XINGNET网络监控解决方案.docVIP

WWW.VAVIC.COMXINGNET网络监控解决方案一、 前言 据权威统计机构调查显示：互联网滥用现状已成为全球性问题，以企业为例，每职员每日工作八小时使用互联网计算，平均有40%的时间花在与工作无关的事情上。其中，网络游戏17.1%，网上购物或商务活动7.8%，多媒体娱乐（VOD点播、网上直播、MP3、FLASH欣赏等）为22.1%这无疑给企业带来了极大损失。职员在工作时间进行网络游戏、炒股票、聊天等行为，甚至通过网络将企业机密资料泄漏出去，企业管理者是无法容忍的，许多企业已深受其害。而与企业有着不同性质的校园，也存在各种各样的上网行为，如：学生在计算机多媒体课堂上玩游戏，聊天，访问一些与上课内容无关网站等行为，一方面不能很好的利用互连网来丰富学生的知识，提高教学质量。另一方面在管理学生上要耗费多少的人力和物力，往往采取一些限制网络的措施，而没有从根本上引导和规范上网行为，从而使得校园网络对学生上网的管理收效甚微。XINGNET 网络监控解决方案专为企业管理职员工上网，校园网络中规范学生上网行为，及其对网络中电脑有监控需求的行业而设计的全方位的监控网络解决方案。可有效杜绝职员滥用网络资源的行为，同时也让企业享用互联网带来的便利和竞争优势。可加强学校对学生上网规范管理，合理使用网络给教学带来的长远意义。更可为一些行业用户的提供到位，合适，性价比高的网络监控解决方案。 XINGNET 监控网络解决方案可以帮助管理者解决如下一些难题：如何限制在上班时间玩游戏、炒股票、看电影；如何限制在上班时间网上聊天；如何规定上网行为，包括：限制上网站点、限制收发邮件服务器；网页过滤（如色情网，法能功）、系统进程限制、端口过滤、IP过滤、；规定上网和收发邮件时间。对用户的行为进行抓取屏幕，并保存到数据库服务器里，可做到实时观察，也可做到在一段时间内针对单一用户观察。二、 网络监控的分析 随着企业中的应用越来越丰富，员工的工作也离不开网络，一切都在电脑上操作，每当看到网管正在给公司的电脑处理病毒，卸载员工私自装的软件时候，就觉得网管到处在忙，当你看到此情此景，作为公司信息化管理的你，是如何来看待呢？不用说，规范上网行为，加强内网的管理，已经变刻不容缓，虽然公司的防火墙部署的很好，什么黑客也攻不进公司内部，而为什么网络管理者还存在那么多忧虑呢！原因在于内网络的安全及网络你掌握了吗？所以网域科技在针对以上种种问题，提出了内网监控系统，致力于提高中小企业网络管理的整体水平，XINGNET 的网络监控系统解决方案，能为网络提供内网故障的发现，并把安全的概念同外网络安全的重视程度一样来看待。以安全管理技术为己任。让更多企业享受网络管理和网络监控合一体的网络解决方案所带来的高效和先进。目前在一些关键行业，服务人员使用电脑为来客户服务，或者企业的工作人员利用电脑和自己的客户做信息交流，如：收发邮件，财务报表，窗口收银。这些岗位的工作人员在上班使用电脑情况，作为管理者能做到实时查看吗？企业的资源无形中泄露，或者员工利用公司的电脑在做对公司形象有害的事情，事发后你也无从查起。那么作为企业IT管理者，你是否该为以上种种事件负责呢。答案是不能，因为在事发前，你并不知道会有此类现象发生。那么接下来要做的就是加强网络管理工作，规范上网行为，提高网络使用质量。一方面从技术的角度来选择网络监控解决方案，另一方面，要做到真正的安全网络得“防外必先安内”。 XINGNET 网络监控解决方案，就是根据网域科技多年来多网络建设的经验和对网络的探索，提供了为企业网络内安全监控防范的解决方案，并分析了企业网络存在以上的种种现象，采用了XINGNET 一系列的硬件产品及软件，对每一上网的用户做出认证，并在用户通过认证后，对用户的上网行为做全程的记录。作到突发事情的事前和事后的处理。事前能定义用户上网行为，事后可以作为处理的凭证。三、XINGNET网络监控系统功能简介XINGNET提供LanVisa内网监控网关是网域科技针对当前内网安全薄弱的现实情况，率先隆重推出的能够实现内网个人访问控制和访问跟踪的安全产品。能把以前防火墙想做的却一直做不到的事做到了，即把出网访问安全控制前移到用户的接入点。LanVisa革新了传统的网络安全模式和思维，克服了传统网络“外强中干”的缺陷，尤其适合应用在电子政务，金融及内网安全性较高的网络环境。XINGNET提供LanVisa内网监控网关，为用户提供了全面的网络监控解决方案，该设备有多个型号，LanVisa100（24个10/100M以太口和2个千兆端口）、LanVisa1200（12个千兆接口）、LanVisa2400（24个千兆接口），分别适用不同的网络规模。该系列监控网关以透明桥接的方式接入到网络当中来，与接入层交换机对接，收集从每个客户端来的流量，向后台的监控服务控制台来提供监控数据，从而达到对整个内网的员工上网行为（Internet浏览、MSN、QQ等即时通讯）、数据拷贝行为、执行进程等作到有效的监控和管理。如上图所示，XINGNET 内网网络监控系统的组成大致如下：l LanVisa网关 -LanVisa 100/1200/2400硬件网关设备l 802.1x 用户 -与LanVisa网关的端口进行802.1X协议认证的PC。l Radius Server -是对802.1X用户进行验证和授权的服务器。l LanVIisa 服务器 -是对LanVisa客户端进行统一管理的服务器软件。l SQL SERVER -用来存储与LanVisa服务器相连LanVIisa 客户端的数据l Local 认证 -以LanVisa 硬件网关作为服务器来对802.1X用户的认证l Remote 认证 -需要外挂Ridaus 服务器来对802.1X用户的认证管理Express LanVisa 监控系统的主要功能一览：n 实时监控 本系统可以实时监控电脑工作台的屏幕快照, 当管理人员需要监控用户的上网信息时，可以通过记录屏幕快照的方式，设定每次记录屏幕快照的时间间隔，记录每位用户的上网信息，同时通过重播器可随时播放已记录的历史画面。本系统甚至于可以对ICQ、QQ、Yahoo Messenger等实时通讯软件进行抓取荧屏快照, 可以通过管理系统对数据进行分类管理及自动生成报表并打印。对于管理者来说，想要了解某位用户每天的上网情况，只需通过管理系统，自动统计其上网的详实记录，准确了解用户的上网情况，为管理者提供第一手资料。 n 多屏监控：多屏监控能对已验证用户进行实时抓屏，并可以实时抓屏，通过系统将实时抓屏的数据保存到数据库中，可对抓屏屏幕界面进行2*2，3*3，4*4等几种界面方式进行显示。在监控4*4画面的同时也可随意进行监控用户的切换，可以从4*4直接切换到3*3或2*2或单用户监控屏幕。其中4*4的多屏幕监控如入所示：n 使用控制 本系统可以针对指定的应用程式，禁止或只运行浏览指定的网站，锁定工作站，登出、重启或关闭工作站。例如，管制规则设定，不允许某位用户使用ICQ、QQ、Yahoo Messenger等实时通信软件，当系统完成必要的规则设定后，当该用户对外使用ICQ、QQ、Yahoo Meessenger等实时通讯软件时，均会被系统立即拦截下来，无法使用！同时，系统允许特许用户持有USB密钥和密码才能在指定的电脑上网，提高了系统的安全级别。 n 备份 系统支持主备导换，可以设定备份服务器，实现主服务器异常情况下的自动切换，保证系统的正常运行。n 流量监控 本系统支持对内网用户流量的管理，精确的流量数据统计，以图表的形式显示每用户在当前使用的带宽，并以用户使用的带宽从高往低地顺序排列，通过图表就可以准确地分析到内网用户使用当前上行、下行的带宽，图表页面每5秒刷新一次，并滚动分页显示。n 消息发送：指定任意组中的单一用户消息发送，需先将用户添加到消息发送用户里。在消息发送栏里写进需要发送的的信息，然后再发送确认，也可以对处理多消息时进行排队处理。如果要给用户里的用户不发送消息，可以一次批量地将用户里的用户移除。删除是用来删除在待发送消息列表。例：给“增值分销业务组”的两用户进行发送“hello“消息， 编辑好要发送消息后，点击发送即可。如下图：n 系统日志：能查询在过去一段时间内，根据客户端的服务类型及内容的查询和删除，进程的创建，进程结束等动作，客户端在一段时间内访问的服务类型，内容和动作将被记录在系统日志里。纪录的系统日志信息，可进行查询，删除，打印等操作。其中查询功能提供了基于时间对象，类型对象，内容等变量设定。n 录像回放：在实时抓屏的基础上，能够查询在过去一段时间内客户端访问的日志，并可以选择“播放”，浏览该客户在一段时间内的访问日志录像。如图所示：四、 监控网络总体方案设计4.1 总体设计原则企业的数据中心局域网，一方面作为整个企业网络的核心，同时也作为外连网络的主中心，起着内外网络的主角。承担着整个网络的安全和控制等方面的职责，另一方面起着外部网络与内部网络交互的数据处理，因此从网络系统的角度来讲，在关键设备上就可以处理来自内部数据的控制及策略。而外部数据通过防火墙、IDS等设备做处理，所以XNGNET 网络监控就是从内网的安全角度出发，利用新网络技术的观念来设计的，对处在中心或汇聚的接点上，采用基于端口安全访问的802.1X协议，起用802.1X端口认证，解决了内网用户上网需先认证，这样再在服务器里定义用户什么样的数据透过端口出到外部，在启用端口后，还需要借助于服务器给用户进行授权，同时通过认证的用户也与监控服务器保持通讯，XINGNET 的监控软件是基于C/S架构进行设计的，用户在与外部进行访问时，服务器将内网用户上网的系统及网络策略加以规定，对客户端的系统行为及网络行为进行规范管理，可以将内网的用户上网的过程全部记录下来，还可限制用户某些系统策略，或网络策略，可以对用户的上网行为进行可监控也可以放弃监控，作到网络情况实时掌控。针对用户数量大的和用户数据处理量大的情况，可以采用XINGNET 网络监控提供的服务器与数据库分开管理。实现内网监控的多方位的解决方案，在网络监控设计构建中，应始终坚持以下建网原则： 高可靠性 网络系统的稳定可靠是应用系统正常运行的关键保证，在网络设计中选用高可靠性网络产品，设备充分考虑冗余、容错能力和备份，同时合理设计网络架构，制订可靠的网络监控策略，保证网络监控具有故障自愈的能力，最大限度地支持系统的正常运行。网络中采用监控服务器可安装在网内的任意一台服务器上，也可与数据库分开或集中在一台服务器上，监控服务器的控制台可安全在内网的任意一台PC上，让管理者不必局限于服务器上查看监控日志，网络监控系统并不会影响整个网络的运行，客户端软件拥有占有系统资源少的特点，而且监控服务器不会给网络带来什么负影响，相反到是提高了企业网络内部的安全性管理。 技术先进性和实用性 保证满足企业核心业务应用系统业务的同时，又要体现出网络监控所要实现的功能。在网络技术与监控技术很好的结合起来，充分考虑内部网络应用的现状和未来发展趋势。 高性能 整个监控系统能更好地为整个网络提供很高的性能，设计中必须保障网络设备及监控系统的高处理能力，保证各种信息（数据、语音、图象）的高质量传输，而且又能高速处理监控系统客户端的信息，使得部署网络监控不成为整个网络的瓶颈。 标准开放性 支持国际上通用标准的网际协议，有利于以保证与外部网络(如Internet、合作伙伴的企业等其它网络)之间的信息的交互及沟通。 灵活性及可扩展性 根据监控业务承载的内容及变化，监控系统可以比较轻松的实现监控和放弃监控的自主性，最大程度的减少服务器的系统资源及网络资源。 可管理性 对网络实行基于端口的认证，可以对设备的端口进行强制认证，可以启用认证或不对用户进行监控，有选择性的定义处理内部用户的动作。 安全性 制订统一的系统策略和网络策略，整体考虑网络中内部用户的安全性和管理的安全性。 兼容性和经济性 兼容性，能够最大限度地保证企业网络中现有各种计算机软、硬件资源的可用性和连续性，满足不同的监控措施，保证各种在用计算机系统，包括工作站、服务器和微机等设备的认证，充分利用现有监控系统，发挥监控系统的优势。就是在充分利用现有资源的情况下，最大限度地降低网络系统的总体投资。有计划、有步骤地实施监控， 4.2 技术策略及原则 为切实达到以上的网络监控设计原则，使网络监控系统具有良好的可用性和灵活的控制能力，并易于管理，易于维护，在网络监控设计及构建中始终应遵循如下方面技术策略及原则： 统一标准 网络的互联及互通关键是对相同标准的遵循，要实现网络业务能融合到一起，实现数据、语音、视频业务的融合，就必须统一标准。 统一平台 从开放性、发展性、成熟性等方面来看，只有IP技术才能成为统一平台网络构建的标准。而在具体实施中，必须统一规划IP地址及各种应用，采用开放的技术及国际标准，如路由协议、安全标准、接入标准和网络管理平台等，才能保证实现与原网络的统一，并确保网络的可扩展性。4.3 网络监控的原则为减少内网的隐患，便于网络监控的实施及管理，从网络的构建中，从整体上可以将网络监控划分为接入用户层、认证服务应用层、管理监控层等三个层次。 1、接入用户层整个在接入层用户需要在上网前向服务器取得接入网络的帐号，通过客户端与服务器进行认证，取得对网络的访问权限。各汇聚节点之间的互联及完成高效的数据传输、交换、转发及路由分发。并对要监控用户的数据流进行高速处理。 2、认证服务应用层 负责将各种接入层用户的认证信息集中起来，处理用户的认证数据，并对合法接入用户进行授权。在完成认证后，通过把用户的上网请求快速地进行响应，为更多的用户提供网络，应用等数据处理。 3、管理监控层 网络监控系统提供高效的管理手段将用户的数据管理统一界面，并对服务器控制台的安装没有限制，灵活的管理机制更加方便了管理者管理和处理监控数据，完成从接入用户层到管理监控层的统一管理功能。4.4 详细方案设计某（国内）IT企业网络监控解决方案1、 网络拓扑图2、 方案特点即时监控 本系统可以即时监控PC工作台的屏幕快照, 当管理人员需要监控用户的上网信息时，可以通过记录屏幕快照的方式，设定每次记录屏幕快照的时间间隔，记录每位用户的上网信息，同时通过重播器可随时播放已记录的历史画面。使用控制 本系统可以针对指定的应用程式，禁止或只运行浏览指定的网站，锁定工作站，登出、重启或关闭工作站。同时，系统允许用户持有USB密钥和密码才能在指定的电脑上网，提高了系统的安全级别。 策略控制本系统可对用户提供系统策略，网络策略，限制用户的系统进程，并对上网行为的网络策略进行设定。安全控制统一的用户认证机制，外置验证授权服务器，方便对用户统一进行管理。备份 系统支持主备导换，可以设定备份服务器，实现主服务器异常情况下的自动切换，保证系统的正常运行。3、 网络应用以及达到的效果本网络监控系统可以对ICQ、QQ、Yahoo Messenger等实时通讯软件进行抓取荧屏快照, 可以通过管理系统对数据进行分类管理及自动生成报表并打印。对于管理者来说，想要了解某位用户每天的上网情况，只需通过管理系统，自动统计其上网的详实记录，准确了解用户的上网情况，为管理提供第一手资料。 强大的系统和网络策略，例如：不允许某位用户使用ICQ、QQ、Yahoo Messenger等实时通信软件，当系统完成必要的规则设定后，当该用户对外使用ICQ、QQ、Yahoo Meessenger等实时通讯软件时，均会被系统立即拦截下来，无法使用！用户上网的屏幕记录，这使得用户的所有操作都将被Lanvisa 服务器的监控，并记录下来，保存到SQL Server 服务器里，管理者可以按时间段进行察看用户使用网络的情况，并按照时间顺序播放整个记录的过程。某些用户因为私自从网上下载信息，或者从事于其工作无关的事情，用公司的邮箱发送大量的垃圾邮件，增加邮件服务器的压力同时，也影响企业自身的形象。管理者可以对用户访问的外部的内容进行跟踪并加以类型限制，根据用户访问的URL ，直接点击就可以跟踪到页面的内容上，根据管理要求，可以做到限制内部用户的系统进程。采用Lanvisa 100 网关一台，将整个IT企业划分为几个VLAN 。VLAN 之间需要相互访问，通过Lanvisa 100 实现VLAN 之间的互访，也可以根据需要自行设置访问控制策略。在各个需要认证用户的端口上启用802.1X协议。各用户需要认证才能将端口的状态打开，并同时认证，部署了和Lanvisa 服务器处在同一服务器上的Internert 验证授权协议。Lanvisa 控制台与将授权的用户的上网行为记录，并保存到SQL 数据库里。在Lanvisa 控制台里，功能强大的系统策略、网络策略，及组管理、屏幕记录，重播放记录等等。给用户提供了方便的网络管理手段。强大的访问规则控制，定义了基于客户端到目的地的网络规则，如客户端的系统进程限制，网络目的地的可达等等。实现了整个网络滥用资源的限制，避免了用户的随意使用网络性，可以在不同时间段拥有不同的访问控制。结合以上提及的设备和技术，能为整个企业构建一个全方位、多应用管理功能的、便于管理的、可控的、高性能的网络监控系统。4.4.2 某电子制造企业办公网络监控解决方案1、 网络监控拓扑图2、方案特点即时监控 本系统可以即时监控PC工作台的屏幕快照, 当管理人员需要监控用户的上网信息时，可以通过记录屏幕快照的方式，设定每次记录屏幕快照的时间间隔，记录每位用户的上网信息，同时通过重播器可随时播放已记录的历史画面。使用控制 本系统可以针对指定的应用程式，禁止或只运行浏览指定的网站，锁定工作站，登出、重启或关闭工作站。同时，系统允许用户持有USB密钥和密码才能在指定的电脑上网，提高了系统的安全级别。 策略控制本系统可对用户提供系统策略，网络策略，限制用户的系统进程，并对上网行为的网络策略进行设定。安全控制统一的用户认证机制，专有的Radiaus 服务器，方便对用户统一进行管理并授权。备份 系统支持主备导换，可以设定备份服务器，实现主服务器异常情况下的自动切换，保证系统的正常运行。3、网络应用以及达到的效果本网络监控系统可以用户分级管理， 可以通过管理系统对数据进行分类管理及打印。对于管理者来说，想要了解某位用户每天的上网情况，只需通过管理系统，自动统计其上网的详实记录，准确了解用户的上网情况，为管理提供第一手资料。 强大的系统和网络策略规则，例如：不允许某位用户使用ICQ、QQ、Yahoo Messenger等实时通信软件，当系统完成必要的规则设定后，当该用户对外使用ICQ、QQ、Yahoo Meessenger等实时通讯软件时，均会被系统立即拦截下来，无法使用！用户上网的屏幕记录，这使得用户的所有操作都将被Lanvisa 服务器的监控，并记录下来，保存到SQL Server 服务器里，管理者可以按时间段进行察看用户使用网络的情况，并按照时间顺序播放整个记录的过程。记录的数据可以全部保证于数据库服务器里。只要有足够的空间。为管理者分析网络提供了宝贵的资料。某些用户因为私自从网上下载信息，或者从事于其工作无关的事情，用公司的邮箱发送大量的垃圾邮件，增加邮件服务器的压力同时，也影响企业自身的形象。管理者可以对某一用户访问的外部的内容进行跟踪，根据用户访问的URL ，直接点击就可以跟踪到页面的内容上。采用Lanvisa 100 网关一台，将整个IT企业划分为几个VLAN 。VLAN 之间需要相互访问，通过Lanvisa 100 实现VLAN 之间的互访，也可以根据需要自行设置访问控制策略。在各个需要认证用户的端口上启用802.1X协议。各用户需要认证才能将端口的状态打开，并同时认证，需要通过和Lanvisa 服务器处在同一服务上的Internert 验证授权协议。Lanvisa 控制台与将授权的用户的上网行为记录，并保存到SQL 数据库里。在Lanvisa 控制台里，功能强大的系统策略、网络策略，及组管理、屏幕记录，重播放记录等等。给用户提供了方便的网络管理手段。强大的访问规则控制，定义了基于客户端到目的地的网络规则，如客户端的系统进程限制，网络目的地的可达等等。实现了整个网络滥用资源的限制，避免了用户的随意使用网络性，可以在不同时间段拥有不同的访问控制。结合以上提及的设备和技术，能为整个企业构建一个全方位、多应用管理功能的、便于管理的、可控的、高性能的网络监控系统。4.4.3 某学校校园网网络监控解决方案1、 网络监控拓扑图2、方案特点即时监控 本系统可以即时监控PC工作台的屏幕快照, 当管理人员需要监控用户的上网信息时，可以通过记录屏幕快照的方式，设定每次记录屏幕快照的时间间隔，记录每位用户的上网信息，同时通过重播器可随时播放已记录的历史画面。使用控制 本系统可以针对指定的应用程式，禁止或只运行浏览指定的网站，锁定工作站，登出、重启或关闭工作站。同时，系统允许用户持有USB密钥和密码才能在指定的电脑上网，提高了系统的安全级别。 策略控制本系统可对用户提供系统策略，网络策略，限制用户的系统进程，并对上网行为的网络策略进行设定。安全控制统一的用户认证机制，专有的Radiaus 服务器，方便对用户统一进行管理并授权。备份 系统支持主备导换，可以设定备份服务器，实现主服务器异常情况下的自动切换，保证系统的正常运行。3、网络应用以及达到的效果本网络监控系统可以用户分级管理， 可以通过管理系统对数据进行分类管理及打印。对于管理者来说，想要了解某位用户每天的上网情况，只需通过管理系统，自动统计其上网的详实记录，准确了解用户的上网情况，为管理提供第一手资料。 强大的系统和网络策略规则，例如：不允许某位用户使用ICQ、QQ、Yahoo Messenger等实时通信软件，当系统完成必要的规则设定后，当该用户对外使用ICQ、QQ、Yahoo Meessenger等实时通讯软件时，均会被系统立即拦截下来，无法使用！用户上网的屏幕记录，这使得用户的所有操作都将被Lanvisa 服务器的监控，并记录下来，保存到SQL Server 服务器里，管理者可以按时间段进行察看用户使用网络的情况，并按照时间顺序播放整个记录的过程。记录的数据可以全部保证于数据库服务器里。只要有足够的空间。为管理者分析网络提供了宝贵的资料。某些用户因为私自从网上下载信息，或者从事于其工作无关的事情，用公司的邮箱发送大量的垃圾邮件，增加邮件服务器的压力同时，也影响企业自身的形象。管理者可以对某一用户访问的外部的内容进行跟踪，根据用户访问的URL ，直接点击就可以跟踪到页面的内容上。采用Lanvisa 100 网关二台，将整