端点准入防御解决方案.pdf

--端点准入防御解决方案1、概述在互联网技术的发展应用过程中，伴随着网络应用软硬件技术的快速发展,网络信息安全问题日益严重,新的安全威胁不断涌现，网络管理员不得不面对病毒泛滥、软件漏洞、黑客攻击等诸多网络安全问题。当前，计算机病毒的感染率高达89.73%，种类繁多、传播迅速;软件系统中的漏洞也不断被发现，成为病毒、黑客新的攻击点;成为一名黑客也不再是一件困难的事情－－世界上目前有2０多万个黑客网站,各种黑客工具随时都可以找到，攻击方法达几千种之多。网络安全问题的解决，三分靠技术,七分靠管理，严格管理是企业、机构及用户免受网络安全问题威胁的重要措施。事实上，多数企业、机构都缺乏有效的制度和手段管理网络安全。网络用户不及时升级系统补丁、升级病毒库的现象普遍存在;私设代理服务器、私自访问外部网络、使用网络管理员禁止使用的软件等行为在企业网中也比比皆是。管理的欠缺不仅会直接影响用户网络的正常运行,还可能使企业蒙受巨大的商业损失。如何有效管理企业网络安全,确保企业网络安全是每一个网络管理员不得不面对的挑战。但现有技术、产品对于网络安全问题的解决，通常是被动防御，事后补救。为了解决现有网络安全管理中存在的不足,应对网络安全威胁,华为3Ｃom公司推出了端点准入防御(EAD)解决方案，该方案从网络用户终端准入控制入手，整合网络接入控制与终端安全产品，通过安全客户端、安全策略服务器、网络设备以及第三方软件的联动,对接入网络的用户终端强制实施企业安全策略，严格控制终端用户的网络使用行为，加强网络用户终端的主动防御能力，保护网络安全。２、EAD简介2.１、原理EAD解决方案提供企业网络安全管理的平台,通过整合孤立的单点防御系统,加强对用户的集中管理，统一实施企业网络安全策略，提高网络终端的主动抵抗能力。其基本原理图如下:----EAD基本原理EAD系统由四部分组成，具体包括安全策略服务器、安全客户端平台、安全联动设备和第三方服务器。安全策略服务器是EＡＤ方案中的管理与控制中心,是ＥAD解决方案的核心组成部分,实现用户管理、安全策略管理、安全状态评估、安全联动控制以及安全事件审计等功能。目前华为3Com公司的CＡMS产品实现了安全策略服务器的功能,该系统在全面管理网络用户信息的基础上,支持多种网络认证方式，支持针对用户的安全策略设置，以标准协议与网络设备联动,实现对用户接入行为的控制，同时,该系统可详细记录用户上网信息和安全事件信息,审计用户上网行为和安全事件。安全客户端平台是安装在用户终端系统上的软件，该平台可集成各种安全厂商的安全产品插件,对用户终端进行身份认证、安全状态评估以及实施网络安全策略。安全联动设备是企业网络中安全策略的实施点,起到强制用户准入认证、隔离不合格终端、为合法用户提供网络服务的作用。CＡMS综合接入管理平台作为安全策略服务器，提供标准的协议接口，支持同交换机、路由器等各类网络设备的安全联动。第三方服务器为病毒服务器、补丁服务器等第三方网络安全产品，通过安全策略的设置实施，第三方安全产品的功能集成至EAＤ解决方案种,实现安全产品功能的整合。EAD原理图示意了应用ＥAD系统实现终端安全准入的流程:•用户终端试图接入网络时，首先通过安全客户端上传用户信息至安全策略服务器进行用户身份认证,非法用户将被拒绝接入网络。•合法用户将被要求进行安全状态认证，由安全策略服务器验证补丁版本、病毒库版本等信息是否合格，不合格用户将被安全联动设备隔离到隔离区。•进入隔离区的用户可以根据企业网络安全策略,通过第三方服务器进行安装系统补丁、升级病毒库、检查终端系统信息等操作,直到接入终端符合企业网络安全策略。----•安全状态合格的用户将实施由安全策略服务器下发的安全设置,并由安全联动设备提供基于身份的网络服务。2.2、功能特点•完备的安全状态评估用户终端的安全状态是指操作系统补丁、第三方软件版本、病毒库版本、是否感染病毒等反映终端防御能力的状态信息。EAD通过对终端安全状态进行评估，使得只有符合企业安全标准的终端才能正常访问网络•实时的“危险”用户隔离系统补丁、病毒库版本不及时更新或已感染病毒的用户终端，如果不符合管理员设定的企业安全策略，将被限制访问权限,只能访问病毒服务器、补丁服务器等用于系统修复的网络资源。•基于角色的网络服务在用户终端在通过病毒、补丁等安全信息检查后,EAD可基于终端用户的角色,向安全客户端下发系统配置的安全策略,按照用户角色权限规范用户的网络使用行为。终端用户的ACＬ访问策略、QoS策略、是否禁止使用代理、是否禁止使用双网卡等安全措施设置均可由管理员统一管理，并实时应用实施。•可扩展的、开放的安全解决方案EAD是一个可扩展的安全解决方案,对现有网络设备和组网方式改造较小。在现有企业网中,只需对网络设备和第三方软件进行简单升级