【文章內(nèi)容簡介】 置兩臺UniAccessTM服務器，兩臺UniAccessTM服務器可以相互備份。解決方案二（基于Cisco EoU認證的準入控制方案）如果接入層網(wǎng)絡設備存在大量的不可網(wǎng)管交換機、某建議選擇采用基于Cisco EoU認證的準入控制方案。采用Cisco EoU認證的準入控制解決方案要求匯聚層或者接入層交換機必須是Cisco Catalyst 3550及其以上型號的網(wǎng)絡交換機。，Cisco EoU認證準入控制技術通過動態(tài)ACL(基于IP的訪問控制列表)來控制接入設備對網(wǎng)絡資源的訪問。圖 7 基于Cisco EoU認證的準入控制. 中小型分支機構準入控制建議XXXX在全國擁有數(shù)量眾多的分支機構，對于中小型分支機構，建議不用配置專門的準入控制服務器，可以利用上級網(wǎng)絡（總部或者地區(qū)總部）中的準入控制服務器做認證控制。這樣一方面可以減少服務器的數(shù)量降低成本，更重要的是減少了維護工作量和維護成本。針對中小型分支機構，某有兩種準入控制建議。解決方案一（基于Cisco EoU認證的準入控制方案）如果分支機構有Cisco Catalyst 3550或更高型號的網(wǎng)絡交換機，某優(yōu)先建議選用基于Cisco EoU認證的準入控制。因為，分支機構沒有配備專門的Radius認證服務器，一旦廣域網(wǎng)線路中斷，很容易導致所有電腦終端無法接入網(wǎng)絡。Cisco EoU認證的準入控制，允許在網(wǎng)絡設備上配備緊急模式，一旦網(wǎng)絡設備與Radius服務器之間的通信中斷，可以利用預先設置的緊急策略，允許電腦接入分支機構的網(wǎng)絡。如果分支機構的電腦終端數(shù)量較少，例如：不足20臺，可以考慮利用廣域網(wǎng)接入路由器（要求是Cisco某些型號的路由器，例如2600XM或者更新型號的設備）實現(xiàn)準入控制。解決方案二（）。下圖是分支機構的終端接入示意圖。圖 8 分支機構終端接入控制示意圖由于分支機構的網(wǎng)絡規(guī)模比較少，沒有獨立的防病毒服務器或者補丁服務器，分支機構的終端往往需要通過總部的防病毒服務器、補丁服務器來進行自我修復。因此，如果終端存在安全隱患，接入交換機需要將其隔離（自動設置到修復區(qū)VLAN），我們通過在網(wǎng)絡層的ACL訪問控制列表，限制修復區(qū)VLAN的終端直接訪問后臺的應用服務器，只允許這些不安全的終端訪問防病毒服務器和補丁服務器等必要的修復用服務器。，如果網(wǎng)絡交換機和Radius之間的通信中斷，很可能導致網(wǎng)絡無法接入。5. 集中式桌面安全綜合管理. 資產(chǎn)/IT設備統(tǒng)計. 資產(chǎn)信息自動采集 UniAccessTM的二層拓撲發(fā)現(xiàn)功能可以發(fā)現(xiàn)網(wǎng)絡中的所有IT設備，包括網(wǎng)絡設備、主機設備、網(wǎng)絡打印機、終端設備等。UniAccessTM二層拓撲發(fā)現(xiàn)功能支持大型網(wǎng)絡的拓撲發(fā)現(xiàn)，可以跨網(wǎng)絡、跨路由發(fā)現(xiàn)設備，支持不同廠商網(wǎng)絡設備混合構建的異構網(wǎng)絡設備發(fā)現(xiàn)。通過二層拓撲發(fā)現(xiàn)，能夠獲得網(wǎng)絡設備之間、主機和網(wǎng)絡設備之間的物理連接關系，獲得設備的基本信息如IP地址、MAC地址、設備名、在線時間、離線時間、IP地址歷史使用信息等。圖 10 二層網(wǎng)絡拓撲圖UniAccessTM的二層拓撲發(fā)現(xiàn)功能為終端設備管理構建了一個基線數(shù)據(jù)庫，即所有資產(chǎn)的全集和概要信息。對于安裝了UniAccessTM代理的終端設備，可以采集到終端詳細的軟硬件配置信息，硬件信息包括：216。 CPU信息216。 主板信息：包括BIOS信息、PCI插槽信息216。 內(nèi)存信息：物理內(nèi)存大小、具體的內(nèi)存條信息216。 硬盤信息：硬盤大小、速度、廠商、型號216。 光驅(qū)信息：光驅(qū)速度、廠商、型號216。 網(wǎng)卡信息216。 外設信息：通過串口、并口、USB口連接的設備信息，Modem狀態(tài)信息216。 操作系統(tǒng)信息軟件配置信息包括：216。 安裝的軟件名216。 軟件廠商216。 版本216。 語言216。 安裝日期所有這些信息都被保存在數(shù)據(jù)庫中，管理員可以在線瀏覽或者輸出各種資產(chǎn)報表。. 設備快速定位（交換機端口定位）某原創(chuàng)的設備發(fā)現(xiàn)技術，可以快速發(fā)現(xiàn)接入網(wǎng)絡的所有設備（無需準入控制），無論接入網(wǎng)絡的終端是否安裝個人防火墻，均可以對其快速發(fā)現(xiàn)并予以定位。一般情況下，一臺終端接入網(wǎng)絡只需2－3分鐘的時間即可被系統(tǒng)發(fā)現(xiàn)并予以定位。管理員可以通過以下信息查詢接入設備的位置（所連接的網(wǎng)絡交換機及其端口）：l 接入設備的MAC地址；l 接入設備的IP地址l 接入設備的主機名. 客戶端設備注冊UniAccessTM的客戶端代理支持通過Web方式安裝。當客戶端用戶輸入安裝URL后，UniAccessTM會顯示如下圖所示界面，讓用戶輸入注冊信息。圖 11 客戶端注冊界面 客戶端只有注冊后才能安裝UniAccessTM代理，顯示如下圖所示的UniAccessTM代理安裝界面。圖 12 客戶端注冊后顯示的代理安裝選項頁面客戶端用戶輸入的注冊信息被作為組織架構信息的一部分保存在數(shù)據(jù)庫中。管理員可以通過如下界面瀏覽客戶端注冊信息。圖 13 客戶端注冊信息查看. 客戶端代理反卸載及管理員聯(lián)機卸載UniAccessTM代理具有自我保護功能，可以防止客戶端用戶隨意卸載、停止代理或者刪除代理的安裝目錄下文件。但UniAccessTM為管理員提供了集中卸載客戶端代理功能，允許有權限的管理員能夠非常方便地批量卸載掉客戶端代理?？蛻舳舜砺?lián)機卸載界面如下圖所示。圖 14 客戶端代理聯(lián)機卸載和更新此界面列出了所有安裝了客戶端代理的終端設備，管理員可以按條件進行查詢，然后在查詢結果中選擇需要聯(lián)機卸載的一個或者多個客戶端代理進行集中卸載。. 未安裝殺毒軟件客戶端報警UniAccessTM主機安全漏洞檢測功能可以檢查終端設備是否存在安全漏洞，包括指定版本的防病毒軟件是否安裝、防病毒軟件的病毒特征庫是否為最新的。管理員可以配置一個防病毒軟件檢測策略，界面如下：圖 15 殺毒軟件檢測策略配置當檢查出規(guī)定殺毒軟件未安裝或者病毒特征庫不是最新時，將產(chǎn)生告警事件，并可以按照管理員定義的事件處理流程通知管理員，也可以通過客戶端界面顯示給終端用戶。UniAccessTM事件處理流程預案是全局性的配置，管理員可以單獨配置好需要的事件流程預案，然后將其與具體的安全策略綁定起來。下圖是事件處理預案的配置界面。圖 16 事件處理預案定義界面管理員可以定義告警事件發(fā)生時應該按什么流程來處理告警事件，如Email通知、短信通知、Message通知、通知到客戶端代理，也可以與防火墻、網(wǎng)絡交換機進行聯(lián)動控制客戶端。當告警事件恢復時，也可以按流程進行處理。當定義安全策略時，可以指定違反該安全策略產(chǎn)生的告警事件采用什么事件處理流程進行處理，如下圖所示。圖 17 將安全策略與事件處理流程綁定. 配置變更管理UniAccessTM可以對終端設備的軟硬件配置變化進行監(jiān)控。當終端用戶新增、卸載一個硬件配置或者軟件式，UniAccessTM系統(tǒng)會記錄詳細配置變更信息，包括什么時間、哪個終端設備、哪個用戶、變更的配置項、變化前的配置、變化后的配置。另外，UniAccessTM還可以產(chǎn)生配置變更告警事件，及時通知管理員。下圖是配置變更策略配置界面。圖 18 配置變更策略從圖中可以看到，UniAccessTM可以監(jiān)控的硬件配置有CPU、主板、內(nèi)存、硬盤、網(wǎng)卡，UniAccessTM可以監(jiān)控的軟件配置有所有軟件變化、指定軟件變化、除指定軟件外的其他軟件變化、除微軟操作系統(tǒng)外的其他軟件變化。管理員可以從終端設備的詳細信息界面看到該終端的配置歷史變化過程，如下圖所示。圖 19 單臺終端的配置變更歷史UniAccessTM系統(tǒng)也為管理員提供配置變更報表，管理員可以生成某個時間段、指定范圍機器、指定或者所有配置項變化的報表信息，如下圖所示。圖 20 配置變更報表. 未注冊設備及注冊程序卸載告警UniAccessTM可以設置主機安全漏洞策略來檢查接入到網(wǎng)絡的終端設備是否安裝了客戶端代理，當未安裝客戶端代理或者客戶端代理被卸載的終端設備接入到網(wǎng)絡時，可以自動產(chǎn)生告警事件，通知系統(tǒng)管理員。安全策略配置界面如下圖所示。圖 21 客戶端代理安裝檢測策略. 客戶端組件在線升級UniAccessTM支持客戶端代理在線升級，管理員可以配置升級策略，定時間、定范圍地升級客戶端代理，并可以查看到代理升級結果。下圖是客戶端代理升級策略配置界面。圖 22 客戶端代理升級配置界面管理員可以設置指定要升級哪個版本、升級時間、客戶端必須滿足的軟件安裝條件、需要升級的目標客戶端。另外，在大型網(wǎng)絡環(huán)境中，也支持通過中繼方式進行客戶端升級。. Web方式客戶端注冊UniAccessTM采用web方式進行客戶端注冊。UniAccessTM的網(wǎng)絡準入控制機制可以保證未注冊客戶端在訪問網(wǎng)絡時自動彈出注冊頁面。在UniAccessTM網(wǎng)絡準入控制架構中有兩種機制來實現(xiàn)此功能：（1） ARP干擾。UniAccessTM探測器模塊可以檢測，網(wǎng)絡中未注冊的終端接入到網(wǎng)絡，當這些設備訪問web資源時，會被自動重定向到“客戶端注冊”頁面，強制提醒終端用戶需要進行注冊并安裝UniAccessTM代理。UniAccessTM探測器模塊的URL重定向界面如下圖所示。圖 23 UniAccessTM探測器的重定向URL配置（2） Cisco NAC L2IP和Cisco NAC L3IP。UniAccessTM支持Cisco NAC L2IP和Cisco NAC L3IP網(wǎng)絡準入控制機制。當網(wǎng)絡中部署了支持這兩種協(xié)議的網(wǎng)絡交換機或者路由器時，UniAccessTM可以控制讓未注冊客戶端訪問web資源時重定向到指定URL中。下圖為UniAccessTM網(wǎng)絡準入控制的重定向配置界面。圖 24 UniAccessTM網(wǎng)絡準入控制URL重定向. 安全策略管理. 管理員權限管理和分組UniAccessTM實現(xiàn)管理員權限管理，可以為每個管理員定義不同的管理權限。UniAccessTM管理員權限是二維的：管理員可以使用的菜單功能和可以管理的設備。基于這種二維權限機制，可以實現(xiàn)管理員的分級，如：可以為每個分行的管理員可以使用所有菜單功能但只能管理本分行的終端設備。UniAccessTM的權限分配是基于用戶組的，即為每個用戶組分配權限，然后將設置管理員屬于哪個用戶組。下圖是管理員權限分配界面。圖 25 管理員權限設置界面. 客戶端流量異常管理控制UniAccessTM實現(xiàn)對終端設備流量大小、廣播包、TCP連接數(shù)進行監(jiān)控，監(jiān)測是否有異常，當異常時產(chǎn)生告警事件通知管理員。管理員可以通過安全策略來設置終端設備正常的流量范圍、廣播包數(shù)和TCP連接數(shù)，設置統(tǒng)計時間段。為了避免偶然峰值引起誤報，如拷貝大文件，UniAccessTM可以統(tǒng)計連續(xù)多個采用周期的平均值來判斷。下圖是UniAccessTM網(wǎng)絡流量異常配置界面。圖 26 網(wǎng)絡流量異常配置UniAccessTM可以向管理員展示所有終端設備的某個時間流量統(tǒng)計、流量排名和TCP連接數(shù)，并且提示管理員終端設備是否有可疑的TCP連接、流量是否可以、廣播包是否可疑。. 客戶端流量明細統(tǒng)計管理員可以設置統(tǒng)計客戶端與網(wǎng)絡上其它主機的流量明細。并且可以按照時段、IP地址等進行查詢。圖 27 客戶機流量統(tǒng)計明細表. 客戶端安全漏洞檢查UniAccessTM可以對客戶端操作系統(tǒng)漏洞進行掃描，包括是否存在弱口令賬號、是否啟用Guest賬號、賬號口令是否很長時間沒有修改、是否沒有設置屏?？诹?、是否存在可寫的共享目錄、是否為加入到規(guī)定AD域、是否存在已知的黑客程序、是否安裝了違禁軟件、是否未安裝必須安裝的軟件如防病毒軟件、是否啟用違禁進程等。所有這些漏洞信息都會在客戶端按如下界面顯示，提醒用戶自己機器存在的安全漏洞，并且給出漏洞修復指南，用戶可以按指南說明修復這些漏洞。另外所有漏洞也會通知管理員。圖 28 客戶端安全漏洞掃描. 軟件許可監(jiān)控（黑白名單）UniAccessTM可以通過白名單、黑名單方式定義違禁軟件，這些違禁軟件被運行時可以產(chǎn)生告警事件通知管理員，或者直接禁止違禁軟件的使用。白名單是指只有指定軟件為合法軟件，除此之外的所有非系統(tǒng)軟件都是非法軟件。黑名單是指指定軟件為非法軟件，其他都是合法軟件。在白名單定義方式中，UniAccessTM可以自動過濾掉Windows系統(tǒng)軟件和UniAccessTM客戶端代理。UniAccessTM支持三種方式來定義違禁軟件：（1）通過進程名來定義，即軟件運行后為指定進程名的即為違禁軟件（可以指定進程文件的執(zhí)行路徑）；（2）通過安裝軟件名稱；（3）通過安裝目錄。UniAccessTM可以禁止用戶通過直接運行exe程序、快捷方式、數(shù)據(jù)文件等方式來啟動違禁軟件。UniAccessTM的主機進程安全策略定義界面如下圖所示。圖 29 主機進程安全策略定義界面. 違規(guī)客戶端遠程阻斷UniAccessTM可以在事件處理預案中設置訪問控制動作，包括：（1）UniAccessTM代理阻止終端訪問網(wǎng)絡；（2）關閉網(wǎng)絡交換機端口；（3）控制防火墻禁止違規(guī)客戶端訪問網(wǎng)絡資源。. 非授權外連UniAccessTM的非授權外連審計功能實現(xiàn)對非授權外連方式的審計和控制，包括USB大容量硬盤、Modem撥號、GPRS無線上網(wǎng)卡、CDMA無線上網(wǎng)卡、紅外、藍牙、光驅(qū)、軟驅(qū)、雙網(wǎng)卡等。UniAccessTM可以設置審計或者禁止使用這些外連方式。審計信息包括何時、哪臺終端、哪個用戶、使用什么外連方式、開始使用時間、結束時間、是否被阻止。管理員可以為非授權外連審計策略設置適用場景，如終端在辦公環(huán)境中不能通過Modem撥號，但在外出差則可以Modem撥號通過VPN訪問內(nèi)部網(wǎng)絡。. 終端的網(wǎng)絡訪問行為審計與控制UniAccessTM的網(wǎng)絡行為審計功能實現(xiàn)終端用戶上網(wǎng)行為審計和控制，包括：（1） 通過白名單和黑名單，審計和控制web網(wǎng)站的訪問，可以禁止終端用戶訪問一