AC---上网行为管理

一、上网行为安全概述

1、AC即上网行为管理，可以实现对内网用户行为的精细化管控

2、上网行为管理的三要素：用户、流量、行为

3、AC的功能

①用户认证

②应用控制

③网页过滤

④行为审计

⑤流量管理

⑥应用选路

4、上网行为安全的应用场景

①互联网上网行为管控

②一体化网关

③办公室出口

④无线网络管控

⑤数据价值分析

二、上网行为管理基本操作

1、如何登录设备-----首次拿到设备

①使用一根交叉线连接设备和电脑

连接设备的eth0，需先配置一个10.251.251.0/24网段的地址，随后登录https://10.251.251.251登录控制台

连接设备的eth1，需先配置一个10.252.252.0/24网段的地址，随后登录https://10.252.252.252登录控制台

②输入控制台admin账号登录设备

2、如何登录设备-----不知道更改后的接口地址的情况下

①方法一

配置电脑ip为128.127.125.253/29，用交叉线连接电脑和设备eth0口，通过https://128.128.125.252登录设备控制台

②方法二

通过sangfor升级系统工具查找设备地址后，通过查找得到的地址进设备控制台

3、如何恢复出厂设置

①通过控制台界面恢复出厂设置

②通过sangfor升级系统工具恢复出厂设置

③交叉线短接两个电口恢复

先将设备关机，准备一根交叉线，使用交叉线连接设备面板上任意两个非一组bypass电口（12.0.12之前，必须接非BY口，12.0.12后，必须接0和2口），然后将设备开机，直到设备重启后，拔掉交叉线，等设备运行起来，即可登录设备

④u盘恢复出厂设置

新建一个txt文档，将其重命名为reset-cfg.txt，将txt文档拷贝到u盘根目录，u盘格式为FAT32。AC插上u盘，重启设备，当设备的LED红灯熄灭后，alarm灯闪烁，拔出u盘

三、上网行为管理部署模式

1、AC设备支持路由、网桥、旁路部署模式

2、路由模式

①路由模式支持AC的所有功能

②路由模式的配置

⑴网口配置：配置各网口的地址

⑵确定内网是否为多网段网络环境，如果是的话需要添加相应的回包路由，将到内网各网段的数据回指给设备下接的三层设备

⑶用户是否需要通过AC设备上网，如果是的话。需要设置NAT规则

⑷检查并放通防火墙规则

3、网桥模式

①设备以网桥模式部署时对客户原有的网络基本没有改动。网桥模式部署AC时，对客户来说AC就是一个透明设备

②网桥模式部署不支持AC的NAT、VPN、DHCP等功能

③网桥模式的部署

⑴配置设备网桥地址，网关地址，DNS地址

⑵确定内网是否为多网段网络环境，如果是的话需要添加相应的回包路由，将到内网各网段的数据回指给设备下接的三层设备

⑶检查并放通防火墙规则

4、旁路模式

①旁路模式主要用于实现审计功能，完全不需要改变用户的网络环境，通过把设备的监听口接在交换机的镜像口，实现对上网数据的监控

②旁路模式部署主要用作上网行为的审计，且只能对TCP应用做控制，对基于UDP的应用无法控制。不支持 NAT、VPN、DHCP等功能

③旁路模式的配置思路

⑴交换机设置镜像口，并接到AC监听口

⑵配置需要审计的内网网段和服务器网段

⑶配置管理口地址，用于管理AC设备

四、用户认证技术

1、临时用户、Dkey用户、不需要认证的用户无法被强制注销

2、不需要认证技术

一般适用于对认证要求不严格的场景

3、IP/Mac绑定认证技术

①SNMP是基于TCP/IP协议族的网络管理协议，是一种在IP网络中管理网络节点的标准协议

②trap操作：代理进程主动发出的报文，通知管理进程有某些事情发送

4、密码认证技术

一般适用于对认证严格要求，希望上网日志记录具体的账号，或希望和客户现有的第三方服务器结合认证的场景

5、外部认证技术

①AC/SG支持的第三方认证服务器：LDAP认证、RADIUS认证、POP3认证

②外部认证过程

⑴ PC向AC/SG提交用户名密码信息

⑵AC/SG判断为外部认证，并把用户名密码信息发给外部认证服务器校验

⑶外部认证服务器校验后，向AC/SG发送失败或成功的消息

⑷AC/SG根据外部认证服务器返回的消息，确定是否让该pc通过认证

⑸pc通过认证后，就可以直接访问公网了

五、应用控制技术

1、应用特征识别技术

①传统行为检测原理：数据包的五元组

②深度包检测技术（DPI），可以对应用层进行分析

⑴基于“特征字”的检测技术（DPI）

不同的应用通常依赖于不同的协议，而不同的协议都有其特殊的特征

⑵基于应用层网关的检测技术（ALG）

某些应用（FTP）的控制流和数据流是分离的，数据流没有任何特征。这种情况下，我们就需要采用应用层网关识别技术。应用层网关需要先识别出控制流，根据对应的协议，对控制流进行解析，从协议内容中识别出相应的业务流

⑶基于行为模式的检测技术

基于对终端已经实施的行为的分析，判断出用户正在进行的动作或者即将实施的动作

③深度流检测技术（DFI)

基于流的行为特征，通过与已建立的应用数据流的数据模型对比，判断流的应用类型或业务

2、HTTP识别控制技术

如果我们对该URL做封堵，终端设备在发出get请求后，设备会伪装成网站服务器向终端设备发一个状态码302的数据包（重定向），数据包的内容是告知终端设备访问网站服务器的拒绝界面

3、HTTPS识别控制技术

对HTTPS网站封堵，终端设备在发送Client hello报文后，在此报文的server_name字段包含所访问的域名。我们识别到该网站，伪装网站服务器给终端设备发送RST包，断开终端设备与网站服务器之间的连接，从而控制HTTPS网站的访问

#HTTP和HTTPS网站封堵的不同点

针对HTTP是先发送重定向包，再发送RST;针对HTTPS是直接发送RST结束TCP连接，不发送重定向包

4、自定义应用识别技术

六、终端识别和管理技术

1、防共享识别和控制技术

①传统防共享技术-----ID轨迹检测

②传统防共享技术-----时钟偏移检测

③不支持识别以下三种场景

⑴手机插电脑上充电

⑵PC里装了虚拟机

⑶电脑上安装移动终端模拟器

④测试方法推荐

在两个pc上分别登录不同的QQ账号

2、移动终端识别和控制技术

①排除信任ip和用户

②管理非法接入的移动终端

七、流量管理技术

1、主流的流量管控技术

①流量检测方法

⑴主动测试方法

使用网络爬虫，像普通网络节点一样，主动加入网络，尽可能多的获取相关的网络特征，搜集ip地址集、端口号及所有元数据信息

⑵被动测试方法

通常是在网络的不同位置部署一定数量的测量点，使用特定的软、硬件设备被动监测相关p2p流量信息

②应用检测技术

⑴常用端口检测

⑵深度流检测（DFI)

⑶深度包检测（DPI）

③应用控制技术

⑴流量整形技术

⑵连接干扰（TCP）/信令干扰（UDP）

④识别控制组网模式

⑴直路串联流控模式

⑵旁路干扰流控模式

2、SANGFOR流控解决方案

①p2p智能流控技术

②动态流控技术

③流控黑名单

八、内容审计技术

1、上网行为审计技术

数据--->基础识别--->用户认证--->应用/URL识别--->行为识别--->防火墙--->流量控制--->应用审计--->流量审计

2、外发邮件审计技术

3、SSL内容解密技术

①中间人解密

AC中间人代理，可以通过抓包查看TTL值来确认

②准入插件解密

⑴主机安装AC准入插件（可同时做终端安全检查）

⑵准入插件通过解析浏览器内核函数，提取HTTPS会话主密钥

⑶会话主密钥通过前向加密技术传输到AC，实现https内容识别

③两种方式的对比

4、WEB关键字过滤技术

5、IM聊天内容审计技术

SANGFOR通过插件方式，在客户端电脑自动找到QQ聊天内容缓存到本地的数据库中，然后AC每隔10s在客户端的数据库读取聊天内容，写入到AC的日志中心

九、数据价值解决方案

行为感知组件介绍

①数据采集部分

深信服AC、AF等日志

②数据分析部分

数据汇总、建模、展示

十、全网行为管理

1、全网行为管理AC=上网行为管理原有功能+认证中心功能+新功能（入网认证+终端检查+终端控制+识别审计等功能）

2、认证功能

①802.1x认证

⑴802.1x认证中用到了radius协议认证方式，典型的C/S结构

⑵认证方式EAP终结、EAP透传（中继），AC使用EAP透传

⑶802.1x认证与portal（密码）认证对比

②旁路重定向认证

AC旁挂在核心交换机上，对未认证通过的请求发reset包的方式拒绝请求；对需要认证的发302重定向，进行重定向认证

3、终端检查功能

①杀软检查和登录域检查

插件实现方式和流量实现方式

②非法外联检查

4、终端管控功能

①外设管控

支持存储设备、网络设备、蓝牙设备、摄像头和打印机的管控

②外联控制

5、识别审计功能

①终端识别

自动识别接入的终端资产设备类型、系统和相关信息，并自动分类统计

②业务、u盘和IM审计