网康、深信服上网行为管理功能对比解析
安全设备比较
日志审计
报表
支持Syslog日志和二进制日志；支持NAT日志记录；支持流日志，能够对网络流量、DDoS攻击流量、P2P流量等进行统计分析排序，并自动输出图形报表
支持对HTTP、SMTP、POP3、FTP等协议的深度内容过滤；
支持URL、关键字过滤；
支持对移动代码如Java applet、Active-X、VBScript、Jscript、Java script的过滤；
支持基于IP地址、端口、时间、用户、文件、网址、关键字、邮件地址、脚本、MAC地址等多种方式进行访问控制；
支持对HTTP、SMTP、POP3、FTP等协议的深度内容过滤；
支持URL、关键字过滤；
支持对移动代码如Java applet、Active-X、VBScript、Jscript、Java script的过滤；
基于IP地址、MAC地址、域名、端口和协议、时间、用户的访问控制
支持对HTTP、SMTP、POP3、FTP等协议的细粒度控制
DNS攻击
连接耗尽
CC
(m)STREAM FLOOD
串联部署
串联集群
旁路部署
日志
Syslog，本地无
Web安全设备
绿盟
web安全防护系统
WAF
NDE-WAFP600A-01
WAF P600A引擎模块，1U，含交流单电源，1*RS232串口，1*FE管理口，4*FE电口（Bypass）。标准配置提供1路电口WAF防护，支持BYPASS
2个10/100/1000M探测端口（光口）、1个10/100M管理端口(电口)、1个配置串口。
上网行为管理
上网行为管理一解释上网行为管理是指帮助互联网用户控制和管理对互联网的使用。
其包括对网页访问过滤、上网隐私保护、网络应用控制、带宽流量管理、信息收发审计、用户行为分析等。
比如，限制公司员工访问某一些网页，限制使用QQ、微信等软件，针对每台电脑带宽做限制等。
二为什么要管理上网行为1.防止员工使用像迅雷、BT等为代表的P2P应用，占用大量带宽资源，导致网速变慢。
2.有效预防内部员工带来的安全隐患，像浏览了有安全风险的网络内容。
3.防止员工在工作期间发生聊天、游戏、炒股等行为，严重影响办公效率。
4.预防内部员工在网上发布违反法律的信息。
5.网络故障时，可以即时找到故障根源。
三主要功能1.网页访问过滤根据行业特征、业务需要和企业文化来制定个性化的网页访问策略，过滤非工作相关的页网页。
2.网络应用控制制定有效的网络控制策略，封堵与业务无关的网络应用。
3.带宽流量控制对不同岗位的员工、不同网络应用划分带宽通道，并设定优先级，合理利用有限的带宽资源，节省投入。
4.信息内容审计制定全面的信息收到监控策略，有效控制关键信息的传播范围，以及避免可能引起的法律风险。
5.上网行为分析用户可以实时了解、统计、分析网络使用状况，并根据分析结果对管理策略做调整和优化。
四其他功能NAT、路由、防火墙、VPN等功能。
五部署1.路由模式设备相当于路由器，一般在出口位置，具备路由转发和地址转换功能。
一般这种部署时替换客户原有的防火墙、路由器设备。
这种模式对客户的影响大，需要清楚的知道内网需要代理上网的地址段，需要映射到公网的业务等等，如不是非用此模式不可，一般不建议采用。
2.网桥模式这种模式对客户的网络基本没有改动，设备就是二层设备，只有在设备上架的短时间影响网络，推荐使用。
网桥模式不支持NAT、VPN、DHCP等功能，网桥模式支持硬件bypass，如果设备故障自动启用此功能，不会影响客户网络。
3.旁路部署模式此模式用于审计，不影响客户网络环境。
深信服上网行为管理
深信服上网行为管理由于互联网的普及，人们可以随时随地在自己的电脑或手机上访问各种网站和应用程序。
虽然这样的便利给我们的生活带来了很多乐趣，但是也带来了不少问题。
其中最重要的问题是如何管理上网行为，以保护个人和企业的隐私和安全。
这就是深信服上网行为管理所要解决的问题。
根据深信服的介绍，上网行为管理是指对企业和机构内部网络使用情况进行监控和管理，以确保网络资源的安全和有效利用。
一般而言，上网行为管理可以分为以下几个方面：1. 访问控制。
这个方面是指通过设置网络防火墙和访问控制规则，禁止一些不安全或不必要的网络连接，以避免病毒、背景音乐等对网络的破坏和浪费。
2. 员工监控。
这个方面是指通过网络监控软件，实时监测企业的内部网络使用情况，记录员工的网络活动，包括网站访问、打印和复制文件等操作。
这种监控可以帮助企业防范信息泄露和员工不当使用网络资源的行为。
3. 数据保护。
这个方面是指对企业机密信息进行加密和存储，防止黑客、病毒等非法入侵和窃取。
此外，深信服还提供了异地备份和自动恢复等功能，保障企业在网络灾难和硬件故障时仍能保持数据安全。
4. 网络优化。
这个方面是指通过访问统计和流量分析等工具，了解网络使用情况，判断网络流量波峰和波谷，调整网络带宽，使网络资源的利用率最大化。
综上所述，深信服上网行为管理不仅可以帮助企业保护网络的安全和隐私，同时还可以提高网络资源的利用效率，增强企业的生产力和竞争力。
但是，由于监控和管理员工的上网活动涉及个人隐私，企业在使用上网行为管理的时候应该遵循以下几个原则：1. 进行明确的告知。
企业在使用上网行为管理之前，应该事先向员工做出相关的告知，让他们明白使用网络的条件和限制。
2. 合理使用。
在使用上网行为管理时，企业应该根据工作需要和风险评估的结果，制定合理、科学的网络管理策略，避免滥用和误用网络监控和管理的权利。
3. 保护员工隐私。
在进行员工监控时，企业应该保证员工个人隐私的保护，合法使用网络监控软件，不违反相关法律法规和规定。
深信服上网行为管理-基本功能介绍
网络应用识别
识别网络应用，了解用户行为，是管控措施的基础和对象 国内最大的应用识别库，超过2000多种主流应用
注：该规则库会定期更新，此显示 为2014年11月前更新的规则总数
网络应用识别
识别网络应用，了解用户行为，是管控措施的基础和对象
行为管理：应用授权
实现权限与职责的匹配，防止越权访问与泄密风险，管控与业 务无关的上网行为，提升员工工作效率， 过滤不良信息，防 止法律风险
上网行为管理标准 OA
审计
用户身份识别
网络应用识别
流控
封堵 行为管控
数据分析
SANGFOR AC基本功能介绍
用户身份识别
有效区分用户，分层次管理的组织架构，是部署差异化管理策略的依据
用户身份识别
未通过认证的用户： 控制上网权限
通过认证的用户： 定向至指定网页
本地认证
IP/MAC认证 自建帐号密码 USB-Key 认证 短信认证
定向至指定网页ipmac认证自建帐号密码usbkey认证短信认证ldapradiuspop3ipmac认证pop3proxyad单点登录微信认证web单点登录pppoe单点登陆数据库认证第三方设备单点登陆新用户认证自动分组自动认证自动授权用户身份识别有效区分用户分层次管理的组织架构是部署差异化管理策略的依据用户身份识别用户身份识别映射组织结构网关控制台用户与上网策略对应策略列表用户与行为一一对应数据中心网络应用识别识别网络应用了解用户行为是管控措施的基础和对象国内最大的应用识别库超过2000多种主流应用注
控制不可信的下载源，避免下载带病毒的文件 管控文件外发行为，防止机密文件外发等泄密事件
指定下载站点 封堵其他站点
基于文件类型 控制上传/下载
深信服上网行为管理产品功能
深信服上网行为管理主要作用：能够全面封堵网站浏览、QQ聊天等各种工作无关网络行为封堵和流控当前的BT、eMule等，和未来可能出现的各种P2P应用杜绝不良网站和风险文件的访问及下载，防范DOS攻击及ARP欺骗等独特的敏感内容拦截和安全审计功能，防止机密泄露全面记录网络行为日志，避免法律风险，并让IT管理者对网络效能和行为进行方便的统计、审计、分析、报表再辅以SANGFOR M5X00-AC的其他安全扩展功能，全方位保障您的网络安全通过采用SANGFOR M5X00-AC上网行为管理解决方案，可以保障组织管理者实现完善的网络访问行为管控和行为审计，并达到如下效果：1.规范员工上网行为（如禁止上班时间QQ聊天、炒股、网络游戏等），提升工作效率上班时间从事私人活动，是办公室皆知的秘密。
管理者却难以阻止员工在上班时间浏览无关网站、QQ聊天、在线炒股等工作无关的网络行为，员工工作效率的下降将直接影响组织的竞争力。
而通过SANGFOR AC可以把与工作无关的上网行为降低到最低，去除员工的分心，让他们专注于工作中。
2.流量控制、带宽管理，提升带宽利用率对严重吞噬带宽的P2P行为，SANGFOR AC不仅能彻底封堵，还能对其占用的带宽进行流量管控。
基于用户(组)、时间段、应用类型的带宽管理和带宽通道划分，结合智能QoS，既保证了业务应用对带宽的需求，又避免了对带宽的滥用，提升带宽使用效率。
3.修补安全漏洞、提升内网安全级别色情、反动网站的浏览和未知文件的下载安装，导致病毒、木马等被员工主动“邀请”进入内网，SANGFOR AC将过滤该行为，并提供网关杀毒功能从源头消除威胁；源自内网的DOS攻击、ARP欺骗等也将被SANGFOR AC彻底防御；而组织内网使用低版本操作系统、不及时打补丁、不安装指定的杀毒/防火墙软件、安装使用违规软件的终端用户，SANGFOR AC亦能侦测发现，从而修复内网安全短板。
4.防范信息机密外泄、保护组织信息资产安全员工使用Email邮件可能将组织的信息机密发送到公网、甚至竞争对手，SANGFOR AC特有的“邮件延迟审计”专利技术，将彻底防范该泄密行为；员工的网络发帖、webmail行为，SANGFOR AC同样可以过滤和记录；而SANGFOR AC 对QQ、MSN等聊天内容的记录和审计，将警示通过IM聊天工具泄密的行为。
上网行为管理
1．上网行为管理目前市场主流厂商：深信服、网康典型案例2.1 提升内网业务操作效率——封堵非业务应用解决方案方案背景：日益发达的互联网让企业员工有了更多的选择，网上聊天、网上购物、在线视频、论坛灌水、BT电影……上班时间，员工很难不受众多网络娱乐的诱惑，大家在或多或少地利用工作时间进行非业务操作。
以上行为实实在在地存在于我们的办公网中。
事实上，我们很多企业员工打开电脑的第一件事便是开迅雷，下载电影、视频、游戏；也有为数不少的员工痴迷股海，一心扑在大盘上面；而我们的员工在在线视频、在线小游戏、娱乐网站、热门论坛上花费的时间更是惊人。
凡此种种，无不给我们有限的带宽资源带来了巨大的流量压力，给员工的办公效率打了一个大大的问号。
上网行为管理解决方案——合理封堵非业务网络应用随着现代企业管理理念和信息技术水平的提升，如何有效管理与利用互联网资源，这已成为现代企业管理的重要衡量标准。
与此同时，上网行为管理的理念愈发深入人心，提升员工网络业务的办公效率，这已经成为企业IT管理者关心的首要问题。
、如上图，企业通过以网关、网桥、或旁路模式部署上网行为管理产品，可以有效对内网员工的各种网络应用行为进行管理。
上班时间，封掉影响业务效率的非业务应用及相关网站；对挤占公司带宽资源的应用进行流量控制，确保主流的办公应用带宽资源，以提高业务应用的办公效率。
方案价值：1、全方位封堵p2p ，确保正常办公业务带宽P2P应用给用户带来了前所未有的速度体验与资源共享，但也挤占了我们大量的带宽资源。
P2P的带宽占用问题已经成为每个IT管理者头痛的问题，其所带来的负作用日渐凸显。
鉴于此，上网行为管理设备通过检测网络软件数据包特征码，可以对常用软件进行彻底封堵，包括BT、eMule、PPLive、QQLive等。
对于加密BT、不常用的和未知版本的P2P软件，独有的网络行为智能分析技术使其同样难逃法网。
有些部门和领导因业务需要使用P2P，在全面封堵的同时，上网行为管理设备还可以提供P2P流控功能，即允许指定用户使用P2P，但对其占用的带宽进行控制。
深网DEEPNET vs北京网康、上网海新网程、深信服
上海深腾信息技术有限公司厂家 对比项深网DEEPNET网络督察网康深信服产品形态 软硬件一体化专用设备 软硬件一体化专用设备 软硬件一体化专用设备 软硬件一体化专用设备 产品定位 上网行为管理产品上网行为管理产品。
上网行为管理产品。
上网行为管理产品。
产品外观 全新的不锈钢外壳，结实美观 全部采用烤漆工业，外观粗糙 部分采用烤漆工艺 全部采用烤漆工业，外观粗糙 研发力量集团化的企业、雄厚的资金实力、研发人员超过100人。
研发人员较少５０人左右。
研发人员较少５０人左右。
研发人员较少５０人左右。
界面亲和力界面友好，窗体利用率高，操作便捷较差，窗体利用率极低。
1024分辨率下设备操作界面区域很小。
沿用以前防火墙的设置界面和操作习惯，不能完整利用窗体显示面积，做一些简单的操作也需要很复杂的步骤（比如进行邮件内容的关键字查询，需要新建一个查询，然后定义查询条件和查询范围）。
UTM 式的设备，功能分类不明确，用户使用起来不方便，界面繁琐。
操作系统Safe os 、自主研发的独有的操作系统，系统稳定性和安全性超强。
负荷少，使用专业嵌入式系统，断电等非正常关机不会引起系统故障，运行稳定。
Linux 通用操作系统，照搬操作系统默认配置，使用关系型数据库，断电等非正常关机引起文件系统故障的概率较大，稳定性有较大隐患。
Linux 通用操作系统，照搬操作系统默认配置，使用关系型数据库，断电等非正常关机引起文件系统故障的概率较大，稳定性有较大隐患。
Linux 通用操作系统，UTM 集成产品，开了防火墙等多项功能，有的产品甚至集安全审计、防火墙、过滤邮件等于一身，严重影响产品性能。
智能路由独有的智能路由技术，而是采用智能的识别方式，对每一个通过的数据包进行鉴别，找到最快的通信线路建立连接。
保证网格时时畅通、网络更快。
不支持，当网络出现阻赛现象时没有有效地避免措施。
不支持，当网络出现阻赛现象时没有有效地避免措施。
不支持，当网络出现阻赛现象时没有有效地避免措施。
D-网康与深信服对比
串口作为一种重要的设备管理方式，在Cisco、Juniper、各种网络设备中都有提供并起到了重要作用。如果无法通过串口进行管理，在设备故障失效的时候，无法通过一个有效的备用管理手段进行故障诊断；甚至当忘记设备的IP地址时就无法对设备进行管理。
设备必须可以提供独立于LAN，WAN，DMZ接口的管理口
可以基于发信人、收信人、主题、正文、附件名关键字对webmail外发邮件内容进行审计、过滤、报警
深信服对webmail只能基于关键字匹配，不能区分发信人、收信人等多种条件
webmail作为一个重要的信息外发手段，需要进行精细化的审计和管理，配合不同的条件，可以做到如发给领导的webmail不做审计，避免领导问责，或阻断发给竞争对手的webmail，管理更灵活，单纯的依靠简单的关键字来进行过滤做法过于粗犷。
可以对搜索非法关键字的行为进行阻断、报警，并且能够保留阻断的关键字
深信服阻断非法关键字搜索行为后不能保留原文留证，阻断不进行报警，只有审计可报警
该对比的客户价值说明：
由于管理员不可能实时的盯着设备看，因此当个别违规行为发生后管理员很可并不知道，因此及时的告警通知到管理员是十分必要的。因此这个要求是完全合理的，必要的。对于阻断的原文不留证，一旦发生投诉，无证可查。
网康与信服对比
对比项
网康
深信服
对比功能对客户的重要性
产品资质
中国软件评测中心（CSTC）出具的《信息安全产品测试报告》
深信服没有此测试报告
中国软件评测中心是工信部直属的国家一级科研事业单位，是国内最具权威性的国家级软硬件产品和信息系统测试实验室，依据标准GB/T 18336.2-2008、GB/T 20945-2007、GA/T 698-2007对产品进行严格的测试。
深信服上网行为管理
深信服上网行为管理随着互联网的快速发展和普及，让人们更加容易上网，高端甚至普通的手机设备也给大众带来了便利。
每个人都可以随时随地上网，获取各种信息和服务。
同时，也存在一些不良上网行为，这些行为有可能侵犯其他人的权益和利益，对个人和社会都会造成很大的影响。
为了规范和管理上网行为，深信服上网行为管理应运而生。
接下来，就让我们来详细地了解一下深信服上网行为管理的相关内容。
深信服上网行为管理是一个完整的网络上网管理方案，它包括网络上网行为监控、网络上网流量管理、上网行为审计、过滤与控制等方面。
其目的是规范和保障网络操作的安全性、合法性和合理性，确保网络资源的合理利用。
首先，网络上网行为监控是深信服上网行为管理的重要一环，它可以对网络用户的上网行为进行实时、准确、全面的监控和记录。
通过实时监控，可以及时发现和阻止不良上网行为，避免网络犯罪或其他不法行为的发生。
通过准确记录，可以为后续网络管理和维护提供重要的数据支持。
其次，网络上网流量管理是指对网络上网流量进行有效的管理和控制。
此管理可以精确测算网络上网用户的流量消耗情况，从而合理规划和利用网络带宽，减少网络瘫痪的情况产生。
同时，对于不合理的流量操作，如高流量、过度的流量等，我们可以通过一系列的控制措施进行管理和控制，保证网络正常运行。
第三，上网行为审计是深信服上网行为管理中的另一个重要部分。
通过对上网行为进行审计，我们可以对用户的上网情况进行精确评估，进而发现和消除潜在的网络风险。
同样，该审计还可以为网络管理人员提供有用的信息和数据，支持网络管理人员制定更加合理的网络管理计划。
最后，对于不良网络行为和不良内容，我们可以通过过滤和控制的方式来防止和消除。
深信服上网行为管理会通过各种先进的技术手段来过滤和控制网络上不良内容、欺诈交易、病毒等有害内容，保障网络环境的规范化、健康化，为用户带来更高品质的网络体验。
总之，深信服上网行为管理是一种完整和高效的上网管理方案，它旨在规范和保障网络操作的安全性、合法性和合理性。
深信服上网行为 管理设备功能介绍(2)
深信服上网行为AC-5000 管理设备功能1) 控制功能：细致的访问控制，有效管理用户上网对于内网用户的网页访问行为，AC不仅通过内置URL库，关键字过滤等方式进行管控。
对于采用SSL加密的网页，如钓鱼网站等，AC的证书验证链接黑白名单技术同样可以管控。
AC不仅管理用户使用WEB、FTP、EMAIL等常用服务，通过深度内容检测技术，实现对QQ、MSN、SKYPE等IM聊天工具，BT、电骡等P2P下载工具，PPLive、QQLive 等在线影音工具，网络游戏，在线炒股等网络应用行为进行管理和控制。
SINFOR AC具有国内最大的应用协议识别库。
针对目前P2P行为泛滥的趋势，SINFOR AC的P2P智能识别技术能够对不常用的、未来可能出现的P2P软件进行有效管控。
并且对P2P行为严重吞噬带宽资源的问题，提供流量控制功能。
上网行为的管理必须以识别为基础。
SINFOR AC支持本地认证、和第三方认证（包括LDAP、AD、Radius、POP3、PROXY等），丰富的用户识别方式方便组织的使用。
AC所具备的多种网络访问控制功能，可以基于用户/用户组、基于时间段、基于不同目标行为进行灵活权限控制，实现人性化管理要求。
表1：访问控制功能一览表认证方式 支持触发式WEB认证、本地认证、和第三方认证（包括LDAP、AD、Radius、POP3、PROXY等）、Dkey认证等账户自动创建 支持未建帐户的新用户以其计算机名/IP地址作为用户名自动创建帐户；支持将指定IP段的用户自动创建到指定用户组，并同时绑定IP、MAC等。
IP-MAC绑定 支持对用户绑定IP、绑定MAC、或同时绑定IP和MAC； 支持三层网络环境下的IP-MAC绑定功能单点登录 支持AD单点登录，无需在域控服务器上安装任何插件；支持POP3、PROXY单点登录AD同步 支持自动将AD服务器上指定OU/指定安全组读取到设备的树形用户分组结构中，并定期保持与AD自动同步用户认证组织结构 用户分组支持树形结构，支持父组、子组、组内套组等网址过滤 内置800万条以上预分类URL库； 允许手工输入新URL和新分类；关键字过滤 可过滤搜索引擎搜索的指定关键字（关键字可定义）； 可针对网页正文关键字进行网页过滤；可过滤BBS、Webmail等外发含有指定关键字的言论SSL网站过滤 支持对SSL加密的钓鱼网站、炒股网站、证券基金网站、在线购物网站的识别和过滤网页控制文件类型过滤 过滤通过HTTP、FTP下载、上传指定类型的文件； 支持对非标准端口FTP文件传输行为的过滤邮件控制地址限制 可根据发件人地址过滤SMTP外发邮件；可控制哪些用户使用哪些邮箱外发邮件；附件过滤可控制用户外发邮件的附件类型 关键字过滤可限制外发含有指定关键字的邮件 加密邮箱控制对SSL 加密邮箱（如Gmail）识别和控制Webmail 控制可限制指定用户使用指定Webmail ； 基于正文关键字过滤用户的Webmail 行为； 延迟审计支持延迟缓存外发邮件，人工审计后再外发 上网控制可分组、分时段、分用户控制用户可以使用的网络服务（包括网页、下载、QQ、MSN、游戏、Email 等） IM 控制 可分组、分用户、分时段封堵所有聊天软件如：QQ、MSN、新浪UC、Yahoo Messenger、网易泡泡、Skype、飞信等P2P 控制 可分组、分用户、分时段控制用户使用BT、电驴、迅雷、PPLive 等P2P 软件；并能够对非常见/未来可能出现的P2P软件进行管控权限继承 父组的权限支持继承给子组，并支持强制继承，即子组无权删除被强制继承的策略对象代理识别 可以识别并禁止使用HTTP、Socks 代理；对HTTP/HTTPS端口中封装的其他协议进行封堵；可禁止内网用户使用代理软件代理他人上网访问控制策略 支持基于组、时间、服务、网址策略、内容策略等多种对象组合上网控制 上网计时控制控制用户总的上网时长；支持对用户上网时长进行统计2 带宽及流量管理功能：强大流量分析及带宽划分与分配SINFOR AC 的多线路复用专利技术使一台AC 可同时连接四条公网线路，扩展带宽、互为备份、流量负载均衡。
深信服上网行为管理解决方案
深信服上网行为管理解决方案深信服科技有限公司20XX年XX月XX日目录第1章需求概述...................................................................... 错误!未定义书签。
背景介绍...................................................................... 错误!未定义书签。
需求分析...................................................................... 错误!未定义书签。
带宽效率风险.................................................... 错误!未定义书签。
工作效率风险.................................................... 错误!未定义书签。
泄密风险............................................................ 错误!未定义书签。
法律风险............................................................ 错误!未定义书签。
安全风险............................................................ 错误!未定义书签。
客户具体需求分析...................................................... 错误!未定义书签。
客户网络现状分析...................................................... 错误!未定义书签。
第2章上网行为管理标准...................................................... 错误!未定义书签。
深信服上网行为管理配置详解
第五步：添加该用户的上网策略，点击进入【策略列表】页面，点击【添加策略】，在 弹出的【添加策略】页面选择需要关联的策略。
第六步：完成用户属性与策略的编辑后，点击提交，完成用户的添加。 第七步：通过设备上网时，验证IP和MAC是否正确，如果正确则认证通过，客户端不会弹 出认证页面。如果IP/MAC地址和绑定的IP/MAC不符，则认证不通过，此时没有提示页面 ，但客户端的现象是上不了网。
控制台功能说明
2.4.2.1.2设置用户组的上网策略
第一步：在【组织结构】中选择需要添加上网策略的用户组，右边进入管理页面，在【 策略列表】窗口中，点击添加策略按钮，然后弹出的【添加策略】页面，选择策略。 第二步：点击添加策略，在【添加策略】 中选择需要关联的上网策略工程师上网策 略，勾选[递归应用于子组]表示添加的策 略同时也会关联给子组，不勾选则表示子 组不会添加该策略。设置完成后点击确定。 第三步：返回【策略列表】页面，查看用 户组关联的。
代表网口状态是已连接状态， 击 可以设置自动刷新的时间。
代表网口状态是未连接状态，点
控制台功能说明
2.2.1运行状态
【接口吞吐率折线图】通过折线图的形式来动态显示外网接口实时发送 和接收数据的情况。
点击 可以设置[选择时间段]来显示相应时间段接口转发数据的情况 ，在[选择流量单位
控制台功能说明
2.2.1运行状态
控制台功能说明
2.1WebUI 配置界面
登录界面如下图所示：
控制台功能说明
2.1WebUI 配置界面
如何消除登录控制台的证书告警框？
首先，登录控制台，进入『系统配置』→『高级配置』→『WebUI选项 』页面，点击下载证书，将证书下载到本地安装。
上网行为管理设备的选择
面对上网行为管理设备，我们该如何选择？
我们从来不奢求ISP（网络服务提供商）能给我们提供取之不尽用之不竭的带宽资源，这是要付出昂贵代价的，但起码来讲现有的带宽资源你真的确定充分利用好了么？互联网应用的快速发展，导致接入型路由器已经不能完全满足用户的基础需求。
网经科技OfficeT en SSG 系列是一款专门为4M及以上大带宽多终端家庭用户和小微型企业量身打造的上网行为管理路由器，采用电信工业级芯片接入型网关产品。
现如今，能做上网行为管理路由器的厂商大体可以分为两类，一类做路由器出身，例如TP-LINK、T enda、D-LINK，在低端市场领域以及价格上有着自己的优势，但既然产品核心是上网行为管理，那么就需要有深厚的技术背景来支撑，这点上是有所欠缺的；另一类，就是传统的安全厂商，例如网康、深信服等，他们有着深厚的上网行为审计的技术背景，但绝大多数又因为不具备自主研发硬件的能力，导致单台设备售价居高不下，而这点又是绝大多数中小企业、多终端家庭用户最敏感台的环节。
网经科技上是少数能两者兼顾的厂商之一，他有着独立的自主研发硬件的能力，早在08年便投身于电信级定制网关的热潮之中，同时，从06年起就开始积累的专业级上网行为审计系统的研发经验，也将作为上网行为管理路由器后期持续发展的坚实后盾。
路由器新时代的大门已经开启，我们准备好了，你呢？
武汉博信通公司作为网经科技湖北省总代理，在这里承诺，对网经科技OfficeT en SSG提供一周试用与退换服务，用户可对比其它品牌产品体验，体验不佳可以退换。
上述产品一年包换，二年质保，武汉市内免费上门安装和调试。
深信服上网行为管理部署方式及功能实现配置说明
深信服上网行为管理部署方式及功能实现配置说明（标化院）设备出厂的默认IP见下表：AC支持安全的HTTPS登录，使用的是HTTPS协议的标准端口登录。
如果初始登录从LAN口登录，那么登录的URL为：https://10.251.251.251，默认情况下的用户名和密码均为admin。
设备正常工作时POWER灯常亮，W AN口和LAN口LINK灯长亮，ACT灯在有数据流量时会不停闪烁。
ALARM红色指示灯只在设备启动时因系统加载会长亮（约一分钟），正常工作时熄灭。
如果在安装时此红灯长亮，请将设备掉电重启，重启之后若红灯一直长亮不能熄灭，请与我们联系。
『部署模式』用于设置设备的工作模式，可设定为路由模式、网桥模式或旁路模式。
选择一个合适的部署模式，是顺利将设备架到网络中并且使其能正常使用的基础。
路由模式：设备做为一个路由设备使用，对网络改动最大，但可以实现设备的所有的功能；网桥模式：可以把设备视为一条带过滤功能的网线使用，一般在不方便更改原有网络拓扑结构的情况下启用，平滑架到网络中，可以实现设备的大部分功能；旁路模式：设备连接在内网交换机的镜像口或HUB上，镜像内网用户的上网数据，通过镜像的数据实现对内网上网数据的监控和控制，可以完全不需改变用户的网络环境，并且可以避免设备对用户网络造成中断的风险，但这种模式下设备的控制能力较差，部分功能实现不了。
选择【导航菜单】中的『网络配置』→『部署模式』，右边进入【部署模式】编辑页面，点击开始配置，会出现『路由模式』、『网桥模式』、『旁路模式』的选项，选择想要配置的网关模式。
路由模式：是把设备作为一个路由设备使用，一般是把设备放在内网网关出口的位置，代理局域网上网；或者把设备放在路由器后面，再代理局域网上网。
配置方法：第一步：先配置设备，通过默认IP登录设备，比如通过LAN口登录设备，LAN口的默认IP是10.251.251.251/24，在电脑上配置一个此网段的IP地址，通过https://10.251.251.251登录设备，默认登录用户名/密码是：admin/admin。
上网行为审计产品对比
上网行为审计产品对比seek； pursue； go/search/hanker after； crave； court； woo； go/run after上网行为审计产品对比XXXX系统集成有限公司2008/10/10企业信息化产品除了满足企业内、外部的需求外,还要满足在互联网应用上出现的问题――信息安全问题.当企业接入互联网之后,公司领导发现了诸多问题：员工随意的互联网访问行为是否威胁到企业整个计算机系统的安全是否在工作时间上网冲浪、聊天而导致工作效率下降是否通过网络泄漏了企业的核心信息是否通过网络传播了反动言论招致法律风险等等.而这些可以归纳为3个非常突出的问题：安全问题、保密问题、管理问题.安全问题：在互联网应用方面,HTTP、SMTP、FTP、POP3等协议,几乎每天都面临不同的安全风险,而这些应用协议正是企业每天都在用的；而病毒、蠕虫、垃圾邮件、木马程序、间谍软件、网络钓鱼等恶意行为也在伺机攻击企业的IT 系统.保密问题：客户资料、未公开的核心技术、商业信息等具有非常高的机密性文件,可以轻易的通过Email、、MSN、BBS等网络通信渠道外发,可能造成泄密.管理问题：反动、色情、网络游戏、聊天交友、BT下载、在线音乐、在线电影等不正当的网络行为不但蚕食着员工的思想和时间,更占用了企业大量的带宽资源,给企业正常的网络业务带来极大的影响.复杂的互联网中隐藏着各种各样的威胁,进入互联网就如同进入一个危险的雷区.这三大问题直接困扰着企业,如何才能兴利除弊让各种互联网活动更安全、更有效、更可控呢加强上网管理,兴利除弊信息安全问题不单是系统问题、硬件问题和环境问题,主要还是人的问题.针对企业遇到的互联网应用问题,XXXX认为必须做到“三分技术,七分管理”才能有效解决这些问题,也就是通过有效的技术手段实现有效的管理,从而达到安全效果.因此,XXXX公司为企业提供了面向全公司系统的互联网控制管理解决方案.两种方案对比表产品厂家网康中科新业宝创深信服青莲莱克斯冰峰产品名称网康互联网控制网关硬件平台＋中科新业互联网安全审计软件金盾网络行为管理系统深信服上网行为管理系统青莲上网行为管理系统易网析网络行为管理系统网极星行为管理系统产品线种类4种6种7种7种1种7种5种部署方式透明网桥模式、网关模式、旁路监听模式旁路侦听模式透明网桥模式、网关模式、旁路监听模式透明网桥模式、网关模式、旁路监听模式旁路侦听模式旁路侦听模式旁路侦听模式、网关模式网页浏览HTTP审计支持支持支持支持支持支持支持加密网页浏览HTTPS审计支持证书审计不支持不支持支持证书审计不支持不支持不支持网络聊天审计IM支持支持支持支持支持支持支持加密网络聊天内容审计、MSNSHELL 不支持内容记录不支持内容记录不支持内容记录不支持内容记录不支持内容记录不支持内容记录不支持内容记录收发邮件审计标题、正文、附件支持支持支持支持支持支持支持P2P、BT 协议审计和封堵支持支持支持支持支持支持支持搜索关键词审计支持支持支持支持支持支持支持文件传输FTP协议审计支持支持支持支持支持支持支持音视频审计支持支持支持支持支持支持支持网络游戏审计支持支持支持支持支持支持支持北京网康科技有限公司北京网康科技有限公司是互联网控制管理领域的先行者,致力于研究如何帮助广大用户更好的控制和管理对互联网的使用.网康科技能够为客户提供中国最领先的互联网控制管理解决方案,全面细致的帮助用户实现上网行为管理、内容安全管理、带宽分配管理、网络应用管理、外发信息管理,有效解决互联网带来的管理、安全、效率、资源、法律、青少年网瘾等各种问题.网康科技由美国风险投资、资深金融管理专家及回国留学生共同创办.网康科技深根中国,特别强调自主创新、自主研发,曾获得国家多项技术创新基金的支持.网康科技不断探索最前沿的互联网控制管理技术,深度研究中国网民的上网习惯,从管理角度出发、从内容层面控制、从人的行为进行管理为中国用户提供最完善的互联网控制管理设备及服务.目前,网康科技凭借领先的产品理念、国际化的技术团队及本地化的服务优势,先后在中国、日本、美国、南美洲等地区打开市场,迅速成长为全球互联网控制管理领导厂商.快速发展的网康科技正逐渐步入国际化轨道,全球越来越多的用户正在体验网康科技带来的更易管理、更加安全、更加文明的互联网空间.用户管理多种方式的用户信息获取通过扫描自动获取网内用户的IP信息通过LDAP导入3rd party用户信息通过微软Excel表格、纯文本文件方式导入用户信息自动识别IP用户并加入用户组织结构中层次结构的用户组织管理支持基于网段、工作职能的用户组定义支持自定义用户信息,调整用户组、上网策略等多种方式的用户身份识别、认证支持基于Web页面的用户名、密码识别支持NTLM、BASIC方式的登录名识别支持IP/MAC地址绑定,登录名/IP绑定支持基于MAC优先或IP优先的用户识别支持AD域认证支持WEB方式认证支持LDAP方式认证支持RADIUS方式认证所有认证方式的分网段认证支持自定义认证登录、登出界面互联网活动控制管理Web访问控制管理支持基于用户、时间段、时段的策略定制支持基于内容分类的URL访问控制支持基于URL关键字的正则表达式匹配过滤支持基于HTTP请求数、累计字节数的上传、下载流量和文件类型控制支持自定义URL分类,以及黑白名单设置支持自定义策略提示页面外发信息的监控管理支持针对收发邮件的专项监控设置,如指定用户、收发件人、主题、附件大小等支持针对外发Webmail的专项监控设置,如指定SP1、收发件人、主题、附件大小等支持对外发帖的专项监控设置,并支持基于关键字的过滤和Email报警网络应用控制管理支持基于用户组、用户的应用控制,如允许或禁止某人使用某种应用支持基于时间段的应用控制,如允许或禁止某时间段使用某种应用支持对各种流行IM即时通讯工具的控制,如允许或禁止使用某种IM即时通讯工具支持对各种流行P2P应用工具的控制支持对流媒体协议的控制,如允许或禁止使用某种流媒体协议支持对P2PStreaming网络电视的控制, 如允许或禁止使用某种网络电视支持对各种流行网络游戏的控制,如允许或禁止使用某种网络游戏支持在线炒股软件的控制,如允许或禁止使用某种炒股软件支持对FTP、Telnet等协议的控制支持应用协议自定义,并对其进行控制带宽控制管理支持基于用户、时间段的策略定制支持自定义带宽通道,以及对应的优先级、速率上下限支持基于协议应用的带宽通道分配支持基于用户组的带宽限制互联网活动审计支持在线用户状态的实时监控支持对网络活动的实时监控支持在线用户的Web访问内容实时监控支持在线用户的外发信息,如Email、Webmail、BBS发帖的实时监控支持在线用户的网络应用,如聊天、文件下载等的实时监控支持带宽通道占用情况的实时监控支持对系统异常行为进行监控支持递进式Drill-down记录查询、统计、报表一体化功能支持预定义Pre-defined统计排名模版,一键式统计报告生成支持互联网活动监控记录的历史数据归档设置和数据导出支持Web访问、外发信息、网络应用的历史记录查询和结果显示支持查看邮件内容、邮件附件、发帖正文、聊天记录等信息支持选定时间段内,选定用户的综合性上网报告支持选定的时间段内,基于请求数/流量,针对Web访问、外发信息、网络应用协议的用户排名,多种方式显示支持选定的时间段内,基于请求数/流量,针对Web访问的内容分类排名、URL排名支持选定的时间段内,基于请求数/流量,针对选定的Web内容分类的用户排名、URL 排名支持选定的时间段内,基于流量,针对外发信息Webmail的SP排名支持选定的时间段内,基于流量,针对网络应用协议的应用协议排名支持选定的时间段内,基于流量,针对选定的网络应用协议的用户排名支持多种方式的统计报表生成,如饼状图、柱状图、表格图等支持Email方式的统计报表订阅系统管理支持Web/Console方式的安全操作界面支持OOBOut-of-band带外管理支持差异化的系统操作权限设置超级管理员级：所有权限,负责分配其他管理员的权限系统管理员级：根据所设定的权限,可进行系统的管理和维护审计员级：在上级管理员允许的范围内查看和修改信息系统数据管理功能系统时间、邮件服务器参数的设置控制引擎、Cache、DHCP等服务的设置支持URL数据库、应用协议数据库更新支持系统配置备份、策略备份、日志分类备份支持VLAN透传,以及多WAN口的带宽聚合均衡管理支持负载、系统日志显示,并提供常用网络工具的支持系统防护和警报功能支持对ARP攻击的报警Web访问量过大时系统的自我保护和报警支持全局流量的监控与报警支持网内IP发生异常网络流量时的报警支持对系统服务运行状况的自行监控和报警支持对硬件设备的监控和报警支持在负载过高、运行状况不佳时的报警并自动启用Bypass功能深圳市中科新业信息科技发展有限公司深圳市中科新业信息科技发展有限公司成立于2002年9月,是专业从事网络安全技术研究、网络安全产品开发与生产销售,为客户提供专业化安全服务支持和全面的网络安全整体解决方案的高科技公司.公司总部和研发中心设在深圳,并在北京、上海、杭州、广州、佛山设有分支机构.公司自成立以来获得了各级政府部门的大力支持,同时,公司利用自身强大的技术实力积极配合各级政府主管部门参与了多项保障互联网安全、净化互联网环境的工作,在业界享有较高声誉.公司拥有自建的网络安全研究实验室,配置有专用测试仪等先进科研设备,并与中科院高能物理研究所网络安全组共同成立了联合攻关课题组.公司目前已开发出了中科新业网络哨兵系列安全审计产品：“网络哨兵”中科新业互联网安全审计系统和“网络黑匣子”中科新业网络入侵取证系统两大产品.同时代理国际顶尖级杀毒软件：卡巴斯基.深圳、中山、肇庆、江门、阳江、茂名、河源、云浮、湛江9地市总代理及卡巴斯基华南授权服务中心其中“网络哨兵”系列产品,能够透明地审计并管理员工的上网行为,屏蔽黄、赌、毒、邪教、黑客等不良网站,同时能够很好地满足来自信息安全市场的多种需求,例如政府、教育、企业等客户,从而达到提升政府形象、化解潜在的法律责任、提高企业的工作效率、营造绿色校园网络环境的目的,形成横跨多种行业的专业安全审计方案.同时,网络哨兵还能满足公安网监部门对联网用户上网行为审计备案的要求,为调查网络犯罪,提供了有力的取证信息和技术支持,切实符合国务院针对互联网提出的“兴利除弊、促进发展”的战略方针另一产品“网络黑匣子”,是我国目前唯一专业的网络入侵取证产品,其严格按照法律对证据的要求,对被取证机器的日志信息或者网络数据进行如实的记录,并提供一套专业的软件进行分析.“网络黑匣子”的出现,为用户通过法律手段保护网络和数据的安全提供了技术上的保障,产品主要应用于政府部门、公安、保密安全机关、金融、证券、保险等行业,对于搜集网络犯罪证据、保护重要营业数据、保障电子商务安全等方面具有重要的意义.公司已获得深圳市高新技术企业和深圳市软件企业资格认证,是互联网安全审计业界唯一国家承认的商用密码产品生产定点单位,公司秉承为广大用户打造“纯.正”网络为理念,立志成为中国网络安全事业的中坚,与社会共同铸造网络安全坚盾基于应用层协议还原的行为和内容审计网页浏览HTTP协议审计,记录机器 IP、访问网址等信息记录用户网页浏览的时间、URL地址、标题、源目的IP地址、源MAC地址、源目的端口、网址分类信息、机器名称、使用者.还可以记录网页发帖和BBS发帖的内容、支持常见的搜索引擎关键字审计网络聊天审计：腾讯、Windows Live Messenger、ICQ、YAHOO Messenger、网易泡泡、淘宝阿里旺旺、新浪 UC、聊天室等聊天软件 , 可记录聊天帐号,聊天工具,未加密的聊天内容等信息记录用户聊天的时间、聊天工具、聊天帐号、源IP地址、源MAC地址、机器名称、使用者.还能记录通过MSN、ICQ、YAHOO MESSENGER、UC等聊天工具聊天的内容和文件传输的内容.收发邮件POP3、SMTP、WEBMAIL、LOTUS、EXCHANGE,可对邮件帐号、标题、内容、附件进行审计.如记录用户收发邮件的时间、收发件人、主题、附件、内容、源目的IP地址、源MAC地址、源目的端口、机器名称、使用者.P2P 协议审计可以审计通过P2P文件传输迅雷、BT、电骡等时种子链接所访问的URL、源目的IP地址、源MAC地址、外网端口、机器名称、使用者.管理员可以根据URL对种子文件进行封堵.股票审计：审计大智慧、同花顺、钱龙等股票软件记录用户炒股用的大智慧、同花顺、钱龙等股票工具的使用时间、源IP地址、源MAC地址、软件名称、机器名称、使用者.搜索关键词审计,baidu、google 等常见搜索网站远程登录TELNET 协议审计文件传输FTP 协议审计除了记录用户文件传输的行为外,还能记录包括BT在内的文件传输行为的传输方向,上传文件名,文件大小,状态,传输类型.指定允许发送/接收到文件服务器；禁止发送/接收到敏感文件服务器；限制可传输的文件的大小；禁止通过点对点传输工具传输文件；禁止下载或上传指定类型的文件；音视频审计记录用户在线使用音视频开始时间、源目的IP地址、源MAC地址、音视频工具名称、机器名称、使用者,并且可以记录音视频文件的地址.网络游戏审计：联众、边锋、游戏、大型网游,等等记录用户网络游戏在线开始时间、结束时间、游戏时间段、源IP地址、源MAC地址、游戏名称、机器名称、使用者.联众、泡泡堂、浩方、传奇、边锋、远航、石器时代、凯旋、天之炼狱、CS、星际争霸、中国游戏互动平台、中国游戏中心、游戏细致的控制策略可对一周内任意时间段最小精确到半小时进行访问控制可对端口、网页访问、邮件、聊天、文件传输、远程登录、BT 下载进行细粒度控制内外网黑白名单,可设置 VIP 机器、限制指定 IP 或空闲 IP 进行网络访问内置 URL 分类过滤库包含百万个站点以上的记录,含有超过一亿以上的网页.丰富多样的分析和统计功能实时流量：以图表的形式实时显示机器/机器组的流量变化轨迹实时观察：以列表的形式实时的显示所选机器的一切上网行为数据包流量：以列表的形式显示所选机器的数据包流量和流速以图表的形式反映出机器/机器组的实时流量,系统默报表刷新的间隔时间为3秒,刷新的时间间隔可以在系统配置中进行设置,考虑到其系统负载,所以其设置的时间不能小于系统默认的时间.统计报表：提供丰富的报表管理功能；根据时间、数据类型等生成报表,提供打印、导出等服务,可以保存为 html 格式；直观地为管理员提供决策和分析的数据基础,帮助管理员掌握网络使用状况流量排名、搜索关键字排名、网站排名、BBS 访问排名、网址类型排名流量统计、协议流量分析、带宽统计、上网时长统计如：按时间有：日报表,周报表,月报表,季报表,年报表；可按照网络应用：生成网页访问次数,FTP次数,TELNET次数,邮件收发次数,网络游戏次数,音视频次数,网络聊天次数,文件传输次数,其它协议次数统计报表.可按照操作结果；生成访问量,流量,警告次数,外发次数,被封堵次数,耗时,耗资源统计报表按照审计对象可对单个机器、组可以包括子组生成报表；已经生成的报表界面内,可以按照需要的对应列报表图形：柱状图,横向图,柱状均势图,折线图,折线填充图,饼状图,平面饼状图.用户可以自定义报表标题,报表类型,报表时间,报表对象.报表可以导出为TXT、HTML等格式；多种可选操作模式和认证方式提供两种操作模式,以满足不同用户操作习惯和不同操作目的的需求：面向功能的操作模式面向审计对象的操作模式包括两种：面向被监控机器、面向上网用户帐号提供认证管理功能,目前支持以下三种方式LDAP 认证方式WINDOWS 域一次认证方式本地认证小结：网康和中科新业在国内多个省市都有很多成功案例.所以对于产品的稳定性和成熟度都经过市场的检验.通过对网康和中科新业的相同用户级别的上网行为审计设备进行比较,可以发现对上网行为审计产品的功能都是相同,两个厂商的产品都能满足网络审计的需要,只是在产品功能数量上网康的产品有优势,在性价比上中科新业的产品具有优势.。
网康、深信服上网行为管理功能对比
网页过滤功能
URL库规模及准确率
提供全球最大的中文URL分类库，规模达1400万条，分类精准率接近100%
支持43个一级分类，以及8个二级子分类。对google搜索引擎任意关键字的前100条搜索结果，ICG的网页分类识别率高达95%以上。
可实时查看基于实时流量的TOP N用户排名，并可针对具体用户进行管理查询，获得该用户在使用哪些应用；
可实时监控基于流量的TOP N网络应用排名，并可针对具体应用进行关联查询，获得哪些用户在使用这些应用；
可监控当前网络流量以及过去24小时网络流量；
可实时查看基于实时流量的TOP N用户排名；
搜索引擎关键字
可基于MAC地址进行身份识别；
支持AD域用户识别；
支持POP3邮件账号用户识别；
用户认证
支持微软AD域的联动认证；
支持LADP服务器的联动认证；
支持Radius服务器的联动认证；
支持POP3认证；支持ESMTP认证；
支持客户端本地认证；支持互联网准入认证。
支持网关设备本地Web登录认证方式；
提供与第三方认证系统联动的接口；
能够记录FTP帐号、服务器名称、文件名称、文件路径，能够完整还原传输的文件；
可记录用户通过MSN、QQ传输的文件名，可欢迎MSN传输的原文；
不支持
Telnet审计
支持对用户通过telnet方式访问网络设备时执行的命令进行监控，完整记录telnet的时间、IP、端口、命令和结果等信息。
可审计用户访问HTTPS加密网站的行为；
可查询被阻断的web访问纪录。可根据预设的web过滤策略，实现对违禁访问网页行为的查询；
各大流控产品分析
流控产品分析一：About网络流量控制设备广义上说行为管理设备也算流控，但其主要用途是记录和控制网络中的用户行为，比如限制用户使用QQ、玩游戏等等，但其流控功能较弱，一般适用于上网人数较少的场合。
由于行为管理设备的应用场景复杂，流控功能和性能并不专业，对带宽的优化能力很弱，采用行为管理设备充当流控设备使用还可能导致网络延迟增大，偶尔还会导致断网现象发生。
行为管理设备适合于对网络稳定性要求不苛刻的一般的办公网络。
行为管理厂家主要是国内厂家，如深信服和网康。
狭义的即专用的流控设备主要目的是优化带宽，通过限制带宽占用能力强的应用以保护关键应用，通过多种复杂的策略来实现合理的带宽分配。
由于专用的流量控制设备往往用于大流量的环境中，因此，流控设备最重要的指标是其处理能力，当然稳定性和支持各种复杂的带宽分配策略的功能也非常重要。
流控产品一般根据其性能划分档次，一般从几十兆bps、百兆bps以下为一个档次，往上有数百兆bps，数Gbps的，最高档为几十Gbps。
专业的流控设备国内的厂商有国外的也有国内的，国外主要有ALLOT、Sandvine，性能不错、价格很高、国内协议识别率较低、用户界面不太友好，功能偏少。
PACKETEER也是国外品牌，但性能一般。
cisco、华三这个两个国际大公司的流控产品没人会用，自己的工程师都很难设置调试，价格很高、协议识别也很差，Sandvine也很难用。
国内品牌现在也不少了，迈科、Acenet 是打者国外品牌旗号的国内产品。
网康、深信服、QQSG、百卓、安达通、冰封、锐捷、网络掌门、Panabit、城市热点和青莲、北邮宽广、信风、华为、金御、西默、纽盾、华夏创新等都是国内品牌。
国外产品的特点是性能好，解决方案和产品成熟。
国内产品的特点是国内应用的识别率相比国外产品高，但问题是产品性能宣传强，但实际使用，尤其是在策略较多情况下性能差，价格较国外厂商有较大优势，功能较多，但在流量管理领域，属于发展期，不够成熟。
网康ICG与深信服AC产品对比 - 201001
网康ICG与深信服AC产品对比
编号
1 产品定位
对比项目
1.1
产品定位
2 2.1
产品功能 网页过滤
URL库分类模式
URL库规模及准确率
URL库更新能力
客户未分类URL回传再分类
自定义URL组
IP类URL过滤
自定义违规提示页面
网站访问黑白名单 2.2 互联网内容审计
审计范围
网页浏览审计
支持 对于禁止访问的网站列入黑名单，对于无需过滤的网站列入白名单，如 防病毒软件的自动更新。 全面 1.网页审计 2.IM(QQ/MSN/YAHOO/飞信) 3.论坛发帖 4.邮件（POP3/SMTP/126、163、sina、TOM、Gmail、yahoo、sohu等十 余项主流webmail邮件） 5.文件传输（HTTP、IM、邮件、发帖、FTP） 6.搜索引擎关键字 7.流量审计 支持 1.记录访问网页的用户、时间、URL地址、访问内容的分类、允许/阻断 、匹配的控制策略等信息； 2.可审计用户访问HTTPS加密网站的行为。 3.可记录网页标题信息。 4.支持网页快照，可以记录网页内容信息。 支持 支持 1.可记录QQ聊天内容 2.可记录QQ聊天双方的账号、昵称 3.可记录QQ的语音视频行为 4.可记录QQ文件传输名称和类型 支持 1.可记录MSN聊天内容及双方昵称 2.可记录MSN的语音视频行为 3.可记录并还原MSN文件传输名称、类型和内容 4.可对MSN聊天内容进行关键字匹配，匹配预设关键字则发送邮件报警 支持 1.可记录飞信聊天内容及双方昵称 2.可记录飞信外发文件的名称及大小 3.可记录飞信群聊内容 支持 可记录用户在任何论坛上发帖的主题和正文内容 可定义无需审计的论坛地址 支持 1.可记录收发邮件的发信人地址、收信人地址、主题、正文、附件内容 2.能够基于用户名、时间、发送账户、接收帐号、主题关键字、正文关 键字、附件名称、附件类型、附件大小等条件灵活调节外发邮件的审计粒 度，具有很强的灵活性； 3.可以由针对性的仅审计需要关注的内容。如对邮件主题、正文、附件 名中包含如“机密”、“财务”等敏感关键字的外发邮件进行监控；对研发 部门发送的带有“.h”类型程序代码附件的外发邮件进行监管； 4.可对收发邮件的标题及内容关键字进行匹配，匹配预设关键字则发送 邮件报警 支持 1.能够审计用户通过搜索引擎输入的所有关键字，也可以只审计指定的 敏感关键字。 2.可以基于搜索类别审计用户在搜先进的基于行为后果的URL预分类模式 通过基于网页全息分析的爬虫技术对网页进行分类，能够从网页的结构 、上下文、网页相似度等多角度对其进行全面解析与自动分类。在此基础 上，网康拥有超过20人的专业团队对上述分析结果进行人工审核，网页分类 的精确率超过95%。 提供全球最大的中文URL分类库，规模达1500万条，分类精准率接近100% 支持43个一级分类，以及8个二级子分类。对google搜索引擎任意关键 字的前100条搜索结果，ICG的网页分类识别率高达95%以上，且识别分类精 准率接近于100%。 URL每天更新量超过300万条 网康URL库更新快速，对于新生、变更、消亡的URL，通过网康自主研发 的内容分类引擎(crawler/spider)，7x24小时在互联网上进行URL抓取，每 天更新超过300万条，并自动分类。 能够自定义URL更新时间，例如设定在每晚2点更新，不影响正常工作时 间的网络使用 支持 网康产品支持未分类URL自动回传、再分类下发功能，使得通过一段时 间的积累，客户管控的URL范围快速收敛，提高客户处URL分类的广度和精准 支持 能够对预置URL分类及自定义的URL分类自由整合，构建符合实际需要的 自定义URL分组，方便策略的定制和后期维护。 支持 目前国内外所有上网行为管理产品的网页过滤功能都基于网页域名进行 控制，而某些用户为了逃避管理，会直接使用违禁网页的IP地址进行访问。 据分析，目前大量的色情、违法网站均建议用户通过IP地址访问。ICG能够 帮助IT部门有效管控这类试图通过域名解析到的IP地址访问违禁网站的用户 行为，确保网页过滤的全面。 支持 IT部门能够自定义警示信息，对违反策略的网页访问行为进行提示，当 用户因访问违禁网站而被禁止时，能够清楚的知道自身产生了违规行为，系 统能提示所访问网站的类别，不会因为误认为此问题由断网引起，而对IT部 门频繁求助或进行投诉，该功能体现了网康产品的人性化。
流控技术普及--流控和上网行为的区别
流控设备和上网行为的区别目前在企事业单位的市场上，对网络出口流量管理的产品主要有两类，一类是上网行为管理产品，一类是流量控制产品。
其实这两类产品有很大的区分性。
下面我们就详细说一下这两类产品的巨大区别：第一：产品起点不一样行为管理的产品是6-7年前由深信服首先提出来的，比如记录员工的上网日志，禁止员工上某些类型的网站，或者根据权限来禁止某些员工使用股票和游戏等软件。
主要目的是规范单位员工的上网行为，提高单位的工作效率。
那个时候P2P和网络视频软件在企业网络里面还没有兴起，企业在带宽方面没有碰到问题。
因此行为管理从出生开始就不是为流量设计的，是为了按照权限来控制员工上网设计。
而流控产品一开始因为P2P和网络视频兴起，由运营商层面提出来的。
运营商从运营的角度要减少P2P应用占用整个带宽的情况，另外一方面是为了减少运营商之间的结算费用。
因此流控产品的一开始的目标就是控制P2P。
后来随着P2P的广泛应用，很多的高校开始控制P2P。
企事业单位业对于P2P和网络视频的控制的需求应该是这2-3年的事情。
因此流控设备从一开始就是为了控制流量而设计的。
第二：管理目标不一致上网行为管理的产品的主要目标是为了规范员工的上网行为，通过禁止员工的一些上网行为，提供员工的工作效率，降低单位的法律风险。
流量控制产品的主要目标是管理网络流量，在带宽不增加的前提下，让关键的应用和重要的人员上网快一些，不重要的应用和人员上网慢一些。
同时限制P2P，网络视频的流量，保障大家都能上网、第三：管理对象不一样上网行为管理产品是管理人，限制大家上网的；流控产品是管网络的，是让大家高效安全上网的。
第四：管理手段不一样上网行为管理产品通过策略，来设定各种复杂的权限，来决定谁能干什么，谁不能干什么。
比如谁可以（或者谁不可以）看电影，谁可以（或者谁不可以）炒股票等。
流控产品通过策略，来设定各种应用或者人，决定那个应用或者那个人的上网快一些（保障），那个应用或者个人上面慢一些（限制）。
深信服上网行为管理功能参数
深信服上网行为管理功能参数AC-4300-RY上网行为管理产品功能性能参数项目指标具体功能要求性能吞吐量2.5Gbps，标配6个千兆电口，4个千兆光口，标准2U设备，配备冗余电源部署方式网关模式支持网关模式，支持NAT、路由转发、DHCP 等功能；网桥模式支持网桥模式，以透明方式串接在网络中；旁路模式支持旁路模式，无需更改网络配置，实现上网行为审计；网关管理管理界面支持SSL加密WEB方式、SSH命令行方式管理设备；分级管理不同用户组的管理权限支持分配给不同管理员；集中管理多台设备支持通过统一平台集中管理、集中配置等；被控设备加入统一平台支持以硬件证书验证身份；告警管理支持攻击、泄密告警，危险行为告警、邮件延迟审计告警等；加密连接具有IPSec VPN远程加密访问和连接的模块，并能提供IPSec VPN客户端授权远程接入访问；排障工具提供图形化排障工具，便于管理员排查策略错误等故障；上网故障排除系统支持开启直通后，流量控制模块依然生效，避免全部数据直通导致线路流量过大；实时监控设备资源信息提供设备实时CPU、内存、磁盘占有率、会话数、在线用户数、系统时间、网络接口等信息；流量状态实时提供用户流量排名、应用流量排名、所有线路应用流速趋势、流量管理状态、连接监控信息；安全状态实时显示当天的安全状况，最后发生安全事件的时间、类型、总次数、源对象，帮助管理员管理内网安全；上网行为监控实时显示设置过滤条件的用户上网行为监控，支持手动设置刷新时间；用户管理本地认证支持触发式WEB认证，静态用户名密码认证等；第三方认证支持LDAP、Radius、POP3、Proxy等第三方认证；支持ISA\ lotus ldap\novel ldap\oracle、sql server、db2、mysql等数据库等第三方认证；双因素认证支持以USB-Key方式实现双因素身份认证；IP、MAC认证支持绑定IP认证、绑定MAC认证，及IP/MAC绑定认证等；支持通过SNMP服务器跨三层获取MAC地址；支持当用户MAC地址变动时，需要重新认证；短信认证支持短信认证方式，用户输入手机号作为用户名，通过短信猫或短信平台发送验证码；短信认证能够根据不同用户推送不同认证页面，该认证页面可自定义，编辑内容包括文字、颜色风格、图片，且图片支持轮询播放公用账户支持多人使用同一帐号登录，且支持重复登陆检测机制；账户有效期指定账户支持有效期限制，并支持自动过期；单点登录支持AD、POP3、Proxy、PPPOE、H3C IMC/CAMS、锐捷SAM、城市热点等系统进行认证单点登录，简化用户操作；可强制指定用户、指定IP段的用户使用单点登录；强制AD认证指定用户用AD域账户登录操作系统，否则禁止上网；安全组嵌套同步支持AD安全组嵌套同步；LDAP服务器的域对象的策略管理与同步主要目的是对已有的AC 与LDAP服务器结合进行优化，便于客户实现策略管理在AC上进行，用户管理在域上进行，不需同步用户到本地组织结构中即可实现策略管理功能认证失败支持为认证失败用户提供基本网络访问权限机制；认证后页面跳转认证成功的用户支持页面跳转：1.跳转到用户原本输入的URL地址；2.跳转到管理员指定的URL地址；3.跳转到该用户上网信息排行页面；4.跳转到注销页面;帐户导入支持从本地导入和扫描导入，支持以CSV格式文件导入帐户/分组/IP/MAC/描述/密码等信息；支持从外部LDAP服务器导入账户及分组信息；组织结构用户分组支持树形结构，支持父组、子组、组内套组等；用户状态查询支持用户登录时间、注销时间、在线时长的查询；自动注销支持自动注销指定时间内无流量的已认证用户；冻结用户支持冻结认证失败次数超过最大值的用户，在冻结时间结束后恢复登录；用户密码强度可设置用户密码不能等于用户名；新密码不能与旧密码相同；可设置密码最小长度；可设置密码包括数字或字母或特殊字符；应用管理应用识别规则库1、支持根据标签选择应用，标签分类至少包含安全风险、高带宽消耗、发送电子邮件、降低工作效率、外发文件泄密风险、主流论坛和微博发帖6大类；2、支持给每个应用自定义标签；3、支持根据标签选择一类应用做控制；4、支持对每一种应用的定义和解释，帮助客户快速定位应用的分类；5、支持给每一种应用列上图标，易于客户了解应用的特征。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
能够识别10余种P2P应用
封堵IM即时通信
支持QQ、MSN、网易泡泡、Skype、飞信、淘宝旺旺、新浪UC等多种聊天工具；
对于每一种应用的子协议，如聊天、文件传输、视频，能够进行独立控制
支持QQ、MSN、网易泡泡、Skype、飞信、淘宝旺旺、新浪UC等多种聊天工具；
封堵网络游戏
不支持
用户管理功能
用户管理
以树状架构对用户进行管理，实现完全按照企业的组织结构多级划分用户组；
且支持横向逻辑权限组，大大提高管理方便性；
支持IP段自动分组；
支持用户信息外部导入；
支持二层和三层网络环境下的IP/MAC绑定，且实现该功能无需安装客户端；
以树状架构对用户进行管理；不支持用户导入，但可以手工批量生成用户；
支持过滤HTTPS加密的网站；
支持基于URL关键字进行过滤控制；
对于违反策略的网页访问，支持弹出警示页面；
支持网站黑、白名单设置；
应用封堵功能
协议库组织架构及规模
三级树状应用协议分类架构，清晰易懂，支持14大类，260种协议；
仅支持平面级别的二级分类，支持近250种协议
封堵P2P下载
能够准确识别并封堵近30种P2P应用，如：迅雷，BT，电驴等；
网康、深信服的功能对比
本文从产品的硬件、功能、性能等多方面比较了网康、深信服厂家的上网行为管理产品，仅供参考。
参数列表
网康科技
深信服
基本参数
厂商及产品简介
网康科技公司，总部在北京，国内第一家专业“上网行为管理”设备生产厂家；网康ICG是国内“上网行为管理”一线品牌，其主要特点是URL库、应用库庞大，性能稳定，功能配置灵活，界面友好易操作等；在日本及中亚市场也占有相当份额。
可基于MAC地址进行身份识别；
支持AD域用户识别；
支持POP3邮件账号用户识别；
用户认证
支持微软AD域的联动认证；
支持LADP服务器的联动认证；
支持Radius服务器的联动认证；
支持POP3认证；支持ESMTP认证；
支持客户端本地认证；支持互联网准入认证。
支持网关设备本地Web登录认证方式；
提供与第三方认证系统联动的接口；
可限定每个用户在一天之内累计上网时间额度；但不支持对单个应用设置策略；
网页过滤功能
URL库规模及准确率
提供全球最大的中文URL分类库，规模达1400万条，分类精准率接近100%
支持43个一级分类，以及8个二级子分类。对google搜索引擎任意关键字的前100条搜索结果，ICG的网页分类识别率高达95%以上。
部署方式
(1)产品可通过透明桥接、网关、旁路三种方式接入网络。
(2)产品在透明网桥接入模式下，支持双链路、双网桥部署。
(3)产品在网关模式下，支持DNAT内网IP/端口映射，便于外部用户访问内网主机。
(4)支持通过集中管理平台对分布部署的设备进行统一策略制定与管理。
(5)支持外置日志中心，可以实现离线日志查询。
支持网关、单/双路串接、镜像旁路等部署方式
代理服务器功能
可作为专业代理服务器部署，实现员工通过代理上网；
支持HTTP代理功能，并可自定义代理端口；
支持HTTPS代理，可自定义安全端口；
支持SOCKS代理，并提供代理认证功能；
可以设定缓存大小、缓存有效期、不缓存网页列表，并实时监控请求数、命中率等代理服务状态。
深信服科技公司，总部在深圳，以IPsec-VPN起家，后来做SSL-VPN、防火墙和UTM。其UTM产品功能较多，其中包含有上网行为管理功能。
产品形态
软硬件一体产品
软硬件一体产品
避免单点故障
1.支持断电Bypass功能；
2.支持非断电模式下的智能硬件bypass功能，任何故障均保障网络畅通；
3.设备面板有一键按钮bypass
支持
不支持
网页非WEB浏览控制（网页视频、网页游戏等）
支持
不支持
流控功能
带宽通道管理
支持基于带宽通道的流量控制，可设定多个不同的带宽通道，每个带宽通道提供保障速率和突发速率；
支持带宽通道优先级的定义，保障核心业务拥有带宽保障；
支持空闲带宽借用，实现带宽资源统计复用；
支持基于带宽通道的流量控制，可设定多个不同的带宽通道；支持带宽通道优先级的定义，但仅有3个优先级；
实时监控审计
设备运行监控
提供全面的设备运行状态信息，包括设备负载、设备持续运行时间长度、URL库和应用协议库更新状态、最近网络攻击以及系统报警信息等，使管理员对设备运行监控状况一目了然；
可实时监控设备的运行状态，包括CPU、内存、硬盘等信息；
网页审计
记录访问网页的用户、时间、URL地址、访问内容的分类、允许/阻断、匹配的控制策略等信息；
带宽策略设置
可设置基于人/部门的带宽管理策略；
可设置基于应用的带宽管理策略，避免非业务应用对主流应用的影响；
可设置人/部门某一种或多种应用的组合带宽策略；
可设置部门成员的平均带宽策略，避免个体成员独占部门带宽；
可根据时间段设置带宽管理策略；
可设置基于人/部门的带宽管理策略；可设置基于应用的带宽管理策略；
仅可基于文件类型控制HTTP和FTP的文件下载、上传行为；不支持IM文件传输内容过滤；
论坛发帖过滤
基于时间段、用户群、发帖地址、发帖内容关键字过滤敏感信息外发行为；可向管理员发出邮件报警信息。
支持发帖关键字过滤，但不支持报警
搜索引擎关键字过滤
可基于关键字搜索类别过滤搜索引擎的关键字搜索行为。
不支持基于搜索类别的关键字搜索过滤
支持对近40种流行网络游戏的识别和封堵，如魔兽世界、梦幻西游、联众、浩方等；
支持30种网络游戏
封堵炒股软件
支持对近20种主流炒股软件的识别和封堵，如：大智慧，同花顺，钱龙等；
覆盖度不足
封堵网络电视
支持对近35种流行网络电视的识别和封堵，如：PPLive，土豆网，酷6，6间房等；
覆盖度不足
基于应用控制用户每日上网时长
用户可修改自身LDAP认证密码；
支持微软AD域的联动认证；
支持LADP服务器的联动认证；
支持客户端本地认证；支持互联网准入认证；
支持网关设备本地Web登录认证方式；
可定义免认证IP网段；
用户每日上网时长限额
可限定每个用户在一天之内累计上网时间额度；
可单独控制用户的某项互联网应用每日上网时长限额；
可同时控制用户的多项互联网应用每日上网时长限额；
4.开机和关机过程中自动切换bypass。
仅某些型号支持硬件bypass；
不支持软件bypass和一s功能。
系统冗余容错
支持硬盘发生故障时，设备可以切换到备份系统，由备份系统执行互联网行为管控功能；
硬盘发生逻辑损坏时，设备支持自修复功能；
仅硬盘上存有操作系统
可以控制用户发送邮件；
不支持邮箱账号、收信方邮箱域名，以及附件名称过滤邮件外发行为；
可以控制用户禁止发送主题或正文包含某关键字的邮件；
IM即时通讯过滤
可基于聊天账号、传输文件名称和类型过滤IM即时通讯内容。
不支持
文件传输过滤
支持HTTP、FTP、邮件附件、IM、论坛发帖附件、FlashGet等文件传输内容过滤；
可审计用户访问HTTPS加密网站的行为；
可查询被阻断的web访问纪录。可根据预设的web过滤策略，实现对违禁访问网页行为的查询；
可记录网页标题信息；可以记录网页内容信息；
记录访问网页的用户、时间、URL地址等信息；
可审计用户访问HTTPS加密网站的行为；
可记录网页标题信息；
邮件审计
可按用户、用户组和时间段审计用户收发邮件内容，并可还原原文及附件；
支持仅审计某邮箱地址发出或接收的邮件；
支持仅审计邮件主题中包含某关键字特征的邮件；
支持仅审计包含某类型附件的邮件收发内容；
可以定义免审计的邮箱地址；
邮件审计内结果容包括：发件人、收发人、时间、主题、正文、附件等信息；
可记录被阻塞邮件外发行为、主题、发信人及收信人信息。
可识别审计非标准端口的SMTP邮件传输行为和传输内容。
支持对以IP方式访问网站过滤控制；
支持基于网站分类过滤HTTPS加密的网站；
支持基于URL关键字进行过滤控制；
支持基于文件类型进行过滤控制；
支持基于网页文件大小进行过滤控制；
对于违反策略的网页访问，支持弹出警示页面，警示页面内容支持自定义；
支持网站黑、白名单设置；
支持基于预分类的URL类别进行过滤控制；支持用户自定义网站类别过滤；
URL库规模声称1000万，实际不足400万，且不支持二级分类，分类精准率不足50%。
URL库时效性
URL库每天更新300万条；客户可设置自动升级或手动更新；且支持客户未分类URL回传再分类；
支持URL库更新
URL过滤能力
支持基于预分类的URL类别进行过滤控制；支持用户自定义网站类别过滤；
支持URL类别的二级子类控制；
支持IP/MAC跨三层绑定；
用户识别
可基于IP进行用户的身份识别；
可基于MAC地址进行身份识别；
支持无客户端的AD域用户识别；
支持POP3邮件账号用户识别；
支持Kerberos单点识别；
支持PPPoE认证账号单点识别；
可识别BASIC、NTLM方式的代理服务器的用户；
支持第三方用户信息识别。
可基于IP进行身份识别；
可自动过滤非论坛发帖的POST记录，增强论坛发帖审计结果中记录的可读性；
可自定义设置不需审计的发帖网址；
支持对发帖网址和发帖正文审计，记录内容包括：用户、时间、论坛地址、正文，附件；