企事业单位内网安全管理解决方案.doc

企事业单位企事业单位 内网安全管理解决方案内网安全管理解决方案 构建构建 外防内控外防内控 的安全防护体系的安全防护体系 版本号 版本号 QSYNS V2 1 编辑日期编辑日期 2007 年年 11 月月 8 日日 Copyright 2007 Goldmessage Technology Co Ltd All Rights Reserved 2007 中国最受欢迎的内网安全品牌 广州市国迈科技有限公司 专业打造军工级的内网安全产品 第 2 页 共 12 页 目目 录录 概 要 3 一 企事业单位内网管理面临的十大难题 4 一 信息泄密防不胜防 4 二 非法外联时有发生 5 三 非法接入无法监控 5 四 IP 地址使用混乱 5 五 系统补丁安装复杂 5 六 终端维护工作量大 5 七 流量使用难以控制 6 八 软硬资产难以管理 6 九 无关程序私自滥用 6 十 出现问题无法审计 6 二 构建 外防内控 的安全防护体系 7 三 GM SMP 内网安全管理平台功能描述 9 四 GM SMP 平台优势 13 五 关于国迈科技 14 2007 中国最受欢迎的内网安全品牌 广州市国迈科技有限公司 专业打造军工级的内网安全产品 第 3 页 共 12 页 概概 要要 随着信息化进程的不断加快 信息安全的问题也越来越突出 引起了各企事业单 位领导和 IT 管理部门的高度重视 在信息化建设 过程 中 企事业单位管理人员必须 把信息安全 工作 提上 战略地位 要一手抓信息化建设 一手抓信息安全保障工作 保护 国家 涉密 信息 单位内部 核心资料 知识产权 财务信息 客户挡案等信息安 全是当前各企事业 单位在信息化建设中一项十分重要和紧迫的任务 目前 大多数单位都已经部署了防火墙 杀毒软件 一些单位也进一步地部署了 VPN 入侵检测和漏洞扫描 这些产品从某个程度上解决了外来安全问题 但却无法解 决最容易产生问题的内网安全隐患 如何进行风险管理 保障网络高效 安全稳定地运行 已经成为各层领导普遍关注的焦点 从各种权威的统计分析资料得知 网络受到的攻击 和损失有 70 以上来自内部 因此 采用先进的内网管理技术手段减轻网络管理过程中 复杂 烦琐 低效的工作 主动有效地降低网络安全风险 提高网络防护能力 严防 失泄密事件的发生 同时也利用技术手段能使单位的计算机管理条例和保密制度得以更 好地贯彻执行 使 各级信息中心的 安全管理从被动的 消防队 的角色 创造主动式 预防性的管理模式 这已经迫在眉睫 势在必行 作为内网安全专业厂商 国国迈迈科科技技 荣荣获获 2 20 00 07 7 中中国国最最受受用用户户欢欢迎迎的的内内网网安安全全 品品牌牌 依据国家保密标准BMB17 2006 涉及国家秘密的计算机信息系统分级保护 技术要求 以及通过对 ITIL ITSM ISO27001 1SO17799 BS7799 等 IT 管理标准 信息安全管理 标准 以的理解 和实践 结合 对单位 信息安全 管理 和网络运维管理 的实 际问题 的深入分析 向您推荐使用业界 领先的 G GM M S SM MP P 国国迈迈内内网网安安全全综综合合管管理理平平台台 为为各各 单单位位 构构建建 外外防防内内控控 的的信信息息安安全全防防护护体体系系提提供供有有力力保保障障 G GM M S SM MP P 系系统统从从信信 息息安安全全控控制制 网网络络行行为为审审计计和和网网络络运运维维管管理理三三大大方方面面着着重重构构建建完完善善的的内内网网安安全全体体系系 先后 荣获国家保密局 公安部 解放军保密委员会的权威认证 并已经 广泛应用于部队 军工企业 政府 电信运营商 科研单位 大型跨国企业 高科技企业和制造业 2007 中国最受欢迎的内网安全品牌 广州市国迈科技有限公司 专业打造军工级的内网安全产品 第 4 页 共 12 页 一 一 企事业单位内网管理面临的十大难题企事业单位内网管理面临的十大难题 一 一 信息泄密防不胜防信息泄密防不胜防 随着信息技术的发展 信息泄密的途径也越来越复杂 我们知道泄密的途径有电磁泄漏 拷贝 打印 文件共享 邮件 载体介质丢失 违规联网导致黑客入侵等 其中内部合法使用人员导致信 息泄密达到 70 以上 虽然有些单位网络一般采用内外网隔离 尽管如此 信息泄漏和非法外联仍然 存在很多的途径 目前威胁主要有 1 1 移动存储介质的威胁 移动存储介质的威胁 今年全国各省由国家保密局和国防科工委牵头组织的保密大检查中 暴露问题最多的是移动 存储介质的管理问题 多样化的 U 盘 移动硬盘 手机 MP3 MP4 CF MD SD 卡 以及各类 Flash Disk 等移动存储介质体积越来越小 携带使用方便 这类产品为信息传递带来便捷的同时 也给信息 安全带来严重的威胁 威胁之一 U 盘信息泄漏 U 盘 MP3 手机 数码相机等多样化的移动存储介质 由于携带方便 隐蔽性强 拷贝简单 也容易丢失 这已经成为信息外泄的重要途径之一 对单位的机要信息保护带来巨大威胁 也有些合法使用者在内外切换到外网时 U 盘忘了拔除也导致信息泄漏 很多单位已经意识到问题 严重性 相继出台移动存储介质的使用管理制度 但是由于缺乏技术手段 违规现象屡禁不止 如何防止移动存储有意无意的违规使用 并能确保即使丢失也不会导致泄密 威胁之二 U 盘病毒传播 通过 U 盘传播的病毒已呈快速蔓延之势 据监测 U 盘寄生虫 病毒最近登上病毒排行榜榜首 成 为互联网面临的重大威胁之一 而另一传播较广泛的病毒 随机 8 位数 也是通过 U 盘传播 病毒 制造者已经重点瞄准 U 盘的传播途径 2 2 外设端口使用威胁 外设端口使用威胁 其他常规的有线和无线输入输出端口 软驱 光驱 本地打印机 数码图形仪 调制解调器 串行通讯口 并行通讯口 1394 红外通讯口 无线网卡 无线蓝牙等也是信息泄漏和非法外 联的重要途径 3 3 其他信息泄密途径 其他信息泄密途径 电磁泄漏 拷贝 打印 文件共享 邮件 存储载体介质丢失 违规上网 2007 中国最受欢迎的内网安全品牌 广州市国迈科技有限公司 专业打造军工级的内网安全产品 第 5 页 共 12 页 二 非法外联时有发生 二 非法外联时有发生 单位内网存在很多重要机要信息 不少单位对存有机要信息的重点部门计算机采用内外网隔离 方式 并制度上严格要求禁止与互联网等其他网络发生直接或间接的连接 但是仍然有个别人员出 于各种原因违规操作 私自连接到互联网 如通过 MODEM CDMA GPRS 无限上网卡 WLAN 蓝牙 手机数据线等途径非法外联 导致所谓的内外网分开行同虚设 而信息中心却缺乏有效手段 来发现并阻断非法外联行为 而一旦出现非法外联行为 除了可能导致信息泄漏外 还给本单位各 级领导的工作 包括违规处理和检讨等 带来巨大的麻烦 三 非法接入无法监控 三 非法接入无法监控 办公楼层规模化的网络接口方便了计算机接入网络 但这既方便了内部计算机 同时也方便了 外来计算机 信息中心网管人员对此类情况难以准确判定并加以监视和控制 如有内部不自觉人员 或者有其他目的的外来计算机接入 可能造成对网络资源的滥用 病毒传播或窃密 也给单位网络 安全和信息安全带来潜在的威胁 四 四 IPIP 地址使用混乱地址使用混乱 员工随意设置 IP 地址 可能造成 IP 地址冲突 加上 ARP 欺骗泛滥 IP 地址使用存在一定混乱 如果没有严格的管理策略 不仅日常工作效率受到影响 甚至会导致关键设备的工作异常 影响不 可估量 若出现恶意盗用 冒用 IP 地址以进行恶意攻击或发布负面甚至非法信息 甚至谋求非法利 益窃取重要资料 后果将更为严重 五 系统补丁安装复杂 五 系统补丁安装复杂 微软不定期地发布修复系统漏洞的补丁 但很多用户不能及时使用这些补丁对系统进行修复 系统的安全漏洞仍然存在 容易造成重大损失 现在网络结构庞大 网管要保证每台终端及时全面 地安装上补丁 工作量很大 且很难实现 而且如何检查哪些计算机已经安装了补丁 哪些没有安 装补丁 也十分困难 六 终端维护工作量大 六 终端维护工作量大 由于计算机网络的庞大性和分散性 经常某台计算机出现哪怕可能是简单的问题 网维人员都需 要跑来跑去进行维护 导致人力资源的巨大浪费 再加上人手不足 也可能导致同事抱怨和投诉 有 损单位内部和谐 能否借助远程在线维护和远程截屏等技术手段 减少上下来回跑动 提高工作效率 也是 IT 管理十分关心的问题 2007 中国最受欢迎的内网安全品牌 广州市国迈科技有限公司 专业打造军工级的内网安全产品 第 6 页 共 12 页 七 流量使用难以控制 七 流量使用难以控制 由于员工滥用网络资源下载各种无关东西 或者某些计算机中了病毒 导致网络流量的异常使 用 需要保障的正常使用者流量却无法得到合理流量的保障 网络管理员对此缺乏有效的管理手段 八 软硬资产难以管理 八 软硬资产难以管理 由于终端计算机维修以及使用者自行拆装问题导致硬件配置经常变动 资产管理者和 IT 管理者 很难实时掌握网络内部计算机准确的硬件资产配置 这也可能导致一些不自觉的人员混水摸鱼 另外 如何实时掌握终端计算机要求安装的软件是否已经安装 或者使用者是否自行安装工作 无关软件 网管必须寻求有效的技术手段以支撑管理制度的执行 九 无关程序私自滥用 九 无关程序私自滥用 内部人员私自下载 安装 运行与工作无关的应用程序 导致网络资源的巨大浪费 也时常带 来病毒的传播和木马或蠕虫 或上班时间进行玩游戏 聊天 炒股等 也会带来工作效率的低下和 人力资源的巨大浪费 十 出现问题无法审计 十 出现问题无法审计 作为信息安全的完整体系目标 应该包括保密性 完整性 可用性 可审计性和防抵赖性 但 是目前多数单位系统在终端其他网络行为的可审计性方面还相当薄弱 出现问题无法追踪 调查取 证和审计 譬如某台机器什么时候登录 什么时候使用了哪个 U 盘 拷贝或删除了什么资料出去 打印了什么文件出去 使用了哪些应用程序 哪些计算机打了补丁没有 某计算机是否是单位的合 法机器还是外来的非法机器 什么时候哪台机器访问过哪台机器 其他难题 病毒木马疯狂传播其他难题 病毒木马疯狂传播 2007 中国最受欢迎的内网安全品牌 广州市国迈科技有限公司 专业打造军工级的内网安全产品 第 7 页 共 12 页 二 构建二 构建 外防内控外防内控 的安全防护体系的安全防护体系 构建外防内控的信息安全防护体系 必须考虑以下要素 构构建建 外外防防内内控控 安安全全防防护护体体系系核核心心 任务 外防内控 防止黑客和病毒对网络的危害 防止黑客和病毒对网络的危害 合法的人做合法的事 合法的人做合法的事 面向 防范来自外部的各种攻击 防范来自外部的各种攻击 内外部人员的使用和维护操作 内外部人员的使用和维护操作 重点 安安全全域域 安全域划分与边界 整合 系系统统加加固固 确定通用IT设备的安 全基线要求 加载安全补丁 梳理 服务端口 修补漏洞 安安全全域域 安全域划分与边界 整合 系系统统加加固固 确定通用IT设备的安 全基线要求 加载安全补丁 梳理 服务端口 修补漏洞 安安全全控控制制 对内部人员和厂家人员 对主机 网络和业务的认证 授权 访问控制 资源使用权限等 安安全全审审计计 对内部人员和厂家人员 对主机和网络的各种操作行为进行 审计 安安全全控控制制 对内部人员和厂家人员 对主机 网络和业务的认证 授权 访问控制 资源使用权限等 安安全全审审计计 对内部人员和厂家人员 对主机和网络的各种操作行为进行 审计 构构建建 外外防防内内控控 安安全全防防护护体体系系核核心心 任务 外防内控 防止黑客和病毒对网络的危害 防止黑客和病毒对网络的危害 合法的人做合法的事 合法的人做合法的事 面向 防范来自外部的各种攻击 防范来自外部的各种攻击 内外部人员的使用和维护操作 内外部人员的使用和维护操作 重点 安安全全域域 安全域划分与边界 整合 系系统统加加固固 确定通用IT设备的安 全基线要求 加载安全补丁 梳理 服务端口 修补漏洞 安安全全域域 安全域划分与边界 整合 系系统统加加固固 确定通用IT设备的安 全基线要求 加载安全补丁 梳理 服务端口 修补漏洞 安安全全控控制制 对内部人员和厂家人员 对主机 网络和业务的认证 授权 访问控制 资源使用权限等 安安全全审审计计 对内部人员和厂家人员 对主机和网络的各种操作行为进行 审计 安安全全控控制制 对内部人员和厂家人员 对主机 网络和业务的认证 授权 访问控制 资源使用权限等 安安全全审审计计 对内部人员和厂家人员 对主机和网络的各种操作行为进行 审计 任务 外防内控 防止黑客和病毒对网络的危害 防止黑客和病毒对网络的危害 合法的人做合法的事 合法的人做合法的事 面向 防范来自外部的各种攻击 防范来自外部的各种攻击 内外部人员的使用和维护操作 内外部人员的使用和维护操作 重点 安安全全域域 安全域划分与边界 整合 系系统统加加固固 确定通用IT设备的安 全基线要求 加载安全补丁 梳理 服务端口 修补漏洞 安安全全域域 安全域划分与边界 整合 系系统统加加固固 确定通用IT设备的安 全基线要求 加载安全补丁 梳理 服务端口 修补漏洞 安安全全控控制制 对内部人员和厂家人员 对主机 网络和业务的认证 授权 访问控制 资源使用权限等 安安全全审审计计 对内部人员和厂家人员 对主机和网络的各种操作行为进行 审计 安安全全控控制制 对内部人员和厂家人员 对主机 网络和业务的认证 授权 访问控制 资源使用权限等 安安全全审审计计 对内部人员和厂家人员 对主机和网络的各种操作行为进行 审计 外防方面 通过使用安全域 防火墙 IDS IPS VPN 垃圾邮件过滤 病毒过滤 基础设施监控以 及链路备份等技术手段予以解决 内控方面 也是信息安全出问题最多的方面 作为国内领先的内网信息安全专家 国迈科技 依据 国家保密标准 BMB17 2006 涉及国家秘密的计算机信息系统分级保护技术要求 以及通过对 ITIL ITSM ISO27001 1SO17799 BS7799 等 IT 管理标准 信息安全管理标准以的理解和实 践 结合对 单位 信息安全管理和网络运维管理的实际问题的深入分析 凭借多年丰富的内网安 全领域实践经验 结合对单位内网管理中面临的问题的深入分析 综合考虑信息安全的保密性 完整性 可用性 可审计性和防抵赖性的完整体系目标 向您单位系统推荐 GM SMP 内网安全综合管理平台内网安全综合管理平台 解解 决方案 系统涵盖安全控制 运维管理和安全审计三大方面功能 为您轻松解决以上十大难题 决方案 系统涵盖安全控制 运维管理和安全审计三大方面功能 为您轻松解决以上十大难题 GM SMP 系统由服务器端 管理端和客户端三部分软件构成 GM SMP 功能如下 2007 中国最受欢迎的内网安全品牌 广州市国迈科技有限公司 专业打造军工级的内网安全产品 第 8 页 共 12 页 安安全全控控制制管管理理 外外设设端端口口使使用用授授权权 U盘盘使使用用授授权权 网网络络访访问问控控制制 构构建建健健全全和和完完善善内内网网安安全全综综合合管管理理平平台台 网网页页访访问问控控制制 准准接接入入和和IP管管理理 GM SMP 功功能能 网网络络运运维维管管理理操操作作日日志志审审计计 打打印印文文件件日日志志 系系统统自自保保护护 服服务务器器安安全全保保护护 数数据据库库安安全全保保护护 U盘盘使使用用日日志志 文文件件操操作作日日志志 网网页页浏浏览览日日志志 应应用用程程序序管管理理 系系统统补补丁丁分分发发 流流量量控控制制管管理理 软软硬硬件件资资产产管管理理 资资产产异异动动日日志志远远程程监监控控维维护护 客客户户端端自自保保护护 管管理理端端自自保保护护 系系统统在在线线升升级级 安安全全控控制制管管理理 外外设设端端口口使使用用授授权权 U盘盘使使用用授授权权 网网络络访访问问控控制制 构构建建健健全全和和完完善善内内网网安安全全综综合合管管理理平平台台 网网页页访访问问控控制制 准准接接入入和和IP管管理理 GM SMP 功功能能 网网络络运运维维管管理理操操作作日日志志审审计计 打打印印文文件件日日志志 系系统统自自保保护护 服服务务器器安安全全保保护护 数数据据库库安安全全保保护护 U盘盘使使用用日日志志 文文件件操操作作日日志志 网网页页浏浏览览日日志志 应应用用程程序序管管理理 系系统统补补丁丁分分发发 流流量量控控制制管管理理 软软硬硬件件资资产产管管理理 资资产产异异动动日日志志远远程程监监控控维维护护 客客户户端端自自保保护护 管管理理端端自自保保护护 系系统统在在线线升升级级 简表 简表 GM SMP 解决内网管理十大难题解决内网管理十大难题 序号难题GM SMP 内网安全管理平台解决方法备注 1信息泄密防不胜防1 采取主动性防范措施 2 对内部移动存储介质进行分级别进行注 册授权使用 外来介质无法使用 3 对涉密信息载体 介质进行进行加密隐并 藏存储 即使丢失他人也无法打开 4 外设端口控制管理 5 文件共享控制管理 6 对访问权限进行控制 7 主动杜绝非法内联和非法外联 8 发现终端违规行为可以即时锁屏或锁机 9 在线 离线都可控制 详见功能描述 对于电磁泄漏 途径必须采用 专用电磁干扰 器或屏蔽方式 2非法外联时有发生主动切断杜绝非法外联的一切途径 详见功能描述 3非法内联无法监控对外来机器访问进行主动识别并主动隔离 如需使用需授权 详见功能描述 4IP 地址使用混乱对 IP MAC 地址进行绑定 防止篡改 详见功能描述 5系统补丁安装复杂补丁分发功能 强制自动安装 详见功能描述 6终端维护工作量大远程登录功能 可进行远程维护 远程监控 详见功能描述 2007 中国最受欢迎的内网安全品牌 广州市国迈科技有限公司 专业打造军工级的内网安全产品 第 9 页 共 12 页 7流量使用难以控制流量监控功能 可设置流量阀值 详见功能描述 8软硬资产难以管理资产管理功能 自动扫描输出报表 并对异 动现象进行告警并可输出异动报表 详见功能描述 9无关程序私自滥用1 可自动列出终端机器应用程序列表 2 可应用程序黑白名单 3 实时对终端进程进行监控 详见功能描述 10出现问题无法审计强大而简便的各种网络行为审计功能详见功能描述 其他病毒木马疯狂传播通过实施 GM SMP 可以大大减少病毒的传 播途径 达到主动防御 而不是总事后杀毒 三 三 GM SMPGM SMP 内网安全管理平台功能描述内网安全管理平台功能描述 系统功能系统功能功能描述功能描述 硬件资产管理 采集所有受控计算机硬件的资产报表及异动情况 软件资产管理 采集所有受控计算机软件的安装报表及异动情况 应用程序控制 使用关键字设置计算机允许或禁止使用那些应用程序 IP MAC 绑定 可对装有客户端软件的计算机进行 IP MAC 的绑定 防止 IP 冲突 客户端软件补丁分发 客户端软件可以采用分发 强制客户端自动升级 系统补丁分发 Windows 补丁分发 软件分发 其他软件的分发 网络流量控制 可设置其在某时间段内发送流量超标的阀值 网网 络络 管管 理理 灵活分级管理 设置系统管理员 安全管理员 安全操作员 安全审计员 权责分明 访客控制 对外来的未进行身份认证的计算机进行统一管理 U 盘使用管理 未注册的 U 盘 移动硬盘 手机 MP3 MP4 CF D SD 卡 以及 各类 FlashDisk 简称 U 盘 完全使用控制 拒绝使用 只读 完全读 写 对 U 盘进行注册认证 纯内部使用 高级 外部授权使用 中级 内外正常使用 低级 并控制注册 U 盘的只读 只写 防止 U 盘病毒感染装有客户端的计算机 有硬件 ID 的 U 盘注册 重复注册后保证 U 盘的唯一性安安 全全 控控 端口设备控制 对软盘驱动器 光盘驱动器 本地打印机 数码图形仪 调制调 解器 串行通讯口 并行通讯口 1394 红外通讯口 wifi 无线 2007 中国最受欢迎的内网安全品牌 广州市国迈科技有限公司 专业打造军工级的内网安全产品 第 10 页 共 12 页 网卡 无线蓝牙等进行启用和禁用 网络访问控制 设置计算机拒绝或允许访问的 IP 地址或通讯端口段 网页浏览管理 可使用关键字设置计算机允许或禁止浏览哪些网页 配置管理 可以灵活选择各种控制的策略是否启用 且是否记录审计日志 目录 文件共享控制 通过启用或禁用选项控制计算机的对目录 文件的共享 本地打印机网络共享控制 控制本地打印机是否可以网络共享 PrintScreen 功能按键控制 控制 PrintScreen 功能按键启用 禁用 在线 离线 策略 计算机在线或者断开网络后 所设置的使用权限一样有效 终端进程查看 可随时查看终端计算机的所有进程以及应用程序 远程控制 对客户端进行远程操作 可远程屏幕锁定 注销 重启 关机 树状结构管理 基于计算机为对象来实施安全策略 能够按树状结构来管理被审 计主机 并支持多层次分组 制制 远程维护 远程桌面监控 抓拍 远程桌面维护 文件操作日志 记录计算机文件修改 删除 复制 异动等操作行为 网页浏览日志 通过简报 统计 明细纪录计算机浏览过的所有网页 U 盘使用日志 记录 U 盘在每台电脑上的文件操作情况 应用程序日志 通过简报 统计 明细纪录计算机运行过哪些应用程序 资产异动日志 记录终端计算机的 CPU 硬盘 内存等硬件发生变化日志 用户登陆日志 根据登陆用户名索引日志 文档打印操作日志 记录计算机文档打印操作日志 访问内联日志 记录访客进入内网后连接过哪些内部计算机 网络传输日志 记录网络传输数据的日志 安安 全全 审审 计计 身份认证系统 可设置保密级别和所属负责人 方便管理以及事后审计 客户端自我保护 完全隐藏 防破解 防修改 即使进入安全模式 同样被监管 管理端登陆保护 通信过程采用高强度加密及压缩算法 服务器安全保护 服务器支持多台负载均衡 支持在线扩容和停机检修 安安 全全 保保 护护数据库安全保护 数据库与管理台分离 后台隐藏 增强数据库的安全性 提供系统数据的备份及恢复 支持全量和增量备份 四 四 GM SMPGM SMP 平台优势平台优势 1 军工级的安全强度军工级的安全强度 GM SMP 为军工级安全强度的系统 依照解放军保密委和国家保密局的相关技术要求而设计 系统采 用 WINDOWS 底层驱动层开发 确保客户端自保护和控制功能安全强度 难以被破解 2 权威性的机构认证权威性的机构认证 系统荣获国家保密局 解放军保密委以及公安部权威认证 并已获得众多的荣誉 得到业界的高度认 可 3 实用性的系统功能实用性的系统功能 2007 中国最受欢迎的内网安全品牌 广州市国迈科技有限公司 专业打造军工级的内网安全产品 第 11 页 共 12 页 通过对各种信息安全管理和 IT 管理标准和法规的深度理解 结合用户的需求沟通和详细需求分析与沟 通 经过长时间的实践 从国家的要求和用户的需求出发 开发出高度实用性的系统功能 4 简便性的安装操作简便性的安装操作 GM SMP 的安装和使用操作在业界同类产品中最为简便 用户可轻松自行安装升级扩容也极为方便 5 大规模的应用案例大规模的应用案例 GM SMP 平台已经成功应用于众多大规模国家级的重点涉密单位 包括部队和军工等国防领域 随着 民用领域的发展和