技术问题 (PDF格式)

免费网络演示 (flash)

概  述

• 什么是DeviceLock Endpoint DLP Suite，它有什么作用？

  DeviceLock Endpoint DLP Suite 是基于策略的端点数据丢失防护（DLP）安全解决方案，用于控制和记录用户对端口、设备、网络协议和某些应用程序的访问。

  管理员可以使用DeviceLock Endpoint DLP Suite控制用户对任何端口、设备类型或网络接口的访问：USB和FireWire，红外，串行和并行端口，Wi-Fi和蓝牙适配器，磁带，内部和外部磁盘驱动器，智能手机， 剪贴板，SMTP和SMTP-SSL电子邮件会话，HTTP和HTTP-SSL Web会话，Web邮件和社交网络，即时消息会话，通过FTP和FTP-SSL的文件交换，Exchange（MAPI）电子邮件，本地共享和 基于网页文件的共享云服务，Telnet会话等。 支持IPv4和IPv6。

  DeviceLock Endpoint DLP提供了虚拟DLP，以减轻主要供应商（例如Microsoft，Citrix和VMware）在桌面和应用程序虚拟化场景中数据丢失的威胁。

  DeviceLock Endpoint DLP Suite可以彻底审核和屏蔽用户、端口、外围设备、协议和数据交换活动。

  现在可以通过SMTP电子邮件或SNMP陷阱有条件地警告管理员。

  DeviceLock Endpoint DLP Suite允许IT安全管理员通过上面列出的任何途径来设置和实施用于数据泄露的策略，从而防止敏感数据从组织中丢失或泄漏。

• 您如何对DeviceLock Endpoint DLP Suite进行分类？ 这是什么产品？

  DeviceLock Endpoint DLP Suite是一种防止数据丢失的解决方案，这意味着它旨在防止公司数据通过蓄意的恶意意图，过失或意外错误从公司网络中泄漏或从公司控制的BYOD笔记本电脑/设备中泄漏出去。

  防止企业数据通过各种数据存储和传输渠道（例如电子邮件，Internet服务，计算机外围设备，可移动媒体等）泄漏的解决方案通常称为“ DLP产品”或“ DLP解决方案”。

  DLP解决方案必须能够拦截和分析已传输的文件和消息，然后根据IT安全管理员或CISO / IAM已制定的预定义策略确定是否阻止、允许和/或审核和屏蔽传输 。

  DLP解决方案还必须允许收集事件日志和相关数据的归档副本，以用于取证分析。

• 部署DeviceLock Endpoint DLP有哪些好处？

  防止数据丢失和记录数据移动活动显然是任何DLP解决方案的主要任务。然而，解决方案的范围足以应付其他一些安全挑战:

  • 帮助满足行业标准或法定的数据安全法规要求(例如美国上市公司的SOX、美国医疗保健的HIPAA、信用卡办理的PCI等)或执行内部“书面”数据处理政策，这些政策也需要确认控制或监控;
  • 避免因在错误的时间向错误的人传播敏感信息而造成破坏性的干扰;
  • 防止对互联网和网络资源的不当使用或与工作无关的使用；
  • 通过控制和限制对网络协议的访问并防止使用员工可能带入工作场所的未知设备，帮助保护企业网络免于将SPAM，病毒和其他恶意软件引入端点。
  • 通过控制未经授权的网络流量和利用服务质量(QoS)控制我们的解决方案处理隐藏数据来帮助优化带宽使用。

• 该产品可以控制特定用户的操作，还是只是对所有用户以相同的方式部署？

  DeviceLock Endpoint DLP Suite安全政策是基于计算机的定义,但解决方案给指定用户和组的所有设备类型、端口和协议提供了非常细致的和灵活的权限/白名单列表访问和审计参数，无论是Active Directory域、LDAP域、内置的Windows用户环境、甚至本地计算机帐户。

• 内容分析需要什么？

  当对数据传输通道的基本环境控制不足以实现目标时，内容分析技术会很有用，这导致需要对传输的数据进行深入控制，例如： 没有端口、接口或其他传输通道受到其他限制时，请检查数据以获取敏感信息。

  内容分析技术还允许根据发送者（在某些情况下为接收者）环境有选择地检查数据流，从而减少错误响应的数量，并根据验证的内容创建数据的卷影副本。

  DeviceLock利用各种搜索技术：管理员创建了具有数字条件的正则表达式（RegEx）模式以及匹配条件和关键字的布尔组合，基于关键字的搜索，确定的真实文件类型，预定义的模式组（信用卡号，地址，护照/社会保险号码等），行业特定的内置词典，文件属性（名称，大小，密码保护，日期/时间，文本数据），Oracle IRM参数等。

• 需要什么正则表达式或模式？

  基于Perl的正则表达式是ContentLock使用的功能最强大、最有效的内容分析方法之一，可用于检测结构化数据，例如政府分配的社会服务号码、银行代码、医疗保健代码、电子邮件地址、文档元数据、卡和 电话号码等。

  正则表达式用于创建标准的引用模式，以比较文件和会话管理数据与显式匹配。用户和用户组、计算机、端口或接口、设备和通道类型、数据传输方向、日期/时间范围、带重复处理的数字阈值，以及创建模式时要使用的50多个参数，这些都进一步受到上下文参数的制约。

• 是否可以使用DeviceLock来限制信用卡或护照号码等数据的转移?

  是的，可以。 该任务由ContentLock组件分析和过滤数据内容来执行。 为解决此问题以及类似的传统信息安全挑战，DeviceLock会根据内置的RegEx模式检查传输的数据，或者管理员甚至可以自定义适当的RegEx模式模板副本以检测目标数据的其他变化形式，或者标记绕过标准模式规则的常见尝试。

• DeviceLock是否具有“被动模式”功能，即不限制数据传输，而是记录和卷影复制？

  是的，DeviceLock可以在任何管理员设置模式下运行。 我们也称此为“观察模式”。

  如果策略未阻止对端口，设备或网络协议的访问或内容筛选，日志记录和数据跟踪策略可以主动记录并在审计中保存记录，在“被动模式”下跟踪日志。 如果有活动的限制性访问策略，DeviceLock DLP将阻止传输并实时防止数据在受控端点上泄漏。

• DeviceLock和其他竞争性DLP解决方案之间的关键区别是什么？

  首先，DeviceLock Endpoint DLP是有针对性的最佳点解决方案，专门设计用于防止在端点层泄漏数据。 它不是在其他“ Endpoint Security”保护套件中可能找到的设备、防病毒副产品或受限模块。

  DeviceLock Endpoint DLP Suite没有所需的硬件元素，这些元素尚未安装到位，从而大大降低了典型的实施和维护成本。

  从历史上看，DeviceLock演变为具有必要功能的产品，以防止数据通过外围设备和端口泄漏。 现在，与竞争性端口设备控制解决方案相比，DeviceLock具有最多的功能来应对挑战。 2011年推出的NetworkLock和ContentLock组件通过使用有效的内容分析和过滤技术来合并最常用的网络渠道，从而将该产品推向功能齐全的DLP解决方案类别。

  自1996年以来，DeviceLock一直是EDPC的佼佼者。 自2011年以来，该产品一直是DLP的潮流引领者。 许多产品功能（例如，移动设备本地同步通道控制）是独特的并已申请专利。

  “购买前试用”是DeviceLock的重要竞争特征。 对于现有和潜在客户而言，我们没有任何隐瞒，我们坚持提供完全透明的原则，提供30天的免费试用版。 您可以自己了解DeviceLock，也可以与我们的技术售前团队或当地VAR联系，以获得更多帮助。

  只要足够的时间和系统管理技能，就可以使用全面的安装指南、视频、知识库、其他自助服务资源、文档和技术支持，无论是否购买了许可证，产品安装和维护都不会遇到障碍。 30天试用版可在有限数量的计算机上正常运行，这使任何潜在客户都可以对产品形成意见，并确定DeviceLock与其他竞争DLP解决方案之间的区别。

  DeviceLock DLP的另一个优势是，所有模块都已预先集成并通过核心平台与基于模块的许可进行了“看不见的部署”，从而在准备就绪时，只需打开许可并配置设置，就可以将DLP解决方案的阶段所需模块放入环境中。 这减少了在初始部署和持续维护方面的成本和劳动力。

  到2012年为止，DeviceLock的客户在全球范围内拥有超过400万个受控端点，这是解决方案可靠性的直接证据，尽管操作环境高度多样化(硬件、软件和安全策略)，也由于其拥有成本优势。

  最大规模的部署（截至2012年）是71,000多个端点。 DeviceLock忠实和回头客名单中有最大的企业、银行、政府、市政和军事机构。

• 是否有DeviceLock的服务器组件，它起什么作用？

  套件有两个服务器组件：DeviceLock Enterprise Server (DLES) 和DeviceLock Content Security Server，都需要一个Microsoft SQL或SQL Express数据库。由于“工作站”类客户端的并发连接限制，它们通常需要在Windows“服务器”类操作系统上运行，因此它们被称为“服务器”组件。 它们可以托管在虚拟服务器和/或承载在白天有可用用户连接带宽的现有服务器上(“备份”、“暂存”、“补丁”服务器等)。

  DeviceLock Enterprise Server组件对于管理不是至关重要的，仅在客户打算集中汇总审计和影子数据以进行报告和取证分析时才是必需的。在中大型环境中，通常会有多个DLES代理用于有效执行收集任务。 服务器模块不执行任何端点管理任务（DeviceLock代理通过Active Directory组策略GPO或直接从DeviceLock管理控制台接收访问控制策略），也不存储DLP策略设置。

  客户无需购买DeviceLock Enterprise Server组件的许可证，因为DeviceLock Core模块许可中包含了该许可证，该许可证与受管理的端点数量有关。 可以在有效收集审计和影子数据所需的任意数量的实例中安装和使用服务器。DeviceLock代理可以使审核数据和卷影副本被任意数量的DeviceLock Enterprise服务器拉回后端SQL和文件夹存储库。包括具有流压缩，最快的服务器响应历史记录和服务质量设置的流量优化。

  DeviceLock Content Security Server是用于执行其他与安全报告有关的任务的附加组件。 现在包括一个服务器功能（DeviceLock Search Server-DLSS），并且还有更多功能。

  Search Server提供全文索引，并搜索由DeviceLock Enterprise Servers收集并放置在公共Microsoft SQL / SQL Express和文件夹存储库中的日志数据和影子文件。 这些搜索功能使在DeviceLock Enterprise Server数据库中管理数量不断增加的数据以验证和/或协助调整安全策略变得更加轻松有效。

  Search Server可以自动检测、索引、查找和显示多种格式的文档，包括Adobe Acrobat（PDF），Ami Pro，档案（GZIP，RAR，ZIP），Lotus 1-2-3，Microsoft Access，Microsoft Excel，Microsoft PowerPoint， Microsoft Word，Microsoft Works，OpenOffice，Quattro Pro，WordPerfect，WordStar等。

  请注意，在大多数情况下，客户确实需要购买单独的许可证才能使用Search Server组件。 许可基于所需的最大索引/可搜索文档和日志条目数。

• 是否可以为办公时间和下班时间设置各种政策？

  有。管理员可以有选择地设置每个应用的DLP策略的基于小时和周的时间间隔。这些设置根据用户/组和所需的设备类型/端口/协议设置。

• 是否可以为公司网络内外的笔记本电脑配置各种访问控制策略？<

  可以。 DeviceLock确实支持各种公司内和公司外安全策略。 这样，当笔记本位于防火墙/ DMZ后面时，您可以有一个策略，而当笔记本在户外时，您可以有完全不同的策略。

• 什么是在线或离线安全策略？

  这两套DLP策略分别为常规和脱机，由DeviceLock代理根据其网络状态自动应用于受控端点。 脱机策略可以由使用缓存或已确认的Windows凭据身份验证的笔记本触发，无论它是否可以连接到任何已知的DeviceLock Enterprise Servers，或者是否处于有线与非有线状态。

• 以后可以查看用户传输的数据吗？

  可以。 管理员指示DeviceLock进行卷影副本后，将保存传输的数据以进行分析。 卷影副本可以存储在受控端点上，也可以集中收集到DeviceLock Enterprise Server存储库中。

• 什么是影子日志？ 我可以搜索其中的数据吗？

  DeviceLock Enterprise Server的影子日志是通常使用Microsoft SQL的带有文件指针的日志条目和任何影子文件的文件夹结构的存储库。 您可以使用内置的查看器筛选和排序技术，或借助全文本Search Server语言分析技术来搜索数据库。

• 影子数据库需要多少可用空间？

  高度针对客户。 选定的DLP访问/审计/阴影策略、阴影通道、受控员工生成的流量、文件大小和保留期限之间存在相关性。

• DeviceLock是否会影响数据复制到可移动存储设备操作的性能？

  不会，除非内容分析规则适用于所传输的数据。 在这种情况下，速度直接取决于有效规则集的复杂度以及所传输数据的大小。

• DeviceLock是否会影响Internet或整个网络性能？

  不会，除非内容分析规则适用于所传输的数据。 在这种情况下，速度直接取决于有效规则集的复杂度以及所传输数据的大小。

  通常，DeviceLock不会影响本地网络性能。

  审核和影子数据传输是一个后台过程，可以对其进行灵活配置，以分配网络负载，对数据进行流压缩，使用服务质量（QoS）优先级级别，允许安装DeviceLock Enterprise Server组件的多个实例，以提高收集效率。

数据传输控制

• DeviceLock Endpoint DLP Suite控制哪些数据泄漏通道？

  DeviceLock Endpoint DLP Suite几乎控制受控计算机上的每个本地I / O通道，包括外围设备和接口、剪贴板、本地连接的智能手机和PDA，以及带有DeviceLock组件的打印通道（本地、网络和虚拟打印机）。

  NetworkLock组件通过打开或SSL加密的SMTP会话（分别为消息和附件），Web邮件，MAPI / Exchange，Web访问和其他HTTP / HTTPS应用程序，许多即时通讯程序（包括Skype），许多社交网络来控制电子邮件消息传递 文件共享网站，通过FTP或FTP-SSL协议进行文件传输以及Telnet会话。

• 我可以通过文件类型控制设备的写入操作吗？

  可以。 无论为设备或协议设置的权限如何，都允许或拒绝对指定的已验证文件类型的访问，可以灵活设置卷影复制策略，以减少服务器存储的数据量。 文件类型的定义是基于签名的，而不依赖于文件扩展名。 支持4,000多种真实文件类型。

• 内容分析系统支持哪些文件类型？

  DeviceLock Endpoint DLP Suite在两个级别上控制文件类型：

  • 第一级控制由核心DeviceLock和NetworkLock组件执行，以优化控制过程。 无论为设备或协议设置的访问权限如何，都可以允许或拒绝对选定文件类型的访问，也可以设置影子复制策略以减少服务器存储的数据量。 文件类型的定义是基于签名的，而不依赖于文件扩展名。 支持4,000多种文件类型；
  • 第二级控制由ContentLock组件分析传输的文件或数据的内容来执行。 超过80种文件格式，包括Microsoft Office，Adobe PDF，OpenOffice，Lotus 1-2-3，WordPerfect，WordStar，Quattro Pro，电子邮件存档和存储库，CSV，DBF，XML，Unicode，GZIP，RAR，ZIP。

• 一个包含文字的图像，例如扫描一份文件，可以用来分析吗?

  现在，由于在发送数据的那一刻对传输的数据进行了截取和控制，因此在DeviceLock Endpoint DLP Suite中没有类似OCR的模块可以提供这种分析。 反过来，OCR技术则占用大量资源。 因此，将DLP和OCR功能组合在一起不可避免地会导致数据传输速度大大降低，因此至少在计算技术发展的这一阶段使用它非常不切实际。

  但是，DeviceLock Endpoint DLP Suite具有识别嵌入在图形中的文本，计算其占文档整体大小的百分比并设置相关控制策略的功能。

• 社交网络，例如Facebook或Twitter，能否被控制？

  可以。 NetworkLock组件允许在Google +，Facebook，Twitter，LiveJournal，LinkedIn，MySpace等中控制和记录聊天以及文件或数据传输。

• DeviceLock Endpoint DLP Suite可以控制即时通讯程序和电子邮件吗？

  可以。 NetworkLock组件允许控制和记录通过电子邮件或即时通讯程序传输的聊天以及文件或数据。

• DeviceLock Endpoint DLP Suite可以控制Skype吗？

  是的，它可以。 NetworkLock组件通过将自身集成到Skype客户端来控制端点级别的Skype。

  它拦截并分析Skype通信，包括群组聊天、传输的文件、音频和视频聊天。

  计划在将来的版本中进行音频和视频聊天的卷影复制时，可以隐藏文本聊天和传输的文件。

  与Skype控件相关的独特功能是“网络协议白名单”，管理员可以将聊天的参与者限制为批准列表中包括的指定用户帐户。

  此外，使用ContentLock组件，管理员可以灵活地设置Skype控制策略，包括聊天内容控制、内容、大小、类型和传输文件检查的其他参数、允许的时间等。

• DeviceLock Endpoint DLP Suite可以控制哪些Webmail服务？

  NetworkLock组件控制并记录通过Gmail，Yahoo！Mail，Windows Live Mail，AOL Mail，Mail.ru，Yandex Mail，Rambler-Mail，GMX.de和Web.de服务发送和接收的邮件消息和附件。

• DeviceLock Endpoint DLP Suite可以控制哪些网站？

  NetworkLock组件中没有实现特定的URL筛选器网站控制功能。 不论站点类别如何，任何HTTP / HTTPS流量都可以进行控制和内容过滤，但是Suite中提供了方便的类别（如社交网络，Webmail和文件共享服务）作为方便的控制组。 请参考产品文档以了解控制功能。 由于数量众多且具有灵活性，因此无法在本常见问题解答的框架内对其进行描述。

• DeviceLock Endpoint DLP Suite可以拦截通过加密的SSL渠道传输的数据吗？

  可以。 NetworkLock组件允许拦截和分析通过SSL保护的协议传输的数据：HTTPS，FTPS，基于SSL的SMTP，加密的Messenger协议。

• 可以为特定的用户帐户使用特定的闪存驱动器吗？

  可以。 “ USB设备白名单”功能支持根据设备的型号（VID + PID）或唯一的内部序列号（VID + PID + DID）对USB设备进行授权。

• 是否可以通知员工拒绝访问的原因？

  可以。 DeviceLock的功能是在用户尝试访问多个受控通道并且被策略禁止这样做时向用户显示弹出消息。

• 是否支持档案或文档中的内容分析？

  支持。 DeviceLock能够分析档案，包括任何深度的嵌套档案。 如果子归档受密码保护，则管理员可以阻止整个归档的传输。

• DeviceLock Endpoint DLP Suite可以加密闪存驱动器吗？

  我们不可思议地利用引领趋势的第三方和开源加密产品的功能并检测/验证其某些技术，而无需实施我们自己的任何过多加密功能，并且避免了内置专有加密技术的许可/可出口性/成本问题。

  DeviceLock Service可以检测由第三方产品加密的磁盘（USB闪存驱动器和其他可移动媒体），并对其应用特殊的“加密”访问权限，同时阻止或减轻对“通用”分区的访问。 此功能使您可以定义更灵活的访问控制策略，并有助于防止将敏感数据写入未加密的媒体。

  DeviceLock支持BitLocker To Go，TrueCrypt，DriveCrypt，PGP整个磁盘加密，Sophos Safeguard Easy，SafeDisk等，用于检测和验证可移动分区加密。

• DeviceLock Endpoint DLP Suite可以控制网络打印机吗？

  可以。 DeviceLock从端点的角度控制本地，网络和虚拟打印机，还可以创建打印数据的卷影副本。 此外，还提供了内容分析和打印数据过滤。

• 写入闪存驱动器的文件是否会复制阴影？

  是的，只要阴影复制配置为常规配置或取决于文件内容即可。

• 可以控制写入闪存驱动器的文件的内容吗？

  可以。 ContentLock组件可以分析和筛选写入可移动设备的数据。

• DeviceLock Endpoint DLP Suite是否可以监视终端会话和虚拟环境？

  是的。 支持MS RDP，RemoteFX，Citrix XenDesktop，Citrix XenApp，VMWare和Microsoft（Hyper-V）的虚拟化解决方案。

  支持Citrix Application Virtualization和Application Steaming技术，DeviceLock可以控制任何应用程序（任何使用该应用程序的用户）对任何数据传输通道的访问，而与应用程序使用的传输方式无关。 DeviceLock的代理将安装到执行该应用程序的计算机主机上，并且该策略规则将控制访问、审核和屏蔽，就像用户在本地经过身份验证一样。

• 用户可以克服DeviceLock保护吗？

  如果熟练的用户不惜一切代价来窃取机密信息，则无论迟早实施何种DLP系统，他或她迟早都会找到方法。 这意味着，不仅必须使用DLP产品，而且还必须正确实施和维护，以防止数据被技术熟练的内部人员窃取。

  然而，如果员工希望通过关闭对设备或协议的访问限制来克服deviceland ock安全策略，他将不会成功，前提是管理员正确配置了名为“deviceland ock管理员”控制的产品的自我保护功能。

• 本地管理员可以禁用DeviceLock吗？

  “ DeviceLock管理员”功能即使针对本地管理用户帐户也提供了足够的保护。 启用保护后，只有授权管理员才能停止或禁用DeviceLock代理。 这也适用于本地管理员组的成员。

  保护DeviceLock文件和系统注册表项，包括所应用的DLP策略的密钥免受未授权影响，驱动程序解钩保护（rootkit保护），监视策略一致性和完整性，自动修改策略以满足主策略，构建全面的自我保护 系统*。 这也可以在Windows安全模式下提供保护。

  *为防止用户绕过保护措施，预计将采取必要的技术措施，限制从任何不同于系统驱动器的来源引导系统，以及访问BIOS和系统还原的日期都早于DeviceLock。

• 当用户制作文档的屏幕截图并将其写入闪存驱动器时会发生什么？

  可以使用标准Windows PrintScreen功能或第三方应用程序来制作屏幕快照。 剪贴板是制作屏幕快照时存储的地方。

  DeviceLock可以控制对以上所有内容的访问。 管理员可以有选择地阻止PrintScreen或第三方应用程序屏幕截图工具，并控制剪贴板。 可以将DeviceLock策略配置为阻止和记录应用程序之间的剪贴板数据传输（例如，从Microsoft Word到Microsoft Excel或OpenOffice）。 用户访问剪贴板操作的上下文控制在对象和数据类型级别（包括文本，图形，音频或无法识别的数据）上执行。

安装和管理

• DeviceLock Enterprise Server实例可以控制多少个端点？

  无限。 与许多其他DLP系统不同，DeviceLock的服务器组件不承担管理代理的工作，而许多其他DLP系统在终结点上控制，而不是瓶颈设备/服务器解决方案。

• DeviceLock DLP可以控制多少个帐户？

  无限。现在，一个企业中最大的DeviceLock安装超过71,000个端点。

• DeviceLock Endpoint DLP Suite中是否具有中央管理功能？

  当然。 可以使用传统的DeviceLock控制台远程和集中执行代理的部署，安装，卸载或更新以及DLP策略管理。 但是，集中管理DeviceLock的最强大，最有效的方法是通过Active Directory组策略和DeviceLock的MMC管理单元控制台连接到Microsoft GPMC或ADUC界面。

• 是否可以自动安装DeviceLock（不受用户干扰）？

  可以。 使用“ / s”参数（例如“ setup.exe / s”）运行DeviceLock安装程序。

  在《 DeviceLock用户手册》中了解有关无人值守（无讯息）设置的更多信息。

• 是否可以在没有本地管理特权的情况下安装DeviceLock？

  不能。 安装DeviceLock需要本地管理特权。 在域中，您还将需要域管理权限。

• 对于计算机在其上安装DeviceLock Enterprise Server（DLES）实例的建议硬件要求是什么？

  这对于每个客户和实施都是唯一的。通常不可能精确地确定硬件和存储需求，而忽略服务器的工作负载（收集的信息类型，数量，阴影的文件的类型和大小）以及网络体系结构，使用的DLES收集代理的数量和SQL Server 配置，因为要求完全取决于所有这些参数以及管理员控制的访问、审核和影子策略。这意味着只有在相关时间段内在每种特定情况下测试产品时，才能定义要求以准确预测这些规格。 但是，对于提高DeviceLock Enterprise Server（DLES）的性能，存在一些一般性建议。

  Windows Server操作系统通常可以处理大约150个并发的服务到服务代理连接（已在收集日志+影子数据的受控客户端计算机上安装并运行的DeviceLock Service实例）。 通常建议至少从两个DLES实例开始，以实现负载平衡并在一个实例宕机或太忙时具有突发性。 在可能的情况下，所有这些都应指向相同的SQL和文件夹存储库。如果同一台计算机上没有运行SQL Server，则此配置需要1 GB的RAM;如果将文件存储在磁盘上（即2GB RAM），则在安装并运行SQL Server（或SQL Express）时，此配置需要两倍的内存。 如果文件存储在SQL数据库中（不是默认或建议的设置），则该值必须乘以2（即4 GB RAM）。 注：最好将影子文件存储在文件夹存储库中（默认设置），并且影子日志条目只需链接到这些文件位置。

  如果网络中有成千上万台受控计算机，则强烈建议您使用上述多对一方案安装两个或更多DeviceLock Enterprise服务器（有关详细信息，请参阅DeviceLock用户手册）。 在这种情况下，如果另一台计算机上已安装一个实例（最小RAM至少为2 GB），则无需安装其他SQL Server实例。

• 是否需要在受控计算机上安装DeviceLock代理？

  需要。 在尝试访问外围I / O端口，设备和网络协议时，即会对其进行控制。 此外，如果没有本地安装的代理程序，就无法确保外部设备控制。 因此，必须将DeviceLock代理安装到受控端点。

• 是否需要将DeviceLock代理安装到端点以控制网络协议？

  需要。 控制网络协议的NetworkLock组件已集成到DeviceLock代理平台中，并随核心模块代理一起安装到端点。 除非经过许可和/或配置，否则它处于休眠状态，但是在准备使用时已经“部署”了。

• 安装DeviceLock代理后是否需要重新启动端点？

  不，通常不需要重新启动，但是有时这取决于安装方法（组策略MSI，SCCM，DLEM控制台，其他软件分发工具等）。

• Windows域中是否支持组策略？

  通过部署自定义安装包（MSI），可以使用一组预定义的DLP策略将DeviceLock代理安装到远程计算机。 管理员可以使用DeviceLock管理控制台（DLMC）创建程序包。

  域/ OU管理员可以检查当前应用的安全策略，或使用标准的结果集（RSoP）管理单元来应用的安全策略。

  通过Active Directory组策略管理DeviceLock是任何规模的网络中最方便、可扩展的方法。

• 是否需要通过Active Directory域安装和管理DeviceLock？

  不，不是。 DeviceLock可以在非域环境中运行，就像在域设置中一样。 如果没有AD域环境，则管理员可以使用DeviceLock企业管理器（DLEM）控制台，该控制台旨在集中管理非域环境（包括各种LDAP环境：Novell eDirectory，Open LDAP等）中受控端点上的DeviceLock策略，甚至工作组。

• 是否可以通过Microsoft系统管理服务器（SMS）或Microsoft系统中心配置管理器（SCCM）安装DeviceLock？

  可以。 在DeviceLock设置包的“ sms.zip”文件中找到特殊的DeviceLock.pdf（对于SMS 1.x）或DeviceLock.sms（对于SMS 2.0及更高版本）软件包。

• DeviceLock是否与防病毒软件冲突？

  不，通常不会。

  但是，由于DeviceLock代理在称为内核的非常低的核心操作系统级别上运行，因此某些防病毒软件可能会出现这种情况。 如果有任何冲突，大多数商业A / V解决方案将采用允许、排除或免除特定应用程序运行的方法。 通常，建议管理员作为主动步骤将DeviceLock添加到防病毒软件例外列表中。

• 可以在Mac OS X端点上安装DeviceLock吗？

  可以。 在规格上查看受支持的操作系统列表。

  限制条件：

  
  

  • 一个只能在Mac计算机上安装DeviceLock Service代理。 DeviceLock控制台和其他组件只能安装在Windows计算机上。
  • Mac版DeviceLock服务尚不支持ContentLock和NetworkLock。

• 使用RPC协议和服务器服务是否安全？

  我们相信是这样。 首先，必须强调RPC机制是Windows操作系统和网络的基石之一。 没有该操作系统，将无法正确管理该操作系统。

  用户无法阻止RPC，因为即使没有网络连接，操作系统也会利用它。

  通过使用固定的TCP端口在DeviceLock组件之间进行通信，以及通过使用组策略进行安装、升级和策略设置更新，DeviceLock可以大大减少与RPC相关的潜在安全性。

  对于本地服务器服务，除非通过Active Directory域中的组策略执行DeviceLock代理的部署和维护，否则不需要此服务。

• 如何指示DeviceLock代理使用固定的TCP端口与DeviceLock控制台进行通信？

  默认情况下，DeviceLock Service使用端口9132与DeviceLock控制台进行通信，从而使配置防火墙更加容易。 但是，如果在DeviceLock安装期间此端口不可用，则会动态选择另一个端口。

  要指示DeviceLock服务使用固定端口，您应该：
  1. 在安装过程中重新安装DeviceLock Service并指定一个固定的TCP端口，或
  2. 在由DeviceLock Service控制的计算机上打开注册表编辑器，然后创建以下条目：
  

  • Key: 密码_LOCAL_MACHINE\SOFTWARE\SmartLine Vision\DeviceLock
  • 名称: ncacn_ip_tcp[port number]
  • 类型: REG_SZ
  • 值: not used (can be empty)
  • 端口号 -您要用于DeviceLock服务和DeviceLock管理控制台之间的通信的固定TCP端口号；

  完成后，重新启动DeviceLock Service以使设置生效。

  现在，要通过DeviceLock控制台连接到配置了DeviceLock Service以使用固定端口的计算机，您应该在计算机名称旁边的方括号中指定此端口，例如 computer_name [端口号]。

  请注意，当您使用固定端口连接到DeviceLock Service时，远程安装/更新功能被禁用，即，您不能在不使用动态端口的情况下在远程计算机上安装或更新DeviceLock Service。 此外，如果在防火墙中关闭了TCP端口139，则审核日志查看器也将不起作用。

• 如何设置防火墙以远程管理DeviceLock代理？

  您可以指示DeviceLock使用固定端口，从而使配置防火墙更加容易。 但是，如果要使用动态端口，则需要打开：

  • 端口 135 (TCP) - 用于远程过程调用（RPC）服务;
  • 端口 137 (UDP) - 用于NetBIOS名称服务;
  • 端口 138 (UDP) - 用于NetBIOS Netlogon和浏览;
  • 端口 139 (TCP) - 用于NetBIOS会话（NET USE）;
  • 所有高于1024（TCP）的端口-用于RPC通信。

  DeviceLock的工作方式与任何其他内置的Windows管理工具（事件查看器或计算机管理）一样，因此，如果这些工具正常运行，则DeviceLock也可以工作。

疑难解答

• 每当我尝试连接到计算机时，都会收到错误1722（“ RPC服务器不可用”）。

  错误1722表示DeviceLock管理控制台无法访问远程计算机上的DeviceLock代理。 有几种可能的原因：

  • 网络上不存在远程计算机（该计算机的名称或IP地址不正确，或者该计算机最近已关闭，但其名称在网络浏览器中仍然存在）；
  • 远程计算机不是Windows NT 4.0 / 2000 / XP / Vista / 7/8计算机，因此无法在该计算机上安装DeviceLock® Service。
  • 远程计算机位于未正确配置的防火墙后面；
  • 远程计算机位于网络的另一个段上，无法从该段访问，即路由配置不正确，根本无法访问该网络段。

• 每当我尝试连接到计算机时，都会收到错误1747（“身份验证服务未知”）。

  当未安装“ Microsoft网络客户端”选项时，将发生错误1747。 要解决此问题，请安装“ Microsoft网络客户端”。 如果不需要“ Microsoft网络客户端”，则最好在安装后将其禁用（DeviceLock在此配置中可以正常运行）。 您可以在Microsoft的TechNet库中找到有关如何为Microsoft网络配置客户端的更多信息。

  另外，在Windows NT 4系统上，RPC安全服务提供程序可能配置不正确。 打开控制面板的“网络”小程序，选择“服务”选项卡，从“网络服务”列表中突出显示“ RPC配置”记录，然后按“属性...”按钮。 然后在“ RPC配置”对话框中，将“安全服务提供程序”组合框设置为“ Windows NT安全服务”。

• 每当我尝试连接到计算机时，都会收到错误1748（“身份验证级别未知”）。

  默认情况下，DeviceLock使用最高级别的身份验证（它加密每个远程调用的参数值，仅验证接收到的所有数据均来自预期的源，并验证并验证在DeviceLock管理控制台和DeviceLock Service之间传输的任何数据没有被修改）。但是，运行DeviceLock管理控制台的计算机可能不支持此级别的身份验证，因此您需要将其降低。 启动“注册表编辑器”（regedit.exe），并在“ HKEY_CURRENT_USER \ Software \ SmartLine Vision \ DLManager \ Manager” 子项中创建“ SecurityLevel”（DWORD类型）参数 ，将此参数的值更改为5（1-指示最低级别，6-指示最高级别），然后重新启动控制台。