【正文】 VRVEDP 系統(tǒng)組成 北信源內網(wǎng)安全及補丁分發(fā)管理系統(tǒng)由 8 個部分組成：管理信息庫、 Web 中央管理平臺、區(qū)域管理器、客戶端注冊程序、補丁下載服務器、管理器主機保護模塊、報警中心模塊等。 管理信息庫（ NMIB）： 系統(tǒng)信息和網(wǎng)絡設備信息數(shù)據(jù)庫，包括：系統(tǒng)組件（區(qū)域管理器、設備掃描器、 Web 中央管理平臺等）信息、系統(tǒng)運行配置參數(shù)（管理區(qū)域、運行參數(shù)、補丁分發(fā)等）信息、網(wǎng)絡客戶端對象（ 設備信息、設備變化信息、報警信息等）信息。 區(qū)域管理器： 系統(tǒng)數(shù)據(jù)處理中心，與管理信息庫通訊，接收客戶端對象注冊程序采集過來的信息，并存入數(shù)據(jù)庫；接受來自控制臺的命令操作，發(fā)送到客戶端、掃描器執(zhí)行。 對于存在多級管理要求的廣域網(wǎng)，網(wǎng)絡中可以存在多個區(qū)域管理器，系統(tǒng)數(shù)據(jù)提供逐級上報（轉發(fā)）設置模式。 區(qū)域管理器內置網(wǎng)絡掃描器，掃描器將設備最新狀態(tài)信息報送至區(qū)域管理器，由區(qū)域管理器處理后，同數(shù)據(jù)庫中原有信息進行遍歷搜索對比，根據(jù)管理規(guī)則在管理平臺上報警。 網(wǎng)絡掃描器配合區(qū)域管理器進行工作，可以在分級模式下使用。掃 描器只依據(jù) Web 管理平臺中配置的工作范圍進行掃描，超越其范圍，將不負責執(zhí)行操作。 Web 中央管理臺： 本系統(tǒng)的管理配置中心，基于 IE 瀏覽器模式提供對系統(tǒng)的控制管理，中央管理臺由三個部分構成：系統(tǒng)配置與信息查詢模塊、策略中心制訂模塊、補丁檢測中心模塊。 Web 中央管理臺管理內容包括：①配置管理：區(qū)域管理器（掃描器）、注冊客戶端程序、系統(tǒng)策略中心等的運行配置參數(shù)設定；②信息查詢：查看網(wǎng)絡設備信息、報警信息等；③策略制訂：制訂客戶端系統(tǒng)應用安全策略，分發(fā)至各網(wǎng)絡客戶端對象執(zhí)行；④補丁檢測：進行客戶端對象的操作系統(tǒng)漏 洞檢測提示，并提供補丁下載。 客戶端注冊程序： 系統(tǒng)客戶端管理程序，采集客戶端設備資產(chǎn)信息，檢測客戶端狀態(tài)行為等信息，執(zhí)行管理控制臺分發(fā)的各種安全策略，并將客戶端違規(guī)信息報送控制臺。客戶端注冊程序功能包括： 北信源產(chǎn)品技術白皮書 8 ? 客戶端桌面信息監(jiān)測； ? 客戶端安全狀態(tài)信息審計； ? 客戶端系統(tǒng)補丁檢測； ? 執(zhí)行管理臺下發(fā)的各種安全策略，上報違規(guī)信息； ? 阻斷本機聯(lián)網(wǎng)狀態(tài)。 補丁下載服務器： 安裝在與 Inter 網(wǎng)絡連接的機器上，實時下載補丁廠商發(fā)布的補丁。 管理器主機保護模塊： 輔助模塊，該模塊可對重要計算機端口、網(wǎng)絡協(xié)議、通信 IP 范圍以及 其它網(wǎng)絡應用進行安全級別配置，防止計算機受到惡意的 IP沖突以及各種網(wǎng)絡、病毒攻擊等威脅，確保計算機無干擾實時運行。 報警中心模塊： 輔助模塊，系統(tǒng)綜合違規(guī)報警信息平臺，匯總報警本系統(tǒng)中所有安全報警事件信息，選擇報警方式，包括電子郵件、信使服務、 SNMP Trap、手機短信等多種報警方式。 VRVEDP 系統(tǒng)管理構架 基本構架：對于一般網(wǎng)絡（例如 1 個 C 類地址或若干個 C 類地址的局域網(wǎng)），可使用一套本系統(tǒng)軟件，集中管理所屬區(qū)域內的所有設備，系統(tǒng)最大支持計算機管理數(shù)量 30， 000 臺（此數(shù)量之外建議采用擴展構架） 。 擴展構架：對于大規(guī)模的多個局域網(wǎng)或者跨地域廣域網(wǎng)（包括基于國家、省、市、縣等多級管理模式的網(wǎng)絡結構），可使用本系統(tǒng)提供的多區(qū)域級聯(lián)集中管理功能，即在一個或多個網(wǎng)段各使用一套北信源內網(wǎng)安全及補丁分發(fā)管理系統(tǒng)的同時，將本級所有安全信息轉發(fā)至上級管理系統(tǒng)，上一級管理人員對整個網(wǎng)絡的安全狀況能夠完全掌握，上級管理系統(tǒng)可將安全策略分發(fā)至下級系統(tǒng)執(zhí)行。 北信源產(chǎn)品技術白皮書 9 圖 2 多級級聯(lián)集中管理構架 信息安全管理通告平臺 在上述功能、構架和統(tǒng)一策略中心基礎上，北信源 內網(wǎng)安全及補丁分發(fā)管理還可以擴展建立信息安全管理通告模塊（量身定制），提供統(tǒng)一的內部網(wǎng)絡安全信息公布平臺。 北信源產(chǎn)品技術白皮書 10 圖 4 信息安全管理通告平臺 信息安全管理通告平臺是為大型分布式網(wǎng)絡安全管理所設計的，該平臺以圖形化的方式匯總多級北信源內網(wǎng)安全管理及補丁分發(fā)系統(tǒng)的安全信息，統(tǒng)一監(jiān)測與查詢大型網(wǎng)絡的全部注冊設備的安全狀態(tài)及運行信息，其主要功能有： 安全預警功能：根據(jù)實時監(jiān)測到的網(wǎng)絡中所有節(jié)點設備的安全信息，預警網(wǎng)絡安全事件發(fā)生（病毒、蠕蟲、木馬等）。 安全監(jiān)測功能：根據(jù)策略中心設置的安全策略，實時顯示安全策略的應用狀態(tài)與執(zhí)行結果，如設備變更、流量統(tǒng)計、違規(guī)信息、 IP 綁定變化、主機運維異常、未安裝殺毒軟件、漏打補丁等。 安全管理功能：統(tǒng)一發(fā)布管理中心的相關安全管理規(guī)范、安全組織體系、安全宣傳資料以及最新安全動態(tài)等信息。 違規(guī)信息通報功能：針對整個網(wǎng)絡中違規(guī)的客戶端進行全網(wǎng)通報，并下發(fā)通知。 安全服務功能：提供補丁下載、病毒庫下載以及一些常用的工具下載。 北信源產(chǎn)品技術白皮書 11 四、 VRVEDP 統(tǒng)一策略管理中心 北信源內網(wǎng)安全管理及補丁分發(fā)系統(tǒng)采用統(tǒng)一策略管理中心實現(xiàn)對內部網(wǎng)絡客戶端的統(tǒng)一安全管理。 北信源內網(wǎng)安全管理及補丁分發(fā)系統(tǒng)軟件內置功 能強大的安全策略庫 —— 策略管理中心，策略中心根據(jù)終端安全防護需要提供安全策略項，涉及終端接入管理、終端資產(chǎn)管理（軟硬件）、進程（服務）管理、補丁檢測及文件分發(fā)、非法外聯(lián)行為監(jiān)控、桌面管理及主機運維管理、桌面安全及行為審計、報警處置等安全策略。 策略管理中心為管理人員提供專用策略配置界面，策略配置界面與系統(tǒng)控制臺建立安全通訊，完成系統(tǒng)安全策略的管理和操作，如策略選擇、策略制訂、系統(tǒng)設置、日志查詢和報表分析等。 安裝在終端計算機上的代理程序安全策略的具體執(zhí)行者，負責保護終端主機的安全，同時對終端用戶的訪問行為進 行審計，根據(jù)管理員設定的安全策略項提供終端計算機信息。 策略制訂后，自動分發(fā)至網(wǎng)絡中所有注冊終端，根據(jù)策略類型（全局策略、本地策略、備份策略）決定如何執(zhí)行。 北信源產(chǎn)品技術白皮書 12 圖 3 統(tǒng)一策略管理中心 統(tǒng)一策略管理中心功能： 內置功能強大安全策略庫，管理員自定義策略，實現(xiàn)對網(wǎng)絡客戶端設備及網(wǎng)絡的安全策略控制。 安全策略具有可選擇性，安全策略適用于不同網(wǎng)絡環(huán)境，策略的模塊化配置滿足不同安全管理的需要，適應性強。 安全策略支持觸發(fā)式定制分發(fā)執(zhí)行，管理員設定策略觸發(fā)狀態(tài)、時間、對象等信息，系統(tǒng)在滿足觸發(fā)條件后自動分發(fā) 策略并執(zhí)行，減少人工干預。 安全策略支持按照網(wǎng)絡對象范圍、對象屬性、自定義分組等方式進行分發(fā)至性。 安全策略支持多級級聯(lián)策略控制，上級管理系統(tǒng)可直接對下級進行統(tǒng)一策略管理。 策略類型： 北信源內網(wǎng)安全管理及補丁分發(fā)系統(tǒng)內置安全策略分為全局策略、本地策略、備份策略三種，通過管理員的屬性設置決定其性質。 北信源產(chǎn)品技術白皮書 13 全局策略：適用于多級分布式結構中的所有計算機終端，支持級聯(lián)構架的大型網(wǎng)絡用戶，由上級系統(tǒng)管理員在制訂，通過策略轉發(fā)模塊轉發(fā)至下級系統(tǒng)，在上下級網(wǎng)絡中應用安全。全局策略的特點是策略通用、穩(wěn)定、可靠。 本地策略：適 用于獨立管理的網(wǎng)絡，管理員所制訂的策略僅僅在本地網(wǎng)絡應用，一旦本地計算機接入其它網(wǎng)絡并注冊，所有策略停止執(zhí)行。 備份策略：為防范現(xiàn)有安全策略的可能意外失誤（如錯誤制訂、不可預料的故障的存在等）以及環(huán)境條件的可能變換，管理員制訂一些暫時不予以啟用的策略，以便用于修正或補充，或替代正在執(zhí)行的策略。 全局策略、本地策略、備份策略的屬性設置是由管理員在策略管理中心中設定， 通過設置策略的開啟、關閉，執(zhí)行范圍、時間周期以及策略級聯(lián)等參數(shù)項實現(xiàn)。 五、 VRVEDP 系統(tǒng)功能描述 北信源內網(wǎng)安全及補丁分發(fā)管理系統(tǒng)采用 C/S 與 B/S 混合模式設計，支持分布式部署，并具有模塊化軟件定制、支持標準 API、無縫功能擴展與升級等