【導(dǎo)讀】終端與內(nèi)網(wǎng)安全管理系統(tǒng)。極地銀河（北京）信息科技有限公司

　　

【正文】 禁止修改 IE 屬性 禁止打開 設(shè)備管理器 安全接入管理 接入控制 在線主機(jī)偵聽檢測 非法主機(jī)網(wǎng)絡(luò)阻斷 禁止修改 IP 地址 教育行業(yè)終端與 內(nèi)網(wǎng)安全管理系統(tǒng)解決方案 北京兆維億方科技發(fā)展有限公司 38 禁止修改 MAC 地址 接入管理 設(shè)置合法主機(jī) 設(shè) 置超級主機(jī) 黑 /白名單管理 外聯(lián)監(jiān)控 非法外聯(lián)監(jiān)控 非法撥號監(jiān)控 連接非法主機(jī)監(jiān)控 非法外聯(lián)管理 禁止撥號網(wǎng)絡(luò) 禁止連接非法主機(jī) 資產(chǎn)管理 資產(chǎn)統(tǒng)計 硬件信息收集統(tǒng)計 軟件信息收集統(tǒng)計 資產(chǎn)變更處理 硬件資產(chǎn)變更處理 軟件資產(chǎn)變更處理 自定義信息管理 設(shè)置主機(jī)別名 設(shè)置硬件資產(chǎn)購置和品牌信息 設(shè)置硬件使用人員信息 設(shè)置硬件物理位置信息 安全性 系統(tǒng)安全性 服務(wù)器與客戶機(jī)之間的通信經(jīng)過必要的加密措施 有管理員帳號管理功能 控制臺支持 分級、分組、分權(quán)限管理 服務(wù)器與客戶機(jī)的認(rèn)證防止未獲授權(quán)使用 電子郵件內(nèi)容加密 備份數(shù)據(jù)加密 數(shù)據(jù)安全性 提供自動備份功能 支持多種備份裝置 (如磁帶機(jī)、 CDRW、 DVDRW、 網(wǎng)絡(luò)驅(qū)動器 ) 系統(tǒng)性能 數(shù)據(jù)庫性能 高性能的后臺數(shù)據(jù)庫 網(wǎng)絡(luò)性能 高性能的數(shù)據(jù)壓縮和數(shù)據(jù)傳輸， 降 低數(shù)據(jù)大小及傳輸時間 快速 客戶機(jī)并發(fā)輪詢 客戶機(jī)網(wǎng)絡(luò)流量控制 管理功能 客戶端程序功能 客戶端程序兼容 WINDOWS 系列操作系統(tǒng) 客戶端程序卸載必須通過控制臺 客戶端程序具有反安裝保 護(hù)功能 處理機(jī)制 采用高性能的后臺數(shù)據(jù)庫 高性能的數(shù)據(jù)壓縮和數(shù)據(jù)傳輸，減低數(shù)據(jù)的大小及數(shù)據(jù)傳輸?shù)臅r間 具有快速的客戶機(jī)并發(fā)輪詢機(jī)制 客戶機(jī)網(wǎng)絡(luò)流量控制 安裝方式 單獨安裝 域安裝 WEB 安裝 遠(yuǎn)程推送 內(nèi)部郵件發(fā)送客戶端下載連接 配置功能 用戶轉(zhuǎn)換 修改密碼 計算機(jī)管理 教育行業(yè)終端與 內(nèi)網(wǎng)安全管理系統(tǒng)解決方案 北京兆維億方科技發(fā)展有限公司 39 描述管理 用戶及權(quán)限管理 查詢歷史 選項設(shè)置 數(shù)據(jù)清除周期 升級序列號 客戶端 自動升級 報表統(tǒng)計 資產(chǎn)管理 導(dǎo)出硬件資產(chǎn)統(tǒng)計報表 導(dǎo) 出軟件資產(chǎn)統(tǒng)計報表 安全審計 導(dǎo)出終端安全行為報表 導(dǎo)出系統(tǒng)日志 導(dǎo)出終端網(wǎng)絡(luò)訪問記錄統(tǒng)計報表 導(dǎo)出補丁下發(fā)報表 導(dǎo)出漏洞信息報告 報表格式 支持 word、 PDF、 html、 txt 等 多種格式 教育行業(yè)終端與 內(nèi)網(wǎng)安全管理系統(tǒng)解決方案 北京兆維億方科技發(fā)展有限公司 40 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 產(chǎn)品特點 P2P 文件傳輸 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 在進(jìn)行補丁分發(fā)或者軟件分發(fā)等操作時，可以采用 P2P 的方式完成文件的傳輸。服務(wù)器首先會將要下發(fā)的文件在每個網(wǎng)段范圍之內(nèi)選擇一臺主機(jī)下發(fā)，然后自動將其他主機(jī)的對同一個文件的請求重定向到指定的客戶端上 ，即可通過客戶端之間的直接通信連接，完成文件的傳輸。 P2P 的文件傳輸方式可以極大的節(jié)約服務(wù)器端的網(wǎng)絡(luò)帶寬，減少服務(wù)器端的網(wǎng)絡(luò)流量，從而允許一臺服務(wù)器在同等配置情況下可以支持更多的客戶端，緩解服務(wù)器端的網(wǎng)絡(luò)帶寬瓶頸。 強(qiáng)大的網(wǎng)絡(luò)行為管理 能監(jiān)控幾乎所有上網(wǎng)行為，且不斷升級增加，是同類軟件中功能最為全面與強(qiáng)大的。適應(yīng)各種各樣的網(wǎng)絡(luò)環(huán)境。用于監(jiān)測局域網(wǎng)內(nèi)部用戶的 Inter 通訊，可紀(jì)錄局域網(wǎng)內(nèi)部用戶的所有上網(wǎng)內(nèi)容，且運行在一臺機(jī)器上就可以監(jiān)控其他所有機(jī)器的通信。即使退出軟件，也可以讓其保持監(jiān)控?？梢詫⑺须?腦按部門或任何你想要的分類方法整理歸類進(jìn)行監(jiān)控。 詳細(xì)的文件審計 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 可以對文件或文件夾的操作進(jìn)行審計，能夠?qū)徲嫷木唧w操作包括：訪問、修改、復(fù)制、移動、創(chuàng)建、刪除、打印、網(wǎng)絡(luò)、改名、恢復(fù)、共享等。系統(tǒng)能夠詳細(xì)記錄發(fā)生事件的時間、計算機(jī)，以及進(jìn)行文件操作的用戶，操作的類型，被操作的文件名和文件路徑等信息。此外，還能夠在指定的事件發(fā)生時，觸發(fā)相應(yīng)的報警與響應(yīng)措施，及時通知管理員并阻止用戶的違規(guī)行為。 通過文件操作的詳細(xì)審計，能夠防止文件泄密行為的發(fā)生，并且在安全事件發(fā)生以后，做到有據(jù) 可查，方便安全事件發(fā)生原因的準(zhǔn)確定位以及責(zé)任的追查。 教育行業(yè)終端與 內(nèi)網(wǎng)安全管理系統(tǒng)解決方案 北京兆維億方科技發(fā)展有限公司 41 在線 /離線可設(shè)置不同策略進(jìn)行控制 對于外設(shè)和端口管理， 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 允許管理員分別設(shè)置在線和離線 2 中管理策略。在線策略在客戶端和服務(wù)器能夠通信時生效，離線策略在客戶端無法和服務(wù)器通信時生效。 2 種策略的設(shè)置可以不同，并且策略的切換和生效時自動完成的，無須管理員和用戶參與。通過區(qū)分在線 /離線 2 種策略，可以方便筆記本等移動設(shè)備使用的靈活性，適應(yīng)辦公環(huán)境和非辦公環(huán)境對主機(jī)策略要求的不同。 USB 移動 存儲設(shè)備管理 對于 USB 的管理，可以實現(xiàn)多層次的 靈活配置。 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 可以徹底禁用 USB 接口，所有 USB 接口的設(shè)備都將無法使用。 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 也可以做到允許通用的 USB 設(shè)備 使 用，而只禁用 U盤等 USB 存儲設(shè)備，并可以配置對禁用的 USB 存儲設(shè)備做只讀訪問。此外，希望還能夠在禁止通用的 USB 存儲設(shè)備的同時，允許管理員對 U 盤進(jìn)行認(rèn)證，認(rèn)證過的 U 盤等移動存儲設(shè)備，在網(wǎng)絡(luò)中指定的主機(jī)上可以作無限的訪問。 通過對 USB 的移動存儲設(shè)備進(jìn)行細(xì)化管理，可以做到防止用戶通過 USB 存儲設(shè)備將涉密文件帶走，同時對 U 盤進(jìn)行認(rèn)證還能滿足內(nèi)網(wǎng)中對 USB 移動存儲設(shè)備的授信使用需求。 強(qiáng)大的日志記錄和報表功能 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng)會根據(jù)管理人員的要求生成所關(guān)心的計算機(jī)應(yīng)用的各種日志記錄和統(tǒng)計報表，從而可以對內(nèi)部人員計算機(jī)的使用情況進(jìn)行評估，例如查詢：網(wǎng)站訪問日志記錄、應(yīng)用程序記錄、文件使用記錄、歷史屏幕快照記錄等。系統(tǒng)提供了功能強(qiáng)大的報表功能，報表格式支持 word、 PDF、html、 txt 等，預(yù)定義了多種報表模板，同時支持用戶自定義報表模板。報表類型包括上網(wǎng)行為統(tǒng)計、網(wǎng)站訪問統(tǒng)計、資產(chǎn)信息報告、漏洞信息報告、補丁安裝信息報告等。方便管理人員進(jìn)行分析 問題原因，快速決策。 教育行業(yè)終端與 內(nèi)網(wǎng)安全管理系統(tǒng)解決方案 北京兆維億方科技發(fā)展有限公司 42 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng)產(chǎn)品 優(yōu)勢 采用 P2DR 安全機(jī)制 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng)采用目前先進(jìn)可靠的 P2DR 安全機(jī)制。在整體的安全策略 Policy 的控制和指導(dǎo)下，綜合運用防護(hù)工具 Protection（如防火墻、加密機(jī)、防病毒等手段）的同時，利用檢測工具 Detection（如隱患掃描、入侵檢測等）了解和評估系統(tǒng)的安全狀態(tài)，通過適當(dāng)?shù)陌踩憫?yīng) Response 將系統(tǒng)調(diào)整到 “最安全 ”和 “風(fēng)險最低 ”的狀態(tài)。 終端隱患一網(wǎng)打盡 系統(tǒng)采用底層監(jiān)控技術(shù)對終端用戶的外設(shè)接口使用行為進(jìn)行控制 ，可以禁止使用 USB 存儲設(shè)備、打印機(jī)、紅外接口等外設(shè)和接口，同時支持對敏感文件進(jìn)行加密，防止重要數(shù)據(jù)外泄。系統(tǒng)支持對終端用戶的程序使用、文件訪問、上網(wǎng)行為、端口通信、網(wǎng)絡(luò)共享、資產(chǎn)變更等行為進(jìn)行監(jiān)控、審計和管理，消除終端安全隱患。 教育行業(yè)終端與 內(nèi)網(wǎng)安全管理系統(tǒng)解決方案 北京兆維億方科技發(fā)展有限公司 43 系統(tǒng)補丁統(tǒng)一分發(fā) 系統(tǒng)通過對終端計算機(jī)進(jìn)行自動漏洞分析，統(tǒng)一向終端下發(fā)所需系統(tǒng)補丁，確保終端計算機(jī)方便快捷地修補系統(tǒng)漏洞，增強(qiáng)終端安全性。系統(tǒng)支持補丁分發(fā)策略管理、分發(fā)流量控制、級聯(lián)分發(fā)、自定義補丁管理、補丁增量更新、補丁回退等功能，幫助客戶省時、省力、省帶寬地完成對終端的 查遺 補漏 。 安全策略強(qiáng)制執(zhí)行 系統(tǒng)以強(qiáng)制執(zhí)行內(nèi)部安全策略為核心，通過在服務(wù)器端統(tǒng)一編輯安全策略并下發(fā)到內(nèi)部各終端計算機(jī)上強(qiáng)制執(zhí)行，完成對終端計算機(jī)集中的安全防護(hù)和行為監(jiān)管，防止用戶對內(nèi)部資源的非授權(quán)訪問和重要信息外泄，提高終端自身安全性，實現(xiàn)終端從自主安全管理到強(qiáng)制安全管理的飛躍，保證內(nèi)網(wǎng)用戶行為的合規(guī)性。 教育行業(yè)終端與 內(nèi)網(wǎng)安全管理系統(tǒng)解決方案 北京兆維億方科技發(fā)展有限公司 44 產(chǎn)品架構(gòu) 系統(tǒng)架構(gòu) 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 由三部分組成，客戶端代理模塊、控制臺模塊和服務(wù)器模塊?？蛻舳?代理模塊安裝在每一臺需要被監(jiān)視的計算機(jī)上，用來收集數(shù)據(jù)信息，并執(zhí)行來自服務(wù)器模塊的指令。 服務(wù)器模塊一般安裝在一臺具有高性能 CPU 和大容量內(nèi)存的用作服務(wù)器的計算機(jī)上，用來存儲和管理所有安裝有代理模塊的計算機(jī)的數(shù)據(jù)?？刂婆_模塊一般安裝在公司的管理人員的計算機(jī)上，用來監(jiān)控每臺安裝有代理模塊的計算機(jī)，管理各類審計系統(tǒng)，制定安全策略。 系統(tǒng)的基本框架如下圖所示： 產(chǎn)品各模塊功能 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 服務(wù)器模塊： 服務(wù)器模塊包括服務(wù)器端軟件和支持?jǐn)?shù)據(jù)庫。支持操作系統(tǒng)為 Microsoft 教育行業(yè)終端與 內(nèi)網(wǎng)安全管理系統(tǒng)解決方案 北京兆維億方科技發(fā)展有限公司 45 Windows 2020 和 Microsoft Windows XP。數(shù)據(jù)庫支持 Microsoft SQL Server 2020和 Microsoft Access（建議在客戶端超過 100點，使用 Microsoft SQL Server 2020數(shù)據(jù)庫）。服務(wù)器模塊主要功能如下： ? 定時搜索網(wǎng)絡(luò)，管理所有已安裝客戶端代理模塊的計算機(jī)，并向代理模塊傳遞相關(guān)的設(shè)置和命令信息； ? 接收控制臺用戶數(shù)據(jù)請求指令，傳送數(shù)據(jù)文件到控制臺，由控制臺進(jìn)行解密查看分析； ? 保存客戶端代理用戶信息； ? 存儲系統(tǒng)組織結(jié)構(gòu)，用戶信息和系統(tǒng)工作配置參數(shù)； ? 收集客戶端代理模塊采集的數(shù)據(jù)，并保存到數(shù)據(jù)庫中； ? 提供方便靈活的歷史記錄管理、歸檔、搜索、 查看等功能； 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 控制臺模塊： 控制臺模塊是實現(xiàn)系統(tǒng)管理、參數(shù)配置、策略管理、系統(tǒng)審計的人機(jī)交互界面軟件。系統(tǒng)運行平臺為 Microsft Windows 2020/XP。控制臺模塊功能如下： ? 參數(shù)設(shè)置，包括控制臺和服務(wù)器的工作參數(shù)； ? 用戶（管理員）管理，包括：添加、刪除、修改；系統(tǒng)管理員采用分權(quán)分級的管理方式，每個管理員都有其授權(quán)工作范圍和管理權(quán)限； ? 安全工作域結(jié)構(gòu)管理，包括創(chuàng)建組織結(jié)構(gòu)層次深度以及添加、刪除系統(tǒng)組織結(jié)構(gòu)； ? 客戶端代理的添加、安裝和卸載； ? 客戶端代理策略的配置和 下發(fā)； ? 實時獲取被監(jiān)視計算機(jī)的屏幕快照等信息； ? 設(shè)置監(jiān)視和控制規(guī)則； ? 查看并播放記錄在服務(wù)器端的歷史記錄； ? 查詢特定機(jī)器特定時刻的歷史記錄； ? 監(jiān)測日志的查看、分析和審計； 極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 客戶端代理模塊： 客戶端代理模塊是安裝于受管理主機(jī)上的軟件。軟件安裝支持本地安裝和網(wǎng)絡(luò)安裝等多種方式；客戶端代理的卸載只從服務(wù)器接收控制臺發(fā)出的卸載指令，本地用戶不能自行卸載、關(guān)閉管理程序。客戶端代理的工作平臺目前支持教育行業(yè)終端與 內(nèi)網(wǎng)安全管理系統(tǒng)解決方案 北京兆維億方科技發(fā)展有限公司 46 Microsoft Windows 系列操作系統(tǒng)包括 Windows 98/Me、 Windows 2020 和 Windows XP。客戶端代理模塊主要功能如下： ? 接收服務(wù)器下發(fā)的工作策略，并按照該策略控制客戶端代理的工作模式； ? 信息泄露防護(hù)，該模塊包括對網(wǎng)絡(luò)層、應(yīng)用層、媒體介質(zhì)、打印機(jī)和外設(shè)接口等的監(jiān)視控制； ? 運行監(jiān)測：實時記錄文件的操作，進(jìn)程、服務(wù)、驅(qū)動、用戶和組的變化情況； ? 資產(chǎn)管理：接收服務(wù)器指令，上傳系統(tǒng)的軟件、硬件信息； ? 定時采集數(shù)據(jù)并保存，并將采集的數(shù)據(jù)傳送到服務(wù)器； ? 響應(yīng)控制臺發(fā)出的監(jiān)視請求，傳送實時的屏幕快照信息； ? 根據(jù)系統(tǒng)的設(shè)置控制計算機(jī)的操作； ? 和服務(wù)器通信完成補丁的檢測、下載和 安裝； ? 完成安全接入管理的實際功能。 產(chǎn)品部署 部署方法 本方案建議采用集中部署極地銀河終端與內(nèi)網(wǎng)安全管理系統(tǒng) 的 方式： ? 全網(wǎng)部署一臺 終端與內(nèi)網(wǎng) 服務(wù)器，負(fù)責(zé)全網(wǎng)各終端計算機(jī)的信息收集與策略下發(fā)，實現(xiàn)對終端計算機(jī)的管理，并在服務(wù)器上配置補丁系統(tǒng)，將補丁文件的存貯、發(fā)放和管理集中在服務(wù)順進(jìn)行。 ? 網(wǎng)內(nèi)部署管理控制臺，運行管理中心。負(fù)責(zé)對各終端計算機(jī)進(jìn)行查看，并進(jìn)行策略制定、下發(fā) ? 終端計算機(jī)上安裝客戶端程序。負(fù)責(zé)向服務(wù)器上報資產(chǎn)、行為、補丁等信息，同時從服務(wù)器接收策略，并在本在執(zhí)行。 部署客戶端可以采用登錄 WEB 頁 面下載安裝和電子郵件分發(fā)客戶端相結(jié)合的方法。 這種方式的優(yōu)勢在于部署簡單，實現(xiàn)容易。 教育行業(yè)終端與 內(nèi)網(wǎng)安全管理系統(tǒng)解決方案 北京兆維億方科技發(fā)展有限公司 47 系統(tǒng)部署示意圖 圖：系統(tǒng)部署示意圖