1、上海安达通信息安全技术股份有限公司VPN通信专家/可信专网领导者VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 目录VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 上网行为管理系统的局限VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 网络带宽管理网络应用管理，如：P2P下载、聊天、炒股等URL管理，如：禁止黄色、暴力、反动等网站访问网络访问日志、审计和报表，如：监控邮件、聊天内容、BBS等，形成各式报表方便管理上网行为管理的主要功能VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 上网行为管理的主要局限仅能管理与互联网访问有
2、关的行为，对内网的安全无法控制；由于只能在网关上进行安全控制，所以网关的性能经常成为网络通讯的瓶颈；需要在网络应用协议分析的基础上对网络应用进行控制（如：BT、emule），所以管控的应用有限；VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 国际上的行为管理安全系统发展趋势单纯的边界防御和管控的局限性；边界管理仅仅是最基础的安全系统；来自内部的安全问题成为主要的安全威胁；安全问题的性质：恶意的和无意的；当前安全系统堆叠的解决方案有效性、可管理性和经济性差；当前的主流技术方向：将准入控制植入内网防御、通过主机和边界安全网关互动实现一体化的、高效能防护系统。VPN通信专家/可信专
3、网领导者上海安达通信息安全技术股份有限公司 全网行为管理系统概念VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 “全网行为管理TPN系统”定义 借助TPN安全网关和主机威胁引擎的联动体系，实现对“主机、内网、网络边界、VPN接入网”的统一安全管理，一体化解决互联网访问控制和审计、内网安全管理、主机安全防护和VPN准入控制，确保用户网络平台的可信、可控、可管。VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 全网行为管理网络行为管理：上网（互联网）行为管理+内网安全管理主机安全管理VPN准入管理系统组成：安全网关+主机客户端 “主机客户端”可选装，但是如果不安装
4、，只能依靠安全网关实现部分安全功能，主要集中在上网行为管理方面全网行为管理系统组成VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 安达通全网行为管理TPN系统架构主机威胁引擎CTE：自动安装、隐蔽运行、无需干预、智能检测VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 全网行为管理TPN系统功能介绍VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 TPN全网行为管理功能VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 智能流控技术：智能流控技术：动态流量技术；动态流控功能通过动态限制大量下载用户的带宽，保证正常上网用户的带宽，从
5、而实现不会因为有个别计算机大量下载而导致其他用户无法正常上网，达到一个上网流量的均衡。“用户”流控技术；“策略”流控技术；8级QoS，三种数据类型，保证使用效率上网行为管理“互联网带宽管理”VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 TPN系统支持对P2P下载、代理软件、炒股软件、聊天软件、网络游戏、远程控制等多种（上网）程序的精确管控。上网行为管理“上网程序管控”VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 TPN程序管控与传统上网行为管理网关的差异控制原理和控制点 TPN系统采用精准的主机端进程检测控制技术，有别与其他上网行为管理设备在网关位置基于
6、协议识别的管理方式；不仅可管控软件的种类多，更新容易；基于主机管控的优势 性能（不影响网关性能，在网关上集中管理，在主机上分布执行） 可管控所有程序 常用程序进程特征库厂商定期发布VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 上网行为管理“基于风险评估的动态访问控制”TPN客户端程序实时在主机端进行主机风险评估，根据评估结果，进行访问控制。 例：如右图禁用主机杀毒软件后，TPN主机控件实时报出“请启动强制进程：杀毒软件”； 随后TPN主机引擎断开主机在可信内网中的接入；VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 上网行为管理“URL控制”根据自定义的U
7、RL列表及黑、白名单 进行URL过滤VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 上网行为管理“网络实名日志和网络行为审计” 系统日志报告 威胁日志分析 流量日志分析 URL访问日志 员工绩效报表VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 TPN审计系统架构 工作原理 TPN行为审计系统将审计数据集中存储在TPN审计服务器数据库中，通过日志审计工具对其日志数据进行查询并生成报表。 审计系统特色 支持对多台网关进行审计； 由审计服务器进行数据分析，不影响网关性能； 可提供“员工工作效率报表”VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司
8、 TPN内容审计模块架构工作原理 通过主机威胁引擎进行内容审计，将需监控的网络访问内容，上传至审计服务器内容审计特色 分布式内容审计系统性能没有网关瓶颈 较上网行为管理网关可监控更多的网络应用，如：QQ 特色的“特权客户端”功能可消除网管员权限过大的威胁VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 step 强制身份认证Step2 主机安全策略下发Step3 在主机和网关分别形成对该用户（PC）的控制策略p内网主机访问外网时，自动跳转到身份认证页面；p可支持通用帐号和免认证功能；p主机启动时，主机威胁引擎客户端可自动完成在TPN网关的登录和认证。内网安全性管理“实名认证”V
9、PN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 内网安全性管理多种认证方式多种登录方式：客户端登录认证、Web登录认证（唯一帐号登录和统一帐号登录）、免登录认证多种身份认证方式：USB KEY、动态口令、数字证书、第三方认证系统：LDAP、Radius、Windows ADVPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 内网安全性管理“虚拟VLAN” 在一个广播域实现多个不同的类似VLAN功能的“逻辑上相互隔离的局域网” ，满足不同安全等级的用户进行逻辑隔离。如：可以对财务、人事等重要部门的主机隔离到不同的虚拟VLAN中，相互不可互访； 抵御非法接入VPN通信
10、专家/可信专网领导者上海安达通信息安全技术股份有限公司 内网安全性管理“内网防ARP欺骗”（一）TPN网关开启防 ARP检测主机B使用ARP欺骗 工具伪装成缺省网关 192.168.1.1向主机 A发送ARP报文 VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 内网安全性管理“内网防ARP欺骗”（二） 客户端主机收到ARP欺骗数据包后 会自动拦截该数据包，进而可以防 止ARP欺骗 VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 内网安全性管理“内网防ARP欺骗”（三）主机A收到ARP欺骗 数据包后会自动拦截 该数据包，进而可以 防止ARP欺骗 VPN通信专家
11、/可信专网领导者上海安达通信息安全技术股份有限公司 内网安全性管理“内网洪流管控”（一）网络中某主机发起大量的TCP连接或UDP包，客户端主机会提示受到攻击，当超过设定阈值，网卡会被禁用；可以以此协助判断网络洪流病毒。 VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 内网安全性管理“内网洪流管控“（二）TPN网关开网络 洪流（TCP/UDP /ICMP）检测主机B向主机A发 起TCP攻击 VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 内网安全性管理“内网洪流管控”（三）主机A受到主机B的TCP SYN FLOOD后主机引擎会提示受到攻击 VPN通信专家/可
12、信专网领导者上海安达通信息安全技术股份有限公司 杜绝内网主机绕过边界安全设备，自己拨号，随意接入互联网VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 启用“非法外联”通过route print查看 主机C的路由表： 缺省路由不存在 内网安全性管理“非法外联管控”（二）VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 主机行为管控“主机风险评估”（一）支持对接入主机的健康性检查和行为规范性检查，确保接入主机安全性和接入的网络的行为规范性。VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 主机行为管控“主机风险评估”（二）未安装杀毒软件， 采用禁止
13、登陆策略若主机A未安装杀毒 软件或病毒库未升级，则无法登陆 VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 主机行为管控“主机进程管控”（一）VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 主机行为管控“主机进程管控”（二）TPN中对“禁用进程”BT采用“禁止应用”策略主机运行BT 软件 时会被TPN引擎终止进程。VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 通过记录用户主机程序的活动时间，作为分析员工工作绩效的重要依据。插入截图主机行为管控“效率报表”VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 在内网中设置补丁服务
14、器，为全网主机提供系统补丁升级服务；主机行为管控“操作系统补丁升级”VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 主机行为管控（未来版本）存储管理：可管控在可信专网内可以使用的U盘和其他类型的存储外设文件管理：可对指定类型的文件进行透明加密管理，只有在接入可信专用网内才能正常使用VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 VPN接入管理TPN系统对VPN远程接入主机做主机检查，符合准入安全标准的主机才允许接入。VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 TPN网关选型要点VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限
15、公司 TPN网关选型要点产品型号产品型号SJW74-T40SJW74-T100SJW74-T500SJW74-T1500SJW74-T2000SJW74-T5000适用对象适用对象小型企业中小型企业大中型企业大型企业超大型企业/骨干网络超大型企业/骨干网络网络接口网络接口2个百兆以太网口(RJ45标准)3个百兆以太网口(RJ45标准)3个百兆以太网口+4个交换口(RJ45标准)4个千兆以太网口(RJ45标准)4个千兆以太网口(RJ45标准) 2个光口4个千兆以太网口(RJ45标准) 推荐的推荐的出口带宽出口带宽4Mbps4Mbps40Mbps100Mbps200Mbps1Gbps推荐内网推荐内
16、网用户数用户数40100500150020005000VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 TPN典型案例介绍VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 带宽管理带宽管理；上网管控：上网管控：上网程序管控，URL控制；防火墙保护；防火墙保护；内网安全管理：内网安全管理：主机接入安全评估和准入控制、非法接入管控；网络日志和审计：网络日志和审计：记录网络访问，监控部分主机的邮件、聊天；TPN经典案例一：创辉地产VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 内网安全管理：内网安全管理：实名认证和接入管理，主机接入安全评估和准入控制
17、、非法外联管控；智能流控：智能流控：确保核心应用带宽；内网可用性管理：内网可用性管理：防网络洪流，防ARP欺骗；集中日志审计：集中日志审计：集中管理全网50多台TPN网关日志、紧急威胁告警；TPN经典案例二 ：嘉兴工商局VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 TPN经典案例分享 ：嘉兴工商局VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 总部的上网行为管理和内网安全管理：总部的上网行为管理和内网安全管理：带宽管理、上网程序管控、强制上网主机的防病毒能力、反ARP欺骗、洪流定位和隔离等；VPN准入控制：准入控制：确保分支机构和移动用户通过VPN隧道接入的安全；集中管理分支机构集中管理分支机构TPN网关：网关：集中制订全网安全策略，统一全VPN网的安全管理；TPN经典案例三 ：山东电力设计院VPN通信专家/可信专网领导者上海安达通信息安全技术股份有限公司 总结上网行为管理网关的局限和行为管理的发展趋势全网行为管理TPN系统概念和架构全网行为管理TPN系统功能模块和技术特点放映结束谢谢观看上海安达通信息安全技术股份有限公司VPN通信专家/可信专网领导者
