企业上网行为控制审计系统需求说明书(共27页)

精选优质文档-倾情为你奉上江西优码创达软件技术有限公司文档编号密级机密文档类型部门网安研发文档状态草稿审核 批准作废版本号1.0共 0 页企业上网行为控制审计系统需求说明书编写： 日期：2012/9/3审核：日期：批准：日期：江西优码创达软件技术有限公司2012-9-3目 录1. 引言 1.1.编写目的今天，随着信息科技的高速发展，IT给企业的运营带来了前所未有的便利，并且逐渐成为企业发展的重要驱动力。但与此同时，IT也给企业带来了风险和挑战。v 企业信息安全隐患激增现在，越来越多的企业认识到，信息泄漏对企业的危害之重，它不仅给企业带来法律风险、巨额的经济损失，还可能危及企业的生存发展。雇员被列为最有可能制造信息安全事件的素。v 系统应用效率难以评估和控制最近公布的一项调查结果表明，在工作中使用MSN、QQ等聊天的人数高达89.2%，网页浏览中新闻网页占65.9%居于首位。一个月薪2000元的员工，每天“隐性旷工”2小时，每年为企业带来的直接损失高达6000元。一个拥有50人的企业仅此一项每年将损失30万。并且滥用网络和系统资源还可能将暗藏于互联网的安全隐患带入企业网络内，威胁系统安全。v 系统维护，资产管理繁琐IT部门接近一半的工作时间用于为计算机安装及升级软件，IT 人员为PC 做简单的日常维护工作占其总工作量的70-80%，大大增加计算机网络的综合管理成本。如果问题没有得到及时有效的处理，也会极大影响企业的业务连续性。v 读者 需求提出者 企业行政管理层 项目组成员1.1.背景v 系统的名称暂定企业上网行为控制审计系统网狼1.0v 提出者公司行政管理层，决策层v 开发者网安行业研发人员v 用户企业网络管理人员1.2.参考资料v 盈高多维终端安全管理平台技术白皮书.pdfv 威盾3.2用户使用手册.docv 联软上网行为管理系统.docv 交通管理业务信息综合分析研判平台.doc2. 需求分析2.1项目目标 该系统的实现将让企业对所有计算机的使用情况了如指掌，它将是企业对信息的安全防护和技术的广泛应用而应运而生的，其功能强大的计算机监视、控制与管理系统软件，是为现代企事业的管理人员量身定做的企业管理软件。不但可以对员工电脑的屏幕、上网、聊天、邮件和文件操作进行全面的监控、记录和管理，而且还可以防止员工盗窃公司机密资料，并对员工的工作进行一个客观的评价。它可以大幅度提高企业生产效率，减少不必要的资源浪费，帮助企事业管理人员培养企事业优良风气。2.2架构设计要求2.2.1设计原则1、规范性：系统设计按公安部颁发信息系统数据库标准以及有关管理办法。2、整体性：系统整体设计统一规范，功能模块清晰合理。3、先进性：系统设计规划采用符合应用系统发展趋势的主流技术，采用B/S三层架构与C/S结合，充分利用两者的优势。4、实用性：系统设计充分考虑当前企业上网管理的工作实际，具有较强的实用性和可操作性。5、稳定性：为保证系统最大限度地发挥作用，系统设计采用目前业界主流信息化技术及产品平台，整体系统具有较高稳定性。6、安全性：为确保系统安全，应该具有完善的安全解决方案。7、可扩展性：系统具有较高的灵活性和健壮性，支持多种主流开发软件，支持组件化、插件模式开发，具备扩展性强、易于集成的二次开发能力，以满足各方面应用扩展的需要，维护简单、升级方便。8、易用性：提供统一美观的界面、详尽方便的帮助、智能化的提示、简便的操作等。2.2.2系统架构特点省略2.2.3系统架构简图 本系统相关比较独立，主要分前端数据获取及被控层，区域管理层和中心管理层，数据层。2.3需求说明2.3.1 应用程序管控2.3.1.1 需求描述 应用程序日志系统自动记录客户端机器打开或关闭的应用程序，或者应用程序窗口切换信息。管理员可以通过控制台查看相关日志；应用程序日志类型包括：启动/停止日志类型说明启动/停止记录客户端机器上启动/停止应用程序的情况；系统应用程序日志记录包含的属性有：操作类型、时间、计算机、用户、应用程序、路径/标题等信息属性名称说明操作类型应用程序启动/停止和窗口标题切换；应用程序应用程序的进程名称；文件路径当操作类型是启动/停止时，记录应用程序在客户端机器上的详细路径；窗口标题当操作类型是切换窗口/切换标题时，记录当前的应用程序的窗口标题。 应用程序控制系统可以按全天或指定的时间段对指定的程序禁止，对违规网络行为在事前进行控制。应用程序的控制支持以下2种方式：通过进程名称来禁止：管理员直接添加应用程序的名称，如QQ.exe；通过应用程序分类来禁止：管理员可以按照某种规则产生相应的程序分类，如聊天软件: (QQ， MSN， 阿里旺旺， 飞信等)统一划分为一类， 系统可以把通过设置应用程序分类来禁止在这分类中的所有程序运行。2.3.1.2 统计查询系统可以针对计算机每天的工作情况和应用程序使用的情况进行人性化统计和分析. 为管理者评估员工工作效率提供了可靠的依据，并且提供了统计数据的导出功能. 系统应支持以下几种统计方式: 应用程序类别统计系统按照管理员设置的应用程序分类进行统计。 可以统计出各计算机的开机时间，以及各种分类应用程序的使用时间， 以及占总开机时间的百分比。 应用程序名称统计系统可以统计出各计算机的开机时间。各应用程序的使用时间，以及其使用时间占总开机时间的百分比。 分项统计系统可以把设置某些应用程序为工作应用程序（如： Office系统，开发环境VC，VB，DEPHI之类）。如果用户在使用这些应用程序，则视为工作。系统可以统计出第个计算机的开机时间，以及工作时间。系统支持各种统计数据以图形方式显示如:柱状图饼状图2.3.2 网页浏览管控2.3.2.1 需求描述 上网浏览日志系统支持详细记录员工访问网站情况，可以按网站名称、标题名称、时间、范围查询日志. 属性名称说明标题浏览的网站标题；网址浏览的网站的详细网址；时间浏览时间计算机名称计算机名称或IP地址用户登录用户名称 上网浏览控制 系统支持限制客户端计算机的网站访问，限制对于工作无 关的网站、恶意网站等的访问. 系统支持对网站URL分类管理，支持添加/删除/修改网站URL分类，添加/修改网站URL分类时，支持批量导入网站URL列表。 系统可以按全天或指定的时间段对指定URL或URL分类设置策略，用于控制用户对网站URL的访问。 策略动作可分为允许，禁止，告警; 1，允许为用户可以正常访问URL; 2，禁止为用户访问URL会被中止；3，告警指用户可以正常访问URL，但在系统后台会产生相应的告警。2.3.2.2 统计查询系统支持网页浏览信息做以统计分析，分为按明细统计和按类别统计，并以直观形象的图标方式展现出来，查看统计图表即可了解哪类甚至哪些网站被访问的时间比较长，从而判断是否有影响正常工作的情况发生； 按网站类别统计系统按照管理员设置的应用网站URL分类进行统计。 可以统计出各计算机的各分类URL访问时间； 按网站明细统计系统按照网络URL列表明细进行统计。统计各计算机访问URL列表明细时间。2.3.3 文档操作管控2.3.3.1 需求描述 文档操作日志文档操作日志记录客户端机器用户对文档的操作信息，可以让管理员通过查看日志记录可以发现用户的文档操作行为，同时为事后追查资料泄密事件提供可靠线索，增强电子文档管理的安全性; 日志记录的内容包括: 属性名称说明操作类型包括：创建、访问、修改、重命名、复制、移动、删除、恢复以及上传/发送源文件用户操作的文档名称；路径用户操作的文档的详细路径，当操作类型为复制、移动、重命名时，路径会记录文档的源路径和目的路径；盘符类型用户操作的文档所在的盘符类型，包括：硬盘、软盘、光盘、可移动盘、网络盘。当操作类型为复制、移动时，会显示源和目的盘符类型；应用程序操作该文档使用的应用程序进程名称；标题操作该文档时的窗口标题。 文档操作控制 系统可以在指定的时间，禁止对指定文档的操作。操作 类型包含：创建、复制、移动、删除、重命名、修改、恢复及访问; 系统可以按全天或指定的时间段对指定文档设置策略,用于控制用户对该文档的操作。 策略动作为禁止，告警，备份。1，禁止指用户禁止操作此文档。2，告警指用户操作此文档是后台会产生告警。3，备份指用户操作些文档之前。文档会被自动在后台产生备份。2.3.4 打印内容管控2.3.4.1 需求描述 文件打印日志系统可以记录和查询员工打印文档情况，包含打印时间，目标文档路径，打印页数，打印机名称，执行打印任务的PC机器各登录用户名。 文件打印控制对客户端计算机的打印权限进行控制，从而实现对打印资源合理分配，限制非法应用程序打印,有效避免敏感或机密信息通过打印而外泄。控制条件包括：时间，打印机名称，执行打印任务的用户名。2.3.5 设备管控2.3.5.1 需求描述系统可以限制各类设备的使用：设备分类功能介绍管理作用驱动类设备可以按某台、某组或者整个网络禁止使用哪些存储设备。包含：软驱，光驱，刻录机，磁带机，可移动设备（U盘，移动硬盘，记忆棒，智能卡，MO，Zip）避免员工使用与工作不相关的计算机设备，错误修改网络属性，方便统一部署屏保程序或画面。根据风险评估，制定事前预防策略，根据策略对相应的设备进行禁止，预防文件泄密。可以灵活的开启设备，不影响员工的正常使用。通讯类设备可以按某台、某组或者整个网络禁止使用哪些通讯设备。包含：串口，并口，USB 控制器和连接器(HUB)，SCSI接口，1394控制器，红外线，PCMICA卡，蓝牙设备，MODEM，直接电缆连接（串口，并口，USB），拨号连接防止随意通过无线、蓝牙、红外、拔号等方式上网，从而避免机密文件外泄。USB类相关设备可以按某台、某组或者整个网络禁止使用哪些USB设备。包含：USB 键盘，USB 鼠标，USB Modem，USB 映像设备，USB CDROM，USB 存储，USB 硬盘，USB 网卡，USB 其他设备。可以对USB键盘、鼠标、modem、MP3、移动硬盘等分别进行控制，启到防止文件外泄、病毒扩散等。网络设备可以按某台、某组或者整个网络禁止使用无线网卡，PnP网卡（USB，PCMICA），虚拟网卡等网络设备可以控制网络设备，避免违规联网。其它类可以按某台、某组或者整个网络禁止使用声音设备，虚拟光驱等设备可以控制多媒体设备，避免违规使用。禁用任何新设备可以按某台、某组或者这个网络禁止使用任何新设备不允许增加没有经过管理员认可的任何设备。2.3.6 网络控制2.3.6.1 需求描述 系统支持对通讯方向、IP地址范围、网络端口范围的设置限制客户端计算机使用网络的权限.通讯方向双向，出站和入站三种(是指物理上的通讯方向)。出站和入站是相对于客户端机器来说的，也就是客户端机器主动连接其他计算机，即为出站。端口范围指通讯所使用的端口号范围网络地址范围指通讯IP地址范围 系统自动检测网络内是否有非法计算机接入，有非法计算机接入时控制台会报警以提醒管理人员. 系统支持将客户端IP地址与MAC地址进行绑定， 防止客户端随意修改IP地址.2.3.7 网络流量管控2.3.7.1 需求描述系统支持通过网络地址、端口号、发送和接收方向来限制计算机的网络流量. 系统可以根据网络IP地址，端口号，以及发送,发送/接收/全部等，以及最大带宽值等条件，设置相关策略。控制目标计算机的网络流量。当目标计算机网络流量达到或超出设置的最大带宽值时。系统能自动降低目标计算机的网络吞吐量,以达到网络限速的目的。2.3.7.2 查询统计系统支持按地址明细(IP, MAC地址)，地址类型（内网，外网），端口明细，协议明细，计算机等条件进行网络流量的查询与统计。对统计结果可支持统计图表显示。2.3.8. 屏幕监控2.3.8.1 需求描述 实时屏幕快照系统支持实时查看客户端屏幕. 支持同时查看一组进行屏幕监控，在同一屏幕显示多个客户端屏幕， 并可设备显示客户端屏幕的数量。 屏幕快照历史记录系统支持对客户端屏幕快照历史功能：可以通过设置时间范围, 计算机组进行屏幕录制等条件,设置策略,自动对客户端进行屏幕监控。监控到的计算机屏幕按照视频格式保存在服务器端。以便管理员可以随时查看查看。2.3.9. 邮件管控2.3.9.1 需求描述 邮件内容日志系统可以记录邮件的收/发日志, 支持POP3， SMTP, 以及web方式的邮件。 日志应包括计算机名，计算机IP，收件人地址，发件人地址， 邮件的标题， 邮件正文内容， 是否含有附件（有附件的能记录附件内容）， 以及发送/收取邮件的时间等内容。 邮件发送监管系统支持制定相关的策略，从不同维度去控制员工的邮件发送。策略维度包括：发件人地址，收件人地址，邮件标题，邮件大小,是否包含附件,附件名称,附件大小等。策略属性名称说明发件人对发件人的邮箱地址做控制，支持通配符，支持输入多个，以“,”“;”作为分隔符；收件人对收件人的邮箱地址做控制，收件人也包括抄送人和密送人的邮件地址，输入规则同“发件人”；主题对发送邮件的主题名称进行控制，如果主题名包含了设置的敏感词，则视为违反了策略规则包含附件对发送的邮件是否包含附件做控制。附件名称对发送邮件的附件名称进行控制,如果发送邮件的附件名称包含了设置的敏感词,则视为违反了策略规则；邮件大小(=KB)对发送的邮件大小进行控制,如果邮件大小超过了管理员设置的值,则视为违反了策略规则对于违反了策略的邮件发送，策略可设置禁止发送， 以及告警等动作。 设为禁止时发送时邮件会发送失败， 设置为告警时， 系统后台会为此次的发送动作产生告警。2.3.10. 即时通讯控制2.3.10.1 需求描述 即时通讯聊天内容日志系统支持对主流聊天工具软件（QQ， MSN， 阿里旺旺， 飞信， Yehoo通）聊天内容的获取， 并保存为日志。 日志包括， 计算机名， IP地址。 发送者账号， 接收者账号， 聊天内容， 以及聊天时间.系统支持对聊天内容设置敏感词。 对涉及敏感词的聊天内容对其自动标示。 即时通讯传送文件控制系统支持设置相关策略以控制员工使用聊天工具软件发送文件。策略内容包含发送时间范围， 文件名称。 防止公司的机密文件通过即时通讯软件外泄。策略属性名称说明文件名称设置需要控制的IM传送的文件名称，支持通配符,当文件名称包含了管理员所设置的敏感词时,则视为违反了策略规则；限制文件大小当发送的文件大小超过了管理员设置的限定值时，则视为违反了策略规则；发送时间范围指策略在此时间范围内生效，可以设置为全天。即策略所有时间生效。对于违反了策略的即时通讯发送文件。 策略可设置禁止发送，告警， 备份等动作。 设置为禁止时， 发送文件会失败， 设置为告警时，系统后台会为此次的发送动作产生告警。 设置为备份时， 系统自动把发送的文件备份在后台。2.3.10.2 查询统计 系统可按计算机名或用户名查询所有聊天记录列表，列表内容包括聊天工具名称，计算机名、用户名、聊天账号名称、对方账号名称、开始时间、结束时间，聊天句数；统计每种工具聊天记录总数； 系统支持选定聊天记录， 查询此次聊天记录的上下文。 系统支持按计算机名或用户名统计敏感关键字出现的次数， 并查看涉及敏感关键字的聊天内容的详细日志，以及聊天上下文。2.3.11 资产管理2.3.11.1需求描述 硬件资产管理 系统自动扫描并记录客户端计算机的硬件信息日志，日志记录包括，计算机名，CUP型号,内容型号，硬盘型号，网卡型号，显卡型号等。 系统自动检测客户端计算机硬件信息的添加/删除信息。并把此信息记录为日志。形成计算机硬件资产变更日志。 日志内容包括，变更动作（添加/删除），变更时间，计算机名，资产类型（CPU，硬盘等）. 以及描述（指硬件资产类型的描述， 如资产类型为CUP时，描述可为CUP的型号，主频等信息） 软件资产管理 系统自动扫描并记录客户端计算机所安装的指定的软件信息日志,日志记录包括,计算机名,软件名称,软件描述等。 系统能自动检测检测客户端计算机指定的软件的添加/删除信息。并把此信息记录为日志。形成计算机软件资产变更日志。日志内容包括,变更动作（添加/删除）,变更时间，计算机名，软件类型，以及描述。 系统支持进行大规模的软件部署和安装,卸载。能够自动进行大规模的软件部署和安装，也可以复制文件或者应用程序到客户端计算机，在传输过程中支持断点续传，安装时允许通过后台安装或交互安装两种方式进行；能扫描出客户端计算机上已安装的软件列表和版本；可在策略中设置禁止安装的应用程序列表；管理员可对客户端已安装软件进行卸载；2.3.12 远程维护2.3.12.1 需求描述系统支持管理员对客户机进行远程控制， 以方便管理员对客户机进行远程维护。 控制时由客户机发送请求。 管理员接收到请求，同意后就可以对客户进行远程控制， 对客户机进行远程维护， 控制功能参考windows自带的远程控制软件。 远程控制时，支持管理员向客户机传输文件。2.3.13 移动存储控制2.3.13.1 需求描述 记录移动存储设备在网络内的使用 系统自动检测移动存储设备的接入,拔出。对客户端计算机移动存储设备的接入,拔出记录日志。 日志内容包括：计算机名,动作类型(接入/拔出),时间， 以及移动设备ID,卷标,容量等信息。 对移动存储设备的读写控制系统可以设置相关策略，控制客户端计算机对移动存储设备的操作。 策略内容包括，时间范围，是否可读,可写。 策略属性名称说明时间满园指策略在此时间范围内生效,可以设置为全天。即策略所有时间生效。可读指客户端计算机可以读取移动存储器的内容。可写指客户端计算机可以写移动存储器。 移动存储设备中的文档进行加解密系统可以设置策略， 对客户端计算机在读取/写入移动存储设备时，自动进行加密/解密操作，以限制移动存储设备在其它地方使用。3. 总体设计3.1网络拓扑结构3.2硬件系统设计3.2.1服务器及网络设备目前计划采用的方式是：1台高性能服务器、3台中档次服务器、整个网络使用10兆以太网或光纤网络；具体配置建议，请参看硬件设备清单。3.3安全设计3.3.1身份认证为保证安全可信接入，平台为Web操作平台及第三方系统提供身份认证功能，实现它们安全接入平台的相互身份认证。3.3.2信息安全信息安全主要包括信息完整性安全和信息保密传输安全，信息安全设计通过数据完整性、信息保密和抗抵赖等安全服务，使用国密局批准认可的SM1算法硬加密机制，保证移动应用系统中信息内容在存取、处理和传输中保持其机密性、完整性和可用性，确保信息系统主体的可控性和可审计性等特征。(1) 数据加密传输功能为各种警务信息传输安全，传输过程将对数据进行加密传输。(2) 数据完整性保护功能可检测和发现数据在传输过程中是否被修改。3.3.3网络系统安全网络系统安全是保障网络通信基础设施、网络上的各种系统及各种应用软件的正常运行。它建立在物理安全的基础之上，主要包括网络隔离、操作系统安全、网络通信系统安全、网络攻击防范、病毒防范、灾难应急处理、日志管理与审计跟踪等几个方面，是实现整个应用系统安全的基础。3.3.4应用安全防火墙、短消息安全接入系统、IP安全接入系统、鉴别评估管理系统、各种应用服务器等都应具备全面的访问日志，以方便系统管理员对访问该服务器的行为进行有效的审计和分析，以便发现攻击、非法访问的来源，及时调整系统安全策略，确保整个系统及相关信息的安全。3.4关键技术实现 网络流量的控制当某些机器的网络上传下载流量影响到整个网络时，可提供相关的功能对其进行限速，以达到网络平衡的状态，这项技术需要尝试研究； 远程控制功能类似QQ远程协助，需要做技术研究；附录一 公司简介江西优码创达软件技术有限公司是一家专业从事软件技术开发服务及提供公共网络应用与安全管理整体解决方案的双软认定企业，是公安部授权认可的全国9家互联网内容安全与行为审计软件供应商之一。公司自2003年成立以来，一直保持全面快速成长，立足于行业软件研发，广泛从事着与互联网安全、管理决策信息化有关的各项业务，专业提供互联网内容安全和行为审计与监督整体解决方案及系统集成服务。2006年通过国家信息产业部门的软件企业及产品资格认证。通过不断自主知识产权核心技术的研究，公司相继研发出一系列拥有自主知识产权的软件产品，并通过了江西省科技厅组织的成果鉴定，十二项产品获得软件著作权登记证书，6个项目获得国家或省级资金的无偿资助，两项产品通过公安部检测。其中，网盾2000成功将IC卡的应用融合在产品中，开创全国安全领域管理应用之先河，该产品运用于江西省全省4500余家网吧，2万余家宾馆、酒店，产品也成功进入山西、陕西、广西、山东、深圳等省市。多年行业的秣马厉兵和实战成果，已在相关行业树立了良好实干的企业形象，同时也吸引了合作伙伴的目光，中山达华智能科技股份有限公司（股票代码：）前期作为我公司的战略合作伙伴，对公司多年的行业应用沉淀给予高度评价和期望，现已出资2500万元收购我公司51%的股权，我公司成为中山达华智能科技股份有限公司的控股子公司。中山达华智能科技股份有限公司属广东省高新技术企业，是专业生产非接触式智能卡、智能电子标签、各类RFID产品的研发、生产和销售厂商，其非接触式智能卡在2007年、2008年、2009年、2010年市场占有率连续四年位居同行业第一。国内市场拥有分布在27个省市地区的600多家稳定的终端客户，国外市场主要集中在欧洲和亚洲国家和地区，拥有稳定的海外客户530家。在国家诸多重点建设项目和国际知名项目如：解放军车牌防伪标签、地铁（轻轨）、大型城市一卡通、HP（美国惠普）资产管理、图书馆领域有着成功的应用案例，为RFID产业在物联网事业的大潮中发挥了积极作用。附录二 硬件设备清单设备名称配置数量应用服务器1颗e5-2403 cpu，主频不低于2g，内存32g，sas硬盘 2x300G，raid1，双电源、双千兆网卡1分析服务器2颗e5-2650cpu，主频不低于2g，内存128g，Sas硬盘，10x600G，双电源、双千兆网卡1数据库服务器1颗e5-2403cpu，主频不低于2g，内存128g，Sas硬盘，10x600G，raid5，双电源、双千兆网卡1数据库同步备份服务器1颗e5-2403cpu，主频不低于2g，内存128g，sas硬盘 4x600G，raid5，双电源、双千兆网卡1目前公司上网方式为：使用代理服务器，上网行为审计的用户是代理服务器上的用户。而内部邮件及u盘管理这类的桌面管理程序是在各位员工各自的电脑上，这种模式如何实现。专心-专注-专业