上网行为管理产品说明

构建健康安全、高效可管的互联网

SANGFOR AC上网行为治理

产品白皮书

深信服科技有限公司https://www.360docs.net/doc/5a15120580.html,

版权声明

深圳市深信服电子科技有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。

本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特不注明外，其著作权或其它相关权利均属于深圳市深信服电子科技有限公司。未经深圳市深信服电子科技有限公司书面同意，任何人不得以任何方式或形式对本文档内的任何部分进行复制、摘录、备份、修改、传播、翻译成其他语言、将其全部或部分用于商业用途。

免责条款

本文档仅用于为最终用户提供信息，其内容如有更改，恕不另行通知。

深圳市深信服电子科技有限公司在编写本文档的时候已尽最大努力保证其内容准确可靠，但深圳市深信服电子科技有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。

目录

1互联网对组织提出的挑战 (6)

2上网行为治理给用户带来的价值 (7)

2.1治理网络带宽 (7)

2.2幸免法律和泄密风险 (8)

2.3提升工作效率 (9)

2.4提升内网可靠可用性 (11)

2.5治理网络带宽 (12)

3功能实现 (12)

3.1规划用户分组结构 (13)

3.2建立身份认证体系 (13)

3.3分析网络流量 (13)

3.4优化和分配带宽资源 (14)

3.5网页访问操纵 (15)

3.6治理IM即时通讯工具 (17)

3.7操纵BT等P2P行为 (17)

3.8操纵其他网络应用行为 (18)

3.9防泄密和法律风险 (18)

3.10日志审计和报表中心 (18)

3.11内网可靠可用性增强 (19)

3.12治理和配置的易用性 (20)

4领先的技术优势 (20)

4.1单点登录技术 (20)

4.2反钓鱼网站功能 (20)

4.3P2P智能识不 (21)

4.4代理服务器识不 (21)

4.5网页智能分析系统IWAS (21)

4.6最全面的应用识不 (21)

4.7免审计Key功能 (22)

4.8网络准入规则 (22)

4.9加密谈天内容监控 (23)

4.10邮件延迟审计 (23)

4.11外发文件深度识不 (23)

4.12智能的流量治理 (23)

4.13海量日志快速检索 (24)

4.14数据中心认证key (24)

4.15异常流量感知 (24)

4.16SC集中治理平台 (24)

5部署您的AC产品 (25)

5.1网关模式（路由模式） (25)

5.2网桥模式 (26)

5.3多路桥接模式 (26)

5.4旁路模式 (27)

6产品规格和荣誉 (28)

6.1产品规格 (28)

(28)

6.3公司荣誉 (29)

6.4AC产品专利 (29)

7关于深信服科技 (29)

1互联网对组织提出的挑战

随着信息技术、特不是网络技术的普及，互联网差不多渗透到工作和生活的各方面。而组织内网职员使用IM谈天、网上购物、在线观赏音乐和电影，通过BT等P2P工具下载互联网资源、收发个人邮件、在论坛上舞文弄墨……只要职员有兴趣，他们就能在上班时刻尽情享受互联网带来的乐趣。

针对用户互联网访问行为的管控与审计，美国于2002年颁布实施《萨班斯-奥克斯利法案》对组织内控和行为日志记录领先提出了要求；而中国也颁布了相应的互联网法律法规法规进一步规范互联网行为。

缺乏有效治理的互联网是否让您常常面对如下情形却又束手无策？

■看似充裕的出口带宽却不断接到内网职员关于网速太慢的抱怨；

■视频会议、VOIP断断续续，与分支互联的VPN极不稳定、经常中断；

■过激言论、网络造谣给组织招致网监的压力，却又无法查找到责任人；

■研发代码、营销方案等让竞争对手得知，何人所为？

■内网病毒、木马、ARP欺骗、DOS攻击让IT治理者头痛不已；

■巨资购买的杀毒软件专门多职员不装、不用，存在风险的终端肆意上网；

■专注的敲击键盘、认确实盯着屏幕，但却在发生工作无关的行为；

■……

让人无奈的是，职员的不规范网络行为往往是组织为其买单：除因上班时刻无心工作所带来的直接损失外，组织的带宽资源陷入被滥用扩容再被滥用的恶性循环，同时组织还面临法律违规和泄密风险，组织的信息资产、机密信息的未授权传播同样令治理者痛心疾首，由于互联网行为复杂且难以预料，不管是存心依旧意外，一个居心叵测的职员和一个忠实可靠的干将都有可能将组织内网的重要资料泄露给第三方组织甚至竞争对手。

值得庆幸的是，越来越多务实、具备安全意识的治理者发觉了问题所在，并希望通过有效而可靠的途径来实现对职员的上网行为进行治理，接下来，让我们深入了解深信服SANGFOR AC上网行为治理解决方案如何关心组织轻松解决互联网所带来的问题。

2上网行为治理给用户带来的价值

深信服科技SANGFOR AC为您带来了全面而灵活的上网行为治理解决方案。在此，我们通过治理网络带宽、幸免法律和泄密风险、提升工作效率、提升内网可靠可用性，以及治理的易用性等五个方面的详细阐述SANGFOR AC为您带来的巨大价值。

2.1治理网络带宽

■多线路复用和智能选路

专门多组织拥有电信、网通等两条以上互联网出口链路，如何同时复用多条链路并做到流量的负载均衡与智能分担？通过AC特有的多线路复用及带宽叠加技术（专利号：200310112006X），AC复用多条链路形成一条互联网总出口，提升整体带宽水平。再结合多线路智能选路专利技术（专利号：ZL03113974.4），AC 将流量自动匹配最佳出口。

■基于应用/网站/文件类型的智能流量治理

有限的带宽资源如何分配给不同部门/用户、不同应用、不同访问行为？AC能够基于不同用户(组)、出口链路、应用类型、网站类型、文件类型、目标地址、时刻段进行细致的带宽划分与分配，如保证领导视频会议的带宽而限制职员P2P的带宽、保证市场部访问行业网站的带宽而限制研发部访问新闻类网站的带宽、保证设计部传输CAD文件的带宽而限制营销部传输RM文件的带宽。精细智能的流量治理既防止带宽滥用，又提升带宽使用效率。

■流量限额功能

为了更加合理、高效的利用组织有限的带宽资源，流量治理策略需要考虑假如部分用户长时刻持续下载非业务相关网络资源，由此对带宽资源的滥用如何治理？SANGFOR AC支持为指定用户、用户组按照天/月为周期分配指定的上网总流量，当用户

上网总流量超过设限额后将自动终止互联网访问权限，从而促使用户珍惜带宽资源，幸免对带宽资源的白费。

■ P2P的智能识不与灵活操纵

封IP、端口等管控“带宽杀手”P2P应用的方式极不完全。加密P2P、不常见P2P、新P2P工具等让众多P2P治理手段束手无策。AC凭借P2P智能识不技术(专利号： 200610156977.8），不仅识不和管控常用P2P、加密P2P，对不常见和以后将出现的P2P亦能管控。而完全封堵P2P可能实施困难， AC的P2P流控技术能限制指定用户的P2P所占用的带宽，既同意指定用户使用P2P，又可不能滥用带宽，充分满足治理的灵活性。

■带宽统计和报表

AC的数据中心（Network Database Center，NDC）对内网用户的各种网络行为进行记录、审计、统计及趋势、报表等。借助图形化报表、统计结果等，能够了解流量TOP N用户、TOP N应用等，并自动形成报表文档，定时发送到指定邮箱，让IT治理者轻松掌控用户网络行为分布和带宽资源使用等情况，为带宽治理的决策提供准确依据。

2.2幸免法律和泄密风险

互联网的普及让网络泄密和网络违法行为层出不穷。假如职员利用组织网络发生泄密或违法行为，而假如又没有证据，无法找到直接责任人，IT部门将成为该事件压力的承担者。

■外发信息操纵

办公室内不管是涉及组织前途命运的机密资料依旧总裁办公室的八卦新闻，职员都可能会有意无意传播。而便利的互联网让他们更多选择使用IM软件、Email、论坛、博客等方式实现信息的外发。AC能够封堵IM软件，过滤和审计收发的Email邮件，过滤论坛、网站访问行为，也能够过滤和审计网络发帖行为，让职员认识到自己需要为其网络行为负责。

严谨的上网行为治理要求组织部署完整的认证体系以确保每个接入者的网络使用权限。SANGFOR AC提供完整身份认证体系：Web方式的用户名/密码认证，IP/MAC地址绑定，与现有Radius、LDAP、AD联动，AC甚至能够借助现有POP3邮件服务器、PROXY 服务器上的用户帐号数据，对接入用户进行强身份认证，幸免未经授权的接入用户访问互联网。

■外发Email操纵

Email不仅是组织重要的沟通方式之一，同时也是最常见的泄密方式。传统设备处理泄密邮件时只能将其拷贝存储留作证据，但泄密邮件差不多外发，损失差不多造成。而SANGFOR AC的邮件延迟审计技术（专利号：200510037454.7）基于用户、邮件标题、正文、附件等特征拦截泄密邮件，并自动通知审核人员人工审核后再外发，以确保组织信息资产安全。

但存心的泄密者往往将Email附件压缩、加密、修改后缀名、删除后缀名等试图躲过拦截与审查，即便如此SANGFOR AC仍然能够对以上行为进行识不和行报警，关心组织强化信息资产保障

措施。同时关于所有收发的Email邮件SANGFOR AC都能够全面记录，并通过数据中心方便治理者对邮件日志进行查询、审计、报表统计等操作。

■外发文件操纵

从互联网下载论文、软件、音视频等，不仅可能引入病毒、木马还存在将组织卷入版权纠葛的风险；而通过HTTP、FTP等外发文件则又存在泄密可能。SANGFOR AC能够基于文件类型对传输的文件进行过滤，并全面记录外发文件内容，即使非善意用户篡改/删除文件后缀名、压缩、加密等AC一样能够识不并报警，保证组织的信息资产安全。

■网络言论过滤策略

论坛灌水、顶贴、人肉搜索等不仅降低工作效率，同时也潜在给组织带来法律风险。借助SANGFOR AC治理者能够封堵指定论坛、BBS等。而且AC还支持基于关键字过滤用户向公网公布的网络言论、帖子等，即便成功公布到互联网的言论AC也能详细记录，通过数据中心提供的报表、查询工具方便治理者审计，幸免组织遭遇的法律压力。

有些组织同意职员访问论坛、扫瞄帖子等，但不准发贴，通过SANGFOR AC也能够实现。同时AC可实现职员只有使用帐号登录论坛、Webmail后才同意发表言论，从而幸免职员的抵触情绪，同时确保网络言论和职员身份的对应。灵活的网络言论过滤策略既幸免了组织遇到的法律风险，又满足了职员的正常上网需求。

■法律遵从和举证

AC有效过滤和拦截色情、反动等网站的访问、过滤非法网络言论的发表，即使逃脱过滤进入互联网的非法行为等，也可在AC数据中心中找到相关记录作为法律举证的依据。 AC网关本身可存储大量日志，但大型组织每天将产生数十G的日志，只有通过独立于网关的数据中心才可实现海量存储。不管内置/外置数据中心，AC都为治理者提供丰富的日志查询、统计、自动报表等工具。

如何从数十G、甚至上百G的海量日志中找到泄密/违法证据、或治理者感兴趣的内容？AC数据中心提供的内容检索功能，让治理员类似Google、百度搜索一样，方便、轻松搜索需要的内容，并支持自动发送治理员指定关键字的检索结果到指定的Email邮箱。

2.3提升工作效率

上班时刻无关网页扫瞄、IM谈天、在线炒股、网络游戏等上网行为降低了组织的生产效率，如何在上班时刻对内网职员的上网行为进行治理和引导？

■网页访问行为治理

上班时刻扫瞄新闻网站、论坛灌水、写博客、参与网络虚拟活动等让治理遭受挑战。SANGFOR AC内置千万级静态URL地址库是治理网页访问行为的基础，但职员显然会利用Google、百度等搜索到最新的、感兴趣的、或违法的互联网内容，可见AC 对搜索引擎输入关键字的过滤是静态URL地址库的有效补充，而且AC能够依照网页正文包含的关键字过滤网页访问行为，有效治理用户的明文网页访问行为。

然而Google声称互联网独立网页差不多超过一万亿、Web2.0使得同一网站下有的网页健康、有的网页非法，如何治理？静态URL地址库明显不足。综合了人工智能的SANGFOR AC 网页智能分析系统（Intelligent Webpage Analysis System, IWAS）能够依照网址、正文内容、关键字、代码特征等对网页进行智能分类，同时具备自我学习和自我修正能力，能够依据治理者定义进行任意URL分类的识不和过滤，真正关心组织完善网页访问行为的治理。

但网上银行、网上购物、钓鱼网站等的兴起，以及色情、反动网站等正逐步采纳SSL加密，传统封堵TCP 443端口的方式将阻断网上银行的操作，只有借助AC的SSL证书验证技术（专利号：200710072997.1）才能有效过滤非法加密网址、同意合法加密网址的访问。

■应用程序治理

互联网应用极大丰富，从谈天到游戏、从P2P下载到在线电影，职员享受互联网的同时对应用的治理却变成IT治理者的心

病。有不于防火墙IP+端口的落后管控方式，SANGFOR AC具有全流量识不技术，不管使用什么端口、什么协议、是否加密，AC 都能够准确识不。

目前SANGFOR AC差不多内置超过20大类300多条应用程序的识不规则以关心组织轻松封堵各种常用应用程序，同时十余人的应用识不专家团队保证识不规则的更新和不断扩充。处于治理需要，在不方便封堵时，治理员还能够针对特定应用程序进行流量操纵的治理。

■ IM（即时通讯）谈天软件的治理

上班时刻使用QQ、MSN等私人谈天，不仅阻碍工作效率，还可能因IM传文件而引入病毒和机密泄漏等问题，因此关于IM的治理日益重要。SANGFOR AC基于应用协议的深度内容检测技术能够完美的关心治理员实现对各种IM工具的完全封堵。

在某些情况下，基于业务需要或治理问题，某些组织专门难完全封堵IM工具，因此治理者希望能记录IM谈天内容。但由于QQ、Skype、飞信、MSNShell等众多IM工具都采纳加密方式传输，让业界专门多厂商都束手无策。而SANGFOR AC特有的谈天内容同步侦听技术（Real-time Monitor for Messages , RMM)可实现对QQ、Skype、MSNShell、飞信等加密谈天内容的监听和记录，关心组织在开放IM的同时确保谈天内容可审可控。

■上网时刻治理

非工作时刻同意职员适度上网能够使组织在确保效率的同时

体现足够的人情味，因此，依照不同时刻段为用户分配网络访问权限是上网行为治理过程中需要考虑的问题之一。SANGFOR AC 提供基于时刻的丰富治理策略，能基于时刻段为不同部门、不同人员给予差异化权限，同时也能够限制职员一天内总的上网时刻，实现人性化治理。

2.4提升内网可靠可用性

面对互联网威胁，尽管许多组织差不多部署防火墙、IDS等设备，但内网依旧病毒频发、攻击不断，堡垒最容易从内部突破，内网职员不受控的互联网访问行为将主动“邀请”病毒、木马等进入内网，如何应对这些导致传统安全技术失效的上网行为所带来的风险？

■危险资源过滤

通过AC内置自动更新的海量URL地址库、结合搜索引擎输入关键字过滤、基于网页正文关键字过滤网页、SSL加密网页识不与过滤、以及基于人工智能的网页智能分析系统，关心组织完全幸免因为访问非法网页、危险网页而带来的风险。

从互联网下载、安装、运行应用程序却常常给内网引入病毒、木马、间谍软件等，这能够通过AC实现文件传输的过滤。即使通过IM工具传文件，AC也能够在同意用户使用IM文本谈天的同时全面封堵各种IM工具的传文件功能。关于同意下载的文件，AC网关杀毒功能将查杀该文件中潜藏的病毒、木马。

■网关杀毒功能

震荡波、冲击波、熊猫烧香等病毒的泛滥严峻阻碍组织网络的可靠性、可用性，但单纯依靠桌面杀毒软件并不能有效解决病毒问题，从源头上查杀并清除病毒是桌面防毒体系的有力补充。SANGFOR AC内置业界领先的杀毒引擎对网页、邮件、文件中潜藏的病毒进行完全查杀，即使隐藏在压缩包内AC也能识不和清除，为组织营造绿色、安全的网络应用环境。

■修复内网安全短板

组织内网的可靠可用性取决于最薄弱的一环。IT部门要求用户操作系统及时更新、安装指定杀毒/防火墙软件并保持更新等，但并非所有用户都能遵从，进而形成内网短板。一旦该“短板用户”访问危险网站、下载含病毒文件、执行非法程序等，极易导致自己感染并阻碍整个内网用户群。借助网络准入规则技术（专利号：200510037455.1），AC将检测接入终端的安全状况与安全级不，拒绝不符合IT治理者要求的终端访问互联网。

■异常流量感知

随U盘等潜入组织内网的木马、间谍软件等为了隐藏自己，通常会通过常用的TCP 80、443、25、110等端口泄漏内网机密数据及同意黑客操纵。传统设备防火墙等解决方案在开放了常用端口后并不能识不该端口中传输的数据及内容，组织的信息资产安全如何保障？黑客远程操纵内网终端形成僵尸网络如何幸免？SANGFOR AC的异常流量感知技术能够识不常用端口中的异常流量，并能够实时报警，关心IT治理者掌控您的网络，防范

风险。

■防DOS、防ARP欺骗

即使采取众多措施，威胁和风险仍无孔不入。来自外网的DOS 攻击，以及爆发于内网的DOS攻击不仅吞噬带宽，还严峻阻碍出口网关的稳定。传统防火墙等网关能够防备来自外网的DOS攻击但对来自内网的DOS攻击却无能为力，定位于上网行为治理解决方案的SANGFOR AC通过检测流量和异常网络行为等技术，完全防备来自外网和内网的DOS攻击。

病毒引起的ARP欺骗导致整个子网内所有用户无法正常访问Internet，定位故障点又颇为苦恼，有不于部分厂商依靠第三方软件的方案，AC通过内置防ARP欺骗功能组件，保障用户网络的可用性和可靠性。

2.5治理网络带宽

■治理员分级治理

能够按照组织的行政架构在SANGFOR AC上配置用户分组结构，典型的是树形用户分组结构，并包括子组、父组等。为了减轻大型组织机构IT部门的治理负担，同时方便各部门自行调整各自的上网权限，SANGFOR AC支持细致的治理员分级治理功能。能够为AC上的用户组A配置Read-Only权限的治理员A1、配置Read-Write权限的治理员A2，A2只可修改用户组A（而不能修改其他用户组）的上网策略、用户等，但A1则只能查看而不能修改。同时A1、A2登录AC数据中心后智能查询、审计用户组A

的行为日志（而不能查询其他用户组），从而既实现治理灵活性，又确保了治理的可控性。

■上网策略强制继承

总裁要求整个公司都不同意使用QQ，但如何确保“禁止QQ”这条上网行为治理策略能够在众多部门对应的AC用户分组上得到实施，同时确保“禁止QQ”的策略可不能被部门治理员修改、删除、绕过？这通过SANGFOR AC的上网策略强制继承轻松实现。子组从父组强制继承的上网策略将无法修改、删除、绕过，即使新加“开通QQ”的策略也无济于事。严格的上网策略操纵关心组织更好使用互联网。

■SC集中治理平台

大型组织在总部、分支机构往往会部署多台SANGFOR AC上网行为治理设备，通过深信服SC-AC集中治理平台能够实现全网数千台AC网关的集中治理、集中监控、集中配置、集中升级、集中日志等要求。从而确保分支机构无专业人员也一样快速部署、远程监控和排障，统一的上网策略能够在整个组织得到贯彻和执行，日志集中治理和审计等要求，极大的方便大型组织机构部署上网行为治理解决方案。

3功能实现

如下我们将阐述组织如何借助AC实现全面而灵活的上网行为管控与审计。基于在上网行为治理领域的丰富经验，我们强烈建

议您按照顺序阅读，如此会使上网行为的治理更具方向性，且有助于后期的治理和维护。

3.1规划用户分组结构

为了给不同用户、不同部门授予差异化的互联网访问权限，包括差异化的行为审计策略，首先要规划和建立组织的用户分组结构。能够完全按照组织的行政架构在SANGFOR AC上建立树形用户分组结构，实现父组、子组、组内套组等要求。在完成用户组的创建后，即可创建用户，并将用户分配到指定的用户组中，以实现网络访问权限的授予与继承。

用户创建的过程简单方便，除手工输入帐户方式外，AC还能够依照OU或Group读取AD域控服务器上用户组织结构，并保持与AD的自动同步，方便治理者维护AD这一套组织结构。另外AC也支持账户自动创建功能，基于新用户的源IP地址段自动将其添加到指定用户组、同时绑定IP/MAC等，继承指定的网络权限，方便了治理者和权限的操纵。用户帐号还支持生效时刻的设定、支持多人共用同一帐号等，丰富的帐号策略使得治理者能够自由的依照实际情况合理调整。

假如治理员差不多将用户信息汇总到Excel、TXT等文件中，那么他将通过AC的账户导入功能更加快捷的创建用户和分组信息。

3.2建立身份认证体系

没有严格的认证就无法有效区分用户，也就无法部署差异化