北信源VRVEDP内网安全管理系统手册

1、特特 别别 声声 明明 本使用手册由北信源内网安全及补丁分发管理系统产品安装 配置指导手册、用户手册、产品维护手册三部分组成，其内容将 随着北信源软件的不断升级而改变(以光盘中电子版发行时为最 新版)，恕不另行通知。需要者请从北信源公司网站下载本手册 的最新电子版或者直接联系北信源公司索取。 北信源内网安全及补丁分发管理系统产品由北信源内网安 全管理系统及补丁分发管理系统两大套件构成。 本使用手册为北信源内网安全及补丁分发管理系统通用说明 书。若您独立购买北信源内网安全管理系统或北信源补丁 分发管理系统之一产品，本说明书的其它功能将不具备。 两大套件主要区别：北信源补丁分发管理系统不具备违规联

2、 网监控、客户端安全管理和桌面管理功能；北信源内网安全管 理系统不具备补丁自动分发功能。请您在使用过程中选择性阅 读相应章节。 感谢您购买北京北信源自动化技术有限公司研制开发的内网安全 管理及补丁自动分发系列软件。请在使用本软件之前认真阅读本 使用手册，当您开始使用该软件时，北信源公司认为您已经阅读 了本使用手册。 快速阅读指南快速阅读指南 1.详细阅读本软件组件功能、组成、作用、应用构架，确切了解 本软件的系统应用。 2.安装准备软件环境：Microsoft SQL Server2000、Windows 2000 Server、Internet 服务管理器；建议将数据库管理系统、区 域管理器

3、、WEB 管理平台安装在同一服务器上,确认区域管理器所在 机器的 88 端口不被占用（即非主域控制器） ；防火墙应允许打开 88，2388，2399，22105，8900，8901，22106，22108，8889 端口。 3.按步骤安装各组件后，通过 http:/*.*.*.*/vrveis 登录 Web 管理平台，首先对 Web 管理平台进行如下配置：添加区域划分该 区域 IP 范围指定区域管理器指定区域扫描器。 4.双击屏幕右下角区域管理器、单击主机保护进行通讯参数配置。 5.在VRVVRVEISdownload 目录中，使用 RegTools.exe 工具修 改 DeviceRegis

4、t.exe 文件中的本地区域管理器 IP，将修改后的注 册程序 DeviceRegist.exe 放在机构网站上进行静态网页注册，或者 在机构网站上加载动态网页检测注册脚本语句，进行动态设备注册。 6.系统升级：联系北信源公司获取最新的软件组件升级包，确保 Web 管理平台、区域管理器、客户端注册程序等组件的升级。 特别提示：默认管理员用户：特别提示：默认管理员用户：adminadmin，密码：；系统指定审计用，密码：；系统指定审计用 户名：户名：audit,audit,密码：请注意修改。密码：请注意修改。 第一章系统介绍.5 1-1 产品组成.5 1-2 应用构架.7 第二章系统安装.8 2

5、-1 安装环境.8 2-2 安装注意事项.9 2-2-1 软件安装监控服务器部署注意事项.9 2-2-2 软件安装和应用过程中注意事项.10 2-3 系统组件安装.11 2-3-1 安装 SQL server 数据库.11 2-3-2 安装 WinPcap 驱动模块.11 2-3-3 安装远程技术支持模块.11 2-3-4 初始化数据库.11 2-3-5 安装 Web 中央管理平台.14 2-3-6 安装区域管理器 Region Manage.15 2-3-7 配置设备扫描器模块 Region scan.16 2-3-8 安装补丁下载服务器模块.17 2-3-9 安装管理器主机保护模块.18

6、2-3-10 安装报警中心模块.18 2-3-11 客户端注册及下载.18 第三章 系统应用.27 3-1 配置与管理.27 3-1-1 区域划分.27 3-1-2 区域管理器配置.30 3-1-3 扫描器配置.35 3-1-4 注册程序配置.38 3-1-5 注册部门配置与管理.41 3-1-6 自定义组分配与管理.44 3-1-7 IP 与 MAC 绑定列表.45 3-2 策略中心.46 3-2-1 阻断违规接入管理.46 3-2-2 策略管理中心.47 3-3 数据查询.85 3-3-1 设备信息查询.87 3-3-1-2 注册设备资产查询.89 3-3-1-3 硬件变化设备查询.89

7、3-3-1-4 设备安装软件查询.90 3-3-1-5 设备首次运行进程查询.91 3-3-1-6 共享目录查询.92 3-3-1-7 设备 IP 占用状况列表.92 3-3-7 移动设备审计查询.93 3-3-7 安全策略违规查询.95 3-3-8 涉密检查查询.96 3-3-9 消息确认查询.97 3-3-11 软件分发查询.97 3-3-12 软件分发统计.98 3-4 终端控制.99 3-4-1 终端管理：.99 3-4-2 行为控制.105 3-4-3 VPro 远程管理.109 3-4-4 远程协助.111 3-5 补丁分发.111 3-6 运维信息.113 3-6-1 客户端流量

8、排名.113 3-6-2 客户端流量统计.113 3-6-3 运维状态异常.114 3-6-4 网络拓扑发现.115 3-7 报警事件.116 3-7-1 报警数据查询.116 3-7-2 图形化报警.120 3-7-3 本地报警数据汇总.123 3-8 级联总控.123 3-9 统计报表.129 3-10 系统维护.131 第四章 补丁分发管理.138 4-1 区域管理器补丁管理设置.138 4-2 补丁自动下载分发.139 4-3 客户端补丁检测（一）.144 4-4 客户端补丁检测（二）.146 4-5本地补丁分发综合查询.146 4-6 补丁级联下载.147 第五章 客户端阻断.149

9、 5-1 扫描器组件配置.149 5-2 阻断策略应用.149 5-2-1 违规自动阻断策略.150 5-2-2 手动设置针对设备的单独阻断策略.150 5-2-3 硬件防火墙联动阻断策略.151 第六章 网络接入认证管理.153 6-1 策略中心-接入认证策略-补丁与杀毒软件认证.153 6-2、策略中心-接入认证策略-进程服务注册表认证.155 6-3、策略中心-接入认证策略-802.1X 接入认证认证 .159 6-4 、环境准备方法 .160 RADIUS 安装与配置 .160 安装 RADIUS .160 6-5、各厂商交换机配置 .173 1.Cisco2950 配置方法.173

10、2.华为 3COM 3628 配置.174 3锐捷 RGS21 配置.178 第七章 系统备份及系统升级.179 7-1 系统数据库数据备份及还原.179 7-2 系统组件升级.180 7-2-1 区域管理器、扫描器模块升级.180 7-2-2 升级网页管理平台.180 7-2-3 客户端注册程序升级.180 7-2-4 检查系统是否升级成功.181 7-3 级联管理模式升级及配置.181 第八章 售后服务.183 第九章 附录.185 附录（一）微软 SQLSERVER系统安装步骤.185 附录（二）北信源内网管理系统名词注释.191 附录（三）移动存储设备认证工具操作说明.192 附录（四

11、）主机保护工具操作说明.202 附录（六）组态报表管理系统操作说明.209 附录（七）信息安全通告平台.218 第一章系统第一章系统介绍介绍 1-11-1 产品组成产品组成 北信源内网安全及补丁分发管理系统由 8 部分组成：WinPcap 程序、SQL Server 管理信息库（安装包：环境初始化程序） 、Web 中央管理配置平台（安装 包：网页管理平台） 、区域管理器(安装包：Region Manage,原区域扫描器已作 为模块集成到区域管理器)、客户端注册程序（安装包：注册程序） 、补丁下载 服务器、管理器主机保护模块、报警中心模块。 环境初始化程序：环境初始化程序：SQL Server

12、管理信息库，建立北信源内网安全及补丁分 发管理系统的初始化数据库。包括：网络客户端设备属性信息、区域管理器信 息、设备扫描器信息、区域管理范围信息、注册（未注册）机器信息、设备属 性变化信息、报警信息等。扫描器将设备最新状态信息同数据库中原有信息进 行遍历搜索对比，根据规则要求在管理平台上报警。 WebWeb 管理平台：管理平台：Web 中央管理配置平台，本系统的管理配置中心。包括区域 管理器、扫描器、注册客户端的功能参数设定，网络设备信息发现、系统应用 策略制订、报警信息显示、定义任务功能制订、系统用户维护等配置操作。 RegionRegion ManageManage：区域管理器，系统数据

13、处理中心。与管理信息数据库通讯， 接收注册程序提供的用户信息，将用户信息（用户填写的物理信息和系统自动 采集的硬件信息）并行存入数据库；接受来自控制台的命令操作，发送到客户 端、扫描器执行。 对于存在多级管理要求的广域网，网络中可以存在多个区域管理器，系统 数据提供逐级上报（转发）模式。 区域管理器内置网络扫描器，扫描器将设备最新状态信息报送至区域管理 器，由区域管理器处理后，同数据库中原有信息进行遍历搜索对比，根据管理 规则在管理平台上报警。 扫描器配合区域管理器进行工作，可以在分级模式下使用。扫描器只依据 Web 管理平台中配置的工作范围进行扫描，超越其范围，将不负责执行操作。 WinPc

14、apWinPcap 程序：程序：嗅探驱动软件，监听共享网络上传送的数据。 客户端注册程序：客户端注册程序：用户访问指定网站自动获得，用户填写本机信息，填写 必要信息后上报区域管理器。注册程序自动探测系统硬件信息，连同用户填写 的信息一同上报区域管理器。用户将本机注册信息发送到区域管理器后，区域 管理器自动将客户端驻留程序应用策略发送给用户，并自动更新。 客户端驻留程序功能：客户端驻留程序功能： 1.1. 进行本机硬件属性信息变化监视；进行本机硬件属性信息变化监视； 2.2. 进行本机进行本机 IPIP、MACMAC 地址变化审计；地址变化审计； 3.3. 本机系统补丁、软件安装、运行进程状况监

15、测；本机系统补丁、软件安装、运行进程状况监测； 4.4. 探测本机是否有违规联网行为，在内网管理中心或外网报警平台报警；探测本机是否有违规联网行为，在内网管理中心或外网报警平台报警； 5.5. 接受接受 WebWeb 管理平台的管理命令；管理平台的管理命令； 6.6. 阻断本机非法外联行为；阻断本机非法外联行为； 7.7. 执行执行 WebWeb 管理平台下发的各种策略操作。管理平台下发的各种策略操作。 补丁下载服务器：补丁下载服务器：安装在与 Internet 网络连接的机器上，用于实时下载 补丁厂商发布的补丁。 管理器主机保护模块：管理器主机保护模块：管理器主机保护模块可根据管理器或其他服

16、务器具 体使用的端口、网络协议、通信 IP 范围和具体的其他网络应用来定义该计算 机使用的安全级较高的网络配置，从而防止该计算机受到恶意的 IP 冲突以及 各种网络、病毒攻击。 报警中心模块：报警中心模块：安装在可与区域管理器所在服务器正常通讯的计算机上， 本模块可以根据管理员在系统中所配置的报警事件和危险级别提供给管理员包 括电子邮件、信使服务、SNMP Trap、手机短信等多种报警方式。 注：区域管理器（Region Manage） 、区域扫描器模块（Region scan） 、注 册程序部分系统的参数配置集中体现在网页管理平台操作上，上述三部分功能 参数、功能项数值统一在网页管理平台中进

17、行配置。区域管理器（Region Manage） 、扫描器模块（Region scan）部分参数在自身软件组件中配置。 1-21-2 应用构架应用构架 北信源内网安全及补丁分发管理系统应用于局域网、广域网构架，支持跨 网段、跨地域的内网远程客户端管理及非法移动设备接入检测、网内计算机违 规联网监视、网络安全隔离度监控等。 系统应用主要分为以下两种构架： 基本构架：对于一般网络（例如 1 个 C 类地址或若干个 C 类地址的局域网 范围） ，可使用一套本系统软件，集中管理所属区域内的所有设备。 扩展构架：对于大规模的多个局域网或者跨地域广域网（包括基于国家、 省、市、县等多级管理模式的网络结构）

18、 ，可使用本系统提供的多区域集中管 理构架，即一个或多个网段各拥有一套独立北信源内网安全及补丁分发管理系 统的同时，将本级所有设备信息再转发给上级管理数据库，使得上一级管理人 员对整个网络的设备状况也能够完全掌握。 图 1-1 北信源内网安全及补丁分发管理系统应用拓扑 第二章系统安装第二章系统安装 2-12-1 安装环境安装环境 条件一：硬件环境条件一：硬件环境 SQLSQL ServerServer 数据库服务器：数据库服务器：用于安装系统管理信息数据库。PC 服务器或更 高档服务器， Pentium 2.4C 以上 CPU，512M 以上内存。 区域管理器：区域管理器：用于安装区域管理器程

19、序。百兆或千兆网卡，PC 服务器或更 高档服务器， Pentium 2.4C 以上 CPU，512M 以上内存。 扫描器模块：扫描器模块：配置同区域管理器。如单独安装扫描器模块，比较高档的 PC 计算机即可。 本系统各程序可安装在同一台计算机上，也可在不同机器上安装 SQL 数据 库、IIS 服务器、区域管理器、扫描器模块等，此时推荐该计算机内存为 1G 以 上。 建议将区域管理器、扫描器、网页管理平台安装在同一台机器上，作为监 控服务器。 条件二：提供数据库、条件二：提供数据库、IISIIS 服务服务 操作系统操作系统：Windows 2000 或 Windows 2003 企业版操作系统。

20、 SQLSQL Server2000Server2000 软件：软件：配备 SQL Server 数据库系统，用于北信源内网安 全及补丁分发管理系统建立管理信息库数据库列表项。 IISIIS 服务：服务：配备 IIS 服务器提供 Web 服务，用于安装 Web 网页管理配置平 台。如所装操作系统为 Windows 2003 企业版，则需要按照安装光盘中的 Windows 2003 的 IIS 配置说明进行 IIS 配置。 条件三：为本系统提供相应端口条件三：为本系统提供相应端口 北信源内网安全及补丁分发管理系统区域管理器将占用操作系统 88 端口， 必须确保安装区域管理器的机器该端口不被占用。

21、区域内的防火墙应打开如下 端口：80，88,2388，2399，8901,8900,161,137,22105，8889，22106，22108 以及 ICMP 协议。同时最好将 DNS 服务迁移至其它服务器。 2-22-2 安装注意事项安装注意事项 软件安装时，推荐将区域管理器、扫描器、数据库安装在同一台机器上 （以下称为监控服务器） ，建议按照下面要求进行监控服务器部署、软件安装、 客户端注册。 2-2-12-2-1 软件安装监控服务器部署注意事项软件安装监控服务器部署注意事项 1 1、监控服务器在网络中放置位置注意点、监控服务器在网络中放置位置注意点 确保该监控服务器能够 ping 通所

22、有被管理网络中任意一台客户端机器， 同时被管理客户端可以正常连接服务器的 TCP 的 80,88 两个端口。 监控服务器给客户端下达策略的端口为：TCP 端口 22105。 监控服务器扫描发现客户端利用以下协议及端口： ICMP 协议（发现 IP 地址存在的其中一种方式） ； NETBIOS 协议,UDP 端口 137(为了发现机器名和 MAC 地址)； SNMP 协议,TCP 端口 161（为了发现智能设备如路由器、交换机等） ； 在本地网络中若划分了 VLAN，或本地网络存在防火墙，请注意上述问 题。 2 2、存在网中子网（如经过地址转换）的网络布置点、存在网中子网（如经过地址转换）的网络

23、布置点 对于网络中存在网中网现象，如采用 NAT 地址转化或者代理方式在 10.*. *. *网络中接入 192.*. *. *网段，这些子网用户的管理方式如下： 情况一：子网有专人管理，并且有独立机房,则应在该子网中安装一套完整 的监控系统。 情况二：子网无专人管理，或无独立机房，可采用以下 3 种方式之一处理 1) 机器数量少的建议统一更改 IP 为 10.*. *. * 网段。 2) 由管理员监督子网中所有机器进行注册并保证不得遗漏。 3)在该网络中指定一台工作站专门安装区域管理器软件和区域扫描模块， 并将区域管理器配置中 SQL 服务器地址指向监控服务器。 2-2-22-2-2 软件安

24、装和应用过程中注意事项软件安装和应用过程中注意事项 1 1、必须按照软件安装步骤进行安装、必须按照软件安装步骤进行安装 1）确认本机 IIS 服务正常； 2）确认本机 SQL 已正常安装并能正常使用（以本地系统账户方式安装） ； 3）确认目标安装盘剩余空间不小于 10G； 4）请务必按照指定顺序安装各个模块； 5）请在区域扫描模块所在计算机中安装 SNMP 服务； 6）安装完所有系统模块后，请一定按照说明文档进行客户端程序的配置及 分发安装。 2 2、监控服务器的安全性问题、监控服务器的安全性问题 管理服务器安装 Windows2000 Server 操作系统（带 IIS） 、MS SQL S

25、erver2000 数据库后，一定要确保对 Windows2000、SQL 和 IE 进行重要安全补 丁修补，规范操作系统、数据库的口令和密码设置，保证 SQL、IIS 的正常启动 运行。 确保本服务器无病毒，同时可配置本服务器网络通讯端口仅打开： 80，88，6800，8901，8900，22105，2388，2399，8889。 3 3、保护机制的应用、保护机制的应用 对大多数交换机、路由器、非 Windows 设备，需要将其设置为保护状态 （避免被阻断导致网络不通） ，其它如有系统无法识别的重要设备，请在网页管 理平台设备信息查询中手动将其设置为保护状态。 2-32-3 系统组件安装系统

26、组件安装 安装顺序依次为：安装顺序依次为： *安装 SQL Server 数据库； *安装 WinPcap 驱动程序； *安装并运行环境初始化程序，初始化数据库； *安装网页平台并进行划分区域，配置区域 IP 范围、区域管理器参数、设 备扫描器参数 等（推荐安装在默认路径下） ； *安装区域管理器（推荐安装在默认路径下） ； *通知所有用户下载并运行注册客户端代理探头程序。 2-3-12-3-1 安装安装 SQLSQL serverserver 数据库数据库 略，见附录(一)。 2-3-22-3-2 安装安装 WinPcapWinPcap 驱动模块驱动模块 在安装页面中选择“安装 WinPca

27、p 驱动模块”按钮，单击“下一步”安装 在区域扫描器所在计算机上。 2-3-3 安装远程技术支持模块安装远程技术支持模块 该模块是一个程序附属工具(一般不需要安装)在客户端安装程序里带有该 程序, 是用户远程桌面管理及控制,有便于管理员帮助终端用户解决问题。 2-3-42-3-4 初始化数据库初始化数据库 初始化数据库是在 SQL 数据库中初始化建立 VRVEIS 数据库并生成系统必需 的相关数据表格，在此过程中需要利用本地数据或者调用远程 SQL 数据库，用 户需要根据实际安装情况按以下两种方式进行操作： 本地本地 SQLSQL 数据库服务器环境初始化数据库服务器环境初始化 1)、环境初始化

28、，建立初始数据库 在 SQL 服务器地址栏中添加本地机器 IP 地址、SQL 用户名、及 SQL 用户 密码。 图 2-3-4-1 SQL 数据库服务器环境初始化 2)、检查数据库初始化是否成功： 图 2-3-4-2 检查数据库初始化 当有如图“初始化数据库结构成功”提示框弹出时，说明已成功创建初 始化数据库。否则会出现如下图所示提示信息： 图 2-3-4-3 初始化数据库失败提示信息 如果出现如上图所示提示信息，用户需要检查所填入的 SQL 数据库 IP 地 址、用户名以及用户密码，重新初始化数据库。 远程远程 SQLSQL 数据库服务器环境初始化数据库服务器环境初始化（建议非特殊情况不采用

29、远程方式）（建议非特殊情况不采用远程方式） 1)、输入远程数据库信息，配置 SQL 客户端：安装远程数据库需要首先输入 远程数据库 IP 地址、用户名称、用户密码，然后点击“配置 SQL 客户端” ，出 现如下界面： 图 2-3-4-4 配置 SQL 客户端 2)、在通用栏中，启用 TCP/IP 协议：在通用栏中，选用 TCP/IP 协议，并 启用，然后单击别名，进行别名添加设置。 图 2-3-4-5 启用所选协议 3)、进行客户端别名的添加:单击上图中所圈中的别名，出现如下所示： 图 2-3-4-6 对客户端别名的添加 4)、进行网络协议的选择和服务器别名的添加：此时用户需要首先选择网 络协

30、议，选定为 TCP/IP，服务器别名根据用户需要自由添加，点击确定后完成 数据库初始化。 2-3-52-3-5 安装安装 WebWeb 中央管理平台中央管理平台 安装安装 WebWeb 管理平台管理平台 此部分程序要求安装在默认路径下，安装过程中请确保信息填写正确，否 则，Web 服务器可能不能正确访问 SQL Server 数据库。 WebWeb 中央管理平台中央管理平台访问访问 Web 管理平台安装以后在 IIS 目录上以虚拟目录的形式存在，虚拟目录名 称为 VRVEIS，用户在安装完成以后，用 http:/Webhttp:/Web 服务器域名（服务器域名（IPIP）/VRVEIS/VRV

31、EIS 的形式访问 Web 管理平台主页面。默认用户名为 admin，密码为。 （以下的都是 用 admin 登陆进行说明的）审计用户名为 audit,默认密码为，详见附录（六） 。 2-3-62-3-6 安装区域管理器安装区域管理器 RegionRegion ManageManage 在 Web 中央管理平台中划分区域及指定区域管理器后（参见 Web 中央管理 平台配置）安装区域管理器组件。安装后进行以下两项配置： SQLSQL 客户端配置客户端配置 如果“区域管理器”没有同 SQL 装在同一台服务器上，需要在如下图所示 窗口中将默认网络库选择为“TCP/IP” ，使客户端能够远程访问数据库

32、。在“区 域管理器”中选择“配置”-“系统配置” ，配置 SQL 客户端，也可以通过 Alt+S 热键，进入配置。 图 2-3-6-1 SQL 常规配置 上述配置完毕以后，需要重新启动“区域管理器” ，使系统生效。 区域管理器系统配置区域管理器系统配置 SQLSQL 服务器配置：服务器配置：进入“系统配置” ，逐步输入 SQL 服务器 IP 地址、用户 名称及密码、数据库名称（默认为 VRVEIS） ，单击“确定”完成 SQL 服务器配 置。 图 2-3-6-2 区域管理器中 SQL 配置 2-3-72-3-7 配置设备扫描器配置设备扫描器模块模块 RegionRegion scanscan

33、在配置好 Web 防护系统区域及其区域管理器后做以下步骤： 在配置管理里，点击“扫描器配置”可以添加扫描器，配置扫描范围。 图 2-3-7 区域扫描器配置 填写相关信息之后重新启动区域管理器，程序会自动缩小到系统托盘，表 示数据库连接成功，程序运行正常，此时通过上图中“扫描器配置”项来查看 扫描器相关运行信息。 2-3-82-3-8 安装补丁下载服务器安装补丁下载服务器模块模块 在安装页面中选择“补丁下载服务器安装模块”按钮，输入序列号 SN，单 击“下一步” 、在桌面生成 DownPatch.exe 快捷方式，执行后如下图所示： 图 2-3-8-1 补丁下载服务器主界面 点击系统配置系统配置弹出如下图： 图 2-3-8-2 补丁下载索引解析界面 添加补丁索引添加补丁索引：从北信源站点获取补丁索引，用以获取补丁厂商发布补丁 信息，通过对补丁索引的解析，下载补丁。按照补丁索引、管理配置要求从补 丁