端点准入防御组件解决方案样本.doc

H3C智能管理中心EAD安全方略组件解决方案产品简介当前，在公司网络中，顾客终端计算机不及时升级系统补丁和病毒库、私设代理服务器、擅自访问外部网络、滥用公司禁用软件行为比比皆是，脆弱顾客终端一旦接入网络，就等于给潜在安全威胁敞开了大门，使安全威胁在更大范畴内迅速扩散，进而导致网络使用行为“失控”。保证顾客终端安全、制止威胁入侵网络，对顾客网络访问行为进行有效控制，是保证公司网络安全运营前提，也是当前公司急需解决问题。同步，当前市场上常用顾客管理及接入控制软件往往缺少与网络资源管理、业务管理融合，导致管理手段单一、管理力度局限性、管理操作复杂。公司迫切需要一种管理方案，使得顾客、网络、业务统一管理、互相协同、提高管理效率、满足各种接入场景所需。H3C端点准入防御（EAD，EndpointAdmissionDefense）解决方案从控制顾客终端安全接入网络角度入手，整合网络接入控制与终端安全产品，通过iNode智能客户端、EAD安全方略服务器、iMC平台、网络设备以及第三方软件配合和联动，对接入网络顾客终端强制实行公司安全方略，严格控制终端顾客网络使用行为；同步，在管理上，又能做到顾客管理与网络设备管理、网络拓扑管理融合，并支持与iMCACLManager组件联动，使得H3C端点准入防御解决方案在有效地加强顾客终端积极防御能力基本上，为公司网络管理人员更提供了有效、易用、强大管理工具和手段。方案概述对于要接入网络顾客，EAD解决方案一方面要对其进行身份认证，通过身份认证顾客进行终端安全认证，依照网络管理员定制安全方略进行涉及病毒库更新状况、系统补丁安装状况、软件黑白名单等内容安全检查，依照检查成果，EAD对顾客网络准入进行授权和控制。通过安全认证后，顾客可以正常使用网络，与此同步，EAD可以对顾客终端运营状况和网络使用状况进行审计和监控。EAD解决方案对顾客网络准入整体认证过程如下图所示：组网模型如下图所示，EAD组网模型图中涉及iNode智能客户端、安全联动设备、iMC安全方略服务器和第三方服务器。iNode智能客户端：是指安装了H3CiNode智能客户端顾客接入终端，负责身份认证发起和安全方略检查。安全联动设备：是指顾客网络中互换机、路由器、VPN网关等设备。EAD提供了灵活多样组网方案，安全联动设备可以依照需要灵活布置在各层例如网络接入层和汇聚层。iMC（EAD）安全方略组件：它规定与安全联动设备路由可达。负责给客户端下发安全方略、接受客户端安全方略检查成果并进行审核，向安全联动设备发送网络访问授权指令。第三方服务器：是指补丁服务器、病毒服务器和安全代理服务器等，被布置在隔离区中。当顾客通过身份认证但安全认证失败时，将被隔离到隔离区，此时顾客能且仅能访问隔离区中服务器，通过第三方服务器进行自身安全修复，直到满足安全方略规定。产品特点严格身份认证除基于顾客名和密码身份认证外，EAD还支持身份与接入终端MAC地址、IP地址、所在VLAN、接入设备IP、接入设备端标语等信息进行绑定，支持智能卡、数字证书认证，增强身份认证安全性。完备安全状态评估依照管理员配备安全方略，顾客可以进行安全认证检查涉及终端病毒库版本检查、终端补丁检查、终端安装应用软件检查、与否有代理、拨号配备等；为了更好满足客户需求，EAD客户端支持和微软SMS、LANDesk、BigFix等业界桌面安全产品配合使用，支持和瑞星、江民、金山、Symantec、MacAfee、TrendMicro、Ahn等国内外主流病毒厂商联动。例如EAD可充分运用微软成熟桌面管理工具，由SMS实现各种Windows环境下顾客桌面管理需求：资产管理、补丁管理、软件分发和安装等。顾客管理与网络设备管理融合接入设备列表中可以直接看到顾客有关信息，操作简朴以便，提高了操作员寻常维护效率。可针对选定接入设备进行顾客操作，例如，针对某个接入设备，将其所挂顾客所有下线解决等。可在在线顾客列表中通过点击接入设备，直接查看当前在线顾客所相应接入设备详细信息，例如相应基本信息、告警、性能状况等。操作更和谐，全面提高操作员操作体验。顾客管理与网络拓扑管理融合在拓扑上可以直观操作接入设备、接入终端有关顾客管理功能。例如查看顾客信息、强制顾客下线、执行安全检查等。使终端顾客管理更加直观清晰。基于角色网络授权在顾客终端通过病毒、补丁等安全信息检查后，EAD可基于终端顾客角色，向安全联动设备下发事先配备接入控制方略，按照顾客角色权限规范顾客网络使用行为。终端顾客所属VLAN、ACL访问方略、与否禁止使用代理、与否禁止使用双网卡等安全办法均可由管理员统一配备实行。扩展开放解决方案EAD解决方案为客户提供了一种扩展、开放构造框架，最大限度保护了顾客已有投资。EAD广泛、进一步和国内外防病毒、操作系统、桌面安全等厂商展开