統(tǒng)一出口讓網(wǎng)絡(luò)更安全

貴州省黔西南州煙草公司（簡(jiǎn)稱“州公司”）各單位互聯(lián)網(wǎng)訪問原先為各自出口、費(fèi)用自理且沒有相應(yīng)的安全防護(hù)措施。為完善互聯(lián)網(wǎng)訪問、應(yīng)用安全防護(hù)能力，達(dá)到上網(wǎng)行為可控、可查、可追述的管理要求，后改為經(jīng)上級(jí)單位做互聯(lián)網(wǎng)統(tǒng)一出口規(guī)劃后，需由州公司統(tǒng)一提供互聯(lián)網(wǎng)出口服務(wù)，但這給州公司網(wǎng)絡(luò)管理人員日常網(wǎng)絡(luò)管理帶來了極大的風(fēng)險(xiǎn)和壓力，同時(shí)也給互聯(lián)網(wǎng)線路帶來了更高的服務(wù)要求。怎樣使互聯(lián)網(wǎng)訪問應(yīng)用安全性最好、線路帶寬使用率最高、限制產(chǎn)生大量連接會(huì)話的P2P應(yīng)用，成為了黔西南煙草信息中心網(wǎng)絡(luò)運(yùn)維和管理所關(guān)注的重中之重。

互聯(lián)網(wǎng)運(yùn)維難題多

隨著互聯(lián)網(wǎng)統(tǒng)一出口建設(shè)的進(jìn)一步推進(jìn)，各下屬分公司員工均需要通過現(xiàn)有專線接入到州公司，然后由州公司互聯(lián)網(wǎng)出口訪問互聯(lián)網(wǎng)資源。一方面員工上網(wǎng)條件得到改善；另一方面由于互聯(lián)網(wǎng)的開放性，也給機(jī)構(gòu)帶來更高的網(wǎng)絡(luò)使用危險(xiǎn)性、復(fù)雜性和混亂性。用戶訪問互聯(lián)網(wǎng)信息的同時(shí)，很有可能受到網(wǎng)絡(luò)上木馬、病毒等的攻擊，從而造成信息安全事故。

在互聯(lián)網(wǎng)運(yùn)維過程中存在的問題表現(xiàn)有以下幾個(gè)方面：IT部門不清楚網(wǎng)絡(luò)流量和內(nèi)部員工的網(wǎng)絡(luò)活動(dòng)情況，無法為IT決策提供數(shù)據(jù)支撐；沒有技術(shù)保障的IT管理制度形同虛設(shè)；濫用互聯(lián)網(wǎng)應(yīng)用，使網(wǎng)絡(luò)業(yè)務(wù)系統(tǒng)運(yùn)行緩慢，視頻會(huì)議帶寬得不到保障，單純擴(kuò)展帶寬沒有效果；缺乏細(xì)致的流量管理辦法，導(dǎo)致業(yè)務(wù)系統(tǒng)應(yīng)用帶寬搶占嚴(yán)重；機(jī)密信息泄漏頻發(fā)，急需防范泄密；惡意插件、腳本泛濫，給單位網(wǎng)絡(luò)帶來安全風(fēng)險(xiǎn)。

應(yīng)用層網(wǎng)絡(luò)技術(shù)現(xiàn)狀

目前互聯(lián)網(wǎng)應(yīng)用，通常是TCP、UDP混合協(xié)議傳輸，更強(qiáng)調(diào)帶寬侵占性。州公司信息中心根據(jù)多年網(wǎng)絡(luò)運(yùn)維管理經(jīng)驗(yàn)，參考兄弟公司管理方法，摸索出適合自身情況的網(wǎng)絡(luò)管理方法。

在多方論證后發(fā)現(xiàn)，基于應(yīng)用識(shí)別的智能（動(dòng)態(tài)）流控技術(shù)可以實(shí)現(xiàn)根據(jù)應(yīng)用進(jìn)行合理分配帶寬資源，同時(shí)，可以保證互聯(lián)網(wǎng)出口帶寬最大利用率。基于應(yīng)用識(shí)別的智能（動(dòng)態(tài)）流控技術(shù)在帶寬有限時(shí)，通過業(yè)績(jī)流量控制來限制P2P、流媒體等消耗帶寬的應(yīng)用，保障郵件、訪問網(wǎng)站等與業(yè)務(wù)有關(guān)的重要應(yīng)用的正常帶寬范圍；當(dāng)互聯(lián)網(wǎng)出口帶寬只有30%或者更低使用率時(shí)，適當(dāng)降低控制閥值。傳統(tǒng)流控技術(shù)造成帶寬浪費(fèi)的情況也不再出現(xiàn)。

識(shí)別是管理的基礎(chǔ)

網(wǎng)絡(luò)應(yīng)用極其豐富，尤其隨著大量社交型網(wǎng)絡(luò)應(yīng)用的出現(xiàn)，由此引發(fā)各種管理和安全問題。識(shí)別是管理的基礎(chǔ)，全面的網(wǎng)絡(luò)應(yīng)用識(shí)別幫助管理員透徹了解網(wǎng)絡(luò)應(yīng)用現(xiàn)狀和用戶行為，保障管理效果。通過全面識(shí)別各種應(yīng)用，進(jìn)而對(duì)單位互聯(lián)網(wǎng)出口進(jìn)行有效管理和維護(hù)。

州公司信息中心根據(jù)多年信息化建設(shè)、網(wǎng)絡(luò)安全建設(shè)、運(yùn)維與管理經(jīng)驗(yàn)，以不斷發(fā)現(xiàn)問題、解決問題、創(chuàng)新實(shí)踐為原則；建設(shè)單位高效、高可用性、高安全性信息化網(wǎng)絡(luò)為主要目標(biāo)；摸索出有效的解決方案，并不斷完善，實(shí)現(xiàn)互聯(lián)網(wǎng)統(tǒng)一出口的高效運(yùn)維管理。核心技術(shù)主要包括以下四個(gè)方面：

一、URL識(shí)別——通過千萬級(jí)靜態(tài)URL庫(kù)、基于網(wǎng)頁(yè)智能分析系統(tǒng)IWAS、SSL內(nèi)容識(shí)別技術(shù)等，有效應(yīng)對(duì)互聯(lián)網(wǎng)上數(shù)以萬計(jì)的網(wǎng)頁(yè)；

二、應(yīng)用規(guī)則識(shí)別——識(shí)別網(wǎng)絡(luò)主流應(yīng)用，包括IM、P2P/P2P流媒體、游戲、辦公應(yīng)用、網(wǎng)銀、股票行情軟件、股票交易軟件、木馬、代理軟件等；

三、深度內(nèi)容檢測(cè)——IM聊天、在線炒股、網(wǎng)絡(luò)游戲、在線流媒體、P2P應(yīng)用、Email、常用TCP/IP協(xié)議等，基于數(shù)據(jù)包特征精準(zhǔn)識(shí)別；

四、智能識(shí)別——種類泛濫的P2P行為，靜態(tài)“應(yīng)用識(shí)別規(guī)則”已經(jīng)捉襟見肘，所以通過P2P智能識(shí)別，識(shí)別不常見、未來可能出現(xiàn)的P2P行為，進(jìn)而封堵、流控和審計(jì)。

基于Web應(yīng)用的控制技術(shù)

為應(yīng)對(duì)互聯(lián)網(wǎng)網(wǎng)頁(yè)容量爆炸性增長(zhǎng)，州公司信息中心根據(jù)多年的運(yùn)維經(jīng)驗(yàn)，參考多種技術(shù)實(shí)現(xiàn)方式，最終采用“靜態(tài)URL庫(kù)+URL智能識(shí)別+云系統(tǒng)”三重識(shí)別體系。更開發(fā)了一套人工智能的網(wǎng)頁(yè)智能分析系統(tǒng)（Intelligent Webpage Analysis System， IWAS），能夠根據(jù)已知網(wǎng)址、正文內(nèi)容、關(guān)鍵字、代碼特征等特點(diǎn)進(jìn)行自動(dòng)學(xué)習(xí)和智能分類，真正完善網(wǎng)頁(yè)訪問行為管理。

有限的帶寬資源如何分配給不同部門、用戶或不同應(yīng)用，如何保障核心單位用戶煙草核心業(yè)務(wù)系統(tǒng)帶寬資源，限制網(wǎng)絡(luò)殺手如BT迅雷等占用資源，一直以來都是州公司信息中心工作研究的重點(diǎn)課題。經(jīng)過反復(fù)測(cè)試、總結(jié)，最終發(fā)現(xiàn)基于應(yīng)用識(shí)別的、精細(xì)智能的流量管理可以有效防止帶寬濫用，提升帶寬使用效率。

通過帶寬的“自由競(jìng)爭(zhēng)”與“動(dòng)態(tài)分配”，除了基于父子通道進(jìn)行流量控制之外，還根據(jù)在線的用戶數(shù)量將帶寬動(dòng)態(tài)分配給在線用戶，如4M的線路，可以動(dòng)態(tài)分配給5個(gè)或者20個(gè)在線用戶使用，從而實(shí)現(xiàn)帶寬資源的充分利用，達(dá)到在網(wǎng)絡(luò)應(yīng)用高峰期保障核心用戶、核心業(yè)務(wù)帶寬，限制無關(guān)應(yīng)用占用資源，在帶寬空閑時(shí)實(shí)現(xiàn)資源的充分利用的目的。

以往，通過封IP、端口等管控“帶寬殺手”P2P應(yīng)用的方式極不徹底。加密P2P、不常見P2P、新P2P工具等讓眾多P2P管理手段束手無策。現(xiàn)在憑借州公司信息中心開發(fā)的一套P2P智能識(shí)別技術(shù)，不僅識(shí)別和管控常用P2P、加密P2P，對(duì)不常見和未來將出現(xiàn)的P2P亦能管控。能限制指定用戶的P2P所占用的帶寬，既允許指定用戶使用P2P，又不會(huì)濫用帶寬，充分滿足管理的靈活性。

經(jīng)濟(jì)壓力顯著下降

經(jīng)過前期大量測(cè)試、驗(yàn)證，發(fā)現(xiàn)網(wǎng)絡(luò)監(jiān)控方案可大大提升員工辦公效率以及節(jié)約單位互聯(lián)網(wǎng)帶寬資源，減少互聯(lián)網(wǎng)統(tǒng)一出口后升級(jí)帶寬帶來的支出成本。

通過有效地應(yīng)用層識(shí)別技術(shù)和精細(xì)化的帶寬管理，可以用最少的投資達(dá)到最好的效果，解決了單位互聯(lián)網(wǎng)統(tǒng)一出口后存在的應(yīng)用控制、行為審計(jì)、流量控制、運(yùn)維管理等問題。

基于應(yīng)用識(shí)別的P2P智能識(shí)別技術(shù)，不僅能識(shí)別和管控常用P2P軟件及版本，對(duì)不常見的和未來將出現(xiàn)的P2P亦能管控。提供的P2P流控技術(shù)，將限制指定用戶開啟P2P后占用的帶寬。既允許用戶使用P2P，又不會(huì)濫用帶寬。

州公司信息中心一直以來都在不斷探索用最少的投資達(dá)到最好的管理效果，所以在解決單位互聯(lián)網(wǎng)統(tǒng)一出口后存在的問題，也需要充分考慮單位網(wǎng)絡(luò)現(xiàn)狀，分析存在的問題，找到最有效、最經(jīng)濟(jì)的解決方案。

經(jīng)過信息中心論證，通過有效的應(yīng)用層識(shí)別技術(shù)和精細(xì)化的帶寬管理，大大減少了統(tǒng)一出口帶寬擴(kuò)容帶來的經(jīng)濟(jì)壓力。

“三分制度、七分管理”，缺乏技術(shù)手段支撐的管理制度就像一道沒有裝鎖的門，只能依賴人工值守或被管理者的自覺遵守。選擇適合單位IT環(huán)境的技術(shù)手段，才不會(huì)讓管理制度流于形式，有效支撐組織的IT管理，幫助規(guī)范網(wǎng)絡(luò)，減少IT管理員的無謂工作量，優(yōu)化組織IT環(huán)境。精細(xì)化的技術(shù)手段可以規(guī)范網(wǎng)絡(luò)行為，是對(duì)行政管理的一種補(bǔ)充；網(wǎng)絡(luò)管理實(shí)現(xiàn)了流程化，通過設(shè)置上網(wǎng)登記制度、帶寬分配制度等，將網(wǎng)絡(luò)管理流程化，將人員上網(wǎng)與制度結(jié)合，保證網(wǎng)絡(luò)管理規(guī)范化；管理變得更透明，增強(qiáng)網(wǎng)絡(luò)可控性，規(guī)避組織機(jī)構(gòu)的風(fēng)險(xiǎn)。