非法接入解决方案

非法接入防范解决方案

2010-10

目录

1.现状分析 3 1.1背景分析 3 1.2网络现状分析 3 2.设计目标 5 3.安全控制设计 6 3.1设计原则 6 3.1.1规范性 6 3.1.2开放性 6 3.1.3先进性 6 3.1.4稳定性 6 3.1.5可扩展性 6 3.2具体解决方案 7

1.现状分析 1.1背景分析

为确保网络信息系统安全运行，保障网络信息数据安全，防范网络非法外联入侵，参照国家保密局的《分级保护》要求，重点解决信息系统的非法接入安全控制，包括非法接入的及时报警、及时定位、有效控制。

1.2网络现状分析

当前网络结构如下：

如上图所示，当前网络结构中，所有接入交换机均为非智能交换机，缺乏终端安全技术管理措施。存在严重的安全威胁，其中非法接入威胁尤其严重。具体体现在以下几个方面：

（1）法外联事件发生，当前网络无法及时报警通知网络管理人员 （2）法外联事件发生，管理人员无法迅速定位接入点。

（3）法外联事件发生，不能及时有效的对非法接入设备进行安全访问控制。 2.目标

根据以上分析，参考国家保密局《分级保护》BMB17和BMB20的相关安全访问控制要求，现对信息系统非法外联防范提出以下控制目标：

（1）法外联事件发生，及时发出报警信息并通知网络管理人员 （2）法外联事件发生，管理人员可快速定位非法接入设备的位置。 （3）法外联事件发生，对非法接入设备进行安全访问控制。

3.安全控制设计 3.1设计原则

根据成都市规划局网络信息系统现状，结合规划网络未来发展趋势，本着规范性、开放性、先进性、稳定性、可扩展性原则进行网络非法外联安全保障体系的设计和建设。

3.2解决方案 一、设计需求

a)检测非法设备的接入；

b)对非法接入设备的安全访问控制； c)协助功能；

d)软件审计、客户端与服务器文档操作审计、硬件变更审计、网上行为审计等； e)告警：支持message、邮件等； 二、设计思路：

根据信息网络现状，采用中安网脉（北京）技术股份有限公司的中安源可信网络安全平台，使用网络数据控制技术实现规划局网络信息系统的非法外联监控，以及系统维护的远程协助、日志审计、准入控制等功能。 三、身份管理及控制 （一）用户标识

终端用户使用用户名和口令方式作为其身份标识，用户使用自己账户名和密钥登录信息系统。为确保登录终端的安全性和可靠性，建议采用中安源可信网络安全平台SB接口的硬件KEY作为用户的身份标识。

管理员可根据用户身份标识设置用户登录目标机器：

设置指定用户能登录那些机器：

没经过授权的用户无法通过验证登录操作系统：

（二）用户授权

可通过中安源可信网络安全平台对用户进行集中管理和授权。首先对内部工作人员进行统一审核，如果通过审核，则管理员为该工作人员配发一个硬件USB 令牌作为其身份标识，并注册到用户认证服务器上。工作人员持有其合法的USB令牌之后，才可以经过身份鉴别在内网中登录计算机，并使用网络中的各种信息资源。 （三）权限设置

为授权用户用户赋予相应权限，括计算机登录权限和内部网络访问权限等。 1. 用户与机器登录权限绑定：

2. 按组控制用户权限：

3. 操作系统帐号管理

管理员通过中安源可信网络安全平台将操作系统已有的帐号绑定到用户USB KEY，实现Windows帐号和用户身份鉴别令牌的对应。

4.Windows帐号和用户身份鉴别令牌的绑定：

5.管理员的管理

系统采用“USB KEY—口令”或“用户名—口令”方式进行管理员身份鉴别，只有输入正确的身份鉴别信息，方可通过身份鉴别；管理员口令长度应可设置，且至少为8位，复杂度至少为字母、数字组合；具有管理员身份鉴别尝试次数功能，鉴别尝试次数应可设置，且最多为5次，输入错误口令次数超过设定值即锁定该账号；具有管理员超时认证功能，长时间不系统进行操作，再次进行系统操作时，需要进行管理员身份鉴别。

系统配置管理员、安全员、审计员管理权限分开。管理员和客户端终端计算机之间应提供即时消息功能，方便管理员和客户端之间的即时沟通，并可支持消息群发和定时发送功能。 软件支持多级管理，授权下级管理员进行分级管理时，可以指定下级管理员的管理范围，包括机器范围、用户范围、功能范围等。

输入错误口令次数超过设定值时锁定该账号：

管理员超时认证：

四、终端计算机安全管理

终端计算机安装中安源可信网络安全平台之后，可增强系统使用的安全性和可靠性。 （一）用户登录安全

用户使用自己的USB令牌插入计算机，并输入正确PIN码后，才能进入计算机操作系统，从而避免了计算机可能面临被第三者偷用的风险。

认证的过程简单描述如下：

1.计算机上插入用户USB令牌并输入正确的PIN码；

2.客户端计算机的代理发起鉴别请求，向认证服务器发送硬件令牌的鉴别信息； 3.认证服务器验证用户发送的鉴别信息，并通过几个交互确认用户的身份合法性； 4.认证服务器通过鉴别，用户获得合法的访问令牌和相关的授权，可以登录计算机并访问相关的网络资源。

认证流程如下图所示：

（二）离机锁定

用户如果临时离开计算机，只需将USB令牌拔出带走，计算机即可自动锁定。该功能进一步增强计算机的安全性，防止他人在人员临时离开情况下窃取资料。 （三）终端计算机密级管理

系统可以设定计算机的密级。

五、非法接入防范

中安源可信网络安全平台基于网络数据控制技术，对非法接入行为提供了有效的防范手段。只要是没有安装中安源可信网络安全平台的计算机，就不能通过网络交换设备接入单位内部网络，也不能通过网线直连的方式接入内部网络中的任何一台计算机上获取数据。 同时，中安源可信网络安全平台还提供了非法接入阻断功能，可以阻止局域网中未安装安全系统的计算机接入网络。

当有计算机试图非法接入内部网络时，系统将发出报警信息，并对非法计算机的接入行为进行日志记录。

外部终端接入内网支持在线注册和审批。特殊终端和服务器、部分虚拟专网可通过授权的方式接入内网，其余终端均需注册方能接入内网。系统对客户端软件安装数量无，控制台软件安装不受。

终端名称显示（包括树形、报表）按照行政机关序列显示。 （一）用户及终端树形显示：

（二）非法主机控制类型：

可以通过白名单设置未安装代理软件的合法客户端。白名单针对IP地址或地址段设置，如图

中安源可信网络安全平台服务器在安装完成后，能够自动对所属网段内的计算机进行管理，如果内网的范围超出了该网段，那么可以设定终端IP地址段来设定服务器所管辖的范围，虚拟专网可通过授权的方式接入内网。

确定日志的重要程度：

六、非法外联监控

内部计算机可能通过拨号、代理服务器或者其他方式非法外联接入互联网，从而给内部计算机带来潜在的安全隐患。中安源可信网络安全平台基于网络数据控制技术，有效防止一切非法外联行为，只要部署了安全平台的计算机，不能通过任何方式外联到不安全的网络和计算机上。

中安源可信网络安全平台也可以通过禁用客户端的网络设备，如网卡、MODEM、蓝牙，无线等实现对非法外联的控制。

当用户试图连接时，系统将发出报警信息，并对用户的违规行为进行记录。违规外联的终端重接入内网时，系统能及时报警提示，并反映出其违规外联相关信息记录。 打开非法外联和非法外联日志功能：

非法外联功能是通过安全域中的“允许域内机器访问”选项框进行启动的。不勾选“允许域内机器访问”选项框便控制终端不能非法外联。如下图：

（一）策略管理

系统提供策略模板功能，管理员可以一次性将所有安全策略下发给客户端。

1.策略模板：

一次性将所有安全策略下发给客户端：

系统支持策略继承功能，客户端计算机在进行分组管理时，单台计算机的安全策略，应可继承自上级组节点； 2.策略的继承：

系统同时支持在线策略和离线策略，联网计算机在脱网情况下也必须确保安全策略的可靠有效运行。

3.在线策略和离线策略：

系统支持客户端安全策略的导入、导出，提供联网计算机和离线计算机的策略统一管理与监控审计。

客户端完成安装后，在安装目录下自动生成“IntraSec_0”文件夹，运行该文件夹中“PolicyLogSn.exe”程序。则弹出如下界面：

其中，机器信息导出的功能是将客户端信息传回服务器中；策略同步导入的功能是将客户端的策略通过与服务器导出的策略进行同步；离线日志导出的功能是将客户端日志信息导出传回服务器。

点击“机器信息导出”按钮，客户端机器信息将导出至“C:\\Program Files\\中安源可信网络安全平台 安全终端\\IntraSec_0\\machineinfo\\”路径下的machineinfo.dat文件。 将在客户端导出的机器信息通过存储介质拷贝到管控中心进行导入操作，在管控中心中右键点击，选择“离线导入”，将该客户端机器信息导入。如下图所示：

导入成功后对该客户端机器进行策略制定，策略制定完成后，右键点击该客户端机器节点，选择导出。

将该客户端节点导出的策略信息通过存储介质拷贝至客户端机器上，使用“PolicyLogSn.exe”程序中的“策略同步导入”进行策略的导入。点击“策略同步”按钮。如下图所示：

（二）终端行为管理 1.实时状态监控

系统可以实时远程监视和控制终端计算机的状态，这些状态包括：安装的应用程序、服务、驱动及他们的运行状态；当前网络连接状态、打开的窗口、运行的进程、系统的用户和用户组、共享目录、当前的屏幕截图等信息，并可以实时远程控制，比如关闭某个打开的进程、服务或者窗口等。 （1）桌面监控：

性能信息。当前活动主机CPU、内存使用情况。

磁盘信息。显示当前磁盘使用情况。

（2）应用程序监控

系统可以实时远程监视和控制终端计算机的应用程序状态，这些状态包括：是否有非法安装的应用程序及他们的运行状态，并可以实时远程控制，比如卸载/禁止某个应用程序等。应用程序的监控和管理可以基于服务名、进程名和窗口名进行。所有这些监控都可根据黑名单和白名单进行。

当用户试图运行被禁止的进程时，系统将发出报警信息，并对用户的违规行为进行记录。 显示客户端运行那些进程，可以远程结束恶意进程。

（3）进程监控：

进程控制策略内容：

进程控制类型，见下图

关闭进程控制。 签名控制-白名单

（A）签名控制-非微软类程序白名单：指定允许访问列表，由非微软程序名和程序文件的签名值组成，见下图

（4）文件操作监控

文件操作是用户日常行为中最常见的操作之一，中安源可信网络监控系统对所有计算机终端用户的文件创建、复制和删除等操作都进行记录，并上传到服务器中，记录的信息包括文件名、操作者、计算机和时间等，管理员可以查询所有用户和计算机的文件操作记录，从而在发生安全事件的时候可以进行责任追究。 文件操作记录设置：

文件操作日志：

2.IP地址与网络端口绑定

系统集中管理和控制终端计算机的IP及端口流向，其策略由管理员根据单位管理需要

指定，可以根据IP地址、网络端口和数据流向等设定客户端计算机或者用户访问的权限，以白名单或者黑名单的方式工作。例如发现蠕虫病毒，可及时全网统一封锁相应的传播端口，从而有效控制该类型病毒的破坏程度。 （1）网络控制类型策略内容：

（2）端口流量控制类型：

（3）刻录光驱控制

可以控制CD/RW光驱的刻录功能，设置光驱为只读，从而解决因为现在大量电脑配置刻录光驱带来的信息泄密问题。 控制是否允许使用刻录设备：

（4）终端打印行为监控

系统对每个计算机上连接的打印机进行控制，可以设定计算机是否允许使用打印功能，是否可以使用某种型号的打印机，并对打印机使用记录进行监控和审计，审计信息包括用户ID、打印机名称、文档名、所有者、当前打印状态等，防止通过打印机泄漏敏感信息。 打印操作控制：

3.终端资产管理

系统支持对终端硬件资产管理，包括终端使用者、所属部门，并对变更进行记录。 终端资产管理功能包括硬件资产管理和软件资产管理两部分，并且提供强大的统计功能。 （1）硬件资产管理。 a)安装硬件信息

本系统在用户登入后，记录下终端的所有硬件安装信息，记录的硬件类型包括：键盘、鼠标、主板、操作系统、CPU、内存、硬盘、硬盘操作系统分区、网卡、声卡等。 b)变动硬件信息

检测终端发生变动的硬件信息，并且提供对照信息，变动的硬件信息以不同的颜色进行

标记，方便管理员进行浏览对比。 （2）软件资产管理 a)安装软件信息

本系统在用户登入后，记录下终端的所有软件安装信息并且进行日志记录。 b)变动软件信息

检测终端发生变动的软件信息，并且记录日志。 （3）资产统计

提供丰富的统计工具，管理员能够方便地了解内网中的所有资产情况。 硬件资产变更详细信息：

资产变更详细信息

资产查询结果显示界面：

资产统计结果：

软件资产变更信息：

4．终端设备管理

为了防止网络内部工作人员通过计算机外设端口和打印机将内部敏感信息带出，中安源可信网络监控系统提供了对终端设备进行全面管理和监控的功能。

管理员针可以对每台终端计算机进行设备使用授权，比如允许或者禁止USB存储设备的使用等。这些端口和设备类型包括USB存储设备、红外、串口、并口（打印端口）、键盘鼠标、光驱、软驱和1394端口等。通过管理终端设备，防止用户通过设备端口，例如打印机、可刻录光驱等将内部保密信息拷贝带出内部网络，导致泄密事件。 (1)设备管理内容：

(2)端口控制：

(3)文件分发与补丁管理

对于一个具备一定规模的网络来说，在安装软件或补丁时要求管理员逐台计算机进行安装，那将会导致工作效率非常低。软件（补丁）分发功能提供了有效的方式来分发和安装软

件及补丁程序，大大提高了管理员的工作效率。该功能提供了三种软件分发模式：文件传输、执行软件和安装软件。

可分别设定文件传输、软件执行、软件安装等模式，确保分发和安装软件及补丁程序，以及软件的在线升级。分发结果可查询统计，能即时终止、编辑软件分发任务，能针对内网现有的操作系统进行软件分发，能针对特定的计算机分组范围进行软件分发。

a）文件传输。如果设定文件传输模式，那么管理员选定的文件将被传输到终端主机的指定目录。

b）执行软件。如果设定软件执行模式，那么管理员选定的软件将被传输到终端主机的指定目录，并且开始执行。

c）安装软件。如果设定安装软件模式，那么管理员选定的软件将被传输到终端主机的指定目录，并且开始进行安装。如果终端用户强行退出安装，重新启动后又将提示终端用户进行安装，直到终端用户成功安装了该软件。

系统提供了对分发结果进行查询统计；能够即时终止、编辑软件分发任务；能够针对指定的操作系统进行软件分发；能够针对特定的计算机分组范围进行软件分发。 软件分发界面：

支持多种操作系统和分发方式：

设置分发范围：

(4)即时消息

即时消息功能为终端用户和管理员提供了一个交流通道，方便他们及时进行沟通。这个交流通道是双向的，由终端用户即时消息和管理员公告两个组件组成。

a）终端用户即时消息。终端用户可以利用该组件向管理员发送消息，该消息会显示在管理控制台的预警平台上，管理员可以及时进行处理。同时，该消息也会保存到中安源服务器，方便管理员不在线的情况可以进行事后处理。

b）管理员公告。管理员可以针对某一个特定用户、一个特定的组或者是整个网络发送管理员公告。

终端用户即时消息发送界面：

管理员收到终端即时消息显示：

管理员公告界面（可选择范围）：

(三)终端网络行为管理 1.网络安全管理

网络操作是终端用户最频繁的操作之一，与工作无关的网络操作行为不仅仅影响了工作效率，同时也是信息泄密的一种途径。本系统从IP控制、端口控制、URL控制、邮件控制等几个方面来进行管理。

（1）IP控制。从IP地址这一级对网络连接进行控制，通过设置IP地址黑名单和白名单两种方式来进行管理。如果选取IP黑名单控制方式，则凡是访问目的IP地址在黑名单之内的将被禁止连接；如果选择IP白名单控制方式，则只允许访问IP白名单内的目标IP地址，除此之外的网络请求将被拒绝。 IP控制：

（2）端口控制。从远程连接端口进行控制，通过设置端口白名单和黑名单两种方式来进行管理。如果采取端口白名单控制策略，则白名单之内的端口予以开放，白名单之外的端口予以禁止；如果采取端口黑名单控制策略，则黑名单之内的连接将被拒绝，黑名单之外的连接予以开放。 端口控制：

（3）URL控制。对访问的目标URL地址进行控制，通过设置URL白名单和URL黑名单两种方式进行管理。如果采取URL白名单控制策略，则白名单之内的URL地址可以进行访问；如果采取URL黑名单策略，则黑名单之内的网络连接将被禁止，黑名单之外的URL予以开放。如安全管理员添加 “sina.com” 至URL黑名中，则目的网址中包含“sina.com”的网站将不能被访问。 URL控制：

（4）邮件控制和记录。

WEB邮件

web邮件是通过http协议进行邮件的发送和接收。本系统提供允许进入web邮箱和禁止进入web邮箱两种控制方式。在禁止进入web邮箱的控制策略下，用户无法打开web邮箱。 WEB邮件控制：

（5）WEB附件控制和记录。能够对通过WEB方式上传文件的行为进行控制，包括通过WEB邮箱发送附件、通过WEB论坛粘贴附件、通过网络硬盘传输文件等方式。同时可以对上传的文件进行缓存。 附件控制：

（6）网络进程控制。提供对网络操作进行的控制，通过设置网络进程白名单和网络进程黑名单两种策略来进行管理。在网络进程白名单的策略下，只有白名单内网络进程才允许访问网络，其余进程的网络操作将被禁止；在网络进程黑名单的控制策略下，黑名单之内的进程将被禁止访问网络。 网络进程控制：

（7）网络操作分时段控制。为了控制方式更加灵活，本系统提供了分时段控制机制。如定义上述的控制策略只在上班时间（安全管理员可以自定义上班时间断，如8:00-12:00, 14:00-18:00，）生效，其余时间段网络控制策略失效。 网络操作分时段控制：

（8）日志记录。本系统对网络操作行为的日志进行了详细记录，主要包括了HTTP协议日志、FTP协议日志、邮件协议日志和其他日志。安全管理员可以对日志选项进行灵活设置，如是否记录以及日志等级等。

HTTP协议日志

HTTP协议日志主要包括访问者、访问时间、访问的URL地址等信息。 FTP协议日志

FTP协议日志主要包括访问者、文件传输时间、传输的文件名等信息。 邮件日志

邮件日志主要包括用户信息、发件人信息和收件人信息、邮件主题信息以及邮件附件信息等信息。 日志记录：

（9）IP和MAC地址绑定

对终端主机的IP地址、MAC地址进行管理是保证网络正常运行的有效方式之一。禁止用户修改网络IP地址，终端主机随意修改IP地址和MAC地址可能会导致网络混乱，同时也可能是出于伪造他人身份进行非法操作的意图。

终端主机安装中安源网络安全平台时，自动将终端主机的IP地址和MAC地址注册到中安源服务器。如果终端主机试图改变IP地址或MAC地址，本系统提供了两种控制方式：

恢复

恢复正确的IP地址和MAC地址，终端主机还可以正常的使用网络。 禁止网络

立即禁止终端主机的所有网络行为，直至其修改为正确的IP地址和MAC地址。 IP和MAC地址绑定：

2．网络流量和带宽管理 （1）网络流量控制

可以终端计算机的网络流量，可以指定网络通信总流量、应用程序、端口范围、流量方向来客户端的流量。可以针对不同用户或一个组内的用户，进行流量控制，可以有效管理非法BT或其它下载行为。 流量控制策略：

流量控制类型：进行总流量控制类型、进程流量控制类型、端口流量控制类型、流量统计控制类型的选择。 流量控制类型：

启动总流量控制类型

进程流量控制类型：

端口流量控制类型：

（2）网络流量统计

可以按时间、计算机（组）/用户（组）、地址明细、端口明细、地址类别、端口类别查看并统计网络流量大小情况。可以通过多种方式查看网络实时流量和网络总体的流量，如：可以查看每一个用户每一个端口的流量，从而可以分析出该员工做的那一类工作占的比重多。

网络流量统计控制：

（3）网络带宽控制

可以控制客户端的上行和下行带宽，有效避免了某些用户过多的占用网络带宽资源，导致网络拥塞。 带宽控制类型：

根据需求启用带宽控制类型和分时段带宽控制类型，接下来开始编辑带宽控制参数和和带宽时段控制的填写。 带宽参数编辑：

3.ARP防火墙

能对终端进行漏洞扫描，能对内网某一中毒终端进行报警，并阻断其接入内网，并提示客户端进行杀毒。清除病毒后，方可再行入网。具有ARP防火墙功能，能够有效地杜绝ARP病毒攻击，一旦内部网络中出现了ARP攻击，首先会对攻击行为进行预警，然后将对ARP攻击所导致的MAC地址混乱的现象进行清理，通过将其设置为静态MAC地址从而避免了ARP攻击所带来的影响。 ARP防火墙功能：

移动存储介质管理

部署中安源可信移动存储介质管理系统后，可以实现对移动存储介质的有效管理。 可以设定计算机和介质的密级，使得高密级介质不能在低密级机器上使用，低密级介质在高密级机器上只能只读。

中安源可信移动存储介质管理系统提供了对移动存储介质安全管理的技术支持，通过对移动存储介质从购买、使用到销毁整个过程的管理和控制，借助注册登记、授权使用、权限管理、数据保护、文件监控、日志审计等技术手段对移动存储介质进行失泄密防护，真正实现移动存储介质的方便使用与安全管理兼得的效果。能完成移动存储介质读写文件行为的审计。 系统可对移动存储介质进行注册管理。支持全网移动存储介质的注册，取消注册、修改注册、设置使用范围及注册信息查看等。存储设备可注册为正常读写、只读。未注册的移动存储设备不能在内网上使用，系统能自动阻断未注册设备接入。 注册登记

中安源可信移动存储介质管理系统提供对移动存储介质的注册管理功能，联网主机和离线主机使用的移动存储介质可实行统一管理和注册，没有经过管理员注册的移动存储介质，不能在内部计算机上使用。移动存储介质要想在网络内使用，必须经过管理员对该移动存储介质进行注册，并赋予相应的权限。管理员还可以取消对移动存储介质的注册，收回对该移动存储介质的特殊授权。

注册授权的内容包括主管部门、所属部门、责任人、使用人、使用部门、使用周期等等，并根据授权信息产生涉密移动存储介质管理台帐。授权后的移动存储介质才能发放到个人使用。

审批后的移动存储介质，还可限定其使用时间，超过允许使用的期限后，移动存储介质需重新注册方可继续使用。

中安源可信移动存储介质管理系统还支持对移动存储介质的远程注册管理功能。 中心统一注册

移动存储设备可以由安全管理员直接在安全管理控制台集中进行注册。 管理员在安全管理控制台计算机上插入要注册移动存储介质，例如U盘等，然后运行本地存

储设备注册功能。可以直接在工具栏中运行本地存储设备注册，也可以在“所有设备”节点上鼠标右键点击“注册移动存储设备”菜单项。 如下图所示：

安管中心注册：

点击运行后，系统弹出设备注册主窗口，管理人员在窗口中输入注册信息。如下图所示：

客户端在线注册

用户对自己使用的移动磁盘的注册是可以远程注册的，这样大大方便了管理员和用户。用户首先插上自己在内网中使用的移动磁盘，然后在开始菜单中找到“中安源可信网络安全平台 安全终端”选择“移动磁盘远程注册”如图：

移动磁盘在线注册信息：

客户端输入注册信息之后，点击“在线注册”按钮，随后客户端的移动磁盘注册信息将会上报至管理中心。

管理员收到注册请求并进行审批：

管理员单击审批之后出现用户的注册信息，选中信息（注意这个时候的审批结果是“未审批”），单击批准。 管理员批准注册请求：

远程注册

用户填写注册信息：

远程注册即离线注册，当终端不在线的时候，可以通过这个注册方式完成U盘注册过程，在填写完移动存储设备注册的相关信息后，点击“远程注册”，保存注册信息：

在另存为窗口中，为保存文件选择一个路径，点击“保存”随即会生成一个USBRemoteReg.nur的文件，将这个文件拷贝到控制台中，管理员对其进行注册。 管理员选择“远程存储设备注册”：

导入注册信息：

管理员审核注册信息：

把审核过的注册信息保存成注册文件：

系统提示注册成功：

终端导入审核过的注册文件：

密级标识

系统可以设定计算机和介质的密级，使得高密级介质不能在低密级机器上使用，低密级介质在高密级机器上只能只读。

授权使用

管理员可以根据管理需要，将特定的移动存储介质注册授权给特定的用户/用户组和特定的计算机/计算机组，从而实现灵活的细粒度管理。移动存储介质只能在指定的计算机/计算机组上使用，并且只能由指定的用户操作和使用，避免介质使用失控。通过这种方式还可以实现注册移动存储介质和授权计算机之间“多对多”的使用方式。 选定介质使用机器范围：

选定介质使用用户范围：

权限管理

中安源可信移动存储介质管理系统对移动存储介质的权限分为禁用、只读、安全读写和直接读写四种。

禁用权限禁止移动存储介质在部署了移动存储介质管理系统的计算机上使用，禁止该移动存储介质的所有文件和数据读写操作，既不能从该移动存储介质读出文件，也不能将计算机中的文件复制到该移动存储介质中。

只读权限的移动存储介质在部署了移动存储介质管理的计算机上，只能将移动存储介质中的文件或者数据复制到计算机上，但是不能将计算机上其他存储设备的数据和文件复制或者输出到移动存储介质中。

安全读写权限的移动存储介质在指定的域内可以自由交换数据，但数据读写的时候都自动进行了格式转换，并且这些数据仅在同一个域内的计算机上能够正常使用，在非同域内的计算机上这些数据是无效的。安全读写权限实现了数据的安全共享，即数据共享的同时，有效限定了数据的使用范围，从而不会造成信息泄密。 正常读写权限的移动存储介质，在指定域内的计算机上其权限是最高的，数据使用不受任何，可以自由复制。该模式一般仅用作特殊权限，输出数据使用，不能作为日常的管理模式。

认证设备使用策略：

非认证设备使用策略：

内隔离使用

对于高安全级别的移动存储介质，可将其使用范围严格锁定在内部工作环境中，在外部网络计算机上无法使用注册过的内部移动存储设备。同时，未注册移动存储介质的也无法在内部网络中使用，从而既避免了信息的泄密问题，也杜绝了通过移动存储介质传播病毒的问题。 使用审计

对于移动存储介质的入库登记、插入使用和拔出、授权使用、文件操作、各种违规操作等等，中安源可信可信移动存储介质管理系统都提供了详细的日志记录。同时，我们还提供了强大的日志审计功能，审计的内容包括：授权日志、使用日志、违规日志、授权回收日志等。能完成移动存储介质读写文件（包括到其他网络读写文件）行为的审计。 对移动存储介质从购买到销毁整个生命周期，中安源可信可信移动存储介质管理系统都提供了有效的磁盘追踪功能，借助它，我们可以方便地看到磁盘的整个使用过程。

移动磁盘的日志审计及日志导出，如图：

网络分域控制

中安源可信网络分域管理系统是完全基于可信网络安全平台的基础框架开发的，主要提供了单位对网络分域管理、服务器授权访问管理、数据传输管理等功能。

中安源可信网络分域管理系统主要通过将现有网络拓扑结构划分为若干虚拟安全域的形式实现网络通信的隔离和数据加密。安全域之间的通信隔离体现在：处于同一安全域之间的终端可以互相访问，处于不同安全域之间的终端禁止访问；不同的安全域之间可以设置信任关系，不同安全域中的用户可以组成临时工作组。实现了对全网终端的分组、分域管理，可根据终端重要性的不同，划分不同的域和组，制定不同的策略实施管理。特别是针对部分虚拟专网能制定有效的管理策略。 网络分域管理

可信网络分域管理系统主要涉及到安全域、工作组和公共交换域三个概念：

安全域——是对机器的划分，不涉及用户。用户能够与机器进行捆绑，即一个用户只能访问特定的机器群，一个机器只能被特定用户群使用。通过机器为中介，实现用于对域的访问。 工作组——工作组是一个临时的虚拟划分，具有有效期，可与实际项目组相对应。一个工作

组至少要包含两个（以上）域的机器。一台机器可以隶属于多个工作组。 公共交换域——公共交换域是一个特殊的域，它没有具体的级别，可以与所有域之间进行互相访问。它通常用于部署服务器，中安源网络安全平台服务器必须部署在公共交换域。 网络分域管理实现以下五个目标：

1）系统可将网络中的计算机按照管理需求划分成多个虚拟安全域，实现内部网络的分域分级管理。

2）同一个安全域内的计算机可以相互访问，非同一个安全域的计算机则不能相互访问，只有在获得管理员授权的情况下才能建立信任关系，实现网络连接。

3）在保障网络统一维护的前提下，通过虚拟安全域的划分，单位内部不同职能部门之间的重要敏感数据可以实现有效隔离。

4）非法外联管理：能够禁止某些保密等级较高的安全域终端访问外部网络。 5）非法内接管理：能够禁止外部网络主机通过多次中转后达到内部网络。 开启安全域

开启安全域功能，在安全管控中心选择系统设置，开启安全域管理。

安全域的创建 【说明】创建安全域是为了同一个安全域内的计算机可以相互访问，非同一个安全域的计算机则不能相互访问，只有在获得管理员授权的情况下才能建立信任关系，实现网络连接。

安全域的创建，鼠标右键点击安全域，选择创建域；如下图：

出现“新安全域”，安全域创建成功 ，如下图：

新安全域编辑

鼠标右键点击“新安全域”，选中编辑，如下图：

出现选项对话框，如下图：

设置基本信息，如下图：

【备注】1）基本信息中，域ID不能填写，它是系统自动生成的； 2）域名可以改写成部门的名称或者其他名称

3）选择“允许域内机器访问”就是安全域内的机器可以访问互联网；不选择，安全域内的机器就不能访问互联网 点击“应用”，如下图：

点击“确定”，如下图：

域策略即时生效

鼠标右键点击“部门A”，选中“域策略即时生效”，如下图：

出现系统提示，如下图：

点击“确定”，系统提示框消失，域策略发送成功。

【备注】域策略就是指我们刚才新建安全域的各项操作向域内的每个机器发送操作指令。 删除安全域

鼠标右键点击“部门A”，选中“删除”，如下图：

出现系统提示对话框，如下图：

点击“确定”，“部门A”删除成功，如下图：

【说明】 此操作可对机器重新划分安全域 公共域的创建

用创建安全域的方法、步骤，创建公共域，创建完后的公共域如下图：

【备注】公共域：公共域是一个特殊的域，它没有具体的级别，可以与所有域之间进行互相访问。它通常用于部署服务器，中安源网络安全平台服务器必须部署在公共交换域。 编辑新公共域

鼠标右键点击“新公共域”，选中“编辑”，如下图：

出现“选项”，如下图：

选项1

进行基本信息的填写，如下图：

点击“应用”，新公共域创建成功。

【备注】1）基本信息中，域ID不能填写，它是系统自动生成的； 2）域名可以改写成部门的名称或者根据服务器的功能进行命名；

3）服务器类型可选择：公共服务器、公共交换机、公共路由器，选项中没有的服务器类型可选择自定义；

4）名称可以是服务器的编号或者部门名称，可自己定义；IP地址就是添加服务器的IP地址。

公共域的删除

参照安全域的删除进行公共域的删除 可信域的创建

例如：现有三个安全域：部门A、部门B、部门C，要部门A和部门B、部门C，进行通信，就需要创建可信域 具体操作如下：

鼠标右键点击“部门A”，选中“编辑”，进入到“可信网络设置”，如下图：

选中“部门C”和“部门B”，拖拽到可信安全域中，如下图：

点击“确定”，可信域创建成功。

【说明】类似方法可创建自己需要的可信域。 服务资源访问授权管理

服务器保护功能基于应用代理技术，实现了对内部业务服务器群细粒度的统一身份认证，各类业务应用服务器、数据库服务器都在保护的范围之内。服务器保护功能包括受保护服务器群统一身份认证和操作日志记录两大子功能。

（1）统一身份认证。根据用户安全策略，终端用户向受保护服务器群发起的网络连接被转发到认证服务器。对返回的认证结果进行如下处理：

如果认证成功，则建立终端用户与受保护服务器群之间的连接。 如果认证失败，则拒绝终端用户的访问请求。

（2）操作日志记录。终端用户到受保护服务器群的所有请求操作和数据都被截获，进行分析，形成日志传输到日志数据库。目前进行分析的协议包括： HTTP协议——记录访问的目标网页。

FTP协议——记录上传和下载的文件信息。 SMTP协议——记录发送的邮件信息。

数据库通信协议——支持各种数据库连接协议，并且可以对数据库访问的下列操作进行日志记录：数据库查询操作、数据库插入记录操作、数据库更新记录操作、数据库删除记录操作、数据库创建表操作、数据库删除表操作。 服务器保护

服务器保护策略内容：见下图

对HTTP类服务器的操作，见下图

允许访问该资源：是否允许该主机访问该资源。

资源操作类型：是否记录活跃主机对该资源的访问操作日志。 日志等级：普通或者为预警。

对FTP类服务器的操作，见下图

允许访问该资源：是否允许该主机访问该资源。

资源操作类型：是否记录活跃主机对该资源的访问操作日志，该日志有上传和下载两类，见图48。

日志等级：普通或者为预警。

资源操作类型日志类型选择：

对数据库类服务器的操作，见下图：

允许访问该资源：是否允许该主机访问该资源。

资源操作类型：是否记录活跃主机对该资源的访问操作日志，该日志6大类。 日志等级：普通或者为预警。 资源操作类型日志类型选择：

服务器资源 定义：

服务器资源：指网络中需要对此执行信息安全增强的服务器。本产品对这些服务器资源提供访问控制和操作日志记录，尤其对数据库服务器，提供数据库“表”一级操作粒度的安全监控（见下图）。 服务器资源：

关于服务器资源的操作： 新建资源：（见下图）

重命名。

属性：服务器资源包含HTTP服务器、FTP服务器、数据库服务器和其它服务器四大类，设置时，必须要指定服务器种类、服务器侦听端口号和服务器IP地址。 服务器属性：

网络资源列表

网络资源列表包含：终端主机资源和服务器资源（见下图）

多应用系统的透明唯一登录

系统可为终端的各种应用系统提供集中统一的身份认证，方便用户使用。

系统支持10个以上的B/S模式和10个以上的C/S模式的分布式和集中式的应用系统，并具备充足的扩展能力，以适应项目单位信息化建设的需要。 透明唯一登录系统应该具备以下功能和特点：

（1）一次登录即可安全访问所有允许访问的信息系统；

（2）基于USB KEY的数字证书的身份认证，确保用户身份的安全； （3）根据用户身份信息，自动完成各系统的权限分配；

（4）支持所有的业务系统、平台、服务器或客户端，完全兼容现有信息系统； （5）对原有系统做到改动最小，最大可能地减小对现有系统的影响；

（6）良好的扩展性：可随时加入新的系统，可扩展基于标准数字证书的身份认证 单点登录设置界面：

单点登录设置界面：

终端行为审计

为了防止内部工作人员在内部网络的的终端计算机上进行非法操作，中安源可信网络监控审计系统对用户登录计算机以及访问内部网络的操作行为进行详细记录和审计，可对终端的软件安装、文件的使用、文档打印等进行记录，对进程进行监控，可实施远程控制。同时，对终端硬件资产管理，包括终端使用者、所属部门，并对变更进行记录，便于事后责任认定和追究。系统应实现服务器和客户端的时钟同步，时钟同步的前提下产生的审计信息更有效，更可靠。服务器日志满了报警，并且能在日志中看到服务器启停的日志信息。

日志信息：

设置时钟同步：

服务器日志满了报警，并且能在日志中看到服务器启停的日志信息。 设置服务器磁盘容量预警阀值：

系统结构及特点 系统结构

中安源可信网络安全平台是依照完全模块化的标准进行设计的，同时，平台上的每个子系统也是以平台基本架构为核心进行模块化设计的，即一个系统可能由多个功能组成，每个功能都是的，可以接入到整个平台的架构中，从而实现良好的模块化，以实现按需组合。这样，使得基于该平台的系列产品具有更好的伸缩性，能够满足客户的各种需求。

中安源可信网络安全平台是所有产品共同的工作平台，其基本结构为服务器、客户端代理和安全管理中心三层结构，较两层结构更优化、更有利于部署和管理，可管理主机数目大，效率高。 服务器

服务器是可信网络安全平台基础框架的核心部分，是所有策略的存储中心，也是系统运行和维护的中心。在服务器上，存储着用户的信息、计算机信息、组织体系、策略信息以及日志信息。 管理中心

管理中心是可信网络安全平台的管理界面，用于实现对服务器的远程管理，它是整个平台的控制中心，平台中的各个系统都可以集中体现在管理中心。 客户端代理

客户端代理运行在可信网络安全平台需要控制的计算机终端上，客户端代理采用安全的方式接受服务器的统一管理，接受服务器下发的策略，并通知相应的功能模块执行。所有的中安源可信网络安全平台系列产品的系统，其功能模块都通过平台的核心代理引擎与服务器进行通信。

平台结构图如下：

控制台服务器客户端代理（Agent）

关键技术

中安源可信网络安全平台是内部网络的安全管理平台，其中服务器部件是整个安全管理系统的核心，能够对所有计算机客户端进行实时管理和策略实施，并负责接受客户端代理的日志和相关信息。因此，在安全平台系统允许中，必须保证服务器的稳定性，使其具有7×24小时的持续服务能力。并具有较强的抗攻击和抗病毒能力。同时，由于中安源服务器的客户端数量可能是多达几千甚至上万台，因此要求服务器具有高效的负载能力。基于上述两点，中安源可信网络安全平台在设计的时候充分考虑了以下关键要点，并在技术上取得了突破。

资源最小化稳定运行技术

中安源可信网络安全平台服务器在设计开发过程中，始终贯彻以资源最小化稳定运行的思想，确保服务器在运行过程中耗费的系统资源最小化，并具有持久的稳定运行能力。资源最小化关注的内容包括：CPU使用率、内存使用率和第三方程序依赖程度等。

为了降低CPU的使用率，我们对服务器的流程和运行做了各方面的分析和优化，减少冗余的运算和操作，降低CPU使用率的同时也提高了服务器的性能和稳定性。运用内存重用技术，可减少可能产生的系统内存碎片，降低系统内存资源的耗费。在设计过程中，最大程度降低服务器对第三方程序的依赖，如对数据库和其他各种网络协议的依赖等，使得可信网络安全平台的服务器最小化，环境适应性好。同时，为了适应用户的需求，也预置了通过远程通信方式与第三方数据库程序进行协同工作的接口，从而减少本地服务器系统的负载，保证了本地服务器系统的稳定性。 高效并发处理技术

中安源可信网络安全平台服务器是整个安全管理系统的核心，负责对数目庞大的客户端代理进行登录认证、实时管理、策略实施和日志记录工作，其负载量非常大，并发的连接数量也必然非常大。为了建立高效的并发处理机制，确保服务器能够在高负载情况下正常提供服务，在可信网络安全平台的服务器设计中，我们采用了多线程、队列、主动轮询等技术，使得服务器具有良好的高效并发处理能力，能够满足任何大型网络安全管理的需求。 资源控制技术

总的来说，中安源可信网络安全平台的各个系统提供了一种有效的资源控制手段，根据管理需要和规则对内部网络信息系统的各种资源进行有效的控制。这些资源包括计算机上的资源、服务器资源和网络资源等。

在中安源可信网络安全平台的设计理念里面，所有的控制对象都是一种资源。例如，计

算机系统本身就是一种资源，计算机里面的各种外设、硬盘空间、应用程序、网络端口、网络连接和文件等，而服务器系统本身也是资源。中安源可信网络安全平台的系统对所有这些有价值的资源都进行控制，采用了授权使用、违规记录及审计等多种手段结合，确保了所有资源的可控性，从而提高了办公息系统的安全性和可管理性。

授权使用是指中安源可信网络安全平台的所有资源必须是经过管理员授权后，用户在指定的状态下才能使用。例如，要使用某台计算机（计算机是一种资源），必须是经过管理员授权的用户才能进入该计算机操作系统。又如要使用一台计算机上的USB端口（USB端口是一种资源），那么也只有经过管理员授权（允许使用该台计算机上的USB端口）的用户才能使用，其他用户将不能使用该计算机上的USB端口。

违规记录是指中安源可信网络安全平台对用户违反管理规则，试图使用没经过授权的资源的行为进行的记录。比如一个用户在一台计算机上没有被授权使用光驱，该计算机上的光驱在该用户登录系统后会被禁用，如果用户试图从设备管理器强行启用该设备（当然其行为会失败），中安源系统将记录该用户的违规行为。

审计是指可信网络安全平台对用户行为和信息系统的一些重要信息进行的记录。记录的信息包括了详细描述、用户、计算机及时间等要素，可以作为以后查证使用，也可以在此基础上生成更加有意义的审计报表。

中安源可信网络安全平台的资源控制，都以策略的方式实现，包括了用户、计算机、资源授权内容和状态几个要素。资源的授权内容根据具体的资源而具体不同，例如对计算机，就是控制其是否能够登录使用；而对于外设，除控制其是否能够使用外，还可以以黑名单或者白名单的方式设定具体的关键字等。通过这几个要素的灵活组合，能够满足用户各种情况的需要，从而实现有效的内网安全管理。 状态策略控制

中安源可信网络安全平台的系统中，尤其是中安源可信网络监控系统中，状态是策略中的重要元素。所谓状态，是指策略应该在什么条件下生效或者失效，目前，可信网络安全平台中支持在线/离线两种状态。

所谓在线状态，是指受控客户端代理能够跟服务器之间建立实时的心跳连接，受到服务器的实时管理和控制，这种状态一般是指受控设备在单位网络内的时候。

所谓离线状态，是指受控客户端代理与服务器之间不能建立实时的心跳连接，这种状态一般是指受控设备脱离内部网络的状况。

管理员在制定策略的时候，可以制定不同状态下的策略，受控客户端就会根据其状态自动启用相应状态的策略，从而实现灵活的控制。例如，管理员可以设定在线状态下不允许使用拨号设备（假设在单位的时候），而设定在离线状态下允许使用拨号设备（假设在家的时候），这样就可以制定适应于各种情景的策略。 用户策略控制

中安源可信网络安全平台系统中，用户也是策略制定中的要素，只要安装使用了可信网络认证系统，该要素就可以在策略制定中体现出来。用户要素的使用，使得管理员制定策略的时候，对同一资源，可以针对不同的用户进行有区别的授权。例如在同一台计算机上，可以授权用户A使用该计算机上的光驱，而禁止用户B使用该计算机上的光驱。

安装中安源可信网络认证系统后，只要与用户相关的资源，都可以将用户要素加入，进行策略的制定，从而适应单位不同人员具有不同权限的复杂管理模式。 系统特点 模块化功能

中安源可信网络安全平台具备完全模块化的设计，平台上所有的系统，都是以平台基本架构为核心进行模块化设计的。

在服务器端，不同的系统需要向服务器注册不同的策略目录和功能模块，服务器将通知控制台显示这些新的系统或者功能模块，并提供管理员用户界面。

在客户端，不同的系统拥有不同的功能模块，这些功能模块注册到客户端代理核心引擎上，并与服务器建立相应的通信，接收服务器下发的指令和状态管理。

中安源可信网络安全平台上每个系统的设计也是模块化的，即一个系统可能由多个功能组成，每个功能都是的，可以接入到整个平台的架构中，从而实现良好的模块化，也可以实现按需组合。

中安源可信网络安全平台良好的模块化设计使得基于该平台的系列产品具有更好的伸缩性，能够满足市场和用户千变万化的需求。 安全性设计 服务器安全

中安源可信网络安全平台服务器是整个可信网络安全平台的核心，保存着用户资料、计算机信息和其它各种策略，它的安全性是至关重要的。由于平台服务器是一个软件，所以要求服务器必须具有良好的抗攻击能力。因此，在系统设计时，对平台服务器就进行了安全方面的考虑。

首先，服务器的连接和通信端口是加密的，并且需要进行认证，无论是客户端还是控制台，在与可信网络安全平台的服务器建立连接时，必须经过认证。尤其对于具有管理权限的控制连接，更要通过基于硬件令牌的严格密码协议进行认证。

其次，要使服务器运行，必须使用合法的授权令牌，没有合法的授权令牌，服务器将无法正常运行。并且在客户端或控制台与服务器建立连接的时候，同样将对服务器的身份进行验证，以防止服务器受到攻击或者冒充服务器行为的攻击事件发生。 客户端安全

客户端代理安装在需要加强管理的计算机终端上，面临各种复杂的环境，其需要考虑的安全因素更多。

首先，我们要防止计算机用户可能会对客户端代理程序进行的非法卸载。因此，中安源可信网络安全平台系统为了确保客户端代理程序的安全和稳定运行，客户端代理程序具备了良好的自身保护措施，包括文件、进程和注册表隐藏和保护，并采用系统远程线程注入技术监控和阻止试图破坏客户端代理的行为发生。

其次，客户端跟服务器建立连接的时候，将采用双向的认证机制，确保双方身份是可信的。 通信安全

中安源可信网络安全平台的通信系统采用了完全加密的机制，数据、指令和策略的传输都是加密的，有效防止了窃听和篡改等欺骗破坏行为的发生。 管理安全

控制台是管理员对整个系统进行管理的接口，所以，对控制台登陆用户的身份认证采用了严格的措施，即必须使用配套的指定令牌与服务器进行相互认证和通信，才能取得管理权限。

因为可信网络安全平台是整个单位网络安全管理的控制中心，管理员具有极大的权限，为了对管理员的权限进行监督，可信网络安全平台的管理员分为两种：管理员和审计员。管理员负责对终端计算机和用户实施具体策略，即执行和维护可信网络安全平台的功能。审计员则对管理员的所有操作进行详细的审计，确保管理员的所有行为符合部门的安全操作规范。通过分权管理，一定程度上防止了管理员权力无限扩大可能带来的额外安全隐患。管理员和审计员的身份都采用硬件令牌进行识别，杜绝了假冒攻击的可能性。 系统运行

系统性能

系统具备高可靠、高安全、高性能；控制界面友好，系统安装维护简洁易用；用户端代理要求自身安全性高，不可非法卸载，能兼容内网中已存在的原有操作系统和杀毒软件；数据库维护方便，全面的管理日志；客户端程序具有自我保护功能，如防止恶意删除、防止非授权卸载，防止监控程序被非法停止。

中安源可信网络安全平台的系统性能主要体现在终端资源占用情况上，客户端代理对终端资源占用非常小。性能分析如下表： 表2: 性能分析表 配置 空闲时CPU 平均使用率 CPU: P3 1.3 内存：256M <=2% CPU: P4 1.6 内存：256M <=2% CPU: P4 1.6 内存：512M <=1% CPU: P4 2.4 内存：512M <=1% 系统兼容性分析

中安源可信网络安全平台具有非常好的兼容性，在实际项目中几乎没遇到过软硬件兼容性问题。

目前，中安源可信网络安全平台与主流的防病毒软件都经过兼容性测试，包括卡巴斯基、诺顿瑞星、金山毒霸、趋势、Macfee、Kill和KV系列。对于办公软件以及一些常用应用软件，如MS Office、方正书版系统、RDBMS、AutoCAD、UG、Matlab、LabView等，已经在现有实施用户中经过兼容性测试。

公司产品还经过大型的版本管理软件如用友U8、ClearCase、VSS和其它一些嵌入式开发调试环境和软件的测试，从目前实施的用户反馈看来，兼容性良好。产品兼容性分析如下表：

表3：产品兼容性分析表 厂商 产品 操作系统 Win2000Pro CA Kaspersky Lab KILL安全胄甲 Kaspersky Antivirus McAfee VirusScan √ √ Win2000Srv √ √ Win2000AdvSrv √ √ WindowsXP Windows2003 √ √ √ √ NAI √ √ √ √ √ Symantec Norton Antivirus √ √ √ √ √ Symantec √ Cooperate Client Trend Micro PC-Cillin √ √ √ √ √ √ 趋势科技 Office Scan √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ √ 江民公司 江民杀毒 √ 金山公司 金山毒霸 √ 瑞星公司 RAV2008 IBM Lotus Notes 6.5 Office 2003 √ √ Microsoft √ √ √ √ √ √ √ √ √ Internet BlackICE √ Security PC System Protection

系统运行环境要求

为了完整安装使用安全平台，在内网环境至少需要如下的硬件配置：

服务器：软件配置，要求该机器安装操作系统为Windows 2000 SP4或更高版本。硬件配置，要求内存512M以上，CPU主频1G以上，百兆网卡。

客户端，用于安装平台客户端，并作为内网受控端接受管理中心的管理。软件配置，要求该机器安装操作系统为Windows 2000 SP4或更高版本。硬件配置，能正常运行操作系统。 除此之外，在内网环境中，上述机器需要能够互连互通，即保证IP可达。在安装安全平台之前，需要首先检查网络连通的情况，只有在网络连接正常的情况下才能继续按顺序进行安装。

系统对硬件系统的具体要求： 表4:系统对硬件的要求 软件名称 服务器 管理中心 客户端代理 CPU Pentium4 2.0GHz Pentium4 2.0GHz PentiumIII 内存 >=1G >= 512M >=128M 硬盘 >=60G >=40G >=40G 外设和接口 USB接口支持 USB接口支持 USB接口支持

系统对操作系统平台的具体要求： 表5:系统对操作系统平台要求 软件名称 服务器 管理中心 客户端代理 支持的操作系统 Microsoft Windows2000 Professional / Server / AdvancedServer；Microsoft Windows XP； Microsoft Windows2003 Server Microsoft Windows2000 Professional / Server / AdvancedServer；Microsoft Windows XP； Microsoft Windows2003 Server Microsoft Windows 2000 Professional / Server / Advanced Server；Microsoft Windows XP；Microsoft Windows2003 Server 软件自身安全

中安源可信网络安全平台中终端软件的自身安全是非常重要的，为了防止用户的恶意删除修

改，该模块采用三维防护体系，如下：

Agent（终端）上的安装核心文件完全隐藏，用户无法删除。 Agent（终端）上的注册表配置项完全保护，用户无法修改。 Agent（终端）上的运行进程注入操作系统核心层，无法终止。 用户在没有授权的情况下无法卸载客户端。 系统的安装

客户端软件在安装时，支持多种安装方式，包括WEB服务器下载安装、控制台远程推送安装、域控制器推送安装等。系统提供免费自动升级功能。客户端支持远程在线升级与本地离线升级两种方式，客户端在线升级时，管理员可针对部分计算机选择升级范围。客户端支持在线、离线两种卸载方式，管理员可以远程卸载客户端，也可以由管理员授权客户端在本地进行卸载。

系统在安装和卸载时，尤其是客户端的安装和卸载，应对用户完全透明，不需要重启，不影响和干扰用户行为。

考虑到内网终端规模庞大的情况，系统的安装需要支持多种安装部署方法，包括服务器向客户端远程推送安装，域服务器安装， WEB网页安装。如下图所示：

提供多种安装方法安装服务Windows域安装远程推送WEB安装

多种安装部署方法示意图

其技术特点如下：

支持多种安装模式，包括服务器向客户端远程推送安装，域服务器安装， WEB网页安装。 工业级网络活动主机快速探测技术，探测全局域网活动主机性能小于5s，并且获取Windows主机IP地址、Windows主机名、域名、操作系统版本信息。 根据Windows指纹特征判断是否能远程推送安装，对于不能远程推的系统从WEB上执行脚本后激活远程推送能力。

基于Windows域安装，自动设置域用户安装Script，用户登录Windows时自动安装客户端软件。

安装说明：产品全部为软件形态，系统工作模式，为服务器+控制台+主机代理（Agent）的

方式；

系统提供自动升级功能，客户端在升级时，支持可选范围； 系统支持的操作系统为windows xp/2000/2003；

安装客户端时可以设定机器密级并且以后可以修改，客户端安装后在/离线在服务器端及时反映；系统在安装和卸载时，尤其是客户端的安装和卸载，应对用户完全透明，不需要重启，不影响和干扰用户行为； 客户端的卸载 远程卸载

由于用户无法自行卸载客户端程序，所以当需要卸载客户端软件时，必须经过管理员在管理中心进行卸载授权操作后，客户端程序方能在客户端正常卸载。县级用户有卸载需求时，需要上报到市级二级管理员。

远程卸载点击“即时卸载”发送指令通过UDP协议，执行后，客户端无需重新启动操作系统客户端便自动卸载。 即时卸载

在“安全管控中心”右键单击需要卸载的终端节点，点击“卸载登记”，如下图：

在弹出的对话框中，点击“确定”，如下图：

安全管理中心发出“即时卸载”命令后，稍等数分钟后客户端便会自动卸载，并且从安全管控中心上自动消失。如客户端没有自动消失，可在客户端执行手动正常卸载，具体操作是：“开始”→“所有程序”→“中安源可信网络安全平台 安全终端” →“卸载”即可。 离线卸载

在客户端离线的情况，可采用离线卸载方式，即在客户端运行卸载程序，在弹出的对话框中点击“是”，如下图：

点击“是”以后，在弹出的“离线卸载申请”框中，显示出离线申请码，将离线申请码告知管理员，如下图：

管理员在安全管控中心的“离线卸载授权中”将申请码输入,如下图：

点击“生成授权码”，授权码随即生成。如下图：

将生成的授权码告知需要离线卸载的终端，在终端将授权码输入到“离线卸载申请”框中，点击“确定”将会运行卸载程序。如下图：

系统备份

系统能够对在运行中产生的数据进行实时的备份，在系统崩溃后，能够根据备份的数据进行灾难性恢复，服务器在进行灾难恢复后，可以直接检测到在/离的客户端；提供跨网段扫描内网上的客户端，并标明客户端是否已经安装了客户端软件。 系统备份：

检测到在/离的客户端：

系统特点

中安源可信网络安全平台系列产品以密码技术为支撑，以“数据安全”和“安全管理”为目标，以监控审计为辅助，从信息的源头开始抓安全，对信息的交换通道全面保护，从而达到信息的全程安全，主要有以下几方面的特点：

对内网原网络系统性能影响小：此产品体系完全基于TCP/IP协议网络，不需要改变现有网络结构，支持远程管理，对原系统的性能影响很小。

所有外设、输入/输出端口及操作都必须经过授权：仅授权的人能操作授权的计算机，仅授

权的磁盘、磁盘分区、外设、移动存储设备等能在授权的计算机上由授权的人使用，仅授权的输入/出端口能由授权的人使用。

透明加密存储，对终端用户的正常使用无影响：根据用户需求进行文件加密、文件夹加密、磁盘加密、移动存储设备加密。 实现对FTP用户的严格控制管理：针对网络中FTP服务器访问进行授权管理，将FTP用户名和用户的硬件USB令牌绑定，防止非法用户访问，对合法用户访问进行内容级别审计。 可在内网中分设多个安全域：通过将现有网络拓扑结构划分为若干虚拟安全域的形式实现网络通信的隔离。安全域之间的通信隔离体现在：高等级的安全域能够正常访问低等级的安全域，低等级的安全域与高等级或相同等级域之间的访问被隔离。

可建立安全服务器区：使用服务资源访问控制系统，可以建立安全服务器区（OA服务器、文件服务器等），仅有经过管理员允许的计算机才能访问此安全服务器区，其它任何计算机包括非法接入的计算机都不能访问，从而保护服务器不被非法计算机访问，防止非法接入和机密信息泄密。

能够实时监视各终端用户：实时监视计算机终端的各种操作。

可靠审计：记录各种可能导致信息泄露的操作，以便在必要时进行追查。

总之，中安源可信网络安全产品体系通过主动加密、事前控制、事中监视、事后审计四种手段相结合，可以达到外部入侵进不来、非法外接出不去、内外勾结拿不走、拿走东西看不懂的效果，有效防止机密敏感信息的泄漏，为企事业单位构建了一个可信可控的内网，确保“一切尽在掌控之中”。