【文章內(nèi)容簡介】 ............................................... 221 附錄（七）信息安全通告平臺 ............................................................................ 230 第一章．系統(tǒng)介紹 11 產(chǎn)品組成 北信源內(nèi)網(wǎng)安全及補丁分發(fā)管理系統(tǒng)由 8 部分組成： WinPcap 程序、 SQL Server 管理信息庫（ 安裝包：環(huán)境初始化程序）、 Web 中央管理配置平臺（安裝包：網(wǎng)頁管理平臺）、區(qū)域管理器 (安裝包： Region Manage,原區(qū)域掃描器已作為模塊集成到區(qū)域管理器 )、客戶端注冊程序（安裝包：注冊程序）、補丁下載服務(wù)器、管理器主機(jī)保護(hù)模塊、報警中心模塊。 環(huán)境初始化程序： SQL Server 管理信息庫，建立北信源內(nèi)網(wǎng)安全及補丁分發(fā)管理系統(tǒng)的初始化數(shù)據(jù)庫。包括：網(wǎng)絡(luò)客戶端設(shè)備屬性信息、區(qū)域管理器信息、設(shè)備掃描器信息、區(qū)域管理范圍信息、注冊（未注冊）機(jī)器信息、設(shè)備屬性變化信息、報警信息等。掃描器將設(shè)備最新狀態(tài)信息同 數(shù)據(jù)庫中原有信息進(jìn)行遍歷搜索對比，根據(jù)規(guī)則要求在管理平臺上報警。 Web 管理平臺： Web 中央管理配置平臺，本系統(tǒng)的管理配置中心。包括區(qū)域管理器、掃描器、注冊客戶端的功能參數(shù)設(shè)定，網(wǎng)絡(luò)設(shè)備信息發(fā)現(xiàn)、系統(tǒng)應(yīng)用策略制訂、報警信息顯示、定義任務(wù)功能制訂、系統(tǒng)用戶維護(hù)等配置操作。 Region Manage： 區(qū)域管理器，系統(tǒng)數(shù)據(jù)處理中心。與管理信息數(shù)據(jù)庫通訊，接收注冊程序提供的用戶信息，將用戶信息（用戶填寫的物理信息和系統(tǒng)自動采集的硬件信息）并行存入數(shù)據(jù)庫；接受來自控制臺的命令操作，發(fā)送到客戶端、掃描器執(zhí)行。 對于存 在多級管理要求的廣域網(wǎng)，網(wǎng)絡(luò)中可以存在多個區(qū)域管理器，系統(tǒng)數(shù)據(jù)提供逐級上報（轉(zhuǎn)發(fā)）模式。 區(qū)域管理器內(nèi)置網(wǎng)絡(luò)掃描器，掃描器將設(shè)備最新狀態(tài)信息報送至區(qū)域管理器，由區(qū)域管理器處理后，同數(shù)據(jù)庫中原有信息進(jìn)行遍歷搜索對比，根據(jù)管理規(guī)則在管理平臺上報警。 掃描器配合區(qū)域管理器進(jìn)行工作，可以在分級模式下使用。掃描器只依據(jù)Web 管理平臺中配置的工作范圍進(jìn)行掃描，超越其范圍，將不負(fù)責(zé)執(zhí)行操作。 WinPcap 程序： 嗅探驅(qū)動軟件， 監(jiān)聽共享網(wǎng)絡(luò)上傳送的數(shù)據(jù) 。 客戶端注冊程序： 用戶訪問指定網(wǎng)站自動獲得，用戶填寫本機(jī)信息，填寫必要 信息后上報區(qū)域管理器。注冊程序自動探測系統(tǒng)硬件信息，連同用戶填寫的信息一同上報區(qū)域管理器。用戶將本機(jī)注冊信息發(fā)送到區(qū)域管理器后，區(qū)域管理器自動將客戶端駐留程序應(yīng)用策略發(fā)送給用戶，并自動更新。 客戶端駐留程序功能： 1. 進(jìn)行本機(jī)硬件屬性信息變化監(jiān)視； 2. 進(jìn)行本機(jī) IP、 MAC 地址變化審計； 3. 本機(jī)系統(tǒng)補丁、軟件安裝、運行進(jìn)程狀況監(jiān)測； 4. 探測本機(jī)是否有違規(guī)聯(lián)網(wǎng)行為，在內(nèi)網(wǎng)管理中心或外網(wǎng)報警平臺報警； 5. 接受 Web 管理平臺的管理命令； 6. 阻斷本機(jī)非法外聯(lián)行為； 7. 執(zhí)行 Web 管理平臺下發(fā)的各種策略操作。 補丁下載服務(wù)器： 安裝在與 Inter 網(wǎng)絡(luò)連接的機(jī)器上，用于實時下載補丁廠商發(fā)布的補丁。 管理器主機(jī)保護(hù)模塊： 管理器主機(jī)保護(hù)模塊可根據(jù)管理器或其他服務(wù)器具體使用的端口、網(wǎng)絡(luò)協(xié)議、通信 IP范圍和具體的其他網(wǎng)絡(luò)應(yīng)用來定義該計算機(jī)使用的安全級較高的網(wǎng)絡(luò)配置，從而防止該計算機(jī)受到惡意的 IP 沖突以及各種網(wǎng)絡(luò)、病毒攻擊。 報警中心模塊： 安裝在可與區(qū)域管理器所在服務(wù)器正常通訊的計算機(jī)上，本模塊可以根據(jù)管理員在系統(tǒng)中所配置的報警事件和危險級別提供給管理員包括電子郵件、信使服務(wù)、 SNMP Trap、手機(jī)短信等多種報警方式。 注：區(qū)域管理器（ Region Manage）、區(qū)域掃描器模塊（ Region scan）、注冊程序部分系統(tǒng)的參數(shù)配置集中體現(xiàn)在網(wǎng)頁管理平臺操作上，上述三部分功能參數(shù)、功能項數(shù)值統(tǒng)一在網(wǎng)頁管理平臺中進(jìn)行配置。區(qū)域管理器（ Region Manage）、掃描器模塊（ Region scan）部分參數(shù)在自身軟件組件中配置。 12 應(yīng)用構(gòu)架 北信源內(nèi)網(wǎng)安全及補丁分發(fā)管理系統(tǒng)應(yīng)用于局域網(wǎng)、廣域網(wǎng)構(gòu)架，支持跨網(wǎng)段、跨地域的內(nèi)網(wǎng)遠(yuǎn)程客戶端管理及非法移動設(shè)備接入檢測、網(wǎng)內(nèi)計算機(jī)違規(guī)聯(lián)網(wǎng)監(jiān)視、網(wǎng)絡(luò)安全隔離度監(jiān)控等。 系統(tǒng)應(yīng)用主要分為以下兩種構(gòu)架： 基本 構(gòu)架：對于一般網(wǎng)絡(luò)（例如 1 個 C 類地址或若干個 C 類地址的局域網(wǎng)范圍），可使用一套本系統(tǒng)軟件，集中管理所屬區(qū)域內(nèi)的所有設(shè)備。 擴(kuò)展構(gòu)架：對于大規(guī)模的多個局域網(wǎng)或者跨地域廣域網(wǎng)（包括基于國家、省、市、縣等多級管理模式的網(wǎng)絡(luò)結(jié)構(gòu)），可使用本系統(tǒng)提供的多區(qū)域集中管理構(gòu)架，即一個或多個網(wǎng)段各擁有一套獨立北信源內(nèi)網(wǎng)安全及補丁分發(fā)管理系統(tǒng)的同時，將本級所有設(shè)備信息再轉(zhuǎn)發(fā)給上級管理數(shù)據(jù)庫，使得上一級管理人員對整個網(wǎng)絡(luò)的設(shè)備狀況也能夠完全掌握。 圖 11北信源內(nèi)網(wǎng)安全及補丁分發(fā)管理系統(tǒng)應(yīng)用拓?fù)? 第二章．系統(tǒng)安裝 21 安 裝環(huán)境 條件一：硬件環(huán)境 SQL Server 數(shù)據(jù)庫服務(wù)器： 用于安裝系統(tǒng)管理信息數(shù)據(jù)庫。 PC服務(wù)器或更高檔服務(wù)器， PentiumⅣ 以上 CPU， 512M 以上內(nèi)存。 區(qū)域管理器： 用于安裝區(qū)域管理器程序。百兆或千兆網(wǎng)卡， PC 服務(wù)器或更高檔服務(wù)器， PentiumⅣ 以上 CPU， 512M 以上內(nèi)存。 掃描器模塊： 配置同區(qū)域管理器。如單獨安裝掃描器模塊，比較高檔的 PC計算機(jī)即可。 本系統(tǒng)各程序可安裝在同一臺計算機(jī)上，也可在不同機(jī)器上安裝 SQL 數(shù)據(jù)庫、 IIS 服務(wù)器、區(qū)域管理器、掃描器模塊等，此時推 薦該計算機(jī)內(nèi)存為 1G 以上。 建議將區(qū)域管理器、掃描器、網(wǎng)頁管理平臺安裝在同一臺機(jī)器上，作為監(jiān)控服務(wù)器。 條件二：提供數(shù)據(jù)庫、 IIS 服務(wù) 操作系統(tǒng) ： Windows 2020 或 Windows 2020 企業(yè)版操作系統(tǒng)。 SQL Server2020 軟件： 配備 SQL Server 數(shù)據(jù)庫系統(tǒng)，用于北信源內(nèi)網(wǎng)安全及補丁分發(fā)管理系統(tǒng)建立管理信息庫數(shù)據(jù)庫列表項。 IIS 服務(wù)： 配備 IIS 服務(wù)器提供 Web服務(wù)，用于安裝 Web 網(wǎng)頁管理配置平臺。如所裝操作系統(tǒng)為 Windows 2020企業(yè)版，則需要按照安裝光盤中的 Windows 2020的 IIS 配置說明進(jìn)行 IIS 配置。 條件三：為本系統(tǒng)提供相應(yīng)端口 北信源內(nèi)網(wǎng)安全及補丁分發(fā)管理系統(tǒng)區(qū)域管理器將占用操作系統(tǒng) 88 端口，必須確保安裝區(qū)域管理器的機(jī)器該端口不被占用。區(qū)域內(nèi)的防火墻應(yīng)打開如下端口： 80， 88,2388， 2399， 8901,8900,161,137,22105， 8889， 22106， 22108 以及 ICMP 協(xié)議。同時最好將 DNS服務(wù)遷移至其它服務(wù)器。 22 安裝注意事項 軟件安裝時，推薦將區(qū)域管理器、掃描器、數(shù)據(jù)庫安裝在同一臺機(jī)器上（以下稱為監(jiān)控服務(wù)器），建議按照下面要求進(jìn)行監(jiān) 控服務(wù)器部署、軟件安裝、客戶端注冊。 221 軟件安裝監(jiān)控服務(wù)器部署注意事項 監(jiān)控服務(wù)器在網(wǎng)絡(luò)中放置位置注意點 ? 確保該監(jiān)控服務(wù)器能夠 ping 通所有被管理網(wǎng)絡(luò)中任意一臺客戶端機(jī)器，同時被管理客戶端可以正常連接服務(wù)器的 TCP 的 80,88 兩個端口。 ? 監(jiān)控服務(wù)器給客戶端下達(dá)策略的端口為： TCP 端口 22105。 ? 監(jiān)控服務(wù)器掃描發(fā)現(xiàn)客戶端利用以下協(xié)議及端口： ? ICMP 協(xié)議（發(fā)現(xiàn) IP 地址存在的其中一種方式）； ? NETBIOS 協(xié)議 ,UDP 端口 137(為了發(fā)現(xiàn)機(jī)器名和 MAC 地址 )； ? SNMP 協(xié)議 ,TCP 端口 161（為 了發(fā)現(xiàn)智能設(shè)備如路由器、交換機(jī)等）； ? 在本地網(wǎng)絡(luò)中若劃分了 VLAN，或本地網(wǎng)絡(luò)存在防火墻，請注意上述問題。 存在網(wǎng)中子網(wǎng)（如經(jīng)過地址轉(zhuǎn)換）的網(wǎng)絡(luò)布置點 對于網(wǎng)絡(luò)中存在網(wǎng)中網(wǎng)現(xiàn)象，如采用 NAT地址轉(zhuǎn)化或者代理方式在 10.*. *. *網(wǎng)絡(luò)中接入 192.*. *. *網(wǎng)段，這些子網(wǎng)用戶的管理方式如下： 情況一：子網(wǎng)有專人管理，并且有獨立機(jī)房 ,則應(yīng)在該子網(wǎng)中安裝一套完整的監(jiān)控系統(tǒng)。 情況二：子網(wǎng)無專人管理，或無獨立機(jī)房，可采用以下 3種方式之一處理 1) 機(jī)器數(shù)量少的建議統(tǒng)一更改 IP為 10.*. *. * 網(wǎng)段。 2) 由 管理員監(jiān)督子網(wǎng)中所有機(jī)器進(jìn)行注冊并保證不得遺漏。 3) 在該網(wǎng)絡(luò)中指定一臺工作站專門安裝區(qū)域管理器軟件和區(qū)域掃描模塊，并將區(qū)域管理器配置中 SQL服務(wù)器地址指向監(jiān)控服務(wù)器。 222 軟件安裝和應(yīng)用過程中注意事項 必須按照軟件安裝步驟進(jìn)行安裝 1）確認(rèn)本機(jī) IIS服務(wù)正常； 2）確認(rèn)本機(jī) SQL已正常安裝并能正常使用（以本地系統(tǒng)賬戶方式安裝）； 3）確認(rèn)目標(biāo)安裝盤剩余空間不小于 10G； 4）請務(wù)必按照指定順序安裝各個模塊； 5）請在區(qū)域掃描模塊所在計算機(jī)中安裝 SNMP 服務(wù)； 6）安裝完所有系統(tǒng)模塊后，請一定按照說 明文檔進(jìn)行客戶端程序的配置及分發(fā)安裝。 監(jiān)控服務(wù)器的安全性問題 管理服務(wù)器安裝 Windows2020 Server 操作系統(tǒng)（帶 IIS）、 MS SQL Server2020數(shù)據(jù)庫后，一定要確保對 Windows20 SQL 和 IE進(jìn)行重要安全補丁修補，規(guī)范操作系統(tǒng)、數(shù)據(jù)庫的口令和密碼設(shè)置，保證 SQL、 IIS 的正常啟動運行。 確保本服務(wù)器無病毒，同時可配置本服務(wù)器網(wǎng)絡(luò)通訊端口僅打開： 80， 88，6800， 8901， 8900， 22105， 2388， 2399， 8889。 保護(hù)機(jī)制的應(yīng)用 對大多數(shù)交換機(jī)、路由 器、非 Windows 設(shè)備，需要將其設(shè)置為保護(hù)狀態(tài)（避免被阻斷導(dǎo)致網(wǎng)絡(luò)不通），其它如有系統(tǒng)無法識別的重要設(shè)備，請在網(wǎng)頁管理平臺設(shè)備信息查詢中手動將其設(shè)置為保護(hù)狀態(tài)。 23 系統(tǒng)組件安裝 安裝順序依次為： *安裝 SQL Server 數(shù)據(jù)庫； *安裝 WinPcap 驅(qū)動程序； *安裝并運行環(huán)境初始化程序，初始化數(shù)據(jù)庫； *安裝網(wǎng)頁平臺并進(jìn)行劃分區(qū)域，配置區(qū)域 IP范圍、區(qū)域管理器參數(shù)、設(shè)備掃描器參數(shù) 等（推薦安裝在默認(rèn)路徑下）； *安裝區(qū)域管理器（推薦安裝在默認(rèn)路徑下）； *通知所有用戶下載并運行注冊客戶端代理探 頭程序。 231 安裝 SQL server 數(shù)據(jù)庫 略，見附錄 (一 )。 232 安裝 WinPcap驅(qū)動模塊 在安裝頁面中選擇“ 安裝 WinPcap 驅(qū)動模塊 ”按鈕，單擊“下一步” 安裝在區(qū)域掃描器所在計算機(jī)上。 233 安裝遠(yuǎn)程技術(shù)支持模塊 該模塊是一個程序附屬工具 (一般不需要安裝 )在客戶端安裝程序里帶有該程序 , 是用戶遠(yuǎn)程桌面管理及控制 ,有便于管理員幫助終端用戶解決問題。 234 初始化數(shù)據(jù)庫 初始化數(shù)據(jù)庫是在 SQL 數(shù)據(jù)庫中初始化建立 VRVEIS 數(shù)據(jù)庫并生成系統(tǒng)必需的相關(guān)數(shù)據(jù)表格，在此過程中 需要利用本地數(shù)據(jù)或者調(diào)用遠(yuǎn)程 SQL 數(shù)據(jù)庫，用戶需要根據(jù)實際安裝情況按以下兩種方式進(jìn)行操作： ? 本地 SQL 數(shù)據(jù)庫服務(wù)器環(huán)境初始化 1)、環(huán)境初始化，建立初始數(shù)據(jù)庫 在 SQL 服務(wù)器地址欄中添加本地機(jī)器 IP 地址、 SQL 用戶名、及 SQL 用戶密碼。 圖 2341 SQL 數(shù)據(jù)庫服務(wù)器環(huán)境初始化 2)、檢查數(shù)據(jù)庫初始化是否成功： 圖 2342 檢查數(shù)據(jù)庫初始化 當(dāng)有如圖 “ 初始化數(shù)據(jù)庫結(jié)構(gòu)成功 ” 提示框 彈出時，說明已成功創(chuàng)建初始化數(shù)據(jù)庫。否則會出現(xiàn)如下圖所示提示信息： 圖 2343 初始化數(shù)據(jù)庫失敗提示信息 如果出現(xiàn)如上圖所示提示信息，用戶需要檢查所填入的 SQL 數(shù)據(jù)庫 IP地址、用戶名以及用戶密碼，重新初始化數(shù)據(jù)庫。 ? 遠(yuǎn)程 SQL數(shù)據(jù)庫服務(wù)器環(huán)境初始化（建議非特殊情況不采用遠(yuǎn)程方式） 1)、輸入遠(yuǎn)程數(shù)據(jù)庫信息，配置 SQL 客戶端：安裝遠(yuǎn)程數(shù)據(jù)庫需要首先輸入遠(yuǎn)程數(shù)據(jù)庫 IP 地址、用戶名稱、用戶密碼，然后點擊 “ 配置 SQL 客戶端 ” ，出現(xiàn)如下界面： 圖 2344 配置 SQL 客戶端 2)、在通用欄中， 啟用 TCP/IP 協(xié)議： 在通用欄中，選用 TCP/IP 協(xié)議，并啟用，然后單擊別名，進(jìn)行別名添加設(shè)置。 圖 2345 啟用所選協(xié)議 3)、進(jìn)行客戶端別名的添加 :單擊上圖中所圈中的別名，出現(xiàn)如下所示： 圖 2346 對客戶端別名的添加 4)、進(jìn)行網(wǎng)絡(luò)協(xié)議的選擇和服務(wù)器別名的添加：此時用戶需要首先選擇網(wǎng)絡(luò)協(xié)議，選定為 TCP/IP，服務(wù)器別名根據(jù)用戶需要自由添加，點擊確定后完成數(shù)據(jù)庫初始化。 235 安裝 Web中央管理平臺 ? 安裝 Web 管理平臺 此部分程序要求安裝在默認(rèn)路徑下，安裝過程中請確保信息填寫正確 ，否則，Web 服務(wù)器可能不能正確訪問 SQL Server 數(shù)據(jù)庫。 ? Web 中央管理平臺訪問 Web 管理平臺安裝以后在 IIS 目錄上以虛擬目錄的形式存在，虛擬目錄名稱為 VRVEIS，用戶在安裝完成以后，用 服務(wù)器域名（ IP） /VRVEIS 的形式訪問 Web 管理平臺主頁面。默認(rèn)用戶名為 admin