终端与内网安全管理系统技术白皮书3.0.1.doc

终端与内网安全管理系统技术白皮书终端与内网安全管理系统 技术白皮书 目 录1终端与内网安全管理背景11.1内网安全概述21.2内网安全的重要性31.2.1内网的威胁31.2.2加强内网安全的方法52产品功能62.1产品概述62.2产品架构72.3产品基础功能102.3.1策略管理102.3.1.1基于策略优先级的用户行为管理功能102.3.1.2基于场景的管理策略102.3.2通讯管理112.3.3日志功能112.3.4客户端UI策略112.3.5基于分组的策略管理112.3.6角色与权限管理112.3.7查询与报表122.4主要功能122.4.1准入控制管理122.4.1.1ARP侦听策略122.4.1.2802.1X接入控制策略132.4.1.3边界接入控制142.4.2补丁分发管理142.4.2.1补丁分发策略142.4.2.2软件分发策略152.4.2.3补丁管理与补丁查询152.4.2.4补丁更新162.4.3终端维护管理162.4.3.1屏幕监控策略162.4.3.2客户端配置策略172.4.3.3外设策略172.4.3.4防病毒策略182.4.3.5程序行为审计策略182.4.3.6服务进程控制策略182.4.3.7终端运维管理182.4.4上网行为管理182.4.4.1非法外联策略182.4.4.2上网行为控制策略192.4.4.3上网行为审计策略192.4.4.4流量控制与审计策略192.4.5终端资产管理202.4.5.1资产策略202.4.5.2自定义资产管理212.4.6信息访问控制212.4.6.1存储控制策略212.4.6.2文件操作审计策略212.4.6.3文件加密配置策略212.5其他系统支撑功能222.5.1级联功能222.5.2双机热备223 终端与内网安全管理系统功效223.1整体功效223.2文件监控与审计233.2.1杜绝文件操作不留痕迹现象233.2.2杜绝信息拷贝的无管理状态233.3网络行政监管233.3.1屏幕监控233.3.2应用程序报告及应用程序日志243.3.3浏览网站报告及浏览网站日志243.3.4应用程序禁用243.4网络辅助管理243.4.1远程桌面管理243.4.2远程控制243.4.3远端计算机事件日志管理253.4.4远程计算机管理253.4.5信息化资产管理253.5补丁分发管理253.6灵活、强大的策略管理263.6.1基于策略优先级的用户行为管理功能263.6.2基于网络场景的管理策略263.6.3基于用户帐户的策略管理273.6.4基于在线、离线状态的策略管理273.6.5基于分组的策略管理274 终端与内网安全管理系统产品优势284.1.1强大的定向访问控制284.1.2ARP病毒免疫284.1.3可扩展的高端应用接口284.1.4强大的日志记录和组态报表功能284.1.5终端隐患一网打尽294.1.6系统补丁统一分发294.1.7安全策略强制执行294.1.8全网威胁联动防御294.1.9多元化的管理模式304.1.10独有的虚拟安全域管理304.1.11策略的优先级管理305 终端与内网安全管理系统产品部署305.1.1产品部署示意图305.2部署位置325.3部署方式326附录：主要功能列表3238 终端与内网安全管理系统技术白皮书1 终端与内网安全管理背景信息技术发展到今天，人们的工作和生活已经越来越依赖于计算机和网络；然而，自网络诞生的那一天起，它就存在着一个重大隐患安全问题，人们在享受着网络所带来的便捷同时，不得不承受着网络安全问题带来的隐痛。说到网络安全，人们自然就会想到网络边界安全，但是实际情况是网络的大部分安全风险均来自于内部。常规安全防御手段往往局限于网关级别、网络边界（防火墙、IDS、漏洞扫描）等方面的防御、重要的安全设施大致集中于机房或网络入口处，在这些设备的严密监控，来自网络外部的安全威胁大大减小。相反，来自网络内部的计算机终端的安全威胁却是众多安全管理人员所面临的棘手的问题。自2003年来。以SQL蠕虫、“尼姆达”、“冲击波”、“震荡波”、“熊猫烧香”等病毒的连续性爆发为起点，到计算机文件泄露、口令泄露、硬件资产丢失、服务器系统瘫痪等诸多终端安全事件在各地网络频繁发生，使政府机关和企事业单位的网络管理人员头痛不已。总结起来，政府机关和企事业单位的内部网络管理大致面对着以下问题： 如何获知全网所有计算机资产的风险状况和脆弱性，发现终端设备的系统漏洞并自动分发补丁。 如何防范移动计算机和存储设备随意接入内网。 如何防止U盘造成的病毒传播和信息泄露。 如何防范内网设备非法外联。 如何对终端计算机在不同网络环境中及时应用不同的规则策略。 如何管理终端资产、保障网络设备的正常运行。 如何在全网制定统一的安全策略。 如何规避终端用户随意访问网络带来的不必要的法律风险。 如何及时发现网络中占用带宽最大的终端。 如何点对点控制异常终端的运行。 如何防范内部涉密重要信息的泄露。 如何对原有终端应用软件进行统一监控、管理。 如何快速有效的定位网络中病毒、蠕虫、黑客的引入点，及时、准确的切断安全事件发生点和网络。 如何架构功能强大的统一网络安全报警处置平台，进行安全事件响应和事件查询，全面管理网络资源。这些终端安全隐患随时随地都可能威胁到用户网络的正常进行。对于内部网络的安全建设，我们建议从管理和技术两个方面入手，我们认为：“管理和技术合二为一，才能达到网络安全目的”；我们不能夸大技术手段的能力，也不能偏颇管理的效力，以前的“技术30%，管理70%”的说法，我们认为并不是很科学的。正确的解决途径应该是“管理和技术的有机结合”，用技术来实现管理目标，用管理来保障技术应用。 终端与内网安全管理系统，就是一款将管理和技术合二为一的内网以及终端安全解决方案。1.1 内网安全概述信息技术发展到今天，人们的工作和生活已经越来越依赖于计算机和网络；然而，自网络诞生的那一天起，它就存在着一个重大隐患安全问题，使人们在一边享受着网络所带来的便捷，一边又不得不承受着网络安全问题带来的隐痛。2004年公安部公共信息网络安全监察局对7072家政府、金融证券、教育科研、电信、广电、能源交通、国防和商贸企业等部门和行业的重要信息网络、信息系统使用单位进行了调查，其中发生网络安全事件的比例占58%。从这些数据我们看到，网络安全已成为阻碍网络应用的关键所在，要使企事业的IT资源能够得到有效的利用，首先需要解决的是基本的网络安全威胁。值得欣喜的是，网络安全得到越来越多人的重视，已经有许多企业在网络边界部署了防火墙，网络中安装了杀病毒软件，部署了入侵检测、身份认证、漏洞扫描等系统来防止外界威胁。然而，这些安全措施并没有对内网，尤其是没有对各个计算机终端进行有效监控，从而无法避免内部IT资源滥用、内部网络信息泄露、内部员工的故意攻击等问题，更不能对各种因内部因素产生的网络安全问题进行有效的预防、监控和审计。事实上，堡垒最容易从内部攻破！ 目前，比较流行或者说应用比较广泛的一些网络安全系统主要有：防火墙、杀病毒、入侵检测、身份认证、漏洞扫描等等，但这些网络安全系统基本都是专门针对某一类型网络安全威胁的工具，主要定位在防范来自外部网络的安全威胁，并不能够解决大部分内部网络安全问题：防火墙关注的是边界安全，对于内部的各种非法滥用和攻击行为无能为力；杀病毒的定位更为清晰和专业，就是针对病毒等恶意代码的攻击，不管内部网络行为和设备的应用等等。他们都不是专业的内部网络安全工具，不能解决综合性的、与网络使用者的行为密切相关的、与管理措施密切相关的、尤其关注内部泄密和网络效率的这样一款工具。我们都知道，进行网络安全体系建设，要综合考虑、注重实效，在我们考虑防火墙杀病毒、入侵检测，甚至身份认证等系统来解决有关外部黑客入侵、病毒困扰时，也要同时考虑来自内部网络的可信环境下的非授权网络行为和授权滥用行为，因为这些才是网络安全面临的最大威胁，也是网络安全的最大挑战。最理想的状态是，我们能够有效的分析各内部网络环境下比较具体和重要的网络安全威胁，并组织相应的技术、产品以组合方案的方式，统一解决；既考虑到投入成本与效益之比，又能最大程度上避免“木桶原理”的安全诅咒。1.2 内网安全的重要性1.2.1 内网的威胁随着信息网络不断发展，内部泄密和内部攻击破坏已经成为威胁网络安全应用的最大隐患。在众多的内部网络安全威胁中，最主要和最应关注的有：首先，内部人员或设备的主动或者被动泄密泄密问题一直是内部网络的一个头疼问题，尤其是对于涉及国家机密或者事关企业生存和发展的核心秘密，如国防军队/军工单位和政府行政办公的有关信息、设计行业的设计方案信息、数据提供企业和商业企业的关键数据及公司战略竞争信息等等，都不可避免的需要在内部计算机和网络中产生、传输、存储、修改和应用，涉及到的人员、设备也比较多，因此泄密的危险性也比较大。泄密的途径，也主要有两个，一是人员，二是机器设备；从主观态度上来看，一种是无心的过失泄密，另一种则是蓄意的主动泄密行为。无论是什么形式的泄密行为，都将会给企业带来不可忍受的损失，有的甚至侵害到国家的安全、利益。因此，我们需要对内部人员的计算机和网络操作行为进行规范，对网络内部的各种设备进行统一管理、授权。其次，内部人员主动或被动的制造传播病毒等恶意代码在网络应用非常深入的单位，总会有一些对网络技术非常感兴趣的人员，这些人也许是有着某种目的，或者纯粹为了好奇，而制造、传播一些有病毒、后门等特征的恶意代码，这些代码如果不进行及时的处理，有可能会引起网络的混乱，使得部分甚至全部的网络资源不可用，从而影响单位的生产、办公。还有些人员或设备，在没有防备的情况下，中了内部或者外部“恶性病毒”的“招”，成为病毒攻击内部网络的“桥”，从主观上来讲，这些设备和人员是被动的，他们不知道已经被利用，然而他们的这些无意识行为也给网络运行造成了不良影响。这些病毒、木马等恶意程序往往利用系统漏洞进行破坏。第三，非授权使用或者授权滥用大部分单位都有管理制度来规范网络资源的使用，详细规定了某人或某机器在什么时间、什么地点做什么类型的事情。也就是说，区分了授权和非授权操作。但事实上实际情况往往不是这么简单。众多内网用户，会探测、尝试进入非授权的领域。例如某公司规定程序员在上班期间不许上网，但员工却能想出很多办法，在上班期间也能上网；还比如，某员工无权访问单位的业务数据库，他通过攻击、欺骗等等手段，获得了访问数据库的权限；至于网络资源滥用的实例就不胜枚举了：有权上网的员工，没有利用互联网去开展业务，而是在下载电影、玩游戏等等，非工作需要拷贝、修改公司的关键数据等等。大部分单位都想通过相应的制度来控制这些情况，然而实际效果却并不理想。非授权使用或授权滥用依旧是我们最头疼的。第四，内部人员或者设备的主动或者被动攻击从网络诞生的那一天开始，黑客就存在，发展到今天已经到了无孔不入的地步，而且还在进一步蔓延，许多黑客攻击行为已经不需要太多的网络攻击知识，只需简单的攻击程序和设置就可以实现。在内部人员和设备中，也不乏这样的角色，他们本身不具有很高超的攻击水平，而只是应用现成的攻击程序来实现“黑客”目的，主动或者干脆被一些真正的黑客利用被动的去攻击内部网络的一些目标。黑客技术正在不断的迅速发展与变化，从一个漏洞发现到攻击代码实现，到蠕虫病毒产生，几年前可能是几个月甚至半年多，而现在几周甚至一天就可以完成。在微软发布MS04011公告时，NGS的David在看到公告的8分钟后写出了攻击代码，Xfocus成员也在6小时内写出了通用的攻击代码。第五，因安全管理不善，引发的IT资源不可用或者资源损失这里的管理不善，主要是指没有一套科学的内部网络资源使用管理制度，或者制度执行不力。比如，我们规定在某一些工作计算机上，不能安装运行某些软件，可是还是有人安装了；对内部网络的IP/MAC地址，做了统一的部署，可是还是有人任意的修改；任意的将非本网络的设备接入内部网络；任意添加或删除各种硬件设备、修改网络属性等等，这些行为都应该得到彻底的规范。第六，客户机自身存在安全缺陷，导致网络内部安全隐患网络当中的客户机很多，终端的存在安全隐患容易导致网络安全事件。如客户机存在安全漏洞，可能会引发蠕虫病毒等威胁。如果配置不完善，则容易导致信息泄露甚至黑客攻击事件的发生。因此，维护每台客户机自身的系统安全性，也是应该予以考虑的。1.2.2 加强内网安全的方法根据内部人员违规、犯罪特点，要加强内网安全必须采取事先预防、事中监控、事后审计的方针。事先预防就是要防患于未然。利用漏洞进行攻击也成为黑客最常用的手段之一。攻击者首先通过扫描工具发现漏洞，然后利用相应的攻击工具实施攻击。这种攻击模式简单易行，危害极大。由此可见，操作系统或者应用程序的漏洞是导致网络风险的重要因素。消除漏洞的根本办法就是安装软件补丁，补丁分发管理越来越成为安全管理的一个重要环节。补丁管理也需要有很强的及时性由于黑客技术的不断积累和发展，留给网络管理员进行漏洞修补的时间将会越来越少。因此补丁管理也就需要有很强的及时性，如果补丁管理工作晚于攻击程序，那么企业就有可能被攻击，造成机密信息泄漏。然而，在一个较大的局域网中，普遍存在机器配置档次高低各异、操作系统分门别类、系统软件千差万别等问题，网络管理员要想同时对这几百台甚至上千台终端设备及时快速地打上新的补丁程序，几乎是不可能的。要靠手工保障每一个补丁在安装后正常运行，不对整个网络系统造成其它破坏和隐患，更是完全不可想象的。因此对于终端节点众多的用户，繁杂的手工补丁安装已经远远不能适应目前大规模的网络管理，必须依靠新的技术手段来实现对操作系统的补丁自动修补。自动化的补丁分发管理工具已经成为网络安全管理人员实现及时、严密、持续的补丁管理的必备工具。同时，除以上技术手段外，还应该从制度入手，严格规定人员、设备、数据资源的安全级别，制订明确的规章制度并严格执行。严格限制重要信息数据的传播范围，限制能够接触重要信息的人的行为。例如，对于数据传输、复制设备要控制使用，避免造成信息泄露；对于接触重要信息数据的设备和人员进行严密监控，防止非法操作；对于执行的程序和上网行为进行限制，防止运行危险软件和对非法网站的访问；禁止非法外联和非授权主机接入，防止来自外部的威胁。事先预防要通过必要的技术手段来实现，包括设备使用、应用程序、上网行为、文件操作、网络访问等的监控，使具有一定权限的人员只能使用指定的设备，完成指定的操作。将机要信息完全封闭在有限的网络区域内，防止信息被无意泄露和有意窃取。事中监控仅次于事先预防，对于违反安全策略的行为要及时报警，通过策略机制进行响应，将损失减到最小，多种。事后审计是内网安全的必要措施，所有网络、终端的用户重要行为都应严格记录、储存，便于事后查找。2 产品功能2.1 产品概述 终端与内网安全管理系统是 安全管理平台产品的重要组成部分，部署在企业的内部网络中，用于保护企业内部资源和网络的安全性。 终端与内网安全管理系统可以对内部终端计算机进行集中的安全保护、监控、审计和管理，可自动向终端计算机分发系统补丁，禁止重要信息通过外设和端口泄漏，防止终端计算机非法外联，防范非法设备接入内网，有效地管理终端资产等。 终端与内网安全管理系统可以与防火墙、漏洞扫描设备进行有机联动，共同提供全网安全解决方案。2.2 产品架构 终端与内网安全管理系统由客户端模块、服务器模块、控制台三部分组成。客户端代理模块对终端计算机进行监控，需要部署于每台需要被管理的终端计算机上，用于收集数据信息，并执行来自服务器模块的指令。服务器模块存储终端安全策略、终端计算机信息、漏洞补丁数据等等，并由服务器向终端计算机客户代理模块发送指令。此模块安装在具有高性能CPU和大容量内存的服务器上。控制台采用B/S结构可以运行在网络中的任意一台计算机上，用来监控每台安装有代理模块的计算机，管理各类审计系统，制定安全策略。系统结构如下图所示： 1、 终端与内网安全管理系统服务器模块：服务器模块包括服务器端软件和支持数据库。支持操作系统为Microsft Windows 2000 SP4、Microsft Windows XP SP1、Microsft Windows XP SP2、Microsft Windows 20003和Microsft Windows Vista。数据库支持MySQL、Microsoft SQL Server、Sybase和Oracale（建议在客户端超过100000点，使用Microsoft SQL Server、Sybase和Oracale数据库）。服务器模块主要功能如下： 定时搜索网络，管理所有已安装客户端代理模块的计算机，并向代理模块传递相关的设置和命令信息； 接收控制台用户数据请求指令，传送数据文件到控制台，由控制台进行解密查看分析； 保存客户端代理用户信息； 存储系统组织结构，用户信息和系统工作配置参数； 收集客户端代理模块采集的数据，并保存到数据库中； 提供方便灵活的历史记录管理、归档、搜索、查看等功能；2、 终端与内网安全管理系统控制台模块：控制台模块是实现系统管理、参数配置、策略管理、系统审计的人机交互WEB界面。系统运行平台为IE6.0以上版本。控制台模块功能如下： 参数设置，包括控制台和服务器的工作参数； 用户（管理员）管理，包括：添加、删除、修改；系统管理员采用分权分级的管理方式，每个管理员都有其授权工作范围和管理权限； 虚拟安全工作域结构管理，包括创建组织结构层次深度以及添加、删除系统组织结构； 客户端代理的添加、安装和卸载； 客户端代理策略的配置和下发； 实时获取被监视计算机的屏幕快照等信息； 设置监视和控制规则； 查看并播放记录在服务器端的历史记录； 查询特定机器特定时刻的历史记录； 监测日志的查看、分析和审计； 指定用户使用固定IP登陆控制台，提高安全性。 为保证客户端与服务器正常通信，禁用IE设置代理服务器项，避免因不当的代理设置造成客户端无法与服务器正常通信。3、 终端与内网安全管理系统客户端代理模块：客户端代理模块是安装于受管理主机上的软件。软件安装支持本地安装和网络安装等多种方式；客户端代理的卸载只从服务器接收控制台发出的卸载指令，本地用户不能自行卸载、关闭管理程序。客户端代理的工作平台目前支持Microsft Windows 2000 SP4、Microsft Windows XP SP1、Microsft Windows XP SP2、Microsft Windows 20003和Microsft Windows Vista。客户端代理模块主要功能如下： 接收服务器下发的工作策略，并按照该策略控制客户端代理的工作模式； 信息泄露防护，该模块包括对网络层、应用层、媒体介质、打印机和外设接口等的监视控制； 运行监测：实时记录文件的操作，进程、服务、驱动、用户和组的变化情况； 资产管理：接收服务器指令，上传系统的软件、硬件信息； 定时采集数据并保存，并将采集的数据传送到服务器； 响应控制台发出的监视请求，传送实时的屏幕快照信息； 根据系统的设置控制计算机的操作； 和服务器通信完成补丁的检测、下载和安装； 完成安全接入管理的实际功能。 客户端升级后，重启确认框中加入了最小化按钮，避免弹出对话框影响用户工作。2.3 产品基础功能2.3.1 策略管理系统所有功能，均通过策略方式将指令下发到客户端进行执行。而策略本身就包含了各个功能的所有管理要求，包括： 明确的规则 详细的条件 按人员身份匹配策略 自动报警与响应通过这些策略要素，可以为管理员提供详细的控制手段，并且通过丰富的默认设置，可以提供完善的便捷性，管理员可以针对各个策略采用大量默认设置而轻松完成策略设定。除以上策略要素之外，还有两个要素需要详细说明如下。2.3.1.1 基于策略优先级的用户行为管理功能系统提供了策略优先级的管理功能，管理员可以设置不同级别的策略，各种策略可以按照优先级进行排序，当策略间发生冲突时，高优先级的策略可以覆盖低优先级的策略。2.3.1.2 基于场景的管理策略系统提供了基于场景的安全管理策略，管理员可以设置不同的场景，如根据工作时间和休息时间设定不同的策略，在工作时间设定的策略在休息时间不生效，休息时间场景的策略在工作时间亦不生效。对于违反策略的客户端操作，可以以多种方式触发报警，通知管理员进行处理，例如按文件名、资产类型等信息触发警报。 终端与内网安全管理系统可以对终端在线/离线2种状态下应用的策略分别予以设置。客户端和服务器连接能够进行通信时为在线状态，无法和服务器完成通信时即为离线状态。通过对在线/离线2种状态设置不同的策略，对于经常移动办公的设备（如笔记本）可以提供更加灵活实用的管理。2.3.2 通讯管理系统以策略的形式，对服务器与客户端之间的通讯进行管理，可以设定通讯的方式、频率等详细参数，以适应不同的网络情况和通讯要求。2.3.3 日志功能系统以策略的形式，提供全套日志服务，日志内容包括下述所有功能的日志，以及管理员通过控制台对服务器进行的所有操作等日志，2.3.4 客户端UI策略通过UI策略，可以在服务器、控制台等后台系统与客户端这个前台系统之间进行信息的交互，所有客户端涉及界面的动作均采用UI策略机制。通过UI策略，可以方便地实现客户端静默操作与消息提示等各种操作。2.3.5 基于分组的策略管理为了增强策略管理定制的灵活性， 终端与内网安全管理系统允许用户按IP地址段进行分组，非本网段的客户端无法加入分组。同时又可以按客户端计算机的逻辑关系进行自定义分组，客户端计算机可以被加入多个分组，继承每个分组的策略，这样可以更加灵活的进行策略指派，集中的信息显示在线客户端和离线客户端个数显示，方便使用者了解客户端连接状态。2.3.6 角色与权限管理 终端与内网安全管理系统的用户和权限管理采用的是由美国国家标准协会提出的RBAC模型，即基于角色访问控制模型。基于角色的访问控制提供了一种简单灵活的访问控制机制，只给角色分配权限，用户通过成为角色的成员来获得权限。这与过去系统中直接给用户授权的管理模型相比更灵活方便。2.3.7 查询与报表 终端与内网安全管理系统会根据管理人员的要求实时生成所关心的计算机应用的各种日志记录和统计报表，从而可以对内部人员计算机的使用情况进行评估，并且支持日志的实时输出。例如查询：网站访问日志记录、应用程序记录、文件使用记录、历史屏幕快照记录等。系统提供了功能强大的组态报表和XML报表模板功能，预定义了多种报表模板，同时支持用户自定义报表模板，客户可以根据自身的实际情况选择模板定制灵活而全面的报表，报表格式支持word、PDF、html、txt、excel、XML等。报表类型包括上网行为统计、网站访问统计、资产信息报告、漏洞信息报告、补丁安装信息报告等。方便管理人员进行分析问题原因，快速决策。支持图形报表输出。2.4 主要功能2.4.1 准入控制管理通过准入控制管理，可以对所有客户端进行合法性检验和控制，非法的、不接受管理的客户端将被隔离在网络之外，而合法的客户端可以接入网络进行正常操作。系统提供了多种准入控制方式。2.4.1.1 ARP侦听策略 在线主机监测可以通过监听和主动探测等方式检测系统中所有在线的主机，并判别在线主机是否是经过系统授权认证的信任主机。 主机授权认证可以通过在线主机是否安装客户端代理程序，并结合客户端代理报告的主机补丁安装情况，防病毒程序安装和工作情况等信息，进行网络的授权认证，只允许通过授权认证的主机使用网络资源。 非法主机网络阻断对于探测到的非法主机，系统可以主动阻止其访问任何网络资源，从而保证非法主机不对网络产生影响，无法有意或无意的对网络攻击或者试图窃密。 网络白名单策略管理 终端与内网安全管理系统可以自动生成默认的合法主机列表，根据是否安装安全管理客户端或者是否执行安全策略，来过滤合法主机列表，快速实现合法主机列表的生成，降低管理员的工作量。同时允许管理员设置白名单例外列表，允许例外列表的主机不安装客户端但是仍然授予网络使用权限，并根据需要授予可以和其他授权认证过的主机通信的权限或者允许和任意主机通信的权限。 IP和MAC绑定管理可以将终端的IP和MAC地址绑定，禁止用户修改自身的IP和MAC地址，并在用户试图更改IP和MAC地址时，产生相应的报警信息。2.4.1.2 802.1X接入控制策略通过此功能，结合在支持802.1x协议的交换机上开启802.1x认证，可以网终端接入网络时进行认证，通过合法认证的终端才能连接到交换机进而连接到网络，而未安装客户端或其他非法情况下的非法客户端将无法通过交换机认证，而被隔离到网络之外， 充分保护内网安全。系统采用标准802.1x协议报文和认证机制，支持大多数主流交换机。在认证过程中，客户端将不弹出登录认证窗口，造就一个透明的准入控制平台，从而方便普通使用终端和网络。2.4.1.3 边界接入控制系统遵循相关安全联动标准，可以与防火墙/网闸/UTM等网关设备进行有机联动，在网络边界处进行统一访问控制，共同防御网络内部和边界的安全威胁，实现全网安全。当内部终端计算机发生违规行为，或有外来主机非法接入内部网络时，系统可以通知网关设备对违规主机和非法主机进行阻断，保证网络资源的安全性。2.4.2 补丁分发管理2.4.2.1 补丁分发策略补丁分发管理主要完成客户端的补丁检测和安装，强化客户端自身健壮性。允许管理员自定义软件分发，完成用户自由系统的补丁管理。可以远程进行软件分发。可以深入结合对客户端防病毒程序安装和运行情况的检测，为安全接入管理系统提供授权认证凭据。 网络漏洞扫描提供网络扫描与主机扫描两种模式，内置nessus扫描引擎，也可与市场上主流漏洞扫描设备进行联动。扫描完成后可以根据扫描结果自动对系统漏洞下发补丁并报警。 补丁分发客户端集成本机扫描功能。通过进行本机扫描，可以根据终端上存在的安全漏洞，分析到对应的补丁，并下发至终端进行安装。分发支持强制安装和通知安装两种方式，安装支持静默安装和非静默安装两种方式，新增的补丁下载器功能，提供补丁高效下载。 补丁完整性和兼容性测试 终端与内网安全管理系统可以利用补丁的数字签名等信息验证补丁来源的可靠性和完整性。可以挑选网络中典型应用的主机进行补丁兼容性测试，在确认补丁无兼容性问题后再进行全网分发。 补丁增量更新导入 终端与内网安全管理系统可以检查服务器上的补丁信息是否是最新的，如果不是最新的，能够自动分析出来和最新补丁的差异，并将差异部分下载和导入，实现补丁的增量更新。 自定义补丁管理 终端与内网安全管理系统允许添加自定义补丁文件，并对添加的自定义补丁文件进行管理，自定义补丁的管理支持添加、删除、查询，信息修改等操作。 自动补丁分发策略制定管理 终端与内网安全管理系统可以设置自动补丁分发策略，实现对终端补丁的自动分发管理。 终端与内网安全管理系统可以按照终端缺少补丁的风险级别，分别制定不同的分发和安装策略。管理员可以对现有的进行更改。 点对点文件传输 终端与内网安全管理系统能够通过服务器的调配，实现点对点（P2P）的文件传输。点对点的文件传输支持补丁分发和软件分发等各种文件传输过程，利用断点续传特性，防止大规模补丁分发时占用过多网络带宽，影响正常业务使用。2.4.2.2 软件分发策略 终端与内网安全管理系统允许在系统中添加自定义补丁或者自定义软件，并下发至客户端。下发的文件类型可以支持任意格式文件。对于可执行程序，系统能够自动执行，对于非可执行类文件，系统能够自动使用关联程序打开。2.4.2.3 补丁管理与补丁查询补丁管理功能实现对补丁库中的补丁程序进行日常的管理与维护，包括补丁的添加，补丁删除，补丁信息修改，自定义补丁等。通过登录补丁系统控制台后，可以进行补丁库查询操作。查询可按各种条件进行，查询条件包括：补丁名称、补丁编号、MSID、风险等级、发布时间等。查询的结果可以显示补丁的详细信息，并提供下载链接，点击后可下载到本地并安装此补丁。2.4.2.4 补丁更新系统提供三种升级方法： 在线升级： 服务器连接互联网，从升级网站上进行补丁升级； 可从 升级网站上进行补丁升级。 可从微软补丁升级网站上进行补丁升级。 本地升级： 使用 提供的升级包进行升级。升级包可包含补丁升级包与程序升级包容，除升级补丁库之外，还可以对补丁管理系统进行升级。 可用于服务器不能连接互联网时的升级。 补丁下载器升级： 使用补丁下载器，可以完成服务器位于内网、不能连接互联网时的补丁升级。 补丁下载器是系统自带的一个附件，是一个独立执行的应用程序。2.4.3 终端维护管理2.4.3.1 屏幕监控策略通过对员工的操作屏幕进行及时监控和录像，防止员工违规操作公司的电脑。屏幕监视可按策略进行定义，可进行定时截取屏幕操作。2.4.3.2 客户端配置策略可以对客户端的各种安全配置进行管理，通过“禁用控制面板”、“禁用网络属性”、“禁止发送到”、“禁止修改IP地址”等多项操作全面提升客户端的安全性。同时，针对现在局域网中ARP病毒泛滥的现状， 终端与内网安全管理系统能在第一时间发现感染源并对其进行阻断，已经安装系统客户端的操作系统，具有ARP病毒免疫力，ARP病毒不再对客户端有任何影响，从而杜绝由ARP病毒引起的网络瘫痪。2.4.3.3 外设策略外设与接口管理主要对终端上的各种外设和接口进行管理。 终端与内网安全管理系统可以禁用系统的外设和接口，防止用户非法使用。在外部存储设备的禁用方面，可以在禁止使用通用移动存储设备的同时，对经过认证的移动存储设备允许使用，在新建移动存储界面中添加了“仅允许使用授权设备”项，如勾选此项，下面的可选列表框和授权列表框才为可用状态。 存储设备禁用 终端与内网安全管理系统可以禁止如下存储设备的使用：软驱（Floppy）、光驱（CD/DVD/HD-DVD/BlueRay）、磁带机、Flash存储设备（U盘及MP3播放器）、移动硬盘（USB或1394）等，新增的U盘只读功能，保证数据读取的前提之下，防止利用U盘拷贝数据和某些U盘病毒的传播。 外设和接口禁用 终端与内网安全管理系统可以禁止如下外设计口的使用：串口和并口（COM/LPT）、SCSI接口、蓝牙设备、红外线设备、打印机、调制解调器、USB接口、火线接口（1394）、PCMCIA插槽等。2.4.3.4 防病毒策略系统支持对客户端上防病毒程序的安装情况进行检查，对是否安装防病毒程序、是否运行、病毒库是否更新等项目进行检查。一旦检查结果不符合安全策略要求，可以将客户断网隔离进行强制修复。2.4.3.5 程序行为审计策略系统可以对客户端上运行的程序进行审计记录，方便管理员管理客户端。记录内容包括程序/进程名、运行时间、运行时的用户身份等信息。2.4.3.6 服务进程控制策略系统可以通过控制服务名和进程名的方式制定管理策略，管理客户端上运行的服务和进程，并可以根据客户端的违规情况，对客户端进行桌面消息通知、锁定计算机、断网和向服务器发送邮件等控制。2.4.3.7 终端运维管理能够对对远程终端计算机执行锁定、注销、重启、关机等操作。锁定计算机除非管理员解锁，否则无论强制重新启动或者进入安全模式均不能使用。同时，管理人员可以通过控制台远程取得客户机的控制权，身临其境般进行操作。对于远端客户机出现的问题，管理人员能够即时、方便的解决。在远程维护或者远程操作业务系统中发挥多方面的作用。2.4.4 上网行为管理2.4.4.1 非法外联策略非法外联监控主要解决发现和管理用户非法自行建立通路连接非授权网络的行为。通过非法外联监控的管理，可以防止用户访问非信任网络资源，并防止由于访问非信任网络资源而引入安全风险或者导致信息泄密。 终端非法外联行为监控可以发现终端试图访问非授信网络资源的行为，如试图与没有通过系统授权许可的终端进行通信，自行试图通过拨号连接互联网等行为。对于发现的非法外联行为，可以记录日志并产生报警信息。 终端非法外联行为管理可以禁止终端与没有通过系统授权许可的终端进行通信，禁止拨号上网行为。2.4.4.2 上网行为控制策略 终端与内网安全管理系统可以通过客户端的端口控制、监控客户端运行协议，防止病毒、非法程序访问客户端，从另一方面降低了客户端的风险性。访问控制方式支持以下方式： 按指定IP地址 按指定域名 按网络端口同时，提供基于白名单和黑名单的支持方式，方便管理员灵活制定策略。2.4.4.3 上网行为审计策略通过对员工浏览网站的情况，可以及时了解到企业员工使用网络的情况，并为网络浏览管理提供依据。不但是互联网上的网站访问记录可以被审计，客户端对内网的访问均可记录，以供事后查询。2.4.4.4 流量控制与审计策略系统可以对客户端的网络流量进行分时审计，管理员可以在服务器端看到用户的分时审计流量值，根据流量值管理员可以判断网络中部分用户在使用迅雷下载或P2P。同时管理员可以根据流量审计数据做出一些控制，在流量当上传、下载流量超过设定的阀值时，将会触发用户策略，根据策略可以做出告警、计算机锁定、客户端限时断网。流量的审计与控制是为管理员提供了有效可靠的流量控制方案，并在数据库查询模块中增加客户端流量查询功能。2.4.5 终端资产管理2.4.5.1 资产策略 硬件资产统计可以自动收集分析终端计算机的物理内存、处理器类型、处理器速度、处理器个数、数学协处理器、总线类型等各种计算机硬件信息。系统可以通过组合查询，报告硬件的各种，查询可以基于硬件、存储容量等多种关键字进行。 软件资产统计 终端与内网安全管理系统可以自动收集分析终端计算机安装的软件信息，并通过多种条件进行查询和统计。 硬件变化审计可以获取终端硬件的配置信息，能够监测其变化，对于硬件变化能够记录日志并根据策略产生系统报警信息。 软件变化审计可以获取终端软件的安装情况，能够监测其变化，对于软件的添加删除等变化能够记录日志并根据策略产生系统报警信息。 资产变更处理 终端与内网安全管理系统可以自动监测系统软硬件资产的变动，记录日志并可以产生报警，同时可以根据策略自主采用响应措施，防止资产变更给客户端或者网络带来更大的危害。2.4.5.2 自定义资产管理除了前述自动对客户端上的软硬件信息进行搜集和上报以外，系统还提供自定义资产管理功能，可以针对资产的部门、领用情况、责任人、资产价值等行政信息进行管理，方便管理员从资产的整个生命周期进行管理。2.4.6 信息访问控制2.4.6.1 存储控制策略 设置移动存储设备只读可以设置将所有移动存储设备置于只读状态，不允许用户修改或者写入。 移动存储设备认证管理员可以通过 终端与内网安全管理系统对指定的移动存储设备进行认证，并将认证信息存储在系统中，同时下发到指定客户端上，经过认证的移动存储设备可以在指定的客户端上全权使用。2.4.6.2 文件操作审计策略系统可以通过文件名和文件类型的方式制定管理策略，管理客户端上的文件访问、复制、粘贴、共享、移动、删除等行为，并可以根据客户端的违规情况，对客户端进行桌面消息通知、锁定计算机、断网和向服务器发送邮件等控制。2.4.6.3 文件加密配置策略通过下发策略，系统可以对客户端计算机硬盘或其他文件进行加密处理，加密后的文件即使被拷贝到外网也无法读取，从而保护数据安全。加密密钥支持口令方式和本地密钥两种方式，可以组合使用，最大程度上适应各种应用环境。2.5 其他系统支撑功能2.5.1 级联功能补丁管理系统通过支持无限级联功能，使之具有很强的可扩展性。对于大型网络，一台服务器难以满足需要，通过架设多台支持级联的补丁服务器，可以很好的满足大型网络中的补丁管理。2.5.2 双机热备系统支持双机热备功能，可在重要网络中部署两台服务器互相备份，实现无间断运行。3 终端与内网安全管理系统功效3.1 整体功效 终端与内网安全管理系统采用目前先进可靠的P2DR安全机制。在整体的安全策略Policy的控制和指导下，综合运用防护工具Protection（如防火墙、加密机、防病毒等手段）的同时，利用检测工具Detection（如隐患扫描、入侵检测等）了解和评估系统的安全状态，通过适当的安全响应Response将系统调整到“最安全”和“风险最低”的状态。3.2 文件监控与审计3.2.1 杜绝文件操作不留痕迹现象a)详细记录在某个时间对某个文件进行的某些操作记录文件操作类型包括：创建、打印、访问、复制、改名、恢复、删除、移动等windows中文件操作的所有类型。b)记录文件操作时的屏幕针对每个文件的操作，详细记录该操作的屏幕，方便进行文件查阅。3.2.2 杜绝信息拷贝的无管理状态a)通过对设备的开关管理，对信息传输途径进行统一管理，包括的设备有：相关通讯设备（软驱、光驱、刻录机、磁带驱动器、USB存储设备）、存储设备（串口、并口、调制解调器、USB、SCSI、1394总线、红外通讯设备、以及笔记本电脑使用的PCMCIA卡接口）。b)实施网络保护，将公司的电脑置于保护之中，防止外来电脑侵入公司网络，有效保护终端电脑的共享文件夹和系统安全。3.3 网络行政监管3.3.1 屏幕监控通过对员工的操作屏幕进行及时监控和录像，防止员工违规操作公司的电脑。3.3.2 应用程序报告及应用程序日志通过对员工操作的应用程序进行统计分析，第一、可以查看到每个员工使用计算机的应用程序状况，方便系统维护；第二、可以客观的评估每个员工的工作效率。3.3.3 浏览网站报告及浏览网站日志通过对员工浏览网站的情况，可以及时了解到企业员工使用互联网的情况，并为网络浏览管理提供依据。3.3.4 应用程序禁用通过对员工的应用程序管理，防止员工利用上班时间做与工作不相干的工作，停止一些windows进程，可以有效的防止病毒入侵，提高终端的工作效率。3.4 网络辅助管理3.4.1 远程桌面管理IT主管可以通过远程控制来进行远端电脑的维护管理，提高IT部门的工作效率，让IT部门上升到企业的核心管理层，为公司提供更高层次的信息化服务。3.4.2 远程控制负责行政监管和安全管理的部门可以通过消息管理器向远端违规员工发送信息，让违规员工停止行为，也可以采取更加严厉的措施，对远端电脑进行锁定、注销、关闭、重新启动等操作。3.4.3 远端计算机事件日志管理详细记录远端计算机的所有操作日志信息，包括：系统事件、应用程序事件、浏览网页事件、控制事件、硬件事件、软件事件、启动程序事件、窗口事件。方便企业信息部门对远端电脑的维护，大大缩短远端电脑维修周期，提高信息化部门的工作效率。3.4.4 远程计算机管理通过对远端计算机的读写设备的开关管理，避免员工带入病毒程序，感染内网，造成网络瘫痪。同时本产品还提供了远程更改客户端计算机名、工作组名、IP地址和修改用户帐号密码等多项功能，使管理员更便捷的维护客户端。对于违规操作的客户端计算机，管理员可以强制锁定用户计算机，即使处于离线状态客户端仍然被锁定。3.4.5 信息化资产管理通过对远端电脑的硬件、软件资产及时获取，为IT资产管理提供方便，避免了传统IT资产统计信息不准确的现象，按资产类型筛选，使资产信息浏览更加清晰，同时，实现了及时的IT资产变化报警管理。3.5 补丁分发管理通过对所有客户机进行主机分析，结合资产管理的内容，准确判断客户机的打补丁状况，自动将相应的补丁文件下发给客户机并进行安装，弥补客户机的安全漏洞，保证客户机自身的安全性。系统也允许管理员手工指定一批补丁文件进行下发。对于系统配置漏洞，可以通过自定义脚本加以解决。同时，可以实现辅助软件分发，自动将指定的软件分发到网络的所有客户机上。为增强补丁管理能力，客户端计算机启动之后将定期上报补丁信息，通过控制台可以及时了解到全网客户端计算机的补丁安装情况，为管理员提供行动依据。为了提高管理和传输效率在服务器级联部署时支持补丁实体文件同步更新，并添加了定时扫描功能，及时了解补订分发情况。补丁分发策略中设置了灵活的扫描设置，避免因补丁安装造成客户端性能瓶颈。3.6 灵活、强大的策略管理3.6.1 基于策略优先级的用户行为管理功能提供了基于策略优先级的用户行为管理功能，可以按照策略的优先级进行排序，当策略间发生冲突时，高优先级的策略可以覆盖低优先级的策略，避免了由于策略冲突导致管理失效的问题，为多级管理提供有力支持，同时增加了级联服务器IP地址校验能力，增强复杂网络环境部署时的安全性，而且当删除下级服务器同时删除相关的级联信息，提高服务器维护效率。3.6.2 基于网络场景的管理策略通过定义不同的时间场景、网络场景结合控制策略和安全域规则可以对全网精确控制，操作更灵活。网络场景策略指计算机处于不同网络环境下应应用不同的安全策略。内容包括：网络地址范围（网段范围）、在/离线状态等。计算机处于某网络场景处，即应用此场景