【正文】 終端安全管理策略技術(shù)20 / 20 指 標(biāo)技術(shù)項(xiàng)描 述北信源內(nèi)網(wǎng)安全管理及補(bǔ)丁分發(fā)系統(tǒng)VRVEDP B/S與C/S模式結(jié)合系統(tǒng)結(jié)構(gòu)基于C/S模式構(gòu)架設(shè)計(jì)，由安裝在各計(jì)算機(jī)設(shè)備上的客戶(hù)端（Client）軟件和安裝在管理服務(wù)器上的控制端（Server）軟件兩部分組成，客戶(hù)端程序安裝在用戶(hù)的計(jì)算機(jī)上，管理服務(wù)器同本地?cái)?shù)據(jù)庫(kù)連接。以B/S結(jié)構(gòu)進(jìn)行管理，控制界面以web方式顯示（browser），可以進(jìn)行不同權(quán)限的登錄后臺(tái)數(shù)據(jù)庫(kù)（server），提供集中的策略管理中心，詳細(xì)的資產(chǎn)和安全管理功能、強(qiáng)大的自定義報(bào)表功能及全面的報(bào)警功能。數(shù)據(jù)庫(kù)存儲(chǔ)后臺(tái)管理信息庫(kù)基于Microsft SQLserver技術(shù)創(chuàng)建，SQLserver為本系統(tǒng)提供所有的設(shè)備信息、命令信息存儲(chǔ)，區(qū)域管理器程序提供輔助數(shù)據(jù)分析平臺(tái)。數(shù)據(jù)庫(kù)中存放計(jì)算機(jī)及網(wǎng)絡(luò)設(shè)備的所有信息。系統(tǒng)通過(guò)網(wǎng)絡(luò)自動(dòng)掃描技術(shù)實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)設(shè)備的監(jiān)測(cè)，對(duì)監(jiān)測(cè)結(jié)果處理后寫(xiě)入數(shù)據(jù)庫(kù)；對(duì)于處理過(guò)程中發(fā)現(xiàn)具有違規(guī)行為的計(jì)算機(jī)設(shè)備將在監(jiān)控系統(tǒng)的管理平臺(tái)上進(jìn)行報(bào)警和阻斷?？蛻?hù)端平臺(tái)覆蓋客戶(hù)端管理覆蓋主流桌面操作系統(tǒng)平臺(tái)Microsoft Windows98/ Me/NT/2000/XP/2003的各個(gè)版本系統(tǒng)的管理，支持Linux/Unix系統(tǒng)的發(fā)現(xiàn)以及網(wǎng)絡(luò)設(shè)備的信息采集。級(jí)聯(lián)總控管理支持廣域網(wǎng)構(gòu)架（可支持4級(jí)以上管理構(gòu)架），在總部級(jí)管理頁(yè)面中嵌入下級(jí)系統(tǒng)控制鏈接，提供對(duì)下級(jí)監(jiān)控系統(tǒng)的頁(yè)面直接察看，對(duì)下級(jí)區(qū)域進(jìn)行區(qū)域劃分管理，包括管理級(jí)聯(lián)、數(shù)據(jù)庫(kù)級(jí)聯(lián)、報(bào)警級(jí)聯(lián)以及策略下發(fā)級(jí)聯(lián)等。分布式數(shù)據(jù)庫(kù)級(jí)聯(lián)數(shù)據(jù)庫(kù)的應(yīng)用支持分布式和集中式兩種，分布與集中對(duì)應(yīng)存在，分布式數(shù)據(jù)庫(kù)即獨(dú)立應(yīng)用一套本系統(tǒng)，但需要在系統(tǒng)的區(qū)域管理器上面啟動(dòng)級(jí)聯(lián)功能，將本級(jí)信息匯總到上級(jí)數(shù)據(jù)庫(kù)，成為集中式數(shù)據(jù)庫(kù)。分布式數(shù)據(jù)庫(kù)應(yīng)用還表現(xiàn)為，一個(gè)集中的管理控制平臺(tái)對(duì)多個(gè)分布式數(shù)據(jù)庫(kù)的信息訪問(wèn)。網(wǎng)絡(luò)設(shè)備自動(dòng)登記基于定時(shí)掃描機(jī)制，自動(dòng)掃描檢測(cè)其管理網(wǎng)段內(nèi)的計(jì)算機(jī)是否已經(jīng)安裝客戶(hù)端軟件和客戶(hù)端設(shè)備信息變化情況，將設(shè)備信息數(shù)據(jù)同數(shù)據(jù)庫(kù)中原始數(shù)據(jù)進(jìn)行比較，如發(fā)現(xiàn)異常則報(bào)警，并能阻斷設(shè)備的入網(wǎng)。web中央控制管理模式中央控制管理平臺(tái)通過(guò)web界面管理系統(tǒng)來(lái)調(diào)用中心數(shù)據(jù)庫(kù)、控制系統(tǒng)不同功能模塊，作為整個(gè)系統(tǒng)的操作管理平臺(tái)。如配置不同模塊工作參數(shù)值，配置客戶(hù)端探測(cè)程序參數(shù)等；顯示網(wǎng)絡(luò)設(shè)備分類(lèi)統(tǒng)計(jì)、報(bào)警信息、查詢(xún)?nèi)罩镜?；基于IP范圍進(jìn)行管理區(qū)域劃分，對(duì)不同安全管理員進(jìn)行管理權(quán)限分配等。策略管理中心模式策略管理中心以策略的形式向所管理的本級(jí)或下級(jí)客戶(hù)端下發(fā)管理指令；可進(jìn)行多級(jí)級(jí)聯(lián)管理，支持多級(jí)管理方式，各級(jí)子管理節(jié)點(diǎn)能夠與根管理節(jié)點(diǎn)進(jìn)行策略同步；策略管理中心可以針對(duì)不同的管理級(jí)別、不同的區(qū)域、不同的IP、不同的操作系統(tǒng)等范圍，以全局、本地策略模式進(jìn)行策略分發(fā)，支持多條策略的組合執(zhí)行；可以靈活的按照用戶(hù)需要制定策略觸發(fā)條件：根據(jù)時(shí)間段和時(shí)間點(diǎn)定制策略使用或禁止使用的觸發(fā)條件。規(guī)定策略生效或失效的時(shí)間段，以及策略的存活時(shí)間。違規(guī)設(shè)備阻斷系統(tǒng)支持三種阻斷模式包括防火墻阻斷、ARP阻斷以及交換機(jī)阻斷，可以對(duì)控制終端設(shè)備的接入，對(duì)未授權(quán)的終端設(shè)備進(jìn)行阻斷，同時(shí)提供安全事件源遠(yuǎn)程阻斷，對(duì)違反策略的終端進(jìn)行阻斷。設(shè)備入網(wǎng)監(jiān)測(cè)自動(dòng)記錄管轄范圍內(nèi)計(jì)算機(jī)設(shè)備的安全信息，對(duì)設(shè)備的注冊(cè)入網(wǎng)資格進(jìn)行審計(jì)，顯示當(dāng)前網(wǎng)絡(luò)中所有設(shè)備的注冊(cè)情況；對(duì)終端接入網(wǎng)絡(luò)和帶入帶出進(jìn)行監(jiān)測(cè)，按要求對(duì)非法聯(lián)入網(wǎng)絡(luò)的計(jì)算機(jī)設(shè)備進(jìn)行報(bào)警和注冊(cè)提示，并能以自動(dòng)阻斷和管理員阻斷兩種方式阻斷設(shè)備入網(wǎng)。客戶(hù)端資源監(jiān)控客戶(hù)端程序可以通過(guò)自動(dòng)分發(fā)或者手工注冊(cè)，下載安裝到各個(gè)計(jì)算機(jī)上，開(kāi)機(jī)后程序立即運(yùn)行，實(shí)時(shí)探測(cè)本機(jī)系統(tǒng)信息，包括操作系統(tǒng)信息、軟件信息、硬件信息、端口狀態(tài)、服務(wù)狀態(tài)、資源使用狀態(tài)、用戶(hù)登錄及訪問(wèn)等狀態(tài)探測(cè)，并能夠即時(shí)將信息上報(bào)到系統(tǒng)處理。應(yīng)用資源監(jiān)視基于進(jìn)程搜索的功能幫助進(jìn)行病毒源定位，還涉及補(bǔ)?。☉?yīng)用軟件）探測(cè)、以及CPU內(nèi)存占用狀況等等。信息匯總下級(jí)監(jiān)控系統(tǒng)可將本區(qū)域匯集到的安全信息建庫(kù)并自動(dòng)上報(bào)到上級(jí)監(jiān)控系統(tǒng)。IP區(qū)域劃分按照IP地址的范圍進(jìn)行區(qū)域劃分，形成獨(dú)立安全邊界區(qū)域的規(guī)劃管理。病毒源定位能夠?qū)τ?jì)算機(jī)上的病毒入侵源進(jìn)行輔助分析和定位，并能夠?qū)σ远ㄎ豢蛻?hù)端進(jìn)行遠(yuǎn)程提示或阻斷。中央綜合報(bào)警中央?yún)R總、區(qū)域分布兩種報(bào)警方式相結(jié)合，逐級(jí)匯總網(wǎng)絡(luò)設(shè)備變化、違規(guī)行為、系統(tǒng)運(yùn)行狀況異常信息，方便網(wǎng)管人員進(jìn)行審計(jì)。跨越網(wǎng)段、跨VLAN對(duì)違規(guī)的計(jì)算機(jī)設(shè)備進(jìn)行自動(dòng)阻斷提供對(duì)客戶(hù)端計(jì)算機(jī)非法接入Internet進(jìn)行自動(dòng)阻斷和設(shè)備違規(guī)的人工阻斷，不受vlan和網(wǎng)段距離影響。網(wǎng)絡(luò)拓?fù)涔芾砟茏詣?dòng)發(fā)現(xiàn)整個(gè)網(wǎng)絡(luò)中的終端系統(tǒng)的IP地址、機(jī)器名和MAC地址，允許管理者對(duì)終端系統(tǒng)按部門(mén)進(jìn)行登記管理，形成網(wǎng)絡(luò)基本情況數(shù)據(jù)庫(kù)。生成網(wǎng)絡(luò)拓?fù)鋱D?？蛻?hù)端/網(wǎng)絡(luò)分組管理按照多種方式（如按操作系統(tǒng)、已劃定區(qū)域、按IP區(qū)域或用戶(hù)自定義、所有設(shè)備等）對(duì)客戶(hù)端方便的進(jìn)行分組管理。細(xì)粒度的用戶(hù)權(quán)限分配系統(tǒng)能夠?qū)ο到y(tǒng)管理員進(jìn)行分級(jí)，分權(quán)限管理，對(duì)于級(jí)別和權(quán)限的分配可沒(méi)有任何限制的進(jìn)行。可對(duì)管理員定義不同的管理范圍和操作，本區(qū)域的管理員只能看到自己所管理區(qū)域內(nèi)的設(shè)