中小企业员工互联网访问控制解决方案.doc

中小企业员工互联网访问控制解决方案TONDNET中小型企业员工网络管理解决方案 一、需求概述1.1 背景需求分析 随着Internet的接入的普及和带宽的增加，一方面员工上网的条件得到改善，另一方面也给企业带来更高的网络使用危险性、复杂性和混乱。在IDC对全世界企业网络使用情况的调查中发现，在上班工作时间里非法使用邮件、浏览非法Web网站、进行音乐/电影等BT下载或者在线收看流媒体的员工正在日益增加，令网络管理者头疼不已。据IDC的数据统计，企业中员工30%至40%的上网活动与工作无关；而来自色情网站访问统计的分析表明：70%的色情网站访问量发生在工作时间。尤其值得注意的是，中国员工比其它地区的员工每周多花7.6小时的时间来使用IM、玩游戏、P2P软件或流动媒体。互联网滥用，给中国企业带来了巨大的损失。这些员工随意使用网络将导致三个问题：(1)工作效率低下、(2)网络性能恶化、(3)网络泄密和违法行为。企业网作为一个开放的网络系统，运行状况愈来愈复杂。企业的IT管理者如何及时了解网络运行基本状况，并对网络整体状况作出基本的分析，发现可能存在的问题（如病毒、木马造成的网络异常），并进行快速的故障定位，这一切都是对企业网信息安全管理的挑战，这些问题包括：l IT管理员如何对企业网络效能行为进行统计、分析和评估？l IT管理员如何限制一些非工作上网行为和非正常上网行为（如色情网站），如何监控、控制和引导员工正确使用网络？l IT管理员如何杜绝员工通过电子邮件、MSN等途径泄漏企业内部机密资料？l IT管理员如何在万一发生问题时有一个证据或依据？因此，如何有效地解决这些问题，以便提高员工的工作效率，降低企业的安全风险，减少企业的损失，已经成为中国企业迫在眉睫的紧要任务。当前内网安全管理也随之提升到一个新的高度，在防御从外到内诸如病毒、黑客入侵、垃圾邮件的同时，从内到外诸如审计、监控、访问控制、访问跟踪、流量限制等问题也日益凸现。越来越多的企事业单位需要对内网进行统一管理以调整网络资源的合理利用。1.2 具体需求分析某某有限公司访问控制详细需求分析：随着业务的发展，信息化建设步伐的加快，某公司网络安全问题也日益严峻。虽然在网络出口处已部署了专门的防火墙设备，但无孔不入的病毒（尤其是木马病毒）、垃圾邮件仍然大肆泛滥，严重影响了企业应用系统的运行和公司业务的正常运作；另外，在针对内网的安全方面（尤其是PC客户端准入安全检查），由于缺少专门的客户端安全检查设备，无法有效的保护整个局域网的安全性。最为重要的是企业对员工的网络使用方面没有很好的限制方法，导致员工的工作效率低下，而且BT下载严重影响了企业内部关键应用的使用。 通过对某公司需求的了解，在内网行为方面在以下几个方面需要解决。所面临的问题：1.2.1 无法做到细致的访问控制首先公司内部办公网络有着自己的网络服资源，将来又可能上其他系统如：OA系统、ERP系统、WEB服务器、邮件服务器等。并且公司的部门、人员组成十分复杂，无法对这些用户进行细致的分组规定他们访问的资源的权限。还有QQ、MSN、BT等网络资源同样无法进行有效的控制，导致用户可以任意的使用网络资源使员工效率降低，并且加大了企业的风险。1.2.2 无法对内网用户的网络行为进行有效的监控提到网络安全问题，大多数用户都只关注外网安全。但是其实企业的信息资产更多的不是被黑客窃取，而是通过内部泄漏的。所以虽然公司内部已经部署了防火墙等安全设备，但是无法对内网用户的网络行为进行有效的监控，包括邮件、BBS上传、下载等。1.2.3 没有很好的统计方法，无法得知内网的使用状况管理员无法具体知道网络的使用情况只能听员工反映的情况，最多只能简单的记录一些IP访问情况，查寻与统计相当不方便。1.2.4 无法保证客户端的安全性由于员工的机器没有限制，所以无法保证在上网时的安全性，导致很容易从访问网站中感染病毒，木马，等不安全因素，从而影响整个内网用户的应用。1.3 网络现状分析某某有限公司目前网络的使用情况：某某有限公司内部办公网络办公用户大约在100人左右。在P2P流量控制方面没有下载带宽限制，内网有很多病毒，经常出现攻击事件，内网用户上网权限没有有效限制等。鉴于以上情况，某某有限公司需部署一台上网行为管理设备实现以下需求：1、对内部用户不同的部门划分不同的组并给予不同的上网权限，如经理以上级别的领导，要求内网行为不受限制；财务部门仅开放国税、地税等税务相关网站，其它任何访问Internet的活动均受限制。2、开设公共区域，使没有上网权限的用户，可以通过自己的用户名、密码在这些PC上进行有限的互联网活动，同时记录每个公共区域用户在互联网上的行为。3、对终端用户PC机上的代理软件进行彻底封堵。4、对内网用户所有的上网行为，包括MSN、QQ等聊天内容以及上传下载进行监控审计，通过集中报表的方式反应网络的使用情况。二、解决方案 2.1 精技网管M5200上网行为管理设备功能介绍 控制功能：细致的访问控制功能，有效管理用户上网精技网管M5200安全网关不仅可以对员工访问WEB、FTP、MAIL等常用服务的内容进行控制，更可以对QQ、BT、MSN、SKYPE等各种P2P软件的行为进行限制和控制。丰富的报表功能还可以分析出企业的Internet的详细使用情况，为网络管理员和决策者分配和了解员工网络资源提供有效数据支持。基于Web的和LDAP/Radius集成的用户认证功能，使得对上网用户的管理变得十分灵活方便。表2.1：访问控制功能一览表功能模块功能性能指标多线路网络服务设备状态直观显示设备总体状态，包括设备状态、接口状态及网络流量网络配置 支持网关模式、网桥模式及旁路接入模式，适应各种网络环境网络服务静态路由、DHCP/DNS服务、ADSL拨号、动态域名绑定等准入控制基于时间对象、地址对象及地址段对象进行网络接入控制多线路加入支持带宽叠加及丰富的分流策略及分流策略组合用户管理层次清晰基于企事业单位部门员工的二级逻辑层次结构审计等级所有用户支持等级配置，并可继承该等级的安全审计策略用户录入域环境下支持AD域用户同步导入支持标准格式的批量用户导入丰富的用户认证模式：IP认证、M精技网管M5200认证、WEB认证及硬件绑定认证等系统功能安全认证支持用户名密码认证，并可指定指定IP或M精技网管M5200才能登录权限定制用户可以根据自己的需求指定权限分配及管理的范围安全注销用户长时间没有界面动作，管理界面自动锁定 （二）报表功能：强大的数据报表中心，提供直观的上网数据统计精技网管M5200网关拥有强大的数据中心，管理者可分组、用户、规则、协议等多种查询对象，按饼图、柱状图、曲线图等方式进行查询，可直观地查看到网络流量、邮件、网络监控、IPS系统、准入规则、防火墙等详细信息，并可直接打印和导出报表。精技网管M5200网关强大的日志系统和丰富的报表功能，可详细分析出企业的Internet的详细使用情况，为网络管理员和决策者提供了最有效的数据支持。表2.2：数据中心功能一览表功能模块功能性能指标数据中心上网行为日志网址访问日志、网页发送邮件日志、邮件工具发送邮件日志、邮件工具接收邮件日志、论坛发帖日志、搜索引擎搜索关键词日志、上网聊天日志、流量日志及上下线日志；所有日志支持各种查询条件及条件组合查询过滤；桌面行为日志资产管理、屏幕录像日志、桌面行为聊天（QQ/MSN/ICQ/SINA UC/阿里TM/飞信）日志、工作绩效日志、工作详细流水日志、IM文件传输日志、移动存储介质文件操作日志；所有日志支持各种查询条件及条件组合查询过滤数据挖掘支持对网址访问、网页邮件、发送邮件、接收邮件、论坛发帖、上网聊天、流量统计、网络应用、桌面聊天及文件传输日志数据进行深度挖掘，形成统计分析图表数据报表支持企业整体数据形成报表支持指定部门数据形成报表支持指定员工数据形成报表支持报表打印为PDF格式存储数据同步支持日志数据增量模式同步到指定数据服务器同步模式支持递增模式同步，保证及时员工离职，其日志数据可查询支持日志数据在线查询分析数据管理支持基本配置数据备份及配置数据恢复支持指定员工条件、指定时间条件及指定日志条件进行数据删除日志自动删除（可根据存储天数、磁盘剩余空间及记录最大条数） （三）强大的上网行为管理及桌面行为管理管理功能精技网管M5200安全网关强大的上网行为管理和桌面行为管理功能可以使得企业合理利用Internet资源，为不同的用户分配不同的带宽和上网权限，使得Internet资源得到有效利用，并大大提高员工的工作效率。精技网管M5200安全网关可以详细记录和分析所有流量的内容，包括http、ftp、mail、telnet等常用软件的内容和常用IM软件的内容。另外还能按用户、用户组、协议和时间对Internet流量进行统计分析，以优化员工对Internet的资源使用情况。使得企业有限的带宽能得到最充分的利用，提高企业的网络利用率。表2.3：上网行为管理及桌面行为管理功能一览表功能模块功能性能指标上网行为实时状态基于用户名实名的在线状态基于用户实名的上下行网络流量排名基于网络应用的网络流量排名基于网络中各种应用使用实时监控上网审计应用层过滤（内置近500种网络应用协议）URL过滤（内置海量URL库），支持HTTPS网址审计论坛发帖搜索内容过滤文件上传下载限制邮件过滤（包括收发邮件及附件大小过滤）IM审计：支持指定特定的QQ或MSN账号可用带宽管理支持基于时间对象、应用对象及终端对象的带宽控制策略支持越阀值带宽使用时带宽惩罚支持基于优先级的带宽控制策略支持具有实时效果的临时性带宽惩罚控制桌面行为实时状态基于用户实名信息的用户状态，包括上线时长、终端PC基本信息工作状态终端PC工作状态、查询内存信息、硬盘信息、网卡信息及进程信息等资产信息终端PC的所有软硬件资产信息行为审计本地硬件资源审计，支持对串口、并口、红外接口审计本地软件资源审计，支持进程、注册表、本地IP等软件资源审计防非法外联，支持包括 3G接入、PPPOE拨号、VPN拨号及无线审计基于驱动模式的移动存储介质审计、对U盘、移动硬盘、存储卡等审计远程运维基于多用户平铺实时屏幕查询，并支持远程窗口及进程管理不影响终端用户操作情况下，支持批量远程命令执行基于高效压缩算法的远程控制，支持多种分辨率远程控制远程文件维护，直接操作终端PC文件支持针对多用户下发通知 （四）强大的文档加密系统，彻底保障企业机密数据安全据互联网安全解决方案供应商Check Point及波耐蒙研究所(Ponemon Institute)共同最新发布的一份题为了解21世纪IT环境的安全复杂性的全球调研报告，全球有77%的受访企业在去年遭遇过数据泄密！“中深同德精技网管文档加密”专业的企业级防泄密保护的优势在于：软件能够让脱离对应内网环境的所有机密企业数据和电子文档自动无法使用或在未经合法授权打开时呈现出一堆无法阅读的乱码，也就是说即便是黑客攻击或企业员工通过多种手段窃取了企业服务器中的企业机密数据和电子文档，但是由于脱离了对应的内网环境且没有被赋于离线使用授权，所以对应的企业机密数据和电子文档根本打不开或者就是一堆杂乱无章的乱码字符。功能模块功能性能指标文档加密透明文档加密不影响用户习惯工作模式，保障电子文件安全高效集成全部集成在精技网管设备，策略服务器安全稳定 （五）增值的安全防护功能和VPN互联：多重的安全防护，给网内设备予更有力的保护；VPN互联，让企业建设自己的局域网强大精技网管M5200的病毒防护模块在通过网页过滤、应用控制、流量合理划分和监控审计后，需要的就是一个和谐的内网环境。内网用户中毒，感染局域网，导致业务中断，这在很多组织机构中曾经出现过。精技网管M5200为此为组织网络从外至内提供三道牢固的内网安全防线。从进口杜绝来自外网的隐患，并节省下巨额的购买防毒设备的费用。功能模块功能性能指标企业级防火墙对象配置时间对象；地址对象、地址对象组管理；服务对象、服务对象组管理安全策略M精技网管M5200/IP绑定（支持跨三层M精技网管M5200地址绑定）源地址转换、端口映射及防DOS攻击支持基于时间对象、地址对象、服务对象及审计动作的安全策略配置连接跟踪连接跟踪统计分析，并可查看具体连接的网络应用网络互联（VPN）隧道配置完全基于图形化的隧道配置，简单直观。隧道协议采用改良IPSEC VPN。隧道监视基于隧道连线及设备实时状态的监视模式，快捷方便移动接入支持简易拨号接入模式，方便快捷，并支持海量移动接入对ERP远程接入提供专用版本，保证ERP服务器及客户端安全快速接入2.2 设备选型及介绍根据对某某有限公司的网络结构了解，推荐使用精技网管M5200上网行为管理设备，它隶属于中深同德精技网管综合行为管理系列。精技网管综合行为管理系列设备是中端内网行为管理产品中的典范，是安全防范意识强、需要管理和控制互联网访问的用户的第一选择。目前已经成功运行在政府、教育科研、电信、金融证券、电网电力、石油石化、制造等行业。终上所述， 精技网管综合行为管理系列在这个项目上是十分合适的，以下是此设备的基本性能参数：精技网管M5200产品性能参数表：重要性能指标：l 性能：支持200000条并发连接，转发性能千兆限速l 可管理用户数：200l 应用：70-200台办公电脑的企业或分支机构网络接口：l 标准接口：100BASE-T (RJ-45) * 4+1个 Console硬件规格：l 电源功率180Wl IntelCM1.3G / 1G / 160Gl 大小：48.2(W) * 43.0(D) * 4.45(H)l 重量：6.0Kgl 1U机架式结构2.3 具体实施某某有限公司的网络情况，精技网管M5200系统部署图如下： 部署总部网网桥模式网桥模式将精技网管M5200等同于一根连接在网关和交换机之间的“智能网线”。此部署模式带来的价值在于：可以对所有流经精技网管M5200的数据流进行审计、管理和控制。对企业内部原有的网络部署结构无需任何改变，只需要分配一条网线即可。三、方案优点及价值某某有限公司的需求，通过中深同德的上网行为管理精技网管M5200的具体实施，带来以下价值：3.1 管理网络带宽 网络流量管理精技网管M5200上网行为管理产品通过审计、控制、优化和带宽叠加等功能，协助管理者全面分析和优化广域网带宽资源。精技网管M5200的数据中心对局域网发生的所有网络行为进行记录、分析和趋势报告。借助图形化的数据和报表，用户可以直观地了解到哪些服务占用了广域网宝贵的带宽资源，网页浏览，收发邮件，还是疯狂的P2P下载。同样，我们还可以了解到哪个员工在网上购物方面表现出了异于常人的活跃，哪些部门在上班时间观看了最多的在线影片。通过对网络使用情况的深入了解，管理者能够制定出最适合自身组织机构情况和的互联网访问策略。由于精技网管M5200提供对各种网络服务的拦截和管理，以往的拔网线、通报点名的强制性手段将成为过去，如何发挥精技网管M5200的强大功能只取决于你的决心。如果你在“彻底封杀某个服务”，还是“完全放开这项服务”的决定中摇摆不定（例如P2P下载，其吞噬带宽的同时也带给了我们丰富的信息资源），你也可以选择对应用的流量进行调整。P2P软件的控制P2P技术使人们可以高速获取海量的网络资源，而P2P软件对带宽的占用也使其招致种种恶言。一个2M以太网出口的局域网，只要有2个以上的员工不限速地使用BT，所有人的正常网络浏览都将成为不可完成的任务（Mission Impossible）。每天，互联网上都会有人发布最新的P2P软件，这让大多数的P2P控制工具望尘莫及，它们往往只能封堵“昨天的BT软件”。精技网管M5200改变了这一切。通过对P2P下载软件的智能检测 ，管理员甚至可以彻底封锁所有的P2P流量。如果你不想做的太绝，你可以选择针对特定用户和相应的P2P工具进行流量控制，只要不超出网络使用者的容忍程度，大多数用户还是可以允许内网中存在P2P下载。3.2 保障内容安全 拦截不良网页精技网管M5200设备内置了可自动更新的分类URL库，其中包含了海量的成人、暴力、反动和恶意网站信息，这有助于将不健康和包含潜在威胁的网站拦截在外。由于每天互联网都会涌现出大量的站点，精技网管M5200的URL库也提供了使用者分享功能，用户可以在精技网管M5200的URL库自定义需要被拦截的URL。通过对URL的阻拦，可大大地降低了内网用户对不良Web页面的访问。对于很多URL过滤设备无法控制的SSL加密页面，精技网管M5200同样能够施展拳脚。很多钓鱼网页伪造成网上银行企图骗取出用户的银行卡密码和资金，通过在精技网管M5200中导入和设定SSL证书和连接的黑白名单和证书时效性确认，将有力地避免网络行骗者使用的伎俩。这对使用SSL方式进行加密的反动、色情、邪教等网站同样有效。3.3 提高生产效率 URL匹配策略在工作时间里，员工往往在从事私人活动，这是办公室众人皆知的秘密。管理者和决策者许能够影响一个员工的生活质量和职业方向，但却难以阻止员工在上班时间通过网络投递简历或在虚拟社区中开Party，这些都是随机而难以控制的。精技网管M5200提供基于角色的管理方法，你可以让你的员工和部门在工作时间访问特定的网站，例如提供行业信息的网站、合作伙伴连接和公司的门户网站，而其他未经允许的网页浏览都将是被拒绝的。IM（即时通讯）软件的管理在工作时间，太多的人在使用聊天工具，也许在和同事讨论工作，也许更多时间在同家人、朋友甚至是陌生人聊天搭讪。你无法确定员工何时使用IM谈业务，何时用来聊私人话题。当管理者无所侍从时会想到如何来屏蔽聊天工具，网管员或一些工具通过将聊天软件使用的服务器加入黑名单来杜绝IM的使用。但聊天工具层出不穷，QQ、MSN、Sina、Messenger、ICQ，封服务器地址最大的特色就是治标不治本，而且会浪费大量得到时间。精技网管M5200通过对聊天工具网络访问规律和特征代码的深入分析，实现了对聊天工具的全面控制。精技网管M5200不仅可以对特定的聊天软件进行封堵，还可以记录通话信息，管理聊天软件的文件传输。对于聊天软件扩展的相关应用程序，例如游戏、视频等同样可以做到封锁和控制。对各种应用的管理互联网的成员有着各种兴趣和爱好，仅实现对IM和URL的访问控制对一个亟待完善管理的网络来说还远远不够。视频、语音、图片、文档也同样被大量的上传和下载。你的员工可能刚进办公室就迫不及待地下载一部电视剧，因为他昨天下午只欣赏了前两集；还有的员工会利用上班时间更新自己博客中的文章和照片，虽然这段时间你更希望他（她）做一些和工作相关的事情。对于上述的问题，精技网管M5200同样能够实现上传和下载管理，避免员工在网上花费大量的时间来从事娱乐活动。上网时间管理每个组织都有朝九晚五的工作时间安排，弹性工作时间的制定让员工能够更合理地安排工作内容，让组织更有效率也更富人情味。同样，将员工每天接触的互联网访问时间也进行合理有序的安排，也是专业的网络行为管理设备应该考虑的问题。通过精技网管M5200对员工个人和部门的上网计时管理，你可以合理安排各个成员和部门的上网时间。而对于希望通过某种手段来实现上网计费的组织，这个功能也极具扩展价值。3.4 规避法律风险 外发信息控制办公室中有太多的信息，无论是涉及组织生死存亡的机密资料还是总裁办公室的八卦新闻，员工们总是希望一吐为快。除了打电话和写信，他们现在有更多的选择，即时通讯软件、邮件、BBS论坛、个人博客等，都为倾诉和抱怨提供了Anywhere、Anytime、To Anyone的条件。同时，各种组织都存在人员的流动性问题，组织的商业合作伙伴、投资人、审计员乃至新员工随时都可能接入内网，他们可以通过网上邻居下载机密的财务报表或人事档案，再打包发到互联网的某一个角落。组织需要一个完整的认证体系来确保每个接入者的网络使用权限。精技网管M5200提供了完整的身份认证体系。你可以启用基于Web方式的用户名/密码认证，IP和M精技网管M5200地址的绑定，如果你的内网已经部署了Radius域认证或者微软的LDAP，你同样可以在精技网管M5200中找到它们的设置选项。通过和域认证的联动，你甚至可以通过精技网管M5200来保护内部服务器的访问安全。如果你的组织已经部署了邮件服务器，你也可以把所有人的邮件帐号导入精技网管M5200，让员工在收取邮件的同时直接通过精技网管M5200的POP3认证。有了这些认证机制，只有受组织信赖的部门和成员才能访问特定的网络资源，未经授权的局域网接入用户只能望着自己的显示器发呆。保护版权资料互联网充斥了大量的免费资源，涉及版权纠葛的音乐、视频和论文可以随意的下载。个人用户对版权的忽视往往会若上相关部门的注意，当这些免费的下载和共享是发生在局域网时，组织难免惹火上身。精技网管M5200的访问控制系统通过对HTTP、FTP、IM软件、邮件收发的内容检测和控制，可以尽量阻止员工搅入版权话题；同样，当员工已经出现问题时，你可以在精技网管M5200的数据中心中找到其个人的违规记录，进而为组织摆脱不必要的纠纷。企业机密安全管理其实对于做企业的朋友来说，懂得市场经营当然至关重要，市场经营会让企业拥有更广阔的市场；而懂得防泄密“经营”应该更加重要，安全经营会让企业拥有更立体的发展空间。 数据泄密是很多企业都会遭遇的问题，所以做好防范措施对于一个企业来讲是极其重要的，“中深同德精技网管文档加密”从泄密源头防泄密的安全防御模式，就是因为“中深同德精技网管文档加密”能够实现同时防堵几乎所有的企业电子文档泄密途径，企业机密数据和电子文档无论是通过移动介质还是网络带出企业，无论是通过打印还是借助于屏幕截取，所有的泄密途径和泄密行为都会因为“中深同德精技网管文档加密”的存在而彻底失效。法律遵从和举证由于员工的个人偏好导致的非正当的行为，例如对色情、暴力、反动、邪教方面网站的访问，精技网管M5200将有效的避免和拦截；当内部员工发出的不负责任的言论已经难以挽回时，例如在BBS中发煽动性言论、网上聊天中采用侵犯性语言等，你都可以在精技网管M5200中找到相关记录作为法律举证的重要依据。外发信息控制办公室中有太多的信息，无论是涉及组织生死存亡的机密资料还是总裁办公室的八卦新闻，员工们总是希望一吐为快。除了打电话和写信，他们现在有更多的选择，即时通讯软件、邮件、BBS论坛、个人博客等，都为倾诉和抱怨提供了Anywhere、Anytime、To Anyone的条件。同时，各种组织都存在人员的流动性问题，组织的商业合作伙伴、投资人、审计员乃至新员工随时都可能接入内网，他们可以通过网上邻居下载机密的财务报表或人事档案，再打包发到互联网的某一个角落。组织需要一个完整的认证体系来确保每个接入者的网络使用权限。精技网管M5200提供了完整的身份认证体系。你可以启用基于Web方式的用户名/密码认证，IP和精技网管M5200地址的绑定。通过和域认证的联动，你甚至可以通过精技网管M5200来保护内部服务器的访问安全。有了这些认证机制，只有受组织信赖的部门和成员才能访问特定的网络资源，未经授权的局域网接入用户只能望着自己的显示器发呆。保护版权资料互联网充斥了大量的免费资源，涉及版权纠葛的音乐、视频和论文可以随意的下载。个人用户对版权的忽视往往会若上相关部门的注意