《机密》终端安全管理解决方案

文档密级::公开文档密级一体化内网安全保护未雨绸缪、主动防御Secospace Suite终端安全管理解决方案全球安全产品行销部曾繁磊提纲�挑战：企业内网安全管理挑战�解决方案：解决方案：Secospace Secospace Secospace Suite Suite Suite终端安全管理解决方案终端安全管理解决方案�成功故事内网安全危机Corporate NetworkLAN Access未及时安装补丁，招致恶意攻击未及时安装补丁，招致恶意攻击非授权访问重要服务器，窃取机密数据非授权访问重要服务器，窃取机密数据Web SeverEmail Sever File SeverAPVisitor Access 网络接入点增多，网络漏洞成倍增加网络接入点增多，网络漏洞成倍增加Telecommuters AccessExtranet Partners AccessBranch Office AccessInternet一台终端感染病毒，传播至整个网络一台终端感染病毒，传播至整个网络W如何解决内网安全问题图1 Computer Economics列出了14种不容忽视的企业内部安全威胁。

Mail SeverFile SeverWeb Sever 形同虚设？• 怎样才能感知日益增多的网络接入点并进行控制？• 如何确保企业安全策略遵从，保证内部用户合理使用网络？• 如何自动评估系统漏洞并提供修复？提纲�挑战：企业内网安全管理挑战�解决方案：解决方案：Secospace Secospace Secospace Suite Suite Suite终端安全管理解决方案终端安全管理解决方案�成功故事全方位终端安全管理，解决CIO关注的问题未雨绸缪，全方位保护内网安全01010101011010010101010010101010010101010010101010010101010补丁管理接入控制安全策略管理员工行为管理资产管理软件分发Secospace TSM规模服务于国内电信、金融、石油、政府等诸多行业，总计服务终端数规模服务于国内电信、金融、石油、政府等诸多行业，总计服务终端数303030万以上万以上解决企业解决企业CIO CIO CIO最关注的安全问题最关注的安全问题网络接入控制、内部员工行为管理、文档安全管理用户管理日志审计文档权限管理Secospace DSMDMZTrustedUntrustedSecospace 终端安全管理方案•SA: 安全代理•SM: 安全管理器•SC: 安全控制器•SACG:安全接入控制网关VPN 访问企业内网SCSM第三方域管理服务器Local认证后域 2认证后域 1Local Branch核心网络SACGVPN Gateway认证前域认证后域 3企业外网Partner SASASA基于One Agent的一体化内网终端安全解决方案可使用电信级安全接入控制网关、802.1x或主机防火墙方案，部署于L3或L2，满足复杂网络需求丰富的安全策略，主动降低终端安全威胁 ，保障员工合理利用网络资源 自动化部署，有效降低您的实施成本与复杂性第三方防病毒服务器第三方补丁服务器Arial Black Arial BlackSecospace终端安全管理流程策略策略身份认证身份认证监控监控响应响应安全检查安全检查授权访问授权访问审计审计恢复恢复核心信息资源阻止非授权用户隔离修复不安全用户敏感信息资源一般信息资源授权用户访问范围监控行为审计取证修复修复访客现场员工远程员工外部非法用户Arial Black Arial Black完善的接入控制方式，满足各种场景需求Corporate NetworkLAN AccessTelecommuters AccessExtranet Partners AccessBranch Office AccessSCSMPatchServerCore Network业务服务器2业务服务器1认证后域认证前域隔离域SACG1SACG2完善的接入控制方式主机防火墙安全接入控制网关802.1X802.1X接入控制接入控制普通代理ActiveX控件Internet802.1X主机防火墙主机防火墙安全接入控制网关可独立或组合实施Arial Black Arial Black安全接入控制网关方式TSM Server• 电信级安全标准，高可靠性• 不改变现网拓扑结构，部署维护简单• 基于用户角色的访问权限控制• 支持逃生通道，自动恢复故障方案特点适应场景：认证前域终端敏感资源动态ACL 规则下发公共资源•内部员工、临时雇员、无代理访客、合作伙伴和远程用户VPN接入等•适应任何网络规模、支持集中或分布式网络环境•要求快速部署、轻松维护认证后域 AV, Patch ServerArial Black Arial Black员工第三方域管理服务器公共资源公共资源普通业务系统SM, SCSWITCHSACG用户域终端网络域强制设备服务域策略判断&修复计算域认证前域管理者访客敏感业务系统•下载安全策略•通知切换认证域安全状况信息修复建议认证信息业务信息流授权信息•认证信息•安全状况上报请求修复信息•终端在通过身份认证和安全检查之前，只能访问认证前域；结合终端安全状态，确保终端终端在通过身份认证和安全检查之前，只能访问认证前域；结合终端安全状态，确保终端符合企符合企业安全策略后，业安全策略后， SACG SACG根据身份属性将用户切换到所属认证后域，达到最小授权访问控制的目根据身份属性将用户切换到所属认证后域，达到最小授权访问控制的目的安全接入控制网关原理Arial Black Arial Black802.1X 接入控制方式• 认证与业务分离，安全性高，认证通过前无法访问网络• 二层协议，对设备的整体性能要求不高，可有效降低建网成本• 提供隔离域，防止威胁其他终端方案特点适应场景：• 网络规模较小、接入层设备物理位置集中• 网管能力高• 内部员工、临时雇员、合作伙伴等接入• 基于用户角色的访问权限控制终端敏感资源VLAN动态VLAN 切换认证后域认证前域TSM Server隔离域• 不足：配置维护相对较复杂、故障恢复须手动关闭802.1XAV, Patch Server•接入层设备均需支持802.1X和GuestVlanArial Black Arial Black主机防火墙接入控制方式• 网络层次不太清晰，服务器分散的中小型网络• 要求部署和维护工作量投入有限• 内部员工、临时雇员、合作伙伴•纯软件控制方式，效率高，配置灵活，部署和维护简单• 有效控制局域网内终端互访行为•支持逃生通道，自动恢复故障方案特点• 提供隔离域，防止威胁其他终端适应场景：网络资源访问策略指派认证后域认证前域隔离域AV, Patch ServerTSM Server互信域二-市场部互信域一-财务部未安装代理的外部终端Arial Black Arial Black场景一、内部员工或分支机构接入控制TSM Server认证前域市场部：已安装代理敏感资源公共资源认证后域财务部：新员工，未安装代理方式一：硬件安全接入控制网关方式一：硬件安全接入控制网关� 防病毒软件运行？� 病毒库更新？病毒库更新？� OS/Office/IE/OS/Office/IE/数据数据库补丁？� 安装违规软件？� ……� 用户名用户名+PW+PW � Active Directory /Novell ED etc.� CA � MAC用户身份验证安全策略检查安全策略检查� TSM TSM服务器通知服务器通知服务器通知SACG SACG SACG切切换UCL UCL规则，切换认证后规则，切换认证后域SACG SACG切换认证后域切换认证后域自动安全修复� 防病毒软件升级� 病毒库更新� 自动下载补丁� SACG Web SACG Web推送推送� 下载代理进行安装下载代理进行安装URL URL重定向重定向重定向 AV 服务器等Arial Black Arial Black场景一、内部员工或分支机构接入控制TSM Server认证前域互信域一-财务部网络资源认证后域方式二：主机防火墙接入控制方式二：主机防火墙接入控制外部非可信终端不能访问可信终端不同互信域间不能互访安全检查不通过，仅提供受限的网络资源，隔离威胁� 防病毒软件运行？� 病毒库更新？病毒库更新？� OS/Office/IE/OS/Office/IE/数据数据库补丁？� 安装违规软件？� ……� 用户名用户名+PW+PW � Active Directory /Novell ED etc.� CA � MAC用户身份验证安全策略检查安全策略检查� TSM TSM服务器指派访问策服务器指派访问策略，控制终端可访问的互信域和认证后域指派网络访问策略自动安全修复自动安全修复互信域二-市场部隔离域AV, PatchServerArial Black Arial Black 场景一、内部员工或分支机构接入控制敏感资源认证后域方式三：802.1X接入控制方式三：802.1X接入控制不安全终端端口关闭，不能访问邻居终端终端2终端1�防病毒软件运行？�病毒库更新？病毒库更新？�OS/Office/IE/OS/Office/IE/数据数据库补丁？�安装违规软件？�……�用户名用户名+PW+PW� Active Directory/Novell ED etc.� CA�MAC用户用户802.1x802.1x身份认证身份认证安全策略检查安全策略检查�交换机动态切换VLANVLAN，控制终端可访，控制终端可访问认证后域动态切换动态切换VLANVLAN开放端口自动安全修复自动安全修复TSM Server认证前域隔离域AV, PatchServerArial Black Arial Black场景二、临时访客接入控制TSM Server认证前域敏感资源Internet 或一般OA 系统ActiveX/Web+安全接入控制网关ActiveX/Web+安全接入控制网关认证后域PCUR L 重定向进行We b 认证URL 重定向下载ActiveX 控件AP无线接入� 防病毒软件运行？� 病毒库更新？病毒库更新？� OS/Office/IE/OS/Office/IE/数据数据库补丁？� 安装违规软件？� ……� 用户名用户名+PW+PW � Active Directory /Novell ED etc.� CA � MAC用户身份验证安全策略检查安全策略检查SACG SACG切换认证后域切换认证后域自动安全修复自动安全修复� 下载下载ActiveX ActiveX ActiveX控件控件� Web Web认证页面认证页面URL URL重定向重定向重定向� TSM TSM服务器通知服务器通知SACG SACG动态切换动态切换动态切换UCL UCL ，指定可访问后域 AV 服务器等Arial Black Arial Black场景三、远程办公、合作伙伴VPN接入控制TSM Server认证前域敏感资源一般OA 系统ActiveX/Web+安全接入控制网关ActiveX/Web+安全接入控制网关认证后域远程办公U R L重定向下载代理U R L重定向下载Ac t i v e X控件Internet合作伙伴� 防病毒软件运行？� 病毒库更新？病毒库更新？� OS/Office/IE/OS/Office/IE/数据数据库补丁？� 安装违规软件？� ……� 用户名用户名+PW+PW � Active Directory /Novell ED etc.� CA � MACSACG SACG切换认证后域切换认证后域自动安全修复自动安全修复� 下载下载ActiveX ActiveX ActiveX控件控件� 下载代理下载代理� TSM TSM服务器通知服务器通知服务器通知SACG SACG 动态切换动态切换UCL UCL UCL，指定可，指定可访问后域URL URL重定向重定向重定向用户身份验证安全策略检查安全策略检查 AV 服务器等Arial Black Arial Black安全策略管理财务部安全策略模板检查软件黑白名单检查注册表子键检查防病毒软件补丁检查 ……Web访问监控IM，P2P监控移动存储设备监控总裁办安全策略模板检查防病毒软件补丁检查安全策略检查不通过禁止接入网络认证后域认证后域•业界最丰富的安全策略，强制企业强制企业IT IT IT策略遵从策略遵从主动评估终端安全状态，强制终端策略遵从，自动发现终端漏洞，消除已知、未知威胁•量体裁衣，基于角色的动态策略控制基于用户角色或部门自定义不同安全规则，针对不同点控制点采取不同策略安全策略检查通过授权接入网络财务部总裁办修复后接入网络的违规行为上报服务器严格宽松SMArial Black Arial Black全自动修复安全检查检查软件黑白名单检查注册表子键检查防病毒软件补丁检查 ……禁止接入网络认证后域全自动修复安装了指定的AS安装了正确版本的AV病毒库已更新安装了最新的OS补丁安全接入网络� 一键式自动修复，满足各种一键式自动修复，满足各种一键式自动修复，满足各种合规要求合规要求– 防病毒软件自动下载– 防病毒软件强联动，自动更新病毒库– 补丁自动修复–提供链接安装指定软件–注册表键值自动修复–屏保设置自动修复–共享目录自动删除–……自动修复Arial Black Arial Black员工行为管理控制各种非法外联行为控制各类控制各类 IMIM、炒股、、炒股、、炒股、P2PP2PP2P软件和网游软件和网游�阻止阻止ARPARPARP欺骗报文欺骗报文� 阻止阻止阻止ARPARPARP泛洪报文泛洪报文�提供提供ARPARPARP地址静态绑定地址静态绑定网络行为管理控制网络流量控制网络流量ARPARP防护防护控制控制WebWebWeb访问、访问、访问、IP IP IP访问访问�基于协议的监控�基于端口的监控ModemADSL终端VPN网关非法Proxy服务器ISDN终端多网卡�过滤各种恶意、可疑网站过滤各种恶意、可疑网站URLURL�配置主机防火墙配置主机防火墙IP IP IP规则，控制终端上、下行访问规则，控制终端上、下行访问SMTP,HTTP,TELNET,FTP,NETBIOS控制实时阻断基于时间阻断限速事后审计Arial Black Arial Black员工行为管理Printer�增加、删除、编辑、复制、重命名操作监控� 选择指定文件或动作监控USB移动硬盘数据防泄密移动存储设备管理外设接口管理USB� 注册管理� 读写控制� 加密� 文件操作日志智能手机数码相机各类Flash Disk 软驱/光驱串口/并口红外、1394等……文件操作进程进程//服务黑白名单� 强制运行信息安全控制软件强制运行信息安全控制软件，并提供修复建议和链接� 阻止不合规软件安装�强制关闭危险服务（如强制关闭危险服务（如DHCP DHCP DHCP等），或启用必要服务等），或启用必要服务USB口USB MP3/4N e wArial Black Arial Black补丁管理自动化补丁检查•支持PULL和PUSH方式•基于用户群组分组分发•支持分布式补丁分发•断点续传，确保安装任务完成•可选择闲时分发补丁智能化补丁下发补丁安装统计124补丁安装　3自动修复系统漏洞，帮助内网的用户主机及时更新操作系统、更新操作系统、OfficeOfficeOffice、数据库、、数据库、、数据库、IE IE IE补丁补丁补丁,,避免因为系统漏洞带来的安全隐患和威胁。