企业上网行为控制审计系统需求说明书

《企业上网行为控制审计系统需求说明书》由会员分享，可在线阅读，更多相关《企业上网行为控制审计系统需求说明书（27页珍藏版）》请在装配图网上搜索。

1、精心整理江西优码创达软件技术有限公司文档编号密级机密文档类型部门网安研发文档状态草稿审核 批准作废版本号1.0共 0 页企业上网行为限制审计系统需求说明书编写： 日期：2012/9/3审核：日期：批准：日期：江西优码创达软件技术有限公司2012-9-3目 录1. 引言21.1.编写目的21.1.背景31.2.参考资料32. 需求分析42.1工程目标42.2架构设计要求4设计原那么4系统架构特点5系统架构简图52.3需求说明62.3.1 应用程序管控62.3.2 网页阅读管控82.3.3 文档操作管控102.3.4 打印内容管控112.3.5 设备管控122.3.6 网络限制132.3.7 网络

2、流量管控132.3.8. 屏幕监控142.3.9. 邮件管控152.3.10. 即时通讯限制162.3.11 资产管理172.3.12 远程维护182.3.13 移动存储限制193. 总体设计203.1网络拓扑构造203.2硬件系统设计20效劳器及网络设备203.3平安设计21身份认证21信息平安21网络系统平安21应用平安223.4关键技术实现22附录一 公司简介23附录二 硬件设备清单251. 引言 1.1.编写目的今日，随着信息科技的高速开展，IT给企业的运营带来了前所未有的便利，并且渐渐成为企业开展的重要驱动力。但与此同时，IT也给企业带来了风险和挑战。v 企业信息平安隐患激增此时此刻

3、，越来越多的企业相识到，信息泄漏对企业的危害之重，它不仅给企业带来法律风险、巨额的经济损失，还可能危及企业的生存开展。雇员被列为最有可能制造信息平安事务的素。v 系统应用效率难以评估和限制最近公布的一项调查结果说明，在工作中运用MSN、QQ等闲聊的人数高达89.2%，网页阅读中新闻网页占65.9%居于首位。一个月薪2000元的员工，每天“隐性旷工”2小时，每年为企业带来的干脆损失高达6000元。一个拥有50人的企业仅此一项每年将损失30万。并且滥用网络和系统资源还可能将暗藏于互联网的平安隐患带入企业网络内，威逼系统平安。v 系统维护，资产管理繁琐IT部门接近一半的工作时间用于为计算机安装及升级

4、软件，IT 人员为PC 做简洁的日常维护工作占其总工作量的70-80%，大大增加计算机网络的综合管理本钱。假如问题没有得到刚好有效的处理，也会极大影响企业的业务连续性。v 读者 需求提出者 企业行政管理层 工程组成员1.1.背景v 系统的名称暂定企业上网行为限制审计系统网狼1.0v 提出者公司行政管理层，决策层v 开发者网安行业研发人员v 用户企业网络管理人员1.2.参考资料v 盈高多维终端平安管理平台技术白皮书.pdfv 威盾3.2用户运用手册.docv 联软上网行为管理系统.docv 交通管理业务信息综合分析研判平台.doc2. 需求分析2.1工程目标 该系统的实现将让企业对全部计算机的运

5、用状况了如指掌，它将是企业对信息的平安防护和技术的广泛应用而应运而生的，其功能强大的计算机监视、限制与管理系统软件，是为现代企事业的管理人员量身定做的企业管理软件。不但可以对员工电脑的屏幕、上网、闲聊、邮件和文件操作进展全面的监控、记录和管理，而且还可以防止员工盗窃公司机密资料，并对员工的工作进展一个客观的评价。它可以大幅度提高企业生产效率，削减不必要的资源奢侈，帮助企事业管理人员造就企事业优良风气。2.2架构设计要求2.2.1设计原那么1、标准性：系统设计按公安部颁发信息系统数据库标准以及有关管理方法。2、整体性：系统整体设计统一标准，功能模块清楚合理。3、先进性：系统设计规划采纳符合应用系

6、统开展趋势的主流技术，采纳B/S三层架构与C/S结合，充分利用两者的优势。4、管用性：系统设计充分考虑当前企业上网管理的工作实际，具有较强的管用性和可操作性。5、稳定性：为保证系统最大限度地发挥作用，系统设计采纳目前业界主流信息化技术及产品平台，整体系统具有较高稳定性。6、平安性：为确保系统平安，应当具有完善的平安解决方案。7、可扩展性：系统具有较高的敏捷性和强健性，支持多种主流开发软件，支持组件化、插件模式开发，具备扩展性强、易于集成的二次开发实力，以满意各方面应用扩展的须要，维护简洁、升级便利。8、易用性：供给统一美观的界面、详尽便利的帮助、智能化的提示、简便的操作等。2.2.2系统架构特

7、点省略2.2.3系统架构简图 本系统相关比拟独立，主要分前端数据获得及被控层，区域管理层和中心管理层，数据层。2.3需求说明 应用程序管控.1 需求描述 应用程序日志系统自动记录客户端机器翻开或关闭的应用程序，或者应用程序窗口切换信息。管理员可以通过限制台查看相关日志；应用程序日志类型包括：启动/停顿日志类型说明启动/停顿记录客户端机器上启动/停顿应用程序的状况；系统应用程序日志记录包含的属性有：操作类型、时间、计算机、用户、应用程序、路径/标题等信息属性名称说明操作类型应用程序启动/停顿和窗口标题切换；应用程序应用程序的进程名称；文件路径当操作类型是启动/停顿时，记录应用程序在客户端机器上的

8、详细路径；窗口标题当操作类型是切换窗口/切换标题时，记录当前的应用程序的窗口标题。 应用程序限制系统可以按全天或指定的时间段对指定的程序制止，对违规网络行为在事前进展限制。应用程序的限制支持以下2种方式：通过进程名称来制止：管理员干脆添加应用程序的名称，如QQ.exe；通过应用程序分类来制止：管理员可以遵照某种规那么产生相应的程序分类，如闲聊软件: (QQ， MSN， 阿里旺旺， 飞信等)统一划分为一类， 系统可以把通过设置应用程序分类来制止在这分类中的全部程序运行。.2 统计查询系统可以针对计算机每天的工作状况和应用程序运用的状况进展人性化统计和分析. 为管理者评估员工工作效率供给了牢靠的依

9、据，并且供给了统计数据的导出功能. 系统应支持以下几种统计方式: 应用程序类别统计系统遵照管理员设置的应用程序分类进展统计。 可以统计出各计算机的开机时间，以及各种分类应用程序的运用时间， 以及占总开机时间的百分比。 应用程序名称统计系统可以统计出各计算机的开机时间。各应用程序的运用时间，以及其运用时间占总开机时间的百分比。 分项统计系统可以把设置某些应用程序为工作应用程序如： Office系统，开发环境VC，VB，DEPHI之类。假如用户在运用这些应用程序，那么视为工作。系统可以统计出第个计算机的开机时间，以及工作时间。系统支持各种统计数据以图形方式显示如:柱状图饼状图2.3.2 网页阅读管

10、控2.3.2.1 需求描述 上网阅读日志系统支持具体记录员工访问网站状况，可以按网站名称、标题名称、时间、范围查询日志. 属性名称说明标题阅读的网站标题；网址阅读的网站的具体网址；时间阅读时间计算机名称计算机名称或IP地址用户登录用户名称 上网阅读限制 系统支持限制客户端计算机的网站访问，限制对于工作无 关的网站、恶意网站等的访问. 系统支持对网站URL分类管理，支持添加/删除/修改网站URL分类，添加/修改网站URL分类时，支持批量导入网站URL列表。 系统可以按全天或指定的时间段对指定URL或URL分类设置策略，用于限制用户对网站URL的访问。 策略动作可分为允许，制止，告警; 1，允许为

11、用户可以正常访问URL; 2，制止为用户访问URL会被中止；3，告警指用户可以正常访问URL，但在系统后台会产生相应的告警。.2 统计查询系统支持网页阅读信息做以统计分析，分为按明细统计和按类别统计，并以直观形象的图标方式呈现出来，查看统计图表即可了解哪类甚至哪些网站被访问的时间比拟长，从而判定是否有影响正常工作的状况发生； 按网站类别统计系统遵照管理员设置的应用网站URL分类进展统计。 可以统计出各计算机的各分类URL访问时间； 按网站明细统计系统遵照网络URL列说明细进展统计。统计各计算机访问URL列说明细时间。2.3.3 文档操作管控.1 需求描述 文档操作日志文档操作日志记录客户端机器

12、用户对文档的操作信息，可以让管理员通过查看日志记录可以发觉用户的文档操作行为，同时为事后追查资料泄密事务供给牢靠线索，增加电子文档管理的平安性; 日志记录的内容包括: 属性名称说明操作类型包括：创立、访问、修改、重命名、复制、移动、删除、复原以及上传/发送源文件用户操作的文档名称；路径用户操作的文档的具体路径，当操作类型为复制、移动、重命名时，路径会记录文档的源路径和目的路径；盘符类型用户操作的文档所在的盘符类型，包括：硬盘、软盘、光盘、可移动盘、网络盘。当操作类型为复制、移动时，会显示源和目的盘符类型；应用程序操作该文档运用的应用程序进程名称；标题操作该文档时的窗口标题。 文档操作限制 系统

13、可以在指定的时间，制止对指定文档的操作。操作 类型包含：创立、复制、移动、删除、重命名、修改、复原及访问; 系统可以按全天或指定的时间段对指定文档设置策略,用于限制用户对该文档的操作。 策略动作为制止，告警，备份。1，制止指用户制止操作此文档。2，告警指用户操作此文档是后台会产生告警。3，备份指用户操作些文档之前。文档会被自动在后台产生备份。 打印内容管控.1 需求描述 文件打印日志系统可以记录和查询员工打印文档状况，包含打印时间，目标文档路径，打印页数，打印机名称，执行打印任务的PC机器各登录用户名。 文件打印限制对客户端计算机的打印权限进展限制，从而实现对打印资源合理安排，限制非法应用程序

14、打印,有效幸免敏感或机密信息通过打印而外泄。限制条件包括：时间，打印机名称，执行打印任务的用户名。 设备管控2.3.5.1 需求描述系统可以限制各类设备的运用：设备分类功能介绍管理作用驱动类设备可以按某台、某组或者整个网络制止运用哪些存储设备。包含：软驱，光驱，刻录机，磁带机，可移动设备U盘，移动硬盘，记忆棒，智能卡，MO，Zip幸免员工运用与工作不相关的计算机设备，错误修改网络属性，便利统一部署屏保程序或画面。依据风险评估，制定事前预防策略，依据策略对相应的设备进展制止，预防文件泄密。可以敏捷的开启设备，不影响员工的正常运用。通讯类设备可以按某台、某组或者整个网络制止运用哪些通讯设备。包含：

15、串口，并口，USB 限制器和连接器(HUB)，SCSI接口，1394限制器，红外线，PCMICA卡，蓝牙设备，MODEM，干脆电缆连接串口，并口，USB，拨号连接防止随意通过无线、蓝牙、红外、拔号等方式上网，从而幸免机密文件外泄。USB类相关设备可以按某台、某组或者整个网络制止运用哪些USB设备。包含：USB 键盘，USB 鼠标，USB Modem，USB 映像设备，USB CDROM，USB 存储，USB 硬盘，USB 网卡，USB 其他设备。可以对USB键盘、鼠标、modem、MP3、移动硬盘等分别进展限制，启到防止文件外泄、病毒扩散等。网络设备可以按某台、某组或者整个网络制止运用无线网卡

16、，PnP网卡USB，PCMICA，虚拟网卡等网络设备可以限制网络设备，幸免违规联网。其它类可以按某台、某组或者整个网络制止运用声音设备，虚拟光驱等设备可以限制多媒体设备，幸免违规运用。禁用任何新设备可以按某台、某组或者这个网络制止运用任何新设备不允许增加没有经过管理员认可的任何设备。 网络限制2.3.6.1 需求描述 系统支持对通讯方向、IP地址范围、网络端口范围的设置限制客户端计算机运用网络的权限.通讯方向双向，出站和入站三种(是指物理上的通讯方向)。出站和入站是相对于客户端机器来说的，也就是客户端机器主动连接其他计算机，即为出站。端口范围指通讯所运用的端口号范围网络地址范围指通讯IP地址范

17、围 系统自动检测网络内是否有非法计算机接入，有非法计算机接入时限制台会报警以提示管理人员. 系统支持将客户端IP地址与MAC地址进展绑定， 防止客户端随意修改IP地址.2.3.7 网络流量管控2.3.7.1 需求描述系统支持通过网络地址、端口号、发送和接收方素来限制计算机的网络流量. 系统可以依据网络IP地址，端口号，以及发送,发送/接收/全部等，以及最大带宽值等条件，设置相关策略。限制目标计算机的网络流量。当目标计算机网络流量到达或超出设置的最大带宽值时。系统能自动降低目标计算机的网络吞吐量,以到达网络限速的目的。2.3.7.2 查询统计系统支持按地址明细(IP, MAC地址)，地址类型内网

18、，外网，端口明细，协议明细，计算机等条件进展网络流量的查询与统计。对统计结果可支持统计图表显示。2.3.8. 屏幕监控2.3.8.1 需求描述 实时屏幕快照系统支持实时查看客户端屏幕. 支持同时查看一组进展屏幕监控，在同一屏幕显示多个客户端屏幕， 并可设备显示客户端屏幕的数量。 屏幕快照历史记录系统支持对客户端屏幕快照历史功能：可以通过设置时间范围, 计算机组进展屏幕录制等条件,设置策略,自动对客户端进展屏幕监控。监控到的计算机屏幕遵照视频格式保存在效劳器端。以便管理员可以随时查看查看。2.3.9. 邮件管控2.3.9.1 需求描述 邮件内容日志系统可以记录邮件的收/发日志, 支持POP3，

19、SMTP, 以及web方式的邮件。 日志应包括计算机名，计算机IP，收件人地址，发件人地址， 邮件的标题， 邮件正文内容， 是否含有附件有附件的能记录附件内容， 以及发送/收取邮件的时间等内容。 邮件发送监管系统支持制定相关的策略，从不同维度去限制员工的邮件发送。策略维度包括：发件人地址，收件人地址，邮件标题，邮件大小,是否包含附件,附件名称,附件大小等。策略属性名称说明发件人对发件人的邮箱地址做限制，支持通配符，支持输入多个，以“,”“;”作为分隔符；收件人对收件人的邮箱地址做限制，收件人也包括抄送人和密送人的邮件地址，输入规那么同“发件人”；主题对发送邮件的主题名称进展限制，假如主题名包含

20、了设置的敏感词，那么视为违反了策略规那么包含附件对发送的邮件是否包含附件做限制。附件名称对发送邮件的附件名称进展限制,假如发送邮件的附件名称包含了设置的敏感词,那么视为违反了策略规那么；邮件大小(=KB)对发送的邮件大小进展限制,假如邮件大小超过了管理员设置的值,那么视为违反了策略规那么对于违反了策略的邮件发送，策略可设置制止发送， 以及告警等动作。 设为制止时发送时邮件会发送失败， 设置为告警时， 系统后台会为此次的发送动作产生告警。2.3.10. 即时通讯限制2.3.10.1 需求描述 即时通讯闲聊内容日志系统支持对主流闲聊工具软件QQ， MSN， 阿里旺旺， 飞信， Yehoo通闲聊内容

21、的获得， 并保存为日志。 日志包括， 计算机名， IP地址。 发送者账号， 接收者账号， 闲聊内容， 以及闲聊时间.系统支持对闲聊内容设置敏感词。 对涉及敏感词的闲聊内容对其自动标示。 即时通讯传送文件限制系统支持设置相关策略以限制员工运用闲聊工具软件发送文件。策略内容包含发送时间范围， 文件名称。 防止公司的机密文件通过即时通讯软件外泄。策略属性名称说明文件名称设置须要限制的IM传送的文件名称，支持通配符,当文件名称包含了管理员所设置的敏感词时,那么视为违反了策略规那么；限制文件大小当发送的文件大小超过了管理员设置的限定值时，那么视为违反了策略规那么；发送时间范围指策略在此时间范围内生效，可

22、以设置为全天。即策略全部时间生效。对于违反了策略的即时通讯发送文件。 策略可设置制止发送，告警， 备份等动作。 设置为制止时， 发送文件会失败， 设置为告警时，系统后台会为此次的发送动作产生告警。 设置为备份时， 系统自动把发送的文件备份在后台。2.3.10.2 查询统计 系统可按计算机名或用户名查询全部闲聊记录列表，列表内容包括闲聊工具名称，计算机名、用户名、闲聊账号名称、对方账号名称、起先时间、完毕时间，闲聊句数；统计每种工具闲聊记录总数； 系统支持选定闲聊记录， 查询此次闲聊记录的上下文。 系统支持按计算机名或用户名统计敏感关键字出现的次数， 并查看涉及敏感关键字的闲聊内容的具体日志，以

23、及闲聊上下文。 资产管理2.3.11.1需求描述 硬件资产管理 系统自动扫描并记录客户端计算机的硬件信息日志，日志记录包括，计算机名，CUP型号,内容型号，硬盘型号，网卡型号，显卡型号等。 系统自动检测客户端计算机硬件信息的添加/删除信息。并把此信息记录为日志。形成计算机硬件资产变更日志。 日志内容包括，变更动作添加/删除，变更时间，计算机名，资产类型CPU，硬盘等. 以及描述指硬件资产类型的描述， 如资产类型为CUP时，描述可为CUP的型号，主频等信息 软件资产管理 系统自动扫描并记录客户端计算机所安装的指定的软件信息日志,日志记录包括,计算机名,软件名称,软件描述等。 系统能自动检测检测客

24、户端计算机指定的软件的添加/删除信息。并把此信息记录为日志。形成计算机软件资产变更日志。日志内容包括,变更动作添加/删除,变更时间，计算机名，软件类型，以及描述。 系统支持进展大规模的软件部署和安装,卸载。能够自动进展大规模的软件部署和安装，也可以复制文件或者应用程序到客户端计算机，在传输过程中支持断点续传，安装时允许通过后台安装或交互安装两种方式进展；能扫描出客户端计算机上已安装的软件列表和版本；可在策略中设置制止安装的应用程序列表；管理员可对客户端已安装软件进展卸载； 远程维护2.3.12.1 需求描述系统支持管理员对客户机进展远程限制， 以便利管理员对客户机进展远程维护。 限制时由客户机

25、发送恳求。 管理员接收到恳求，同意后就可以对客户进展远程限制， 对客户机进展远程维护， 限制功能参考windows自带的远程限制软件。 远程限制时，支持管理员向客户机传输文件。2.3.13 移动存储限制2.3.13.1 需求描述 记录移动存储设备在网络内的运用 系统自动检测移动存储设备的接入,拔出。对客户端计算机移动存储设备的接入,拔出记录日志。 日志内容包括：计算机名,动作类型(接入/拔出),时间， 以及移动设备ID,卷标,容量等信息。 对移动存储设备的读写限制系统可以设置相关策略，限制客户端计算机对移动存储设备的操作。 策略内容包括，时间范围，是否可读,可写。 策略属性名称说明时间满园指策

26、略在此时间范围内生效,可以设置为全天。即策略全部时间生效。可读指客户端计算机可以读取移动存储器的内容。可写指客户端计算机可以写移动存储器。 移动存储设备中的文档进展加解密系统可以设置策略， 对客户端计算机在读取/写入移动存储设备时，自动进展加密/解密操作，以限制移动存储设备在其它地方运用。3. 总体设计3.1网络拓扑构造3.2硬件系统设计3.2.1效劳器及网络设备目前打算采纳的方式是：1台高性能效劳器、3台中档次效劳器、整个网络运用10兆以太网或光纤网络；具体配置建议，请参看硬件设备清单。3.3平安设计3.3.1身份认证为保证平安可信接入，平台为Web操作平台及第三方系统供给身份认证功能，实现

27、它们平安接入平台的相互身份认证。3.3.2信息平安信息平安主要包括信息完整性平安和信息保密传输平安，信息平安设计通过数据完整性、信息保密和抗抵赖等平安效劳，运用国密局批准认可的SM1算法硬加密机制，保证移动应用系统中信息内容在存取、处理和传输中保持其机密性、完整性和可用性，确保信息系统主体的可控性和可审计性等特征。(1) 数据加密传输功能为各种警务信息传输平安，传输过程将对数据进展加密传输。(2) 数据完整性爱护功能可检测和发觉数据在传输过程中是否被修改。3.3.3网络系统平安网络系统平安是保障网络通信根底设施、网络上的各种系统及各种应用软件的正常运行。它建立在物理平安的根底之上，主要包括网络

28、隔离、操作系统平安、网络通信系统平安、网络攻击防范、病毒防范、灾难应急处理、日志管理与审计跟踪等几个方面，是实现整个应用系统平安的根底。3.3.4应用平安防火墙、短消息平安接入系统、IP平安接入系统、鉴别评估管理系统、各种应用效劳器等都应具备全面的访问日志，以便利系统管理员对访问该效劳器的行为进展有效的审计和分析，以便发觉攻击、非法访问的来源，刚好调整系统平安策略，确保整个系统及相关信息的平安。3.4关键技术实现 网络流量的限制当某些机器的网络上传下载流量影响到整个网络时，可供给相关的功能对其进展限速，以到达网络平衡的状态，这项技术须要尝试探究； 远程限制功能类似QQ远程帮助，须要做技术探究；

29、附录一 公司简介江西优码创达软件技术有限公司是一家专业从事软件技术开发效劳及供给公共网络应用与平安管理整体解决方案的双软认定企业，是公安部授权认可的全国9家互联网内容平安与行为审计软件供给商之一。公司自2003年成立以来，始终保持全面快速成长，立足于行业软件研发，广泛从事着与互联网平安、管理决策信息化有关的各项业务，专业供给互联网内容平安和行为审计与监视整体解决方案及系统集成效劳。2006年通过国家信息产业部门的软件企业及产品资格认证。通过不断自主学问产权核心技术的探究，公司相继研发出一系列拥有自主学问产权的软件产品，并通过了江西省科技厅组织的成果鉴定，十二项产品获得软件著作权登记证书，6个工

30、程获得国家或省级资金的无偿资助，两项产品通过公安部检测。其中，网盾2000胜利将IC卡的应用融合在产品中，开创全国平安领域管理应用之先河，该产品运用于江西省全省4500余家网吧，2万余家宾馆、酒店，产品也胜利进入山西、陕西、广西、山东、深圳等省市。多年行业的秣马厉兵和实战成果，已在相关行业树立了良好实干的企业形象，同时也吸引了合作伙伴的目光，中山达华智能科技股份有限公司股票代码：002512前期作为我公司的战略合作伙伴，对公司多年的行业应用沉淀赐予高度评价和期望，现已出资2500万元收购我公司51%的股权，我公司成为中山达华智能科技股份有限公司的控股子公司。中山达华智能科技股份有限公司属广东省

31、高新技术企业，是专业生产非接触式智能卡、智能电子标签、各类RFID产品的研发、生产和销售厂商，其非接触式智能卡在2007年、2008年、2009年、2010年市场占有率连续四年位居同行业第一。国内市场拥有分布在27个省市地区的600多家稳定的终端客户，国外市场主要集中在欧洲和亚洲国家和地区，拥有稳定的海外客户530家。在国家诸多重点建立工程和国际知名工程如：解放军车牌防伪标签、地铁轻轨、大型城市一卡通、HP美国惠普资产管理、图书馆领域有着胜利的应用案例，为RFID产业在物联网事业的大潮中发挥了踊跃作用。附录二 硬件设备清单设备名称配置数量应用效劳器1颗e5-2403 cpu，主频不低于2g，内

32、存32g，sas硬盘 2x300G，raid1，双电源、双千兆网卡1分析效劳器2颗e5-2650cpu，主频不低于2g，内存128g，Sas硬盘，10x600G，双电源、双千兆网卡1数据库效劳器1颗e5-2403cpu，主频不低于2g，内存128g，Sas硬盘，10x600G，raid5，双电源、双千兆网卡1数据库同步备份效劳器1颗e5-2403cpu，主频不低于2g，内存128g，sas硬盘 4x600G，raid5，双电源、双千兆网卡1目前公司上网方式为：运用代理效劳器，上网行为审计的用户是代理效劳器上的用户。而内部邮件及u盘管理这类的桌面管理程序是在各位员工各自的电脑上，这种模式如何实现。