【正文】 第 V頁 . 產(chǎn)品設(shè)計思路 .......................................................................... XXXI . 產(chǎn)品的設(shè)計原則 ....................................................................... XXXI . 產(chǎn)品標準符合性設(shè)計 ............................................................... XXXII . BMB172020 符合性 ............................................................... XXXII . ISO 27001 符合性 ................................................................. XXXIII . LanSecS 系統(tǒng)簡介 .................................................................. XXXV . LanSecS 系統(tǒng)架構(gòu)設(shè)計 .......................................................... XXXVII . LanSecS 系統(tǒng)功能設(shè)計 ........................................................... XXXIX . 安全審計 ............................................................................... XXXIX . 安全加固 .....................................................................................XL . 安全服務(wù) .....................................................................................XL . 安全網(wǎng)管 .....................................................................................XL . 資產(chǎn)管理 ................................................................................... XLI . LanSecS 系統(tǒng)安全性設(shè)計 .......................................................... XLII . 控制中心安全性 ........................................................................ XLII . 主機代理安全性 ....................................................................... XLIII . 數(shù)據(jù)庫安全性 .......................................................................... XLIII . 策略分發(fā)與存儲安全性 ............................................................. XLIV . 主機代理與控制中心通訊安全性 ............................................... XLIV 4. 系統(tǒng)特色與系統(tǒng)部署 ..........................................................................XLVI . LanSecS 系統(tǒng)特色 ....................................................................XLVI . LanSecS 典型部署 ................................................................. XLVIII . 簡單內(nèi)網(wǎng)環(huán)境 ........................................................................ XLVIII . 本地多內(nèi)網(wǎng)環(huán)境 ....................................................................... XLIX . 分級部署環(huán)境 ................................................................................L 5. 技術(shù)服務(wù) ...............................................................................................L . 售后技術(shù)服務(wù) ................................................................................L . 系統(tǒng)二次開發(fā)擴展支持 ................................................................. LI 教育行 業(yè) 解決方案 169。 版權(quán)所有 圣博潤 第 VI頁 6. 產(chǎn)品配置要求 ...................................................................................... LII 教育行 業(yè) 解決方案 169。 版權(quán)所有 圣博潤 第 VII頁 1. 計算機終端安全 管理 需 求分析 隨著科技的發(fā)展，計算機和網(wǎng)絡(luò)作為現(xiàn)代 學校 重要的工具，在日常辦公過程中發(fā)揮著越來越重要的角色。 計算機和計算機網(wǎng)絡(luò)已經(jīng)成為 教育 、 科研 和其它各種 遠程教育 的重要信息載體和傳輸渠道。很明顯，計算機、計算機網(wǎng)絡(luò)和其所帶來的信息數(shù)字化大幅度提供了工作效率，也使得海量的信息存儲和處理成為了現(xiàn)實。但是，在享受到計算機以及計算機 網(wǎng)絡(luò)所帶來的方便性的同時，也出現(xiàn)了目前受到廣泛關(guān)注的對內(nèi)網(wǎng)設(shè)備如何進行有效管理的問題，以及由此帶來的網(wǎng)絡(luò)信息安全問題 。 目前隨著 教育行業(yè) 單位規(guī)模不斷增大， IT 硬件成本降低、更新?lián)Q代速度比較快，單 位為了提高工作效率，不斷的增加新的設(shè)備；因此機器數(shù)量和網(wǎng)絡(luò)規(guī)模也隨之增多、增大。員工辦公感覺是越來越方便了，但是給網(wǎng)絡(luò)管理員帶來的內(nèi)網(wǎng)管理問題卻越來越重了。首先是網(wǎng)絡(luò)的管理， IP 混亂、網(wǎng)絡(luò)擁塞、出現(xiàn)故障無法及時定位 進行解決 ；其次是資產(chǎn)的管理，越 來越多的設(shè)備使資產(chǎn)管理處于混亂，管理員疲于資產(chǎn)的統(tǒng)計。 在內(nèi)網(wǎng)信息安全管理方面，尤其是設(shè)備自身的健壯性 ， 如何保證設(shè)備硬件所承載的系統(tǒng)能夠正常運行；另 一 方面對于單位內(nèi)部的設(shè)計部門， 由于數(shù)字信息本身具有易于復制的特性，利用這個特性，信息更易于受到難以控制和追溯的盜取威脅 ， 網(wǎng)絡(luò)使信息更 容易受到破壞、更改和盜取。很明顯，能否最大限度確保教育行業(yè) 內(nèi)部數(shù)字信息的安全性已經(jīng)關(guān)系到了計算機和計算機網(wǎng)絡(luò)能否真正成為有實質(zhì)意義大規(guī)模應(yīng)用的關(guān)鍵因素。如何提高安全性保證機器的正常辦公、如何將非法入侵者拒之門外、如 何防止內(nèi)部信息外泄，如何更好的保證網(wǎng)絡(luò)快速高效運行，這些都是 教育行業(yè) 目前在進行網(wǎng)絡(luò)化過程中必須解決的問題。 目前 各行業(yè) 內(nèi)部網(wǎng)絡(luò)所采取的安全措施 基本上是 采用防火墻、入侵檢測等安全產(chǎn)品放置于內(nèi)部網(wǎng)絡(luò)和外網(wǎng)連接處保證網(wǎng)絡(luò)層的安全，并采用操作系統(tǒng)或應(yīng)用系統(tǒng)所帶的身份驗證機制，或通過安裝物理隔離 卡將內(nèi)部局域網(wǎng)劃分成內(nèi)網(wǎng)與外網(wǎng)兩個組成部分 。 內(nèi)部網(wǎng)絡(luò)上大多數(shù)的應(yīng)用對 教育行業(yè) 單位 是 至關(guān) 重要的，甚至 教育行 業(yè) 解決方案 169。 版權(quán)所有 圣博潤 第 VIII頁 是嚴格保密的 。 一旦出現(xiàn) 病毒傳播 、破壞的事件，將產(chǎn)生嚴重后果。這些都使得內(nèi)網(wǎng)安全問題變得越來越重要和突出。 而內(nèi)網(wǎng)安全存在許多問題，為了防范各種各樣的安全 風險，必須在內(nèi)網(wǎng)建立可靠的網(wǎng)絡(luò)管理、安全監(jiān)控和審計控制，以保證內(nèi)部系統(tǒng)的順利運行。為了確保 教育行業(yè) 單位 內(nèi)部的 IT 系統(tǒng)的平穩(wěn)運行，一個健壯的 內(nèi)網(wǎng)安全 管理體系是十分重要的。 作為 教育行業(yè) 的 計算機終端安全管理方案而言， 需要解決如下問題： . 網(wǎng)絡(luò)管理 在 教育行業(yè) 的網(wǎng)絡(luò)環(huán)境中 ，由于教育 規(guī)模 擴大 、 遠程教育的需要，存在很多的教學 區(qū)域， 甚至在外地也有自己的分校 和 遠程教室 ，為了便于教育行業(yè)內(nèi)部的信息利用，一般采用專線或其他網(wǎng)絡(luò)互聯(lián)技術(shù)，使之與內(nèi)部網(wǎng)絡(luò)連接，便于學校內(nèi)部的數(shù)據(jù)管理和辦公管理。但是大規(guī)模的網(wǎng)絡(luò)環(huán)境、復雜的分支機構(gòu)，給網(wǎng)絡(luò)管理帶來了極大的困難，設(shè)備的分布不明確；流量管理沒有依據(jù)；對于靜態(tài) IP地址環(huán)境地址混亂、沖突也是很棘手的問題 。 針對 網(wǎng)絡(luò)管理方面主要包括一下幾個方面： . 物理 網(wǎng)絡(luò)拓撲圖 單位的內(nèi)部網(wǎng)絡(luò) 是 由網(wǎng)絡(luò)設(shè)備 共同作用，協(xié)同工作建立 起來的， 主要設(shè)備有 ：路由器、交換機 、 HUB，而在局域網(wǎng)中對數(shù)據(jù)交互起核心作用的是交換機 。目前的網(wǎng)管軟件可以對邏輯拓撲圖進行繪制，對交換機的面板信息進行提取和控制，但是無法看到終端設(shè)備和交換機端口的物理連接關(guān)系，無法從拓撲圖上看到下連設(shè)備的信息 。 如何建立起交換機端口和設(shè)備的連接關(guān)系是至關(guān)重要的 ， 因為端口的流量信息其實就是設(shè)備的流量信息； 想要 掌控設(shè)備， 只要對交換機端口進行控制就可以了。 因此物理拓撲圖 顯示設(shè)備與端口的物理連接關(guān)系會給管理帶來極大的方便。 . 流量控制 借助物理網(wǎng)絡(luò)拓撲圖上設(shè)備的物理連接關(guān)系， 通過可網(wǎng)管交換機端口的流量 教育行 業(yè) 解決方案 169。 版權(quán)所有 圣博潤 第 IX頁 控制 ， 能 夠?qū)粨Q機下連的設(shè)備進行端口控制，關(guān)閉端口或是打開端口。但是內(nèi)部網(wǎng)絡(luò)環(huán)境中不可能所有的交換機全部都是可網(wǎng)管的，而且管理員不可能天天進行端口的打開、閉合操作，除非是出現(xiàn)異常的網(wǎng)絡(luò)攻擊和擁塞時，才會采取 如此非常手段。 因此 對于日常的控制來說，最有效的方法是通過控制每個終端設(shè)備的網(wǎng)卡流量，如果 能將 設(shè)備的流量控制在一定的范圍內(nèi)， 既保證了設(shè)備的正常工作使用，又可以防范在非法使用 P2P 下載軟件 搶占帶寬和病毒爆發(fā)時給網(wǎng)絡(luò)速度帶來的擁塞 ，這對于管理來說才是實用的管理手段。 . IP 地址管理 為了 便于 管理，出現(xiàn)問題能夠及時追查，網(wǎng) 絡(luò)建設(shè)時管理員通常使用靜態(tài)IP 地址，這對于管理來說確實是 一個 有效可行的措施。但是由于員工的計算機操作水平不同，很可能造成隨意修改 IP 地址帶來的內(nèi)網(wǎng)地址沖突，這給內(nèi)網(wǎng)管理帶來很繁瑣的問題。 雖然 通過在核心或二層交換機上，可以通過命令來綁定IP/MAC 地址 從而消除上述問題，但是工作量龐大，因此徹底屏蔽 IP 地址沖突的問題是網(wǎng)絡(luò)管理必須要做的。 . 故障定位 很多 教育行業(yè) 內(nèi)部網(wǎng)絡(luò)龐大，分支繁多，一旦終端機器或網(wǎng)絡(luò)鏈路出現(xiàn)問題，很難迅速定義問題點，如果從鏈路著手解決問題，除非管理員此前做了詳盡的網(wǎng)絡(luò)鏈路備份信息表 （每次增加 機器都需要逐臺進行記錄）， 否則從眾多網(wǎng)絡(luò)排線中找出問題鏈路將是一件十分費時、費力的事情。 . 終端安全防護 單位內(nèi)網(wǎng)進行辦公所運行的各種服務(wù)都是應(yīng)用在終端設(shè)備的基礎(chǔ)上，一旦終端設(shè)備的安全 性 出現(xiàn)問題，那么所有其承載的服務(wù)將無法運行，嚴重影響單位的工作效率，給單位的生產(chǎn)造成損失。因此必須保證機器的健壯性，為了保證機器的正常運行包括以下幾個方面： 教育行 業(yè) 解決方案 169。 版權(quán)所有 圣博潤 第 X頁 . 補丁