-
近些年，隨著(zhù)云計算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)、智慧城市等網(wǎng)絡(luò )新概念和新技術(shù)的出現，未來(lái)網(wǎng)絡(luò )正向著(zhù)移動(dòng)化、全民化、大數據化的方向發(fā)展，勢必將帶來(lái)更多新的安全風(fēng)險。對于政府及企事業(yè)單位來(lái)說(shuō)，當前除了要防備傳統的病毒、木馬、后門(mén)、DDoS攻擊，以及各種基于應用層的攻擊行為之外，還要盡力解決在網(wǎng)絡(luò )信息化建設中不斷出現的非法接入、主機安全、資源濫用等問(wèn)題。傳統防火墻設備、防病毒軟件、補丁分發(fā)系統、漏洞掃描器等安全產(chǎn)品提供的單方面安全防護模式已經(jīng)無(wú)法有效阻擋這些安全威脅。當前，政府部門(mén)如公安、法院、檢察院以及保密部門(mén)，特別是涉及國家安全的特殊行業(yè)部門(mén)都建立了較為完整的信息安全管理規范、制度和應急措施，明確要求涉及國家重要數據的行業(yè)部門(mén)需實(shí)施信息資源的實(shí)名制訪(fǎng)問(wèn)，以確保對使用行為承擔責任；除此之外，還需對使用者入網(wǎng)使用設備進(jìn)行可信認證，以有效降低各類(lèi)設備引起的風(fēng)險。
-
遠望網(wǎng)絡(luò )接入控制系統采用多重網(wǎng)絡(luò )準入控制技術(shù)，對未注冊終端訪(fǎng)問(wèn)網(wǎng)絡(luò )進(jìn)行準入控制。當未注冊終端在接入網(wǎng)絡(luò )、訪(fǎng)問(wèn)網(wǎng)絡(luò )資源之前，系統可自動(dòng)發(fā)現接入網(wǎng)絡(luò )的未注冊終端，并能識別終端類(lèi)型，如屬于應注冊終端則對該終端進(jìn)行強制認證、跳轉注冊，注冊完成后系統對其進(jìn)行入網(wǎng)體檢，符合入網(wǎng)條件終端需進(jìn)行審批后才可正常訪(fǎng)問(wèn)網(wǎng)絡(luò )資源。
-
工作臺終端準入控制安全管理信息匯總和管理效果的綜合展示頁(yè)面，目的是為用戶(hù)（包括安全管理領(lǐng)導、安全管理員、普通使用人員）提供管轄區域內的終端接入安全狀況的整體概況。具體展示內容包括：管轄區域內接入設備類(lèi)型以及狀態(tài)的匯總統計，系統各模塊配置狀態(tài)信息匯總和當日接入設備安檢動(dòng)態(tài)信息實(shí)時(shí)展現。
注冊管理對首次接入的終端設備要求安裝終端代理程序，注冊上報終端設備的基本屬性信息包括：IP、MAC、責任人姓名、聯(lián)系電話(huà)、所屬部門(mén)、設備所在地、設備類(lèi)型、設備用途、保護到期時(shí)間。同時(shí)提交注冊申請，由安全管理員審核通過(guò)后允許其接入網(wǎng)絡(luò )，并且對一些特殊設備（包括無(wú)法安裝注冊客戶(hù)端程序、指定需要保護的設備）提出保護申請，審核通過(guò)后允許其訪(fǎng)問(wèn)內部網(wǎng)絡(luò )資源。
接入隔離對未注冊設備通過(guò)802.1X接入控制、ARP接入控制、網(wǎng)關(guān)訪(fǎng)問(wèn)控制、應用服務(wù)訪(fǎng)問(wèn)控制、可信通道隔離控制手段，實(shí)現網(wǎng)絡(luò )阻斷并跳轉到隔離區強制注冊；對首次接入的已注冊設備強制進(jìn)行入網(wǎng)安全體檢，不符合安全要求的設備跳轉至修復區，修復完成后才能入網(wǎng)。同時(shí)記錄其跳轉和訪(fǎng)問(wèn)日志信息，提供該信息查詢(xún)功能。
安檢管理配置入網(wǎng)安全體檢具體內容和規則，當前配置項包括：殺毒軟件配置、補丁檢查配置、不可信進(jìn)程配置、不可信軟件配置、賬戶(hù)弱口令配置、來(lái)賓用戶(hù)、必須開(kāi)啟的服務(wù)、必須安裝的軟件檢查項內容配置，并且提供對設備安全體檢的日志記錄查詢(xún)功能。
統計分析實(shí)現對安全體檢整體狀況、安全體檢成效情況進(jìn)行匯總、統計、分析，并形成統計圖表和報告。
運維監控對系統終端軟件防火墻運行狀態(tài)、準入網(wǎng)關(guān)運行狀態(tài)和運行核心參數的實(shí)施監控，保障系統的核心部件運行正常。
準入控制網(wǎng)關(guān)配置系統通過(guò)準入網(wǎng)關(guān)設備配置界面支持實(shí)現遠程維護和配置管理，通過(guò)TTY接口實(shí)現本地維護和配置管理。
-
契合政府內網(wǎng)信息安全管理要求政府內網(wǎng)網(wǎng)絡(luò )接入控制更強調接入設備可能引起的內網(wǎng)信息泄漏風(fēng)險，也就是說(shuō)準入技術(shù)方案必須要保證允許接入內網(wǎng)的設備在發(fā)生離網(wǎng)以及連接其他網(wǎng)絡(luò )的情形下能受到有效管控。本系統采用對接入設備安裝終端代理程序的方式，實(shí)現對接入設備的身份認證和安全狀態(tài)檢查。從終端設備的安全管理入手，堵住信息安全漏洞的短板，正契合當前政府部門(mén)內部網(wǎng)絡(luò )的信息安全問(wèn)題特點(diǎn)和管理需求。支持對網(wǎng)中網(wǎng)設備的精確準入控制系統采用通信數據包特征分析技術(shù)，對接入的NAT設備進(jìn)行自動(dòng)識別和定位，同時(shí)結合訪(fǎng)問(wèn)控制技術(shù)實(shí)現對通過(guò)NAT設備接入的網(wǎng)中網(wǎng)內終端的有效識別區分與精確準入控制。可不依賴(lài)網(wǎng)絡(luò )設備高級功能系統結合了多種終端準入控制技術(shù)，在接入交換機不支持802.1等高級功能的環(huán)境下，系統可結合網(wǎng)關(guān)端的準入控制功能與網(wǎng)關(guān)內設備之間可信雙向認證技術(shù)，確保接入設備訪(fǎng)問(wèn)網(wǎng)關(guān)外及網(wǎng)關(guān)內資源時(shí)都能得到有效的準入控制，彌補了單一控制技術(shù)在特定條件下對終端設備安全接入管理存在的技術(shù)漏洞，保護內部資源的安全性。多層次的自身安全性措施，保證系統運行的安全可靠系統設計充分考慮了自身的安全性，從系統、數據庫、網(wǎng)絡(luò )通訊、策略分發(fā)與存儲等多個(gè)層面加強了安全保護，確保系統運行安全可靠。良好的網(wǎng)絡(luò )適應性可以適應于各種復雜的網(wǎng)絡(luò )環(huán)境，不需要改造當前用戶(hù)的網(wǎng)絡(luò )結構，可靈活的部署到網(wǎng)絡(luò )中，同時(shí)能很好的兼容不同廠(chǎng)家的網(wǎng)絡(luò )或安全設備，具有良好的網(wǎng)絡(luò )適應性。
