搜索
宝信内网安全管理系统eCop－NSMV5网络与发展网络安全协同工作、提高效率资源共享、信息沟通12产销一体、企业生命线3内网安全时代现有的安全措施难以发挥应有作用，致使网络管理人员忙于奔命也无法解决各种终端安全与管理问题。尽管有单位制定了严格的管理制度,但缺乏有效的技术手段，使安全策略得以落实，致使信息泄露、黑客攻击、蠕虫病毒传播事件频发。传统安全的重点在边界上，容易忽略内部网络安全。尤其在目前政府、科研设计单位、电信运营商、金融机构、保密部门等单位的办公网、内部业务网、涉密业务网中，终端设备安全管理非常薄弱，存在着很大的安全隐患。网络技术深入应用让信息安全进入一个全新的时代根据公安部以及美国FBI/CSI等权威机构的调查：超过85%的安全威胁来自组织内部，有16%来自内部未授权的存取内网安全挑战网络规模日益庞大，资产管理和远程维护困难挑战来自何方？软件应用缺乏监控，安全隐患严重，工作效率无法提高攻击方法日新月异，内网终端安全难以防范漏洞导致中病毒或被攻击的风险日益增高管理制度缺乏技术依据，安全策略无法有效落实非法的网络连接无法监管，导致安全后门不断出现外设及共享的使用难以控制，内部机密信息泄露频繁发生难以监控外来或不安全终端接入内网据中国国家信息安全测评认证中心调查，信息安全的现实威胁也主要是内部信息泄露和内部人员犯罪，而非病毒和外来黑客引起。市场呼唤安全新贵对终端实施强制接入控制提高终端的安全防护等级防止安全后门和机密泄露提高内网资源运维管理效率内网安全策略确保灵活细致系统可靠稳定、易扩展；支持大规模部署和分级管理目标：主动防御，构建可信可控可管内网要求：安全产品推荐2002年提出“内网安全”内网安全产品系列eCop-NSM第5代产品契合标准：ISO27001、ISO17799、等级保护包含：接入管理、终端健康体检、终端运行维护宝信内网安全管理系统eCop-NSM产品理念PDRRProtection保护Detection检测Response响应Recovery恢复建立基于主动防御的终端安全管理系统——“AD-PDRR”安全模型AD主动防御PDRR动态安全ProtectionDetectionResponseRecovery主动防御策略ActiveDefense•IP保护•资产检查•补丁检查•防病毒检查•USB存储加密•硬件变更•外设使用•非法外联•进程运行•异常流量•警告、报警、审计•隔离、阻断•断开非法外联和外设•禁用非法软件•控制异常流量•安装补丁•更新防病毒•恢复网络状态•恢复系统设置•取消非法共享构建全面的终端安全保障体系健康体检接入控制运行维护安全审计系统管理AD-PDRR内网安全内网安全从终端安全入手系统组成功能结构终端接入控制违反接入策略的设备如下处理：IP地址保护和底层协议阻断交换机端口控制网关联动准入控制客户端网络隔离和阻断符合接入策略不符合接入策略用户自定义接入策略：终端是否进行过登记？IP是否合规？是否安装并正常运行客户端程序？各项健康体检是否通过？802.1X认证网关联动NATInternet外网出口2、eCopXSA防火墙判断数据包是否来自可信地址，不可信主机WEB访问将强制其弹出eCop准入客户端安装页面4、安装完eCop准入认证客户端，首先与eCopNSM准入管理系统进行身份认证，返回验证结果及帐号属性（普通用户、特权用户、匿名用户），如果是普通用户，检查客户端自身的健康状态,如果不满足准入要求，在本地提示杀毒软件和操作系统补丁安装和修复的信息,并引导用户进行相关操作，直至准入健康检查通过后，才与eCopNSM准入管理系统建立虚拟通道；如果是特权用户，则无论准入健康检查结果是否通过，均能与eCopNSM准入管理系统建立虚拟通道核心交换机eCopXSA防火墙（双机热备）eCop准入客户端AAeCop准入客户端分配得到虚拟通道地址eCop准入认证管理系统(多机集群热备，智能均衡)1、客户端首次打开IE浏览器上网3、弹出客户端安装页面，自动安装eCop准入认证客户端`8、eCopXSA防火墙对可信的认证服务器、升级服务器及来自虚拟通道的流量进行转发5、eCopNSM准入管理系统为每个客户分配不同虚拟通道地址7、eCopNSM准入管理系统转发来自各虚拟通道的数据包至eCopXSA防火墙6、所有访问Internet的数据包流量，通过虚拟通道转发给eCop准入认证管理系统终端健康体检终端接入控制是管理的第一步，完成接入体检后，只能保证接入设备初始是合法的，但是要保证在运行过程中符合组织的安全使用规范，就需要依靠终端健康体检，对接入的计算机进行持续监控。发现不符合规范的设备进行记录、警告、阻断、隔离，修正到符合规范后才可继续入网。外设监控管理软件监控管理进程监控管理外联监控管理流量监控管理更新管理防病毒管理硬件变更管理安全策略中央控制器打印监控管理终端健康体检－内网安全防护系统更新管理防病毒更新管理eCopEIM上网行为管理体检策略虚拟隔离区升级服务器中央控制器健康体检未通过终端健康体检－防范信息泄密外联监控：限制非法外联行为，及时发现并阻断预定义的非法外联行为。外设监控：限制外围设备的使用，如光驱、串口、并口、1394口、蓝牙设备等。USB认证加密：对USB存储设备进行登记认证，设置终端只能使用指定的USB存储设备。支持USB存储设备的文件拷出加密和磁盘整体加密。打印管理：对终端的打印机安装情况以及使用情况进行实时监控。通过指定合规打印机来避免私接打印机的隐患；通过审计打印行为和打印内容备份，为打印安全提供了有效的技术保障。外联管理外设管理USB认证加密打印管理终端健康体检－监管软硬件使用硬件监控：监控计算机硬CPU、内存、硬盘、软驱、光驱、声卡、显卡、网卡、键盘、鼠标等的变更情况，同时更新硬件资产现状。软件监控：监控终端软件安装情况，通过设置“必须安装”和“禁止安装”的策略，对软件安装不合规范的计算机进行警告、记录、报警、阻断等操作。硬件监控软件监控终端健康体检－监管终端应用进程监控：监控终端进程运行情况，设置“必须运行”、“禁止运行”、“监控运行”3种策略，控制指定进程的运行状态。通过进程摘要识别技术，有效避免修改进程信息逃避监控的问题。异常流量监控：通过对包流量、小包流量、ARP流量、连接数、伪造包等特征的检测，从流量源头检测出异常情况，进行拦截和报警，有效降低病毒、违规下载行为等可能对网络正常运行造成的不良影响。进程监控异常流量监控终端运行维护资产管理对设备进行统一的管理。审批资产信息，形成合法设备列表，为接入管理提供合法判定依据远程管理通过远程截屏、远程协助、开关机管理等功能为管理员远程维护提供更方便的手段软件分发实现向终端计算机自动分发和安装软件，支持通过自定义脚本扩展软件安装的执行方式网络访问控制对指定组织机构或终端配置网络访问控制策略，限定终端只能访问或者禁止访问特定网络范围通知发布管理员可按照组织机构发布经审批的消息及运维通知给终端用户。审计与报表日志管理，记录用户的操作日志，审计用户的行为。审计中心管理，按用户定义的审计策略汇总所有审计信息报警记录管理，按用户定义的报警策略汇总所有报警记录。报表管理，按用户自定义报表模板和任务，生成报表，图文并茂。典型部署大规模部署产品发展历史2003年eCopV1.0在秦山核电、宝钢等单位的安全需求基础上总结、研发出第一代eCop产品并在国内率先推出市场2006年eCopV3.0更多的总结市场、用户需求增强接入管理、桌面管理功能，完成全国海关等众多项目2009年eCopV5.0遵循国际国内标准，更好的总结内网管理经验推出全新架构产品和更丰富的产品线产品优势硬件和软件双重选择，高稳定可靠的安全设备高度适应环境变化，不需对网络进行改造或升级准确并高效的网络扫描机制及控制手段丰富并可灵活的终端健康体检功能多层次管理和策略控制全面的审计和报表功能灵活方便的操作配置产品家族(企业版)硬件型号规格说明CMI可支持200个终端以内的网络准入及客户端安全管理CMII可支持500个终端以内的网络准入及客户端安全管理CMIII可支持1000个终端以内的网络准入及客户端安全管理CMIV可支持2000个终端以内的网络准入及客户端安全管理CMV可支持5000个终端以内的网络准入及客户端安全管理产品家族(标准版)最低配置推荐配置中央控制器内存：512M磁盘空间：20GCPU主频：1.8G内存：1G磁盘空间：40GCPU主频：2G以上双核扫描代理内存：256M磁盘空间：50MCPU主频：1.0G内存：512M磁盘空间：100MCPU主频：1.8G以上访问控制器内存：256M磁盘空间：20MCPU主频：1.0G内存：512M磁盘空间：50MCPU主频：1.8G以上安装要求产品资质典型成功案例强大的技术后盾区域支持的有力保证为您提供快捷的上门服务三线支持二线支持一线支持体系覆盖广泛，布局合理，响应及时技术支持