産品中心 / PRODUCT

超陵内網安全管理(lǐ)

 一、内網安全面臨的(de)挑戰

随著(zhe)計算(suàn)機網絡技術、Internet 、Intranet和(hé)數字通(tōng)信技術飛(fēi)速發展，信息網絡技術的(de)應用(yòng)層次不斷深入，應用(yòng)領域從傳統的(de)、小型業務系統逐漸向大(dà)型、關鍵業務系統擴展，如電子政務、CIMS、知識管理(lǐ)、電子金融、社會保障、GIS系統等。大(dà)量的(de)技術和(hé)業務機密存儲在計算(suàn)機和(hé)網絡中，對(duì)網絡安全性要求變得(de)越來(lái)越高(gāo)，需要有效地制定安全策略以保護機密數據信息。通(tōng)常的(de)安全策略的(de)一個(gè)基本假設是：網絡的(de)一邊即外部的(de)所有人(rén)是不可(kě)信任的(de)，另一邊即内部的(de)所有人(rén)是可(kě)信任的(de)。通(tōng)常認爲黑(hēi)客、病毒以及各種蠕蟲的(de)攻擊大(dà)都來(lái)自外部的(de)侵襲。但是，根據美(měi)國FBI的(de)統計，各種計算(suàn)機網絡、存儲數據遭受的(de)攻擊和(hé)破壞，80％是内部人(rén)員(yuán)所爲。來(lái)自内部的(de)數據失竊和(hé)破壞，遠(yuǎn)遠(yuǎn)高(gāo)于外部黑(hēi)客的(de)攻擊。企業内部競争性情報信息是企業無形資産管理(lǐ)的(de)重要部分(fēn)。俗話(huà)說“知己知彼，百戰不殆”，如何保護企業自身重要情報不被競争對(duì)手竊取，使企業在使用(yòng)網絡來(lái)提高(gāo)工作效率的(de)同時(shí)避免企業重要的(de)知識産權遭受侵害，将是文檔安全管理(lǐ)的(de)一個(gè)重要課題。傳統的(de)安全解決方案比如防火牆、入侵檢測、防病毒在網絡安全中起到非常重要的(de)作用(yòng)。由于現在網絡邊界的(de)概念逐漸模糊，通(tōng)過VPN、無線上網、遠(yuǎn)程撥号等方式連接到内部網絡變得(de)非常普遍，内網上各種信息濫用(yòng)、誤用(yòng)、惡用(yòng)行爲增加，嚴重影(yǐng)響内網安全。對(duì)于以上安全問題，傳統安全技術顯得(de)力不從心。

據IDC統計，80%以上的(de)安全威脅來(lái)自于内部，内網數據安全所面臨的(de)安全隐患主要表現在如下(xià)幾個(gè)方面：
1. 非法外聯難以控制、内部重要機密信息洩露頻(pín)繁發生
2. 移動電腦(nǎo)設備随意接入、網絡邊界安全形同虛設
3. 缺乏外設管理(lǐ)手段，數據洩密、病毒傳播無法控制
4. 内部競争情報和(hé)具有知識産權圖檔洩露嚴重
5. 管理(lǐ)制度缺乏依據，無法取證，安全策略無法有效落實

二、企業内網安全需求分(fēn)析
A. 一些重要文檔如：财務報表、設計圖紙、客戶資料、源代碼等以明(míng)文形式保存，通(tōng)過郵件、即時(shí)通(tōng)訊工具（QQ、TM、MSN）、U盤等移動存儲設備、拆卸硬盤等發往外網造成洩密；
B. PC機和(hé)網絡設備的(de)軟硬件IT資産管理(lǐ)混亂；
C. 科室和(hé)PC機衆多(duō)管理(lǐ)不方便，登記混亂；
D. 要求合理(lǐ)利用(yòng)IP，杜絕IP沖突，防止arp病毒的(de)攻擊；
E. 對(duì)員(yuán)工的(de)桌面工作情況無法準确定位判斷分(fēn)析；
F. 員(yuán)工在上班時(shí)間玩遊戲、下(xià)載、上傳、看在線影(yǐng)視影(yǐng)響企業形象，占用(yòng)網絡帶寬資源造成其他(tā)辦公系統無法正常運作、而且降低工作效率甚至引發病毒。
G. 特定的(de)文件程序共享後分(fēn)發安裝繁瑣。
H. 打印機、外部接口随意使用(yòng)。
I. 非法機器設備接入内網，随意訪問内網資源；内部機器違規非法外聯；
J. 信息中心摘除了(le)PC的(de)光(guāng)驅軟驅，軟驅，但是U盤使用(yòng)廣泛，病毒從U盤感染到内網，擴散很快(kuài)，無法徹底清除。
K. 對(duì)大(dà)量PC客戶端的(de)維護工作量大(dà)，不便于維護管理(lǐ)。
L. 要求對(duì)網絡行爲時(shí)時(shí)控制，時(shí)時(shí)記錄并保存日志。
M. 要求對(duì)網絡中潛在的(de)危險行爲做(zuò)到主動防禦，事前預防，事後追蹤。
N. PC總會遭到病毒的(de)攻擊，如何及時(shí)的(de)打補丁給相關部門提出了(le)新的(de)要求。
O. 對(duì)浏覽過的(de)網站和(hé)文件的(de)操作新建、修改、删除、重命名等沒有詳細記錄日志。
P. Windows系統補丁及時(shí)自動下(xià)載安裝。
 

三、超陵内網安全解決方案
超陵内網安全管理(lǐ)系統整合了(le)文檔透明(míng)加密，桌面安全管理(lǐ)、終端準入管理(lǐ)、移動存儲介質管理(lǐ)、上網行爲管理(lǐ)等産品，爲用(yòng)戶提供整體内網安全解決方案，通(tōng)過超陵整體内網安全産品的(de)部署，可(kě)以成功的(de)解決以上問題。

A. 通(tōng)過超陵加密解密模塊在不影(yǐng)響用(yòng)戶使用(yòng)習(xí)慣的(de)情況下(xià),強制透明(míng)自動加密涉密資料以及重要數據；控制洩密資料以郵件、即時(shí)通(tōng)信工具、U盤拷貝等方式洩密。即使發到外網數據在沒有超陵客戶端的(de)情況下(xià)無法正常使用(yòng)，強制打開将以亂碼方式顯示，看不到文件的(de)明(míng)文。這(zhè)也(yě)是杜絕洩密的(de)有效辦法從洩密文件根源上來(lái)解決問題。
B. 通(tōng)過超陵的(de)USB存儲管理(lǐ)功能解決U盤等移動存儲設備的(de)任意混亂使用(yòng)，可(kě)分(fēn)組、分(fēn)時(shí)效、分(fēn)個(gè)人(rén)、分(fēn)權限使用(yòng)注冊USB存儲設備；可(kě)将外部設備和(hé)内部設備做(zuò)出區(qū)分(fēn)對(duì)待；
C. 通(tōng)過軟、硬件資産審計功能，能夠對(duì)内網的(de)PC進行軟硬、件資産的(de)審計，防止企業IT資産流失。
D. 通(tōng)過超陵的(de)移動外發管理(lǐ)可(kě)以靈活區(qū)分(fēn)洩密資料數據在各種應用(yòng)場(chǎng)景下(xià)的(de)處理(lǐ)與應用(yòng)；場(chǎng)景詳情詳見下(xià)圖：
E. 通(tōng)過IP綁定功能，可(kě)以對(duì)内網中IP合理(lǐ)管理(lǐ)，讓IP沖突成爲幻影(yǐng)。
F. 通(tōng)過多(duō)屏監控和(hé)每日應用(yòng)程序審計功能可(kě)以實時(shí)觀看員(yuán)工的(de)桌面行爲，以及每天的(de)訪問應用(yòng)程序記錄，可(kě)以客觀的(de)評估員(yuán)工績效；
G. 通(tōng)過網絡拓撲功能，可(kě)以對(duì)網絡中的(de)設備可(kě)視化(huà)查看管理(lǐ)。
H. 通(tōng)過程序黑(hēi)名單功能，可(kě)以禁止客戶機使用(yòng)類似遊戲，下(xià)載、上傳、在線影(yǐng)視一類的(de)軟件。
I. 通(tōng)過遠(yuǎn)程文件程序分(fēn)發功能，可(kě)以對(duì)所有PC客戶端輕而易舉的(de)遠(yuǎn)程安裝分(fēn)發。
J. 通(tōng)過打印機管理(lǐ)、外部接口管理(lǐ)功能，可(kě)以限制PC客戶端的(de)打印機和(hé)外部接口使用(yòng)。
K. 通(tōng)過入侵檢測功能，可(kě)以對(duì)非法接入到内網中的(de)主機進行限制告警。
L. 通(tōng)過USB存儲管理(lǐ)功能，對(duì)外部USB類存儲設備禁用(yòng)。
M. 通(tōng)過遠(yuǎn)程調試功能，可(kě)以輕松的(de)遠(yuǎn)程解決各客戶端的(de)故障問題。
N. 通(tōng)過文件審計功能，對(duì)PC客戶端的(de)所有操作準确記錄。
O. 通(tōng)過非法外聯報警功能，可(kě)以禁止内網PC訪問互聯網。
P. 的(de)操作系統進行升級打補丁。通(tōng)過補丁管理(lǐ)功能，自動對(duì)下(xià)面的(de)PC

四、超陵功能列表

五、超陵産品部署

超陵系統由四個(gè)不同的(de)組件組成：客戶端組件、服務器組件、控制台組件、硬件準入網關。用(yòng)戶可(kě)以根據具體需要将它們安裝在局域網中的(de)計算(suàn)機上。客戶端組件安裝在每一台需要被監視的(de)計算(suàn)機上。服務器組件用(yòng)來(lái)存儲和(hé)管理(lǐ)所有安裝客戶端組件的(de)計算(suàn)機，用(yòng)于管理(lǐ)監視所産生的(de)相關數據，一般安裝在一台具有大(dà)容量内存和(hé)硬盤的(de)服務器計算(suàn)機上。控制台組件主要用(yòng)于監視每台安裝有客戶端組件的(de)計算(suàn)機及查看曆史記錄，一般安裝在網管和(hé)管理(lǐ)人(rén)員(yuán)的(de)計算(suàn)機上，也(yě)可(kě)以和(hé)服務器組件安裝在同一台計算(suàn)機上。硬件準入網關主要提供對(duì)内網服務器進行保護，可(kě)架設在内網服務器前端，起到準入控制的(de)作用(yòng)。
客戶端組件的(de)基本功能包括：
ü 定時(shí)采集數據并保存
ü 定時(shí)将采集的(de)數據傳送到服務器
ü 執行服務器端和(hé)控制台的(de)安全策略

控制台組件的(de)基本功能包括：
ü 實時(shí)獲取受監視計算(suàn)機的(de)所有信息
ü 按需要，對(duì)單個(gè)或對(duì)一組目标機進行實時(shí)監視，并可(kě)以輪流顯示多(duō)個(gè)目标機的(de)屏幕
ü 制定全局或組安全策略和(hé)設置監視和(hé)控制規則
ü 查看并播放記錄在服務器端的(de)曆史記錄
服務器組件的(de)基本功能包括：
ü 定時(shí)搜索網絡，管理(lǐ)所有已安裝客戶端組件的(de)機器，并向客戶端組件傳遞相關的(de)設置和(hé)命令信息
ü 收集客戶端組件的(de)采集的(de)數據，并将其保存到數據庫中
ü 備份曆史資料
ü 提供方便靈活的(de)曆史記錄管理(lǐ)、歸檔、搜索、查看等功能
準入控制網關的(de)基本功能包括：
ü 檢測沒有安裝超陵終端準入控制系統客戶端的(de)主機，對(duì)其采取安全隔離措施，使其無法成功接入到内部網絡中。
ü 通(tōng)過網頁重定向方式，指向服務端下(xià)載安裝客戶端。
ü 收集客戶端組件的(de)采集的(de)數據，并将其保存到數據庫中


六、超陵運行環境

安裝客戶端組件的(de)計算(suàn)機的(de)基本要求：
Ø 操作系統Win2000/XP/2003/Vista/win7/win8
Ø 最低配置Pentium 賽揚 /128MB 内存/10G 可(kě)用(yòng)硬盤空間
Ø 建議(yì)配置Pentium III 500/256MB 内存/20GMB 可(kě)用(yòng)硬盤空間

安裝控制台組件的(de)計算(suàn)機的(de)基本要求：
Ø 操作系統Win2000/XP/2003 /Vista/win7/win8
Ø 最低配置Pentium III 500/256MB 内存/10GB 可(kě)用(yòng)硬盤空間
Ø 建議(yì)配置Pentium Ⅳ 3.0/512MB 内存/50GB 可(kě)用(yòng)硬盤空間

安裝服務器端組件的(de)計算(suàn)機的(de)基本要求：
Ø 操作系統Win2000/XP/2003/ Vista/win7/win8
Ø 最低配置Pentium III 500/256MB 内存/10GB 可(kě)用(yòng)硬盤空間
Ø 建議(yì)配置Pentium Ⅳ 3.0/512MB 内存/50GB 可(kě)用(yòng)硬盤空間

根據客戶端數量規模建議(yì)服務器端計算(suàn)機配置：