启明星辰天珣准入控制 百问之六
启明星辰产品介绍
天玥数据库审计
日志审计
隔离网闸
计算环境：审计、止损设施
2009：极光攻击
专为 业什 黑么 客我 攻们 击的 下安 不全 堪防 一护 击体 ？系 在
2010：震网攻击伊朗核电站
2011：窃取RSA令牌种子
2012：窃取NASA资料
2012：大量攻击中东多年
Nday漏洞 特征库
后置引擎（VX）
将可疑文件加载至SandBox打开、执行 跟踪文件打开、执行过程中的系统调用 提取文件中的可疑code 确定所利用的漏洞是0day还是Nday
上网行为管控
安星
天阗异常流量检测
天清WAG 天清应用交付
网页防篡改
LAN
终端边界 天珣终端安全 天清无线安全 运维审计 天榕 DLP
天玥数据库审计
日志审计
隔离网闸
计算环境：审计、止损设施
产品技术
【威胁管理类】——天阗入侵检测与管理系统
全面检测
中国入侵检测（IDS）第一品牌
万兆线速处理性能 全面的入侵检测能力 完善的管理控制体系
NT3000-LT-B NT3000-LT-BRP 处理能力：800Mbps
NT3000-LT-SRP NT3000-LT-S 处理能力：1.5Gbps
NT3000-PF-BRP NT3000-PF-B 处理能力：2.5Gbps
NT3000系列BPM-1 NT3000系列BPM-2 处理能力：4Gbps
天清汉马 天清汉马
一体化安全网关（UTM） 防火墙 （FW）
IDC 及CCID评估报告显示：20072010年度，启明星辰在国内UTM 市 场占有率排名第一。
USG-320C USG-620C USG-820C USG-2000D
启明星辰全产品线介绍
29
天清IPS：一个“热”产
CERT CNCERT/CC
CVE CNCVE
披研露信究息安安全事全件 的不确披露定漏洞性
Microsoft 相关软件厂家
开 放 源 代 码
找出环境信息的变化的要素和规律 信息安全
博士后工作站
研究攻击躲避机理 设计抗躲避机制/算法
自我认知阶段→ 了解面临的风险（威胁、弱点、价值）
看问题
18
• 各产品应用定位 • 专业化安全产品发展之路
安全产品总体趋势与发展方向
• 安全目标更具体、产品定位更清晰、防御更有效
– 在不可信的网络世界中，建立纵深防御体系的需要
• 产品融入专业服务，逐渐由“冷”变“热”
– 安全变得简单，安全成为服务，服务成就安全
10
IDS与IPS的区别
11
IPS是深层防御、IDS是全面检测
检测与监控设施 可以有可疑行为
需要人工分析 入侵检测IDS
监
控 平
漏洞扫描
台
审计系统
要求精确
防护与控制设施
对人工分析无要求
入侵防御IPS
防火墙
接入控制
部署目标
• 强化风险管理能力 • 及时了解安全状况 • 为改善风险控制环境提
供决策依据
研究漏洞机理 研究新攻击特征
ADLABTM
攻击特征 无法精确定义
产品研发
发现新漏洞
基于攻击躲实避机时理的更新安全产攻击品特征的环境信息 图例
精确识别程序包
可被精确定义
资源 人/组织
实现精确打击 在线升级引擎，加载新算法
列入产品可升级事件库
办公网络
USG
天珣
核心计算域－止损
110110天珣实用工具手册V1.1_ 天珣内网安全风险管理与审计系统V6.6.9.2
天珣实用工具手册用户手册（V6.6.9.2）启明星辰Beijing Venustech Cybervision Co., Ltd.2011年1月版权声明北京启明星辰信息安全技术有限公司版权所有，并保留对本手册及本声明的最终解释权和修改权。
本手册中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外,其著作权或其他相关权利均属于北京启明星辰信息安全技术有限公司。
未经北京启明星辰信息安全技术有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。
本文档中的信息归北京启明星辰信息安全技术有限公司所有并受著作权法保护。
“天珣”为北京启明星辰信息安全技术有限公司的注册商标，不得仿冒。
信息更新本文档及其相关计算机软件程序（以下文中称为“文档”）仅用于为最终用户提供信息，并且随时可由北京启明星辰信息安全技术有限公司（下称“启明星辰”）更改或撤回。
免责声明本手册依据现有信息制作，其内容如有更改，恕不另行通知。
北京启明星辰信息安全技术有限公司可能已经拥有或正在申请与本文档主题相关的各项专利。
提供本文档并不表示授权您使用这些专利。
您可将许可权查询资料用书面方式寄往北京启明星辰信息安全技术有限公司。
北京启明星辰信息安全技术有限公司在编写该手册的时候已尽最大努力保证其内容准确可靠，但北京启明星辰信息安全技术有限公司不对本手册中的遗漏、不准确、或错误导致的损失和损害承担责任。
出版时间2011年1月10日1.天珣实用工具说明 (4)2.天珣客户端诊断工具 (4)3.天珣服务器诊断工具 (5)4.客户端卸载工具 (6)5.Winmd5Hash.exe (7)6.离线同步工具 (9)1.天珣实用工具说明天珣自带有部分供服务器和客户端使用的工具，包括服务器诊断工具、客户端诊断工具等，这些工具放在安装光盘的tools目录中：2.天珣客户端诊断工具天珣客户端诊断工具是当客户端发生异常，例如线程、句柄数过多，CPU、内存占用率过高，CC无法停止服务等，收集客户端软硬件信息以及dmp文件以便分析的一个实用诊断工具。
天珣内网安全风险管理与审计系统V6.6.9.1
天珣内网安全风险管理与审计系统 安装配置手册（V6.6.9.1）启明星辰 2009 年 5 月天珣内网安全风险管理与审计系统 V6.6.9.1-安装配置手册版权声明北京启明星辰信息安全技术有限公司版权所有，并保留对本手册及本声明的最终解释权和 修改权。
本手册中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特 别注明外,其著作权或其他相关权利均属于北京启明星辰信息安全技术有限公司。
未经北京 启明星辰信息安全技术有限公司书面同意， 任何人不得以任何方式或形式对本手册内的任何 部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。
本文档中的信息归北京启明星辰信息安全技术有限公司所有并受著作权法保护。
“天珣”为北京启明星辰信息安全技术有限公司的注册商标，不得仿冒。
信息更新本文档及其相关计算机软件程序（以下文中称为“文档”）仅用于为最终用户提供信息， 并且随时可由北京启明星辰信息安全技术有限公司（下称“启明星辰”）更改或撤回。
免责声明本手册依据现有信息制作，其内容如有更改，恕不另行通知。
北京启明星辰信息安全技术有限公司可能已经拥有或正在申请与本文档主题相关的各 项专利。
提供本文档并不表示授权您使用这些专利。
您可将许可权查询资料用书面方式寄往 北京启明星辰信息安全技术有限公司。
北京启明星辰信息安全技术有限公司在编写该手册的时候已尽最大努力保证其内容准 确可靠，但北京启明星辰信息安全技术有限公司不对本手册中的遗漏、不准确、或错误导致 的损失和损害承担责任。
出版时间2009 年 5 月 4 日启明星辰 i天珣内网安全风险管理与审计系统 V6.6.9.1-安装配置手册目 录1 2 3 综述.........................................................................................................................1 安装环境及要求 ....................................................................................................1 天珣内网安全风险管理与审计系统主要组件介绍 ............................................33.1 服务器组件...............................................................................................................3 3.1.1. 中心策略服务器...............................................................................................3 3.1.2. 本地策略服务器...............................................................................................3 3.1.3. 资产管理服务器...............................................................................................3 3.1.4. 攻击告警服务器...............................................................................................3 3.1.5. 软件分发服务器...............................................................................................4 3.1.6. HOD远程桌面服务器 ......................................................................................4 策略网关组件...........................................................................................................4 3.2.1. 策略网关代理...................................................................................................4 3.2.2. 中性策略网关...................................................................................................4 3.2.3. IIS策略网关......................................................................................................5 3.2.4. ISA策略网关 ....................................................................................................5 3.2.5. EXCHANGE策略网关.....................................................................................5 3.2.6. DNS策略网关...................................................................................................5 客户端.......................................................................................................................5 按需支援管理端和软件分发控制台.......................................................................6 客户端打包程序.......................................................................................................6 中心服务器的安装...................................................................................................6 中心服务器配置.....................................................................................................17 4.2.1. 登录服务器.....................................................................................................17 4.2.2. 基本配置.........................................................................................................19 4.2.3. 策略网关配置.................................................................................................22 4.2.4. 策略设置.........................................................................................................30 远程桌面的系统配置.............................................................................................32 4.3.1. 添加远程桌面服务器.....................................................................................32 4.3.2. 添加远程桌面管理员.....................................................................................33 4.3.3. 安装按需支援管理员端程序 .........................................................................34 4.3.4. 用户请求管理员远程帮助.............................................................................36 软件分发安装与配置.............................................................................................36 4.4.1. 安装软件分发服务器.....................................................................................36 4.4.2. 配置软件分发服务IP地址 .............................................................................38 4.4.3. 安装软件分发控制台.....................................................................................38 数据库服务器的安装与配置.................................................................................41 4.5.1. 安装SQL SERVER 2005 ................................................................................41 4.5.2. 配置SQL SERVER数据库 .............................................................................46 安装资产服务器.....................................................................................................49 安装告警服务器.....................................................................................................503.23.3 3.4 3.54天珣内网安全风险管理与审计系统各组件安装步骤 ........................................64.1 4.24.34.44.54.6 4.7启明星辰 ii天珣内网安全风险管理与审计系统 V6.6.9.1-安装配置手册1 综述天珣内网安全风险管理与审计系统的集端点主动安全防护和桌面管理于一身， 具有世界 领先水平的产品体系架构， 从根本上解决了客户端从蠕虫病毒的主动防御、 可靠的补丁管理、 非授权访问控制、端点准入控制、桌面运行环境的标准化和自动化管理等一系列问题，帮助 用户创建高可靠、高可用和高安全级别的可信任网络环境。
天珣内网安全风险管理与审计系统
天珣内网安全风险管理与审计系统安装配置手册（V6.6.9.4）启明星辰Beijing Venustech Cybervision Co., Ltd.2012年11月版权声明北京启明星辰信息安全技术有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。
本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，其著作权或其他相关权利均属于北京启明星辰信息安全技术有限公司。
未经北京启明星辰信息安全技术有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。
“天珣”为北京启明星辰信息安全技术有限公司的注册商标，不得侵犯。
免责条款本文档依据现有信息制作，其内容如有更改，恕不另行通知。
北京启明星辰信息安全技术有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠，但北京启明星辰信息安全技术有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任。
目录版权声明 (1)免责条款 (1)信息反馈........................................... 错误!未定义书签。
1综述 . (4)2安装环境及要求 (4)3.天珣内网安全风险管理与审计系统主要组件介绍 (6)3.1.服务器组件 (6)3.1.1. 中心策略服务器 (6)3.1.2. 本地策略服务器 (6)3.1.3. 资产管理服务器................................错误!未定义书签。
3.1.4. Radius服务器 (6)3.1.5. 攻击告警服务器 (6)3.1.6. 软件分发服务器 (7)3.1.7. HOD远程桌面服务器 (7)3.2.策略网关组件 (7)3.2.1. 策略网关代理 (7)3.2.2. 中性策略网关 (7)3.2.3. IIS策略网关 (8)3.2.4. ISA策略网关 (8)3.2.5. EXCHANGE策略网关 (8)3.2.6. DNS策略网关及旁路监听式DNS策略网关 (8)3.2.7. 客户端 (9)3.2.8. 按需支援管理端 (9)3.2.9. 客户端打包程序 (9)4.天珣内网安全风险管理与审计系统的安装 (9)4.1.快速安装 (10)4.1.1 快速安装部署 (10)4.1.2 基本配置 (27)4.2.自定义安装 (31)4.2.1 自定义安装中心服务器 (32)4.3.本地服务器的安装配置 (33)4.3.1 添加策略服务器 (37)4.4.策略网关配置 (38)4.4.1 添加策略网关代理 (38)4.4.2 安装中性策略网关 (39)4.5.远程桌面的系统配置 (46)4.5.1 安装添加远程桌面服务器 (46)4.5.2 添加远程桌面管理员 (46)4.5.3 安装按需支援管理员端程序 (47)4.5.4 用户请求管理员远程帮助 (49)4.6.软件分发安装与配置 (49)4.6.1 安装软件分发服务器 (49)4.6.2 配置软件分发 (50)4.7.安装资产服务器................................... 错误!未定义书签。
天珣安全风险管理与审计系统介绍
上传下载的文件名 不限FTP客户端软件
异常路由审计 Windows登录审计 应用程序使用审计
天珣非法外联监控
监视非法外联行为发生，并进行控制
天珣非法外联防控
内网
外网
预防非法外联行为发生，防范于未然 智能选择通信网卡，封堵所有可能的外联途径
移动存储管理
组织内 组织外
适应各种场景 外来U盘用不了，内部的U盘在外也用不了 内部U盘通过脱密可在外部使用 U盘可在内外通用，但内部数据在外看不了 U盘在组织内可对不同的终端或用户进行授权 可对不同的操作行为授权 U盘挂失操作
切断独立进程型蠕虫病毒、黑客、木马的攻击线路，杜绝非授权访问 抑制蠕虫病毒、木马的攻击速度，保持网络畅通，杜绝非授权访问
天珣主机防火墙管理终端流量
ERP服务器பைடு நூலகம்
服务器带宽分配
客户端带宽分配
客户端
分布式、面向业务的流量管理—基于用户、终端、进程、端口进行流量管理 限制异常流量，降低非业务流量对内网的影响，有效保证正常业务的带宽
天珣安全风险管理与审计系统介绍
1、终端安全管理建设路线图
目录
2、基础认知及终端运维 3、合规管理 4、主动防御及策略强制 5、天珣系统管理功能 6、天珣系统优势
终端安全管理建设的四个阶段
安全运 营阶段 主动防御及 强制阶段 合规管理 建设阶段 基础认知及 运维阶段
终端风险集中管理与监控
主动管理，把风险抑制在未起之时
天珣—准入控制最佳实践
• 网络层准入控制
–
– –
接入层—自有客户端和第 三方客户端802.1x 汇聚层—EOU 边界层—网关联动
•
应用层准入控制
天珣非法外联控制四步曲
天珣非法外联控制四步曲北京启明星辰信息安全技术有限公司天珣产品部刘希诚计算机和网络技术的发展，为终端电脑提供了丰富的网络和设备互联的手段，借助这些手段，用户不仅可以直接通过有限的网络实现与其他电脑或Internet实现互联，也可以通过多种无线连接方式，例如无线局域网、红外线、蓝牙等实现网络和设备和互联，还可以通过终端提供的丰富的外设接口，例如USB接口、COM口、LPT口、Modem等多种接口，实现终端与外设、终端与终端或终端与网络的互联。
除此之外，在以上物理连接通的基础上，还有PPOE虚拟拨号、各类VPN供选择，作为安全的互连互通的可选方式。
然而，正是电脑具备的多种多样互联互通的方式，却成为内网合规管理实践中，所要面对的最大的挑战之一。
合规管理要求，内网终端电脑对Internet、内部网络和内部的其他终端或服务器的访问，要根据其使用者所在的部门和安全分级管理中的角色，根据管理的需求，只有其中一种或多种的网络互联使用权限；但现实是，即使内网终端有严格的互联规定，但因缺少有效的技术手段，仍有大量终端用户，违规进行“一机多用”和“非法外联”。
借助终端提供的多种外联通道，越权进行非法网络和设备外联，随意外发内部涉密资料，同时也为病毒、木马攻击内网提供了理想的通道，病毒或木马可以借助终端用户违禁使用U盘、擅自拨号进行互联网访问、随意浏览网站、随意下载网站软件的过程中，乘虚而入，攻入内网，严重威胁到内网的稳定运行和内网中内部数据的安全。
天珣内网风险管理与审计系统（以下简称天珣），作为启明星辰“五维内网合规管理模型”的最佳实践，同样在防止内网终端非法外联有着非凡的表现，部署天珣之后，简单四步即可彻底解决内网终端非法外联的“顽疾”。
第一步：启用用终端多网卡限制，保证只能通过指定网卡联网；第二步：启用终端外设接口限制，防止通过Modem、红外、蓝牙等非法外联；第三步：启用在移动存储认证，确保授权用户使用授权Ｕ盘进行数据安全共享；第四步：启用终端异常路由审计，侦测终端可能存在的其他网络非法外联蛛丝马迹。
天珣产品培训——准入控制功能原理介绍 V1.0
Page 11
天珣支持的认证条件类型
• • • • • • • • •
Page 12
Username/Password 可信MAC IP-MAC组合 User-IP-MAC组合 认证有效期 GUID（电脑的物理信息） 数字证书（文件类型或UKEY） 交换机端口 天珣服务器设置的安全状态
天珣支持的局域网和用户类型
DNS指向互联网 上的DNS服务器
天珣DNS准入数据交互
1 2 3
终端向DNS服务器发送解析请求，请求包中包含了终端的状态标识 安装了客户端并且安全状态符合要求则得到正确的响应 未安装客户端的终端得到的响应为修复服务器地址 不合规终端访问修复服务器
4
ISA准入控制
ISA准入数据交互
1
终端通过ISA代理进行HTTP访问 天珣ISA过滤器插件向天珣策略网关代理请求终端状态
2 3
4 5 6 7 8
代理向终端发送SecureCheckCC，并等待终端响应
终端响应代理的检查请求或未响应，后者代理等待超时 代理将检查结果告知策略网关 终端安装客户端且安全状态符合要求则访问进行 终端未安装客户端或安全状态不要求，则重定向访问 被重定向的客户端访问修复服务器
IIS准入数据交互
WEB准入控制流程
通过IE访问第 三方登录页面
嵌入式代码检查IE是 否安装了天珣IE控件
否
是
提示用户安 装IE控件
否
IE控件从服务器端查 询本机是否被准入
能够正常 登录访问
是 否
IE控件检查标准客户 端是否正在运行
是
重定向到标准客 户端安装页面
能够正常 登录访问
终端准入
1、客户端准入
2、ARP准入
天珣内网安全风险管理与审计系统白皮书
天珣内网安全风险管理和审计系统产品白皮书（V6.6.9.0）北京启明星辰信息技术股份有限公司Beijing Venus Information Tech. Inc.2008年7月版权声明北京启明星辰信息技术有限公司版权所有，并保留对本文档及本声明的最终解释权和修改权。
本文档中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外,其着作权或其他相关权利均属于北京启明星辰信息技术有限公司。
未经北京启明星辰信息技术有限公司书面同意，任何人不得以任何方式或形式对本手册内的任何部分进行复制、摘录、备份、修改、传播、翻译成其它语言、将其全部或部分用于商业用途。
“天珣”为启明星辰信息技术有限公司的注册商标，不得侵犯。
免责条款本文档依据现有信息制作，其内容如有更改，恕不另行通知。
北京启明星辰信息技术有限公司在编写该文档的时候已尽最大努力保证其内容准确可靠，但北京启明星辰信息技术有限公司不对本文档中的遗漏、不准确、或错误导致的损失和损害承担责任信息反馈如有任何宝贵意见，请反馈：信箱：北京市海淀区东北旺西路8号中关村软件园21号楼启明星辰大厦邮编：100193您可以访问启明星辰网站：获得最新技术和产品信息。
目录1 内网安全挑战根据CSI/FBI等权威机构公布的数据，在所有已经发生的安全事件中，超过80%的安全事件都发生在企业内网中，内网安全面临前所未有的挑战。
内网安全面临的挑战，集中表现在以下两个方面：内网安全控制挑战1.终端未经安全认证和授权即可随意接入内网；2.内部终端存在的安全漏洞不能及时修复；3.终端接入后对内网的非授权访问难以管理；4.被动防御蠕虫病毒及木马的破坏和传播；5.蠕虫攻击导致网络或系统瘫痪，影响核心业务的运作；6.用户随意改动IP地址，对网络审计带来困难；7.用户随意安装和运行软件，随意占用有限带宽资源。
终端数据安全挑战1．终端使用未经认证的U盘等移动存储设备进行数据保存；2．通过U盘等进行数据交换，不受控制；3．未经认证的U盘成为病毒传播的载体；4．存有关键数据的U盘丢失或失窃造成严重的泄密事故；5．终端用户可以轻易通过拨号、私设代理等非法外联手段，传播内部重要数据或资料。
终端防护产品——天珣系
√
读
√
写
√
加密
多种文件授权共享管理机制
目录加密 插入/ 插入/拔出
加密
全盘加密 分区表加扰
审计
新建/ 新建/删除 读/写/复制
27
终端审计
文件操作审计 文件打印审计 上网行为审计 移动存储审计 异常路由审计 Windows登录审计 Windows登录审计
10
终端准入控制 – 客户端准入
基于安全策略、 基于安全策略、访问控制策略的客户端准入
内网
天珣管理服务器
11
层层设防的终端准入控制
多因素组合认证
User-IP-MAC+有效期 User-IP-MAC+有效期 应用层 User- +有效期 User-IP +有效期 IP-MAC +有效期 IP+有效期 网络层 MAC- +有效期 MAC-IP +有效期 User-Vlan-IPUser-Vlan-IP-MAC +有 +有 效期 终端层 安全状态
22
桌面合规管理 – 补丁与软件分发管理
Windows操作系统补丁分发管理 Windows操作系统补丁分发管理
支持多语言版本 多种补丁源，在线/WSUS/ /WSUS/手工 多种补丁源，在线/WSUS/手工 多种下发选项，自动/手工/ 多种下发选项，自动/手工/强制 支持离线补丁升级 关键补丁强制安装
修复区
9
终端准入控制 – 应用准入
基于策略网关的应用层准入
内网
DNS服务器 DNS服务器(支持 服务器( 旁路式策略网关) 旁路式策略网关)
Web/Mail服务器 Web/Mail服务器
天清汉马USG 天清汉马USG