内网安全管理系统解决方案模板

内网安全管理系统解决方案模板目录1. 方案概述 51.1 信息安全现状分析 51.1.1 信息安全现状 51.1.2 建设内网安全管理系统的必要性 51.1.3 内网安全管理最终目标 61.1.4 Xxx®内网安全管理系统设计标准 72. 内网安全需求分析 82.1 终端运维管理需求分析 82.1.1 系统运行管理分析 82.1.2 系统监测需求分析 102.2 终端安全加固需求分析 102.3 终端安全审计需求分析 123. Xxx内网安全管理系统解决方案 133.1 方案目标和内容 133.2 终端运维管理解决方案 143.2.1 防病毒软件管理 143.2.2 文件安全 143.2.3 系统日志管理 153.2.4 时间同步 153.2.5 远程协助 163.2.6 资产管理 163.2.7 补丁管理 183.2.8 软件及消息分发 203.2.9 设备入网监测 233.2.10 网络流量监测 243.2.11 健康监测 243.2.12 主机性能监控 243.3 终端安全加固解决方案 263.3.1 终端安全配置 263.3.2 终端防火墙 273.3.3 终端主机准入控制 283.3.4 移动存储介质管理 283.3.5 网络参数配置 333.4 终端安全审计解决方案 353.4.1 进程监控 353.4.2 服务监控 363.4.3 打印监控 363.4.4 文件监控 373.4.5 注册表监控 383.4.6 共享监控 393.4.7 设备监控 393.4.8 账户监控 403.4.9 网络行为审计 413.4.10 违规外联监控 413.4.11 软件安装监控 424. 内网安全管理系统部署及建议 424.1 系统部署 434.2 其他建议 435. 内网安全管理系统设计概述 435.1 产品设计思路 435.2 产品的设计原则 445.3 产品架构 445.3.1 客户端程序 455.3.2 总控中心 455.3.3 管理控制台 465.3.4 系统数据库 465.4 产品性能 465.4.1 总控中心性能 465.4.2 客户端程序性能 465.4.3 产品性能指标 475.4.4 自身安全性 475.5 产品部署 475.5.1 部署模式 475.5.2 本地部署 485.5.3 分级部署 486. 成功案例（部分） 50方案概述信息安全现状分析信息安全现状随着业务的飞速发展，单位网络结构日趋复杂，总部对部门、分支机构的管理比较困难，在网络中各个节点均可能造成病毒传播、非法接入和终端违规操作等问题，内网安全风险日益凸显；各节点随意连接互联网，各用户在工作时间P2P下载占用较大的带宽资源，用户随意接入一些不良网站，造成网络中大量木马、病毒的传播，引发安全风险，论坛发帖带来潜在的法律风险也非常大，内部ARP欺骗现象严重，网络故障无法准确定位，单位涉密信息被非法泄漏，严重的破坏了业务发展。分析表明，单位的网络信息安全建设是一项复杂的系统工程，科学的建立内、外网是网络安全的基础，应用软、硬件技术是保证网络安全的手段，建立单位信息安全管理制度是网络安全的保证。建设内网安全管理系统的必要性目前，单位的网络建设有了很大的发展，但还比较脆弱，自身安全性不高，在日常管理中还存在着不少问题：难以监控外来计算机接入内网。办公楼层规模化的网络接口方便了员工接入网络，同时也方便了外来计算机接入网络，管理人员对此类情况难以判定并加以监视和控制。IP地址使用存在一定混乱。如果没有严格的管理策略，员工随意设置IP地址，可能造成IP地址冲突，甚至导致关键设备的工作异常。若出现恶意盗用、冒用IP地址以谋求非法利益，后果将更为严重。各类网络基础信息搜集不全。信息管理中心对所管辖网络的用户和资源状况难以掌握，设备软硬件配置与变更也难以知晓，发生违规事件时很难及时将问题定位到具体用户。外围设备使用控制困难。为了保证内部安全，要求对网内各计算机设备的外围设备使用情况进行控制，禁止或限制使用软驱、光驱、USB盘、并行、串行口、红外口、1394口、Modem等外围设备，防止利用移动存储设备进行数据文件的拷贝。操作系统补丁问题。每隔一段时间微软发布修复系统漏洞的补丁，但很多用户不能及时使用这些补丁修复系统，造成重大损失。现在网络结构庞大，网管要保证每台终端及时全面的安装响应补丁，工作量很大，且很难实现。文件拷出与打印等难以管理监控。政府常有重要的文件，如设计图纸、报表等，对这些重要且必须保密的资料的拷入拷出、打印等操作无法监控，出现信息泄露事件也无从追溯。内网安全管理最终目标为单位提供集中的终端（桌面）综合安全管理的桌面管理产品，打造一个安全、可信、规范、健康的内网环境。满足用户的以下需求：确保入网终端符合要求全面监测终端健康状况保证终端信息安全可控动态监测内网安全态势快速定位解决终端故障规范员工网络行为统一内网用户身份管理杜绝移动存储介质滥用提高和实现软件正版化在为单位提供终端安全保护手段的同时，内网安全管理系统还要强调为单位提供便利的终端运维管理手段。集中式、人性化的终端管理能力是内网安全管理系统的特色。Xxx®内网安全管理系统设计标准Xxx®内网安全管理系统的设计参考了如下国家标准：GB/T22239-2008：《信息系统安全等级保护基本要求》GBT22240-2008：《信息系统安全等级保护定级指南》GBT22241-2008：《信息系统安全等级保护实施指南》公安部《中间件传输技术标准规范》《公共数据交换系统标准》《请求服务系统标准》《信息授权策略标准》《数字证书格式标准》

内网安全需求分析内网安全设计应从实际需求出发，实现内网信息严格保密的需要，完成终端安全防护和网络安全防护，同时系统应是一个具有灵活性，开放性，便于扩充升级的综合系统。网络安全管理平台方案应具有以下特点：1.采用最新的高科技成果，使其在网络信息管理领域具有较高的水平。2.扩充方便，修改灵活，操作维护简单，系统重启时间短，能适应业务的快速变化。3.充分利用现有各种系统的资源，以节省运行成本。4.规范系统，从整体的角度来考虑系统的结构设计，基本包括计算机管理系统、相关数据库系统间的直接或间接互连。终端运维管理需求分析系统运行管理分析通过系统运行管理确保终端主机以最安全的状态运行，有效地减少病毒爆发和木马泛滥带来的内网安全隐患，减少终端计算机被入侵的可能性。具体分析如下：1.防病毒软件管理防病毒软件是计算机终端防病毒的最终防线，也是最重要的一部分。防病毒软件要保证长期、稳定的运行并保持最新的病毒库更新才能真正起到防病毒作用.2.文件安全普通终端计算机的不稳定性、安全性造成重要、涉密数据存在流失、丢失和泄密的威胁，需要把重要数据存储在更为安全的服务器上规避信息风险.3.时间同步员工对计算机网络日益依赖，几乎所有的业务都通过计算机来实现。然而，计算机本身的时间精度并不高，走时不准；可能因时间差异造成业务无法正常完成。特别是指挥系统、调度系统、网管系统、计费系统、分布式数据库服务器等应用系统对时间同步的要求更为严格；4.系统日志管理为保证单位中每一台主机能正常运转，最简洁且有效的方式是管理员通过系统日志有针对性地管理。5.远程协助网络管理员任务繁重，如何不用到每台计算机的现场就解决远程计算机维护工作，把管理员从日常繁重工作中解脱出来？远程协助功能在此可以发挥作用。6.资产管理由于用内网中的计算机众多，管理人员对网内的资源占用和用户情况难以准确掌握和更新，对实际接入的计算机数量难以进行精确的统计，对面临的危害难以做出动态的评估和有效的防范。内网中资产管理、变更的统计、分析及报警是保护单位利益的重要方式单位对此项功能的需求非常强烈。资产信息管理报表可作为单位合规部门的重要数据。7.补丁管理系统补丁管理是内网安全管理的重要环节，成熟的系统补丁管理可以使管理人员对操作系统及应用软件的补丁进行部署和维护控制，可以帮助保持终端运作效率和有效性，克服安全漏洞并保持办公环境的稳定性。通过成熟稳定的补丁管理程序在网络环境中评估并保持系统软件的完整性，也是成功实施信息安全程序的关键步骤。目前，很多单位在网络部署了微软的软件更新服务(WSUS)，但单纯的WSUS在补丁管理上存在以下问题：（1）配置复杂：如果网络区域没有实现域管理，无法方便配置众多终端计算机的补丁更新策略，使得补丁更新不可控。（2）信息获取有延时：重要补丁不能及时安装后果可能非常严重，终端计算机从内网WSUS获得最新补丁信息并下载安装，可能有22～24小时的延时。（3）无法明确补丁安装情况：WSUS不能获取各终端计算机的补丁信息，无法迅速定位处于危险中的计算机。8.软件及消息分发员工多、更新软件多及单位的单位公用消息多为当前单位信息化建设中需着重考虑的问题，软件分发、消息分发可方便、快捷地满足单位的信息化要求。系统监测需求分析通过系统监测可以让管理员及时了解整个网络内终端主机的状态，针对存在的安全隐患及时采取有效措施，更好地保证内网的可靠性。具体分析如下：1.设备入网接入内网的计算机应该是专用于业务工作的计算机，其他外来用户随意接入网络，可能会造成病毒传播、重要机密数据泄露等危险。从传统的网络管理手段来说，可以通过在交换机上进行MAC地址与端口的绑定来达到防止外来用户随意接入的目的。但是这种方法会给管理人员带来比较大的工作量，特别是大型网络的管理工作更繁重，使用这种方式缺少操作的灵活性，对于任何一台新接入的设备都必须要在相应的交换机上进行配置，管理非常不便。2.网络流量监测网络健康运行，对流量的监控、管理极为重要，网络流量的控制和审计已经成为能否使网络正常运行的重要手段。3.健康监测每个接入内网的计算机应该是健康的，即操作系统补丁、病毒库更新及时、终端安全配置和在遵守单位的单位相关规定前提下策略要求，只要每台计算机是健康的，网络才是健康的。4.性能监测对终端计算机的CPU使用、内存使用和磁盘使用情况的动态监测，对终端计算机的网络通讯流量的控制、审计和统计，同时对终端计算机的安全状况的动态监测，并为终端计算机用户提供手动评估计算机安全状况及掌握内网环境的安全状况以及安全变化态势，是保证内网及终端计算机的健康运行的基础。终端安全加固需求分析1.终端安全配置为实现主机运行安全策略的最优化，确保终端主机的安全管理，对每台终端计算机的本地安全策略、对本地系统环境进行安全设置管理是非常必要的。2.终端防火墙通过系统内置防火墙，对终端计算机的访问目标进行限定，对终端计算机的网络访问进行控制，对网内计算机互访权限设定，可有效地保护网内重要、涉密信息的安全。3.终端主机准入控制随着信息化建设发展，单位内网计算机数量与日俱增，同时各个单位合作日益频繁，经常有不属于本单位的第三方运维人员终端计算机连接到内网。在这种情况下，也无法区分哪些是内网授权使用的计算机，哪些是外来的非授权使用的计算机。这种状况下，对于未授权使用的计算机接入不能进行控制，当系统中某台感染了病毒和木马后接入内网，病毒会在整个内网进行快速传播和扩散，给内部网络带来严重的安全威胁。而对于合法的主机接入内网也要防止访问重要级别的服务器，需要采用有效手段逻辑隔离。4.移动存储介质管理当前，移动存储介质作为一种非常便利的数据传输载体已被大量应用，如U盘、移动硬盘等。移动存储介质的使用方便了信息和数据的交换和传递，已成为一种不可缺少的信息传递工具。然而，移动存储介质本身在便利的同时也存在着极大的安全隐患，如果对移动存储设备管理不完善，可能对我行信息安全造成多种威胁，如：（1）移动存储介质在不同计算机和网络随意使用，容易造成计算机病毒交叉感染和大规模泛滥；（2）怀有恶意的内部人员或外部人员可以使用移动存储介质将单位内部重要信息复制出去，容易造成敏感信息泄密；（3）移动存储介质一旦无意丢失，存储在里面的大量敏感数据可能失控，造成泄密。在单位存在着把私人的移动存储介质并协助自工作，把单位的移动存储介质私用的现象。由于缺乏有效的管理，移动存储介质的使用基本上无安全性可言。可见，以上种种风险严重威胁着单位的信息安全，为保障重要信息不在使用移动存储介质的过程中造成泄密与丢失，规避移动存储介质带来的种种风险，急需从技术上配合管理制度对移动存储介质进行统一管理、监控和审计。5.网络参数配置IP地址和计算机名乱用、冒用的危险以及IP地址的冲突的发生，严重阻碍了合法或重要设备正常工作，影响单位业务工作的开展，对网络参数的配置必须进行控制。终端安全审计需求分析1.进程管理终端计算机随意安装使用游戏软件、黑客软件等，容易引入了潜在的安全漏洞，降低了计算机系统的安全系数，并可能占用大量的单位的网络资源。2.服务管理对本地计算机上所运行服务的合法、合规等运行状况进行控制，有效管理每台终端计算机的健康运行。3.打印监控如果对办公人员的终端操作无法有效控制和监视，会导致一些机密的办公文件泄露。急需对终端计算机的打印操作进行监控与管理，且能够全面监控本地打印、虚拟打印和共享打印。4.文件监控单位的终端计算机对文件的创建、删除、改名、访问等操作行为，绝大部分为单位公文，均会涉及单位的机密，应对文件的操作行为进行审计，应细化到文件内容，同时对重要文件进行保护，完成文件的完整性、可用性和机密性的全程审计。5.注册表监控计算机的注册表是保证操作系统正常运行的基础，应禁止普通员工随意修改注册表信息，可细化到对某个键值的控制，保证单位的信息工作不会在操作系统层面出现故障。6.共享监控文件共享是造成泄密的重要途径，急需对访问权限、共享权限做控制。7.设备监控计算机的外围设备（包括软驱、光驱、USB盘等）为各种信息在不同的计算机之间交流提供了一个方便的途径，也带来了病毒、涉密信息等随意传播的危险。8.帐户监控本地计算机的帐户安全涉及到账户建立、使用、密码复杂度及权限，管理员需要对网内的所有账户做监控，保证在使用性上做好信息防护工作。9.网络行为审计对于允许接入互联网的计算机，应对其接入方式和上网行为进行管理，应规定通过标准网关上网，并对其上网行为做记录，包括HTTP访问、SMTP/POP3邮件收发、WEB邮件收发等，并需要基于规则的访问控制手段。10.违规外联监控涉密网段的计算机不可连入互联网，否则会使涉密计算机及重要网段受到以下安全威胁：（1）破坏整体安全防护体系，引入恶意的入侵；（2）引起病毒的感染和传播；（3）某些互联网行为，例如BT、电驴等下载行为可能占有很大网络资源，造成办公网络性能下降，影响金融业务正常运转。9.软件安装监控需要对终端计算机上的软件安装行为进行监控与控制，保证安装的程序为正版、有效、免攻击。Xxx内网安全管理系统解决方案方案目标和内容通过本项目建设单位内网安全管理体系总体架构——分级部署、分级和分权管理，统一内网安全管理运维流程，规范内网安全管理系统功能，提高桌面终端用户安全防护能力，提升桌面终端运行维护自动化程度，提高桌面终端服务水平，使日常的桌面终端由被动管理向标准化管理转变。进一步完善对终端用户的管理，监控、审计员工是否能够遵循单位对信息保密的要求。满足单位的资产管理、软件管理、补丁管理、安全管理、安全网管和安全服务的需要。内网安全设计从实际需求出发，实现内网信息严格保密的需要，完成终端安全防护和网络安全防护，同时系统应是一个具有灵活性，开放性，便于扩充升级的综合系统。内网安全管理平台具有以下特点：1.采用最新的高科技成果，使其在网络信息管理领域具有较高的水平。2.扩充方便，修改灵活，操作维护简单，系统重启时间短，能适应业务的快速变化。3.充分利用现有各种系统的资源，以节省运行成本。4.规范系统，从整体的角度来考虑系统的结构设计，基本包括计算机管理系统、相关数据库系统间的直接或间接互连。终端运维管理解决方案防病毒软件管理主要是对代理终端上的防病毒软件安装、运行、病毒库更新情况进行监测。Xxx内网安全管理系统可监控主流的13种防病毒软件的运行状况、安装情况、病毒库更新情况等，提供防病毒软件信息收集和状态监测功能，收集防病毒软件名称、软件版本、病毒库版本等，为防病毒软件的使用保驾护航。代理终端没有安装本单位统一规定的杀毒软件、病毒库不符合指定更新周期或者指定版本的情况下，均可响应策略中指定的响应方式。如果响应了阻断方式，在病毒库更新到指定周期或者指定版本的情况下，阻断可以自动解除。文件安全由于终端计算机安全性、保密性级别较低，所以重要数据存储在终端计算机上存在风险，内网安全管理系统可实现为客户端提供服务器备份的功能，通过文件备份保证了单位重要数据的完整性，并提供用户身份认证、文件备份、文件恢复、备份文件历史查询等功能。为保证文件的保密性和可用性，文件备份服务支持用户身份认证访问方式。文件备份模块由用户身份认证、文件备份、文件恢复、备份文件历史查询组成，备份系统由文件备份服务和文件备份代理组成。系统日志管理管理员可通过系统日志有针对性地管理可保证单位中每一台主机能正常运转，。系统日志可记录系统的启动情况,运行情况,跟踪信息等等,当系统出现异常的时候可通过查看系统日志解决。内网安全管理系统可提供对终端计算机本地日志收集、日志集中存储、日志转储、日志清理和日志查询分析功能。时间同步为解决因时间差异造成单位业务故障甚至无法正常完成，Xxx系统提供了时间同步功能。特别是能满足指挥系统、调度系统、网管系统、计费系统、分布式数据库服务器等应用系统对时间同步的要求严格的需求。内网安全管理系统可以通过安装有时间服务的计算机硬件时间为时间源，为内网终端计算机提供标准的Internet时间服务。时间同步由时间同步服务和时间同步代理（集成在终端监控引擎中）组成。时间同步服务以安装有时间服务的计算机硬件时间为时间源，为内网终端计算机提供标准的Internet时间服务。时间同步代理根据时间同步策略对本地时间进行监控并加以动态调整，以保持本地时间与时间源的同步。时间同步代理动态比较本地时间与服务器时间，如果时间差超过策略设定的允许误差，则同步本地时间，使其与服务器时间一致。远程协助为解决单位网络管理员日常的繁重维护任务及远程快速对存在网络威胁的主机做出相应处理，Xxx内网安全管理系统拥有的安全服务功能，可以通过远程协助及远程监控的方式协助解决此问题。远程协助模块实现对代理终端的远程管理。是管理员与代理终端交互平台，可以方便的帮助代理终端用户快速解决系统问题。通过远程桌面接管完成对各客户端的直接操作。资产管理为准确掌握内网中众多计算机的资源占用和用户情况，Xxx内网安全管理系统对实际接入的计算机数量进行精确的统计，对面临的危害做出动态的评估和有效的防范。提供计算机资产自动收集、资产注册登记、资产变更管理、设备维修管理、资产查询与统计等管理。可以建立设备资产信息库，对所有接入的计算机的用户信息进行登记注册，在发生安全事件时（例如硬件丢失、重要程序被删除，对网络安全有威胁的软件安装行为）能够以最快速度定位到具体的用户。同时，也能够做到动态地搜索各终端的软硬件信息，并对这些信息进行统计和分析，生成相应报表。管理系统还能与安全策略紧密结合，自动收集与安全相关的一些系统信息，包括：操作系统版本信息、操作系统补丁信息等，同时针对这些收集的信息进行统计和分析，给出安全状况报告。Xxx内网安全管理系统对部门和代理终端的硬件信息和安装的软件信息进行统计，可形成报表模式，为27001认证、计算机等级保护认证等工作做辅助作用。1.部门资产统计：（1）系统摘要：显示IP地址、员工姓名、主机名、MAC地址、操作系统/版本、CPU、内存、硬盘、注册时间和最后活动时间；（2）主机硬件资产统计及分类查询统计；（3）主机软件资产统计及分类查询统计；2.设定资产变更报警机制，可以写入日志，形成报表备查；3.设备维修管理：系统提供设备维修记录功能，任何设备的送修和返回均可由资产管理员负责填写维修记录，从而准确掌握资产的维修情况；4.设备台账：掌握单位设备资产状况，反映单位设备拥有量及其分布变动情况的主要依据。5.资产状态提醒：系统可维护所有设备的保修期限和报废期限等信息，在设备临近保修期限和报废期限时，提前提醒资产管理员。资产管理员也可以按照日、周、月等周期查询即将到期的设备；6.资产查询与统计：资产管理中心提供集中的资产信息查询、统计和报表功能。可按照部门、设备类别、硬件参数等一系列指标进行查询和统计。7.软件授权：能对定义的软件进行正版检查，分为软件正版定义和软件正版统计两部分。软件正版定义，可以通过定义软件安装的路径，正版检查的条件以及许可证信息的收集，并提供统计功能。8.IP地址管理：对内网IP地址的使用情况进行统计，方便管理员查看与分配管理。补丁管理系统补丁管理是内网安全管理的重要环节，Xxx内网安全管理系统通过简单的配置操作完成对系统补丁的及时更新，并可以明确补丁安装情况，获取各终端计算机的补丁信息，迅速定位处于危险中的计算机。Xxx内网安全管理系统可以更好地为用解决计算机补丁安装问题，可以实现Windows平台下的补丁审批、测试、分发和补丁修复状态统计，管理、分发和自动安装Windows系列操作系统补丁和微软应用程序补丁。如下图所示：补丁分发模块的流程应通过以下几个步骤：1.补丁检测：提供操作系统的安全、驱动补丁、ServicePack，防病毒补丁、Office、OutLook、IE浏览器、SQLServer、Exchange等应用软件的补丁检测，并且支持自定义补丁，以满足第三方软件或用户自主开发系统的补丁升级。2.补丁测试分析：测试分析应用系统与发布的补丁是否完全兼容，减小此类问题带来的风险，在测试计算机上先进行测试安装，确定对现在系统及应用无影响后，再全网发放。3.补丁分发：Xxx补丁分发系统为用户提供多种补丁分发的方式，包括补丁服务器主动推送和客户端主动下载。定制基于客户端操作系统种类、网络IP范围、补丁类别、有效时间、审批状态等方面的补丁管理策略及补丁分发策略，包括：补丁下载提示、补丁安装方式。分发流量控制4.补丁安装统计：补丁分发支持完整的分发过程跟踪，包括分发状态和非法结果。可按照多种条件检索、查询和统计。管理员可通过报表及时进行掌握所辖范围内终端补丁安装情况。按主机统计补丁：可以罗列出不同主机补丁更新的状态信息。也可以设定检索条件，检索出符合条件的主机统计信息。按补丁统计主机：可以罗列出不同补丁在主机上的安装信息。5.补丁增量导入：系统支持对补丁库的内网外迁移,提供内外网补丁迁移工具。可在外网中对补丁库进行增量分离下载。通过检测确认无病毒威胁后迁移到内网中，更新内网补丁库，为内网终端计算机进行补丁升级。补丁更新模块的特色：1.提供补丁离线扫描的方式；2.提示用户有缺失补丁需要下载；3.可启用P2P下载的补丁就近分发方式；4.可设置文件下载完毕后，在代理主机本地保留的天数；5.可设置补丁类别控制；6.可设置补丁类别范围。7.支持内外网隔离环境下的补丁分发管理，支持增量补丁导入；8.补丁分发服务器支持多个镜像，终端监控引擎可随机选择可用的补丁分发服务，如此可有效提高补丁分发效率；9.补丁分发服务支持HTTP和FTP两种服务模式；10.补丁分发服务支持带宽限制和连接数限制，以此确保补丁分发服务器的资源占用合理，提高补丁分发服务器的可用性；11.系统提供准确的补丁修复结果统计，为管理人员了解补丁分发进程提供直观的统计报表。可见通过补丁管理，能够对内网终端计算机缺失补丁进行定期检测和自动安装与更新，保证系统与软件缺陷一经发现便可及时修补。通过补丁分发管理，大大减少了操作系统和应用软件漏洞被利用所造成的安全隐患和经济损失。同时，管理人员还可以实时统计当前各终端计算机的补丁缺失情况、补丁安装情况以及补丁安装的进度等，得到全网的终端计算机补丁安装快照。方便了对补丁分发过程的监控。因为单位网络中的涉密内网与互联网不相连，所以对内网的计算机做补丁升级可在设置某台连接互联网计算机作为补丁下载管理器，用增量方式把补丁传入内网服务器中再做补丁分发。软件及消息分发软件及消息分发功能，方便单位对共用软件、信息的及时发放，内网安全产品提供对内网全部或者部分终端计算机的软件分发管理。由分发管理中心、文件下载服务和终端监控引擎等组件组成，提供对内网全部或者部分终端计算机的软件、消息通知功能。管理员可以把软件远程派送给终端计算机，如果对分发的exe、msi模式的文件，可选用静默安装模式，当软件到达终端计算机后，会自动自行软件安装。也可以派送文件与脚本，对于单位内规定必须安装的软件、局内统一部署的软件或发放到每个员工的通知、文件等均可通过此服务功能完成，极大地降低了全网部署软件的工作量。软件分发（1）软件分发任务管理：显示当前用户创建的软件分发任务列表，实现任务的删除和报表。（2）软件分发管理：软件分发管理定制了分发方式，包括分发到主机、分发到未分发的主机和分发到部门（3）查询统计：对于任务分发执行的结果可以进行查询统计，系统支持：按任务统计、按主机统计、按部门统计等统计方式。查询结果可以导出到报表。消息分发（1）消息管理： 实现消息的创建、修改、删除与导出报表。（2）消息添加：（3）附件：与消息一起发布的文件附件，附件文件格式不受限制，附件大小不能超过10Mb。（4）消息分发管理：分发管理定制了分发方式，包括分发到主机、分发到未分发的主机和分发到部门（5）查询统计：对于消息分发执行的结果可以进行查询统计，系统支持：按消息统计、按主机统计、按部门统计等统计方式。查询结果可以导出到报表。设备入网监测Xxx内网安全管理系统，设备入网监测功能提供对内网设备入网的实时发现、状态报告和阻断等功能。通过实时设备扫描可发现所有当前在线计算机，通过总控中心的计算机注册信息的同步，可区分合法设备和非法设备。对于非法设备，可采取入网阻断措施。对于非授权计算机和不安全的计算机可以采用ARP欺骗的方式，用虚假的MAC地址刷新目标计算机的ARP缓存，导致该计算机无法与内网其它设备通讯，达到阻止其访问网络资源的目的。网络流量监测Xxx内网安全管理系统，网络流量监测功能提供对终端计算机的网络通讯流量的控制、审计和统计。流量控制：可以限定终端计算机到特定目标的通讯带宽，可区分目标地址范围，也可区分流入流出方向。可设定多条带宽规则。系统将按照规则顺序进行带宽规则匹配。流量审计：可以监控终端计算机到特定目标的通讯流量，可区分目标地址范围，也可区分流入流出方向。可设定多条流量审计规则。系统将按照规则顺序进行流量审计规则匹配。流量统计：系统可自动收集和汇总终端计算机每天发生的网络总流量和流入流出流量，并可统计与本地计算机发生流量最大的前10个计算机。系统每天维护一条流量统计记录，可按照日、月、年进行流量汇总统计。健康监测Xxx内网安全管理系统，健康监测与自评估功能提供对终端计算机的安全状况的动态监测，并为终端计算机用户提供手动评估计算机安全状况的手段。健康监测：系统使用内置健康检测模板或者管理员自定义健康检测模板对终端计算机进行系统性的安全评估，根据健康检测模板定义的项目和权重，最后计算得出终端计算机的健康分数，并上报到总控中心。通过该分数，可以对全网计算机的健康状况进行排名。健康自评估：用户可以通过安全助手启动终端计算机自评估，系统将根据当前计算机所采用的健康检测模板，逐项进行健康检查和评估，并将所有安全项目的检查结果和总分数通过图形界面展现给用户，给用户直观的计算机健康状况提示。针对不合格的项目，系统还提供修复方案，自动或手动帮助用户修复不合格项目。主机性能监控对终端计算机的CPU使用、内存使用和磁盘使用情况的动态监测，对终端计算机的网络通讯流量的控制、审计和统计，同时对终端计算机的安全状况的动态监测，并为终端计算机用户提供手动评估计算机安全状况的手段；掌握内网环境的安全状况以及安全变化态势，内网安全管理系统应提供准确可靠的关键指标数据支持，可对终端计算机安全管理数十种关键指标进行态势分析。当对终端计算机的CPU使用、内存使用和磁盘使用情况资源占用过高时（持续一段时间超过设定的阈值），向终端用户或者总控中心发送报警。终端安全加固解决方案终端安全配置通过重点安全配置管理终端计算机的本地安全策略、对本地系统环境进行安全设置管理，从而实现主机运行安全策略的最优化，确保终端主机的安全管理终端安全配置目的：通过对本地安全策略的调整和本地环境的安全设置，达到终端安全管理的目的。通过上图可见安全配置的选项包括对以下功能项的控制：定时关机、定时关机检查条件、关机提醒、定时关机时间参数、屏幕保护程序、屏保启动等待时间、屏保恢复密码、访问控制面板、访问控制面板程序、访问注册表编辑工具、建立空链接、自动播放、IE代理服务器使用、代理服务器地址和端口、远程修改注册表、使用组策略编辑器、修改网络属性、远程桌面、强制登录域、本地登录、显示上次登录用户名、自动登录、多操作系统检查、自动垃圾清理、系统垃圾文件类型、系统垃圾清理方式、自动清理使用痕迹、清理痕迹分类、使用痕迹清理方式、IE浏览器主页。终端防火墙系统的终端防火墙管理模块用于管理基于NDIS的桌面防火墙，对终端计算机的访问目标进行限定，对终端计算机的网络访问进行控制。终端防火墙具有基于优先级的网络访问控制能力、提供网络访问审计能力、支持策略模板。启用防火墙可以限定终端计算机的访问目标，对终端计算机的网络访问进行控制。终端防火墙管理模块具有如下特色：1.提供基于优先级的网络访问控制能力，由此可以实现灵活的访问控制，如某些安全事件发生后，自动启用高优先级的网络访问控制策略；2.友好的配置界面，提供基于对象的配置管理，网络地址和服务均以对象方式选择，极大的方便了防火墙策略配置；3.提供网络访问审计能力，单位管理员可根据策略决定是否记录匹配的网络访问；4.支持策略模板，可以将已经配置好的策略分组保存为模板，随时使用。终端主机准入控制安全接入认证与交换机联动阻断(支持802.1X协议)，自动判断接入计算机的交换机接口，如果发现接入计算机未经过授权或者安全性较差，则通知交换机禁用该计算机所在的端口，彻底阻断计算机的接入。同时与整个系统联动，支持动态修复区、访客区及隔离区，支持URL自动跳转及第三方Radius等先进技术；网络通讯认证系统通过采用IP通讯控制技术来解决非法主机的任意访问问题。该技术的根本特点是当非法主机与合法主机进行IP通讯时，合法主机会要求非法主机提供其身份证明，如果非法主机无法提供有效的身份证明，合法主机将拒绝与其建立通讯。合法主机之间由于相互可以验证身份，因此合法主机之间的IP通讯是被允许的。网络通讯认证保证了接入计算机的通讯控制，如果接入计算机是非法的，可以通过安装认证控制，保证接入计算机无法安装系统代理程序，因而也就无法与接入网络的合法计算机进行通讯。减少了“假冒身份”计算机给网络带来的安全风险。移动存储介质管理管理目的对使用的移动存储介质分别进行注册管理，只有注册过的移动存储介质才允许在注册网络使用，且不可在其它网络中使用，未经注册的移动存储介质不能在注册网络中使用，尽最大可能减少了因移动存储介质滥用导致的信息泄露风险。策略细节（1）非注册普通移动存储介质在内网或办公网不可使用；未注册移动存储介质未注册移动存储介质（2）注册普通移动存储介质在内网或办公网授权部门、授权主机上可使用，注册普通移动存储介质在内网非授权部门、非授权主机上不可使用；（3）网间数据传输采用多分区U盘或专用的安全移动存储介质（简称：安全U盘）安全U盘在内网授权部门、授权主机上可使用，安全U盘在内网非授权部门、非授权主机上不可使用；安全U盘在外网可使用通用区，安全U盘在外网通过密码确认可使用加密区；加密移动存储介质加密移动存储介质自动加密自动解密（4）审计对各种移动存储介质的使用均可做到审计，即移动存储介质中的文件读写、拷贝、删除，移动存储介质的插拔等均记入日志，并可形成报表，报表可实时生成，也可按日报表、周报表、月报表的方式定时生成；文件审计策略可以记录到文件的路径和文件名；（5）报警提供主机桌面端报警提示、邮件报警提示和管理员操作界面报警方式等，方便管理员能及时处理违规操作。功能描述常用的移动存储介质有三种：普通介质、专用安全U盘和特权介质三种。（1）各类移动存储介质均可以在管理平台做初始化注册工作，要求对全网使用的移动存储介质做统一管理，控制未经过注册的移动存储设备在内网中使用；（2）注册普通U盘允许在内网授权主机上使用，授权使用范围分为：①总部，②部门，③主机；授权操作方式为：①只读，②读写、=3\*GB3③禁用方式；（3）注册U盘在单位以外的网络使用，可以通过策略授权操作方式为：①读写、②只读、=3\*GB3③禁用方式；（4）可对U盘使用做审计，审计内容包括：注册U盘在内网的主机上使用过程（插、拔），文件操作过程（创建、删除、改名、编辑等）；（5）普通U盘可注册成安全的外出U盘，即在外网需通过密码方式访问；注册成为外出U盘后，在内网可授权给部门、主机上使用，并可记录在内网的使用过程（插、拔）和文件操作记录（创建、删除、改名、编辑等）；（6）常用外出U盘应为安全的专用安全U盘，在内网使用的管理与普通注册U盘相同，在外网必须通过密码访问，且在外网使用做日志管理；（7）可做分权管理，即管理员、操作员、审计员分权；（8）可做系统分级部署，权限分级管理，即可授权给各分支机构管理员；（9）未经注册的各类移动存储介质在内网的使用，可以通过策略授权管理：①读写、②只读、=3\*GB3③禁用方式；（10）主机可显示提示信息、告警信息等，管理员可接收邮件、管理桌面即时信息等方式查看管理违规告警信息，对于离线主机使用U盘，支持互联网报警（在可连接互联网的办公网测试）。系统特色（1）系统能够收集代理端计算机的基本信息，包括操作系统、进程、策略等（2）针对管理需要，对于单位重要人员或重要部门使用的U盘，可按照特权U盘方式注册并能够在指定机器使用管理。（3）对于注册U盘的操作权限要能够实现禁用、只读、读写等多级控制。（4）对全网使用的移动存储介质做统一管理，控制未经过注册的移动存储设备在内网中使用。（5）对移动存储设备进行高、中、低的安全级别划分，移动存储设备安全级别与主机安全级别不同时，禁止使用移动存储设备。（6）对于移动存储设备的授权使用范围必须支持按部门、按主机、全网段等各种方式。（7）能够支持对SD卡、CF卡、MMC卡等特种存储介质进行管理；（8）保证客户端程序在安装和运行过程中与防病毒产品及其他主流安全产品相兼容；（9）对移动存储设备注册信息的修改支持不插入存储设备即可修改与插入存储设备才能修改两种方式；（10）能够支持对注册U盘的使用次数和使用时间进行控制，超过使用次数后，或者超过使用期限，可以限制过期的注册U盘读写以及是否允许使用；（11）能够支持对移动存储数据进行透明加密，避免由于移动设备丢失，造成移动设备内重要数据外泄；（12）支持注册U盘在内网内的策略在线更新（在线认证—策略），无需重新收集U盘便可更改注册U盘的策略；（13）支持普通U盘多分区管理，划分为启动区、加密区、交换区；（14）支持普通U盘在外网环境中使用，且要求操作系统只能识别多分区U盘的启动区，加密区、交换区必须通过用户名、密码效验才能加载，用户对启动区格式化操作应不妨碍多分区U盘的正常使用；（15）多分区U盘必须可接受终端管理系统统一管理，在系统管理中，可分别设定多分区U盘各数据区的操作权限；（16）要求支持客户端程序无显示托盘图标，对客户端代理程序具有较强的自保护功能，可防止通过第三方产品进行恶意删除。网络参数配置解决IP地址和计算机名乱用、冒用的危险以及IP地址冲突的问题，保护合法或重要设备正常工作，保证影响业务工作的开展。Xxx内网安全管理系统对计算机及网络设备IP地址进行有效的管理，可以对计算机和网络设备进行参数绑定、参数变更监控、ARP攻击防护与IP地址保护，具有支持多个网络参数的统一配置管理、支持多个同类参数的绑定、支持IP地址范围控制等特点。通过被动侦听、主动扫描等方式发现非法节点，并且可以阻断非法节点的网络通讯，对非法节点信息进行报警和日志记录等。网络参数配置提供对终端计算机的网络相关参数的配置和变更监控管理。绑定网络参数：可以通过策略设置，固定计算机的网络相关配置，包括主机名、IP地址、网络掩码、网关、DNS等。这些参数一旦绑定，不允许用户修改。监测参数变更：当策略设置为仅监测网络参数变更时，用户可以对网络参数进行自行配置，但是任何配置的更改，客户端程序都会加以监测和本地告警，同时形成变更记录上传到总控中心；ARP攻击防护：通过自动或手动绑定网关IP与MAC信息（ARP表），使得针对欺骗网关地址的ARP欺骗失效，保证了终端计算机的网络通讯；IP地址保护：通过定期自动广播本地网卡的MAC到网络中，保证本网络内其他计算机始终能够得到本机的正确IP和MAC地址。避免了他人冒充本机IP地址导致的本机通讯异常。网络参数配置可设置主机名绑定、适配器绑定、特权用户绑定、主机IP地址保护和工作绑定。绑定参数配包括地址获取方式、地址绑定范围、IP和Mask绑定、网关绑定、DNS绑定、MAC绑定和ARP绑定。系统的网络参数配置有如下特色：1.支持多个网络参数的统一配置管理，当计算机有多个网卡时，系统可以区分不同网卡，并对不同网卡设置不同的网络参数；2.支持多个同类参数的绑定，例如，对同一个网卡，可以绑定多个IP地址/网络掩码、网关地址、DNS等；3.支持手动绑定和自动绑定，手动绑定时由管理员设置绑定参数值，自动绑定时客户端程序将按照收到策略时的当前网络参数值进行绑定；4.支持IP地址范围控制，即在特定的IP地址范围内才启动绑定，否则不绑定。终端安全审计解决方案进程监控终端计算机随意安装使用游戏软件、黑客软件等，容易引入了潜在的安全漏洞，降低了计算机系统的安全系数，并可能占用大量的网络资源。内网安全管理系统进程管理模块提供对本地计算机运行程序的管理，包括是否允许程序运行、对运行程序进行保护、对运行程序进行统计等。进程管理模块可以自动搜集各计算机所有的进程和服务信息，对XXX规定禁止运行的进程做黑名单处理，对某些重要的进程（例如防病毒）做红名单处理，可使管理员全面了解各计算机运转的情况，及时发现安全隐患并予以解决。功能细节如下：1.进程运行控制：可按照黑名单、白名单、红名单等方式对进程的运行进行控制。黑名单方式下，所有在黑名单列表中的进程均不允许运行；白名单方式下，只允许运行白名单列表中的进程，所有在白名单列表之外的进程均禁止运行；红名单方式下，所有在红名单列表中的进程均必须运行；2.进程保护：对指定的关键进程采取保护措施，被保护的进程不可被随意停止；3.进程统计：对进程的运行状况进行统计，包括进程启动时间、进程结束时间、进程持续时间等；4.进程别名管理：通过进程别名管理，可将进程名称与其别名创建关联关系，并可设定违规进程列表，通过别名匹配和违规进程列表比对，可增加进程统计数据的可读性。服务监控服务管理提供对本地计算机上所运行服务的管理，以控制本地服务的运行状况。可通过黑名单、白名单和红名单等多种方式控制服务的运行状态。1.黑名单：所有在黑名单中的服务均禁止运行；2.白名单：只有在白名单中的服务允许运行，其它的一律禁止运行；3.红名单：红名单中的服务必须运行。打印监控文档打印极易通过纸质介质造成机密信息的泄露。本系统提供对终端计算机的打印操作进行监控管理的功能。不仅可对主机的本地打印、虚拟打印和共享打印的情况进行监控和审计，便于信息防泄密追踪，还可禁止上述打印行为。文档打印审计与文件审计、共享访问控制及网络行为审计配合，全方位的监控终端用户的各种可能造成的信息泄密行为，实现涉密信息的全面、全程审计与跟踪。文档打印审计做了很多细节处理，尽量做到防范通过纸质介质泄密的作用。包括是否允许使用各类打印机，是否审计各类打印机以及是否启用打印文档扩展名过滤等。文件监控本模块为解决监控和审计终端计算机对文件的创建、删除、改名、访问等操作行为，防止单位的信息泄密，并可细化到文件内容，同时对重要文件、文件夹进行保护，限定特定进程对被保护对象的操作。系统的文件审计提供两部分功能：文件操作审计和文件内容审计。文件操作审计是指对文件的创建、删除、改名、访问等操作行为的审计。文件内容审计是指对文件内容进行监控，当发现含有指定关键字时，采取报警、文件备份等响应方式。文件保护提供对指定文件或文件夹的安全保护能力，可限定特定进程对被保护对象的操作。访问控制方式包括只读访问、读写访问和禁止访问三种，通过进程与访问控制方式的组合，可以实现灵活的文件保护能力。功能特点：1.可选择文件操作监控范围：包括本地磁盘、移动存储设备、光驱和自定义目录；2.可审计选择的匹配文件类型；3.可通过关键字对文件内容进行审计，并可选择关键字的上下文长度、文件忙碌系数等参数确定泄密文件，同时提供将实时变化的包含关键字的文件进行备份的功能。4.提供文件保护功能，用户可选择保护文件的路径、文件名，启用保护文件的进程，可设置进程对文件目录的访问权限。注册表监控注册表监控模块可提供终端计算机本地注册表的访问监控和注册表保护。1.注册表访问监控：可以监控特定进程对指定注册表项的访问情况并可限制其访问权限，包括读取、修改和删除等。2.注册表自动恢复：记录指定注册表项的当前状态并实时监控其变更状况，一旦发现有变更，则立即恢复。共享监控为避免单位内网用户通过共享的途径达到机密信息外泄，本系统对终端计算机的系统默认共享、用户文件夹共享及共享文件夹的操作权限情况进行监控和审计。可在控制台显示代理主机的全部共享文件夹信息，包括共享名称、共享路径、共享描述。提供操作员通过操作按钮停止共享的功能。设备监控随着单位计算机升级换代，计算机外设日益增多，计算机的外围输出设备（包括软驱、光驱、USB盘等）为各种信息在不同的计算机之间交流提供了一个方便的途径，也带来了病毒、木马随意传播的危险和为机密信息的扩散和泄露带来了可能。内网安全管理系统有必要对外围设备的使用进行控制，不允许未授权情况下使用外围设备。本系统提供对硬件设备的使用监控功能，可对光驱、刻录机、软驱、USB存储设备、调制解调器、串口、并口、红外、蓝牙、PCMCIA卡、1394接口、智能卡、无线网卡等设备的使用进行控制。通过对外挂硬件设备的统一监控管理，将计算机与其他可能的连接设备彻底断开，保证计算机上的信息只能存储在本地，无法通过外接输出设备泄露到内网之外。系统的设备监控有如下特色：1.可以对计算机I/O设备采取黑名单和白名单两种控制方式，白名单控制方式下，只有授权的设备才允许使用；2.黑名单控制方式下，支持设备排除列表；3.可区分普通光驱和刻录机。账户监控本地帐户审计可对本地计算机的帐户安全相关参数进行配置，对帐户变更进行监控和审计。包括：1.帐户策略配置：可强制本地启用帐户密码复杂性检测，设定密码最小长度、最大最小密码留存期、密码历史、密码到期提醒等；2.帐户锁定策略配置：可强制本地启用帐户锁定策略，包括锁定阈值、锁定时间、锁定复位时间等；3.帐户变更审计：对本地计算机帐户和帐户组的创建、删除和改名等操作进行监控和审计；4.弱口令检测：利用口令字典对本地帐户进行弱口令检测，发现存在弱口令的帐户时及时报警和提醒用户；5.禁用帐户：可强制禁用guest帐户或者黑名单帐户。网络行为审计网络行为审计提供基于规则的访问控制手段，对终端计算机的网络访问的监控与审计。审计内容包括HTTP访问、SMTP/POP3邮件收发、WEB邮件收发等。1.HTTP访问：系统提供基于访问网址和关键字过滤相结合的HTTP访问控制，当发现与过滤规则匹配的HTTP访问时，可采取禁止访问、允许访问或者重定向等措施对HTTP访问进行控制；2.SMTP/POP3邮件收发：系统提供基于收件人域、发件人域和关键字过滤相结合的邮件收发控制，并可区分发送邮件和接收邮件；3.WEB邮件收发：系统提供基于特征匹配的WEB邮件收到控制，可以禁止用户采用常见的WEB邮件服务来收发邮件；4.上网行为审计：对登录的网站做审计日志记录，可导出报表备查。违规外联监控Xxx内网安全管理系统通过控制外接设备使用和终端计算机的拨号行为实时监测和阻断终端计算机的MODEM拨号、ADSL拨号、网关上网、代理上网等行为，可以对windows系统自身的拨号行为进行控制，也可以对C/S模式拨号行为进行控制。系统自身具备互联网访问能力检测，控制多网卡的行为，充分保证单位内网终端计算机的安全性。实现对终端计算机连接互联网或者其它网络行为的严格控制。从而切断内部人员通过主动的邮件发送、即时通讯等手段将机密信息发送到互联网或其他网络，保证内网终端计算机信息的安全性。软件安装监控软件安装监控提供对终端计算机上的软件安装行为的监控。可根据软件安装进程特征和注册表访问特征对软件的安装行为进行控制，当发现违规软件安装行为时，可采取报警、阻断或禁止安装等响应方式。黑名单：所有在黑名单中的可执行文件进行文件检查或注册表检查，如符合检查规则，则执行相应的响应方式；红名单：所有在红名单中的可执行文件进行文件检查或注册表检查，如不符合检查规则，则执行相应的响应方式。功能特点：1.安装程序控制：对开始运行的进程进行规则匹配，根据匹配结果决定该进程被允许或禁止运行。2.安装软件注册表访问控制：对某个注册表路径禁止添加、修改、删除等操作。3.软件安装黑名单监控:对软件名进行文件检查或注册表检查，符合检查结果则执行相应的响应方式。4.软件安装红名单监控:对软件名进行文件检查或注册表检查，检查内容不存在则执行相应的响应方式。内网安全管理系统部署及建议Xxx内网安全管理系统能提供多种产品部署方式，可以进行统一的集中管理，也可以进行分级的管理模式。客户端的部署支持共享方式安装、网页点击下载安装、域分发安装、邮件群发安装、客户端本地安装等模式。Xxx内网安全管理系统支持分级管理，上级可对下级进行实时的监控，管理下级的安全策略；同时下级的安全事件可以按照设定的上报策略进行逐级上报。通过分级管理，Xxx内网安全管理系统可实现跨地域分散部署和集中管理。“分散不分立”，形成有效的和有机的内网安全管理架构。在Xxx内网安全管理系统中，由统一的管理中心对主机代理进行管理。但是，Xxx系统提供了基于安全角色的授权管理机制，用户可以根据功能模块分类以及行政机构的划分自定义安全角色，一种安全角色只能执行其所辖部门范围内的相应安全代理的安全策略和审计事件的管理。“集中不集权”，保证了管理的安全性。系统部署根据XXXX单位实际情况，建议使用一服务器的集中部署，总控中心部署在服务器机房中，直接连入主交换机，其他下级单位的终端部署安全代理，采用的网络结构示意图：（这里加入用户模拟环境）其他建议如果用户需求分析采用了本产品部分功能，这里还可以加入其他稳定性功能。内网安全管理系统设计概述产品设计思路北京圣博润高新技术股份有限公司在自己提出的C3R内网安全四要素的思路上，有针对性的设计和开发了Xxx内网安全管理系统。该系统基本上覆盖了目前用户对内网安全的需求，是用户内网安全需求的提炼。C3R内网安全四要素如下：内网机密信息防护（四要素之机密性）：保证内网机密信息的安全性，防止机密信息从内网中任何渠道泄漏到内网范围之外。内网可信管理（四要素之可信性）：保证内网中的用户和设备的可信性，尤其是接入的可信性和控制确保只有受信任的用户才能使用内网资源，只有受信任的设备才允许在内网中使用。用户行为监控和审计（四要素之可控性）：保证内网用户行为的可控性，防止内网用户滥用内网资源导致的资源紧张和工作效率下降。内网加固和运行监控（四要素之可靠性）：对内网的安全漏洞进行及时修补和系统加固，保证内网系统运行的可靠性，防止内网网络、服务器和个人终端因为各种原因（如病毒爆发、恶意攻击、BT下载等）导致的服务中断。产品的设计原则Xxx内网安全管理系统在设计时遵循了如下原则：安全性：系统支持分级分权管理架构，采用最小授权原则，保证系统自身的安全性。系统能够基于用户关键行为提供详尽的审计日志报告，为客户端管理提供依据；紧凑性：通过1~2台安全设备以及配套的客户端软件即可解决涉密网计算机终端安全管理问题；部署简易及快速：系统部署方便，不改动企业原有网络架构；管理员无需太多的专业知识，即可快速完成部署；简单易用：对每一个终端用户而言，非常的简单实用，不会带来麻烦，客户端可通过安装程序定制实现网络配置信息设定，最大化减少客户端的工作量；维护方便：在系统故障的时候，管理员能够快速定位故障，维护方便；灵活性和扩展性：采用构件化设计，各个功能组件既是有机的相互协调工作的一体，又是可拆分的；可根据用户需求进行增删，可以分步进行，逐步扩展功能。产品架构图SEQ图\*ARABIC1Xxx®内网安全管理系统架构Xxx®内网安全管理系统在架构设计上采用了三层管理结构：客户端程序、总控中心、管理控制台，客户端程序客户端程序以服务的形式运行于终端计算机上，是终端计算机管理的核心和基础部件，用于对被管理终端计算机的安全加固、运行维护和监测审计等管理职能。客户端程序可以部署在所有Windows系列操作系统上，包括Windows2000、WindowsXP、Windows2003、WindowsVista、Windows2008、Windows7。客户端程序的设计充分考虑了稳定性、安全性和兼容性要求。客户端程序可防止恶意停止，并全面兼容防病毒软件、防火墙软件、设计开发软件、业务软件、办公软件。总控中心总控中心用于计算机的集中管理，为客户端程序和管理控制台提供一系列的管理服务；由策略管理服务、审计管理服务、Radius认证服务、文件备份服务、补丁与软件分发服务、时间同步服务、网络管理服务、分级管理服务、事件订阅服务、健康状态监测服务等组成。视内网规模和性能要求，这些服务可分别部署在不同的硬件平台上，也可部署在同一个硬件平台上。策略管理服务：负责终端计算机策略的配置和更新。审计管理服务：负责接收客户端程序发送的审计信息与事件报警，并存储到数据库中。接入认证服务：负责对接入内网的终端计算机身份和健康状况进行认证。文件备份服务：提供集中的文件备份。文件备份服务支持用户身份认证。补丁分发服务：提供补丁文件和软件的下载服务，支持两种方式。时间同步服务：为终端计算机提供统一的标准时间服务，便于终端计算机的时间管理。网络管理服务：提供网络拓扑扫描服务，可绘制网络的链路层拓扑。分级管理服务：提供分级部署环境下的分级管理。事件订阅服务：接受报警监控程序的事件订阅，根据订阅条件向报警监控程序发送符合要求的报警事件，可向多个报警监控程序同时提供服务。健康检测服务：用于总控中心自身各服务的运行状态监控。管理控制台管理控制台为系统管理人员提供系统管理入口；采用BS方式进行系统管理，通过管理控制台完成全部系统管理操作。系统数据库系统数据库用于存储策略、信息和事件，全面支持目前主流数据库，包括：SQLServer、Oracle、MySQL、IBMDB2、PostGreSQL、Gbase总控中心与数据库之间采用数据库访问中间件和网络缓存技术实现高速数据访问。通过数据库访问中间件和网络缓存，可以大大降低数据库的访问压力，提高数据的存储和访问能力。客户端程序和总控中心之间采用ICE网络通讯中间件进行相互通讯。通过SSL协议对通信过程进行认证和加密，增强组件间通信的安全性。三层管理结构大大提高了系统设计开发、安装部署和运行维护的灵活性、便利性和扩展性。产品性能总控中心性能Xxx®内网安全管理系总控中心采用了分层设计理念，统架构设计时采用了分布式负载均衡技术和动态性能扩展技术，路由与定位服务、业务服务、数据库服务均支持多个服务镜像，从而有效分散终端计算机连接请求，实现负载均衡。同时，在系统运行过程中，可以根据业务需要随时增加路由与定位服务、业务服务和数据库服务镜像，从而达到动态性能扩展的目的。系统可以在一个总控中心单元管理数万台终端计算机。客户端程序性能客户端程序设计时充分考虑了其可能对桌面计算机造成的性能影响，通过多次优化，形成了现在的客户端程序架构。该架构保证了客户端程序在稳定可靠运行的前提下，仍能保持极少的静态工作模式系统资源占用。经过严格的第三方测试，以及大量用户的实际使用证明，客户端程序在静态工作模式下，对系统资源的占用几乎可以达到零消耗。静态工作模式下，CPU的占用率低于1%，内存占用低于10M，网络带宽占用低于0.2K/s/客户端。产品性能指标Xxx®内网安全管理系统主要性能指标如下：总控中心最大并发连接数：3000单总控中心最大可管理注册主机数量：20000台总控中心网络带宽占用：100K/1000客户端客户端程序CPU占用（静态模式）：<1%客户端程序内存占用（静态模式）：8M自身安全性Xxx系统设计之初便对其自身安全性做了充分的考虑和技术处理，使得Xxx系统的安全性得到了有效的保障。自身安全性主要考虑了如下几个方面的安全问题：总控中心安全性：系统通过采用最小服务原则、系统管理控制、代理访问认证等几个措施确保总控中心的安全运行。客户端程序安全性：系统通过采用监控进程隐藏技术、本地文件访问保护、多入口恢复技术及监控引擎完整性校验技术等确保客户端程序的安全运行。数据库安全性：系统通过采用数据库访问控制、数据加密与数据备份等措施确保数据库的安全运行。策略安全性：系统通过策略订单生成控制、加密策略传递与存储、策略完整性校验等措施确保策略的安全性通讯安全性：系统通过采用加密传输、身份认证、本地安全存储等措施确保客户端程序与总控中心之间的通讯的安全运行。产品部署部署模式Xxx®内网安全管理系统提供本地和分级两种产品部署方式。用户可以根据实际网络环境选择合适的部署方式进行产品的部署实施。本地部署本地部署是本系统最常见的部署方式。适用于计算机终端数量不多（例如，小于10000台）并希望对所有终端计算机进行集中管理的用户环境。在该部署方式下，所有的计算机终端注册到同一个总控中心。本地部署的优点是可以在一个系统管理中心监控到内网中所有计算机的活动状况。其部署示意图如下：图4本地部署示意图分级部署分级部署是指在按照地域或者部门的不同，在内网中安装多个总控中心，不同地域或者部门的计算机分别注册到不同的总控中心。总控中心之间通过分级注册，形成上下级关联关系。上下级关联关系确认后，可以对整个系统实行分级管理。上级可以对下级分发客户端程序安全策略，上级也可要求下级将安全事件上报到上级总控中心。从而实现上级对下级的管理。分级部署方式的优点是，可以将实际的日常运维管理权限分散到不同的部门或者区域，但上级仍然可以保证对下级的管理能力。另外，通过分级部署，可以无限的增大计算机管理数量。例如，可以通过分级部署管理多达几十万台的计算机。分级部署示意图如下：成功案例（部分）政府机构第29届奥林匹克运动会组织委员会国家发改委宏观经济研究院国务院港澳事务办公室HYPERLINK国务院台湾事务办公室国家广播电影电视总局中国电影博物馆中央电视台北京市药品监督管理局（18区县）中国对外出版社发行事业局北京市人大常委会办公厅北京市人民政府台湾事务办公室北京市大兴区统计局北京市城市管理综合行政执法局北京市档案馆北京市民防局北京市监狱管理局清河分局清园监狱北京市园林绿化局信息中心北京市西城区金融街街道办事处北京市人大常委会办公厅北京经济技术开发区管委会办公室北京人民广播电台北京市环境保护局北京市第一中级人民法院北京市高级人民法院中共北京市纪律检查委员会延庆县规划信息中心朝阳区检察院广东省物价局广东省国土资源厅广东省价格监测中心山东省监狱管理局济南市中级人民法院广西信访局广西省发展改革委员会广西壮族自治区南宁市财