内网安全管理系统解决方案模板

内网安全管理系统解决方案模板目录1.方案概述51.1信息安全现状分析51.1.1信息安全现状51.1.2建设内网安全管理系统的必要性51.1.3内网安全管理最终目标61.1.4Xxx内网安全管理系统设计标准72.内网安全需求分析82.1终端运维管理需求分析82.1.1系统运行管理分析82.1.2系统监测需求分析102.2终端安全加固需求分析102.3终端安全审计需求分析123.XXX内网安全管理系统解决方案133.1方案目标和内容133.2终端运维管理解决方案143.2.1防病毒软件管理143.2.2文件安全143.2.3系统日志管理153.2.4时间同步153.2.5远程协助163.2.6资产管理163.2.7补丁管理183.2.8软件及消息分发203.2.9设备入网监测233.2.10网络流量监测243.2.11健康监测243.2.12主机性能监控243.3终端安全加固解决方案263.3.1终端安全配置263.3.2终端防火墙273.3.3终端主机准入控制283.3.4移动存储介质管理283.3.5网络参数配置333.4终端安全审计解决方案353.4.1进程监控353.4.2服务监控363.4.3打印监控363.4.4文件监控373.4.5注册表监控383.4.6共享监控393.4.7设备监控393.4.8账户监控403.4.9网络行为审计413.4.10违规外联监控413.4.11软件安装监控424.内网安全管理系统部署及建议424.1系统部署434.2其他建议435.内网安全管理系统设计概述435.1产品设计思路435.2产品的设计原则445.3产品架构445.3.1客户端程序455.3.2总控中心455.3.3管理控制台465.3.4系统数据库465.4产品性能465.4.1总控中心性能465.4.2客户端程序性能465.4.3产品性能指标475.4.4自身安全性475.5产品部署475.5.1部署模式475.5.2本地部署485.5.3分级部署486.成功案例（部分）501. 方案概述1.1 信息安全现状分析1.1.1 信息安全现状随着业务的飞速发展，单位网络结构日趋复杂，总部对部门、分支机构的管理比较困难，在网络中各个节点均可能造成病毒传播、非法接入和终端违规操作等问题，内网安全风险日益凸显；各节点随意连接互联网，各用户在工作时间P2P下载占用较大的带宽资源，用户随意接入一些不良网站，造成网络中大量木马、病毒的传播，引发安全风险，论坛发帖带来潜在的法律风险也非常大，内部ARP欺骗现象严重，网络故障无法准确定位，单位涉密信息被非法泄漏，严重的破坏了业务发展。分析表明，单位的网络信息安全建设是一项复杂的系统工程，科学的建立内、外网是网络安全的基础，应用软、硬件技术是保证网络安全的手段，建立单位信息安全管理制度是网络安全的保证。1.1.2 建设内网安全管理系统的必要性目前，单位的网络建设有了很大的发展，但还比较脆弱，自身安全性不高，在日常管理中还存在着不少问题：l 难以监控外来计算机接入内网。办公楼层规模化的网络接口方便了员工接入网络，同时也方便了外来计算机接入网络，管理人员对此类情况难以判定并加以监视和控制。l IP地址使用存在一定混乱。如果没有严格的管理策略，员工随意设置IP地址，可能造成IP地址冲突，甚至导致关键设备的工作异常。若出现恶意盗用、冒用IP地址以谋求非法利益，后果将更为严重。l 各类网络基础信息搜集不全。信息管理中心对所管辖网络的用户和资源状况难以掌握，设备软硬件配置与变更也难以知晓，发生违规事件时很难及时将问题定位到具体用户。l 外围设备使用控制困难。为了保证内部安全，要求对网内各计算机设备的外围设备使用情况进行控制，禁止或限制使用软驱、光驱、USB盘、并行、串行口、红外口、1394口、Modem等外围设备，防止利用移动存储设备进行数据文件的拷贝。l 操作系统补丁问题。每隔一段时间微软发布修复系统漏洞的补丁，但很多用户不能及时使用这些补丁修复系统，造成重大损失。现在网络结构庞大，网管要保证每台终端及时全面的安装响应补丁，工作量很大，且很难实现。l 文件拷出与打印等难以管理监控。政府常有重要的文件，如设计图纸、报表等，对这些重要且必须保密的资料的拷入拷出、打印等操作无法监控，出现信息泄露事件也无从追溯。1.1.3 内网安全管理最终目标为单位提供集中的终端（桌面）综合安全管理的桌面管理产品，打造一个安全、可信、规范、健康的内网环境。满足用户的以下需求：l 确保入网终端符合要求l 全面监测终端健康状况l 保证终端信息安全可控l 动态监测内网安全态势l 快速定位解决终端故障l 规范员工网络行为l 统一内网用户身份管理l 杜绝移动存储介质滥用l 提高和实现软件正版化在为单位提供终端安全保护手段的同时，内网安全管理系统还要强调为单位提供便利的终端运维管理手段。集中式、人性化的终端管理能力是内网安全管理系统的特色。1.1.4 Xxx内网安全管理系统设计标准Xxx内网安全管理系统的设计参考了如下国家标准：l GB/T22239-2008：信息系统安全等级保护基本要求l GBT 22240-2008：信息系统安全等级保护定级指南l GBT 22241-2008：信息系统安全等级保护实施指南l 公安部中间件传输技术标准规范l 公共数据交换系统标准l 请求服务系统标准l 信息授权策略标准l 数字证书格式标准2. 内网安全需求分析内网安全设计应从实际需求出发，实现内网信息严格保密的需要，完成终端安全防护和网络安全防护，同时系统应是一个具有灵活性，开放性，便于扩充升级的综合系统。网络安全管理平台方案应具有以下特点：1.采用最新的高科技成果，使其在网络信息管理领域具有较高的水平。2.扩充方便，修改灵活，操作维护简单，系统重启时间短，能适应业务的快速变化。3.充分利用现有各种系统的资源，以节省运行成本。4.规范系统，从整体的角度来考虑系统的结构设计，基本包括计算机管理系统、相关数据库系统间的直接或间接互连。2.1 终端运维管理需求分析2.1.1 系统运行管理分析通过系统运行管理确保终端主机以最安全的状态运行，有效地减少病毒爆发和木马泛滥带来的内网安全隐患，减少终端计算机被入侵的可能性。具体分析如下：1.防病毒软件管理防病毒软件是计算机终端防病毒的最终防线，也是最重要的一部分。防病毒软件要保证长期、稳定的运行并保持最新的病毒库更新才能真正起到防病毒作用.2.文件安全普通终端计算机的不稳定性、安全性造成重要、涉密数据存在流失、丢失和泄密的威胁，需要把重要数据存储在更为安全的服务器上规避信息风险.3.时间同步员工对计算机网络日益依赖，几乎所有的业务都通过计算机来实现。然而，计算机本身的时间精度并不高，走时不准；可能因时间差异造成业务无法正常完成。特别是指挥系统、调度系统、网管系统、计费系统、分布式数据库服务器等应用系统对时间同步的要求更为严格；4.系统日志管理为保证单位中每一台主机能正常运转，最简洁且有效的方式是管理员通过系统日志有针对性地管理。5.远程协助网络管理员任务繁重，如何不用到每台计算机的现场就解决远程计算机维护工作，把管理员从日常繁重工作中解脱出来？远程协助功能在此可以发挥作用。6.资产管理由于用内网中的计算机众多，管理人员对网内的资源占用和用户情况难以准确掌握和更新，对实际接入的计算机数量难以进行精确的统计，对面临的危害难以做出动态的评估和有效的防范。内网中资产管理、变更的统计、分析及报警是保护单位利益的重要方式单位对此项功能的需求非常强烈。资产信息管理报表可作为单位合规部门的重要数据。7.补丁管理系统补丁管理是内网安全管理的重要环节，成熟的系统补丁管理可以使管理人员对操作系统及应用软件的补丁进行部署和维护控制，可以帮助保持终端运作效率和有效性，克服安全漏洞并保持办公环境的稳定性。通过成熟稳定的补丁管理程序在网络环境中评估并保持系统软件的完整性，也是成功实施信息安全程序的关键步骤。目前，很多单位在网络部署了微软的软件更新服务(WSUS)，但单纯的WSUS在补丁管理上存在以下问题：（1）配置复杂：如果网络区域没有实现域管理，无法方便配置众多终端计算机的补丁更新策略，使得补丁更新不可控。（2）信息获取有延时：重要补丁不能及时安装后果可能非常严重，终端计算机从内网WSUS获得最新补丁信息并下载安装，可能有2224小时的延时。（3）无法明确补丁安装情况：WSUS不能获取各终端计算机的补丁信息，无法迅速定位处于危险中的计算机。8.软件及消息分发员工多、更新软件多及单位的单位公用消息多为当前单位信息化建设中需着重考虑的问题，软件分发、消息分发可方便、快捷地满足单位的信息化要求。2.1.2 系统监测需求分析通过系统监测可以让管理员及时了解整个网络内终端主机的状态，针对存在的安全隐患及时采取有效措施，更好地保证内网的可靠性。具体分析如下：1.设备入网接入内网的计算机应该是专用于业务工作的计算机，其他外来用户随意接入网络，可能会造成病毒传播、重要机密数据泄露等危险。从传统的网络管理手段来说，可以通过在交换机上进行MAC地址与端口的绑定来达到防止外来用户随意接入的目的。但是这种方法会给管理人员带来比较大的工作量，特别是大型网络的管理工作更繁重，使用这种方式缺少操作的灵活性，对于任何一台新接入的设备都必须要在相应的交换机上进行配置，管理非常不便。2.网络流量监测网络健康运行，对流量的监控、管理极为重要，网络流量的控制和审计已经成为能否使网络正常运行的重要手段。3.健康监测每个接入内网的计算机应该是健康的，即操作系统补丁、病毒库更新及时、终端安全配置和在遵守单位的单位相关规定前提下策略要求，只要每台计算机是健康的，网络才是健康的。4.性能监测对终端计算机的CPU使用、内存使用和磁盘使用情况的动态监测，对终端计算机的网络通讯流量的控制、审计和统计，同时对终端计算机的安全状况的动态监测，并为终端计算机用户提供手动评估计算机安全状况及掌握内网环境的安全状况以及安全变化态势，是保证内网及终端计算机的健康运行的基础。2.2 终端安全加固需求分析1.终端安全配置为实现主机运行安全策略的最优化，确保终端主机的安全管理，对每台终端计算机的本地安全策略、对本地系统环境进行安全设置管理是非常必要的。2.终端防火墙通过系统内置防火墙，对终端计算机的访问目标进行限定，对终端计算机的网络访问进行控制，对网内计算机互访权限设定，可有效地保护网内重要、涉密信息的安全。3.终端主机准入控制随着信息化建设发展，单位内网计算机数量与日俱增，同时各个单位合作日益频繁，经常有不属于本单位的第三方运维人员终端计算机连接到内网。在这种情况下，也无法区分哪些是内网授权使用的计算机，哪些是外来的非授权使用的计算机。这种状况下，对于未授权使用的计算机接入不能进行控制，当系统中某台感染了病毒和木马后接入内网，病毒会在整个内网进行快速传播和扩散，给内部网络带来严重的安全威胁。而对于合法的主机接入内网也要防止访问重要级别的服务器，需要采用有效手段逻辑隔离。4.移动存储介质管理当前，移动存储介质作为一种非常便利的数据传输载体已被大量应用，如U盘、移动硬盘等。移动存储介质的使用方便了信息和数据的交换和传递，已成为一种不可缺少的信息传递工具。然而，移动存储介质本身在便利的同时也存在着极大的安全隐患，如果对移动存储设备管理不完善，可能对我行信息安全造成多种威胁，如：（1）移动存储介质在不同计算机和网络随意使用，容易造成计算机病毒交叉感染和大规模泛滥；（2）怀有恶意的内部人员或外部人员可以使用移动存储介质将单位内部重要信息复制出去，容易造成敏感信息泄密；（3）移动存储介质一旦无意丢失，存储在里面的大量敏感数据可能失控，造成泄密。在单位存在着把私人的移动存储介质并协助自工作，把单位的移动存储介质私用的现象。由于缺乏有效的管理，移动存储介质的使用基本上无安全性可言。可见，以上种种风险严重威胁着单位的信息安全，为保障重要信息不在使用移动存储介质的过程中造成泄密与丢失，规避移动存储介质带来的种种风险，急需从技术上配合管理制度对移动存储介质进行统一管理、监控和审计。5.网络参数配置IP地址和计算机名乱用、冒用的危险以及IP地址的冲突的发生，严重阻碍了合法或重要设备正常工作，影响单位业务工作的开展，对网络参数的配置必须进行控制。2.3 终端安全审计需求分析1.进程管理终端计算机随意安装使用游戏软件、黑客软件等，容易引入了潜在的安全漏洞，降低了计算机系统的安全系数，并可能占用大量的单位的网络资源。2.服务管理对本地计算机上所运行服务的合法、合规等运行状况进行控制，有效管理每台终端计算机的健康运行。3.打印监控如果对办公人员的终端操作无法有效控制和监视，会导致一些机密的办公文件泄露。急需对终端计算机的打印操作进行监控与管理，且能够全面监控本地打印、虚拟打印和共享打印。4.文件监控单位的终端计算机对文件的创建、删除、改名、访问等操作行为，绝大部分为单位公文，均会涉及单位的机密，应对文件的操作行为进行审计，应细化到文件内容，同时对重要文件进行保护，完成文件的完整性、可用性和机密性的全程审计。5.注册表监控计算机的注册表是保证操作系统正常运行的基础，应禁止普通员工随意修改注册表信息，可细化到对某个键值的控制，保证单位的信息工作不会在操作系统层面出现故障。6.共享监控文件共享是造成泄密的重要途径，急需对访问权限、共享权限做控制。7.设备监控 计算机的外围设备（包括软驱、光驱、USB盘等）为各种信息在不同的计算机之间交流提供了一个方便的途径，也带来了病毒、涉密信息等随意传播的危险。8.帐户监控本地计算机的帐户安全涉及到账户建立、使用、密码复杂度及权限，管理员需要对网内的所有账户做监控，保证在使用性上做好信息防护工作。9.网络行为审计对于允许接入互联网的计算机，应对其接入方式和上网行为进行管理，应规定通过标准网关上网，并对其上网行为做记录，包括HTTP访问、SMTP/POP3邮件收发、WEB邮件收发等，并需要基于规则的访问控制手段。10.违规外联监控涉密网段的计算机不可连入互联网，否则会使涉密计算机及重要网段受到以下安全威胁：（1）破坏整体安全防护体系，引入恶意的入侵；（2）引起病毒的感染和传播；（3）某些互联网行为，例如BT、电驴等下载行为可能占有很大网络资源，造成办公网络性能下降，影响金融业务正常运转。9.软件安装监控需要对终端计算机上的软件安装行为进行监控与控制，保证安装的程序为正版、有效、免攻击。3. Xxx内网安全管理系统解决方案3.1 方案目标和内容通过本项目建设单位内网安全管理体系总体架构分级部署、分级和分权管理，统一内网安全管理运维流程，规范内网安全管理系统功能，提高桌面终端用户安全防护能力，提升桌面终端运行维护自动化程度，提高桌面终端服务水平，使日常的桌面终端由被动管理向标准化管理转变。进一步完善对终端用户的管理，监控、审计员工是否能够遵循单位对信息保密的要求。满足单位的资产管理、软件管理、补丁管理、安全管理、安全网管和安全服务的需要。内网安全设计从实际需求出发，实现内网信息严格保密的需要，完成终端安全防护和网络安全防护，同时系统应是一个具有灵活性，开放性，便于扩充升级的综合系统。内网安全管理平台具有以下特点：1.采用最新的高科技成果，使其在网络信息管理领域具有较高的水平。2.扩充方便，修改灵活，操作维护简单，系统重启时间短，能适应业务的快速变化。3.充分利用现有各种系统的资源，以节省运行成本。4.规范系统，从整体的角度来考虑系统的结构设计，基本包括计算机管理系统、相关数据库系统间的直接或间接互连。3.2 终端运维管理解决方案3.2.1 防病毒软件管理主要是对代理终端上的防病毒软件安装、运行、病毒库更新情况进行监测。Xxx内网安全管理系统可监控主流的13种防病毒软件的运行状况、安装情况、病毒库更新情况等，提供防病毒软件信息收集和状态监测功能，收集防病毒软件名称、软件版本、病毒库版本等，为防病毒软件的使用保驾护航。代理终端没有安装本单位统一规定的杀毒软件、病毒库不符合指定更新周期或者指定版本的情况下，均可响应策略中指定的响应方式。如果响应了阻断方式，在病毒库更新到指定周期或者指定版本的情况下，阻断可以自动解除。3.2.2 文件安全由于终端计算机安全性、保密性级别较低，所以重要数据存储在终端计算机上存在风险，内网安全管理系统可实现为客户端提供服务器备份的功能，通过文件备份保证了单位重要数据的完整性，并提供用户身份认证、文件备份、文件恢复、备份文件历史查询等功能。为保证文件的保密性和可用性，文件备份服务支持用户身份认证访问方式。文件备份模块由用户身份认证、文件备份、文件恢复、备份文件历史查询组成，备份系统由文件备份服务和文件备份代理组成。3.2.3 系统日志管理管理员可通过系统日志有针对性地管理可保证单位中每一台主机能正常运转，。系统日志可记录系统的启动情况,运行情况,跟踪信息等等,当系统出现异常的时候可通过查看系统日志解决。内网安全管理系统可提供对终端计算机本地日志收集、日志集中存储、日志转储、日志清理和日志查询分析功能。3.2.4 时间同步为解决因时间差异造成单位业务故障甚至无法正常完成，Xxx系统提供了时间同步功能。特别是能满足指挥系统、调度系统、网管系统、计费系统、分布式数据库服务器等应用系统对时间同步的要求严格的需求。内网安全管理系统可以通过安装有时间服务的计算机硬件时间为时间源，为内网终端计算机提供标准的Internet时间服务。时间同步由时间同步服务和时间同步代理（集成在终端监控引擎中）组成。时间同步服务以安装有时间服务的计算机硬件时间为时间源，为内网终端计算机提供标准的Internet时间服务。时间同步代理根据时间同步策略对本地时间进行监控并加以动态调整，以保持本地时间与时间源的同步。时间同步代理动态比较本地时间与服务器时间，如果时间差超过策略设定的允许误差，则同步本地时间，使其与服务器时间一致。3.2.5 远程协助为解决单位网络管理员日常的繁重维护任务及远程快速对存在网络威胁的主机做出相应处理，Xxx内网安全管理系统拥有的安全服务功能，可以通过远程协助及远程监控的方式协助解决此问题。远程协助模块实现对代理终端的远程管理。是管理员与代理终端交互平台，可以方便的帮助代理终端用户快速解决系统问题。通过远程桌面接管完成对各客户端的直接操作。3.2.6 资产管理为准确掌握内网中众多计算机的资源占用和用户情况，Xxx内网安全管理系统对实际接入的计算机数量进行精确的统计，对面临的危害做出动态的评估和有效的防范。提供计算机资产自动收集、资产注册登记、资产变更管理、设备维修管理、资产查询与统计等管理。可以建立设备资产信息库，对所有接入的计算机的用户信息进行登记注册，在发生安全事件时（例如硬件丢失、重要程序被删除，对网络安全有威胁的软件安装行为）能够以最快速度定位到具体的用户。同时，也能够做到动态地搜索各终端的软硬件信息，并对这些信息进行统计和分析，生成相应报表。管理系统还能与安全策略紧密结合，自动收集与安全相关的一些系统信息，包括：操作系统版本信息、操作系统补丁信息等，同时针对这些收集的信息进行统计和分析，给出安全状况报告。Xxx内网安全管理系统对部门和代理终端的硬件信息和安装的软件信息进行统计，可形成报表模式，为27001认证、计算机等级保护认证等工作做辅助作用。1.部门资产统计：（1）系统摘要：显示IP地址、员工姓名、主机名、MAC地址、操作系统/版本、CPU、内存、硬盘、注册时间和最后活动时间；（2）主机硬件资产统计及分类查询统计；（3）主机软件资产统计及分类查询统计；2.设定资产变更报警机制，可以写入日志，形成报表备查；3.设备维修管理：系统提供设备维修记录功能，任何设备的送修和返回均可由资产管理员负责填写维修记录，从而准确掌握资产的维修情况；4.设备台账：掌握单位设备资产状况，反映单位设备拥有量及其分布变动情况的主要依据。5.资产状态提醒：系统可维护所有设备的保修期限和报废期限等信息，在设备临近保修期限和报废期限时，提前提醒资产管理员。资产管理员也可以按照日、周、月等周期查询即将到期的设备；6.资产查询与统计：资产管理中心提供集中的资产信息查询、统计和报表功能。可按照部门、设备类别、硬件参数等一系列指标进行查询和统计。7.软件授权：能对定义的软件进行正版检查，分为软件正版定义和软件正版统计两部分。软件正版定义，可以通过定义软件安装的路径，正版检查的条件以及许可证信息的收集，并提供统计功能。8.IP地址管理：对内网IP地址的使用情况进行统计，方便管理员查看与分配管理。3.2.7 补丁管理系统补丁管理是内网安全管理的重要环节，Xxx内网安全管理系统通过简单的配置操作完成对系统补丁的及时更新，并可以明确补丁安装情况，获取各终端计算机的补丁信息，迅速定位处于危险中的计算机。Xxx内网安全管理系统可以更好地为用解决计算机补丁安装问题，可以实现Windows平台下的补丁审批、测试、分发和补丁修复状态统计，管理、分发和自动安装Windows系列操作系统补丁和微软应用程序补丁。如下图所示：补丁分发模块的流程应通过以下几个步骤：1.补丁检测：提供操作系统的安全、驱动补丁、Service Pack，防病毒补丁、Office、OutLook、IE浏览器、SQL Server、Exchange等应用软件的补丁检测，并且支持自定义补丁，以满足第三方软件或用户自主开发系统的补丁升级。2.补丁测试分析：测试分析应用系统与发布的补丁是否完全兼容，减小此类问题带来的风险，在测试计算机上先进行测试安装，确定对现在系统及应用无影响后，再全网发放。3.补丁分发：Xxx补丁分发系统为用户提供多种补丁分发的方式，包括补丁服务器主动推送和客户端主动下载。定制基于客户端操作系统种类、网络IP范围、补丁类别、有效时间、审批状态等方面的补丁管理策略及补丁分发策略，包括：补丁下载提示、补丁安装方式。分发流量控制4.补丁安装统计：补丁分发支持完整的分发过程跟踪，包括分发状态和非法结果。可按照多种条件检索、查询和统计。管理员可通过报表及时进行掌握所辖范围内终端补丁安装情况。按主机统计补丁：可以罗列出不同主机补丁更新的状态信息。也可以设定检索条件，检索出符合条件的主机统计信息。按补丁统计主机：可以罗列出不同补丁在主机上的安装信息。5.补丁增量导入：系统支持对补丁库的内网外迁移,提供内外网补丁迁移工具。可在外网中对补丁库进行增量分离下载。通过检测确认无病毒威胁后迁移到内网中，更新内网补丁库，为内网终端计算机进行补丁升级。补丁更新模块的特色：1.提供补丁离线扫描的方式；2.提示用户有缺失补丁需要下载；3.可启用P2P下载的补丁就近分发方式；4.可设置文件下载完毕后，在代理主机本地保留的天数；5.可设置补丁类别控制；6.可设置补丁类别范围。7.支持内外网隔离环境下的补丁分发管理，支持增量补丁导入；8.补丁分发服务器支持多个镜像，终端监控引擎可随机选择可用的补丁分发服务，如此可有效提高补丁分发效率；9.补丁分发服务支持HTTP和FTP两种服务模式；10.补丁分发服务支持带宽限制和连接数限制，以此确保补丁分发服务器的资源占用合理，提高补丁分发服务器的可用性；11.系统提供准确的补丁修复结果统计，为管理人员了解补丁分发进程提供直观的统计报表。可见通过补丁管理，能够对内网终端计算机缺失补丁进行定期检测和自动安装与更新，保证系统与软件缺陷一经发现便可及时修补。通过补丁分发管理，大大减少了操作系统和应用软件漏洞被利用所造成的安全隐患和经济损失。同时，管理人员还可以实时统计当前各终端计算机的补丁缺失情况、补丁安装情况以及补丁安装的进度等，得到全网的终端计算机补丁安装快照。方便了对补丁分发过程的监控。因为单位网络中的涉密内网与互联网不相连，所以对内网的计算机做补丁升级可在设置某台连接互联网计算机作为补丁下载管理器，用增量方式把补丁传入内网服务器中再做补丁分发。3.2.8 软件及消息分发软件及消息分发功能，方便单位对共用软件、信息的及时发放，内网安全产品提供对内网全部或者部分终端计算机的软件分发管理。由分发管理中心、文件下载服务和终端监控引擎等组件组成，提供对内网全部或者部分终端计算机的软件、消息通知功能。管理员可以把软件远程派送给终端计算机，如果对分发的exe、msi模式的文件，可选用静默安装模式，当软件到达终端计算机后，会自动自行软件安装。也可以派送文件与脚本，对于单位内规定必须安装的软件、局内统一部署的软件或发放到每个员工的通知、文件等均可通过此服务功能完成，极大地降低了全网部署软件的工作量。1 软件分发（1）软件分发任务管理：显示当前用户创建的软件分发任务列表，实现任务的删除和报表。（2）软件分发管理：软件分发管理定制了分发方式，包括分发到主机、分发到未分发的主机和分发到部门（3）查询统计：对于任务分发执行的结果可以进行查询统计，系统支持：按任务统计、 按主机统计、按部门统计等统计方式。查询结果可以导出到报表。2 消息分发（1）消息管理：实现消息的创建、修改、删除与导出报表。（2）消息添加： （3）附件：与消息一起发布的文件附件，附件文件格式不受限制，附件大小不能超过10Mb。（4）消息分发管理：分发管理定制了分发方式，包括分发到主机、分发到未分发的主机和分发到部门（5）查询统计：对于消息分发执行的结果可以进行查询统计，系统支持：按消息统计、 按主机统计、按部门统计等统计方式。查询结果可以导出到报表。3.2.9 设备入网监测Xxx内网安全管理系统，设备入网监测功能提供对内网设备入网的实时发现、状态报告和阻断等功能。通过实时设备扫描可发现所有当前在线计算机，通过总控中心的计算机注册信息的同步，可区分合法设备和非法设备。对于非法设备，可采取入网阻断措施。对于非授权计算机和不安全的计算机可以采用ARP欺骗的方式，用虚假的MAC地址刷新目标计算机的ARP缓存，导致该计算机无法与内网其它设备通讯，达到阻止其访问网络资源的目的。3.2.10 网络流量监测Xxx内网安全管理系统，网络流量监测功能提供对终端计算机的网络通讯流量的控制、审计和统计。1) 流量控制：可以限定终端计算机到特定目标的通讯带宽，可区分目标地址范围，也可区分流入流出方向。可设定多条带宽规则。系统将按照规则顺序进行带宽规则匹配。2) 流量审计：可以监控终端计算机到特定目标的通讯流量，可区分目标地址范围，也可区分流入流出方向。可设定多条流量审计规则。系统将按照规则顺序进行流量审计规则匹配。3) 流量统计：系统可自动收集和汇总终端计算机每天发生的网络总流量和流入流出流量，并可统计与本地计算机发生流量最大的前10个计算机。系统每天维护一条流量统计记录，可按照日、月、年进行流量汇总统计。3.2.11 健康监测Xxx内网安全管理系统，健康监测与自评估功能提供对终端计算机的安全状况的动态监测，并为终端计算机用户提供手动评估计算机安全状况的手段。1） 健康监测：系统使用内置健康检测模板或者管理员自定义健康检测模板对终端计算机进行系统性的安全评估，根据健康检测模板定义的项目和权重，最后计算得出终端计算机的健康分数，并上报到总控中心。通过该分数，可以对全网计算机的健康状况进行排名。2） 健康自评估：用户可以通过安全助手启动终端计算机自评估，系统将根据当前计算机所采用的健康检测模板，逐项进行健康检查和评估，并将所有安全项目的检查结果和总分数通过图形界面展现给用户，给用户直观的计算机健康状况提示。针对不合格的项目，系统还提供修复方案，自动或手动帮助用户修复不合格项目。3.2.12 主机性能监控对终端计算机的CPU使用、内存使用和磁盘使用情况的动态监测，对终端计算机的网络通讯流量的控制、审计和统计，同时对终端计算机的安全状况的动态监测，并为终端计算机用户提供手动评估计算机安全状况的手段；掌握内网环境的安全状况以及安全变化态势，内网安全管理系统应提供准确可靠的关键指标数据支持，可对终端计算机安全管理数十种关键指标进行态势分析。当对终端计算机的CPU使用、内存使用和磁盘使用情况资源占用过高时（持续一段时间超过设定的阈值），向终端用户或者总控中心发送报警。3.3 终端安全加固解决方案3.3.1 终端安全配置通过重点安全配置管理终端计算机的本地安全策略、对本地系统环境进行安全设置管理，从而实现主机运行安全策略的最优化，确保终端主机的安全管理终端安全配置目的：通过对本地安全策略的调整和本地环境的安全设置，达到终端安全管理的目的。通过上图可见安全配置的选项包括对以下功能项的控制：定时关机、定时关机检查条件、关机提醒、定时关机时间参数、屏幕保护程序、屏保启动等待时间、屏保恢复密码、访问控制面板、访问控制面板程序、访问注册表编辑工具、建立空链接、自动播放、IE代理服务器使用、代理服务器地址和端口、远程修改注册表、使用组策略编辑器、修改网络属性、远程桌面、强制登录域、本地登录、显示上次登录用户名、自动登录、多操作系统检查、自动垃圾清理、系统垃圾文件类型、系统垃圾清理方式、自动清理使用痕迹、清理痕迹分类、使用痕迹清理方式、IE浏览器主页。3.3.2 终端防火墙系统的终端防火墙管理模块用于管理基于NDIS的桌面防火墙，对终端计算机的访问目标进行限定，对终端计算机的网络访问进行控制。终端防火墙具有基于优先级的网络访问控制能力、提供网络访问审计能力、支持策略模板。启用防火墙可以限定终端计算机的访问目标，对终端计算机的网络访问进行控制。终端防火墙管理模块具有如下特色：1.提供基于优先级的网络访问控制能力，由此可以实现灵活的访问控制，如某些安全事件发生后，自动启用高优先级的网络访问控制策略；2.友好的配置界面，提供基于对象的配置管理，网络地址和服务均以对象方式选择，极大的方便了防火墙策略配置；3.提供网络访问审计能力，单位管理员可根据策略决定是否记录匹配的网络访问；4.支持策略模板，可以将已经配置好的策略分组保存为模板，随时使用。3.3.3 终端主机准入控制l 安全接入认证与交换机联动阻断(支持802.1X协议)，自动判断接入计算机的交换机接口，如果发现接入计算机未经过授权或者安全性较差，则通知交换机禁用该计算机所在的端口，彻底阻断计算机的接入。同时与整个系统联动，支持动态修复区、访客区及隔离区，支持URL自动跳转及第三方Radius等先进技术；l 网络通讯认证系统通过采用IP通讯控制技术来解决非法主机的任意访问问题。该技术的根本特点是当非法主机与合法主机进行IP通讯时，合法主机会要求非法主机提供其身份证明，如果非法主机无法提供有效的身份证明，合法主机将拒绝与其建立通讯。合法主机之间由于相互可以验证身份，因此合法主机之间的IP通讯是被允许的。网络通讯认证保证了接入计算机的通讯控制，如果接入计算机是非法的，可以通过安装认证控制，保证接入计算机无法安装系统代理程序，因而也就无法与接入网络的合法计算机进行通讯。减少了“假冒身份”计算机给网络带来的安全风险。3.3.4 移动存储介质管理3.3.4.1 管理目的对使用的移动存储介质分别进行注册管理，只有注册过的移动存储介质才允许在注册网络使用，且不可在其它网络中使用，未经注册的移动存储介质不能在注册网络中使用，尽最大可能减少了因移动存储介质滥用导致的信息泄露风险。3.3.4.2 策略细节（1）非注册普通移动存储介质在内网或办公网不可使用；未注册移动存储介质（2）注册普通移动存储介质在内网或办公网授权部门、授权主机上可使用，注册普通移动存储介质在内网非授权部门、非授权主机上不可使用；（3）网间数据传输采用多分区U盘或专用的安全移动存储介质（简称：安全U盘）安全U盘在内网授权部门、授权主机上可使用，安全U盘在内网非授权部门、非授权主机上不可使用；安全U盘在外网可使用通用区，安全U盘在外网通过密码确认可使用加密区；加密移动存储介质自动加密自动解密（4）审计对各种移动存储介质的使用均可做到审计，即移动存储介质中的文件读写、拷贝、删除，移动存储介质的插拔等均记入日志，并可形成报表，报表可实时生成，也可按日报表、周报表、月报表的方式定时生成；文件审计策略可以记录到文件的路径和文件名；（5）报警提供主机桌面端报警提示、邮件报警提示和管理员操作界面报警方式等，方便管理员能及时处理违规操作。3.3.4.3 功能描述常用的移动存储介质有三种：普通介质、专用安全U盘和特权介质三种。（1）各类移动存储介质均可以在管理平台做初始化注册工作，要求对全网使用的移动存储介质做统一管理，控制未经过注册的移动存储设备在内网中使用；（2）注册普通U盘允许在内网授权主机上使用，授权使用范围分为：总部，部门，主机；授权操作方式为：只读，读写、禁用方式；（3）注册U盘在单位以外的网络使用，可以通过策略授权操作方式为：读写、只读、禁用方式；（4）可对U盘使用做审计，审计内容包括：注册U盘在内网的主机上使用过程（插、拔），文件操作过程（创建、删除、改名、编辑等）； （5）普通U盘可注册成安全的外出U盘，即在外网需通过密码方式访问；注册成为外出U盘后，在内网可授权给部门、主机上使用，并可记录在内网的使用过程（插、拔）和文件操作记录（创建、删除、改名、编辑等）；（6）常用外出U盘应为安全的专用安全U盘，在内网使用的管理与普通注册U盘相同，在外网必须通过密码访问，且在外网使用做日志管理；（7）可做分权管理，即管理员、操作员、审计员分权；（8）可做系统分级部署，权限分级管理，即可授权给各分支机构管理员；（9）未经注册的各类移动存储介质在内网的使用，可以通过策略授权管理：读写、只读、禁用方式； （10）主机可显示提示信息、告警信息等，管理员可接收邮件、管理桌面即时信息等方式查看管理违规告警信息，对于离线主机使用U盘，支持互联网报警（在可连接互联网的办公网测试）。3.3.4.4 系统特色（1）系统能够收集代理端计算机的基本信息，包括操作系统、进程、策略等（2）针对管理需要，对于单位重要人员或重要部门使用的U盘，可按照特权U盘方式注册并能够在指定机器使用管理。（3）对于注册U盘的操作权限要能够实现禁用、只读、读写等多级控制。（4）对全网使用的移动存储介质做统一管理，控制未经过注册的移动存储设备在内网中使用。（5）对移动存储设备进行高、中、低的安全级别划分，移动存储设备安全级别与主机安全级别不同时，禁止使用移动存储设备。（6）对于移动存储设备的授权使用范围必须支持按部门、按主机、全网段等各种方式。（7）能够支持对SD 卡、CF 卡、MMC 卡等特种存储介质进行管理；（8）保证客户端程序在安装和运行过程中与防病毒产品及其他主流安全产品相兼容；（9）对移动存储设备注册信息的修改支持不插入存储设备即可修改与插入存储设备才能修改两种方式；（10）能够支持对注册U盘的使用次数和使用时间进行控制，超过使用次数后，或者超过使用期限，可以限制过期的注册U盘读写以及是否允许使用；（11）能够支持对移动存储数据进行透明加密，避免由于移动设备丢失，造成移动设备内重要数据外泄；（12）支持注册U盘在内网内的策略在线更新（在线认证策略），无需重新收集U盘便可更改注册U盘的策略；（13）支持普通U盘多分区管理，划分为启动区、加密区、交换区；（14）支持普通U盘在外网环境中使用，且要求操作系统只能识别多分区U盘的启动区，加密区、交换区必须通过用户名、密码效验才能加载，用户对启动区格式化操作应不妨碍多分区U盘的正常使用；（15）多分区U盘必须可接受终端管理系统统一管理，在系统管理中，可分别设定多分区U盘各数据区的操作权限；（16）要求支持客户端程序无显示托盘图标，对客户端代理程序具有较强的自保护功能，可防止通过第三方产品进行恶意删除。3.3.5 网络参数配置解决IP地址和计算机名乱用、冒用的危险以及IP地址冲突的问题，保护合法或重要设备正常工作，保证影响业务工作的开展。Xxx内网安全管理系统对计算机及网络设备IP地址进行有效的管理，可以对计算机和网络设备进行参数绑定、参数变更监控、ARP攻击防护与IP地址保护，具有支持多个网络参数的统一配置管理、支持多个同类参数的绑定、支持IP地址范围控制等特点。通过被动侦听、主动扫描等方式发现非法节点，并且可以阻断非法节点的网络通讯，对非法节点信息进行报警和日志记录等。网络参数配置提供对终端计算机的网络相关参数的配置和变更监控管理。1. 绑定网络参数：可以通过策略设置，固定计算机的网络相关配置，包括主机名、IP地址、网络掩码、网关、DNS等。这些参数一旦绑定，不允许用户修改。2. 监测参数变更：当策略设置为仅监测网络参数变更时，用户可以对网络参数进行自行配置，但是任何配置的更改，客户端程序都会加以监测和本地告警，同时形成变更记录上传到总控中心；3. ARP攻击防护：通过自动或手动绑定网关IP与MAC信息（ARP表），使得针对欺骗网关地址的ARP欺骗失效，保证了终端计算机的网络通讯；4. IP地址保护：通过定期自动广播本地网卡的MAC到网络中，保证本网络内其他计算机始终能够得到本机的正确IP和MAC地址。避免了他人冒充本机IP地址导致的本机通讯异常。网络参数配置可设置主机名绑定、适配器绑定、特权用户绑定、主机IP地址保护和工作绑定。 绑定参数配包括地址获取方式、地址绑定范围、IP和Mask绑定、网关绑定、DNS绑定、MAC绑定和ARP绑定。系统的网络参数配置有如下特色：1.支持多个网络参数的统一配置管理，当计算机有多个网卡时，系统可以区分不同网卡，并对不同网卡设置不同的网络参数；2.支持多个同类参数的绑定，例如，对同一个网卡，可以绑定多个IP地址/网络掩码、网关地址、DNS等；3.支持手动绑定和自动绑定，手动绑定时由管理员设置绑定参数值，自动绑定时客户端程序将按照收到策略时的当前网络参数值进行绑定；4.支持IP地址范围控制，即在特定的IP地址范围内才启动绑定，否则不绑定。3.4 终端安全审计解决方案3.4.1 进程监控终端计算机随意安装使用游戏软件、黑客软件等，容易引入了潜在的安全漏洞，降低了计算机系统的安全系数，并可能占用大量的网络资源。内网安全管理系统进程管理模块提供对本地计算机运行程序的管理，包括是否允许程序运行、对运行程序进行保护、对运行程序进行统计等。进程管理模块可以自动搜集各计算机所有的进程和服务信息，对XXX规定禁止运行的进程做黑名单处理，对某些重要的进程（例如防病毒）做红名单处理，可使管理员全面了解各计算机运转的情况，及时发现安全隐患并予以解决。功能细节如下：1.进程运行控制：可按照黑名单、白名单、红名单等方式对进程的运行进行控制。黑名单方式下，所有在黑名单列表中的进程均不允许运行；白名单方式下，只允许运行白名单列表中的进程，所有在白名单列表之外的进程均禁止运行；红名单方式下，所有在红名单列表中的进程均必须运行；2.进程保护：对指定的关键进程采取保护措施，被保护的进程不可被随意停止；3.进程统计：对进程的运行状况进行统计，包括进程启动时间、进程结束时间、进程持续时间等；4.进程别名管理：通过进程别名管理，可将进程名称与其别名创建关联关系，并可设定违规进程列表，通过别名匹配和违规进程列表比对，可增加进程统计数据的可读性。3.4.2 服务监控服务管理提供对本地计算机上所运行服务的管理，以控制本地服务的运行状况。可通过黑名单、白名单和红名单等多种方式控制服务的运行状态。1.黑名单：所有在黑名单中的服务均禁止运行；2.白名单：只有在白名单中的服务允许运行，其它的一律禁止运行；3.红名单：红名单中的服务必须运行。3.4.3 打印监控文档打印极易通过纸质介质造成机密信息的泄露。本系统提供对终端计算机的打印操作进行监控管理的功能。不仅可对主机的本地打印、虚拟打印和共享打印的情况进行监控和审计，便于信息防泄密追踪，还可禁止上述打印行为。文档打印审计与文件审计、共享访问控制及网络行为审计配合，全方位的监控终端用户的各种可能造成的信息泄密行为，实现涉密信息的全面、全程审计与跟踪。 文档打印审计做了很多细节处理，尽量做到防范通过纸质介质泄密的作用。包括是否允许使用各类打印机，是否审计各类打印机以及是否启用打印文档扩展名过滤等。3.4.4 文件监控本模块为解决监控和审计终端计算机对文件的创建、删除、改名、访问等操作行为，防止单位的信息泄密，并可细化到文件内容，同时对重要文件、文件夹进行保护，限定特定进程对被保护对象的操作。系统的文件审计提供两部分功能：文件操作审计和文件内容审计。文件操作审计是指对文件的创建、删除、改名、访问等操作行为的审计。文件内容审计是指对文件内容进行监控，当发现含有指定关键字时，采取报警、文件备份等响应方式。文件保护提供对指定文件或文件夹的安全保护能力，可限定特定进程对被保护对象的操作。访问控制方式包括只读访问、读写访问和禁止访问三种，通过进程与访问控制方式的组合，可以实现灵活的文件保护能力。功能特点：1.可选择文件操作监控范围：包括本地磁盘、移动存储设备、光驱和自定义目录；2.可审计选择的匹配文件类型；3.可通过关键字对文件内容进行审计，并可选择关键字的上下文长度、文件忙碌系数等参数确定泄密文件，同时提供将实时变化的包含关键字的文件进行备份的功能。4.提供文件保护功能，用户可选择保护文件的路径、文件名，启用保护文件的进程，可设置进程对文件目录的访问权限。3.4.5 注册表监控注册表监控模块可提供终端计算机本地注册表的访问监控和注册表保护。1.注册表访问监控：可以监控特定进程对指定注册表项的访问情况并可限制其访问权限，包括读取、修改和删除等。2.注册表自动恢复：记录指定注册表项的当前状态并实时监控其变更状况，一旦发现有变更，则立即恢复。3.4.6 共享监控为避免单位内网用户通过共享的途径达到机密信息外泄，本系统对终端计算机的系统默认共享、用户文件夹共享及共享文件夹的操作权限情况进行监控和审计。可在控制台显示代理主机的全部共享文件夹信息，包括共享名称、共享路径、共享描述。提供操作员通过操作按钮停止共享的功能。3.4.7 设备监控随着单位计算机升级换代，计算机外设日益增多，计算机的外围输出设备（包括软驱、光驱、USB盘等）为各种信息在不同的计算机之间交流提供了一个方便的途径，也带来了病毒、木马随意传播的危险和为机密信息的扩散和泄露带来了可能。内网安全管理系统有必要对外围设备的使用进行控制，不允许未授权情况下使用外围设备。本系统提供对硬件设备的使用监控功能，可对光驱、刻录机、软驱、USB存储设备、调制解调器、串口、并口、红外、蓝牙、PCMCIA卡、1394接口、智能卡、无线网卡等设备的使用进行控制。通过对外挂硬件设备的统一监控管理，将计算机与其他可能的连接设备彻底断开，保证计算机上的信息只能存储在本地，无法通过外接输出设备泄露到内网之外。系统的设备监控有如下特色：1.可以对计算机I/O设备采取黑名单和白名单两种控制方式，白名单控制方式下，只有授权的设备才允许使用；2.黑名单控制方式下，支持设备排除列表；3.可区分普通光驱和刻录机。3.4.8 账户监控本地帐户审计可对本地计算机的帐户安全相关参数进行配置，对帐户变更进行监控和审计。包括：1.帐户策略配置：可强制本地启用帐户密码复杂性检测，设定密码最小长度、最大最小密码留存期、密码历史、密码到期提醒等；2.帐户锁定策略配置：可强制本地启用帐户锁定策略，包括锁定阈值、锁定时间、锁定复位时间等；3.帐户变更审计：对本地计算机帐户和帐户组的创建、删除和改名等操作进行监控和审计；4.弱口令检测：利用口令字典对本地帐户进行弱口令检测，发现存在弱口令的帐户时及时报警和提醒用户；5.禁用帐户：可强制禁用guest帐户或者黑名单帐户。3.4.9 网络行为审计网络行为审计提供基于规则的访问控制手段，对终端计算机的网络访问的监控与审计。审计内容包括HTTP访问、SMTP/POP3邮件收发、WEB邮件收发等。 1.HTTP访问：系统提供基于访问网址和关键字过滤相结合的HTTP访问控制，当发现与过滤规则匹配的HTTP访问时，可采取禁止访问、允许访问或者重定向等措施对HTTP访问进行控制；2.SMTP/POP3邮件收发：系统提供基于收件人域、发件人域和关键字过滤相结合的邮件收发控制，并可区分发送邮件和接收邮件；3.WEB邮件收发：系统提供基于特征匹配的WEB邮件收到控制，可以禁止用户采用常见的WEB邮件服务来收发邮件；4.上网行为审计：对登录的网站做审计日志记录，可导出报表备查。3.4.10 违规外联监控Xxx内网安全管理系统通过控制外接设备使用和终端计算机的拨号行为实时监测和阻断终端计算机的MODEM拨号、ADSL拨号、网关上网、代理上网等行为，可以对windows系统自身的拨号行为进行控制，也可以对C/S模式拨号行为进行控制。系统自身具备互联网访问能力检测，控制多网卡的行为，充分保证单位内网终端计算机的安全性。实现对终端计算机连接互联网或者其它网络行为的严格控制。从而切断内部人员通过主动的邮件发送、即时通