Ｗｅｂ內容安全過濾需注重多層次管理

保護企業免遭互聯網威脅的最集中的硬件設備解決方案，除了集成最佳的URL過濾、Web應用報告、實時監控以及內部威脅清除等功能之外，還應該包括多層次管理功能。當擁有分公司，子公司分布在各個不同城市，或國家的中大型企業希望在公司大方向的安全策略下，給予不同分公司或子公司某種程度權限修改其適合的安全策略時，就需要采用分層管理功能協助企業完成目標。單一的管理層僅適用于獨立企業集中管理的安全策略。無法因應不同分公司與子公司的Web需求，也會增加總公司IT人員的工作負擔。

多層次管理功能應包含全球管理員、群組管理員、最低過濾級別、群組、子群組、檢測范圍、特別帳戶、同步集中控制管理等方面。其中，全球管理員(GIobal Administrator)是一個擁有所有過濾設備絕對控制權的帳戶。全球管理員能夠根據公司安全策略，在Web內容安全過濾設備上建立不同的群組，并且再為每個群組建立一個小組。全球管理員能夠無限制地控制所有Web內容安全過濾設備的功能。

群組管理員由全球管理員建立。在全球管理員授權修改的安全策略范圍內，群組管理員帳戶可以針對群組的需求修改適合的安全策略。群組管理員所修改的安全策略僅能影響到這個帳戶所管理的群組。每一個群組，可以只設立一個小組管理員帳戶。

最低過濾級別(Minimum Filtering Level(MFL))是由全球管理員制訂的過濾級別。最低過濾級別是全公司無論哪一個群組都必須一致執行的最低標準策略。例如，當公司制訂最低限度的安全策略標準是過濾色情與信息安全威脅相關類別，群組管理員就不能夠從該群組的過濾器設備中取消任何與色情和信息安全威脅類別相關的安全策略，僅能針對其它類別制訂適合的安全策略。當公司要全面實行安全使用策略的同時，又希望給予各群組某種程度的修改權限時，MFL就非常有用。下游的群組管理員可以增加最低過濾級別的類別，但是無法清除由全球管理員制訂的最低過濾級別。

群組的定義是由全球管理員設定的一群使用者。例如：全球管理員可以設定子網絡10.10.10.0/24為一個群組。全球管理員或群組管理員均可以建立一個子群組。子群組用于更進一步描述小組的成員。以上面的例子為例，如果子群組以子網10.10.10.0/24制訂為一個群組，在這個群組下可以再創造子群組，例如10.10.10.0/25和10.10.10.129/25。全球管理員可以確切判斷某一個IP地址是來自哪一個網域。

特別帳戶是一個用戶名/密碼，由全球管理員或群組管理員創建。其目的是要允許某帳戶可以不受安全使用策略的限制，造訪任何網站。全球管理員可以選擇允許特別帳戶繞過最低過濾級別，也可以選擇特別帳戶僅受最低過濾級別限制。特別帳戶可以分配給任何使用者。

當公司配置多臺過濾設備時，可允許過濾設備之間建立主從關系，同步集中控制管理所有過濾設備。當主要的過濾設備有任何改變時，附屬機上也會體現出來。這項功能在多臺過濾設備環境下非常有幫助，管理員可以免除手動一一變更設定的做法。

既然我們了解了分層管理的功能。那么分層管理在實際的工作中有哪些用途呢?不妨以案例來說明。舉例，一個有5所小學、3所中學和2所高中的學區辦公室擁有T3互聯網入口，利用T1連接每所學校。所有互聯網接入必須通過學區辦公室的端口連接互聯網。學區有可接受使用策略，所有學生和學區員工均不得訪問被分類為色情、R級、賭博、非教育性在線游戲、基于互聯網的電子郵件、暴力和歧視、酒、違禁藥品、邪教和駭客相關的所有網站。然而，可接受使用策略中有一個例外：若經校長同意，學區里學校的心理輔導師以及顧問為了提升學生品質以研究為目的，可以訪問被限制的網站。(cstyle)