选择和服务器别名的添加：此时用户需要首先选择网络协议,选定为TCP/IP,服务器别名根据用户需要自由添加,点击确定后完成数据库初始化;2-3-4 安装Web中央管理平台⏹安装Web管理平台此部分程序要求安装在默认路径下,安装过程中请确保信息填写正确,否则,Web服务器可能不能正确访问SQL Server数据库;⏹Web中央管理平台访问Web管理平台安装以后在IIS目录上以虚拟目录的形式存在,虚拟目录名称为VRVEIS,用户在安装完成以后,用http://Web服务器域名IP/VRVEIS的形式访问Web管理平台主页面;默认用户名为admin,密码为123456;以下的都是用admin登陆进行说明的审计用户名为audit,默认密码为123456;如果http://Web服务器域名IP/VRVEIS访问无效,则以http://Web服务器域名IP/VRVEIS/INDEX.ASP方式登录;2-3-5 安装区域管理器Region Manage在Web中央管理平台中划分区域及指定区域管理器后参见Web中央管理平台配置安装区域管理器组件;安装后进行以下两项配置：⏹SQL客户端配置如果“区域管理器”没有同SQL装在同一台服务器上,需要在如下图所示窗口中将默认网络库选择为“TCP/IP”,使客户端能够远程访问数据库;在“区域管理器”中选择“配置”->“系统配置”,配置SQL客户端,也可以通过Alt+S热键,进入配置;SQL常规配置上述配置完毕以后,需要重新启动“区域管理器”,使系统生效;⏹区域管理器系统配置SQL服务器配置：进入“系统配置”,逐步输入SQL服务器IP地址、用户名称及密码、数据库名称默认为VRVEIS,单击“确定”完成SQL服务器配置;区域管理器中SQL配置2-3-6 配置设备扫描器模块Region scan在配置好Web防护系统区域及其区域管理器后做以下步骤：在配置管理里,点击“扫描器配置”可以添加扫描器,配置扫描范围;区域扫描器配置填写相关信息之后重新启动区域管理器,程序会自动缩小到系统托盘,表示数据库连接成功,程序运行正常,此时通过上图中“扫描器配置”项来查看扫描器相关运行信息;2-3-7 客户端注册一客户端注册流程及注册程序配置⏹客户端注册流程执行注册程序,根据要求填入指定信息,系统自动将所添加信息和系统自动采集获得的设备信息发送到区域管理器,由区域管理器将注册信息处理后存储到SQL数据库,在Web管理平台中设置的客户端参数策略将由区域扫描器扫描客户端后,发送给客户端驻留程序保存执行;该客户端驻留程序驻留在系统内部,以服务和进程的方式实时运行,一旦非法移动存储设备非法接入注册计算机,客户端驻留程序立即向web管理平台发送报警数据,同时本机将显示报警信息;⏹修改客户端注册程序配置文件在web平台中配置管理->注册程序配置;注册程序使用前需要网管人员的配置,主要是设置区域管理器IP地址注册时客户端信息发向该IP地址所在的区域管理器,如区域管理器为10.1.32.249,配置如下图所示：注册程序配置在这里,可以对注册时需要填加的单位、注册密码进行编辑;如下图所示:单位和部门添加删除二客户端注册方法客户端注册方法包括网页静态注册、网页动态注册、手动注册、网关重定向强制注册等;网页静态注册：静态注册比较简单,客户端只需要将配置好的注册文件上传到公共主页上即可,做一个链接,访问主页后手动下载注册;主要讲述动态注册,这种方法适用于网络用户较多的情况,客户端只要访问网络内公共网站,网页将自动对客户端进行探测,弹出提示窗口,提示用户进行注册;网页动态注册：利用网络中已经构建好的内部网站,一方面网络客户端可以通过手动获得注册程序,也可以通过在主网页上加载弹出页面的方式进行提示性注册;本手册将主要介绍后一种方式;当网络中客户端计算机访问本网络内部网站时,在该主页代码中加入一段代码如下;本代码作用在于首先获得该客户端计算机的IP地址,再读取数据库里面相关IP地址的注册和其它相关信息,如果该IP地址的设备存在,系统会根据其是否完成“注册”、“信任”、“保护”三项操作进行判断,只要满足其中任意一条件,都不会提示注册,否则会弹出窗口提示注册;网页加载弹出程序方法如下：编辑已有主页的源程序,在需要加载弹出窗口主页的源代码<body>中放入以下代码：<iframe src="http://192.168.0. 253/vrveis/quest.asp"frameborder="0" style="width:0px;height:0px"></iframe>注意：需要将其中的http:// 192.168.0.253/vrveis/quest.asp换成http:// 网页平台计算机IP/vrveis/quest.asp即可,此时当网络中计算机访问该内部主页时,会自动弹出如下提示页面：网页动态注册使用网页动态注册时,请管理员通知注册人,在访问本网站时,暂时关闭网页弹出拦截程序或将本网站添加到不拦截列表中;手动注册：除了自动注册设备外,遇到需要手工注册新增设备时,也可通过WEB管理平台中数据查询,设备信息查询中的手动添加设备功能,将新增设备的具体信息详细登记填写至数据库中,并将其置为保护设备;注意：1.多级级联注册：如果系统为多级级联方式,必须在区域管理器的高级配置中的“系统配置”、“策略配置”选项中的级联选项选中,并正确添加上级管理器的IP地址,各级区域会将自己所管辖的区域管理IP段上报到上级数据库中存储;此时,当网络中任意一台下级区域客户端计算机访问主网站的同时,会根据最上级区域数据库中存储的各级上报IP段信息,自动将该客户端注册程序文件下载路径指向为自己所处IP段的本级区域注册器上,做到各个区域的客户端计算机在访问同一网站进行注册程序下载时,所下载的客户端程序均为自己所在区域的专用注册程序;如果网络中内部网站,网络管理员可以通知网络内计算机在本系统Web管理平台的登录页面中点击下载注册程序完成系统注册,或者在此页面下按上面的步骤做好弹出提示窗口方式注册;注册程序界面如下：客户端注册信息无论采取哪种方式,在注册成功以后,注册程序除了将主动添加的信息自动上报以外,还会自动收集其它和系统相关的信息进行上报;客户端和区域管理器连接通讯不正常的情况下,将提示用户“缺省注册成功”,表示客户端探头已经注册完毕,但还没有与区域管理器通讯;当区域扫描器扫到该计算机的IP地址时,才会将添加的信息及系统采集信息上报到区域管理器,存储在数据库当中;2．本系统使用初期,若要求对下属网络中的计算机信息进行统计、注册、入库,必须在Web管理平台中管理器设置项内选中“允许客户端注册”,如注册时需要密码,也需要在WEB管理平台中进行设置,如下图所示：允许客户端注册第三章系统组件配置3-1-1 区域划分在网页平台安装完毕之后,访问http://Web服务器域名IP/VRVEIS访问WEB 管理平台登录界面;如下所示：Web管理登录界面系统默认用户为admin,密码为123456,登录后建议管理员修改管理员密码;成功登录后,进入系统的主界面;在所处的IP地址段内,进行区域划分操作首先进行区域添加和划分操作;区域划分：单击配置管理里的“区域划分与配置”,对网络中的客户端进行区域划分管理,按照提示依次添加区域、增加区域IP管理范围、分配区域管理器、,并完成系统组件运行参数配置;具体步骤：区域描述配置栏中填写好一些必要的与区域相关的信息,如区域机构代码、区域名称、负责人姓名等;其他信息可以酌情依照实际用途填写;本区域IP划分：根据用户实际需要在下图所示的文本框中填入需要管辖的IP地址;其中保留IP段为该网段目前没有网络设备存在的网段,如有设备存在,则会产生报警信息;区域划分与配置下级区域划分：在已有区域页面中点击“增加下级区域”按钮进行下级区域添加,如集团总部下属总裁办、行政部、财务部等;3-1-2 区域管理器配置区域管理器：区域管理器为系统策略控制及数据接收处理中心,具有控制完成系统相关的动作行为处理功能；同时与本级数据库系统连接,统一接收注册程序提供的信息,将用户信息填写的计算机使用人姓名、联系电话、E-mail等,计算机IP、MAC地址、硬盘、CPU、内存等其它硬件信息均为自动采集存入数据库;根据本区域客户端IP管理情况确定对IP地址的管理方式,若选择IP、MAC 地址绑定,需要在静态IP环境下进行设置;允许客户端控头升级：设置本区域管理器管理范围内的客户端的升级操作;设置vpn网络虚拟管理器IP：添加VPN虚拟服务器的IP地址;管理器标识：管理器的标记,当服务器迁移时需要设置与之相同的管理器标识;允许客户端注册：任意一台在区域范围内的客户端都可以在服务器上注册;管理器配置同步：当选中“下级区域”时下级区域的配置应该和上级区域管理器的配置相同,当选中“全部区域”时是指下面的任意级联区域都要和区域管理器的配置同步;区域管理器参数设置区域管理器系统配置：设置完当前页面时可以配置管理器,在桌面双击“区域管理器”快捷方式弹出如下界面：区域管理器系统配置进行SQL服务器配置：进入“系统配置”,逐步输入SQL服务器IP地址、用户名称及密码、数据库名称默认为VRVEIS,单击“确定”完成SQL服务器配置;SQL服务器配置管理器配置：本软件默认机器操作系统88端口,若其它应用程序占用该端口,将自动更改为188;如果区域管理器应用于多级管理每级都有独立的SQL server和相应的系统的级联构架体系,其上级还有区域管理器的情况下,当前区域管理器需要将所有信息上报到上级管理器;区域管理器支持多级级联,如国家、省、市、县多级规模网络管理构架,下属区域管理器将其所有计算机报警信息转报到上级数据库;注：需要把“上报给上级管理器”√上,输入上级管理器地址;升级配置：用于配置区域管理器的自动升级,升级服务器地址为上级区域管理器IP;区域管理器配置-高级设置系统配置：锁定下级策略是指下级不能够更改策略信息;上报给上级区域管理器是指下级的策略,阻断,违规信息上报给上级区域管。

emmc-dm分类标准EMMC-DM（eMMC Device Management）是eMMC设备管理的标准。

eMMC（embedded MultiMediaCard）是一种嵌入式存储解决方案，广泛用于移动设备、嵌入式系统和其他应用中。

EMMC-DM标准定义了eMMC设备管理的规范，包括设备的初始化、分区管理、健康状态监测等方面。

在eMMC-DM标准中，主要的分类标准和功能包括：1.设备初始化：•初始化是eMMC设备管理的基础。

这包括设备的初始化命令、配置参数的设置等。

初始化是确保eMMC设备能够正常工作的第一步。

2.分区管理：•eMMC-DM定义了关于分区管理的规范，包括如何创建、删除、调整分区大小等操作。

分区管理使得eMMC设备可以更有效地使用存储空间。

3.数据备份和还原：•eMMC-DM提供了关于数据备份和还原的规范，确保数据的可靠性和完整性。

这对于防止数据丢失和提高系统稳定性至关重要。

4.健康状态监测：•eMMC-DM定义了对eMMC设备健康状态的监测标准，包括对坏块的检测、错误率的监测等。

通过实时监测设备健康状态，可以提前发现潜在问题并采取措施。

5.性能管理：•包括对eMMC设备性能的管理，如读写速度、响应时间等。

通过性能管理，可以更好地优化系统性能。

6.安全性：•eMMC-DM标准也可能包括有关设备安全性的规范，确保数据在传输和存储中的安全性。

7.固件升级：•提供了固件升级的规范，以确保设备可以及时更新，修复可能存在的漏洞，提高设备的稳定性和安全性。

请注意，具体的eMMC-DM标准可能随时间和技术的发展而更新和演进。

如果你对特定版本的eMMC-DM标准有兴趣，建议查阅官方文档或标准组织的发布。

涉密和非涉密计算机保密管理规定等制度在当今信息时代，计算机已经成为日常工作和生活中不可或缺的工具。

然而，对于涉及国家秘密、商业机密或个人隐私等重要信息的处理，计算机的使用必须遵循严格的保密管理规定。

为了确保信息安全，保障国家利益和个人权益，制定并执行涉密和非涉密计算机保密管理规定等制度至关重要。

一、涉密计算机保密管理规定（一）涉密计算机的定义与认定涉密计算机是指用于处理、存储、传输国家秘密信息的计算机。

其认定应依据国家相关保密标准和规定，由专门的保密管理部门进行。

（二）物理安全保障涉密计算机应放置在专门的保密场所，具备防火、防水、防盗、防电磁泄漏等物理防护措施。

场所应限制人员进出，并安装监控设备和报警系统。

（三）设备采购与管理采购涉密计算机设备应选择符合国家保密标准的产品，并经过严格的安全检测和审批程序。

设备的使用、维护和报废应进行详细记录，确保可追溯性。

（四）操作系统与软件管理涉密计算机应安装经过安全认证的操作系统和应用软件，并及时进行更新和补丁修复。

禁止安装未经授权的软件，特别是可能存在安全隐患的国外软件。

（五）用户权限管理为不同用户设置不同的权限，明确其可访问和操作的信息范围。

用户应使用强密码，并定期更换。

（六）信息存储与传输涉密信息应存储在加密的存储介质中，传输应采用加密通道，确保信息在存储和传输过程中的保密性。

（七）病毒防护与安全审计安装专业的杀毒软件和防火墙，定期进行病毒查杀和安全扫描。

同时，建立安全审计机制，对计算机的操作行为进行记录和审查。

（八）维修与报废处理涉密计算机的维修应由具备资质的专业人员进行，并在维修过程中采取保密措施。

报废时，应确保存储介质中的信息被彻底清除，无法恢复。

二、非涉密计算机保密管理规定（一）信息分类与标识对在非涉密计算机上处理的信息进行分类，明确哪些是敏感信息，哪些是普通信息，并进行相应的标识。

（二）个人隐私保护尊重用户的个人隐私，不得未经授权收集、存储、使用或披露个人敏感信息。

涉密计算机及移动存储介质保密管理系统1.概况：违规外联与移动存储介质交叉使用是造成网络失泄密案件的最主要原因.近年来,我国发生的一些网络泄密窃密案件追踪溯源,均与违规外联和移动存储介质交叉使用密切相关.涉密计算机及移动存储介质保密管理系统是为切实消除涉密计算机违规外联及移动存储介质在涉密计算机与非涉密计算机之间交叉使用而带来的泄密隐患和漏洞而开发的.涉密计算机及移动存储介质保密管理系统是在深入研究网络互联阻断技术、移动存储介质读写控制技术和光单向传输技术的基础上研制而成的.系统包括用户软件、管理软件、多功能导入装置和涉密U盘.用户软件安装在内部的涉密计算机上,具有对涉密计算机违规外联实施阻断并报警、涉密U 盘读写控制和非涉密移动存储介质禁止接入等功能.管理软件安装在保密管理人员使用的计算机上,具有对内部涉密网计算机违规外联报警信息的自动采集和对涉密U盘的注册、认证和管理等功能.多功能导入装置用于涉密人员向涉密计算机导入外部信息,同时负责涉密U盘的接入使用,既能在物理上切断涉密信息向外传输的渠道,又能实现外部信息安全完整地单向导入,满足涉密网内正常的信息交换需求.涉密U盘是具有统一外观、统一标识、专用接插件和一系列安全保密防护措施的专用移动存储介质,用于存储涉密信息并在涉密计算机之间实现信息交换.2.功能特点：涉密计算机及移动存储介质保密管理系统是一款功能强大的管理系统.2.1.违规外联监控涉密计算机违规外联报警系统能够及时发现涉密计算机试图违规连接互联网的行为,同时阻断该行为,并向监控中心报警.系统由服务端软件和客户端软件两部分组成.1.涉密计算机违规外联报警系统客户端软件客户端软件部署在所有涉密计算机中,缺省状态就能够禁止MODEM/ISDN/ADSL拨号和WLAN/GPRS/CDMA无线上网等功能.对试图发生外联的行为,进行如下处理：●完全阻断.本系统考虑外联途径多样性和操作系统的复杂性,采取多种阻断方式,确保行为阻断的可靠性；●及时告警.发现违规连接互联网的行为,立即向服务端监控中心告警,并记录日志,日志内容包括违规外联涉密计算机的配置信息、使用人、所属单位等.2.涉密计算机违规外联报警系统服务端软件根据需求,服务端软件将在互联网上部署.当监控到涉密计算机违规外联行为时,进行如下处理：●服务端软件收到报警信息,可采用声、光等多种形式通知管理员；●接收报警信息的服务端软件能够与客户端软件可靠通信,保证报警信息可靠上传.3.违规外联监控系统系统特点●安全性保证.采用系统内核技术保证用户端程序不可删除、不可篡改、不可停止.当被监控计算机的网络连接异常中断后,能够将报警信息暂存在本地,待下次与服务端连接成功后,再上传到服务端.系统通信要做到安全可靠.●可视化管理.系统可根据涉密计算机注册的地域及单位信息,形成可视化图形,对全国涉密计算机的违规外联行为进行可视化报警显示,全国的违规外联报警信息展现在一张全国地图上,管理人员可以非常直观地看出全国各地的违规外联情况,并可以通过点击轻松获取关心的详细信息.2.2.移动存储介质保密管理通过使用操作系统内核技术,禁止使用所有普通U盘、移动硬盘、手机存储卡、MP3、MP4等USB移动存储介质涉密计算机上使用.移动存储介质保密管理系统由管理端软件和客户端软件两部分组成：1.管理端软件功能●对涉密U盘进行唯一性标记,确保无法仿冒；●对涉密U盘进行统一注册授权,并对发放、领用情况进行统一管理.能够根据涉密U盘的标识确定其领用单位、领用人,对违规使用涉密U盘的行为能够提供有效的事后追查线索；●系统软件本身采取身份认证和权限管理措施,确保涉密专用U盘的注册信息、违规使用报警信息不被非授权访问、修改和删除；●支持分级管理,有效减轻管理员负担；●提供专用工具,用于对涉密计算机中客户端软件的卸载、维护等操作管理;●充分考虑适用性和扩展性,采取统一注册方式,确保经过注册的涉密专用U盘能够在涉密计算机上互通使用.2.客户端软件功能●介质识别功能,只识别已注册的涉密U盘,普通U盘、MP3、数码相机存储卡、移动硬盘等通用USB移动存储介质在涉密计算机的正常模式和安全模式都无法被识别和格式化；●客户端软件安装后,所有控制功能缺省为禁用状态,必须由管理员使用专用身份钥匙激活才能启用,有效规避因客户端软件被扩散所引起的保密安全风险;●能够根据策略实现涉密U盘的分域管理,既可以限制优盘只能在指定范围内使用,也可以通过授权使得涉密U盘能够跨域使用,实现内部不同单位与部门之间的涉密U盘互通.●客户端软件安装后,不影响使用鼠标、键盘等非存储类USB设备；●涉密U盘认证失败达到一定次数后,能够自动锁定；●支持用户修改U盘打开口令.2.3.多功能导入装置多功能导入装置布置在非涉密移动存储介质和涉密计算机之间.1.采用光单向传输技术,涉密人员可以通过普通USB移动储存介质导入外部信息到涉密计算机,实现外部信息向涉密计算机安全完整的单向导入.2.多功能导入装置提供涉密移动存储介质专用接入接口,实现涉密移动存储介质与涉密计算机之间的信息交互.2.4.涉密优盘涉密U盘运用安全控制芯片对存储区域加强保密性.涉密U盘接入计算机时,首先会验证该计算机是否为涉密计算机,验证通过后,才根据访问权限开放自己的存储区域,并通过专用驱动读取盘中的内容,防止涉密U盘在非涉密环境中使用.涉密U盘有以下功能特点：1.按统一规范生产,包括规格、颜色、标识均统一;2.按照统一规范进行编号,能够通过编号绑定责任人；3.特殊形式的专用设备接插件,不同于普通USB接头,无法插入电脑的普通USB接口,有效的防止误操作；4.具有计算机环境识别功能,在没有安装涉密计算机及移动存储介质保密管理系统客户端软件的涉密计算机或其他非涉密计算机环境下不能进行读取和格式化等操作；5.涉密U盘采用专有的文件存储格式、专有参数区、专有接口函数、专有文件格式解析控制,保证只有专用的驱动程序才能解析存储的内容；6.经过注册的涉密专用U盘在涉密计算机中的使用方法和使用普通U盘一样,对盘中所存储的各种格式的文件均可以直接打开、编辑和存储,完全符合用户使用习惯；7.支持口令认证保护,使用时需要输入正确口令才能使用涉密专用U盘,用户自行修改口令；8.涉密U盘对存储区域内容进行散乱处理,完全打乱文件的存储位置,因此,即便涉密U盘出现丢失或失控时,其中存储的内容也很难被破解.。

北信源移动存储介质管理员使⽤说明专⽤移动存储设备制作过程⼀、普通移动U盘的制作⽅法1、获取制作⼯具：登陆⽹页管理平台，进⼊“移动存储”，选择“USB标签制作⼯具”，下载“UsbTool.exe”。

2、登陆制作⼯具：执⾏“UsbTool.exe”，输⼊区域管理器所在计算机的ip 地址，输⼊admin⽤户，输⼊密码登陆（UsbTool同区域管理器连通）。

UsbTool登陆3、选择需要的型号：登陆后，插⼊普通移动存储设备，出现盘符，选择该盘符，填写部门、拥有者、设备编号（⾃动编号不需要填写）、标签等。

UsbTool界⾯最后选择“写⼊标签”，如图，选择需要制作的安全盘的类型。

分区格式化4、配置设备参数：参数作⽤详见“2）专⽤移动存储设备类型”。

5、分区格式化：按照步骤对不同分区格式化，多个分区格式化将会出现多次格式化窗⼝。

6、标签验证、标签清除：标签写⼊成功后，可以在UsbTool.exe主界⾯中进⾏标签验证，并进⾏标签清除。

⼆、移动硬盘标签制作⽅法制作三个分区的移动硬盘标签步骤1：插⼊移动硬盘之后，在“我的电脑”上点⿏标右键--管理—磁盘管理。

步骤2：在上⾯的分区上点⿏标右键，删除分区，多分区相同。

步骤3：删除分区H，然后点确定按钮。

步骤⑷：然后所有分区，使之变成未指派盘符。

步骤⑸：在未指派盘符上，单击⿏标右键选创建磁盘分区。

步骤⑹：点下⼀步。

步骤⑺：选择主磁盘分区，点击下⼀步。

步骤⑻：设置分区⼤⼩为2000MB，之后点下⼀步。

步骤⑼：给主分区指定⼀个盘符。

步骤⑽：主分区必须是FAT32格式的，点击下⼀步。

步骤⑾：之后点完成。

步骤⑿：之后的步骤和三分区的优盘的步骤⑴到步骤⑹⼀样，就是容量⼤⼩和注册信息不同。

（需要注意⼀下）制作整盘加密的移动硬盘标签步骤⑴到步骤⑿和制作3个分区的移动硬盘⽅法⼀样。

步骤⒀之后步骤和制作整盘加密的步骤⑴到步骤⑹的⽅法⼀样。

3个分区的优盘和移动硬盘在内⽹会出现下⾯界⾯。

整盘加密的优盘和移动硬盘在内⽹会出现下⾯的界⾯。

《移动存储介质管理制度》为了加强信息安全管理及移动存储介质的管控，结合公司实际，制定本规定。

第一条移动存储介质是指存储数据的载体，包含u盘、移动硬盘、光盘、软盘、内存卡、记忆棒等设备;第二条移动存储介质由办公室统一购买，并建立台账，登记配发，在办公室进行登记，并由办公室负责日常管理和维护维修。

第三条移动存储介质分为保密区、交换区，其中保密区只能本部内网计算机上使用，交换区则可通过密码认证后与外部计算机进行数据交换。

第四条移动存储介质不得存储任何涉密信息，严禁将本局移动存储介质借给外单位或他人使用。

第五条凡因丢失本部门移动存储介质造成的数据泄密，将按照相关制度进行处理，并进行赔偿。

第六条工作人员离职离岗前，要将所保管的移动存储介质全部清退，并办理移交手续。

（此项制度由办公室负责解释。

）第二篇：涉密移动存储介质管理制度涉密按照《中华人民共和国保守秘密法》和张掖市委机要局、市保密局的有关要求，结合本所的实际，制定本制度。

一、涉密移动存储介质是指存储了涉密信息的硬盘、光盘、软盘、移动硬盘及u盘等。

二、用于处理国家秘密信息的移动存储介质必须按其所涉及的秘密等级粘贴市保密工作部门统一制作的密级标识。

三、绝密级移动存储介质由单位或使用部门指定专人统一保管，并必须存放在保险柜中；机密级以下移动存储介质由使用人保管，并存放在符合安全要求的密码文件柜中。

四、高密级涉密移动存储介质不得在低密级的计算机或设备上使用，严禁在与互联网连接的计算机或其他设备上使用涉密移动存储介质。

五、涉密移动存储介质只能在本单位的涉密计算机或涉密信息系统中使用，严禁借给外单位、转借他人使用。

确因工作需要携带涉密移动存储介质外出的，需填写“涉密移动存储介质外出携带登记表”，经主管领导批准，并报所保密工作领导小组备案，逐件登记涉密存储移动介质内的涉密信息。

六、复制涉密移动存储介质，须经单位领导批准，且每份介质各填一份“涉密移动存储介质使用情况登记表”，并赋予不同编号。

移动存储管理系统白皮书1北信源移动存储管理系统概述北信源移动存储系统是以移动数据生命周期为主导，紧扣其存储和交换的安全需求，针对移动数据全生命周期各个环节潜在的安全隐患，综合运用各种安全技术和手段，进行有效全程防护的安全产品。

2北信源移动存储管理系统用途及技术特点2.1设计理念北信源移动存储管理系统采用B/S与C/S相结合的管理构架，支持多级级联模式。

服务端制订统一的策略，分发给客户端执行。

具有USB标签制作工具，能够对移动存储介质加扰进行保护和加密，对移动存储设备进行使用范围授权，访问控制等综合的管理。

移动存储管理系统可以将整个移动存储介质划分成任意两部分容量的交互区和保护区，保护区需要通过密码认证才可以访问。

北信源移动存储管理系统适用于不同的环境。

通过对安全移动存储设备硬件及移动存储管理系统软件一体化集成的方式对所有操作的完善的日志审计，进行移动存储及介质的访问控制权限划分等。

系统以数据为中心，用户作为数据的使用者，主机作为数据的存储者，移动存储介质作为数据的迁移者，在系统范围内均赋予唯一的标识，三者进行相互认证。

只有经认证和授权成功后，才保证合法的用户在合法的机器上访问合法存储介质上的数据，并形成详尽的日志供审计。

图2-1 移动数据安全访问模型2.2移动存储管理系统结构◆系统服务器端(VRVEDP-USB)：移动存储系统管理中心，基于web页面管理方式，管理员登陆后配置后系统才能运行，能够自动发现网络中的终端计算机，并检测终端计算机是否安装系统客户端程序，管理中心内置移动存储管理策略中心和报警中心，提供对网络终端的分组管理设置。

◆系统客户端(Agent)：安装在终端计算机，接收系统管理中心分发的策略，根据接受策略实时监控接入终端计算机移动存储设备的操作行为和状态，并进行管理或者控制；终端主机安全移动存储管理系统客户端注册程序以后，即使离开所在网络或不处于任务网络中，仍实时受到移动存储管理策略控制，日志记录于本地，一经连接回网络，则自动上报日志信息给服务器。

USB安全移动存储及管理系统本方案由广东省国家保密局和科技厅联合立项研发而成并由广东省国家保密局和财政厅联合发文要求强制配备。

方案背景：移动存储的大量普及应用，给政府机关的网络办公带来了极大的便利，同时也使得各单位在使用普通的移动存储过程中出现了众多的网络信息安全问题：1.资料泄露2.信息被盗3.病毒木马感染和传播。

据统计，由于使用普通移动存储造成的有意和无意的信息泄露占每年泄密事件高达67%的比例；病毒传播的比例有60%。

这样给政府机关的信息安全带来了极大的危害。

因此，从中央到各地都在全面推进安全移动存储的开发和应用。

磐固信息科技基于长期在操作系统底层技术的积累和对移动存储底层技术的掌握，按照广东省保密局的严格要求成功开发出“磐固”USB安全移动存储和管理系统和全省报警管理平台。

“磐固USB安全移动存储及管理系统”主要由USB管理系统与专用安全U盘组成。

USB管理系统通过控制涉密计算机的端口，杜绝了非法安全U盘与普通U盘在涉密计算机上存取数据文件。

实现了移动存储介质的可控管理，有效地解决了移动存储介质在使用中所带来的信息安全隐患。

系统特点文件的安全暴力拆除物理自毁暴力拆除安全增强型）专用于涉密环境，在外部计算机无法使用映射虚拟的加密盘符，操作更简单快捷专用于从非涉密环境到涉密环境单向导出文件资料快速导出全部文件导出文件资料，自动擦除硬件特点：◇防静电，抗电子干扰，保证使用者与U盘的安全◇滤波技术，四层板设计，保证U盘一直处于最稳定状态，防止数据丢失◇原厂A级芯片，通过严格的老化测试◇智能纠错，智能校正读写数据的准确性◇均衡写入，数百倍提高闪存读写次数及寿命◇双重稳压，彻底解决电涌导致闪存盘不能正常使用或损毁的问题◇人性化外观设计，U盘保护盖巧妙地与U盘绑定，不用担心疏忽而导致丢失宝华盖方案组成：管理系统+保密盘导入盘导出盘+ key + 告警中心附：广州市磐固信息科技有限公司（网址）以获得国家发明专利的操作系统底层技术和多年移动存储的研究为依托，以广东省国家保密局和科技厅的重大科技立项为立足点，独辟蹊径，率先提出和实现了“硬软结合”方法解决系统和数据安全问题，以“硬件和软系统”、“硬隔离和软隔离”、“硬隐藏和软隐藏”、“硬加密和软件加密”、“硬擦除和软擦除”相结合等多项独特技术和解决思路开发的“磐固”系列安全解决方案和产品，实现了在windows环境中保证数据生命周期（生成→存储→转移）的高度安全和隔离移动办公。

公司本部各部门：为规范公司本部移动存储介质（优盘）的安全管理，按照国家电网公司统一要求，经过测试运行，现正式在公司本部信息内网统一部署“移动存储介质管理系统”，并统一配发专用移动存储设备（加密优盘）。

关于“移动存储介质管理系统”简要介绍、实施原则、专用存储设备的使用、配发工作安排情况如下。

一、概述国家电网公司移动存储介质管理系统（简称SGCC-USB V1.0）是根据公司实际需求而设计的移动存储介质管理方案。

系统采用C/S和B/S混合式架构，由服务器端和客户端构成。

其综合应用底层驱动、扇区加密、进程守护等多种安全技术对普通USB移动存储设备进行唯一性标签处理，并与客户端的安全访问控制策略进行匹配授权，确保USB移动存储介质使用的安全性与合法性。

项目由国网信息通信有限公司牵头，在国家电网公司系统内对移动存储介质管理系统软件进行统一设计、开发和推广。

在项目参与各方的共同努力下，移动存储介质管理项目历经需求调研、设计开发、测试等阶段，并于 2008 年 1 月至 3 月在公司总部进行了试点实施，得到成功验证，具备全面推广应用的条件。

为规范有序地在各网省公司组织项目推广工作，提高效率，保证质量，对项目推广实施全过程管理。

公司本部“移动存储介质管理系统”已经部署安装、调试，并完成测试（交易、房改、离退、信息等部门的部分微机）工作。

二、实施原则1、授权计算机已安装移动存储介质管理系统客户端（以下简称“客户端”），并对注册专用存储设备具有访问权限的计算机（办公内网计算机）。

2、非授权计算机指未安装客户端的计算机（办公外网和互联网计算机）。

3、安全策略注册后的专用存储设备分为启动区、交换区、保密区。

启动区在授权计算机上不显示。

在非授权计算机上将单独显示盘符，直接执行该区中的Edpedisk.exe程序，即可进入交换区登录页面。

交换区通过用户密码认证后在内、外网计算机均可使用。

保密区仅能在授权计算机上使用，在非授权计算机上不可用，也不显示盘符。