一方面，随着安全防御建设由防外为主逐步转向以防内为主，内外兼顾，对于安全审计的需求会越来越多；另一方面，随着国家、社会对信息保护的愈加重视，各个行业对审计要求愈加严格，可看出未来几年对安全审计产品的需求会越来越多。那么，未来安全审计产品在技术层面有哪些发展趋势？
一、背景
随着网络的日益普及，利用网络实施犯罪的新型网络违法与犯罪行为也随之日渐增多；网络的虚拟性与不确定性，造成传统的办案手段对此已力不从心，公安网监部门迫切需要新的技术手段来帮助其应对这一新挑战。
网络安全审计系统针对互联网行为提供有效的行为审计、内容审计、行为报警、行为控制及相关审计功能。从管理层面提供互联网的有效监督，预防、制止数据泄密；满足用户对互联网行为审计备案及安全保护措施的要求，提供完整的上网记录，便于信息追踪、设备定位、系统安全管理和风险防范。目前，市场上有成熟的网络安全审计产品方案解决供应商，产品用于监控用户信息，为顾客提供安全网络防护和帮助公安部门更好、更快捷的进行安全监管。
二、特点互联网安全审计系统必须具有提高非经营性互联网上网服务单位局域网内部管理水平的功能，并达到《互联网安全保护技术措施规定》的以下要求：
记录并留存用户登陆和退出时间、主叫号码、账号、互联网地址和域名、系统维护日志； 记录留存用户注册信息并向公安部门公共信息网络安全报警处置中心上传数据； 在公共信息服务中发现、停止传输违法信息，并保留相关记录； 具有至少60天记录备份功能等。 三、 网络安全审计系统具备优势 3.1 贴近网监业务模式，提高网络破案成功率系统功能依照公安网监的业务流程设置：从日常例行的网络行为巡察、到有目的地行为线索搜索；从发现嫌疑人虚拟身份线索后进行的虚拟身份分析，到依据发现的行为或身份线索进行监视布控；从系统实时监控网络行为并在策略条件满足时触发报警，到以布控策略组为单位查看布控告警结果等。上述功能体现了网监的真实业务内涵，并且操作非常便利，能够帮助警员最大限度地利用网络线索来侦破疑难案件。
3.2 全面内容安全审计，满足所有合规性要求系统支持从网页访问、email、迅文件下载到即时通讯等数十种主要网络应用协议的识别还原，帮助用户最大限度地不遗漏有潜在安全风险的网络行为。从而完善了用户单位的IT内控与审计体系，满足各种合规性要求，并帮助企业顺利通过IT审计（例如：行政事业单位或国有企业有遵循等级保护的合规性要求）。
3.3 智能虚拟身份分析，提高账号识别准确度越简单虚拟身份库功能局限的智能虚拟身份分析功能，能够将网络中的虚拟身份（网络帐号）与现实中的真实身份智能关联，有效地解决了网络行为角色的虚拟性所带来的种种问题。通过“虚拟身份关联中介算法”，能够最大限度地提高虚拟身份识别的准确度，为网监部门利用网络行为线索信息办案，提供了全新的技术手段。
3.4 硬件高速抓包处理，不漏过任何网络线索场所端网络安全审计机采用了专门定制的高性能网络数据包处理卡，结合软件底层优化（linux硬件直通访问）技术，大幅度提高网络数据包的采集速度，避免数据包丢失。从而避免在出现突发大网络流量情形时，因处理不及时而漏掉了重要的网络行为信息。
3.5 网络言论信息搜集，及时反馈网民系统采用了最新的数据挖掘技术，能够针对聊天、论坛和博客的发表/回复帖子、邮件内容及附件等载有文字内容的网络数据进行深度分析，以便及时识别网络行为热点和异常点，帮助相关部门随时掌握网民行为动态与发展趋势。
四、基本功能无论是何种审计产品，从产品功能组成上都应该包括：
1. 信息采集功能就是能够通过某种技术手段获取需要审计的数据，例如日志、网络数据包、SSID等。对于该功能的考察，关键是其采集信息的手段种类、采集信息的范围、采集信息的粒度（细致程度）。如果采用数据包审计技术的话，网络协议抓包和分析引擎显得尤为重要。如果采用日志审计技术的话，日志归一化技术则是产品基本功和专业能力的地方。
2. 信息分析功能对于采集上来的信息进行分析、审计，这是审计产品的核心，审计效果好坏直接由此体现出来；在实现信息分析的技术上，简单的技术可以是基于数据库的信息查询和比较；复杂的技术则包括实时关联分析引擎技术，采用基于规则的审计、基于统计的审计，以及时序的审计算法等等。
3. 信息存储功能对于采集到原始信息，以及审计后的信息都要进行保存、备查，并可以作为取证的依据。在该功能的实现上，关键点包括海量信息存储技术、以及审计信息安全保护技术。
4. 信息展示功能包括审计结果展示界面、统计分析报表功能、报警响应功能、设备联动功能等等；这部分功能是审计效果的最直接体现。
产品自身安全性和可审计性功能：审计产品自身必须是安全的，包括要确保审计数据的完整性、机密性和有效性，对审计系统的访问要安全。此外，所有针对审计产品的访问和操作也要记录日志，并且能够被审计。
五. 安装的目的随着互联网的迅猛发展，在推进社会进步的同时也带来负面影响；在一些大型商场、小型商店、酒店、宾馆商户都会为顾客提供免费WIFI体验；有不法分子利用互联网进行网络诈骗、贩毒、赌博、散布有害信息、传播计算机病毒、恶意攻击服务器等不法案件日益严重，损害了国家和群众利益，也使一些企业蒙受经济损失。因此，对于非经营和经营上网服务场所落实安全技术保护设施建设迫在眉睫。
六. 国内安全审计市场现状和需求分析一方面，随着安全防御建设由防外为主逐步转向以防内为主，内外兼顾，对于安全审计的需求会越来越多；另一方面，随着国家、社会对信息保护的愈加重视，各个行业对审计要求愈加严格，可看出未来几年对安全审计产品的需求会越来越多。
目前，推出的一些国际、国家、行业的内控、审计标准，都对某些行业或企业提出需要具备安全审计产品的要求，因此像《企业内部控制基本规范》此类的规范对于销售安全审计产品是很有帮助的。
有人将《企业内部控制基本规范》称作是中国版的SOX法案，可见对他的期待有多么高。虽然该规范还不能称作是完整意义上的法案，而只是规范性文件，但是他对于国内企业、尤其是大企业的公司治理、风险控制、IT内控，包括信息系统安全审计都起到了极大的推进作用。
实际上，不仅是《企业内部控制基本规范》，包括之前国家大力开展的等级化保护建设工作，以及证券、金融、保险等行业颁布的各项风险和内控指引、要求等，都在努力构建一个从严的企业管控外部环境。作为这种外部压力的传导，企业的IT内控和审计自然摆到了各大企业信息部门的桌面上。
可以肯定，未来企业用户，尤其是大型企业用户，会不断加强IT内控，并催生对信息系统安全审计的技术、产品和相关解决方案的需求，并带动国内安全审计市场的迅速增长。
目前，国内不同的行业和客户对审计的需求差别很大：
对于一般的企业而言，目前比较大量的审计需求是对企业内部用户上网行为的审计。 对于政府部门和事业单位而言，由于他们的业务系统十分重要，承载了单位关键的应用和数据，因此，对业务系统的审计显得十分重要。这类客户需要审计内部用户访问业务系统的各种行为，防止针对核心业务系统和数据的违规访问，防止信息泄漏。 对于金融、电信类客户而言，除了需要对业务系统进行审计之外，还需要针对运维人员的主机操作审计。由于这类客户具有庞大的主机和服务器机群，上面运行了各种各样的核心应用。同时，这类客户的系统运维人员数量多、岗位职责多，不仅有本单位正式职工，还有第三方驻场工程师和外包运维人员，管理较为复杂。因此，对这些运维人员进行审计，审计他们针对主机系统的各种访问和操作行为就显得十分重要。 对于具有涉密性质的单位，以及安全要求等级高的部门，还会需要终端安全审计类产品，对单位职工的终端进行严格的安全审计。对于政府、事业单位，以及金融电信行业，最典型的一类需求就是针对这些单位的数据库系统进行审计。就在前不久，国家颁布实施了刑法第七修正案，其中第二百五十三条明确规定“国家机关或者金融、电信、交通、教育、医疗等单位的工作人员，违反国家规定，将本单位在履行职责或者提供服务过程中获得的公民个人信息，出售或者非法提供给他人，情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。窃取、收买或者以其他方法非法获取上述信息，情节严重的，依照前款的规定处罚。单位犯前两款罪的，对单位判处罚金，并对其直接负责的主管人员和其他直接责任人员，依照各相应条款的规定处罚”。
这也就意味着单位如果泄露或非法获取公民个人信息，将被判处罚金，并追究直接负责的主管人员和其他直接责任人员的刑事责任。
七、 竞品分析 7.1 竞品信息 7.1.1 广道广道网络安全审计系统针对互联网行为提供丰富的行为审计、内容审计、行为报警、行为控制及相关审计功能。从管理层面提供互联网的有效监督，预防、制止数据泄密；满足用户对互联网行为审计备案及安全保护措施的要求，提供完整的上网记录，便于信息追踪、系统安全管理和风险防范。
主要功能介绍：
（1）事件审计
实时审计 ：对采集到的日志数据进行实时的审计，如果使用者的操作行为产生的日志事件与审计规则库中的对应规则完全匹配，则根据规则库的危险等级及交互模式给出响应，然后将此事件行为记录到审计数据库，同时将危险等级为高的事件行为通过邮件的形式发送到管理员邮箱。审计模型主要有基于线性序列的规则，多个事件构成一个事件行为；基于时间合理性的规则，主要判断用户账户登录及相关访问时间是否为指定时间；基于数理统计规则，主要判断连续多个同样的审核失败结果，特别是有关帐户远程登录审核。 历史审计 ：历史审计实现了从审计结果数据库中提取审计数据，主要通过基于数理统计的方法(这些数据来自系统上次关闭到本次开始的所有系统安全日志)，将连续多次产生的操作行为进行整理、归纳、合并与分析等方法完成对审计数据的综合审计。（2）规则管理与维护
审计规则：系统本着方便实用的原则，功能模块中实现了对审计规则的管理与维护功能，主要是相关规则的添加、删除、更新等功能。该功能实现了审计规则的添加、删除、更新，规则修改后能够直接运用到审计系统中。
系统中集成了一部分经确认危险程度较高的操作行为事件，并将这些行为进行特征分析、归纳，形成审计规则。这一部分主要集中在对象访问审核与帐号管理审核、帐号登录审核中。为了更加及时发现有关问题，用户在使用过程中可以将发现的重大问题形成规则添加到规则库中，系统实现了审计规则数据的即时添加与即时作用。
在实际使用中，有些规则随着时间的推移及管理员有效的工作，有部分规则对系统己不起作用，还有一部分规则需要更改其内部的特性才能够更好地维护系统的安全。
（3）审计结果查询
审计结果：该功能实现了审计结果数据的查询，提供了对审计结果的分类查询，同时可以将有关查询的结果进行保存与打印，这有助于提高系统安全管理员的效率，对发现系统存在的问题有较大帮助。
在结果查询中，可提供的查询方式有：审计模式、审核策略、事件ID、审计时间、工作站、用户帐号、危险等级等。然后再根据每一种方式给出具体的查询条件，查询即可。保存与打印将查询到的结果以文件的形式保存，同时根据要求通过打印机输出
（4）审计报告
审计报告：该功能实现了将审计原始数据与结果数据相结合，并从中分析相关操作行为及系统的安全状况。是对审计结果数据的汇总，然后从汇总的数据中得出系统存在哪些问题，并给出问题的严重性与解决建议。
广道无线网络行为审计系统可获取的内容：
（1）有线网络行为审计可获取的行为信息（PC端）
网页浏览，URL，内容等； 电子邮件，支持POP3、SMTP、webmail、可获取邮箱账号、邮件标题、内容、附件等等； 即使通讯工具，可获取账号、聊天内容； 论坛发/回帖，账号、贴文 ； 其他行为，telnet、FTP、http下载、游戏、股票软件等等。（2）移动APP的信息审计
新闻客户端、邮件客户端、即时通讯客户端、网站等等。
（3）AP（无线接入点）信息及STA（用户）信息
可记录搜索到AP的MAC地址、SSID地址、基地服务识别码（BSSID）信号强度、上网频道、通讯用户数、加密方式和通讯用户的MAC地址、IP地址、SSID地址、基地服务识别码（BSSID）、信号强度、上网频道。
7.1.2 任子行网络安全管理系统_SURF-RAG系统特点：
（1）智能的协议识别
提供对数据流的深度检测功能，对网络流量能准确的按协议类型识别，包括常规的应用、 国内外的各种 P2P 软件、IM 软件、网络游戏、在线视频等。配合强大的带宽管理与行为管 理功能，可有效提高带宽的利用率，规范用户的上网行为。
（2）强大的流量控制功能
支持基于线路、基于内网和外网的 IP 地址/IP 地址范围/IP 子网/地址簿/用户组、基于四层服务和根据特征识别的七层服务、基于单个服务、服务组、多服务的任意组合等进行带宽控制和流量阻断；支持基于流量优先级的流量控制策略；支持基于时间段的带宽控制和流量阻断策略；根据策略对某些用户或特定应用的最大带宽进行控制；通过策略或优先级，保证关键业务或 者 VIP 客户应用的带宽；对特定应用或重点客户进行预留一定带宽。
能够根据 IP 地址/IP 地址范围/IP 子网/地址簿/用户组的配置来控制网络中单个用户的上行会并发会话数、下行并发会话数；针对流量异常的用户或者IP地址进行用户黑名单智能控制管理；根据每用户的“每日/每周/每月”使用的流量(上行/下行/双向)总和超过预设阀值，根据每用户在连续一段时间的“上行速率/下行速率”超过预设阀值、根据每用 户在连续一段时间的并发会话数(上行/下行)超过预设阀值、根据每用户在连续一段时间的 新建会话数(上行/下行)超过预设阀值等，则自动进入黑名单。并能控制用户滥用 P2P、防止病毒等。
（3）先进的上网行为管理
任天行网络安全管理系统_SURF-RAG系列设备提供了细致的上网行为管理方案，拥有着领先的网络行为识别能力。对用户的上网行为进行细致而灵活的管理，进而提高了员工的工作效率，避免了机密信息的泄漏。
URL 过滤与记录： 提供强大的 URL 过滤、全面的 URL 记录和 URL 排名功能。URL 库可达1000万以上，如与 WebSense 联动，可达 2000 万以上。 网页内容过滤与记录： 全面记录内网用户向公网 BBS、论坛、博客等发表的帖子内容及附件，还提供对帖子的内容进行关键字过滤。同时可对搜索引擎搜索的关键字进行过滤与记录；帮助企事业过滤不良网站。 文件传输过滤与记录： 智能识别 HTTP 网页与 FTP 协议的文件上传和文件下载，并对文 件的上传和下载进行过滤与记录。 邮件过滤与记录： 支持对邮件内容和附件等进行监控、过滤和审计功能。既可以监控到任何 一台计算机通过Outlook或 Foxmail 等邮件客户端软件使用 SMTP 和 POP3 收发邮件， 也可以监测到通过 Yahoo、Sohu、163、126、Hotmail、Tom、Sina、Gmail、QQmail 等 Webmail 提供商收发邮件的内容和附件。 即时通讯过滤与记录： 支持对即时通讯协议进行阻断，及对文字聊天、语音聊天及文件传输 进行过滤与内容记录。（4）高效的防火墙功能
任天行网络安全管理系统_SURF-RAG系列设备内置了专业的防火墙功能。灵活的安全规则以及多种防护机制保护了网络免受攻击，提升了整个网络的安全性。
NAT 支持： 提供多对一的源地址转换、一对一的双向地址转换以及端口映射等三种类型的 NAT。并且支持多种应用协议 NAT 穿越，支持 H.323、SIP、FTP、TFTP、RSH、RTSP、SQL Net、 HTTP、MS-RPC、PPTP/GRE、SUN-RPC 等协议的 ALG 功能。 VPN 支持： 支持 IPSec VPN、PPTP VPN 功能。 全面 DoS/DDoS 防护： 提供全面的 DoS/DDoS 防护机制，支持 SYN Cookie，SYN 代理服务。 防御各种网络攻击包括： IP 畸形包攻击、IP 假冒、TCP 劫持入侵、SYN flood、Smurf、Ping of Death、Teardrop、Land、Ping flood、UDP Flood 等。（5）丰富的用户认证方式
支持多种方式的用户认证功能，包括本地数据库认证、AD认证、RADIUS 认证、LDAP 认 证、POP3 认证。灵活的认证策略提供了安全的终端接入。同时提供单点登录认证方式，用 户只需输入一次密码，降低密码泄露的风险。
（6）酒店即插即用功能
由于酒店客人的电脑的IP地址与 DNS 的配置各不相同，经常需要酒店网管人员为其进行一番配置后才能正常上网。不管客人电脑的 IP 与 DNS 如何配置，开启酒店即插 即用功能后，只要插上网线，客人即可上网。
（7）HA 功能
系统支持一主一备，或一主多备的 HA 模式；也支持多个主设备(多主一备/多主多备)的 HA 模式，多个主设备间可实现负载均衡。
（8）完整的统计及报表功能
任子行网络安全管理系统_SURF-RAG系列设备内置了强大的报表中心，可对全网的流 量进行采集和统计、分析用户网络行为。报表中心提供丰富的统计数据，可按长期(周/月/ 年)、短期(分钟/小时/日)和实时(秒)的方式显示带宽使用状况，并根据用户需求产生报表。 从而帮助管理者了解网络整体使用情况，轻松解决网络中存在的问题。
流量统计： 提供全网流量统计信息，主要包括：用户/IP统计、用户组统计、服务/服务组统 计、线路统计等，并可进一步查看 IP 地址、地址组和网络服务之间的关联。 全局行为分析： 配合行为管理功能，可提供丰富的流量审计信息，可以记录用户 URL 日志、BBS/论坛发帖内容及附件、网页评论记录、收发邮件详细内容、即时通讯记录、FTP 日志等。 个人行为分析： 根据组织结构中的逻辑树结构，可逐个展示用户，并将每个用户的上网行为分项统计并形象化显示。具体内容包括：个人网页统计、个人即时通讯记录、个人邮件记录、个人 FTP 记录。 会话记录： 通过检查完整的会话日志，管理者可以跟踪网络中的任何操作。会话记录包括：源 IP、目的 IP、协议和端口、是否进行 NAT 转换(可显示转换后的 IP 和端口)、七层应用名称、会话产生的时间和会话持续时间。 报表生成： 可生成转换为 PDF 、Excel 等格式的报表，大大简化了管理员手工制作报表。（9）集中管理平台
与任天行网络安全管理系统_SURF-RAG系列设备配套的集中管理平台(CentralManagement，简称 CM)部署于企业总部，可对各分支机构的任天行网络安全管理系统_SURF-RAG系列设备统一进行策略下发、定时备份配置文件、上网行为日志管理、全网设备状态操控，同时还支持分支机构自行设置个性化管理策略，实现“个性化管理”与“集中管理”的完美结合。
网络安全管理系统 SA 系列（网络应用审计产品）：
1、产品特点
（1）识别上网应用
行为识别 ： 面对互联网高速发展而产生的各种不断更新的版本、全新的乃至加密的应用，任天行产品研发团队一直专注跟踪随时出现的各种网络流行应用，并不断 在升级过程中实现协议和应用分析的更新。产品在庞大的 URL 分类数据库和应用识别能力基础之上提供了全面的行为和内容安全审计功能。 内容识别 ： 在对关键字的内容审计功能上，任天行系列产品采用基于状态机的多模匹配算法，极大地提高了匹配效率和关键字识别的准确性，为可靠的内容关键字 审计功能提供了业界领先的技术保障。其中基于多编码的智能关键字匹配技术，更是独家率先解决了对国内部分地区特有语种（如维文、藏文等）的关 键字匹配和内容审计问题。 对象识别： 将上网人员与上网机器形成明确的对应关系，认清用户是谁，使用何种具体应用，采用独创的信息实名技术手段，对其实施准确、清晰的管理。任天行系列产品支持包括 IP+MAC 地址绑定认证、本地 Web 认证、AD 域认证、LDAP 认证、USB KEY 身份认证、刷卡认证、三层交换环境 MAC 探测和 白名单免监控管理等多种对象识别技术，可以实现对组织机构内部数量庞大的用户身份精准识别。
（2）创新技术手段
先进的系统体系结构： 系统设计上采用了先进的模块化、层次化体系结构，基于面向对象的思想和插件化的并行协议栈，具有高度灵活扩展性，充分体现了资源的共享，提高 了运行效率和稳定性。 高效的捕包引擎技术： 使用 Intel 高性能网卡、独创零拷贝技术驱动、DMA 直接内存存取技术，使得系统在高负载下捕包分析的不稳定性与不安全性减至最小，而性能和可靠 性却得到了极大提升，处理效率比传统捕包引擎提高 1 倍以上 高性能海量数据检索 ： 独有的高性能海量数据检索引擎，在浩如烟海的审计数据查询与分析中表现出卓越的性能。 核心技术 领航安全： 任天行多项技术突破了内容信息安全领域的难点和重点，填补了国内空白，具有独立的知识产权。作为国内信息安全领域的先行者，产品通过公安部检 测中心、中国人民解放军信息安全认证测评中心及国家保密局评测中心的检测与认证,是国内网安市场推荐的优秀品牌。（3）有效管理网络
全面的上网行为管理： 针对网络应用管理混乱所造成的不良影响，任天行产品提供了一系列贴近用户的 4W1H 五维智能化网络行为控管功能。产品支持包括对网页/各种在线娱乐软件/P2P 下载工具/在线视音频/流媒体/炒股软件/各种文件传输工具/IM 即时聊天软件/Telnet 等多种方式的信 息收发内容记录、关键字过滤、文件传档管控、报警。 深度细粒审计管理： 产品能够全面详实地记录网络内流经监听出口的各种网络行为，支持关于上网行为、内容、时间、用户等多种条件组合的信息审计策略和日志分析， 全面监测各种网络行为，进行深度细粒审计。内容审计既能进行无条件记录，又能通过策略指定访问者（IP 地址/帐号/分组）、时间范围、内容关键字等有针对条件的记录管理用户需要的访问 内容。不管是行为审计还是内容审计，都具备高度的灵活性、专业性和准确性，能够为管理机构进行事后追查、取证分析提供有力技术支撑。 本地网络管理/ 异域分布统一管理 ： 任天行系统除了能够有效的管理本地网络外，也可以选择与任天行网络安全管理中心配合使用，实现异域分布统一管理，分散控制各地网络，达到DCS 式的管控效果；总部可以统一配发策略，实现网络行为的多点集中控管和数据横向对比分析，从而形成集团全面网络状况报表。通过设定特殊网络策略，可自动获取相关日志或远程主动调取更详细日志，让管理者一目了然，省力省心。 别具匠心的管理者界面： 任天行系统为企业管理层专门定制了一个管理者界面，该界面展现了员工使用的网络的整体情况，管理者可以从这个界面了解到员工的工作效率、心情动态、言论焦点；企业的信息泄露风险、法律风险等能为企业发展决策提供参考的信息。（4）多层面自身安全防护
系统级安全防护： 在对操作系统内核进行充分剖析的基础上，在操作系统级对系统各支撑引擎进行了修改和全面优化定制，全面防止攻击与劫持，提升系统整体性能的同 时保障自身系统级安全。 操作级安全防护： 多权分离，针对各种不同性质的功能模块可灵活配置权限级别，并提供更强安全性的 USBKEY 自定义敏感权限控制，最大保障自身操作级安全。 数据级安全防护： 采用自主的高效算法对关键审计数据的存储和传输进行加密防护，数据存储防篡改，数据传输防破解，多种加密防护措施保障自身数据级安全。 网络级安全防护： 旁路部署保障对网络性能完全没有影响，保证网络无单点故障，优先保障用户网络级安全，是上网机构在内网和互联网安全监管和保密资格测评过程中 最可信赖的安全工具。（5） 多种灵活部署方案
丰富的线路部署方式： 基本的旁路部署，全面支持电口镜像与分路、光口的镜像与分光、电口桥接等多种线路部署方式，在复杂网络环境下的部署游刃有余，运用自如。 领先的多路并行捕包： 业界领先的多路并行捕包技术，单台设备最多支持高达 4 路数据的并行捕获与分析，为在复杂环境下的 灵活部署提供先进的技术保障。 扩展的多台分布部署： 对于单台设备无法处理的超大流量环境，支持高扩展性的多台设备分布式部署方案，通过多台设备对超大的流量分而治之，又由统一的管理平台实现对 整个网络的透明、统一的管理。（6）直观丰富的统计报表
支持合规细粒度审计： 系统提供符合公安部 82 号令、SOX 法案、企业内控管理规范等多种合规审计报告，提供强大、多样化、面向用户需求的统计分析报表。 全面准确的统计结果： 报表汇集流量统计与日志统计分析数据，支持统计排名分析，全面呈现全局运行状况；使管理者能够直观便捷的掌握网络使用情况，为其合理分配带宽 资源，制定正确的管理决策提供有效依据。 多维清晰的分析形式： 系统能够智能分析各种上网数据， 得到能够客观反映整个企业状态的报表。 智能便捷的输出形式： 系统拥有数十种报表模板，支持报表自定义；报表可以以 EXCEL、PDF、WORD、HTML 等形式导出保存。根据不同管理层人员，可提供不同报表类型，报表 能够通过系统后台自动发送或 Email 自动订阅。2、功能介绍
（1）网络行为审计
任天行系统能够全面详实地记录网络内流经监听出口的各种网络行为，并根据国家有关法规规定保存至少 60 天，以便进行事后的审计和分析。日志以加 密的方式存放，只有管理者才能调阅读取。网络行为日志全面地记录了包括使用者、分组、访问时间、源 IP 地址、源端口、源 MAC 地址、目的 IP 地址、目 的端口、访问类型、访问地址/标识等关键数据项。支持在三层交换网络环境下获取用户计算机真实 MAC 地址功能；支持 GRE(通用路由协议封装）和 MPLS（Multi-Protocol Label Switching，多协议标签交换）两种协议及其应用环境下的网络数据审计还原。产品支持的协议和应用数量达到 260 多种，为国内 领先。主要包括以下类型的协议和应用：
标准协议及其衍生应用： 基于 HTTP 协议的网页浏览（GET）、网页提交（POST），其中 POST 应用可细分为 WEBMAIL、WEBBBS、WEBCHAT（聊天）、WEB 登录等上网行为，对基于 HTTPS 加密协议的网页浏览行为也将记录其关键数据；基于 TELNET 协议的远程登录；基于 FTP 协议的文件传输；基于 SMTP/POP3 的电子邮件收发、基于 Samba 协议的文件共享传输、基于 HTTP 的搜索引擎访问等。任天行系统将全面记录基于这些协议的行为日志和必要的帐号、文件名等关键信息。 即时通讯（IM ）/ 网络电话应用： 包括 QQ、MSN、ICQ、雅虎通、新浪 UC、网易泡泡、Google Talk、飞信、阿里旺旺、搜 Q、E 话通等 10 多种国内外流行的 IM 或网络电话应用软件，任天 行系统将全面记录这些 IM/网络电话应用的行为日志和必要的帐号信息。 流媒体/ 网络视频直播： 标准的 MMS、RTSP 流媒体播放协议和主流视频网站和视频直播软件所使用的视频直播应用协议（QQLIVE、PPLIVE、PPStream、优酷、酷六、六间房、新 浪视频、搜狐视频、网易视频、央视高清等）。 P2P 下载应用： 包括 BT、eMule 等国内外流行的 P2P 下载应用协议。 娱乐/ 游戏应用： 包括国内外流行的数种娱乐游戏平台和大型网络游戏，例如：联众、浩方、边锋、QQ 游戏、中国游戏中心、游戏茶苑、远航、CS、魔兽世界、武林外传、征服、跑跑卡丁车、劲舞团、大话西游、冒险岛等数十种网络游戏，任天行系统将全面记录这些娱乐/游戏应用的行为日志和必要的帐号信息。 财经证券类： 能够对国内流行的证券软件所使用的协议记录行为日志，主要包括以大智慧、钱龙、核新同花顺、通达信、大福星、龙卷风等研发厂商为核心的国内各 大证券商数十种 OEM 版本，如安信证券、广发证券、国联证券、银河证券、招商证券、方正泰阳证券、湘财证券、国信证券等。 网上银行/ 网上支付： 能够识别通过客户端、网页登陆的网上银行、网上支付应用，支持的银行有：工商银行、招商银行、建设银行、农业银行、光大银行、交通银行、中国 银行、民生银行、中信银行、上海浦东发展银行、华夏银行、深圳发展银行、广东发展银行、邮政储蓄银行、兴业银行、平安银行、渤海银行、杭州银 行、重庆银行、浙商银行、成都银行、大连银行、齐鲁银行、东莞银行、东莞农村商业银行、广州银行、汉口银行、台州银行、河北银行、长沙银行、 重庆农村商业银行、天津银行、上海农村商业银行、青岛银行、深圳农村商业银行、上海银行、包商银行、北京农村商业银行、北京银行、哈尔滨银行、 徽商银行、江苏银行、宁波银行、南京银行、吉林银行；支持的网上支持有：支付宝、快钱、易宝支付、财付通、贝宝、我爱卡。 远程控制协议： 支持识别主流远程控制协议，包括 SSH、远程桌面、PCAnywhere、QQ 远程控制（2010、2011） 代理工具： 能够识别各种代理工具，如 socks4/5、HTTP-Tunnel、HTTP-Proxy、ISA（包括 ISA2000、ISA2004、ISA2006、ISA2010）等。 数据库访问： 支持对 MS-SQLSERVER、ORACLE 等主流关系型数据库的远程访问和操作信息审计记录。 系统还提供了一系列的日志管理功能，包括存储管理、备份、恢复等，使用上具备高度的灵活性和专业性。（2）网络内容审计
针对互联网上流行的可还原协议，任天行系统能够在记录网络内流经监听出口的各种网络行为产生的具体内容，包括正文、文件等信息，并根据国家有 关法规规定保存至少 60 天，以便进行事后的审计和分析，我们称这个范畴的审计功能为内容审计。内容审计既能够无条件记录，又能通过策略指定访问者（IP 地址/帐号/分组）、时间范围、内容关键字等条件下进行有条件的记录管理用户需要的访问内容。主要包括以下类型的协议和应用：
标准电子邮件： 标准电子邮件是指 POP3 /SMTP 两个使用最广泛的收发邮件协议。系统将详细记录访问者（IP 地址/机器名/帐号）、目标 IP 地址、邮件时间、发件人、 收件人、正文、附件等信息，并提供附件下载备份功能。 网页浏览： 网页浏览是指基于 HTTP 协议的 GET 请求产生的查看网页内容。系统将详细记录访问者（IP 地址/机器名/帐号）、目标 IP 地址、访问时间、网页 URL、 网页详细内容等信息，并提供模拟访问的功能以达到还原后的仿真浏览。支持对 google, baidu, sogou, soso 等常见搜索引擎的搜索关键字记录，并具 备良好的扩展能力，支持用户自定义其它搜索引擎。 远程登录： 远程登录是指基于 TELNET 协议的远程登录访问。系统将详细记录访问者（IP 地址/机器名/帐号）、目标 IP 地址、访问时间、TELNET 帐号、TELNET 交 互命令和执行回显等信息。 文件传输： 文件传输是指基于 FTP 协议的文件传输、下载及其命令操作。系统将详细记录访问者（IP 地址/机器名/帐号）、目标 IP 地址、访问时间、FTP 帐号、FTP交互命令和执行回显等信息，对 FTP 交互过程中发生的上传和下载文件操作，系统也将涉及的文件全部还原并提供下载备份功能。 即时聊天： 目前能够捕获还原详细内容的即时聊天工具包括 MSN（windows Live Messenger）、Yahoo Messenger、中国移动飞信等。系统将详细记录访问者（IP地址/机器名/帐号）、目标 IP 地址、访问时间、聊天帐号、详细聊天内容等数据，并将聊天内容按次分组保存和展示。加密即时聊天部分即时聊天工具对聊天内容进行了加密。一般手段很难获取到解密后的聊天内容，任天行网络安全管理系统 SA 系列通过特有的破解手段，能识别出如QQ 等加密即时聊天工具的聊天内容。 网页外发数据： 网页外发数据是指基于 HTTP 协议的 POST 请求向外部的网站发布信息。由于 HTTP 的 POST 应用非常灵活，往往被用来实现多种应用，因此对网页外发数 据的处理有其特殊性。任天行系统使用了独有的表单特征匹配技术框架，摒弃了传统的逐个 WEB 网站分析方式，突破了逐个分析方式带来的有效网站数 量限制，可以准确分析出 100%的 POST 外发信息和文件，对 WEBMAIL、网页论坛等应用方式的识别率高达 95%以上。系统针对应用 HTTP-POST 最为广泛的 WEBMAIL、网页论坛、网页聊天、网页登录进行了应用方式识别并将其分类展示，对不能识别的其它 POST 应用则全部归类到“POST”中进行展示。系统 记录的主要数据包括访问者（IP 地址/机器名/帐号）、目标 IP 地址、URL 地址、访问时间、外发文本内容、外发文件等数据，并提供外发文件的下载备 份功能。 数据库访问： 支持对 MS-SQLSERVER、ORACLE、mysql、DB2、Syabse、PostgreSQL、Informix 等 7 种主流关系型数据库的远程访问和操作信息审计记录，能够记录详细 的操作内容，包括对数据库的增删改等敏感操作语句。（3）网络行为控制
对于多数企事业单位而言，如何通过有效的技术手段实现对单位职员上网行为进行规范的管理和控制是一个非常有意义的课题。任天行系统提供了丰富 的网络行为控制功能，以协助管理者实现上述目标。
应用封堵策略对局域网内所有机器生效的外网访问权限控制。可根据人员帐号、机器、机器组对不同的时间段设置，可设置的应用封堵类型包括：
网页类：可根据 URL 关键字、下载类型、搜索关键字、IP 网站、网页内容关键字、POST 网址、HTTPS 加密网页、自定义站点等组合条件进行设置。 邮件类：对于 SMTP/POP3/IMAP 标准电子邮件协议，可根据服务器、邮箱地址、邮件标题、邮件正文、附件名、附件内容等多中关键字组合条件进行 设置。 即时通讯：针对流行的 10 多种即时通讯应用，可根据应用类型和内容关键字进行设置，针对 MSN、QQ 文件传输、雅虎通、飞信等明文传输的即时通讯应用可根据内容关键字封堵。 网络游戏：支持近百种流行网络游戏的封堵设置。 P2P 下载：支持流行的 BT、eMule 等典型 P2P 下载进行设置。 文件传输：主要针对 FTP 文件传输，可根据服务器、文件类型、帐号、传输内容等关键字进行设置。 远程登录：主要针对 TELNET，可根据服务器与账号进行封堵设置。 音视频：支持流行的近 20 种网络音视频应用进行设置。 财经股票：支持流行的 20 多种财经股票行情与交易应用进行封堵设置。 网上银行：支持封堵国内各个银行的客户端和网页登录。 远程控制：支持封堵如 SSH、远程桌面、PCAnywhere 等远程控制工具。 代理工具：可封堵 socks4/5、HTTP-Tunnel、HTTP-Proxy、ISA 等代理上网工具。 自定义协议：可以自己根据需要基于特殊 IP、端口的自定义协议设置封堵。 分类站点：系统内置 3000 多万 URL 分类站点库，可根据这些分类设置封堵。 数据库：支持针对 SQL Server、Oracle、Mysql、DB2、Sybase、PostgreSQL、Informix Online 数据库的帐号、服务器IP地址、sql关键字进行封堵。 流量控制流量控制可实现用户在某一个时间段的带宽限制和保证。用户可自由设定在这个时间段能拥有的上下行最大带宽，以及在网络资源紧张的情况下，用户 对象最少能拥有的上下行保障带宽。并且可对同一用户的不同的源、目的端口，目的 IP、不同应用的流量设置不同的流量控制和带宽保障。
流量限制可对任意用户对象或团体设置每日、每周、每月的上下行流量或总流量进行上限设置，超出设置的上限之后将禁止上网。
IP/MAC 绑定
可以灵活设置多种形式的 IP/MAC 绑定，用于限制非法修改 IP 地址与移动办公的应用场景，包括单一绑定、一个 IP 绑定多个 MAC、多个 IP 绑定一个 MAC
等方式。
黑白名单 机器黑白名单：可基于 IP 或 MAC 设置，对于被设为黑名单的机器，系统将无条件禁止其与外网的一切通讯。对于被设为白名单的机器，则其的网络访问不受全局或局部策略的影响，在任何条件下都不对其进行封堵，其网络日志可灵活设置为是否记录。 站点黑白名单：可基于目标 IP 或网址设置，对于被设为黑名单的站点，则网络内的所有机器（白名单机器除外）都不能访问此站点。对于被设为白 名单的站点，则网络内的所有机器（黑名单机器除外）都可以访问此站点。 帐号黑白名单：在帐号控制模式下应用，对于被设为黑名单的帐号，系统将无条件禁止其与外部网络的一切通讯。对于被设为白名单的帐号，则其 的网络访问不受全局或局部策略的影响，在任何条件下都不对其进行封堵，但其网络日志仍将被记录。基于帐号的控制可有效避免动态 IP 地址环境 或 IP 人为变更造成的网络控制漏洞。 免审计 KEY：给特殊用户配置上网时豁免审计与控制的 USBKEY。（4）上网用户管理
局域网内的上网用户管理，在任天行系统中是重要的一个环节。它不仅为管理者提供了方便的管理功能，而且在配合网络行为控制与审计策略的配置实 施过程中起到基础性的关键作用。对于上网用户的组织架构，可以对自动或手动搜索生成的设备列表采用多层多组方式划分组别，最大层次可达 16 级。用户 管理部分的主要功能包括：
组织管理自动分组用户可根据实际的网络规划，对系统管理的 IP 地址段、IP 段分组规划进行事先设置。根据事先设定的搜索范围，任天行系统将自动获取指定范围 内的机器信息资料，包括机器名、分组、IP 地址、MAC 地址等，也可进行手工搜索，在机器管理功能中可对这些信息进行增、删、改、导入、导出、设 置控制方式等操作。随着系统总的识别方式的设置不同，机器管理也将以 IP 地址或 MAC 地址字段作为机器的唯一标识。在认证识别方式下，系统还提供帐号管理功能，可对上网认证的帐号进行增、删、改、注销上网、本地文件导入、帐号分组管理等各种操作；对基 于 USB 锁的上网认证器则提供对应的上网认证器的配置、密钥导入等管理功能。
用户识别方式 企事业单位接入外部网络的方式各不相同，其内部局域网的组网方式、设备等环境也千差万别。任天行系统能够针对各种不同的网络环境，结合用 户的组网规划和对网络控制的不同需求，采取灵活的上网控制方式设置，应对各种差异化需求。 任天行系统支持的上网识别方式包括认证识别和透明识别。认证识别是指用户上网之前必须经过上网认证操作才能接入互联网；透明识别是指不需经过认证，系统可适应复杂多变的网络环境，根据 IP、MAC、各种外部认证帐号等多种方式自动识别用户特征，实现上网实名审计。
透明识别方式包括：AD 域帐号识别、HTTP 代理用户识别、IP 识别、MAC 识别、POP3 账号识别、PPPoE 帐号识别等。 认证识别方式包括：客户端认证、本地 WEB 认证、远程 AD 认证、远程 ESMTP 认证、远程 LDAP 认证、远程 POP3 认证、远程 RADIUS 认证等。 针对各种不同的用户环境设置灵活多样的控制方式，使任天行系统最大限度地与用户现有的认证环境相结合，保护已有投资。（5）统计分析与智能报表
根据历史上网日志数据统计产生丰富详细的报表，包括分组上网排名、人员上网排名、网络应用统计、访问资源统计、趋势分析、自定义报表等。可按 年度、月度或者指定时间范围生成周期性报表。报表种类包括柱状图，饼图，曲线图，折线图等。报表可以以 EXCEL、PDF、WORD、HTML 等形式导出保存。并 支持自定义的周期性报表自动生成和订阅。任天行支持的统计分析功能包括：
智能报表任天行将审计到的数据经过智能分析，形成各种智能报表，目前内置有离职风险报表、工作效率报表、行为违规报表、安全风险报表、泄密风险报表、 法律风险报表、焦点人物报表、焦点事件报表、带宽资源评估报表、互联网指数报表。并且用户可自定义其他类型报表。
统计报表可根据用户、行为、流量、上下机、搜索引擎、时间、外发文件等多个维度对各种网络活动在自定义的时间周期内输出表格形式的统计数据。
用户分析以上网用户为统计主体，对其各种网络行为在自定义的时间范围、自定义的团体范围内进行基于日志数量的上网活动分析，输出柱状统计图表。
行为分析以某一种具体的网络行为为统计主体，在自定义的时间范围、团体范围内进行基于日志数量上网排名分析，输出柱状统计图表。
流量分析以上网用户为统计主体，在自定义的时间范围、团体范围内进行基于流量的上网排名分析，输出柱状统计图表。
上机分析以上网用户为统计主体，在自定义的时间范围、团体范围内进行基于上机次数的排名分析，输出柱状统计图表。
搜索分析以搜索引擎关键字为统计主体，在自定义的时间范围、团体范围内进行基于关键字的排名分析，输出柱状统计图表。
趋势分析以上网用户为统计主体，在自定义的时间周期、团体范围内进行基于各种上网行为次数的时间趋势分析，输出折线统计图表。
外发文件分析以上网用户为统计主体，在自定义的时间周期、团体范围内进行基于外发文件次数的排名分析，输出柱状统计图表。
报表订阅对于上述各种统计报表，可实现自定义条件的周期性报表订阅，订阅后系统将按照预先定义条件自动生成统计报告并自动发送到用户指定的邮箱。
订阅历史可以在系统中查询以往订阅的历史报表。
（6）系统管理与配置
为了保障系统正常、稳定、有效、安全地运行，任天行系统本身的管理设置和附加功能必不可少。其主要作用在于为系统提供符合网络环境要求的基础 性参数设置、为系统提供足够的访问管理权限安全保障、为一些故障判断提供辅助工具等。包括但不限于：IP 地址位置查询、网络诊断工具、自定义站点分 类、角色与权限管理、连接管理中心参数设置、产品升级、远程维护开关等。
7.1.3 小云无线上网安全管理系统（小云）1、特点（着重商业化模式）
用户行为数据分析 ：基于现有WiFi环境，通过识别用户的智能手机，了解用户店内滞留时间，还有光顾频率 多维度的客流分析 ：多维度分析采集的客流数据，透明化你的店铺运营情况。（数据可视化展示，地域、时间段） 监测数据多样化 ：终端停留时长、设备分析（型号、MAC）、新用户、到店的频率、到访的次数、核心用户次数、重复访客 可视化的数据解析 ：多种数据报表形式，形象展现店内运营情况，保持变化的营销对策。 7.1.4 顺网无线安全审计产品（顺网）1. 功能
产所管理 ：新施工场所：填写场所信息；旧方案升级：在加盟商/施工账户的场所管理中查找该场所对应的场所编号，录入后即可找回场所信息。 流量控制 ：控制所有 AP 的总流量以及单终端流量，控制终端下载速率对于速率较大的终端可以进行限制。 上网行为控制 ：场所选择对应的认证模式，是否允许 PC 上网等信息、是否强制使用 APP 登录等（PS：只有用户 使用顺网无线客户端，才可以接收场所发送的活动推送通知）。 消息推送： 场所可以查看到可推送的用户数，将编辑好的内容进行一键发布。 WiFi 首页设置 ：场所可以自定义上网首页内容，上传场所、商品图片，编辑场所以及商品介绍的内容。 黑白名单设置 ：将要添加的终端的 MAC 地址添加到对应的模块中即可生效。 设备信息 ：在该界面可以查看每个 AP 的状态，修改对应的热点名称（可设置多个热点名称）、发射功率、无 线信道等内容，修改完成需要输入账户进行验证。 7.1.5 博网通公共场所无线上网安全管理系统（博施盾）1、特点
通用性 ：在原有的系统下支持应用所有后台对接 灵活性 ：应允许客户从不同的地理位置，使用不同的终端设备（PC笔记本电脑iPad安卓平板智能手机等）方便的访问生产管理系统，随时使用、查阅、修 改数据 跨平台兼容性：管理系统的发布与客户端是何种平台基本无关，可将Windows平台下的软件发布到各种常用系统平台。无论客户端是windows系统，还是linux、iOS、Android，用户均可以利用其直接访问到应用系统并正常使用。不需要针对这些平台逐一做应用系统的定制开发。管理员做维护的 时候也不需要考虑各种平台的差异性，只要维护Windows版本的软件即可 权限管理： 管理员应该可以对何种用户有权限访问何种应用系统，可以集中设置权限。只让用户访问他们应该访问的 数据安全性 ：所有应用系统的数据都集中部署在总部服务器处理，实现实时集中管理。用户不论在何处、何时使用应用系统，所查看、编辑、修改、创建的数据，始终位于服务器端，客户端不应有任何数据存留。 通讯安全性 ：远程用户与服务器端的数据通讯应该是安全的。经过身份认证的用户，才有可能访问到应用系统并得到。 7.1.6 搜WI-FI公共场所无线上网安全管理系统（搜WI-FI北京博艺）能够全面封堵网站浏览、QQ聊天等各种工作无关网络行为。封堵和流控当前的BT、eMule等，和未来可能出现的各种P2P应用。杜绝不良网站和风险文件的访问及下载，防范DOS攻击及ARP欺骗等。独特的敏感内容拦截和安全审计功能，防止机密泄露。全面记录网络行为日志，避免法律风险，并让IT管理者对网络效能和行为进行方便的统计、审计、分析、报表。再辅以BYWATCHMEN的其他安全扩展功能，全方位保障您的网络安全。
7.2 产品定位及优势对比审计技术与时俱进，随着国内外网络安政策、安全审计技术体系日益完善，用户需求将更加理性、全面；不同行业也将出现多样性需求；审计需求也将更加务实，审计产品也将占用资源少、审计迅速。安全审计技术发展将呈现明确的政策合规审计、企业内控管理、数据风险控制的特点发展。具体特点包括：
政策合规审计安全审计技术将更加紧密地与“信息系统安全等级保护”、“企业信息内部控制基本规范”、“SOX法案”等政策要求相结合，依据ISO/IEC17799、ITIL、COBIT、COSO等标准，提供更符合企事业单位政策合规管理需要的安全审计功能，输出细粒度的合规审计报告。例如：企业信息内控审计报告、SOX审计报告等，帮助用户提升审计力度，降低人工审计工作量，有效控制了信息安全风险。
基于账号的网络安全审计网络安全审计技术将逐步与身份认证管理技术结合，实现基于账号的网络安全审计，相比传统的基于IP、MAC地址等用户身份的审计判定手段，将能够更加准确的追踪定位到人，全面提升审计对象身份的可靠性。
专业的数据库安全审计数据库已成为广大企业的数据核心资产，其重要性毋庸置疑。近年来，在各行业中频繁发生企业数据库的重要敏感数据被篡改牟利、泄密事件，已经引起各方面的广泛高度重视。数据库安全审计技术作为数据库安全的重要监测手段，将越来越受到政府、金融、电信等用户重视。为了进一步提高数据库审计的完整性和准确性，须追根溯源，从源头抓起。需要安全厂商与数据库厂商加强技术合作，共同推动完善数据库安全审计技术。
不同行业多样性需求随着网络安全审计越来越重要，面对的将是各行各业的需求，审计的接口将接入公安网监部门，对于审计的要求也会越来越精细化和高要求。
7.3 产品主要功能审计系统支持数据采集精细化分类，数据留存时间在90天以上；从而牵引出审计系统的主要功能：
数据多样性 数据统计展示 数据留存时间延长 行为数据精细化 数据的跟踪 行为信息的追踪 7.4 分析总结 网络安全审计系统针对互联网行为提供有效的行为审计、内容审计、行为报警、行为控制及相关审计功能。从管理层面提供互联网的有效监督，预防、制止数据泄密。满足用户对互联网行为审计备案及安全