北信源内网安全管理系统(服务器版)安装说明

快速阅读指南1.本使用手册为北信源终端安全管理系列产品全功能用户手册，请按照所购买产品对应相关的产品说明进行配置使用（该手册第一、二、三章为终端安全管理产品共有部分，凡购买任何一款终端安全管理产品都应首先详细阅读此三个章节）。

2.详细阅读本软件组件功能、组成、作用、应用构架，确切了解本软件的系统应用。

3.安装准备软件环境：Microsoft SQL Server2000、Windows2000Server、Internet服务管理器。

SQL安装注意事项请参照第二章2-3-1所示。

建议将数据库管理系统、区域管理器、WEB管理平台安装在同一服务器上,确认区域管理器所在机器的88端口不被占用（即非主域控制器）；防火墙应允许打开88，2388，2399，22105，8900，8901，22106，22108，8889端口。

4.按步骤安装各组件后，通过http://*.*.*.*/vrveis登录Web管理平台，首先对Web管理平台进行如下配置：添加区域→划分该区域IP范围→指定区域管理器→指定区域扫描器。

5.双击屏幕右下角区域管理器、单击主机保护进行通讯参数配置。

6.在\VRV\VRVEIS\download目录中，使用RegTools.exe工具修改DeviceRegist.exe文件中的本地区域管理器IP，将修改后的注册程序DeviceRegist.exe放在机构网站上进行静态网页注册，或者在机构网站上加载动态网页检测注册脚本语句，进行动态设备注册。

7.系统升级：联系北信源公司获取最新的软件组件升级包，确保Web管理平台、区域管理器、客户端注册程序等组件的升级。

8.如果本说明书中的插图与实际应用的产品有出入，以实际产品为主。

特别提示：默认管理员用户：admin，密码：123456；系统指定审计用户名：audit,密码：123456请注意修改。

前言目前国内政府机关、军队、公安、保密部门、科研机构、金融、证券等企事业单位中的网络都具有相当的规模，网络中大量使用计算机及其它网络设备。

这些设备带来高效应用的同时，由于自身确实存在着安全风险隐患，应该采用相关网络安全技术手段来保障整个网络运行的安全。

目前单位自身内部网络分为以下几种类型：1、办公网：企事业单位中的普通办公网络、公司企业网，它们通过有限出口接入Internet网络；2、内部专网：政府办公网、金融运营网及各系统重要的实时网络，该种网络一般为内部专用网络，此类网络同外部网络采取物理隔离的方式实现相互独立；3、保密网：政府机关、军队、公安、保密部门的内部机密安全网络，一般采用专门的网络通道，要求具有绝对的内网隔离度。

尽管以上大多数用户采用了专门的网络通道技术、物理隔离技术、安全网段划分、安全防护设施（如防火墙、入侵检测、漏洞扫描）等方式保证自己的网络安全，但是，对类似下面的安全问题仍然无法做到真正意义上的解决：1、如何发现终端设备的系统漏洞并自动分发补丁；2、如何防范移动设备随意接入内网；3、如何防范内网设备违规进入外网；4、如何管理终端资产并真正控制、管理终端设备的运行；5、如何制订整体安全策略并全网执行；6、如何管理控制终端设备的数据流；7、平台、安全平台等诸多设备如何衔接并统一管理。

北信源终端安全管理产品VRV EDP（Enterprise desk planning）能够完全解决上述网络安全管理工作中遇到的常见问题。

VRV EDP系统强化对网络计算机终端的控制，管理内容包括：资源资产、终端安全策略、桌面风险审计、补丁检测分发、终端运行状态监控以及终端行为审计等。

北信源终端安全管理产品提供了防火墙、IDS、防病毒系统、专业网管软件所不能提供的防护功能，对它们管理的盲区进行监控，成为一个实时的安全监控系统，并能够同其它网络安全设备或网络安全系统进行安全集成和报警联动。

北信源终端安全管理产品针对网络管理工作中遇到的实际管理需求，进行网络安全资源规划,如防止移动设备非法接入内部网络、IP资源分配管理、静态IP同MAC地址的绑定、提供设备资源登记及硬件设备（硬盘、CPU、内存等）变化报警、进行内部网络连接阻断等功能。

同时，为有效解决网络中计算机非法接入和非法外联问题，VRV EDP系统提供实时监控的强大功能，即实时报警以及实时切断非法计算机同内网的连接。

北信源终端安全管理产品通过Web方式对整个系统进行应用策略配置，管理网络和查询报警数据，方便用户操作，有效防范不安全因素对内部网络构成的威胁，真正做到内部网络的完全安全管理。

北信源终端安全管理产品支持基于局域网、广域网的国家—省—市—县多级级联管理模式。

第一章．产品介绍1-1产品构架北信源终端安全管理产品由8部分组成：WinPcap程序、SQL Server管理信息库（安装包：环境初始化程序）、Web中央管理配置平台（安装包：网页管理平台）、区域管理器(安装包：Region Manage,原区域扫描器已作为模块集成到区域管理器)、客户端注册程序（安装包：注册程序）、补丁下载服务器、管理器主机保护模块、报警中心模块。

环境初始化程序：SQL Server管理信息库，建立北信源终端安全管理产品的初始化数据库。

初始化的信息包括：网络客户端设备属性信息、区域管理器信息、设备扫描器信息、区域管理范围信息、注册（未注册）机器信息、设备属性变化信息、报警信息等。

扫描器将设备最新状态信息同数据库中原有信息进行遍历搜索对比，根据规则要求在管理平台上报警。

Web管理平台：Web中央管理配置平台，本系统的管理配置中心。

包括区域管理器、扫描器、注册客户端的功能参数设定，网络设备信息发现、系统应用策略制订、报警信息显示、定义任务功能制订、系统用户维护等配置操作。

Region Manage：区域管理器，系统数据处理中心，负责与管理信息数据库通讯扫描终端设备、控制服务器、客户端之间的信息、指令的下达、接受。

比如：接收注册程序提供的用户信息，将用户信息（用户填写的物理信息和系统自动采集的硬件信息）并行存入数据库；接受来自控制台的命令操作，发送到客户端、扫描器执行。

对于存在多级管理要求的广域网，网络中可以存在多个区域管理器，实现系统数据逐级上报（转发），对网络终端的多级管理。

区域管理器内置网络扫描器，扫描器用来发现网络的终端设备。

将发现的设备信息交由区域管理器处理。

、设备最新状态信息报送至区域管理器，由区域管理器处理后，同数据库中原有信息进行遍历搜索对比，根据管理规则在管理平台上报警。

扫描器配合区域管理器进行工作，可以在分级模式下使用。

扫描器只依据Web管理平台中配置的工作范围进行扫描，如果终端IP超越其范围，将不负责执行操作。

WinPcap程序：嗅探驱动软件，监听共享网络上传送的数据。

客户端注册程序：将接收并执行服务器下发的指令。

该程序可以在“工具下载->用户注册器下载”处下载。

访问指定网站自动获得，用户填写必要的信息后，运行该程序，区域管理器将收到注册终端的相关信息，同时终端可以接收、执行各种下发的指令。

注册程序自动探测系统硬件信息，连同用户填写的信息一同上报区域管理器。

用户将本机注册信息发送到区域管理器后，区域管理器自动将客户端驻留程序应用策略发送给用户，并自动更新。

客户端驻留程序功能：1.进行本机硬件属性信息变化监视；2.进行本机IP、MAC地址变化审计；3.本机系统补丁、软件安装、运行进程状况监测；4.探测本机是否有违规联网行为，在内网管理中心或外网报警平台报警；5.接受Web管理平台的管理命令；6.阻断本机非法外联行为；7.执行Web管理平台下发的各种策略操作。

补丁下载服务器：安装在与Internet网络连接的机器上，用于实时下载补丁厂商发布的补丁。

管理器主机保护模块：管理器主机保护模块可根据管理器或其他服务器具体使用的端口、网络协议、通信IP范围和具体的其他网络应用来定义该计算机使用的安全级较高的网络配置，从而防止该计算机受到恶意的IP冲突以及各种网络、病毒攻击。

报警中心模块：安装在可与区域管理器所在服务器正常通讯的计算机上，本模块可以根据管理员在系统中所配置的报警事件和危险级别提供给管理员包括电子邮件、信使服务、SNMP Trap、手机短信等多种报警方式。

注：区域管理器（Region Manage）、区域扫描器模块（Region scan）、注册程序部分系统的参数配置集中体现在网页管理平台操作上，上述三部分功能参数、功能项数值统一在网页管理平台中进行配置。

区域管理器（Region Manage）、扫描器模块（Region scan）部分参数在自身程序组件中配置。

1-2应用构架北信源终端安全管理应用于局域网、广域网构架，支持跨网段、跨地域的内网远程客户端管理及非法移动设备接入检测、网内计算机违规联网监视、网络安全隔离度监控等。

系统应用主要分为以下两种构架：基本构架：对于一般网络（例如1个C类地址或若干个C类地址的局域网范围），可使用一套本系统软件，通过一个管理器集中管理所属区域内的所有设备。

扩展构架：对于大规模的多个局域网或者跨地域广域网（包括基于国家、省、市、县等多级管理模式的网络结构），可使用本系统提供的多区域集中管理构架，即一个或多个网段各拥有一套独立北信源终端安全管理的同时，将本级所有设备信息再转发给上级管理数据库，使得上一级管理人员对整个网络的设备状况也能够完全掌握。

图1-1北信源终端安全管理应用拓扑第二章．产品安装2-1安装环境条件一：硬件环境SQL Server数据库服务器：用于安装系统管理信息数据库。

PC服务器或更高档服务器，PentiumⅣ 2.4C以上CPU，512M以上内存。

区域管理器：用于安装区域管理器程序。

百兆或千兆网卡，PC服务器或更高档服务器，PentiumⅣ 2.4C以上CPU，512M以上内存。

扫描器模块：配置同区域管理器。

如单独安装扫描器模块，比较高档的PC计算机即可。

本系统各程序可安装在同一台计算机上，也可在不同机器上安装SQL数据库、IIS服务器、区域管理器、扫描器模块等，此时推荐该计算机内存为1G以上。

建议将区域管理器、扫描器、网页管理平台安装在同一台机器上，作为监控服务器。

条件二：提供数据库、IIS服务操作系统：Windows2000或Windows2003企业版操作系统。

Mircosoft SQL Server软件：配备SQL Server2000或SQL Server2005数据库系统，用于北信源终端安全管理建立管理信息库数据库列表项。

（注：以下均以SQL Server2000为例）IIS服务：配备IIS服务器提供Web服务，用于安装Web网页管理配置平台。

如所装操作系统为Windows2003企业版，则需要按照附录（三）的Windows2003的IIS配置说明进行IIS配置。