【产品概述】
光盘刻录监控与审计系统在完全贯彻和落实国家相关文件规定的基础上，实现了对光盘刻录的全面控制，是对光盘刻录最佳的安全管理系统。系统采用三权分立原则，集权限控制、数据刻录控制、安全光盘读取和日志审计于一身，方便、有效的控制内网敏感信息通过光盘刻录进行的数据交换。
光盘刻录监控与审计系统是对网络中光盘刻录行为进行监控和审计的一套终端安全管理软件，它采取软硬件结合的方式对终端进行授权与防护，并具有完善的网络管理体系。
光盘刻录监控与审计系统由两部分产品组成：
管理端：管理员操作界面。主要功能为终端用户信息查询、策略制定与下发、审计信息查询。
客户端：专用刻录软件，可以刻录普通光盘和加密光盘，自动生成审计记录。
【产品架构】
光盘刻录监控与审计系统由7部分组成：WinPcap程序、SQL Server管理信息库、Web中央管理配置平台、区域管理器、客户端注册程序、管理器主机保护模块、报警中心模块。
1) WinPcap程序：嗅探驱动软件，监听共享网络上传送的数据。
2) 环境初始化程序：SQL Server管理信息库，建立主机监控审计系统初始化数据库。
3) Web管理平台：系统的管理配置中心，包括区域管理器、扫描器、注册客户端的功能参数设定，网络设备信息发现、系统应用策略制订、报警信息显示、定义任务功能制订、系统用户维护等配置操作。
4) 区域管理器：系统的数据处理中心，负责与管理信息数据库通讯扫描终端设备、控制服务器、客户端之间的信息、指令的下达、接受。内置网络扫描器，用来发现网络的终端设备,并将发现的设备信息交由区域管理器处理。
5) 客户端注册程序:将接收并执行服务器下发的指令,对终端行为、操作、状态进行控制与管理。
6) 主机保护模块:根据管理器或其他服务器具体使用的端口、网络协议、通信IP范围和具体的其他网络应用来定义该计算机使用的安全级较高的网络配置，从而防止该计算机受到恶意的IP冲突以及各种网络、病毒攻击。
7) 报警中心模块：安装在可与区域管理器所在服务器正常通讯的计算机上，本模块可以根据管理员在系统中所配置的报警事件和危险级别提供给管理员包括电子邮件、信使服务、SNMP Trap、手机短信等多种报警方式。
【产品功能】
1) 权限控制
未授权用户无法使用刻录软件刻录数据。
针对不同用户可授权为：禁止刻录、对指定格式的文件设定刻录权限、关键字过滤功能保障敏感文件信息无法刻录、刻录次数限定，可根据工作日及时间段授权刻录、并可设定刻录许可码。
2) 数据刻录控制
只有使用专用刻录软件进行刻录，其他刻录软件无法刻录。
授权的用户使用专用刻录软件刻录，刻录支持特殊格式的安全光盘。
3) 特殊格式安全光盘读取
经过加密刻录的光盘内数据需要使用专用解密工具导入刻录时所使用的密钥才可解密，解密后文档才可正常读取
专用刻录软件刻录的普通光盘在任何光驱上都能被正常读取。
4) 安全审计
刻录行为的审计，包括：刻录计算机IP、MAC、刻录时间、源文件绝对路径、目的文件绝对路径等信息。
客户端系统配置变化审计。
灵活过滤条件查看日志；
日志、统计报表提供WORD及EXCEL等格式的输出。
【产品特性】
1) 分级管理
光盘刻录监控与审计系统支持对管理员分级管理，实现不同管理员管理不同内容,可进行授权、管理和审计等多种角色划分，用户分为超级用户、普通用户和审计用户。
超级用户：开设并分配用户及权限。设定权限时根据工作需要，规定该用户所能操作的策略、管理的区域及查看的信息。设定权限时还可以根据工作需要设定用户为只读（只能看数据，不能改数据）、读写权限用户。
普通用户：根据超级用户设定的权限进行日常工作的维护与管理。
审计用户：提供对系统管理用户的操作行为记录，记录管理员操作执行的策略详细内容。
2) 通信保护
光盘刻录监控与审计系统的组件间通信时，数据传输是经过加密的。
服务器端使用TCP协议80、88端口，终端使用TCP协议22105端口，同时终端数据上报和服务器端指令、策略下发采用加密算法，防止他人旁路嗅探信息。
终端和服务器端相互通信使用双向认证机制，防止已安装同类终端的非本网络计算机非法进入网络，同时也防止模拟的假终端和服务器进行通信。
3) 终端保护机制
光盘刻录监控与审计系统的终端系统具备极强的自我保护功能，在正常模式和安全模式下均提供终端安全代理自身防护功能。并可防止用户停止代理进程、破坏代理运行目录和相关文件、停止代理相关服务。如需要，终端安全代理的程序和进程可做到用户不可见。
若网管要求强制卸载客端时，系统对终端安全代理提供特定的卸载程序，用户只能通过运行卸载程序停用／删除终端安全代理或通过管理平台远程卸载。
4) 系统日志
光盘刻录监控与审计系统提供局域网终端光盘刻录监控审计和操作审计机制，保证系统的稳定运行。
用户登录日志：详细记录登录用户登录时间、IP地址、登录用户名称等，以备进行事后审计。
策略操作日志：针对管理员对系统策略的修改、增删等各种操作进行详细记录。
5) 系统安全性设计
保证管理系统服务器端使用的安全性，保证其受到恶意修改IP地址的方式攻击时的仍可正常工作，保证其在遭受DDOS攻击时仍可正常工作。管理系统终端不会被用户手动卸载或意外停止，仅能通过特殊工具卸载。要求终端出现异常（如停止工作）时管理端可自动获知情况并可进行相应的处理。
6) 服务器安全设计
服务器系统具备保护服务器的终端数据包过滤功能。网络中出现恶意修改成与管理服务器相同信息（如相同的IP地址、相同的MAC地址等）的机器时，出现IP地址或MAC地址冲突等现象时，管理服务器将不会被阻断出网（即不会出现地址冲突的现象），只有发起恶意攻击的设备会被自动阻断，不会影响管理服务器的正常管理。