上网行为管理设备构建安全网络环境

　　项目背景

　　黄河上游水电开发有限责任公司成立于1999年10月,2000年1月1日正式运作，公司主要承担黄河主干流河段水电站以及火电、风电、天然气电站的开发与建设。公司拥有龙羊峡、李家峡、公伯峡、苏只、盐锅峡、八盘峡、青铜峡等七座已建成的大中型水电站。

　　随着互联网技术的发展和进一步普及，不管是政府机关还是企事业单位越来越离不开计算机辅助日常的生产生活活动，其中电力系统的IT普及和应用水平尤其走在业界的前沿，黄河水电公伯峡也不例外，企业的日常生产活动依靠成熟的IT系统得以持续发展。

　　因为IT系统的普及和互联网的极大发展，互联网的双刃剑特性也表现得淋漓尽致，一方面使得企业在互联网技术的支撑下快速发展，另一方面企业内部员工对IT资源，对互联网的泛滥访问也给企业的效率，收益等带来挑战，甚至可能给企业带来不必要的法律问题。公伯峡电站凭借成熟完备的IT系统虽然支撑了电站的高速发展，但是由于对员工上网行为管理方面比较宽松，导致企业的公网出口经常拥塞，员工抱怨上网速度较慢，甚至电站领导也过问该情况，更为严重的是，内部用户网络总会不时爆发病毒。发生的问题，公伯峡电站的IT人员当然清楚是什么原因导致的：内网用户经常使用BT，eMule，迅雷等P2P下载软件，导致公网出口拥塞，部分员工肆意访问共网网站，导致网站病毒潜入内网，伺机爆发，虽然知道原因所在，但是因为一直没有发现合适的解决方案或设备，所以IT人员本身也是心神不宁。

　　深信服AC上网行为管理设备凭借丰富的功能，灵活的配置管理，很快就赢得了公伯峡电站的关注，深信服AC不仅能解决公伯峡用户遇到的问题，并且提供了更多的增值功能：

　　(1) 流量控制与带宽管理：支持对不同用户进行分组，并给用户(组)分配上网带宽;采用P2P智能封堵技术，能封堵BT，eMule，迅雷等所有P2P下载软件，并且在不封堵的情况下，可以限制该类P2P下载软件所占用的带宽资源，有效缓解公伯峡遇到的公网出口拥塞问题。

　　(2) 控制功能：为不同部门，不同用户分配不同上网权限，比如哪些用户在什么时间可以上网，可以访问哪些网站，禁止访问哪些网站，阻止用户访问色情，反动等网站，避免法律风险;对代理软件和代理服务器的检测，防止用户通过代理上网;通过启用深信服专利技术：客户端安全准入规则，对哪些操作系统没有及时安装补丁，没有安装指定杀毒软件等不满足预设条件的客户端，不允许访问公网，降低其访问公网感染病毒的可能性。

　　(3) UTM整合：深信服AC设备集成了防病毒网关，采用欧洲领先的F-Port的杀毒引擎，并能实时更新该杀毒引擎;集成IPS，能抵御3000多种攻击，攻击特征码可实时更新;集成企业级防火墙，对进出流量进行过滤;集成反垃圾邮件系统，采用多种技术进行垃圾邮件过滤;防DoS功能，杜绝从内网发起和从公网发起的DoS攻击;集成IPSec VPN功能，使得AC还是一台高效的IPSec VPN网关。

　　(4) 监控与审计功能：可以将员工所有上网相关行为记录下来，如对QQ，MSN等所有IM软件聊天内容，对邮件内容，对通过BBS/论坛，博客等张贴的内容，对通过163等webmail张贴的内容进行记录，一方面审计员工的上网行为，并且起到内部震慑效果。

　　(5) 报表分析功能：AC设备可将所有日志和访问记录自动转存到其他服务器，避免AC本身存储空间的容量限制，配合数据中心组件，可以查询统计员工的上网行为情况和IT资源使用情况，并可以绘制饼状图，柱状图。

　　通过部署深信服的AC设备在公伯峡公网接口处，对所有内部员工的上网行为进行管理和控制，解决了先前遇到的带宽不足和员工电脑不时中毒的问题，并且提供了更多的增值功能。

　　深信服AC网关采用基于web的严格身份认证和灵活的访问授权策略，可依据不同时间段进行授权，具有URL过滤，关键字过滤，上传下载限制和过滤，深度内容检测，邮件过滤功能和特有的邮件延迟审计专利技术;对QQ等聊天软件全面封锁或记录聊天记录，对所有P2P下载软件的封堵或进行流量控制等众多功能。

　　深信服AC网关的SSL控制功能，可控制用户通过SSL协议访问的URL地址，并可对SSL协议的证书进行有效性检查，允许或拒绝用户访问持有指定X.509证书的网站，以防止用户通过SSL协议泄密和访问色情，反动和钓鱼网站，从而避免用户陷入“网络钓鱼”的陷阱。

　　深信服AC网关可以对员工的所有上网行为进行记录，并且可以按照需要免除对指定用户(组)的任何访问记录功能;通过数据中心组件，可以对内部人员每天上网情况分析，访问最频繁网站分析，上网最多人员分析等，并提供访问时间，服务，网站，使用网络流量等各种分类排行榜，为管理人员和决策者提供最直观的数据统计分析。