在目前的系統(tǒng)應用過程中，確保網(wǎng)絡的安全運行和免受攻擊相當重要，不僅要建立嚴密的計算機管理規(guī)章制度和運行規(guī)程，制定綜合的安全管理策略，形成內(nèi)部各層人員、各職能部門、各應用系統(tǒng)的相互制約關系，更需要從技術手段上進行安全措施的落實，在安全事故發(fā)生之前就進行預防和治理，從而減少和杜絕來自單位內(nèi)部無意或惡意的攻擊和威脅，真正有效、便捷地保障單位網(wǎng)絡的安全可靠性。

因此，建立起一套行之有效的可操控和集中管理的信息安全保障系統(tǒng)勢在必行，從而能夠?qū)Π踩�風險做到可知、可控、可防。對于目前的網(wǎng)絡環(huán)境而言，建議采用以下1+1模式的內(nèi)網(wǎng)安全整體解決方案。

ü    網(wǎng)絡準入控制系統(tǒng)

利用網(wǎng)絡準入控制系統(tǒng)作為內(nèi)網(wǎng)基礎安全保障平臺，確保設備、人員在符合安全規(guī)范（身份合法、安全性合規(guī)）的情況下由管理員審核入網(wǎng)，從而建立起一套強大規(guī)范的安全入網(wǎng)流程；

ü    終端安全管理系統(tǒng)

在員工使用入網(wǎng)計算機進行操作時需要建立終端安全管理平臺，建議采用一套終端安全管理系統(tǒng)對員工的日常行為進行管理，確保設備入網(wǎng)后能夠在管理員規(guī)定的安全及管理準則中進行相應的終端操作。

網(wǎng)絡準入+終端管理的1+1整體解決方案才能充分滿足內(nèi)網(wǎng)安全管理需要，建立起健全的內(nèi)網(wǎng)主動防御安全體系，幫助全網(wǎng)的信息安全水平提升到規(guī)范、可控、穩(wěn)固的優(yōu)良等級。

2、盈高科技ASM網(wǎng)絡準入平臺

2.1 總體安全效果圖

盈高ASM網(wǎng)絡準入控制平臺將實現(xiàn)以下的流程效果。

2.2準入控制平臺建設收益

通過網(wǎng)絡準入平臺的系統(tǒng)建設，對內(nèi)部的網(wǎng)絡架構將實現(xiàn)接入流程的規(guī)范化和網(wǎng)內(nèi)安全的制度化，各部門人員入網(wǎng)均需要進行規(guī)范：

1)   驗證身份

ü   本單位員工選擇已有身份進行登錄，從而設備與使用設備的入網(wǎng)人員進行人機對應的負責制；

ü   來賓訪客選擇來賓身份入網(wǎng)，可以訪問來賓區(qū)域（一些可以供外來人員使用的資源）。

2)   安全監(jiān)測

ü   正式員工的終端設備在入網(wǎng)時必須經(jīng)過公司的網(wǎng)絡規(guī)范檢查，包括監(jiān)測計算機的軟件使用情況（必須安裝軟件、禁止安裝軟件等），監(jiān)測計算機的防病毒軟件安裝和運行情況，并確保病毒庫及時更新；

ü   對不符合要求的終端設備能夠進行智能自動修復，在修復完成后允許入網(wǎng)。

3)   訪問控制

入網(wǎng)的員工將根據(jù)身份的角色（如歸屬部門、崗位等）被劃分予相應的訪問權限，從而接受網(wǎng)內(nèi)的訪問管理，避免越權訪問和涉密資源的非法操作。

2.3盈高ASM準入控制平臺功能列表

 

功能項   子項   功能描述     準入架構    準入技術        支持基于PBR、H3C portal、 cisco EOU、VG、MVG、DHCP、802.1x等方式的準入架構，支持透明網(wǎng)橋模式的準入實現(xiàn)；      支持單線、雙線、三線連接核心交換的部署方式；      支持數(shù)據(jù)包轉發(fā)、下發(fā)ACL、下發(fā)動態(tài)vlan等多種準入控制機制實現(xiàn)設備入網(wǎng)的隔離與放行；    準入引導     支持設備入網(wǎng)時通過web訪問自動進行重定向；      支持非80端口的web訪問重定向，支持管理員后臺配置進行重定向的特殊端口（如8080、 8000等）web訪問；      支持打開QQ或outlook等郵件客戶端時自動阻斷并在程序頁面自動顯示重定向url鏈接。    無客戶端模式      基于Agentless無客戶端模式，終端設備不安裝常駐的客戶端代理；     在采用控件方式的情況下，安全控件通過微軟簽名認證。     支持完全免客戶端、免插件的準入控制。    網(wǎng)絡性能保護     準入部署后不會發(fā)出影響網(wǎng)絡性能的ARP欺騙包，不需要配置影響交換機性能的鏡像端口。    防單點故障     準入技術失效后平臺能夠提供fail-open解決方案，準入設備不存在單點故障的情況發(fā)生，支持雙機熱備。     網(wǎng)絡管理    網(wǎng)絡環(huán)境發(fā)現(xiàn)     支持在準入平臺上自動發(fā)現(xiàn)網(wǎng)絡中的hub（非可網(wǎng)管交換機）和NAT接入，并生成報表記錄；    網(wǎng)絡設備查看     支持在準入平臺上對網(wǎng)絡中的交換機端口使用情況（trunk、下連終端等）進行圖形化查看；     支持對交換機arp表的查看，并進行端口和mac地址的綁定。     網(wǎng)絡ip地址池     支持自動生成入網(wǎng)設備ip地址池，并在地址池中顯示ip所對應設備的詳細使用信息。     身份認證    基本認證方式     支持ip、mac地址認證，支持本地用戶名密碼認證；     提供入網(wǎng)設備自動學習功能，支持自動生成免認證設備白名單列表，支持mac地址與端口進行安全綁定。    聯(lián)動認證     支持手機短信、LDAP服務器、USB-key、AD域服務器、郵件服務器等第三方身份認證系統(tǒng)聯(lián)動認證。    來賓管理     提供來賓角色選擇，能夠設定來賓設備的訪問權限和入網(wǎng)時長，提供來賓上網(wǎng)碼，能夠設定來賓設備與受訪人員進行一對一綁定并提供綁定報表；     能夠設定禁止來賓入網(wǎng)。     接入審核     入網(wǎng)設備自動產(chǎn)生告警，支持以短信及郵件等多種方式提醒管理員；     經(jīng)過管理員審核后才能進入網(wǎng)絡；     安全檢查     安全掃描與安全檢查項     安全檢查掃描時間不超過15秒，并能夠在用戶頁面顯式地標明；     提供關鍵檢查項和非關鍵檢查項2種選擇，支持對安檢周期進行配置；     支持后臺自動安檢，安檢時不彈出頁面，用戶不會察覺到安檢過程；     支持前端顯式安檢；     支持對指定用戶強制立即進行安檢；     安全檢查項不少于24項；     支持提供以下類別的安全檢查：   1、  重點安全檢查項：殺毒軟件檢查，支持主流的14種以上的殺毒軟件檢查，包括微軟MSE、可牛、Avast等，支持殺毒軟件版本、病毒庫和運行情況的檢查；補丁檢查，不需要網(wǎng)絡中提供另外的補丁服務器，設備自身集成補丁服務器功能，與360補丁庫自動同步，支持補丁按照嚴重、重要、中等的分級管理，支持補丁的p2p傳輸功能；端口及服務檢查，支持對入網(wǎng)設備的監(jiān)聽端口和開啟的服務進行檢查，防止某些服務或端口成為攻擊的跳板；    2、  保密性檢查項：違規(guī)外聯(lián)檢查，支持對終端的撥號行為及雙網(wǎng)卡行為進行檢查并對違規(guī)行為進行斷網(wǎng)處理；guest來賓賬號檢查，支持檢查入網(wǎng)設備是否啟用了來賓賬號；系統(tǒng)共享資源檢查，支持對入網(wǎng)設備的共享情況進行檢查；密碼策略檢查，支持檢查入網(wǎng)設備是否有弱口令及是否符合指定的密碼安全策略；    3、  規(guī)范性檢查項：桌面客戶端檢查，能夠檢查多品牌桌面管理系統(tǒng)（包括landesk、國網(wǎng)、北信源、博睿勤、中安源等）客戶端是否安裝并正常運行，支持自動分發(fā)并安裝桌面客戶端；域用戶檢查，支持檢查設備在入網(wǎng)時是否加入了域；ip-mac綁定檢查，支持檢查入網(wǎng)設備是否符合后臺設定的ip-mac綁定列表，防止設備私自更改ip地址入網(wǎng)；軟件黑白名單檢查，支持檢查入網(wǎng)設備是否安裝了必須的軟件以及是否安裝了違規(guī)的軟件。       安全評分與修復     安全評分與修復     支持對入網(wǎng)終端進行安全性評分，所有評分上報服務器進行審計；     支持對不安全設備進行即時隔離、修復期超時隔離、強制隔離等隔離控制方式；     支持對終端安檢漏洞提供后臺自動修復、前端一鍵式交互修復、引導至修復區(qū)修復等多種修復方式；     支持修復后在同一頁面重新進行檢查；     支持智能記錄用戶初始訪問的網(wǎng)頁，并能夠在安檢合格后自動返回初始訪問的網(wǎng)頁。