涉密计算机审计与监控系统.docx
- 文档编号:11218462
- 上传时间:2023-02-25
- 格式:DOCX
- 页数:19
- 大小:125.50KB
涉密计算机审计与监控系统.docx
《涉密计算机审计与监控系统.docx》由会员分享,可在线阅读,更多相关《涉密计算机审计与监控系统.docx(19页珍藏版)》请在冰豆网上搜索。
涉密计算机审计与监控系统
涉密计算机审计与监控系统V2.0
技术白皮书
北京格方天一网络安全技术有限公司
目录
一系统简介1
1.1系统背景与概述1
1.2系统结构1
二主要功能3
2.1概述3
2.2控制功能3
2.2.1硬件资源控制4
2.2.2软件资源控制4
2.2.3移动存储设备控制4
2.2.4IP与MAC地址绑定4
2.2.5计算机接入控制5
2.3监控功能5
2.3.1进程监控5
2.3.2服务监控5
2.3.3硬件操作监控6
2.3.4文件系统监控6
2.3.5打印机监控6
2.3.6非法外联监控6
2.3.7非法接入监控6
2.3.8计算机用户账号监控7
2.4审计功能7
2.4.1文件操作审计7
2.4.2外挂设备操作审计7
2.4.3非法外联审计7
2.4.4非法接入审计7
2.4.5IP地址更改审计8
2.4.6服务、进程审计8
2.5网管功能8
2.5.1网络拓扑呈现8
2.5.2交换机管理8
2.5.3流量统计9
2.6系统管理功能9
2.6.1代理状态监控9
2.6.2安全策略管理9
2.6.3主机监控代理升级管理9
2.6.4计算机注册管理9
2.6.5实时报警10
2.6.6历史信息查询10
2.6.7统计与报表10
2.7其它辅助功能10
2.7.1资产管理10
2.7.2补丁分发10
2.7.3操作系统日志收集10
三主要特色11
3.1系统部署方式灵活、安装方便11
3.2控制、监控与审计结合,全方位防止泄密11
3.3高性能、高可靠性11
3.4高效的网管功能,实现跨网段主机管理11
3.5主机代理安装卸载方便12
3.6监控模块可动态加载与卸载12
3.7自动升级12
3.8灵活的分级管理架构12
3.9完善的自保护机制12
3.10丰富的报表、报表类型灵活多样12
3.11高兼容性13
3.12系统通信安全性13
3.13增强的网管功能13
3.14多方位的主机资源信息管理功能13
四典型部署14
五系统主要性能参数14
五系统主要性能参数15
六系统配置要求16
一系统简介
1.1系统背景与概述
近年来,国防、军工、军队等行业对信息系统防泄密的需求越来越强烈。
这些行业由于自身保密的需要,一方面需要对内网网络以及个人计算机终端进行严格的访问控制,防止由于外来攻击和非法接入导致的被动信息泄密;另一方面,需要对内网网络和个人计算机终端的使用进行授权或强制控制,以防止内部员工由于各种动机导致的主动信息泄密。
北京格方天一网络安全技术有限公司的涉密计算机审计与监控系统,是根据这些行业的信息保密需求开发的一款对涉密计算机系统进行强制或授权控制、监控和审计的安全产品。
该产品为这些行业解决内部信息泄密问题提供了良好的技术手段和完善的解决方案。
该系统将涉密计算机的安全与保密防护分成事前、事中和事后三个环节,综合采用控制、监控、审计等安全防护手段,统筹考虑三个环节中可能出现的各信息泄密途径,对计算机的软硬件资源、文件系统进行集中的监控与管理。
同时,为了加强涉密计算机的管理,系统内置了网络管理功能和注册管理功能,对计算机的IP地址、MAC地址、使用人、所在交换机端口等信息进行集中管理,实现对计算机的实时跟踪和控制。
1.2系统结构
涉密计算机审计与监控系统.采用C/S与B/S混和设计架构,系统架构如图1所示。
从图中可以看出,系统由四部分组成:
控制台,主机监控代理、网管子系统和后台数据库。
其中控制台管理采用B/S模式,监控代理与控制台之间的通讯采用C/S模式。
控制台负责设置监控代理的安全策略、查看监控代理的活动状态、接受监控代理上传的报警事件并记入后台数据库以及对历史审计数据的查询以及报表等。
另外,控制台还负责设置网络管理各项参数和网管策略,实现系统的网络管理功能。
控制台主要采用了JAVA技术和WebService技术。
主机监控代理负责按照控制台制定的安全策略完成对主机软硬件资源、文件系统等的使用控制、监控和审计功能。
将报警信息上传到控制台。
监控代理按照模块化的设计思想,每个功能都是一个独立的模块,且各功能模块可按控制台的策略动态加载或移除。
这使得监控代理的功能升级非常方便。
网管子系统负责对内网网络以及网络设备进行管理和控制,实现网络拓扑自动发现、交换机端口管理、VLAN管理功能,并可实现交换机端口与主机的对应,从而可直接控制特定主机的网络接入,例如对可疑主机的阻断和隔离等。
后台数据库是提供数据信息存储和数据信息交换的平台。
本系统可根据管理的主机数量分别选择Oracle、SQLServer、MySQL等。
数据库主要存储报警和审计数据。
图1涉密计算机审计与监控系统体系架构
二主要功能
2.1概述
本系统通过主机监控代理实现计算机的控制、监控与审计。
不论计算机是否联网、登陆用户是否有超级权限,都能够有效控制计算机相关资源的使用;通过网管子系统的交换机端口和主机映射功能,实现计算机的精确定位和控制。
本系统主要包括控制功能、监控功能、审计功能、网管功能和系统管理功能五大类。
控制功能包括计算机硬件资源控制、软件资源控制、移动存储设备使用控制、IP与MAC地址绑定、计算机接入控制等。
监控功能包括服务监控、进程监控、硬件操作监控、文件系统监控、打印机监控、非法外联监控、非法接入监控、计算机用户账号监控等。
审计功能包括文件操作审计、外挂设备操作审计、非法外联审计、非法接入审计、IP地址更改审计、服务与进程审计等、。
网管功能包括网络拓扑呈现、交换机管理、流量统计等。
系统管理功能包括系统用户管理、主机监控代理状态监控、安全策略管理、主机监控代理升级管理、计算机注册管理、实时报警、历史信息查询、统计与报表等。
另外,系统还包括其它一些辅助功能,例如资产管理、补丁分发、操作系统日志收集。
2.2控制功能
涉密计算机审计与监控系统的控制功能是指对安装主机监控代理的计算机上的各种硬件资源、软件资源的使用、网络接入和外联等用户行为进行控制,使得非法用户或未授权用户的行为得到有效控制,从而达到保护主机系统机密信息不被非法盗取或意外泄漏的目的。
2.2.1硬件资源控制
本系统能够管理控制(使用或禁用)的硬件设备包括所有的计算机外挂设备。
这些外挂设备包括:
USB设备、串口、并口、RAM盘、软驱、光驱、刻录机、红外设备、网络设备等。
一旦控制中心设定的策略不允许使用某个设备,即使本机超级用户也无法使用该设备。
这种控制功能和系统内核进行了结合,达到了强制控制的目的,即被禁用的设备无法使用,即便超级管理员也无法启用该设备。
另外,系统还可控制新添加的外挂硬件设备。
只要控制台的策略不允许使用任何新添加的设备,计算机上的新加设备便不可使用。
2.2.2软件资源控制
软件资源的控制主要是指对用户可使用的应用软件进行控制。
控制包括两个方面,一是通过禁止用户安装未授权应用软件,二是对已安装的应用软件的使用进行控制。
如果系统策略不允许用户私自安装应用软件,则用户安装任何应用软件时,主机监控代理均会要求用户输入正确的安装密码(该安装密码由控制台设置)。
只有当用户输入正确的安装密码后,才能够继续安装应用软件。
另外,对于已经安装的应用软件,系统可以采用黑名单的形式,禁止用户运行黑名单上的应用程序。
2.2.3移动存储设备控制
系统可对移动存储设备的使用进行控制,包括U盘、移动硬盘、软盘。
控制包括两个层次,一是禁止移动设备的使用,当禁用移动设备后,用户无法向移动设备上拷贝任何文件,也无法访问移动设备上的文件;二是可以使用移动设备,但是任何存储到移动设备上的文件将自动加密,该移动设备只能在企业内部网络内使用,一旦移动设备脱离企业内网,移动设备上存储的文件将无法解密,从而保护了文件内容,防止泄密事件的发生。
2.2.4IP与MAC地址绑定
系统可禁止用户自行修改主机的IP地址,这主要通过IP与MAC地址绑定来实现。
如果计算机采用了固定IP地址管理方式,系统可将IP和MAC地址绑定,如何试图改变IP地址的企图都将无效。
这为计算机的管理提供了方便。
也有效防止了用户通过私自更改计算机IP地址的方式,进行非法操作。
2.2.5计算机接入控制
计算机接入控制是指对计算机可否接入企业内网进行控制。
系统可自动将内网计算机IP、MAC等信息与计算机所位于的交换机地址和端口号对应起来。
如果禁止计算机接入内网,可通过禁用交换机端口实现;如果限制计算机接入,则可通过将该计算机位于的交换机端口划分到独立的VLAN中实现对该计算机的隔离。
对交换机端口的控制以及VLAN的划分通过SNMP协议自动实现,无须管理员登录到交换机进行设置。
2.3监控功能
系统的监控功能主要是对计算机的运行状态和用户行为进行实时监视,并对出现的违规行为或非法行为采取必要的控制措施。
通过系统监控功能,管理人员能够及时发现被监控计算机可能的泄密行为,也能够发现一些正在危害系统安全的特殊行为,并可自动采取控制措施阻止泄密行为的发生。
2.3.1进程监控
进程监控是指对被监控计算机上正在运行的进程进行实时监视,并根据进程黑名单对进程进行控制。
如果某个正在运行的进程被加入黑名单,主机监控代理将立即杀死该进程。
其它位于黑名单中的未运行进程则永远不可运行,除非控制台将该进程从黑名单中移除。
2.3.2服务监控
服务监控是指对被监控计算机上正在运行的服务进行实时监视,并根据服务黑名单对服务进行控制。
如果某个已经启动的服务被加入黑名单,主机监控代理将立即停用该服务。
其它位于黑名单中的未启动服务则永远无法启动,除非控制台将该服务从黑名单中移除。
2.3.3硬件操作监控
本功能主要监视用户对外挂硬件设备的启用和禁用等操作,并对用户操作进行实时报警。
例如,如果安全策略不允许用户启用某个外围设备,当用户试图启用这个设备时系统便会报警。
2.3.4文件系统监控
该功能可针对被监控的计算机制定文件监控策略,对用户的文件操作进行监控,例如创建文件,更改文件名,删除文件等。
系统能够识别创建或拷贝的文件是位于移动硬盘还是固定介质。
监控策略包括文件类型、文件名等。
可使用通配符“*”,“?
”。
这样就可针对文件名中包含的涉密关键字,监控可能的用户泄密操作。
通过将用户操作事件写入数据库,还可为事后泄密责任的追查提供依据。
2.3.5打印机监控
打印机监控是指对被监控计算机的文件打印操作进行监控,只要发现打印任务,立即向控制台发送报警信息。
报警信息包括文档名、所有者、当前打印状态等。
可监控的打印机包括本地打印机、共享打印机和网络打印机。
2.3.6非法外联监控
非法外联是指未授权用户通过各种途径访问国际互联网的行为。
该功能可根据设定的策略允许或者禁止用户访问互联网。
可以禁止的互联网访问方式包括局域网上网、ADSL、MODEM拨号、无线上网、以及通过红外线和蓝牙设备上网等。
系统一旦发现用户计算机连通了互联网,可立即禁止网络连接。
该功能突破了传统的拨号上网连接控制,完全杜绝了非法上网行为。
2.3.7非法接入监控
非法接入是指未经注册的计算机接入企业内网。
控制台的网络管理子系统按照设定的周期自动扫描网络上新发现的计算机,一旦发现有非注册的计算机接入了内网,立即发送报警信息。
同时,根据控制台设置的策略,还可对非法接入的计算机进行阻断或隔离。
2.3.8计算机用户账号监控
该功能主要对计算机用户账号的更改情况进行监控,包括增加、删除、改名、修改属性等。
一旦发现计算机用户账号有改动,立即向控制台发送报警信息。
2.4审计功能
审计功能主要是针对系统监控所涉及的内容进行记录,并上传到控制台保存。
如果被监控计算机处于离线状态,主机监控代理仍然可记录对于用户在离线状态下的行为,主机监控代理仍然进行记录,加密后保存在客户端。
当该机器连接到内部网上后,这些记录可继续传输到控制台服务器,并由控制台写入后台数据库中。
2.4.1文件操作审计
文件操作审计主要对用户进行的各种文件操作进行审计,如创建、读取、删除、修改等。
通过该功能可实现对特定文件的跟踪审计。
2.4.2外挂设备操作审计
该功能主要对用户企图启用或禁用计算机外挂设备的操作进行审计。
通过功能可对用户使用外挂设备的企图进行记录,为日后的责任追查提供依据。
2.4.3非法外联审计
在系统设置了禁止非法外联安全策略情况下(即禁止用户计算机连接互联网),该功能可对用户连接互联网的操作进行审计、审计内容包括非法外联类型(拨号、ADSL、局域网等)、事件发生时间、拨号号码、接入网关和DNS等。
2.4.4非法接入审计
在控制台设置非法接入监控策略后,系统会按照策略进行周期性的网络检测,一旦发现有未注册的计算机接入网络,除了发送报警外,还会将非法接入的计算机的IP地址、MAC地址、所在交换机地址、交换机端口号以及事件发生时间等信息记录下来。
2.4.5IP地址更改审计
在控制台设置地址绑定策略(MAC地址与IP地址绑定)后,如果用户擅自修改IP地址,系统会生成警报信息告知控制台,并将用户试图进行修改IP地址的操作记录下来,记录信息包括原IP地址、MAC地址、更改后的IP地址以及更改时间等。
2.4.6服务、进程审计
服务和进程审计主要是针对运行代理端的机器上的服务和进程的变化进行记录。
当位于服务或进程黑名单中的服务或进程启动时,系统将记录该服务和进程。
记录内容包括服务名、进程名、启动时间等。
2.5网管功能
2.5.1网络拓扑呈现
网络拓扑呈现功能可从用户指定的任何一个网络设备开始,自动扫描整个网络的拓扑结构,并将拓扑结构以树状格式显示。
通过该网络拓扑,可方便地查看网络结构和各网络设备之间的层级关系。
拓扑中还包含各个网络设备名称、IP地址、端口数量、系统总运行时间、系统所在位置等。
对于一些无法自动发现的网络设备,系统提供手动添加的功能,可有系统管理员根据真实的网络结构将网络设备添加到设备树中,并可自动获取设备各种信息。
建议起始扫描设备选择网络中核心交换机,这样既可提高拓扑发现速度,也可最大限度地发现网络中的所有设备,减少遗漏。
2.5.2交换机管理
交换机管理是指对交换机的各种信息查看以及对端口和VLAN的控制。
通过该功能可实时查看各交换机的信息,包括端口状态、端口流量、端口所属VLAN、端口类别、该端口所接入的主机IP地址和MAC地址等。
通过交换机管理还可以对交换机端口的工作状态进行控制、例如禁用和启用端口。
另外,还可以改变端口所属的VLAN。
通过这两个功能与主机监控代理的交互工作,可对非法接入内网的计算机或者可疑计算机进行阻断或隔离。
2.5.3流量统计
系统可对交换机各个端口的流量进行统计,包括流入数据量和流出数据量。
从而实现对各计算机的网络通讯流量的监控和分析。
2.6系统管理功能
2.6.1代理状态监控
该功能能够对安装的主机监控代理的运行状态进行监控,可实时监控主机代理的当前状态,包括活动、未活动、异常、未安装、安装后被卸载等情况。
通过代理状态监控,管理员可识别异常代理,也可对用户非法卸载或破坏代理的情况进行监控。
一旦发现异常,可通过控制台向管理员报警。
2.6.2安全策略管理
安全策略管理是指对各主机监控代理的安全策略进行统一管理,包括设置、查看、修改等。
策略分为主机策略和组策略,主机策略可自动继承组策略。
通过组策可实现安全策略的群发,从而为用户提供高效率的策略配置方案。
系统可对策略进行集中查看,这大大方便了系统管理员对主机策略的监控和管理。
2.6.3主机监控代理升级管理
该功能可实现主机监控代理的自动升级。
升级对用户本身是透明的,用户端感觉不到任何异常,且升级无须重新启动计算机。
系统由控制台对代理升级模块进行统一管理。
2.6.4计算机注册管理
计算机注册管理是指对内网的计算机进行统一的注册,注册信息包括主机IP地址、MAC地址、拥有者、所在部门、房间号、联系电话等。
通过注册实现内网计算机的统一管理。
系统认为只有注册过的计算机才是内网合法计算机,如果任何其它计算机接入内网均视为非法,通过非法接入功能可对非法接入的计算机采取阻断或隔离等响应措施。
2.6.5实时报警
系统接受来自各主机监控代理的报警信息,一旦有报警信息达到中央控制台,系统会立即报警,通过可视化报警显示,为管理员采取进一步的防范措施提供参考。
2.6.6历史信息查询
历史信息查询是指对系统存储的历史审计数据进行查询,查询可通过各种条件的组合进行,方便管理员对特定审计信息的检索。
2.6.7统计与报表
系统还提供历史审计信息的统计和报表功能。
管理员可按照各种模板实现历史日记的自动统计和报表(日报、周报、月报等),管理员还可自行定义统计和报表条件,对特定信息进行统计并生成报表。
报表支持html、doc、excel、pdf等格式。
2.7其它辅助功能
2.7.1资产管理
该辅助功能可为系统使用单位提供简单的资产管理。
系统可自动收集计算机各种软硬件资源信息、包括安装的各种应用程序、CPU、内存、硬盘等,并可对硬件的改动进行跟踪和报警。
该功能可为企业的资产清查、统计和管理提供一定的帮助。
2.7.2补丁分发
系统提供补丁分发功能。
管理员可将需要分发的各种操作系统补丁、应用系统补丁以及其它一些辅助工具等统一部署到控制台,以计算机或组的方式向各计算机下发。
计算机会自动提示用户有补丁程序需要安装,经计算机使用者确认后即可安装补丁程序。
2.7.3操作系统日志收集
通过该功能、主机监控代理可自动收集操作系统日志,并将日志上传到控制台存储。
为系统管理员诊断和检查各计算机的故障以及安全情况提供帮助。
三主要特色
3.1系统部署方式灵活、安装方便
本系统采用控制台和代理分离的设计方式,代理的安装可以通过控制台统一进行,大大简化了系统的安装。
控制台可以主动从监控代理提取数据,也可以由监控代理主动向控制台发送数据,这使得主机代理和控制台的部署可以满足复杂网络拓扑。
主机监控代理的安装支持三种方式:
本地安装、网络安装和域安装。
3.2控制、监控与审计结合,全方位防止泄密
该系统将主机控制、监控和审计功能完美地集成到一起,共同完成全方位的主机防护。
审计可对主机的活动进行记录作为事后查询依据;监控可以实时发现主机的异常活动和入侵事件,为事中防护;控制可以禁止某些设备(如网络设备和存储设备)被使用,为事前防护。
三者完美结合,完成主机事前、事中和事后三个环节的全方位防护任务。
3.3高性能、高可靠性
中央控制台可以同时监控管理1000台以上的主机,在同时管理1000台主机的情况下,能够及时处理各主机监控代理传送的报警信息、策略请求、状态更新等。
并能保证控制台稳定可靠地运行。
主机代理对系统资源的占用非常低,CPU占用率<3%,对用户的计算机使用影响甚微。
3.4高效的网管功能,实现跨网段主机管理
本系统通过自身的网管功能,可进行跨网段的主机管理,包括主机注册、策略分发、可疑主机隔离和阻断等。
3.5主机代理安装卸载方便
本系统既可远程进行主机代理的分发与安装,也可在用户注册过程中自动完成主机代理的安装。
主机代理可根据控制台发送的卸载指令自动完成自身的卸载,卸载过程对用户完成透明。
3.6监控模块可动态加载与卸载
主机监控代理采取模块化开发技术,各个功能模块可根据控制台最新的安全策略实现动态加载与卸载,且在此过程中,主机代理仍然正常工作,用户完全感觉不到主机代理模块的更改。
3.7自动升级
本系统的主机代理可根据控制台的指令自动进行升级,升级过程不影响正常的监控活动。
3.8灵活的分级管理架构
本系统采用分级管理的体系结构设计,增加了系统部署和管理的灵活性,极大地方便了大型跨地域企业的主机监控与管理。
3.9完善的自保护机制
主机代理采用多种系统内核技术,保证了自身不可卸载、不可停止。
即便在安全模式下,自保护机制仍能保证自身不被恶意破坏。
3.10丰富的报表、报表类型灵活多样
系统具有丰富的日志信息,并可对日志进行方便的查询和生成报表。
报表方式灵活,类型多样,支持word、excel、pdf、html等各种常见的报表格式,可满足用户和网络管理人员的报表要求。
3.11高兼容性
系统在多种应用环境下的兼容性测试表明,本系统的兼容性非常好,目前兼容的应用包括各种办公软件、设计软件、管理软件、安全软件等,如OFFICE系列、VISIO、UG、PROe、MATLAB、CAD、各种防病毒软件等,成为目前国内最成熟的同类产品之一。
3.12系统通信安全性
本系统为了确保各主机监控代理和控制台之间通讯的安全性,对传输数据进行了加密处理。
另外,系统还具有日志本地暂存的功能,如果在数据通讯过程中出现网络故障,客户端代理将日志信息存放在本机上,并会自动定时尝试恢复连接,一旦网络连通,立即将本地日志信息上传至控制台。
3.13增强的网管功能
信息防泄密不是一个单方面的工作,仅仅通过主机管理还无法对内网的计算机实现有效的管理。
本系统自带网管功能,将内网所有交换机纳入管理范围,通过主机管理和网络管理的结合,可有效阻断和隔离非法接入内网的计算机。
该功能还可让网络管理人员了解到整个系统网络架构、各交换机工作状态、各接口工作状态,为管理人员提供有效的网络管理工具。
3.14多方位的主机资源信息管理功能
该系统可以提供主机的硬件资源信息、软件资源信息功能,还可提供用户组、办公室、房间号、联系电话、所在交换机端口等精确的主机定位管理功能。
四典型部署
五系统主要性能参数
指标
参数1
参数2
说明
主机监控代理资源占用量(以CPM800MHZ内存128M为准)
CPU占用率<2%
内存占用量
<15M
主机监控代理平均故障率
<3%
-
安装本监控代理后出现死机、蓝屏、应用系统变慢、某个应用系统控件变慢、控件功能失效的主机数量
主机监控代理和控制台服务器之间数据传输平均网络占用量(100台客户机为准)
<2.5K/S
-
主要包含DOC类文件监控和硬件监控
六系统配置要求
一、主机引擎
软件环境:
WindowsXP/2000/2003中英文版
硬件环境:
奔III或更高主频的PC计算机,原则上主频不低于500MHZ,内存128M或更高,10/100MB网卡
二、控制台
软件环境:
RedhatLinux9.0或Federa3A操作系统
JAVA支持
Python支持
TomcatWeb服务系统
Oracle9i数据库(linux版本)
硬件环境:
格方公司提供专用硬件设备或由用户自备高性能服务器,用户可根据需要选择。
可管理计算机数量
系统配置
方案一
200以内
格方专用硬件设备
●CPUPentium42.0G
●内存512M
●硬盘40G
●百兆网卡
方案二
200-500
格方专用硬件设备
●工业极主板
●CPUPentium43.0G
●内存1G
●硬盘80G
●千兆网卡
方案三
500-1000
高性能服务器
●CPU3.0G
●内存2G
●硬盘80G
●千兆网卡
方案三
1000以上
高性能服务器
●CPU3.0G×2
●内存2
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 计算机 审计 监控 系统