版 权 声 明 本 书 版 权 归 深 圳 市 深 信 服 电 子 科 技 有 限 公 司 所 有, 并 保 留 对 本 文 档 及 本 声 明 的 最 终 解 释 权 和 修 改 权 本 文 档 中 出 现 的 任 何 文 字 叙 述 文 档 格 式 插 图 照 片 方 法 过 程 等 内 容,

深 信 服 科 技 SANGFOR AC 上 网 行 为 管 理 产 品 白 皮 书 深 信 服 科 技 有 限 公 司 2015 年 09 月

版 权 声 明 本 书 版 权 归 深 圳 市 深 信 服 电 子 科 技 有 限 公 司 所 有, 并 保 留 对 本 文 档 及 本 声 明 的 最 终 解 释 权 和 修 改 权 本 文 档 中 出 现 的 任 何 文 字 叙 述 文 档 格 式 插 图 照 片 方 法 过 程 等 内 容, 除 另 有 特 别 注 明 外, 其 著 作 权 或 其 它 相 关 权 利 均 属 于 深 圳 市 深 信 服 电 子 科 技 有 限 公 司 未 经 深 圳 市 深 信 服 电 子 科 技 有 限 公 司 书 面 同 意, 任 何 人 不 得 以 任 何 方 式 或 形 式 对 本 文 档 内 的 任 何 部 分 进 行 复 制 摘 录 备 份 修 改 传 播 翻 译 成 其 他 语 言 将 其 全 部 或 部 分 用 于 商 业 用 途 免 责 条 款 本 文 档 仅 用 于 为 最 终 用 户 提 供 信 息, 其 内 容 如 有 更 改 或 撤 回, 恕 不 另 行 通 知 深 信 服 电 子 科 技 有 限 公 司 已 尽 最 大 努 力 确 保 本 文 档 内 容 准 确 可 靠, 但 不 提 供 任 何 形 式 的 担 保, 任 何 情 况 下, 深 信 服 电 子 科 技 有 限 公 司 均 不 对 ( 包 括 但 不 限 于 ) 最 终 用 户 或 任 何 第 三 方 因 使 用 本 文 档 而 造 成 的 直 接 或 间 接 的 损 失 或 损 害 负 责 信 息 反 馈 如 果 您 有 任 何 宝 贵 意 见, 请 反 馈 : 地 址 : 深 圳 市 南 山 区 学 苑 大 道 1001 号 南 山 智 园 A1 栋 邮 编 :518055 电 话 :0755-86627888 传 真 :0755-86627999 您 也 可 以 访 问 深 信 服 科 技 网 站 :www.sangfor.com.cn 获 得 最 新 技 术 和 产 品 信 息 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 2

目 录 第 1 章 上 网 行 为 管 理 产 品 应 用 价 值... 6 1.1 优 化 带 宽 管 理, 提 升 用 户 上 网 体 验... 6 1.2 管 控 网 络 应 用, 提 高 员 工 工 作 效 率... 6 1.3 管 控 上 网 权 限, 实 现 职 位 与 权 限 匹 配... 6 1.4 防 范 信 息 泄 露, 保 障 组 织 信 息 安 全... 6 1.5 过 滤 不 良 信 息, 规 避 管 理 与 法 律 风 险... 7 1.6 优 化 上 网 环 境, 提 升 上 网 安 全... 7 1.7 支 撑 IT 管 理, 优 化 组 织 IT 环 境... 7 第 2 章 深 信 服 上 网 行 为 管 理 产 品 功 能... 7 2.1 深 信 服 上 网 行 为 管 理 产 品 部 署 模 式... 7 2.1.1 网 关 模 式... 7 2.1.2 网 桥 模 式... 8 2.1.3 旁 路 模 式... 10 2.1.4 多 机 模 式... 11 2.1.5 双 机 模 式... 12 2.2 身 份 认 证... 13 2.2.1 建 立 身 份 认 证 体 系... 13 2.2.2 映 射 组 织 行 政 结 构... 14 2.3 应 用 控 制... 15 2.3.1 应 用 控 制 策 略... 15 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 3

2.3.2 Web 应 用 控 制... 17 2.3.3 代 理 翻 墙 共 享 控 制... 18 2.3.4 文 件 传 输 控 制... 18 2.3.5 邮 件 收 发 控 制... 18 2.4 带 宽 管 理... 19 2.4.1 流 量 可 视 化... 19 2.4.2 流 量 管 理... 19 2.5 行 为 审 计... 21 2.5.1 日 志 记 录... 21 2.5.2 报 表 分 析... 22 2.5.3 日 志 与 隐 私 的 平 衡... 24 2.6 安 全 防 护... 25 2.6.1 终 端 安 全... 25 2.6.2 Web 访 问 质 量 检 测... 25 2.6.3 组 织 外 线 路 检 测... 26 2.6.4 移 动 终 端 管 理... 26 2.7 无 线 AP 管 理... 26 2.7.1 无 线 网 络 和 接 入 点 管 理... 26 2.7.2 无 线 认 证... 27 2.7.3 无 线 系 统 维 护... 27 第 3 章 深 信 服 上 网 行 为 管 理 产 品 技 术 优 势... 28 3.1 SSL 内 容 识 别 与 管 理... 28 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 4

3.2 P2P 智 能 识 别 技 术... 28 3.3 免 审 计 Key 功 能... 28 3.4 数 据 中 心 认 证 key... 29 3.5 异 常 流 量 感 知... 29 3.6 IPv6 全 流 量 支 持... 29 第 4 章 深 信 服 上 网 行 为 管 理 产 品 资 质... 30 4.1 市 场 占 有 率 第 一... 30 4.2 深 信 服 上 网 行 为 管 理 产 品 资 质... 30 第 5 章 关 于 深 信 服 科 技... 30 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 5

第 1 章 上 网 行 为 管 理 产 品 应 用 价 值 1.1 优 化 带 宽 管 理, 提 升 用 户 上 网 体 验 AC 能 帮 助 组 织 管 理 者 透 彻 了 解 组 织 当 前 历 史 带 宽 资 源 使 用 情 况, 并 据 此 制 定 带 宽 管 理 策 略, 验 证 策 略 有 效 性 不 但 可 以 在 工 作 时 间 保 障 核 心 用 户 核 心 业 务 所 需 带 宽, 限 制 无 关 业 务 对 资 源 的 占 用, 亦 可 以 在 带 宽 空 闲 时 实 现 动 态 分 配, 以 实 现 资 源 的 充 分 利 用 基 于 不 同 时 间 段 不 同 对 象 不 同 应 用 的 管 道 式 流 控, 能 有 效 保 障 用 户 的 上 网 体 验, 保 障 网 络 的 稳 定 性 1.2 管 控 网 络 应 用, 提 高 员 工 工 作 效 率 AC 数 据 中 心 能 帮 助 组 织 管 理 者 透 彻 了 解 员 工 的 网 络 行 为 内 容 和 行 为 分 布 情 况 借 助 AC 的 管 理 功 能, 管 理 员 能 实 现 分 时 间 段 基 于 用 户 基 于 应 用 基 于 行 为 内 容 的 网 络 行 为 控 制, 据 此 限 制 员 工 上 班 时 间 的 无 关 网 络 行 为, 减 少 员 工 因 效 率 低 下 带 来 的 加 班 离 职 薪 金 浪 费 额 外 薪 金 支 出 等 问 题 管 理 员 使 用 AC 数 据 中 心 可 自 定 义 员 工 工 作 效 率 报 表, 作 为 员 工 工 作 效 率 考 核 的 辅 助 依 据 1.3 管 控 上 网 权 限, 实 现 职 位 与 权 限 匹 配 使 用 AC, 管 理 员 能 依 据 组 织 架 构 建 立 用 户 身 份 认 证 体 系, 并 采 用 分 时 间 段 基 于 用 户 基 于 应 用 基 于 行 为 内 容 的 网 络 行 为 控 制, 从 而 实 现 员 工 职 位 职 责 与 上 网 权 限 的 匹 配, 如 限 制 研 发 部 门 不 得 使 用 webmail 外 发 邮 件 上 班 时 间 不 能 使 用 IM 聊 天 工 具, 限 制 财 务 人 员 不 能 访 问 不 受 信 网 站, 等 等 以 此 减 少 越 权 访 问 和 权 限 滥 用 的 现 象, 防 止 泄 密 和 不 良 舆 论 风 险 1.4 防 范 信 息 泄 露, 保 障 组 织 信 息 安 全 互 联 网 的 普 及 让 网 络 泄 密 和 网 络 违 法 行 为 层 出 不 穷 如 果 员 工 利 用 组 织 网 络 发 生 泄 密 或 违 法 行 为, 而 如 果 又 没 有 证 据, 无 法 找 到 直 接 责 任 人,IT 部 门 将 成 为 该 事 件 压 力 的 承 担 者 使 用 AC, 能 帮 助 管 理 员 实 现 基 于 内 容 的 外 发 信 息 过 滤, 管 控 文 件 邮 件 发 送 行 为, 对 网 络 中 的 异 常 流 量 用 户 异 常 行 为 及 时 发 起 告 警, 更 有 数 据 中 心 保 留 相 关 日 志, 风 险 智 能 报 表 发 现 潜 在 的 泄 密 用 户, 实 现 事 前 预 防 事 发 拦 截 事 后 追 查 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 6

1.5 过 滤 不 良 信 息, 规 避 管 理 与 法 律 风 险 互 联 网 资 源 极 大 丰 富, 亦 良 莠 不 齐 AC 能 帮 助 管 理 员 过 滤 违 法 违 规 不 良 网 页 含 有 不 良 关 键 字 的 网 络 信 息, 防 止 用 户 不 慎 访 问 不 受 信 的 网 站 带 来 法 律 风 险 对 于 内 网 用 户 的 外 发 信 息 行 为,AC 基 于 内 容 的 外 发 信 息 过 滤 能 帮 助 管 理 员 及 时 拦 截 不 良 言 论, 或 者 在 特 殊 时 期 采 用 允 许 看 帖 不 允 许 发 帖 允 许 收 邮 件 不 允 许 发 邮 件 的 特 殊 管 控 手 段, 最 大 程 度 的 减 少 舆 论 风 险 给 组 织 形 象 声 誉 带 来 影 响 1.6 优 化 上 网 环 境, 提 升 上 网 安 全 网 络 犯 罪 日 益 善 用 伪 装 : 利 用 社 交 网 络 散 播, 仿 冒 可 信 网 站, 将 访 问 合 法 网 站 的 用 户 重 定 向 到 非 法 网 站, 假 冒 可 信 软 件 如 防 病 毒 软 件 插 入 非 法 软 件, 通 过 恶 意 广 告 垃 圾 博 客 恶 意 点 对 点 文 件 传 播 等 等 对 此, 对 于 已 中 毒 的 终 端,AC 会 检 测 网 络 中 的 异 常 流 量 如 木 马 流 量 等 并 自 动 封 锁 并 发 起 告 警, 提 升 局 域 网 安 全 1.7 支 撑 IT 管 理, 优 化 组 织 IT 环 境 三 分 制 度 七 分 管 理, 缺 乏 技 术 手 段 支 撑 的 管 理 制 度 就 像 一 道 没 有 装 锁 的 门, 只 能 依 赖 人 工 值 守 或 被 管 理 者 的 自 觉 遵 守 越 来 越 多 的 IT 管 理 员 意 识 到, 必 须 选 择 适 合 组 织 IT 环 境 的 技 术 手 段, 才 不 会 让 管 理 制 度 流 于 形 式,AC 有 效 支 撑 组 织 的 IT 管 理, 帮 助 规 范 网 络, 减 少 IT 管 理 员 的 无 谓 工 作 量, 优 化 组 织 IT 环 境 第 2 章 深 信 服 上 网 行 为 管 理 产 品 功 能 2.1 深 信 服 上 网 行 为 管 理 产 品 部 署 模 式 2.1.1 网 关 模 式 网 关 模 式 是 指 设 备 工 作 在 三 层 交 换 模 式,AC 以 网 关 模 式 部 署 在 组 织 网 络 中, 所 有 流 量 都 通 过 AC 处 理, 实 现 对 内 网 用 户 上 网 行 为 的 流 量 管 理 行 为 控 制 日 志 审 计 等 功 能 作 为 组 织 的 出 口 网 关,AC 的 安 全 功 能 可 保 障 组 织 网 络 安 全, 支 持 多 线 路 技 术 扩 展 出 口 带 宽,NAT 功 能 代 理 内 网 用 户 上 网, 实 现 路 由 功 能 等 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 7

部 署 方 式 : AC 的 WAN 口 与 广 域 网 接 入 线 路 相 连, 支 持 光 纤 ADSL 线 路 或 者 是 路 由 器 ; AC 的 LAN 口 (DMZ 口 ) 同 局 域 网 的 交 换 机 相 连 ; 内 网 PC 将 网 关 指 向 AC 的 局 域 网 接 口, 通 过 AC 代 理 上 网 2.1.2 网 桥 模 式 2.1.2.1 单 网 桥 模 式 网 桥 模 式 是 指 设 备 工 作 在 二 层 交 换 模 式,AC 以 网 桥 模 式 部 署 在 组 织 网 络 中, 如 同 连 接 在 出 口 网 关 和 内 网 交 换 机 之 间 的 智 能 网 线, 实 现 对 内 网 用 户 上 网 行 为 的 流 量 管 理 行 为 控 制 日 志 审 计 安 全 防 护 等 功 能 网 桥 模 式 适 用 于 不 希 望 更 改 网 络 结 构 路 由 配 置 IP 配 置 的 组 织 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 8

部 署 方 式 : AC 的 WAN 口 同 出 口 网 关 LAN 口 相 连, 为 AC 分 配 一 个 网 桥 IP, 该 IP 和 出 口 网 关 LAN 口 在 同 一 网 段 ; LAN 口 (DMZ 口 ) 同 核 心 交 换 机 连 接 ; 局 域 网 内 的 任 何 网 络 设 备 和 PC 都 不 需 要 更 改 IP 地 址 2.1.2.2 多 网 桥 模 式 组 织 考 虑 到 网 络 的 稳 定 性 可 靠 性, 往 往 采 用 双 机 双 线 路 构 建 基 础 网 络 AC 支 持 多 路 桥 接 模 式, 适 应 组 织 的 多 机 网 络 环 境 要 求 在 不 影 响 原 有 双 机 双 线 路 前 提 下, 对 流 经 AC 的 所 有 数 据 流 进 行 审 计 控 制 拦 截 流 量 管 理 等 操 作 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 9

部 署 方 式 : 通 过 AC 配 置 界 面, 定 义 两 对 桥 接 口 (WAN1-LAN1,WAN2-LAN2); 为 每 对 网 桥 分 配 IP 地 址 2.1.3 旁 路 模 式 AC 以 旁 路 模 式 部 署 在 组 织 网 络 中, 与 交 换 机 镜 像 端 口 相 连, 实 施 简 单, 完 全 不 影 响 原 有 的 网 络 结 构, 降 低 了 网 络 单 点 故 障 的 发 生 率 此 时 AC 获 得 的 是 链 路 中 数 据 的 拷 贝, 主 要 用 于 监 听 审 计 局 域 网 中 的 数 据 流 及 用 户 的 网 络 行 为, 以 及 实 现 对 用 户 的 TCP 行 为 的 管 控 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 10

部 署 方 式 : 配 置 出 口 交 换 机 的 镜 像 端 口, 与 AC 的 广 域 网 口 相 连, 实 现 对 内 网 数 据 包 的 监 听 2.1.4 多 机 模 式 组 织 为 了 网 络 稳 定 可 靠, 同 时 部 署 两 台 设 备,AC 支 持 两 台 以 上 设 备 同 时 以 主 机 模 式 运 行, 完 美 支 持 组 织 的 VRRP 环 境, 起 到 设 备 冗 余 与 负 载 均 衡 的 作 用 在 这 种 环 境 中,AC 以 单 网 桥 模 式 或 者 多 网 桥 模 式 部 署 在 组 织 网 络 中 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 11

部 署 方 式 : AC 以 网 桥 模 式 部 署 在 网 络 中, 为 每 台 AC 配 置 网 桥 IP; 为 每 台 AC 配 置 同 一 组 播 IP 地 址, 且 每 台 设 备 上 指 定 的 通 信 网 口 在 同 一 个 局 域 网 内,AC 之 间 即 可 实 现 同 步 2.1.5 双 机 模 式 组 织 为 了 网 络 稳 定 可 靠, 同 时 部 署 两 台 设 备,AC 支 持 两 台 设 备 以 双 机 模 式 运 行 两 台 设 备 通 过 串 口 线 相 连, 一 主 一 备, 当 主 设 备 发 生 故 障 时 自 动 切 换 到 备 用 设 备, 提 高 网 络 的 稳 定 可 靠 性 在 这 种 环 境 中,AC 以 单 网 桥 模 式 或 者 多 网 桥 模 式 部 署 在 组 织 网 络 中 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 12

2.2 身 份 认 证 2.2.1 建 立 身 份 认 证 体 系 有 效 区 分 用 户, 是 部 署 差 异 化 授 权 和 审 计 策 略 有 效 防 御 身 份 冒 充 权 限 扩 散 与 滥 用 等 的 管 理 基 础 AC 支 持 丰 富 的 身 份 认 证 方 式 : 本 地 认 证 :Web 认 证 用 户 名 / 密 码 认 证 IP/MAC/IP-MAC 绑 定 ; 第 三 方 认 证 : LDAP RADIUS POP3 PROXY 数 据 库 等 ; 短 信 认 证 : 通 过 接 收 短 信 获 取 验 证 码, 快 速 认 证 ; 微 信 认 证 : 通 过 扫 描 二 维 码, 关 注 微 信 公 众 号 进 行 快 速 认 证 ; 访 客 二 维 码 认 证 : 接 待 人 员 扫 描 访 客 手 机 上 的 二 维 码, 备 注 信 息 后, 访 客 即 可 通 过 认 证 ; 双 因 素 认 证 :USB-Key 认 证 ; 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 13

单 点 登 录 :AD 域 POP3 PROXY WEB 和 第 三 方 系 统 等 ; 强 制 认 证 : 强 制 指 定 IP 段 的 用 户 必 须 使 用 单 点 登 录 深 信 服 AC 短 信 模 块 不 仅 能 够 跟 深 信 服 自 有 品 牌 的 短 信 猫 对 接, 还 能 够 跟 各 运 营 商 的 短 信 网 关 对 接 部 署 上, 为 了 满 足 有 多 个 分 支 的 客 户 需 求,AC 的 短 信 认 证 能 够 配 置 多 个 不 同 的 portal 页 面 给 不 同 的 分 支 使 用 portal 页 面 还 能 够 上 传 广 告 图 片, 自 动 滚 动 播 放 短 信 认 证 支 持 二 次 免 认 证 的 功 能, 多 个 分 支 之 间 还 能 够 漫 游, 即 在 A 分 支 认 证 过, 到 B 分 支 直 接 免 认 证 深 信 服 AC 的 短 信 认 证 功 能, 既 能 够 达 到 身 份 识 别 的 目 的, 又 将 认 证 过 程 简 化 到 极 致, 不 仅 神 别 了 用 户 的 身 份, 还 为 后 续 的 短 信 营 销 提 供 精 准 对 象, 一 举 多 得 深 信 服 AC 独 特 的 微 信 认 证 功 能, 为 企 业 公 众 账 号 迅 速 增 粉, 打 造 一 个 会 营 销 的 无 线 网 络 微 信 认 证 功 能 支 持 一 键 关 注 公 众 号 并 通 过 认 证, 适 用 各 种 终 端 (PC PAD 手 机 ) 同 时, 不 需 要 在 微 信 服 务 器 部 署 代 码, 节 省 实 施 成 本 为 了 简 化 用 户 的 认 证 过 程, 二 次 到 店 支 持 免 认 证, 直 接 关 联 上 SSID 即 可 自 动 认 证 通 过 并 上 网, 用 户 毫 无 感 知 不 仅 如 此, 有 多 分 支 门 店 的 客 户, 门 店 间 可 以 漫 游 认 证, 即 在 一 个 门 店 微 信 认 证 过 后 去 其 他 门 店 可 以 免 认 证, 给 用 户 超 预 期 的 用 户 体 验, 提 高 企 业 品 牌 认 可 度 丰 富 的 认 证 方 式, 帮 助 组 织 管 理 员 有 效 区 分 用 户, 建 立 组 织 身 份 认 证 体 系, 进 而 形 成 树 形 用 户 分 组, 映 射 组 织 行 政 结 构, 实 现 用 户 与 行 为 的 一 一 对 应, 方 便 管 理 员 实 施 上 网 行 为 管 理 解 决 方 案 AC 支 持 为 未 认 证 通 过 的 用 户 分 配 受 限 的 互 联 网 访 问 权 限, 将 通 过 Web 认 证 的 用 户 重 定 向 至 显 示 指 定 网 页, 方 便 组 织 管 理 员 发 布 通 知 2.2.2 映 射 组 织 行 政 结 构 为 了 给 不 同 用 户 不 同 部 门 授 予 差 异 化 的 互 联 网 访 问 控 制 审 计 权 限, 需 要 规 划 和 建 立 组 织 的 用 户 分 组 结 构 一 般 组 织 均 有 自 己 的 行 政 结 构,AC 可 以 完 全 按 照 组 织 的 行 政 结 构 建 立 树 形 用 户 分 组, 实 现 父 组 子 组 等 多 层 嵌 套 的 要 求 在 完 成 用 户 组 的 创 建 后, 即 可 创 建 用 户, 并 将 用 户 分 配 到 指 定 的 用 户 组 中, 以 实 现 网 络 访 问 权 限 的 授 予 与 继 承 用 户 创 建 的 过 程 简 单 方 便, 除 手 工 输 入 帐 户 方 式 外,AC 能 够 根 据 OU 或 Group 读 取 AD 域 控 服 务 器 上 用 户 组 织 结 构, 并 保 持 与 AD 的 自 动 同 步, 方 便 管 理 员 管 理 此 外,AC 支 持 账 户 自 动 创 建 功 能, 依 据 管 理 员 分 配 好 的 IP 段 与 用 户 组 的 对 应 关 系, 基 于 新 用 户 的 源 IP 地 址 段 自 动 将 其 添 加 到 指 定 用 户 组 同 时 绑 定 IP/MAC, 并 继 承 管 理 员 指 定 的 网 络 权 限 管 理 员 亦 可 将 用 户 信 息 编 辑 成 Excel TXT 文 件, 过 AC 的 账 户 导 入 功 能 更 加 快 捷 的 创 建 用 户 和 分 组 信 息 用 户 帐 号 还 支 持 有 效 期 限 定, 账 号 过 期 则 自 动 失 效, 支 持 多 人 共 用 同 一 帐 号 等, 丰 富 的 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 14

帐 号 策 略 使 得 管 理 员 可 以 根 据 实 际 情 况 自 由 地 合 理 调 整 2.3 应 用 控 制 2.3.1 应 用 控 制 策 略 2.3.1.1 识 别 是 管 理 的 基 础 网 络 应 用 极 其 丰 富, 尤 其 随 着 大 量 社 交 型 网 络 应 用 的 出 现, 用 户 将 个 人 网 络 行 为 带 入 办 公 场 所, 由 此 引 发 各 种 管 理 和 安 全 问 题 识 别 是 管 理 的 基 础, 全 面 的 应 用 识 别 帮 助 管 理 员 透 彻 了 解 网 络 应 用 现 状 和 用 户 行 为, 保 障 管 理 效 果 AC 多 种 应 用 识 别 技 术, 全 面 识 别 各 种 应 用, 进 而 有 效 管 控 和 审 计 主 要 包 括 : a) URL 识 别 :AC 内 置 千 万 级 URL 库 支 持 基 于 关 键 字 管 控 网 页 智 能 分 析 系 统 IWAS 从 容 应 对 互 联 网 上 数 以 万 亿 的 网 页 SSL 内 容 识 别 技 术 AC 除 了 内 置 的 上 百 种 URL 类 别 以 外, 管 理 员 还 可 以 自 定 义 URL 分 组, 分 组 默 认 可 以 到 500 组, 特 殊 场 景 可 以 扩 容 到 更 多 组 根 据 组 织 内 部 特 殊 需 求, 将 一 些 指 定 的 URL 划 分 到 一 个 URL 分 组 下, 此 时, 各 种 权 限 策 略 就 可 以 引 用 这 个 URL 分 组 来 做 控 制, 满 足 精 细 化 的 URL 控 制 需 求, 让 企 业 内 网 管 理 更 加 灵 活 高 效, 更 加 满 足 权 限 最 小 化 的 管 理 原 则 b) 应 用 规 则 识 别 库 :AC 拥 有 国 内 最 大 的 应 用 识 别 库, 该 库 由 深 信 服 应 用 规 则 研 发 团 队 定 期 维 护, 保 证 库 处 于 最 新 状 态 ; 该 库 支 持 2000 种 以 上 网 络 主 流 应 用,4500 条 以 上 规 则 能 识 别 125 种 以 上 IM 66 种 以 上 P2P/P2P 流 媒 体 252 种 以 上 游 戏 30 种 以 上 OA 16 种 以 上 网 银 50 种 以 上 金 融 行 情 软 件 45 种 以 上 金 融 交 易 软 件 13 种 木 马 30 种 以 上 代 理 软 件 和 590 种 以 上 移 动 APP, 涵 盖 主 流 的 网 络 应 用 ; c) 文 件 类 型 识 别 : 识 别 并 过 滤 HTTP FTP mail 方 式 上 传 下 载 的 文 件, 即 使 删 除 文 件 扩 展 名 篡 改 扩 展 名 压 缩 加 密 后 再 上 传,AC 同 样 能 识 别 和 报 警 ; d) 深 度 内 容 检 测 :IM 聊 天 在 线 炒 股 网 络 游 戏 在 线 流 媒 体 P2P 应 用 Email 常 用 TCP/IP 协 议 等, 基 于 数 据 包 特 征 精 准 识 别, 且 支 持 管 理 员 自 行 定 义 新 规 则, 以 及 深 信 服 科 技 及 时 更 新 和 快 速 响 应 ; e) 智 能 识 别 : 种 类 泛 滥 的 P2P 行 为, 静 态 应 用 识 别 规 则 已 经 捉 襟 见 肘, 通 过 P2P 智 能 识 别 技 术, 识 别 出 不 常 见 未 来 可 能 出 现 的 P2P 行 为, 进 而 封 堵 流 控 和 审 计 通 过 强 大 的 应 用 识 别 技 术, 无 论 网 页 访 问 行 为 文 件 传 输 行 为 邮 件 行 为 应 用 行 为 等 AC 都 能 帮 助 组 织 实 现 对 上 网 行 为 的 封 堵 流 控 审 计 等 管 理 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 15

2.3.1.2 上 网 策 略 对 象 化 AC 支 持 完 美 映 射 组 织 的 行 政 结 构, 管 理 员 可 依 据 组 织 结 构 添 加 管 理 策 略 上 网 策 略 对 象 化, 同 一 条 上 网 策 略 可 被 多 个 用 户 / 用 户 组 复 用, 同 一 用 户 / 用 户 组 可 关 联 使 用 多 条 策 略, 实 现 策 略 和 用 户 / 用 户 组 的 双 向 关 联, 方 便 管 理 员 调 整 上 网 策 略 不 仅 仅 支 持 生 效 时 间 调 整 生 效 用 户 / 用 户 组 应 用 类 型 限 制, 支 持 模 板 形 式 复 制, 更 支 持 策 略 有 效 期, 管 理 员 可 手 动 设 定 策 略 的 过 期 时 间, 逾 期 自 动 失 效, 有 效 实 现 策 略 的 回 收 管 理 此 外,AC 支 持 将 策 略 的 查 看 编 辑 权 限 分 配 给 指 定 管 理 员, 实 现 策 略 的 分 级 管 理 2.3.1.3 灵 活 的 授 权 AC 支 持 基 于 生 效 时 间 用 户 / 用 户 组 应 用 类 型 位 置 终 端 类 型 SSID 的 授 权, 帮 助 组 织 实 现 上 网 权 限 与 工 作 职 责 的 匹 配, 防 止 越 权 访 问 与 泄 密 风 险, 一 方 面 管 控 与 业 务 无 关 的 上 网 行 为, 提 升 员 工 工 作 效 率, 一 方 面 过 滤 不 良 信 息 阻 止 异 常 行 为, 防 止 法 律 与 泄 密 风 险 AC 更 兼 顾 了 管 理 与 人 性 化 的 需 求, 对 于 某 些 不 便 添 加 权 限 控 制 策 略 的 部 门 或 者 是 企 业 文 化 较 为 宽 松 的 组 织,AC 提 供 了 智 能 提 醒 功 能, 管 理 员 可 设 定 允 许 特 定 用 户 使 用 指 定 应 用 的 时 长 流 速, 一 旦 用 户 使 用 指 定 应 用 的 时 长 速 度 超 限 后,AC 自 动 弹 出 提 醒 窗 口, 提 醒 用 户 注 意 违 规 行 为, 敦 促 用 户 自 觉 规 范, 达 到 促 进 自 我 管 理 的 目 的, 减 少 管 理 带 来 的 摩 擦 2.3.1.4 应 用 标 签 化 基 于 应 用 的 权 限 划 分 是 企 业 员 工 上 网 行 为 不 可 忽 视 的 一 个 重 要 管 理 需 求, 深 信 服 在 走 访 大 量 客 户 的 时 候 了 解 到, 很 多 网 管 在 针 对 应 用 配 置 权 限 的 时 候 体 验 非 常 不 好, 比 如 : 公 司 要 求 对 所 有 具 有 安 全 风 险 的 应 用 做 封 堵 以 保 障 内 网 安 全, 此 时 网 管 需 要 从 2000 多 种 应 用 当 中 挑 选 出 具 有 安 全 风 险 属 性 的 应 用, 工 作 繁 琐 单 调 且 容 易 出 现 纰 漏 深 信 服 AC 给 2000 多 种 应 用 打 上 标 签, 标 签 根 据 客 户 需 求 划 分 为 : 安 全 风 险 发 送 电 子 邮 件 高 带 宽 消 耗 降 低 工 作 效 率 论 坛 和 微 博 发 帖 外 发 文 件 泄 密 风 险 等 大 类 网 管 只 用 根 据 需 求 针 对 这 六 大 类 标 签 应 用 配 置 策 略 即 可, 不 仅 节 省 时 间 还 更 加 准 确 不 仅 如 此, 网 管 人 员 还 可 以 根 据 实 际 个 性 化 的 管 理 需 求, 给 应 用 打 上 自 定 义 标 签, 以 此 来 对 这 些 自 定 义 的 标 签 应 用 做 权 限 划 分, 满 足 更 多 个 性 化 的 需 求 场 景, 让 权 限 划 分 更 加 灵 活 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 16

2.3.2 Web 应 用 控 制 2.3.2.1 URL 访 问 控 制 网 页 浏 览 是 员 工 主 要 互 联 网 行 为 之 一, 尤 其 随 着 大 量 社 交 型 网 站 的 出 现, 用 户 将 个 人 网 络 行 为 带 入 办 公 场 所, 由 此 引 发 各 种 管 理 与 安 全 问 题 在 URL 过 滤 方 面,AC 采 用 静 态 URL 库 + 云 系 统 的 识 别 体 系 首 先,AC 内 置 千 万 级 预 分 类 URL 地 址 库, 该 库 由 深 信 服 URL 研 发 小 组 专 人 负 责 维 护, 收 集 新 增 网 页 并 经 由 人 工 审 核 分 类, 包 含 互 联 网 上 数 十 种 分 类 站 点, 覆 盖 了 95% 以 上 用 户 访 问 量 最 高 的 网 址 其 次, 互 联 网 网 页 容 量 爆 炸 性 增 长,Google 声 称 互 联 网 独 立 网 址 超 过 一 万 亿 个, 如 微 博 等 新 的 网 址 每 天 层 出 不 穷, 静 态 URL 库 不 足 以 有 效 应 对 因 此,AC 支 持 基 于 内 容 关 键 字 的 过 滤 手 段, 可 基 于 管 理 员 指 定 的 多 关 键 字 过 滤 用 户 搜 索 行 为 网 页 访 问 行 为 发 帖 行 为 等 更 提 供 了 人 工 智 能 的 网 页 智 能 分 析 系 统 (Intelligent Webpage Analysis System, IWAS) 能 够 根 据 已 知 网 址 正 文 内 容 关 键 字 代 码 特 征 等 对 网 进 行 学 习 和 智 能 分 类, 真 正 帮 助 组 织 完 善 网 页 访 问 行 为 的 管 理 再 次, 互 联 网 上 数 万 台 AC 组 成 了 一 个 庞 大 的 云 网 络, 自 动 收 集 上 报 新 增 的 不 在 URL 库 中 的 网 页, 经 深 信 服 URL 研 发 小 组 复 核 后, 加 入 URL 库 中 以 上 三 重 识 别 体 系 保 证 了 AC 设 备 的 URL 识 别 率, 保 障 了 管 理 员 实 施 URL 控 制 策 略 的 有 效 性 2.3.2.2 SSL 内 容 管 理 SSL (Secure Socket Layer) 协 议, 被 广 泛 地 用 于 Web 浏 览 器 与 服 务 器 之 间 的 身 份 认 证 和 加 密 数 据 传 输, 利 用 数 据 加 密 技 术, 可 确 保 数 据 在 网 络 上 之 传 输 过 程 中 不 会 被 截 取 及 窃 听 正 因 为 如 此, 一 方 面, 越 来 越 多 的 网 页 使 用 SSL 加 密, 如 Google 搜 索 Gmail QQ 邮 箱 bbs 甚 至 赌 博 网 站, 而 因 为 采 用 了 加 密 技 术, 普 通 的 管 理 产 品 无 法 对 其 内 容 进 行 识 别 管 理, 别 有 用 心 的 用 户 可 以 利 用 这 一 缺 陷 绕 过 管 理, 通 过 SSL 加 密 邮 件 BBS 论 坛 发 布 的 反 动 言 论 或 者 是 向 外 发 送 组 织 的 机 密 信 息, 导 致 管 理 漏 洞 ; 另 一 方 面, 互 联 网 上 存 在 大 量 伪 造 的 网 上 银 行 网 上 购 物 页 面, 此 类 网 页 利 用 了 网 银 网 上 购 物 等 普 遍 采 用 第 三 方 权 威 机 构 颁 发 的 数 字 证 书 以 实 现 SSL 加 密 的 特 性, 伪 造 虚 假 证 书 以 骗 取 用 户 信 任, 警 惕 性 不 高 的 用 户 容 易 在 毫 不 知 情 的 情 况 下 泄 露 自 己 的 账 户 信 息, 导 致 直 接 或 间 接 的 经 济 损 失 AC 可 以 对 SSL 网 站 提 供 的 数 字 证 书 进 行 深 度 验 证, 包 括 该 证 书 的 根 颁 发 机 构 证 书 有 效 期 证 书 撤 销 列 表 证 书 持 有 人 的 公 钥 证 书 签 名 等, 防 止 采 用 非 可 信 颁 发 机 构 数 字 证 书 的 钓 鱼 网 站 蒙 骗 用 户, 此 功 能 亦 应 用 于 过 滤 SSL 加 密 的 色 情 反 动 站 点, 证 券 炒 股 站 点 等 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 17

此 外, AC 拥 有 专 利 技 术 基 于 网 关 网 桥 防 范 网 络 钓 鱼 网 站 的 方 法 ( 专 利 号 ZL200710072997.1) 具 有 对 SSL 加 密 内 容 的 完 全 管 控 能 力, 支 持 识 别 管 控 审 计 经 由 SSL 加 密 的 内 容, 如 支 持 基 于 关 键 字 过 滤 SSL 加 密 的 搜 索 行 为 发 帖 行 为 网 页 浏 览 行 为, 审 计 SSL 加 密 行 为 如 邮 件 发 送 行 为, 为 组 织 打 造 坚 固 无 漏 洞 的 管 理 2.3.3 代 理 翻 墙 共 享 控 制 许 多 组 织 统 一 采 用 Microsoft ISA CCproxy Sygate 等 代 理 服 务 器 上 网, 也 有 的 组 织 明 文 规 定 禁 止 内 网 用 户 私 用 代 理 上 网, 但 仍 有 用 户 将 浏 览 器 等 应 用 配 置 公 网 服 务 器 私 装 代 理 软 件 代 理 他 人 上 网, 甚 至 使 用 自 由 门 无 界 浏 览 器 IPN 等 加 密 代 理 行 为 由 于 防 火 墙 等 设 备 对 内 网 用 户 的 管 理 是 基 于 目 的 地 址 和 端 口 的, 无 法 有 效 区 分 正 常 上 网 的 流 量 和 通 过 代 理 服 务 器 上 网 的 员 工 流 量 对 于 如 上 情 况,AC 的 深 度 内 容 检 测 技 术 能 有 效 识 别 用 户 数 据 中 包 含 的 代 理 上 网 流 量, 通 过 代 理 识 别 模 块 可 以 识 别 从 用 户 端 发 送 到 达 代 理 服 务 器 之 间 的 应 用 数 据 和 几 个 用 户 间 的 共 享 上 网 行 为, 进 而 对 用 户 的 违 规 行 为 进 行 管 控 和 记 录 2.3.4 文 件 传 输 控 制 利 用 网 络 来 进 行 文 件 传 输 是 许 多 用 户 每 天 的 必 修 课, 而 在 文 件 传 输 过 程 中 存 在 种 种 管 理 和 安 全 隐 患, 如 用 户 通 过 不 可 信 的 下 载 源 下 载 了 带 毒 文 件 在 文 件 打 包 外 发 过 程 中 不 慎 夹 带 了 涉 密 文 件 终 端 因 为 中 毒 或 被 黑 客 控 制 主 动 发 起 外 发 文 件 行 为 而 用 户 对 此 茫 然 无 知, 有 意 泄 密 者 甚 至 会 将 外 发 文 件 的 后 缀 名 修 改 删 除, 或 者 加 密 压 缩 该 文 件, 然 后 通 过 HTTP FTP Email 附 件 等 形 式 外 发 AC 支 持 管 控 文 件 外 发 行 为, 基 于 关 键 字 文 件 类 型 控 制 上 传 / 下 载 行 为, 封 堵 QQ/MSN 等 IM 传 文 件, 允 许 使 用 webmail 收 邮 件 而 禁 止 发 送 邮 件 等 其 中, 仅 仅 实 现 对 外 发 文 件 的 审 计 和 记 录 显 然 无 法 挽 回 泄 密 已 经 给 组 织 造 成 的 损 失, 单 纯 的 基 于 文 件 扩 展 名 过 滤 外 发 文 件 外 发 Email 也 无 法 应 对 以 上 风 险 鉴 于 此 AC 的 文 件 类 型 深 度 识 别 技 术 能 基 于 特 征 能 够 识 别 文 件 类 型, 即 便 存 在 修 改 删 除 外 发 文 件 后 缀 名, 或 者 加 密 压 缩 文 件 文 件 外 发 的 行 为, AC 也 能 发 现 并 且 告 警, 保 护 组 织 的 信 息 资 产 安 全 2.3.5 邮 件 收 发 控 制 Email 不 仅 是 组 织 重 要 的 沟 通 方 式 之 一, 同 时 也 是 最 常 见 的 泄 密 方 式 AC 支 持 基 于 关 键 字 收 发 地 址 附 件 类 型 / 个 数 / 大 小 过 滤 外 发 邮 件, 对 于 将 文 件 修 改 后 缀 名 删 除 后 缀 名, 或 者 压 缩 加 密 后 作 为 Email 附 件 外 发, 试 图 躲 过 拦 截 与 审 查 的 行 为,AC 能 够 识 别 并 进 行 报 警 同 时, 对 于 所 有 收 发 的 webmail Email 邮 件 AC 都 可 以 全 面 记 录 并 完 整 还 原 原 邮 件, 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 18

并 通 过 数 据 中 心 方 便 管 理 员 对 邮 件 日 志 进 行 查 询 审 计 报 表 统 计 等 操 作 一 般 的, 传 统 设 备 处 理 泄 密 邮 件 时 只 能 将 其 拷 贝 存 储 留 作 证 据, 但 泄 密 邮 件 已 经 外 发, 损 失 已 经 造 成 对 此,AC 的 邮 件 延 迟 审 计 技 术 (Postponed Sending after Audit, PSA), 支 持 基 于 用 户 邮 件 标 题 正 文 附 件 等 特 征 拦 截 泄 密 邮 件, 并 自 动 通 知 审 核 人 员 人 工 审 核 后 再 外 发, 将 敏 感 邮 件 阻 挡 于 内 网 内 网 用 户 发 送 Email 邮 件 时, 在 终 端 上 看 到 已 经 成 功 发 送 的 邮 件, 实 际 上 已 被 全 部 转 存 至 邮 件 缓 冲 区 指 定 的 邮 件 审 核 人 员 会 获 得 邮 件 通 知, 经 人 工 审 核 后, 才 允 许 符 合 组 织 安 全 规 定 的 Email 邮 件 发 送 到 互 联 网 上, 而 不 符 合 要 求 的 Email 则 被 截 留 并 作 为 追 究 责 任 的 依 据, 有 效 实 现 了 对 泄 密 邮 件 的 封 堵, 保 护 了 组 织 的 敏 感 信 息 的 安 全 性 2.4 带 宽 管 理 2.4.1 流 量 可 视 化 带 宽 有 限, 应 用 无 限 组 织 不 断 地 扩 展 互 联 网 出 口 带 宽, 但 仍 然 感 觉 不 充 裕, 一 旦 内 网 存 在 网 络 行 为 不 规 范 滥 用 带 宽 资 源 的 用 户,IT 管 理 员 的 工 作 就 会 饱 受 抱 怨 : 网 络 太 慢 业 务 系 统 访 问 迟 缓 页 面 迟 迟 打 不 开 邮 件 发 送 缓 慢 等 对 此,AC 为 IT 管 理 员 提 供 了 网 络 流 量 可 视 化 方 案, 登 陆 AC 控 制 台 后, 管 理 员 可 以 查 看 出 口 流 量 曲 线 图 当 前 流 量 TOP N 应 用 用 户 流 量 排 名 当 前 网 络 异 常 状 况 ( 包 括 DOS 攻 击 ARP 欺 骗 等 ) 等 信 息, 直 观 了 解 当 前 网 络 运 行 状 况 此 外, 数 据 中 心 (Network Database Center,NDC) 对 内 网 用 户 的 各 种 网 络 行 为 流 量 进 行 记 录 审 计, 借 助 图 形 化 报 表 直 观 显 示 统 计 结 果 等, 帮 助 管 理 员 了 解 流 量 TOP N 用 户 TOP N 应 用 等, 并 自 动 形 成 报 表 文 档, 定 时 发 送 到 指 定 邮 箱, 让 IT 管 理 员 轻 松 掌 控 用 户 网 络 行 为 分 布 和 带 宽 资 源 使 用 等 情 况, 了 解 流 控 策 略 效 果, 为 带 宽 管 理 的 决 策 提 供 准 确 依 据 2.4.2 流 量 管 理 当 您 了 解 了 带 宽 的 使 用 情 况, 并 对 带 宽 进 行 优 化 和 分 配 后, 我 们 即 将 对 用 户 ( 组 ) 的 上 网 行 为 做 进 一 步 的 管 理 和 控 制 2.4.2.1 多 线 路 复 用 和 智 能 选 路 很 多 组 织 拥 有 电 信 网 通 等 两 条 以 上 互 联 网 出 口 链 路, 如 何 同 时 复 用 多 条 链 路 并 做 到 流 量 的 负 载 均 衡 与 智 能 分 担? 通 过 AC 特 有 的 多 线 路 复 用 及 带 宽 叠 加 技 术,AC 复 用 多 条 链 路 形 成 一 条 互 联 网 总 出 口, 提 升 整 体 带 宽 水 平 再 结 合 多 线 路 智 能 选 路 专 利 技 术 ( 专 利 号 : 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 19

ZL200610061591.9),AC 将 出 网 流 量 自 动 匹 配 最 佳 出 口 2.4.2.2 基 于 用 户 / 终 端 类 型 / 应 用 / 位 置 / 网 站 类 型 / 文 件 类 型 的 智 能 流 量 管 理 有 限 的 带 宽 资 源 如 何 分 配 给 不 同 部 门 / 用 户 不 同 应 用 不 同 的 终 端 和 不 同 的 业 务, 如 何 保 障 核 心 用 户 核 心 业 务 带 宽, 限 制 网 络 杀 手 如 BT 迅 雷 等 等 占 用 资 源?AC 可 以 基 于 不 同 用 户 ( 组 ) 出 口 链 路 应 用 类 型 终 端 类 型 位 置 网 站 类 型 文 件 类 型 目 标 地 址 时 间 段 进 行 细 致 的 带 宽 划 分 与 分 配 从 而 保 证 领 导 视 频 会 议 的 带 宽 而 限 制 员 工 P2P 的 带 宽 保 证 市 场 部 访 问 行 业 网 站 的 带 宽 而 限 制 研 发 部 访 问 新 闻 类 网 站 的 带 宽 保 证 设 计 部 传 输 CAD 文 件 的 带 宽 而 限 制 营 销 部 传 输 RMVB 文 件 的 带 宽 精 细 智 能 的 流 量 管 理 既 防 止 带 宽 滥 用, 提 升 带 宽 使 用 效 率 2.4.2.3 多 级 父 子 通 道 嵌 套 技 术 AC 采 用 基 于 队 列 的 流 控 技 术, 即 建 立 管 道, 将 不 同 的 控 制 对 象 分 配 到 不 同 的 管 道 里 该 技 术 的 好 处 是 控 制 灵 活, 大 通 道 中 可 以 多 层 嵌 套 小 管 道, 分 别 基 于 不 同 的 用 户 时 间 应 用 协 议 网 站 类 型 文 件 类 型 终 端 类 型 位 置 等 对 象 建 立 不 同 的 通 道, 同 时 小 管 道 继 承 大 通 道 的 属 性, 对 于 结 构 复 杂 又 希 望 实 现 差 异 化 控 制 的 组 织 来 说 可 以 做 到 更 为 精 确 的 控 制 2.4.2.4 动 态 带 宽 分 配 组 织 管 理 员 往 往 既 希 望 在 网 络 应 用 高 峰 期 保 障 核 心 用 户 核 心 业 务 带 宽, 限 制 无 关 应 用 占 用 资 源, 又 希 望 在 带 宽 空 闲 时 实 现 资 源 的 充 分 利 用 为 此,AC 支 持 带 宽 的 自 由 竞 争 与 动 态 分 配, 除 了 基 于 父 子 通 道 进 行 流 量 控 制 之 外, 还 可 以 根 据 整 体 带 宽 的 利 用 率 进 行 动 态 调 整, 上 浮 限 制 通 道 的 最 大 带 宽 值, 避 免 带 宽 浪 费, 实 现 价 值 最 大 化 2.4.2.5 P2P 的 智 能 识 别 与 灵 活 控 制 通 过 封 IP 端 口 等 管 控 带 宽 杀 手 P2P 应 用 的 方 式 极 不 彻 底 加 密 P2P 不 常 见 P2P 新 P2P 工 具 等 让 众 多 P2P 管 理 手 段 束 手 无 策 AC 凭 借 P2P 智 能 识 别 技 术, 不 仅 有 效 识 别 和 管 控 常 用 P2P 加 密 P2P, 对 不 常 见 和 未 来 将 出 现 的 P2P 亦 能 管 控 区 别 于 传 统 的 基 于 缓 存 丢 包 的 流 控 方 式,P2P 智 能 识 别 技 术 能 够 有 效 的 从 源 端 抑 制 P2P 流 量, 释 放 外 网 链 路 带 宽, 保 障 核 心 业 务 的 应 用 带 宽 对 于 某 些 企 业 文 化 较 为 宽 松 的 组 织, 完 全 封 堵 P2P 可 能 实 施 困 难, AC 的 P2P 流 量 控 制 技 术 能 限 制 指 定 用 户 的 P2P 所 占 用 的 带 宽, 既 允 许 指 定 用 户 使 用 P2P, 又 不 会 滥 用 带 宽, 充 分 满 足 管 理 的 灵 活 性 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 20

2.4.2.6 流 控 黑 名 单 网 络 管 理 过 程 中, 令 管 理 员 头 疼 的 往 往 不 是 技 术 问 题, 而 是 人 际 关 系 问 题 很 多 与 业 务 无 关 的 应 用 ( 如 迅 雷 下 载 等 ) 不 能 直 接 封 堵 : 封 堵 会 造 成 内 部 矛 盾 ; 不 封 堵 又 会 影 响 核 心 业 务 深 信 服 AC 根 据 用 户 需 求, 推 出 流 控 黑 名 单 功 能 流 控 黑 名 单 是 一 种 惩 罚 机 制,AC 可 以 提 供 基 于 应 用 的 流 量 流 速 时 长 的 配 额 限 制, 当 用 户 被 限 额 的 应 用 超 过 了 配 额, 那 么 该 用 户 的 这 些 应 用 将 被 强 制 加 入 到 低 速 流 控 惩 罚 通 道 当 中, 限 制 用 户 的 这 些 应 用 的 流 量 到 一 个 较 低 的 带 宽 进 行 惩 罚 流 控 黑 名 单 功 能, 让 策 略 灵 活, 让 管 理 更 加 人 性 化 2.5 行 为 审 计 2.5.1 日 志 记 录 近 年 来, 一 方 面 随 着 国 家 为 了 净 化 互 联 网 环 境, 逐 步 建 立 对 互 联 网 行 业 发 展 的 市 场 规 范, 监 管 力 度 不 断 增 强, 另 一 方 面, 组 织 出 于 自 身 信 息 安 全 保 护 的 需 求 如 防 止 信 息 资 产 泄 密 预 防 舆 论 风 险 保 留 安 全 事 件 的 相 关 证 据, 以 及 管 理 上 的 要 求, 如 考 核 员 工 的 网 络 工 作 效 率 分 析 网 络 应 用 情 况 提 供 管 理 依 据 等, 对 于 行 为 记 录 方 案 的 需 求 日 益 明 确 内 网 用 户 的 所 有 上 网 行 为 AC 都 能 够 记 录 以 满 足 公 安 部 82 号 令 的 要 求 AC 可 针 对 不 同 用 户 ( 组 ) 进 行 差 异 化 的 行 为 记 录 和 审 计, 包 括 网 页 访 问 行 为 网 络 发 帖 邮 件 Email IM 聊 天 内 容 文 件 传 输 游 戏 行 为 炒 股 行 为 在 线 影 音 P2P 下 载 等 行 为, 并 且 包 含 该 行 为 的 详 细 信 息 等 近 年 来 信 息 防 泄 密 方 案 备 受 组 织 管 理 员 关 注, 内 网 员 工 无 意 或 有 意 将 组 织 机 密 信 息 泄 露 到 互 联 网 甚 至 竞 争 对 手, 或 向 论 坛 BBS 发 布 不 负 责 的 言 论 网 络 造 谣 等, 将 给 组 织 带 来 泄 密 和 法 律 风 险 AC 不 仅 能 基 于 关 键 字 过 滤 记 录 员 工 通 过 Mail( 包 括 Webmail) BBS Blog QQ 空 间 等 发 布 的 网 络 言 论, 还 支 持 实 时 报 警 功 能 对 于 使 用 HTTP FTP mail 等 方 式 传 送 文 件 所 引 发 的 风 险 ( 如 将 研 发 部 的 核 心 代 码 发 送 出 去 ), 首 先 AC 可 以 禁 止 用 户 使 用 HTTP FTP 上 传 下 载 指 定 类 型 的 文 件, 对 于 上 传 的 文 件 AC 也 可 以 全 面 记 录 文 件 内 容, 做 到 有 据 可 查 而 外 发 Email 潜 在 的 泄 密 风 险 通 过 AC 的 邮 件 延 迟 审 计 (Postponed Sending after Audit, PSA) 技 术, 根 据 管 理 员 预 设 条 件, 将 潜 在 的 泄 密 邮 件 先 拦 截, 经 人 工 审 核 后 再 发 送, 保 障 组 织 信 息 资 产 安 全 但 存 心 的 泄 密 者 通 常 会 更 改 文 件 后 缀 名 删 除 后 缀 名 压 缩 加 密 等, 再 通 过 Email 外 发 或 通 过 HTTP FTP 上 传,AC 对 以 上 行 为 同 样 可 以 识 别 并 及 时 报 警 在 移 动 互 联 网 的 兴 起 下, 移 动 APP 的 使 用 已 经 越 来 越 普 遍, 因 此, 公 共 社 交 类 移 动 应 用 将 成 为 发 布 不 实 言 论 造 谣 诽 谤 等 的 重 灾 区 AC 紧 随 时 代 步 伐, 针 对 移 动 端 的 新 闻 评 论 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 21

类 ( 腾 讯 新 闻 网 易 新 闻 新 浪 新 闻 等 ) 微 博 ( 新 浪 微 博 等 ) 论 坛 类 ( 百 度 贴 吧 天 涯 社 区 新 浪 论 坛 搜 狐 社 区 等 )APP 进 行 内 容 审 计, 保 护 移 动 互 联 网 时 代 的 网 络 内 容 安 全 2.5.2 报 表 分 析 大 型 组 织 可 能 在 短 短 60 天 就 产 生 数 百 G 行 为 日 志, 仅 仅 实 现 日 志 的 海 量 审 计 尚 不 足 以 帮 助 组 织 管 理 员 透 彻 了 解 网 络 状 况, 而 通 过 AC 独 立 数 据 中 心 丰 富 报 表 工 具, 管 理 员 可 以 根 据 组 织 的 现 实 情 况 和 关 注 点 定 制 定 期 导 出 所 需 报 表, 形 成 网 络 调 整 依 据 组 织 网 络 资 源 使 用 情 况 报 告 员 工 工 作 情 况 报 告, 等 报 表 工 具 主 要 包 括 : 首 页 dashboard 功 能, 提 供 20 张 报 表 供 客 户 自 定 义 选 择, 通 过 首 页 dashboard 给 客 户 展 示 整 体 数 据, 帮 助 客 户 从 整 体 上 把 握 网 络 现 状 ; 支 持 可 拖 拽 式 自 定 义 报 表, 管 理 员 可 轻 松 配 置 自 己 关 注 的 内 容 作 为 报 表 的 一 部 分, 方 便 灵 活 选 择 想 要 的 数 据 内 容 ; 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 22

智 能 报 表 模 板 : 管 理 员 可 手 动 设 定 基 于 行 为 特 征 的 网 络 概 况 报 表 离 职 风 险 报 表 工 作 效 率 报 表 等 ; 搜 索 中 心 : 网 页 搜 索 邮 件 搜 索 IM 搜 索 关 键 字 搜 索 论 坛 微 博 搜 索 等 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 23

趋 势 : 流 量 趋 势 行 为 趋 势 IM 趋 势 邮 件 趋 势 炒 股 趋 势 等 ; 查 询 工 具 : 流 量 查 询 时 间 查 询 用 户 行 为 查 询 网 站 分 类 查 询 单 用 户 行 为 查 询 终 端 接 入 查 询 病 毒 日 志 查 询 安 全 日 志 查 询 操 作 日 志 查 询 等 ; 2.5.3 日 志 与 隐 私 的 平 衡 对 用 户 网 络 行 为 的 记 录 一 直 是 一 个 颇 有 争 议 的 话 题, 许 多 组 织 管 理 员 对 于 部 署 行 为 记 录 方 案 可 能 遭 遇 的 管 理 阻 力 和 舆 论 阻 力 表 示 担 忧, 主 要 来 自 如 何 避 免 对 关 键 人 员 ( 如 组 织 高 层 领 导 ) 的 过 度 记 录 如 何 实 现 对 日 志 的 保 护 和 保 密 如 何 控 制 对 日 志 的 访 问 和 查 看 权 限 三 方 面, 并 希 望 方 案 提 供 商 能 给 出 合 理 的 解 决 方 法 对 此,AC 正 是 考 虑 到 用 户 可 能 面 临 的 以 上 风 险 和 威 胁, 推 出 了 免 审 计 Key 功 能 在 AC 上 为 总 裁 等 高 层 管 理 人 员 创 建 帐 户 时 使 用 DKEY 认 证, 并 勾 选 不 审 计 此 用 户 的 网 络 应 用 选 项, 为 总 裁 生 成 免 审 计 Key 总 裁 使 用 免 审 计 Key 认 证 后,AC 从 底 层 免 除 对 总 裁 的 所 有 记 录 如 果 非 善 意 人 员 私 下 取 消 AC 的 免 审 计 选 项, 总 裁 再 插 入 免 审 计 Key 后 系 统 会 自 动 弹 出 警 告, 且 禁 止 总 裁 访 问 网 络, 彻 底 保 障 信 息 安 全 而 如 何 防 止 非 授 权 人 员 访 问 数 据 中 心 并 窥 探 或 恶 意 传 播 他 人 上 网 行 为 日 志, 甚 至 导 致 员 工 对 IT 管 理 员 的 误 解 和 埋 怨?AC 的 数 据 中 心 认 证 Key 技 术, 保 证 只 有 插 入 该 key 的 管 理 员 才 能 审 计 他 人 行 为 日 志, 否 则 将 只 能 查 看 统 计 报 表 趋 势 图 线 等, 确 保 日 志 不 被 滥 用 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 24

2.6 安 全 防 护 2.6.1 终 端 安 全 网 络 世 界 中 安 全 事 件 数 量 急 剧 攀 升, 内 网 中 断 不 稳 定 将 直 接 影 响 用 户 的 上 网 行 为, 所 以 需 要 AC 保 证 网 关 自 身 安 全, 并 强 化 内 网 可 靠 性 可 用 性 2.6.1.1 防 火 墙 AC 内 置 基 于 状 态 检 测 技 术 的 企 业 级 防 火 墙, 对 进 出 组 织 的 数 据 包 提 供 过 滤 和 控 制 NAT (Network Address Translation) 功 能, 代 理 内 网 员 工 上 网 和 实 现 静 态 端 口 映 射 同 时, 能 够 防 御 DoS ARP 等 网 络 攻 击 2.6.1.2 网 关 防 病 毒 AC 的 网 关 防 病 毒 功 能 集 成 知 名 厂 商 的 防 病 毒 引 擎 ( 防 病 毒 引 擎 每 天 自 动 升 级 ), 从 源 头 对 HTTP FTP SMTP POP3 等 协 议 流 量 中 进 行 病 毒 查 杀, 亦 可 查 杀 压 缩 包 (zip,rar, gzip 等 ) 中 的 病 毒 2.6.1.3 终 端 安 全 级 别 检 测 借 助 网 络 准 入 规 则 专 利 技 术 ( 专 利 号 ZL200510037455.1),AC 将 按 照 管 理 员 要 求 检 查 每 位 员 工 防 病 毒 软 件 安 装 运 行 操 作 系 统 版 本 补 丁 情 况 注 册 表 键 值 终 端 程 序 运 行 情 况 终 端 目 录 盘 下 文 件 情 况 等, 不 满 足 预 设 安 全 级 别 的 终 端 将 不 允 许 访 问 互 联 网, 从 而 提 升 整 个 内 网 的 可 靠 性 和 可 用 性 2.6.2 Web 访 问 质 量 检 测 上 网 速 度 快 慢 是 IT 部 门 重 点 关 注 的 内 容 之 一, 也 是 网 络 业 务 正 常 运 转 的 直 接 影 响 因 素, 如 何 衡 量 用 户 上 网 体 验, 如 何 解 决 上 网 体 验 差, 一 直 是 令 很 多 网 管 头 疼 的 问 题 AC 的 Web 访 问 质 量 检 测 功 能, 通 过 检 测 网 络 中 的 下 载 速 率 RTT 时 延 TCP 数 据 重 传 率 连 接 成 功 率 DNS 成 功 率 GET 请 求 成 功 率 连 接 RST 计 数 PPS 突 发 检 测 等 内 容, 以 及 行 为 管 理 设 备 的 配 置 合 理 性 检 查, 综 合 各 项 参 数 进 行 建 模, 提 出 整 体 网 络 访 问 质 量 评 级, 帮 助 网 管 从 整 体 上 把 握 网 络 状 况 通 过 一 些 列 的 技 术 手 段,AC 能 够 检 测 出 网 络 中,AC 内 外 侧 设 备 丢 包 和 时 延 过 大 的 问 题 能 够 检 测 出 AC 外 侧 防 火 墙 是 否 有 连 接 数 限 制 能 够 检 测 网 路 中 的 DOS 攻 击 能 够 发 现 终 端 用 户 的 DNS 配 置 问 题 等 等 通 过 这 些 问 题 的 发 现,AC 能 够 列 出 访 问 质 量 差 的 用 户 名 单, 并 且 指 出 故 障 排 查 方 向 及 潜 在 问 题 原 因 不 仅 如 此,AC 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 25

还 能 够 对 访 问 质 量 差 的 单 用 户 进 行 定 向 检 查, 并 给 出 具 体 问 题 和 解 决 问 题 建 议 通 过 web 访 问 质 量 检 测 功 能 的 检 测 评 级 排 查 建 议 等 内 容, 能 够 帮 助 网 管 整 体 把 握 网 络 状 况, 快 速 定 位 网 络 问 题 并 有 针 对 性 的 进 行 排 查, 最 终 达 到 优 化 整 体 网 络, 提 高 用 户 体 验 的 目 的 2.6.3 组 织 外 线 路 检 测 组 织 为 了 规 范 内 网 终 端 使 用, 避 免 敏 感 数 据 外 泄, 限 制 内 网 终 端 只 能 在 内 网 使 用, 一 旦 接 入 外 部 网 络 将 产 生 告 警 深 信 服 AC 通 过 组 织 外 线 路 检 测 技 术, 制 定 合 法 网 关 列 表, 一 旦 发 现 终 端 的 网 关 地 址 不 在 合 法 网 关 列 表 内, 将 向 管 理 员 发 出 告 警 信 息, 方 便 管 理 员 发 现 非 法 外 联 行 为 并 迅 速 响 应 2.6.4 移 动 终 端 管 理 随 着 无 线 移 动 互 联 网 的 迅 速 发 展, 智 能 手 机 平 板 电 脑 等 这 些 移 动 终 端 愈 来 愈 流 行, 但 由 于 ipad 等 智 能 终 端 只 能 采 用 无 线 网 络 来 上 网, 有 些 员 工 出 于 便 捷 考 虑 可 能 自 己 在 工 位 旁 私 自 拉 一 些 无 线 AP, 在 公 司 通 过 无 线 AP 到 公 司 网 络 出 口, 而 且 这 些 AP 由 于 安 全 措 施 薄 弱, 极 容 易 被 外 人 破 解, 可 能 导 致 内 网 暴 露, 信 息 安 全 遭 受 威 胁 深 信 服 AC 的 移 动 终 端 管 理 功 能, 通 过 HTTP 解 析 技 术 系 统 检 测 技 术 移 动 应 用 识 别 技 术 等 多 项 技 术, 能 够 秒 级 识 别 移 动 终 端, 发 现 非 法 Wi-Fi 热 点 支 持 配 置 直 接 对 非 法 Wi-Fi 热 点 进 行 封 堵 或 者 发 邮 件 给 管 理 员 进 行 告 警 等 功 能 提 醒 管 理 员 及 时 做 出 响 应 不 仅 如 此, 对 于 合 法 Wi-Fi 热 点 支 持 添 加 到 信 任 列 表, 限 制 封 堵 非 法 用 户 的 同 时, 保 证 合 法 用 户 正 常 使 用 网 络, 业 务 不 受 影 响 2.7 无 线 AP 管 理 2.7.1 无 线 网 络 和 接 入 点 管 理 移 动 互 联 网 呈 爆 发 式 增 长, 其 流 量 年 增 长 率 达 80% 以 上, 超 过 整 个 互 联 网 流 量 的 25% 这 种 趋 势 说 明 用 户 的 使 用 习 惯 已 经 在 向 移 动 互 联 网 倾 斜 同 时 随 着 移 动 终 端 的 普 及 和 无 线 网 络 良 好 的 用 户 体 验, 企 业 移 动 办 公 也 迅 速 发 展 起 来, 因 此, 无 线 网 络 建 设 也 越 来 越 受 到 企 业 的 重 视 深 信 服 AC 开 创 性 的 提 出 有 线 无 线 统 一 行 为 管 理 解 决 方 案 不 仅 在 传 统 的 有 线 网 络 的 管 理 中 微 创 新, 还 集 成 无 线 控 制 器 功 能, 直 接 管 理 AP, 一 体 化 的 管 理 无 线 网 络 让 有 线 和 无 线 网 络 管 理 起 来 毫 不 费 力 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 26

深 信 服 AC 能 够 在 管 理 界 面 上 直 接 配 置 接 入 点 的 工 作 模 式, 支 持 Normal Monitor 和 Hybrid 三 种 工 作 模 式 和 国 家 码 信 道 ; 支 持 双 频 段 ; 支 持 对 网 络 协 议 信 道 带 宽 用 户 上 限 功 率 终 端 速 率 限 制 等 各 种 无 线 射 频 的 配 置 ; 支 持 信 号 强 度 和 接 入 人 数 的 负 载 均 衡 深 信 服 AC 支 持 射 频 智 能 调 整, 为 企 业 提 供 最 优 化 射 频 参 数 支 持 泛 洪 攻 击 欺 骗 攻 击 等 入 侵 检 测 功 能, 同 时, 深 信 服 AC 还 支 持 Dos 攻 击 防 御 功 能 和 无 线 网 络 间 的 用 户 隔 离, 保 障 企 业 的 无 线 网 络 在 开 放 的 环 境 下 不 受 安 全 威 胁, 为 企 业 提 供 更 加 全 面 的 安 全 防 护 深 信 服 AC 提 供 统 一 的 有 线 无 线 网 络 的 管 理 界 面, 直 观 实 时 的 看 到 接 入 点 状 态 射 频 状 态 和 无 线 网 络 状 态, 让 网 络 简 单 易 管 理 2.7.2 无 线 认 证 网 络 管 理 的 第 一 步 是 身 份 认 证, 只 有 识 别 出 了 用 户 的 身 份 才 能 根 据 身 份 来 做 权 限 划 分, 深 信 服 AC 提 供 三 种 无 线 安 全 类 型 : (1) 开 放 式 (2)WPA-PSK/WPA2-PSK( 个 人 ) 和 (3)WPA/WPA2( 企 业 ) 不 同 的 安 全 类 型 满 足 企 业 不 同 的 安 全 等 级 下 的 身 份 认 证 要 求 在 开 放 式 和 WPA-PSK/WPA2-PSK 类 型 下, 支 持 给 内 部 员 工 使 用 的 密 码 认 证 和 给 访 客 使 用 的 二 维 码 认 证, 满 足 不 同 场 景 下 不 同 角 色 的 身 份 认 证 需 求 2.7.3 无 线 系 统 维 护 深 信 服 AC 具 备 全 面 的 无 线 系 统 维 护 功 能, 提 供 多 种 日 志 类 型 的 查 询, 包 括 接 入 点 日 志 系 统 日 志 安 全 日 志 用 户 认 证 日 志 等 针 对 无 线 的 20 多 个 模 块 的 日 志 可 以 区 分 信 息 调 试 告 警 错 误 四 个 级 别, 保 证 日 志 的 完 整 性 的 同 时, 能 够 快 速 定 位 到 需 要 查 询 的 日 志 多 维 度 全 模 块 的 无 线 日 志 系 统 能 够 帮 助 管 理 员 快 速 定 位 问 题, 保 证 出 现 问 题 之 后 能 够 有 据 可 查, 为 解 决 问 题 提 供 全 方 位 的 线 索 深 信 服 AC 不 仅 能 够 提 供 事 后 被 动 的 日 志 追 溯, 还 能 够 为 管 理 员 提 供 事 前 主 动 发 现 问 题 的 手 段 AC 的 接 入 点 故 障 分 析 功 能, 管 理 员 能 够 主 动 扫 描 网 络 内 有 问 题 的 AP, 并 且 能 够 针 对 故 障 AP 直 接 配 置 它 的 参 数 不 仅 如 此, 对 于 AP 的 软 件 版 本, 深 信 服 AC 能 够 直 接 从 管 理 界 面 做 批 量 升 级, 简 化 管 理 和 运 维 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 27

第 3 章 深 信 服 上 网 行 为 管 理 产 品 技 术 优 势 3.1 SSL 内 容 识 别 与 管 理 AC 拥 有 专 利 技 术 基 于 网 关 网 桥 防 范 网 络 钓 鱼 网 站 的 方 法 ( 专 利 号 ZL200710072997.1) 具 有 对 SSL 加 密 内 容 的 完 全 管 控 能 力, 支 持 识 别 管 控 审 计 经 由 SSL 加 密 的 内 容, 如 支 持 基 于 关 键 字 过 滤 SSL 加 密 的 搜 索 行 为 发 帖 行 为 网 页 浏 览 行 为, 审 计 SSL 加 密 的 网 页 内 容, 为 组 织 打 造 坚 固 无 漏 洞 的 管 理 AC 不 仅 对 加 密 网 页 能 够 做 到 内 容 识 别 与 管 理, 对 于 加 密 的 web 邮 件 和 客 户 端 邮 件 也 能 做 到 过 滤 与 审 计 不 管 是 SSL 全 加 密 的 还 是 TLS 半 加 密,AC 都 能 够 对 smtp pop3 iamp 等 协 议 的 邮 件 进 行 识 别 过 滤 与 审 计 对 于 含 有 私 有 协 议 的 特 殊 邮 箱 如 : 闪 电 邮,foxmail 和 QQ 邮 箱 等,AC 也 做 了 兼 容 处 理, 能 够 做 到 和 标 准 协 议 一 样 的 效 果 通 过 全 面 对 加 密 邮 件 的 识 别 过 滤 与 审 计,AC 帮 助 客 户 实 现 内 网 安 全, 为 客 户 提 供 全 方 位 的 内 容 防 护, 防 止 数 据 泄 密, 填 补 网 络 管 理 漏 洞 3.2 P2P 智 能 识 别 技 术 P2P(peer-to-peer) 应 用 的 兴 起 直 接 导 致 P2P 软 件 及 其 版 本 的 爆 炸 性 增 长, 如 何 对 P2P 行 为 进 行 全 面 有 效 的 管 控 成 为 业 界 的 难 题 之 一 基 于 IP 端 口 种 子 等 封 堵 方 式 费 时 费 力 且 达 不 到 理 想 效 果 AC 的 深 度 内 容 检 测 技 术 对 常 用 P2P 软 件 进 行 识 别 ;AC 的 P2P 智 能 识 别 技 术 实 现 对 加 密 P2P 不 常 见 和 未 来 将 出 现 的 P2P 的 彻 底 识 别, 为 管 理 员 提 供 了 全 面 高 效 的 P2P 行 为 管 控 手 段 能 够 全 面 识 别 P2P 行 为 是 进 一 步 管 控 的 基 础 对 P2P 的 管 控 包 括 封 堵 和 流 控 两 方 面, 既 可 全 面 禁 止 指 定 用 户 使 用 P2P 软 件, 也 可 允 许 其 使 用 但 对 P2P 行 为 占 用 的 带 宽 资 源 进 行 限 制 和 管 理, 从 而 既 优 化 带 宽 资 源 的 使 用, 又 为 员 工 提 供 了 人 性 化 的 管 理 方 式 3.3 免 审 计 Key 功 能 总 裁 高 层 领 导 网 络 访 问 行 为, 财 务 部 收 发 的 邮 件 等 关 乎 组 织 机 密 信 息, 怎 样 避 免 记 录 此 类 用 户 的 网 络 行 为? 业 界 多 数 方 案 是 通 过 将 敏 感 用 户 划 分 到 指 定 用 户 组, 通 过 设 备 配 置 界 面 的 勾 选, 避 免 对 这 些 用 户 网 络 行 为 的 审 计 但 如 果 非 善 意 人 员 私 下 重 新 配 置 设 备 对 敏 感 用 户 又 进 行 行 为 记 录, 怎 么 办? AC 正 是 考 虑 到 用 户 可 能 面 临 的 以 上 风 险 和 威 胁, 推 出 了 免 审 计 Key 功 能 在 AC 上 为 总 裁 等 重 要 人 员 创 建 帐 户 时 使 用 DKEY 认 证, 并 勾 选 启 用 DKEY 防 监 控 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 28

选 项, 为 总 裁 生 成 免 审 计 Key 总 裁 使 用 免 审 计 Key 认 证 后,AC 从 底 层 免 除 对 总 裁 的 所 有 记 录 如 果 非 善 意 人 员 私 下 取 消 AC 配 置 界 面 上 启 用 DKEY 防 监 控 选 项, 总 裁 再 插 入 免 审 计 Key 后 系 统 会 自 动 弹 出 警 告, 且 禁 止 总 裁 访 问 网 络, 彻 底 保 障 信 息 安 全 3.4 数 据 中 心 认 证 key 员 工 领 导 的 上 网 行 为 日 志 已 经 通 过 AC 数 据 中 心 实 现 海 量 存 储, 但 如 何 鉴 别 访 问 数 据 中 心 的 管 理 员 的 身 份, 避 免 行 为 日 志 被 滥 用 ( 如 员 工 的 MSN 聊 天 内 容 被 传 播 领 导 的 Email 内 容 被 张 贴 到 互 联 网 上 等 ) 而 产 生 的 个 人 隐 私 侵 犯 机 密 日 志 泄 漏 等 问 题, 是 组 织 IT 管 理 者 和 内 网 员 工 普 遍 关 心 的 问 题 之 一 SANGFOR AC 管 理 员 分 级 管 理 功 能 可 实 现 A 管 理 员 登 录 数 据 中 心 后 只 能 审 计 查 看 A 用 户 组 的 行 为 日 志, 同 时 配 发 启 用 数 据 中 心 认 证 Key 功 能 后, 如 果 没 有 该 数 据 中 心 认 证 Key,A 管 理 员 登 录 数 据 中 心 后 只 能 查 看 统 计 趋 势 等 概 要 信 息, 只 有 插 入 数 据 中 心 认 证 Key 后 A 管 理 员 才 能 审 计 查 询 A 用 户 组 的 MSN 聊 天 内 容 Email 正 文 等 详 细 日 志 信 息 通 过 将 该 数 据 中 心 认 证 Key 锁 入 领 导 抽 屉 将 实 现 行 为 日 志 审 计 查 询 权 限 的 严 格 控 制 3.5 异 常 流 量 感 知 随 用 户 互 联 网 访 问 移 动 存 储 设 备 的 使 用 以 及 局 域 网 内 其 他 终 端 的 感 染 导 致 用 户 终 端 设 备 往 往 存 在 木 马 间 谍 软 件 远 程 控 制 软 件 等 威 胁 此 类 恶 意 软 件 为 了 藏 匿 自 己 的 行 踪 往 往 通 过 常 用 的 TCP 80 443 25 110 等 端 口 与 互 联 网 控 制 端 交 互 数 据, 这 使 得 组 织 的 信 息 安 全 资 产 安 全 网 络 安 全 等 无 法 保 障 SANGFOR AC 的 异 常 流 量 感 知 技 术 正 是 对 于 以 上 异 常 流 量 行 为 进 行 识 别 并 报 警, 帮 助 IT 管 理 者 主 动 发 现 组 织 内 网 潜 藏 的 安 全 威 胁, 提 升 组 织 内 网 可 靠 性 和 可 用 性 3.6 IPv6 全 流 量 支 持 随 着 IPv4 资 源 耗 尽, 其 的 局 限 性 越 来 越 突 出, 在 政 府 教 育 国 外 很 多 场 景 下 都 要 求 IPv6 的 全 流 量 支 持 深 信 服 AC 能 够 完 整 支 持 IPv4/IPv6 混 合 流 量 全 IPv6 流 量 的 部 署 环 境 : 从 认 证 模 块 的 本 地 认 证 或 与 其 他 认 证 系 统 单 点 登 录, 到 应 用 识 别 模 块 的 IPv6 应 用 的 识 别 与 控 制, 在 到 流 量 控 制 模 块 的 完 整 支 持, 最 后 到 所 有 上 网 行 为 的 内 容 审 计 以 及 日 志 中 心 的 日 志 查 询 和 报 表, 都 能 够 毫 不 费 力 的 支 持 IPv6 环 境 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 29

第 4 章 深 信 服 上 网 行 为 管 理 产 品 资 质 4.1 市 场 占 有 率 第 一 来 自 IDC 发 布 的 2012 下 半 年 中 国 安 全 市 场 研 究 报 告 表 明, 作 为 2008-2012 年 成 长 最 快 的 安 全 硬 件 市 场 之 一, 中 国 安 全 内 容 管 理 硬 件 市 场 并 未 让 人 失 望, 在 该 市 场 中, 最 受 用 户 欢 迎 的 不 是 传 统 的 病 毒 防 御 功 能, 而 是 Web 过 滤 和 Message 安 全 在 安 全 内 容 管 理 硬 件 市 场 中, 有 超 过 17 家 主 流 安 全 厂 商 可 以 提 供 该 产 品, 排 在 第 一 位 是 深 信 服, 市 场 占 比 为 41.4%, 为 第 二 位 厂 商 的 两 倍 以 上 4.2 深 信 服 上 网 行 为 管 理 产 品 资 质 中 国 信 息 安 全 产 品 测 评 认 证 中 心 产 品 型 号 证 书 公 安 部 信 息 安 全 产 品 检 测 中 心 检 验 报 告 公 安 部 信 息 安 全 产 品 检 测 中 心 互 联 网 公 共 上 网 服 务 场 所 信 息 安 全 管 理 系 统 检 测 报 告 公 安 部 公 共 信 息 网 络 安 全 监 察 局 计 算 机 信 息 系 统 安 全 专 用 产 品 销 售 许 可 证 国 家 保 密 局 涉 密 信 息 系 统 安 全 保 密 测 评 中 心 涉 密 信 息 系 统 产 品 检 测 证 书 国 家 保 密 局 涉 密 信 息 系 统 安 全 保 密 测 评 中 心 检 测 报 告 第 5 章 关 于 深 信 服 科 技 深 信 服 科 技 有 限 公 司 是 中 国 规 模 最 大 创 新 能 力 最 强 的 前 沿 网 络 设 备 供 应 商, 致 力 于 通 过 提 供 品 质 卓 越 的 Internet 网 络 设 备, 帮 助 用 户 的 业 务 向 互 联 网 成 功 转 型 深 信 服 目 前 拥 有 IPSec VPN SSL VPN 上 网 行 为 管 理 上 网 优 化 应 用 交 付 广 域 网 加 速 流 量 控 制 等 多 款 产 品, 并 在 专 业 VPN SSL VPN 内 容 安 全 和 上 网 行 为 管 理 等 领 域 排 名 市 场 第 1 位 截 止 2013 年 5 月, 已 有 超 过 21,000 家 用 户 成 为 深 信 服 的 合 作 伙 伴, 包 括 通 用 电 气 壳 牌 石 油 丰 田 汽 车 中 国 移 动 等 世 界 知 名 企 业, 以 及 中 国 人 民 银 行 国 资 委 国 土 资 源 部 外 交 部 等 重 要 政 府 机 构 目 前, 深 信 服 公 司 人 数 达 到 1500 人, 在 全 球 设 有 49 个 直 属 代 表 处, 包 括 中 国 内 地 主 要 城 市 及 美 国 英 国 新 加 坡 马 来 西 亚 泰 国 香 港 等 国 家 和 地 区 2005-2012 年, 深 信 服 连 续 七 届 蝉 联 德 勤 中 国 高 科 技 高 成 长 50 强 及 亚 太 地 区 高 科 技 高 成 长 500 强, 并 被 财 富 杂 志 评 为 中 国 卓 越 雇 主 深 信 服 科 技 版 权 所 有 www.sangfor.com.cn 30

深 圳 市 南 山 区 麒 麟 路 1 号 科 技 创 业 中 心 4 楼 Add: 4th Floor, Incubation Center, No.1 Qilin Road, Nanshan District, Shenzhen P.C.:518052 产 品 咨 询 热 线 :800-830-9565 Email:master@sangfor.com.cn