iMC UBA用户行为审计组件

1、白iMC U搬BA用户行扳为审计组件板产品详细介伴绍产品概述般iMC U柏BA白用户行为审计组件通过芭与多种网络邦设备共同组板网，用来对拌终端用户的办上网行为进背行事后审计艾，追查用户疤的非法网络霸行为，满足搬相关部门对案用户网络访扳问日志进行哀审计的硬性版要求。安UBA矮用户行为审百计组件提供稗NAT1.昂0拔日志、板FLOW1把.0拔日志、矮NetSt爱ream 办V5懊日志、哎DIG日志的查询傲审计功能，爸网络管理员昂可以根据网白络日志对上哀网用户的网捌络行为进行艾审计。产品特点拜全面的日志矮采集伴UBA爸用户行为审拌计组件可支蔼持多种网络按日志的采集昂（包括搬NAT1.扳0氨、癌FLO

2、W1跋.扳0扮、碍NetSt拜ream 鞍V5稗），对于不懊支持上述日八志的设备，邦可以通过设矮备的镜像端凹口或绊TAP分流器采集瓣网络流量生安成柏DIG柏格式的日志熬。百分布式部署背。翱UBA哀用户行为审爱计组件采用挨分布式的体爱系结构，支埃持多点采集靶，统一捌Web唉界面审计分哀析，可以同鞍时采集多个背设备的日志坝信息，为网肮络管理员监昂控网络提供盎了灵活有效半的支持。把强大的日志巴审计功能败UBA白用户行为审隘计组件可根矮据用户需要扮，通过接入澳用户名、上皑网时间、用把户访问网页暗的艾URL懊、案ftp癌操作文件及搬发送邮件的邦主题等各种熬条件的组合扮对网络日志巴进行快速审巴计，并对审埃

3、计结果提供坝灵活的排序昂、分组、保扳存等功能。俺网络管理员把可以从海量败的网络日志拜中精确审计稗终端用户的肮上网行为。肮终端用户何袄时访问了某爱网站、何时肮访问了某网癌页、发送了笆哪些埃Email唉、向外发送岸了哪些文件霸等信息均可斑通过日志审把计得出结果坝，日志审计笆包括：癌跋通用日志审矮计：审计内懊容包括接入奥用户名、用叭户上网起止坝时间、来源唉/澳目的伴IP拌地址、来源碍/隘目的端口、绊使用的协议岸及应用名。袄蔼 白Web斑访问审计：肮审计内容包版括接入用户背名、用户上矮网起止时间隘、来源跋/斑目的伴IP癌地址、端口按、用户访问稗的站点、用办户访问的网袄页等。板 版文件传输审癌计：审计内

4、哎容包括接入办用户名、用暗户传输文件吧起止时间、拔来源翱/伴目的岸IP叭地址、端口版、叭ftp半用户名、传疤输文件名、癌传输方式（爸上传颁/阿下载）等。翱邮件审计：绊审计内容包胺括接入用户艾名、邮件发埃送时间、来伴源阿/目的熬IP叭地址、发件盎人、收件人吧、邮件主题叭等。地址转换审计：审扳计内容包括瓣接入用户名鞍、用户上网扳起止时间、埃来源扮/白目的阿IP袄地址、来源/般目的端口、败使用的协议拌及应用名、芭NAT芭转换后拔IP捌地址芭/跋端口等。哀图1-1 伴日志审计界矮面懊捌鞍 背基于用户的矮行为审计叭结合搬EAD癌端点准入解奥决方案，俺UBA啊用户行为审蔼计组件可高昂效地管理网络用户，建罢

5、立详细的用百户访问互联敖网的日志，埃提供行之有罢效的网络管霸理和用户行澳为跟踪审计百策略，帮助柏管理员分析摆用户的上网背行为。奥埃背 绊七层应用审稗计颁端口不固定半的应用，如办P2P鞍等应通过报跋文应用层数斑据的特征进扮行识别。基唉于七层应用捌的识别和分敖类，矮UBA疤可基于用户稗全面审计网蔼络中的七层暗应用使用信皑息。熬组件已经将疤大部分常见霸的端口不固扮定的应用设爱定为组件预俺定义的应用罢，如：安BT按、暗DC八、肮eDonk跋ey扳、暗Gnute八lla袄、凹 Kaza胺a罢、佰MSN埃、罢QQ邦、翱AIM版等。用户可百根据需要，颁定义其它的拌应用识别。啊七层应用识疤别只对版DIG芭日志

6、有效，凹对其他类型靶的日志无效安。跋 坝任务式审计罢UBA癌用户行为审昂计组件提供吧基于任务的百自动跟踪审扒计功能，可隘以根据接入爸用户名、用稗户访问网页案的凹URL碍等各种查询稗审计条件灵稗活制定审计绊任务。任务肮一旦制定，疤组件将自动靶跟踪审计当伴前时间段内瓣满足查询条挨件的所有用板户及日志信傲息。审计任叭务邦 暗包括：地址般转换、半Web俺访问、文件暗传输、邮件巴、通用等多巴种类型。班佰唉 癌日志转储安UBA懊用户行为审版计组件支持靶对海量日志跋进行转储。凹用户可以将凹敏感日志和拔由于数据库昂空间限制无佰法存储的日隘志定时导出翱到数据文件颁中进行异地埃保存，同时盎组件提供转盎储日志查询工

7、具，用户盎可直接对转肮储日志进行艾查询操作。败巴扒 岸审计报表笆UBA霸系统提供专按业的报表，哎包括访问站八点、会话数背、应用分布爱、未知应用艾的爱TopN芭报表，叭SMTP翱、澳HTTP肮、扳FTP懊的应用分析斑报表，每种坝报表都可以按照天、周袄等周期和图搬形、列表等隘形式输出。颁通过使用这半些自带的报鞍表，管理员肮可以非常清爱楚的了解当芭前用户对网疤络的使用情凹况。霸图1-2 靶用户访问站拜点罢TopN八日报表组网应用拜艾扮 按NetSt隘ream/疤NAT/F板LOW扮日志审计组班网方式芭该组网方式白可以为宽带班运营商或教爸育网提供网瓣络日志审计癌功能，便于鞍对访问非法扒站点的用户扒行为

8、进行跟爸踪。该组网疤方式非常灵挨活，可以根稗据运营商或罢教育网等不跋同的运营特袄点，实现多芭种方式的日肮志记录与审百计能力。例疤如，如果在百Inter耙net阿出口需要作搬NAT按转换，并且拔使用了坝H俺3C翱设备的阿NAT拔功能，用户暗行为审计组鞍件就可以接伴收澳NAT办日志进行处霸理。如果在艾Inter埃net按出口不需要败做胺NAT罢转换，则可氨以通过柏FLOW艾格式或稗NetSt鞍ream 案V5袄格式的日志隘记录用户的胺上网行为。哎该组网方式癌下，需要配扳套设备支持伴NAT耙、懊FLOW扳或绊NetSt凹ream办日志输出。哎图1-1 阿NetSt碍ream/摆NAT/F班LOW伴日

9、志审计组伴网方式挨鞍扮 拌DIG氨探针组网方拔式霸探针式采集搬器能够与任碍何支持端口凹镜像功能的阿交换机或集拔线器配合，霸采集网络中笆的报文信息埃，并为用户拌行为审计提疤供统计信息拌。该组网方百式最大的优碍点在于不用艾依赖于具体斑设备，从而敖可以更有效暗的保护用户白的已有投资佰，主要面向八出口容量不氨大的教育或拔行业用户。翱图1-2 肮DIG靶日志审计组伴网方式UBA鞍用户行为审跋计组件是H瓣3C懊公司自主开扒发的网络日爸志审计产品碍，用户可以巴根据实际需皑求选购相应八配置。型号产品描述H3C iMC-智能管理平台标准版(不含节点)-纯软件(DVD)必配。H3C iMC-UBA用户行为审计组件

10、(含1000用户)-纯软件(CD)对用户日志进行审计时必配，完成用户日志采集、处理、分析与审计，提供配置、告警功能H3C iMC-UBA用户行为审计组件1000用户License费用选配，1000用户License费用H3C iMC-UBA用户行为审计组件5000用户License费用选配，5000用户License费用H3C iMC-DIG日志探针组件授权包费用选配，配合探针组网方式使用性参数硬件平台用户行为审计服务器： PC服务器：CPU主频3GHz、CPU个数或CPU核数2、内存6G、硬盘700G、48倍速光驱、10/100/1000Mb自适应以太网卡、声卡探针：PC服务器：CPU主频3

11、GHz、内存2G、硬盘100G、2个10/100/1000Mb自适应以太网卡* 说明：CPU、内存和硬盘配置与流量采集大小直接相关，根据具体网络流量采集大小确定实际硬件配置。操作系统用户行为审计服务器： Windows Server 2003 /Windows Server2008Red Hat Enterprise Linux 5 or 5.5DIG探针服务器：Redhat AS5.0或ES 3.0操作系统浏览器：IE 6及以上版本、Firefox 3.0及以上版本。数据库Windows 平台：SQL Server 2005，SQL Server 2008Linux平台：Oracle 11G

12、阿蔼耙扳硬件配置由皑网络规模决拜定，具体配拜置请咨询H爸3C盎当地办事处疤。版业界第一款昂应用控制与巴行为监管网挨关哎H败3C爱 SecP背ath A叭CG爸（耙Appli哎catio办n Con懊trol 碍Gatew疤ay坝）是业界识搬别最全面、般控制手段最啊丰富的高性挨能应用控制吧网关，能对暗网络中的白P2P/I稗M扳带宽滥用、扮网络游戏、挨炒股、网络叭视频、网络阿多媒体、非扒法网站访问跋等行为进行芭精细化识别办和控制，保挨障网络关键背应用和服务癌的带宽，对傲网络流量、挨用户上网行啊为进行深入跋分析与全面柏的审计，进般而帮助用户扮全面了解网翱络应用模型艾和流量趋势坝，优化其带拔宽资源，开

13、拜展各项业务拌提供有力的颁支撑。产品特点吧最全面的应傲用识别能力奥通过哀H伴3C办长期积累的笆状态机检测蔼、流量交互隘检测技术，敖能精确检测稗Thund艾er/We扮b Thu吧nder笆（迅雷扳/Web邦迅雷）、袄BitTorrent耙、扳eMule拔（电骡）斑/eDon按key隘（电驴）、跋QQ霸、昂MSN耙、柏PPLiv熬e扳等白P2P/I百M/傲网络游戏般/翱炒股败/皑网络视频癌/背网络多媒体艾等应用。艾精细化的流搬量管理功能隘采用基于队凹列（稗Each 挨Flow 摆Queui版ng版）的流量处熬理机制，通奥过通道、子邦通道、子通扳道下的子通皑道等区分服爸务模式，并柏结合时间段搬、用

14、户吧/笆用户组、上阿行挨/疤下行、区域般等，易于对拌每个业务肮“拔流斑”百队列，设置癌不同的优先熬级策略，实昂现最小带宽办、最大带宽坝、最大会话搬数、每会话拔带宽、新建靶连接数等控盎制，实现带隘宽借用、挨Qos瓣优先级标记白等，真正实矮现端到端的拜精细化流量澳管理。丰富的报表俺提供实时的叭业务流量趋绊势图、流量笆分布图、爸Top N用户列表、扒Top N瓣应用协议列霸表等报表，翱并支持按照疤用户名袄/爸用户组、使哀用频度、使氨用时段、应把用分类、应暗用协议、流叭量大小等进颁行多维度组肮合定制报表氨，使用户能颁全面掌握网碍络中的流量班、应用和业俺务分布，为摆合理规划网绊络、制定流拔量控制策略胺提

15、供依据。败完善的安全背审计系统熬可对各种八P2P/I邦M俺、网络游戏霸、网络多媒挨体、文件共斑享、邮件收罢发、数据传拜输、数据库爱应用等各种捌上网行为提邦供全方面的班行为监控和捌记录；同时颁，通过综合霸分析、检测摆用户网络流胺量与流向趋案势，对历史皑数据进行分邦析，为用户巴提供细粒度百的网络应用邦审计管理系班统。绊强大的过滤皑功能芭通过自定义颁IP鞍地址、主机敖名、正则表鞍达式等方式阿设置白URL芭特征库，支班持根据不同佰的般URL蔼策略设置不熬同的响应方背式，支持根俺据时间表对哎不同的疤URL八策略设置不哎同的响应动拔作，避免保安密信息的外耙泄，免受非罢法信息的干颁扰，确保网摆络的健康使哎用

16、。皑高性能、高办可靠性胺基于新一代碍多核扳CP霸U+FPG熬A版硬件架构，办业务与转发傲相分离，实伴现了千兆级佰线速业务处俺理能力，仅傲有微秒级时八延；通过掉爸电保护（班PFC奥，无源柏Bypas坝s办）、软件二瓣层回退、双俺电源冗余等按高可靠性设俺计，保证背SecPa版th AC拔G按在断电、软矮硬件故障或扮链路故障、隘流量过载的隘情况下，网络链路仍然拔畅通。扒及时的特征捌库更新岸H罢3C懊专业特征库叭团队密切跟摆踪应用变化按，并对应用皑协议特征库芭及时更新；安支持对协议拔特征库的在败线自动绊/疤手动升级、矮本地升级，颁且升级过程敖无需重启系版统，不影响熬系统业务运八行。系统规格项目SecP

17、ath ACG2000-M管理接口1个Console口 + 2个GE Combo口业务接口2个GE Combo口（最大2个GE Combo口 + 16个GE电口）扩展槽2接口模块4GE电口/4GE光口/8GE电口尺寸（高宽深）44mm 442mm 460mm额定功率150W电源100240VAC/5060Hz可靠性支持二层回退、双电源冗余、外置掉电保护环保标准通过欧盟严格的环保标准RoHS认证重量7.5 KgP2P应用识别Thunder/Web Thunder（迅雷/Web迅雷）、BitTorrent、eMule（电骡）/eDonkey（电驴）等IM应用识别QQ、ICQ、MSN Messeng

18、er、Yahoo Messenger、新浪UC、阿里旺旺（淘宝版）、飞信等炒股应用识别大智慧、同花顺、指南针、证券之星、钱龙、大策略等网络多媒体应用识别PPLive、PPStream、QQLive、沸点网络电视、QQLive、沸点网络、UUSee、千千静听等网络游戏应用识别魔兽世界、QQ游戏、联众、Half-Life、劲舞团、征途、梦幻西游、泡泡堂等其他支持SQL Server/Oracle等数据库和Lotus notes等企业应用识别行为审计支持对P2P/IM、网络游戏、网络多媒体、文件共享、邮件收发、数据传输等各种上网行为进行审计数据库审计支持对Oracle、Sybase、MySQL、SQ

19、L Server等数据库的审计URL过滤支持自定义IP地址、主机名、正则表达式设置URL库控制策略支持告警、限流、阻断、干扰、带宽保障等控制策略管理方式支持本地Web图形化管理、SecCenter集中管理在线部署氨熬 鞍适用于大中扒型企业用户胺，以透明方澳式在线部署稗于网络出口碍；无需改变巴网络拓扑耙颁 办对柏P2P/I爱M/扒网络游戏芭/炒股疤/办网络视频唉/扳网络多媒体岸/奥非法网站访懊问等各种应拜用进行监控邦和管理，保唉障关键应用爱和服务的带俺宽啊吧 翱对用户上网艾行为进行分霸析与审计按叭 跋支持摆MPLS/盎GRE/L拜2TP/V罢LAN/P版PPoE靶等复杂网络半环境；支持稗多台分布

20、式昂部署的统一伴管理旁挂部署百拔 佰适用于大中百型企业用户熬，以旁挂方爸式部署于核芭心设备旁；般不影响网络爸结构，部署柏简单鞍俺 凹对用户罢P2P/I癌M/颁网络游戏绊/拔炒股班/哀网络视频拔/拜网络多媒体敖/疤非法网站访靶问等的流量岸、行为进行胺分析及审计阿扒 隘支持班MPLS/隘GRE/L按2TP/V澳LAN/P爸PPoE伴等复杂网络佰环境；支持爸多台分布式斑部署的统一案管理盎1)啊 罢SecPa扒th AC耙G2000凹-M胺主机选购一班览表项目数量备注SecPath ACG2000 -M主机1必配HIM接口模块02选配（支持4GE、8GE两种接口卡）H3C SecPath PFC主机设

21、备01选配（需配置PFC接口模块）H3C SecCenter组件-ACG Manager应用控制与审计管理系统-纯软件(CD)01选配H3C SecPath ACG2000-M/H3C SecBlade ACG 应用识别特征库升级服务-1年无限制选配爱(2)巴 板SecPa案th AC瓣G2000班-M霸主机拜HIM啊接口模块选案购一览表接口模块描述备注4端口10/100/1000Base-T接口模块02选配4端口1000M以太网光接口模块02选配，须另配SFP模块8端口10/100/1000Base-T接口模块02选配熬(3)邦 拌SecPa绊th PF奥C爱主机接口模澳块选购一览蔼表接口模

22、块描述备注H3C SecPath PFC 8电口保护模块01选配H3C SecPath PFC 4光口保护模块04选配把H翱3C绊 SecP隘ath U案200-S艾统一威胁管靶理产品啊H颁3C暗 SecP扮ath U200-S隘是奥H案3C安公司面向中澳小型企业啊/哎分支机构设敖计的新一代耙UTM艾（阿Unite挨d Thr熬eat M哎anage蔼ment埃，统一威胁板管理哎)蔼设备，采用霸高性能的多澳核、多线程盎安全平台，翱保障全部安板全功能开启埃时不降低性唉能，产品具耙有极高的性耙价比。在提袄供传统防火艾墙、拜VPN蔼功能基础上皑，同时提供伴病毒防护、稗URL啊过滤、漏洞版攻击防护、俺

23、垃圾邮件防白护、爱P2P/I叭M叭应用层流量爸控制和用户斑行为审计等稗安全功能。把H皑3C挨公司的八SecPa百th U2扮00-S颁不仅能够全熬面有效的保耙证用户网络哎的安全，还颁支持哎SNMP凹和傲TR-06瓣9拔网管方式，昂最大化减少盎设备运营成巴本和维护复伴杂性。产品特点拔市场领先的埃安全防护功八能哀l靶鞍 澳完善的防火凹墙功能：提拜供安全区域柏划分、静态摆/动态黑名单版功能、扒MAC按和碍IP般绑定、访问芭控制列表（捌ACL八）和攻击防澳范等基本功颁能，还提供扳基于状态的绊检测过滤、安虚拟防火墙肮、岸VLAN败透传等功能癌。能够防御捌ARP哎欺骗、摆TCP拔报文标志位矮不合法、板La

24、rge安 ICMP版报文、拜CC芭、艾SYN f邦lood拔、地址扫描扳和端口扫描坝等多种恶意耙攻击。百l瓣啊 爸丰富的懊VPN蔼特性：支持背L2TP 搬VPN罢、敖GRE V佰PN暗、版IPSec VPN跋等远程安全扒接入方式，同时设备集昂成硬件加密摆引擎实现高笆性能的傲VPN隘处理。傲l稗矮 百实时的病毒唉防护：采用案Kaspe拜rsky摆公司的流引敖擎查毒技术啊，从而迅速拔、准确查杀暗网络流量中翱的病毒等恶背意代码。哎l霸矮 安实时的垃圾熬邮件防护：爱可以拦截垃暗圾邮件，净邦化邮件系统扒，解决垃圾氨邮件对正常佰工作的干扰昂问题。隘l拔俺 板先进的矮URL背过滤：实现败基于用户的芭URL艾

25、访问控制，懊防止因浏览捌恶意或未授爱权的网站靶(八如网络钓鱼啊攻击网站俺)斑而带来的安扮全威胁。邦l蔼疤 案全面的流量八管理：能精办确检测扒BitTo办rrent半、矮Thund碍er把（迅雷）、疤QQ爸等埃P2P/I鞍M安应用，提供翱告警、限速罢、干扰或阻傲断等多种方拌式，保障网安络核心业务阿正常应用。颁l蔼扒 爱细致的行为奥审计：可对癌各种挨P2P/I班M半、网络游戏傲、邮件和数颁据传输等行叭为提供细致捌的监控和记胺录，实现细隘粒度的网络邦行为审计管案理。白l扳 斑NAT笆应用：提供阿多对一、多癌对多、静态搬网段、双向把转换岸 鞍、柏Easy 拜IP癌和扒DNS懊映射等靶NAT暗应用方式；

26、伴支持多种应坝用协议正确胺穿越柏NAT瓣，提供霸DNS挨、搬FTP盎、H.323般、半NBT叭等巴NAT A盎LG斑功能。安电信级设备吧高可靠性跋l碍氨 奥采用笆H按3C扒公司拥有自鞍主知识产权芭的软、硬件罢平台。产品绊应用从电信隘运营商到中艾小企业用户熬，经历了多捌年的市场考拔验。斑l阿皑 罢支持双机状暗态热备功能案，支持肮Activ拌e/Act阿ive昂和俺Activ熬e/Pas霸sive埃两种工作模败式，实现负霸载分担和业挨务备份。癌l碍案 胺36安年的平均无班故障时间凹(MTBF奥)智能图形化俺的管理氨l熬扳 白简单易用的胺Web U熬I斑管理。案l蔼哎 俺支持基于鞍SNMP拔和扒TR

27、-06办9爱协议的管理绊。熬l版啊 败通过安H袄3C疤 UTM氨管理软件实熬现统一管理霸。氨l佰办 芭通过熬H傲3C半 SecC跋enter敖安全管理中稗心实现统一敖管理。组网应用案l唉瓣 百多功能集成哎，实现全网半应用层安全扒防护吧l碍 爱多核、多线巴程硬件平台艾，具有强大颁的处理能力白l疤艾 翱双机状态热澳备技术，高埃可靠网络设佰计巴l敖扳 隘统一颁Web界面，降低绊管理复杂度爱H皑3C袄 SecP癌ath U斑200-M扳统一威胁管爱理产品拌H班3C敖 SecP胺ath U芭200-M跋是罢H鞍3C俺公司面向中吧小型企业皑/分支机构设伴计的新一代把UTM拌（案Unite凹d Thr伴ea

28、t M稗anage哎ment稗，统一威胁昂管理爸)败设备，采用百高性能的多癌核、多线程笆安全平台，氨保障全部安半全功能开启八时不降低性八能，产品具鞍有极高的性班价比。在提唉供传统防火瓣墙、翱VPN鞍功能基础上哀，同时提供敖病毒防护、把URL鞍过滤、漏洞搬攻击防护、佰垃圾邮件防爱护、澳P2P/I碍M扒应用层流量颁控制和用户艾行为审计等澳安全功能。叭H拌3C佰公司的芭SecPa般th U2矮00-M挨不仅能够全傲面有效的保叭证用户网络柏的安全，还澳支持翱SNMP盎和半TR-06吧9坝网管方式，巴最大化减少鞍设备运营成昂本和维护复摆杂性。产品特点班市场领先的碍安全防护功昂能阿l佰袄 翱完善的防火稗墙功能：提昂供安全区域八划分、静态癌/笆动态黑名单巴功能、跋MAC案和芭IP巴绑定、访问啊控制列表（拜ACL笆）和攻击防碍范等基本功扳能，还提供阿基于状态的袄检测过滤、巴虚拟防火墙八、胺VLAN绊透传等功能斑。能够防御摆ARP敖欺骗、跋TCP佰报文标志位哎不合法、奥Large扮 ICMP袄报文、懊CC霸、半SYN f巴lood败、地址扫描肮和端口扫描阿等多种恶意皑攻击。半l扮坝 爱丰富的埃VPN靶特性：支持叭L2TP 啊VPN柏、按GRE V坝PN挨、八IPSec蔼 VPN阿等远程安全癌接入方式，暗同时设备集袄成硬件加密背引擎实现高