下载文档原格式
北信源内网终端管理问题解决方案-局域网解决方案计算机终端面临的安全问题一直以来，计算机安全防御一直局限在常规的网关、网络边界（防火墙、漏洞扫描、防病毒、IDS）等方面的防御，重要的安全设施大致集中于机房或网络入口处，来自网络外部的安全威胁确实可以大大减小。
相反，来自网络内部的计算机终端的安全威胁却是众多安全管理人员所普遍反映的问题。
近两年的安全防御调查也表明，政府、企业单位中超过80%的管理和安全问题来自终端，网络安全呈现出了新的发展趋势，安全战场已经逐步由核心与主干的防护，转向网络边缘的每一个终端。
终端问题解决方案网络接入的控制：在单位内部可能会出现外来笔记本接入的问题，可能会造成单位内部的涉密文件被窃取，引入病毒等严重后果。
北信源对于未经过认证的笔记本接入内网，采取未注册阻断功能。
如果有笔记本等移动计算机必须接入内网，需经过细致的802.1x认证，经过身份及安全双认证后才可以连接内网。
移动存储设备管理及安全审计管理：外来移动存储设备随意接入网络内终端同样可能会造成单位内部的涉密文件被窃取，引入病毒等严重后果，对于具有防火墙、网关等硬件防范的网络，移动存储介质在网络内部造成病毒感染是病毒在内网传播的主要方式。
北信源可以在驱动级总的禁用移动存储设备，在允许使用的情况下，还可以详细控制读、写等权限。
而且可以对USB设备加入认证标签，被加标签的移动存储设备只能够在指定策略对象中使用，其他机器无法识别。
病毒问题：计算机病毒是目前对网络及计算机安全最大的威胁，很多单位内部虽然已经统一配置网络版杀毒软件，但是仍存在终端升级不及时，版本不统一，管理不规则等问题。
北信源可以识别多种杀毒软件，显示其版本，对其升级，可以远程调用其启动，未安装杀毒软件认为安全等级低，阻止入网等多种方式和杀毒软件联动。
而补丁分发更是为了增强终端系统自身的健壮性，来抵御病毒及黑客攻击行为。
软件使用管理：办公环境的计算机不允许安装和使用与办公无关的软件。
中铁信托终端安全管理系统北京北信源软件股份有限公司2010年3月1目 录一、前言 (1)二、北信源内网安全管理系统解决方案 (4)1、功能实现方式 (4)2、安全监控强审计功能 (5)3、移动存储介质操作信息审计 (5)4、文件保护及访问审计 (5)5、桌面文件输出审计 (7)6、打印审计 (7)7、系统日志审计 (8)三、具体实施方案 (9)1、部署的主要组建 (9)2、实施建议 (9)3、系统部署时软硬件配置 (9)4、系统部署时网络环境准备 (9)一、前言中铁信托的网络已具有相当的规模，网络安全要求非常高。
目前网络中大量使用计算机及其它网络交换设备，客户端数量已经达到150台。
尽管已经物理隔离技术、安全网段划分、安全防护设施（如防火墙、防病毒软件）等方式保证自己的网络安全，但由于操作系统和人为因素，客户端自身确实存在着安全风险隐患，随着用户应用系统的不断增加，在网络中传播的病毒造成的风险和管理上的风险也会不断增加，由于单个计算机的病毒引起的损害可能传播到其他系统和主机上，引起网络瘫痪，造成重大损失。
系统对网络的安全稳定运行有较高的要求。
同时，其它桌面安全和桌面管理方面的问题也十分繁杂，而专网的网络维护管理人员十分有限，因此需要专业的内网安全安全管理系统。
在实际使用中，来自网络内部的安全威胁是我们网络管理人员真正需要面2对的问题：据统计结果，约80%的安全事件来自与网络内部；网络管理工作量最大的部分是终端安全管理部分，对网络的正常运转威胁最大的也同样是客户端安全管理。
由于大型网络一般结构较为复杂，用户使用水平参差不齐，而网络管理人员编制有限，往往难以面对数量重大的客户端事件。
因此，只有解决网络内部的安全问题，才可以排除网络中最大的安全隐患，北信源内网安全管理系统可以从技术层面帮助网管人员处理好繁杂的客户端问题。
《北信源的内网安系统》作为一套整体的客户端节点安全防护体系，遵循网络防护和客户端防护并重理念，针对网络安全管理人员在网络管理、防病毒管理、桌面管理过程中所面临的种种问题提供解决方案，强化对桌面的管理控制。
解决方案北信源内网安全管理系统解决方案v2.0北信源图综合文库嘿，大家好！今天咱们来聊聊北信源内网安全管理系统解决方案v2.0，这个方案可是经过了无数次的优化和升级，专为解决企业内网安全问题而量身定制的。
就让我们一起揭开这个神秘的面纱吧！一、问题背景企业内网安全一直是IT管理员们头疼的问题，各种病毒、木马、黑客攻击让人防不胜防。
如何确保内网安全，降低企业风险，提高工作效率，成为了当务之急。
二、解决方案概述1.网络隔离：通过物理或虚拟手段，将内网与外部网络进行有效隔离，降低外部攻击的风险。
2.访问控制：对内网用户进行身份认证和权限分配，确保只有合法用户才能访问内网资源。
3.数据保护：对内网数据进行加密、备份，防止数据泄露、篡改等风险。
4.安全审计：对内网用户行为进行实时监控和记录，便于事后追踪和分析。
5.安全防护：通过防火墙、入侵检测、病毒防护等手段，抵御外部攻击。
三、详细解决方案1.网络隔离（1）物理隔离：采用物理手段，如光纤、专线等，实现内网与外部网络的物理隔离。
（2）虚拟隔离：通过虚拟专用网络（VPN）技术，实现内网与外部网络的逻辑隔离。
2.访问控制（1）身份认证：采用双因素认证、生物识别等技术，确保用户身份的真实性。
（2）权限分配：根据用户角色、部门等信息，为用户分配相应的访问权限。
3.数据保护（1）数据加密：对内网数据进行加密存储和传输，防止数据泄露。
（2）数据备份：定期对内网数据进行备份，确保数据的安全性和完整性。
4.安全审计（1）实时监控：通过安全审计系统，对内网用户行为进行实时监控。
（2）日志记录：记录内网用户操作日志，便于事后追踪和分析。
5.安全防护（1）防火墙：部署防火墙，阻止非法访问和攻击。
（2）入侵检测：通过入侵检测系统，实时检测并报警异常行为。
（3）病毒防护：部署病毒防护软件，防止病毒、木马等恶意代码入侵。
四、实施方案1.项目筹备：成立项目组，明确项目目标、范围、进度等。
北信源终端安全管理解决方案北信源终端安全管理解决方案客户端安全管理概述客户端桌面安全管理技术的兴起是伴随着网络管理事务密集度的增加，作为网络管理技术的边缘产物而衍生的，它同传统安全防御体系的缺陷相关联，是传统网络安全防范体系的补充，也是未来网络安全防范体系重要的组成部分。
因此，客户端桌面安全管理技术无论在现在还是未来都应当归入网络安全产品体系之列。
客户端桌面安全管理强化了对网络计算机终端的控制，对计算机终端的管理包括：资源资产、终端安全策略、桌面风险控制、补丁分发、终端运行状态监控以及终端涉密审计等。
客户端桌面安全管理系统提供了防火墙、IDS、防病毒系统、专业网管软件所不能提供的防护功能，对它们管理的盲区进行监控，扩展成为一个实时的安全监控系统，并能够同其它网络安全设备进行安全集成和报警联动。
客户端桌面安全管理技术近几年来逐渐被网络管理者和机构管理决策者们所重视。
对于那些机器数量庞大，几百台甚至几千、几万台设备终端的网络，网络管理人员面临的不仅仅是处理繁杂的终端安全管理事务，还要从事基础的网络运行维护。
2003~2004年，“冲击波”、“震荡波”在互联网、企事业网络猖獗传播的时候，也正是网络管理人员忙于对众多计算机进行病毒查杀、升级操作系统补丁的时候，同时爱情后门变种病毒在网络中此起彼伏的传播，可谓让网络管理人员费尽脑力。
国家安检、军机、政务等涉密机构部门也面临着内务专网中的客户端用户进行不规范或违规操作所带来的危害威胁，如黑客入侵、病毒入侵、资料泄密等危险性行为。
总体上，对于客户端桌面安全管理的要求要根据用户自身的需求出发，不同的用户具有不同的侧重点。
本文对该类产品的用户进行细化：①行业应用按照网络应用存在的行业进行划分，如电信、金融、政府、能源、院校、媒体、交通、以及大型企业等集团级企业，这些用户存在着自上而下行业应用广域网络，特点在于网络终端数量大、操作人员水平层次不齐、管理难度高。
②规模层次按照对计算机数量的密集程度、信息化应用程度高低进行划分，如经济发达地区企、事业用户（大、中城市），信息化应用水平要求高的行业（金融、电信、税务、电力）等，这些用户的计算机数量大、应用程度高。
![[精编]北信源内网安全解决方案](https://img.taocdn.com/s1/m/3fad2fe8a26925c52cc5bfad.png)
北信源内网安全解决方案XXXX终端安全管理解决方案北京北信源软件股份有限公司2010-03－22目录1、前言42、需求分析52.1、XXXX信息系统现状52.2、XXXX网络终端管理需求52.3、XXXX网络终端安全管理系统需求分析63、北信源终端安全管理解决方案73.1、VRVEDP系统概述73.3、网络接入管理系统83.3.1、ARP阻断隔离93.3.2、接入设备审核及有效期103.3.3、802.1X认证方式113.3.4、接入控制网关（硬件）133.4、内网安全管理系统133.4.1、终端注册管理133.4.2、IP/MAC绑定策略143.4.3、IT资产管理153.4.4、终端流量管理163.4.5、进程限制策略173.4.6、互联网访问控制183.4.7、防病毒策略183.4.8、软件安装限制193.4.9、多线程计算机远程维护平台193.4.10、防火墙策略203.4.11、违规外联策略203.4.12、终端密码策略213.4.13、终端资源监控223.4.14、硬件设备禁用功能233.4.15、终端自动清理功能243.4.16、IP管理和设备入网管理功能243.4.17、终端点对点管理253.4.18、系统自动关机管理263.5、补丁及文件分发系统263.5.1、补丁自动分发263.5.2、软件分发313.6、USB移动存储管理系统323.6.1、分级权限控制333.6.2、审计功能完善343.7、主机安全审计系统353.7.1、互联网访问审计353.7.2、文件访问及输出审计363.7.3、涉密内容审计373.7.4、软件安装审计373.8、档案、报警和日志管理功能383.8.1、详尽的档案管理功能383.8.2、日志管理功能393.8.3、报警管理403.9、系统具备的接口和强大的可扩展性413.9.1、接口描述：413.9.2、系统具有良好的可扩展性：424、XXXX实施内网安全管理项目的可预见效益431、前言北京北信源软件股份有限公司（以下简称“北信源”）成立于1992年，总部坐落于中国信息产业基地“中关村高新科技园区”。
北信源打印安全监控审计系统解决方案北京北信源软件股份有限公司一、前言随着网络应用的不断普及和发展，网络应用向多层次、立体化、空间化方向发展，网络空间数据的安全问题越来越突出，电子文档和敏感信息被有意无意的窃取、丢失、泄密等给建设高效、安全的网络空间带来很大挑战。
而纵观目前各个政府、企事业单位的信息安全建设状况，数据安全防御理念往往局限在网关级别、网络边界（防火墙、IDS、漏洞扫描）等方面，重要的安全设施大致集中于机房或网络入口处，在这些设备的严密监控下，来自网络外部的安全威胁大大减小。
相反，来自网络内部计算机终端的数据安全防护却往往被忽视。
在国家行业信息化推进的大环境下，信息安全在国民经济建设中日益显得举足轻重。
特别是在政府机关网络中，工作秘密的泄露会使政府机关工作遭受损失，带来不必要的被动；而国家秘密的泄露会使国家的安全和利益遭到严重损害，泄密者也难免受到降职、降衔的严肃处理，甚至移交司法机关处理。
由此，如何应对数据安全问题，减少直至杜绝内部敏感信息的泄漏和重要数据的丢失而引发的安全事故，建设面向网络空间的、安全和谐的终端运行环境，形成有效的数据安全防护体系，则成为了政府机关网络、行业信息网络主管领导日常工作的重中之重。
而根据《计算机犯罪与安全调查报告》的调查结果显示，泄密的主要途径有三种：电子邮件泄密、移动存储泄密、打印信息泄密。
通常，电子邮件泄密和移动存储泄密都得到了较好的控制，而来自内部的网络打印安全却很容易受到忽视，打印信息泄密，涉及到了用户较高等级甚至是核心级的机密，破坏力大，破案率低，极大地损害了个人、集体的利益，甚至是国家。
北信源公司由此推出自主研发的新产品—北信源打印安全监控审计系统，为用户彻底解决以打印方式造成数据泄漏的问题。
二、打印安全审计解决方案2.1产品背景近年来，文档的控制成为了保密控制的主流。
文档控制的核心是文档中的内容的控制，但对于打印后的文档的管理目前形成产品的还很少。
北信源内网安全管理系统方案1 XX单位内网安全管理系统解决方案北京北信源自动化技术有限公司2008年04月2目录目录(2)一、系统需求分析(3)1.1网络管理中面临的问题(3)1.1.1终端安全管理问题(3)1.1.2 IP 地址管理问题(4)1.1.3非法外联问题(4)1.1.4 IT 资产管理问题(4)二、内网安全解决方案(5)2.1 系统部署和管理构架(5)2.2 系统部署时的硬件配置(6)2.3 终端节点加固(7)2.3.1 可统一配置的主机防火墙（网管控制包过滤）(7) 2.3.2 弱口令监控(8)2.3.3 用户权限变化监控(8)2.3.4 关键进程加固(9)2.3.5 注册表加固(9)2.4终端全面管理(10)2.4.1 IP 地址管理(10)2.4.2 IP 、MAC 地址绑定(12)2.4.3禁止修改网关、禁用冗余网卡(12)2.4.4 IT 资产管理(13)2.4.5终端桌面管理(17)2.4.6终端安全管理(25)2.4.7网络主机运维监控(27)2.4.8非法外联行为监控(28)2.4.9普通文件分发(28)三、预计可达到的效果(29)3一、系统需求分析网络管理中面临的问题随着信息技术的发展，网络安全问题已不再只是外部攻击和简单的病毒防护。
当企业花费大量资金和精力构建起庞大的网络架构和安全防护体系时，殊不知，威胁企业生存和发展的是来自内部网络的安全隐患，而且其危害远大于一次黑客攻击或一次病毒骚扰。
据FBI 和CSI 曾对484家公司进行的网络安全调查结果显示：超过85%的安全威胁来自公司内部，由于内部人员泄密所导致的资产损失高达6000多万美元，它是黑客所造成损失的16倍、病毒所造成损失的12倍。
XX 单位已经建立了比较完善的网络管理行政制度，但是以往在网络管理工作因为缺少相对应的技术手段，网络管理制度无法得以落实，致使管理员的日常维护工作繁琐，同时还有信息泄密的风险。
一个成熟的网络安全管理理念应该是全方面的主动防御，而不是事后责任追查。
中铁信托终端安全管理系统北京北信源软件股份有限公司2010年3月1目 录一、前言 (1)二、北信源内网安全管理系统解决方案 (4)1、功能实现方式 (4)2、安全监控强审计功能 (5)3、移动存储介质操作信息审计 (5)4、文件保护及访问审计 (5)5、桌面文件输出审计 (7)6、打印审计 (7)7、系统日志审计 (8)三、具体实施方案 (9)1、部署的主要组建 (9)2、实施建议 (9)3、系统部署时软硬件配置 (9)4、系统部署时网络环境准备 (9)一、前言中铁信托的网络已具有相当的规模，网络安全要求非常高。
目前网络中大量使用计算机及其它网络交换设备，客户端数量已经达到150台。
尽管已经物理隔离技术、安全网段划分、安全防护设施（如防火墙、防病毒软件）等方式保证自己的网络安全，但由于操作系统和人为因素，客户端自身确实存在着安全风险隐患，随着用户应用系统的不断增加，在网络中传播的病毒造成的风险和管理上的风险也会不断增加，由于单个计算机的病毒引起的损害可能传播到其他系统和主机上，引起网络瘫痪，造成重大损失。
系统对网络的安全稳定运行有较高的要求。
同时，其它桌面安全和桌面管理方面的问题也十分繁杂，而专网的网络维护管理人员十分有限，因此需要专业的内网安全安全管理系统。
在实际使用中，来自网络内部的安全威胁是我们网络管理人员真正需要面2对的问题：据统计结果，约80%的安全事件来自与网络内部；网络管理工作量最大的部分是终端安全管理部分，对网络的正常运转威胁最大的也同样是客户端安全管理。
由于大型网络一般结构较为复杂，用户使用水平参差不齐，而网络管理人员编制有限，往往难以面对数量重大的客户端事件。
因此，只有解决网络内部的安全问题，才可以排除网络中最大的安全隐患，北信源内网安全管理系统可以从技术层面帮助网管人员处理好繁杂的客户端问题。
《北信源的内网安系统》作为一套整体的客户端节点安全防护体系，遵循网络防护和客户端防护并重理念，针对网络安全管理人员在网络管理、防病毒管理、桌面管理过程中所面临的种种问题提供解决方案，强化对桌面的管理控制。
整个体系能够对桌面进行状态安全控管，主要涉及防病毒管理、桌面联网监控、客户端状态管理、设备注册、桌面安全审计、桌面补丁分发管理、桌面应用资源控制以及远程协助管理等功能。
系统实时监控和报警网络中存在的网络客户端违规、病毒事件等行为，提供在线桌面安全状态信息；依据系统报警信息和网络客户端上报的安全信息，管理人员在控制台远程对异常网络或者违规客户端机器采取处理措施（如断网、告警、远程协助等），为网络建设一个完善的客户端防护体系，解决网络客户端安全管理的问题。
北信源内网安全管理及补丁分发系统采用C/S与B/S混合模式设计，支持分布式部署，并具有模块化软件定制、支持标准API、无缝功能扩展与升级等优点。
产品针对政府、金融证券、电信以及各大中型企业等网络专门研制，已通过国家保密局、公安部、国家信息安全评测中心、解放军信息安全评测中心等多项权威认证，经业界权威机构统计北信源终端管理产品中国市场占有率第一。
34二、北信源内网安全管理系统解决方案1、功能实现方式北信源通过对国内外近年终端安全管理技术和发展趋势的研究，将政府和企业内部网络终端安全管理概括的从终端状态、行为、事件三个方面来进行防御，管理手段大致包括如下内容：内网安全管理核心功能 通过架设的北信源内网安全管理服务器对全网客户端进行各种策略和配置补丁以及文件的下发，流量监控、违规联网监控、入网设备联网状况监控、终端软硬件管理、系统文件分发、消息分发等工作，并对客户端进行各种行为和状态的监控。
网络终端上的客户端程序可将各种网络终端的状态信息、日志信息和报警信息上报，可通过管理节点对异常计算机进行断网等处理，也可通过系统远程对客户端进行故障诊断和维护。
52、安全监控强审计功能北信源内网解决方案中提供全面的强审计功能，可以通过此模块对网络中重要文件的访问情况、键盘行为、窗口情况、文件网络输出情况、终端访问行为和打印文件等等行为进程颗粒度的审计，网管人员可以时时跟踪审计结果。
这样XX 能够很好的保护重要的文件不被未授权人员查看；不被恶意修改和删除能够很好的防止通过打印、邮件和网络共享拷贝等方式的文件信息泄密；能够全方位的对客户端用户的各项电脑操作进行审计，以便需要的时候有据可查等等。
3、移动存储介质操作信息审计1) 提供移动存储介质上所有文件操作的详细记录包括文件的创建、复制、删除、读写和重命名等操作，具体包括文件名、审计描述、时间、用户名、计算机IP 地址和其他必要的信息。
2) 提供移动存储介质的插入和拔出动作的详细记录具体包括事件类型、移动存储介质的名称、用户、计算机IP 地址、事件时间等。
4、文件保护及访问审计系统可保护指定的文件或文件夹，根据需要禁止本地和远程对其进行读取、修改、删除等操作。
系统也可对指定的目录或文件进行读取、修改、删除、拷贝、移动、重命名等行为的审计。
系统会将详细的数据上报到服务器或者是记录到本地文件中。
以拷贝为例：系统会纪录源文件目录和目的目录、还有操作的时、操作用户、用户所属单位和部门、设备IP 、等等一些信息。
6实例图为了保护客户端的指定文件或文件夹的数据安全，可以把该文件夹设置为工作目录，并对其实施保护，给终端使用者分配相应的权限如：只读、读写、拷贝、修改等，指定部分进程允许或不允许执行工作目录下的文件，设置界面如下图所示：75、桌面文件输出审计对网络重要服务器的文件输出行为进行审计和管理，可根据情况审计或禁止使用打印输出、邮件附件输出、网络文件拷贝等文件输出行为。
可根据需要禁止指定用户（组）的上述行为，或对指定用户（组）的上述行为进行审计。
实例图 6、打印审计对网络重要服务器的文件输出行为进行审计和管理，可根据情况审计或禁止使用文件打印等输出行为。
可根据需要禁止指定用户（组）的上述行为，或对指定用户（组）的上述行为进行审计。
87、系统日志审计客户端日志审计主要包括两方面的审计：1、客户端用户在本操作系统中所有操作进行审计主要包括：设备信息审计、注册资产审计、安装软件审计、安装软件审计、共享目录审计、设备IP 占用状况列表 、硬件变化审计、移动设备审计、上网访问审计、文件输出审计、文件保护审计 、违规软件及进程、安全策略违规、涉密检查审计、消息确认审计、软件分发审计 、软件分发统计等2、操作系统本身生成的系统日志、安全日志和应用日志进行审计，审计的结果都上报到数据库中，供管理人员任何时间进行审计。
所有生成的审计结果，都可以页面的形式体现，并且根据管理人员实际需求生成excle 表格。
9三、具体实施方案1、部署的主要组建1、服务器：整体安全策略的下发,客户端信息上报查询,客户端管理。
2、客户端：所在网络中装有北信源内网安全及补丁分发系统客户端程序的台式机、服务器、笔记本电脑或手持设备。
一台服务器能管理多达 5000 个客户端。
2、实施建议网络环境复杂而且用户群种类比较多，所以我们建议本着分步实施、积累经验的原则，先在总部和各分部各挑选出几十台设备进行实施。
实施过程中，总结经验、统一流程，之后在全网其他管理分区推广实施。
3、系统部署时软硬件配置一级管理服务器1台:硬件需求：CPU 至强 2.8以上, 2G 内存硬盘160G SCSI 或以上软件需求：操作系统 Win 2003 Server数据库系统 SQL Server 2000或数据库系统 SQLServer20054、系统部署时网络环境准备北信源内网安全及补丁分发管理系统区域管理器将占用操作系统88端口，必须确保安装区域管理器的机器该端口不被占用。
区域内的防火墙应打开如下端口：80，88,2388，2399，8901,8900,161,137,22105，8889，22106，22108以及ICMP 协议。
10五、总结北信源内网安全管理解决方案的管理目标 随着应用系统的不断增加，在网络中传播的病毒造成的风险和管理上的风险也会不断增加，由于单个计算机的病毒引起的损害可能传播到其他系统和主机上，引起网络瘫痪，造成重大损失。
系统对网络的安全稳定运行有较高的要求。
同时，其它桌面安全和桌面管理方面的问题也十分繁杂，而专网的网络维护管理人员十分有限，因此需要专业的内网安全管理系统，该系统可解决上述提到的内网安全和管理问题，并可取得以下的效益：1、系统可解决网络统一管理问题：系统将网络变成一个真正的可统一管理的网络；可以再服务器上对全网终端进行的管理和监控，终端数据可统一上报至服务器汇总管理。
2、系统可解决客户端网络管理问题：第一次如获得了监控管理终端上硬件资产和安装、执行软件的能力，以及可进行全网统一的软件自动分发安装，远程终端维护管理和审计等，可有效解决网管终端管理的问题。
3、系统可带来相当的政治思想效益：可检查网络终端的非法文件及其内容（如包含反动、色情的），保证网络终端不做为传播这些信息的媒介。
4、系统可大幅度降低管理的成本：此系统的使用可在增强网络统一管理和安全管理的同时，使原本很多需要手工处理的工作自动化，并可使管理人员在本地远程接管并解决远程终端的问题，从而大幅度降低管理成本，提高效率。
5、本系统更是注重参考管理要求和规范，力求在促进网络更加高效运转的同时，降低管理风险。
以高效、稳定、可靠的产品技术设计来辅助管理制度的执行，最大程度从技术层面避免违反制度和管理规定的事件发生。
