中科新业互联网安全审计系统

网络哨兵（V3.0）

技

术

白

皮

书

深圳市中科新业信息科技发展有限公司

2009.02

版权声明

深圳市中科新业信息科技发展有限公司©2005版权所有，保留一切权力。

未经深圳市中科新业信息科技发展有限公司书面同意不得擅自拷贝、传播、复制、泄露或复写本文档的全部或部分内容。本文档中的信息归深圳市中科新业信息科技发展有限公司所有，并受中国知识产权法和国际公约的保护。

信息更新

本文档及其相关计算机软件程序（以下文中称为“文档”）仅用于为最终用户提供信息，并且随时可由深圳市中科新业信息科技发展有限公司（以下简称“中科新业”）更改或撤回。本手册将定期更新，如欲获得最新相关信息，请访问中科新业网站：www.seentech.com.cn。

信息反馈

如有任何宝贵意见，请反馈：

E-mail：seentech@seentech.com.cn

地址：深圳市南山区高新区科技中二路软件园6栋3层

电话：0755-86185185

传真：0755-86185178

免责条款

根据适用法律的许可范围，中科新业按“原样”提供本文档而不承担任何形式的担保，包括（但不限于）任何隐含的适销性、特殊目的适用性或无侵害性。在任何情况下，中科新业都不会对最终用户或任何第三方因使用本文档造成的任何直接或间接损失或损坏负责，即使中科新业明确得知这些损失或损坏，这些损坏包括（但不限于）利润损失、业务中断、信誉或数据丢失。

本文档中所有引用产品的使用及本文档均受最终用户可适用的特许协议约束。

出版时间

本文档由深圳市中科新业信息科技发展有限公司2006年11月制作出版。

目   录

1．产品简介 4

1.1产品概述 4

1.2功能简介 5

2．系统架构 6

2.1系统组成 6

2.2系统架构 7

3．产品功能 8

3.1行为审计功能 8

3.2内容审计功能 9

3.3流量审计功能 10

3.4管理控制功能 10

3.5定制黑白名单 11

3.6审计数据查询功能 11

3.7报表分析功能 11

3.8用户及角色管理功能 12

3.9数据备份功能 13

3.10在线升级功能 13

3.11其他功能 13

4．产品特点 14

4.1审计协议丰富 14

4.2外发（接收）数据审计功能强大 14

4.3管理策略可精细定制 14

4.4审计对象管理灵活 16

4.5自身安全性 17

4.6内置强大过滤库 17

4.7辅助功能齐全 17

5．系统信息 18

5.1硬件信息 18

5.2技术指标 18

6．服务支持 19

1．产品简介

1.1产品概述

中科新业互联网安全审计系统网络哨兵V2.25（以下简称“网络哨兵2.25”）是深圳市中科新业信息科技发展有限公司自行研制开发的新一代互联网安全审计系统。网络哨兵2.25通过旁路侦听的方式对内部网络连接到互联网（以下称“互联网”）的数据流进行采集、分析和识别。实时监视互联网的运行状态，记录多种上网行为，发现对互联网滥用，过滤不良信息，并对上网的相关行为、发送和接收的相关内容进行控制、存储、分析和查询。

随着人们对互联网的使用越来越普及，互联网给我们带来许多方便的同时，也带来了许多风险和挑战，例如：在工作时间发送即时信息等滥用互联网活动而产生的效率成本过高；大量员工有收听在线音乐、观看在线视频剪辑，P2P下载等消耗大量带宽的活动；员工利用互联网泄露公司敏感和机密信息；未成年人访问含有不良信息的网站；少数人利用互联网发布和传播不利于社会稳定言论；这些威胁和挑战事件多数是来自于内部合法用户的“合法”操作，仅靠某些安全产品如防火墙等的日志和控制功能并不能很好的满足对这些互联网安全事件的审计要求，中科新业互联网安全审计系统网络哨兵2.25正是在这样的需求下产生的。中科新业凭借在安全审计领域多年的技术积累和研发经验，在成功开发网络哨兵1.0基础上，推出了适用于多种网络环境的互联网安全审计系统。它通过专门细致的网络数据获取协议分析技术、数据存储技术、数据查询技术并配合完善分类的URL过滤库分类网址和管理规则，帮助用户应对来自互联网的风险和挑战。

1.2功能简介

     作为互联网安全审计系统，网络哨兵2.25主要用于对互联网上网行为和内容的事后查询和分析，并具有功能强大的对多种上网行为和内容的管理功能。网络哨兵2.25部署于内部网络到互联网的连接处，对整个内部网络客户机的上网行为和内容进行审计和管理。如网页浏览、收发邮件、聊天、音视频、游戏等。

功能体现：

ü 审计和控制上网行为，实时追踪记录；

ü 审计和控制员工外发数据内容，防止公司资料泄密；

ü 减少员工因互联网活动所带来的法律责任风险；

ü 优化使用 IT 资源，包括带宽和计算机资源； 

ü 实施因特网和应用程序使用策略；

ü 通过配置合理的策略，禁止网络滥用，提高员工效率；

1.3应用领域

企业网络管理中心；

学校教育行业网络管理部门；

政府机关网络管理部门；

公安、保密、安全机关等国家授权的网络安全监察部门；

金融、电信、电力、保险、海关、商检、司法机关等各行业网络管理中心；

Internet互联网及接入管理单位；

Internet服务提供商（各ISP、ICP）；

其他任何要求对互联网进行安全审计的单位与部门；

2．系统架构

2.1系统组成 

网络哨兵V2.25系统主要由以下3个部分组成：

Ø 网络哨兵探测引擎；

Ø 网络哨兵数据管理中心；

Ø 网络哨兵审计中心；

    网络哨兵V2.25系统采用3级管理架构（见示意图1），一个网络哨兵数据管理中心可以连接多个网络哨兵探测引擎。网络哨兵数据中心和网络哨兵探测引擎物理上可以分开安装在两个专用服务器上，也可以安装在同一台专用服务器上，一个网络哨兵探测引擎同时只能和一个网络哨兵数据管理中心连接。

网络哨兵探测引擎全面监听（需要网络结构的配合）内部网络连接到互联网出口的数据流，根据配置的策略，实时监视所有数据包进行分析记录，并将审计结果保存在数据管理中心的相应数据库里；同时网络哨兵探测引擎接收并执行网络哨兵数据管理中心的各种命令和策略。

网络哨兵数据管理中心主要包含以下几个部分：数据库管理、策略配置、人机界面、网络哨兵探测引擎管理、其他管理。数据库管理程序设置数据库，提供数据库存储和查询功能；策略配置程序提供审计、管理等策略设置接口，如配置是否审计收发邮件的内容、是否记录聊天内容、定义内外网黑白名单等策略。网络哨兵探测引擎管理程序用于配置网络哨兵探测引擎信息，如设置网络哨兵探测引擎IP地址，******监控机器数等信息；其他管理包括程序升级等接口；网络哨兵数据管理中心采用B/S架构，通过提供浏览器服务端，使管理人员很方便的通过网页浏览器对网络哨兵数据管理中心进行操作管理。

网络哨兵审计中心可以管理多个网络哨兵数据管理中心。网络哨兵审计中

心可以统一制定审计策略，可以定制需要接收需要集中审计的数据，集中关联处理网络中的所有安全事件。

2.2系统架构

示意图1  网络哨兵2.25基本部署示意图

3．产品功能

    审计对象：网络哨兵2.25所指的审计对象是指网络哨兵2.25逻辑上能够审计的计算机，网络哨兵2.25可以设置多级组管理审计对象，并且在网络哨兵2.25内部可以按照多种方式来表示审计对象。

3.1行为审计功能

3.1.1网页浏览（HTTP协议）审计

网络哨兵2.25记录用户网页浏览的时间、URL地址、标题、源目的IP地址、源MAC地址、源目的端口、网址分类信息、机器名称、使用者；并且网络哨兵支持对指定的计算机进行网页还原。

3.1.2搜索关键词审计

网络哨兵2.25支持对常见的搜索引擎进行搜索关键字审计，并且支持对搜索关键字进行排名。（系统支持的搜索引擎详见附件）

3.1.3收发邮件（POP3、SMTP、WEBMAIL、LOTUS、EXCHANGE）审计 

    网络哨兵2.25记录用户收发邮件的时间、收发件人、主题、附件名、源目的IP地址、源MAC地址、源目的端口、机器名称、使用者。内容审计部分支持邮件的内容和附件审计，并且支持Webmail内容审计。（内容审计详见3.2内容审计功能）

3.1.4远程登录（TELNET协议）审计

    网络哨兵2.25记录用户远程登录的时间、命令、源目的IP地址、源MAC地址、源目的端口、机器名称、使用者，并且可以根据用户设定的还原关键字，对TELNET内容进行还原。（支持内容还原的TELNET站点详见附件）

3.1.5文件传输（FTP协议）审计

    网络哨兵2.25记录用户传输文件的时间、命令、文件传输名、源目的IP地址、源MAC地址、源目的端口、机器名称、使用者。

3.1.6 P2P协议审计

网络哨兵2.25可以审计通过P2P文件传输时种子链接所访问的URL，用户可以根据URL对种子文件进行封堵。（网络哨兵支持的P2P工具详见附件）

3.1.7音视频审计

    网络哨兵2.25记录用户在线使用音视频开始时间、音视频协议、源目的IP地址、源MAC地址、音视频文件链接（根据此链接可以下载音视频文件）、机器名称、使用者。

3.1.8网络聊天（QQ、MSN、ICQ、YAHOO MESSENGER、网易泡泡、淘宝汪汪、UC、QQ聊天室私聊）审计

网络哨兵2.25记录用户聊天的时间、聊天工具、聊天帐号、源IP地址、源MAC地址、机器名称、使用者。

3.1.9网络游戏审计

网络哨兵2.25记录用户网络游戏在线开始时间、结束时间、游戏时间段、源IP地址、源MAC地址、游戏名称、机器名称、使用者。（网络哨兵所支持的游戏种类详见附件）

3.2内容审计功能

3.2.1网页发贴和BBS发帖审计

网络哨兵2.25除记录用户网页浏览（行为审计）的所有信息外，还能记录通过网页发送信息（POST）的内容。（网页发帖和BBS发帖内容审计所支持的网站详见附件）

3.2.2收发邮件内容审计

网络哨兵2.25除记录用户收发邮件（行为审计）的所有信息以外。还能记录收发邮件的抄送人、暗送人、邮件内容、附件内容。WEBMAIL不仅支持发送邮件内容的审计，还支持接收邮件内容的审计。（WEBMAIL内容审计支持的网站详见附件）

3.2.3聊天内容审计

网络哨兵2.25除记录用户网络聊天（行为审计）的所有信息以外。还能记录通过MSN、ICQ、YAHOO MESSENGER、QQ聊天室私聊的内容和通过聊天工具传输的文件。

3.2.4文件传输内容审计

网络哨兵2.25除记录用户文件传输（FTP行为审计）的所有信息外，还能记录包括BT在内的文件传输行为的传输方向，上传文件名，文件大小，状态，传输类型。

3.3流量审计功能

网络哨兵2.25能实时显示各个审计对象（组）、多种协议流量，并且支持对任意时间段内的机器进行流量排名，以图形显示输出。

3.4管理控制功能

网络哨兵2.25能够按照审计对象各种上网行为（内容）的审计信息灵活制定管理控制策略。如按照网页浏览中的URL关键字，目的IP地址，端口等设置是否允许网页浏览等。

3.5定制黑白名单

网络哨兵2.25可以按照用户的需要定制内外网黑白名单，加入内网黑名单的审计对象将不允许进行任何上网行为，一旦进行网络行为，连接将被中断；加入内网白名单的审计对象不执行任何审计管理策略；同样对加入外网黑名单的地址，不允许审计对象与其连接，一旦审计对象试图进行连接，连接将被中断；对加入外网白名单的地址的所有连接信息不进行审计管理。

3.6审计数据查询功能

用户可以按照不同的协议（行为和内容）在网络哨兵2.25通过相应关键字查询所需要的审计信息。如查询收发邮件行为的信息，即可以按照机器名称、使用者、时间、收件人、发件人、主题、附件名、源目的IP地址等查询

查询记录可导出为TXT、HTML、EXCEL等格式。

3.7报表分析功能

3.7.1统计排名

网络哨兵2.25支持多种排名统计报表：

Ø 网站排名：网络哨兵2.25对所有审计对象的网页访问行为进行统计，得出指定时间段内的网站访问次数排名；

Ø 网址类型排名：网络哨兵2.25对所有审计对象的网页访问行为进行统计，得出指定时间段内的网站类型访问次数排名；

Ø 流量排名、统计和分析：网络哨兵2.25对所有审计对象的总流量/流入流量/流出流量进行统计、排名，并且可以统计指定审计对象的流量占总流量/流入流量/流出流量的百分比，也可以统计指定审计对象各种协议所占流量的百分比；

Ø BBS访问排名：网络哨兵2.25可以对所有审计对象访问BBS的行为进行统计，并且可以按照BBS的访问次数对BBS进行排名；

Ø 搜索关键字排名：网络哨兵2.25可以对审计对象利用搜索引擎进行关键字搜索的行为进行审计和统计，可以对搜索关键字进行排名。

3.7.2自定义报表

网络哨兵2.25提供丰富多样化的报表查询功能

Ø 按时间有：日报表，周报表，月报表，季报表，年报表；可以自定义统计日期；可以自定义做报表的时间段；

Ø 可按照网络应用：网页次数，FTP次数，TELNET次数，邮件次数，游戏时间，游戏次数，音视频时间，网络聊天时间，网络聊天次数，文件传输次数。

Ø 可按照操作结果；访问量（所有日志的条数），流量，报警，封堵，耗时型（游戏时间、聊天时间、音视频时间之和），耗资源型（下载文件大小）。

Ø 按照审计对象可对单个机器、组（可以包括子组）、用户、用户组生成报表；

Ø 已经生成的报表界面内，可以按照需要生成不同形状的报表：柱状图，横向图，柱状均势图，折线图，折线填充图，饼状图，平面饼状图。

Ø 用户可以自定义报表标题，报表类型，报表时间，报表对象。

Ø 报表可以导出为TXT、HTML、EXCEL等格式。

3.8用户及角色管理功能

网络哨兵2.25具有强大的用户和角色管理功能。管理员可以根据需求为不同的用户分配不同的角色，不同的角色可以设置有不同的权限，同时可以定义角色能够管理的审计对象（组）的范围。

如按照公司的行政管理模式设置公司管理员、部门管理员，公司管理员可以管理整个公司的审计对象、查看整个公司的审计信息，部门管理员只能管理本部门的审计对象、查看本部门的审计信息。

提示：用户使用以上不同的功能需要在网络哨兵2.25内有相应的权限

3.9数据备份功能

Ø 网络哨兵2.25提供多种数据备份方式，可以备份全部数据，也可以只备份管理数据或者业务数据；

Ø 数据备份的时间可以灵活设置：按日备份、按周备份、按月备份，用户可以设置备份的时间点；

Ø 数据备份的目标也可以灵活设置：可以备份到本地，也可以备份到FTP服务器（可以设定FTP服务器的地址）

3.10在线升级功能

网络哨兵支持3种升级方式：

Ø 服务器升级：可以手动检测升级服务器上是否具有最新的升级包；

Ø 本地升级：可以将升级包上传到网络哨兵实现自动升级；

Ø 自动更新：网络哨兵界面每次运行，都会自动连接升级服务器，查找并安装最新的更新程序。

3.11其他功能

Ø 系统支持简体中文、繁体中文、英文三种语言；

Ø 系统运行日志：网络哨兵2.25能够完整记录下每一个用户的每一次登陆所执行的动作；

Ø 内置强大的过滤库：网络哨兵2.25集成************大的过滤库系统，过滤库分类齐全（10个大类、80多个小类）、网址丰富（400多万个网站、其中包含140多万个黄赌毒邪非法网站，共1亿多条网址），并且支持过滤库的自定义。

4．产品特点

4.1审计协议丰富

     网络哨兵2.25可以对基于HTTP（WEB，POST）、FTP、BT、邮件（SMTP，POP3，WEBMAIL、LOTUS、EXCHANGE）聊天（QQ、MSN、ICQ、网易泡泡、YAHOO MESSENGER、UC、淘宝、QQ聊天室私聊）、TELNET、游戏、音视频、P2P等协议的行为进行记录。

4.2外发（接收）数据审计功能强大

     网络哨兵2.25能通过SMTP、POP3协议收发的邮件内容及附件进行审计，也可以对通过网页收发的邮件内容及附件进行审计，还可以对通过网页发送的其他数据内容进行审计；对于聊天：网络哨兵2.25能审计通过ICQ、MSN、网易泡泡、YAHOO MESSENGER、QQ聊天室私聊等聊天工具发送的即时信息内容和文件，同时还能审计其他如FTP（等工具）上传文件的文件内容。******限度的保证内部敏感信息不能通过互联网外泄。

4.3管理策略可精细定制

Ø 时间段控制策略

控制每一种上网行为在从周日到周六任意的时间段，在允许的时间段内对应的上网行为可以正常进行，在禁止的时间段系统对对应的上网行为采用封堵策略；

Ø IP控制策略

对网络连接的源/目的IP进行控制，限制到指定IP/IP地址段的连接，设立外网黑/白名单，对来自黑/白名单地址的连接分别应用不同管理控制策略；针对每一种上网行为的目的IP设立对应过滤策略库进行控制；

Ø 端口控制策略

通过封堵指定端口限制对应的上网行为；

只开放指定端口库里的端口；

禁止使用指定端口库里的端口；

Ø 网页浏览过滤策略

只允许访问包含关键字的URL；

过滤含有关键字的URL；

是否允许通过IP访问网页；

搜索关键字过滤；

基于URL过滤库进行分类过滤；

禁止下载指定后缀名的文件；

禁止下载超大文件；

是否记录通过网页上传的内容（网页发帖或从网页上传文件）；

禁止网页上传过多内容或超大文件；

Ø 邮件控制策略

只允许使用指定的邮件服务器收发邮件；

定义敏感邮箱地址，禁止向敏感邮箱地址发送邮件；

是否记录不超过特定大小的发送/接收邮件内容；

是否记录发送/接收邮件的附件；

禁止发送/接收超大邮件；

Ø 网络聊天控制策略

是否允许MSN、ICQ、YAHOO、UC传输文件；

是否记录MSN、ICQ、YAHOOA、UC的聊天内容；

Ø 文件传输控制策略

只能/禁止从指定的FTP服务器上传/下载文件；

限制可传输的文件的大小；

记录上传文件内容；

禁止上传或下载超大文件；

Ø 远程登录控制

是否记录远程登录的行为；

只能/禁止远程登录到指定服务器；

设置远程登录还原的关键字；

Ø BT下载控制

禁止访问BT相关URL；

禁止访问常见的BT服务器地址；

Ø 报警设置

可以按照网页、邮件、聊天内容关键字报警；

可以设置接收报警信息的邮件地址和聊天帐号；

4.4审计对象管理灵活

Ø 自动解析所有审计对象的机器名、获得对象的IP地址、MAC地址；

Ø 手动绑定审计对象的IP与MAC地址；

Ø 根据用户组织结构或IP地址分配特点划分不同的审计对象组；

Ø 支持用户域认证和哨兵本地认证，支持按照用户帐号进行管理；

Ø 系统启动后，对应组里的审计对象将被自动分配到该组中；

Ø 通过使用“使用者”，系统管理员等可以以直观的人名来管理机器等信息；

Ø 系统管理员可以对审计对象部分信息进行手动修改；

Ø 系统可以在组中对审计对象进行添加、删除或更改机器组的操作；

Ø 系统管理员可以把审计对象分别添加到黑名单与白名单中，并应用不同的审计管理策略；

Ø 系统可以在全局、本地、审计组以及单个审计对象四个级别部署对应审计控制策略；

4.5自身安全性

Ø 网络哨兵2.25采用多种措施保障产品自身的安全性；

Ø 基于Linux内核定制的安全操作系统；

Ø 网络哨兵2.25探测引擎抓包口采用无IP技术，管理口可通过专用网络连接到管理机；

Ø 数据通过加密传输；

Ø 多种权限设置，保证不同的权限完成不同的操作，同时对各种操作进行详细的审计；

Ø 能够限制/开放指定的地址访问网络哨兵。

4.6内置强大过滤库

集成国内最全的网页分类过滤库，针对每一类网站的访问行为进行控制，过滤不良网页；网络哨兵拥有专业的分类URL过滤库，包含400万个站点以上记录，含有超过一亿以上的网页，其中不良信息库（即黄、赌、毒、邪类）有一百四十万条以上。

同时具备过滤库实时自动更新功能。（需要网络的支持）

4.7辅助功能齐全

Ø 数据自动清除。

根据用户设定的数据保留时间和硬盘的利用率进行数据的自动清除。如果用户设定三个月的数据保留时间，系统将清除三个月以前的数据，如果硬盘不能保存三个月的数据，则根据硬盘使用情况进行提前清除，保证系统正常运转。

Ø 数据导出

如果用户需要备份较早的数据，则用户可以在界面上导出较早的数据，此数据的安全性由用户自行维护。

5．系统信息

5.1硬件信息

网络哨兵2.25采用专用的服务器：

提示：其他型号配置略有不同    

5.2技术指标

提示：其他技术指标请和你最近的服务支持联系