iMC UBA用户行为审计组件

1、盎iMC UBA颁用户行为审计组瓣件产品详细介绍产品概述叭iMC UBA肮用户行为审计组疤件通过与多种网柏络设备共同组网艾，用来对终端用熬户的上网行为进瓣行事后审计，追罢查用户的非法网斑络行为，满足相八关部门对用户网按络访问日志进行板审计的硬性要求办。拜UBA靶用户行为审计组芭件提供俺NAT1.0凹日志、哀FLOW1.0拜日志、氨NetStre奥am V5埃日志、颁DIG搬日志的查询审计按功能，网络管理胺员可以根据网络霸日志对上网用户颁的网络行为进行拌审计。产品特点全面的日志采集扮UBA埃用户行为审计组奥件可支持多种网爸络日志的采集（捌包括扒NAT1.0百、澳FLOW1.氨0昂、搬NetStr

2、e扮am V5皑），对于不支持板上述日志的设备绊，可以通过设备挨的镜像端口或扮TAP安分流器采集网络把流量生成阿DIG胺格式的日志。分布式部署。翱UBA拜用户行为审计组芭件采用分布式的懊体系结构，支持懊多点采集，统一芭Web捌界面审计分析，罢可以同时采集多八个设备的日志信肮息，为网络管理啊员监控网络提供蔼了灵活有效的支把持。八强大的日志审计奥功能巴UBA挨用户行为审计组疤件可根据用户需板要，通过接入用跋户名、上网时间哎、用户访问网页拜的氨URL柏、埃ftp瓣操作文件及发送艾邮件的主题等各傲种条件的组合对白网络日志进行快搬速审计，并对审阿计结果提供灵活胺的排序、分组、柏保存等功能。阿网络管理员可

3、以扳从海量的网络日疤志中精确审计终凹端用户的上网行芭为。终端用户何霸时访问了某网站傲、何时访问了某扒网页、发送了哪翱些凹Email拌、向外发送了哪把些文件等信息均拌可通过日志审计爸得出结果，日志版审计包括：奥扮通用日志审计：昂审计内容包括接靶入用户名、用户绊上网起止时间、隘来源芭/捌目的盎IP靶地址、来源罢/隘目的端口、使用斑的协议及应用名隘。啊氨 懊Web罢访问审计：审计熬内容包括接入用哀户名、用户上网坝起止时间、来源佰/吧目的鞍IP奥地址、端口、用版户访问的站点、拔用户访问的网页板等。邦 版文件传输审计：唉审计内容包括接八入用户名、用户碍传输文件起止时瓣间、来源芭/胺目的百IP绊地址、端口

4、、芭ftp矮用户名、传输文爱件名、传输方式背（上传班/柏下载）等。邮件八审计：审计内容胺包括接入用户名昂、邮件发送时间敖、来源瓣/跋目的哀IP八地址、发件人、唉收件人、邮件主扒题等。地址转换埃审计：审计内容肮包括接入用户名霸、用户上网起止百时间、来源氨/袄目的俺IP懊地址、来源扮/白目的端口、使用班的协议及应用名版、佰NAT翱转换后艾IP白地址芭/叭端口等。绊图1-1 背日志审计界面懊伴 八基于用户的行为癌审计暗结合扮EAD版端点准入解决方皑案，盎UBA芭用户行为审计组哎件可高效地管理斑网络用户，建立败详细的用户访问版互联网的日志，傲提供行之有效的芭网络管理和用户矮行为跟踪审计策半略，帮助管理

5、员耙分析用户的上网唉行为。俺瓣 皑七层应用审计佰端口不固定的应氨用，如翱P2P半等应通过报文应靶用层数据的特征鞍进行识别。基于捌七层应用的识别笆和分类，盎UBA皑可基于用户全面般审计网络中的七敖层应用使用信息背。氨组件已经将大部背分常见的端口不把固定的应用设定靶为组件预定义的笆应用，如：安BT唉、瓣DC案、爱eDonkey板、摆Gnutell皑a啊、绊 Kazaa氨、白MSN板、爸QQ笆、般AIM巴等。用户可根据啊需要，定义其它背的应用识别。七俺层应用识别只对敖DIG佰日志有效，对其岸他类型的日志无耙效。 任务式审计吧UBA氨用户行为审计组叭件提供基于任务鞍的自动跟踪审计叭功能，可以根据肮接入

6、用户名、用坝户访问网页的俺URL爱等各种查询审计般条件灵活制定审碍计任务。任务一爸旦制定，组件将瓣自动跟踪审计当癌前时间段内满足阿查询条件的所有八用户及日志信息艾。审计任务扳 百包括：地址转换百、颁Web袄访问、文件传输搬、邮件、通用等胺多种类型。白澳 挨日志转储板UBA艾用户行为审计组叭件支持对海量日邦志进行转储。用阿户可以将敏感日岸志和由于数据库柏空间限制无法存疤储的日志定时导凹出到数据文件中啊进行异地保存，熬同时组件提供转耙储日志查询工具般，用户可直接对吧转储日志进行查鞍询操作。拜柏 巴审计报表靶UBA盎系统提供专业的瓣报表，包括访问摆站点、会话数、袄应用分布、未知柏应用的耙TopN耙报

7、表，阿SMTP暗、班HTTP扮、靶FTP稗的应用分析报表阿，每种报表都可扒以按照天、周等案周期和图形、列办表等形式输出。案通过使用这些自哎带的报表，管理俺员可以非常清楚稗的了解当前用户把对网络的使用情按况。罢图1-2 氨用户访问站点拌TopN矮日报表组网应用斑佰 吧NetStre半am/NAT/盎FLOW敖日志审计组网方搬式鞍该组网方式可以哀为宽带运营商或皑教育网提供网络般日志审计功能，盎便于对访问非法半站点的用户行为背进行跟踪。该组吧网方式非常灵活埃，可以根据运营扳商或教育网等不啊同的运营特点，傲实现多种方式的霸日志记录与审计摆能力。例如，如碍果在爱Interne罢t癌出口需要作奥NAT阿转

8、换，并且使用艾了皑H扳3C白设备的矮NAT扒功能，用户行为案审计组件就可以皑接收艾NAT皑日志进行处理。爱如果在胺Interne昂t挨出口不需要做肮NAT板转换，则可以通俺过吧FLOW捌格式或百NetStre氨am V5翱格式的日志记录癌用户的上网行为拜。该组网方式下昂，需要配套设备吧支持唉NAT罢、八FLOW芭或绊NetStre伴am扳日志输出。肮图1-1 Ne板tStream佰/NAT/FL疤OW捌日志审计组网方白式熬跋 熬DIG懊探针组网方式耙探针式采集器能唉够与任何支持端盎口镜像功能的交岸换机或集线器配拌合，采集网络中袄的报文信息，并拔为用户行为审计柏提供统计信息。唉该组网方式最大颁的

9、优点在于不用熬依赖于具体设备胺，从而可以更有鞍效的保护用户的按已有投资，主要阿面向出口容量不半大的教育或行业坝用户。胺图1-2 DI艾G凹日志审计组网方癌式摆UBA颁用户行为审计组斑件是敖H版3C八公司自主开发的澳网络日志审计产扮品，用户可以根佰据实际需求选购跋相应配置。艾型号斑产品描述暗H芭3C靶 iMC-敖智能管理平台标捌准版靶(挨不含节点坝)-案纯软件绊(DVD)唉必配。坝H啊3C斑 iMC-UB阿A傲用户行为审计组绊件啊(澳含拌1000伴用户唉)-唉纯软件白(CD)拌对用户日志进行耙审计时必配，完安成用户日志采集版、处理、分析与柏审计，提供配置唉、告警功能版H捌3C佰 iMC-UB佰A

10、氨用户行为审计组疤件懊1000白用户败License昂费用摆选配，盎1000按用户氨License颁费用稗H佰3C案 iMC-UB芭A傲用户行为审计组拔件稗5000罢用户案License敖费用扮选配，邦5000背用户胺License爱费用昂H半3C巴 iMC-DI绊G矮日志探针组件授跋权包费用坝选配，配合探针啊组网方式使用吧性柏参数碍硬件平台哀用户行为审计服笆务器：柏 傲PC袄服务器：白CPU俺主频百胺3GHz跋、拜CPU佰个数或瓣CPU翱核数罢半2芭、内存板扒6G挨、硬盘懊安700G傲、柏48伴倍速光驱、爸10/100/八1000Mb搬自适应以太网卡疤、声卡凹霸探针：熬PC服务器：扒CPU岸

11、主频哀把3GHz、内存耙办2G隘、硬盘氨半100G百、2个奥10/100/唉1000Mb碍自适应以太网卡白傲* 稗说明：蔼CPU邦、内存和硬盘配哎置与流量采集大颁小直接相关，根哀据具体网络流量唉采集大小确定实伴际硬件配置。瓣操作系统般用户行为审计服班务器：半 败Windows敖 Server叭 2003 /岸Windows颁 Server拔2008拜Red Hat按 伴Enterpr稗ise耙 Linux 敖5 or 5.哎5柏肮DIG拜探针服务器：阿Redhat 伴AS5.0皑或叭ES 3.0罢操作系统昂埃浏览器：爸IE 6胺及以上版本、疤Firefox昂 3.0耙及以上版本。案数据库伴Wi

12、ndows跋 盎平台：稗SQL Ser翱ver 200盎5傲，背SQL Ser稗ver 200阿8胺Linux案平台盎：肮Oracle 摆11G岸阿扮硬件配置由网络敖规模决定，具体埃配置请咨询H哎3C敖当地办事处。绊业界第一款应用霸控制与行为监管斑网关隘H柏3C昂 SecPat凹h ACG哎（澳Applica拌tion Co板ntrol G盎ateway安）是业界识别最绊全面、控制手段安最丰富的高性能哎应用控制网关，啊能对网络中的傲P2P/IM罢带宽滥用、网络斑游戏、炒股、网蔼络视频、网络多鞍媒体、非法网站哎访问等行为进行哀精细化识别和控懊制，保障网络关阿键应用和服务的盎带宽，对网络流爸量、用

13、户上网行班为进行深入分析袄与全面的审计，岸进而帮助用户全拔面了解网络应用案模型和流量趋势耙，优化其带宽资翱源，开展各项业埃务提供有力的支背撑。产品特点巴最全面的应用识案别能力颁通过般H叭3C斑长期积累的状态按机检测、流量交昂互检测技术，能阿精确检测盎Thunder佰/Web Th办under敖（迅雷柏/Web办迅雷）、袄BitTorr傲ent搬、半eMule办（电骡）按/eDonke矮y扒（电驴）、扮QQ柏、肮MSN半、耙PPLive凹等袄P2P/IM/爱网络游戏背/绊炒股靶/绊网络视频碍/岸网络多媒体等应凹用。白精细化的流量管坝理功能挨采用基于队列（板Each Fl班ow Queu碍ing翱

14、）的流量处理机阿制，通过通道、翱子通道、子通道般下的子通道等区按分服务模式，并啊结合时间段、用俺户暗/鞍用户组、上行板/半下行、区域等，败易于对每个业务敖“俺流澳”隘队列，设置不同板的优先级策略，碍实现最小带宽、佰最大带宽、最大靶会话数、每会话伴带宽、新建连接百数等控制，实现版带宽借用、拔Qos挨优先级标记等，唉真正实现端到端挨的精细化流量管搬理。丰富的报表奥提供实时的业务懊流量趋势图、流邦量分布图、拌Top N败用户列表、懊Top N啊应用协议列表等板报表，并支持按扳照用户名芭/跋用户组、使用频氨度、使用时段、拜应用分类、应用稗协议、流量大小按等进行多维度组笆合定制报表，使般用户能全面掌握拜

15、网络中的流量、版应用和业务分布拌，为合理规划网奥络、制定流量控懊制策略提供依据般。挨完善的安全审计跋系统办可对各种凹P2P/IM癌、网络游戏、网邦络多媒体、文件捌共享、邮件收发盎、数据传输、数埃据库应用等各种败上网行为提供全埃方面的行为监控蔼和记录；同时，版通过综合分析、斑检测用户网络流拜量与流向趋势，昂对历史数据进行颁分析，为用户提鞍供细粒度的网络氨应用审计管理系搬统。强大的过滤功能罢通过自定义坝IP疤地址、主机名、哎正则表达式等方板式设置般URL啊特征库，支持根袄据不同的哎URL绊策略设置不同的哎响应方式，支持百根据时间表对不熬同的碍URL疤策略设置不同的熬响应动作，避免罢保密信息的外泄斑

16、，免受非法信息芭的干扰，确保网扒络的健康使用。啊高性能、高可靠伴性哎基于新一代多核伴CP佰U+FPGA哎硬件架构，业务办与转发相分离，白实现了千兆级线坝速业务处理能力扳，仅有微秒级时碍延；通过掉电保按护（蔼PFC半，无源扒Bypass耙）、软件二层回斑退、双电源冗余拜等高可靠性设计办，保证爸SecPath般 ACG唉在断电、软硬件懊故障或链路故障芭、流量过载的情盎况下，网络链路绊仍然畅通。败及时的特征库更耙新白H昂3C扒专业特征库团队半密切跟踪应用变鞍化，并对应用协澳议特征库及时更叭新；支持对协议扒特征库的在线自埃动白/芭手动升级、本地懊升级，且升级过奥程无需重启系统捌，不影响系统业隘务运行。

17、系统规格碍项目岸SecPath案 ACG200把0-M敖管理接口半1办个俺C暗onsole搬口版 + 2般个懊GE Comb败o芭口唉业务接口熬2拔个唉GE Comb邦o邦口（最大昂2奥个扳GE Comb瓣o啊口靶 + 16唉个阿GE唉电口）靶扩展槽白2埃接口模块爸4GE傲电口背/4GE半光口爱/8GE盎电口笆尺寸（高碍凹宽岸扳深）坝44mm熬 疤442mm蔼 笆460mm颁额定功率霸150W胺电源胺100240白VAC/50暗60Hz安可靠性半支持二层回退、板双电源冗余、外稗置掉电保护熬环保标准芭通过欧盟严格的颁环保标准爸RoHS捌认证胺重量矮7.5 Kg扮P2P俺应用识别懊Thunder把

18、/Web Th懊under鞍（迅雷拌/We肮b拜迅雷）、罢BitTorr昂ent俺、凹eMule罢（电骡）唉/eDonke啊y斑（电驴）等百IM摆应用识别按QQ白、扒ICQ靶、凹MSN Mes案senger芭、矮Yahoo M碍essenge半r哎、新浪盎UC奥、阿里旺旺（淘肮宝版）、飞信等袄炒股应用识别耙大智慧、同花顺跋、指南针、证券霸之星、钱龙、大扮策略等背网络多媒体应用稗识别蔼PPLive按、板PPStrea瓣m败、绊QQLive捌、沸点网络电视芭、耙QQLive敖、沸点网络、阿UUSee半、千千静听等绊网络游戏应用识败别挨魔兽世界、鞍QQ半游戏、联众、颁Half-Li颁fe般、劲舞团、

19、征途扮、梦幻西游、泡柏泡堂等扮其他埃支持斑SQL Ser肮ver/Ora吧cle唉等数据库和哀Lotus n爱otes摆等企业应用识别班行为审计白支持对扒P2P/IM奥、网络游戏、网绊络多媒体、文件傲共享、邮件收发熬、数据传输等各摆种上网行为进行办审计碍数据库审计班支持对背Oracle白、岸Sybase半、熬MySQL凹、扒SQL Ser熬ver百等数据库的审计稗URL佰过滤澳支持自定义耙IP矮地址、主机名、扮正则表达式设置斑URL般库熬控制策略艾支持告警、限流懊、阻断、干扰、澳带宽保障等控制傲策略般管理方式瓣支持本地案Web靶图形化管理、阿SecCent爱er懊集中管理在线部署哎 伴适用于大

20、中型企懊业用户，以透明爱方式在线部署于案网络出口；无需败改变网络拓扑八 氨对罢P2P/IM/昂网络游戏搬/袄炒股奥/俺网络视频办/绊网络多媒体绊/背非法网站访问等百各种应用进行监拌控和管理，保障把关键应用和服务摆的带宽半 盎对用户上网行为昂进行分析与审计案 暗支持熬MPLS/GR碍E/L2TP/版VLAN/PP办PoE斑等复杂网络环境把；支持多台分布芭式部署的统一管芭理旁挂部署颁 澳适用于大中型企白业用户，以旁挂柏方式部署于核心耙设备旁；不影响败网络结构，部署澳简单安 扒对用户罢P2P/IM/碍网络游戏矮/斑炒股埃/暗网络视频笆/唉网络多媒体百/芭非法网站访问等摆的流量、行为进吧行分析及审计般

21、 扳支持半MPLS/GR搬E/L2TP/蔼VLAN/PP靶PoE澳等复杂网络环境扒；支持多台分布扳式部署的统一管绊理稗1)爸 斑SecPath霸 ACG200柏0-M靶主机选购一览表傲项目敖数量爱备注傲SecPath爸 ACG200扒0 -M稗主机熬1斑必配斑HIM矮接口模块搬02癌选配（支持埃4GE胺、邦8GE肮两种接口卡）绊H盎3C岸 SecPat捌h PFC瓣主机设备癌01岸选配（需配置百PFC胺接口模块）哎H把3C熬 SecCen袄ter唉组件袄-ACG Ma爸nager伴应用控制与审计氨管理系统伴-坝纯软件俺(CD)案01安选配哀H哎3C袄 SecPat疤h ACG20碍00-M/H

22、蔼3C坝 SecBla把de ACG 俺应用识别特征库罢升级服务暗-1摆年蔼无限制阿选配翱(2)俺 板SecPath靶 ACG200阿0-M敖主机氨HIM耙接口模块选购一癌览表跋接口模块懊描述暗备注芭4拜端口澳10/100/氨1000Bas唉e-T版接口模块跋02安选配伴4跋端口按1000M奥以太网光接口模蔼块奥02暗选配，须另配耙SFP哎模块哀8罢端口板10/100/肮1000Bas哀e-T疤接口模块艾02唉选配背(3)败 爱SecPath拜 PFC凹主机接口模块选瓣购一览表皑接口模块吧描述艾备注办H扒3C翱 SecPat疤h PFC 8扳电口保护模块癌01摆选配斑H绊3C稗 SecPat皑

23、h PFC 4背光口保护模块唉04阿选配艾H伴3C扒 SecPat唉h U200-稗S统一威胁管理百产品癌H俺3C百 SecPat澳h U200-昂S版是八H颁3C坝公司面向中小型拜企业肮/跋分支机构设计的瓣新一代版UTM般（哀United 稗Threat 哎Managem拜ent罢，统一威胁管理哎)暗设备，采用高性绊能的多核、多线敖程安全平台，保鞍障全部安全功能矮开启时不降低性澳能，产品具有极笆高的性价比。在埃提供传统防火墙阿、敖VPN捌功能基础上，同板时提供病毒防护敖、蔼URL耙过滤、漏洞攻击扮防护、垃圾邮件拔防护、埃P2P/IM盎应用层流量控制哀和用户行为审计暗等安全功能。拔H奥3C鞍公

24、司的版SecPath半 U200-S蔼不仅能够全面有板效的保证用户网坝络的安全，还支暗持芭SNMP百和艾TR-069袄网管方式，最大版化减少设备运营哎成本和维护复杂埃性。产品特点班市场领先的安全绊防护功能版l芭 拌完善的防火墙功坝能：提供安全区凹域划分、静态肮/蔼动态黑名单功能罢、败MAC搬和隘IP百绑定、访问控制胺列表（耙ACL翱）和攻击防范等敖基本功能，还提耙供基于状态的检霸测过滤、虚拟防扮火墙、把VLAN埃透传等功能。能艾够防御摆ARP霸欺骗、败TCP班报文标志位不合拔法、背Large I隘CMP翱报文、靶CC爱、胺SYN flo懊od俺、地址扫描和端稗口扫描等多种恶搬意攻击。爱l肮 爸

25、丰富的班VPN碍特性：支持佰L2TP VP安N捌、蔼GRE VPN扳、白IPSec V捌PN八等远程安全接入拜方式，同时设备班集成硬件加密引柏擎实现高性能的稗VPN跋处理。暗l板 笆实时的病毒防护耙：采用稗Kaspers邦ky拔公司的流引擎查艾毒技术，从而迅把速、准确查杀网袄络流量中的病毒澳等恶意代码。颁l隘 般实时的垃圾邮件澳防护：可以拦截暗垃圾邮件，净化岸邮件系统，解决佰垃圾邮件对正常癌工作的干扰问题芭。哎l澳 捌先进的挨URL耙过滤：实现基于昂用户的叭URL啊访问控制，防止靶因浏览恶意或未百授权的网站靶(澳如网络钓鱼攻击瓣网站拌)扳而带来的安全威颁胁。叭l绊 百全面的流量管理捌：能精确检

26、测半BitTorr摆ent啊、熬Thunder懊（迅雷）、把QQ阿等矮P2P/IM埃应用，提供告警摆、限速、干扰或鞍阻断等多种方式澳，保障网络核心岸业务正常应用。阿l耙 隘细致的行为审计岸：可对各种邦P2P/IM白、网络游戏、邮爸件和数据传输等叭行为提供细致的耙监控和记录，实肮现细粒度的网络芭行为审计管理。败l靶 疤NAT搬应用：提供多对碍一、多对多、静拔态网段、双向转蔼换凹 斑、笆Easy IP霸和邦DNS跋映射等哀NAT叭应用方式；支持胺多种应用协议正搬确穿越摆NAT搬，提供芭DNS坝、背FTP背、安H.323案、坝NBT奥等坝NAT ALG疤功能。澳电信级设备高可安靠性盎l百 扒采用摆H

27、奥3C敖公司拥有自主知办识产权的软、硬斑件平台。产品应唉用从电信运营商背到中小企业用户吧，经历了多年的般市场考验。安l皑 八支持双机状态热胺备功能，支持翱Active/把Active隘和氨Active/搬Passive跋两种工作模式，坝实现负载分担和挨业务备份。罢l捌 捌36般年的平均无故障吧时间鞍(MTBF)按智能图形化的管袄理搬l氨 邦简单易用的啊Web UI奥管理。挨l伴 疤支持基于俺SNMP蔼和柏TR-069安协议的管理。傲l凹 啊通过巴H瓣3C哀 UTM阿管理软件实现统哀一管理。蔼l胺 板通过拜H奥3C肮 SecCen碍ter扳安全管理中心实矮现统一管理。组网应用芭l皑 唉多功能集成

28、，实办现全网应用层安版全防护啊l翱 罢多核、多线程硬埃件平台，具有强伴大的处理能力佰l碍 叭双机状态热备技捌术，高可靠网络邦设计拌l奥 隘统一艾Web哎界面，降低管理把复杂度跋H蔼3C邦 SecPat肮h U200-捌M统一威胁管理伴产品班H叭3C哎 SecPat坝h U200-办M跋是背H隘3C盎公司面向中小型凹企业蔼/败分支机构设计的捌新一代绊UTM氨（颁United 爸Threat 耙Managem熬ent白，统一威胁管理奥)爸设备，采用高性耙能的多核、多线半程安全平台，保敖障全部安全功能啊开启时不降低性隘能，产品具有极岸高的性价比。在挨提供传统防火墙皑、耙VPN半功能基础上，同般时提供

29、病毒防护靶、凹URL背过滤、漏洞攻击傲防护、垃圾邮件凹防护、挨P2P/IM斑应用层流量控制罢和用户行为审计颁等安全功能。傲H绊3C奥公司的拌SecPath扒 U200-M埃不仅能够全面有办效的保证用户网捌络的安全，还支摆持坝SNMP熬和哀TR-069笆网管方式，最大癌化减少设备运营拜成本和维护复杂矮性。产品特点罢市场领先的安全奥防护功能奥l百 叭完善的防火墙功绊能：提供安全区笆域划分、静态隘/阿动态黑名单功能败、奥MAC板和哀IP班绑定、访问控制背列表（按ACL巴）和攻击防范等扒基本功能，还提靶供基于状态的检癌测过滤、虚拟防暗火墙、瓣VLAN胺透传等功能。能版够防御矮ARP版欺骗、摆TCP挨报文标志位不合跋法、岸Large I板CMP拜报文、岸CC搬、皑SYN flo矮od熬、地址扫描和端斑口扫描等多种恶疤意攻击。唉l昂 碍丰富的挨VPN艾特性：支