主机审计与监控系统白皮书

1、绊主机审计与监控哎系统V1.5技术白皮书半北京博睿勤技术背发展有限公司柏Beijing白 Bring 啊Technol芭ogy Dev叭elopmen斑t Co.,L搬td目 录TOC o 1-3 h z HYPERLINK l _Toc129773052 暗一吧 懊系统简介艾 PAGEREF _Toc129773052 h 败1 HYPERLINK l _Toc129773053 耙1.1 安系统概述耙 PAGEREF _Toc129773053 h 搬1 HYPERLINK l _Toc129773054 矮1.2 奥系统结构碍 PAGEREF _Toc129773054 h 板1 HYP

2、ERLINK l _Toc129773055 扒二爱 吧主要功能啊 PAGEREF _Toc129773055 h 熬3 HYPERLINK l _Toc129773056 蔼2.1 爸概述氨 PAGEREF _Toc129773056 h 哀3 HYPERLINK l _Toc129773057 靶2.2 阿控制功能半 PAGEREF _Toc129773057 h 半3 HYPERLINK l _Toc129773058 敖2.2.1 俺硬件资源控制坝 PAGEREF _Toc129773058 h 盎3 HYPERLINK l _Toc129773059 败2.2.2 巴软件资源控制挨

3、PAGEREF _Toc129773059 h 爱4 HYPERLINK l _Toc129773060 安2.2.3 捌移动存储设备控把制靶 PAGEREF _Toc129773060 h 斑4 HYPERLINK l _Toc129773061 疤2.2.4 I扮P芭与疤MAC盎地址绑定伴 PAGEREF _Toc129773061 h 般4 HYPERLINK l _Toc129773062 胺2.3 班监控功能拔 PAGEREF _Toc129773062 h 颁4 HYPERLINK l _Toc129773063 扒2.3.1 伴进程监控绊 PAGEREF _Toc12977306

4、3 h 昂5 HYPERLINK l _Toc129773064 叭2.3.2 氨服务监控坝 PAGEREF _Toc129773064 h 阿5 HYPERLINK l _Toc129773065 背2.3.3 捌硬件操作监控罢 PAGEREF _Toc129773065 h 叭5 HYPERLINK l _Toc129773066 蔼2.3.4 柏文件系统监控岸 PAGEREF _Toc129773066 h 背5 HYPERLINK l _Toc129773067 袄2.3.5 拔打印机监控翱 PAGEREF _Toc129773067 h 颁5 HYPERLINK l _Toc1297

5、73068 按2.3.6 岸非法外联监控柏 PAGEREF _Toc129773068 h 扮5 HYPERLINK l _Toc129773069 哎2.3.7 捌计算机用户账号巴监控盎 PAGEREF _Toc129773069 h 案6 HYPERLINK l _Toc129773070 扳2.4 拜审计功能败 PAGEREF _Toc129773070 h 捌6 HYPERLINK l _Toc129773071 蔼2.4.1 鞍文件操作审计埃 PAGEREF _Toc129773071 h 半6 HYPERLINK l _Toc129773072 蔼2.4.2 翱外挂设备操作审碍计摆

6、 PAGEREF _Toc129773072 h 唉6 HYPERLINK l _Toc129773073 伴2.4.3 熬非法外联审计疤 PAGEREF _Toc129773073 h 邦6 HYPERLINK l _Toc129773074 白2.4.4 I拜P拜地址更改审计岸 PAGEREF _Toc129773074 h 凹7 HYPERLINK l _Toc129773075 翱2.4.5 傲服务、进程审计背 PAGEREF _Toc129773075 h 芭7 HYPERLINK l _Toc129773076 鞍2.5 爸系统管理功能白 PAGEREF _Toc129773076

7、 h 把7 HYPERLINK l _Toc129773077 懊2.5.1 摆代理状态监控哀 PAGEREF _Toc129773077 h 爸7 HYPERLINK l _Toc129773078 碍2.5.2 柏安全策略管理伴 PAGEREF _Toc129773078 h 阿7 HYPERLINK l _Toc129773079 斑2.5.3 背主机监控代理升叭级管理俺 PAGEREF _Toc129773079 h 哎7 HYPERLINK l _Toc129773080 稗2.5.4 啊计算机注册管理奥 PAGEREF _Toc129773080 h 霸8 HYPERLINK l

8、_Toc129773081 熬2.5.5 版实时报警摆 PAGEREF _Toc129773081 h 摆8 HYPERLINK l _Toc129773082 胺2.5.6 百历史信息查询胺 PAGEREF _Toc129773082 h 背8 HYPERLINK l _Toc129773083 奥2.5.7 拜统计与报表胺 PAGEREF _Toc129773083 h 稗8 HYPERLINK l _Toc129773084 澳2.6 叭其它辅助功能奥 PAGEREF _Toc129773084 h 巴8 HYPERLINK l _Toc129773085 罢2.6.1 哀资产管理挨 P

9、AGEREF _Toc129773085 h 版8 HYPERLINK l _Toc129773086 罢2.6.2 坝补丁分发办 PAGEREF _Toc129773086 h 爸8 HYPERLINK l _Toc129773087 稗2.6.3 暗操作系统日志收挨集案 PAGEREF _Toc129773087 h 拜9 HYPERLINK l _Toc129773088 把三袄 拔主要特色班 PAGEREF _Toc129773088 h 拌10 HYPERLINK l _Toc129773089 爸3.1 扳系统部署方式灵班活、安装方便绊 PAGEREF _Toc129773089

10、h 版10 HYPERLINK l _Toc129773090 瓣3.2 坝控制、监控与审俺计结合，全方位碍防止泄密阿 PAGEREF _Toc129773090 h 斑10 HYPERLINK l _Toc129773091 疤3.3 啊高性能、高可靠搬性扒 PAGEREF _Toc129773091 h 摆10 HYPERLINK l _Toc129773092 癌3.4凹主机代理安装卸凹载方便靶 PAGEREF _Toc129773092 h 拌10 HYPERLINK l _Toc129773093 柏3.5靶监控模块可动态氨加载与卸载皑 PAGEREF _Toc129773093 h

11、 拜11 HYPERLINK l _Toc129773094 版3.6吧自动升级芭 PAGEREF _Toc129773094 h 按11 HYPERLINK l _Toc129773095 八3.7办灵活的分级管理埃架构鞍 PAGEREF _Toc129773095 h 捌11 HYPERLINK l _Toc129773096 胺3.8敖完善的自保护机哎制坝 PAGEREF _Toc129773096 h 八11 HYPERLINK l _Toc129773097 摆3.9背丰富的报表、报百表类型灵活多样笆 PAGEREF _Toc129773097 h 霸11 HYPERLINK l _

12、Toc129773098 暗3.10 俺高兼容性班 PAGEREF _Toc129773098 h 埃11 HYPERLINK l _Toc129773099 俺3.11氨系统通信安全性背 PAGEREF _Toc129773099 h 安12 HYPERLINK l _Toc129773100 跋3.12 版多方位的主机资癌源信息管理功能叭 PAGEREF _Toc129773100 h 挨12 HYPERLINK l _Toc129773101 敖四坝 疤系统主要性能参疤数邦 PAGEREF _Toc129773101 h 安13 HYPERLINK l _Toc129773102 岸五八

13、 柏系统配置要求佰 PAGEREF _Toc129773102 h 碍14一 系统简介拌1.1 系统概芭述扮博睿勤公司主胺机审计与监控系氨统V1.5是阿北京博睿勤技术拌发展有限公司根拔据安全计算机通扒常出现的安全情皑况哎，独立研发的拔一款专门针对安柏全计算机系统进哎行控制、监控和俺审计的安全产品颁。凹该系统对主机的爱安全防护根据保绊密防护分成事前矮、事中和事后三肮个步骤基本原理斑，采用了三大手办段：控制、监控暗、审计,统筹考盎虑三个环节中可邦能出现的各信息扳泄密途径，对计敖算机的软硬件资版源、文件系统进皑行集中的监控与佰管理。同时，为翱了加强涉密计算扳机的管理，系统哎内置了注册管理霸功能，对计

14、算机奥的IP地址、部澳门等信息进行集邦中管理，实现对办计算机的实时跟岸踪和控制。 哎1.2 系统结伴构颁涉密计算机审计埃与监控系统.采颁用B/S设计架搬构，系统架构如般图皑1-2-1百所示。从图中可斑以看出，系统由扮三部分芭组成：控制台，敖主机监控代理、凹后台数据库。其笆中控制台管理采唉用B/S模式，霸监控代理与控制癌台之间的通讯采斑用C/S模式。坝控制台负责设置稗监控代理的安全肮策略、查看监控败代理的活动状态邦、接受监控代理傲上传的报警事件哎并记入后台数据坝库以及对历史审俺计数据的查询以叭及报表等。控制暗台主要采用了J白AVA技术和柏Web Ser靶vice昂技术。癌主机监控代理负癌责按照控

15、制台制澳定的安全策略完邦成对主机软硬件癌资源、文件系统爱等的使用控制、把监控和审计功能鞍。将报警信息上半传到控制台。监拌控代理按照模块笆化的设计思想，佰每个功能都是一氨个独立的模块，肮且各功能模块可隘按控制台的策略办动态加载或移除板。这使得监控代敖理的功能升级非笆常方便。柏后台数据库是提熬供数据信息存储瓣和数据信息交换芭的平台。本系统懊可根据管理的主傲机数量分别选择靶Oracle、笆SQL Ser熬ver、My 安SQL等。数据佰库主要存储报警颁和审计数据。捌图巴1-2-1哀博睿勤主机审计啊与监控系统体系跋架构二 主要功能2.1 概述耙本系统通过主机肮监控代理实现计昂算机的控制、监斑控与审计。

16、不论隘计算机是否联网板、登陆用户是否癌有超级权限，都八能够有效控制计颁算机拌相关资源的使用半。霸本系统主要包括笆控制功能、监控懊功能、审计功能半和系统管理捌功能四大类。凹控制功能包括计凹算机硬件资源控背制、软件资源控案制、移动存储设扮备使用控制、I伴P与MAC地址鞍绑定等。隘监控功能包括服凹务监控、进程监鞍控、硬件操作监艾控、文件系统监班控、打印机监控佰、非法外联监控版、计算机用户账拜号监控等。拔审计功能包括文按件操作审计、外疤挂设备操作审计埃、非法外联审计坝、IP地址更改靶审计、服务与进笆程审计等。颁系统管理功能包叭括系统用户管理笆、主机监控代理办状态监控、安全斑策略管理、主机胺监控代理升级

17、管氨理、计算机注册跋管理、实时报警挨、历史信息查询版、统计与报表等败。扒另外，系统还包岸括其它一些辅助隘功能，例如皑资产管理、袄补丁分发、操作哎系统日志收集。疤2.2 控制功靶能爱涉密计算机审计耙与监控系统的控袄制功能是指对安绊装主机监控代理傲的计算机上的各肮种硬件资源、软版件资源的使用等皑用户行为进行控矮制，使得非法用绊户或未授权用户靶的行为得到有效埃控制，从而达到哎保护主机系统机敖密信息不被非法罢盗取或意外泄漏哀的目的。暗2.2.1啊 硬件资源控制皑本系统能够管理办控制（使用或禁矮用）的硬件设备胺包括所有的计算肮机外挂设备。这安些外挂设备包括伴：USB设备、邦串口、并口、R唉AM盘、软驱、

18、艾光驱、刻录机、傲红外设备等。白一旦控制中心设碍定的策略不允许俺使用某个设备，邦即使本机超级用啊户也无法使用该扳设备。这种控制袄功能和系统内核伴进行了结合，达爱到了强制控制的背目的，即被禁用懊的设备无法使用艾，即便超级管理盎员也无法启用该凹设备。啊另外，系统还可爱控制新添加的外伴挂硬件设备。只稗要控制台的策略霸不允许使用任何版新添加的设备，皑计算机上的新加氨设备便不可使用哀。澳2.2.2唉 软件资源控制芭软件资源的控制败主要是指对用户佰可使用的应用软矮件进行控制即对佰已安装的应用软癌件的使用进行控扒制。绊对于已经安装的碍应用软件，系统八可以采用黑名单败的形式，禁止用埃户运行黑名单上阿的应用程序

19、。百2.2.3俺 移动存储设备邦控制扒系统可对移动存袄储设备的使用进安行控制，包括U阿盘、移动硬盘、般软盘。禁止移动胺设备的使用，当伴禁用移动设备后拌，用户无法向移奥动设备上拷贝任按何文件，也无法隘访问移动设备上稗的文件。爱2.2.4爱 IP与MAC隘地址绑定艾系统可禁止用户唉自行修改主机的奥IP地址，这主拌要通过IP与M蔼AC地址绑定来挨实现。如果计算八机采用了固定I半P地址管理方式蔼，系统可将IP氨和MAC地址绑笆定，如何试图改暗变IP地址的企哀图都将无效。这暗为计算机的管理爱提供了方便。也唉有效防止了用户叭通过私自更改计邦算机IP地址的哀方式，进行非法昂操作。败2.3 背监控功能吧系统的

20、监控功能八主要是对计算机碍的运行状态和用扒户行为进行实时邦监视，并对出现哀的违规行为或非安法行为采取必要跋的控制措施。通板过系统监控功能般，管理人员能够邦及时发现被监控凹计算机可能的泄吧密行为，也能够蔼发现一些正在危拌害系统安全的特搬殊行为，并可自拔动采取控制措施八阻止泄密行为的坝发生。邦2.3.1皑 进程监控暗进程监控是指对伴被监控计算机上懊正在运行的进程懊进行实时监视，巴并根据进程黑名爱单对进程进行控阿制。如果某个正癌在运行的进程被哎加入黑名单，主叭机监控代理将立癌即杀死该进程。绊其它位于黑名单案中的未运行进程凹则永远不可运行斑，除非控制台将柏该进程从黑名单拌中移除。矮2.3.2暗 服务监

21、控般服务监控是指对佰被监控计算机上拜正在运行的服务扮进行实时监视，坝并根据服务黑名笆单对服务进行控暗制。如果某个已傲经启动的服务被艾加入黑名单，主绊机监控代理将立昂即停用该服务。敖其它位于黑名单按中的未启动服务熬则永远无法启动疤，除非控制台将伴该服务从黑名单拔中移除。芭2.3.3稗 硬件操作监控巴本功能主要监视八用户对外挂硬件霸设备的启用和禁霸用等操作，并对傲用户操作进行实般时报警。例如，摆如果安全策略不伴允许用户启用某颁个外围设备，当傲用户试图启用这艾个设备时系统便把会报警。岸2.3.4拌 文件系统监控颁该功能可针对被靶监控的计算机制昂定文件监控策略罢，对用户的文件办操作进行监控，袄例如创建

22、文件，坝更改文件名，删耙除文件等。系统哎能够识别创建或碍拷贝的文件是位背于移动硬盘还是霸固定介质。监控斑策略包括文件类矮型、文件名等。靶可使用通配符白“斑*岸”翱，跋“班?哀”绊。这样就可针对啊文件名中包含的绊涉密关键字，监背控可能的用户泄疤密操作。通过将昂用户操作事件写敖入数据库，还可唉为事后泄密责任笆的追查提供依据熬。按2.3.5敖 打印机监控芭打印机监控是指艾对被监控计算机蔼的文件打印操作拜进行监控，只要澳发现打印任务，艾立即向控制台发坝送报警信息。报捌警信息包括文档俺名、所有者、当吧前打印状态等。翱可监控的打印机柏包括本地打印机熬、共享打印机和暗网络打印机。颁2.3.6矮 非法外联监控

23、扮非法外联是指未哀授权用户通过各肮种途径访问国际皑互联网的行为。拌该功能可根据设矮定的策略允许或盎者禁止用户访问懊互联网。可以禁俺止的互联网访问敖方式包括局域网白上网、ADSL案、MODEM拨埃号、无线上网、艾以及通过红外线白和蓝牙设备上网摆等。系统一旦发啊现用户计算机连敖通了互联网，可翱立即禁止网络连耙接。该功能突破蔼了传统的拨号上奥网连接控制，完半全杜绝了非法上办网行为。般2.3.7啊 计算机用户账肮号监控奥该功能主要对计霸算机用户账号的熬更改情况进行监搬控，包括增加、搬删除、改名、修半改属性等。一旦扒发现计算机用户吧账号有改动，立案即向控制台发送百报警信息。耙2.4 审计功按能把审计功能

24、主要是班针对系统监控所笆涉及的内容进行板记录，并上传到坝控制台保存。如拜果被监控计算机安处于离线状态，盎主机监控代理仍搬然可记录对于用爸户在离线状态下八的行为，主机监哀控代理仍然进行芭记录，加密后保盎存在客户端。当懊该机器连接到内皑部网上后，这些扳记录可继续传输霸到控制台服务器白，并由控制台写阿入后台数据库中板。霸2.4.1疤 文件操作审计班文件操作审计主柏要对用户进行的肮各种文件操作进扒行审计，如创建安、读取、删除、鞍修改等。通过该鞍功能可实现对特安定文件的跟踪审百计。暗2.4.2柏 外挂设备操作鞍审计败该功能主要对用耙户企图启用或禁熬用计算机外挂设爸备的操作进行审板计。通过功能可班对用户使

25、用外挂按设备的企图进行罢记录，为日后的傲责任追查提供依扮据。爸2.4.3扳 非法外联审计安在系统设置了禁拌止非法外联安全坝策略情况下（即奥禁止用户计算机绊连接互联网），敖该功能可对用户昂连接互联网的操阿作进行审计、审懊计内容包括非法扮外联类型（拨号斑、ADSL、局摆域网等）、事件挨发生时间、拨号跋号码、接入网关把和DNS等。翱2.4.4艾 IP地址更改颁审计跋在控制台设置地笆址绑定策略（M袄AC地址与IP绊地址绑定）后，阿如果用户擅自修爱改IP地址，系半统会生成警报信瓣息告知控制台，摆并将用户试图进把行修改IP地址绊的操作记录下来敖，记录信息包括盎原IP地址、M哀AC地址、更改蔼后的IP地址以

26、捌及更改时间等。佰 拔2.4.5澳 服务、进程审耙计俺服务和进程审计搬主要是针对运行坝代理端的机器上扮的服务和进程的把变化进行记录。按当位于服务或进懊程黑名单中的服笆务或进程启动时瓣，系统将记录该白服务和进程。记拜录内容包括服务拌名、进程名、启拌动时间等。凹2.5 系统管阿理功能按 八2.5.1巴 代理状态监控百该功能能够对安扳装的主机监控代捌理的运行状态进巴行监控，可实时袄监控主机代理的靶当前状态，包括肮活动、未活动、蔼异常、未安装、阿安装后被卸载等啊情况。通过代理凹状态监控，管理碍员可识别异常代哀理，也可对用户叭非法卸载或破坏爱代理的情况进行隘监控。一旦发现拜异常，可通过控白制台向管理员报

27、暗警。艾2.5.2奥 安全策略管理败安全策略管理是敖指对各主机监控哎代理的安全策略办进行统一管理，挨包括设置、查看办、修改等。策略稗分为主机策略和半组策略，主机策蔼略可自动继承组胺策略。通过组策扳可实现安全策略啊的群发，从而为摆用户提供高效率伴的策略配置方案搬。稗系统可对策略进把行集中查看，这暗大大方便了系统佰管理员对主机策摆略的监控和管理搬。安2.5.3懊 主机监控代理隘升级管理懊该功能可实现主翱机监控代理的自矮动升级。升级对坝用户本身是透明隘的，用户端感觉稗不到任何异常，罢且升级无须重新奥启动计算机。系挨统由控制台对代跋理升级模块进行叭统一管理。隘2.5.4挨 计算机注册管拜理败计算机注册

28、管理霸是指对内网的计俺算机进行统一的暗注册，注册信息碍包括主机IP地邦址、MAC地址挨、拥有者、所在巴部门、房间号、安联系电话等。通办过注册实现内网氨计算机的统一管盎理。皑2.5.5佰 实时报警岸系统接受来自各柏主机监控代理的按报警信息，一旦按有报警信息达到叭中央控制台，系叭统会立即报警，扒通过可视化报警耙显示，为管理员熬采取进一步的防搬范措施提供参考芭。稗2.5.6啊 历史信息查询傲历史信息查询是疤指对系统存储的稗历史审计数据进邦行查询，查询可伴通过各种条件的罢组合进行，方便扳管理员对特定审傲计信息的检索。霸2.5.7挨 统计与报表八系统还提供历史胺审计信息的统计搬和报表功能。管啊理员可按照

29、各种肮模板实现历史日爱记的自动统计和哀报表（日报、周埃报、月报等），伴管理员还可自行拜定义统计和报表班条件，对特定信昂息进行统计并生凹成报表。报表支按持html、d翱oc、exce把l、pdf等格疤式。绊2.6 其它辅哀助功能爸 半2.6.1暗 资产管理暗该辅助功能可为皑系统使用单位提阿供简单的资产管搬理。系统可自动爱收集计算机各种奥软硬件资源信息白、包括安装的各鞍种应用程序、C绊PU、内存、硬罢盘等，并可对硬肮件的改动进行跟靶踪和报警。该功盎能可为企业的资巴产清查、统计和岸管理提供一定的巴帮助。瓣2.6.2碍 补丁分发把系统提供补丁分翱发功能。管理员唉可将需要分发的昂各种操作系统补板丁、应用

30、系统补按丁以及其它一些柏辅助工具等统一癌部署到控制台，霸以计算机或组的吧方式向各计算机俺下发。计算机会白自动提示用户有绊补丁程序需要安敖装，经计算机使瓣用者确认后即可澳安装补丁程序。爸2.6.3癌 操作系统日志哎收集鞍通过该功能、主艾机监控代理可自败动收集操作系统袄日志，并将日志扳上传到控制台存半储。为系统管理癌员诊断和检查各扒计算机的故障以摆及安全情况提供阿帮助。三 主要特色岸3.1 系统部隘署方式灵活、安斑装方便凹本系统采用控制敖台和代理分离的盎设计方式，代理摆的安装可以通过办控制台统一进行鞍，大大简化了系半统的安装。控制搬台可以主动从监昂控代理提取数据跋，也可以由监控跋代理主动向控制拔台

31、发送数据，这盎使得主机代理和吧控制台的部署可碍以满足复杂网络笆拓扑。背主机监控代理的办安装支持两种方氨式：本地安装和稗域安装。办3.2 控制、鞍监控与审计结合艾，全方位防止泄跋密艾该系统将主机控胺制、监控和审计斑功能完美地集成鞍到一起，共同完凹成全方位的主机吧防护。审计可对捌主机的活动进行埃记录作为事后查哎询依据；监控可巴以实时发现主机爱的异常活动和入凹侵事件，为事中绊防护；控制可以吧禁止某些设备（肮如网络设备和存芭储设备）被使用熬，为事前防护。扒三者完美结合，胺完成主机事前、艾事中和事后三个奥环节的全方位防搬护任务。叭3.3 高性能安、高可靠性澳中央控制台可以扮同时监控管理1捌000台以上的

32、澳主机，般在同时管理10肮00台主机的情澳况下，能够及时碍处理各主机监控吧代理传送的报警疤信息、策略请求办、状态更新等。熬并能保证控制台白稳定可靠地运行鞍。主机代理对系般统资源的占用非背常低，CPU占敖用率3%，对傲用户的计算机使挨用影响甚微。邦3.4主机代理败安装卸载方便扒管理人员可以通爱过本地安装和域百安装等方式为有斑关客户端PC安鞍装代理引擎。半3.5监控模块俺可动态加载与卸捌载胺主机监控代理采肮取模块化开发技捌术，各个功能模捌块可根据控制台啊最新的安全策略哀实现动态加载与按卸载，且在此过坝程中，主机代理鞍仍然正常工作，罢用户完全感觉不爸到主机代理模块傲的更改。3.6自动升级埃本系统的主

33、机代版理可根据控制台八的指令自动进行啊升级，升级过程氨不影响正常的监邦控活动。败3.7吧灵活的分级管理氨架构坝本系统采用分级耙管理的体系结构般设计，增加了系笆统部署和管理的捌灵活性，极大地柏方便了大型跨地袄域企业的主机监肮控与管理。百3.8敖完善的自保护机扳制拜主机代理采用多哎种系统内核技术班，保证了自身不办可卸载、不可停颁止。即便在安全版模式下，自保护八机制仍能保证自奥身不被恶意破坏澳。傲3.9啊丰富的报表、报懊表类型灵活多样绊系统具有丰富的岸日志信息，并可癌对日志进行方便鞍的查询和生成报摆表。报表方式灵暗活，类型多样，芭支持word、胺excel、p隘df、html稗等各种常见的报邦表格式，可满足啊用户和网络管理芭人员的报表要求矮。蔼3.10 高兼摆容性邦系统在多种应用案环境下的兼容性肮测试表明，本系败统的兼容性非常碍好，目前兼容的安应用包括各种办