IP-GUARD功能详解

IP-Guard是一款企业级的网络监控软件，用于全面审计、严格管控和安全稳定的加密企业信息。以下是IP-Guard的使用手册：

1. 安装和部署

在安装和部署IP-Guard之前，需要先确认软硬件环境符合要求。具体要求可参考IP-Guard的官方文档或者与供应商联系以获取支持。

安装和部署服务器和控制台时，需要按照IP-Guard的安装指南逐步进行。这通常涉及到安装软件、配置网络设置、进行系统更新等步骤。

2. 配置管理

在开始使用IP-Guard之前，需要对各项参数进行配置。这包括但不限于：设定监控策略、配置加密方式、设置网络参数等。具体的配置步骤和参数可能会因IP-Guard的版本和用户需求的不同而有所差异，建议参考具体的使用手册或者联系供应商以获取更详细的指导。

3. 使用操作

IP-Guard的具体使用操作可能会因不同的功能模块而有所不同。一般来说，操作步骤如下：

* 文档操作管理：可以通过IP-Guard对电脑上的文档进行操作管理，如禁止复制、剪切、删除等操作，或者对特定文档进行加密保护。

* 即时通讯：可以监控员工使用即时通讯工具的行为，如QQ、微信等，并可以设置禁止使用或者限定使用时间等。

* 邮件管控：可以监控员工的邮件往来，并对邮件进行过滤和拦截。 * 资产管理：可以对企业的资产进行管理，如硬件设备、软件许可等，并可以实时监控其使用状态。

* 移动存储设备：可以限制员工使用移动存储设备，如U盘、移动硬盘等，以防止信息泄露。

* 上网行为管理：可以监控员工的上网行为，如访问网站、下载文件等，并可以设置禁止访问某些网站或者对特定文件进行过滤。

* 屏幕监控：可以实时监控员工的电脑屏幕，查看员工正在进行的操作。

* 系统管理：可以对操作系统进行管理，如禁用某些程序、设置系统参数等。

4. 维护与更新

IP-Guard需要定期进行维护和更新以保证其稳定运行和持续更新。维护和更新工作一般由专业人员负责，包括对系统进行定期检查、清理垃圾文件、升级软件等操作。具体操作步骤和建议可以参考IP-Guard的官方文档或联系供应商以获取更多指导。

模块序号模块子功能

基本信息

基本控制

基本日志

基本策略

系统报警

策略日志

远程维护

远程控制

远程文件

传送

安全漏洞

检查

软件分发

应用程序

统计

应用程序

控制

网页浏览

日志

网页浏览

统计资产管理资产管理

系统补丁

管理基本功能

应用程序

管控远程维护

应用程序

日志

网页浏览

管控21

4

53网站浏览

控制

网络流量

统计

网络流量

控制

文档操作

控制

文档备份

打印操作

日志

打印内容

记录

实时屏幕

快照

屏幕历史

记录

入侵检测

邮件日志

邮件控制网络通讯

控制

邮件管控打印控制

屏幕监控

设备管控设备控制

网络控制管控

网络流量

管控

文档操作

管控文档操作

日志

文档打印

管控

96

10

11

127

8

即时通讯

日志

即时通讯

传输文档

控制

移动存储

授权

移动存储

加密移动存储

控制即时通讯

控制

1413功能详细介绍

统计客户端计算机基本信息，包括计算机名称，网络地址，操作系统，登录用户，当前状态等信

息。

能够在控制端对网内任意客户端计算机进行锁定、关闭、重启、注销和发送通知信息等。

对客户端计算机的开机/关机，用户登入/登出，拨号等的事件记录。

设置客户端计算机的本地系统的操作权限，包括控制面板，计算机管理，系统管理，网络属性，

插件管理等所有计算机属性。并能够将客户端计算机的IP与MAC地址进行绑定。

设置当客户端计算机系统状态变化时报警，包括硬件异动，存储设备和通讯设备插拔，软件安装

卸载，系统信息和网络配置变化等。

记录客户端计算机在执行策略时的操作日志，如禁止、报警、警告和锁定计算机等。

实时查看客户端的运行信息，远程分析客户端运行状况和故障原因，并可以执行远程操作，帮助

解决远程问题

远程连接到客户端计算机的桌面，直接操作客户端，方便进行远程协助或操作示范。

远程打开指定客户端的文件夹，传送文件和搜集故障样本

自动扫描并完整记录每台终端软硬件资产信息，详尽记录资产变更信息，可自定义资产属性进行

辅助信息管理；

通过自定义资产类别对非IT资产进行管理。

自动扫描客户端的微软产品补丁安装情况；

根据策略下载指定的补丁并进行自动分发和安装。

IP-guard的使用

一、 账户权限的管理

1、管理员 a) 功能权限 控制台上的各个细化功能，能针对各个管理员的职能分配功能权限。 b) 管理范围 计算机组 用户组 2、审计员 a) 功能权限 查看日志 删除日志 b) 管理范围 管理员 审计员 二、 分类管理

分类管理的作用是用于对常用的策略设置条件进行归类，方便策略设置以及日志数据的查询统计。 1、时间分类 时间的分类管理非常重要，时间的分类关系到策略的设置以及数据的查询与统计。我们对于时间的管理是以半个小时为单位，包括所有的数据查询统计条件都是以半小时为单位设定的。 2、应用程序分类 IP-guard的应用程序的分类管理会把连接在IP-guard服务器的所有的客户端上运行过的应用程序信息收集上来，用户可以新建分类，对应用程序进行分类管理。 收集上来的信息包括有应用程序唯一的摘要值。因此通过应用程序分类设置的策略可以防止客户端通过修改程序的进程名称或其它版本信息逃避监控。 3、网站分类 IP-guard的网站分类帮助用户对网站进行归类。归类支持通配符，IP-guard暂时不提供网址库，但是支持网址库的导入。 禁止网站分类：目前是上网时如新浪新闻网站，就按照服务器发过来的分类中的顺序依次匹配下去，匹配到了新浪新闻就根据策略决定是否放行，但是这样用户对网站分类的策划要规划好，因为网站分类可能会有重复，策略可能执行的并不是自己所希望的。 支持*，？等通配符；这里要禁止 时 sina无法禁止，*sina*，*.sina.*可以禁止； 策略：禁止 *，如果我上网站/index.htm 这时是可以禁止的，因为它是针对域名匹配的，网站的域名和策略中的域名匹配 4、移动存储分类 IP-guard会把所有曾经接入到客户端的移动存储设备的卷序列号进行收集。放在移动存储库的未分类里。对于接入到控制台所在计算机的移动存储设备，也可以添加到移动存储库，并且控制台可以把移动存储设备格式化为加密盘。 非加密盘 未经加密格式化的移动盘，格式化后卷序列号会改变。 加密盘 经过格式化后的移动盘，在客户端上格式化后还是加密盘，并且卷序列号不变。 5、网络地址分类 通过网络地址的分类能把IP地址划分为多个大类别。其中默认的分类为企业网和互联网，企业网的IP地址范围是可以更改的，互联网网络地址是企业网网络地址的补集。 6、端口分类 端口的分类能帮助快速地对某种上网行为进行禁止，默认的端口地址分类有：ICMP、TCP、UDP、邮件、网页、网络共享、FTP等

IP Source Guard配置说明

 IP Source Guard原文说明：

 IP Source Guard解释

----IP Source Guard是一种二层网络安全技术，应用在一个非路由端口下,可以通过dhcp状态表或手工绑定的ip binding进行流量的严格限制。应用后，在端口下会被产生一个隐藏的port acl，该acl将限制只有ip source binding的数据流可以流过该端口

-—--IP Source Guard可以应用在accesss端口，也可以应用在trunk端口下

—-——使用IP Source Guard时，必须配合ip dhcp snooping使用，当应用在access端口下时，打开该端口所属VLAN的ip dhcp snooping,应用在trunk口下时，打开终端连接端口所属VLAN的ip dhcp snooping

--—-IP Source Guard可以基于ip地址进行流量过滤（只要ip地址符合即可通过）；也可以基于ip 和mac进行过滤（必须ip和mac同时匹配才可以通过），

 IP Source Guard配置及步骤说明

以下所有的说明基于以下拓扑：

拓扑说明：一台核心交换机，提供vlan 30，vlan 40的网关,通过trunk与接入层交换机连接,所有的配置在核心交换机上完成，接入层交换机上使用了两个vlan（30,40)，user1 和user2分别位于vlan 30和vlan 40

1. 打开dhcp snooping功能

命令：（config）#ip dhcp snooping

2. 在需要进行IP Source Guard的vlan下打开dhcp snooping功能,针对某个vlan进行实施,如果有多个vlan，则需要打开多个vlan的dhcp snooping功能(这里举例vlan

40）

命令:（config)＃ ip dhcp snooping vlan 40