实施有效网络行为管理 保证健康办公环境

二、网络行为管理和维护策略

策略1：划分VLAN。

对全厂办公楼宇进行了细致的VLAN划分，防止大规模的病毒爆发和扩散，减少故障影响的范围。VLAN划分的基本原则：

集中办公的楼宇建筑，按办公楼宇楼层划分VLAN；

分散办公的区域，按整栋楼宇和功能区域进行划分，如运行值班VLAN。

策略2：建立域管理。

建立域控制器，并规定所有办公电脑必须加入域，接受域控制器的管理，同时严格控制用户的权限。汕尾发电厂的员工帐号只有标准user权限。不允许信息系统管理员泄露域管理员密码、Landesk管理员密码和本地管理员密码。

在如今各种流氓插件、广告插件、木马和病毒霸道横行的网络环境中，普通员工只具备标准的user权限，实际上是对该员工办公环境的非常实际有效的保护。

办公PC必须严格遵守OU命名规则，同时实现实名负责制。指定员工对该PC负责，这不但是固定资产管理的要求，也是网络安全管理的要求。对PC实施员工实名负责是至关重要的，一旦发现该员工电脑中毒和在广播病毒包，信息系统管理员能准确定位，迅速做出反应，避免扩大影响。

策略3：PC维护包干到户。

信息系统管理员在实际工作中可能存在拿本地管理员权限作为人情，这其实是一种自杀行为。任何一个具备管理管理员权限的员工，即使是信息系统管理员，使用Administrator权限上网，稍有不慎，便掉入网络陷阱。为避免这种情况，对PC维护人员，采取区域包干到户的管理，同时区域负责人的域用户帐号具备该区域内所有办公电脑本地管理员的权限；如果区域负责人他愿意增加本地电脑管理员权限，增加的风险和工作量将由他自己承担。

所有办公电脑的本地管理员密码由域控制器负责人掌握、设定或变更。

策略4：在防火墙上只开放常用或业务系统需要的端口，如80、25、21、110、443，其它端口一律封锁，此项措施能有效实施对P2P和BT软件的封锁。

策略5：接入厂区网络的计算机必须接受信息中心的管理。通过DHCP服务器的配合，在DHCP服务器上根据办公电脑网卡的MAC地址固定某些办公电脑的IP，在防火墙上设置相关的策略，允许经信息中心核准的某些IP组可以在本机上直接访问Internet，或某些IP组只能连接局域网的应用服务器，对于不遵守OU命名规则的机器IP和没有经过信息系统管理员授权的机器IP，不允许访问Internet和Intranet，只能单机使用。

策略6：建立WSUS服务器。WSUS（Microsoft Windows Server Update Services）是微软推出的免费的Windows更新管理服务，目前最新版本为2.0.0.2472，除了支持Windows系统（Windows 2000全系列、Windows XP全系列和Windows server 2003全系列）的更新管理外，还可以支持SQL Server、Exchange 2000/2003、Office XP/2003等系统的更新管理，并且在以后，WSUS将实现微软全系列产品的更新管理。

在域服务器上通过组策略设定客户端PC的自动更新服务（内建于Windows 2000 SP3以上版本、Windows XP、Windows server 2003操作系统中的客户端更新组件），默认情况下，它自动通过HTTP/HTTPS协议直接连接到Microsoft Update来下载更新程序，实现客户端计算机的系统更新。

策略7：启用网络准入系统。借助于深信服Sinfor M5400-AC产品的网络准入系统，检查用户的计算机是否具备了相应的安全策略。只有符合相应的安全策略的计算机才允许访问外部网络，不具备相应安全条件的用户计算机，不允许上网。这样从根本上提高了企业用户计算机的安全性，减少了企业用户遭受蠕虫、病毒、木马以及间谍软件的风险。

策略8：建立备机、无盘系统和终端服务器。

建立终端服务器，主要是为员工快速提供一个标准的正常的办公环境。为保障终端服务器的安全，同时在终端服务器上使用管理员权限运行线程检测程序，一旦发现有绿色版的BT、QQ、Emule、CCproxy等线程运行，检测程序立即终止上述程序继续运行。

通过建立无盘系统，使得员工办公电脑软件系统不能正常运行或硬盘出现故障，通过网卡启动到无盘的winxp系统，并通过远程桌面连接终端服务器进行日常办公，实现快速的维护响应。

建立一定数量的备机，为员工快速提供一个标准的正常的办公电脑。

策略9：使用Landesk进行远程维护，实现快速的维护响应。

策略10：借助于深信服Sinfor M5400-AC产品的网络行为控制功能，对从常规端口过来的数据包进行特征码检测，从而达到彻底封锁BT、QQ、MSN等软件。目前由于处于基建期间，各专业存专工（数量较多）使用QQ和MSN等IM软件的即时文字消息和厂家进行沟通和交流，暂为实施禁止QQ和MSN 等IM软件的即时文字交流。

策略11：借助于深信服Sinfor M5400-AC产品的入侵检测防御系统，使得信息系统管理员可以根据记录进行统计分析，发现有潜在危险的办公计算机，可以有针对性地进行预防性检查。