电脑桌面水印 (截屏泄密不可不防，安企神智能反截屏控制，助力企业信息安全)

截屏泄密不可不防，安企神智能反截屏控制，助力企业信息安全

截屏作为一种简单有效的信息捕获方式，却也可能成为企业数据安全的重大隐患。因此，智能反截屏控制技术无疑成为企业安全防护的实用工具。智能反截屏控制是一种基于软件的技术，用于防止用户在计算机或移动设备上截取屏幕。

这种技术可以通过多种方式实现，例如：

• 截屏检测： 监控系统的截屏操作，当检测到截屏行为时，系统会立即做出响应。
• 应用层防护 ：在应用层面实施控制策略，如禁止特定应用程序的截屏功能。
• 设备管理： 在移动设备管理(MDM)系统中集成反截屏控制，以保护企业数据不被非法截取。

安企神智能反截屏控制方案

1、独特的反截屏控制，当启动截屏操作时，允许非涉密内容截屏操作，但所有涉密内容窗口会自动隐藏，防止涉密内容被截取泄密。

2、广泛支持当前市面上所有截屏录屏软件的截屏或录屏操作，包括系统自带的截屏快捷键。

3、可直接禁止用户进行截屏或录屏，禁止截取加密文件进程的窗口，禁止截屏键的使用。

4、系统能够对截屏操作进行记录，捕捉截屏内容并保存在系统日志中，以供审计与查看。

智能反截屏控制是数字化时代企业安全防护的重要组成部分。通过实施有效的反截屏控制策略，企业可以更好地保护敏感数据，防范内部威胁，并遵守相关的法律法规，为企业的长期发展和竞争力提供坚实的安全保障。

信息媒体的数字化为信息的存取提供了极大的便利性，同时也显著提高了信息表达的效率和准确性。特别是随着计算机网络通讯技术的发展，数据的交换和传输变成了一个相对简单的过程，人们借助于计算机、数字扫描仪、打印机等电子设备可以方便、迅速地将数字信息传输到所期望的任何地方。但随之而来的副作用是这些数字形式的数据文件在流转过程中安全性得不到任何保障，很容易通过屏幕拍照、截屏、打印等方式进行信息的泄密。

为了提高数据流转的安全性，安企神产品引入了水印防泄密技术。目前包含了四种水印解决方案：

• 数字水印
• 二维码水印
• 图片水印
• 屏幕矢量水印（隐形水印）

所有水印只需要在后台进行勾选配置，即可实现屏幕防拍照、截屏和打印防泄露功能，做到事先有效预防，事后快速定位。水印具体介绍如下：

1. 防泄露之数字水印

数字水印，是通过文字信息展现水印的一种方式。数字水印内容既可以配置成自定义的固定内容，也可以展现由系统预定义的宏来显示。

同时，我们为了在安全性和观赏度找到最佳契合点，安企神还可以定义水印所展现的区域，包括水平起始百分、垂直起始百分比、宽度百分比、高度百分比等等。同时，还支持对水印字体、字号、密度、颜色、透明度、位置等进行自定义和修改，可在部署实施的现场，微调数字水印的属性来达到理想的效果。

数字水印效果展示（水印仅供说明，未经细调）：

2. 防泄露之二维码水印

二维码水印，顾名思义就是通过二维码的形式展现水印。水印默认在页面右下角打印二维码块，二维码块可以通过微信或者其它二维码扫描工具进行扫描，扫描后即可弹出所配置的数字水印内容。

对于二维码水印属性，我们也支持多种自主配置。可以根据客户需求调整二维码显示位置和二维码内的图标，同时，可以自定义二维码在屏幕中的水平起始百分比。

二维码水印内容展示：

二维码水印扫描结果展示：

3. 防泄露之图片水印

图片水印主要将水印以图片的方式展现，使得水印变得统一，而且可通过调整图片的大小、颜色与位置，将视觉影响度降最低。图片水印中的图片都是由客户自己上传，在后台可自主调整图片的透明度、图片水印拉伸模式和图片水印位置等等。

图片水印效果展示：

4. 防泄露之屏幕矢量水印

屏幕矢量水印是安企神技术团队开发的新一代的水印解决方案。该方案抛弃原有“所见即可得”的水印方式，用一种“轻微型”标记的方式来展现水印，近乎等同于“隐形水印”。如果有屏幕拍照或者截屏，一旦发生泄密事件，即可通过泄密照片上的矢量水印信息快速锁定泄密者。而对于打印，还增加了水印审计信息，不仅可以事后根据打印纸张上的不规则水印锁定泄密者，还可以事先发现“违规”打印审计信息，预先防止。

屏幕矢量水印具有抗折叠、冗余备份、抗摩尔纹等的特点，即无论照片如何压缩、优化、折叠都不会影响到水印信息的审计和泄密源的定位。只需要在查询页面中，输入水印信息进行查询，就可以锁定的泄密人。如果得到的泄密的图片不够完整，系统也能支持查询出精确度最高的结果。

此外，屏幕水印可以任意选择、组合水印应用的范围，如业务系统、办公软件、安全虚拟磁盘（O盘）、所有等等。

设备应用屏幕矢量水印时的效果：

打印水印效果展示：

互联网的接入便利了企业直接的数据互通但是也带来了许多安全性的问题。信息数字话极大的提高了信息表达的效率和方式，数据的交换变成了一个极其的简单的过程。员工通过计算机、蓝牙、打印机、手机等电子设备就可以完成一个复杂的数据交换。而这些数据交换的过程中数据的安全得不到任何的保障，员工可以随意的进行外发、拷贝，甚至通过拍照、截屏等方式进行数据泄密。

为了提高数据流转过程中的安全，很多公司都使用了对员工行为进行审计的方式来防泄密，比如安企神终端安全管理系统。安企神不仅对可以对员工的操作行为进行审计记录，还设计了屏幕水印功能防止员工通过拍照、截屏、打印等方式进行泄密。

安企神通过文字水印的形式始终浮于员工电脑桌面之上，可以自定义显示员工的姓名、计算机名称、IP地址、Mac地址、所属部门等等详细的信息。同时还可以自定义水印的字体、大小、位置、颜色、透明度、倾斜度等使水印达到理想的效果。大部分员工在这样的情况下会收敛自己违规拍照或者截图的行为，个别使用手机和相机对重要数据进行拍照外发后所有的员工信息也是全部显示在上面的，一旦照片外泄企业也可以通过照片上的信息快速的查找到泄密人。

安企神除了屏幕水印还有文档置入水印的功能，员工打印文件时会自动置入水印，当打印的文件外泄时也可以通过水印信息追溯到泄密人。同时也防止员工将文件打印后进行翻拍泄密。

防范机密外泄，我们不仅要防范上传、外发、拷贝等电子形式的外传行为，还要对纸质打印输出以及拍照截屏进行防范。屏幕水印功能搭配截屏管控进行使用，可以帮您很好的杜绝这一泄密行为的发生。

在当今这个信息化时代中，数字化信息媒体已经应用到各行各业。它提高了数据存取、文件打印与电子办公等功能的效率，但是伴随而来的信息安全问题也与日俱增。如果有员工私自打印重要文件带出去，公司的人员又复杂，去排查泄密的人员也是比较困难的，所以我们可以从打印管控功能中来进行追溯。出于对公司利益的着想，为了保护公司的企业文档版权以及专利研发等重要文档，我们采用了先进的数字水印技术，为重要文件添加打印水印，保护数字产品的合法拷贝和传播，是当前众多企业不可或缺的技术。

需求分析：

是否担心公司机密被打印带走，却无从查证？

是否担心公司机密被打印后外泄给竞争者，损失公司利益？

是否担心公司的专利被打印后被竞争者窃取，危害公司的利益等….

设置文档打印水印流程图

我们通过使用终端数据防泄漏系统中的打印管控功能—添加打印水印来解决我们遇到的困扰。

打印水印的添加选项一共有四种：

水印图片设置，水印文字设置，二维码水印设置，点阵水印设置

通常使用最多的便是水印文字设置，因为文字水印可有多种文字类型的选择，包括计算机名、IP地址、当前账号、公司名称、当前时间，当然也可以自定义文字，自己来进行设置水印的内容。

设置好后，我们只需要应用到账号，就可以实现对纸质文档进行添加水印了：

（此图片为演示效果，正常情况下打开文档无水印显示）

水印设置完毕后，我们打开文档时是不会显示水印的不会影响视觉，也不会遮挡文档的内容，可以正常添加，修改，不影响工作。在我们进行打印时，水印会生成在纸质文档上，从而对我们打印的重要文件进行保护，不会轻易被窃取或者利用。

企业收益：

1.提高了企业数据防泄漏的安全指数，不会使加密文件被打印后外泄，导致公司利益受损。

2.对公司的打印文件添加了水印，保护公司的专利特权，维护了公司利益。

2004年，《天下无贼》中葛大爷的一句：“21世纪什么最贵？人才！”，将企业的视野焦点从生产资料拉到了以人为本，贼且尚此，企业何如？

17年后，仍旧和“贼”相关，不过这次不只人才，还有数据。

据信通院发布的《全球数字经济白皮书》所公布，2020年全球数字经济规模达到32.6万亿美元，中国以5.4万亿位列第二，占总GDP的38.6%。而作为数字经济时代的核心，数据俨然已成为企业最为重要的资产之一，研发数据、产品数据、交易数据、客户数据等，以结构化数据（如数据库等）和非结构化数据（word、线上文档等）的形式，存在于生产、交易到服务的流程始终。

我们知道它宝贵，但似乎备注上“严禁外泄”四个字并不能保证它的安全，有关数据泄露的新闻不绝于耳，于是，我们给它套上了层层“盔甲”，以抵御来自外部黑产的觊觎。

正当我们以为安全了的时候，又出现了这样的新闻——

日防夜防，家贼难防。《2020数据泄露成本报告》显示，52%的数据泄露源于恶意攻击，而内部恶意泄露更是占了其中的很大部分。更令人担忧的是，这种窃取长期而隐秘，而且因为没有外部攻击路径，溯源难度也很大。

对于如何防范内部泄露，水印技术的发展给出了解决的一种思路。

非安全工作人员，日常接触到的水印是下面的这种类型：

这种类型的水印属于明水印，看得见摸得着，一方面内部人员截图发送的话，能直接找到是谁泄露的，另一方面也起到警示作用，让内部人员不敢轻易外泄。

但谁也不傻，且不说泄露者会不会把水印去掉，即便没去掉，数据资料进入黑产产业链，经过层层数据清洗后，明水印大概率很难保留下来。下图是明水印处理后的效果对比，几乎没有任何水印痕迹。

这时候，就需要用到数字暗水印的技术——你以为你神不知鬼不觉的把数据发出去了，没留任何痕迹，但包含你信息的暗水印就隐藏在这里面，等到要溯源时立马给你来个“滴血认亲”，甚至是DNA检测，跑也跑不掉。

数字水印的基本原理是把想要添加的水印加密后通过水印添加算法嵌入到原始数据中生成含水印数据，但和明水印有区别的是，这种数据和原始数据相比，用肉眼观察几乎没有任何分别，一旦发生数据泄露，通过密钥和水印提取算法就可以解出添加的水印，直接定位到泄露点和人。

数字水印按照使用对象的维度，大致分为四种：图片水印、文本水印、数据库水印和音视频水印，覆盖了日常数据资产中的各个类型，我们主要看最为常用的前三种：

1、图片水印

图片水印发展最早也最为成熟，第一种应用类型是LBS水印（基于最低有效位），啥意思？先看效果：

是不是完全看不出有什么区别？这种水印就是从像素值下手，进行细微的像素值变化，例如图像的像素取值范围是0-255，即8个bit，LBS就是通过改变最低位bit值来插入水印，比如00000001（十进制1）最低位1，00000000（十进制0）最低位0，这样来插入二进制编码的水印。

这种水印的优点是简单，但鲁棒性较差，图像压缩或图片剪裁，都有可能破坏掉原有水印，因此现在主流图片水印主要采用变换域水印。

变换域水印主要基于离散小波变换（DWT）、离散余弦变换（DCT）等技术进行水印添加，采用这种方式的情况下，无论是剪裁、压缩还是遮挡，只能影响水印的质量，但仍旧能够提取出可识别的水印。

2、文本水印

文本是互联网场景下敏感资产和数据的主要载体，因此文本水印的应用场景最为广泛。分为基于排版（行间距、字间距、字体等）、基于特定字符（零宽字符、空格等）和基于自然语言处理（同义词替换、句法变换）三种类型，第一种比较好理解在此不作赘述，重点看后两种。

在Unicode编码中有很多不占位置的字符叫做零宽字符，在特定字符文本水印中较为常用，可以看到添加零宽字符后，在显示上看不出任何区别。不过黑产在数据清洗时，特意去找的话，还是能够发现并去除的。

但基于自然语言的文本水印就相对比较“高阶”了。比如下面两句话：

我的妈妈今年30岁，她是北京人，是一名医生。

我的母亲今年30岁，她是北京人，是一位大夫。

以上应用了自然语言中的“同义词替换”，也就是根据要插入的水印编码，把文本中的特定位置的词语进行同义词替换，例如把“妈妈”替换成“母亲”，把“一名”替换成“一位”，把“医生”替换成“大夫”。

还有一种更高阶的：

我妈妈今年30岁了，北京人，她是名医生。

用的是句法变换的方式，采用省略、倒装等方式添加水印，鲁棒性极好，但实现难度大，也容易对产生歧义或改变原文本的语言风格。

3、数据库水印

数据库的重要性在企业资产中不言而喻，对于数据库水印的研究，很早之前一直采用不可逆水印的方式，但随着对于数据库精度要求的不断上升，一些细微的变化都可能导致数据的失真，因此现在主流研究方向都是可逆的。

数据库水印有数值型和字符型两种，方法上分别借鉴了上述的图片水印和文本水印，例如数值型的最低有效位（LBS）、直方图平移（HS）、差值直方图平移（DHS）、差值扩展（DEW）和字符型的基于特定字符、基于自然语言等水印，其中，上述数值型的水印算法里，除LBS是不可逆类型外，其余都是可逆的。

因为数据不同于图片有空间约束、文本有逻辑约束，关联性相对较弱，所以在插入水印前要进行属性列之类的排序，以防止随机打乱的一些攻击手段，再通过最优解搜索算法，例如遗传算法、模拟退火、萤火虫算法等找到最佳水印嵌入位或嵌入分组进行插入，从而保证在数据最小失真的情况下嵌入最多的水印容量，来提高水印的鲁棒性。

4、数字水印在电商领域的应用

了解完数字水印的类型，在其实际应用当中，还有所不同，下面就以电商场景为例，具体看一下数字水印的应用。

电商的生态庞大，涉及的流程、环节、人员多且复杂，出现内部泄露的情况比例也相对高于其他行业，据不完全统计，这个比例占到了49%。因此，对于数字水印技术的需求非常高。

我们选取两个典型的泄露场景进行分析：

第一个泄露场景较为常见：打开订单系统→截屏或拍照手机号＆姓名＆地址等信息→涂抹掉含有泄露者信息的明水印→保存图片后通过社交软件发送。

在这个场景下，泄露者可能通过图像剪裁、压缩、涂改等手段破坏水印，因此在设计水印时建议用多重水印组合成方案，来保护重点业务系统。

第二个泄露场景的流程为：获取数据库权限→批量查询导出→通过移动存储设备/上传云存储/邮件/打印等方式外发数据。

在这个过程中，不仅可能伴随格式化、过滤、筛选以及进入黑产系统后的清洗加工，还有可能存在载体上的转换（如打印）。

对于重要的数据库，在设计水印时，除了水印的内容要更为全面（人员id、时间、系统），从而能够精确帮助我们定位谁在什么时间通过什么途径泄露之外，还可以通过敏感属性添加水印（删除该属性将丧失重要信息）、全元组插入水印（在获取少量泄露样本下也可提取完整水印）、多重水印组合（增强鲁棒性）等方式加强防范，必要时还可以添加纠错码等内容以验证水印是否被篡改。

当然，回归数字水印技术的本身，对大多数企业来说其最为重要的作用是仍是溯源，很多企业认为事后的工作无异于亡羊补牢，但老路要说的是“为时未晚”，溯源的意义不仅仅是定位泄露的源头，

发现了源头，我们是不是可以采取办法彻底阻断，避免长期泄露？

是不是可以通过泄露途径的分析，去完善我们的安全体系？

是不是可以挖掘背后的黑产链，配合有关部门予以打击彻底消除隐患？

是不是可以类比相似业务，给其他业务发出预警？

以上种种才是通过数字水印技术溯源的真正意义。（作者:京东安全架构师小鱼，来源：FREEBUF）