【正文】 采集客戶端種所有管理員關(guān)心的信息 ,具備入軟硬件信息、進(jìn)程以及 資源消耗盒各種狀態(tài)等 ,并上報(bào)至區(qū)域管理器 。 ..客戶端程序 客 戶端程序接收并執(zhí)行管理器制訂的策略 ,在系統(tǒng)中是充當(dāng)策略執(zhí)行者的角第四章系統(tǒng)總體設(shè)計(jì) 內(nèi)網(wǎng)終端安全管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) 色 ,運(yùn)行在客戶機(jī)上 ,可以采集客戶端種所有管理員關(guān)心的信息 ,如 :客戶端流 量、并發(fā)連接等相關(guān)信息 ,并將這些信息上報(bào)到區(qū)域管理器 ,還可以監(jiān)控客戶端 是否有違規(guī)聯(lián)網(wǎng)行為并對(duì)客戶端進(jìn)行訪問控制。 調(diào)度客戶端程序?qū)ξ粗目蛻舳诉M(jìn)行阻斷 。 ..區(qū)域掃描器 區(qū)域掃描器集成在區(qū)域管理器中 ,用來掃描和發(fā)現(xiàn)網(wǎng)絡(luò)中設(shè)備及其狀態(tài) ,巡 檢網(wǎng)絡(luò)設(shè)備狀態(tài)變化信息 ,并將這些信息通過區(qū)域管理器上報(bào)至管理信息庫 。 管理器具體功能如下 : 接收掃描器信息和客戶端程序信息 。從管理信息庫獲取來自控制臺(tái)的各種策略和命令操 作 ,發(fā)送到客戶端程序和掃描器執(zhí)行。系統(tǒng)在此模塊中設(shè)置了超級(jí)用 戶和普通用戶 ,方便用戶對(duì)系統(tǒng)管理權(quán)限的劃分。 數(shù)據(jù)查詢模塊 用戶可以通過該數(shù)據(jù)查詢中心查詢到策略的執(zhí)行效果 ,符合策略中心所制定 策略的目標(biāo)機(jī)器條件都可以查出。 策略管理中心 系統(tǒng)將所有控制功能分類地集 成在一個(gè)中央策略管理中心完成 ,所有的策略 都可以通過這個(gè)策略中心進(jìn)行設(shè)定和部署。管理配 置平臺(tái)同時(shí)可以顯示狀態(tài)信息、報(bào)警信息和各種日志記錄等各種信息。網(wǎng)絡(luò)客戶端上的客戶端程序可將各種網(wǎng)絡(luò)客戶端的 狀態(tài)信息、日志信息和報(bào)警信息上報(bào) ,可對(duì)異常計(jì)算機(jī)進(jìn)行斷網(wǎng)等處理 ,也可通 過系統(tǒng) ,對(duì)客戶端進(jìn)行遠(yuǎn)程故障診斷和維護(hù)。 系統(tǒng)采用 /結(jié)構(gòu)進(jìn)行維護(hù)和管理 ,前臺(tái)使用瀏覽方式對(duì)用戶進(jìn)行管理 和注冊 ,后臺(tái)通過數(shù)據(jù)庫對(duì)用戶數(shù)據(jù)加 以統(tǒng)計(jì)和存儲(chǔ)。通過近年對(duì)國內(nèi)外終端安全管理技術(shù)和發(fā)展趨勢的研究 ,針對(duì)政府機(jī) 關(guān)和企事業(yè)單位內(nèi)部網(wǎng)絡(luò)及終端安全管理 ,我單位設(shè)計(jì)了一套采用 /與 /混 合模式、支持分布式部署、模塊化定制、支持標(biāo)準(zhǔn)、無縫功能擴(kuò)展等技術(shù)要 求的網(wǎng)絡(luò)終端安全管理系統(tǒng)。 策略統(tǒng)一問題 :設(shè)計(jì)解 決了大型用戶的多級(jí)級(jí)聯(lián)的策略統(tǒng)一問題 ,策略也可 以對(duì)下級(jí)管理區(qū)域以至所有的管理區(qū)域進(jìn)行鎖定 ,以達(dá)到方便管理的目的。 本系統(tǒng)中我們主要用于鉤掛函數(shù)截獲設(shè)備變動(dòng)消息 ,然后 通過枚舉所有設(shè)備來找出該存儲(chǔ)設(shè)備的進(jìn)行匹配認(rèn)證。 “鉤子過程所在模塊的旬柄。通過設(shè)置“鉤子 ,應(yīng)用程序可以在系統(tǒng)級(jí)對(duì)所 有消息、事件進(jìn)行過濾 ,訪問在正常情況下無法訪問的消息。下載時(shí)客戶端可自動(dòng)搜 索臨近的地址 ,選擇擁有此補(bǔ)丁文件并且下載速度最快的客戶端作為代理進(jìn) 行補(bǔ)丁下載。本系統(tǒng)的補(bǔ)丁分發(fā)管理系統(tǒng)采用流量控制技術(shù)解 決了這個(gè)問題。 .數(shù)據(jù)傳輸增量的實(shí)現(xiàn) 在服務(wù)器端 ,做一個(gè)公共訪問隊(duì)列 ,緩存所有的熱點(diǎn)數(shù)據(jù) ,注意這個(gè)隊(duì)列的 記錄中要包含訪問權(quán)限 ,比如局、處、科的設(shè)置。增量訪問的語句大體是這樣子 :字段名 ,字段名 ’上次訪問記錄里最后的時(shí)間’。 .增量傳輸技術(shù) 增量式數(shù)據(jù)傳輸技術(shù) :系統(tǒng)客戶端軟件數(shù)據(jù)只進(jìn)行“增量式上報(bào) ,即只在 內(nèi)網(wǎng)終端安全管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) 第三章系統(tǒng)設(shè)計(jì)技術(shù)與核心應(yīng)用說明 變化時(shí)上報(bào)變化的部分 ,而不是每次均進(jìn)行數(shù)據(jù)上報(bào) ,從而減少客戶端軟件和服 務(wù)器端軟件之間的數(shù)據(jù)通訊流量 ,可以減輕網(wǎng)絡(luò)負(fù)擔(dān) ,降低響應(yīng)延遲 ,提高工作 效率。 為 ,表示以第三章系統(tǒng)設(shè)計(jì)技術(shù)與核心應(yīng)用說明 內(nèi)網(wǎng)終端安全管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) .違規(guī)外聯(lián)探測技術(shù) 通過底層驅(qū)動(dòng)開發(fā)的嵌入式客戶端程序能夠?qū)?nèi)網(wǎng)終端 進(jìn)行有效監(jiān)控和阻 斷。這樣就可以快速發(fā)現(xiàn)主機(jī)。這種方法的缺點(diǎn)是 只能探測以太網(wǎng)內(nèi)的活動(dòng)主機(jī)。 、主要模塊控件 : 分級(jí)標(biāo)簽管理模塊 :通過對(duì)移動(dòng)存儲(chǔ)介質(zhì)寫入兩種不同控制權(quán)限及功能的標(biāo) 簽普通 標(biāo)簽、加密標(biāo)簽 ,配以服務(wù)器下發(fā)到客戶端的安全策略來實(shí)現(xiàn)分級(jí)權(quán) 限的控制 ,并對(duì)指定范圍內(nèi)的終端授權(quán)。 、基本實(shí)現(xiàn)方式 : 針對(duì)本單位內(nèi)部移動(dòng)存儲(chǔ)設(shè)備的無序使用 ,系統(tǒng)集成移動(dòng)存儲(chǔ)管理系統(tǒng) ,可 以有效杜絕盤病毒的傳播。 、主要模塊控件 : 補(bǔ)丁信息收集模塊 :客戶端程序調(diào)用函數(shù)獲得終端操作 系統(tǒng)中的補(bǔ)丁信息 ,通過工具生成補(bǔ)丁信息文件 ,通過信息匹配分析 得到完整內(nèi)網(wǎng)終端補(bǔ)丁信息。 ..補(bǔ)丁自動(dòng)分發(fā) 在內(nèi)網(wǎng)終端身份認(rèn)證及對(duì)內(nèi)網(wǎng)資源訪問保護(hù)的基礎(chǔ)之上 ,針對(duì)內(nèi)網(wǎng)終端操作 系統(tǒng)及應(yīng)用軟件的脆弱性做到有效控制 ,鞏固終端健壯性 ,同時(shí)優(yōu)化管理流程 , 提升管理效率。 .基本實(shí)現(xiàn)方式 : 通過底層驅(qū)動(dòng)技術(shù)對(duì)客戶端進(jìn)程進(jìn)行保護(hù) ,管理員可以預(yù)設(shè)違規(guī)外聯(lián)域名或 者地址 ,客戶端程序會(huì)定時(shí)向設(shè)定的地址發(fā)送連接請(qǐng)求包晦 ,一旦接收 到請(qǐng)求響應(yīng)說明該終端處于非法外聯(lián)狀態(tài) ,客戶端就可以阻斷終端的網(wǎng)絡(luò)通信。 主機(jī)探測模塊 :實(shí)現(xiàn)快速網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn) ,主動(dòng)收集網(wǎng)絡(luò)的拓?fù)湫畔ⅰ? .總體技術(shù)思路 : 采用技術(shù)手段對(duì)接入內(nèi)網(wǎng)的終端計(jì)算機(jī)進(jìn)行身份鑒別或者安全狀態(tài) ,阻止未 授權(quán)或不安全的終端計(jì)算機(jī)接入內(nèi)網(wǎng)和訪問內(nèi)網(wǎng)資源。系統(tǒng)提供三權(quán)系統(tǒng)部署員、系統(tǒng)管理員和系統(tǒng)審計(jì)員分立模式 , 部署員、管理員的所有操作都有對(duì)應(yīng)的日志記錄 ,供系統(tǒng)審計(jì)員審計(jì)。并可根據(jù)創(chuàng)建區(qū)域、自定 義組、操作系統(tǒng)、范圍和按照條件搜索的設(shè)備進(jìn)行策略分組分發(fā)管理。 客戶端分組域管理功能 :具體的控制時(shí)采用“策略制定對(duì)象制 訂”的方式 ,管理控制分簡捷方便。 系統(tǒng)客戶端模塊 :自動(dòng)探測系統(tǒng)軟硬件相關(guān)信息和狀態(tài)并上報(bào)服務(wù)器 , 同時(shí)負(fù)責(zé)接收策略并執(zhí)行對(duì)應(yīng)動(dòng)作。同時(shí)規(guī)范管理 制度 ,設(shè)立專門的網(wǎng)絡(luò)運(yùn)維管理團(tuán)隊(duì) ,真正做到內(nèi)部網(wǎng)絡(luò)的安全管理。需要專門的 軟件模塊對(duì)客戶端進(jìn)行保護(hù) ,對(duì)管理服務(wù)器進(jìn)行保護(hù)和狀態(tài)檢測 ,以保證系統(tǒng)安 全、可靠的運(yùn)行。 .建立完善系統(tǒng)管理機(jī)制 由于單位政務(wù)信息網(wǎng)由于不同系統(tǒng)部門間的接入方式、設(shè)備情況、使用人員 情況、管理人員情況的差異較大 ,因此存在著缺乏統(tǒng)一管理的問題 ,需建立并適 用的系統(tǒng)管理機(jī)制 ,并在后續(xù)的運(yùn)維中完善。 .系統(tǒng)設(shè)計(jì)目標(biāo)與性能指標(biāo) 在堅(jiān)持嚴(yán)禁違規(guī)聯(lián)網(wǎng)和違規(guī)入網(wǎng)的基礎(chǔ)上 ,需要根據(jù)不同的情況對(duì)管理策略 進(jìn)行具體化的劃分 ,對(duì)指定的安全策略進(jìn)行統(tǒng)一管理 ,確?？蛻舳说陌踩ㄓ嵓? 內(nèi)網(wǎng)終端安全管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) 第二章分析與設(shè)計(jì)需求 策略實(shí)效 ,同時(shí)符合客戶端的應(yīng)用性能需求。 移動(dòng)存儲(chǔ)介質(zhì)丟失導(dǎo)致信息泄漏 。如 :涉密計(jì)算機(jī)接入非涉密移動(dòng)存儲(chǔ)設(shè)備 。對(duì)于機(jī)器眾多的用戶 ,繁雜的手工補(bǔ)丁安裝已經(jīng)遠(yuǎn)遠(yuǎn)不能適應(yīng)大規(guī)模網(wǎng)絡(luò)的 管理 ,必須依靠新的技術(shù)手段來實(shí)現(xiàn)對(duì)操作系統(tǒng)的補(bǔ)丁自動(dòng)修補(bǔ)。攻擊者 首先通過掃描工具掃描目標(biāo)系統(tǒng) ,發(fā)現(xiàn)系統(tǒng)中可能存在的漏洞 ,然后利用針對(duì)漏 洞的攻擊工具實(shí)施攻擊口。 ..設(shè)備違規(guī)外聯(lián) 違規(guī)外聯(lián)是指內(nèi)部網(wǎng)絡(luò)的計(jì)算機(jī)設(shè)備與外部網(wǎng)絡(luò)建立了非授權(quán)的連接。針對(duì)這種情況 ,迫切需要 一種技術(shù)和產(chǎn)品對(duì)內(nèi)部終端的統(tǒng)一 管理和加固 ,通過技術(shù)手段解決當(dāng)前的安全問 題。 內(nèi)網(wǎng)終端安全管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) 第二章分析與設(shè)計(jì)需求 第二章分析與設(shè)計(jì)需求 提起網(wǎng)絡(luò)安全 ,自然就會(huì)想到很多硬件設(shè)備 ,如防火墻、等 ,但對(duì)于本 單位內(nèi)網(wǎng)這種物理隔離 的內(nèi)網(wǎng)而言 ,大部分安全風(fēng)險(xiǎn)均來自于內(nèi)部。 第五章功能設(shè)計(jì)及實(shí)現(xiàn)詳細(xì)介紹了根據(jù)本單位需求進(jìn)行的功能設(shè)計(jì) ,包括主 機(jī)探 測、補(bǔ)丁升級(jí)、接入控制、非法外聯(lián)、行為監(jiān)控以后移動(dòng)存儲(chǔ)介質(zhì)使用管理 等功能模塊。在對(duì)網(wǎng)絡(luò)安全管理人員在網(wǎng)絡(luò)管 理、終端管理過程中提供最佳解決方案 , 實(shí)現(xiàn)內(nèi)部網(wǎng)絡(luò)終端的可管可控 ,達(dá)到最佳的管理效果。闡述了我國信息安全領(lǐng)域在終端安全管理方面存在的問題和產(chǎn)生這些問題的 根源 ,結(jié)合實(shí)際情況作了分析 ,確定了解決問題的思路和目標(biāo) ,并介紹了本課題 的主要內(nèi)容。為此 ,我對(duì)內(nèi)網(wǎng)終端進(jìn)行了整體資源和網(wǎng) 絡(luò)安全規(guī)劃 ,采取了對(duì)移動(dòng)存儲(chǔ)設(shè)備非法接入內(nèi)部網(wǎng)絡(luò)進(jìn)行控制、靜態(tài)同 地址的綁定、內(nèi)網(wǎng)終端采用實(shí)名制登記和補(bǔ)丁程序的自動(dòng)分發(fā)等措施 ,有效解決 了網(wǎng)絡(luò)中計(jì)算機(jī)非法接入、移動(dòng)存儲(chǔ)泄密和非法外聯(lián)問題。 內(nèi)網(wǎng)終端安全 管理系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn) 第一章緒論 利用操作系統(tǒng)或者應(yīng)用程序漏洞進(jìn)行攻擊是黑客最常用的手段之一。通常 的內(nèi)部網(wǎng)絡(luò)有著統(tǒng)一的出口 ,通過網(wǎng)關(guān)防火墻進(jìn)行外網(wǎng)連接 ,對(duì)內(nèi)網(wǎng)用戶的外 聯(lián)行為進(jìn)行統(tǒng)一控制 ,而一些安全要求高的 內(nèi)網(wǎng)本身就是物理隔離的網(wǎng)絡(luò) ,不允 許連接外網(wǎng)。 違規(guī)接入 是指沒有經(jīng)過有關(guān)授權(quán)而直接將各類計(jì)算機(jī)和移動(dòng)設(shè)備接入內(nèi)網(wǎng)的行為。如果信息系統(tǒng)中每一個(gè)使用者都是經(jīng)過授權(quán)和認(rèn)證的 ,并且其操 作都是符合安全策略的規(guī)定 ,那么就不會(huì)產(chǎn)生攻擊性的事件 ,就能保證整個(gè)信息 系統(tǒng)的安全 ,因此只有立足于終端 ,從終端安全管理入手才能更好地解決整個(gè)信 息系統(tǒng)的安全問題 ,才能構(gòu)筑全面高效的安全防護(hù)體系。可見 ,傳統(tǒng)的安全手段暴露出其局限性 ,已經(jīng)不能適應(yīng)當(dāng)前信息系統(tǒng)的安 全需求。主要研究了通過主 動(dòng)探測技術(shù) ,向被測主機(jī)發(fā)送請(qǐng)求 ,通過反饋數(shù)據(jù)包中提取操作系統(tǒng)指紋信息的 遠(yuǎn)程操作系統(tǒng)探測技術(shù) ,這樣就能夠確定目標(biāo)終端的操作系統(tǒng)版本信息 ,以便對(duì) 其進(jìn)行有效管理。如果信 息安全得不到保障 ,那么網(wǎng)絡(luò)的可靠性和可用性就會(huì)大幅降低 ,為此在網(wǎng)絡(luò)建設(shè) 的同時(shí) ,對(duì)信息安全系統(tǒng)的建設(shè)也要同步