# 第 1 章
## 1.1. 方案背景
    隨著資訊化技術的飛速發展，使用者經營管理對計算機應用系統的依賴性增強，計算機應用系統對網路的依賴性增強。計算機網路規模不斷擴大，網路結構日益複雜。計算機網路和計算機應用系統的正常執行對網路安全提出了更高的要求。資訊保安防範應做整體的考慮，全面覆蓋資訊系統的各層次，針對網路、系統、應用、資料做全面的防範。資訊保安防範體系模型顯示安全防範是一個動態的過程，事前、事中和事後的技術手段應當完備，安全管理應貫穿安全防範活動的始終。
## 1.2. 網路安全管理的需求
    要實現網路安全的目的，需要網管能提供兩方面功能， 一是網路安全管控功能，從許可權、裝置配置、非法裝置識別等方面來保證網路架構安全， 二是網路執行管理功能，透過裝置告警、效能等方面來保證網路的執行安全。
### 1.2.1. 網路安全管控
1. 訪問控制，完善的許可權管理
    可以對不同的管理人員分配不同的操作許可權，可以對不同的管理人員分配不同的網路，做到粗、細粒度的許可權控制，避免越權管理。同時，針對危險操作，能夠有良好的提示以及提供日誌記錄。
2. 提供安全管控功能
    網管提供安全控制功能，支援透過網管簡單操作，完成對裝置的使用者、各種服務、VLAN、QOS、埠限速、靜態路由等進行配置的功能。
    網管提供埠控制功能，支援透過網管簡單操作，完成對裝置的埠狀態、dot1x、STP、埠應用 VLAN、QOS 策略等進行配置的功能。
3. 網路接入裝置控制
    當網路中非法裝置接入時產生告警通知網管人員。
### 1.2.2. 網路執行管理
1. 故障發現與故障通知
    裝置故障出現時可以立刻通知到管理員，快速定位到故障環節，以便於快速恢復系統。
2. 裝置效能監視
    實時獲取網路裝置效能資料，對於裝置的埠流量、資料庫讀寫速率、CPU 負載等效能全面掌控，提前避免由於裝置效能帶來的網路執行不安全事件發生。
# 第 2  章  智和網管平臺網路安全管理解決方案
    智和網管平臺 SugarNMS 網路安全管理解決方案，是基於網路安全的特殊需求提出的定製化解決方案，透過網路安全管控和網路執行管理功能，來達到網路安全的目標。
## 2.1. 核心解決方案
    智和網管平臺網路安全管理解決方案，實現了許可權管控、安全控制、埠控制、策略對比、接入裝置控制、故障管理、效能監控等功能。
### 2.1.1. 許可權管理與控制
    智和網管平臺採用多種許可權管理方式，可以對使用者分配只讀許可權，可以對使用者分配不同的功能選單，也可以分配使用者不同的網路管理許可權，透過多種許可權控制，做到了完善的許可權管理，避免出現越權管理 ，保證網路安全。同時，系統中的日誌模組會記錄各個使用者對系統的操作情況，包括操作時間、內容、操作人等資訊，便於及時的排查問題。
### 2.1.2. 安全管控功能
    安全控制 ：智和網管平臺透過對不同裝置的配置命令進行分析，使用多執行緒技術、遠端連線技術實現特定配置命令的下發，來實現對裝置的使用者、各種服務、VLAN、QOS、埠限速、靜態路由等功能的配置，控制網路訪問，保證減少網路受到的入侵攻擊，實現網路安全。
    埠控制： ：智和網管平臺透過 SNMP 協議操作裝置和對裝置下發配置命令，來實現對埠狀態、dot1x、STP、埠應用 VLAN、QOS 策略等功能的配置，從埠層面來實現網路安全。
![](http://img.blog.itpub.net/blog/2019/07/05/cad594ca4881f9ba.png?x-oss-process=style/bb)
    策略比對 ：智和網管平臺提供裝置配置策略的比對功能，可以智慧化地對策略資訊進行分析，將不同策略的異同差異化地展示給使用者，以便使用者確認策略配置。
![](http://img.blog.itpub.net/blog/2019/07/05/9f48f92b74b7a855.png?x-oss-process=style/bb)
### 2.1.3. 接入裝置控制
    智和網管平臺透過安全管理審計模組，新增黑名單、白名單、mac-ip 繫結等管理策略，網管人員只需提前做簡單配置即可及時發現非法接入裝置。當非法裝置接入時網管及時產生告警通知網管人員。
![](http://img.blog.itpub.net/blog/2019/07/05/b7a378d65ad140a0.png?x-oss-process=style/bb)
### 2.1.4. 全面性網路執行管理
1 、故障發現與故障通知
    智和網管平臺透過多執行緒主動輪詢以及接收裝置 trap/syslog 等上報資訊來發現網路中存在的故障，並透過拓撲圖實現裝置的快速定位，使用軟體介面、郵件通知、簡訊通知多種方式來通知網路管理人員，保證了網管人員及時掌控網路執行的異常資訊。
![](http://img.blog.itpub.net/blog/2019/07/05/d1eaaa2e99c23ef4.png?x-oss-process=style/bb)
2 、裝置效能監視
    智和網管平臺透過多執行緒主動輪詢機制獲取路由器、交換機、資料庫、中介軟體等裝置的效能資訊，並將效能資訊以統計圖與列表的方式展現給使用者，讓使用者直觀地掌控網路裝置執行情況。
![](http://img.blog.itpub.net/blog/2019/07/05/d9ff6f90c500f3f0.png?x-oss-process=style/bb)
### 2.1.3 通用網管功能
    除了優秀的網管安全管理功能，智和網管平臺還提供了全面的網管功能，如提供拓撲管理功能，並支援拓撲顯示網路告警，支援拓撲完成各種網管操作；提供擴充套件功能，支援透過配置擴充套件支援的裝置型別、資源型別、監視器任務；提供業務管理功能，透過表格和拓撲的方式實現對業務的檢視和管理。
## 2.2. 應用價值
    採用智和網管平臺網路安全管理解決方案，可以有效管理網路執行狀態，防範和組織網路不安全事件發生。
    1、實現使用者分級、網路分級的許可權管理。
    2、實現操作簡單、功能強大的安全控制、埠控制、策略比對功能。
    3、實現接入裝置控制。
    4、實現故障及時發現和通知。
    5、實現全方位掌控網路的安全執行。
# 第 3 章  方案技術特徵和優勢
## 3.1. 技術特徵
    智和網管平臺網路安全管理解決方案，主要具有以下技術特徵：
    1、使用 JAVA 多執行緒技術，實現對網路安全的高效管控。
    2、使用 SSH、Telnet 等遠端連線方式，實現對網路裝置的命令下發。
    3、對要管理的裝置進行命令分析，處理要傳送的命令和裝置返回的結果。
    4、透過 SNMP 獲取裝置資訊，產生告警和效能資料，處理 trap/syslog 資料。
    5、透過主動發現網路中的 MAC、IP 資訊，與使用者設定黑白名單進行比對，實現准入控制。
    6、建立高效的訊息佇列，實時推送訊息事件。
    7、運用成熟的 JAVA 框架，如 Spirng、Struts、Hibernate、WebService、WebSocket 等
![](http://img.blog.itpub.net/blog/2019/07/05/c2cadf9a4a74c7d6.png?x-oss-process=style/bb)
## 3.2. 方案優勢
### 3.2.1. 產品優勢
    智慧化 ：一鍵式智慧化網管，一鍵搜尋、發現、識別網路裝置、資源、鏈路，智慧化故障管理，最大限度提高產品的易操作性，提高管理效率並降低成本。
    具象化:自動生成拓撲圖，全面完整呈現網路的拓撲結構，實現具象化網路管理方式，極大的降低了 IT 管理的難度。
    自動化:自動發現、識別裝置、資源、鏈路，智慧分析鏈路邏輯從而自動生成拓撲圖，簡化使用者操作步驟，降低管理環境搭建時間。
    個性化:個性化定製開發、系統整合，滿足使用者不同需求，使用者可以隨心定製出符合需求的網管平臺，並對平臺功能不斷更新，以滿足日益變化的管理需求。
    國產化：完全支援國產處理器、伺服器、作業系統、資料庫，改善國內基本沒有支援國產化平臺的網管軟體的情況，滿足使用者日益增多的資訊建設國產化需求。
    秒級監控：領先的秒級監控能力與多執行緒任務併發技術，監測頻率提升到秒級，最低可設為 5 秒，實時、精確、高效、穩定監測裝置。
    穩定性：電信級軟體架構的微核心精簡技術，100% Java 多層分散式技術，提供了電信級可靠性保障。支援容災方案以及雙機備份設定，最大限度保障網管資料的安全。
    易用性：產品以使用者為中心進行設計，介面設計友好，產品功能易見易學易用。
    相容性：採用 Java 跨平臺技術，完美相容主流/國產系統及資料庫，提供 C/S 和 B/S 兩種客戶端介面，相容 PC 以及移動裝置，讓管理隨時隨地。
    企業級 ：支援大規模組網管理，可直接穿透私網進行監控，支援分散式部署方式，平臺易於升級和維護，能夠滿足未來業務需求的變化。
    私有裝置：新的裝置型別、未知裝置種類，使用者無需開發程式設計，系統提供的 GUI 策略擴充套件介面，就可完成對新裝置的支援。
### 3.2.2. 技術優勢
    平臺技術：Java 跨平臺技術，服務端可執行在 Windows、Linux、國產麒麟等作業系統上。支援 MySQL、Oracle以及國產金倉資料庫。
    網路環境：穿透私網，監控私網中的網路裝置；可同時部署多個分散式 SNMP 採集器，分別對裝置進行監控。網管擴充套件能力 ：提供開放式開發平臺和外掛程式碼，具有全面的二次開發、系統整合、功能擴充套件能力。提供個性
    化的定製開發、第三方系統整合服務。
    系統穩定能力：支援容錯方案以及雙機熱備方案。
    裝置管理能力 ：支援多種物理連結發現技術。提供了 IP、網路範圍搜尋等裝置發現途徑。全面管理當前裝置。
    監控支援：支援 SNMP、Telent、SSH、WMI、JMX、HTTP、JDBC、ODBC 以及其他管理協議進行監控。
## 3.3. 產品服務
    開發級服務：提供完善的開發服務，在開發過程中提供開發培訓、服務支援以及全面的開發技術文件。
    裝置對接調測：為使用者提供裝置對接調測服務，協助使用者完成平臺的實施部署。
    技術支援：提供 7*24 小時專門的技術服務工程師熱線電話支援，遠端線上支援、現場支援等多種服務支援，即時釋出訊息郵件和技術公告，定期進行系統軟體檢測、最佳化和文件更新等。
    故障診斷及排除 ：如果客戶的系統出現異常故障，接到電話，技術工程師會在第一時間作出響應，及時調配專業的技術工程師根據專案檔案提供線上支援或現場進行搶修，為客戶快速、便捷的實施診斷和恢復。
    系統調優 ：技術工程師根據自己的豐富實施經驗，針對客戶系統效能下降及時找出瓶頸，提出完善的最佳化方案並付諸實施。及時消除系統隱患，避免造成業務中斷；在不增加或減少投資的同時，大幅度提高系統的執行效能和可管理性。
    升級質保服務：提供已有版本的問題修復升級，並持續的開發新功能新版本，不斷新增功能。
    監控管理方法庫升級 （ 特色服務 ） ：透過下載最新的監控管理方法庫，即可實現管理新的裝置和更多的監控管理方法。
# 第 4 章  部分典型案例
## 4.1. 北京市委網管定製專案
### 4.1.1. 專案背景
    隨著資訊化建設的日益推進，各地政府的網路基礎架構已經基本成熟，相應的網路裝置、防火牆等都已配置得相對完善，在加緊網路安全策略的同時，各地方政府的下一步的資訊化重點之一將是加強對網路的管理。因為，政府的資訊化需要對網路資源進行有效使用，就是基於網路基礎架構的各種應用的持續、穩定執行，而這些也都必須有自動化、智慧化的網路管理軟體作為保障。
### 4.1.2. 核心需求
    能夠展示當前網路的基本狀況，包括網路拓撲圖和告警，能夠對機房環境裝置（核心空調、UPS 電源、交換機、路由器等）、安全裝置、儲存裝置進行監控，當出現故障時能夠及時進行告警通知。
    1. 監控、運維、領導檢視介面
    主介面展示的要素包括網路拓撲圖，本週運維進度，網路監控/安全監控/應用監控/機房監控情況；拓撲支援以大螢幕形式展示。
    2. 資產管理
    據現有的資料分類進行資料管理維護，支援自定義資產分類管理。裝置資產資料採集、資產資料變更日誌。
    3. 統一的服務檯視窗
    包含公告、值班資訊、監控故障資訊、運維服務工單資訊、值班日誌管理和考評、個人工作日誌管理和考評等工作內容或操作入口。
    4. 統一的事件管理
    為使用者提供了簡潔、集中的告警驅動處理機制，支援事件的格式化、過濾、歸納和關聯處理，幫助管理員對大量分散的事件進行關聯分析，快速定位。
    5. 國產化平臺支援，包括國產 CPU、作業系統及資料庫。
    6. 技術支援與服務，開發過程中遇到問題，能夠得到迅速的解決。
### 5.1.3. 解決方案
    智和信通利用公司原有的拓撲圖元件、SNMP 元件、網管軟體開發平臺、智慧化網管軟體產品的基礎上，為客戶開發出商用的網管軟體產品。針對北京市委的具體需求，智和信通提出的解決方案如下：
    1. 系統可以對網路中的管理物件劃分安全域，並進行資產化管理，能夠維護資產的基本屬性、安全屬性、管理屬性等，並可以自定義資產標籤，實現資產的動態屬性擴充套件。系統提供基於拓撲的資產檢視，支援使用者自定義資產屬性。
    2. 網管系統的客戶介面佈局清晰、美觀，操作便捷直觀，程式啟動速度和相應速度快，在萬級局端和十萬級終端負載情況下無操作卡死。
    3. 服務檯作為統一的服務視窗，職責不同人員透過自身業務看板為內部 IT 系統使用和維護人員提供統一的 IT管理入口。
    4. 硬體平臺國產化：支援部署在國產 X86 伺服器，龍芯 mipls 伺服器平臺，飛騰、申威等國產化平臺也支援（與706 所安管保持一致）；資料庫：支援多種國產資料庫，包括：達夢、金倉、神通、oracle 等。

網路安全控制網管解決方案

相關文章