單位內網安全管理解決方案(編輯修改稿)

　

【文章內容簡介】 信息，統一上報管理節點；上級管理節點的管理策略、命令、各種補丁或病毒庫升級文件統一下發下級管理節點。系統將來可根據實際需要在客戶端數量、管理層次和功能擴展上進行無縫平滑擴展。在同一級管理節點，可根據實際網絡拓撲情況，安裝多塊網卡，滿足對同級不同網段的管理。（拓撲圖） 系統部署時的硬件配置管理控制臺：管理服務器 1 臺:硬件需求：CPU 至強 或以上, 2*1G 內存單位內網安全管理解決方案9硬盤 146G SCSI 或以上軟件需求：操作系統 Win 2022 Server 或 Win 2022 Server數據庫系統 SQL Server 2022 終端節點加固 補丁自動分發和管理 北 信源 補丁 中心(一 級 )補 丁 庫 分 類北 信源 補丁 管理 中心(二 級 ) 補 丁 增 量 導 入補 丁 測 試策 略 控 制推 拉 分 發 控 制流 量 控 制多 級 級 聯 控 制補 丁 分 發 檢 索 補 丁 自 動 識 別客 戶 端 策 略客 戶 補 丁 查 詢動 態 下 載轉 發 代 理報 表 中 心北 信源 補丁 管理 中心(二 級 ).. 客 戶 端自 動 測 試 組(真 實 環 境 )級 聯同 步級 聯同 步補丁監控和分發功能圖 利用北信源主機監控審計與補丁分發系統可徹底解決補丁問題，其具體實現如下：1．補丁策略制定包括補丁應用策略制定、補丁文件分發任務制定?？梢愿鶕蟀凑詹煌膮^域進行劃分，可按照 IP 地址、部門、操作系統、用戶自定義等方式進行區域劃分。具體的補丁策略制定：具體可支持定時、定周期、分類、分部門、分范圍、客戶機狀態和用戶自定義等策略。補丁策略分發：具備詳盡的補丁分發策略，補丁可以定時、定周期、分類、分范圍、分部門、分范圍、客戶機狀態和用戶自定義等進行分發。補丁文件任務制定：針對特定的一個補丁或多個補丁，對指定計算機或者計算機網絡進行補丁自動分發安裝。補丁中心將網絡客戶端分類，設置測試類客戶端，補丁在測試類機器上經過嚴格測試后，再正式對其他類網絡機器進行分發。單位內網安全管理解決方案10此外，內網安全管理系統還提供補丁下載流量控制功能，補丁管理中心區域管理模塊能夠對網絡不同網段、不同區域的終端補丁升級進行流量、數量控制，避免造成對網絡的流量影響，合理控制網絡帶寬。實例圖2． 補丁下載檢測和增量式導入對于物理隔離的內部網絡，其內部的補丁升級服務器中的補丁數據必須從外部導入，巨大的補丁數據庫使得每次補丁導入相當煩瑣。為此，北信源使用增量式補丁分離技術，在外網導出補丁時，可分離出內網已經安裝的補丁，只導入內網尚未安裝的系統補丁，即僅對內網的補丁進行“增量式”的升級，以提高效率。當有新的計算機補丁公布可以下載后，北信源公司由專門的人員在第一時間內獲得，并進行相應的分析，更新補丁索引文件。系統擁有專門的外網補丁下載服務器，能根據索引自動下載新增的計算機補丁，補丁校驗功能對所下載的補丁進行校驗，保證計算機補丁的可靠性、完整性、安全性。補丁在導入時并具有病毒檢測功能，保證導入到補丁庫中的補丁不被病毒感染。3．補丁安全自動測試單位內網安全管理解決方案11**單位的環境中，可能會包含特殊的應用或特殊的軟件版本，在這些環境中，有時會出現打補丁后系統或應用異常的情況，所以在大規模補丁分發前需要進行真實環境的補丁測試。北信源系統獨創了真實環境閉環測試技術，具體的流程是首先由網管選定某些計算機作為測試計算機作為測試組，每次補丁導入后內網后，首先自動分發至這些選定計算機進行新補丁的安裝測試，從而自動地進行非模擬性自動測試。如果補丁安裝后對測試計算機未產生影響，被測試計算機能正常運行，網管員便可根據相應得策略對網絡內的計算機進行大面積的推送。此技術可以很好的減輕網管的測試工作量，并提高補丁安裝的安全性。補丁自動測試圖4．補丁庫自動分類系統對存放到服務器上的計算機系統補丁能進行相應的分析，自動得出補丁屬性、類型和與之相關的補丁說明，并在網頁中進行清晰明了的顯示?？梢苑奖愎芾砣藛T根據相應的需求，高效快捷定義補丁分發策略，及時的針對不同的系統和需要分發計算機補丁。系統同時提供管理員自定義補丁類別的補丁管理方式，如果需要也可由相關的管理人員自行設定相應的自定義補丁類別以符合其管理的需要。5． 補丁庫的級聯和同步系統可以針對補丁進行級聯式的分發和管理，在級聯級數沒有任何限制并在三級的基礎上進行無縫平滑擴展。可定期進行同步校驗，也可自主設定同步校驗周期和時間。在有新補丁導入時，也可以自動觸發與下級服務器間的同步操作。所有的同步過程均可自動完成，上級服務器可以了解下級服務器補丁庫是否同步成功。單位內網安全管理解決方案126．補丁安裝檢測、自動分發補丁**單位的網絡管理人員通過本模塊全面檢測網絡系統終端補丁的安裝狀況，并通過此模塊，對沒有安裝補丁的設備進行遠程補丁安裝,將最新補丁升級包及時分發到終端計算機，并提示安裝修補，在客戶端有明顯提示，通知用戶打補丁。系統可以對客戶端安裝的系統的版本，IE 版本的補丁安裝情況進行自動探測和維護（客戶端計算機的補丁安裝情況包括 Windows、Office、IE、微軟媒體播放器等） ，自動搜集客戶端系統資料和安裝補丁資料，以根據客戶端系統的實際狀況自動分發所需的補丁。7．補丁推送安裝當系統檢測到有客戶端未打補丁時，可對漏打的補丁進行推送式的安裝。同時，通過推送安裝，也可以為客戶端安裝應用軟件。補丁推送分發可以跨網段，跨 VLAN,補丁分發支持斷點續傳功能。補丁下發過程中，如遇到特殊事件造成網絡中斷，則在下次網絡連通時通過校驗得出已傳輸的數據和斷點位置，進行續傳。8．系統補丁報表監控程序將網絡客戶端補丁信息上報管理中心后寫入數據庫，在 WEB 管理平臺可進行補丁報表察看，統計網絡客戶端補丁安裝狀況。9．補丁下載流量控制系統可以利用多種方式進行下載流量控制：系統能夠根據網絡的負載情況自動調整分發補丁時所占的網絡帶寬和并發連接數；根據手動設置允許的帶寬或服務器并發連接數及每個連接所允許使用的帶寬；系統同時支持客戶端轉發代理補丁下載，以減少網絡帶寬流量，提高效率。10．服務器端補丁查詢客戶端軟件實時監控客戶端系統漏洞及補丁安裝情況，服務器端補丁查詢補丁可根據補丁名稱、待查詢 IP 范圍、操作系統、待查區域，查詢時間或其它條件對區域網絡范圍內的計算機終端進行補丁安裝狀況查詢，通過網管設定的單位內網安全管理解決方案13查詢條件，能快速的獲知所查詢補丁的安裝情況（如補丁發送是否成功，補丁安裝是否成功，補丁是否已被安裝等） ，以保證補丁及時的安裝。11．客戶端網頁查詢補丁安裝信息因為很多用戶習慣通過訪問微軟的 Update 網頁，檢查自己漏打的補丁，并進行下載安裝。作為物理隔離的網絡，內網中的用戶無法訪問此網頁，因此從用戶的習慣角度出發，內網中也應該有類似的網頁，以便用戶訪問和獲知本機補丁安裝情況，進行補丁下載安裝。安裝了系統客戶端的計算機可以通過訪問內網的特定網頁，對本機所缺少的計算機補丁進行查詢，查詢結果在網頁上進行顯示，計算機用戶根據需要進行安裝。12． 新（長時間關機）客戶端入網先打補丁對于**單位網絡，網絡中可能會有網絡攻擊型病毒，在掃描終端漏洞，當未安裝補丁的終端接入網內時，可能會立即感染病毒，并成為新的病毒攻擊源。因此新接入內網的終端，應只能和補丁管理服務器通訊，不能和其它設備進行通訊，以免感染病毒。系統具備先進的判別技術，對于新機器或長時間關機的計算機，在其進入網絡時，能快速的發現并識別此類計算機，對這類計算機發送相應的提示，如提醒用戶下載并安裝計算機補丁，提醒補丁下載的位置和計算機用戶下載并安裝所需的計算機補丁。也可對這些計算機進行補丁強制推送，安裝計算機所缺少的補丁。系統可保證此新（長時間關機）的客戶端剛接入網絡時，不與網絡中除補丁服務器外其它計算機的通訊，只在上網后首先進行補丁安裝工作，只在補丁安裝完成后，才開放其與網內其它計算機的通訊。 網管可統一配置的主機防火墻（網管控制包過濾）蠕蟲病毒均是通過一定的端口進行傳播和發包，如果網管可以統一控制網絡中計算機的端口，關閉病毒使用的端口，進行端口加固，就可以有效阻止這些病毒的傳播和破壞。系統具備可由網管根據需要統一配置的客戶端主機防火墻，可按照策略控制客戶端的特定端口的連接，包括禁用（開啟）指定的端口，禁止 Ping 入（出），設定 IP 區域訪問控制，進行包過濾控制等，也可禁止使用代理服務器，系統不管如何設置包過濾規則，均不會造成維系管理服務器對客戶機管理的通信無法進行。單位內網安全管理解決方案14當某些客戶端臨時離開內部網絡安裝到其它網絡時，客戶端軟件的包過濾功能和禁止使用代理服務器功能可根據管理員的預設置策略自動關閉或繼續工作。利用此功能可實現： 1. 端口控制：? 禁用填充項中指定端口，開放其它端口；? 開放填充項中指定端口，禁用其它端口；? 禁用填充項中指定端口；? 開放填充項中指定端口；? 端口可按照范圍進行填寫。2. ICMP 協議控制? 禁止 ping 入? 禁止 ping 出? 協議雙向禁止3. IP 地址訪問控制? 只允許填充項中 IP 地址訪問自己，禁止其余 IP 地址訪問。? 只允許自己訪問填充項中 IP 地址，禁止訪問其余 IP 地址。單位內網安全管理解決方案15 弱口令監控目前很多病毒已經可以“猜”出用戶機的口令，如果計算機使用弱口令，病毒將會通過這些弱口令獲得計算機的控制權，并進行傳播。這類病毒的傳播行為靠殺毒軟件或者補丁加固均無法進行控制。系統可以檢查開機密碼是否是弱口令，以保障系統不因為弱口令被病毒和黑客攻擊。 用戶權限變化監控網絡終端的權限一般不會被用戶檢查，正常的客戶端用戶權限極少改變，但是很多病毒和黑客的攻擊很多是利用計算機上權限的變化實現的，計算機上權限的變化造成的危害往往是致命的，因此十分有必要對終端權限的變化進行監控，以告知終端用戶和網絡管理人員。利用此項功能可實現：1. 當系統用戶系統權限發生改變時，進行上報和客戶端提示；2. 當系統用戶系統組權限發生改變時，進行上報和客戶端提示；3. 當系統用戶增加時，進行上報和客戶端提示；4. 當系統用戶減少時，進行上報和客戶端提示；5. 當系統用戶組增加時，進行上報和客戶端提示；6. 當系統用戶組減少時，進行上報和客戶端提示； 關鍵進程加固設定關鍵進程，對關鍵進程進行保護，如果出現未響應進程和意外退出等現象，被加固的進程將自動進行（如退出、退出并重起等）處理?？梢员ＷC查詢系統的正常運行。單位內網安全管理解決方案16關鍵進程加固 注冊表加固系統可屏蔽選定用戶計算機的一些程序進程對注冊表的使用，通過該策略可以有效的防止違規進程對用戶注冊表的破壞。 注冊表保護策略單位內網安全管理解決方案17 終端全面管理對于成熟的網絡管理來說，靜態的 IP 地址管理以及成為一種趨勢，IP 地址的實名化管理和綁定成為必要。實名化的管理在網絡事件發生時便于進行快速的事件定位，縮短故障排除時間。進行 IP 地址綁定是為了防止他人非法盜用他人 IP 地址以達到個人目的，并逃避責任。 IP 地址管理?針對已經分配的 IP 地址采用實名化管理，便于快速事件定位；計算機用戶列表IP 地址占用列表單位內網安全管理解決方案18?針對沒有分配的 IP 地址能夠自動發現非法占用，并進行處理；阻斷未分配的 IP 地址 IP、MAC 地址綁定 通過策略配置快速的實現 IP、MAC 綁定，綁定后，對私自修改 IP 計算機進行地址恢復，或斷網，同時上報服務器保存。IP、MAC 綁定示意圖私自修改 IP 的違規查詢 禁止修改網關、禁用冗余網卡如果終端裝有雙網卡，可使用“IP 與 Mac 綁定策略”中的“禁用冗余網卡”功能來實現對冗余網卡的禁用。選中此項功能，則只保留與區域管理器通信的網卡，禁用其他的網卡。單位內網安全管理解決方案19 資產管理實際使用中，可能會出現客戶端用戶隨意拆卸網絡終端硬件的現象，這會給網絡終端的管理帶來混亂，甚至可能造成內網網絡信息網硬件設備資產的流失。桌面計算機安裝客戶端程序后，客戶端程序會自動收集當前計算機的各種硬件信息，包括 CPU、內存、硬盤、網卡 MAC 地址、主板芯片、主板上的板卡等主要硬件信息。信息收集完成后自動上報給 VRVEDP 服務器，保存在后臺數據庫中，管理員有需要的時候只需要登陸管理平臺，選擇查詢條件就會生成管理員需要的硬件資產報表，同時還可以導出 Excel 報表，并可對其變化報警。單位內網安全管理解決方案20終端資產示意圖報表生成示意圖 終端桌面管理 流量管理和控制蠕蟲病毒和 BT 下載等行為在很多情況下會嚴重占用網絡帶寬，造成網絡的擁塞甚至癱瘓，對此可利用本系統進行流量的管理與監控。 主要功能： 1. 流量采樣閾值設定：用戶自主設定采樣閾值，當流量（含出、入或總流量）超過一定限度并持續一定時間后，進行有關信息上報，防止上報數據過多給網絡帶來負擔。2. 上報的當前流量進行匯總，對當前的流量進行時實排序，以便網絡管理人員進行快速分析是