主机审计与监控系统白皮书

Bring主机审计与监控系统

V1.5技术白皮书北京博睿勤技术进展BeijingBringTechnologyDevelopmentCo.,Ltd\l“_TOC_250037“-系统简介 1\l“_TOC_250036“系统概述 1\l“_TOC_250035“系统构造 1.主要功能 3\l“_TOC_250034“概述 3\l“_TOC_250033“掌握功能 3\l“_TOC_250032“硬件资源掌握 3软件资源掌握 4\l“_TOC_250031“移动存储设备掌握 4IP与MAC地址绑定 4监控功能 4\l“_TOC_250030“进程监控 5\l“_TOC_250029“效劳监控 5\l“_TOC_250028“硬件操作监控 5\l“_TOC_250027“文件系统监控 5\l“_TOC_250026“打印机监控 5非法外联监控 6计算机用户账号监控 6审计功能 6\l“_TOC_250025“文件操作审计 6\l“_TOC_250024“外挂设备操作审计 6\l“_TOC_250023“非法外联审计 6IP地址更改审计 7效劳、进程审计 7系统治理功能 7\l“_TOC_250022“代理状态监控 7\l“_TOC_250021“安全策略治理 7\l“_TOC_250020“主机监控代理升级治理 7计算机注册治理 8\l“_TOC_250019“实时报警 8\l“_TOC_250018“历史信息查询 8\l“_TOC_250017“统计与报表 8其它关心功能 8\l“_TOC_250016“资产治理 8\l“_TOC_250015“补丁分发 8操作系统日志收集 9\l“_TOC_250014“三主要特色 10\l“_TOC_250013“系统部署方式敏捷、安装便利 10\l“_TOC_250012“掌握、监控与审计结合，全方位防止泄密 10\l“_TOC_250011“高性能、高牢靠性 10\l“_TOC_250010“主机代理安装卸载便利 10\l“_TOC_250009“监控模块可动态加载与卸载 11\l“_TOC_250008“自动升级 11\l“_TOC_250007“敏捷的分级治理架构 11\l“_TOC_250006“完善的自保护机制 11\l“_TOC_250005“丰富的报表、报表类型敏捷多样 11\l“_TOC_250004“高兼容性 11\l“_TOC_250003“系统通信安全性 12\l“_TOC_250002“多方位的主机资源信息治理功能 12\l“_TOC_250001“四系统主要性能参数 13\l“_TOC_250000“五系统配置要求 14系统简介系统概述博睿勤公司《主机审计与监控系统V1.5》是北京博睿勤技术进展依据安全计算机通常消灭的安全状况，独立研发的一款特地针对安全计算机系统进展掌握、监控和审计的安全产品。该系统对主机的安全防护依据保密防护分成事前、事中和事后三个步骤基本原理，承受了三大手段：掌握、监控、审计，统筹考虑三个环节中可能消灭的各信息泄密途径，对计算机的软硬件资源、文件系统进展集中的监控与治理。同时，为了加强涉密计算机的治理，系统内置了注册治理功能，对计算机的 IP地址、部门等信息进展集中治理，实现对计算机的实时跟踪和掌握。系统构造B/S1-2-1从图中可以看出，系统由三局部组成：掌握台，主机监控代理、后台数据库。其B/SC/S掌握台负责设置监控代理的安全策略、查看监控代理的活动状态、承受监控代理上传的报警大事并记入后台数据库以及对历史审计数据的查询以及报表等。掌握台主要承受了JAVAWebService主机监控代理负责依据掌握台制定的安全策略完成对主机软硬件资源、文件系统等的使用掌握、监控和审计功能。将报警信息上传到掌握台。监控代理依据模块化的设计思想，每个功能都是一个独立的模块，且各功能模块可按控制台的策略动态加载或移除。这使得监控代理的功能升级格外便利。后台数据库是供给数据信息存储和数据信息交换的平台。本系统可依据管理的主机数量分别选择Oracle、SQLServerMySQL据。移动用户移动用户.SI.I二皴单氏二级交换机圭机审计与监轻耒统菅理终瑞笔记本旳胴hrtcnict核心换机跑由器外网裟端F■匚笔记本电脳线端代主机治理引擎DrDMF1系统营理毛免1-2-1二主要功能概述本系统通过主机监控代理实现计算机的掌握、监控与审计。不管计算机是否联网、登陆用户是否有超级权限，都能够有效掌握计算机相关资源的使用。本系统主要包括掌握功能、监控功能、审计功能和系统治理功能四大类。掌握功能包括计算机硬件资源掌握、软件资源掌握、移动存储设备使用控制、IPMAC监控功能包括效劳监控、进程监控、硬件操作监控、文件系统监控、打印机监控、非法外联监控、计算机用户账号监控等。审计功能包括文件操作审计、外挂设备操作审计、非法外联审计、 更改审计、效劳与进程审计等。系统治理功能包括系统用户治理、主机监控代理状态监控、安全策略治理、主机监控代理升级治理、计算机注册治理、实时报警、历史信息查询、统计与报表等。另外，系统还包括其它一些关心功能，例如资产治理、补丁分发、操作系统日志收集。掌握功能涉密计算机审计与监控系统的掌握功能是指对安装主机监控代理的计算机上的各种硬件资源、软件资源的使用等用户行为进展掌握，使得非法用户或未授权用户的行为得到有效掌握，从而到达保护主机系统机密信息不被非法盗取或意外泄漏的目的。硬件资源掌握本系统能够治理掌握〔使用或禁用〕的硬件设备包括全部的计算机外挂设备。这些外挂设备包括：USBRAM设备等。一旦掌握中心设定的策略不允许使用某个设备，即使本机超级用户也无法使用该设备。这种掌握功能和系统内核进展了结合，到达了强制掌握的目的，即被禁用的设备无法使用，即便超级治理员也无法启用该设备。另外，系统还可掌握添加的外挂硬件设备。只要掌握台的策略不允许使用任何添加的设备，计算机上的加设备便不行使用。222软件资源掌握软件资源的掌握主要是指对用户可使用的应用软件进展掌握即对已安装的应用软件的使用进展掌握。对于已经安装的应用软件，系统可以承受黑名单的形式，制止用户运行黑名单上的应用程序。移动存储设备掌握系统可对移动存储设备的使用进展掌握，包括 U盘、移动硬盘、软盘。制止移动设备的使用，当禁用移动设备后，用户无法向移动设备上拷贝任何文件，也无法访问移动设备上的文件。IPMAC地址绑定IPIPMAC现。假设计算机承受了固定IPIPMACIPIP2.3监控功能系统的监控功能主要是对计算机的运行状态和用户行为进展实时监视，并对消灭的违规行为或非法行为实行必要的掌握措施。通过系统监控功能，治理人员能够准时觉察被监控计算机可能的泄密行为，也能够觉察一些正在危害系统安全的特别行为，并可自动实行掌握措施阻挡泄密行为的发生。进程监控进程监控是指对被监控计算机上正在运行的进程进展实时监视，并依据进程黑名单对进程进展掌握。假设某个正在运行的进程被参加黑名单，主机监控代理将马上杀死该进程。其它位于黑名单中的未运行进程则永久不行运行，除非掌握台将该进程从黑名单中移除。效劳监控效劳监控是指对被监控计算机上正在运行的效劳进展实时监视，并依据服务黑名单对效劳进展掌握。假设某个已经启动的效劳被参加黑名单，主机监控代理将马上停用该效劳。其它位于黑名单中的未启动效劳则永久无法启动，除非掌握台将该效劳从黑名单中移除。硬件操作监控本功能主要监视用户对外挂硬件设备的启用和禁用等操作，并对用户操作进展实时报警。例如，假设安全策略不允许用户启用某个外围设备，当用户试图启用这个设备时系统便会报警。文件系统监控该功能可针对被监控的计算机制定文件监控策略，对用户的文件操作进展监控，例如创立文件，更改文件名，删除文件等。系统能够识别创立或拷贝的文件是位于移动硬盘还是固定介质。监控策略包括文件类型、文件名等。可使用通配符“*”，“？”。这样就可针对文件名中包含的涉密关键字，监控可能的用户泄密操作。通过将用户操作大事写入数据库，还可为事后泄密责任的追查提供依据。打印机监控打印机监控是指对被监控计算机的文件打印操作进展监控，只要觉察打印任务，马上向掌握台发送报警信息。报警信息包括文档名、全部者、当前打印状态等。可监控的打印机包括本地打印机、共享打印机和网络打印机。2・3・6非法外联监控非法外联是指未授权用户通过各种途径访问国际互联网的行为。该功能可依据设定的策略允许或者制止用户访问互联网。可以制止的互联网访问方式包括局域网上网、ADSL、MODEM拨号、无线上网、以及通过红外线和蓝牙设备上网等。系统一旦觉察用户计算机连通了互联网，可马上制止网络连接。该功能突破了传统的拨号上网连接掌握，完全杜绝了非法上网行为。2.3.7计算机用户账号监控该功能主要对计算机用户账号的更改状况进展监控，包括增加、删除、改名、修改属性等。一旦觉察计算机用户账号有改动，马上向掌握台发送报警信息。2.4 审计功能审计功能主要是针对系统监控所涉及的内容进展记录，并上传到掌握台保存。假设被监控计算机处于离线状态，主机监控代理仍旧可记录对于用户在离线状态下的行为，主机监控代理仍旧进展记录，加密后保存在客户端。当该机器连接到内部网上后，这些记录可连续传输到掌握台效劳器，并由掌握台写入后台数据库中。文件操作审计文件操作审计主要对用户进展的各种文件操作进展审计，如创立、读取、删除、修改等。通过该功能可实现对特定文件的跟踪审计。外挂设备操作审计该功能主要对用户企图启用或禁用计算机外挂设备的操作进展审计。通过功能可对用户使用外挂设备的企图进展记录，为日后的责任追查供给依据。非法外联审计在系统设置了制止非法外联安全策略状况下〔即制止用户计算机连接互联网〕，该功能可对用户连接互联网的操作进展审计、审计内容包括非法外联类型〔拨号、ADSL、局域网等〕、大事发生时间、拨号号码、接入网关和DNS2・4・4IP地址更改审计在掌握台设置地址绑定策略〔MAC地址与IP地址绑定〕后，假设用户擅自修改IP地址，系统会生成警报信息告知掌握台，并将用户试图进展修改 地址的操作记录下来，记录信息包括原IP地址、MAC地址、更改后的IP地址以及更改时间等。2.4.5效劳、进程审计效劳和进程审计主要是针对运行代理端的机器上的效劳和进程的变化进展记录。当位于效劳或进程黑名单中的效劳或进程启动时，系统将记录该效劳和进程。记录内容包括效劳名、进程名、启动时间等。2.5 系统治理功能代理状态监控该功能能够对安装的主机监控代理的运行状态进展监控，可实时监控主机代理的当前状态，包括活动、未活动、特别、未安装、安装后被卸载等状况。通过代理状态监控，治理员可识别特别代理，也可对用户非法卸载或破坏代理的状况进展监控。一旦觉察特别，可通过掌握台向治理员报警。安全策略治理安全策略治理是指对各主机监控代理的安全策略进展统一治理，包括设置、查看、修改等。策略分为主机策略和组策略，主机策略可自动继承组策略。通过组策可实现安全策略的群发，从而为用户供给高效率的策略配置方案。系统可对策略进展集中查看，这大大便利了系统治理员对主机策略的监控和管理。主机监控代理升级治理该功能可实现主机监控代理的自动升级。升级对用户本身是透亮的，用户端感觉不到任何特别，且升级无须重启动计算机。系统由掌握台对代理升级模块进展统一治理。2・5・4计算机注册治理计算机注册治理是指对内网的计算机进展统一的注册，注册信息包括主机IP地址、MAC算机的统一治理。实时报警系统承受来自各主机监控代理的报警信息，一旦有报警信息到达中心掌握台，系统会马上报警，通过可视化报警显示，为治理员实行进一步的防范措施供给参考。历史信息查询历史信息查询是指对系统存储的历史审计数据进展查询，查询可通过各种条件的组合进展，便利治理员对特定审计信息的检索。统计与报表系统还供给历史审计信息的统计和报表功能。治理员可依据各种模板实现历史日记的自动统计和报表〔日报、周报、月报等〕，治理员还可自行定义统计和报表条件，对特定信息进展统计并生成报表。报表支持pdf

html、doc、excel、2.6 其它关心功能资产治理该关心功能可为系统使用单位供给简洁的资产治理。系统可自动收集计算机各种软硬件资源信息、包括安装的各种应用程序、CPU、内存、硬盘等，并可对硬件的改动进展跟踪和报警。该功能可为企业的资产清查、统计和治理提供肯定的帮助。补丁分发系统供给补丁分发功能。治理员可将需要分发的各种操作系统补丁、应用系统补丁以及其它一些关心工具等统一部署到掌握台，以计算机或组的方式向各计算机下发。计算时机自动提示用户有补丁程序需要安装，经计算机使用者确认后即可安装补丁程序。263操作系统日志收集通过该功能、主机监控代理可自动收集操作系统日志，并将日志上传到控制台存储。为系统治理员诊断和检查各计算机的故障以及安全状况供给帮助。三主要特色系统部署方式敏捷、安装便利，大大简化了系统的安装。掌握台可以主动从监控代理提取数据，也可以由监控代理主动向掌握台发送数据，这使得主机代理和掌握台的部署可以满足简单网络拓扑。主机监控代理的安装支持两种方式：本地安装和域安装。掌握、监控与审计结合，全方位防止泄密该系统将主机掌握、监控和审计功能完善地集成到一起，共同完成全方位的主机防护。审计可对主机的活动进展记录作为事后查询依据；监控可以实时觉察主机的特别活动和入侵大事，为事中防护；掌握可以制止某些设备〔如网络设备和存储设备〕被使用，为事前防护。三者完善结合，完成主机事前、事中和事后三个环节的全方位防护任务。高性能、高牢靠性中心掌握台可以同时监控治理10001000的状况下，能够准时处理各主机监控代理传送的报警信息、策略恳求、状态更等。并能保证掌握台稳定牢靠地运行。主机代理对系统资源的占用格外低，CPU用率＜3%对用户的计算机使用影响甚微。主机代理安装卸载便利治理人员可以通过本地安装和域安装等方式为有关客户端 PC安装代理引监控模块可动态加载与卸载主机监控代理实行模块化开发技术，各个功能模块可依据掌握台最的安全策略实现动态加载与卸载，且在此过程中，主机代理仍旧正常工作，用户完全感觉不到主机代理模块的更改。自动升级本系统的主机代理可依据掌握台的指令自动进展升级，升级过程不影响正常的监控活动。敏捷的分级治理架构本系统承受分级治理的体系构造设计，增加了系统部署和治理的敏捷性，极大地便利了大型跨地域企业的主机监控与治理。完善的自保护机制主机代理承受多种系统内核技术，保证了自身不行卸载、不行停顿。即便在安全模式下，自保护机制仍能保证自身不被恶意破坏。丰富的报表、报表类型敏捷多样系统具有丰富的日志信息，并可对日志进展便利的查询和生成报表。报表方式敏捷，类型多样，支持word、excel、pdf、html和网络治理人员的报表要求。高兼容性系统在多种应用环境下的兼容性测试说明，本系统的兼容性格外好，目前兼容的OFFICE系列、VISIO、UG、PROeMATLAB、CAD、各种防病毒软件等，成为目前国内最成熟的同类产品之一。系统通信安全性本系统为了确保各主机监控代理和掌握台之间通讯的安全性，