企业上网行为控制审计系统需求说明书

江西优码创达软件技术有限企业文档编号密级机密

文档类型部门网安研发

文档状态■草稿□审核□同意□作废

共0页|

版本号1.0

企业上网行为控制审计系统需求阐明书

编写：日期：2012/9/3

日期：

日期：

江西优码创达软件技术有限企业

优码创达

YOUXtACHUANGDA

2012-9-3

目录

1.引言.....................................................错误!未定义书签。

1.1.编写目的...........................................错误!未定义书签。

1.1.背景................................................错误!未定义书签。

1.2.参照资料...........................................错误!未定义书签。

2.需求分析..................................................错误!未定义书签。

2.1项目目口勺............................................错误!未定义书签。

2.2架构设计规定........................................错误!未定义书签。

设计原则............................................错误!未定义书签。

系统架构特点........................................错误!未定义书签。

系统架构简图........................................错误!未定义书签。

2.3需求阐明............................................错误!未定义书签。

2.3.1应用程序管控.................................错误!未定义书签。

2.3.2网页浏览管控.................................错误!未定义书签。

2.3.3文档操作管控.................................错误!未定义书签。

2.3.4打印内容管控.................................错误!未定义书签。

2.3.5设备管控.....................................错误!未定义书签。

2.3.6网络控制.....................................错误!未定义书签。

2.3.7网络流量管控.................................错误!未定义书签。

2.3.8.屏幕监控....................................错误!未定义书签。

2.3.9.邮件管控.....................................错误!未定义书签。

2.3.10.即时通讯控制................................错误!未定义书签。

2.3.11资产管理.....................................错误!未定义书签。

2.3.12远程维护.....................................错误!未定义书签。

2.3.13移均存储控制.................................错误!未定义书签。

3.总体设计..................................................错误!未定义书签。

3.1网络拓扑构造.........................................错误!未定义书签。

3.2硬件系统设计.........................................错误!未定义书签。

服务器及网络设备....................................错误!未定义书签。

3.3安全设计.............................................错误!未定义书签。

身份认证............................................错误!未定义书签。

信息安全............................................错误!未定义书签。

网络系统安全........................................错误!未定义书签。

应用安全............................................错误!未定义书签。

3.4关键技术实现.........................................错误!未定义书签。

附录一企业简介............................................错误!未定义书签。

附录二硬件设备清单........................................错误!未定义书签。

1.引言

LL编写目的

今天，伴随信息科技日勺高速发展，IT给企业日勺运行带来了前

/项目组组员

L1.背景

♦：♦系统的名称

暂定《企业上网行为控制审计系统一网狼1.0》

❖提出者

企业行政管理层，决策层

开发者

网安行业研发人员

❖顾客

企业网络管理人员

1.2.参照资料

❖盈高多维终端安全管理平台技术白皮书.pdf

❖威盾3.2顾客使用手册.doc

❖联软上网行为管理系统.doc

交通管理业务信息综合分析研判平台.doc

2.需求分析

2.1项目目的

该系统的实现将让企业对所有计算机日勺使用状况了如指掌，它

将是企业对信息日勺安全防护和技术日勺广泛应用而应运而生的，其功能

强大日勺计算机监视、控制与管理系统软件，是为现代企事业的管理人

员量身定做日勺企业管理软件。不仅可以对员工电脑的屏幕、上网、聊

天、邮件和文献操作进行全面日勺监控、记录和管理，并且还可以防止

员工盗窃企业机密资料，并对员工的工作进行一种客观日勺评价。它可

以大幅度提高企业生产效率，减少不必要的资源挥霍，协助企事业管

理人员培养企事业优良风气。

2.2架构设计规定

2.2.1设计原则

1、规范性：系统设计按公安部颁发信息系统数据库原则以及有

关管理措施。

2、整体性：系统整体设计统一规范，功能模块清晰合理。

3、先进性：系统设计规划采用符合应用系统发展趋势日勺主流技

术，采用B/S三层架构与C/S结合，充足运用两者日勺优势。

4、实用性：系统设计充足考虑目前企业上网管理的工作实际，

具有较强日勺实用性初可操作性。

5、稳定性：为保证系统最大程度地发挥作用，系统设计采用目

前业界主流信息化技术及产品平台，整体系统具有较高稳定性。

6、安全性：为保证系统安全，应当具有完善日勺安全处理方案。

7、可扩展性：系统具有较高R勺灵活性和强健性，支持多种主流

开发软件，支持组件化、插件模式开发，具有扩展性强、易于集成日勺

二次开发能力，以满足各方面应用扩展的需要，维护简朴、升级以便。

8、易用性：提供统一美观日勺界面、狂尽以便日勺协助、智能化日勺

提醒、简便日勺操作等。

2.2.2系统架构特点

省略…

2.2.3系统架构简图

终端层

区域管理层a

中心管理层

数据发LCDBim

本系统有关比较独立，重要分前端数据获取及被控层，区域管

理层和中心管理层，数据层。

2.3需求阐明

应用程序管控

.1需求描述

＞应用程序日志

系统自动记录客户端机器打开或关闭日勺应用程序，或者应用

程序窗口切换信息。管理员可以通过控制台查看有关日志；

应用程序日志类型包括：启动/停止

日志类型阐明

启动/停止记录客户端机器上启动/停止应用程序口勺状况;

系统应用程序日志记录包括日勺属性有：操作类型、时间、计

算机、顾客、应用程序、途径/标题等信息

属性名称阐明

操作类型~应用程序启动/停止和窗口标题切换:

应用程序应用程序口勺进程名称；

文献途径鲁曾彳*型是启动/停止时，记录应用程序在客户端机

细途径；

窗口标题第蔚特型是切换窗口/切换标题时，记录目前的应用

口标题。

＞应用程序控制

系统可以按全天或指定日勺时间段对指定日勺程序严禁，对违规

网络行为在事前进行控制。应用程序日勺控制支持如下2种方式：

通过进程名称来严禁：管理员直接添加应用程序口勺名称，

如.exe;

通过应用程序分类来严禁：管理员可以按照某种规则产生对

应日勺程序分类，如聊天软件：（，MSN,阿里旺旺，飞信等）

统一划分为一类，系统可以把通过设置应用程序分类来严禁在这

分类中日勺所有程序运行。

.2记录查询

系统可以针对计算机每天日勺工作状况和应用程序使用日勺状况

进行人性化记录和分析.为管理者评估员工工作效率提供了可靠

日勺根据，井旦提供了记录数据日勺导出功能.系统应支持如下几种

记录方式：

＞应用程序类别记录

系统按照管理员设置日勺应用程序分类进行记录。可以记录

出各计算机日勺开机时间，以及多种分类应用程序日勺使用时

间，以及占总开机时间日勺比例。

＞应用程序名称记录

系统可以记录出各计算机日勺开机时间。各应用程序8勺使用时

间，以及其使用时间占总开机时间日勺比例。

＞分项记录

系统可以把设置某些应用程序为工作应用程序（如：Office

系统，开发环境VC,VB,DEPHI之类）。假如顾客在使用这

些应用程序，则视为工作。系统可以记录出第个计算机日勺开

机时间，以及工作时间。

系统支持多种记录数据以图形方式显示如:

柱状图

C«nxoloMFCApplication

|MicrosoftQODeveloperStudio

HILtgonScreenSaver

IIWindowsExplorer

■QQ

IiWindowsExplorer

IITencentTraveler

I]Microsoft(R)DeveloperStudio

I]CtnsoleMFCApplication

饼

图

状

|Console■Application

|Microsoft®)DeveloperStudio

■LogonScreenSaver

□findoisExplorer

■QQ

■VinioYSExplorer

□TencentTraveler

□Microsoft®)DeveloperStudio

口ConsoleNFCApplication

□ItfthonYebBrowser

2.3.2网页浏览管控

2.3.2.1需求描述

＞上网浏览日志

系统支持详细记录员工访问网站状况，可以按网站名称、标

题名称、时间、范围查询日志.

属性名称阐明

标题浏览晌网站标题；

网址浏览的网站日勺详细网址；

时间浏览时间

计算机名称计算机名称或IP地址

顾客登录顾客名称

＞上网浏览控制

/系统支持限制客户端计算机的网站访问，限制对于工作无

关8勺网站、恶意网站等日勺访问.

/系统支持对网站URL分类管理，支持添加/删除/修改网站

URL分类，添加/修改网站URL分类时，支持批量导入网站

URL列表o

/系统可以按全天或指定日勺时间段对指定URL或URL分类设

置方略，用于控制顾客对网站URL日勺访问。

/方略动作可分为容许，严禁，告警；1,容许为顾客可以正

常访问URL;2,严禁为顾客访问URL会被中断；3,告警

指顾客可以正常访问URL,但在系统后台会产生对应日勺告

警。

.2记录查询

系统支持网页浏览信息做以记录分析，分为按明细记录和按

类别记录，并以直观形象日勺图标方式展现出来，查看记录图表即

可理解哪类甚至哪些网站被访问的时间比较长，从而判断与否有

影响正常工作日勺状况发生；

＞按网站类别记录

系统按照管理员设置的应用网站URL分类进行记录。可以记

录出各计算机日勺各分类URL访问时间；

＞按网站明细记录

系统按照网络URL列表明细进行记录。记录各计算机访问

URL列表明细时间。

2.3.3文档操作管控

.1需求描述

＞文档操作日志

文档操作日志记录客户端机器顾客对文档日勺操作信息，可以

让管理员通过查看日志记录可以发现顾客日勺文档操作行为，

同步为事后追查资料泄密事件提供可靠线索，增强电子文档

管理H勺安全性；

日志记录的内容包括：

属性名称

操作类型包括：创立、访问、修改、重命名、复制、移动、删除、

恢复以及上传/发送

源文献顾客操作日勺文档名称；

途径顾容掾作日勺文档胞详细途径，当操祚房型为复制、移动、

重静名曲，途径会记录文档口勺源途菸第目的蓬径；

顾

盘符类型光容操作的文档所在的拿符类型，包括：硬盘、软盘、

基、可将动套、网络甚。人入

当操作类型为葺制、移动时，会显示源和目的盘符类型;

应用程序操作该文档使用的应用程序进程名称;

标题操作该文档时日勺窗口标题。

＞文档操作控制

/系统可以在指定日勺时间，严禁对指定文档日勺操作。操作

类型包括：创立、复制、移动、删除、重命名、修改、

恢复及访问；

/系统可以按全天或指定的时间段对指定文档设置方略，

用于控制顾客对该文档日勺操作。

/方略动作为严禁，告警，备份。1,严禁指顾客严禁操作

此文档。2,告警指顾客操作此文档是后台会产生告警。

3,备份指顾客操作些文档之前。文档会被自动在后台

产生备份。

打印内容管控

.1需求描述

＞文献打印日志

系统可以记录和查询员工打印文档状况，包括打印时间，目

日勺文档途径，打印页数，打印机名称，执行打印任务日勺PC机

器各登录顾客名。

＞文献打印控制

对客户端计算机日勺打印权限进行控制，从而实现对打印资源

合理分派，限制非法应用程序打印，有效防止敏感或机密信息

通过打印而外泄。控制条件包括：时间，打印机名称，执行

打印任务日勺顾客名。

设备管控

2.3.5.1需求描述

系统可以限制各类设备日勺使用:

设备分类功能简介管理作用

驱动类设备可以按某台、某组或者防止员工使用与工作不有关口勺

整个网络严禁使用哪计算机设备，错误修改网络属

些存储设备。包括：软性，以便统一布署屏保程序或

驱，光驱，刻录机，磁画面。根据风险评估，制定事

带机，可移动设备（U前防止方略，根据方略对对应

盘，移动硬盘，记忆棒，H勺设备进行严禁，防止文献泄

智能卡,MO,Zip）密。可以灵活口勺启动设备，不

影响员工时正常使用。

通讯类设备可以按某台、某组或者防止随意通过无线、蓝牙、红

整个网络严禁使用哪外、拔号等方式上网，从而防

些通讯设备。包括：串止机密文献外泄。

口，并口，USB控制器

和连接器（HUB）,SCSI

接口，1394控制器，

红外线,PCMICA卡，

蓝牙设备，MODEM,直

接电缆连接（串口，并

口,USB）,拨号连接

USB类有关可以按某台、某组或者可以对USB键盘、鼠标、modem、

设备整个网络严禁使用哪MP3、移动硬盘等分别进行控

些USB设备。包括:USB制，启到防止文献外泄、病毒

键盘，USB鼠标，USB扩散等。

Modem,USB映像设备，

USBCDROM,USB存储，

USB硬盘，USB网卡，

USB其他设备。

网络设备可以按某台、某组或者可以控制网络设备，防止违规

整个网络严禁使用无联网。

线网卡，PnP网卡

(USB,PCMICA),虚拟

网卡等网络设备

其他类可以按某台、某组或者可以控制多媒体设备，防止违

整个网络严禁使用声规使用。

音没备，虚拟光驱等设

卷

禁用任何新可以按某台、某组或者不容许增长没有通过管理员承

设备这个网络严禁使用任认的任何设备。

何新设备

网络控制

2.3.6.1需求描述

＞系统支持对通讯方向、IP地址范围、网络端口范围日勺设置限

制客户端计算机使用网络日勺权限.

通讯方向双向，出站和入站三种(是指物理上的通讯方

向)。出站和入站是相对于客户端机器来说

口勺，也就是客户端机器积极连接其他计算机,

即为出站。

端口范围指通讯所使用。勺端口号范围

网络地址范围指通讯IP地址范围

＞系统自动检测网络内与否有非法计算机接入，有非法计算机

接入时控制台会报警以提醒管理人员.

＞系统支持将客户端IP地址与MAC地址进行绑定，防止客户

端随意修改IP地址.

2.3.7网络流量管控

2.3.7.1需求描述

系统支持通过网络地址、端口号、发送和接受方向来限制计算机

日勺网络流量.

系统可以根据网络IP地址，端口号，以及发送，发送/接受/所有

等，以及最大带宽值等条件，设置有关方喀。控制目日勺计算机的网络

流量。当目日勺计算机网络流量到达或超过设置B勺最大带宽值时。系统

能自动减少日日勺计算机日勺网络吞吐量，以到达网络限速日勺日日勺。

2.3.7.2查询记录

系统支持按地址明细（IP,MAC地址），地址类型（内网，外网），

端口明细，协议明细，计算机等条件进行网络流量口勺查询与记录。对

记录成果可支持记录图表显示。

2.3.8.屏幕监控

2.3.8.1需求描述

＞实时屏幕快照

系统支持实时查看客户端屏幕.支持同步查看一组进行屏幕

监控，在同一屏幕显示多种客户端屏幕，并可设备显示客户

端屏幕日勺数量。

＞屏幕快照历史记录

系统支持对客户端屏幕快照历史功能：

可以通过设置时间范围，计算机组进行屏幕录制等条件，设

置方略，自动对客户端进行屏幕监控。监控到日勺计算机屏幕按

照视频格式保留在服务器端。以便管理员可以随时查看查看。

2.3.9.邮件管控

2.3.9.1需求描述

＞邮件内容日志

系统可以记录邮件口勺收/发日志，支持POP3,SMTP,以及web

方式日勺邮件。日志应包括计算机名，计算机IP,收件人她址,

发件人地址，邮件日勺标题，邮件正文内容，与否具有附件

（有附件时能记录附件内容），以及发送/收取邮件的时间等

内容。

＞邮件发送监管

系统支持制定有关日勺方略，从不一样维度去控制员工日勺邮件

发送c方略维度包括：发件人地址，收件人地址，邮件标题，

邮件大小，与否包括附件，附件名称，附件大小等。

方略属性名称阐明

为发

他

支

件

附地

角

愣

酉

入

多

位

也

”

发件人分

支

将

，

隔

：

收

对

件

邮箱

控

制

也

的

哥

地

做

收

人

址

4人

抄

，

括

入

人

她

规

和

送

件

密

的邮

人

收件人址

送

，

人

同

发

”

件

“

；

对发送邮件圾主题名称进行控制假如主

为

主题题名包括了置的敏感词则视违反了

，

方略规则

对发送的邮件与否包括附件做控

附件

包括发划忖名行控制

量送4件略称进

名称

附件邮件附件名包括了设置的

则为

视违了方小规；

发一的反件大则

件大对1控制假如要大

1设

超了挈理员需

小值d视为了

方<则

KB)规

■

以及告

送，

禁发

置严

可设

方略

送，

件发

勺邮

略日

了方

违反

对于

告

置为

，设

失败

发送

件会

时邮

发送

禁时