信息安全整体解决方案.docx

信息安全整体解决方案.docx

《信息安全整体解决方案.docx》由会员分享，可在线阅读，更多相关《信息安全整体解决方案.docx（20页珍藏版）》请在冰豆网上搜索。

信息安全整体解决方案

信息安全整体解决方案

上下软件电子商务网 南京智码科技有限公司

地址：

江苏省南京市珠江路新世界中心B-4011室

电话：

86-25-84721708-823

传真：

86-25-84725600

网站：

邮件：

***************

需求概述

1.1背景介绍

随着互联网的蓬勃发展，网络已成为企业提供了丰富信息资源和便捷工作的平台。

企业受益于互联网的同时，也已逐渐意识到不受控制的互联网使用行为会对企业构成“内忧”胜于“外患”的局面，并且对员工工作效率及企业竞争力造成负面的影响。

最近，国内某大型造船厂发生了一起有惊无险的网络安全事件。

由于该造船厂的计算机系统内储存有大量的重要设计数据，某一天，系统突然报警，显示某个电脑终端正在非法拷贝这些重要文件数据，而网管人员通过内网审计系统的跟踪，立刻锁定了拷贝文件的电脑和登陆系统的用户名，从而在重要文件还没被外传之前，及时制止了该非法行为，避免了无谓的经济损失。

　　事实上，类似的内网安全事件在很多企业都有发生，但由于内网安全的完善程度不同，并非每个企业都能避免损失发生。

有调查显示，超过85%的安全威胁来自企业内部，其中16%来自企业内部XX的非法访问，40%来自电子文件的泄露，由此可见，内网安全问题已是企业网络安全建设的重头戏。

　　为了确保网络安全，防火墙、杀毒软件、IPS，上网行为管理等产品早已成为企业用户的普遍部署，但是，这些主要针对外网的安全防护在面对内网安全威胁时，往往形同虚设，因为“内忧”胜于“外患”，企业不仅需要坚固的边界安全，更需要稳定的内网安全。

　　很明显，虽然大多数企业都部署了杀毒软件和防火墙，但这正好说明企业在网络安全建设过程中，外网安全是优先经历的阶段，而接下来的重点则在内网安全。

　　那么，内网安全建设应该从何处下手呢？

首先，我们可以从“企业网络中发生安全事件的原因通常包括有哪些”这一问题的调查结果看，有48.7%的用户选择“网络或软件配置错误”，28.3%的用户选择“管理员弱口令”，62.8%的用户选择“系统漏洞”，74.3%的用户选择“员工安全意识淡薄、管理不到位”，15.0%的用户选择“DDoS攻击”。

　　显然，“员工安全意识淡薄、管理不到位”是企业发生网络安全事件的最普遍原因，这与很多企业CIO的看法也是相一致的。

　　从技术角度讲，内网安全包含的内容其实很多，比如如何发现客户端设备的系统漏洞并自动分发补丁，如何防范移动存储设备随意介入内网、如何防范内网设备非法外联，如何点对点控制异常客户端的运行，如何防范内部涉密信息泄露等。

　　换句话说，与防范外网安全主要集中于边界部署不同，保障内网安全需要涉及的环节较多，相应的产品部署也相对更加多样。

比如有的侧重内网终端防护，有的侧重流量和上网行为控制，有的侧重监控审计，有的侧重身份认证或信息加密等。

　　NETSYSAC结合防火墙+vpn+上网行为管理模块+桌面行为管理模块，由外到内对公司的数据和系统安全做到立体全方位的安全防护。

从而为客户打造出强大的立体防御体系。

1.2需求分析

 在与###沟通交流之后了解到:

###要对公司目前的网络使用做到规范的管理;针对人员的行为做到全面的管理，提高员工的职业素质;对公司的内部资源做到最大有效的整合;能够实现远程的异地访问，让管理者可以随时随地的看到员工的工作情况。

依据上述情况，贵公司主要需求归结如下：

●上网行为管理：

对员工的上网行为进行有效的监督和管理。

●带宽管理：

流量分配，带宽控制，合理使用带宽资源。

●桌面行为管理：

实现屏幕监控、远程维护、桌面审计、日志存储。

●Vpn互联：

出差在外员工的移动客户端与总部的VPN互联。

二、解决方案

公司的实现需求，本着网络安全的指导原则进行运维方案的设计：

（1）平台应该统一规划，分步实施，实施各个阶段应该保持良好的衔接；

（2）平台与应用相关性应该尽可能低，支持应用系统的升级和新应用的扩展；

（3）平台的选型必须是基于现有的成熟产品和系统，具有可靠的稳定性；

（4）平台应具有良好的可管理性和可维护性，有统一的管理中心；

（5）平台必须具有良好的易用性和兼容性，不会改变业务系统的主要结构，也不会对系统的操作人员带来过多的习惯改变。

通过对客户的需求分析，本方案推荐采用下列软硬件平台作为技术支撑：

网络架构及拓朴图

解决方案：

结合贵现有的网络情况，推荐使用网桥部署，可以在不需要改变贵公司的现有网络环境的情况下，实现对全公司的员工和数据都能做到安全有效的管理。

网关模式

网桥模式

实现效果：

上网行为管理、带宽控制、桌面行为管理、网络审计、数据管理、资产管理、个人业务报表、整体业务报表、等等，另外，能提高局域网高速数据传输、高速交换、内网保护、易于网络升级、维护、管理，为贵公司提升网络的增值性服务。

三、功能实现

规范上网行为　保护工作效率

据一项调查显示，普通企业员工每天的互联网访问活中40％与工作无关，对色情等非法网站的访问量70％都发生在工作时间。

 聊天、购物、音乐、电影、游戏、博客等无时无刻不在抢占正常的工作时间。

网站访问分析

屏幕录象日志查询

阻止不当网络行为　远离网络安全隐患

在一些貌似善良的网站背后可能隐藏着邪恶的病毒、木马、黑客、蠕虫...它们别有用意，会随着不经意间的访问悄悄攻占你的系统。

由于内部人员不安全的互联网访问，而造成的网络安全事故已经成为企业信息安全的最大黑洞，除了加强对外的防护外，还要加强对内的上网行为管理，内外兼治，才能达到更好的安全效果。

（1）限制下载应用：

系统可对指定的后缀名文件或软件进行单线程下载限制，从而减少因下载而导致的病毒威胁和带宽的严重浪费。

（2）网址（URL）过滤：

系统可以对某些类别内容进行自定义控制，例如对聊天、交友、游戏网站进行限制。

（3）网络应用层过滤：

系统可以提供对聊天、炒股、网络音视频等不适宜在上班时间发生的网络行为进行限制。

应用特征内容列表如下：

掌握一切上网活动　规避法律、政治风险

为了加强对互联网的控制和管理，国务院、公安部、信息产业部、人大常委皆相继出台法律法规明文规定，接入互联网的单位和企业要采用相应的技术手段对互联网的使用做出控制和管理。

如：

信产部发布《互联网电子公告服务管理规定》

公安部发布《互联网安全保护技术措施规定》

人大常委发布《未成年人保护法草案》

国务院发布《互联网信息服务管理办法》

员工在网上随意发表言论，有可能侵害了公司或国家的利益。

面对政府强大的监管力度，企业的网络安全建设如何符合国家的各项管理规定？

又如何从内部管理出发规避政治风险和法律风险？

随着互联网上的活动越演越烈，实时掌握互联网使用状况可以避免很多隐藏的风险。

系统可以对论坛、贴吧等敏感、反动、或造成不良影响的言论进行外发、上传等的限制功能。

言论限制

（4）邮件发送与接收审计

钩选记录审计选项，则在员工上网日志里可以查看邮件发送与接收，包括正文、附件等。

3.2、桌面行为管理

桌面行为管理就是对电脑的使用人员在电脑上的行为进行管理。

和网络行为管理相对应，网络行为管理关注的是和上网相关的行为，桌面行为管理是对电脑上操作的行为，进行监控和管理。

其核心目的是规范电脑的使用，提高工作效率，通过避免员工在电脑上做和工作无关的事情，及时的指正员工的不良行为，规范工作行为，帮助员工和企业提高效率。

另外，桌面行为管理通过对企业所有电脑的软硬件管理，帮助企业净化网络环境，减少病毒感染。

通过文件操作记录，辅助的保护公司重要信息，保护公司重要无形资产。

桌面行为管理模块是《NETSYSAC》产品中的重要模块，这个模块对企业的管理非常重要，也是企业管理层主要应用和关注的模块。

良好的应用桌面行为管理，不仅是对员工的一个监督作用，管理层加强对员工在实际工作中的了解，能更真实的了解员工，这样能更有效的帮助员工改进工作中的不足，从而提升企业的效率。

桌面行为管理的实现，需要在被管理的PC机上安装“客户端”程序。

只要电脑和《NETSYSAC》在网络上联通，就可以进行管理。

桌面行为管理总体包括如下功能：

实时监控——随时记录电脑软硬件资产的变化信息以及电脑屏幕画面；

桌面行为审计——限制员工使用USB移动硬盘、应用程序进程等电脑操作对象；

桌面行为日志——详细记录聊天工具内容、文件操作日志等电脑操作内容；

软硬件资产管理——准确获取电脑软硬件信息，并管理其共享目录及插件信息。

聊天内容监视

员工业绩分析

实时屏幕抓拍

资产信息查询

文件传输日志查询

3.3、流量控制

合理分配带宽资源　保障关键业务顺畅

有调查显示，互联网带宽资源有70％是被mp3、视频下载等占用；更有甚者，30%以上的员工在使用互联网时没有明确目标，这种情况导致了带宽资源被大量浪费。

互联网已经成为很多业务（OA、ERP、财务软件、邮件、视频会议等）必不可少的关键应用，但是BT、eMule、迅雷等P2P业务却强占有限的网络带宽资源，正常业务得不到应有的带宽保证。

惟有对占用带宽资源的网络应用进行分类管理，设定具体的带宽值，并设置好使用带宽资源的优先级，才能更合理的使用有限的带宽资源。

（1）当前企业网络流量及曲线图：

（2）对指定网段、IP终端进行带宽上的限制或保证：

（3）对业务带宽或员工带宽控制

业务带宽控制

员工带宽控制

3.4、VPN的互联应用

VPN应用：

VPN（虚拟专用网络）可以通过特殊的加密通讯协议建立一条专有的通讯线路，连接处于Internet上不同地方的两个或多个企业内部网，甚至是在外办公的人员也可以通过移动客户端的方式连接到总部进行资源共享。

主要应用环境如下：

（1）实现企业的各个分支机构的互联，各分支机构直接通过设备到设备的互联，将企业各个分支机构的不同地点虚拟成一个局域网，实现异地互联，使一些应用软件能够跨网络共享。

（2）实现单个计算机到企业总部的互联（称为移动客户端），单个用户的PC机需要连接到总部，使用总部内部资源，或者满足某些应用软件的需求，必须把这个PC机虚拟到企业内部网络。

对于网络到网络的VPN应用，提供VPN网络互联，用户可根据自己的网络情况，来实现VPN的建立和监控。

VPN管理中心：

NETSYSAC的VPN管理中心模块是组建VPN网络的中心枢纽，它负责对VPN节点设备定义、对VPN隧道配置、实时下发隧道配置信息，对VPN网络进行监控。

VPN管理中心模块，在大型VPN网络组建以及大型VPN网络运维管理两方面具有突出技术优势，得到行业专家高度评价。

3.5、增值服务

企业应用防火墙：

设备自带防火墙功能，对外网对内网的攻击做到有效的保护。

远程监控：

通过域名，可远程登录到设备进行管理，针对老板经常出差在外地，可通过动态域名远程登录到公司设备进行管理，能很方便的实时了解员工的工作情况（包括上网行为和桌面行为）。

实现对远程电脑进行管理：

针对外地有办事处，但电脑不是很多的情况，通过安装远程客户端也可实时了解员工的桌面行为。

双线路由功能：

设备本身可以替代路由器，节省路由器的投资，同时可以规避路由器中毒、散热不好断网等现象的发生。

实现功能：

双线路支持、负载均衡、分流策略、策略路由。

四、设备选型及产品报价

产品选型

根据对贵企业的需求的分析，本方案推荐使用NETSYSAC100上网行为管理设备。

NETSYSAC100是中高端上网行为管理产品中的典范，是安全防范意识强、需要管理和控制互联网访问和内网安全防范用户的第一选择。

以下是此设备的基本性能参数。

NetSysAC100上网行为管理网关

产品型号：

AC100

支持客户端数量：

150台

尺寸：

标准1U结构,43.9（W）×42.4（D）×4.45（H）,5.5KG

接口：

4个100M接口（分别为LAN,2个WAN,EXT）；1个console口

性能：

支持100000条并发连接,转发性能百兆限速

应用：

50-150台办公电脑的企业或分支机构

其他：

防火墙,VPN功能,支持移动客户端,VPN管理中心

五、实施与售后服务

公司将在提供产品的同时向贵公司提供从安装实施到售后技术支持的一系列服务，具体内容包括：

4．1安装和实施

Ø公司商定实施工期、制定实施计划和验收标准。

Ø组织实施人员进行设备的安装、调试、调优工作，建立合理的项目建设机制，保证工程的安装服务质量。

Ø实施结束后，如果验收不合格，则由深圳市网域科技有限公司负责找出原因并改进，直至验收合格。

4．2技术服务支持

Ø一年免费电话支持服务：

免费技术支持热线：

400-6666-049

400热线提供以上技术支持热线的7×24小时技术支持服务

Ø远程技术支持服务

验收合格1年内，公司免费提供远程技术支持服务，即：

出现网络故障，通过电话支持无法解决的情况下，可通过远程调试技术支持服务予以协助解决。

Ø设备更换

验收合格保修期内，由非人为因素造成的设备损坏，深圳网域负责予以免费更换及现场安装调试；由人为因素造成的设备损坏，深圳市网域科技有限公司负责提供备件予以更换，并提供现场安装调试服务。

备件价格按照报价书的标准收取。

Ø设备升级

保修期内，如同型号设备有任何升级动作，深圳市网域科技有限公司将在第一时间告知贵公司并建议升级。

所有升级工作将由深圳市网域科技有限公司工程师完成。

保期后，深圳市网域科技有限公司负责提供软件升级服务，收费标准按照产品报价的15%收取。

Ø上门服务（限有办事机构地区）

验收合格保修期内，公司提供上门维护。

在出现网络故障，电话支持、远程协助等方式无法解决的情况下，深圳市网域科技有限公司工程师会在您提出上门要求后，2小时内予以响应并赶赴现场，帮助解决相关的故障。

4．3使用培训

1.负责对用户进行客户端操作使用培训

2.负责对系统管理员进行培训，使其掌握设备配置、日常维护的方法和技巧，并可独立进行操作、纠错处理，保证网络开通后的正常安全运行。

六．成功案例