上网行为管理解决方案

上网行为管理解决方案上网行为管理解决方案11月1. 项目背景随着信息时代的到来，国际互联网的普遍应用己日益渗透到中国社会政治、经 济、文化生活的各个角落。互联网是一个连接全世界的、开 放的、白由的信息网络， 涉及到社会各个领域，它带来的是其开放性、兼容性、高效性与跨国性的信息传播， 人们因此而受益颇多。在信息化推进的同时，不可避免的伴随着计算机犯罪的增加、 网上黑客的猖獗、色情信息的泛滥、信息间谋的潜入。XX集团，重视IT基础架构的建设，从而助推业务系统综合实力的 提升。可是 有必要在现有IT基础架构的基础上建设上网行为管理系统，经过下属的行政效能 监察室来记录或者管理市直属单位以及各二级单位的上网行为。其必要性在于： 第一：从遵守国家政策角度，每个联网单位有义务建设行为、内容管理系统。 第二：作为能源类单位，必须遵守萨班斯法案或者类似法案，该法案要求企业 的内控活动，不论是人还是信息系统的操作流程都必须明白地定义并保存相关记录， 对审计过程也有存档的要求。同时公安部互联网安全保护技术措施规定（公安 部令第82号）第十三条，互联网服务提供者和联网使用单位依照本规定落实的记录留存技术措施，应当具有至少保 存六十天记录备份的功能。第三：经过互联网传递信息已经成为企业的关键应用，然而信息的机密性、健 康性、政治性等问题也随之而来。需经过上网行为管理设备制定精细化的信息收发 监控策略，有效控制关键信息的传播范围，以及避免可能引起的法律风险，而且保 护企业的信息资产，特别是勘探信息、经营信息等。第四：能够经过管理上网用户的行为，提高企业的运作效率，避免与工作无关的信息的干扰。第五：经过优化互联网的运行和监控，最大限度的保障已投资的信息资产 （如带宽等）。2. 网络现状XX集团内部网络基础建设已基本完成，但缺少相应的监控手段，管理者无法 看到职工具体在利用网络做些什么事情。虽然防火墙已经部署，但作为一个客体安 全产品，它能够很有效的防御一些外来的攻击，但对单位职工上网行为处于一种透 明状态，防火墙无法做到主体安全的管理，网络中充斥大量的P2P、网络视频等 消耗带宽很大的应用，导致网络拥塞，正常业务无法得到保障。内部职工甚至从事一些泄露公司机密的行为， 单位也束手无策。单位管理者需对职工的对外发送信息，如：BBS发帖；夕卜发邮 件的内容；网站信息的浏览等等，做到实时监管，一旦发现职工有损害国家利益的 行为或从事非法活动，马上得以定位，并对其进行处理。当前存在的主要问题1）上网行为无法对应到具体的用户当前的网络一般采用白动获取IP或固定IP的方式上网，在传统的网络设备中也只能做到查询IP的流量，无法对应到具体的用户，外来人员 上网、盗用IP等情况时有发生，管理员无法在技术手段上进行有效的管理。2）无法对泄密行为进行有效的管理和监控随着网络的发展，电子邮件、论坛发帖、聊天软件等外发行为可能导致公司机密内容有意或无意的外泄，传统的网络设备无法识别外发行为的内容， 更无法做到外发行为的管控，造成了很大的泄密风险。3) 无法全天候的保障单位核心互联网业务的带宽随着单位访问互联网的内容越来越丰富，用户需求也越来越大， 很可能会 导致互联网出口出现拥塞，一些日常核心的业务就不能够 顺畅的进行。面对当 前的情况，现有设备不能做到有效的流量管理功能。在网络拥塞时核心业务也 需要等待，这种现象相当影响职工的工作效率。3) 无法对可能的隐患服务进行有效的快速定位当前互联网中存在较多的蠕虫病毒，这些病毒可能会在职工不知情的情况 下产生大量的无意义的流量，严重的会占用单位的出口带宽，可是当前防火墙 等设备并不具备识别网络协议的能力，因此不能指导性的给出哪些流量是无效 流量，给网络拥塞的快速定位造成了较大的困难。4) 无法很好的满足国家在互联网安全方面的政策方针公安部预颁布了互联网安全保护技术措施规定既82号令，要求 “互联网服务提供者、联网使用单位负责落实互联网安全保护技术措施”。胡总书记在的重要讲话中强调“要大力发展和传播健康向上的网络文化，切实把互联网建设好、利用好、管理好”。因此公安部更要求各个单位严格落实82号令。根据XX集团的实际网络情况，我们建议部署上网行为管理设备。它 面向主体 的互联网管理与控制。可采用如下图方式接入网络，需要串 接入现有网络（部 署时会引起短暂断网情况），但不改变原有网络结构，为透明桥方式接入。部署 示意图如下：网康NS-ICG产品提供灵活的带宽控制功能、能够基于用户、用户组、特定的 应用协议及总带宽进行灵活的设定，有效的进行上网行为日志纪录。经过网康公司基于本土研发的应用特征库，能够直接对所有常见的网络应用 程序及子应用进行有效的监控审计及阻断。例如，经过配置P2P的应用阻断策 略，凭借网康科技的精准的P2P子协议识别技术，准根据XX集团的实际网络情况，我们建议部署上网行为管理设备。它 面向主体 的互联网管理与控制。可采用如下图方式接入网络，需要串 接入现有网络（部 署时会引起短暂断网情况），但不改变原有网络结 构，为透明桥方式接入。部署 示意图如下：网康NS-ICG产品提供灵活的带宽控制功能、能够基于用户、用户 组、特定的 应用协议及总带宽进行灵活的设定，有效的进行上网行为日志纪录。经过网康公司基于本土研发的应用特征库，能够直接对所有常见的网络应用 程序及子应用进行有效的监控审计及阻断。例如，经过配置P2P的应用阻断策 略，凭借网康科技的精准的P2P子协议识别技术，准4.网络控制策略4.1用户管理在使用上网行为管理系统之前，我们为XX集团及做一个详细的用户管理规划，以方便我们快捷的对网络行为进行准确定位。用户是互联网访问的标识主体（即谁在访问），是网康上网彳丁为管理的目标对象。除身份认证信息外，一个完整的用户定义还包含其组织信息和访问策略。每一个互联 网访问都对应唯一的用户（或用户组），这是网康上网行为管理系统实现基于用户和 用户组的访问控制的基础。而建立完整和准确的用户信息更是保证上网行为管理系统 进行有效互联网访问审计（监控，查询，报表等）的关键。经过网康上网行为管理系统提供的Web管理界面，能够输入、维护用户和组的 信息，从而建立起和本单位实际组织结构相一致的组织信息。用户和组的维护功能包 括新建、删除、更新、改变所属关系等。型蛔祀肯哲用P场未夕思名莉满辑*裁也争制用尸中益机出I除心螭-a取棺绑世野部HIA珥ffK系a文，甲户却173.1fl.11 41J总於e印匕顽彳发一01里础：用尸总192.108,19G.11-1921 a.J总北间南F厨技一制呻陌通3建ine僵SflC1W用所172.16.11.-13席必司帝门A殒宜，痼洎的JDn172.1flJ1.445公司牌IA研友一坦Jo里用户站172.1611 45吧您司肆匚4咽长一部4.2用户认证管理用户是上网行为管理产品最为核心的要素，任何一条策略都是针对一个用户或者部门设置的，因此对于用户的识别、认证与管理能力决定了上网行为管理的效果。网康ICG提供了丰富的用户认证方式以及符合企业实际的用户管理能力，很好地满足企业对于用户的管理要求M认四置陌认认旺方式对萌杵屈户有制若开启分网圈认证，WjSA噬合祉证诃询设即+高2S!8置认M型财认认11方可ScffiM 证盛型：用户氏剧IP身m迎判XHTTPa押用户召别VX翻匡户弱1d 11堂型：客P端诅试ACMX瓢网:fi A认证X露肖*本她认证X| 认迎您 1 土 wriiiJUi低玮邮iTXLDAP 好asRADU酣还X由由F号小itK4.2策略制订4.2.1防泄密策略设置互联网存在多种泄密途径，一般的途径包括：1、论坛。论坛提供开放的言论空间，是发布网络言论的重要途径。一旦涉密 信息出现在网络论坛中，会经过网络迅速传播。2、IM软件。IM软件已经成为沟通的重要手段，经过IM传播消 息、发送文 件，也会使得信息传播实况。3、邮件。经过邮件附件，能够迅速的将单位内部的资料发送给其它人。邮件 的群发功能，更使得传播效应大大增强。4、木马后门。木马程序会在计算机终端上开启后门，使得电脑上的全部资料完全暴露于入侵者勉强，毫无保密性可言。网采用关键字库过滤技术，对涉及涉密内容的信息进行过滤，禁止涉密信息 发网络论坛；同时，提供智能告警功能，一旦出现状况，能够快速定位，迅 速介入1. 审计所有论坛发帖的内容2. 设置关键字，当匹配关键字时阻塞本次发帖，并记录3. 当有匹配关键字的发帖出现时，系统向管理员发送告警邮件论坛发帖 *庄询均* 晒讯或营掘忡）El町*gEL3t* 蛀n口2011-01 ID 13 柚 11 Cnenyn201141-lfi 13: *3Cieiryn Kt 1-01gnyn13:1&星13M15 日 rry192.1&8.196.1|?2 峪丁 P 1 bU ：L1 . . rrs 1 lin1 c co - irei :ic cE1QQ.1C1k 106.1A72 Mto：慵 H 4 (wJbiiTM 1 CGMWmBi人tftUrar时配 也j. armrtit wT *1.侃#4们豹事哀下密F2ixt te RF.fcy e du.:r 地叶 9 ftijn 皇 J 知二艾七臣等 ?2JJ03兽息伽13:14: S7 Ciarryln 3011-01 1Q 13HS0 Ctienvn 3011-01-IQCncmry192.1&2.19E.172 hlfpJJlp mbyr.XUsteitigMJBi 跚 508804点任1Q21C1k1K172Wfafffcrtbw.* -JtFMaiO faT+eti.n525DM rui丸呻n&25DOO帕街CIMC Norton MIV . fe?No4on .4.2.2流量控制策略设置皿卜面以对P2P协议做限速为例进行流量控制功能说明1）经过选择策略管理对象设置 带宽通道对象，点击添加：噂* MJ X Hk别。数字越小优先级越高。配合策略设定，会优先保障优先级较 高的通道内的网络连接和通信。为关键应用保证带宽和网络服务质量。上传速率：设定上传速率。（当带宽紧张时所要保证的保证带宽）最大上传速率：设定最大上传速率。指超过上传速率后，借用带 宽后所达到的最大上传速率（假设其它通道还有富余上传带宽的话）。下载速率：设定下载速率。（当带宽紧张时所要保证的下载带宽）最大下载速率：设定最大下载速率。指超过下载速率后，借用带 宽后所达到 的最大下载速率（假设其它通道还有富余下载带宽的话）。将此带宽通道应用到P2P协议上2）选择策略设置流量控制，点击添加，选择P2P，如下A3 E2P点府点更件T载AleOorikeY/eMulftNGnutelariKaZaAFast Track）司PP点点JIlAlKuooo屋百度下吧AIWinNX设置通道，选择P2P带宽通道,寿建带蜜通道痢略名称下都隅i*损逐；|叫叮漆阻判用户蜀有用户诜择用尸一对同；肺i射同醇眄闻M成0逍渣*葡i以用苞耕至音神杆宽通且曰臼整Satwrent 引: bznteAel 可| Jrircllw R| id av h w i a g _S Kugcin 4-22 1 人29:1 sla.2nD.5a.gBHTTF51 NM36.1EI1301IQ.20iD.5Q.93J JITi1200B-(M-24 20D00542O2.2C4 203.1BSHTTP202 204 213.165377S60190.05 207:W31312OD&a4-lfi 1 TSGar1lOL3OD.11S.ZlBiDJina.llfii.ziaX50BD.1lj0J33?1I627200B-04231.2:1 4320+.612&2204.2C451J20C89L221.140.49幡？112tH4-23l.Z： 1Ma10.2010.51.IS1 D.iao.si .1 1b4I1 bt廊i1200&043317:3S D510LSD052 82HTTF-iDJOO.55 6221B 9 120151叙111D51D1H111111 HTTPID 200113.1 IdC4 1J11B9 IM沏I112ODB-O4-2113:06 S4202.10人201.60PPbw2O2.2O4.2ft1 MSN2t221 193.7145y.wo1*2J2inMA33?7laiDOJIIlBMHF也1DJDD5M1-1JQ12CK.BI UU176131591902OOB-O4-23 13bOU71OL2OC110.PPUwiojaa.ine.2i2J8SSI.212.31011： iU41M J3.12 40HOJOO SADunronrenE10.200 5人22437992D1 m.4l 150桃的15.3网站访问监控经过网站访问监控能够实时查看内网用户访问网站的情况，并对应相关分类，如下图:，JE捏常果认M淫我件府间12?00 30吊户10rjpQ 77.11212:003910.100 77.11212 00 391CI JOO Ifi.fIB1MD301J 13.1341邱ifCI.aO5B.I371ZOO.302D2 204.196 6612A039202 20+207人0012W胡IQADD.75,13同妹htt。为gnm匚t中ci事以bene/i 5陌白个中口 1+U#QifMtp.E-u4|口 UlT !Ltih 叫HtD 2Ctftncr|A ioz 它春 n 炒 con ciVtenniGAtfcir nt jtmLiaHi.口 +riF mAEibEl.uahihhaiml J 沮.白&：心勺 1 皿43#匕氐：Ff旧白匚Ktto jfiaa ggtSusrwLcaiicfVi 匏 MH ffhungnicEej X士iFTiny： isimuijm tn 才WCD3 正 ihr?1.舛。3H1JPbr.HnF idrape |Aajvw-点 ostiu cmtH12JQM9 门网口 5W 1?100 哭302 AQ4i NT 300ht匹为睥Jara血xonhsro皿记用恒卜口 n叫宣1口”币，曾险 L ihr?nin iwfl卜窿12A0030 IQ 3 口薛 J 3? I。3 目10113.13412 iQQ 39.QQiamn 镭 1 力1卸gg1Q3叩础做Ftp *，汁审弁机匚5 rni5 口转。耳nr rttci.71.;rai 伯.KztMKCNgT*.21 浦 t m 0b jcc 卜山广产只芦J，节fm衲加 fEWadrghow cr。aoarzihi：:社右生话帷攵活未匹配弟匹配枷配拒汗壬匹配的彳求直己胃育茉匹配未匹配F网站与携京翊芋在匹配计厘机与与联同海平未EJ配计？ T机与耳至同宝叫配饰未瓯JftHEIP加汗点匹配HF隅八凿案弓悖ftiT未匹配)=嗣与技器1生修未甚配比会生洁ytrF未EKPR蝴与抿素引警未0SECF净RW亲引零未匹配IP.ExesaenpNH技瘀序加汗5.4搜索引擎监控M劄I件胡日用尸匪字警手登现.is词茬134522Hp:肿如匚以一fsdr制1A45 231536 10114_宜业籍行记奈16(3 U3UU U土 II 后风，们齐旬 B.rfiXMVa, kb&rt i rr 顽g15.4510跄13置血EX#丁W154A14nnse.jj?厂，顷站 En e右才伸起记豪mi1厂 顷站，_15； 4613 10-19-1G114记亍15 4612 加君 MCH 14firEMtOIU15 45111013B.WWrtr 仙 5 wfriMflTilr样裙能1O130-1CH 14岫 iSEiwmuLiYiwrlMqIBIB印砌5.5用户统计以用户为对象对管理系统支持的所有网络行为进行统计，实现对用户访I可网站、应用及外发信息(邮件、论坛发帖、聊天信息二种类型)进行统计的功能S用户怠请求数总?S(KB)邮件数量发站数量-聊夫条数口 10.200.50 21L125560.5D207320nn 10.200.52,17217部403910n口 10.200 73.3310921.45402960口 10.200.5S.5314383777。027S0n口 10.200113.455,2623858.叮 402110B10-200.67.1641047,0255010.200.b24641”刖80250C 10.200.115.2361699&54402360口 10.200.77.11110143技M02340口 202.204.204.138L171378347日0233010.200.52.11611边3 口022S0口 202.204.205 22126UL513022005.6应用流量统计经过对管理系统支持的所有应用的上传流量、下载流量、总流 量及访问用户数进行统计，了解网络资源使用情况。口用户应用数总上隹量(KB)总下载皇v KB)总慌量代9) 口Q10.200.10.46161,048.02920.078.07021 126,09910.200.10.116612703.0071 1,000,09311,703,10510.200.11.31185,939,4293,620,6940,560,12110.200.113.525,034,2412,526,9403,101,10010.200.72.1 S9261,640.2936,251,9647892,20310.200.74.116021 9.3236,845,4617,004,73610.200.113.46193,620.7403,276,3410.697,001202A04 193.20225,392.680135,3566.026,036202.204.197199252,233.0202,297,5425.530,561n11202A04199.16U119(320可 54,4945.273,81410.200.55J0114,167,75255S.3644,727,036202.204.205.3出.2.120J612,427,5954,553,056. 统计报告输出分析网康ICG支持根据时间、用户、应用对上网行为进行全方位的统计，内容涵盖网络流量、Web访问、邮件收发、IM聊天、论坛发帖、P2P下载等各种网络应用。并提供多达50种预置报告模版，获得不同角度的统计报告。6.1递进式(Dill-down )统计分析面对纷繁复杂的数据，人们习惯从宏观到微观、从全局到局部逐步地认知、理解，分析的层次由浅入深，分析粒度由粗到细。事实上，多数抽象事务的分类与分层 普遍遵循这一规律，如日期以年、月、日表示，行政区按照国家、省、市、县进行组织，人们的思维习惯实际上是 这种客观存在 的主观映射。网康ICG采用递进(drill-down )的方式，把统计数据层次分明地展 现给用户，帮助管理员快速在全局与细节上把握网络活动的状况。比如：为了了解一周内企业员工访问web的情况，ICG引导用户按照如下的操作：URL总类别数- 哪些网站类别- 某类网站所包含的具体网址-某网址有哪些人在什么时间访问，层层递进，把web访问的信息清晰地展示出来，如下图所示。另外，除了按照网站类别查看，还能够按照站点、请求数等进行递进查询分析。据 N宁阻芝普人-A*l( hfil隹 flfl且耋款挡上懂呈(MB)KB)i+HFl-BEtnCU2 J41111 穿理 ifillIQ推1(51,750 15B.71 3:田户*对站jj是子哒且L VH财点NW#上槌容KE )ME彗下心 Keym sjg-r fits frfiHeeCAEa 虬如 eQ ad wiriOuwsuplaMcom12i0.35ad34261 33647 JS5 ?的弟1启 TW 1&8 195 11? f 叫 dCiwnto 网 wirwowsgtii 十号毗匀 MV 同,2008-03 人 i:Sl 13 192nSS 1A6 116cDMiioact wirxlDWSUDd计窟机与 m 月递进统计分析6.2预置报告模版分析报告是实施上网行为管理设备后进行效果评估的最直观工具，也是了解网络活动以及调整管理策略的最重要的依据。网康ICG提供用户/部门上网综合报告、流量分析报告、用户排名报告、应用排名报告、网络应用时间走势报告5大类50多种报告模版，以表格、饼图、柱图、线图等多种形式展现，方便管理员进行全面的分析。用户上网综合报告在选定的时间范围内，对于选定的用户： 总流量，下载流量，上传流量报告 总流量历史走势报告应用排名报告（按流量）访问最多的URL类别排名，以及访问次数阻断数最多的URL类别排名，以及阻断次数请求数最多的URL站点排名，以及请求次数 阻断数最多的URL站点排名，以及 阻断次数 发帖最多的站点排名，以及发帖数量发送邮件最多的email类型，以及发送数量IM聊天条数部门上网综合报告在选定的时间范围内，对于选定的部门（用户组）：部门总流量，下载流量，上 传流量报告部门总流量历史走势报告部门应用排名报告（按流量）部门访问最多的URL类别排名，以及访问次数部门阻断数最多的URL类别排名，以及阻断次数 部门请求数最多的URL站点排 名，以及请求次数 部门阻断数最多的URL站点排名，以及阻断次数 部门发帖最 多的站点排名，以及发帖数量部门发送邮件最多的email类型，以及发送数量 部门IM聊天条数流量分析报告累计流量最大的应用排名累计流量最大的用户排名累计流量最大的网站排名排名站点dou/nlo-id. inicrcffcfi. com715A0耻 3 尊 dis crvxccicrosofA . com61336上住毓量口下载流星ardawnlo ad. i a-i -知.dcwilDad.10. 1：迅雷 2: HTTP 3: eDoniey/eMule 4； Bit Torrent 5:ssh B;未知戏P底用CUDP) 7:HTTFS 8:POP3 口 史 SMTP 10: QQL L-ve20C8-03-28流量分析报告用户排名报告网络访问最活跃的用户排名Web访问最多的用户排名Web阻断次数最多的用户排名发送邮件数量最多的用户排名聊天条数最多的用户排名发帖数量最多的用户排名7.9.02%9.07A4.86*i 4.05A 192.168. 106. 142口 192.163. 193. 115 192. 168. 196. 116口 1 9?. I8r 1,乩 141 192.168. 196. 29E 口 IS2. 1 曲.19 民 宛口 192.168.19S. 107口 I 彼. L69. 1S6. 120 口 192. 163. 19G.14 192.168. 196. 18116.03-用户排名报告（流量）应用排名报告请求数最多的网站类别排名阻断数最多的网站类别排名请求数最多的网站排名阻断数最多的网站排名发送邮件数最多的email类型排名发帖站点排名门户网站与搜索引 擎口广算初与互联阿 I 耐缰 口娱乐 曰博波 口房叱 口蚯E通信 口商业 口杓模 机的牟 其他Web类别排名报告（请求数）时间走势报告Web访问走势报告阻断信息走势报告邮件发送走势报告论坛发帖走势报告IM聊天走势报告应用流量走势报告7. 网康产品说明北京网康是互联网控制管理领域的先行者，中国企业信息化500强上网行为管理设备指定提供商，专做上网行为管理一款产品。网康互联网控制网关建立了世界上最大的适应中国大陆的URL地址数据库，超过 多万URL地址。中文地址网站90%以上的比例，共51个分类，能够在线持续更新。经过对成人，色情等非法网站 的强有力 过滤，能够保障员工接触到的是一个绿色的，文明的互 联网。网康互联网控制网关建立了世界上最大的符合中国人上网习惯的 本地化的 网络应用协议管理数据库，涵盖了国内流行的各种网络应用大的类别，经过 对各种网络应用流量的限流和控制，能够保障员工通畅的访问互联网。提供长期的可持续的特征库升级能力，及时跟进最新互联网使用行为。关键技术阐述：主体管理技术理念：越来越多的互联网访问出口阻塞以及网络安全问题是由于内部用户的不当访问造成的。主体管理通俗的讲就是将公司的管理政策（在本方案中即为上网管理规定）经过技术手段落实到内部用户身上，增加管理规定的可操作性和可审计性。基于行为后果的搜索引擎技术分类网址库：由于上网行为管理中Web的控制多基于内置分类库实现，少部分会由用户白定义补充，因此分类库的建立方式和库容量将直接决定Web的控制效果，当前业界先进厂商均采用基于搜索引擎技术的网址分类库。（基于行为后果的分词技术为网康专利技术，经过该技术网康已经拥有1200多万的URL网址分类库）。细粒度树形协议分类库：高端的互联网访问管理产品多采用树形应用协议分类库（类似于注册表技术）。由于在设置应用协议的控管策略时用户的需求可宽，可严，可细化，而且需要高可读性，传统避免平面协议库在与已有协议嵌套或近似的新协议产生时出现可读性严重降低。采用细粒度的树形协议分类库将有效提高行为管理策略的可读性，而策略高可读性是安全产品必尊的法则之一。一网康科技