网康、深信服上网行为管理功能对比解析

上网行为管理一解释上网行为管理是指帮助互联网用户控制和管理对互联网的使用。

其包括对网页访问过滤、上网隐私保护、网络应用控制、带宽流量管理、信息收发审计、用户行为分析等。

比如，限制公司员工访问某一些网页，限制使用QQ、微信等软件，针对每台电脑带宽做限制等。

二为什么要管理上网行为1.防止员工使用像迅雷、BT等为代表的P2P应用，占用大量带宽资源，导致网速变慢。

2.有效预防内部员工带来的安全隐患，像浏览了有安全风险的网络内容。

3.防止员工在工作期间发生聊天、游戏、炒股等行为，严重影响办公效率。

4.预防内部员工在网上发布违反法律的信息。

5.网络故障时，可以即时找到故障根源。

三主要功能1.网页访问过滤根据行业特征、业务需要和企业文化来制定个性化的网页访问策略，过滤非工作相关的页网页。

2.网络应用控制制定有效的网络控制策略，封堵与业务无关的网络应用。

3.带宽流量控制对不同岗位的员工、不同网络应用划分带宽通道，并设定优先级，合理利用有限的带宽资源，节省投入。

4.信息内容审计制定全面的信息收到监控策略，有效控制关键信息的传播范围，以及避免可能引起的法律风险。

5.上网行为分析用户可以实时了解、统计、分析网络使用状况，并根据分析结果对管理策略做调整和优化。

四其他功能NAT、路由、防火墙、VPN等功能。

五部署1.路由模式设备相当于路由器，一般在出口位置，具备路由转发和地址转换功能。

一般这种部署时替换客户原有的防火墙、路由器设备。

这种模式对客户的影响大，需要清楚的知道内网需要代理上网的地址段，需要映射到公网的业务等等，如不是非用此模式不可，一般不建议采用。

2.网桥模式这种模式对客户的网络基本没有改动，设备就是二层设备，只有在设备上架的短时间影响网络，推荐使用。

网桥模式不支持NAT、VPN、DHCP等功能，网桥模式支持硬件bypass，如果设备故障自动启用此功能，不会影响客户网络。

3.旁路部署模式此模式用于审计，不影响客户网络环境。

深信服上网行为管理主要作用：能够全面封堵网站浏览、QQ聊天等各种工作无关网络行为封堵和流控当前的BT、eMule等，和未来可能出现的各种P2P应用杜绝不良网站和风险文件的访问及下载，防范DOS攻击及ARP欺骗等独特的敏感内容拦截和安全审计功能，防止机密泄露全面记录网络行为日志，避免法律风险，并让IT管理者对网络效能和行为进行方便的统计、审计、分析、报表再辅以SANGFOR M5X00-AC的其他安全扩展功能，全方位保障您的网络安全通过采用SANGFOR M5X00-AC上网行为管理解决方案，可以保障组织管理者实现完善的网络访问行为管控和行为审计，并达到如下效果：1.规范员工上网行为（如禁止上班时间QQ聊天、炒股、网络游戏等），提升工作效率上班时间从事私人活动，是办公室皆知的秘密。

管理者却难以阻止员工在上班时间浏览无关网站、QQ聊天、在线炒股等工作无关的网络行为，员工工作效率的下降将直接影响组织的竞争力。

而通过SANGFOR AC可以把与工作无关的上网行为降低到最低，去除员工的分心，让他们专注于工作中。

2.流量控制、带宽管理，提升带宽利用率对严重吞噬带宽的P2P行为，SANGFOR AC不仅能彻底封堵，还能对其占用的带宽进行流量管控。

基于用户(组)、时间段、应用类型的带宽管理和带宽通道划分，结合智能QoS，既保证了业务应用对带宽的需求，又避免了对带宽的滥用，提升带宽使用效率。

3.修补安全漏洞、提升内网安全级别色情、反动网站的浏览和未知文件的下载安装，导致病毒、木马等被员工主动“邀请”进入内网，SANGFOR AC将过滤该行为，并提供网关杀毒功能从源头消除威胁；源自内网的DOS攻击、ARP欺骗等也将被SANGFOR AC彻底防御；而组织内网使用低版本操作系统、不及时打补丁、不安装指定的杀毒/防火墙软件、安装使用违规软件的终端用户，SANGFOR AC亦能侦测发现，从而修复内网安全短板。

4.防范信息机密外泄、保护组织信息资产安全员工使用Email邮件可能将组织的信息机密发送到公网、甚至竞争对手，SANGFOR AC特有的“邮件延迟审计”专利技术，将彻底防范该泄密行为；员工的网络发帖、webmail行为，SANGFOR AC同样可以过滤和记录；而SANGFOR AC对QQ、MSN等聊天内容的记录和审计，将警示通过IM聊天工具泄密的行为。

1．上网行为管理目前市场主流厂商：深信服、网康典型案例2.1 提升内网业务操作效率——封堵非业务应用解决方案方案背景：日益发达的互联网让企业员工有了更多的选择，网上聊天、网上购物、在线视频、论坛灌水、BT电影……上班时间，员工很难不受众多网络娱乐的诱惑，大家在或多或少地利用工作时间进行非业务操作。

以上行为实实在在地存在于我们的办公网中。

事实上，我们很多企业员工打开电脑的第一件事便是开迅雷，下载电影、视频、游戏；也有为数不少的员工痴迷股海，一心扑在大盘上面；而我们的员工在在线视频、在线小游戏、娱乐网站、热门论坛上花费的时间更是惊人。

凡此种种，无不给我们有限的带宽资源带来了巨大的流量压力，给员工的办公效率打了一个大大的问号。

上网行为管理解决方案——合理封堵非业务网络应用随着现代企业管理理念和信息技术水平的提升，如何有效管理与利用互联网资源，这已成为现代企业管理的重要衡量标准。

与此同时，上网行为管理的理念愈发深入人心，提升员工网络业务的办公效率，这已经成为企业IT管理者关心的首要问题。

、如上图，企业通过以网关、网桥、或旁路模式部署上网行为管理产品，可以有效对内网员工的各种网络应用行为进行管理。

上班时间，封掉影响业务效率的非业务应用及相关网站；对挤占公司带宽资源的应用进行流量控制，确保主流的办公应用带宽资源，以提高业务应用的办公效率。

方案价值：1、全方位封堵p2p ，确保正常办公业务带宽P2P应用给用户带来了前所未有的速度体验与资源共享，但也挤占了我们大量的带宽资源。

P2P的带宽占用问题已经成为每个IT管理者头痛的问题，其所带来的负作用日渐凸显。

鉴于此，上网行为管理设备通过检测网络软件数据包特征码，可以对常用软件进行彻底封堵，包括BT、eMule、PPLive、QQLive等。

对于加密BT、不常用的和未知版本的P2P软件，独有的网络行为智能分析技术使其同样难逃法网。

有些部门和领导因业务需要使用P2P，在全面封堵的同时，上网行为管理设备还可以提供P2P流控功能，即允许指定用户使用P2P，但对其占用的带宽进行控制。

上海深腾信息技术有限公司厂家 对比项深网DEEPNET网络督察网康深信服产品形态 软硬件一体化专用设备 软硬件一体化专用设备 软硬件一体化专用设备 软硬件一体化专用设备 产品定位 上网行为管理产品上网行为管理产品。

上网行为管理产品。

上网行为管理产品。

产品外观 全新的不锈钢外壳，结实美观 全部采用烤漆工业，外观粗糙 部分采用烤漆工艺 全部采用烤漆工业，外观粗糙 研发力量集团化的企业、雄厚的资金实力、研发人员超过100人。

研发人员较少５０人左右。

研发人员较少５０人左右。

研发人员较少５０人左右。

界面亲和力界面友好，窗体利用率高，操作便捷较差，窗体利用率极低。

1024分辨率下设备操作界面区域很小。

沿用以前防火墙的设置界面和操作习惯，不能完整利用窗体显示面积，做一些简单的操作也需要很复杂的步骤（比如进行邮件内容的关键字查询，需要新建一个查询，然后定义查询条件和查询范围）。

UTM 式的设备，功能分类不明确，用户使用起来不方便，界面繁琐。

操作系统Safe os 、自主研发的独有的操作系统，系统稳定性和安全性超强。

负荷少，使用专业嵌入式系统，断电等非正常关机不会引起系统故障，运行稳定。

Linux 通用操作系统，照搬操作系统默认配置，使用关系型数据库，断电等非正常关机引起文件系统故障的概率较大，稳定性有较大隐患。

Linux 通用操作系统，照搬操作系统默认配置，使用关系型数据库，断电等非正常关机引起文件系统故障的概率较大，稳定性有较大隐患。

Linux 通用操作系统，UTM 集成产品，开了防火墙等多项功能，有的产品甚至集安全审计、防火墙、过滤邮件等于一身，严重影响产品性能。

智能路由独有的智能路由技术，而是采用智能的识别方式，对每一个通过的数据包进行鉴别，找到最快的通信线路建立连接。

保证网格时时畅通、网络更快。

不支持，当网络出现阻赛现象时没有有效地避免措施。

不支持，当网络出现阻赛现象时没有有效地避免措施。

不支持，当网络出现阻赛现象时没有有效地避免措施。

仅支持网关为IP和PPPOE的静态路由支持不支持以VLAN ID等作为新用户名自动创建帐户不支持不支持仅支持强制下线方式不支持支持支持程度有限,不能对活跃会话和新建会话进行统计，服务分析统计中不能递进式统计每种服务在多条出口线路的使用情况不支持单独对服务类型进行统计分析支持程度有限,不能对活跃会话和新建会话进行统计，用户分析统计中不能进一步统计每个用户在多出口线路的使用情况、每个用户访问的网站/网站类型流量统计分析支持程度有限,不能对活跃会话和新建会话进行统计，用户分析统计中不能进一步统计每个用户在多出口线路的使用情况、每个用户访问的网站/网站类型流量统计分析不支持单独对每个网站的流量/会话进行统计分析不支持单独对每个网站类型的流量/会话进行统计分析不支持单独对每条线路进行统计分析支持支持支持(支持的最详细)支持，需要额外收费，而且开在大流量下消耗大量性支持，需要额外收费（和F-PORT合作),更新不及时，开启消耗性能大，基本无用支持支持支持双桥和多桥支持镜像模式仅支持网关为IP和PPPOE的静态路由不支持策略路由支持仅支持简单的接口带宽权重进行链路选择，不能算作真正意义的负载均衡不支持不支持不支持防火墙功能支持不支持仅支持arp防护告警不支持不支持不支持支持支持支持支持总共支持 310种应用识别,不支持自定义协议特征识别库，只支持4层的自定义服务支持能够准确识别近 40 多种P2P应用，并能对各种P2P 应用进行封堵和带宽控制支持支持支持支持不支持以VLAN ID等作为新用户名自动创建帐户支持,配置方式不同支持,配置方式不同支持,配置方式不同仅支持每天的流量配额来控制用户，用户达到流量配额禁止上网不支持支持(而且可以针对每个应用或者用户做)不支持不支持仅支持强制下线方式不支持支持有限，但是用户无法通过设备了解到设备物理端口的真实运行状态（包含总的数据包和丢弃的数据包)支持数据中心不支持数据中心不支持支持程度有限,不能对活跃会话和新建会话进行统计，服务分析统计中不能递进式统计每种服务在多条出口线路的使用情况以及哪些用户/用户组在使用，及每个用户的使用情况不支持单独对服务类型进行统计分析支持程度有限,不能对活跃会话和新建会话进行统计，用户分析统计中不能进一步统计每个用户在多出口线路的使用情况支持程度有限,不能对活跃会话和新建会话进行统计，用户分析统计中不能进一步统计每个用户在多出口线路的使用情况不支持单独对每个网站的会话进行统计分析不支持单独对每个网站类型的会话进行统计分析不支持单独对每条线路进行统计分析支持支持支持不支持不支持支持。

深信服上网行为AC-5000 管理设备功能1) 控制功能：细致的访问控制，有效管理用户上网对于内网用户的网页访问行为，AC不仅通过内置URL库，关键字过滤等方式进行管控。

对于采用SSL加密的网页，如钓鱼网站等，AC的证书验证链接黑白名单技术同样可以管控。

AC不仅管理用户使用WEB、FTP、EMAIL等常用服务，通过深度内容检测技术，实现对QQ、MSN、SKYPE等IM聊天工具，BT、电骡等P2P下载工具，PPLive、QQLive 等在线影音工具，网络游戏，在线炒股等网络应用行为进行管理和控制。

SINFOR AC具有国内最大的应用协议识别库。

针对目前P2P行为泛滥的趋势，SINFOR AC的P2P智能识别技术能够对不常用的、未来可能出现的P2P软件进行有效管控。

并且对P2P行为严重吞噬带宽资源的问题，提供流量控制功能。

上网行为的管理必须以识别为基础。

SINFOR AC支持本地认证、和第三方认证（包括LDAP、AD、Radius、POP3、PROXY等），丰富的用户识别方式方便组织的使用。

AC所具备的多种网络访问控制功能，可以基于用户/用户组、基于时间段、基于不同目标行为进行灵活权限控制，实现人性化管理要求。

表1：访问控制功能一览表认证方式 支持触发式WEB认证、本地认证、和第三方认证（包括LDAP、AD、Radius、POP3、PROXY等）、Dkey认证等账户自动创建 支持未建帐户的新用户以其计算机名/IP地址作为用户名自动创建帐户；支持将指定IP段的用户自动创建到指定用户组，并同时绑定IP、MAC等。

IP-MAC绑定 支持对用户绑定IP、绑定MAC、或同时绑定IP和MAC； 支持三层网络环境下的IP-MAC绑定功能单点登录 支持AD单点登录，无需在域控服务器上安装任何插件；支持POP3、PROXY单点登录AD同步 支持自动将AD服务器上指定OU/指定安全组读取到设备的树形用户分组结构中，并定期保持与AD自动同步用户认证组织结构 用户分组支持树形结构，支持父组、子组、组内套组等网址过滤 内置800万条以上预分类URL库； 允许手工输入新URL和新分类；关键字过滤 可过滤搜索引擎搜索的指定关键字（关键字可定义）； 可针对网页正文关键字进行网页过滤；可过滤BBS、Webmail等外发含有指定关键字的言论SSL网站过滤 支持对SSL加密的钓鱼网站、炒股网站、证券基金网站、在线购物网站的识别和过滤网页控制文件类型过滤 过滤通过HTTP、FTP下载、上传指定类型的文件； 支持对非标准端口FTP文件传输行为的过滤邮件控制地址限制 可根据发件人地址过滤SMTP外发邮件；可控制哪些用户使用哪些邮箱外发邮件；附件过滤可控制用户外发邮件的附件类型 关键字过滤可限制外发含有指定关键字的邮件 加密邮箱控制对SSL 加密邮箱（如Gmail）识别和控制Webmail 控制可限制指定用户使用指定Webmail ； 基于正文关键字过滤用户的Webmail 行为； 延迟审计支持延迟缓存外发邮件，人工审计后再外发 上网控制可分组、分时段、分用户控制用户可以使用的网络服务（包括网页、下载、QQ、MSN、游戏、Email 等） IM 控制 可分组、分用户、分时段封堵所有聊天软件如：QQ、MSN、新浪UC、Yahoo Messenger、网易泡泡、Skype、飞信等P2P 控制 可分组、分用户、分时段控制用户使用BT、电驴、迅雷、PPLive 等P2P 软件；并能够对非常见/未来可能出现的P2P软件进行管控权限继承 父组的权限支持继承给子组，并支持强制继承，即子组无权删除被强制继承的策略对象代理识别 可以识别并禁止使用HTTP、Socks 代理；对HTTP/HTTPS端口中封装的其他协议进行封堵；可禁止内网用户使用代理软件代理他人上网访问控制策略 支持基于组、时间、服务、网址策略、内容策略等多种对象组合上网控制 上网计时控制控制用户总的上网时长；支持对用户上网时长进行统计2 带宽及流量管理功能：强大流量分析及带宽划分与分配SINFOR AC 的多线路复用专利技术使一台AC 可同时连接四条公网线路，扩展带宽、互为备份、流量负载均衡。