[分享]信息安全保护工具-非法外联监管系统

竹林踏雨

<p><strong>1 背景</strong>
2 u' t. O1 w* `/ q, M3 L( `3 S/ f) s                <br/><br/>　　随着政府上网工程的不断开展，我国计算机及网络泄密案件也在逐年增加，我国的信息安全现状是比较严峻的。一直以来，安全防御理念局限在常规的网关级别（ 防火墙等）、网络边界（ 漏洞扫描、安全审计、防病毒、IDS） 等方面的防御， 重要的安全设施大致集中于机房、网络入口处，在这些设备的严密监控下，来自网络外部的安全威胁大大减小。但是在实际情况下，来自网络内部的安全威胁却是多数网络管理人员真正需要面对的问题。为保证涉密网络的安全运行，在涉密网络和公共信息网络之间实施物理隔离，是当前涉密网络采取的主要安全保密措施。物理隔离能够在涉密网络和公共信息网络之间提供一条安全边界，目的是建立一个可信可控的内部安全网络。<br/>　　在目前网络管理工作中，工作量最大的部分来自客户端的安全管理部分，对网络的正常运转威胁最大的也同样是客户端安全管理，经常暴露出一些安全隐患。我们知道，内网的客户端构成了内网90％以上的组成，当之无愧地成为内网安全的重中之重。实践证明，单纯的物理隔离手段还不能够完全将内部网络与外部网络隔离开来，对内网客户端机器使用、管理还存在以下安全隐患：<br/>非法外联<br/>◆ 内网客户端机器内外网线交叉错接；<br/>◆ 内网客户端机器使用拨号、无线网卡、双网卡等方式接入外网；<br/>◆ 方便携带的笔记本电脑按入内部网络使用，事后又接入外部网络使用；<br/>　　这些人为故意或无意的疏忽，在内网与外网间开出新的连接通道，外部的黑客攻击或者病毒就能够绕过原本连接在内、外网之间的防护屏障，顺利侵入非法外联的计算机，盗窃内网的敏感信息和机密数据，造成泄密事件，甚至利用该机作为跳板，攻击、传染内网的重要服务器，导致整个内网工作瘫痪。<br/>计算机外部设备不适当使用 <br/>◆ 内网计算机上安装、使用可移动的存储设备如软驱、光驱、USB接口的闪盘、硬盘、光盘；<br/>◆ 内网计算机上使用1394口、红外线口、COM口等；<br/>通过移动存储介质间接地与外网进行数据交换，导致病毒的传入或者敏感信息、机密数据的传播与泄漏。 <br/>　　这些问题可以归结为非法外联行为，即内网客户端机器在内网与外网之间建立了一个直接的或间接的联系，破坏了物理隔离的秩序。</p><p><strong>2 好域安非法外联监控管理解决方案</strong>
9 p; E" r- F9 O4 q                <br/><br/>　　内网客户端存在着许多与外界联系的通道，要维护内外网的物理隔离效果，重点是切断内网客户端与外网联系的途径。对在线（正在内网使用）的客户端，根据管理策略要求，灵活地开启或关闭每个客户端的各种外联途径，同时，对离开了内网的移动设备，关闭其一切外联方法，强制性地使其成为“信息孤岛”，真正维护内网的封闭性。<br/>　　为达成上述目标，重要的是选择管理的着力点，也决定了对客户端管理的成效。集中控制管理即管理的着力点放在一个中心控制器上，优点是管理集中，不必在客户端上安装管理程序，但势必要以内网网络的资源消耗为代价，管理的效果会大大减弱，甚至显得无能为力。<br/>　　经过两年多的不断探索和尝试，深圳市好域安科技有限公司研发出一套独具特色的内网安全管理软件—好域安非法外联监控管理系统。该系统采用C/S架构，把内网客户端管理的着力点放在驻留在客户端计算机上的管理程序上，这个程序称为好域安非法外联监控客户端软件。由客户端软件管理内网安全诸多相关事宜，管理的策略、管理的方法由一个中心控制器—好域安非法外联监控管理服务端来管理下发，服务端软件同时提供系统的各种日志，方便事后查询审计。<br/><br/><strong>3 好域安非法外联监控管理系统功能</strong><br/><br/>◆ 实时配发外联管理策略；<br/>◆ 实时开启、关闭客户端各种网络连接，如拨号、双网卡、无线网卡等；<br/>◆ 实时开启、关闭客户端各种外部设备，如软驱、光驱（包括刻录机）、USB盘、红外线传输、1394端口、打印口（LTP、USB）、串口（COM）以及笔记本电脑使用的PCMCIA卡接口等；<br/>◆ 根据策略要求，实时阻断客户端外联行为；<br/>◆ 实时显示在线客户端、非在线客户端；<br/>◆ 实时扫描局域网内所有计算机，能够区分是否安装客户端；<br/>◆ 禁止局域网内未安装客户端的计算机与安装了客户端的计算机间通信；<br/>◆ 实时非法外联报警；<br/>◆ 实时非法入侵报警；<br/>◆ 详细的客户端登录、外联、入侵日志，提供查询审计工具；可以将日志导出为EXCEL报表；<br/>◆ 实时查看客户端的软硬件配置信息；<br/>◆ 实时统计已安装客户端数量、在线客户端数量、非在线客户端数量；</p><p><strong>4 好域安非法外联监控管理系统特色</strong><br/><br/>◆ 适用于主流的windows操作系统，服务端管理软件对系统无特殊要求，部署更为灵活、简单；<br/>◆ 外联管理策略全面细致；<br/>◆ 可以管理不同网段；<br/>◆ 管理粒度更加细化。客户端在线管理策略与非在线管理策略分开设置；可以统一配发管理策略，也可以针对每一个客户端配发特色管理策略；<br/>◆ 客户端离线后的外联行为将会被详细记录；<br/>◆ 客户端可以查看当前自身受控管理策略；<br/>◆ 详细的日志记录，方便审计管理；<br/>◆ 系统管理员身份认证与审计管理员身份认证分开设置；<br/>◆ 占用系统资源低，占用网络资源少，系统运行更为稳定可靠；<br/>◆ 对物理隔离的网络，能切实保证其隔离度；</p><p><strong>5 好域安非法外联监控管理系统技术架构</strong></p><p>　　好域安非法外联监控管理系统采用C/S技术架构，由客户端软件、服务端服务软件、服务端管理软件组成。<br/>系统结构图如下图一所示：<br/><br/>（图一 系统结构图）<br/><br/><img height="413" src="http://www.haoyuansz.com/images/feifa_02.jpg" width="540" alt=""/>
        </p><p>客户端软件架构如下图二所示：<br/><br/><br/><img height="681" src="http://www.haoyuansz.com/images/feifa_03.gif" width="554" alt=""/>
6 {$ {+ A) v" O2 v* E: Z        </p><p>（图二 客户端软件架构）<br/><br/><br/>服务器端软件架构如下图三所示：<br/><br/><img height="631" src="http://www.haoyuansz.com/images/feifa_04.gif" width="550" alt=""/>
                <br/><br/>（图三 服务器端软件架构）</p><p><strong>6 好域安非法外联监控管理系统部署</strong></p><p>服务器端软件系统安装<br/>　　服务器端软件用于网络集中监控管理，包括客户机安全策略、系统配置、硬件资源、日志审计、安全报警，可以选择网络中的任何一台电脑作为服务器端管理计算机，对计算机的配置要求：<br/>操作系统：WINDOWS NT/XP/2000/2003/2000server/2003server<br/>CPU：Pentium Ⅲ 或 赛扬1.0G 以上<br/>内存：256MB及以上<br/>硬盘空间：剩余空间至少2G 以上，建议采用30G 以上的硬盘。<br/>不需要安装任何支撑软件。<br/>特别说明：系统对硬件配置要求很低，一般情况下选择普通PC 作为控制台电脑即可。但监控在线机器越多，网络流量越大，硬件配置需要适当提高。</p><p>客户端软件系统安装<br/>　　客户端软件适用WINDOWS NT/XP/2000/2003/2000server/2003server 操作系统，不需要安装任何支撑软件，对计算机硬件没有特殊要求。客户端监控软件在每次启动系统时后台自动运行，未经管理策略允许无法强制删除、卸载、终止或关闭。</p><p><strong>7 好域安非法外联监控管理系统性能指标</strong></p><p>◆ 客户端内存占用少于5M<br/>◆ 客户端CPU利用率平均少于5%<br/>◆ 服务器内存占用少于20M<br/>◆ 服务器CPU利用率平均少于10%<br/>◆ 非法计算机发现报警延迟少于1分钟<br/>◆ 外法外联发现延迟少于1分钟</p><p><a href="http://www.haoyuansz.com">http://www.haoyuansz.com</a></p>