1、背景分析

1）、网络安全核心已经从“外网”转向“内网”。如今的安全部署有个误区，一提到网络安全问题，人们总是习惯于倾向局域网外部入侵的防御，强化出口处安全设备如防火墙的部署和优化等，却往往忽视了来自内部网络的安全威胁。从目前的情况看，网络威胁绝大部分是来自内网，据美国CSI/FBI计算机安全调查的数据，虽然来自内部的攻击占总攻击次数的22％，但是破坏力却是外网攻击的10倍以上。

2）、当前安全建设所面临的挑战。今天的安全产品和技术，既成熟又不成熟，成熟的是相对独立的几个方面，比如防病毒和防火墙，不成熟表现在缺乏整体安全解决方案，尽管部署了防火墙、防病毒和IDS等安全产品，但面临严重的网络攻击时依然损失惨重。因为每一种安全产品和技术看到的只是局部安全问题，缺乏安全管理和集中调度，就像盲人摸象，只是看到了问题的一角，而没有看到问题的全部。

综上所述，目前传统的安全解决方案不能满足“全网安全”形势下的网络安全需求，安全技术必须随着网络的发展，不断完善和发展。从单机孤立、分散安全向集成化、立体化安全机制发展是安全技术发展的必然趋势。

2、神州九天Coboao内网安全管理系统概述

Coboao内网安全管理系统是神州九天科技发展有限公司自行研制开发的新一代软硬结合内网安全管理系统，通过ASIC芯片技术、SDS自防御系统、接入控制、流量整形、文档加密系统（DEMS）等多种领先技术解决了当今网络的“体系安全”问题。帮助用户应对来自网络的风险和挑战。

功能体现：

l  SDS网络管理平台，统一网络安全管理，防止网络中的威胁扩散。

l  基于用户端区分内外网、上下行的细粒度流量控制；

l  审计和控制上网行为，实时追踪记录；

l  审计和控制外发数据内容，防止资料外泄；

l  异常数据自动监测，异常终端自动隔离处理；

l  减少用户因互联网活动所带来的法律责任风险；

l  优化使用IT资源，包括带宽和计算机资源；

l  实施因特网访问和应用程序使用策略；

l  合理配置策略，禁止网络滥用，提高工作效率。

3、系统组成

安全网关：内网安全管理的核心，中央处理芯片内嵌了核心处理程序，避免了纯软件产品对内网安全监控数据遗漏、降低网络性能的缺点，确保内网安全管理的全面、可靠以及高性能的运转。通过专用的ASIC硬件处理芯片对全部数据包进行分析和执行匹配的安全策略，并在分析、处理后存储到日志记录服务器。
控制台：提供可视化图形控制界面，是管理员配置管理策略和实施监控的窗口，可实现分级管理。提供对屏幕日志、访问日志、系统日志等查询，生成统计报表，提供安全策略配置管理环境，并对每个登陆控制台的管理员操作行为进行记录。

日志记录服务器：提供监控日志和管理策略的存储。存储用户信息资料，记录终端的软硬件资产、带宽使用日志、屏幕日志、访问日志、系统日志和管理员操作日志等数据。负责安全策略的存储，并与安全网关配合进行策略控制。

安全客户端：提供内网接入和安全控制，在设备接入内网的时候对其合法性及安全状态进行检查，仅允许满足安全要求的合法设备接入内网；安全客户端还实时采集计算机软硬件信息，发生变化及时报警。执行安全进程管理、窗体管理、软件下发以及系统监控等策略。

4、系统功能

4.1  SDS（Self-Detection-System）自防御系统

自保护网络系统采用集成化网络安全防卫思想，遵循P4DR安全模型，应用集成防卫的理论与技术，采用分布式的体系结构，通过安全策略的设计及集中的安全控制管理平台，提供一套功能强大的安全管理控制系统；在降低网络安全管理成本的同时，能有效的保护网络和主机系统的安全，防止内部威胁计算机影响整个内部网络。

SDS自防御系统实现了如下几大功能

1）强大的智能平台。SDS安全解决方案能为网络提供高智能、高可用性、高安全性的安全平台，由他融合、指挥、调度以及保护现有网络，使网络自身具备免疫能力，自动智能化的控制中心，将现有网络中多种的防护措施有机的融合在网络中，采用“侦测-隔离-治愈-恢复”智能处理安全机制，能够有效的防御网络威胁，保证网络24小时运行；使网络和安全完美的结合形成立体的安全网络。

2）基于用户节点的带宽控制。从用户接入点进行控制网络带宽，真正做到根据每个单独用户的上、下行带宽进行限制。网络管理员能非常方便地对所配置的带宽限值进行更改，同时可设置多级告警机制，当用户带宽占用超过预先设置得阈值时，系统对用户进行自动提示，用户桌面上将显示警告信息或让客户端强制下线，或干脆将用户限制在指定阀值带宽内上网。

3）实时监控网络的异常情况。能实时监测主机流量，实时监控用户带宽，图形化显示当前每个在线用户的上传、下载带宽使用情况，给管理员合理分配、控制用户带宽提供第一手的信息。

4）可限制用户使用有意或无意的不良程序，提醒或强制用户安装必要的杀毒软件。有意或无意的不良程序会对网络资源造成意想不到的严重后果，集中控制能最有效的强制此种行为。同时可检测用户是否安装某些指定的杀毒软件，若没有安装，管理员可根据情况设置系统去提示用户或强制用户进行安装。

5）自动软件分发功能。系统可自动分发指定的软件，如杀毒软件，Windows补丁，或其他应用程序。系统提供客户端自动升级。

6）实时的在线通知功能。本系统克服了传统网络系统缺乏用户通知功能，本系统提供给网络管理员实时发布通知的手段，只要用户上线，可马上收到管理员所发布的通知。

还有对存在危险的计算机进行时实的威胁提示，帮助用户解决问题。

4.2  网络行为审计功能

4.2.1主机行为审计功能

实时监视用户进程

实时记录并管理用户主机的进程。

应用程序使用审计

记录用户使用应用程序的开始时间、结束时间、应用程序名称、机器名称、使用者。该功能也可以作为网络聊天（MSN、QQ、ICQ、YAHOO MESSENGER、网易泡泡）审计；

4.2.2流量及带宽的监测管理功能

实时显示各个监控对象的网卡实时流量。并可以基于每个客户终端做流量控制。

安全控制台流量监测界面图

4.2.3网络行为管理功能

可以通过指定各种策略限制用户对某些网站的访问。

4.2.4主机行为管理功能

可以通过指定各种策略限制用户使用某些应用程序。

4.2.5日志查询功能

可以按多种条件对各种日志做查询，比如用户系统日志，网络日志和邮件日志。

4.2.6用户权限及角色管理功能

除最高管理员admin 外，其他管理员权限都由最高管理员集指派。

4.2.7即时消息发送功能

可以向指定用户发送文字信息。

4.2.8分发功能

管理员可以分发任意的程序、文档到客户机，并选择是否让其自动执行。

4.3资产管理功能

IT资产管理解决方案帮助企业减少管理各种不同设备的成本。方便的跟踪、管理所有IT资产，如硬件信息、安装的软件包、操作系统配置，以及它们整个生命周期。所有数据规范、统一、安全的存储在一个中央数据库中，并能够从一个方便的Web控制台获得详细的资产信息报告。

4.4 文档加密系统（DEMS）

DEMS采用国际最先进的双缓冲底层文件驱动过滤技术，通过计算机底层操作系统实现对计算机本身及外围存储设备的数据进行严格的加解密控制。DEMS采用透明加解密技术，在不改变用户原有工作习惯和工作流程的情况下，对指定的应用程序和指定后缀的文件进行自动加解密密处理，不需要人工输入加解密密码。同时，通过灵活的加密策略的配置，完全达到用户对文件安全性和管理人性化的双重要求。

4.4.1主要功能

DEMS不但要在所采用的底层技术层面领先于国内同类产品，接近国际先进水平，同时要在安全管理和部署应用层面，更加符合中国的国情，满足“安全、稳定、高效和易用”的企业安全要求。

DEMS的主要功能包括：

1)        文件的透明加解密。所有的文件加密和解密操作都在系统后台自动进行，不改变原有的工作习惯和工作方式。

2)        文件的手工加解密。对于安装加密软件之前已有的文件，可以进行批量加密处理。

3)        安全日志管理。对于所有不安全的文件解密行为进行记录，以备泄密事件发生后的追溯。

4)        明文出口管理。在获得授权的前提下，除手工解密外，同时提供邮件发送解密、即时通讯（如QQ、MSN）发送解密、拷贝时自动强制解密等多种文件自动解密出口，满足企业频繁的对外交流的需求。

5)        脱机管理。保证合法的离线用户能够正常打开加密文件。

6)        与现有管理系统的集成。紧密集成企业的OA、PDM和ERP系统，保证企业各种数据的安全和畅通。

7)        移动存储介质的加密管理。自动拒绝未经授权的U盘、移动硬盘等存储介质拷贝企业的文件数据。

8)        剪贴板控制。加密文件的内容只能在受到加密控制的应用程序之间相互拷贝，无法拷贝到非受控应用程序中。

9)        截屏控制和打印控制管理。为防止通过截屏操作截取机密文件的信息，不但限制了截屏键（PrtSC键）的使用，同时允许自行设定和添加策略，禁止任何一种非法程序的运行。同时，可以对本地打印机的使用进行控制。

4.5辅助功能

安全客户端系统升级

可自动对安全客户端进行升级。

数据自动清除。

根据用户设定的数据保留时间和硬盘的利用率进行数据的自动清除。如果用户设定三个月的数据保留时间，系统将清除三个月以前的数据，如果硬盘不能保存三个月的数据，则根据硬盘使用情况进行提前清除，保证系统正常运转。

数据导出

如果用户需要备份较早的数据，则用户可以在界面上导出较早的数据，此数据的安全性由用户自行维护。

5 强大的冗余备份能力

Coboao内网安全管理系统具备强大的冗余备份能力，能够满足不同安全保障，网络稳定要求的用户需求。在同采用双电源的保障方式同时，还采用以下四种安全部署模式：

1）一机一服；

2）双机备份；

3）一机双服；

4）双机双服；

总结

如今，网络安全核心已经从“外网”转向“内网”，网络安全的重心包括数据安全、桌面安全、环境安全、应用安全、行为安全等多个方面。相比较来说，内网安全更复杂，需要从多方面、全方位的解决安全问题，因此内网体系安全将是今后网络安全的核心。

神州九天率先提出内网“体系安全”概念，并通过ASIC芯片技术、SDS自防御系统、接入控制、流量整形、文档加密系统等国际领先技术，配合强大的管理系统，构建了目前最稳定、最可靠的内网安全体系。