天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)解決方案公共場(chǎng)所安全審計(jì)

1、天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)旅業(yè)、酒店等公共場(chǎng)所上網(wǎng)安全審計(jì)解決方案（Version ）天訊瑞達(dá)通信技術(shù)有限公司網(wǎng)址：Copy right 2006 Guangdong Telecom Science & Technology Development Co., Ltd2006年3月版權(quán)聲明天訊瑞達(dá)通信技術(shù)有限公司版權(quán)所有，保留一切權(quán)力。未經(jīng)天訊瑞達(dá)通信技術(shù)有限公司同意不得擅自復(fù)制、傳播。信息反饋對(duì)我們的產(chǎn)品如有任何寶貴意見(jiàn)或建議，請(qǐng)反饋：Email: 地址：廣州市天河區(qū)珠江新城華利路19號(hào)三樓 電話真 錄 TOC o 1-3 h z HYPERL

2、INK l _Toc105575294 第一章 賓館、酒店等上網(wǎng)服務(wù)場(chǎng)所的現(xiàn)狀 PAGEREF _Toc105575294 h 4 HYPERLINK l _Toc105575295 第二章 需求分析與解決方案 PAGEREF _Toc105575295 h 5 HYPERLINK l _Toc105575296 2.1 上網(wǎng)服務(wù)場(chǎng)所安全管理的幾種主要需求 PAGEREF _Toc105575296 h 5 HYPERLINK l _Toc105575297 2.2 解決方案 PAGEREF _Toc105575297 h 5 HYPERLINK l _Toc105575298 2.3 實(shí)施需

3、要解決的幾種問(wèn)題及解決辦法 PAGEREF _Toc105575298 h 6 HYPERLINK l _Toc105575299 第三章 天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)介紹 PAGEREF _Toc105575299 h 9 HYPERLINK l _Toc105575300 3.1 天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)簡(jiǎn)介 PAGEREF _Toc105575300 h 9 HYPERLINK l _Toc105575301 3.2 天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)的特點(diǎn) PAGEREF _Toc105575301 h 9 HYPERLINK l _Toc105575302 3.2.1 全模塊化設(shè)計(jì)，擴(kuò)展性極高 PAGEREF

4、 _Toc105575302 h 9 HYPERLINK l _Toc105575303 3.2.2 簡(jiǎn)潔、高效的工作模式 PAGEREF _Toc105575303 h 9 HYPERLINK l _Toc105575304 3.2.3 自主設(shè)計(jì)的規(guī)則語(yǔ)言 PAGEREF _Toc105575304 h 10 HYPERLINK l _Toc105575305 3.2.4 多種阻斷手段 PAGEREF _Toc105575305 h 10 HYPERLINK l _Toc105575306 3.2.5 高度的整合性及穩(wěn)定性 PAGEREF _Toc105575306 h 10 HYPERLI

5、NK l _Toc105575307 支持基于帳號(hào)的審計(jì) PAGEREF _Toc105575307 h 10 HYPERLINK l _Toc105575308 2.2.7 安裝簡(jiǎn)單、即插即用、WEB管理 PAGEREF _Toc105575308 h 11 HYPERLINK l _Toc105575309 2.2.8 性能卓越 PAGEREF _Toc105575309 h 11 HYPERLINK l _Toc105575310 3.3 天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)的主要功能 PAGEREF _Toc105575310 h 11 HYPERLINK l _Toc105575311 3.3.1

6、事件日志 PAGEREF _Toc105575311 h 11 HYPERLINK l _Toc105575312 3.3.2 統(tǒng)計(jì)圖表 PAGEREF _Toc105575312 h 12 HYPERLINK l _Toc105575313 3.3.3 行為控制（規(guī)則動(dòng)作） PAGEREF _Toc105575313 h 12 HYPERLINK l _Toc105575314 3.3.4 防火墻策略 PAGEREF _Toc105575314 h 14 HYPERLINK l _Toc105575315 3.3.5 系統(tǒng)管理 PAGEREF _Toc105575315 h 14 HYPER

7、LINK l _Toc105575316 3.4自主設(shè)計(jì)的規(guī)則語(yǔ)言介紹 PAGEREF _Toc105575316 h 15 HYPERLINK l _Toc105575317 第四章 天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)的實(shí)施 PAGEREF _Toc105575317 h 16 HYPERLINK l _Toc105575318 4.1實(shí)施簡(jiǎn)介 PAGEREF _Toc105575318 h 16 HYPERLINK l _Toc105575319 4.2 兩種典型連接方案 PAGEREF _Toc105575319 h 16 HYPERLINK l _Toc105575320 4.2.1 透明網(wǎng)橋連接方

8、式 PAGEREF _Toc105575320 h 16 HYPERLINK l _Toc105575321 4.2.2 旁路監(jiān)聽(tīng)模式（HUB或交換機(jī)鏡像口） PAGEREF _Toc105575321 h 17第一章 賓館、酒店等上網(wǎng)服務(wù)場(chǎng)所的現(xiàn)狀隨著網(wǎng)絡(luò)技術(shù)的發(fā)展，寬帶已經(jīng)進(jìn)入了各個(gè)賓館、酒店等場(chǎng)所，具有一定規(guī)模的賓館、酒店提供了上互連網(wǎng)的服務(wù)。從目前上網(wǎng)的情況看，大概有一下幾種情況。第一種情況、簡(jiǎn)單的內(nèi)部局域網(wǎng)，客房、娛樂(lè)、休閑場(chǎng)所、業(yè)務(wù)網(wǎng)簡(jiǎn)單地通過(guò)交換機(jī)或是集線器連接在同一個(gè)局域網(wǎng)，沒(méi)有做子網(wǎng)或虛擬子網(wǎng)或端口隔離，Internet接入采用寬帶路由器，寬帶路由器實(shí)現(xiàn)Internet接入、

9、DHCP工作站IP地址動(dòng)態(tài)分配。第二種情況、內(nèi)部局域網(wǎng)做一定的管理、網(wǎng)絡(luò)劃分、對(duì)外具有一定的網(wǎng)絡(luò)安全隔離（如：防火墻等），對(duì)提供上網(wǎng)方面一般都是采用DHCP進(jìn)行分配IP地址。以上兩種情況，對(duì)上網(wǎng)者具體做了那些網(wǎng)絡(luò)行為都不知道。由于賓館、酒店是一種流動(dòng)人員活動(dòng)的地方，使得上網(wǎng)瀏覽信息、發(fā)布信息難以控制，也是一些網(wǎng)絡(luò)犯罪嫌疑犯常出現(xiàn)的地方。公安網(wǎng)絡(luò)安全監(jiān)察部門(mén)對(duì)這些場(chǎng)所上網(wǎng)進(jìn)行規(guī)范、上網(wǎng)安全審計(jì)、觸警報(bào)警具有迫切的需要。賓館、酒店等場(chǎng)所與Internet網(wǎng)絡(luò)接入與普通的網(wǎng)絡(luò)接入是一樣的，一般采用具有固定IP地址的專(zhuān)線，一種是采用撥號(hào)的動(dòng)態(tài)IP分配（如：寬帶LAN、ADSL等）。無(wú)論采用什么接入方式

10、，最終內(nèi)網(wǎng)上外網(wǎng)都需要一個(gè)路由器（防火墻）做網(wǎng)關(guān)。賓館、酒店等場(chǎng)所的上網(wǎng)主要體現(xiàn)在以上兩個(gè)特點(diǎn)：移動(dòng)性：消費(fèi)者自帶筆記本電腦，一般采用DHCP動(dòng)態(tài)地址分配，便于使用。不固定性：每一個(gè)房間不同時(shí)期都有不同消費(fèi)者使用，難以識(shí)別上網(wǎng)者。這樣決定了不能在工作站電腦上安裝任何軟件，而且在網(wǎng)絡(luò)部署網(wǎng)絡(luò)審計(jì)或監(jiān)控系統(tǒng)不容易給上網(wǎng)者發(fā)覺(jué)，同時(shí)對(duì)賓館、酒店管理要比較方便，才便于推廣。第二章 需求分析與解決方案針對(duì)賓館、酒店等上網(wǎng)服務(wù)場(chǎng)所的網(wǎng)絡(luò)安全管理，廣東天訊電信科技有限公司研發(fā)了一套專(zhuān)門(mén)適合于賓館、酒店等場(chǎng)所上網(wǎng)安全管理系統(tǒng)，實(shí)現(xiàn)了上網(wǎng)的安全審計(jì)、報(bào)警、處置功能、網(wǎng)絡(luò)管理功能的網(wǎng)絡(luò)行為管理系統(tǒng)。2.1 上網(wǎng)服

11、務(wù)場(chǎng)所安全管理的幾種主要需求針對(duì)賓館、酒店等上網(wǎng)服務(wù)場(chǎng)所的網(wǎng)絡(luò)安全管理，從管理部門(mén)的需要做到的幾方面需求：作為上網(wǎng)安全審計(jì)功能，將所有上網(wǎng)的日志到記錄到網(wǎng)絡(luò)安全管理系統(tǒng)，以便日后做查詢(xún)、分析、以及追蹤，為安全事件、偵查部門(mén)提供第一手資料和證據(jù)。報(bào)警功能，符合管理部門(mén)（公安機(jī)關(guān)）部署的網(wǎng)絡(luò)策略，將作出相應(yīng)的報(bào)警信息，為管理部門(mén)（公安機(jī)關(guān)）提供實(shí)時(shí)信息，為作出下一步行動(dòng)提供可靠信息。處置功能，對(duì)一些敏感信息、反動(dòng)信息的瀏覽或發(fā)布必須做及時(shí)的處置，防止非法信息散發(fā)影響社會(huì)，以及對(duì)觸警者進(jìn)一步追查。信息的定位和可追溯性。一旦需要定位到某個(gè)對(duì)象，管理系統(tǒng)應(yīng)該能夠很方便的將相關(guān)的資料獲取到，可以獲得某個(gè)被

12、監(jiān)控目標(biāo)的網(wǎng)絡(luò)行為和證據(jù)。（數(shù)據(jù)中心）對(duì)可疑目標(biāo)的數(shù)據(jù)采集及輔助分析、監(jiān)控報(bào)警。在數(shù)據(jù)中心部署監(jiān)控對(duì)象的策略，然后發(fā)布到各個(gè)監(jiān)控端（網(wǎng)絡(luò)行為管理系統(tǒng)），一旦目標(biāo)上網(wǎng)，將觸發(fā)監(jiān)控策略，將可以發(fā)出報(bào)警信息、保存數(shù)據(jù)、目標(biāo)鎖定定位等到數(shù)據(jù)中心。為公安機(jī)關(guān)采取進(jìn)一步行動(dòng)提供準(zhǔn)確、實(shí)時(shí)的信息。2.2 解決方案針對(duì)安全審計(jì)方面，實(shí)現(xiàn)對(duì)常用互聯(lián)網(wǎng)協(xié)議、常用實(shí)時(shí)通訊、常用網(wǎng)絡(luò)游戲等三大部分的審計(jì)。安全審計(jì)方面是天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)的一個(gè)最基本功能。目前系統(tǒng)已經(jīng)實(shí)現(xiàn)了對(duì)常用互聯(lián)網(wǎng)協(xié)議進(jìn)行審計(jì)的有：HTTP(網(wǎng)頁(yè)瀏覽、表單提交、Webmail)、FTP(文件傳輸)、SMTP(發(fā)送郵件)、POP3(接受郵件)、Te

13、lnet(遠(yuǎn)程主機(jī)登陸、BBS)；常用實(shí)時(shí)通訊的審計(jì)有：QQ、MSN、Yahoo Messger等；常用網(wǎng)絡(luò)游戲：聯(lián)眾游戲、中國(guó)游戲等。隨著版本的升級(jí)將會(huì)增加更多的實(shí)時(shí)通訊和網(wǎng)絡(luò)游戲的審計(jì)。報(bào)警處置功能方面天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)實(shí)現(xiàn)了多種報(bào)警方式，實(shí)時(shí)后臺(tái)報(bào)警（或屏幕報(bào)警）、電子郵件報(bào)警、手機(jī)短信報(bào)警（以后可以支持、需要增加手機(jī)短信硬件模塊）；報(bào)警具有很強(qiáng)的可管理性，不是基于系統(tǒng)固定方式的報(bào)警內(nèi)容，而是基于每條監(jiān)控策略的自定義方式，使得操作性很強(qiáng)大。處置功能：對(duì)匹配到的監(jiān)控策略將按照策略做出相應(yīng)的處置功能，如阻斷連接、保存數(shù)據(jù)。系統(tǒng)對(duì)重要協(xié)議作到更深入的分析，實(shí)現(xiàn)了對(duì)網(wǎng)頁(yè)內(nèi)容、表單提交內(nèi)容、發(fā)送

14、郵件、接收郵件的審計(jì)分析、阻斷、報(bào)警等。使得規(guī)則策略的控制更深入、更全面、更有效。審計(jì)信息的定位和可追溯性：所有審計(jì)信息都記錄到系統(tǒng)的存儲(chǔ)器上，普通的審計(jì)信息只做日志，不保存原始內(nèi)容信息，對(duì)符合規(guī)則策略，根據(jù)策略的要求可以做數(shù)據(jù)的保存，使得信息可以得到還原。所有審計(jì)日志，系統(tǒng)不提供刪除操作，系統(tǒng)具有自動(dòng)維護(hù)的機(jī)制，最少保存60天日志。數(shù)據(jù)中心方面：數(shù)據(jù)中心也叫后臺(tái)系統(tǒng)，實(shí)現(xiàn)對(duì)各個(gè)使用單位的網(wǎng)絡(luò)安全系統(tǒng)進(jìn)行集中管理、統(tǒng)一部署、采集數(shù)據(jù)、查詢(xún)分析日志等功能。安裝在使用單位的系統(tǒng)是作為探針，天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)支持與數(shù)據(jù)中心進(jìn)行聯(lián)接。2.3 實(shí)施需要解決的幾種問(wèn)題及解決辦法賓館、酒店等上網(wǎng)服務(wù)場(chǎng)所的

15、網(wǎng)絡(luò)安全管理在實(shí)際實(shí)施中遇到問(wèn)題或需要解決的問(wèn)題。如何定位目標(biāo)上網(wǎng)者的網(wǎng)絡(luò)位置，從而獲得目標(biāo)上網(wǎng)的網(wǎng)絡(luò)行為日志？通過(guò)獲得上網(wǎng)者的出口IP地址，可以定位為上網(wǎng)者的區(qū)域范圍，如：哪個(gè)城市。通過(guò)IP地址的進(jìn)一步分析（或網(wǎng)絡(luò)提供商）可以定位為哪個(gè)單位，如：寬帶LAN上網(wǎng)與電信提供的寬帶帳號(hào)確定使用單位。通過(guò)使用單位的網(wǎng)絡(luò)連接結(jié)構(gòu)，可以將交換機(jī)的連接端口與房間號(hào)的信息插座建立對(duì)應(yīng)關(guān)系，實(shí)現(xiàn)設(shè)備端口與房間號(hào)的對(duì)應(yīng)。通過(guò)天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)與交換機(jī)（必須有此功能支持的可管理交換）端口（房間號(hào)）可以定位出某特定時(shí)間段（住宿時(shí)間）上網(wǎng)的物理地址（電腦網(wǎng)卡MAC地址）。通過(guò)天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)可以定位出某個(gè)上網(wǎng)者

16、的所有網(wǎng)絡(luò)行為日志。 對(duì)某個(gè)可疑目標(biāo)對(duì)象的全面上網(wǎng)信息收集，從而部署動(dòng)作呢？要對(duì)目標(biāo)對(duì)象進(jìn)行全面監(jiān)控，必須有全面的監(jiān)控點(diǎn)和數(shù)據(jù)中心（后臺(tái)）。如：一開(kāi)始對(duì)目標(biāo)對(duì)象只有簡(jiǎn)單的信息，很難了解到可疑目標(biāo)所做的網(wǎng)絡(luò)行為。這時(shí)，可以通過(guò)網(wǎng)絡(luò)行為管理系統(tǒng)逐步搜集目標(biāo)對(duì)象的網(wǎng)絡(luò)行為。如：能夠知道該可疑目標(biāo)對(duì)象的QQ號(hào)碼，可以在數(shù)據(jù)中心部署一條規(guī)則，如：QQ號(hào)碼為：12345678，則系統(tǒng)報(bào)警到數(shù)據(jù)后臺(tái)。一旦目標(biāo)對(duì)象一上線，數(shù)據(jù)后臺(tái)則接收到報(bào)警信息，然后后臺(tái)系統(tǒng)可以啟動(dòng)采用目標(biāo)對(duì)象所在的使用單位的網(wǎng)絡(luò)行為管理系統(tǒng)的審計(jì)日志，得到了目標(biāo)對(duì)象的所有網(wǎng)絡(luò)行為日志，可以得知目標(biāo)對(duì)象的更多信息（如：瀏覽哪些網(wǎng)站、web提

17、交哪些信息、發(fā)送哪些郵件、接收哪些郵件、有那些網(wǎng)絡(luò)游戲帳號(hào)），從而收發(fā)郵件方面，能進(jìn)一步分析出與那些人進(jìn)行聯(lián)系，從網(wǎng)絡(luò)游戲帳號(hào)中也可以了解到網(wǎng)絡(luò)的虛擬身份等方面。根據(jù)從各個(gè)地方采集到的網(wǎng)絡(luò)行為日志，可以進(jìn)一步分析出目標(biāo)對(duì)象一段時(shí)間范圍的行蹤。第一種方法：基于硬件支持的網(wǎng)絡(luò)環(huán)境解決方案，需要使用方網(wǎng)絡(luò)設(shè)備的支持?？赡軐?duì)初期投入增大，但是日常管理維護(hù)方便。如下面示意圖（圖2-1）。第二種方法：基于登陸驗(yàn)證帳號(hào)的解決方案，需要增加登陸驗(yàn)證帳號(hào)或開(kāi)通，需要人員維護(hù)管理，增大維護(hù)成本。如下面示意圖（圖2-2）?；谟布С值木W(wǎng)絡(luò)環(huán)境解決方案Internet使用單位：ABC酒店數(shù)據(jù)中心（后臺(tái)）采集數(shù)據(jù)策略

18、部署探針管理上網(wǎng)路由/網(wǎng)關(guān)鴻雁網(wǎng)絡(luò)行為管理系統(tǒng)端口綁定IP地址、動(dòng)態(tài)地址分配可管理交換機(jī)-1可管理交換機(jī)-2Port:2-8房間號(hào)：No.408信息插座408網(wǎng)卡：MAC電腦/客戶(hù)機(jī)（筆記本電腦）圖2-1基于登陸驗(yàn)證帳號(hào)的解決方案Internet使用單位：ABC酒店登記開(kāi)通登陸帳號(hào)（或與治安聯(lián)接）數(shù)據(jù)中心（后臺(tái)）采集數(shù)據(jù)策略部署探針管理上網(wǎng)路由/網(wǎng)關(guān)啟用驗(yàn)證功能鴻雁網(wǎng)絡(luò)行為管理系統(tǒng)審計(jì)記錄所有登陸用戶(hù)名交換機(jī)-1交換機(jī)-2房間號(hào)：No.408信息插座408先登陸驗(yàn)證，才能上網(wǎng)網(wǎng)卡：MAC電腦/客戶(hù)機(jī)（筆記本電腦）圖2-2第三章 天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)介紹3.1 天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)簡(jiǎn)介天網(wǎng)網(wǎng)絡(luò)行

19、為管理系統(tǒng)，就是對(duì)網(wǎng)絡(luò)使用者的網(wǎng)絡(luò)行為進(jìn)行記錄、控制、限制等管理，達(dá)到上網(wǎng)安全審計(jì)、上網(wǎng)信息過(guò)濾、上網(wǎng)行為規(guī)范。對(duì)常用上網(wǎng)協(xié)議服務(wù)：瀏覽網(wǎng)頁(yè)、WEB表單提交、郵件外發(fā)(SMTP)、接收郵件(POP3)、文件上傳下載傳輸(FTP)、遠(yuǎn)程主機(jī)登陸(TELNET)、即時(shí)通訊（聊天軟件QQ、MSN）、常用在線游戲等進(jìn)行安全審計(jì)，對(duì)符合設(shè)定的規(guī)則進(jìn)行動(dòng)作（阻斷、保存數(shù)據(jù)、報(bào)警等）等信息過(guò)濾。系統(tǒng)內(nèi)置防火墻實(shí)現(xiàn)基于IP/子網(wǎng)策略、基于部門(mén)/分組策略、基于用戶(hù)帳號(hào)策略，實(shí)現(xiàn)對(duì)（員工）上網(wǎng)行為進(jìn)行策略規(guī)范。天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)根據(jù)使用單位的不同側(cè)重點(diǎn)，分成公安版和企業(yè)版。公安版重點(diǎn)在于審計(jì)功能及規(guī)則觸發(fā)報(bào)警。

20、企業(yè)版不但具有安全審計(jì)及規(guī)則觸發(fā)報(bào)警之外，具有用戶(hù)驗(yàn)證及上網(wǎng)行為規(guī)范策略，可以根據(jù)子網(wǎng)/IP地址定義一組上網(wǎng)策略、根據(jù)部門(mén)或工作組定義一組上網(wǎng)策略、根據(jù)個(gè)別員工定義上網(wǎng)策略。隨著網(wǎng)絡(luò)技術(shù)和信息技術(shù)的快速發(fā)展，網(wǎng)絡(luò)行為具有好的一方面，也有壞的一方面，網(wǎng)絡(luò)行為已經(jīng)變得越來(lái)越復(fù)雜，管理網(wǎng)絡(luò)行為也是勢(shì)在必行,對(duì)于網(wǎng)絡(luò)管理者和網(wǎng)絡(luò)管理部門(mén)顯得很重要。天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)就是滿足此需求而研發(fā)的新一代網(wǎng)絡(luò)行為管理系統(tǒng)。3.2 天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)的特點(diǎn) 全模塊化設(shè)計(jì)，擴(kuò)展性極高系統(tǒng)內(nèi)部采用全模塊化設(shè)計(jì)，數(shù)據(jù)引擎模塊獲取線路上流過(guò)的數(shù)據(jù)包，并將數(shù)據(jù)包進(jìn)行IP碎片重組、TCP流重組等處理，分發(fā)給各個(gè)協(xié)議分析模塊

21、進(jìn)行分析。 目前已經(jīng)實(shí)現(xiàn)了HTTP、SMTP、POP3、TELNET、FTP、QQ、MSN、Yahoo！等常用協(xié)議共25個(gè)模塊。以后支持的協(xié)議將會(huì)隨著開(kāi)發(fā)越來(lái)越多。上述各大功能均有相應(yīng)獨(dú)立的功能模塊，用戶(hù)可根據(jù)自己的需要進(jìn)行增加、擴(kuò)展，能滿足不同需求的使用單位。 簡(jiǎn)潔、高效的工作模式本系統(tǒng)的工作模式可以概括為六個(gè)字：事件規(guī)則動(dòng)作。即是：用戶(hù)的網(wǎng)絡(luò)活動(dòng)產(chǎn)生事件，事件的產(chǎn)生觸發(fā)了設(shè)定的規(guī)則，最后系統(tǒng)根據(jù)規(guī)則做出反應(yīng)動(dòng)作。 自主設(shè)計(jì)的規(guī)則語(yǔ)言為了實(shí)現(xiàn)更強(qiáng)大、靈活、易用的規(guī)則，我們?cè)O(shè)計(jì)了規(guī)則語(yǔ)言，并自行開(kāi)發(fā)了規(guī)則語(yǔ)言的編譯器和虛擬機(jī)。為了提高規(guī)則匹配的速度，規(guī)則編譯器將規(guī)則語(yǔ)言編譯成中間代碼，運(yùn)行時(shí)虛

22、擬機(jī)運(yùn)行的是中間代碼，大大提高了匹配的速度。規(guī)則語(yǔ)言支持嵌套的邏輯與、或、非運(yùn)算，支持字符串、數(shù)字、布爾型的比較運(yùn)算，大大提高了系統(tǒng)對(duì)規(guī)則的描述能力。 多種阻斷手段為了使系統(tǒng)在橋接模式和旁路模式下都能對(duì)連接進(jìn)行阻斷，我們采用了內(nèi)置防火墻和欺騙包相結(jié)合的阻斷手段，在橋接模式采用內(nèi)置防火墻，能夠徹底阻斷所有數(shù)據(jù)包的通過(guò)，而在旁路模式下，采用發(fā)送RST欺騙包給連接雙方，可以阻斷TCP連接。 高度的整合性及穩(wěn)定性一些廠家產(chǎn)品系統(tǒng)使用了Squid、Postfix等第三方軟件來(lái)處理HTTP、SMTP等協(xié)議，雖然節(jié)省了可觀的開(kāi)發(fā)投入，但這些軟件只能工作在代理模式下，極易使系統(tǒng)成為網(wǎng)絡(luò)的瓶頸，同時(shí)應(yīng)用程序的不

23、穩(wěn)定將造成網(wǎng)絡(luò)的癱瘓，同時(shí)系統(tǒng)內(nèi)部的整合也顯得混亂?？紤]到這些因素，我們投入了大量的時(shí)間，所有協(xié)議分析模塊都自行開(kāi)發(fā)，實(shí)現(xiàn)內(nèi)部統(tǒng)一的模塊接口，可以工作在橋接、旁聽(tīng)模式下，大大降低系統(tǒng)對(duì)網(wǎng)絡(luò)的影響，也提高了整個(gè)系統(tǒng)的整合度及穩(wěn)定性。支持基于帳號(hào)的審計(jì)很多情況下，雖然我們可以基于IP和MAC地址對(duì)網(wǎng)絡(luò)活動(dòng)進(jìn)行記錄和控制，但很多情況下我們無(wú)法得知某個(gè)IP的使用者是誰(shuí)，而在客戶(hù)機(jī)經(jīng)常變動(dòng)的情況下，基于MAC地址的控制也無(wú)法實(shí)現(xiàn)，例如在賓館酒店這些場(chǎng)所。Honya行為管理系統(tǒng)支持基于帳號(hào)的審計(jì)和控制，用戶(hù)在訪問(wèn)網(wǎng)絡(luò)前須提供用戶(hù)名和密碼進(jìn)行驗(yàn)證，系統(tǒng)會(huì)將網(wǎng)絡(luò)活動(dòng)連同用戶(hù)名記錄下來(lái)，這樣無(wú)論用戶(hù)使用了哪個(gè)I

24、P，我們都可以知道是哪個(gè)用戶(hù)進(jìn)行了哪些網(wǎng)絡(luò)活動(dòng)。 安裝簡(jiǎn)單、即插即用、WEB管理本系統(tǒng)是一套獨(dú)立的硬件系統(tǒng)，無(wú)需專(zhuān)用的管理程序和管理平臺(tái)；對(duì)用戶(hù)的操作系統(tǒng)平臺(tái)沒(méi)有特別要求；用戶(hù)可完全保留現(xiàn)有的網(wǎng)絡(luò)結(jié)構(gòu)和配置；可以采用透明網(wǎng)橋模式，也可以作為旁路偵聽(tīng)模式。所有管理都是基于WEB界面。 性能卓越采用先進(jìn)的架構(gòu)及算法，在理想的網(wǎng)絡(luò)環(huán)境下，系統(tǒng)基本上接近線速，對(duì)網(wǎng)絡(luò)的影響很小。3.3 天網(wǎng)網(wǎng)絡(luò)行為管理系統(tǒng)的主要功能 事件日志網(wǎng)絡(luò)活動(dòng)日志：滾動(dòng)式地顯示出當(dāng)前網(wǎng)絡(luò)的活動(dòng)情況，以及包含常用各種服務(wù)協(xié)議的狀態(tài)。HTTP日志：默認(rèn)列出當(dāng)天所有http會(huì)話，包括：源ip、源port、目的ip、目的port、URL

25、、訪問(wèn)時(shí)間、（登陸名、姓名、部門(mén)、組名），多條件組合查詢(xún)所有歷史審計(jì)日志。 WEB提交日志：默認(rèn)列出當(dāng)天所有http會(huì)話，包括：源ip、源port、目的ip、目的port、主機(jī)、訪問(wèn)時(shí)間、下載內(nèi)容、（登陸名、姓名、部門(mén)、組名）。多條件組合查詢(xún)所有歷史日志。FTP文件傳輸日志：默認(rèn)列出當(dāng)天所有ftp會(huì)話，包括：源ip、源port、目的ip、目的port、訪問(wèn)時(shí)間、ftp帳號(hào)、文件名稱(chēng)、上行或下行，并提供上、下行內(nèi)容的下載、（登陸名、姓名、部門(mén)、組名）；多條件組合查詢(xún)所有歷史ftp審計(jì)日志。TELNET日志：默認(rèn)列出當(dāng)天所有telnet會(huì)話，包括：源ip、源port、目的ip、目的port、登陸時(shí)

26、間、退出時(shí)間、帳號(hào)、（登陸名、姓名、部門(mén)、組名）；多條件組合查詢(xún)所有歷史telnet審計(jì)日志。SMTP(發(fā)送郵件)日志：默認(rèn)列出當(dāng)天所有smtp會(huì)話，以郵件為單位，包括源ip、源port、目的ip、目的port、訪問(wèn)時(shí)間、郵件主題、發(fā)件人、收件人、郵件大小、有無(wú)附件, 并提供郵件內(nèi)容的下載、（登陸名、姓名、部門(mén)、組名）；多條件組合查詢(xún)所有歷史smtp(發(fā)送郵件)審計(jì)日志。POP3（接收郵件）日志：默認(rèn)列出當(dāng)天所有pop3會(huì)話，以郵件為單位，包括源ip、源port、目的ip、目的port、訪問(wèn)時(shí)間、郵件主題、用戶(hù)名、發(fā)件人、收件人、郵件大小（編碼后）、有無(wú)附件，并提供郵件內(nèi)容的下載、（登陸名、姓

27、名、部門(mén)、組名）；多條件組合查詢(xún)所有歷史pop3(收郵件)審計(jì)日志即時(shí)通訊日志：能夠列出當(dāng)天所有即時(shí)通訊（如：QQ、MSN等）登錄情況：包括：源ip，源port，目的ip，目的port，客戶(hù)機(jī)MAC地址、用戶(hù)標(biāo)識(shí)、上線時(shí)間、下線時(shí)間、流量、（登陸名、姓名、部門(mén)、組名）；多條件組合查詢(xún)所有歷史審計(jì)日志。 網(wǎng)絡(luò)游戲日志：能夠列出當(dāng)天所有網(wǎng)絡(luò)游戲（如：聯(lián)眾等）登錄情況：包括：源ip，源port，目的ip，目的port，客戶(hù)機(jī)MAC地址、游戲類(lèi)型、帳號(hào)、登陸時(shí)間、退出時(shí)間、流量、（登陸名、姓名、部門(mén)、組名）。多條件組合查詢(xún)所有歷史審計(jì)日志。 統(tǒng)計(jì)圖表每天IP流量圖表：顯示當(dāng)天的各IP流量圖，橫軸流量（

28、單位KB），縱軸客戶(hù)端IP；報(bào)表范圍：客戶(hù)端IP，數(shù)據(jù)：上行流量，下行流量（KB）。每天端口流量圖表：顯示當(dāng)天的各服務(wù)端口的流量圖，橫軸流量（單位KB），縱軸為服務(wù)端口；報(bào)表范圍：服務(wù)端口，數(shù)據(jù)：上行流量，下行流量（KB）。每小時(shí)IP流量圖表：顯示某一客戶(hù)端IP一天小時(shí)流量曲線圖，橫軸時(shí)間（單位小時(shí)），縱軸為流量(單位KB)；報(bào)表范圍：時(shí)間（小時(shí)），數(shù)據(jù)：上行流量，下行流量（KB）。每小時(shí)端口流量圖表：顯示每小時(shí)的各服務(wù)端口的流量圖，橫軸流量（單位KB），縱軸為服務(wù)端口；報(bào)表范圍：服務(wù)端口，數(shù)據(jù)：上行流量，下行流量（KB）。出口流量圖表：顯示當(dāng)天的出口流量曲線圖，橫軸時(shí)間（單位小時(shí)），縱軸流量

29、（單位字節(jié)）；報(bào)表范圍：開(kāi)始結(jié)束時(shí)間，維：時(shí)間（單位：天或小時(shí)可選），數(shù)據(jù)：上行流量，下行流量（字節(jié)）。 行為控制（規(guī)則動(dòng)作）規(guī)則語(yǔ)言：為了實(shí)現(xiàn)更強(qiáng)大、靈活、易用的規(guī)則，我們?cè)O(shè)計(jì)了規(guī)則語(yǔ)言，并自行開(kāi)發(fā)了規(guī)則語(yǔ)言的編譯器和虛擬機(jī)。為了提高規(guī)則匹配的速度，規(guī)則編譯器將規(guī)則語(yǔ)言編譯成中間代碼，運(yùn)行時(shí)虛擬機(jī)運(yùn)行的是中間代碼，大大提高了匹配的速度。規(guī)則語(yǔ)言支持嵌套的邏輯與、或、非運(yùn)算，支持字符串、數(shù)字、布爾型的比較運(yùn)算，大大提高了系統(tǒng)對(duì)規(guī)則的描述能力。URL庫(kù)規(guī)則：URL過(guò)濾規(guī)則的增加、修改、刪除、分類(lèi)URL庫(kù)，用戶(hù)可以自己增加分類(lèi)和增加補(bǔ)充URL庫(kù)。HTTP規(guī)則：規(guī)則分為瀏覽網(wǎng)頁(yè)規(guī)則、網(wǎng)頁(yè)內(nèi)容規(guī)則、表

30、單提交規(guī)則。規(guī)則的定義采用規(guī)則語(yǔ)言，具有普通菜單界面模式和編輯器高級(jí)模式。瀏覽網(wǎng)頁(yè)規(guī)則可以處理的條件有：用戶(hù)名、用戶(hù)部門(mén)、用戶(hù)組、服務(wù)器IP地址、服務(wù)器端口、客戶(hù)端IP地址、客戶(hù)端端口、網(wǎng)站主機(jī)名、訪問(wèn)url等，動(dòng)作支持有：保存數(shù)據(jù)、斷開(kāi)連接、屏幕報(bào)警、郵件報(bào)警。網(wǎng)頁(yè)內(nèi)容規(guī)則可以處理的條件有：文檔類(lèi)型、網(wǎng)頁(yè)內(nèi)容、用戶(hù)名、用戶(hù)部門(mén)、用戶(hù)組、服務(wù)器IP地址、服務(wù)器端口、客戶(hù)端IP地址、客戶(hù)端端口等，動(dòng)作支持有：保存數(shù)據(jù)、斷開(kāi)連接、屏幕報(bào)警、郵件報(bào)警。表單提交規(guī)則可以處理的條件有：用戶(hù)名、用戶(hù)部門(mén)、用戶(hù)組、服務(wù)器IP地址、服務(wù)器端口、客戶(hù)端IP地址、客戶(hù)端端口、網(wǎng)站主機(jī)名、表單內(nèi)容等，動(dòng)作支持有：保

31、存數(shù)據(jù)、斷開(kāi)連接、屏幕報(bào)警、郵件報(bào)警。SMTP規(guī)則（郵件外發(fā)）：規(guī)則的定義采用規(guī)則語(yǔ)言，具有普通菜單界面模式和編輯器高級(jí)模式。目前規(guī)則可以處理的條件有：用戶(hù)名、用戶(hù)部門(mén)、用戶(hù)組、服務(wù)器IP地址、服務(wù)器端口、客戶(hù)端IP地址、客戶(hù)端端口、發(fā)件人、收件人、抄送人、郵件主題、純文本格式郵件內(nèi)容、html格式郵件內(nèi)容、郵件大小、附件名、附件數(shù)量等，動(dòng)作支持有：保存數(shù)據(jù)、斷開(kāi)連接、屏幕報(bào)警、郵件報(bào)警。 POP3規(guī)則（接收郵件）：規(guī)則的定義采用規(guī)則語(yǔ)言，具有普通菜單界面模式和編輯器高級(jí)模式。目前規(guī)則可以處理的條件有：用戶(hù)名、用戶(hù)部門(mén)、用戶(hù)組、服務(wù)器IP地址、服務(wù)器端口、客戶(hù)端IP地址、客戶(hù)端端口、郵件帳號(hào)、

32、發(fā)件人、收件人、抄送人、郵件主題、純文本格式郵件內(nèi)容、html格式郵件內(nèi)容、郵件大小、附件名、附件數(shù)量等，動(dòng)作支持有：保存數(shù)據(jù)、屏幕報(bào)警、郵件報(bào)警。FTP規(guī)則：規(guī)則的定義采用規(guī)則語(yǔ)言，具有普通菜單界面模式和編輯器高級(jí)模式。目前規(guī)則可以處理的條件有：用戶(hù)名、用戶(hù)部門(mén)、用戶(hù)組、服務(wù)器IP地址、服務(wù)器端口、客戶(hù)端IP地址、客戶(hù)端端口、FTP用戶(hù)名、上傳、下載等，動(dòng)作支持有：斷開(kāi)連接、屏幕報(bào)警、郵件報(bào)警。Telnet規(guī)則：規(guī)則的定義采用規(guī)則語(yǔ)言，具有普通菜單界面模式和編輯器高級(jí)模式。目前規(guī)則可以處理的條件有：用戶(hù)名、用戶(hù)部門(mén)、用戶(hù)組、服務(wù)器IP地址、服務(wù)器端口、客戶(hù)端IP地址、客戶(hù)端端口等，動(dòng)作支持有

33、：斷開(kāi)連接、屏幕報(bào)警、郵件報(bào)警。IM規(guī)則（即時(shí)通訊QQMSN）：規(guī)則的定義采用規(guī)則語(yǔ)言，具有普通菜單界面模式和編輯器高級(jí)模式。目前規(guī)則可以處理的條件有：用戶(hù)名、用戶(hù)部門(mén)、用戶(hù)組、通訊軟件類(lèi)型、帳號(hào)、客戶(hù)端IP地址、客戶(hù)端端口等，動(dòng)作支持有：斷開(kāi)連接、屏幕報(bào)警、郵件報(bào)警。游戲規(guī)則：規(guī)則的定義采用規(guī)則語(yǔ)言，具有普通菜單界面模式和編輯器高級(jí)模式。目前規(guī)則可以處理的條件有：用戶(hù)名、用戶(hù)部門(mén)、用戶(hù)組、軟件類(lèi)型、帳號(hào)、客戶(hù)端IP地址、客戶(hù)端端口等，動(dòng)作支持有：斷開(kāi)連接、屏幕報(bào)警、郵件報(bào)警。 防火墻策略本系統(tǒng)內(nèi)置防火墻，防火墻一方面用于與上面規(guī)則動(dòng)作進(jìn)行配合聯(lián)動(dòng)，阻斷網(wǎng)絡(luò)連接，另一方面的應(yīng)用體現(xiàn)在IP/子網(wǎng)

34、策略、部門(mén)/工作組策略、用戶(hù)個(gè)人策略。是個(gè)面向應(yīng)用的防火墻，具有良好的可管理性。IP/子網(wǎng)策略:是針對(duì)整個(gè)子網(wǎng)或單個(gè)IP做策略，策略可以是：直通；拒絕，除了以下幾種服務(wù)；允許，除了以下幾種服務(wù)。服務(wù)可以是：常用網(wǎng)絡(luò)協(xié)議（HTTP上網(wǎng)、https、FTP文件傳輸、SMTP發(fā)送郵件、SMTP發(fā)送郵件、POP3接收郵件、IMAP4郵件傳輸、windows終端服務(wù)、LADP目錄服務(wù)、QQ、icq、DNS、SQL、SSH等等）及自定義TCP服務(wù)、UDP服務(wù)。部門(mén)/組策略：針對(duì)部門(mén)或分組定義一組上網(wǎng)策略。策略可以是：直通；拒絕，除了以下幾種服務(wù)；允許，除了以下幾種服務(wù)。服務(wù)可以是：常用網(wǎng)絡(luò)協(xié)議（HTTP上

35、網(wǎng)、https、FTP文件傳輸、SMTP發(fā)送郵件、SMTP發(fā)送郵件、POP3接收郵件、IMAP4郵件傳輸、windows終端服務(wù)、LADP目錄服務(wù)、QQ、icq、DNS、SQL、SSH等等）及自定義TCP服務(wù)、UDP服務(wù)。用戶(hù)策略：針對(duì)個(gè)人帳號(hào)定義上網(wǎng)策略，帳號(hào)策略可以是按照部門(mén)或分組的默認(rèn)策略，也可以是個(gè)別定義策略。策略可以是：直通；拒絕，除了以下幾種服務(wù)；允許，除了以下幾種服務(wù)。服務(wù)可以是：常用網(wǎng)絡(luò)協(xié)議（HTTP上網(wǎng)、https、FTP文件傳輸、SMTP發(fā)送郵件、SMTP發(fā)送郵件、POP3接收郵件、IMAP4郵件傳輸、windows終端服務(wù)、LADP目錄服務(wù)、QQ、icq、DNS、SQL、

36、SSH等等）及自定義TCP服務(wù)、UDP服務(wù)。 系統(tǒng)管理網(wǎng)絡(luò)設(shè)置：設(shè)置網(wǎng)絡(luò)參數(shù)，系統(tǒng)的安裝模式，透明網(wǎng)橋或者是旁路偵聽(tīng)，設(shè)置如：IP地址、子網(wǎng)、網(wǎng)關(guān)等。通訊設(shè)置：設(shè)置與升級(jí)服務(wù)器/公安中心連接的各種參數(shù)。系統(tǒng)操作員管理：系統(tǒng)具有一個(gè)超級(jí)管理員，實(shí)現(xiàn)系統(tǒng)操作員的增加、刪除、編輯，以及各種功能模塊的使用、操作權(quán)限的授權(quán)工作。數(shù)據(jù)備份：實(shí)現(xiàn)數(shù)據(jù)庫(kù)的備份，以及遠(yuǎn)程下栽數(shù)據(jù)的功能，同時(shí)具有數(shù)據(jù)備份日志報(bào)表。磁盤(pán)空間：一方面具有磁盤(pán)空間自動(dòng)維護(hù)機(jī)制，當(dāng)存儲(chǔ)到達(dá)臨界值時(shí)，系統(tǒng)啟動(dòng)維護(hù)程序，刪除舊數(shù)據(jù)，另一方面，刪除60天舊日志。系統(tǒng)重啟：設(shè)備/系統(tǒng)的控制功能，實(shí)現(xiàn)系統(tǒng)的停止/啟動(dòng)，設(shè)備的重啟/關(guān)機(jī)。密碼修改：

37、修改當(dāng)前用戶(hù)的密碼。操作日志：操作員的操作日志、增加、刪除、修改等日志。3.4自主設(shè)計(jì)的規(guī)則語(yǔ)言介紹為了實(shí)現(xiàn)更強(qiáng)大、靈活、易用的規(guī)則，我們?cè)O(shè)計(jì)了規(guī)則語(yǔ)言，并自行開(kāi)發(fā)了規(guī)則語(yǔ)言的編譯器和虛擬機(jī)。為了提高規(guī)則匹配的速度，規(guī)則編譯器將規(guī)則語(yǔ)言編譯成中間代碼，運(yùn)行時(shí)虛擬機(jī)運(yùn)行的是中間代碼，大大提高了匹配的速度。規(guī)則語(yǔ)言支持嵌套的邏輯與、或、非運(yùn)算，支持字符串、數(shù)字、布爾型的比較運(yùn)算，大大提高了系統(tǒng)對(duì)規(guī)則的描述能力。在規(guī)則語(yǔ)言的支持下，規(guī)則界面顯得異常簡(jiǎn)潔，而規(guī)則卻可任意組合，可謂隨心所欲！ 下面是一些例子：a、不允許客戶(hù)端0訪問(wèn) : match http.client_ip = “0” & http.host = “” do conn.break = true end;b、阻斷在google查”girl”關(guān)鍵字，并報(bào)警： match http.host = “” & h