网康、深信服上网行为管理功能对比解析
安全设备比较
日志审计
报表
支持Syslog日志和二进制日志；支持NAT日志记录；支持流日志，能够对网络流量、DDoS攻击流量、P2P流量等进行统计分析排序，并自动输出图形报表
支持对HTTP、SMTP、POP3、FTP等协议的深度内容过滤；
支持URL、关键字过滤；
支持对移动代码如Java applet、Active-X、VBScript、Jscript、Java script的过滤；
支持基于IP地址、端口、时间、用户、文件、网址、关键字、邮件地址、脚本、MAC地址等多种方式进行访问控制；
支持对HTTP、SMTP、POP3、FTP等协议的深度内容过滤；
支持URL、关键字过滤；
支持对移动代码如Java applet、Active-X、VBScript、Jscript、Java script的过滤；
基于IP地址、MAC地址、域名、端口和协议、时间、用户的访问控制
支持对HTTP、SMTP、POP3、FTP等协议的细粒度控制
DNS攻击
连接耗尽
CC
(m)STREAM FLOOD
串联部署
串联集群
旁路部署
日志
Syslog，本地无
Web安全设备
绿盟
web安全防护系统
WAF
NDE-WAFP600A-01
WAF P600A引擎模块，1U，含交流单电源，1*RS232串口，1*FE管理口，4*FE电口（Bypass）。标准配置提供1路电口WAF防护，支持BYPASS
2个10/100/1000M探测端口（光口）、1个10/100M管理端口(电口)、1个配置串口。
上网行为管理
上网行为管理一解释上网行为管理是指帮助互联网用户控制和管理对互联网的使用。
其包括对网页访问过滤、上网隐私保护、网络应用控制、带宽流量管理、信息收发审计、用户行为分析等。
比如，限制公司员工访问某一些网页，限制使用QQ、微信等软件，针对每台电脑带宽做限制等。
二为什么要管理上网行为1.防止员工使用像迅雷、BT等为代表的P2P应用，占用大量带宽资源，导致网速变慢。
2.有效预防内部员工带来的安全隐患，像浏览了有安全风险的网络内容。
3.防止员工在工作期间发生聊天、游戏、炒股等行为，严重影响办公效率。
4.预防内部员工在网上发布违反法律的信息。
5.网络故障时，可以即时找到故障根源。
三主要功能1.网页访问过滤根据行业特征、业务需要和企业文化来制定个性化的网页访问策略，过滤非工作相关的页网页。
2.网络应用控制制定有效的网络控制策略，封堵与业务无关的网络应用。
3.带宽流量控制对不同岗位的员工、不同网络应用划分带宽通道，并设定优先级，合理利用有限的带宽资源，节省投入。
4.信息内容审计制定全面的信息收到监控策略，有效控制关键信息的传播范围，以及避免可能引起的法律风险。
5.上网行为分析用户可以实时了解、统计、分析网络使用状况，并根据分析结果对管理策略做调整和优化。
四其他功能NAT、路由、防火墙、VPN等功能。
五部署1.路由模式设备相当于路由器，一般在出口位置，具备路由转发和地址转换功能。
一般这种部署时替换客户原有的防火墙、路由器设备。
这种模式对客户的影响大，需要清楚的知道内网需要代理上网的地址段，需要映射到公网的业务等等，如不是非用此模式不可，一般不建议采用。
2.网桥模式这种模式对客户的网络基本没有改动，设备就是二层设备，只有在设备上架的短时间影响网络，推荐使用。
网桥模式不支持NAT、VPN、DHCP等功能，网桥模式支持硬件bypass，如果设备故障自动启用此功能，不会影响客户网络。
3.旁路部署模式此模式用于审计，不影响客户网络环境。
深信服上网行为管理-基本功能介绍
基本功能介绍
培训内容 上网行为管理产品应用背景
培训目标
1. 了解上网行为管理产品应用背景 2. 了解上网行为管理产品管理标准
SANGFOR AC 基本功能介绍 1. 了解SANGFOR AC产品的基本功能
SANGFOR SG 基本功能介绍 1.了解上网优化产品的应用背景和基本功能
数据分析：可视化网络管理
透视网络应用现状，实时验证管理效果
数据分析：上网行为记录
保留行为日志，响应公安部相关要求，防止舆论与法律风险 定位违规行为，追踪泄密事件
数据分析：报表分析
了解应用现状，验证管理效果，是制定和调整策略的依据
SANGFOR SG基本功能介绍
SG上网优化基本功能介绍
SANGFOR SG上网优化网关具备AC上网行为管理的所 有功能，并在此基础上新增了上网加速和代理功能，从速度 和安全两大方面为广大用户提供更优化的服务。
带宽管理
最细致流控
多线路流控
合理流控
父子通道
+ 虚拟通道
•基于用户/时间 /应用/网站/文件 •WAN LAN
•虚拟线路 •多线路复用 •多线路选路
ቤተ መጻሕፍቲ ባይዱ
•带宽限制 •带宽保障 •带宽借用
用户间 •动态分配 •竞争分配
行为管理：应用授权—带宽管理
行为管理：移动终端管理
识别无线智能终端的接入，防止无线智能终端设备接入引起无线安 全漏洞导致泄密
上网行为管理标准 OA
审计
用户身份识别
网络应用识别
流控
封堵 行为管控
数据分析
SANGFOR AC基本功能介绍
用户身份识别
有效区分用户，分层次管理的组织架构，是部署差异化管理策略的依据
深信服上网行为管理产品功能
深信服上网行为管理主要作用：能够全面封堵网站浏览、QQ聊天等各种工作无关网络行为封堵和流控当前的BT、eMule等，和未来可能出现的各种P2P应用杜绝不良网站和风险文件的访问及下载，防范DOS攻击及ARP欺骗等独特的敏感内容拦截和安全审计功能，防止机密泄露全面记录网络行为日志，避免法律风险，并让IT管理者对网络效能和行为进行方便的统计、审计、分析、报表再辅以SANGFOR M5X00-AC的其他安全扩展功能，全方位保障您的网络安全通过采用SANGFOR M5X00-AC上网行为管理解决方案，可以保障组织管理者实现完善的网络访问行为管控和行为审计，并达到如下效果：1.规范员工上网行为（如禁止上班时间QQ聊天、炒股、网络游戏等），提升工作效率上班时间从事私人活动，是办公室皆知的秘密。
管理者却难以阻止员工在上班时间浏览无关网站、QQ聊天、在线炒股等工作无关的网络行为，员工工作效率的下降将直接影响组织的竞争力。
而通过SANGFOR AC可以把与工作无关的上网行为降低到最低，去除员工的分心，让他们专注于工作中。
2.流量控制、带宽管理，提升带宽利用率对严重吞噬带宽的P2P行为，SANGFOR AC不仅能彻底封堵，还能对其占用的带宽进行流量管控。
基于用户(组)、时间段、应用类型的带宽管理和带宽通道划分，结合智能QoS，既保证了业务应用对带宽的需求，又避免了对带宽的滥用，提升带宽使用效率。
3.修补安全漏洞、提升内网安全级别色情、反动网站的浏览和未知文件的下载安装，导致病毒、木马等被员工主动“邀请”进入内网，SANGFOR AC将过滤该行为，并提供网关杀毒功能从源头消除威胁；源自内网的DOS攻击、ARP欺骗等也将被SANGFOR AC彻底防御；而组织内网使用低版本操作系统、不及时打补丁、不安装指定的杀毒/防火墙软件、安装使用违规软件的终端用户，SANGFOR AC亦能侦测发现，从而修复内网安全短板。
4.防范信息机密外泄、保护组织信息资产安全员工使用Email邮件可能将组织的信息机密发送到公网、甚至竞争对手，SANGFOR AC特有的“邮件延迟审计”专利技术，将彻底防范该泄密行为；员工的网络发帖、webmail行为，SANGFOR AC同样可以过滤和记录；而SANGFOR AC对QQ、MSN等聊天内容的记录和审计，将警示通过IM聊天工具泄密的行为。
上网行为管理
1．上网行为管理目前市场主流厂商：深信服、网康典型案例2.1 提升内网业务操作效率——封堵非业务应用解决方案方案背景：日益发达的互联网让企业员工有了更多的选择，网上聊天、网上购物、在线视频、论坛灌水、BT电影……上班时间，员工很难不受众多网络娱乐的诱惑，大家在或多或少地利用工作时间进行非业务操作。
以上行为实实在在地存在于我们的办公网中。
事实上，我们很多企业员工打开电脑的第一件事便是开迅雷，下载电影、视频、游戏；也有为数不少的员工痴迷股海，一心扑在大盘上面；而我们的员工在在线视频、在线小游戏、娱乐网站、热门论坛上花费的时间更是惊人。
凡此种种，无不给我们有限的带宽资源带来了巨大的流量压力，给员工的办公效率打了一个大大的问号。
上网行为管理解决方案——合理封堵非业务网络应用随着现代企业管理理念和信息技术水平的提升，如何有效管理与利用互联网资源，这已成为现代企业管理的重要衡量标准。
与此同时，上网行为管理的理念愈发深入人心，提升员工网络业务的办公效率，这已经成为企业IT管理者关心的首要问题。
、如上图，企业通过以网关、网桥、或旁路模式部署上网行为管理产品，可以有效对内网员工的各种网络应用行为进行管理。
上班时间，封掉影响业务效率的非业务应用及相关网站；对挤占公司带宽资源的应用进行流量控制，确保主流的办公应用带宽资源，以提高业务应用的办公效率。
方案价值：1、全方位封堵p2p ，确保正常办公业务带宽P2P应用给用户带来了前所未有的速度体验与资源共享，但也挤占了我们大量的带宽资源。
P2P的带宽占用问题已经成为每个IT管理者头痛的问题，其所带来的负作用日渐凸显。
鉴于此，上网行为管理设备通过检测网络软件数据包特征码，可以对常用软件进行彻底封堵，包括BT、eMule、PPLive、QQLive等。
对于加密BT、不常用的和未知版本的P2P软件，独有的网络行为智能分析技术使其同样难逃法网。
有些部门和领导因业务需要使用P2P，在全面封堵的同时，上网行为管理设备还可以提供P2P流控功能，即允许指定用户使用P2P，但对其占用的带宽进行控制。
深信服上网行为管理产品功能简介
防ARP欺骗
防范因ARP欺骗导致的内网用户大规模断网的情况
防病毒引擎
集成欧洲领先防毒厂的杀毒引擎、提供对HTTP、FTP、Mail等容易携带病毒的网络内容的检测和病毒查杀、形成对组织能够应对组织病毒防护的管理的有益补充
深信服
类别
功能
功能说明
审计
邮件延迟审计
对处发邮伯进行延迟，特定审核人员审核后才能发出，确保信息资产不外泄
实时监控
实时监控员工上网行为，支持临时冻结员工或中断指定连接
内网监控
监控员工的各种网络行为，记录包括QQ、MSN等聊天内容（如果聊天内容是加密的则需要安装准入客户端）；浏览网页的网址、网页标题、整个网页正文内容（监控正文内容比较消耗设备资源，一般不建议采用）;网络发贴、WebMail正文及附件;收发的Email正文及附件；上传下载的文件等各种行为进行详细记录、防止组织机构内部机密、情报等外漏、并做到有据可查
5.可以限定某些服务的最大带宽，例如P2P的最大带宽
6.当带宽资源紧张时，可以通过优先级来区分服务的重要性从而优先尽量保证这些服务的带宽
7.用户的带宽分配策略较以前灵活，可以实现平均分配和自由抢占2种方式
8.支持限定单个用户的最大带宽，支持流控生效时间设置
9.可以排除某些服务，不进行流控
10.当网络空闲时，除了被限制上限带宽的服务外，其他网络行为都可以竭尽所能，享有所需要的带宽
IP/MAC绑定
灵活的ip、mac绑定策略、且在三层网络环境中实现ip-mac绑定
网站过滤
海量url库、黑白名单，多种关键字识别技术、过滤色情、反动、新闻等网站
SSL网站过滤
深网DEEPNET vs北京网康、上网海新网程、深信服
上海深腾信息技术有限公司厂家 对比项深网DEEPNET网络督察网康深信服产品形态 软硬件一体化专用设备 软硬件一体化专用设备 软硬件一体化专用设备 软硬件一体化专用设备 产品定位 上网行为管理产品上网行为管理产品。
上网行为管理产品。
上网行为管理产品。
产品外观 全新的不锈钢外壳，结实美观 全部采用烤漆工业，外观粗糙 部分采用烤漆工艺 全部采用烤漆工业，外观粗糙 研发力量集团化的企业、雄厚的资金实力、研发人员超过100人。
研发人员较少５０人左右。
研发人员较少５０人左右。
研发人员较少５０人左右。
界面亲和力界面友好，窗体利用率高，操作便捷较差，窗体利用率极低。
1024分辨率下设备操作界面区域很小。
沿用以前防火墙的设置界面和操作习惯，不能完整利用窗体显示面积，做一些简单的操作也需要很复杂的步骤（比如进行邮件内容的关键字查询，需要新建一个查询，然后定义查询条件和查询范围）。
UTM 式的设备，功能分类不明确，用户使用起来不方便，界面繁琐。
操作系统Safe os 、自主研发的独有的操作系统，系统稳定性和安全性超强。
负荷少，使用专业嵌入式系统，断电等非正常关机不会引起系统故障，运行稳定。
Linux 通用操作系统，照搬操作系统默认配置，使用关系型数据库，断电等非正常关机引起文件系统故障的概率较大，稳定性有较大隐患。
Linux 通用操作系统，照搬操作系统默认配置，使用关系型数据库，断电等非正常关机引起文件系统故障的概率较大，稳定性有较大隐患。
Linux 通用操作系统，UTM 集成产品，开了防火墙等多项功能，有的产品甚至集安全审计、防火墙、过滤邮件等于一身，严重影响产品性能。
智能路由独有的智能路由技术，而是采用智能的识别方式，对每一个通过的数据包进行鉴别，找到最快的通信线路建立连接。
保证网格时时畅通、网络更快。
不支持，当网络出现阻赛现象时没有有效地避免措施。
不支持，当网络出现阻赛现象时没有有效地避免措施。
不支持，当网络出现阻赛现象时没有有效地避免措施。
D-网康与深信服对比
串口作为一种重要的设备管理方式，在Cisco、Juniper、各种网络设备中都有提供并起到了重要作用。如果无法通过串口进行管理，在设备故障失效的时候，无法通过一个有效的备用管理手段进行故障诊断；甚至当忘记设备的IP地址时就无法对设备进行管理。
设备必须可以提供独立于LAN，WAN，DMZ接口的管理口
可以基于发信人、收信人、主题、正文、附件名关键字对webmail外发邮件内容进行审计、过滤、报警
深信服对webmail只能基于关键字匹配，不能区分发信人、收信人等多种条件
webmail作为一个重要的信息外发手段，需要进行精细化的审计和管理，配合不同的条件，可以做到如发给领导的webmail不做审计，避免领导问责，或阻断发给竞争对手的webmail，管理更灵活，单纯的依靠简单的关键字来进行过滤做法过于粗犷。
可以对搜索非法关键字的行为进行阻断、报警，并且能够保留阻断的关键字
深信服阻断非法关键字搜索行为后不能保留原文留证，阻断不进行报警，只有审计可报警
该对比的客户价值说明：
由于管理员不可能实时的盯着设备看，因此当个别违规行为发生后管理员很可并不知道，因此及时的告警通知到管理员是十分必要的。因此这个要求是完全合理的，必要的。对于阻断的原文不留证，一旦发生投诉，无证可查。
网康与信服对比
对比项
网康
深信服
对比功能对客户的重要性
产品资质
中国软件评测中心（CSTC）出具的《信息安全产品测试报告》
深信服没有此测试报告
中国软件评测中心是工信部直属的国家一级科研事业单位，是国内最具权威性的国家级软硬件产品和信息系统测试实验室，依据标准GB/T 18336.2-2008、GB/T 20945-2007、GA/T 698-2007对产品进行严格的测试。
NETSYS AC-Q与深信服和网康产品对比 (version 3)
仅支持网关为IP和PPPOE的静态路由支持不支持以VLAN ID等作为新用户名自动创建帐户不支持不支持仅支持强制下线方式不支持支持支持程度有限,不能对活跃会话和新建会话进行统计，服务分析统计中不能递进式统计每种服务在多条出口线路的使用情况不支持单独对服务类型进行统计分析支持程度有限,不能对活跃会话和新建会话进行统计，用户分析统计中不能进一步统计每个用户在多出口线路的使用情况、每个用户访问的网站/网站类型流量统计分析支持程度有限,不能对活跃会话和新建会话进行统计，用户分析统计中不能进一步统计每个用户在多出口线路的使用情况、每个用户访问的网站/网站类型流量统计分析不支持单独对每个网站的流量/会话进行统计分析不支持单独对每个网站类型的流量/会话进行统计分析不支持单独对每条线路进行统计分析支持支持支持(支持的最详细)支持，需要额外收费，而且开在大流量下消耗大量性支持，需要额外收费（和F-PORT合作),更新不及时，开启消耗性能大，基本无用支持支持支持双桥和多桥支持镜像模式仅支持网关为IP和PPPOE的静态路由不支持策略路由支持仅支持简单的接口带宽权重进行链路选择，不能算作真正意义的负载均衡不支持不支持不支持防火墙功能支持不支持仅支持arp防护告警不支持不支持不支持支持支持支持支持总共支持 310种应用识别,不支持自定义协议特征识别库，只支持4层的自定义服务支持能够准确识别近 40 多种P2P应用，并能对各种P2P 应用进行封堵和带宽控制支持支持支持支持不支持以VLAN ID等作为新用户名自动创建帐户支持,配置方式不同支持,配置方式不同支持,配置方式不同仅支持每天的流量配额来控制用户，用户达到流量配额禁止上网不支持支持(而且可以针对每个应用或者用户做)不支持不支持仅支持强制下线方式不支持支持有限，但是用户无法通过设备了解到设备物理端口的真实运行状态（包含总的数据包和丢弃的数据包)支持数据中心不支持数据中心不支持支持程度有限,不能对活跃会话和新建会话进行统计，服务分析统计中不能递进式统计每种服务在多条出口线路的使用情况以及哪些用户/用户组在使用，及每个用户的使用情况不支持单独对服务类型进行统计分析支持程度有限,不能对活跃会话和新建会话进行统计，用户分析统计中不能进一步统计每个用户在多出口线路的使用情况支持程度有限,不能对活跃会话和新建会话进行统计，用户分析统计中不能进一步统计每个用户在多出口线路的使用情况不支持单独对每个网站的会话进行统计分析不支持单独对每个网站类型的会话进行统计分析不支持单独对每条线路进行统计分析支持支持支持不支持不支持支持。
深信服上网行为 管理设备功能介绍(2)
深信服上网行为AC-5000 管理设备功能1) 控制功能：细致的访问控制，有效管理用户上网对于内网用户的网页访问行为，AC不仅通过内置URL库，关键字过滤等方式进行管控。
对于采用SSL加密的网页，如钓鱼网站等，AC的证书验证链接黑白名单技术同样可以管控。
AC不仅管理用户使用WEB、FTP、EMAIL等常用服务，通过深度内容检测技术，实现对QQ、MSN、SKYPE等IM聊天工具，BT、电骡等P2P下载工具，PPLive、QQLive 等在线影音工具，网络游戏，在线炒股等网络应用行为进行管理和控制。
SINFOR AC具有国内最大的应用协议识别库。
针对目前P2P行为泛滥的趋势，SINFOR AC的P2P智能识别技术能够对不常用的、未来可能出现的P2P软件进行有效管控。
并且对P2P行为严重吞噬带宽资源的问题，提供流量控制功能。
上网行为的管理必须以识别为基础。
SINFOR AC支持本地认证、和第三方认证（包括LDAP、AD、Radius、POP3、PROXY等），丰富的用户识别方式方便组织的使用。
AC所具备的多种网络访问控制功能，可以基于用户/用户组、基于时间段、基于不同目标行为进行灵活权限控制，实现人性化管理要求。
表1：访问控制功能一览表认证方式 支持触发式WEB认证、本地认证、和第三方认证（包括LDAP、AD、Radius、POP3、PROXY等）、Dkey认证等账户自动创建 支持未建帐户的新用户以其计算机名/IP地址作为用户名自动创建帐户；支持将指定IP段的用户自动创建到指定用户组，并同时绑定IP、MAC等。
IP-MAC绑定 支持对用户绑定IP、绑定MAC、或同时绑定IP和MAC； 支持三层网络环境下的IP-MAC绑定功能单点登录 支持AD单点登录，无需在域控服务器上安装任何插件；支持POP3、PROXY单点登录AD同步 支持自动将AD服务器上指定OU/指定安全组读取到设备的树形用户分组结构中，并定期保持与AD自动同步用户认证组织结构 用户分组支持树形结构，支持父组、子组、组内套组等网址过滤 内置800万条以上预分类URL库； 允许手工输入新URL和新分类；关键字过滤 可过滤搜索引擎搜索的指定关键字（关键字可定义）； 可针对网页正文关键字进行网页过滤；可过滤BBS、Webmail等外发含有指定关键字的言论SSL网站过滤 支持对SSL加密的钓鱼网站、炒股网站、证券基金网站、在线购物网站的识别和过滤网页控制文件类型过滤 过滤通过HTTP、FTP下载、上传指定类型的文件； 支持对非标准端口FTP文件传输行为的过滤邮件控制地址限制 可根据发件人地址过滤SMTP外发邮件；可控制哪些用户使用哪些邮箱外发邮件；附件过滤可控制用户外发邮件的附件类型 关键字过滤可限制外发含有指定关键字的邮件 加密邮箱控制对SSL 加密邮箱（如Gmail）识别和控制Webmail 控制可限制指定用户使用指定Webmail ； 基于正文关键字过滤用户的Webmail 行为； 延迟审计支持延迟缓存外发邮件，人工审计后再外发 上网控制可分组、分时段、分用户控制用户可以使用的网络服务（包括网页、下载、QQ、MSN、游戏、Email 等） IM 控制 可分组、分用户、分时段封堵所有聊天软件如：QQ、MSN、新浪UC、Yahoo Messenger、网易泡泡、Skype、飞信等P2P 控制 可分组、分用户、分时段控制用户使用BT、电驴、迅雷、PPLive 等P2P 软件；并能够对非常见/未来可能出现的P2P软件进行管控权限继承 父组的权限支持继承给子组，并支持强制继承，即子组无权删除被强制继承的策略对象代理识别 可以识别并禁止使用HTTP、Socks 代理；对HTTP/HTTPS端口中封装的其他协议进行封堵；可禁止内网用户使用代理软件代理他人上网访问控制策略 支持基于组、时间、服务、网址策略、内容策略等多种对象组合上网控制 上网计时控制控制用户总的上网时长；支持对用户上网时长进行统计2 带宽及流量管理功能：强大流量分析及带宽划分与分配SINFOR AC 的多线路复用专利技术使一台AC 可同时连接四条公网线路，扩展带宽、互为备份、流量负载均衡。
深信服上网行为管理配置详解
第五步：添加该用户的上网策略，点击进入【策略列表】页面，点击【添加策略】，在 弹出的【添加策略】页面选择需要关联的策略。
第六步：完成用户属性与策略的编辑后，点击提交，完成用户的添加。 第七步：通过设备上网时，验证IP和MAC是否正确，如果正确则认证通过，客户端不会弹 出认证页面。如果IP/MAC地址和绑定的IP/MAC不符，则认证不通过，此时没有提示页面 ，但客户端的现象是上不了网。
控制台功能说明
2.4.2.1.2设置用户组的上网策略
第一步：在【组织结构】中选择需要添加上网策略的用户组，右边进入管理页面，在【 策略列表】窗口中，点击添加策略按钮，然后弹出的【添加策略】页面，选择策略。 第二步：点击添加策略，在【添加策略】 中选择需要关联的上网策略工程师上网策 略，勾选[递归应用于子组]表示添加的策 略同时也会关联给子组，不勾选则表示子 组不会添加该策略。设置完成后点击确定。 第三步：返回【策略列表】页面，查看用 户组关联的。
代表网口状态是已连接状态， 击 可以设置自动刷新的时间。
代表网口状态是未连接状态，点
控制台功能说明
2.2.1运行状态
【接口吞吐率折线图】通过折线图的形式来动态显示外网接口实时发送 和接收数据的情况。
点击 可以设置[选择时间段]来显示相应时间段接口转发数据的情况 ，在[选择流量单位
控制台功能说明
2.2.1运行状态
控制台功能说明
2.1WebUI 配置界面
登录界面如下图所示：
控制台功能说明
2.1WebUI 配置界面
如何消除登录控制台的证书告警框？
首先，登录控制台，进入『系统配置』→『高级配置』→『WebUI选项 』页面，点击下载证书，将证书下载到本地安装。
SANGFOR_AC上网行为管理3.doc
SANGFOR_AC上网行为管理3 上网行为管理标准
应用分析
SANGFOR AC 功能
应用授权
网站访问言论发布文件传输邮件收发IM/P2P等应用控制与提醒
带宽管理
多线路流控用户/组流控应用流控网站流控文件流控
行为记录
网站访问外发言论SSL加密应用邮件、文件收发IM聊天等行为免审计Key
报表分析
独立数据中心统计/对比/趋势风险智能报表数据挖掘与分析内容快速检索日志权限Key
安全防护
终端安全检查网络准入控制过滤脚本、插件危险流量封堵查杀木马、病毒
AC为用户提供的核心价值
优化上网环境，提升用户用网体验优化带宽管理，保障核心业务、核心人员的访问速度管控网络应用，提高员工工作效率实现职权匹配，分配与职位相匹配的上网权限，防止越权访问防范信息泄露，保障组织信息安全过滤不良信息，规避由此带来的安全、管理与法律方面的问题修复安全短板，防止网络攻击，提升上网安全度支撑I T管理，优化组织IT管理环境
SANGFOR AC特点与优势
管理最全面
流控最精细智能提醒免审计key 日志审查key 智能报表快速搜索。
深信服上网行为管理功能参数
深信服上网行为管理功能参数AC-4300-RY上网行为管理产品功能性能参数项目指标具体功能要求性能吞吐量2.5Gbps，标配6个千兆电口，4个千兆光口，标准2U设备，配备冗余电源部署方式网关模式支持网关模式，支持NAT、路由转发、DHCP 等功能；网桥模式支持网桥模式，以透明方式串接在网络中；旁路模式支持旁路模式，无需更改网络配置，实现上网行为审计；网关管理管理界面支持SSL加密WEB方式、SSH命令行方式管理设备；分级管理不同用户组的管理权限支持分配给不同管理员；集中管理多台设备支持通过统一平台集中管理、集中配置等；被控设备加入统一平台支持以硬件证书验证身份；告警管理支持攻击、泄密告警，危险行为告警、邮件延迟审计告警等；加密连接具有IPSec VPN远程加密访问和连接的模块，并能提供IPSec VPN客户端授权远程接入访问；排障工具提供图形化排障工具，便于管理员排查策略错误等故障；上网故障排除系统支持开启直通后，流量控制模块依然生效，避免全部数据直通导致线路流量过大；实时监控设备资源信息提供设备实时CPU、内存、磁盘占有率、会话数、在线用户数、系统时间、网络接口等信息；流量状态实时提供用户流量排名、应用流量排名、所有线路应用流速趋势、流量管理状态、连接监控信息；安全状态实时显示当天的安全状况，最后发生安全事件的时间、类型、总次数、源对象，帮助管理员管理内网安全；上网行为监控实时显示设置过滤条件的用户上网行为监控，支持手动设置刷新时间；用户管理本地认证支持触发式WEB认证，静态用户名密码认证等；第三方认证支持LDAP、Radius、POP3、Proxy等第三方认证；支持ISA\ lotus ldap\novel ldap\oracle、sql server、db2、mysql等数据库等第三方认证；双因素认证支持以USB-Key方式实现双因素身份认证；IP、MAC认证支持绑定IP认证、绑定MAC认证，及IP/MAC绑定认证等；支持通过SNMP服务器跨三层获取MAC地址；支持当用户MAC地址变动时，需要重新认证；短信认证支持短信认证方式，用户输入手机号作为用户名，通过短信猫或短信平台发送验证码；短信认证能够根据不同用户推送不同认证页面，该认证页面可自定义，编辑内容包括文字、颜色风格、图片，且图片支持轮询播放公用账户支持多人使用同一帐号登录，且支持重复登陆检测机制；账户有效期指定账户支持有效期限制，并支持自动过期；单点登录支持AD、POP3、Proxy、PPPOE、H3C IMC/CAMS、锐捷SAM、城市热点等系统进行认证单点登录，简化用户操作；可强制指定用户、指定IP段的用户使用单点登录；强制AD认证指定用户用AD域账户登录操作系统，否则禁止上网；安全组嵌套同步支持AD安全组嵌套同步；LDAP服务器的域对象的策略管理与同步主要目的是对已有的AC 与LDAP服务器结合进行优化，便于客户实现策略管理在AC上进行，用户管理在域上进行，不需同步用户到本地组织结构中即可实现策略管理功能认证失败支持为认证失败用户提供基本网络访问权限机制；认证后页面跳转认证成功的用户支持页面跳转：1.跳转到用户原本输入的URL地址；2.跳转到管理员指定的URL地址；3.跳转到该用户上网信息排行页面；4.跳转到注销页面;帐户导入支持从本地导入和扫描导入，支持以CSV格式文件导入帐户/分组/IP/MAC/描述/密码等信息；支持从外部LDAP服务器导入账户及分组信息；组织结构用户分组支持树形结构，支持父组、子组、组内套组等；用户状态查询支持用户登录时间、注销时间、在线时长的查询；自动注销支持自动注销指定时间内无流量的已认证用户；冻结用户支持冻结认证失败次数超过最大值的用户，在冻结时间结束后恢复登录；用户密码强度可设置用户密码不能等于用户名；新密码不能与旧密码相同；可设置密码最小长度；可设置密码包括数字或字母或特殊字符；应用管理应用识别规则库1、支持根据标签选择应用，标签分类至少包含安全风险、高带宽消耗、发送电子邮件、降低工作效率、外发文件泄密风险、主流论坛和微博发帖6大类；2、支持给每个应用自定义标签；3、支持根据标签选择一类应用做控制；4、支持对每一种应用的定义和解释，帮助客户快速定位应用的分类；5、支持给每一种应用列上图标，易于客户了解应用的特征。
网康上网行为管理
网康上网行为管理为了保障企业网络安全和合法使用网络资源，需要对企业员工的上网行为进行管理和监控。
网康上网行为管理系统可以帮助企业实现对员工上网行为的实时监控、管理和策略控制，从而加强网络安全管理和合规管理。
一、网康上网行为管理系统的基本功能1、实时监控员工上网行为网康上网行为管理系统通过安装在企业网络中的探针和浏览器插件，可以对员工的上网行为进行实时监控。
系统可以详细记录员工的上网时间、访问网站的URL、访问次数、下载上传文件的大小和种类等信息，提供详尽的上网日志。
2、管理员工上网行为网康上网行为管理系统可以根据企业需求制定上网策略和访问权限，实现对员工上网行为的管理。
系统可以设置白名单、黑名单规则，对员工访问不合法网站进行拦截和屏蔽。
同时，系统也可以根据员工的职务、部门等身份进行授权管理，对员工上网权限进行分配和管理。
3、报表分析和安全审计网康上网行为管理系统为企业提供丰富的报表和分析功能，可以生成员工上网日志报表、违规访问报表等，为企业提供了大量的数据支持和决策参考。
系统还可以对企业网络安全事件进行安全审计，实时跟踪所有的网络安全事件，发现和排除网络风险隐患。
二、网康上网行为管理系统的应用场景1、企业网络安全管理随着互联网技术的快速发展，企业网络安全面临着越来越多的威胁。
网康上网行为管理系统可以对企业网络进行全方位的监控和管理，及时发现和解决各种网络安全隐患，保障企业网络安全。
2、员工管理和考核企业员工作为网络资源的使用者，如果滥用网络资源，则会影响企业的正常运营。
网康上网行为管理系统可以对员工进行上网行为管控，提高员工的工作效率和工作纪律，同时也为企业的考核和奖惩提供了有力依据。
3、合规管理和风险控制在一些行业中，企业必须遵守政府相关规定和行业标准，比如金融行业、医疗行业等，如果企业的上网行为不合规，则会面临着行政处罚和经济损失等风险。
网康上网行为管理系统可以帮助企业实现对上网行为的合规管理和风险控制，保障企业合法合规经营。
上网行为审计产品对比
上网行为审计产品对比XXXX系统集成有限公司2008/10/10企业信息化产品除了满足企业内、外部的需求外，还要满足在互联网应用上出现的问题――信息安全问题。
当企业接入互联网之后，公司领导发现了诸多问题：员工随意的互联网访问行为是否威胁到企业整个计算机系统的安全？是否在工作时间上网冲浪、聊天而导致工作效率下降？是否通过网络泄漏了企业的核心信息？是否通过网络传播了反动言论招致法律风险等等。
而这些可以归纳为3个非常突出的问题：安全问题、保密问题、管理问题。
安全问题：在互联网应用方面，HTTP、SMTP、FTP、POP3等协议，几乎每天都面临不同的安全风险，而这些应用协议正是企业每天都在用的；而病毒、蠕虫、垃圾邮件、木马程序、间谍软件、网络钓鱼等恶意行为也在伺机攻击企业的IT系统。
保密问题：客户资料、未公开的核心技术、商业信息等具有非常高的机密性文件，可以轻易的通过Email、QQ、MSN、BBS等网络通信渠道外发，可能造成泄密。
管理问题：反动、色情、网络游戏、聊天交友、BT下载、在线音乐、在线电影等不正当的网络行为不但蚕食着员工的思想和时间，更占用了企业大量的带宽资源，给企业正常的网络业务带来极大的影响。
复杂的互联网中隐藏着各种各样的威胁，进入互联网就如同进入一个危险的雷区。
这三大问题直接困扰着企业，如何才能兴利除弊？让各种互联网活动更安全、更有效、更可控呢？加强上网管理，兴利除弊信息安全问题不单是系统问题、硬件问题和环境问题，主要还是人的问题。
针对企业遇到的互联网应用问题，XXXX认为必须做到“三分技术，七分管理”才能有效解决这些问题，也就是通过有效的技术手段实现有效的管理，从而达到安全效果。
因此，XXXX公司为企业提供了面向全公司系统的互联网控制管理解决方案。
两种方案对比表北京网康科技有限公司北京网康科技有限公司是互联网控制管理领域的先行者，致力于研究如何帮助广大用户更好的控制和管理对互联网的使用。
上网行为管理设备详细介绍
上网行为管理设备详细介绍深信服上网行为管理设备主要功能如下：简述：能够规范员工的上网行为，提高员工的工作效率，并对员工的上网行为提供法律依据。
细述主要功能如下：1、屏蔽网络应用我们的用完善的上网策略来规范您内网用户的上网行为（比如：禁止在上班时间聊天、打游戏，上不健康网站、炒股、网上购物等）提高工作的效率。
2、流量控制能够对每个员工或部门，或者对内网不同的VLAN和终端上网电脑进行分组的流量进行控制和带宽管理提升宽带利用率，保证正常上班和业务系统拥有足够的带宽。
3、禁止大量占用资源的下载禁用一些关于BT、电驴、在线电视、电影等恶性下载软件的应用，保证上网的带宽价值。
4、降低法律诉讼风险降低企业的法律责任：员工利用公司提供的互联网连接访问色情、反政府、邪教等不良网站或在网上发表非法言论或从事其他一些非法活动等，这些活动极有可能会给所在的公司带来法律诉讼、行政处分等风险。
5、自动备份收发信息能够自动备份员工客户端的邮件收发，包括邮件的标题、正文和附件。
6、全面记录员工网络行为（即内容审计功能）强大的内容审计功能：能设定规则检测需要监控的所有电脑的所有上网行为（包括上的网站、聊天的内容、发的邮件和邮件的内容等）。
7、数据中心报表强大的数据中心报表功能，给领导提供直接的上网数据统计和上网行为统计。
高度的硬件集成，部署灵活。
8、邮件延迟审计现在内网的安全越来越受到广大网管的重视，保护内部重要数据安全、防止重要信息外泻（比如：设计图纸、公司内部方案、财务报表、最新的新闻信息等）例：现在企业大量使用电子邮件进行各种信息的交流，公司内部员工用互联网可以很轻易的把企业的关键信息传播出去一些商业、技术上的关键性信息的泄露会给企业带来无法弥补的损失。
对这我们用邮件延迟审计的专利，可以对所有的出口邮件进行审核拦截。
9、丰富的权限分配能够为设备的管理人员进行功能管理的细分。
比如网管只能管理流量控制、屏蔽网络应用功能，而行政可以查看和管理员工上网行为，信息审计员能够查看和管理收发信息。
国内企业网络管理四大工具软硬件分析
国内企业网络管理四大工具软硬件分析随着企业对网络管理的需求越来越多，国内网络管理软件、硬件厂商竞争越来越激烈，小草上网行为管理软路由、深信服硬件设备、聚生、网络警等软硬件为企业提供了多种选择。
下面将分别分析这几家产品的特点，为企业的选择提供参考。
首先是小草上网行为管理软路由，小草是专业的企业网络局域网管理软件，小草安装部署简单、操作方便，在任意一台电脑上即可安装使用监控整个局域网情况。
小草具有上网行为管理、流量控制管理、DHCP、IP绑定、企业级防火墙等众多功能，效果非常不错，能有效限制下载、网络游戏、炒股软件、看视频、网页浏览等，是企业不可多得的专业级企业网管软件！同时小草上网行为管理软路由坚持无广告，为广大的网管提供一个纯净的管理工具。
针对中小企业网络管理投入不足的问题，小草上网行为管理软路由针对60人以下的企业可免费永久使用，解决了国内众多的中小企业网络管理难题。
深信服上网行为管理。
深信服上网行为管理是基于硬件的产品，所以在部署的时候需要部署在局域网的公网出口，充当局域网电脑的上网的网关，局域网所有电脑的数据包流量都要流过此硬件网关，然后硬件网关将数据包依据系统集成的规则进行识别和过滤。
总体来说，这种上网行为管理系统可以保证对局域网电脑监控的有效性，但是，也使得局域网电脑的上网也受制于单点故障的影响，也就是说当此硬件网关出现故障的时候，将使得局域网的电脑出现无法上网的情况。
不过就其功能而言，深信服上网行为管理软件也可以实现对当前流行的P2P软件、聊天软件、主机带宽进行合理的控制等功能。
聚生网管系统。
同样聚生网络系统也能够实现对局域网的网络管理、流量控制管理，限制P2P下载、限制网络游戏、限制网络购物、限制炒股等监控内容，从功能上来说聚生网管系统也是一部很不错的软件，但是聚生网管系统采取的是收费模式，而且价格并不低，这也让众多企业望而却步。
目前很多人用的是聚生网管的破解系统，但是这样的破解系统并不稳定，会为企业带来潜在的安全隐患。
网康ICG与深信服AC产品对比 - 201001
网康ICG与深信服AC产品对比
编号
1 产品定位
对比项目
1.1
产品定位
2 2.1
产品功能 网页过滤
URL库分类模式
URL库规模及准确率
URL库更新能力
客户未分类URL回传再分类
自定义URL组
IP类URL过滤
自定义违规提示页面
网站访问黑白名单 2.2 互联网内容审计
审计范围
网页浏览审计
支持 对于禁止访问的网站列入黑名单，对于无需过滤的网站列入白名单，如 防病毒软件的自动更新。 全面 1.网页审计 2.IM(QQ/MSN/YAHOO/飞信) 3.论坛发帖 4.邮件（POP3/SMTP/126、163、sina、TOM、Gmail、yahoo、sohu等十 余项主流webmail邮件） 5.文件传输（HTTP、IM、邮件、发帖、FTP） 6.搜索引擎关键字 7.流量审计 支持 1.记录访问网页的用户、时间、URL地址、访问内容的分类、允许/阻断 、匹配的控制策略等信息； 2.可审计用户访问HTTPS加密网站的行为。 3.可记录网页标题信息。 4.支持网页快照，可以记录网页内容信息。 支持 支持 1.可记录QQ聊天内容 2.可记录QQ聊天双方的账号、昵称 3.可记录QQ的语音视频行为 4.可记录QQ文件传输名称和类型 支持 1.可记录MSN聊天内容及双方昵称 2.可记录MSN的语音视频行为 3.可记录并还原MSN文件传输名称、类型和内容 4.可对MSN聊天内容进行关键字匹配，匹配预设关键字则发送邮件报警 支持 1.可记录飞信聊天内容及双方昵称 2.可记录飞信外发文件的名称及大小 3.可记录飞信群聊内容 支持 可记录用户在任何论坛上发帖的主题和正文内容 可定义无需审计的论坛地址 支持 1.可记录收发邮件的发信人地址、收信人地址、主题、正文、附件内容 2.能够基于用户名、时间、发送账户、接收帐号、主题关键字、正文关 键字、附件名称、附件类型、附件大小等条件灵活调节外发邮件的审计粒 度，具有很强的灵活性； 3.可以由针对性的仅审计需要关注的内容。如对邮件主题、正文、附件 名中包含如“机密”、“财务”等敏感关键字的外发邮件进行监控；对研发 部门发送的带有“.h”类型程序代码附件的外发邮件进行监管； 4.可对收发邮件的标题及内容关键字进行匹配，匹配预设关键字则发送 邮件报警 支持 1.能够审计用户通过搜索引擎输入的所有关键字，也可以只审计指定的 敏感关键字。 2.可以基于搜索类别审计用户在搜先进的基于行为后果的URL预分类模式 通过基于网页全息分析的爬虫技术对网页进行分类，能够从网页的结构 、上下文、网页相似度等多角度对其进行全面解析与自动分类。在此基础 上，网康拥有超过20人的专业团队对上述分析结果进行人工审核，网页分类 的精确率超过95%。 提供全球最大的中文URL分类库，规模达1500万条，分类精准率接近100% 支持43个一级分类，以及8个二级子分类。对google搜索引擎任意关键 字的前100条搜索结果，ICG的网页分类识别率高达95%以上，且识别分类精 准率接近于100%。 URL每天更新量超过300万条 网康URL库更新快速，对于新生、变更、消亡的URL，通过网康自主研发 的内容分类引擎(crawler/spider)，7x24小时在互联网上进行URL抓取，每 天更新超过300万条，并自动分类。 能够自定义URL更新时间，例如设定在每晚2点更新，不影响正常工作时 间的网络使用 支持 网康产品支持未分类URL自动回传、再分类下发功能，使得通过一段时 间的积累，客户管控的URL范围快速收敛，提高客户处URL分类的广度和精准 支持 能够对预置URL分类及自定义的URL分类自由整合，构建符合实际需要的 自定义URL分组，方便策略的定制和后期维护。 支持 目前国内外所有上网行为管理产品的网页过滤功能都基于网页域名进行 控制，而某些用户为了逃避管理，会直接使用违禁网页的IP地址进行访问。 据分析，目前大量的色情、违法网站均建议用户通过IP地址访问。ICG能够 帮助IT部门有效管控这类试图通过域名解析到的IP地址访问违禁网站的用户 行为，确保网页过滤的全面。 支持 IT部门能够自定义警示信息，对违反策略的网页访问行为进行提示，当 用户因访问违禁网站而被禁止时，能够清楚的知道自身产生了违规行为，系 统能提示所访问网站的类别，不会因为误认为此问题由断网引起，而对IT部 门频繁求助或进行投诉，该功能体现了网康产品的人性化。
网康、深信服上网行为管理功能对比.docx
.网康、深信服的功能对比本文从产品的硬件、功能、性能等多方面比较了网康、深信服厂家的上网行为管理产品，仅供参考。
参数列表网康科技深信服基本参数厂商及产品简介网康科技公司，总部在北京，国内第一家专业“上网行为管深信服科技公司，总部在深圳，以IPsec-VPN 起家，后来理”设备生产厂家；网康ICG 是国内“上网行为管理”一线做 SSL-VPN、防火墙和 UTM。
其 UTM产品功能较多，其中包品牌，其主要特点是 URL库、应用库庞大，性能稳定，功能含有上网行为管理功能。
配置灵活，界面友好易操作等；在日本及中亚市场也占有相当份额。
产品形态软硬件一体产品软硬件一体产品避免单点故障 1.支持断电 Bypass 功能；仅某些型号支持硬件 bypass ；2.支持非断电模式下的智能硬件bypass 功能，任何故障均不支持软件 bypass 和一键 bypass 功能。
保障网络畅通；开机和关机过程中无 bypass 功能。
3.设备面板有一键按钮bypass4.开机和关机过程中自动切换bypass 。
系统冗余容错支持硬盘发生故障时，设备可以切换到备份系统，由备份系仅硬盘上存有操作系统统执行互联网行为管控功能；硬盘发生逻辑损坏时，设备支持自修复功能；部署方式(1)产品可通过透明桥接、网关、旁路三种方式接入网络。
支持网关、单 / 双路串接、镜像旁路等部署方式(2)产品在透明网桥接入模式下，支持双链路、双网桥部署。
(3)产品在网关模式下，支持DNAT内网 IP/ 端口映射，便于外部用户访问内网主机。
(4)支持通过集中管理平台对分布部署的设备进行统一策略制定与管理。
(5) 支持外置日志中心，可以实现离线日志查询。
代理服务器功能可作为专业代理服务器部署，实现员工通过代理上网；不支持支持 HTTP代理功能，并可自定义代理端口；支持 HTTPS代理，可自定义安全端口；支持 SOCKS代理，并提供代理认证功能；可以设定缓存大小、缓存有效期、不缓存网页列表，并实时监控请求数、命中率等代理服务状态。
网络设备推荐
一、上网行为管理（品牌：深信服、华为、天融信、网康、网神、360 ）
带“★”为必须满足项
二、VPN 安全网关（品牌：深信服、华为、天融信、网康、网神、360 ）
三、核心交换机
华为9306
四、三层交换机
从业八年，呆过几个安全厂商，从个人角度讲讲：天融信、启明、网御、绿盟都是传统的综合安全厂商，政府军工行业做的比较多，产品线、产品资质和公司资质都比较全，全国各地都有厂家的办事处，服务也有保障，产品方面各有优劣。
深信服是05年后快速增长的安全公司，主要强调应用交付，避免和传统厂商正面交锋，网神是从联想网御分出来的，研发能力已经比较落后，产品更新换代较慢，好像被360收购了，不知道下一步怎么发展。
根据这几年的市场表现，各公司优势产品及简评如下：
天融信：防火墙，其他产品多基于TOS或OEM的
启明：入侵检测、W AF、SOC
网御：（原联想网御，现网御星云，已被启明收购，产品与启明重合，单独品牌运作）UTM、网闸
绿盟：入侵防御、漏扫、抗DDOS
深信服：上网行为、VPN
山石：UTM
网康：上网行为
作者：匿名用户
链接：https:///question/23146141/answer/35630808
来源：知乎
著作权归作者所有。
商业转载请联系作者获得授权，非商业转载请注明出处。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
三级树状应用协议分类架构，清晰易懂，支持
14 大类， 260 仅支持平面级别的二级分类，支持近 250 种协议
可限定每个用户在一天之内累计上网时间额度；但不支持 对单个应用设置策略；
提供全球最大的中文 URL分类库， 规模达 1400 万条， 分类精 准率接近 100% 支持 43 个一级分类，以及 8 个二级子分类。对 google 搜索 引擎任意关键字的前 100 条搜索结果， ICG 的网页分类识别 率高达 95%以上。 URL库每天更新 300 万条； 客户可设置自动升级或手动更新； 且支持客户未分类 URL回传再分类；
支持 POP3邮件账号用户识别；
支持 Kerberos 单点识别；
支持 PPPoE认证账号单点识别；
可识别 BASIC、 NTLM方式的代理服务器的用户；
支持第三方用户信息识别。
支持微软 AD域的联动认证；
支持 LADP服务器的联动认证；
支持 Radius 服务器的联动认证；
支持 POP3认证；支持 ESMTP认证；
以树状架构对用户进行管理，实现完全ቤተ መጻሕፍቲ ባይዱ照企业的组织结构
多级划分用户组；
且支持横向逻辑权限组，大大提高管理方便性；
支持 IP 段自动分组；
支持用户信息外部导入；
支持二层和三层网络环境下的 需安装客户端；
IP/MAC 绑定，且实现该功能无
可基于 IP 进行用户的身份识别；
可基于 MAC地址进行身份识别；
支持无客户端的 AD域用户识别；
外部用户访问内网主机。 (4) 支持通过集中管理平台对分布部署的设备进行统一策略
制定与管理。
深信服科技公司，总部在深圳，以 IPsec-VPN 起家，后来 做 SSL-VPN、防火墙和 UTM。其 UTM产品功能较多，其中包 含有上网行为管理功能。
软硬件一体产品 仅某些型号支持硬件 bypass ； 不支持软件 bypass 和一键 bypass 功能。 开机和关机过程中无 bypass 功能。
支持基于预分类的 URL 类别进行过滤控制； 支持用户自定义 网站类别过滤； 支持 URL类别的二级子类控制； 支持对以 IP 方式访问网站过滤控制； 支持基于网站分类过滤 HTTPS加密的网站；
URL 库规模声称 1000 万，实际不足 400 万，且不支持二 级分类，分类精准率不足 50% 。
支持 URL 库更新
基于应用控制用 户每日上网时长 网页非 WEB 浏览 控制（网页视频、
网页游戏等）
支持基于 URL关键字进行过滤控制； 支持基于文件类型进行过滤控制； 支持基于网页文件大小进行过滤控制； 对于违反策略的网页访问，支持弹出警示页面，警示页面内 容支持自定义； 支持网站黑、白名单设置；
支持网站黑、白名单设置；
支持基于预分类的 URL 类别进行过滤控制；支持用户自定 义网站类别过滤； 支持过滤 HTTPS加密的网站； 支持基于 URL关键字进行过滤控制； 对于违反策略的网页访问，支持弹出警示页面；
-3-
应用封堵功能
协议库组织架构 及规模
封堵 P2P 下载
封堵 IM 即时通信
封堵网络游戏
封堵炒股软件
封堵网络电视
支持客户端本地认证；支持互联网准入认证。
不支持
以树状架构对用户进行管理；不支持用户导入，但可以手 工批量生成用户； 支持 IP/MAC 跨三层绑定；
可基于 IP 进行身份识别； 可基于 MAC地址进行身份识别； 支持 AD域用户识别； 支持 POP3邮件账号用户识别；
支持微软 AD域的联动认证； 支持 LADP服务器的联动认证； 支持客户端本地认证；支持互联网准入认证； 支持网关设备本地 Web登录认证方式； 可定义免认证 IP 网段；
-2-
用户每日上网时 长限额
网页过滤功能
URL 库规模及准 确率
URL 库时效性 URL 过滤能力
支持网关设备本地 Web登录认证方式； 提供与第三方认证系统联动的接口； 可与华三 CAMS系统联动实现单点认证。 可为不同 IP 网段开启不同的用户认证方式； 同一 IP 网段可同时开启多种认证方式。 可控制认证账号是否可在多台计算机设备上同时登陆； 支持认证账号黑名单控制； 支持认证账号有效期控制，到期后账号自动失效； 可定义免认证 IP 网段，支持用户访问指定的服务器无需认 证； 支持用户自定义认证窗口的提示信息； 用户可修改自身 LDAP认证密码； 可限定每个用户在一天之内累计上网时间额度； 可单独控制用户的某项互联网应用每日上网时长限额； 可同时控制用户的多项互联网应用每日上网时长限额；
保障网络畅通； 3. 设备面板有一键按钮 bypass 4. 开机和关机过程中自动切换 bypass 。 支持硬盘发生故障时，设备可以切换到备份系统，由备份系 统执行互联网行为管控功能； 硬盘发生逻辑损坏时，设备支持自修复功能； (1) 产品可通过透明桥接、网关、旁路三种方式接入网络。 (2) 产品在透明网桥接入模式下，支持双链路、双网桥部署。 (3) 产品在网关模式下，支持 DNAT 内网 IP/ 端口映射，便于
网康、深信服的功能对比
本文从产品的硬件、功能、性能等多方面比较了网康、深信服厂家的上网行为管理产品，仅供参考。
参数列表 基本参数
厂商及产品简介
产品形态 避免单点故障
系统冗余容错 部署方式
网康科技
深信服
网康科技公司，总部在北京，国内第一家专业“上网行为管 理”设备生产厂家；网康 ICG 是国内“上网行为管理”一线 品牌，其主要特点是 URL库、应用库庞大，性能稳定，功能 配置灵活，界面友好易操作等；在日本及中亚市场也占有相 当份额。 软硬件一体产品 1. 支持断电 Bypass 功能； 2. 支持非断电模式下的智能硬件 bypass 功能，任何故障均
仅硬盘上存有操作系统
支持网关、单 / 双路串接、镜像旁路等部署方式
代理服务器功能
用户管理功能
用户管理
用户识别
用户认证
(5) 支持外置日志中心，可以实现离线日志查询。 可作为专业代理服务器部署，实现员工通过代理上网； 支持 HTTP代理功能，并可自定义代理端口； 支持 HTTPS代理，可自定义安全端口； 支持 SOCKS代理，并提供代理认证功能； 可以设定缓存大小、缓存有效期、不缓存网页列表，并实时 监控请求数、命中率等代理服务状态。