【導(dǎo)讀】二、未安裝防火墻之前的泉州電信公司的網(wǎng)絡(luò)情況。

　　

【正文】 代化全方位的病毒防護(hù)系統(tǒng)應(yīng)考慮 Inter 網(wǎng)關(guān)郵件病毒過濾、群件服務(wù)器的病毒控制、服務(wù)器病毒防范和傳染控制、各種桌面的病毒防護(hù)、防病毒系統(tǒng)管理和防病毒系統(tǒng)的升級。 整個病毒防護(hù)系統(tǒng)的層次和防范體系如圖 2 所示 泉州電信公司網(wǎng)絡(luò)安全解決方案 25 圖 2 圖 2 泉州電信公司網(wǎng)絡(luò)防病毒示意圖 在泉州電信總部與 Inter出口處，安裝 NAI AVD 網(wǎng)關(guān)病毒防護(hù)系統(tǒng)，過濾從 Inter來的病毒，控制 Inter 病毒源。該部分由 Webshield 軟件實現(xiàn)。 在泉州電信總部、泉州電信各地分支部門安裝防病毒管理軟件 ePO 構(gòu)建反病毒管理控制臺、反病毒管理服務(wù)器、報警管理和反病毒軟件倉庫和基于文件服務(wù)器端（ 服務(wù)器，Netware 服務(wù)器， Win2020 服務(wù)器和高級服務(wù)器版）的 NAI Netshield 反病毒軟件，基于客戶端（ DOS、 Win3x、 Win98/9 工作站、 Win2020 專業(yè)版）安裝 NAI AVD Virusscan反病毒軟件，基于 Lotus Domino for Winnt 或 lotus Domino for AIX 或 for Winnt 或 exchange 2020 for win2020 服務(wù)器或高級服務(wù)器上安裝基于郵件系統(tǒng)的NAI AVD Groupshield 反病毒軟件，組建防病毒域和防病毒軟件庫，使各地局域網(wǎng)內(nèi)本地的ePO 管理服務(wù)器 軟件庫 ePO 控制臺 95/98/NT WS/DOS WAN 專用網(wǎng) ePO 管理服務(wù) 器 軟件庫 S ePO 控制臺 Inter Unix 服務(wù)器 95/98/3. x/2020Pro NT WS/DOS 分支機(jī)構(gòu)網(wǎng) SecureCast 泉州電信公司總部出口 網(wǎng)關(guān)病毒過濾 郵件服務(wù)器 2020 服務(wù)器 2020 服務(wù)器 Netshield Virusscan Virusscan Virusscan Webshield Netshield Groupshield 泉州電信公司網(wǎng)絡(luò)安全解決方案 26 防病毒軟件升級在本地完成，減少廣域網(wǎng)的流量；通過建立防病毒域和防病毒軟件庫保證全網(wǎng)防病毒系統(tǒng)的可靠性、一致性和升級的及時性，各地局域網(wǎng)內(nèi)下一級 部門的軟件及其病毒升級數(shù)據(jù)由上一級部門得到，并不需要都從 Inter 上得到。報警管理也構(gòu)成層次管理，下一級的病毒事件報警可以集中到上一級的報警管理器。 兩地的管理服務(wù)器和網(wǎng)管負(fù)責(zé)所轄范圍的防病毒軟件的配置、安裝和事件管理，整個防病毒系統(tǒng)由各自反病毒域組成。在管理上，上級部門只需管到下級部門就可以，簡化了防病毒系統(tǒng)的管理復(fù)雜性。 兩地局域網(wǎng)，各自負(fù)責(zé)自己所轄域的防病毒軟件的分發(fā)、管理、配置、安裝和升級數(shù)據(jù)的提供，集中收集所轄域的病毒報警事件，匯總病毒掃描報告和狀態(tài)，維護(hù)所轄域防病毒軟件的一致性和動態(tài)防御能 力。 當(dāng)然， NAI 的最新 AVD 自帶 ePO 管理分發(fā)軟件可以實現(xiàn)跨域和跨網(wǎng)段甚至可以實現(xiàn)跨廣域網(wǎng)的方式，無須 WINS 或 DNS 服務(wù)器（即不需知道對方的機(jī)器名），可以實現(xiàn)基于 IP 地址的分發(fā)；當(dāng)然客戶的廣域網(wǎng)帶寬要足夠的寬，可以實現(xiàn)軟件的分發(fā)而不影響正常的業(yè)務(wù)數(shù)據(jù)傳輸；當(dāng) ePO 管理控制臺和管理服務(wù)器安裝完畢后，系統(tǒng)會自動生成一個客戶端代理程序，當(dāng)客戶端安裝這個客戶端代理后（可以通過使用域用戶的登錄腳本或通過共享目錄下運(yùn)行該客戶端代理程序或通過電子郵件將該代理發(fā)送給客戶端，當(dāng)客戶端收到該代理程序后，手動運(yùn)行該代理程序或 通過 ePO 管理控制臺給設(shè)置過用戶級共享的客戶端分發(fā) [對于廣域網(wǎng)另一端的用戶可以采取其它方式運(yùn)行該代理程序 ]），在一段時間后，管理服務(wù)器端會收到客戶端的機(jī)器的一些情況，比如客戶端的操作系統(tǒng)， CPU 類型，內(nèi)存大小，顯存大小，顯示器的分辨率，硬盤大小，網(wǎng)卡類型，顯卡類型，時區(qū)，日期， windows 等安裝路徑等一些基本的客戶端信息，當(dāng)給客戶端分發(fā)上相應(yīng)的反病毒軟件后，客戶端可以通過代理將客戶端的病毒查殺情況和客戶端反病毒軟件的版本，引擎，特征代碼庫等信息上報給管理服務(wù)器，寫入管理服務(wù)器端的內(nèi)置數(shù)據(jù)庫，可以通過內(nèi)置的 來實現(xiàn)定制的反病毒信息，反病毒軟件等信息的客戶化查詢，可以生成三維的圖形報表等功能。有一點很特別的是， NAI AVD 的 ePO 管理軟件可以在指定時間內(nèi)的某一任意時刻將反病毒軟件分發(fā)給客戶端，讓你感覺不到分發(fā)的存在，這樣可以很好地利用帶寬，在業(yè)務(wù)不繁忙的時刻給客戶端實現(xiàn)軟件的分發(fā)。 如果專用網(wǎng)的 WAN 帶寬不是足夠的好，可以采用在兩邊均安裝一個 ePO 管理控制臺和ePO 管理服務(wù)器和反病毒倉庫，各自管理和分發(fā)自己網(wǎng)絡(luò)內(nèi)的機(jī)器發(fā)病毒軟件和其它的情況。 泉州電信公司網(wǎng)絡(luò)安全解決方案 27 NAI AVD 中的 ePO 最多可以管理到 10 萬個節(jié)點，足以實現(xiàn)對絕大多 數(shù)網(wǎng)絡(luò)內(nèi)的反病毒機(jī)器的反病毒軟件的分發(fā)和管理。中國銀行總行及其分行、中國建設(shè)銀行總行及其分行系統(tǒng)就采取了 NAI 的 AVD 的反病毒解決方案。 二、防病毒系統(tǒng)的管理 防病毒系統(tǒng)是按照防病毒域來管理的。防病毒域是不同于 NT 域的，它由一組機(jī)器組成，通過防病毒管理控制臺對域中機(jī)器進(jìn)行集中的防病毒軟件安裝、配置、掃描調(diào)度、告警報告產(chǎn)生；并維護(hù)一個防病毒軟件庫，防病毒軟件庫中包含了管理控制臺可以分發(fā)、配置、安裝等的防病毒軟件的不同版本、語種和平臺。利用管理控制臺，在一個集中的界面下，對所轄防病毒域的機(jī)器安裝防病毒域軟件 、卸載防病毒軟件、配置和修改防病毒軟件，這些所有操作簡化了最終用戶使用防病毒軟件的復(fù)雜性，同時使管理對所轄范圍的病毒感染情況和反病毒情況有一個集中的了解，利用這些數(shù)據(jù)再制定所轄域的防病毒策略。 圖 3 防病毒的管理結(jié)構(gòu) 總管理控制臺 服務(wù)器與 PC 終端 病毒管理控制臺和被管理的域機(jī)器的關(guān)系如圖 3 所示。 泉州電信公司網(wǎng)絡(luò)安全解決方案 28 域成員機(jī)器病毒特征庫 ( 防病毒廠商）I nt e rne t病毒控制臺 病毒軟件庫管理服務(wù)器分發(fā)告警，狀態(tài) 圖 4 管理服務(wù)器和域成員之間的關(guān)系 1．病毒特征代碼和引擎的更新和升級 病毒防護(hù)系統(tǒng)的升級包括 .DAT 文件的自動更新 (autoupdate)和引擎的自 動升級(auoupgrade)。 NAI 提供了企業(yè)用戶的 .DAT 文件的升級方式。 對于企業(yè)用戶，病毒樣本文件的更新分為兩個階段： ? NAI 將病毒樣本數(shù)據(jù)文件主動地從 Inter 上推送到企業(yè)的 SecureCast 主機(jī)； ? 企業(yè)內(nèi)的各種用戶 (包括桌面，服務(wù)器等 )從本地網(wǎng)絡(luò)中得到更新的 .DAT 文件； 在泉州電信公司網(wǎng)絡(luò)內(nèi)部，針對不同的用戶可采用不同的升級方式。 對于由 ePO管理的域成員機(jī)器 ，首先在 ePO 的軟件庫里安裝更新的 .DAT 文件和升級文件，然后由 ePO 采用拉方式自動地將 .DAT 文件和升級文件送到病毒域里的各個 機(jī)器。同時完成多個機(jī)器的防病毒軟件的升級。 對于非 ePO管理的機(jī)器 ，采用客戶端主動拉的方式來更新數(shù)據(jù)文件和升級。 在泉州電信公司的各個不同地區(qū) (泉州電信公司總部與各分支機(jī)構(gòu) )的局域網(wǎng)上，分別建立共享的文件目錄或 FTP 服務(wù)器，其中存放有 .DAT 更新文件和升級文件。在客戶端配置定時任務(wù)，定期地從共享目錄或 FTP 服務(wù)器中查看是否有新的更新；如果有，自動地拷貝或FTP 到本地，然后自動安裝數(shù)據(jù)文件和升級文件。所有操作都是自動完成。 泉州電信公司網(wǎng)絡(luò)安全解決方案 29 對于不想用自動方式更新的用戶，可以手工從 FTP 服務(wù)器上得到更新數(shù)據(jù)，然后手工替換相應(yīng)的病毒數(shù)據(jù)文件或者安裝升級文件。 此外，用戶還可以從自己的桌面定義升級策略，規(guī)定升級方式和周期。 2．配置和集中管理 從管理臺上可以集中對病毒軟件庫中的防病毒軟件組件進(jìn)行配置，通過配置可以簡化客戶端的管理和提高運(yùn)行效率，并使全網(wǎng)的防病毒策略保持一致。配置內(nèi)容包括： 客戶端防病毒軟件的缺省安裝方式和參數(shù)； 防病毒軟件的運(yùn)行參數(shù)； 掃描方式定制； 缺省掃描范圍確定； 碰到病毒后的處理等； 定時升級和更新設(shè)置； 從控制臺上對所轄域進(jìn)行病毒掃描控制，建立各種定時任務(wù)，由控制臺觸發(fā)，然后由各被管理機(jī)器運(yùn)行。同時 可對日志文件的各種格式進(jìn)行控制。在管理服務(wù)器上建立了集中的病毒分發(fā)報告、各被管機(jī)器的病毒掃描報告、所安裝軟件的版本等報告，所有病毒掃描狀態(tài)信息都可由控制臺得到。病毒掃描狀態(tài)表明了是報警、未知、正?；蚓娴取呙锠顟B(tài)信息按照時間信息來歸類和存檔。 控制臺上可以對某些機(jī)器啟動病毒掃描運(yùn)行，同時，管理員可通過控制臺確認(rèn)各客戶端的病毒掃描狀態(tài)。 集中配置和管理可以針對一臺機(jī)器、一組機(jī)器或全部機(jī)器來進(jìn)行。 集中管理和配置時，管理員可以設(shè)定某些配置項鎖定，進(jìn)行口令加密控制，使的用戶不能隨意改變防病毒軟件的設(shè)置。在進(jìn)行口 令加密控制時，可以選擇一組或一部分選項進(jìn)行加密控制，而其他的選項允許用戶來改變。 3. 任務(wù)調(diào)度和執(zhí)行 任務(wù)調(diào)度和執(zhí)行分為客戶端的調(diào)度和控制臺的調(diào)度，控制臺的調(diào)度可以設(shè)置指定時間啟動病毒掃描，操作對象可以是一臺機(jī)器、一組機(jī)器或整個域的機(jī)器，在這些機(jī)器上安裝了VirusScan 和 Netshield。同時可以設(shè)定掃描時的參數(shù)和范圍，掃描結(jié)果記錄日志文件和管理服務(wù)器的數(shù)據(jù)庫中。 對于客戶端的調(diào)度，可以是指定時間進(jìn)行升級和更新請求、或者是對指定文件或目錄的泉州電信公司網(wǎng)絡(luò)安全解決方案 30 病毒掃描、或者是對整個系統(tǒng)的掃描。掃描結(jié)果記入日志文件中并 可通過控制臺來瀏覽查看。 對于掃描范圍的確定，可以是很靈活的，可根據(jù)上次的掃描狀態(tài)來進(jìn)行下次的掃描工作。 客戶端和控制臺調(diào)度都包含一個任務(wù)表，任務(wù)表給出每個任務(wù)的詳細(xì)定義、對象和執(zhí)行狀態(tài)。 任務(wù)調(diào)度管理控制臺，負(fù)責(zé)任務(wù)的建立、跟蹤和啟動。 泉州電信公司網(wǎng)絡(luò)安全解決方案 31 第七章 網(wǎng)絡(luò)性能監(jiān)控及故障排除 隨著信息技術(shù)日新月異的飛速發(fā)展，泉州電信公司的網(wǎng)絡(luò)環(huán)境也日益復(fù)雜，這不僅為網(wǎng)絡(luò)系統(tǒng)管理帶來了挑戰(zhàn)和壓力，還帶來了運(yùn)行效率、可用性、可靠性和安全性等諸多方面的問題。如何提高網(wǎng)絡(luò)的生產(chǎn)效率，在有限的資源條件下發(fā)揮網(wǎng)絡(luò)系統(tǒng)的最高性能；如何提高網(wǎng)絡(luò)系統(tǒng)的可用性，最大限度地減少網(wǎng)絡(luò)系統(tǒng)的意外行為；如何提高網(wǎng)絡(luò)系統(tǒng)的可靠性，最大限度地減少網(wǎng)絡(luò)系統(tǒng)停機(jī)、重要數(shù)據(jù)丟失等現(xiàn)象；如何保證網(wǎng)絡(luò)系統(tǒng)的安全性，保護(hù)泉州電信公司的信息資源；如何有效、簡便地進(jìn)行維護(hù)和管理，提高系統(tǒng)的可監(jiān)控性、可控制性。這些方面都是評價一個網(wǎng)絡(luò)系統(tǒng)好壞的重要指標(biāo)。一個運(yùn)行良好的網(wǎng)絡(luò)系統(tǒng)，所產(chǎn)生的經(jīng)濟(jì)效益和節(jié)約的運(yùn)行費(fèi)用是非?？捎^的，而一個運(yùn)行不好的網(wǎng)絡(luò)系統(tǒng)，可能帶來的損失是難以估量的。因此，企業(yè)網(wǎng)絡(luò)監(jiān)控和安全管理已成為一個倍受矚目的焦點領(lǐng)域，越來越多的人認(rèn)識到它是整個企業(yè)網(wǎng)絡(luò)環(huán)境中必不 可少而且非常重要的一個組成部分。 監(jiān)控和安全維護(hù)工具是在已運(yùn)行的網(wǎng)絡(luò)系統(tǒng)上疊加部分計算機(jī)網(wǎng)絡(luò)資源，在不影響系統(tǒng)正常運(yùn)行和不改變系統(tǒng)內(nèi)核的情況下，完成系統(tǒng)運(yùn)行情況數(shù)據(jù)的采集、系統(tǒng)故障預(yù)警和告警、部分調(diào)整工作的實施并提供分析數(shù)據(jù)和部分參考解決方案等項功能。 從泉州電信公司網(wǎng)絡(luò)結(jié)構(gòu)可以看出：其網(wǎng)絡(luò)節(jié)點數(shù)眾多，對整個網(wǎng)絡(luò)的管理維護(hù)需要投入大量的精力，另外與各分支機(jī)構(gòu)之間的通訊及上 Inter,都需要在多個網(wǎng)絡(luò)之間進(jìn)行較為繁瑣的路由（專用通訊網(wǎng)絡(luò)與公網(wǎng)），在這種情況下，一旦中間環(huán)節(jié)發(fā)生故障，就有可能導(dǎo)致整個網(wǎng)上應(yīng) 用無法正常進(jìn)行。而且隨著網(wǎng)絡(luò)結(jié)構(gòu)的逐步擴(kuò)容改造，網(wǎng)絡(luò)應(yīng)用的進(jìn)一步增長，如何保障整個網(wǎng)絡(luò)穩(wěn)定高效的運(yùn)行，將顯得尤為重要。因此泉州電信急需一個高性能、高可用性的規(guī)程分析儀來管理與檢測網(wǎng)絡(luò)，在此，我們建議配置 NAI公司聞名于世的 Sniffer網(wǎng)絡(luò)管理系統(tǒng)，用于對網(wǎng)絡(luò)運(yùn)行情況進(jìn)行監(jiān)控，當(dāng)出現(xiàn)問題時，及時告警，并可根據(jù)其強(qiáng)大的協(xié)議解析能力和專家分析系統(tǒng)幫助分析解決問題。 用戶通過 Sniffer 規(guī)程分析儀主要進(jìn)行以下的監(jiān)控管理： 1).面向網(wǎng)絡(luò)設(shè)備運(yùn)行情況的監(jiān)測： 各種網(wǎng)絡(luò)設(shè)備的運(yùn)行情況； 各種網(wǎng)絡(luò)鏈路的運(yùn) 行情況； 各種網(wǎng)絡(luò)鏈路的流量及阻塞情況； 網(wǎng)上各種協(xié)議的使用情況； 網(wǎng)絡(luò)自動發(fā)現(xiàn)； 網(wǎng)絡(luò)故障監(jiān)測； 2).面向網(wǎng)上應(yīng)用情況的監(jiān)測： 任意網(wǎng)段應(yīng)用流量、流向； 泉州電信公司網(wǎng)絡(luò)安全解決方案 32 任意服務(wù)器應(yīng)用流量、流向； 任意工作站應(yīng)用流量、流向； 典型應(yīng)用程序響應(yīng)時間； 不同網(wǎng)絡(luò)協(xié)議占帶寬； 不同應(yīng)用流量、流向的分布情況及拓?fù)浣Y(jié)構(gòu)； 3）強(qiáng)大的協(xié)議解碼能力，用于對網(wǎng)絡(luò)流量的深入解析 4).網(wǎng)絡(luò)管理、故障報警及恢復(fù)。 配置要求： 根據(jù)泉州電信公司的網(wǎng)絡(luò)拓?fù)淝闆r，我們建議配置一臺便攜 式 Sniffer 來做為泉州電信公司的網(wǎng)絡(luò)管理及故障檢測工具，具體配置如下： 軟件： Sniffer Pro Portable Analysis Suite，支持局域網(wǎng)，廣域網(wǎng)，高速網(wǎng)絡(luò)。 Sniffer Report， Sniffer