【文章內容簡介】 頻會議等各種日益繁多及重要、復雜的網絡應用，如何來保證保障重點業(yè)務應用的安全，提高重點業(yè)務應用的速度和效率，網絡的安全問題就愈加顯得更加重要。而且隨著學校不同業(yè)務的發(fā)展及信息化建設步伐的加快，校園網的網絡安全問題也日益徒顯。無孔不入的病毒（尤其是木馬病毒）仍然會大肆泛濫，甚至嚴重影響學校應用系統(tǒng)的運行和校園網絡關鍵業(yè)務的正常運作。另外由于缺少專門的客戶端安全檢查設備，無法有效的保護整個局域網的安全性，上班時間員工瀏覽一些與工作無關的網站，有些員工甚至登陸一些受限制網站，同時使用P2P軟件進行下載，耗費了大量時間和網絡資源，除了有可能給內網帶來不安全因素外，還導致工作效率不高，而且現在業(yè)務系統(tǒng)對網絡帶寬和上網速度及上網的安全性提出了更高的要求。信息化的飛快發(fā)展代來方便的同時也帶來了威脅，現在的信息技術可以使員工非常方便的在網絡上交換數據和信息，在工作便利的同時也不得不面對機密信息泄露的威脅。 現行網絡環(huán)境目前學校的互聯(lián)網上網環(huán)境簡述如下： 上網方式：連接到電信專線上網；網絡設備：專線下直連一個深信服網絡防火墻，下接神碼三層核心可網管網絡交換機；網絡結構：總線拓撲，不同部分劃分多個網段規(guī)劃；內網規(guī)模：約5臺服務器，近800臺左右PC。 期望解決效果本方案的基本目標：為***學校的互聯(lián)網上網建設一個先進的、高可用、安全的互聯(lián)網安全控制系統(tǒng)，保證內網核心如OA辦公系統(tǒng)、電子郵件等關鍵業(yè)務系統(tǒng)，及對員工的上網行為進行有效監(jiān)控和日志有效記錄，做到網絡出口問題有據可查，并且對網絡內當前使用的各種應用與應用占用的有限帶寬進行查看，最后利用互聯(lián)網安全控制設備，保障校園網內的員工健康上網、數據安全，及上網帶寬快速、網絡穩(wěn)定的有序管理設計目的。最終在新的架構上我們需要考慮產品的可靠性，可管理性，設備的安全性等，來保證下面的網絡架構和功能要求來達到安全可控目的。通過采用SINFOR M5X00AC上網行為管理解決方案，可以保障組織管理者實現完善的網絡訪問行為管控和行為審計，并達到如下效果，可以幫助學校：（如禁止上班時間聊天、炒股、網絡游戲等），提升工作效率上班時間從事私人活動，是辦公室皆知的秘密。管理者卻難以阻止員工在上班時間瀏覽無關網站、聊天、在線炒股等工作無關的網絡行為，員工工作效率的下降將直接影響組織的競爭力。而通過SINFOR AC可以把與工作無關的上網行為降低到最低，去除員工的分心，讓他們專注于工作中。 、帶寬管理，提升帶寬利用率　　對嚴重吞噬帶寬的P2P行為，SINFOR AC不僅能徹底封堵，還能對其占用的帶寬進行流量管控。基于用戶(組)、時間段、應用類型的帶寬管理和帶寬通道劃分，結合智能QoS，既保證了業(yè)務應用對帶寬的需求，又避免了對帶寬的濫用，提升帶寬使用效率。、提升內網安全級別　　色情、反動網站的瀏覽和未知文件的下載安裝，導致病毒、木馬等被員工主動“邀請”進入內網，SINFOR AC將過濾該行為，并提供網關殺毒功能從源頭消除威脅；源自內網的DOS攻擊、ARP欺騙等也將被SINFOR AC徹底防御；而組織內網使用低版本操作系統(tǒng)、不及時打補丁、不安裝指定的殺毒/防火墻軟件、安裝使用違規(guī)軟件的終端用戶，SINFOR AC亦能偵測發(fā)現，從而修復內網安全短板。、保護組織信息資產安全　　員工使用Email郵件可能將組織的信息機密發(fā)送到公網、甚至競爭對手，SINFOR AC特有的“郵件延遲審計”專利技術，將徹底防范該泄密行為；員工的網絡發(fā)帖、webmail行為，SINFOR AC同樣可以過濾和記錄；而SINFOR AC對、MSN等聊天內容的記錄和審計，將警示通過IM聊天工具泄密的行為。、避免法律風險　　員工利用組織的Internet連接，訪問反動、邪教等不良網站，發(fā)表非法言論，收集和發(fā)布色情圖片等非法網絡活動，將導致組織違反法律法規(guī)、承受法律訴訟等。SINFOR AC上網行為管理設備可以管控和過濾員工的此類行為，并詳細記錄和審計員工的各種網絡行為日志，做到有據可查，使組織避免法律風險。 　　SINFOR AC提供的數據中心，海量存儲內網用戶的各種網絡行為日志，圖形化的查詢、審計、統(tǒng)計、自動報表、內容檢索等功能，方便組織管理者了解和掌控您的網絡。 解決效果3．4..如何為***學校的互聯(lián)網安全訪問工作解決上述問題，并更加有效的推進？從整個網絡來看，影響學校信息化安全建設，以及將局域網可靠地向外擴展的因素主要體現在兩個方面：一是網絡本身是否具備充分抵御內外網安全威脅的能力；二是網絡對外延伸擴展部分是否保證遠程辦公的安全、穩(wěn)定、快速接入，下面分別加以說明。3．4.. Sinfor AC上網行為管理安全設備可以實現的功能如何有效地解決這些問題，以便提高員工的工作效率，降低學校的安全風險，減少學校的損失，成為學校迫在眉睫的緊要任務。深信服科技推出的SINFOR AC從以下幾個方面來解決上述問題。1)、 豐富的認證功能SINFOR AC提供了豐富的認證功能，對擁有眾多內網用戶的學校而言，對內網用戶實行嚴格的安全認證管理以避免安全隱患是及其重要的。SINFOR AC基于Web的用戶認證功能，使得管理員對上網用戶的管理變得十分靈活方便。用戶啟用了Web認證功能以后，除了對客戶端的本地身份（如：用戶名密碼認證,LDAP,RADIUS等認證）進行常規(guī)性認證以外，還將啟用Web認證。當客戶端在瀏覽器中輸入任意網址時，SINFOR AC會要求用戶輸入用戶名和密碼進行認證。只有當用戶輸入了正確的帳號，該用戶才能夠訪問Internet。SINFOR AC靈活的MAC地址綁定，使得管理員除了對用戶進行帳號認證以外，還可以對用戶的帳號啟用MAC地址綁定。這樣將用戶帳號、IP以及網卡的MAC地址三者有效結合，更加完善地對內網用戶進行管理。2)、 深度的內容檢測、強大的P2P攔截功能在上班時間做與工作無關的調查統(tǒng)計中，有60%的被調查員工承認其主要是在玩游戲、和使用、MSN等P2P即時通訊軟件。這些不僅影響了學校員工的正常工作，還造成了學校人力資源的嚴重浪費，間接造成了學校的巨大損失。SINFOR AC采用了在線網關監(jiān)控技術實現對包括,MSN,SKYPE,BT等任何P2P軟件的流量阻隔，及時封堵了IM實時通訊軟件。目前的P2P軟件，如、MSN等IM即時通訊軟件以及BT、電驢等下載軟件，在用TCP或者UDP數據包的傳送過程中，其報文段都會有一段特征碼，該特征碼是用來標識其數據包類型。SINFOR AC的深度內容檢測技術，可以檢測出數據包的報文中相對應的特征碼，并根據預置策略進行及時封堵。SINFOR AC內置了多種深度內容檢測技術所依賴的特征碼規(guī)則，并且可以自動更新，管理員也可以從網站上更新下載。依靠這種技術，SINFOR AC可以封堵目前所有的P2P軟件。避免了最終用戶在IM或者P2P軟件上浪費時間，提高了員工的工作效率和學校的生產效率。3)、 嚴格的訪問控制策略SINFOR AC提供了基于組、時間、服務、網址策略、內容策略等多種對象組合的安全訪問控制策略。管理員可以對學校的內網用戶分組管理，并且對于每個組的策略，可以基于時間、服務、網址策略、內容策略等多種策略進行嚴格的訪問控制管理。4)、 危險網站阻隔為了防止員工在上班時間訪問與工作無關的網站，避免員工瀏覽不適當的網站產生相應的違法行為或者遭受間諜軟件/網絡釣魚程序攻擊導致學校的機密數據被竊取，學校的名譽受損。SINFOR AC可以對各種危險網站進行阻隔。由于互聯(lián)網上各種危險網站層出不窮，用戶根本無法手動更新相應的網站，SINFOR AC通過在線自動更新的不良網站列表，減少了學校的維護成本，降低了學校信息安全、法律責任等相關風險。5)、 代理識別功能SINFOR AC能識別采用Http,Https,Socks等代理服務器繞過防火墻檢查的行為，從而進行阻斷。有效地阻止了某些最終用戶企圖通過代理服務器訪問一些危險網站（許多反動網站、色情網站都是通過此技術來逃避相關部門的管理）的目的，避免了學校遭受相應的法律責任的風險。6)、 敏感數據攔截由于采用了深度檢測技術，對于HTTP,FTP,SMTP,IMAP等應用協(xié)議數據包中含有的敏感數據，SINFOR AC能夠進行有效的攔截，以防泄密或由于員工泄密引起的重大損失。7)、流量分析SINFOR AC能按用戶、用戶組、協(xié)議和時間對Internet流量進行統(tǒng)計分析，以優(yōu)化員工對Internet的資源使用情況。使得學校有限的帶寬能得到最充分的利用，提高學校的網絡利用率。8)、 強大的QOS、豐富的日志報表功能SINFOR AC強大的訪問控制和QOS功能可以使得學校合理利用Internet資源。為不同的用戶分配不同的帶寬和上網權限，使得Internet資源得到有效利用，并大大提高員工的工作效率。豐富的報表功能還可以分析出學校的Internet的詳細使用情況，為網絡管理員和決策者分配和了解員工網絡資源提供有效數據支持。、互聯(lián)網安全控制設備部署網絡拓撲圖 M5400AC上網行為管理安全網關主要功能SINFOR M5400AC上網行為管理安全網關是集VPN、防火墻、IPS、病毒網關、訪問控制、上網監(jiān)控、垃圾郵件過濾為一體的AllInOne上網行為管理安全網關。作為深信服科技領先的一體化網絡安全解決方案，SINFOR M5400AC上網行為管理安全網關主要功能如下：SINFOR M5400AC有如下功能特性： 1) 、上網行為控制，規(guī)范員工上網行為，提高工作效率多種認證機制，細致的用戶分組和權限劃分，基于時間段為用戶分配合適的權限；　　獨特的WEB認證、基于瀏覽器實現方便的用戶識別與認證；　　網頁過濾、關鍵字過濾、深度內容檢測等多種控制功能，管控員工在上班時間訪問與工作無關的網站、網絡聊天、網絡游戲、炒股、看電影、P2P行為、文件上傳下載等；管控Email、FTP等行為?！　—氂械木W絡訪問準入系統(tǒng)（專利技術），只允許符合指定條件的用戶才可以連　　接Internet，避免內網用戶遭受病毒、木馬、間諜軟件等安全威脅； 2)、強大的監(jiān)控和審計，保護內部數據安全、防止機密信息泄漏 　　記錄所有訪問過的網址、網頁標題和網頁內容、HTTP/FTP上傳下載、通過BBS、BLOG發(fā)表的內容；各種搜索記錄，、MSN等聊天內容等，所有上網記錄，均可完整再現； 　　特有的郵件延遲審計專利技術，保證所有Email郵件先審計、后發(fā)送；Webmail網頁郵件內容全面記錄，包括正文和附件。　　防止公司機密信息通過郵件、即時通訊軟件、BBS等途徑泄漏；　　獨特的“免審計Key”功能，徹底免除對組織高層領導的網絡行為記錄；3)、 流量控制和帶寬管理，優(yōu)化帶寬資源的使用 　　多線路復用和智能選路專利技術，提升出口帶寬，流量負載分擔，智能選擇最優(yōu)上網線路?！　2P等非業(yè)務應用和非業(yè)務部門進行帶寬限制，細化到應用級別和針對每用戶的帶寬劃分；基于用戶(組)、應用類別、時間段等進行帶寬分配； 　　智能QoS優(yōu)先級技術，重要數據優(yōu)先傳送，提升帶寬使用效率。　　智能QOS，重要數據優(yōu)先傳送；4 ）、海量日志存儲、豐富的報表功能，為組織決策提供最有效的數據支持 　　網絡行為日志支持海量存儲，滿足公安部82號令存儲60天要求，且日志的查詢、統(tǒng)計、審計等不影響網關性能；　　全面記錄所有上網行為日志，圖形化的日志查詢、審計、統(tǒng)計功能；　　自動報表，讓管理者自動獲知組織的網絡狀況　　提供類似百度的搜索界面，實現海量日志的內容檢索和搜索。5）、 更多安全功能，全面提升內網安全級別　　防范來自公網和源自內網的DOS攻擊，提升網絡可用性；　　防ARP欺騙；網關殺毒，從源頭上查殺病毒；　　網絡準入規(guī)則，修復內網安全短板，提升內網安全級別。6）、 功能一欄表分類功能詳細指標訪問控制危險網站阻隔用戶可自定義對色情、病毒、釣魚網站的阻隔訪問訪問控制策略提供基于組、時間、服務、網址策略、內容策略等多種對象組合的安全訪問控制策略P2P攔截使用深度內容檢測技術實現對包括、MSN、SKYPE、BT等任何P2P軟件的流量阻隔用戶認證提供Web登錄認證功能，提供本地用戶數據庫和LDAP,Radius用戶數據集成功能文件上傳下載控制對Http、Ftp文件上傳、下載類型和大小進行控制，也能對,MSN等P2P軟件的文件傳送進行攔截IPMAC綁定提供靈活的IPMAC綁定策略代理識別功能能識別采用Http,Https,Socks等代理服務器繞過防火墻檢查的行為，從而進行阻斷敏感數據攔截對Http、Ftp、Smtp、Imap等應用協(xié)議做敏感數據攔截，以防泄密或引起法律糾紛訪問審計郵件延遲審計對外發(fā)郵件進行延遲緩存，審計后才能發(fā)出，確保信息資產不外泄實時監(jiān)控實時監(jiān)控用戶的上網行為。訪問監(jiān)控監(jiān)控用戶所有的上網記錄，包括Web訪問、Ftp、Telnet、郵件（含Webmail）及附件、、MSN、ICQ、Yahoo Message等流行IM的數據。以防止信息泄密。流量分析能按用戶、協(xié)議和時間對Internet流量進行統(tǒng)計分析，以優(yōu)化員工對Internet的資源使用情況。管理功能管理員權限權限粒度細致，分級管理本地管理GUI方式遠程管理GUI方式配置備份使用加密的配置文件進行配置備份和分發(fā)Firmware升級通過遠程升級Firmware獲得更新的軟件版本和更多功能模塊高可靠設計自動恢復看門狗提供自動恢復功能，配置恢復功能雙機備份支持雙機備份功能多線路備份支持2～4條線路的備份日志日志容量可以使用獨立的日志服務器，容量無限制。日志備份支持自動定時備份日志導入支持轉換日志為標準的TXT文件，便于導入到MS SQL或ORACLE數據庫進行二次開發(fā)和分析數據中心可用SINFOR 獨立的數據中心進行詳細的分析網絡特性支持的Internet接口PSTN/ISDN A