上网行为管理-内容审计

上网行为审计技术

需求背景

• 法律合规：满足《网络安全法》等法律法规的要求，落实网络安全保护责任，采取监测、记录网络运行状态和网络安全事件的技术措施，并按照规定留存相关网络日志。
• 内部管理：规范员工的上网行为，防止员工在工作时间从事与工作无关的活动（如娱乐、购物），提高工作效率。
• 行为追溯：当发生信息泄露或违规操作时，可以通过审计日志追溯责任人及其具体操作，为事件调查提供证据。
• 权限优化：通过分析用户的上网行为和流量数据，可以发现当前网络权限策略的不足，从而进行优化调整。

是什么

上网行为审计技术是指对内部用户通过企业网络进行的各类互联网活动进行记录、监控和分析的技术。它不仅仅是记录访问了哪些网站，还包括对搜索关键词、论坛发帖、微博发布、收发邮件、即时通讯聊天内容等深度信息的审计。其核心价值在于满足合规性要求（如日志留存）、事后追溯以及优化网络权限策略。

审计原理

1. 应用识别：首先依赖应用识别技术（课程前序内容）来区分出不同的网络应用（如QQ、微信、王者荣耀、网页浏览等）。
2. 数据提取与解析：设备对识别出的应用数据流进行深度包检测（DPI）和深度行为检测（DFI），从网络数据包中提取出关键内容。例如，从HTTP请求中解析出搜索关键字、从论坛POST请求中解析出发帖内容。
3. 日志记录与存储：审计到的原始数据（如用户账号、虚拟身份、访问时间、具体内容）会被格式化并生成日志。
4. 日志存储：生成的日志会存储在设备的内置日志中心或外置日志中心（数据中心）。按照规定，这些网络日志需要留存不少于六个月。
5. 查询与分析：管理员可以通过日志中心的“百度式”搜索功能，根据时间、用户、组、应用等多种维度查询历史日志，并进行流量分析、用户行为分析等，生成可视化图表和报表。

外发邮件审计技术

需求：

• 防止数据泄露：防止员工通过外发邮件有意或无意地将公司商业机密、客户资料、源代码等敏感信息发送出去。
• 合规审查：满足行业监管要求，对邮件往来进行审计，确保通信内容合规合法。
• 邮件过滤：在外发邮件审计的基础上，可以延伸出邮件过滤策略，例如禁止发送包含特定关键字（如“法轮功”）、特定文件类型（如 .ppt, .doc）的邮件。

是什么：

外发邮件审计技术是指对企业内部用户通过邮件客户端（如Outlook、Foxmail）或网页邮箱（Web Mail，如QQ邮箱、163邮箱）发送的邮件内容进行记录和审查的技术。目的是防止敏感信息通过邮件渠道泄露。

审计原理：

该技术的原理核心在于对邮件传输协议的分析和内容还原。

1. 明文邮件审计：传统的邮件协议（如SMTP、POP3）以及许多网页邮箱的HTTP传输在默认情况下是明文传输的。审计设备只需抓取并解析这些明文数据包，即可还原出邮件的收件人、主题、正文内容、附件名称等信息。
2. 加密邮件审计（配合SSL解密）：

• • 问题：越来越多的网页邮箱（如HTTPS加密的QQ邮箱）采用SSL/TLS加密传输，传统明文抓包方式无法读取内容。
  • 解决方案：必须结合SSL内容解密技术。

• • • 开启SSL内容识别功能。
    • 采用中间人解密方式：审计设备（AC）充当中间人，与客户端和邮件服务器分别建立SSL连接。客户端看到的证书是AC伪造的证书，AC解密客户端发来的加密数据，审计到明文邮件内容后，再重新加密转发给邮件服务器。
    • 审计结果可以在日志中心的“邮件收发日志”中查询到。

SSL内容解密技术

需求：

• 应对HTTPS普及：当前主流网站、应用均采用HTTPS加密，传统审计技术失效，必须引入解密技术以维持审计能力。
• 安全审查需求：需要审查加密流量中是否包含恶意软件、敏感信息泄露或违规内容。
• 用户体验与合规的平衡：组织既希望审计加密流量，又希望尽量减少对用户正常上网的干扰（证书告警、性能下降），因此催生了更先进的无感知解密技术。

是什么：

SSL内容解密技术是解决“加密流量黑洞”问题的关键技术。随着HTTPS的普及，越来越多的网络行为（网页浏览、邮件收发、IM聊天）都采用了SSL/TLS加密。该技术使得安全设备能够“穿透”加密层，看到加密流量内部真实的明文内容，从而进行有效的审计、过滤和安全检测。

审计原理：

https的加密传输过程图解：

1. 中间人解密方式 (传统代理模式)：

• • 原理：设备（AC）扮演“中间人”角色。客户端与AC建立SSL连接，AC再与服务器建立SSL连接。

  • 关键步骤：AC在客户端与服务器之间截获数据包，向客户端发送一个由AC自己签发的（或使用其他证书签名的）伪证书。客户端浏览器会验证此证书，因为不是受信任的CA签发，通常会弹出证书告警。
  • 缺点：性能消耗大（建立双倍连接）、产生3倍流量、用户可感知告警、只能串接部署。
  • 思考：AC上从两个口抓的包从哪里可以看出来是被AC代理了？
    可以看到，局域网口抓到的包发现ttl是128（原始ttl），经过AC之后发现居然变成了64，所以可以看出来是被重新代理了一下，才变成64的。

1. 准入插件解密方式 (无感知高效解密)：

• • 原理：在用户的Windows PC上安装准入插件（Singress）。该插件通过解析浏览器内核函数，直接提取出HTTPS会话的主密钥（Session Key）。
  • 关键步骤：

1. 1. 1. 插件将提取到的会话主密钥通过前向加密技术，使用专用端口（61111）安全传输给AC设备。
      2. AC使用收到的密钥实时解密经过设备的加密数据包。

• • 优点：无需替换证书，彻底杜绝证书告警，实现用户无感知解密；性能比中间人方式提升近一倍（例如H440型号可达1.4G流量）；部署灵活（支持网关、网桥、旁路）。
  • 限制：仅支持Windows PC，且终端必须安装准入插件；此方式只支持审计，不支持内容过滤。

WEB关键字过滤

需求：

• 法律合规与内容安全：防止员工在互联网上发布、传播法律法规禁止的内容（如邪教、暴力、色情、谣言等），帮助组织履行网络安全管理责任。
• 防止信息泄露：阻断员工通过Web方式（如网页邮箱、在线文档、代码托管平台）外发包含公司机密关键字（如“项目代号”、“客户名单”）的内容。
• 避免法律风险：防止因员工的个人网络行为（如在社交媒体发表不当言论）给公司带来声誉和法律风险。
• 规范上网行为：限制员工在工作时间访问与工作无关的娱乐、购物、视频类网站，提高工作效率。

是什么：

WEB关键字过滤技术是一种主动式的安全策略，而非被动审计。它实时分析用户通过HTTP/HTTPS协议传输的数据内容，如果发现其中包含预设的敏感、违规或非法关键字，则立即执行阻断、记录告警等动作。它常被用于内容安全管理和上网行为规范。

审计原理：

1. 内容匹配：设备对Web请求（如搜索引擎的搜索词）、Web表单提交（如论坛发帖、Web邮件内容）进行实时分析。
2. 策略触发：将分析出的文本内容与预定义的关键字库进行匹配。例如，材料中提到的过滤“法轮功”关键字。
3. 执行动作：

• • 如果匹配到敏感关键字，设备会根据策略采取动作，例如：

• • • 阻断：直接拒绝该请求，用户无法完成搜索或发帖。
    • 记录：仅记录该行为，不阻断。
    • 告警：向管理员发送告警信息。

1. 技术限制与补充：

• • 仅对明文有效：WEB关键字过滤功能默认只对HTTP明文传输有效。
  • 必须结合SSL解密：若要过滤HTTPS加密网站（如网页版邮箱）的内容，必须同时开启SSL内容识别（中间人解密），否则无法看到加密内容，过滤也就无效。
  • 区分邮件类型：WEB关键字过滤针对的是网页版邮箱（Web Mail）。对于Outlook、Foxmail等客户端邮件，则需要使用单独的“邮件过滤”功能。

IM聊天内容审计：

需求：

• 业务沟通监督：确保员工在工作时间使用IM工具进行正当的业务沟通，而非私人闲聊。
• 防止信息泄露：IM是数据泄露的高发途径，审计聊天内容可以及时发现并阻止员工通过IM发送敏感文件或信息。
• 合规与法律取证：在某些特定行业（如金融、政府），需要留存所有电子沟通记录以备审查或在发生纠纷时作为证据。

是什么：

IM（即时通讯）聊天内容审计技术旨在记录和存储企业内部员工通过即时通讯软件（如QQ、微信、钉钉等）进行的文字、图片（部分）、文件传输等沟通内容。由于QQ、微信等主流IM软件的传输协议是私有且内容高度加密的，传统的基于网络数据包的解密方式几乎无法实现。

审计原理：

由于网络层无法解密，SANGFOR采用了一种创新的终端插件配合本地缓存读取的方式：

1. 终端插件安装：必须在每台需要审计的Windows PC上安装准入插件（这也是准入功能的一部分）。
2. 缓存读取：准入插件在客户端本地运行，它可以直接访问IM软件（如QQ）存储在本地计算机上的聊天记录数据库缓存文件（通常是加密的，但插件有权限读取解密后的内容）。
3. 定期上传：插件会每隔10秒左右读取一次客户端的聊天记录缓存，将新增的聊天内容（发送者、接收者、内容、时间）提取出来。
4. 上报日志中心：插件通过安全通道将提取到的聊天内容上报给AC设备，最终写入日志中心供管理员查询。