1、背景分析
1）、網(wǎng)絡(luò )安全核心已經(jīng)從“外網(wǎng)”轉向“內網(wǎng)”。如今的安全部署有個(gè)誤區，一提到網(wǎng)絡(luò )安全問(wèn)題，人們總是習慣于傾向局域網(wǎng)外部入侵的防御，強化出口處安全設備如防火墻的部署和優(yōu)化等，卻往往忽視了來(lái)自?xún)炔烤W(wǎng)絡(luò )的安全威脅。從目前的情況看，網(wǎng)絡(luò )威脅絕大部分是來(lái)自?xún)染W(wǎng)，據美國CSI/FBI計算機安全調查的數據，雖然來(lái)自?xún)炔康墓粽伎偣舸螖档?2％，但是破壞力卻是外網(wǎng)攻擊的10倍以上。
2）、當前安全建設所面臨的挑戰。今天的安全產(chǎn)品和技術(shù)，既成熟又不成熟，成熟的是相對獨立的幾個(gè)方面，比如防病毒和防火墻，不成熟表現在缺乏整體安全解決方案，盡管部署了防火墻、防病毒和IDS等安全產(chǎn)品，但面臨嚴重的網(wǎng)絡(luò )攻擊時(shí)依然損失慘重。因為每一種安全產(chǎn)品和技術(shù)看到的只是局部安全問(wèn)題，缺乏安全管理和集中調度，就像盲人摸象，只是看到了問(wèn)題的一角，而沒(méi)有看到問(wèn)題的全部。
綜上所述，目前傳統的安全解決方案不能滿(mǎn)足“全網(wǎng)安全”形勢下的網(wǎng)絡(luò )安全需求，安全技術(shù)必須隨著(zhù)網(wǎng)絡(luò )的發(fā)展，不斷完善和發(fā)展。從單機孤立、分散安全向集成化、立體化安全機制發(fā)展是安全技術(shù)發(fā)展的必然趨勢。
2、神州九天Coboao內網(wǎng)安全管理系統概述
Coboao內網(wǎng)安全管理系統是神州九天科技發(fā)展有限公司自行研制開(kāi)發(fā)的新一代軟硬結合內網(wǎng)安全管理系統，通過(guò)ASIC芯片技術(shù)、SDS自防御系統、接入控制、流量整形、文檔加密系統（DEMS）等多種領(lǐng)先技術(shù)解決了當今網(wǎng)絡(luò )的“體系安全”問(wèn)題。幫助用戶(hù)應對來(lái)自網(wǎng)絡(luò )的風(fēng)險和挑戰。
功能體現：
SDS網(wǎng)絡(luò )管理平臺，統一網(wǎng)絡(luò )安全管理，防止網(wǎng)絡(luò )中的威脅擴散。
基于用戶(hù)端區分內外網(wǎng)、上下行的細粒度流量控制；
審計和控制上網(wǎng)行為，實(shí)時(shí)追蹤記錄；
審計和控制外發(fā)數據內容，防止資料外泄；
異常數據自動(dòng)監測，異常終端自動(dòng)隔離處理；
減少用戶(hù)因互聯(lián)網(wǎng)活動(dòng)所帶來(lái)的法律責任風(fēng)險；
優(yōu)化使用IT資源，包括帶寬和計算機資源；
實(shí)施因特網(wǎng)訪(fǎng)問(wèn)和應用程序使用策略；
合理配置策略，禁止網(wǎng)絡(luò )濫用，提高工作效率。
3、系統組成
安全網(wǎng)關(guān)：內網(wǎng)安全管理的核心，中央處理芯片內嵌了核心處理程序，避免了純軟件產(chǎn)品對內網(wǎng)安全監控數據遺漏、降低網(wǎng)絡(luò )性能的缺點(diǎn)，確保內網(wǎng)安全管理的全面、可靠以及高性能的運轉。通過(guò)專(zhuān)用的ASIC硬件處理芯片對全部數據包進(jìn)行分析和執行匹配的安全策略，并在分析、處理后存儲到日志記錄服務(wù)器。
控制臺：提供可視化圖形控制界面，是管理員配置管理策略和實(shí)施監控的窗口，可實(shí)現分級管理。提供對屏幕日志、訪(fǎng)問(wèn)日志、系統日志等查詢(xún)，生成統計報表，提供安全策略配置管理環(huán)境，并對每個(gè)登陸控制臺的管理員操作行為進(jìn)行記錄。
日志記錄服務(wù)器：提供監控日志和管理策略的存儲。存儲用戶(hù)信息資料，記錄終端的軟硬件資產(chǎn)、帶寬使用日志、屏幕日志、訪(fǎng)問(wèn)日志、系統日志和管理員操作日志等數據。負責安全策略的存儲，并與安全網(wǎng)關(guān)配合進(jìn)行策略控制。
安全客戶(hù)端：提供內網(wǎng)接入和安全控制，在設備接入內網(wǎng)的時(shí)候對其合法性及安全狀態(tài)進(jìn)行檢查，僅允許滿(mǎn)足安全要求的合法設備接入內網(wǎng)；安全客戶(hù)端還實(shí)時(shí)采集計算機軟硬件信息，發(fā)生變化及時(shí)報警。執行安全進(jìn)程管理、窗體管理、軟件下發(fā)以及系統監控等策略。
4、系統功能
4.1 SDS（Self-Detection-System）自防御系統
自保護網(wǎng)絡(luò )系統采用集成化網(wǎng)絡(luò )安全防衛思想，遵循P4DR安全模型，應用集成防衛的理論與技術(shù)，采用分布式的體系結構，通過(guò)安全策略的設計及集中的安全控制管理平臺，提供一套功能強大的安全管理控制系統；在降低網(wǎng)絡(luò )安全管理成本的同時(shí)，能有效的保護網(wǎng)絡(luò )和主機系統的安全，防止內部威脅計算機影響整個(gè)內部網(wǎng)絡(luò )。
SDS自防御系統實(shí)現了如下幾大功能：
1）強大的智能平臺
SDS安全解決方案能為網(wǎng)絡(luò )提供高智能、高可用性、高安全性的安全平臺，由他融合、指揮、調度以及保護現有網(wǎng)絡(luò )，使網(wǎng)絡(luò )自身具備免疫能力，自動(dòng)智能化的控制中心，將現有網(wǎng)絡(luò )中多種的防護措施有機的融合在網(wǎng)絡(luò )中，采用“偵測-隔離-治愈-恢復”智能處理安全機制，能夠有效的防御網(wǎng)絡(luò )威脅，保證網(wǎng)絡(luò )24小時(shí)運行；使網(wǎng)絡(luò )和安全完美的結合形成立體的安全網(wǎng)絡(luò )。
2）基于用戶(hù)節點(diǎn)的帶寬控制
從用戶(hù)接入點(diǎn)進(jìn)行控制網(wǎng)絡(luò )帶寬，真正做到根據每個(gè)單獨用戶(hù)的上、下行帶寬進(jìn)行限制。網(wǎng)絡(luò )管理員能非常方便地對所配置的帶寬限值進(jìn)行更改，同時(shí)可設置多級告警機制，當用戶(hù)帶寬占用超過(guò)預先設置得閾值時(shí)，系統對用戶(hù)進(jìn)行自動(dòng)提示，用戶(hù)桌面上將顯示警告信息或讓客戶(hù)端強制下線(xiàn)，或干脆將用戶(hù)限制在指定閥值帶寬內上網(wǎng)。
3）實(shí)時(shí)監控網(wǎng)絡(luò )的異常情況
能實(shí)時(shí)監測主機流量，實(shí)時(shí)監控用戶(hù)帶寬，圖形化顯示當前每個(gè)在線(xiàn)用戶(hù)的上傳、下載帶寬使用情況，給管理員合理分配、控制用戶(hù)帶寬提供第一手的信息。
4）可限制用戶(hù)使用有意或無(wú)意的不良程序
提醒或強制用戶(hù)安裝必要的殺毒軟件。有意或無(wú)意的不良程序會(huì )對網(wǎng)絡(luò )資源造成意想不到的嚴重后果，集中控制能最有效的強制此種行為。同時(shí)可檢測用戶(hù)是否安裝某些指定的殺毒軟件，若沒(méi)有安裝，管理員可根據情況設置系統去提示用戶(hù)或強制用戶(hù)進(jìn)行安裝。
5）自動(dòng)軟件分發(fā)功能
系統可自動(dòng)分發(fā)指定的軟件，如殺毒軟件，Windows補丁，或其他應用程序。系統提供客戶(hù)端自動(dòng)升級。
6）實(shí)時(shí)的在線(xiàn)通知功能
本系統克服了傳統網(wǎng)絡(luò )系統缺乏用戶(hù)通知功能，本系統提供給網(wǎng)絡(luò )管理員實(shí)時(shí)發(fā)布通知的手段，只要用戶(hù)上線(xiàn)，可馬上收到管理員所發(fā)布的通知。還有對存在危險的計算機進(jìn)行時(shí)實(shí)的威脅提示，幫助用戶(hù)解決問(wèn)題。
4.2 網(wǎng)絡(luò )行為審計功能
4.2.1主機行為審計功能
實(shí)時(shí)監視用戶(hù)進(jìn)程
實(shí)時(shí)記錄并管理用戶(hù)主機的進(jìn)程
應用程序使用審計
記錄用戶(hù)使用應用程序的開(kāi)始時(shí)間、結束時(shí)間、應用程序名稱(chēng)、機器名稱(chēng)、使用者。該功能也可以作為網(wǎng)絡(luò )聊天（MSN、QQ、ICQ、YAHOO MESSENGER、網(wǎng)易泡泡）審計；
4.2.2流量及帶寬的監測管理功能
實(shí)時(shí)顯示各個(gè)監控對象的網(wǎng)卡實(shí)時(shí)流量。并可以基于每個(gè)客戶(hù)終端做流量控制。
安全控制臺流量監測界面圖
4.2.3網(wǎng)絡(luò )行為管理功能
可以通過(guò)指定各種策略限制用戶(hù)對某些網(wǎng)站的訪(fǎng)問(wèn)。
4.2.4主機行為管理功能
可以通過(guò)指定各種策略限制用戶(hù)使用某些應用程序。
4.2.5日志查詢(xún)功能
可以按多種條件對各種日志做查詢(xún)，比如用戶(hù)系統日志，網(wǎng)絡(luò )日志和郵件日志。
4.2.6用戶(hù)權限及角色管理功能
除最高管理員admin 外，其他管理員權限都由最高管理員集指派。
4.2.7即時(shí)消息發(fā)送功能
可以向指定用戶(hù)發(fā)送文字信息。
4.2.8分發(fā)功能
管理員可以分發(fā)任意的程序、文檔到客戶(hù)機，并選擇是否讓其自動(dòng)執行。
4.3資產(chǎn)管理功能
IT資產(chǎn)管理解決方案幫助企業(yè)減少管理各種不同設備的成本。方便的跟蹤、管理所有IT資產(chǎn)，如硬件信息、安裝的軟件包、操作系統配置，以及它們整個(gè)生命周期。所有數據規范、統一、安全的存儲在一個(gè)中央數據庫中，并能夠從一個(gè)方便的Web控制臺獲得詳細的資產(chǎn)信息報告。
4.4 文檔加密系統（DEMS）
DEMS采用國際最先進(jìn)的雙緩沖底層文件驅動(dòng)過(guò)濾技術(shù)，通過(guò)計算機底層操作系統實(shí)現對計算機本身及外圍存儲設備的數據進(jìn)行嚴格的加解密控制。DEMS采用透明加解密技術(shù)，在不改變用戶(hù)原有工作習慣和工作流程的情況下，對指定的應用程序和指定后綴的文件進(jìn)行自動(dòng)加解密密處理，不需要人工輸入加解密密碼。同時(shí)，通過(guò)靈活的加密策略的配置，完全達到用戶(hù)對文件安全性和管理人性化的雙重要求。
4.4.1主要功能
DEMS不但要在所采用的底層技術(shù)層面領(lǐng)先于國內同類(lèi)產(chǎn)品，接近國際先進(jìn)水平，同時(shí)要在安全管理和部署應用層面，更加符合中國的國情，滿(mǎn)足“安全、穩定、高效和易用”的企業(yè)安全要求。
DEMS的主要功能包括：
1) 文件的透明加解密。所有的文件加密和解密操作都在系統后臺自動(dòng)進(jìn)行，不改變原有的工作習慣和工作方式。
2) 文件的手工加解密。對于安裝加密軟件之前已有的文件，可以進(jìn)行批量加密處理。
3) 安全日志管理。對于所有不安全的文件解密行為進(jìn)行記錄，以備泄密事件發(fā)生后的追溯。
4) 明文出口管理。在獲得授權的前提下，除手工解密外，同時(shí)提供郵件發(fā)送解密、即時(shí)通訊（如QQ、MSN）發(fā)送解密、拷貝時(shí)自動(dòng)強制解密等多種文件自動(dòng)解密出口，滿(mǎn)足企業(yè)頻繁的對外交流的需求。
5) 脫機管理。保證合法的離線(xiàn)用戶(hù)能夠正常打開(kāi)加密文件。
6) 與現有管理系統的集成。緊密集成企業(yè)的OA、PDM和ERP系統，保證企業(yè)各種數據的安全和暢通。
7) 移動(dòng)存儲介質(zhì)的加密管理。自動(dòng)拒絕未經(jīng)授權的U盤(pán)、移動(dòng)硬盤(pán)等存儲介質(zhì)拷貝企業(yè)的文件數據。
8) 剪貼板控制。加密文件的內容只能在受到加密控制的應用程序之間相互拷貝，無(wú)法拷貝到非受控應用程序中。
9) 截屏控制和打印控制管理。為防止通過(guò)截屏操作截取機密文件的信息，不但限制了截屏鍵（PrtSC鍵）的使用，同時(shí)允許自行設定和添加策略，禁止任何一種非法程序的運行。同時(shí)，可以對本地打印機的使用進(jìn)行控制。
4.5輔助功能
安全客戶(hù)端系統升級
可自動(dòng)對安全客戶(hù)端進(jìn)行升級
數據自動(dòng)清除
根據用戶(hù)設定的數據保留時(shí)間和硬盤(pán)的利用率進(jìn)行數據的自動(dòng)清除。如果用戶(hù)設定三個(gè)月的數據保留時(shí)間，系統將清除三個(gè)月以前的數據，如果硬盤(pán)不能保存三個(gè)月的數據，則根據硬盤(pán)使用情況進(jìn)行提前清除，保證系統正常運轉。
數據導出
如果用戶(hù)需要備份較早的數據，則用戶(hù)可以在界面上導出較早的數據，此數據的安全性由用戶(hù)自行維護。
5.強大的冗余備份能力
Coboao內網(wǎng)安全管理系統具備強大的冗余備份能力，能夠滿(mǎn)足不同安全保障，網(wǎng)絡(luò )穩定要求的用戶(hù)需求。在同采用雙電源的保障方式同時(shí)，還采用以下四種安全部署模式：
1）一機一服；
2）雙機備份；
3）一機雙服；
4）雙機雙服；
總結
如今，網(wǎng)絡(luò )安全核心已經(jīng)從“外網(wǎng)”轉向“內網(wǎng)”，網(wǎng)絡(luò )安全的重心包括數據安全、桌面安全、環(huán)境安全、應用安全、行為安全等多個(gè)方面。相比較來(lái)說(shuō)，內網(wǎng)安全更復雜，需要從多方面、全方位的解決安全問(wèn)題，因此內網(wǎng)體系安全將是今后網(wǎng)絡(luò )安全的核心。
神州九天率先提出內網(wǎng)“體系安全”概念，并通過(guò)ASIC芯片技術(shù)、SDS自防御系統、接入控制、流量整形、文檔加密系統等國際領(lǐng)先技術(shù)，配合強大的管理系統，構建了目前最穩定、最可靠的內網(wǎng)安全體系。
本站僅提供存儲服務(wù)，所有內容均由用戶(hù)發(fā)布，如發(fā)現有害或侵權內容，請
點(diǎn)擊舉報。
