藍盾信息安全管理審計系統(tǒng)技術白皮書

1、藍盾信息安全管理審計系統(tǒng)技術白皮書 廣東天海威數(shù)碼技術有限公司藍盾信息安全管理審計系統(tǒng)技術白皮書目 錄1系統(tǒng)概述32系統(tǒng)組成32.1管理中心32.2網(wǎng)絡探針43系統(tǒng)架構43.1旁路監(jiān)聽方式接入43.2網(wǎng)關方式接入54主要功能64.1實時信息監(jiān)控審計64.1.1http協(xié)議的監(jiān)控審計64.1.2ftp協(xié)議的監(jiān)控審計74.1.3bt/電驢/迅雷等p2p傳輸工具監(jiān)控審計84.1.4音視頻監(jiān)控審計（mms/rtsp)84.1.5smtp協(xié)議的監(jiān)控審計84.1.6pop3協(xié)議的監(jiān)控審計94.1.7web_mail監(jiān)控審計94.1.8telnet協(xié)議的監(jiān)控審計104.1.9qq協(xié)議的監(jiān)控審計104.1.1

2、0msn協(xié)議的監(jiān)控審計104.1.11icq的監(jiān)控審計114.1.12yahoo messenger的監(jiān)控審計114.1.13社區(qū)/論壇的監(jiān)控審計(qq/天涯等)124.1.14游戲的監(jiān)控審計124.2病毒檢測功能124.3記錄取證功能124.4上網(wǎng)控制管理功能134.5策略規(guī)則模版管理功能134.6監(jiān)控單位管理功能134.7日志分析與管理功能134.8信息查詢功能134.9防火墻功能134.10 人性化的管理接口141 系統(tǒng)概述配合公安部報警處置中心項目的開展，廣東天海威數(shù)碼技術有限公司自主研發(fā)了“藍盾信息安全管理審計系統(tǒng)”。本系統(tǒng)綜合采用底層數(shù)據(jù)挖掘技術、數(shù)據(jù)報文捕獲技術、協(xié)議解碼還原技術

3、、內容過濾技術等先進技術，支持各種網(wǎng)絡應用協(xié)議包括：http、smtp、pop3、telnet、ftp、qq、msn等的監(jiān)測和阻斷。具有監(jiān)控、過濾、阻斷和管理功能，可以高效地發(fā)現(xiàn)和攔截各種有害/不良信息的傳播。藍盾信息安全管理審計系統(tǒng)適用于建設有局域網(wǎng)的各類上網(wǎng)場所，具體包括：學校、賓館、小區(qū)、網(wǎng)吧、政府機關、事業(yè)單位等場所。通過本系統(tǒng)的監(jiān)控，公安機關可以隨時掌握每個上網(wǎng)場所的上網(wǎng)情況，使每個上網(wǎng)場所動態(tài)處于警方小時監(jiān)控之中。本系統(tǒng)的使用不但可以屏蔽黃、賭、毒、邪黑客等不良網(wǎng)站，營造綠色網(wǎng)絡環(huán)境，維護良好的上網(wǎng)秩序，還可以為公安網(wǎng)監(jiān)部門提供一種快速、準確、可靠的技術偵查手段，從而達到打擊計算機

4、信息犯罪，確保國家信息安全的目的。2 系統(tǒng)組成藍盾信息安全管理審計系統(tǒng)主要分為兩大部分：管理中心和網(wǎng)絡探針。2.1 管理中心管理中心是藍盾信息安全管理審計系統(tǒng)的管理控制部分，用于對部署在互聯(lián)網(wǎng)上的多個網(wǎng)絡探針進行集中管理，包括控制網(wǎng)絡探針的運行、參數(shù)配置、規(guī)則庫/關鍵字庫的更新、獲取審計數(shù)據(jù)、獲取探針運行日志和統(tǒng)計數(shù)據(jù)等。系統(tǒng)平臺：windows 系列操作系統(tǒng)、ie4.0以上。2.2 網(wǎng)絡探針網(wǎng)絡探針部分采用標準專用的工控硬件設備，是藍盾信息安全管理審計系統(tǒng)的核心部件，它監(jiān)聽該網(wǎng)絡探針所在物理網(wǎng)絡上的所有通信信息，分析這些網(wǎng)絡通信信息，采用底層抓包技術，捕獲所有網(wǎng)絡數(shù)據(jù)包，根據(jù)協(xié)議的rfc文檔

5、標準進行協(xié)議分析，然后根據(jù)規(guī)則庫對有害信息或者非法網(wǎng)站進行審計過濾，實時地記錄各種有害信息或者非法網(wǎng)站的全部會話過程和數(shù)據(jù)，并根據(jù)管理中心的指令進行各種操作。系統(tǒng)平臺：*linux操作系統(tǒng)。3 系統(tǒng)架構藍盾信息安全管理審計系統(tǒng)可以根據(jù)業(yè)務需要，采用兩種方式接入：3.1 旁路監(jiān)聽方式接入網(wǎng)絡藍盾信息安全管理審計系統(tǒng)接在目標網(wǎng)絡的核心交換機鏡像口上，實時監(jiān)聽進出該網(wǎng)絡的通信數(shù)據(jù)包，進行相關協(xié)議解碼分析，由遠程控制端獲取網(wǎng)絡藍盾信息安全管理審計系統(tǒng)的審計數(shù)據(jù)、運行日志和統(tǒng)計數(shù)據(jù)等。這種接入方式對目標網(wǎng)絡（學校、賓館、小區(qū)、網(wǎng)吧等上網(wǎng)場所）進行遠程旁路監(jiān)聽，對網(wǎng)絡的性能無任何影響，適合于流量比較大的大

6、型網(wǎng)絡。3.2 網(wǎng)關方式接入網(wǎng)絡藍盾信息安全管理審計系統(tǒng)安裝在中心交換機和網(wǎng)關（路由器等）之間，對內部網(wǎng)絡的對外訪問進行全面的監(jiān)控、過濾、阻斷和管理，高效地發(fā)現(xiàn)和攔截各種有害/不良信息的傳播。這種接入方式控制能力較強，不但能對目標網(wǎng)絡（賓館、小區(qū)、網(wǎng)吧等上網(wǎng)場所）進行信息偵控，而且對有害信息能即時進行阻斷、攔截, 同時藍盾信息安全管理審計系統(tǒng)內置的防火墻對網(wǎng)絡還能起安全防護的作用, 適合于各種中小型網(wǎng)絡。 4 主要功能4.1 實時信息監(jiān)控審計藍盾信息安全管理審計系統(tǒng)可以對http、ftp、smtp、pop3、telnet、qq、msn、icq、yahoo messenger等協(xié)議和即時通信軟件

7、進行實時監(jiān)控報警，檢測和過濾相關的有害信息。4.1.1 http協(xié)議的監(jiān)控審計系統(tǒng)能對http訪問進行全面的協(xié)議解碼、分析，對壓縮了的網(wǎng)頁內容進行自動解壓，并根據(jù)設置的規(guī)則實現(xiàn)對域名、ip地址、url關鍵字、網(wǎng)頁內容和通過網(wǎng)頁發(fā)布、粘貼的內容（如bbs論壇、web mail等）進行監(jiān)控和過濾。黑名單包括ip黑名單和站點黑名單，可將一些反動、黃色等站點列入黑名單，限制對其訪問，必要時還可對其訪問內容進行監(jiān)控、記錄。白名單過濾不進行監(jiān)控的網(wǎng)站名或ip地址，可將一些大型、知名網(wǎng)站列入白名單，系統(tǒng)將不對其進行監(jiān)控，節(jié)省系統(tǒng)處理時間，提高系統(tǒng)效率。url關鍵字url串中包含有很多重要內容，如帳號、郵箱地

8、址、論壇上傳的內容等，所以對url基于關鍵字的監(jiān)控和過濾可以獲取不少有用的信息。網(wǎng)頁內容關鍵字主要是對網(wǎng)頁內容中包含的關鍵字的監(jiān)控和過濾。網(wǎng)站提供的服務，往往在網(wǎng)頁的內容文字上有所表現(xiàn)，所以此功能不但能過濾一些反動、黃色的信息，而且能發(fā)現(xiàn)一些提供非法服務（如賭博）的網(wǎng)站。4.1.2 ftp協(xié)議的監(jiān)控審計系統(tǒng)能對ftp站點、ip地址、ftp帳號、ftp傳送的文件名和文件內容進行監(jiān)控和過濾。ftp站點黑名單系統(tǒng)能對一些非法ftp站點進行監(jiān)控和過濾。包括域名和ip地址。ftp文件名對特定的ftp文件名進行監(jiān)控和過濾。ftp文件內容關鍵字系統(tǒng)能對文件內容中的關鍵字進行監(jiān)控和過濾。4.1.3 bt/電驢

9、/迅雷等p2p傳輸工具監(jiān)控審計bt/電驢/迅雷等p2p傳輸工具監(jiān)控審計系統(tǒng)能對傳輸文件名進行匹配報警。4.1.4 音視頻監(jiān)控審計（mms/rtsp)音視頻監(jiān)控審計系統(tǒng)能記錄日志，也能對匹配的文件名進行報警。4.1.5 smtp協(xié)議的監(jiān)控審計系統(tǒng)能對發(fā)送的郵件進行監(jiān)控和過濾。監(jiān)控的內容包括郵件信頭中的發(fā)件人、收件人、抄送人、主題，信體的郵件正文內容、附件名、文本附件內容等。發(fā)件人地址對郵件發(fā)件人地址的監(jiān)控和過濾。收件人地址對郵件收件人地址的監(jiān)控和過濾。郵件主題中的關鍵字對郵件主題中的關鍵字的監(jiān)控和過濾。郵件內容關鍵字系統(tǒng)能對郵件內容中的關鍵字進行監(jiān)控和過濾。郵件附件文件名系統(tǒng)能對郵件附件特定的文

10、件名進行監(jiān)控和過濾。郵件附件文件內容中的關鍵字系統(tǒng)能對郵件附件文件內容中的關鍵字進行監(jiān)控和過濾。4.1.6 pop3協(xié)議的監(jiān)控審計系統(tǒng)能對接收的郵件進行監(jiān)控和過濾。監(jiān)控的內容包括郵件信頭中的發(fā)件人、收件人、抄送人、主題，信體的郵件正文內容、附件名、文本附件內容等。4.1.7 web_mail監(jiān)控審計web_mail帳號關鍵字系統(tǒng)能對特定帳號關鍵詞報警web_mail內容關鍵字系統(tǒng)能對特定內容關鍵字報警web_mail特定關鍵字內容阻斷處理系統(tǒng)能對對含特定關鍵字內容阻斷處理4.1.8 telnet協(xié)議的監(jiān)控審計系統(tǒng)能對提供telnet服務的站點、ip地址和telnet中交互的內容進行監(jiān)控和過濾。

11、同時還能對telnet用戶上、下線進行監(jiān)控、報警。telnet站點黑名單系統(tǒng)能對一些非法telnet站點進行監(jiān)控和過濾。包括域名和ip地址。telnet內容關鍵字系統(tǒng)能對telnet通信中交互的內容，進行監(jiān)控和過濾。4.1.9 qq協(xié)議的監(jiān)控審計qq用戶上下線監(jiān)控系統(tǒng)能對qq號碼在線與下線進行監(jiān)控與過濾。qq聊天室信息監(jiān)控系統(tǒng)能夠對qq聊天室的信息內容進行監(jiān)控和過濾4.1.10 msn協(xié)議的監(jiān)控審計系統(tǒng)能對msn的帳號和內容進行監(jiān)控。msn用戶上下線監(jiān)控系統(tǒng)通過對msn帳號的監(jiān)控，能實現(xiàn)對特定用戶上下線的報警。msn內容關鍵字系統(tǒng)能捕獲msn的通信內容，對內容中特定關鍵字進行監(jiān)控和過濾。4.1

12、.11 icq的監(jiān)控審計系統(tǒng)能對icq的帳號和內容進行監(jiān)控。icq用戶上下線監(jiān)控系統(tǒng)通過對icq帳號的監(jiān)控，能實現(xiàn)對特定用戶上下線的報警。icq內容關鍵字系統(tǒng)能捕獲icq的通信內容，對內容中特定關鍵字進行監(jiān)控和過濾。4.1.12 yahoo messenger的監(jiān)控審計yahoo messenger用戶上下線監(jiān)控系統(tǒng)通過對yahoo messenger帳號的監(jiān)控，能實現(xiàn)對特定用戶上下線的報警。yahoo messenger內容關鍵字系統(tǒng)能實時捕獲所有的聊天信息，包括普通聊天信息、會議信息和聊天室信息等，并對內容中特定的關鍵字進行監(jiān)控和過濾。4.1.13 社區(qū)/論壇的監(jiān)控審計(qq/天涯等)社區(qū)

13、/論壇的監(jiān)控審計系統(tǒng)能隊特定帳號關鍵詞報警社區(qū)/論壇的監(jiān)控審計系統(tǒng)能對張貼含特定關鍵詞的內容報警社區(qū)/論壇的監(jiān)控審計系統(tǒng)能對張貼含特定關鍵詞的內容進行屏蔽處理4.1.14 游戲的監(jiān)控審計藍盾信息安全管理審計系統(tǒng)將支持各種國內流行的大型網(wǎng)絡游戲的監(jiān)控，包括指定的玩家id的上下線監(jiān)控和游戲過程中的聊天信息的內容監(jiān)控和過濾。主要支持的游戲包括：盛大的傳奇世界、浩方、網(wǎng)易公司的大話西游、九城的魔獸世界、新浪樂谷的天堂等。4.2 病毒檢測功能藍盾信息安全管理審計系統(tǒng)具有病毒檢測功能，系統(tǒng)配備了內嵌式病毒過濾引擎和外掛式病毒過濾引擎。內嵌式病毒過濾引擎，帶有病毒特征模式庫，能過濾常見的2萬多種網(wǎng)絡病毒。外

14、掛式病毒過濾引擎提供病毒過濾接口，能與賽門鐵克等病毒過濾引擎連接，滿足用戶防網(wǎng)絡病毒的需求。4.3 記錄取證功能藍盾信息安全管理審計系統(tǒng)能滿足公安網(wǎng)監(jiān)部門對上網(wǎng)用戶上網(wǎng)行為審計備案的要求，有效發(fā)現(xiàn)、定位有害信息源頭、為公安部門偵查破案和追蹤黑客提供了一套有力的技術手段，具有犯罪取證功能。4.4 上網(wǎng)控制管理功能藍盾信息安全管理審計系統(tǒng)具有十分靈活而全面的上網(wǎng)控制管理功能，如記錄上網(wǎng)人員常用的網(wǎng)絡活動，上網(wǎng)網(wǎng)站、網(wǎng)上聊天、收發(fā)郵件等；規(guī)定人員上網(wǎng)行為；如過濾黃色、反動網(wǎng)站和關鍵詞；詳細記錄由收發(fā)工具（指outlook 、foxmail等）所收發(fā)的郵件（含內容和附件）；詳細記錄ftp上傳和下載文件

15、；可看到msn聊天的內容，網(wǎng)絡流量的記錄等。4.5 策略規(guī)則模版管理功能藍盾信息安全管理審計系統(tǒng)遠程控制端可以對各個監(jiān)控點的審計策略進行統(tǒng)一管理，遠程控制端對審計策略做的任何更新維護操作都將直接下發(fā)到各個監(jiān)控點。通過遠程控制端也可對監(jiān)控端進行單獨管理，定制、添加和管理規(guī)則策略。4.6 監(jiān)控單位管理功能藍盾信息安全管理審計系統(tǒng)通過遠程控制端可統(tǒng)一管理各個監(jiān)控點單位的信息和運行情況，包括在線情況、報警信息處理、預警信息發(fā)布、規(guī)則下發(fā)等等。4.7 日志分析與管理功能藍盾信息安全管理審計系統(tǒng)可以生成詳細的網(wǎng)絡信息日志和系統(tǒng)運行日記，方便對整個系統(tǒng)的監(jiān)控情況和每段時間運行狀況查看，保證對整個系統(tǒng)的管理、維護。4.8 信息查詢功能藍盾信息安全管理審計系統(tǒng)提供對系統(tǒng)的報警信息、預警信息、規(guī)則策略、