办公网实名制流量管理和行为审计

■中国联通辉煌发展的同时办公网管理存在困境

中国联通经历多年发展，目前已在国内31个省（自治区、直辖市）和境外多个国家和地区设有分支机构，是中国唯一一家在纽约、香港、上海三地同时上市的电信运营企业，连续多年入选“世界500强企业”。而位于北京的中国联通总部，作为各省市联通分公司的领导单位，更是在集团运营管理以及企业社会形象等方面，扮演着至关重要的角色。

然而在企业辉煌发展的同时，中国联通总部却一直面临管理困境。其两个千兆互联网出口承载了联通总部、北京地区子公司和研究院等超过5000多名员工的互联网访问，上网人员数量较多，而个别员工通过互联网违规发布会议决策、营销计划、人事关系等机密信息，以及发布有损企业和领导形象的邮件和评论，或者在办公时间下电影、看视频等，严重影响了IT运营管理和企业社会形象。

IT部门面对上述问题却往往无能为力，主要原因包括两点：首先，IT部门采用动态IP进行用户管理，缺乏与员工真实身份信息的对应关系，当信息泄密、不良言论等问题发生时，IT部门只能看到动态分配的IP信息，而根本无法定位到责任人。其次，由于P2P等应用普遍采用端口跳变、多协议复用等技术，很难与普通的HTTP访问等流量进行区分，因此通过五元组技术无法有效管理，必然导致无法对员工的上网娱乐行为进行管理。最终的结果必然是问题员工有恃无恐，信息安全管理制度形同虚设。

网康技术人员在与中国联通总部深入交流后，认为为了实现净化办公环境、有效管理网络的目标，需要解决的核心问题是以实名制的方式，对员工的上网行为和网络带宽使用进行管理，并提出了“流控+审计”一体化解决方案。

■网康“流控+审计”一体化解决方案

网康“流控+审计”一体化解决方案的基本思路，是同时部署ITM智能流量管理和ICG上网行为管理设备，并通过与联通总部现有的动态IP管理系统（联通全量信息数据库）进行联动，实现员工实名制监控和管理。其中ITM负责分析网络运维状态、合理分配带宽资源、封堵违规不良应用，同时负责过滤P2P等无需审计的流量，而将网站访问、论坛发帖等需要审计的流量转发给ICG设备进行针对性的审计分析；而ICG负责对员工上网行为进行全面审计，及时发现违规问题。

 

■网络管理实名制
通过ICG与联通全量信息数据库进行联动，获取并导入用户名称、主机名、办公地点等用户管理信息，建立用户组织结构。同时全量信息数据库定期将IP地址与用户名的对应关系更新给ICG设备，实现IP信息与组织结构用户的实名制对应，从而实现上网行为审计实名制。而ITM设备也会与ICG审计设备进行联动，借助ICG提供的上线用户名与IP的对应关系，实现网络流量管理实名制。

■流量管理与审计过滤
通过ITM对网络运行稳定性、网络流量应用构成、占用带宽部门、用户、应用排名等全面分析，使IT部门清晰掌握网络运维信息。此外借助专业流量管理手段，对领导、员工、第三方技术人员等分配不同的带宽使用和应用访问权限。而更为重要的是，ITM提供了强大的应用级审计流量过滤能力，能够滤除P2P下载、网络视频、Web视频等无需审计的流量，而将需要审计的Web访问、邮件、IM等流量转发给ICG设备进行针对性的内容审计。

■全面审计员工上网行为
通过ICG提供的专业上网行为管理功能，对邮件、发帖、IM、网站访问等信息进行全面审计，当发现员工存在违规行为时智能告警，并对责任人进行快速定位和封堵。

 

■实施效果

中国联通总部通过部署网康“流控+审计”一体化方案，获得的主要收益如下：
■实名制管理网络，快速定位问题责任人
■全面审计上网行为，避免机密信息和不良言论外发
■合理划分带宽，为不同用户分配差异化的网络使用权限