內(nèi)網(wǎng)終端安全控制解決方案
1. 方案背景
隨著各行各業(yè)本地信息化工作的開(kāi)展，網(wǎng)絡(luò)結(jié)構(gòu)趨于復(fù)雜，網(wǎng)內(nèi)終端不斷增加，信息系統(tǒng)面臨前所未有的安全挑戰(zhàn)。在信息安全保障建設(shè)中，終端往往成為組織機(jī)構(gòu)安全短板，難以控制，網(wǎng)內(nèi)病毒、蠕蟲(chóng)擴(kuò)散，工作信息泄密以及應(yīng)用攻擊行為頻繁發(fā)生，嚴(yán)重影響組織機(jī)構(gòu)的日常工作開(kāi)展。較多組織機(jī)構(gòu)建立了終端管理制度、終端操作規(guī)范，苦于缺少有效的終端安全管理技術(shù)措施，終端安全問(wèn)題無(wú)法得到緩解。
為解決這一難題，天融信針對(duì)終端常見(jiàn)的安全問(wèn)題，提出本解決方案。
2. 安全需求
非法接入終端帶來(lái)的安全問(wèn)題
在沒(méi)有嚴(yán)格的監(jiān)視措施下，外來(lái)攻擊者將自己的終端直接連接到信息網(wǎng)絡(luò)，并對(duì)信息網(wǎng)絡(luò)進(jìn)行攻擊和破壞，其造成的后果是：非法訪問(wèn)信息網(wǎng)絡(luò)，特別是內(nèi)網(wǎng)服務(wù)區(qū)，造成重要信息的泄露；終端攜帶的病毒將直接對(duì)信息網(wǎng)絡(luò)造成破壞；非法終端還將發(fā)布 ARP欺騙等數(shù)據(jù)包，引起網(wǎng)絡(luò)的癱瘓等。
終端自身安全帶來(lái)的安全隱患
終端自身的安全問(wèn)題也將對(duì)信息網(wǎng)絡(luò)造成威脅，比如終端自身已經(jīng)攜帶了病毒，終端沒(méi)有安裝防病毒軟件，終端的防病毒軟件沒(méi)有及時(shí)更新，終端操作系統(tǒng)補(bǔ)丁也沒(méi)有及時(shí)更新等，這些安全問(wèn)題將對(duì)內(nèi)網(wǎng)其他終端，甚至內(nèi)網(wǎng)服務(wù)器造成很大的麻煩，嚴(yán)重的將導(dǎo)致病毒在網(wǎng)絡(luò)中的傳播，或者終端上攜帶的蠕蟲(chóng)病毒在網(wǎng)絡(luò)中大量散播的時(shí)候，也將導(dǎo)致交換機(jī)的負(fù)荷過(guò)重，而引起癱瘓。
終端緩存的文件造成泄密
內(nèi)網(wǎng)終端在進(jìn)行日常操作的過(guò)程中，往往在本地緩存了很多重要文件，那么當(dāng)終端在訪問(wèn)互聯(lián)網(wǎng)的時(shí)候，這些緩存在本地的文件，在沒(méi)有采取任何訪問(wèn)措施的時(shí)候，也將會(huì)成為互聯(lián)網(wǎng)攻擊者的目標(biāo)，造成信息的泄密。
3. 解決方案
針對(duì)以上問(wèn)題，天融信從可信的角度，綜合采用終端安全管理平臺(tái)，部署在網(wǎng)絡(luò)中，通過(guò)技術(shù)間的整合來(lái)實(shí)現(xiàn)有效的內(nèi)網(wǎng)終端安全控制，實(shí)現(xiàn)以下的部署方案：
圖 1 內(nèi)網(wǎng)終端安全控制解決方案示意圖
針對(duì)內(nèi)網(wǎng)終端安全控制需求，方案充分發(fā)揮了終端安全管理平臺(tái)作用，通過(guò)設(shè)計(jì)如下功能解決用戶安全需求。
（ 1 ）終端非法接入的問(wèn)題
利用終端安全管理平臺(tái)與交換機(jī)802.1X功能實(shí)現(xiàn)認(rèn)證聯(lián)動(dòng)。終端在接入網(wǎng)絡(luò)后，必須進(jìn)行認(rèn)證，認(rèn)證不通過(guò)的終端屬于非法接入終端，是無(wú)法訪問(wèn)網(wǎng)絡(luò)的任何資源的。
（ 2 ）終端健康性帶來(lái)的威脅問(wèn)題
終端在接入網(wǎng)絡(luò)進(jìn)行訪問(wèn)前進(jìn)行的健康性檢查，是確保終端可信的首要條件。如果內(nèi)網(wǎng)終端存在安全隱患，極易成為病毒滋生地，對(duì)信息系統(tǒng)造成破壞，因此，在內(nèi)網(wǎng)終端訪問(wèn)之前，先通過(guò)安裝在內(nèi)網(wǎng)終端上的防護(hù)代理進(jìn)行健康性檢查，并以此為依據(jù)，做為判斷是否可進(jìn)行下一步操作的關(guān)鍵，終端防護(hù)代理將檢查的內(nèi)容包括：
終端操作系統(tǒng)補(bǔ)丁是否為最新版本
終端是否有病毒防護(hù)措施
終端上的防病毒系統(tǒng)是否有效
終端上的病毒庫(kù)是否為最新
終端上有否安裝了非法的軟件
終端是否運(yùn)行了非法的進(jìn)程
終端是否已經(jīng)感染了病毒（通過(guò)非法進(jìn)程監(jiān)控來(lái)判斷）
（ 4 ）對(duì)重要文件的保護(hù)
端代理在終端硬盤上劃分出專用文件夾（文件保險(xiǎn)柜），所有存儲(chǔ)在本文件夾下的文件都將加密，只有提交了正確的帳號(hào)和口令后方可正確訪問(wèn)文件。。
通過(guò)專用文件夾技術(shù)，可以很好的保護(hù)重要文件的機(jī)密性，提升了總體的安全性。
（ 5 ）利用終端防護(hù)系統(tǒng)提高內(nèi)網(wǎng)終端的自身安全
內(nèi)網(wǎng)終端的自身安全是可信外訪的首要前提，只有每個(gè)內(nèi)網(wǎng)終端的桌面系統(tǒng)安全了才能保證外訪過(guò)程的安全性。這里通過(guò)在每個(gè)內(nèi)網(wǎng)終端上部署終端防護(hù)系統(tǒng)代理，同時(shí)接受終端防護(hù)系統(tǒng)服務(wù)器管理監(jiān)控，從而能保證辦公終端的自身安全性。具體重點(diǎn)包括：
能夠自動(dòng)檢測(cè)內(nèi)網(wǎng)終端桌面系統(tǒng)的安全狀態(tài)，檢測(cè)桌面系統(tǒng)的病毒防護(hù)軟件是否工作正常。針對(duì)桌面系統(tǒng)的補(bǔ)丁自動(dòng)檢測(cè)、下發(fā)和安裝，修復(fù)存在的安全漏洞。
對(duì)內(nèi)網(wǎng)終端桌面行為監(jiān)管，對(duì)桌面系統(tǒng)上撥號(hào)行為、打印行為、外存使用行為、文件操作行為的監(jiān)控，確保機(jī)密數(shù)據(jù)的安全，避免了內(nèi)部保密數(shù)據(jù)的泄漏。
對(duì)內(nèi)網(wǎng)終端的IP管理：限制內(nèi)網(wǎng)終端用戶私自修改IP地址、MAC地址；通過(guò)策略可限制未分配的地址，終端用戶不得私自使用；
對(duì)內(nèi)網(wǎng)終端桌面系統(tǒng)監(jiān)管，管理員能夠遠(yuǎn)程查看桌面系統(tǒng)當(dāng)前的詳細(xì)信息，包括：已安裝軟件、已安裝硬件、進(jìn)程等。從而及早察覺(jué)發(fā)生在內(nèi)網(wǎng)終端上的木馬、病毒等安全威脅。
""
