GSN 软件黑白名单控制技术白皮书

1 为何要进行软件黑白名单控制？
        计算机软件给我们的工作和生活带来了极大的便利，我们可以基于先进的电子流完成以前复杂的工作流程，我们可以在家里通过互联网足不出户的与远方的朋友聊 天、上网炒股、看电影……但是，在带来便利的同时，也带来了烦恼，一切都变得如此便利，那么在工作场所接入互联网之后，如何能保障员工的工作效率呢？如何 能保障日益紧缺的网络资源都能被重要的工作数据使用呢？如何能保障在接入互联网之后企业、单位的重要信息不被泄露呢？这些都困扰着管理者。同时，一些病 毒、***也是通过运行某些指定的进程或程序来实现对用户主机的控制，如何帮助用户将这些进程中止掉，将程序删除掉，也是网络管理需要做的事情。
        软件黑白名单控制，指的是针对工作和网络安全、性能的需要，对内网用户使用的软件进行限制，禁止使用某些软件（黑名单），必须使用某些软件（白名单）。举 例来说，为提升工作效率、防止信息泄露、保障网络性能，在公司禁止使用炒股软件、聊天软件和P2P下载软件，而为了做好公司的资产管理和监控，必须安装资 产管理软件的客户端（白名单）等等。
         然而，即便公司在规章制度上制定的再严格、再完善，员工的执行才是最终效果的体现，对于人数众多的大型企事业机构，如果没有完善的监控机制，依靠管理人员 人工监控，恐怕是无济于事的；如果为了杜绝员工对于网络软件的滥用而切断互联网接入，又会得不偿失，毕竟诸多业务应用都要依托于互联网的访问。
         所以，自动的、有效的、方便的的软件使用控制，是信息化建设中重要的一环，接下来我们将详细阐释，在锐捷网络的GSN全局安全解决方案中，是如何进行软件黑白名单控制的。

2 软件黑白名单控制方案的设计思路
          对于软件的控制，要基于多个层面，以Windows系统为例，从软件的安装，到软件的使用，再到软件的注册表植入以及后台服务的情况，各个环节均应进行监控和管理。
2.1 软件安装监控
         一个软件在安装之后，会在控制面板中的“添加与删除程序”项中添加它的键值，所以对于这个项目的监控，即可对系统已安装的软件情况进行监控，获取系统已安装的软件列表，然后根据软件列表检测用户是否已经安装了违禁的软件，即可作为处理的基础。

2.2 系统进程监控
        有些软件在安装之后，在“添加或删除程序”项中并不会出现，那么我们可以采用系统进程监控的方式对其进行监控，当其运行时，相关进程就会出现在进程管理器中，如果管理员监控到对应的进程，则说明违禁软件正在运行，可作为处理的依据。

2.3 注册表监控
        软件运行或者安装，都会向Windows的注册表中写入键值，病毒也如此（病毒、***本身也是一种软件），通过检测注册表中对应的键值，也可以对软件进行监控，作为处理的依据。

2.4 后台服务监控
        还有一些软件是以Windows的后台服务的方式运行的，在进程管理器中也找不到它，但事实上它是在运行的，诸如一些病毒或***，还有大部分的杀毒软件也是以这种方式运行的，那么通过对系统服务的监控，也能为我们的软件使用管理提供依据。

      通过对软件安装情况、进程运行情况、注册表修改情况以及后台服务运行情况的监控，可以对软件的安装和使用情况有一个详细的了解，这是管理的依据，而根据这 些情况，即可依照企业的相关规定进行处理，例如禁止运行聊天软件，就可以对聊天软件进行检测，如果检测到聊天软件，则对用户进行提醒或者处理，例如禁止其 上网，直到他卸载或关闭聊天软件等等。

3 锐捷网络GSN全局安全解决方案的软件黑白名单控制
        GSN方案中的软件黑白名单控制，通过服务器端制定策略、客户端检测通知、交换机端执行处理三大部分构成。
3.1 服务器端的策略制定
        在GSN的核心服务器SMP端，管理人员可以对用户安装软件的情况、进程运行的情况、后台服务运行的情况以及注册表关键值的情况进行设置，其规则又可分为 黑名单和白名单两种，即“禁止运行”和“必须运行”。同时，在设置完毕检测规则后，还可继续设置对违规用户的处理方法，例如将用户隔离到指定的网络区域 （可以是修复区域），或者直接将用户的网络完全阻断。

3.2 客户端检测和通知
        SMP服务器端制定了有关软件黑白名单的策略之后，会下发到各个客户端，SU客户端根据策略的内容，会对本机的软件安装情况、注册表、后台服务和进程情况 进行检测，如果发现不符合规则的情况（必须安装的软件没装，或者禁止安装的软件装了或其他情况），则会根据服务器端制定的处理方法进行处理，如提出警告、 下载修复程序、隔离或者阻断客户机上网，直到客户端安装或卸载相关的软件，重新检测后，符合规则才能重新入网。

 
3.3 交换机端执行网络控制
        对于不合规的用户端的处理，是通过接入交换机来实现的。SMP服务器端在收到SU客户端反馈回来的信息后，就会将对不合规的客户端的处理下发到交换机，从而在网络层面对客户端进行隔离和阻断，直到客户端满足规则要求后，方可开放客户机的网络访问权限。

4 总结
        锐捷网络GSN全局安全解决方案中，对于软件黑白名单的控制，采用了软硬件联动、计算机与网络联动的解决思路，通过SMP安全管理平台系统、SU安全智能 客户端与安全智能接入设备的配合，实现了对用户入网前主机完整性的严格检测，保障了入网主机的健康性，提升了整个网络的安全性，提升了员工的工作效率，降 低了网络带宽的无谓损耗，加强了内网信息的保护，为建设更安全更高效的内网提供了完善的解决方案。