国际终端安全需求解决方案

一、系统需求分 弱口令用户权限变化 及进程 上网控 桌面权限管 表/保 网络主机运维外联行为 基于的控 一、系统需求分析当前网络环境为了网络的安全及提高系统的管理控制，需要对单位终端统网络管理中的问对于多数单位来说，一般都已经建立了比较完善的网络管理行度，但是以往在网络管理工作因为缺少相对应的技术，网络管理制度无法得以落实，致使管理员的日常工作繁琐，同时还有信息泄密的风险。一个成接入问题在单位可能会出现外来笔记本接入的问题，可能会造成单位的涉密文件被窃取，引入等严重。需要PC机接入内网及和主机终端安全管理问题计算机是目前对网络及计算机安全最大的。目前一般单位虽然已经配置安装了杀毒，能够对进行一定效果的防范，但是仍存终端也是一般单位普遍关注的一个问题。假若单位的终端的经常被改动，其安全性（包括长度、弱口令等方面）得不到有效的保障，甚至终端的表也经常被改动，不能够对其进行及时有效的发现与控制，这些都对内网的安全造成了。更加困扰网络管理员的问题是，单位的网络经常会出现流量过大的问题，造成网络的不畅甚至拥塞，急需对网络流量进行。而单位员工上网行为往往不规范，对终端的上网行为进行审计没有技术支撑，比如对违办公环境的计算机不允许安装及使用与办公无关的，当发现有使用时应该立即。需要对的安装过程及执行所启动的进程进行控制。对于其他不安全的进程以及服务也需要加以。IP地址管理问题以往的网络管理员对网络内IP地址分配和管理都需要人工来进在IP、MAC绑定上需要可型交换机来完成，前期管理员的工作量太大，在有新的设备入网时需要再次对交换机进行操作，如果操作不当可能造成一个资源子网不能正常工作，影响业务系统正常高效工作；当没有进行IP、MAC绑定时会出现私自盗用他人IP地址的行为，造成合法的IP使用人不能正常入网工作，移动设备管理及安全审计管理问外来移动设备随意接入网络内终端同样可能会造成单位的涉密文件被窃取，引入等严重。对于具有、网关等硬件防范的网络，移动介质在网络造成是在内网的主要方式。如何防止外来移动介质随意接入网内终端，如何保护终端的涉密信息，对涉密信息的、修改、、删除进行控制和审计，如何能够对涉密文件的打印、发邮件、网络共享进行控制，发现敏感字过滤，并对以上所有行为进行外联问题的，因 连 会增终端补丁管理和分发问对一个单位的网络来说，每台终端的操作系统及相关的补丁更新是用户及员最为烦琐的问题。没有妥善的管理体系，轻则会因为流式的，下发后能够获取下发整体情况，用以及时调整下发策资产管理问题果不能全面的掌握终端计算机的软硬件资产，那么对于终端上安装的缺乏的帮助平台问如果计算机用户能在发出求助请求，管理员在进行程序安装、调试程序，势必会节省时间，提高管理员的工作效率，的呼叫帮助平台就成二、内网安全解决方案系统部署和管理构架

ServerClient客户 Browser管理 终系统C/S,B/S系统管理采用B/S构架，管理员可在网络的任何终端通过登录内理服务器丁以及文件的下发，流量、联网、入网设备联网状况、终端态的。网络终端上的客户端程序可将各种网络终端的状态信息、日志信息和信息上报，可通过管理节点对异常计算机进行断网等处理，也可通过系统对客户端进行故障和系统支持的多级级联部署，各级网络独立安装相应的管理。下级管理节点汇总本级的信息和统计信息，上报管理节点；管系统功能结构图终端节点加固补丁自动分发和管理同补丁增同补丁增量导北信源补丁管理中北信源补心(一级动态转北信源补丁管理中动态转北信源补丁管理中客户客户端策.报表中报表中补丁策略制定此外，内网安全管理系统还提供补丁流量控制功能，补丁区补 检测和增量式导

系统支持在物理的网络进行补丁分发。对物理的网络来说，每次补丁导入相当烦琐。为此，北信源使用增量式补丁分离技术，在导出系统拥有专门的补丁服务器，能根据索引自动新增的计算机补丁，补丁校验功能对所的补丁进行校验，保证计算机补丁的可靠性、完。补丁安全自动测试一般单位的环境中，可能会包含特殊的应用或特殊的版本，在这些环需要进行真实环境的补丁测试。北信源系创了真实环境闭环测试技术，具体的流程是首先由选定某些计算机作为测试计算机作为测试组，每次补丁导入后内网后，首先自动分发至这些选定计算机进行新补丁的安装测试，从而自动地进行非模拟性自动测试。如果补丁安装后对测试计算机未产生影响，被测试计算机能正常运行，员便可根据相应得策略对网络内的计算机进行面积的推送。此技术可以很好的减轻的测试工作量，并提高补丁安装的安补丁库自动分类

方便管理根据相应的需求，高效快捷定义补丁分发策略，及时的针对不同关的管理自行设定相应的自定义补丁类别以符合其管理的需要。补丁库的级联和同步补丁安装检测、自动分发补丁有安装补丁的设备进行补丁安装,将补丁升级包及时分发到终端计算测和（客户端计算机的补丁安装情况包括Windows、Office、IE、微软媒补丁推送安装补丁推送分发可以跨网段，跨VLAN,补丁分发支持断点续能。补丁下系统补丁报表补丁流量控系统可以利用多种方式进行流量控制服务器端补丁查询进 用户的角度出发，内网中也应该有类似的网页，以便用户和获知本机补丁安装情况，进行补丁安装。安装了系统客户端的计算机可以通过12．新（长时间关机）客户端入网先打补丁对于一个网络而言，网络中可能会有网络型，在扫描终端漏洞，当未安装补丁的终端接入网内时，可能会立即，并成为新的提醒用户并安装计算机补丁，提醒补丁的位置和计算机用户并安可配置的主机（控制滤蠕虫均是通过一定的端口进行和发包，如果可以控制网络中计算机的端口，关闭使用的端口，进行端口加固，就可以有效这些的和破坏。，如何设置滤规则，均不会造成维系管理服务器对客户机管理的通信无法进当某些客户端临时离开网络安装到其它网络时，客户端的滤功能和使用服务器功能可根据管理员的预设置策略自动关闭或继续工 入 出弱口令 行为靠杀毒或者补丁加固均无法进行控制。用户权限变化但是很多和的很多是利用计算机上权限的变化实现的，计算机上利用此项功能可实现：关键进程加固表加固

可以有效的防止进程对用户表的破坏。终端全面管理对于成网络管理来说，静态的IP地址管理已经成为一种趋势，IP地速的事件定位，缩短故障排除时间。进行IP地址绑定是为了防止他人盗用他人IP地址以达到个人目的，并逃避责任。IP地址管理IP、MAC地址绑修改网关、禁用冗余网卡资产管理给网络终端的管理带来，甚至可能造成内网网络信息网硬件设备资产的流硬件信息，包括CPU、内存、硬盘、网卡MAC地址、主板、主板上的板卡等主要硬件信息。信息收集完成后自动上报给VRVEDP服务器，保存在数据库需要的硬件资产报表，同时还可以导出Excel报表，并可对其变化。终端桌面管理流量管理和控制主要功能：理进行快速分析是否是事故。及进程资1)资源：自动收集安装在每台计算机上的每种应用程序信系统能够及时检测主机信息变化情况根据条件查询客户机安装的或指定被哪些客户端安装等信息。 对安装进行黑白控制，即根据策略设定安装的必须安装的。安装功能，在表Run添加自启动项，在表Services添加自启动项，在程序启动项中添加项，在程序项中添加快捷方式限制的安装，所有安装均可网络进程监视功能此系统可对网络中出现的异常进程（很可能进程）进行定位和，在必硬件及端口控制管理员在Web控制台禁用或启用终端用户的外部设备，禁用或启用终端用所有外设行为进行细粒度审计。点对点审计和硬件资产CPU、内存、硬盘分区总和、设备标识的大小和其他安装查询：查询设备所有安装的运行进程：可加载进程共 可修改用户的IP地址。进 屏 上网控某些，或仅某些，从而保证终端安全。文件清理管理员可在Web控制台对终端用户某一文件夹下或全盘某些后缀的文系统可协助用户（指定 文件、IE临时文件、安装临时文件、异常临时文件等各种应删除的文件。其他管理终端消息通知送消息要求终端用户重新、同步终端数据和对终端的升级。终端安全管理桌面权限管对终端的管理权限变化及使用状况（包括长度、安全性、弱口令等方面）进行审计检查及，同时对不符合要求的终端进行提示或强制修改终 和杀毒管管理员在Web控制台对终端进行的设置对网络IP及协议进行限制，在网络内建立虚拟的终端区。载甚至退出安装的防的情况，也会出现有个别用户被遗漏，未安Web控制台对终端所安装的杀毒情况进行并能够对终端杀毒实施操作（查杀、升级、安装等。还可统一网络内的防（国内主流厂商的均可）安装情况和使用状态，了解网络中的安装状况，必要时可通过此系统强制为客户端安装防装杀毒，强行升级库、自动分发并自动执行专杀工具等。表/保护1)表保护与行为审计防止未用户添加、更改、删除表相关内容出现终端连线/离线策略管理网络主机运维运行资源：在Web控制台对终端的CPU、内存、硬盘的资源占用流量异常：在Web控制台对终端的网络流入、流出和总流量进进程异常：在Web控制台对终端未响应窗口进行并结束或重启该进程，对意外退出的进程进行和保护。 外联行为终端接入其它网络行为：对于已的设备，其网络外联行为告警和网络锁定：如果终端入网，可以在平台和查询处获知信息，并且可以对终端提示信息，自动关机，普通文件分发网络接入控制管理VRV设备接入控制概述VRV内网安全及补丁自动分发系统中的设备接入控制功能可以用来保护御。与此同时基于设备接入控制网关，可以对于接入网络选用的接入认证网关此硬件设备与系统联动，并实现、与内理联控制未终端接入网终端认终端网络资源接入控未设备重定设备接入控制实现模式基于802.1x协议的交换机端口接入认证客户端。安装在用户的终端上（集成在EDPAgent里，当用户有网络访问需求时，EDPAgent自动激活客户端程序通过认证，或由用户手动输入必要的认证服务器。通过检验客户端发送来的标识（用户名和口令）来判基于设备接入网关的互联网接入认证第一步、管如果计算机没有安装客户端程序则由VRV接入网关控制终端范围，终端计算机无法获取INTERNET资源。如果试图HTTP资源时，VRV接入网关会强制终端进行。终端接入网络后，客户端程序将对终端进行安全检查。可以设置策略对检查未通过的终端进行分发补丁、安装杀毒、执行必要修复等操作。安全检查通过的终端根据自己权限获取可以的网络资源。基于设备接入网关的业务服务器接入认证第一步、管如果计算机没有安装客户端程序则由VRV接入网关控制终端范围，终端计算机无法获取应用服务器资源。如果试图应用服务器HTTP资源时。VRV接入网关会强制终端。终端接入网络后，客户端程序将对终端进行安全检查。可以设置策略对检查未通过的终端进行分发补丁、安装杀毒、执行必要修复等操作。安全检查通过的终端根据自己权限获取可以的网络资源。基于 控

基于 第一步、管通过方式接入单位内网的终端，如果没有安装客户端程序则由VRV如果试图应用服务器HTTP资源时，VRV接入网关会强制终端。终端接入网络后，客户端程序将对终端进行安全检查。可以设置策略对检查未通过的终端进行分发补丁、安装杀毒、执行必要修复等操作。安全检查通过的终端根据自己权限获取可以的网络资源。认证系统与EDPAgent双重认双重认证功能描述EDPAgent与认证系统的key绑定同时保证。利用EDPAgent安全程序保障设备的唯一性，利用认证系统的key保障使用人的利用认证系统限定使用人的权限，利用EDPAgent扩展限定使用人利用EDPAgent实现可控制策略的终端安全，审计及控制（限定包括允许的地址和等。将EDPAgent的用户信息和安全策略绑定在key中，未使用key的用户无EDPAgent可以其它用户通过信任终端作 服务器网络资源双重认证功能实现方法VRVEDP系统管理构，机管理数量15,000台（此数量之外建议采用扩展构架。统的同时，将本级所有安全信息转发至管理系统，上一级管理对整个网络的安全状况能够完全掌握，管理系统可将安全策略分发至下级系统执移动管理及安全强审计管移动管理对于以USB设备、移动硬盘接入内网的情况，通过对外设及端从驱动级禁用USB端口、光驱、软驱、串口、并口、、红外、蓝牙、磁带机、多网卡、1394口、调制解调器、PCIMCIA卡等。当涉密信息保存在流通于本地的移动设备中时，如果移动设备不经过加密或保护，那么一旦移动介质遗失，在其他计算机能够直接、硬盘等设备内的涉密信息进行保护。然后通过策略，分配可以识别此的终移动介质被分配后可以实现以下功能：以分配的移动介质接入除本单位外的计算机或网络，不能够另外对移动设备按照密级度，进行分组管理。还要对移动设备审文件保护和审项功能，可限制对于敏感文件的，保证敏感文件的安全。 通过系统设置指定为工作，并指定进程对其进行操作，并对进程操作进行控制，达到对工作的管理。文件输出审计为了防止敏感文件的输出，如敏感文件的打印，邮件的发送等。通过文件输出审计模块和设置选定用户计算机的文件输出和。其报，如客户端相关的安全策略，进行的文件输出，系统可方便的进行表审计通过本系统管理员在Web控制台对终端表的特定进程进行保护，针对不同的操作系统，提供表项、键名、值类型和键值的安全检测，不安全表信息。可通过策略对终端表进行备份与恢复。对于策略的上网行为审器或本地文件。对于站点的客户端，能够进行方便的查询。聊天行为审计其他行为审计、和日志管理管软硬件资产、、状态及其他情况汇总报表，提供多种报表功能，等级、运行状态、安装杀毒版本及厂商、CPU情况、内存情况、硬