深信服Sinfor-AC上网行为管理解决方案.doc

深信服Sinfor-AC上网行为管理解决方案
深信服Sinfor AC
[
上网行为管理解决方案
{
目录
目录
-
一、上网行为管理与企业竞争力 (3)
二、互联网管理的好帮手——深信服SINFOR AC上网行为管理系统 (3)
三、滨江远望公司网络现状及深信服解决方案 (4)
深信服解决方案 (4)
网络拓扑图1： (5)
网络拓扑图2： (6)
四、深信服AC上网行为管理功能介绍 (7)
1，细致的访问控制功能，有效管理用户上网 (7)
'
2，完善的内容过虑和访问审计功能，防止机密信息泄漏 (7)
3，强大的数据报表中心，提供直观的上网数据统计 (7)
4，强大的QOS及流量分析功能 (8)
5，集成丰富的外网安全功能：包括防火墙、VPN、IPS、网关杀毒及防垃圾邮件等 (8)
五、SINFOR AC安全网关主要技术优势 (8)
1，深度的内容检测技术及在线网关监控技术——及时封堵P2P、IM软件 (8)
2，邮件的延迟审计〔专利技术〕 (9)
3，独有的网络访问准入规则〔专利技术〕 (9)
。
4，WEB认证技术 (9)
5，高度集成，布暑灵活 (9)
6，模块化制定，性能强大 (9)
六、成功典型案例 10)
附1：深信服上网行为管理功能一览表 (11)
【
一、上网行为管理与企业竞争力
随着Internet的接入的普及和带宽的增加，一方面员工上网的条件得到改善，另一方面也给企业带来更高的网络使用危险性、复杂性和混乱。在IDC对全世界企业网络使用状况的调查中发现，在上班工作时间里非法使用邮件、浏览非法Web网站、进行音乐/电影等BT下载或者在线收看流媒体的员工正在日益增加，令网络管理者头疼不已。据IDC的数据统计，企业中员工30%至40%的上网活动与工作无关；而来自色情网站访问统计的分析说明：70%的色情网站访问量发生在工作时间。这些员工随意使用网络将导致三个问题：1)工作效率低下、(2)网络性能恶化、(3)网络违法行为。
企业网作为一个开放的网络系统，运行状况愈来愈复杂。企业的IT管理者如何及时了解网络运行基本状况，并对网络整体状况作出基本的分析，发现可能存在的问题〔如病毒、木马造成的网络异常〕，并进行快速的故障定位，这一切都是对企业网信息安全管理的挑战，这些问题包括：IT管理员如何对企业网络效能行为进行统计、分析和评估
IT管理员如何限制一些非工作上网行为和非正常上网行为〔如色情网站〕，如何监控、控制和引导员工正确使用网络
IT管理员如何杜绝员工通过电子邮件、MSN等途径泄漏企业内部机密资料
IT管理员如何在万一发生问题时有一个证据或依据
\
二、互联网管理的好帮手——深信服SINFOR AC上网行为管理系统
网络作为信息时代企业的生产工具，同样面临着适当监控、合理使用的问题。在美国和欧洲，有80%的企业对员工的互联网活动进行监视，而且这一举措得到了法律条文上的支持。随着中国加入WTO，经济领域的国际竞争进一步加剧，国内的企业也必须要认真合计合理使用网络资源，充分提升企业竞争力的问题。
尤其值得注意的是，中国员工比其它地区的员工每周多花小时的时间来使用IM、玩游戏、P2P 软件或流动媒体。互联网乱用，给中国企业带来了庞大的损失。
因此，如何有效地解决这些问题，以便提升员工的工作效率，降低企业的安全风险，减少企业的损失，已经成为中国企业迫在眉睫的紧要任务。当前内网安全管理也随之提升到一个新的高度，在防御从外到内诸如病毒、黑客入侵、垃圾邮件的同时，从内到外诸如审计、监控、访问控制、访问跟踪、流量限制等问题也日益凸现。越来越多的企事业单位必须要对内网进行统一管理以调整网络资源的合理利用。
针对内网安全上的这些问题，Sinfor M5*000－AC系列UTM安全网关是一个非常好的解决方案。在内部安全的上网行为管理〔网络安全审计〕上，为确保企业合理使用Internet资源，防止企业信息资产泄漏，SINFOR AC安全网关提供了完善的访问控制功能。通过合理设置访问权限，能够杜绝对不良网站和危险资源的访问，防止P2P软件对企业网络带来的安全风险。通过带宽管理和访问跟踪技术，能有效防止对Internet资源的乱用。Sinfor AC安全网关独特的敏感内容拦截和安全审计功能更为防止保密信息泄漏提供了最有效的确保。
此外，作为一个UTM整合式设备，SINFOR AC安全网关还提供了丰富的外部安全确保措施。除了强大的VPN模块和防火墙模块之外，SINFOR AC安全网关还集成了来自欧洲的领先病毒厂商F-PROT的杀毒引擎，对内网用户接收的邮件和下载的文件进行病毒过滤，降低了内网用户感染病毒的风险。另外，强大的垃圾邮件过滤功能将大量垃圾邮件拒之门外，也大大提升了员工使用Internet的办公效率。同时SINFOR AC安全网关还提供了高效的IPS〔入侵防御系统〕功能，能有效识别和抵抗3000多种攻击，更大范围的保护了企业连接到Internet的安全。
三、滨江远望公司网络现状及深信服解决方案
(
1. 随着公司发展，公司在外出差越来越多，无法通过远程办公，常常有文件耽误审批。另外出口只有一个路由器没有防火墙功能，想购买一个防火墙。
2. 总部与分部之间网络互联程度低，不利于公司信息化资源的共享和网络的统一
管理
3. 内网用户上网存在诸多问题。
员工上班期间做一些非工作的事情，如浏览和工作无关的网页、IM 聊天、在线炒股、网络游戏等上网行为，不但降低了生产效率，同时还影响了公司的工作氛围。
P2P行为、文件下载、网络流媒体等非工作应用占用了大量网络带宽，影响正常办公对带宽的必须求。
`
员工的上网权限、时间划分不够明确
对外发数据缺乏必要的的审计和核查，达不到国家相关法律法规的要求，事后不能有效地查阅是谁通过公司网络泄露了公司机密或者散布了敏感、违法信息。
深信服解决方案
1.建议总部采纳深信服AC1200行为管理和SSL VPN，用网关模式布暑替代前
置路由器充当防火墙，另外还可解决在外办公人员远程安全接入问题〔如果在外办公人员较多，建议采纳单独的SSL VPN设备，解决在外办公人员远程安全接入问题〕
2.(
3.建议分部采纳深信服AC1100行为管理，用网关模式布暑替代前置路由器
充当防火墙，总部和分部设备通过IPSEC VPN互联。
网络拓扑图1：
在外办公人员比较多时，采纳单独的SSL VPN设备，在外办公人员通过SSL VPN与总部相联。
总部和分部通过设备采纳IPSEC VPN互联。
*网络拓扑图2：
在外办公人员比较少时，直接用AC 行为管理自带的IPSEC VPN ，在外办公人员通过IPSEC VPN 客户端程序与总部相联。
总部和分部通过设备采纳IPSEC VPN 互联。
线光纤
网管平台SSL
VPN
IPSEC
VPN DMZ
四、深信服AC上网行为管理功能介绍
1，细致的访问控制功能，有效管理用户上网
SINFOR AC安全网关不仅可以对员工访问WEB、FTP、MAIL等常用服务的内容进行控制，更可以对、BT、MSN、SKYPE等各种P2P软件的行为进行限制和控制。丰富的报表功能还可以分析出企业的Internet的具体使用状况，为网络管理员和决策者分配和了解员工网络资源提供有效数据支持。基于Web的和LDAP/Radius集成的用户认证功能，使得对上网用户的管理变得十分灵活方便。

~
谈到安全问题时大多数人都只关注外网安全，但其实企业的信息资产更多的不是被黑客窃取，而是通过内部泄漏的。SINFOR AC安全网关完善的访问审计和监控功能能够有效防止信息通过Internet泄漏，并建立强大的内部安全的威慑，减少内部泄密的行为。关于邮件类型的应用还采纳了深信服“邮件延迟审计〞的专利技术来确保先审计后发送。SINFOR AC的访问审计/监控模块为企业构筑了强大的内部安全屏障。
表2：访问审计功能一览表

SINFOR AC网关拥有强大的数据中心，管理者可分组、用户、规则、协议等多种查询对象，按饼图、柱状图、曲线图等方式进行查询，可直观地查看到网络流量、邮件、网络监控、IPS系统、准入规则、防火墙等具体信息，并可直接打印和导出报表。SINFOR AC网关强大的日志系统和丰富的报表功能，可具体分析出企业的Internet的具体使用状况，为网络管理员和决策者提供了最有效
的数据支持。
表3：数据中心功能一览表

~
SINFOR AC安全网关强大的访问控制和QOS功能可以使得企业合理利用Internet资源，为不同的用户分配不同的带宽和上网权限，使得Internet资源得到有效利用，并大大提升员工的工作效率。
SINFOR AC安全网关可以具体记录和分析所有流量的内容，包括 、ftp、mail、telnet等常用软件的内容和、ICQ、MSN、YAHOO、MESSAGER等IM软件的内容。另外还能按用户、用户组、协议和时间对Internet流量进行统计分析，以优化员工对Internet的资源使用状况。使得企业有限的带宽能得到最充分的利用，提升企业的网络利用率。
表4：QOS及流量控制功能一览表

—
5，集成丰富的外网安全功能：包括防火墙、VPN、IPS、网关杀毒及防垃圾邮件等作为一个UTM整合式设备，SINFOR AC安全网关还提供了丰富的外部安全确保措施。除了强大的VPN模块和防火墙模块之外，SINFOR AC安全网关还集成了来自欧洲的领先病毒厂商F-PROT的杀毒引擎，对内网用户接收的邮件和下载的文件进行病毒过滤，降低了内网用户感染病毒的风险。另外，强大的垃圾邮件过滤功能将大量垃圾邮件拒之门外，也大大提升了员工使用Internet的办公效率。同时SINFOR AC安全网关还提供了高效的IPS〔入侵防御系统〕功能，能有效识别和抵抗3000多种攻击，更大范围的保护了企业连接到Internet的安全。
五、SINFOR AC安全网关主要技术优势
1，深度的内容检测技术及在线网关监控技术——及时封堵P2P、IM软件〔1〕深度的内容检测技术：目前的P2P软件，如、MSN等IM即时通讯软件以及BT、电
驴等下载软件，在用TCP或者UDP数据包的传送过程中，其报文段都会有一段特征码，该特征码是用来标识其数据包类型。SINFOR AC安全网关的深度内容检测技术，可以检测出数据包的报文中相对应的特征码，并依据预置策略进行及时封堵。UTM 安全网关内置了多种深度内容检测技术所依赖的特征码规则，并且可以从网站上更新下载。依靠这种技术，Sinfor AC安全网关可以封堵目前所有的P2P软件；避免了最终用户在IM或者P2P软件上浪费时间，提升了员工的工作效率和企业的生产效率，并防止泄密或由于员工泄密引起的重大损失。
〔2〕在线网关监控技术：与其他旁路监听的访问监控产品不同的是，SINFOR AC使用了在线网关监控技术。所有的旁路监听产品，对UDP发送的数据都难以拦截，并且拦截往往有一按时延，拦截敏感数据的效果不佳，并且容易遗漏监控数据。SINFOR AC的在线拦截监控技术能确保拦截到所有敏感数据，外出数据无一纰漏。
2，邮件的延迟审计〔专利技术〕
'
SINFOR AC安全网关独有的邮件延迟审计功能确保了企业的重要信息不外泄。目前电子邮件已经成为人们最重要的沟通方式。电子邮件快捷、方便的特点已经成为企业与外部沟通的最有效的方式之一。企业内部大量的信息都通过电子邮件方式发送到外部，因而电子邮件也成为泄漏企业重要信息的重要途径之一。
SINFOR AC安全网关独创的邮件延迟审计功能，可以对经由AC安全网关的所有邮件进行延迟审计。关于内网用户向外发送邮件，AC安全网关会对其进行延缓慢存，只有等待管理员审计后才干发出，确保了企业信息资产不外泄，确保了企业内网信息的安全，且邮件延迟审计对发件人完全透明。
3，独有的网络访问准入规则〔专利技术〕
企业的安全隐患，往往是由于内网用户客户端缺乏安全防范造成的。为了从根本上杜绝企业内部网络安全隐患，减少内网用户遭受间谍软件、病毒的风险。深信服科技革新性地采纳了网络访问准入规则这一技术。
网络访问准入规则，是管理员在SINFOR AC安全网关的准入规则中预先定制好内网计算机的安全策略。所谓安全策略，是指特定的安全标准。如：用户计算机的操作系统是否安装有管理员指定的系统补丁，以及用户的计算机是否安装有相应的杀毒程序或者防火墙，或者是用户的计算机是否启动相应的杀毒程序、防火墙程序等等，这一系列的安全标准都可以定制成相应的安全策略。
当用户计算机访问网络请求的数据包通过SINFOR AC安全网关时，假设启用了WEB认证，当用户通过WEB认证后，此时用户的计算机会自动从AC安全网关下载相应的安全策略扫描程序，依据指定的安全策略启动扫描程序，并检查用户的计算机是否具备了相应的安全策略。只有符合相应的安全策略的计算机才同意访问外部网络，不具备相应安全条件的用户计算机，不同意上网。这样从根本上提升了企业用户计算机的安全性，减少了企业用户遭受蠕虫、病毒、木马以及间谍软件的风险。
4，WEB认证技术
AC安全网关基于Web的用户认证功能，使得管理员对上网用户的管理变得十分灵活方便。用户启用了Web认证功能以后，除了对客户端的本地身份〔如：用户名密码认证，LDAP、RADIUS 等认证〕进行常规性认证以外，还将启用Web认证。当客户端在浏览器中输入任意网址时，AC安全网关会要求用户输入用户名和密码进行认证。只有当用户输入了正确的帐号，该用户才干够访问Internet。
`
5，高度集成，布暑灵活
SINFOR AC安全网关很重要的一个特点就是作为整合式的UTM设备，将访问控制/监控、网关杀毒、防垃圾邮件、防火墙、VPN和IPS等多种功能都集成在一个网关。用户可以使用较低的成本同时拥有多种网络安全模块，大大降低了企业在网络安全方面的总体拥有成本。另外，用户也可以选择仅仅使用AC设备的某个或某几个功能模块，比如将AC作为杀毒网关或防火墙等单一功能的
网络设备使用，可与原有网络安全产品融合，布暑灵活的同时也保护了投资。
6，模块化制定，性能强大
AC安全网关从以下三个方面来确保其性能的强大：
〔1〕按服务分别处理模块
大多数企业的数据流并不是都要经过AC安全网关的所有模块，比如不是 、ftp或pop3等协议的数据就不会经过杀毒模块和垃圾邮件处理模块，因而通过针对不同服务的数据流处理模式减少了CPU负担，从而确保数据包处理的高效性。
〔2〕分优先级处理不同业务模块
AC安全网关分不同的优先级别处理不同的业务模块。比如防火墙模块会优先处理，而杀毒就在CPU空闲时处理，这样能有效利用CPU资源，即确保了重要业务数据的及时传送，又确保了所有功能模块都能合理调度。
〔
〔3〕使用高性能CPU和协处理器负荷分担处理
关于VPN使用协处理器加密，关于高性能应用环境使用多CPU分担处理不同的业务模块，有效确保了整体的处理性能。
六、成功典型案例
Sinfor UTM安全网关应用于乐凯集团
乐凯胶片集团公司是我国影像信息记录产业中规模最大、技术最强、产品品种最多、市场覆盖面最广、跨地区跨行业的现代化企业，是国务院国资委出资的189家大型国有企业之一，共有员工8870余人，下属分公司和合资公司共有三十多家，公司总资产34亿元，“乐凯〞商标是被国家商标局认定的中国驰名商标。
乐凯集团在企业信息化建设的过程中提出了上网行为管理的必须求，企业的IT管理者希望能够及时了解网络运行的基本状况，以便发现可能存在的问题〔如病毒、木马造成的网络异常〕，并进行快速的故障定位，包括：监控、控制和引导员工正确使用网络；限制一些非工作上网行为和非正常上网行为〔如色情网站〕；杜绝员工通过电子邮件、MSN等途径泄漏企业内部机密资料等。
针对此，深信服科技推举了Sinfor AC上网行为管理解决方案。作为一款UTM多功能安全网关，Sinfor AC集防火墙、IPS、VPN、网关杀毒、防垃圾邮件及内容过虑、访问跟踪等多功能于一体，既能够对上网数据进行过滤和监控，为IT管理者提供一个很好的网络安全审计平台；又能够对本地局域网进行完善的保护，避免病毒和垃圾邮件的困扰，解决了企业网络安全的多方面问题。
—
其他成功典型案例：
四川朗酒集团中国环境检测总站
上海医药集团南京市委党校
广东堡狮龙实业深圳市千色店百货用品
广西奥奇丽集团股份依必安派特电气〔上海〕
北京市宣武区人民政府北京市宅急送快运
浙江省千岛湖啤酒厂上海运城制版公司
德赛电子〔惠州〕酒泉卫生星发射中心北京后勤部队
?
……附1：深信服上网行为管理功能一览表