企业上网行为控制审计系统需求说明书

1、.【交通管理业务信息综合分析研判平台】：.； 江西优码创达软件技术文档编号密级文档类型部门网安研发文档形状草稿 FORMCHECKBOX 审核 FORMCHECKBOX 同意 FORMCHECKBOX 作废版本号1.0共 0 页企业上网行为控制审计系统需求阐明书编写： 日期：2021/9/3日期：日期：江西优码创达软件技术2021-9-3目 录 TOC o 1-3 h z u HYPERLINK l _Toc334447520 1. 引言 PAGEREF _Toc334447520 h 2 HYPERLINK l _Toc334447521 1.1.编写目的 PAGEREF _Toc33444

2、7521 h 2 HYPERLINK l _Toc334447522 1.1.背景 PAGEREF _Toc334447522 h 3 HYPERLINK l _Toc334447523 1.2.参考资料 PAGEREF _Toc334447523 h 3 HYPERLINK l _Toc334447524 2. 需求分析 PAGEREF _Toc334447524 h 4 HYPERLINK l _Toc334447525 2.1工程目的 PAGEREF _Toc334447525 h 4 HYPERLINK l _Toc334447526 2.2架构设计要求 PAGEREF _Toc334

3、447526 h 4 HYPERLINK l _Toc334447527 2.2.1设计原那么 PAGEREF _Toc334447527 h 4 HYPERLINK l _Toc334447528 2.2.2系统架构特点 PAGEREF _Toc334447528 h 5 HYPERLINK l _Toc334447529 2.2.3系统架构简图 PAGEREF _Toc334447529 h 5 HYPERLINK l _Toc334447530 2.3需求阐明 PAGEREF _Toc334447530 h 6 HYPERLINK l _Toc334447531 2.3.1 运用程序管控

4、 PAGEREF _Toc334447531 h 6 HYPERLINK l _Toc334447532 2.3.2 网页阅读管控 PAGEREF _Toc334447532 h 8 HYPERLINK l _Toc334447533 2.3.3 文档操作管控 PAGEREF _Toc334447533 h 10 HYPERLINK l _Toc334447534 2.3.4 打印内容管控 PAGEREF _Toc334447534 h 11 HYPERLINK l _Toc334447535 2.3.5 设备管控 PAGEREF _Toc334447535 h 12 HYPERLINK l

5、_Toc334447536 2.3.6 网络控制 PAGEREF _Toc334447536 h 13 HYPERLINK l _Toc334447537 2.3.7 网络流量管控 PAGEREF _Toc334447537 h 13 HYPERLINK l _Toc334447538 2.3.8. 屏幕监控 PAGEREF _Toc334447538 h 14 HYPERLINK l _Toc334447539 2.3.9. 邮件管控 PAGEREF _Toc334447539 h 15 HYPERLINK l _Toc334447540 2.3.10. 即时通讯控制 PAGEREF _To

6、c334447540 h 16 HYPERLINK l _Toc334447541 2.3.11 资产管理 PAGEREF _Toc334447541 h 17 HYPERLINK l _Toc334447542 2.3.12 远程维护 PAGEREF _Toc334447542 h 18 HYPERLINK l _Toc334447543 2.3.13 挪动存储控制 PAGEREF _Toc334447543 h 19 HYPERLINK l _Toc334447544 3. 总体设计 PAGEREF _Toc334447544 h 20 HYPERLINK l _Toc334447545

7、3.1网络拓扑构造 PAGEREF _Toc334447545 h 20 HYPERLINK l _Toc334447546 3.2硬件系统设计 PAGEREF _Toc334447546 h 20 HYPERLINK l _Toc334447547 3.2.1效力器及网络设备 PAGEREF _Toc334447547 h 20 HYPERLINK l _Toc334447548 3.3平安设计 PAGEREF _Toc334447548 h 21 HYPERLINK l _Toc334447549 3.3.1身份认证 PAGEREF _Toc334447549 h 21 HYPERLINK

8、 l _Toc334447550 3.3.2信息平安 PAGEREF _Toc334447550 h 21 HYPERLINK l _Toc334447551 3.3.3网络系统平安 PAGEREF _Toc334447551 h 21 HYPERLINK l _Toc334447552 3.3.4运用平安 PAGEREF _Toc334447552 h 22 HYPERLINK l _Toc334447553 3.4关键技术实现 PAGEREF _Toc334447553 h 22 HYPERLINK l _Toc334447554 附录一 公司简介 PAGEREF _Toc33444755

9、4 h 23 HYPERLINK l _Toc334447555 附录二 硬件设备清单 PAGEREF _Toc334447555 h 251. 引言 1.1.编写目的今天，随着信息科技的高速开展，IT给企业的运营带来了前所未有的便利，并且逐渐成为企业开展的重要驱动力。但与此同时，IT也给企业带来了风险和挑战。企业信息平安隐患激增如今，越来越多的企业认识到，信息走漏对企业的危害之重，它不仅给企业带来法律风险、巨额的经济损失，还能够危及企业的生存开展。雇员被列为最有能够制造信息平安事件的素。系统运用效率难以评价和控制最近公布的一项调查结果阐明，在任务中运用MSN、QQ等聊天的人数高达89.2%，

10、网页阅读中新闻网页占65.9%居于首位。一个月薪2000元的员工，每天“隐性旷工2小时，每年为企业带来的直接损失高达6000元。一个拥有50人的企业仅此一项每年将损失30万。并且滥用网络和系统资源还能够将暗藏于互联网的平安隐患带入企业网络内，要挟系统平安。系统维护，资产管理繁琐IT部门接近一半的任务时间用于为计算机安装及晋级软件，IT 人员为PC 做简单的日常维护任务占其总任务量的70-80%，大大添加计算机网络的综合管理本钱。假设问题没有得到及时有效的处置，也会极大影响企业的业务延续性。读者需求提出者企业行政管理层工程组成员1.1.背景系统的称号暂定提出者公司行政管理层，决策层开发者网安行业

11、研发人员用户企业网络管理人员1.2.参考资料盈高多维终端平安管理平台技术白皮书.pdf威盾3.2用户运用手册.doc联软上网行为管理系统.doc交通管理业务信息综合分析研判平台.doc2. 需求分析2.1工程目的 该系统的实现将让企业对一切计算机的运用情况了如指掌，它将是企业对信息的平安防护和技术的广泛运用而应运而生的，其功能强大的计算机监视、控制与管理系统软件，是为现代企事业的管理人员量身定做的企业管理软件。不但可以对员工电脑的屏幕、上网、聊天、邮件和文件操作进展全面的监控、记录和管理，而且还可以防止员工盗窃公司资料，并对员工的任务进展一个客观的评价。它可以大幅度提高企业消费效率，减少不用要

12、的资源浪费，协助 企事业管理人员培育企事业优良风气。2.2架构设计要求2.2.1设计原那么1、规范性：系统设计按公安部颁发信息系统数据库规范以及有关管理方法。2、整体性：系统整体设计一致规范，功能模块明晰合理。3、先进性：系统设计规划采用符合运用系统开展趋势的主流技术，采用B/S三层架构与C/S结合，充分利用两者的优势。4、适用性：系统设计充分思索当前企业上网管理的任务实践，具有较强的适用性和可操作性。5、稳定性：为保证系统最大限制地发扬作用，系统设计采用目前业界主流信息化技术及产品平台，整体系统具有较高稳定性。6、平安性：为确保系统平安，应该具有完善的平安处理方案。7、可扩展性：系统具有较高

13、的灵敏性和强壮性，支持多种主流开发软件，支持组件化、插件方式开发，具备扩展性强、易于集成的二次开发才干，以满足各方面运用扩展的需求，维护简单、晋级方便。8、易用性：提供一致美观的界面、详尽方便的协助 、智能化的提示、简便的操作等。2.2.2系统架构特点省略2.2.3系统架构简图 本系统相关比较独立，主要分前端数据获取及被控层，区域管理层和中心管理层，数据层。2.3需求阐明2.3.1 运用程序管控2.3.1.1 需求描画运用程序日志系统自动记录客户端机器翻开或封锁的运用程序，或者运用程序窗口切换信息。管理员可以经过控制台查看相关日志；运用程序日志类型包括：启动/停顿日志类型阐明启动/停顿记录客户

14、端机器上启动/停顿运用程序的情况；系统运用程序日志记录包含的属性有：操作类型、时间、计算机、用户、运用程序、途径/标题等信息属性称号阐明操作类型运用程序启动/停顿和窗口标题切换；运用程序运用程序的进程称号；文件途径当操作类型是启动/停顿时，记录运用程序在客户端机器上的详细途径；窗口标题当操作类型是切换窗口/切换标题时，记录当前的运用程序的窗口标题。运用程序控制系统可以按全天或指定的时间段对指定的程序制止，对违规网络行为在事前进展控制。运用程序的控制支持以下2种方式：经过进程称号来制止：管理员直接添加运用程序的称号，如QQ.exe；经过运用程序分类来制止：管理员可以按照某种规那么产生相应的程序分

15、类，如聊天软件: (， MSN， 阿里旺旺， 飞信等)一致划分为一类， 系统可以把经过设置运用程序分类来制止在这分类中的一切程序运转。2.3.1.2 统计查询系统可以针对计算机每天的任务情况和运用程序运用的情况进展人性化统计和分析. 为管理者评价员工任务效率提供了可靠的根据，并且提供了统计数据的导出功能. 系统应支持以下几种统计方式:运用程序类别统计系统按看管理员设置的运用程序分类进展统计。 可以统计出各计算机的开机时间，以及各种分类运用程序的运用时间， 以及占总开机时间的百分比。运用程序称号统计系统可以统计出各计算机的开机时间。各运用程序的运用时间，以及其运用时间占总开机时间的百分比。分项统

16、计系统可以把设置某些运用程序为任务运用程序如： Office系统，开发环境VC，VB，DEPHI之类。假设用户在运用这些运用程序，那么视为任务。系统可以统计出第个计算机的开机时间，以及任务时间。系统支持各种统计数据以图形方式显示如:柱状图饼状图2.3.2 网页阅读管控2.3.2.1 需求描画上网阅读日志系统支持详细记录员工访问网站情况，可以按网站称号、标题称号、时间、范围查询日志. 属性称号阐明标题阅读的网站标题；网址阅读的网站的详细网址；时间阅读时间计算机称号计算机称号或IP地址用户登录用户称号上网阅读控制系统支持限制客户端计算机的网站访问，限制对于任务无 关的网站、恶意网站等的访问.系统支

17、持对网站URL分类管理，支持添加/删除/修正网站URL分类，添加/修正网站URL分类时，支持批量导入网站URL列表。系统可以按全天或指定的时间段对指定URL或URL分类设置战略，用于控制用户对网站URL的访问。战略动作可分为允许，制止，告警; 1，允许为用户可以正常访问URL; 2，制止为用户访问URL会被中止；3，告警指用户可以正常访问URL，但在系统后台会产生相应的告警。2.3.2.2 统计查询系统支持网页阅读信息做以统计分析，分为按明细统计和按类别统计，并以直观笼统的图标方式展现出来，查看统计图表即可了解哪类甚至哪些网站被访问的时间比较长，从而判别能否有影响正常任务的情况发生；按网站类别

18、统计系统按看管理员设置的运用网站URL分类进展统计。 可以统计出各计算机的各分类URL访问时间； 按网站明细统计系统按照网络URL列阐明细进展统计。统计各计算机访问URL列阐明细时间。2.3.3 文档操作管控2.3.3.1 需求描画文档操作日志文档操作日志记录客户端机器用户对文档的操作信息，可以让管理员经过查看日志记录可以发现用户的文档操作行为，同时为事后清查资料泄密事件提供可靠线索，加强电子文档管理的平安性; 日志记录的内容包括: 属性称号阐明操作类型包括：创建、访问、修正、重命名、复制、挪动、删除、恢复以及上传/发送源文件用户操作的文档称号；途径用户操作的文档的详细途径，当操作类型为复制、

19、挪动、重命名时，途径会记录文档的源途径和目的途径；盘符类型用户操作的文档所在的盘符类型，包括：硬盘、软盘、光盘、可挪动盘、网络盘。当操作类型为复制、挪动时，会显示源和目的盘符类型；运用程序操作该文档运用的运用程序进程称号；标题操作该文档时的窗口标题。文档操作控制系统可以在指定的时间，制止对指定文档的操作。操作 类型包含：创建、复制、挪动、删除、重命名、修正、恢复及访问;系统可以按全天或指定的时间段对指定文档设置战略,用于控制用户对该文档的操作。战略动作为制止，告警，备份。1，制止指用户制止操作此文档。2，告警指用户操作此文档是后台会产生告警。3，备份指用户操作些文档之前。文档会被自动在后台产生

20、备份。2.3.4 打印内容管控2.3.4.1 需求描画文件打印日志系统可以记录和查询员工打印文档情况，包含打印时间，目的文档途径，打印页数，打印机称号，执行打印义务的PC机器各登录用户名。文件打印控制对客户端计算机的打印权限进展控制，从而实现对打印资源合理分配，限制非法运用程序打印,有效防止敏感或信息经过打印而外泄。控制条件包括：时间，打印机称号，执行打印义务的用户名。2.3.5 设备管控2.3.5.1 需求描画系统可以限制各类设备的运用：设备分类功能引见管理作用驱动类设备可以按某台、某组或者整个网络制止运用哪些存储设备。包含：软驱，光驱，刻录机，磁带机，可挪动设备U盘，挪动硬盘，记忆棒，智能

21、卡，MO，Zip防止员工运用与任务不相关的计算机设备，错误修正网络属性，方便一致部署屏保程序或画面。根据风险评价，制定事前预防战略，根据战略对相应的设备进展制止，预防文件泄密。可以灵敏的开启设备，不影响员工的正常运用。通讯类设备可以按某台、某组或者整个网络制止运用哪些通讯设备。包含：串口，并口，USB 控制器和衔接器(HUB)，SCSI接口，4控制器，红外线，PCMICA卡，蓝牙设备，MODEM，直接电缆衔接串口，并口，USB，拨号衔接防止随意经过无线、蓝牙、红外、拔号等方式上网，从而防止文件外泄。USB类相关设备可以按某台、某组或者整个网络制止运用哪些USB设备。包含：USB 键盘，USB

22、鼠标，USB Modem，USB 映像设备，USB CDROM，USB 存储，USB 硬盘，USB 网卡，USB 其他设备。可以对USB键盘、鼠标、modem、MP3、挪动硬盘等分别进展控制，启到防止文件外泄、病毒分散等。网络设备可以按某台、某组或者整个网络制止运用无线网卡，PnP网卡USB，PCMICA，虚拟网卡等网络设备可以控制网络设备，防止违规联网。其它类可以按某台、某组或者整个网络制止运用声音设备，虚拟光驱等设备可以控制多媒体设备，防止违规运用。禁用任何新设备可以按某台、某组或者这个网络制止运用任何新设备不允许添加没有经过管理员认可的任何设备。2.3.6 网络控制2.3.6.1 需求描

23、画系统支持对通讯方向、IP地址范围、网络端口范围的设置限制客户端计算机运用网络的权限.通讯方向双向，出站和入站三种(是指物理上的通讯方向)。出站和入站是相对于客户端机器来说的，也就是客户端机器自动衔接其他计算机，即为出站。端口范围指通讯所运用的端口号范围网络地址范围指通讯IP地址范围系统自动检测网络内能否有非法计算机接入，有非法计算机接入时控制台会报警以提示管理人员.系统支持将客户端IP地址与MAC地址进展绑定， 防止客户端随意修正IP地址.2.3.7 网络流量管控2.3.7.1 需求描画系统支持经过网络地址、端口号、发送和接纳方向来限制计算机的网络流量. 系统可以根据网络IP地址，端口号，以

24、及发送,发送/接纳/全部等，以及最大带宽值等条件，设置相关战略。控制目的计算机的网络流量。当目的计算机网络流量到达或超出设置的最大带宽值时。系统能自动降低目的计算机的网络吞吐量,以到达网络限速的目的。2.3.7.2 查询统计系统支持按地址明细(IP, MAC地址)，地址类型内网，外网，端口明细，协议明细，计算机等条件进展网络流量的查询与统计。对统计结果可支持统计图表显示。2.3.8. 屏幕监控2.3.8.1 需求描画实时屏幕快照系统支持实时查看客户端屏幕. 支持同时查看一组进展屏幕监控，在同一屏幕显示多个客户端屏幕， 并可设备显示客户端屏幕的数量。 屏幕快照历史记录系统支持对客户端屏幕快照历史

25、功能：可以经过设置时间范围, 计算机组进展屏幕录制等条件,设置战略,自动对客户端进展屏幕监控。监控到的计算机屏幕按照视频格式保管在效力器端。以便管理员可以随时查看查看。2.3.9. 邮件管控2.3.9.1 需求描画邮件内容日志系统可以记录邮件的收/发日志, 支持POP3， SMTP, 以及web方式的邮件。 日志应包括计算机名，计算机IP，收件人地址，发件人地址， 邮件的标题， 邮件正文内容， 能否含有附件有附件的能记录附件内容， 以及发送/收取邮件的时间等内容。邮件发送监管系统支持制定相关的战略，从不同维度去控制员工的邮件发送。战略维度包括：发件人地址，收件人地址，邮件标题，邮件大小,能否包

26、含附件,附件称号,附件大小等。战略属性称号阐明发件人对发件人的邮箱地址做控制，支持通配符，支持输入多个，以“,“;作为分隔符；收件人对收件人的邮箱地址做控制，收件人也包括抄送人和密送人的邮件地址，输入规那么同“发件人；主题对发送邮件的主题称号进展控制，假设主题名包含了设置的敏感词，那么视为违反了战略规那么包含附件对发送的邮件能否包含附件做控制。附件称号对发送邮件的附件称号进展控制,假设发送邮件的附件称号包含了设置的敏感词,那么视为违反了战略规那么；邮件大小(=KB)对发送的邮件大小进展控制,假设邮件大小超越了管理员设置的值,那么视为违反了战略规那么对于违反了战略的邮件发送，战略可设置制止发送，

27、 以及告警等动作。 设为制止时发送时邮件会发送失败， 设置为告警时， 系统后台会为此次的发送动作产生告警。2.3.10. 即时通讯控制2.3.10.1 需求描画即时通讯聊天内容日志系统支持对主流聊天工具软件， MSN， 阿里旺旺， 飞信， Yehoo通聊天内容的获取， 并保管为日志。 日志包括， 计算机名， IP地址。 发送者账号， 接纳者账号， 聊天内容， 以及聊天时间.系统支持对聊天内容设置敏感词。 对涉及敏感词的聊天内容对其自动标示。即时通讯传送文件控制系统支持设置相关战略以控制员工运用聊天工具软件发送文件。战略内容包含发送时间范围， 文件称号。 防止公司的文件经过即时通讯软件外泄。战略

28、属性称号阐明文件称号设置需求控制的IM传送的文件称号，支持通配符,当文件称号包含了管理员所设置的敏感词时,那么视为违反了战略规那么；限制文件大小当发送的文件大小超越了管理员设置的限定值时，那么视为违反了战略规那么；发送时间范围指战略在此时间范围内生效，可以设置为全天。即战略一切时间生效。对于违反了战略的即时通讯发送文件。 战略可设置制止发送，告警， 备份等动作。 设置为制止时， 发送文件会失败， 设置为告警时，系统后台会为此次的发送动作产生告警。 设置为备份时， 系统自动把发送的文件备份在后台。2.3.10.2 查询统计系统可按计算机名或用户名查询一切聊天记录列表，列表内容包括聊天工具称号，计

29、算机名、用户名、聊天账号称号、对方账号称号、开场时间、终了时间，聊天句数；统计每种工具聊天记录总数；系统支持选定聊天记录， 查询此次聊天记录的上下文。系统支持按计算机名或用户名统计敏感关键字出现的次数， 并查看涉及敏感关键字的聊天内容的详细日志，以及聊天上下文。2.3.11 资产管理2.3.11.1需求描画硬件资产管理系统自动扫描并记录客户端计算机的硬件信息日志，日志记录包括，计算机名，CUP型号,内容型号，硬盘型号，网卡型号，显卡型号等。系统自动检测客户端计算机硬件信息的添加/删除信息。并把此信息记录为日志。构成计算机硬件资产变卦日志。 日志内容包括，变卦动作添加/删除，变卦时间，计算机名，

30、资产类型CPU，硬盘等. 以及描画指硬件资产类型的描画， 如资产类型为CUP时，描画可为CUP的型号，主频等信息软件资产管理系统自动扫描并记录客户端计算机所安装的指定的软件信息日志,日志记录包括,计算机名,软件称号,软件描画等。 系统能自动检测检测客户端计算机指定的软件的添加/删除信息。并把此信息记录为日志。构成计算机软件资产变卦日志。日志内容包括,变卦动作添加/删除,变卦时间，计算机名，软件类型，以及描画。系统支持进展大规模的软件部署和安装,卸载。可以自动进展大规模的软件部署和安装，也可以复制文件或者运用程序到客户端计算机，在传输过程中支持断点续传，安装时允许经过后台安装或交互安装两种方式进

31、展；能扫描出客户端计算机上已安装的软件列表和版本；可在战略中设置制止安装的运用程序列表；管理员可对客户端已安装软件进展卸载；2.3.12 远程维护2.3.12.1 需求描画系统支持管理员对客户机进展远程控制， 以方便管理员对客户机进展远程维护。 控制时由客户机发送恳求。 管理员接纳到恳求，赞同后就可以对客户进展远程控制， 对客户机进展远程维护， 控制功能参考windows自带的远程控制软件。 远程控制时，支持管理员向客户机传输文件。2.3.13 挪动存储控制2.3.13.1 需求描画记录挪动存储设备在网络内的运用系统自动检测挪动存储设备的接入,拔出。对客户端计算机挪动存储设备的接入,拔出记录日

32、志。 日志内容包括：计算机名,动作类型(接入/拔出),时间， 以及挪动设备ID,卷标,容量等信息。对挪动存储设备的读写控制系统可以设置相关战略，控制客户端计算机对挪动存储设备的操作。 战略内容包括，时间范围，能否可读,可写。 战略属性称号阐明时间满园指战略在此时间范围内生效,可以设置为全天。即战略一切时间生效。可读指客户端计算机可以读取挪动存储器的内容。可写指客户端计算机可以写挪动存储器。挪动存储设备中的文档进展加解密系统可以设置战略， 对客户端计算机在读取/写入挪动存储设备时，自动进展加密/解密操作，以限制挪动存储设备在其它地方运用。3. 总体设计3.1网络拓扑构造3.2硬件系统设计3.2.

33、1效力器及网络设备目前方案采用的方式是：1台高性能效力器、3台中档次效力器、整个网络运用10兆以太网或光纤网络；详细配置建议，请参看硬件设备清单。3.3平安设计3.3.1身份认证为保证平安可信接入，平台为Web操作平台及第三方系统提供身份认证功能，实现它们平安接入平台的相互身份认证。3.3.2信息平安信息平安主要包括信息完好性平安和信息严密传输平安，信息平安设计经过数据完好性、信息严密和抗抵赖等平安效力，运用国密局同意认可的SM1算法硬加密机制，保证挪动运用系统中信息内容在存取、处置和传输中坚持其性、完好性和可用性，确保信息系统主体的可控性和可审计性等特征。(1) 数据加密传输功能为各种警务信

34、息传输平安，传输过程将对数据进展加密传输。(2) 数据完好性维护功能可检测和发现数据在传输过程中能否被修正。3.3.3网络系统平安网络系统平安是保证网络通讯根底设备、网络上的各种系统及各种运用软件的正常运转。它建立在物理平安的根底之上，主要包括网络隔离、操作系统平安、网络通讯系统平安、网络攻击防备、病毒防备、灾难应急处置、日志管理与审计跟踪等几个方面，是实现整个运用系统平安的根底。3.3.4运用平安防火墙、短音讯平安接入系统、IP平安接入系统、鉴别评价管理系统、各种运用效力器等都应具备全面的访问日志，以方便系统管理员对访问该效力器的行为进展有效的审计和分析，以便发现攻击、非法访问的来源，及时调整系统平安战略，确保整个系统及相关信息的平安。3.4关键技术实现网络流量的控制当某些机器的网络上传下载流量影响到整个网络时，可提供相关的功能对其进展限速，以到达网络平衡的形状，这项技术需求尝试研讨；远程控制功能类似QQ远程协助，需求做技术研讨；附录一 公司简介江西优码创达软件技术是一家专业从事软件技术开发