一、背景描述
随着计算机网络的不断发展，信息产业已经成为人类社会的支柱产业，全球信息化已成为人类社会发展的大趋势，由此带动了计算机网络的迅猛发展和普遍应用。但由于计算机网络具有联结形式多样性、终端分布不均匀性和网络的开放性、互连性等特征，致使网络易受黑客、病毒、蠕虫、恶意软件和其他恶意的攻击，所以网上信息的安全和保密是一个至关重要的问题。无论是有意的攻击，还是无意的误操作，都将会给系统带来不可估量的损失。攻击者可以窃听网络上的信息，窃取用户的口令、数据库的信息；还可以篡改数据库内容，伪造用户身份，否认自己的签名。更有甚者，可以删除数据库内容，摧毁网络节点，释放计算机病毒等等，这些都使信息安全问题越来越复杂。所以网络的安全性也就成为广大网络用户普遍关心的问题。无论是在局域网还是在广域网中都存在着自然和人为等诸多因素的脆弱性和潜在威胁。发展和推广网络应用的同时进一步提高网络的安全性，真正做到“既要使网络开放又要使网络安全”这一问题已成为了网络界积极研究的课题。
教育行业近年来在保障信息安全方面的建设也取得了积极的进展，一般网络和服务器等硬件设备在2～3年之内不易出现故障，这使人们容易心存侥幸。一旦关键设备发生故障，又没有备用设备或备用链路，将造成重大损失。此外，由于计算机系统是一个复杂的系统，电子器件老化、线路与电源故障，或者设备配置失误，都有可能导致系统的中断。如何在系统发生故障的情况下，第一时间发现故障源并且及时恢复系统运行，这是一个至关重要的问题。
病毒也是目前比较严重的问题，尤其是网络病毒和网络攻击型病毒，防范十分困难。目前的各种防病毒系统功能基本能够满足要求，关键是要有好的系统管理员和系统管理制度。比较重要的是服务器防病毒问题，系统管理员应严格管理，将可能的端口全部封死，没有用的功能一律不得安装（不装浏览器）。可以定期从其它机器上连接服务器扫描病毒。归结起来，内网的安全威胁有以下几种：
（1）移动设备和新增设备未经安全检查和处理，就违规接入内部网络，由此给网络带来不安全隐患；
（2）内部网络用户通过调制解调器、双网卡、无线网卡等网络设备，进行在线违规拨号上网、违规离线上网等行为；
（3）网络出现病毒、蠕虫攻击等安全问题后，不能做到实时、快速、精确定位安全事件源，远程阻断隔离等操作；
（4）大规模病毒（安全）事件发生后，网管员无法确定病毒黑客事件源头、找到网络中的薄弱环节，从而做到事后分析、加强安全预警。
因此，内部网络安全必须作为整体安全管理的一个重要组成部分来正确对待，计算机网络应用与网络安全应该同时进行。只有解决了网络内部的安全问题，即排除内部网络因客户端造成的脆弱性，才能避免遭受攻击或其他内部使用人破坏的安全忧患。
二、设计思路
考虑到教育行业网络的规模和终端计算机的多样性，客户端程序必须有良好的兼容性和稳定性、较小的系统开销以减少对系统资源的占用，并且，考虑到教育行业网络的用户环境，客户端程序应具备卸载管理，防止未经授权的卸载使终端计算机脱离管理。
在教育行业内网安全管理系统的方案设计中，我们遵循了以下的原则：
整体安全和全网统一的原则
教育行业内网安全管理系统设计从一个完整的安全体系结构出发，综合考虑信息网络的各种实体和各个环节，综合使用不同层次的不同安全手段，为信息网络和安全业务提供全方位的管理和服务。
标准化、一致性原则
教育行业桌面安全管理系统采购项目安全体系的设计遵循一系列国家标准，整个系统安全地互联互通。
需求、风险、成本折衷原则
任何网络和信息系统都不能做到绝对的安全，设计时在不影响原网络性能和设计要求的情况下，在安全需求、安全风险和安全成本之间进行平衡和折衷。
实用、高效、可扩展原则
安全保障系统所采用的产品，便于操作、实用高效。同时随着技术发展，教育行业信息系统也将发生各种变化，在系统实施过程中，系统的结构、配置也会发生变化，系统的安全工程要有一定的灵活性来适应这种变化，做到层次性、体系性，既有利于系统的安全，又有利于系统的扩展。
技术和管理相结合原则
各种安全技术应该与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合，从社会工程学的角度综合考虑。
三、方案特点
和勤终端与内网安全管理系统由三部分组成，客户端代理模块、控制台模块和服务器模块。客户端代理模块安装在每一台需要被监视的计算机上，用来收集数据信息，并执行来自服务器模块的指令。服务器模块一般安装在一台具有高性能CPU和大容量内存的用作服务器的计算机上，用来存储和管理所有安装有代理模块的计算机的数据。控制台模块一般安装在公司的管理人员的计算机上，用来监控每台安装有代理模块的计算机，管理各类审计系统，制定安全策略。
