上网行为管理解决方案.docx

《上网行为管理解决方案.docx》由会员分享，可在线阅读，更多相关《上网行为管理解决方案.docx（51页珍藏版）》请在第一文库网上搜索。

1、上网行为管理解决方目录第1章概述.4第2章需求分析5第3章建设原则7第4章设计思路10第5章方案介绍125.1 网络聊125.2 存在问题125.3 解决方案125.3.1 部署方式135.3.2 身彳领证165.3.3 上网行为控制175.3.4 流量控制235.3.5 安全恸275.3.6 行为审计365.3.7 系统集中管理455.4 应用价值495.4.1 提升工作效率495.4.2 提高带宽利用率505.4.3 避免泄密和法律风险515.4.4 保障内网安全525.4.5 降低频成本55第1章概述项目概述，客户背景介绍第2章需求分析（拓扑图，目前网络结构描述）随着信息技术的快速发展，

2、网络应用更新换代频繁，新兴应用不断涌现。互联网在给生活?口工作带来便捷的同时也对上网行为管理带来了新的挑战,主要问题体现在以下几个方面：带宽滥用随着互联网的普及，企业业务几乎都依托于互联网进行。ERP、CRM.OAxMaik电子商务、视频会议等系统已成为基础设施，共同构成业务信息化平台。但是在内部网络中，除了这些关键业务系统外，还存在着P2P下载、在线视频、网络炒股、购物、游戏、在线小说等非关键业务应用，形成了复杂的网络应用“脉络、在众多的网络应用中，尤以P2P应用的带宽侵蚀性最为强烈。据调查统计，P2P应用对带宽占用比大致是40%60%,在极端情况下占用比会达到80%90%同时，再加上其他与

3、工作无关的应用占用了带宽资源。因此，在日常办公当中带宽有效利用率不到30%工作效率低下网络的普及改变了传统的办公方式,而企业内总有部分员工在上班时间有意无意的做与工作无关的网络行为，比如聊天、炒股、玩网游、看视频、网购等,严重影响工作效率，从而导致企业竞争力的下降。数据泄密企业业务依托于互联网开展，ERP.CRM.OAs电子商务、视频会议等系统来自于全球高端厂商的开发，都承载着有关于企业的机密信息。在没有任何网络安全防护措施下，企业将承受机密信息外泄风险。因此，为了防止数据安全隐患，既要预防黑客入侵系统窃取资料，又要禁止企业内部员工主动外发资料。违法行为企业员工在日常办公中拥有访问互联网的权限

4、，可通过QQ、MSN、论坛或微博等方式外发信息，如果包含了色情、赌博、反动等不良信息，都属于网络违规违法行为,企业或个人将承担法律责任。安全隐患互联网的开放给企业带来了信息共享的便利，为业务系统提供了传输平台，但是正因为互联网的开放，网络病毒、蠕虫、木马等不安全因素也随之出现。某些网络安全意识薄弱的员工,在互联网上随意打开网页、点击链接,中毒受感染，并且在内部网络中传播导致大范围严重影响。因此,如何避免来自互联网的侵袭,解决内网安全管理问题，是信息化系统建设中需要考虑的重点问题。第3章建设原则上网行为管理系统建设必须适应当前企业各项应用，又可面向未来信息化发展的需要，因此必须是高质量的。在建设

5、过程中，需要遵循以下原则：实用性和先进性采用先进成熟的技术满足大规模数据、语音、视频综合业务需求，兼顾其他相关的管理需求，尽可能采用先进的网络技术以适应更高的数据、语音、视频的传输需要，使整个系统在相当一段时期内保持技术的先进性,以适应未来信息化的发展的需要。安全可靠性为保证各项业务应用，系统必须具有高可靠性，尽量避免单点故障。要对结构、设备等各个方面进行高可靠性的设计和建设。在采用硬件备份、冗余等可靠性技术的基础上，在系统设计方案中要应用网络管理手段，保证接入网络用户身份的合法性；采用相关的软件技术提供较强的管理机制、控制手段和事故监控与网络安全保密等技术措施提高整个网络系统的安全可靠性。灵

6、活性和可扩展性上网行为管理系统是一个不断发展的系统,所以它必须具有良好的灵活性和可扩展性，能够根据企业不断深入发展的需要，方便灵活的扩展应用覆盖范围、扩大存储容量和增加系统功能。具备支持多种网络协议、多种物理接口的能力，提供技术升级、设备更新的灵活性。开放性和互连性具备与多种协议计算机通信网络互连互通的特性,确保本系统的基础设施的作用可以充分的发挥。在结构上真正实现开放，基于开放式标准，坚持统一规范的原则，从而为未来的发展奠定基础。设备及端口模块的选型须满足国内外相关的技术标准，并保证与业界主流的网络设备厂家的设备互联、互通。经济性和投资保护应以较高的性能价格比构建本系统，使资金的产出投入比达

7、到最大值。能以较低的成本、较少的人员投入来维持系统运转，提供高效能与高效益。尽可能保留延长已有系统的投资，充分利用以往在资金与技术方面的投入。可管理性由于系统本身具有一定复杂性，随着业务的不断发展，网络管理的任务必定会日益繁重。所以在方案设计中，必须具备全面的网络管理解决方案。网络设备必须采用智能化，可管理的设备，同时实现先进的分布式管理。最终能够实现监控、监测整个系统的运行情况，合理分配资源、动态配置策略、可以迅速确定故障点等。通过先进的管理策略、管理工具提高系统的运行性能、可靠性，简化维护工作，从而为办公、管理提供最有力的保障。因此，系统建设需要从网络的稳定性、可靠性、先进性、扩展性、高性

8、价比、易用性等多方面综合考虑。第4章设计思路通过针对企业信息网络业务需求分析，结合上网行为管理系统建设原则，总结出本次方案的设计思路：1 .在网络出口处部署上网行为管理系统，对企业网络的进出数据流量进行管理。2 .根据企业组织架构和人员分布，建立用户组树形结构，匹配企业目前组织架构，为后续网络管理奠定基础。3 .通过上网行为管理系统，对员工在日常办公中与工作无关的网络应用进行控制，例如禁止P2P下载、在线视频、浏览购物网站、网络游戏等。解决带宽滥用问题，提高带宽有效利用率。同时，禁止工作无关应用，提高企业员工工作效率，为企业带来效益增长。4 .在部署上网行为管理系统后,通过定义关键字的方式,实

9、现对发送邮件、网上搜索、网上发布、文件外发等行为进行过滤，从而避免敏感信息泄露问题给企业带来经济损失。同时，有效防止不良信息外发行为，避免引起法律纠纷。5 .通过利用上网行为管理系统中的安全功能，抵御外网安全攻击行为，有效隔离内网，提高内网安全性。6 .由于大规模部署了上网行为管理系统，因此，为了对整体系统实行有效管理，在总部部署一台集中管理设备，对全网的上网行为管理系统进行统一管理，降低管理成本，提高可管理性。第5章方案介绍5.1 网络现状拓扑图，目前网络结构描述5.2 存在问题（客户网络中存在的问题,简单描述）（现有网络中缺乏上网行为管理手段，对于内部用户的上网行为无法控制，存在较大管理漏

10、洞。员工在网络上进行一些与工作无关的行为,如网上购物、玩网络游戏、看在线视频等，占用大量的带宽资源，严重影响了个人及同事的工作效率，给办公环境带来负面影响。同时，网络中缺少上网行为审计措施，无法记录员工在网络上一些发微博、写博客、发帖、上传文件、分享图片等行为，一旦出现了违法行为，企业将承担所有法律责任。）53解决方案通过在网络出口处部署上网行为管理系统（以下简称AC）,对员工上网行为进行精细化控制管理。（在内网部署上网行为管理系统，旁挂于核心交换机，在核心交换机上通过端口镜像将上网流量引流到上网行为管理系统,从而实现行为审计。）5.3.1部署方式53.1.1网关模式AC以网关模式部署于网络出

11、口处，对内网用户上网行为进行识别与控制。AC在网关模式下,具有路由选路、NAT地址转换等路由器功能，在网络出口充当路由器”的角色，满足三层组网要求。针对外网有多条连接互联网线路时,AC具备的多线路智能选路和多线路复用专利技术，可为出口的多条线路进行优化选择和流量均衡分配，为企业出口线路提供优化的速度和平衡的流量负荷。网络接入区服务器区在核心交换楣口防火墙之间部署AC,AC以网桥模式部署,实现对内网用户上网行为管理，并且不用更改网络结构、路由配置以及IP配置，部署简单快捷。（2台AC间启用多机同步功能，实时同步用户认证、会话、配置等信息，互为冗余备份，提高系统可靠性。）同时,AC具有Bypass

12、功能,在网桥模式部署下关机、开机、重启或者出现故障，则通过Bypass功能实现两端接口二层连通,避免出现链路断开状态,保证业务持续性。Internet网络接入区服务器区53.1.3旁路模式在内网部署上网行为管理系统，旁挂于核心交换机，在核心交换机上通过端口镜像将上网流量引流到上网行为管理系统，从而实现上网行为审计。所有有关的用户上网数据都将形成报表，存储在内置或者外置数据中心，为企业提供方便快捷的日志查询工具。5.3.1.4统一部署本次方案设计中，网络架构为总部-分支星型结构，由于在各个分支大规模的部署了上网行为管理系统AC,数量多，地点分散，因此增加了管理难度。为了有效提升管理效率，降低管理

13、成本，在总部部署一台集中管理设备SCo通过SC对全网范围内的AC进行集中式管理，统一下发策略和配置，有效降低管理复杂性。5.3.2身份认证为了有效区分用户和用户组，针对不同用户实施不同的上网行为管理策略，因此，在网络访问过程中，必须具备身份认证机制，避免身份冒充、权限滥用等出现。53.2.1 本地认证AC支持本地认证功能，包括Web认证、用户名/密码认证、IP/MAC/IP-MAC绑定、USB-Key等。通过本地认证功能,能够准确识别上网用户，从而对该用户进行上网行为管理，而对于未通过认证的用户则限制其网络访问权限。53.2.2 外部认证AC支持与1DAP、RadiUs、POP3等外部认证服务

14、器或者SAM、CAMS等认证计费系统结合进行身份认证。当用户在认证服务器上进行认证后，AC能够获取用户认证信息，用户不用在AC上进行第二次身份认证，形成单点登录，避免重复认证所带来的麻烦。通过身份认证功能,AC能够准确识别上网用户，从而对该用户进行上网行为管理,而对于未通过认证的用户则限制其网络访问权限。53.2.3 网行为控制网络应用极其丰富，尤其随着大量社交型网络应用的出现，用户将个人网络行为带入办公场所，由此引发各种管理和安全问题。因此，全面的应用控制帮助管理员掌控网络应用现状和用户行为，保障管理效果。53.2.3.1 应用控制互联网应用众多，要在内网对各应用进行合理的管控，首先需要对应

15、用进行识别。AC内置庞大应用特征识别库，包含1500多种应用，可识别目前网络中各种主流应用,如微博、社区论坛、网盘、在线视频和移动APP等。对于未知应用，AC支持自定义功能，用户可通过协议、IP、端口等元素定义内网系统应用，从而对不同用户进行控制。AC不仅可以针对用户使用WEB、FTP、EMAI1等常用服务的情况进行控制，还能够通过深度内容检测技术,实现对QQ、MSN、SKYPE等IM聊天工具，BT,电骡等P2P下载工具，PP1ivexQQ1ive等在线影音工具，网络游戏，在线炒股等网络应用行为进行管理和控制。针对目前P2P应用泛滥的趋势，AC的P2P智能识别技术基于P2P行为进行识别,不仅能够对现有的BT、迅雷、电骡等P2P软件进行管控,还能够对不常用的、未来可能出现的P2P软件进行有效管控。并且对P2P行为严重吞噬带宽资源的问题,提供P2P应用封堵措施。针对类似P2P难以管控的应用，AC内置应用智能识别库，自动判断新出现应用特征，从而归类管理。AC具备多种网络访问控制功能，可以基于用户/用户组、基于时间段、基于不同目标行为进行灵活权限控制，实现人性化管理要求。管理员可通过AC对应用或具体细分动作进行标签化，例如，迅雷下载定义为高带宽消耗标签、网盘的上传动作定义为