【文章內(nèi)容簡(jiǎn)介】 特定的VLAN當(dāng)中進(jìn)行修復(fù)。網(wǎng)絡(luò)準(zhǔn)入控制從物理上保證只有經(jīng)過(guò)身份認(rèn)證和安全認(rèn)證的電腦才能接入企業(yè)網(wǎng)絡(luò)上，并且使用者也經(jīng)過(guò)了身份認(rèn)證，將不安全的電腦和用戶拒之門外，徹底消除蠕蟲病毒、木馬的侵害及別有用心的偷窺和網(wǎng)絡(luò)濫用。圖3 天珣支持主流網(wǎng)絡(luò)廠商的交換機(jī)設(shè)備，支持的廠家包括CISCO、H3C、華為、3COM、銳捷、DLink等業(yè)界主流網(wǎng)絡(luò)廠商，最大限度保護(hù)用戶在網(wǎng)絡(luò)設(shè)備的已有投資。，包括用戶名/密碼、IP地址、MAC地址、計(jì)算機(jī)安全狀態(tài)、接入有效期等一種或多種條件的組合。，創(chuàng)造性支持漫游IP網(wǎng)段準(zhǔn)入控制擴(kuò)展認(rèn)證功能，加入客戶端歸屬網(wǎng)段概念。客戶端漫游接入非歸屬網(wǎng)段，系統(tǒng)將強(qiáng)制其通過(guò)DHCP獲取漫游網(wǎng)段的IP地址。 基于EOU的網(wǎng)絡(luò)準(zhǔn)入控制天珣支持思科NAC的EAP Over UDP網(wǎng)絡(luò)準(zhǔn)入，如果匯聚層采用的是CISCO支持EOU協(xié)議的網(wǎng)絡(luò)設(shè)備，依然可以驗(yàn)證終端的安全狀態(tài)，隔離不安全的終端，用戶電腦無(wú)客戶端程序則重定向用戶的URL訪問(wèn)到指定的網(wǎng)頁(yè)進(jìn)行安裝，并修復(fù)其安全漏洞。天珣擴(kuò)展了EoU協(xié)議，支持在EoU協(xié)議上的用戶認(rèn)證，只有經(jīng)過(guò)用戶認(rèn)證才能繼續(xù)進(jìn)行安全驗(yàn)證。圖4 基于EOU的網(wǎng)絡(luò)準(zhǔn)入控制示例圖 應(yīng)用準(zhǔn)入控制天珣采用多種策略網(wǎng)關(guān)，為企業(yè)的關(guān)鍵系統(tǒng)和應(yīng)用提供準(zhǔn)入控制手段。只有受天珣管理并且符合安全策略的電腦才允許訪問(wèn)企業(yè)的這些系統(tǒng)及應(yīng)用。系統(tǒng)及應(yīng)用準(zhǔn)入控制為企業(yè)關(guān)鍵的業(yè)務(wù)系統(tǒng)提供最后的安全保證，杜絕非授權(quán)訪問(wèn)或黑客攻擊。圖5 應(yīng)用準(zhǔn)入控制示例圖天珣已經(jīng)支持的應(yīng)用準(zhǔn)入類型非常豐富，用戶總能其中找到一種或幾種適合自己網(wǎng)絡(luò)和合規(guī)管理要求的應(yīng)用平臺(tái)，在該平臺(tái)上面同時(shí)啟用應(yīng)用準(zhǔn)入。天珣已經(jīng)支持的應(yīng)用準(zhǔn)入類型有：按應(yīng)用系統(tǒng)分類：Web、Mail、DNS、ISA Proxy。按操作系統(tǒng)分類：Windows、Linux。下表是天珣已經(jīng)具備針對(duì)不同的應(yīng)用的策略網(wǎng)關(guān)類型，總可以從下面的表中，找到一種或幾種適合的應(yīng)用準(zhǔn)入控制方案：表3針對(duì)不同應(yīng)用天珣具備豐富的策略網(wǎng)關(guān)類型 策略網(wǎng)關(guān)類型支持的應(yīng)用類型不同平臺(tái)下可選擇的策略網(wǎng)關(guān)WindowsLinuxWeb應(yīng)用IIS策略網(wǎng)關(guān)中性策略網(wǎng)關(guān)for LinuxProxy應(yīng)用ISA策略網(wǎng)關(guān)中性策略網(wǎng)關(guān)for LinuxDNS應(yīng)用中性策略網(wǎng)關(guān)for Windows中性策略網(wǎng)關(guān)for Linux其他應(yīng)用類型中性策略網(wǎng)關(guān)for Windows中性策略網(wǎng)關(guān)for Linux除此之外，天珣能夠啟明星辰天清漢馬USG實(shí)現(xiàn)準(zhǔn)入控制互動(dòng)，由USG擔(dān)當(dāng)準(zhǔn)入控制網(wǎng)關(guān)，當(dāng)終端需要通過(guò)USG進(jìn)行訪問(wèn)時(shí)，由USG和天珣聯(lián)動(dòng)，只容許認(rèn)證通過(guò)并且安全狀態(tài)符合要求的終端通過(guò)USG進(jìn)行訪問(wèn)。天珣應(yīng)用準(zhǔn)入控制可以單獨(dú)只啟用一種平臺(tái)應(yīng)用準(zhǔn)入，也可以同時(shí)啟用多個(gè)平臺(tái)應(yīng)用準(zhǔn)入，也可以網(wǎng)絡(luò)準(zhǔn)入控制同時(shí)啟用，組成“網(wǎng)絡(luò)準(zhǔn)入+應(yīng)用準(zhǔn)入”復(fù)合準(zhǔn)入控制體系，全面覆蓋用戶內(nèi)網(wǎng)每一個(gè)區(qū)域和角落。 客戶端準(zhǔn)入控制安裝有天珣系統(tǒng)客戶端的桌面電腦在接受訪問(wèn)時(shí)，可以根據(jù)管理員的配置檢查對(duì)方的電腦是否運(yùn)行了天珣系統(tǒng)客戶端，并檢查自身的安全狀態(tài)是否符合規(guī)范。如果對(duì)方電腦未安裝客戶端，或本機(jī)不符合安全策略要求，則拒絕其訪問(wèn)。圖6 客戶端準(zhǔn)入控制示例圖當(dāng)天珣客戶端電腦訪問(wèn)網(wǎng)絡(luò)，也會(huì)先檢查自身的安全狀態(tài)是否合格，如果不合格，將限制自身的網(wǎng)絡(luò)訪問(wèn)。天珣客戶端準(zhǔn)入控制，創(chuàng)造性將每一臺(tái)終端都成為準(zhǔn)入控制點(diǎn)，保證每臺(tái)終端只接受安全可信的終端進(jìn)行訪問(wèn)，并只在安全狀態(tài)合格時(shí)訪問(wèn)網(wǎng)絡(luò)，實(shí)現(xiàn)最細(xì)粒度準(zhǔn)入控制。天珣客戶端具備網(wǎng)絡(luò)阻斷功能，在客戶端安全狀態(tài)不符合要求時(shí)，客戶端自身能不依賴網(wǎng)絡(luò)設(shè)備、不依賴網(wǎng)絡(luò)上其他的電腦或設(shè)備獨(dú)立執(zhí)行網(wǎng)絡(luò)訪問(wèn)阻斷天珣更支持強(qiáng)大的選擇性阻斷，在客戶端安全狀態(tài)不符合要求時(shí)，客戶端能根據(jù)管理員的配置，通過(guò)進(jìn)程、端口、目標(biāo)地址等選擇性地阻止部分非緊急業(yè)務(wù)的網(wǎng)絡(luò)訪問(wèn)，而允許其他緊急業(yè)務(wù)的網(wǎng)絡(luò)訪問(wèn)。，選擇性阻斷技術(shù)保證客戶端安全狀態(tài)的改變不會(huì)導(dǎo)致交換機(jī)端口狀態(tài)的頻繁切換或VLAN的頻繁切換而影響交換機(jī)和網(wǎng)絡(luò)的性能；當(dāng)啟用基于EoU時(shí)，選擇性阻斷技術(shù)保證客戶端安全狀態(tài)的改變不會(huì)導(dǎo)致交換機(jī)頻繁下載ACL而影響交換機(jī)和網(wǎng)絡(luò)的性能。當(dāng)不啟用網(wǎng)絡(luò)準(zhǔn)入時(shí)，選擇性阻斷保證客戶端不依賴其他任何設(shè)備執(zhí)行緊急業(yè)務(wù)和非緊急業(yè)務(wù)的分類阻斷。 網(wǎng)絡(luò)準(zhǔn)入增值應(yīng)用 動(dòng)態(tài)VLANVLAN在控制廣播域的范圍、網(wǎng)絡(luò)安全、第三層地址的管理、和網(wǎng)絡(luò)資源的集中管理方面有重要的意義。傳統(tǒng)的基于交換機(jī)端口劃分VLAN的方式因?yàn)椴混`活以及對(duì)管理員的工作量太大而不能滿足今天移動(dòng)用戶的VLAN管理需求。天珣可以根據(jù)用戶的登錄名或電腦MAC地址動(dòng)態(tài)劃分VLAN，無(wú)論用戶移動(dòng)到公司的哪個(gè)地點(diǎn)接入到網(wǎng)絡(luò)，都將可以自動(dòng)屬于他被分配的VLAN，而不用管理員手工干預(yù)。 動(dòng)態(tài)ACL在交換機(jī)的傳統(tǒng)ACL配置中，只能針對(duì)端口或IP地址設(shè)置ACL。天珣能夠在EoU的環(huán)境下，針對(duì)登錄用戶名和電腦的MAC地址為每一臺(tái)電腦下發(fā)動(dòng)態(tài)ACL，極大地?cái)U(kuò)展了交換機(jī)的配置能力。 外來(lái)電腦管理對(duì)于外來(lái)電腦，企業(yè)有時(shí)很難要求其與本公司電腦啟用相同的安全策略。 VLAN，或通過(guò)啟用訪客策略，嚴(yán)格限制外來(lái)電腦的訪問(wèn)權(quán)限，即使其安全狀態(tài)不符合規(guī)范，甚至有蠕蟲病毒或木馬，也不會(huì)對(duì)企業(yè)網(wǎng)絡(luò)造成危害，同時(shí)杜絕了任何外來(lái)電腦的非授權(quán)訪問(wèn)問(wèn)題。 桌面管理功能具備執(zhí)行力的終端合規(guī)管理，要求精確和完整的終端信息作為合規(guī)管理基礎(chǔ)，因此合規(guī)管理系統(tǒng)需要精確和完整的桌面信息管理。天珣改變傳統(tǒng)的桌面管理軟件多是一種“盡力而為”的管理模式，即需要用戶配合安裝客戶端，運(yùn)行客戶端，如果用戶卸載或停用客戶端，管理員將對(duì)客戶電腦失去管理，依托準(zhǔn)入控制技術(shù)，確保100%的終端都部署和運(yùn)行了客戶端軟件，第一次使管理員有了確定性的桌面管理手段，管理企業(yè)IT資產(chǎn)，管理桌面運(yùn)行軟件，進(jìn)行補(bǔ)丁管理，軟件分發(fā)，控制PC的外設(shè)使用，并使用創(chuàng)新的“按需支援（HOD : Help On Demand ）”技術(shù)進(jìn)行遠(yuǎn)程桌面支持。與安全防護(hù)功能集成的桌面管理將使管理員有了全新的管理手段，并使管理手段擁有前所未有的執(zhí)行力。 資產(chǎn)管理由于電腦硬件及軟件的更新和變化，IT維護(hù)人員和財(cái)務(wù)部門對(duì)企業(yè)的IT資產(chǎn)的管理和統(tǒng)計(jì)經(jīng)常處于一種無(wú)序及手工統(tǒng)計(jì)的狀態(tài)，當(dāng)IT資產(chǎn)更新頻繁時(shí)，原來(lái)的IT資產(chǎn)管理記錄往往由于管理的滯后和對(duì)實(shí)際情況的掌握程度不夠無(wú)法及時(shí)更新，從而造成IT資產(chǎn)管理的混亂，維護(hù)人員對(duì)于IT資產(chǎn)的最新情況不了解也對(duì)IT運(yùn)行服務(wù)造成了障礙。天珣資產(chǎn)管理模塊自動(dòng)收集企業(yè)用戶的IT設(shè)備的硬件配置，如客戶端計(jì)算機(jī)的BIOS參數(shù)、CPU型號(hào)、內(nèi)存數(shù)量，硬盤類型，硬盤序列號(hào)，硬盤容量及分區(qū)，主板序列號(hào)等，顯卡類型，各種外設(shè)等信息；軟件信息，如操作系統(tǒng)，安裝軟件等；以及跟蹤相關(guān)信息的變化。為管理員進(jìn)行系統(tǒng)維護(hù)，技術(shù)支持，軟件部署，IT開支預(yù)算及統(tǒng)計(jì)提供及時(shí)的信息。開放靈活的架構(gòu)天珣通用桌面管理套件資產(chǎn)管理采用開放式架構(gòu)，使用Windows腳本技術(shù)，靈活動(dòng)態(tài)收集企業(yè)資產(chǎn)信息。天珣策略系統(tǒng)的開放架構(gòu)的腳本技術(shù)使資產(chǎn)收集腳本規(guī)則化，系統(tǒng)不用更新客戶端程序就能改變信息采集方式，改變數(shù)據(jù)庫(kù)內(nèi)容，改變顯示方式。這些腳本可以由啟明星辰提供，也可由系統(tǒng)管理員根據(jù)自己的需要自己定制，這種靈活性是天珣通用桌面管理套件資產(chǎn)優(yōu)于其它系統(tǒng)的最主要特征。集中的Web管理控制臺(tái)管理員可以從一個(gè)中央控制臺(tái)保存和追蹤各系統(tǒng)的有關(guān)信息，例如處理器類型、BIOS 類型及序列號(hào)、顯示適配器、內(nèi)存、硬盤等。差異化傳輸客戶端在初次掃描時(shí)會(huì)將全部信息都傳輸給服務(wù)器，在以后的掃描及傳輸過(guò)程中，只對(duì)有變化的部分傳輸給服務(wù)器，這樣大大提高傳輸效率，減小傳輸過(guò)程對(duì)網(wǎng)絡(luò)的影響。 Help On Demand遠(yuǎn)程桌面天珣HOD系統(tǒng)在企業(yè)中心IT部門對(duì)在各園區(qū)的需要幫助的計(jì)算機(jī)進(jìn)行遠(yuǎn)程操作，幫助遠(yuǎn)程的客戶端進(jìn)行異地操作和檢查系統(tǒng)問(wèn)題，充分發(fā)揮、共享中心IT部門的技術(shù)優(yōu)勢(shì)，為企業(yè)IT部門節(jié)省各園區(qū)駐地成本和交通成本，節(jié)省時(shí)間，提高運(yùn)維服務(wù)的效率，達(dá)到成本與服務(wù)質(zhì)量的雙重效益。天珣HOD完全符合企業(yè)的現(xiàn)實(shí)需求，并獨(dú)具有多種工作模式，可以完全覆蓋企業(yè)多種遠(yuǎn)程幫助和支持的情況。天珣HOD主要的工作模式：NULL客戶端模式和Agent模式。NULL客戶端模式：用戶端無(wú)需安裝任何軟件，用戶需要幫助時(shí)從企業(yè)內(nèi)部網(wǎng)上下載客戶端軟件，只能由用戶主動(dòng)向管理員發(fā)起連接，管理員在管理端操作用戶的電腦，幫助用戶排除故障，故障排除后自動(dòng)銷毀客戶端程序。用戶可以看見管理員所有的操