【XX医院】信息安全建设方案-XXXX-01-15

·第1页XXXXXXXX医院信息安全建设方案信息安全建设方案二〇一六年一月目录6072一.概述 110044(一)项目背景 111396(二)建设目标 112767(三)依据标准规范 24133(四)建设原则 3247001.全方位提升网络和系统实体的安全性、抗攻击性 3193112.信息系统的可用可靠性、安全性和保密性 3241633.强调系统运行状态的可控性 3130714.安全系统的可管理性 3127085.需求、风险、代价平衡的原则 342346.先进性原则 4129567.可扩展性原则 4256098.多重保护原则 4197209.标准性原则 4349610.易操作性原则 416030二.医院网络现状及需求分析 525128(一)网络结构描述 526489(二)应用系统描述

53626(三)医院网络安全现状

58923(四)医院网络的安全需求 61127三.IT流程规范化改进咨询服务 74886(一)关于IT流程改进咨询 722142(二)提供IT流程知识管理及任务管理系统及服务 724983(三)IT流程改进目标 75450(四)IT流程改进原则 715462(五)IT流程改进服务需求说明 8319741.建立IT流程体系规划和持续改进机制 8257572.建立信息中心部门基本制度 845463.建立医院信息化管理制度 9321644.建立完善系统维护流程 9162515.建立信息安全管理制度 1028656.建立应急预案与演练机制 10203057.建立项目管理制度 11154508.建立统计工作制度 11316019.编制详细作业指导书SOP 1121573四.安全建设方案 1219822(一)MPDRR安全模型 1217714(二)信息安全拓扑图 1310652(三)网络防火墙系统 14309601.产品概述 14138672.产品特点 1423048(四)WEB安全防护系统 1710751.产品概述 1728432.产品特点 1821013(五)运维审计系统 23261791.产品功能 2314805(六)上网行为管理系统 29277741.产品功能 29295322.产品的技术优势 3419814(七)数据库审计系统（防统方系统） 36209371.产品概述 36127472.特色与优势 367220(八)终端安全管理系统 3920181.主要功能特点 3996102.详细功能描述 4017960五.信息安全专业服务 4325722(一)安全规划服务 435591.总体架构 4349952.安全建设规划 4625315(二)安全评估服务 48252431.服务描述 48292102.安全扫描工具 4820247(三)安全加固服务 49121291.服务描述 4970902.服务内容 505729(四)安全巡检服务 5129156(五)应急响应服务 5175121.服务承诺 51161122.安全事件预警 5152453.应急响应规范 53128734.应急响应流程 5421822(六)安全信息服务 5512353(七)安全培训服务 5526815(八)信息化安全服务清单 5525381六.信息安全建设方案清单 57福建省闽保信息技术股份有限公司第1页·第PAGE福建省闽保信息技术股份有限公司第1页概述项目背景医院是一个信息和技术密集型的行业，一般其计算机网络划分为业务网络和办公网络，作为一个现代化的医疗机构的计算机网络,除了要满足高效的内部自动化办公需求以外,还需要对外界的通讯保证畅通。结合医院复杂的HIS、RIS、PACS等应用系统，需要网络必须能够满足数据、语音、图像等综合业务的传输要求，所以需要在网络上应运用多种高性能设备和先进技术来保证系统的正常运作和稳定的效率。同时医院的网络系统连接着Internet、医保专网等网络，访问人员和物理上的网路边界比较复杂，所以如何保证医院网络系统中的数据及应用的安全显得尤为重要。

在日新月异的现代化社会进程中，计算机网络几乎延伸到了世界每一个角落，它不停的改变着我们的工作生活方式和思维方式，但是，计算机信息网络安全的脆弱性和易受攻击性是不容忽视的。由于网络设备、计算机操作系统、网络协议等安全技术上的漏洞和管理体制上的不严密，都会使计算机网络受到威胁。我们可以想象一下，对于一个需要高速信息传达的现代化医院，如果遭到致命攻击，会给社会造成多大的影响。

在医院行业的信息化建设过程中，信息安全的建设虽然只是一个很小的部分，但其重要性不容忽视。便捷、开放的网络环境，是医院信息化建设的基础，在数据传递和共享的过程当中，业务数据的安全性要切实地得到保障，才能保障医院信息化业务系统的正常运行。然而，如果我们的数据面临着越来越多的安全风险，将对业务的正常运行带来威胁。

所以，在医院的信息化建设过程中，我们应当正视网络及系统可能面临的各种安全风险，对网络威胁给予充分的重视。为了医院信息网络的安全稳定运行，确保医院信息系统建设项目的顺利实施，结合具体的网络和应用系统现状，根据医院目前的计算机信息网网络特点及安全需求，本着切合实际、保护资产、着眼未来医疗信息化动态发展的原则，提出本安全建设方案。建设目标医院将通过本次网络系统及网络安全规划与建设，将医院的网络建设成为一个具有现代化、多功能、结构化、智能化的综合性网络系统。医院网络系统是为医院内部提供网络信息系统应用的IT基础平台，包括PACS/RIS系统、HIS/OA信息系统、管理、科研和多业务的综合信息服务网络系统。

首先，通过网络系统安全进行全面的升级改造，建立可为医院内部医疗信息管理、科研提供一个技术先进、高安全性的信息化网络环境。同时院内的医疗信息管理（PACS/RIS/HIS系统）、多媒体系统、远程会诊系统、网上挂号、数据库管理系统等，都可以通过医院信息网络平台安全、高效的网络来运行和工作。满足医院内外网的通讯要求。包括Internet服务远程移动办公服务、远程医疗协助、网上挂号等数据信息下载及视频会议等。

在适应网络发展趋势和医院的实际网络需求基础上，既要能满足同济医院的信息网络系统使用需求，并兼顾今后网络系统易扩充性和可管理性。通过对网络系统络进行统一的整体设计、规划，为医院网络系统打造一个长期、稳定、高效、安全的运行环境，以及医院未来的发展和建设打下良好的网络平台基础。并将重点放在系统的稳定性、开放性、可扩展能力上，使系统持续稳定运行，既可满足现有的医疗信息系统的应用需要，又可方便满足今后系统的升级及应用需求，避免重复投资。依据标准规范GB17859-1999计算机信息系统安全保护等级划分准则GB/T22240-2008信息安全技术信息系统安全等级保护定级指南GB/T22239-2008信息安全技术信息系统安全等级保护基本要求信息系统安全等级保护实施指南（征求意见稿）信息系统安全等级保护评估准则（征求意见稿）GB/T20008-2005信息安全技术操作系统安全评估准则GB/T20009-2005信息安全技术数据库管理系统安全评估准则GB/T20010-2005信息安全技术包过滤防火墙评估准则GB/T20011-2005信息安全技术路由器安全评估准则GB/T21052-2007信息安全技术信息系统物理安全技术要求GB/T19715.2-2005信息技术信息技术安全管理指南第2部分：管理和规划信息技术安全GB/T20984-2007信息安全技术信息安全风险评估规范GB/T19716-2005信息技术信息安全管理实用规则建设原则全方位提升网络和系统实体的安全性、抗攻击性安全性设计从全方位、多层次加以考虑，即通过物理层、链路层、网络层、系统层、应用层等的安全技术措施以及安全管理来确实保证系统的整体安全。保证各种相关的网络和系统具有相当的抗攻击性，能够检测并及时对各种攻击行为做出响应。信息系统的可用可靠性、安全性和保密性首先关注系统的可用性和可靠性，在可用可靠性基础上，进一步强调安全性和保密性问题，即信息在存储或传输过程中保持不被修改、不被破坏和不丢失。对信息的使用进行相关的授权。信息的传输和传播的过程进行相关的控制、监视和跟踪。强调系统运行状态的可控性强调对全网上各种资源的度量和监管，对整个网络和系统的相关状况进行实时监控，对应用服务、数据和资源的使用进行监控。对网络故障、操作错误、应用程序错误、硬件故障、系统软件错误及计算机病毒所产生的潜在威胁加以控制。安全系统的可管理性采用“技术＋管理”并重的模式，强调系统的可管理性，通过管理措施、机制和技术相结合，做到事先防范，事后补救；从人的角度考虑，通过安全教育与培训，提高工作人员安全方面的意识和技术素质；通过建立各种安全管理制度，提高员工的安全意识，规范员工的行为，主动自觉地利用各种工具去加强安全性；通过各种技术手段，建立所有相关安全产品的管理体系。需求、风险、代价平衡的原则对任一网络，绝对安全难以达到，也不一定是必要的。对一个网络进行实际研究（包括任务、性能、结构、可靠性、可维护性等），并对网络面临的威胁及可能承担的风险进行定性与定量相结合的分析，然后制定规范和措施，确定本系统的安全策略。先进性原则医院的安全有一个先进水平的安全。具体的技术和技术方案应保证整个系统在当前具有的技术先进性。可扩展性原则医院的信息化安全建设方案设计是针对其自身设计的安全方案,适应整个医院网络系统的现状以及需求,所采取的措施随着网络性能及安全需求的变化而变化,容易升级,具有良好的扩展性。多重保护原则任何安全措施都不是绝对安全的，都可能被攻破。但是建立一个多重保护系统，各层保护相互补充，当一层保护被攻破时，其它层保护仍可保护信息的安全。标准性原则设计医院的信息化安全,要根据国家相关的法律法规、技术规范和标准，同时也符合国家卫生厅相关信息化建设标准。易操作性原则大部分的安全措施需要人为去完成，如果措施过于复杂，对人员的要求过高，本身就降低了安全性。其次，措施的采用不能影响系统的正常运行。

医院网络现状及需求分析网络结构描述通过对医院现有结构进行了解和分析，可以看出医院网络大致可以分为业务内网和办公外网，业务网络采用三层网络结构，通过核心交换机将医院各科室进行互联。并在业务网络单独设立和一个内部核心业务应用服务器区域，包含HIS系统、RIS系统、PACS系统和档案管理系统等应用服务器。同时为了满足内部应用服务器与办公网DMZ区域服务器进行数据交换需求，在业务网络和办公网络边界部署了一台防火墙设备进行两个网络之间的隔离，并在防火墙划分了一个内部网络的DMZ区域进行与外部DMZ区域进行数据交换的中转站。

外部办公网络大致可以划分为办公网和DMZ区域，在外部网络的互联网边界通过核心交换机的防火墙板卡进行边界的隔离和划分DMZ区域，通过在外网的核心交换机上做NAT和PAT对外发布统计医院DMZ区域的应用。应用系统描述

在医院业务网络中主要有HIS系统、PACS系统、RIS系统和档案管理系统等服务器,这些重要的应用服务器构成医院业务网络的核心。在应用系统的部署架构上，目前应用系统、中间件和数据库系统采用一体化部署方式，及数据库和应用系统都部署在一台服务器上，各应用系统架构大多采用了B/S、C/S架构。在应用服务器操作系统上，大多采用WINDOS操作系统。

医院网络安全现状

从医院目前的网络结构上来看，在外部办公网络的互联网边界主要采用了防火墙系统，但是由于DMZ区域应用的安全主要依靠防火墙的地址映射和访问控制进行保护，由于应用系统本身可能存在一些安全漏洞或者软件设计上的缺陷，外网非法访者可直接通过防火墙允许的端口对DMZ区域的应用服务器进行注入、跨站、拒绝服务、缓冲溢出攻击。给医院网络造成极大的威胁。

在外部办公网络和业务网络的边界上，采用网闸做网络边界的隔离设备，但是由于设备采购时间较长，设备比较老旧，且是百兆级别的设备，无法满足现有的网络核心骨干千兆乃至扩展到万兆的网络环境的需求。

医院网络的安全需求信息安全涉及到信息的保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)。基于以上的需求分析，我们认为网络系统可以实现以下安全目标：保护网络系统的可用性保护网络系统服务的连续性防范网络资源的非法访问及非授权访问防范入侵者的恶意攻击与破坏保护信息通过网上传输过程中的机密性、完整性防范病毒的侵害实现网络的安全管理

IT流程规范化改进咨询服务近几年来医院的信息化的发展，为提供医院在医务服务质量上、医务事务处理效率上进一步的提高，随着医院各类医务信息系统的上线、升级和改造，因各类信息系统的增加，随之而来的是在IT部门工作量上大大的增大，为进一步保障全院医务系统热持续运作，全面提升和优化医院信息化业务运维管理水平，提高IT部门业务服务质量，保障医疗应用安全运行。关于IT流程改进咨询咨询服务的IT流程范围涵盖建立IT流程规划和持续改进机制、建立信息中心部门基本制度、建立医院信息化管理制度、建立完善系统维护流程、建立信息安全管理制度、建立应急预案与演练机制、建立项目管理制度、建立统计工作制度、编制（预算、采购、财产管理）详细作业指导书以及指导实施。管理咨询主要集中流程体系规划、流程和模板的编制或修改完善，对信息中心按照流程规范开展的流程实施工作提要的答疑或抽查辅导，辅助建立长效的流程改进机制。提供IT流程知识管理及任务管理系统及服务提供此软件及相应的安装、调试和运行维护服务。软件功能主要涵盖流程知识管理和流程改进配套的任务管理。流程管理软件所管理的流程范围限于信息中心范围内的IT流程、模板及质量记录；任务管理软件限于信息中心流程改进的任务管理。IT流程改进目标对照IT流程有关规范，评估信息中心现有IT流程规范的欠缺或差距,制定流程计划并加以落实。引入流程规范和行业先进流程经验，补充编制新的流程制度、模板或完善现有流程制度，使信息中心IT流程体系升级以达到完整化、规范化。指导流程规范的落实和持续改进，使信息中心IT建设与运行维护流程进入不断改进的良性循环。IT流程改进原则流程改进咨询活动需要采用规范化、科学化方法，符合流程管理改进咨询有关规范。本项目范围所属的流程制度的编制及实施应遵循IT流程规范的相关标准或要求，例如ISO9001、三甲IT信息化管理要求等。IT流程应容易实施，切合实际需求，解决实际问题。既重视编制或完善工作流程，更重视建立持续改进的机制。利用流程知识和流程改进任务管理系统,以科学手段提高流程改进的执行力和效率,管理系统需要具备易操作、适应性好的特性。IT流程改进服务需求说明建立IT流程体系规划和持续改进机制任务类别任务内容备注对流程体系现状水平进行评估通过访谈、检查，对照ISO9001和三甲医院信息化管理要求等规范评估现有IT流程制度的缺漏或差异规划新流程体系架构规划流程体系目标、方针；规划流程体系各流程之间的输入输出或变更互动关系确定流程改进的职责分工编制或修改IT流程改进的职责分工和岗位设置说明定义好流程有关的角色一览表PDCA阶段管理方法论和制度编制或修改完善流程改进的计划管理和报告制度（年度、月度度目标计划与总结,按PDCA方法）IT流程水平评估方法论和制度编制或修改完善一套针对IT流程规范化水平的检查评估办法，用于评估IT流程规范所处的水平(对比有关规范的流程覆盖率或完整性、执行情况和执行效果)对信息中心的具体执行过程提供答疑辅导建立信息中心部门基本制度任务类别任务内容备注信息中心组织结构编制或修改信息中心组织结构说明编制或修改完善岗位一览表编制或修改完善岗位说明模板对部门按新模板填写的各岗位说明书提供修改指导对信息中心按新模板编制的岗位说明提供修改辅导信息中心计划/总结编制或修改完善信息中心内部计划与报告制度、模板部门绩效管理编制或修改完善信息中心职员绩效管理制度(包含目标设定、绩效计划、绩效沟通、绩效分解、绩效评估的总体要求)对信息中心按照新制度、模板开展的绩效指标定义和管理具体方案提供答疑辅导。信息中心培训编制或修改完善信息中心培训发展制度其它有关制度编制或修改值班制度编制或完善考勤休假制度编制或修改会议管理制度建立医院信息化管理制度任务类别任务内容备注协助制定策略方法协助分析医院信息化管理的挑战和策略方法（总体原则、方法、措施）设立院级领导机构编制或修改完善院级组织机构说明信息化沟通机制编制或修改完善院级信息化沟通制度、模板制定中长期计划编制或修改完善中长期计划制度和模板IT信息化绩效管理确定IT信息化主要宏观指标定义(简单实用KPI)编制或修改完善IT绩效评估的流程制度制定绩效的公示展示办法对信息中心主持的有关活动提供答疑辅导项目需求与立项审批编制或修改完善信息化项目立项审批制度（各单位需求申报，项目估算，立项审批等）建立完善系统维护流程任务类别任务内容备注日常缺陷维护制度编制或完善软硬件缺陷报告与维护管理制度(故障级别定义;维修工单报告与处理跟踪;事件跟踪与升级管理,含厂商)软件变更安装编制或完善软件版本更新制度（测试验证、风险分析及应急恢复、安装控制、装后验证）系统安装、变更编制或完善系统安装与配置变更流程(方案评估、风险分析、审批、记录)值班制度编制或修改完善信息值班、交接班制度，有完整的日常运维记录和值班记录，及时处置安全隐患系统监视巡查编制或修改完善系统巡查监视制度和记录要求基础架构信息管理编制或修改完善基础架构信息的建立与更新制度，以便能从技术架构信息中了解系统网络架构与软件硬件资源布局对信息中心主持的有关管理活动记录提供检查辅导机房管理制度编制或修改完善机房管理制度，便于促进机房安全和作业管理建立信息安全管理制度任务类别任务内容备注权限管理制度编制或修改完善权限管理制度(权限分配、授予与回收制度;权限状态一览表查询)病毒防范编制或修改完善病毒防范管理制度病人隐私信息保护编制或修改完善病人隐私信息保护制度编制或修改完善病人隐私信息保护情况检查评估制度定期安全评估编制或修改完善定期进行系统安全评估的制度(权限管理执行情况的检查、系统安全漏洞检查、安全监视措施的检查、监视记录)提供制度框架，对信息中心主持的有关活动记录，提供评价指导建立应急预案与演练机制任务类别任务内容备注应急预案编制制度编制或修改完善应急管理制度(预案覆盖范围、预案一览表清单编制要求、预案编制要求、预案审批、预案变更要求、持续改进要求)(涵盖整个主机、数据库、存储系统、网络瘫痪应急恢复措施等)提供制度框架，对信息中心主持编写的具体应急预案，提供评价指导应急预案演练验证制度编制或修改完善预案演练制度(演练的周期、演练记录、演练结果审定)提供制度框架，对信息中心主持编写的具体应急演练结果，提供评价指导数据备份检查制度编制或修改完善数据备份有效性检查制度,以保证数据备份的可用性持续改进机制编制应急预案编制、演练等措施的持续改进要求建立项目管理制度任务类别任务内容备注项目立项审批制度编制或修改完善信息化项目立项审批制度（各单位需求申报，项目估算，立项审批等）建立统计工作制度任务类别任务内容备注系统缺陷统计编制或修改完善应用报告的系统缺陷统计制度与办法IT工作统计编制或修改完善IT工作（含绩效）评估与统计办法

(本期选择若干宏观指标统计试点)编制详细作业指导书SOP任务类别任务内容备注预算管理编制或修改完善预算管理标准作业程序（SOP）采购管理编制或修改完善采购管理标准作业程序（SOP）财产管理编制或修改完善财产管理标准作业程序（SOP）

安全建设方案MPDRR安全模型PADIMEE模型包含以下几个主要部分：Policy（安全策略）、Assessment（安全评估）、Design（设计/方案）、Implementation（实施/实现）、Management/Monitor（管理/监控）、EmergencyResponse（紧急响应）和Education（安全教育）。根据PADIMEE模型，网络安全需求主要在以下几个方面得以体现：（1）制订网络安全策略反映了组织的总体网络安全需求；（2）通过网络安全评估，提出网络安全需求，从而更加合理、有效地组织网络安全工作；（3）在新系统、新项目的设计和实现中，应该充分地分析可能引致的网络安全需求、并采取相应的措施，在这一阶段开始网络安全工作，往往能够收到“事半功倍”的效果；（4）管理/监控也是网络安全实现的重要环节。其中既包括了P2DR安全模型和APPDRR安全模型中的动态检测内容，也涵盖了安全管理的要素。通过管理/监控环节，并辅以必要的静态安全防护措施，可以满足特定的网络安全需求，从而使既定的网络安全目标得以实现；（5）紧急响应是网络安全的最后一道防线。由于网络安全的相对性，采取的所有安全措施实际上都是将安全工作的收益（以可能导致的损失来计量）和采取安全措施的成本相配比进行选择、决策的结果。基于这样的考虑，在网络安全工程实现模型中设置一道这样的最后防线有着极为重要的意义。通过合理地选择紧急响应措施，可以做到以最小的代价换取最大的收益，从而减弱乃至消除安全事件的不利影响，有助于实现信息组织的网络安全目标。信息安全拓扑图

网络防火墙系统产品概述下一代防火墙保留了状态检测防火墙的优点，具有性能的同时具备内容过滤、入侵防御、流量管理、用户认证等多种应用层过滤技术于一身，弥补了状态检测防火墙的不足。为用户提供了更全面的深度过滤功能，有效识别来自应用层的威胁。通过全新的AMP+多核架构和设计理念，实现了高性能极速转发、智能定位与管控、应用精细识别、多种应用层过滤技术、虚拟防火墙定制化安全及立体可视化监控等一系列特有功能；应用层和网络层安全模块的并行调度，提升了应用层处理性能；系统引擎与安全引擎的用户态设计，避免了在大流量下数据报文分析对防火墙性能的影响，有效提高了整机运行速度；友好的扁平化风格界面，配合直观的功能模块设计，更加方便的进行网络管理。产品特点独立的管理口实现与业务口分离专门提供了管理口，让用户的管理数据与业务数据分离，在业务数据量过大的情况下，不会影响对防火墙的正常管理。同时，单独的管理口使用户可以严格限制连入管理防火墙的方式，保障更加安全的管理防火墙。管理员权限三权分立针对管理员的角色建立三权分立的管理员帐号机制，将超级用户特权集进行划分,分别授予配置管理员、安全管理员和审计管理员。实现配置管理、安全管理和审计管理功能的同时,也保证管理员权限的隔离。防止因为管理员权限过大所引起的安全风险，也保证已经配置完成的访问控制策略不会出现未授权的修改，及出现未授权修改时可以保留相关审计信息。安全隔离的虚拟系统支持通过虚拟系统功能，将下一代防火墙虚拟成多个相互隔离并独立运行的虚拟防火墙系统，每一个虚拟系统都可以为用户提供定制化的安全防护功能，并可配备独立的管理员账号。在用户网络不断扩展时，通过虚拟系统功能不仅能有效降低用户网络的复杂度，还能提高网络的灵活性。当这些相互隔离并独立运行的虚拟防火墙系统需要通讯时，可以通过下一代防火墙提供的虚拟接口实现，而不需要通过物理链路将它们进行连接。地理位置识别下一代防火墙增加了地理位置识别功能，可以将地理位置作为配置安全策略的一个属性。通过地址位置识别用户可以了解到不同地区当前的网络使用情况，查看基于地理位置的流量趋势等，从而针对不同的地理位置来调整防火墙策略，为用户的安全策略管理提供一个新的控制角度。基于安全域的攻击防护功能通过基于安全域的Flood防护和扫描欺骗防护、IP地址扫描攻击、端口扫描以及异常包攻击等防护手段的攻击防护模块，将包括SYNFlood，ICMPFlood，UDPFood，IPFood，pingofdeath，Teardrop，IP选项，TCP异常，Smurf，Fraggle，Land，Winnuke等常见的攻击行为检测集成在模块中，使得用户通过启用并配置攻击防护模块，有效的过滤并采取相应的措施阻止非正常报文流入用户内网。同时针对洪攻击和扫描攻击，攻击防护模块允许用户通过限制报文的阈值，从而达到保护内部网络免受恶意洪攻击的威胁，保证内部网络及内部服务器正常运行。攻击防护模块能及时向用户输出安全告警，并在系统状态中实时显示当前排行前十位的攻击行为，让管理员能够快速了解并定位网络攻击，并且能快速做出响应保证网络正常。更加灵活、精准的入侵防御功能依托先进的多核全并行处理技术，大幅提高了IPS的处理性能，能够轻松应对多样的混合型攻击，超过3000种的特征库可以检测并防范针对HTTP、FTP、SMTP、IMAP、POP3、TELNET、DNS、RPC、MSSQL、ORACLE、NNTP、NETBOIS、TFTP等多种协议的攻击，以保障网络的安全。完善的日志系统及监控系统提供了基于不同维度的入侵事件记录分析，方便管理员掌握当前网络中的攻击信息，及时做出正确的管理决策。同时，通过专业的特征库，常用基础软件的漏洞，以及常用应用系统的漏洞利用机理，保证IPS在防范已知漏洞的基础上，也能对新出现的漏洞进行防范，确保了入侵防御功能的有效性。IPS功能中针对每种攻击特征设定的精细执行动作，极大的提高了入侵防御策略的自由度和灵活性，并且最大程度的降低了误识别率。支持自定义新建、并发的连接限制功能连接限制是网神下一代极速防火墙NSG系列基于安全域来限制并发及新建连接数的功能。目前最常见的两个应用场景为：1)限制P2P流量的并发连接数。通过限制单个IP的连接数上限，让使用P2P下载的用户在达到阈值时也不会对其它用户造成影响。2)限制来自外网或者内网的高新建高并发的攻击行为，保护连接表不被DoS攻击填满。多种形式建立IPSecVPN隧道IPSecVPN支持“手工隧道”、“快速隧道”形式下的隧道建立方式，并支持“网关到网关”、“客户端到网关”两种应用场景。同时VPN实施支持基于安全策略指定VPN隧道策略方式。深度的网络行为关联分析基于网络用户行为、用户身份、用户地域识别、用户访问应用类型的实时分析及动态实时防护而设计的整套安全防御体系。可通过“云计算”中心自动收集安全威胁信息并快速寻找解决方案，及时更新攻击防护规则库并以动态的方式实时部署到各用户防火墙中，保证用户的安全防护策略得到及时、准确的动态更新。防范以多种形态出现的新恶意软件和攻击行为、APT攻击、0-day攻击等日益增长的威胁。全方位状态信息展示提供全面的实时的状态信息展示，包括网络接口状态、接口信息状态、系统信息状态、资源状态、并发连接数、入侵防御状态、应用流量排行榜。第一时间为管理员修改防火墙配置策略，了解防火墙运行状态，掌握网络当前态势提供实时报告。更加人性化和智能化的状态展示同时大大提供了状态信息的易用性。

WEB安全防护系统产品概述伴随着防护技术的不断发展，WEB应用系统的防护技术经历了网关型防护手段和操作系统防护手段。如含有应用层过滤功能的网络防火墙、IPS等网关型硬件产品，基于特征匹配进行防护；网页防篡改软件则是基于文件监控原理，对指定路径的文件进行监控和写保护。传统的网络安全设备和网页防篡改软件只能解决WEB应用安全的一个方面，而WEB应用系统的安全保障需要一个全面的安全防护和性能保障措施才能使之安全、高效、持续地对外提供服务。WEB应用系统的安全是一个系统的问题，包括三个方面，即可用性、完整性和机密性。实现这些原则所需的安全等级因WEB系统的属性、WEB应用的价值不同而异。如对机密性要求较高的应用系统应当保障数据的访问、传输过程的安全，同时需要对访问者进行认证、授权、审计；对于一个面向客户群的应用系统既要考虑其应用交互的可用性，同时也需要对其完整性进行有效的保障。而面向大众的门户类网站则需要充分考虑其抗攻击能力、高可用性和完整性，提供7X24小时不中断服务，确保提供的数据是真实的、有效的。综上所述WEB应用系统的安全保障需要充分考虑其高可用性、完整性和机密机才能达到安全有效的防护目的。专业的WEB安全网关则是专用于防护及优化WEB应用系统的最佳选择，有效解决传统网络防火墙及网页防篡改软件在WEB应用防护方面的局限性，在重视应用系统的高可用性的前提下进行安全优化从而达到WEB防护的最佳目标。集WEB防护、WEB加速、网页保护、负载均衡、应用交付于一体的WEB整体安全防护设备。通过WEB安全防护模块、应用审计模块实现应用的安全防护，解决用户面临的严重入侵威胁；通过WEB加速技术解决用户在高可用性、性能提升上因为需要大量资金投入的烦恼；通过访问控制模块轻松解决了WEB应用系统细粒度访问控制等特定的需求问题。事前主动防御，智能分析应用缺陷、屏蔽恶意请求、防范网页篡改、阻断应用攻击，全方位保护WEB应用。事中智能响应，快速P2DR建模、模糊归纳和定位攻击，阻止风险扩散，消除“安全事故”于萌芽之中。事后行为审计，深度挖掘访问行为、分析攻击数据、提升应用价值，为评估安全状况提供详尽报表。面向客户的应用加速，提升系统性能，改善WEB访问体验。面向过程的应用控制，细化访问行为，强化应用服务能力。面向服务的负载均衡，扩展服务能力，适应业务规模的快速壮大。产品特点安全防护功能策略的覆盖完整度WEB安全网关提供对应用系统全方位的防护，强化数据有效性防护即常见的跨站脚本攻击、SQL注入攻击、跨站请求伪造、网页挂马、盗链等威胁的防护，提供WEB应用或网站的基本安全保障。使用虚拟服务器补丁技术用于缓解WEB服务器漏洞的零日攻击和不安全配置带来的安全隐患。集成的会话签名鉴别技术和分级授权模块专用于防护WEB应用系统面临的认证威胁，如失效的会话管理缺陷、不安全的会话密钥管理缺陷等均可通过WEB安全网关进行快速修复。提供防止应用DOS攻击和暴力口令破解技术，解决大规模异常访问导致应用系统面临的性能问题，甚至系统崩溃、服务中断等恶性事件的发生。策略适应性优秀的安全策略不仅需要有广泛的应用系统覆盖面、还需要有细的匹配粒度和良好的应用系统适应性。天泰安全网关的策略基于URI、时间、访问者、访问状态、访问工具、访问内容等对象定制安全规则，每条规则在发布前均通过严格的适应性测试，特别针对国内数百家WEB应用系统进行测试，确保规则安全稳定、无误判。学习引擎与白名单模式、主动防御时代的益处安全防护技术可以分和黑名单防护技术和白名单防护技术，黑名单技术目前被大量应用，基于黑名单的防护技术可以防护已知的攻击行为，但对于未知的或已知规则的变种则无法防护。白名单技术可以有效的防护黑名单无法解决的问题，然而由于WEB应用系统的复杂多样，所以白名单技术在实施过程中通常十分复杂并可能导致误判。TSAdaptive™自适应引擎让白名单防护技术在Web安全Positive模式下，识别攻击行为不再依赖于已知的攻击特征，而是基于用户应用系统的正常请求特征和签名列表。自适应引擎生成的推荐规则专用于特定的应用系统，最大限度的降低了黑名单技术带来的误判、漏判、零日攻击等无法解决的技术难题。基于状态的分析WEB应用防火墙技术在开发初期是完全基于规则匹配的响应机制，表现为无状态特性。随着防护技术的不断提高及面临日益严重的零日攻击威胁，WEB安全网关开创性的采用了应用防火墙状态防护技术，对会话管理、请求伪造、盗链等行为进行识别和防护；对攻击者的入侵扫描、探测、渗透过程进行状态识别和跟踪，快速定位威胁，及时告警或阻止。与网络层联动的防御技术WEB应用受到攻击，WEB安全网关应当采取行之有效的防护措施。WEB安全网关在检测到有攻击流量时会跟据不同的安全级别做出对应的响应，如阻断并给出伪装或告警信息。当检测到有持继的攻击流量时，WEB安全网关将会采取一系列的安全联动措施，如基于状态的威胁识别和限时锁定措施将入侵者进行延时锁定，或者及时将可疑攻击通过邮件、短信、SNMP、Syslog通知安全管理员，及时采取安全措施，降低攻击带来的损失。日志审计与管理 日志分析与管理模块作为安全产品与安全管理人员交互最为重要的接口，其日志审计贮存的形式、内容和可提供的建议对安全管理员保持应用系统长期安全运行起到重要作用。安全日志日志不仅为管理员提供威胁管理的平台，同时也是安全取证和策略调整的依据。因此要求日志记录的尽可能详细和精确，并可根据审计的要求对特定数据进行筛选和审计。WEB安全网关可提供定时报表和即时分析功能，通过分析有助于安全管理人员把握应用系统安全现状，及时调整安全策略，并针对威胁等级较高的攻击进行提醒，提出建议性解决办法。访问日志WEB安全网关详尽纪录和有效统计用户对Web应用资源的访问，包括页面点击率、客户端地址、客户端类型、访问流量、访问时间、搜索引擎关键字等信息，实现有效的用户行为跟踪和访问统计分析。生成基于地区区域的访问统计，便于识别WEB应用的访问群体是否符合预期，为应用优化提供指导。性能优化方案应用系统的可用性是构成系统安全的重要组成部分，应用系统访问延时、堵塞、服务中断、性能急剧下降等都会导致系统可用性下降。对于公众开放的应用系统的可用性的安全等级通常放在首位。如何经济高效的保障应用系统的可用性是管理人员在进行安全规划时的首要问题。性能优化方面，提供多种性能优化方案供用户选择。站点集群技术在应用系统设计开发阶段融入Web安全的WEB应用集群功能可以提高软件开发的效率、取代由软件实现站点集群的性能瓶颈和繁琐的技术细节，提升整个应用系统的性能。通过站点集群技术您可以实现站点网页文件、图片、媒体文件的分离与整合，也可以方便实现不同应子系统的拆分。利用WEB安全网关还可以实现站点文本、图片文件域名分离，从而提缩短用户下载网页的时间，提高用户体验。图WEB安全网关的集群服务负载均衡WEB安全网关提供高可用性、负载均衡以及基于HTTP应用的代理，作为快速并且高可靠的一种负载均衡产品，WEB安全网关特别适用于那些负载特大的WEB站点，这些站点通常又需要会话保持或七层处理。图WEB安全网关的负载均衡服务WEB安全网关提供成熟的负载均衡解决方案，支持的负载均衡模式有：平均分发、压力分发、请求路径分发、请求参数分发，并支持WEB应用系统的会话保持功能、服务状态监测与故障切换功能。WEB加速基于现有环境的WEB加速功能可使用户不改变现有环境的情况下提升访问WEB应用的速度；WebCompress™引擎对Web应用数据进行实时智能压缩，改善终端用户性能，降低带宽消耗。WebCache™引擎对静态应用内容的高速缓存，显著减少服务器负载。双向TCP连接池和高效复用算法将上千短连接优化为少量持久的服务器连接，减轻服务器压力，改善服务器性能，提高应用响应速度，降低服务延迟。图WEB安全网关的加速功能访问控制与SSL加速如果应用系统需要对访问者身份进行识别和授权，从而保障数据的机密性，此时可以使用WEB安全网关的访问控制功能以及SSL加功能。该功能特别适用于已经交付使用的应用系统，不需要修改程序代码，通过WEB安全网关实现访问控制和SSL加速。如WEB站点的管理后台通常直接暴露在外网，仅依赖于口令强度和简易的验证码进行访问控制，类似这种应用可以通过WEB安全网关的访问控制功能实现身份识别和访问控制以提高应用系统的安全性。WEB安全网关集成了SSL加密功能，应用内容在传输过程中都受加密保护，通过转移服务器复杂的加/解密任务从而将应用处理能力发挥到了极致。该功能使管理员能保护敏感应用内容的安全，使其摆脱被窃取及被滥用的潜在威胁。图WEB安全网关的SSL认证服务

运维审计系统运维审计系统，扮演着看门者的职责，所有对网络设备和服务器的请求都要从这扇大门经过。网神运维审计系统能够拦截非法访问和恶意攻击，对不合法命令进行阻断、过滤掉所有对目标设备的非法访问行为。产品功能超全的审计协议范围网神运维审计系统平台采用协议分析、基于数据包还原虚拟化技术，实现操作界面模拟，将所有的操作转换为图形化界面予以展现，实现100%审计信息不丢失：针对运维操作图形化审计功能的展现外，同时还能对字符进行分析，包括命令行操作的命令以及回显信息和非字符型操作时键盘、鼠标的敲击信息。系统支持的审计协议以及工具包括：字符串操作：SSH/Telnet（工具：SecureCRT/Putty/Xshell）图形操作：RDP/VNC/X11/pcAnywhere/DameWare等其他协议：FTP/SFTP/Http/Https等数据库工具:Oracle/sqlserver/Mysql客户端工具机制完善用户管理权限平台对用户的管理权限严格分明，各司其职，分为系统管理员、审计管理员、运维管理员、口令管理员四种管理员角色，平台也支持管理员角色的自定义创建，对管理权限进行细粒度设置，保障了平台的用户安全管理，以满足审计需求平台集用户管理、身份认证、资源授权、访问控制、操作审计为一体，有效地实现了事前预防、事中控制和事后审计。高度的灵活性和广泛的适用性采用模块化设计，单模块故障不影响其他模块使用，从而提高了平台的健壮性、稳定性，运维人员登陆可支持Portal统一登录，并兼容终端C/S客户端连接设备；审计平台的认证方式可以与第三方的认证设备进行定制兼容。SSO单点登录提供基于B/S的单点登录系统，用户通过访问WEB页面一次登录系统后，就可以无需认证的访问被授权的多种基于B/S和C/S的应用系统(如有需要，可实现C/S架构系统的定制开发)。单点登录为具有多账号的用户提供了方便快捷的访问途经，使用户无需记忆多种登录用户ID和口令。它通过向用户和客户提供对其个性化资源的快捷访问提高工作效率。同时，由于系统自身是采用强认证的系统，从而提高了用户认证环节的安全性。单点登录可以实现与用户授权管理的无缝链接，可以通过对用户、角色、行为和资源的授权，增加对资源的保护和对用户行为的监控及审计。集中账号管理集中账号管理包含对所有服务器、网络设备账号的集中管理。账号和资源的集中管理是集中授权、认证和审计的基础。集中账号管理可以完成对账号整个生命周期的监控和管理，而且还降低了管理大量用户账号的难度和工作量。同时，通过统一的管理还能够发现账号中存在的安全隐患，并且制定统一的、标准的用户账号安全策略。通过建立集中账号管理，单位可以实现将账号与具体的自然人相关联。通过这种关联，可以实现多级的用户管理和细粒度的用户授权。而且，还可以实现针对自然人的行为审计，以满足审计的需要。集中身份认证为用户提供统一的认证接口。采用统一的认证接口不但便于对用户认证的管理，而且能够采用更加安全的认证模式，提高认证的安全性和可靠性。集中身份认证支持电子证书、WindowsAD域、WindowsKerberos、双因素、动态口令和生物特征识别等多种认证方式，而且系统具有灵活的定制接口，可以方便的与第三方LDAP认证服务器对接。统一资源授权提供统一的界面，对用户、角色及行为和资源进行授权，以达到对权限的细粒度控制，最大限度保护用户资源的安全。通过集中访问授权和访问控制可以对用户通过B/S、C/S对服务器主机、网络设备的访问进行审计和阻断。在集中访问授权里强调的“集中”是逻辑上的集中，而不是物理上的集中。即在各网络设备、服务器主机系统中可能拥有各自的权限管理功能，管理员也由各自的归口管理部门委派，但是这些管理员在运维审计系统上，可以对各自的管理对象进行授权，而不需要进入每一个被管理对象才能授权。授权的对象包括用户、用户角色、资源和用户行为。系统不但能够授权用户可以通过什么角色访问资源这样基于应用边界的粗粒度授权，对某些应用还可以限制用户的操作，以及在什么时间进行操作等的细粒度授权。访问控制能够提供细粒度的访问控制，最大限度保护用户资源的安全。细粒度的命令策略是命令的集合，可以是一组可执行命令，也可以是一组非可执行的命令，该命令集合用来分配给具体的用户，来限制其系统行为，管理员会根据其自身的角色为其指定相应的控制策略来限定用户。访问控制策略是保护系统安全性的重要环节，制定良好的访问策略能够更好的提高系统的安全性。基于细粒度的访问控制下，做到：Who（谁）：控制什么用户允许操作Where（什么地点）：控制来源于什么地址的用户允许访问什么资源When（什么时间）：控制在什么时间允许用户操作What（做了什么）：控制用户执行的操作操作审计操作审计管理主要审计操作人员的账号使用（登录、资源访问）情况、资源使用情况等。在各服务器主机、网络设备的访问日志记录都采用统一的账号、资源进行标识后，操作审计能更好地对账号的完整使用过程进行追踪。系统支持对如下协议进行审计：Telnet、FTP、SSH、RDP（WindowsTerminal）、Xwindows、VNC等。通过系统自身的用户认证系统、用户授权系统，以及访问控制等详细记录整个会话过程中用户的全部行为日志。还可以将产生的日志传送给第三方。对于生成的日志支持丰富的查询和操作：支持按服务器方式进行查询。通过对特定服务器地址进行查询，可以发现该服务器上发生的命令和行为。支持按用户名方式进行查询。通过对用户名进行查询，可以发现该用户的所有行为。指标指标项规格要求系统架构产品外观标准2U机架式产品架构软硬件一体化产品部署方式旁路部署，不影响原有网络结构访问方式采用B/S结构，采用HTTPS方式访问，无需安装任何代理网络接口6个10/100/1000自适应以太网口，1个Console口，支持Console口管理；数据存储系统标配2T硬盘；性能要求并发会话数图形并发会话数≥300,字符型并发会话数≥1000；本次采购要求配置300个主机/设备审计节点许可；功能要求基础功能提供运维审计自身状态的监控功能，包括：cpu工作情况，内存使用情况，磁盘使用情况，网卡使用情况，运维审计自身数据库工作情况，运维审计自身WEB服务工作情况，运维审计自身其他关键组件工作情况等。可以使用WEB方式对运维审计进行重启和关机。可以对运维审计的时间进行设置。支持运维审计自身程序通过WEB方式升级。支持日志的备份、导出和恢复。支持双机热备。双机热备，实现数据同步。支持协议使用远程终端服务：例如telnet、rlogin、rsh、rexec、ssh之上的命令行接口（CLI）。使用文件传输协议：例如FTP等。使用远程窗口和桌面：例如Windows的远程桌面（RDP），和Unix的Xwindow。使用各种数据库客户端：例如各种数据库的client程序、ODBC、JDBC，以及多种其它数据库工具。服务器访问方式★▲Web访问方式：通过审计系统的Web管理页面直接访问服务器（不需要安装代理，无需安装JDK等）。支持RDP、VNC、X11、SSH、TELNET、FTP等访问协议。客户端方式支持RDP、VNC、X11、SSH、TELENT、FTP、SFTP、Oracle、MySQL、sybase等。支持客户端（SecureCRT、putty）clonesession功能，能够直接clone到目标服务器的访问会话。登录菜单访问：客户端访问审计系统即可显示用户能访问的资源清单菜单，用户通过字符菜单活图形菜单选择方式直接访问服务器。菜单访问方式支持RDP、VNC、X11、SSH、TELNET、FTP等协议。支持WinodwsAD域功能。操作行为记录对SSH、Telnet、Rlogin、FTP/SFTP、数据库操作进行审计。记录发生时间、源IP、目标IP、源端口、目标端口、操作指令、运维审计系统用户、目标服务器账号、访问结果等消息。对RDP、VNC、X11等图形终端操作的连接情况进行记录及审计，消息记录访问开始时间、源IP、目标IP、源端口、目标端口、运维审计系统用户、目标服务器账号等信息。能够记录RDP协议中的活动窗口名称、删除文件等动作，并能记录RDP会话中的键盘输入信息。会话过程回放支持倍速/低速播放、拖拽、暂停、停止、重新播放等播放控制操作。身份认证及访问授权支持多种认证方式：密码、动态口令、指纹识别。支持SSO单点登录功能，使用人员不需要知道服务器账号及密码，无需进行二次登录认证。支持限制运维用户访问源IP功能。授权分为运维审计管理功能授权和资源访问授权。内部管理功能授权可以限制到某个树形节点的范围内。支持授权的流程管理。支持流程申请人、审批人、执行人的委派。授权需要申请人定义申请单，发起事件申请；事件可以多人审批，审批人收到申请后可以同意或拒绝申请，同意时可以指定执行人进行实际的管理动作的执行。支持按用户组、主机组方式进行访问授权。运维审计内部管理功能权限支持角色定义，角色可以针对目录树的节点定义，从而使角色即可以限制能够使用的功能项，也达到角色权限只在某个树形节点范围内生效。资源管理能够添加、修改、删除被管资源。支持资源的分组管理，分组可以树形方式展现，不限制分组层级数量。资源类型支持Windows主机、域控主机、域控内主机、Unix主机、各种网络设备、安全设备、网元、数据库等。支持资源接入的流程管理，支持流程申请人、审批人、执行人的委派。资源的接入需要申请人定义申请单，发起事件申请；事件可以多人审批，审批人收到申请后可以同意或拒绝申请，同意时可以指定执行人进行实际的管理动作的执行。产品自带SSO单点登录控件，运维工作站不需要安装部署SecureCRT、SSHClient等终端仿真程序，即可通过SSH、TELNET、FTP、VNC、XWINDOW等网管协议对资源进行运维操作。对于数据库、web、专用C/S客户端程序支持以应用发布的方式进行授权和审计。访问控制及异常告警支持根据IP地质、时间、用户名、操作指令等内容设定安全时间规则。支持黑、白名单控制，可根据黑白名单的命令集限制用户的操作权限。对违规的事件进行告警及自动阻断。客户端地址策略可以应用于主帐号，也可以应用于从帐号。实时监控支持实时审计。操作人员对于资源的访问，审计员可以实施查看。实时会话监控列表:显示会话连接状态。显示会话来源、目标地址、账号及访问人信息。同步监控操作过程：支持对操作过程进行同步监控，执行会话回放、监控和阻断操作。系统状态监控：实时监控审计系统CPU、内存、磁盘的使用情况。审计系统监控：记录审计系统自身的管理操作，保障审计系统自身安全。组态报表系统具备组态报表功能，支持用户自定义报表模板，可以通过制定动态模板、静态模板，可以对各种数据进行组合查询。查询结果可以导出TXT、HTML、XLS等多种格式报表文件。用命令关键字进行审计结果查询时，可以同时输入多个命令，为多命令查询提供便利。按照预设统计报表模板和命令关键字等条件进行查询统计时，可以同时输入多个命令，为多命令的统计报表提供便利。支持以html或Excel方式输出。支持自定义模板，支持二次开发定制报表。对外接口可以将审计日志以SYSLOG方式外发，支持SYSLOG发送的目标和端口。对所有审计日志提供外发接口，可以配置只外发字符审计，也可以配置外发所有审计（将字符和图形录像的审计日志外发其他设备），并且可以配置对端端口。支持认证接口，可以配置认证服务器地址和端口。系统扩展支持4A扩展，可以将审计日志输出到4A平台。资质要求▲厂商资质要求厂商具备国家保密局颁发的《涉及国家秘密的计算机信息系统集成资质证书》（甲级）；厂商为“信息安全等级保护关键技术国家工程实验室”参建单位之一，要求提供相关证明文件；厂商为互联网安全研究中心应用安全联盟会员，提供会员编号证明；厂商通过ISO20000信息技术服务管理体系认证，要求提供证明文件；厂商具备国家信息安全测评信息安全服务资质（安全开发类一级）；厂商具备中国信息安全产品测评中心颁发的《国家信息安全认证信息安全服务资质证书》（安全工程类二级）；产品资质要求公安部计算机信息系统安全专用产品销售许可证；国家版权局计算机软件著作权登记证书；上网行为管理系统产品功能规划用户分组结构为了给不同用户、不同部门授予差异化的互联网访问权限，包括差异化的行为审计策略，首先要规划和建立组织的用户分组结构。可以完全按照组织的行政架构在AC上建立树形用户分组结构，实现父组、子组、组内套组等要求。在完成用户组的创建后，即可创建用户，并将用户分配到指定的用户组中，以实现网络访问权限的授予与继承。用户创建的过程简单方便，除手工输入帐户方式外，AC还能够根据OU或Group读取AD域控服务器上用户组织结构，并保持与AD的自动同步，方便管理者维护AD这一套组织结构。另外AC也支持账户自动创建功能，基于新用户的源IP地址段自动将其添加到指定用户组、同时绑定IP/MAC等，继承指定的网络权限，方便了管理者和权限的控制。用户帐号还支持生效时间的设定、支持多人共用同一帐号等，丰富的帐号策略使得管理者可以自由的根据实际情况合理调整。如果管理员已经将用户信息汇总到Excel、TXT等文件中，那么他将通过AC的账户导入功能更加快捷的创建用户和分组信息。分析网络流量通常组织的互联网带宽比较有限，即使充裕，如果员工网络行为不规范，IT管理者仍然饱受抱怨：网络太慢、业务系统访问迟缓、页面迟迟打不开等，IT管理者需要确知组织带宽的使用情况，这正是AC所能给您带来的价值体现：登陆AC控制台后，管理员可以直观查看流量曲线图、当前流量TOP10应用等，并可通过AC的数据中心进一步详细查看、统计昨天或指定时间段的流量情况。管理员可以统计指定时间段指定分组或用户的流量情况，通过饼状图、柱状图、曲线图等直观展现；还可基于用户进行上行流量、下行流量、总流量等排名，找到流量最活跃的员工。如果您是一位大型机构的CIO或CEO，您需要面对的问题将远不止这些，而AC数据中心的功能需要您亲身体验和掌握。当您面对数据中心的Web页面，通过几次鼠标点击就发现网络及管理中存在的问题时，您将感受到领先技术带来的极富乐趣的用户体验。优化和分配带宽资源组织如何获得更充足的互联网带宽呢？AC通过多线路复用、带宽叠加（专利号：200310112006X）技术，可同时连接4条互联网线路。而只要您同时连接电信和网通线路于AC，AC的多线路智能选路技术（专利号：ZL03113974.4），将为员工的Internet流量自动优选最佳出口，解决跨运营商的带宽瓶颈问题，同时兼具负载均衡、线路备份等功能，大幅提升访问速度和可靠性。组织有限的带宽往往被大量非业务流量所挤占，尤其BT、电骡等P2P行为严重吞噬带宽；AC不仅为管理员提供了强大的应用封堵手段（如直接禁止指定用户的P2P行为），更可在允许用户使用P2P时限制P2P占用的带宽，另外可以为指定用户、用户组每天、每月的总上网流量进行限制，灵活的管理方法充分满足组织在上网行为管理上的复杂需要。除了限制非业务应用对带宽的占用，同时要保证业务应用的带宽需求。得益于AC强大的应用识别能力（目前超过20个大类、300多条识别规则），AC基于出口链路、用户/用户组、应用类型、网站类型、文件类型、时间段实现精细、智能的带宽划分与分配策略，使得管理员拥有能够充分保障组织业务所需带宽的各种管理手段。网页访问控制网页浏览是员工主要互联网行为之一，与工作无关的上网行为给组织带来巨大的损失。AC内置千万级预分类URL地址库，并经专人人工审核分类，包含互联网上各类涉及色情、反动、暴力等站点。由于互联网的容量爆炸性增长，Google声称互联网独立网址超过一万亿个，采用静态URL库显然不够，因此AC还支持基于内容的过滤手段，包括过滤用户通过搜索引擎搜索的指定关键字、过滤包含指定关键字的网页、过滤含指定关键字的URL地址等。而结合了人工智能的网页智能分析系统（IntelligentWebpageAnalysisSystem,IWAS）能够根据网址、正文内容、关键字、代码特征等对网页进行智能分类，并且具备自我学习和自我修正能力，可以依据管理者定义进行任意URL分类的识别和过滤，真正帮助组织完善网页访问行为的管理。管理IM即时通讯工具权威统计显示国内网民最常使用的IM工具依次为QQ、飞信、MSN、Skype。办公室内IM聊天、影音文件分享、甚至游戏对战屡见不鲜，而QQ病毒、MSN蠕虫也让IT管理者记忆犹新，如何有效管理IM工具？借助现有防火墙等传统手段封堵IM并不奏效。以下是AC提供的对IM从禁止、监管、再到安全防御的解决方案。禁止AC深度内容检测技术根据应用协议数据包特征字段全面封堵各种IM工具，包括QQ、MSN、新浪UC、网易泡泡、YahooMessenger、Skype、ICQ、GoogleTalk、飞信等；即使IM软件将数据包封装到80、443等端口传输，AC亦可区别IM流量和正常的Http、Https，从而有效管理IM的使用。同时AC可实现允许指定部门/用户（如市场部）通过IM与客户沟通，但禁止IM传文件、IM语音视频通话、玩IM游戏等，轻松、灵活管控IM。监管QQ、飞信、MSNShell、Skype等越来越多的IM聊天内容是加密的，如果不能记录将是上网行为管理的最大漏洞之一。AC的聊天内容同步侦听（Real-timeMonitorforMessages,RMM)技术能够记录各种加密聊天内容，这在业界是屈指可数的，领先的技术使得深信服研发部门能够快速跟进任何一款新推出的IM工具，并推出针对性的升级策略使得AC支持对各种新IM工具的聊天监控功能。强大的功能往往涉及个人隐私，我们建议使用AC前在组织内发出通知，提醒员工他们在工作时间发生的网络行为是可以被监控到的。安全防御IM好友发来的URL链接、文件等，可能将病毒、木马、流氓软件送入内网，这也是组织已经购买防火墙、部署杀毒软件后仍然病毒层出不穷的原因之一：堡垒从内部被攻破了！AC的深度内容检测技术能够禁止用户使用IM传递文件，IM好友发送的URL地址，员工打开过程中将被AC过滤和控制。另外，管理员也可以启用AC的网关杀毒功能从源头上查杀病毒、蠕虫，此内容将在后述部分详解。控制BT等P2P行为封种子服务器IP、封种子资源网站、封端口的P2P管理方式让管理员忙的焦头烂额却得不到满意的效果。有效的P2P管控方法包括应用协议分析和P2P行为智能检测技术，AC同时支持这两种技术。常用、普及的P2P软件，AC深度内容检测技术实现对其管控和封堵。截止本文档编写时，AC通过深度内容检测技术可以封堵P2P流媒体55个，其他P2P应用27个。尽管已经内置了丰富的P2P识别规则，但新的P2P应用层出不穷，员工可以从网络上获得各种P2P工具，还有更多不常见和未来可能出现的P2P软件如何管控？AC采用网络行为智能分析技术(NetworkBehaviorsIntelligenceAnalysis,NBIA），基于统计学分析原理，实现对各种P2P的智能识别和封堵，为用户提供了一劳永逸的P2P管控解决方案。尽管AC提供了彻底封堵P2P的方案，但粗暴禁止P2P可能招致员工反感，在某些情况下个别部门或员工可能需要使用P2P进行文件共享等，此时AC的P2P流控功能完美的满足了管理上的灵活要求，利用此功能，AC可以针对不同部门、不同时间段、限制不同P2P应用占用的带宽，且可管控部门内每个员工P2P行为对带宽的占用情况（“3.4优化和分配带宽资源”已详细说明AC针对应用的带宽划分和分配）。控制其他网络应用行为员工的上网行为远不止此，管理者还需关注在线炒股、网络游戏、在线视频（RTSP、MMS、Flash、RealMedia等）等。AC已经包括300多条常见应用的识别和管控规则，并定期从深信服公司网站上自动更新最新识别库。同时AC允许有编程基础的网络管理员自行添加、修改和导入自定义的网络应用识别规则。这相对于绝大多数其他厂商仅提供给管理者根据IP和端口封堵应用的方式更加灵活和彻底。对于局域网内出现的AC未能识别和控制的新应用，管理员如果无法自行编制对应的识别策略，仅需将所需控制的应用程序名称、版本号以及下载地址提交给深信服客服中心，我们将在三个工作日内提供最新的识别策略，并帮助用户完成对该应用的封堵和管控。防泄密和法律风险内网员工无意或有意将组织机密信息泄露到互联网甚至竞争对手，或向论坛BBS发布不负责的言论、网络造谣等，将给组织带来泄密和法律风险。AC不仅能过滤、记录员工通过Mail（包括Webmail）、BBS、Blog、QQ空间等工具发布的网络言论，还能实时报警。即使通过Telnet访问部分BBS网站，所有输入的Telnet命令和内容，AC都能详细记录。对于使用HTTP、FTP等方式传送文件所引发的风险（如将研发部的核心代码发送出去），AC首先可以禁止用户使用HTTP、FTP上传下载指定类型的文件，对于上传的文件AC也可以全面记录文件内容，做到有据可查。而外发Email潜在的泄密风险通过AC的邮件延迟审计（PostponedSendingafterAudit,PSA）技术，根据管理员预设条件，将潜在的泄密邮件先拦截，经人工审核后再发送，保障组织信息资产安全。但存心的泄密者通常会更改文件后缀名、删除后缀名、压缩、加密等，再通过Email外发、或通过HTTP、FTP上传，AC对以上行为同样可以识别并报警，彻底避免因外发文件而产生的泄密风险。日志审计和报表中心内网用户的所有上网行为AC都能够记录以满足公安部82号令的要求。AC可针对不同用户(组)进行差异化的行为记录和审计，包括网页访问行为、网络发帖、Email、文件传输、QQ游戏行为、大智慧炒股行为、QQLive在线影音行为等，并且包含该行为的流量信息等。但CEO等高层领导的网络行为可能涉及组织的重要机密（如CEO与供应商的邮件），不应该被记录。AC“免审计Key”从技术上彻底免除行为记录，只要将“免审计Key”插入计算机USB接口并输入对应PIN码，该用户的任何网络行为都免除记录，消除高层领导的忧虑。大型组织60天将产生数百G行为日志通过AC独立数据中心实现海量存储，并通过丰富报表工具方便日志的操作，报表工具主要包括：内置超过60多种报表模板，并支持用户自定义报表。对比报表：汇总对比、指定用户组的对比、指定用户的对比、指定IP的对比等；统计模板：上网流量统计、上网行为统计、病毒信息统计、上网时间统计等；趋势：流量趋势、行为趋势、IM趋势、邮件趋势、炒股趋势等；查询工具：流量查询、行为查询、时间查询、病毒日志查询、安全日志查询、操作日志查询等；内容检索：网页搜索、邮件搜索、IM搜索、关键字搜索、Webmail/BBS搜索等如何防止非授权人员访问数据中心并窥探或恶意传播他人上网行为日志，甚至导致员工对IT管理者的误解和埋怨？AC的“数据中心认证Key”技术，保证只有插入该key的管理员才能审计他人行为日志，否则将只能查看统计报表、趋势图线等，确保日志不被滥用。产品的技术优势单点登录技术AC的单点技术(SingleSignOn,SSO)将避免用户重复输入帐号密码的繁琐操作。AC支持LDAP、POP3、PROXY单点登录。尤其AC无需用户安装任何客户端软件即实现LDAP单点登录，对用户完全透明。内网用户采用域账号登陆Windows系统后，即可自动通过AC认证，而且支持不使用域帐号登录Windows系统即禁止其访问互联网。AC的POP3、PROXY单点登录功能启用后，内网员工只需收发一下Email、或触发PROXY服务器的认证后，也将自动通过AC认证，极大的方便了用户的使用。P2P智能识别能够全面识别P2P行为是进一步管控的基础。对P2P的管控包括封堵和流控两方面，既可全面禁止指定用户使用P2P软件，也可允许其使用但对P2P行为占用的带宽资源进行限制和管理，从而既优化带宽资源的使用，又为员工提供了人性化的管理方式。代理服务器识别对于通过ProxyServer代理上网的情况，AC可以很好地适应并发挥其作用。AC的深度内容检测技术识别用户数据中包含代理信息后，通过代理识别模块可以识别从用户端发送到达代理服务器之间的应用数据，进而对用户的网络行为进行管控和记录。最全面的应用识别AC多种应用识别技术，全面识别各种应用、进而管控和审计。主要包括：URL识别：千万级静态URL库、搜索引擎输入关键字过滤、基于正文关键字过滤明文网页、SSL证书验证技术过滤加密网页、网页智能分析系统IWAS从容应对互联网上数以万亿的网页。文件类型识别：识别并过滤HTTP、FTP方式上传下载的文件，即使恶意用户删除文件扩展名、篡改扩展名、压缩、加密后再上传，同样能识别和报警。深度内容检测：IM聊天、在线炒股、网络游戏、在线流媒体、P2P应用、Email、常用TCP/IP协议等，基于数据包特征精准识别，且支持管理员自行定义新规则，以及深信服科技及时更新和快速响应。智能识别：种类泛滥的P2P行为，静态“应用识别规则”已经捉襟见肘，通过P2P智能识别，识别不常见、未来可能出现的P2P行为，进而封堵、流控和审计。通过强大的应用识别技术，无论网页访问行为、文件传输行为、邮件行为、应用行为等AC都能帮助组织实现对上网行为的封堵、流控、审计等管理。海量日志快速检索记录员工网络行为，不仅满足公安部82号令等法律要求，又做到了有据可查。大型组织每天产生数G的日志数据，通过AC的外置数据中心实现了海量存储，而且提供了图形化的日志查询、统计、审计、报表中心等功能。组织通过AC的外置数据中心保存了上百G的海量日志信息，而一旦发生关键事件或管理者需要从大量日志信息中快速检索获取其感兴趣的内容，却难以快速从海量日志中发现期望得到的数据。AC内置了强大的数据中心内容检索系统，利用类似Google的先进搜索技术，从高达几百G的海量数据中通过多个关键字快速搜索指定内容，并且支持对Email附件正文内容的检索、支持高级检索，支持订阅和自动Email投递功能，极大的方便了管理者的使用。异常流量感知随用户互联网访问、移动存储设备的使用、以及局域网内其他终端的感染导致用户终端设备往往存在木马、间谍软件、远程控制软件等威胁。此类恶意软件为了藏匿自己的行踪往往通过常用的TCP80、443、25、110等端口与互联网控制端交互数据，这使得组织的信息安全、资产安全、网络安全等无法保障。AC的异常流量感知技术正是对于以上异常流量行为进行识别并报警，帮助IT管理者主动发现组织内网潜藏的安全威胁，提升组织内网可靠性和可用性。

数据库审计系统（防统方系统）数据库审计系统是一款专业的实时的数据库审计产品，能够多角度分析数据库活动，并对异常的行为进行告警通知、审计记录和事后追踪分析。该系统独立于数据库进行配置和部署，这种方式能够在不影响数据库的前提下达到安全管理的目的。产品概述产品的系统架构如下图所示：网络引擎：是系统的核心组件，主要负责处理对数据库访问流量及SQL语句的解析，包括流量采集加速、数据捕获、协议识别、协议解析、SQL语句重写与分类、数据库入侵检测等功能模块；审计中心：主要负责对审计日志、告警等信息的检索、分析和报表统计；WEB控制台：包括策略管理、网络管理、数据库管理、数据维护、日志管理、账号管理等配置模块。特色与优势全面记录数据库访问行为基于精细的数据库协议解析和专业的SQL语法、词法分析，具备全面的数据库访问审计能力，具体表现在以下几个方面：记录的日志信息全突破了传统审计产品5要素的审计能力瓶颈，将可审计要素提升至7要素：Who——应用用户、数据库用户、主机名称、操作系统帐号等；What——访问了什么对象数据，执行了什么操作；When——每个事件发生的具体时间；Where——事件的来源和目的，包括IP地址、MAC地址等；How——通过哪些应用程序或第三方工具进行的操作；Range——该操作执行的影响范围，如查询、修改或删除的记录行数；ResultSet——返回结果集，如查询操作的返回内容，这将是审计人员进行线索追踪分析的有力取证材料。审计的SQL语句类型全支持对所有标准的SQL语句进行审计，包括数据查询语言DQL、数据操纵语言DML、数据定义语言DDL、数据库控制语言DCL。支持的数据库类型全能够保护所有常见的数据库类型，支持国外数据库Oracle、IMBDB2、MicrosoftSQLServer、MySQL和PostgreSQL，以及国产数据库达梦数据库、人