北京网康科技有限公司

2010年7月

1、网络现状与问题分析

       1.1上网行为审计机制缺乏：

         1）网络用户访问互联网行为没有有效的分析依据，不了解互联网访问整体的组成情况。

         2）不了解哪些用户访问了哪些类型的网站，哪些用户试图访问或者曾经访问了不良类型网站，哪些网站访问次数最高，哪些用户访问次数最高。

         3）不了解是否有用户使用互联网发布不良言论和敏感信息，当发生非法外发事件时，无日志可查，无法给公安机关响应的留存记录。

         因此，目前安缦颐和酒店对互联网的访问审计基本上是空白一片，无法有效评估当前互联网访问的健康程度，无法规避当发生意外事件时的法律风险。

       1.2安全风险：

         1）内网用户有意或者无意访问互联网中的隐患类网站如病毒，色情等类型网站把病毒引入内网，带来严重的安全隐患。

         2）网络中蠕虫类病毒无法进行有效的预警和控制，当爆发时不具备降低病毒风险的机制。

       1.3法律风险：

         1）网络中用户试图访问国家严格禁止的色情，违反法律法规，邪教等类型的网站带来法律风险。

         2）由于互联网的开放性，有内部用户通过互联网（如贴吧，论坛，博客等等）发布对酒店不利，甚至于严重危害党和国家安全的非法言论，带来法律风险。

         3）内部用户在baidu，google上搜索不健康，不道德和国家法律不允许的资源。

2、解决方案

根据酒店网络整体建设规划的要求，此方案在酒店网络出口处放置一台网康互联网控制网关，实现对酒店内部所有用户的行为进行审计和管理。

通过本次建设，应可达到对互联网行为有效的风险规避，减少法律风险，提升工作效率，保障核心应用使用质量，尽最大可能的避免不合规信息的外发，并可全面监控，审计，管理互联网行为。

2.1部署方式

根据当前互联网接入模式，我们建议在酒店网络总出口处部署一台网康互联网控制网关（网康NS-ICG），物理部署模式建议为透明串接，以保证透明无缝接入、完全的审计管控效果。具体工作模式依据原有上网方式、具体应用可以灵活配置。

部署示意图

在网络总出口处部署一台网康互联网控制网关，过滤内部所有人员的上网行为。

2.2上网行为管理功能实现

         1）、人员追踪

网康NS-ICG通过有效的用户身份识别，使得策略的管理和行为的追踪能够根据不同的需求进行灵活的管理。

网康NS-ICG提供全面的认证机制，除了传统的认证方式外，还提供私有认证，使得用户的识别种类更加丰富。

    对于固定IP的用户，如果管理员已经将用户信息汇总到Excel、TXT等文件中，可以通过网康NS-ICG的导入功能更加快捷的创建用户和分组信息。

对于动态IP的用户（酒店客房），网康NS-ICG可以支持web认证，上网的时候输入用户名和密码，有效追踪到上网行为的发起者。在WEB认证方式下，管理员可以设定并分发统一的初始口令，并定义账号缓存的有效时间，保障用户身份的安全，使用户身份的确定与具体上网设备完全无关。

         2）、网页过滤

         Web是互联网上内容最丰富、访问量最大的应用，然而网页内容良莠不齐，充斥许多反动、暴力、色情以及其它不健康的信息；网康ICG通过预分类过滤技术、URL自动分类引擎以及灵活的策略设置，对违反国家法律、危害单位安全的内容进行过滤，避免用户有意无意访问包含非法内容的网页，净化网络，减少病毒进入局域网的几率，降低法律风险，创造文明健康的办公环境。

         3）、流量监控

         网络应用层出不穷，对带宽资源的占用也越来越高，特别是以P2P为代表的下载软件，如果不加限制，会严重消耗单位的带宽资源，从而影响正常的业务数据的传输。网康NS-ICG支持应用层的带宽分配与流量管理，可以针对用户或部门、按照时间段，对每一种应用协议进行带宽限制。网康NS-ICG像一台网络协议分析仪，能够识别并统计网络上有哪些类型的数据在传输，哪些应用在运行，哪些协议在使用，哪些服务器的流量占用了主要的带宽资源，哪个用户的上网行为显著消耗了带宽等。根据这些量化的统计数据，通过预先设定若干个虚拟的带宽通道，将带宽通道与具体的用户或网络应用绑定，从而对其流量进行限制、整形，达到带宽管理的目的，保证服务器，关键业务流量，降低甚至阻塞非工作相关业务流量。

         5）、内容审计和过滤

         通过互联网传递信息已经成为互联网用户的关键应用，然而信息的机密性、健康性、政治性等问题也随之而来。通过网康NS-ICG，您可以制定精细化的信息收发监控策略，有效控制信息的传播范围，控制敏感信息的泄露，避免可能引起的法律风险。针对酒店的实际情况进行内容的监控：

²  敏感或者非法关键字阻断：如色情，法轮功，邪教等等

²  对论坛发帖内容进行监控并记录，并设置敏感关键字阻断报警，当发生非法言论行为进行预警并做到事前控制。

²  特殊用户开启聊天记录审计，做到重点防护，防止意外情况发生。

²  每个节点用户的网站访问情况。

²  每个节点用户的应用使用情况。

²  加密网站的访问记录……

6）、实时监控

         网康NS-ICG支持管理员实时地监控设备运行健康状况与当前网络活动，在第一时间内对网络异常进行定位分析，及时追踪到内网的安全事件。

         7）、查询统计与报表分析

         对用户网络行为进行记录与分析，是上网行为管理产品必备的重要功能。对日志的存留与分析，既是对国家法律法规的遵从，也是真正管理好员工上网、有效利用网络资源的需要。针对用户上网行为以及相关内容查询统计，能够对单位的网络活动进行较长时间的回溯与反查，帮助管理人员全面了解网络的使用情况，为改进网络管理提供详实准确的依据。网康ICG能够根据提供如下的查询统计分析工具：

²  基于用户的综合上网行为查询

²  网络流量查询，数据粒度可选，如：按汇总数据，小时流量，细节流量

²  Web访问记录查询，数据粒度可选，如：全链接，仅主链接

²  电子邮件收发记录查询，可查看完整的邮件正文与附件内容

²  论坛发帖内容查询，可查看完整的发帖正文与上传文件

         网康NS-ICG支持根据时间、用户、应用对上网行为进行全方位的统计，内容涵盖网络流量、Web访问、邮件收发、IM聊天、论坛发帖、P2P下载等各种网络应用。并提供多达50种预置报告模版，获得不同角度的统计报告。

         8）、异常监控

         对网络中异常流量，异常用户进行监控，并对异常行为进行有效的控制，当某些主机中毒，或者流量异常时，通过设备防护功能，有效控制异常流量，定位异常源头，必要情况直接屏蔽异常主机。

3、网康NS-ICG简介  

3.1设备系统的安全性

为避免管理员误操作，自身系统被攻击，而导致的设备异常继而影响的用户业务，设备可提供如下安全性保障机能。

1）、管理员分级，分权，角色区分

设备可分级提供多个管理员角色，每个角色具备不同的能力，同时同级别管理员各自配置的策略他人不能删除更改。

设备可分权限设定多个管理员角色，每个角色具备对指定用户的管理与审计权限，防止某一部门管理员可以管控与审计其它部门员工的上网行为。

设备可定义登录权限，限制登录计算机，有效避免帐号口令被盗导致非法用户登录。

2）、系统无硬盘依赖 

考虑到审计设备记录日志量很大，因此设备中的硬盘是易损部分，即使配置日志中心数据不记录到本地硬盘时，由于硬盘提供部分Cache，也会导致硬盘故障风险高。因此设备应提供无硬盘依赖系统，当本地硬盘损坏后，设备依旧可以使用板载的固件启动，并保证控制审计功能正常，当有外置数据中心时还可保障数据的有效存储。确保设备自身可可靠性。

3）、系统bypass实现 

考虑到应用层增值系统串入网络后，不应该在任何一次异常时影响原有网络的可用性，开启设备的智能Bypass体系。

当设备断电后可进入物理导通状态。

当设备异常但仍仍加电时也可进入物理导通状态。

当巡检设备时可使用快速切换开关，避免巡检带来的风险。

3.2设备系统的易用性

1）、设备可使用串口进行配置 

作为网络设备，网康NS-ICG提供了物理串口配置模式，便于IT人员在机房，在无法远程访问的情况下拥有最基本的配置，故障排查保障，提高原理的易用性。

2）、设备可使用命令行进行配置 

网康NS-ICG提供了SSH方式加密的远程连接命令行，便于当web管理系统失效时依旧可以通过远程方式对设备进行基本操作，避免IT人员的奔波，提升工作效率。

3）、设备可使用web界面配置 

简明界面：网康NS-ICG提供了简明，清晰，任务模式的web配置界面，可让管理员快速定位问题的来源，快速实现策略的配置。

在线帮助启用：同时网康NS-ICG提供了即时在线帮助，用户点击帮助后，当前操作的指导会直接出现，可极大保障使用的正确性。