内网终端安全管理

内网终端安全管理（精选5篇）

内网终端安全管理 第1篇

关键词：内网安全,终端,管理

0 引言

在现实中,办公网络经常会存在个别计算机终端疏于更新操作系统安全补丁、防病毒软件未及时升级、防火墙规则设置过于宽松、可以随意下载和安装不明软件、滥用网络资源等现象,这使得计算机终端自身存在大量的安全漏洞和管理真空地带。

事实上,如果能够通过科学完善的技术管理手段,将企业已经制定的内网安全管理制度与流程在每一台计算机终端都有效贯彻和执行,及时修复计算机终端存在的安全漏洞,并实现计算机终端本地行为与网络行为的可控制、可管理和可审计,内网各项安全指标就可以达到企业所期望的安全管理目标和效果。

1 内网终端安全管理的必要性

员工如果通过不受监控的网络通道将企业的商业机密泄漏出去,会给企业带来经济损失。员工所使用的笔记本电脑等移动设备如果管理不当,很有可能携带有病毒或木马,一旦未经审查就接入企业内网,可能会对企业内网安全构成巨大的威胁,甚至使内网瘫痪,所有终端机不能正常使用。没有内网管理平台,员工可能会在工作时间上网聊天、玩网络游戏,使用电驴等工具下载电影、游戏、软件等大型文件,这些行为即影响自身的工作效率,又占用资源影响单位网络的正常应用。

不能对行为进行监控,那么随时都可能引入风险,威胁便有了可乘之机。内网资产(CPU、内存、硬盘等)被随意更换,计算机数量越来越多,无法集中管理软、硬件数量无法精确掌握,盘点困难。内部人员进入共享文档服务器,窃取机密文件,通过存储设备和通讯设备进行外泄,比如:USB存储;通过MAIL、FTP、BBS等途径将单位内部信息泄密到外网。同时硬件及管理上的安全漏洞随时会被作为内网攻击的入口或跳板,不仅计算机终端自身会遭受到攻击和破坏,更为严重的攻击,会造成内网阻塞并瘫痪、内网关键数据失窃,给企业带来巨大的经济损失。

2 内网终端安全管理的操作性

客户端准入在终端访问网络时检查自身是否符合安全策略,如果不符合,则阻断自身应用程序的网络访问;在终端接受访问时,必须确认对端是否是接受管理的终端,否则拒绝对方的访问,接受访问时也检查自身是否符合安全策略。ARP准入是有客户端的终端对未装客户端的终端进行ARP欺骗,阻扰其正常的网络访问,直到该终端正确安装了客户端软件。ARP准入因有较大的网络副作用,比如广播风暴,而且效果不理想,用户对它的使用也越来越少了。此外,客户端准入如果配合网络层准入或应用层准入一起使用,可使准入控制更加灵活和强大。

内网安全问题,实质上并不是因为威胁高深莫测,而是在于内网安全管理有章可循,如果内网安全管理制度能够科学有效执行下去,内网安全问题将得到根本解决。终端作为内网安全管理的主体,是否达到内网安全管理的目标要求,将是内网安全问题真正解决的关键,因此内网安全管理的核心是针对计算机终端的合规管理。合规管理主要包括以下几个方面的内容。

(1)准入控制

一般情况都是通过部署在网络关键路径(如网络出口等)的终端安全管理系统或其他安全设备来实现准入控制。准入控制划分为网络准入、应用接入、终端准入等多层控制。如图1所示网络准入主要采用基于802.1X和CISCO Eo U的方式对有线及无线方式网络接入进行控制;应用准入则是根据用户账户、访问设备所具备的访问权限和相关的访问策略,来判断某个网络应用是被允许或拒绝的控制手段;终端准入是指对接入网络的终端设备进行检查,如果没有安装终端安全管理客户端软件,则不允许接入(拒绝访问任何网络资源)。

系统对于非法进入企业内网的终端进入进行监控与管理。在安全接入管理方面,系统可以通过监听和主动探测等方式检测内部网络中所有在线的主机,并判别在线主机是否是信任主机,然后,对于探测到的非法主机,系统可以主动阻止其访问任何网络资源,从而保证非法主机不对网络产生影响,无法有意或无意的对网络进行攻击或者试图窃密。

(2)终端安全检查

通过安装在终端上的终端安全管理客户端来实现,监控计算机终端的操作系统补丁、防病毒软件、软件进程、登录口令、注册表等方面的运行情况。同时,提供操作系统补丁自动下载和升级。

基于角色的访问控制提供了一种简单灵活的访问控制机制,只给角色分配权限,用户通过成为角色的成员来获得权限。这与过去系统中直接给用户授权的管理模型相比更灵活方便。同时,管理人员可以通过控制台远程取得客户机的控制权,身临其境般进行操作。对于远端客户机出现的问题,管理人员能够即时、方便的解决。在远程维护或者远程操作业务系统中发挥多方面的作用。

(3)进程管理

实时检查终端上运行的进程,如果发现黑名单进程(不允许运行的进程)则自动杀掉,发现没有运行的白名单进程(规定必须运行的进程),则自动启动,从而有效地确保终端主机不会存在违规进行聊天、游戏、炒股、视频等活动,也不会存在未启动防病毒、防火墙接入网络的不安全行为。

(4)外设监控

可以对MODEM、红外、蓝牙、无线、USB、打印机等进行控制,有效杜绝终端重要信息泄密的隐患。在外部存储设备的禁用方面,可以在禁止使用通用移动存储设备的同时,对经过认证的移动存储设备允许使用。同时实现对终端用户的文件操作控制和文件加密等功能,彻底解决在信息访问过程中,每个能导致安全问题的隐患。

(5)终端审计

对终端进行安全策略事件、文件操作、打印、网络访问、一场路由、系统登录等操作进行审计。同时,计算机硬件技术发展迅速,经常需要进行更新和淘汰,或者配合软件的升级进行硬件的升级。财务或资产管理部门对企业的计算机的管理和统计经常处于一种无序及手工统计的状态,当设备更新频繁时,原本的资产记录往往会出现管理滞后和与实际情况不相符的情况,从而造成设备管理的混乱。

3 内网终端安全管理的硬件设备

内网终端安全管理除了需要完善的管理制度,也需要一些硬件管理产品有很多,叫法也多样,比如非法外联监控系统、内网安全管理系统、内网安全风险管理与审计系统和合规管理系统等。产品一般由以下几部件组成:

(1)客户端代理

客户端代理从管理服务器获取策略规则,在计算机终端执行策略规则,检查终端安全状态,执行终端综合防护,并将终端安全状态报告给管理服务器。客户端代理包含多种模块化的组件,以满足用户以一个客户端完成多种安全管理的需求。如图2所示,客户端是使用代理服务器来访问,那取到的是代理服务器的IP地址,而不是真正的客户端IP地址。高匿名代理服务器的PHP获取客户端IP情况,REMOTE_ADDR=代理服务器IPHTTP_X_FORWARDED_FOR=没数值或不显示,无论是REMOTE_ADDR还是HTTP_FORWARDED_FOR,这些头消息未必能够取得到,因为不同的浏览器不同的网络设备可能发送不同的IP头消息。因此PHP使用$_SERVER["REMOTE_ADDR"]、$_SERVER["HTTP_X_FORWARDED_FOR"]获取的值可能是空值也可能是“unknown”值。

(2)管理服务器

管理服务器用于配置管理计算机终端安全策略,下发策略给客户端代理及策略网关,分发补丁、病毒定义码或软件以修补计算机终端安全漏洞,并可通过管理控制中心查询企业网络任何一个计算机的安全状态。通过公钥基础设施促进安全行业各个部门致力于维护和改善与PKI技术相关的方方面面。从根证书颁发机构到X.509认证,都证明了其在保护服务器基础设施及数据方面的成功。

(3)策略网关

策略网关是执行应用准入的强制组件,策略网关从管理控制中心获取策略规则,以准入控制手段强制执行内网安全策略,拒绝不符合安全策略的计算机终端访问企业的关键系统及应用。通过Web访问过滤、网络应用控制、带宽流量管理、外发信息监控、互联网活动审计等功能,实现细化、量化的上网行为管理效果。网络安全同设备和邮件服务器组件一样,对移动安全同等重要。

(4)桌面虚拟化

桌面虚拟化是指将计算机的桌面进行虚拟化,类似Vmware,F5,以达到桌面使用的安全性和灵活性。可以通过任何设备,在任何地点,任何时间访问在网络上的属于我们个人的桌面系统。桌面虚拟化依赖于服务器虚拟化,在数据中心的服务器上进行服务器虚拟化,生成大量的独立的桌面操作系统(虚拟机或者虚拟桌面),同时根据专有的虚拟桌面协议发送给终端设备。用户只需要记住用户名和密码及网关信息,即可随时随地的通过网络访问自己的桌面系统,从而实现单机多用户。而远程桌面连接功能后我们就可以在网络的另一端控制这台计算机了,通过远程桌面功能我们可以实时的操作这台计算机,在上面安装软件,运行程序,所有的一切都好像是直接在该计算机上操作一样。这就是远程桌面的最大功能,通过该功能网络管理员可以在家中安全的控制单位的服务器,而且由于该功能是系统内置的所以比其他第三方远程控制工具使用更方便更灵活。远程桌面是桌面虚拟化的前身,远程桌面技术加上操作系统虚拟化技术之后形成了桌面虚拟化技术。

4 结束语

内网,让安全更具智慧 第2篇

内网,让安全更具智慧

11月7日,本刊在北京长峰假日酒店举办了第三届“内网安全”论坛,取得了圆满成功. 记得,内网的`概念刚刚在业界提出,我们举办了第一届“内网安全”论坛,给大家提供了一个开放的平台,能对这个未知未解的新生领域充分交流、互相探讨,最后提炼出对我们这个行业负责任的先期预见……一路坚持走来,我们看到政府的重视、专家的研析、用户的关注都在一点点深入加强.

作 者：穆瑛 MU Ying 作者单位：刊 名：信息安全与通信保密英文刊名：CHINA INFORMATION SECURITY年，卷(期)：“”(12)分类号：关键词：

技术与管理并重提高内网安全 第3篇

摘要：在所有的网络安全事件中，从调查情况看超过70％是发生在内网上的，随着网络不断发展，这一比例仍将不断增长。内网安全面临着前所未有的挑战。本文从加强安全技术和提高管理水平两方面，探讨加强内网安全的一些措施。

关键词：技术；管理；内网安全

引言

网络没有绝对的安全。只有相对的安全，这与互联网设计本身有一定关系。现在我们能做的只是尽最大的努力，使网络相对安全。在已经发生的网络安全事件中，有超过70％是发生在内网上的，内网资源的误用、滥用和恶用，是内网面临的最大的三大威胁。随着网络技术的不断发展。内网安全将面临着前所未有的挑战。

一、网络安全含义

网络安全的定义为数据处理系统建立和采用的技术和管理的安全保护，保护计算机硬件、软件和数据不因偶然和恶意的原因遭到破坏、更改和泄露。我们可以理解为：通过采用各种技术和管理措施，使网络系统正常运行，从而确保网络数据的可用性、完整性和保密性。

二、内外网络安全的区别

建立网络安全保护措施的目的是确保经过网络传输和交换的数据不会发生增加、修改、丢失和泄露等。而常规安全防御理念往往局限于网关级别、网络边界等方面的防御。随着越来越多安全事件由内网引发，内网安全也成了大家关注的焦点。

外网安全主要防范外部入侵或者外部非法流量访问，技术上也以防火墙、入侵检测等防御角度出发的技术为主。内网在安全管理上比外网要细得多。同时技术上内网安全通常采用的是加固技术，比如设置访问控制、身份管理等。

三、内网安全技术防范措施

内网安全首先应采用技术方法，有效保护内网核心业务的安全。

1关掉无用的网络服务器，建立可靠的无线访问。

2限制VPN的访问，为合作网络建立内网型的边界防护。

3在边界展开黑客防护措施，建立并加强内网防范策略。

4建立安全过客访问，重点保护重要资源。

另外在技术上采用安全交换机、重要数据的备份、使用代理网关、确保操作系统的安全、使用主机防护系统和入侵检测系统等措施也不可缺少。

四、内网安全管理措施

内网安全管理包括安全技术和设备的管理、安全管理制度、部门与人员的组织规则等。而内网90％以上的组成为客户端，所以对客户端的管理当之无愧地成为内网安全的重中之重，目前内网客户端存在的问题主要包括以下几点：

1非法外联问题

通常情况下，内网(Intranet)和外网(Internet)之间有防火墙、防病毒墙等安全设备保障内网的安全性。但若内部人员使用拨号、宽带等方式接入外网，使内网与外网间开出新的连接通道，外部的黑客攻击或者病毒就能够绕过原本连接在内、外网之间的防护屏障，顺利侵入非法外联的计算机，盗窃内网的敏感信息和机密数据，甚至利用该机作为跳板，攻击、传染内网的重要服务器，导致整个内网工作瘫痪。

2使用软件违规问题

内部人员在计算机上安装使用盗版软件，不但引入了潜在的安全漏洞，降低了计算机系统的安全系数，还有可能惹来知识产权的麻烦。有些内部人员出于好奇心或者恶意破坏的目的，在内部计算机上安装使用黑客软件，从内部发起攻击。还有些内部人员安全意识淡薄，不安装指定的防毒软件等。这些行为都对内网安全构成了极大的威胁。

3计算机外部设备管理

如果不加限制地让内部人员在内网计算机上安装、使用可移动的存储设备如光驱、USB接口的闪盘、移动硬盘、数码相机等。将会通过移动存储介质间接地与外网进行数据交换，导致病毒的传入或者敏感信息、机密数据的传播与泄漏。

建立可控、可信内部网络，管理好客户端，我们必须从以下几方面着手：

1完善规章制度

因为管理的制度化程度极大地影响着整个网络信息系统的安全，严格的安全管理制度、明确的部门安全职责划分、合理的人员角色定义都可以在很大程度上降低其它层次的安全漏洞。

2建立适用的资产、信息管理

对接入内网的计算机的用户信息进行登记注册。在发生安全事件时能够以最快速度定位到具体的用户，对于未进行登记注册的将其隔离；收集客户端与安全相关的一些系统信息，包括：操作系统版本、操作系统补丁、软硬件变动等信息，同时针对这些收集的信息进行统计和分析，了解内网安全状况。

3加强客户端进程、外围设备的有效管理

对搜集来的计算机软、硬件信息，形成内网计算机的软件资产报表，从而使管理员了解各计算机软、硬件及变化信息。及时发现安全隐患并予以解决。同时，配置软件运行预案，指定内网计算机必须运行的软件和禁止运行的软件，从而对计算机的软件运行情况进行检查，对未运行必须软件的情况发出报警，终止已运行的禁用软件的进程。

结束语

内网终端安全管理 第4篇

当前, 电力企业构建了内部网络以支持自身的信息化建设, 内部网络与互联网物理隔离, 随着内网建设规模的扩大, 信息安全问题也越来越突出[1,2]。目前大部分的网络安全防范重点来自于外部网络, 人们开发应用了防火墙、入侵检测系统 (Intrusion Detection System, IDS) 、入侵防御系统 (Intrusion Prevention System, IPS) 、虚拟专用网 (Virtual Private Network, VPN) 、杀毒软件等软硬件技术, 虽然这些技术部署耗资巨大, 但这些防范措施不足以应对来自企业内部网络的安全问题。而事实证明, 企业内部的不安全因素是影响电网稳定运行的最大威胁, 也是电力企业内部安全管理人员所面临的棘手问题[3]。

内部网络安全的研究, 应回归于终端这个危害信息安全的源头。电网终端的重点终端类型包括:配电网子站终端;信息内、外网办公计算机终端;移动作业终端;信息采集类终端等。对于接入内网的终端, 应阻止非法终端接入内部网络、限制用户的安全行为、加强终端的接入控制。

1 终端接入的现状分析

目前, 对于电力企业内部网络而言, 虽然基本上与互联网隔开, 但仍会受到病毒、漏洞等网络危害的影响, 而且一旦内网受到破坏, 产生的经济效益、社会影响相当巨大。

1.1 常见的终端安全问题[4,5]

1) 没有通过身份认证的终端接入到内网, 并对外进行非法访问;

2) 符合安全策略的内网终端被非法占用, 对信息内网进行非授权的访问;

3) 符合安全策略的内网终端访问了非法网段;

4) 符合安全策略的内网终端在不符合安全评估结果的状态下, 仍然对互联网进行访问;

5) 内网终端访问非法网站, 受到病毒、木马、蠕虫的威胁, 造成恶意代码的传播;

6) 内网终端进行P2P下载, 对带宽造成无效浪费, 影响其他正常应用;

7) 内网终端窃听到其他合法终端的认证信息, 并在获得信息后伪造成合法终端, 非法访问应用系统;

8) 内网终端任意修改IP地址, 躲避审计。

1.2 安全问题原因分析

1.2.1 缺乏统一管理

缺乏统一高效的管理是当前终端面临的重要问题, 在大规模建设内网、大批量终端接入内网的形势下, 如果缺乏统一高效的管理手段, 对内网终端问题进行安全管理和统一维护, 安全管理人员被动地解决终端安全问题, 在高成本进行管理和维护的同时, 这种处理方式效率也较低。

1.2.2 违规接入

违规接入是指终端在未经过安全检查和过滤的情况下接入内网。这种情况是对内网安全极大的威胁存在, 当带有病毒等恶意代码的移动终端接入, 会造成恶意代码肆意传播、内网机密信息泄漏等严重后果。另外缺乏精确统计、设备的混乱使用也是造成违规接入的重要诱因。

1.2.3 非法外联

非法外联是指内网终端在非授权的情况下与外部网络建立连接, 通过网络接入设备进行违规上网, 避开内部网络的审计, 这给内网安全带来了极大的风险, 会导致网络机密信息泄漏、恶意代码入侵、网络瘫痪等严重后果。

1.2.4 滥用移动存储设备

移动存储设备因体积小、容量大、携带方便等特点, 正成为数据和信息的重要载体。同时, 越来越多涉及网络机密的信息存储在移动介质中, 移动介质通常处于无保护的状态, 这给安全工作带来了不少隐患[6]。如外网计算机使用处理存储内网机密信息的移动介质;需要接入内网的移动介质在不通过安全检测的情况下接入内网;移动介质成为恶意代码传播的途径等问题。

1.2.5 利用系统漏洞

蠕虫病毒和木马病毒的频繁爆发给全球网络运行乃至经济都造成了严重影响[7,8,9], 这些病毒就是利用系统漏洞进行攻击, 这种攻击模式简单、危害极大。消除漏洞的根本办法是安装补丁, 网络攻击的日益频繁、大量终端接入内网, 这些给补丁的安装提出了挑战, 需要制定统一的补丁分发策略, 包括补丁自动修补、补丁分发控制、补丁安装检测等手段, 对抗利用系统漏洞的攻击。

2 安全接入控制方法

终端安全接入控制结合终端安全评估、终端安全监控、终端安全加固等终端安全防护措施与身份认证、接入控制等网络准入控制手段, 具有主动防御的防护特点[10]。其主要思路是:终端在请求接入内部网络之前根据预先制定的安全策略进行检测, 必须先接受终端安全状态评估, 只有符合安全策略的终端才能允许访问网络, 不符合策略的终端将拒绝接入。同时, 不符合安全策略的终端将进入安全修复区, 或根据检测结果决定访问权限。网络接入控制方法如图1所示。

2.1 终端安全

2.1.1 终端安全评估

随着电网建设的发展, 电力物联网的应用形式多种多样, 在发电、输电、变电、配电、用电、电网资产管理等各个环节都有不同的典型应用。每个环节都有多种多样的终端需要接入电力信息网络, 与主站系统进行数据交互, 形成海量终端接入电力信息网络的局面。面对海量异构终端的接入, 为了确保终端在接入后, 终端的使用不影响内网的安全, 除了对终端进行身份认证之外, 还需要对终端进行安全评估和监控。

设计终端安全评估模型, 通过对终端进行安全评估, 获得对终端的安全评价, 能够及时了解终端的安全性。

2.1.2 终端安全监控

随着电网和SG-ERP互动化应用的不断建设, 各类业务系统穿透隔离装置的日志信息的数据量急剧增加, 产生的日志数据具有海量、高维及复杂等特征, 这对传统的日志数据预处理方法提出了新的要求和挑战。为了加强边界的安全, 防护边界上各种网络的入侵, 保护整个电网环境下的边界安全状况, 有必要在海量日志数据的基础上对电网互动化环境下边界安全进行综合审计关键技术的研究。

电网互动化环境下边界安全综合审计提供一种集中式、有组织的, 能够更好地进行监测、综合审计、和显示的框架式系统。电网互动化环境下边界安全综合审计通过利用各种监视与审计工具, 包括自己研发的特定的监控程序, 和已有的丰富且强大的各种开源监控系统安全软件, 如Snort、Rrd、Nmap、Nessus以及Ntop等[11], 将它们的原有功能在开放式架构体系环境下集成, 通过综合关联分析各监控和审计工具提供的信息, 主动预防和警告危险和威胁的存在。通过关联程序将各软件提供的监控信息进行关联分析、综合审计, 能够得到更有说服力和证明力的综合审计结果。

2.1.3 终端安全加固

与USB Key、电子钥匙等一样, 数据防泄漏系统也可标识终端用户身份。如果终端身份认证合法, 安全策略由策略管理服务器下发至终端, 终端根据安全策略决定内网应用的访问权限, 防止越权访问、数据泄露等安全问题发生。

数据防泄漏系统可以对终端进行加固, 防止网络机密信息泄露, 保证数据安全。数据安全通常包括本地存储数据安全、移动存储数据安全、临时数据安全[12]。

2.2 安全接入控制方法设计原则

设计适用于电力内网终端的安全接入控制方法, 应在安全性和可用性之间达到平衡, 对内网信息处理做到优化。同时, 安全接入控制方法的设计应遵循国际、国内的安全管理经验, 设计的安全方法要“与时俱进”, 关键技术要“保障到位”。安全接入控制方法的设计应围绕终端安全状态检测展开, “Request-Do-Decision”周期如图2所示。

该方法的周期包括请求接入 (Request) 、策略实施 (Do) 、策略决定 (Decision) 3个方面。在终端请求接入后, 结合终端安全评估、终端安全监控和终端安全加固等方面, 对终端的安全状态进行检测, 然后依据检测结果和安全策略对终端进行策略决定, 并实施该决策, 只有符合安全策略的终端才允许接入内网, 从而获得内网访问权限。对终端的检测需要周期性地进行, 以确保已接入内网的终端始终处于安全状态。这是一个不断循环并持续改进的过程, 当周期时间到或者终端的安全状态发生改变时, 该过程就会被激发。

2.3 安全接入控制方法设计

2.3.1 逻辑结构

在本方法的设计中, 终端和受保护的内网服务器通过接入设备隔离, 只有终端满足安全策略后, 才能访问内网资源。内网逻辑上分为3个区域:正常工作区、访问隔离区和安全修复区。终端接入内网逻辑结构如图3所示。

1) 应用层:包括注册用户数据库、病毒数据库、补丁数据库、信息处理中心等。

2) 接入层:终端通过接入设备接入内网应用, 可以为符合系统的具体模块而设计。

3) 终端层:自动探测并采集终端安全状态信息, 同时负责接收安全策略并执行对应动作。

2.3.2 运行流程

终端安全接入首先对终端的身份进行合法认证, 不能通过身份认证的终端不能访问内网, 进入访问隔离区, 相应服务器端口关闭。若通过身份认证, 对终端进行安全性评估, 符合安全策略要求的终端允许接入内网, 反之将其放入安全修复区, 进行终端安全加固, 直至满足安全策略要求后重复上述过程。终端接入内网运行流程如图4所示。

2.3.3 接入步骤

本文设计的终端安全接入控制方法, 通过对终端接入的检查、隔离、修复、管理和监控, 加强接入内网的终端安全, 保证内网信息安全的可信可控, 具有主动防御的特点。终端接入步骤如图5所示。

3 结语

为了更好地解决现有的电力企业内部网络安全问题, 必须从源头开始做好终端接入控制。本文设计了一种终端安全接入控制方法, 从终端层、接入层、应用层对终端进行安全接入控制, 以终端安全为根本, 网络准入控制为手段, 具有主动防御的特点, 更好地实现了内网的可控可管性。

摘要：随着电力信息化建设的加快, 对内网安全建设的需求也日益突出, 如何构建可信可控的信息内网已成为当前的研究热点。文章将内网的安全问题回归于源头终端, 提出了一种电力内网终端的安全接入控制方法, 结合终端安全评估、终端安全监控、终端安全加固等终端安全防护措施与接入控制、身份认证等网络准入控制手段, 更好地实现了内网的可信可控性。

关键词：终端安全,接入控制,身份认证

参考文献

[1]K ADRICH M S.终端安全[M].北京:电子工业出版社, 2009.

[2]董文生.如何构建可信并可控的内网[J].信息安全与通信保密, 2004 (12) :25–27.

[3]梁志龙, 张志浩.企业信息安全访问体系的实现[J].计算机工程与应用, 2002, 36 (4) :56–58.

[4]LAWRENCE A G, MARTIN P L, WILLIAM L, et al.2004 CSI/FBI computer crime and security survey[M].Computer Security Institute Publication, 2004.

[5]戴飞军, 凤琦, 姚立宁, 等.新型终端安全接入技术对比分析[J].信息工程大学学报, 2008, 9 (3) :344–347.DAI Fei-jun, FENG Qi, YAO Li-ning, et al.Comparative analysis of new technology for secure endpoint access[J].Journal of Information Engineering University, 2008, 9 (3) :344–347.

[6]郭海琼, 吴世忠.补丁分发与管理系统的设计和实现[J].信息安全与保密通信, 2008 (5) :63–66.GUO Hai-qiong, WU Shi-zhong.Design and implementation of patch distribution and management system[J].Information Security and Communications Privacy, 2008 (5) :63–66.

[7]RFC2865.Remote Authentication Dial In User Service (RADIUS) [S].2000.

[8]任海翔.内网安全解决方案经验谈[J].信息安全与通信保密, 2007 (1) :164–165.

[9]HAM L, LIN H Y.Integration of user authentication and access control[J].Computers and Digital Techniques, 1999, 139 (2) :139–143.

[10]丁振国, 陈陆艳.一种安全的身份认证模型的研究与实现[J].航空计算技术, 2010, 40 (1) :131–134.

[11]彭华熹.一种基于身份的多信任域认证模型[J].计算机学报, 2006, 29 (8) :1272–1281.PENG Hua-xi.An identity-based authentication model for multi-domain[J].Chinese Journal of Computer, 2006, 29 (8) :1272–1281.

医院内网终端准入控制与测试研究 第5篇

随着网络应用的日趋复杂,医院PC终端已不再是传统意义上我们所理解的“终端”,它不仅是内网中网线所连接的PC机,更是网络中大部分事物的起点和源头——是用户登录并访问网络的起点、是应用系统访问和数据产生的起点;更是病毒攻击的源头,从内部发起的恶意攻击的源头和内部保密数据盗用或失窃的源头。因此,也只有通过完善的终端安全管理才能够真正从源头上控制各种事件的源头,遏制由内网发起的攻击和破坏。

在内网安全管理中,准入控制是所有终端管理功能实现的基础所在,采用准入控制技术能够主动监控桌面电脑的安全状态和管理状态,将不安全的电脑进行隔离、修复。准入控制技术与传统的网络安全技术(防火墙与防病毒技术)结合,将被动防御变为主动防御,能够有效促进内网合规建设,减少网络事故[1]。

2 准入控制体系建设

2.1 终端准入控制的目标

终端准入控制的目标可以比作现实生活中的安全检查,检查本身并不是目标,真正的目标是通过检查确保进入的是是安安全全目目标标,,不不安全的是不允许进入的。我们把终端准入控控制制的的目目标标细细分分成成2个子目标。

22..11..11自自动动修修复复、、阻止违规接入

终终端端准准入入控控制的首要目标是检查终端是否符合准入安全全策策略略的的要要求求,,符合则允许接入;不符合则阻止其接入。同时对于确实因为工作需要接入的终端,阻止其接入只是一种手段,最终的目标是通过自动修复使其符合策略要求,能够接入。

2.1.2 定期检查、确保持续遵从

对于已经通过检查接入内部网络的终端,要进行定期检查,确保其持续遵从。一旦检查未通过,则同样执行自动修复,直到符合策略要求为止[2]。

2.2 我院准入控制体系建设状况

南京军区南京总医院作为南京军区的大型医疗保障机构,现有PC终端1600多台,且节点数量还在不断增加。PC终端的规格型号不同,分布广泛,给我院信息管理中心带来很大挑战。我院办公网的内网安全更为重要,为了控制非法外来终端(私自接入内网)和内网PC终端的安全,准入控制体系建设必须加快提升至一个新的高度。

2.2.1 终端管理和准入控制解决方案

为了解决我院办公网的一系列安全和管理问题,提高网络性能和客户端工作效率,对办公网PC终端进行控制、优化管理和整合。我院采用了赛门铁克公司(Symantec)的终端安全管理软件(Symantec Endpoint Protection,SEP)和准入控制系统(Symantec Network Access Control,SNAC)相结合的解决方案,加以正确的策略和科学规范的管理,大大减轻了信息管理中心人员维护的工作量,也使管理更加高效和便捷,同时对办公网络PC终端的接入安全起到有效的保护。

SEP由Symantec AntiVirus与高级威胁防御功能相结合,可以为医院的笔记本、台式机和服务器提供无与伦比的恶意软件防护能力。它甚至可以防御最复杂的攻击,这些攻击能够躲避传统的安全措施,如rootkit、零日攻击和不断变化的间谍软件。SEP还提供了先进的威胁防御能力,能够保护端点免遭目标性攻击以及之前没有发现的未知攻击侵扰,它包括即刻可用的主动防护技术以及管理控制功能。主动防护技术能够自动分析应用程序行为和网络通信,以检测并阻止可疑活动;管理控制功能使管理人员能够拒绝高风险的特定设备和应用程序活动,甚至可以根据用户位置阻止特定操作[3]。

赛门铁克公司提出的单个代理和单个管理控制平台的解决方案尤为先进,它可以在一个代理上提供防病毒、反间谍软件、桌面防火墙、l PS、设备控制和网络访问控制(SNAC),通过单个管理控制台即可进行全面管理。

与SEP无缝集成的SNAC是全面的端到端网络访问控制解决方案,通过与现有网络基础架构相集成,使医院能够安全有效地控制对网络的访问。不管终端以何种方式与网络相连,SNAC都能够发现并评估端点遵从状态、设置适当的网络访问权限、根据需要提供补救功能,并持续监视端点以了解遵从状态是否发生了变化。从而可以营造这样的网络环境:医院可以在此环境中大大减少安全事故,同时提高医院IT安全策略的遵从级别。

SNAC使医院可以按照目标,经济有效地部署和管理网络访问控制,同时对端点和用户进行授权。在当今的计算环境中,医院和网络管理员面临着严峻的挑战,即为不断扩大的用户群提供访问医院资源的权限。其中,包括员工、访客和其他临时工作人员。随着访问医院系统的端点数量和类型激增,医院必须能够在连接到资源以前验证端点的健康状况,而且在端点连接到资源之后,要对端点进行持续验证。SNAC可以确保在允许端点连接到医院的局域网(LAN)、广域网(WAN)、无线局域网(WLAN)或虚拟专用网(VPN)之前遵从lT策略。

2.2.2 准入控制解决方案实际测试应用

针对我院的实际情况和要求,SNAC准入控制解决方案在前期的测试结果令我们满意。基于802.1X协议的认证,与接入层交换机进行联动,对试图通过交换机接入内部网络的PC终端进行认证,当认证成功时才会转发该终端的数据包。关于802.1X认证的技术原理已有相对多的资料,这里不再详述。802.1X认证的方式相对而言控制的效果更彻底。

以下是SNAC测试的大致情况:

(1)测试环境。1台Symantec准入控制系统服务器,1台Symantec隔离区补丁修复服务器,1台SNAC准入控制设备LAN Enforce,1台支持802.1X认证协议的接入层交换机,3台终端PC。

(2)操作系统平台。服务器:Windows 2003 Server sp 2企业版终端PC:Windows xp sp3。

(3)测试环境结构。拓扑图,见图1,在接入层的交换机里划分2个VLAN,左边网络区域为内部办公网络1VLAN,右边为隔离修复200 VLAN。Symantec准入控制系统服务器与SNAC准入设备均接在1 VLAN里。补丁修复服务器接在200 VLAN里。另外准备3台计算机作为测试终端,1台为符合所有安全策略的计算机,1台为符合部分策略计算机以及1台不符合安全策略要求的计算机。符合安全策略的PC终端可以正常访问内部网络,不符合安全策略和符合部分安全策略的计算机需要在隔离区修复完成后方可正常访问内部网络。

通过SNAC测试的效果来看,准入控制是实现完善的终端管理和安全的必要手段,准入控制结合了主机完整性评估检查,网络访问控制等先进技术,只有满足医院最低安全策略的终端,才被允许接入到医院网络,同时能够自动修复存在缺陷的终端,最大限度地保证医院内网的安全。

2.2.3 准入控制解决方案的对比

准入控制的解决方案目前市面上比较多,通过我们的测试了对Symantec的解决方案和其他解决方案(cisco、H3C)做了一些详细的对比(表1)。

通过对准入控制解决方案功能实际测试的对比,Symantec的解决方案更贴合我院的实际需求。该方案可以更好地结合SEP终端安全管理解决方案为我院的办公网安全机制提供保障。

3 结论

通过SEP和SNAC的多层安全防护功能,将应用程序管理、设备控制和准入控制功能的完美结合,南京军区南京总医院实现了对医院办公网PC终端的有效防护及管理。

网络管理人员根据医院的应用系统以及管理制度,结合SEP和SNAC的准入策略,不仅提高了对PC终端的安全防护性能,而且集成应用程序管理和设备控制功能。通过对终端的硬件设备(U盘)和应用程序进行控制,有效提高了对终端的管理,阻止了恶意代码通过USB存储设备传播;禁止了不允许的程序在终端运行,有效控制并降低了网络中非业务数据的流量。准入控制体系的建设可有效地确保接入办公网的PC机器安全策略的遵从级别,提高医院办公网计算机系统的运营效率,使医院的整体竞争力得到提升。

参考文献

[1]孙阳波.“终端安全系列”谈之一:准入控制保障“内网合规”[J].信息安全与通信保密,2008,33(9):29-31.

[2]刘敏.全面系统化的终端准入控制[J].网管员世界,2011,5(3):15-17.

[3]夏勇,陈敏亚,沈志强.医院计算机终端的安全管理和实现[J].中国数字医学,2010,3(5):113-116.

[4]马锡坤.医院网络终端准入控制解决方案[J].中国医疗设备,2011,26(11):30-32.

[5]周超,周城,丁晨路.计算机网络终端准入控制技术[J].计算机系统应用,2011,20(1):89-94.

[6]韩荣珍.深入剖析802.1x协议[J].计算机安全,2008,(11):60-61.