访问隔离用户模式FTP服务器-服务器

用户隔离模式的FTP服务器提高了FTP目录的安全性，可以将不同用户隔离在独立的目录中。拥有FTP服务器合法登录权限的用户可以使用用户账户访问自己的FTP目录，访问隔离用户模式FTP服务器的步骤如下所述：

第1步，在网络中任意一台计算机的Web浏览器地址栏输入隔离用户模式FTP站点地址，并按回车键，然后在空白处单击鼠标右键，选择“登录”命令，如图所示。

选择“登录”命令

第2步，打开“登录身份”对话框，在“用户名”和“密码”编辑框中分别输入合法的用户账户和密码，并单击“登录”按钮，如图所示。

“登录身份”对话框

第3步，成功登录到用户在FTP服务器上的私人文件后，即可进行上传和下载文件的操作。

用户登录分为两种情况：如果以匿名用户的身份登录，则登录成功以后只能在Public目录中进行读写操作；如果是以某一有效用户的身份登录，则该用户只能在属于自己的目录中进行读写操作，且无法看到其他用户的目录和Public目录。

下面列举了一些的精彩话题：

===============================================================

WindowsServer2003安装安全配置向导组件

利用安全配置向导创建Web服务器安全策略

选择服务器角色为Web服务器和FTP服务器

安全配置向导中进行Web服务器网络安全配置

安全配置向导中进行Web服务器注册表设置

安全配置向导中配置系统审核策略

安全配置向导中配置Web服务器IIS选项

安全配置向导中保存应用安全策略

在流媒体服务器中，发布点是接受用户连接请求的接口，用于管理和发布流媒体内容，对发布点的管理设置只能应用于所选中的发布点。以管理事先创建的Movie发布点为例，打开WindowsMediaServices窗口，在左窗格中展开服务器和“发布点”目录，并选中发布点Movie。

在“监视”选项卡中，用户可以单击“允许新的单播连接”或“拒绝新的单播连接”按钮来启用或关闭发布点。另外，用户还可以在该选项卡中查看当前连接的客户端数量和带宽分配情况，如图所示。

单击“允许新的单播连接”按钮

下面列举了一些的精彩话题：

===============================================================

WindowsServer2003安装安全配置向导组件

利用安全配置向导创建Web服务器安全策略

选择服务器角色为Web服务器和FTP服务器

安全配置向导中进行Web服务器网络安全配置

安全配置向导中进行Web服务器注册表设置

安全配置向导中配置系统审核策略

安全配置向导中配置Web服务器IIS选项

安全配置向导中保存应用安全策略

科盾产品总分6大模块组成分别是: 可信桌面管理子系统是科盾内网安全防御体系的有机组成部分，它在科盾内网安全平台中的位置如下图所示。其中，可信网络基础平台为本系统提供计算机认证信息，可信网络认证授权子系统为本系统提供用户认证信息，基于上述两种认证信息，本系统将能够实现对计算机或用户的控制与管理，减轻管理员的维护工作，并减少信息外泄的风险。另外，可信桌面管理子系统通过与认证子系统、移动存储介质管理子系统、网络监控子系统和网络分域管理子系统相结合，能够对企业或单位的内网提供全方位的保护。

图1 科盾内网安全平台体系结构计算机认证信息用户认证信息科盾内网安全平台体系结构可信网络基础平台可信网络认证授权子系统可信桌面管理子系统可信移动存储介质管理子系统可信网络监控子系统可信网络分域管理子系统可信文档安全子系统

本系统的目标可以归纳如下：

敏感信息拿不走。系统提供外设管理功能，通过控制终端外设的使用，实现终端用户在非授权的条件下无法拷贝或传输敏感信息到企业或单位外部。

敏感信息看不懂。系统通过透明加、解密敏感信息，实现非授权用户即使带走了敏感信息也无法阅读。

文件操作强审计。系统提供文件控制功能，通过严密审计敏感文档的操作，实现用户违规操作的事后追查；

用户行为的可监控。在监视方面，系统提供远程终端监视功能，使管理员可以实时地监控用户正在运行的应用程序、桌面状况、内存和硬盘的使用状况等。如果某个用户的行为不符合企业或单位的规定，则可通过锁定或截屏操作终止其行为或进行实时取证。在控制方面，系统提供进程控制功能，控制用户是否允许运行某个程序。该功能一方面可以规范用户的行为，有效提高员工的工作效率，另一方面也保证了终端的稳定性，防止病毒的攻击。

终端资产的可计量。管理员能够对终端的软、硬件资产进行统计，并能跟踪其变更，防止企业或单位资产的流失。

数据分发的可自动。管理员能够将文档、软件或补丁分发给终端，并根据它们的性质选择存储、安装或执行。

信息交互的可即时。管理员和终端用户之间的信息交流，用于企业或单位内公告的发布和反馈 （1）移动存储介质集中注册管理 采用本系统，管理员能够对内部使用的移动存储介质进行集中注册，从而进一步对这些移动存储介质进行统一地管理，实现访问控制和安全日志审计，注册的内容包括：

l 存储介质元信息：包括设备名称、主管部门、所属部门、使用部门、责任人、使用人和备注等元信息；

l 使用有效期：指明该移动存储介质在内网中使用的有效期，一旦超过有效期，系统将自动禁止该设备在网络中使用。

（2）私有磁盘格式 管理员在对移动存储介质进行注册时，可以将该介质注册为特殊磁盘格式，使该存储介质只能在企业内网中使用，内部人员将该介质拿出后将无法被外部机器识别，从而防止内部数据遗失。

（3）严格的介质接入控制 移动存储介质在接入内部计算机后，系统将能够对其认证信息进行识别，并采用不同的机制进行接入控制：

l 认证介质。对于已经注册过的合法移动存储介质，管理员能够集中对其所能够使用的计算机范围和用户范围进行设定，具体的接入控制可以细分为三种：

A 未授权用户使用该介质，或者内部人员在未授权的机器上使用该介质，系统将自动对其进行阻断，防止涉密数据的流失；

B 只有合法的用户在合法的机器上接入，该移动存储介质才能正常使用；

C 管理员能够方便对存储介质进行挂失，一旦挂失，相关存储介质也将无法接入内部网络。

l 未认证介质。对于未认证介质，管理员能够统一设定该介质能否在内网使用，如果管理员禁止其使用，那么该设备将无法接入企业内网。

（4）灵活的访问控制 移动存储介质在接入内部计算机后，管理员能够从控制台对其使用权限进行设定。系统支持的五种控制方式包括：

l 禁止使用。在管理员授权的范围内，该介质无法使用。

l 只读控制。在管理员授权的范围内，该设备只能以只读的方式使用，用户无法将任何文件拷贝到该介质上。

l 读写控制。在管理员授权的范围内，用户能够对移动存储介质进行读写操作。

l 透明解密只读控制。在管理员授权的范围内，该设备只能以只读的方式使用，用户无法将任何文件拷贝到该介质上；与只读控制方式不同，用户在读取文件时，系统会对读取的数据进行透明解密。

l 透明加解密读写控制。在管理员授权的范围内，用户能够对移动存储介质进行读写操作；与读写控制方式不同，用户在读取数据时系统会自动解密，在写入数据时系统会自动加密，从而方式内部数据的流失。

（5）离线策略控制 在用户将计算机带离企业内网（如出差等）时，管理员能够采用第二套离线策略对其移动存储介质的使用情况进行控制。同时，在离线状态下用户的移动存储介质操作记录能够被自动记录，一旦在线将自动进行日志上传。

（6）安全事件预警与审计 系统会对用户在企业内网对移动存储介质的操作进行日志记录，在发生管理员预先定义的预警事件时，系统会及时对这些事件进行上报，并以预警的形式进行显示。具体的操作日志包括：

l 移动存储介质接入事件。在用户在企业内网接入移动存储介质时，系统会对接入事件进行记录，具体包括接入的时间、人员、地点和设备编号等。

l 文件拷贝事件。在用户将企业内网数据拷贝到移动存储介质上时，系统会自动对拷贝事件进行记录，具体包括拷贝的事件、人员、地点、设备编号、文件信息等。 与同类产品相比，本系统具备如下特点：

1、标准化设计。本系统严格按照涉密网对移动存储介质的管理要求进行设计，符合国家的相关规定与标准。

2、设备无关性。本系统与具体的移动存储介质和计算机硬件无关，企业原有的移动存储介质均可以转化为“可信移动存储介质”，并进行严格的管理。

3、支持广泛。系统能够全面支持各种类型的移动存储介质，包括U盘、移动硬盘、数码相机和MP3等。

4、注册策略灵活。管理员能够对移动存储介质所能使用的计算机（组）、用户（组）进行灵活管理。

5、操作简便。私有的磁盘格式与系统内核级的数据加密对用户完全透明，无需对用户进行额外的培训，降低成本。

6、支持离线策略控制。内部人员在外网使用移动存储介质时，也会受到离线策略的控制。

7、强大的跟踪审计。具备强大的移动存储介质使用跟踪和日志审计，能够在整个生命周期内对跟踪存储介质的使用安全。 可信文档安全子系统主要包括以下功能：

l 强制加密

通过指定文档类型、或者处理进程，能够达到所有存储介质上存在的该类型文件全部加密，有效防止机密信息泄露。

l 内发控制

通过对分发文档的阅读权限和阅读范围进行限定，能够有效的控制流传范围，减小机密文件扩散可能，并且提供集中存放和方便快捷的查询服务，提升文件服务器功能。

l 外发控制

通过自安装控制程序，对外单位的阅读权限进行设定，有效防止本单位知识产权信息外泄。 可信文档安全子系统主要包括以下关键技术

l 内核级动态加解密

动态加解密技术通过不同安全策略通道对数据进行加密保存，使存储的数据不能通过任何途经（包括：各种移动存储设备、网络、电子邮件、即时通讯工具：MSN、QQ、PaoPao、Skype等）向外泄密；当合法用户读取数据时，已经被加密的数据会通过动态加解密技术和正确的安全策略通道安全的解密数据；对于内存中的明文数据内容，提供独特的内存文件内容防护系统，防止非法通过网络或其他的应用程序窃取内容，造成泄密。加解密过程自动完成，对用户完全透明，在用户没有任何感知的情况下保护文件的安全。

l 只读控制

文件的只读控制是通过以下的一些策略组合来控制的，主要包括“另存为”、“保存”、“打印”、“复制粘贴”、“阅读期限”等。

n 剪贴板控制

文件包内的文件在打开之后，如果是只读权限，那么是不能通过Ctrl+C和Ctrl+V或者复制粘贴来进行拷贝的，主要目的防止用户将文件内容拷贝到非控制进程。

n 打印控制

可以设定某个文件的打印权限。

n 另存为控制

受控文档，点选“另存为”无法另存文件，确保文件不被复制。

n 保存控制

受控文档，可以进行编辑修改，但是无法保存。

n 阅读期限

任意文档在制作打包为NSD文件时，都可以设置打开时间，超过期限的均无法打开。

l 文档外发打包

对选中文件进行压缩，并加密处理，防止恶意访问

生成exe文件，支持自动部署控制环境

对包中文件进行只读控制

阅读授权方式包括：密码授权、注册码授权，能够严格控制非法访问 系统特点

(1)完全独立于计算机网络系统原有的认证体系，安全可靠性更高，且支持各类标准的CA服务器，使用方便，对原有网络体系影响很小。

(2)基于PKI技术的“双因素认证”。用户必须使用合法的认证令牌，并提供认证令牌对应的PIN码，才能登录到安装了可信认证代理的计算机操作系统，两层保护提高了认证安全级别。

(3)具备服务资源的安全增强功能。可将服务器的用户账号和代表用户身份的硬件USB令牌强制绑定，从而避免内部盗用领导或者其他人账号使用服务资源情况的发生。

(3)提供了高等级的个人计算机保护功能。用户可以设定计算机操作系统在令牌拔出后自动锁定，以保护个人计算机的安全；可以实现对安全模式的禁用。

(4)可建立安全服务器区。使用虚拟安全网关，管理员可以指定每个用户能够访问单位内部哪些特定的应用服务器，或者指定某台服务器只能授权哪些用户使用。这些用户访问这些服务器之前，都需要通过服务器的统一认证，获得授权。

(5)令牌分发、令牌吊销、令牌授权、令牌更新等操作由管理员在管理中心即可完成，管理的效率得到了极大的提高。

(6)令牌PIN码输入错误的次数达到预先设定的值，令牌立即锁定，防止令牌丢失后对令牌的强行字典攻击。令牌中的密钥是唯一且不可复制的，不能通过复制令牌等方法来伪造用户身份。

(7)自动生成包括每次登录操作的审计追踪信息，且具备自动日志维护功能，有助于防止内部员工滥用访问权或疏于执行安全策略而造成的损失。

(8)具有身份认证USB令牌的扩展功能。它包括：智能存储型USB硬件认证设备，支持128M～1G大容量存贮空间，支持飞天诚信、大明五洲、明华、握奇等公司设备。智能指纹令牌；智能指纹型USB硬件认证设备。支持飞天诚信、大明五洲、明华、握奇等公司设备。 系统特点

(1) 端点防火墙可以对URL进行网页过滤，防止用户浏览恶意网页中毒和木马。

(2)为了平衡管理和安全，端点防火墙对用户的网络访问控制提供分时段控制功能，可以由管理员灵活配置指定用户在指定时间段内的访问范围。

(3)强大的WEB附件控制功能可以防止信息通过WEB论坛粘贴附件、通过网络硬盘传输文件等方式外泄。

(4)流量控制和带宽控制功能提供对粒度不同对象的控制，如对用户或用户组，并且提供实时的统计显示。

(5)可以对主机的IP和MAC地址进行强制性的绑定，对恶意修改IP的用户可以采取断网的惩罚措施。

(6)智能的ARP防火墙，不仅可以对ARP病毒免疫而且阻止ARP病毒进行破坏活动，更重要的是提高丰富的日志信息追溯该病毒源。 一般来说，企业或单位的安全域由外部域和内部域组成。其中，内部域又分为接入域和核心处理域。外部域主要是企业或单位网络边界以外的部分，如Internat；接入域主要是企业或单位内网的办公、运维和生产用机组成的逻辑区域，它们根据业务特点的不同按部门进行组织和管理；核心处理域主要是企业或单位各业务系统主机所放置的区域。CNSDMS为企业或单位在内网安全防护方面主要解决以下三点需求：

1) 如果某个接入域A在安全等级上高于某个接入域B，那么如何防止B内的主机访问A内的主机？

2) 如果某个接入域的安全等级降低或者有需求与其它接入域进行互访时，如何恢复它们的通信？

3) 出于企业或单位特殊的应用需求，如果需要临时抽调不同域中的人员进行合作，那么如何打破它们原来的通信限制？

22 CNSDMS与VLAN的对比

VLAN（Virtual Local Area Network）是在交换局域网的基础上，采用网络管理软件构建的可跨越不同网段、不同网络的端到端的逻辑网络。从技术角度讲，VLAN的划分可依据不同原则，一般有基于端口、基于MAC地址以及基于路由的三种划分方法。基于端口的划分是把一个或多个交换机上的几个端口划分一个逻辑组，网络管理员只需对网络设备的交换端口进行重新分配即可，不用考虑该端口所连接的设备；基于MAC地址的划分是按MAC地址把一些主机划分为一个逻辑子网；基于路由的划分需要路由器和路由交换机（即三层交换机），允许一个VLAN跨越多个交换机，或一个端口位于多个VLAN中。 就目前来说，对于VLAN的划分主要采取上述第1、3种方式，第2种方式为辅助性的方案。

使用VLAN具有以下优点：

1) 控制广播风暴：一个VLAN就是一个逻辑广播域，通过对VLAN的创建，隔离了广播，缩小了广播范围，可以控制广播风暴的产生。

2) 提高网络整体安全性：通过路由访问列表和MAC地址分配等VLAN划分原则，可以控制用户访问权限和逻辑网段大小，将不同用户群划分在不同VLAN，从而提高交换式网络的整体性能和安全性。

3) 网络管理简单、直观：对于交换式以太网，如果对某些用户重新进行网段分配，需要网络管理员对网络系统的物理结构重新进行调整，甚至需要追加网络设备，增大网络管理的工作量。而对于采用VLAN技术的网络来说，一个VLAN可以根据部门职能、对象组或者应用将不同地理位置的网络用户划分为一个逻辑网段。在不改动网络物理连接的情况下可以任意地将工作站在工作组或子网之间移动。

使用VLAN具有以下缺点：

1) VLAN之间交流的问题：如果VLAN1的用户要与VLAN2的用户交流，他们并不能直接连接，必须在交换机上进行配置，如果这样的情况时常发生，用VLAN就不方便解决，从而失去了它的优越性。

2) VLAN的复杂性：如果大规模的扩展整个网络，VLAN的复杂性就会很快的增长。因此一旦网络崩溃，维修会花费一大笔资金。

3) 路由器的负载能力：用一个路由器来进行VLAN之间的路由，如果网络不是很大，路由器可以承担工作负载，但是如果在大型的有很多VLAN的网络中应用，把所有的负荷都加在一个路由器上并不是一个好的方法。

根据VLAN的优缺点分析， CNSDMS能够弥补VLAN的不足，它与VLAN的建设不存在任何冲突，可以在现有企业或单位的网络拓扑结构上增强逻辑网络的安全访问能力。

三、CNSDMS的功能

31相关概念

CNSDMS涉及虚拟安全域、公共交换域、工作组以及可信域四个概念：

虚拟安全域对应于接入域，是根据安全等级的不同对企业或单位安装了内网安全终端的机器的划分，实现域间的安全访问。其中，一台机器只能隶属于一个虚拟安全域。虚拟安全域的功能主要实现域间的通信控制和外网访问控制。

公共交换域对应于核心处理域，它与所有虚拟安全域之间能够互相访问，保证企业或单位的业务畅通。在CNSDMS中，公共交换域所包含的机器分为两种类型：一是企业或单位的公共网关、公共路由器或业务服务器；二是安装或未安装内网安全终端的机器。

工作组是一个临时的虚拟划分，具有有效期，可与实际项目组相对应。一个工作组至少要包含两个以上虚拟安全域的机器，一台机器可以隶属于多个工作组。

可信域是指虚拟安全域间的信任关系，具有对称性。具有可信关系的安全域可以相互访问。

32 CNSDMS的技术优势

在技术上，CNSDMS在操作系统的NDIS层通过拦截所有网络包实现域间机器的安全隔离，因此网络阻断高效且彻底。除此之外，CNSDMS的技术优势还包含以下两点：

1) CNSDMS的使用不需要对已有网络进行改造；

2) 安全域的创建与编辑具有很大的灵活性；

33 CNSDMS的工作原理

CNSDMS的工作原理如下图所示。科盾管控中心负责虚拟安全域、公共交换域以及工作组的创建和编辑

对于虚拟安全域，管理员可根据职能部门的安全等级将内网中已安装安全终端的机器进行划分，并且为了保证业务活动的通畅，将内网中的公共网关、公共路由器或业务服务器划分到公共交换域中（对于工作组的创建与虚拟安全域类似）；其次，通过设置虚拟安全域能否访问外网以及虚拟安全域之间的信任关系，指定特定安全域的安全策略；最后，安全策略通过科盾服务器将安全策略下发到安全终端，从而实现域间的网络阻断和信息加密。 目前科盾内网安全平台分为B/S及C/S两个版本。

C/S支持WINDOWS2000/XP/2003/WIN7 32位全系列操作系统。

B/S支持WINODWS2000/XP/2003/WIN7/WIN8/32位及64位全系统操作系统支持并且目前支持LINUX系统版本已经处于内测阶段，大约在2013年底发布。科盾走在信息安全前沿。