【正文】 天珣具備多種類型的策略網(wǎng)關(guān)和應(yīng)用準(zhǔn)入類型。圖7天珣架構(gòu)示意圖 部署方式天珣一般部署方式如下：根據(jù)所要管理的終端數(shù)量、區(qū)域劃分配置和部署一到多臺天珣策略服務(wù)器（其中也可以同時安裝資產(chǎn)管理服務(wù)器、Radius服務(wù)器等天珣功能服務(wù)器），構(gòu)一級或多級服務(wù)器管理架構(gòu)；至少要在一個應(yīng)用服務(wù)器部署策略網(wǎng)關(guān)，并啟用應(yīng)用準(zhǔn)入，作為準(zhǔn)入控制檢查點(diǎn)；借助應(yīng)用準(zhǔn)入提供的客戶端安裝檢測和部署能力，用戶自助部署客戶端；如果需要啟用網(wǎng)絡(luò)準(zhǔn)入。根據(jù)合規(guī)管理要求，定義和下發(fā)相應(yīng)策略安全策略到終端、策略網(wǎng)關(guān)和后臺功能服務(wù)器執(zhí)行。下圖就是天珣典型安裝部署圖：圖8天珣典型安裝部署示意圖5 系統(tǒng)特性 領(lǐng)先的CSC系統(tǒng)架構(gòu)天珣不僅是一個管理工具，更是一個領(lǐng)先的架構(gòu)。天珣使用目前最適合做桌面管理的系統(tǒng)架構(gòu)的基于可信任計(jì)算的CSC架構(gòu)。CSC架構(gòu)使天珣更健壯，可靠，安全，擴(kuò)展性好。確保管理無盲點(diǎn)，具有無比的強(qiáng)制性。 易于部署和管理1. 客戶端主動部署借助天珣強(qiáng)大的準(zhǔn)入控制技術(shù)，管理員只需簡單定義，系統(tǒng)自動將客戶端安裝包推到用戶桌面，自動完成系統(tǒng)安裝和配置。靈活的分階段部署，部署過程盡在掌握。2. 集中管理、分級控制、滿足對跨地域的分支機(jī)構(gòu)的集中管理天珣在統(tǒng)一的Web控制臺集中管理整個網(wǎng)絡(luò)的安全策略，靈活管理策略客戶端、策略服務(wù)器、策略網(wǎng)關(guān)。管理員從任何一個瀏覽器連接到Web控制臺，進(jìn)行安全策略的配置，將安全策略同步下發(fā)到企業(yè)全球網(wǎng)絡(luò)的策略服務(wù)器上，并分發(fā)到企業(yè)全球網(wǎng)絡(luò)的客戶端，并可以通過Web控制臺查看分布在企業(yè)全球網(wǎng)絡(luò)的任何一個客戶端的安全狀態(tài)，并提供詳盡的統(tǒng)計(jì)報表。分級管理的權(quán)限讓分支機(jī)構(gòu)的管理員可以定義個性化的策略，但必須執(zhí)行總部管理員制定的策略。3. 基于策略組的管理，管理方式豐富靈活可以基于用戶、IP、IP段或IP組進(jìn)行管理，可以依照用戶組或IP組劃分策略組，不同的策略組可以使用不同的策略，也就是同時支持以IP地址為對象的策略和以用戶為對象的策略，為部署和管理帶來巨大的靈活性。 4. PassThrough方式的LDAP用戶認(rèn)證天珣支持主流的LDAP用戶認(rèn)證，比如AD域、iPlanet，OpenLDAP等。通過認(rèn)證的用戶可以使用基于用戶的網(wǎng)絡(luò)訪問策略，為訪問控制提供高度靈活的手段。天珣支持PassThrough認(rèn)證方式，使用企業(yè)現(xiàn)有的目錄服務(wù)，不需要導(dǎo)入任何用戶數(shù)據(jù)庫，使系統(tǒng)更具實(shí)時性，減輕管理員的工作量。5. 自動升級隨著天珣的不斷升級，自動升級功能在不影響用戶的情況下，在后臺將最新的功能發(fā)送到成千上萬的現(xiàn)有用戶，而不需要重新安裝。6. 豐富的報表，終端合規(guī)狀況一目了然。 合規(guī)管理確定有效1. 強(qiáng)制保持終端安全狀態(tài)，無盲點(diǎn)，不妥協(xié)天珣強(qiáng)大的準(zhǔn)入控制能力，確保如果用戶電腦不符合企業(yè)安全策略，或者用戶電腦沒有安全天珣，該用戶電腦將不能訪問網(wǎng)絡(luò)的任何資源，直到問題被解決。2. 分布式策略執(zhí)行，始終保持策略的強(qiáng)制力度天珣的多層準(zhǔn)入控制，可獨(dú)立進(jìn)行策略檢查及控制，檢查效率高。某一層次的檢查失效不影響策略的完整性及可靠性，并確保策略控制無盲點(diǎn)。策略服務(wù)器只是分發(fā)策略規(guī)則，策略檢查由多層準(zhǔn)入控制機(jī)制完成，策略檢查時不依賴策略服務(wù)器，使系統(tǒng)由極高的可靠性，消除單點(diǎn)故障。3. 策略自適應(yīng)，滿足辦公，家庭等工作環(huán)境無論客戶端是在企業(yè)的哪一個企業(yè)園區(qū)，分公司，辦事處，還是在賓館，展會，家中；無論是直接連接還是通過VPN連接，天珣將自動適用客戶端所處環(huán)境的安全策略規(guī)則，以防范不同的安全風(fēng)險。當(dāng)用戶在不同的環(huán)境漫游時，安全策略將自動切換，無需管理員和用戶干預(yù)。4. 自動防御，自動補(bǔ)救，防患于未然天珣的多層準(zhǔn)入控制體系對于蠕蟲病毒、木馬或黑客的攻擊能夠自動防御，切斷它們的傳播途徑，控制威脅的蔓延。對不符合安全策略的電腦實(shí)施自動補(bǔ)救，幫助其安裝Windows 補(bǔ)丁，升級訪病毒軟件病毒碼，限制有安全隱患的應(yīng)用程序的運(yùn)行，或提示用戶運(yùn)行其他必要的軟件。5. 縮短安全事故反應(yīng)時間、減輕工作負(fù)荷傳統(tǒng)的維護(hù)方式總是依賴“發(fā)現(xiàn)—分析—解決”的流程，在問題出現(xiàn)和問題解決之間需要大量的時間和人力物力，天珣的策略定義使問題的解決智能化、自動化，縮短反應(yīng)時間，減輕管理員的工作負(fù)荷。 系統(tǒng)安全可靠1. 分布式多服務(wù)器架構(gòu)，相互備份，無單點(diǎn)故障天珣支持多策略服務(wù)器架構(gòu)。每個服務(wù)器服務(wù)一個或多個園區(qū)。而這些服務(wù)器可以相互備份，在一個統(tǒng)一的控制臺接受集中管理。如果一臺服務(wù)器宕機(jī)，其服務(wù)的用戶會自動被其他的服務(wù)器接管。分布式多服務(wù)器架構(gòu)使天珣具有優(yōu)秀的容錯性、可伸縮性，支持的客戶端數(shù)量從數(shù)百個到數(shù)萬以至更多，而部署極為平滑，性能不受影響。圖9 分布式多服務(wù)器架構(gòu)示意圖2. 可靠性在單一企業(yè)超數(shù)萬用戶規(guī)模環(huán)境中驗(yàn)證天珣可靠性已經(jīng)在嚴(yán)格的生產(chǎn)環(huán)境下經(jīng)過了多年的成熟應(yīng)用和驗(yàn)證，包括航空公司機(jī)場值機(jī)柜臺、航空公司飛行控制系統(tǒng)、電信公司網(wǎng)維中心、電力公司電力調(diào)度系統(tǒng)上的應(yīng)用。 系統(tǒng)優(yōu)良的性能、伸縮性和可擴(kuò)展性1. 占用系統(tǒng)資源少，適應(yīng)從低端到高端各種終端硬件環(huán)境天珣具備良好的安裝適應(yīng)特性和優(yōu)良的性能?？蛻舳丝梢赃m應(yīng)從低端到高端硬件環(huán)境，客戶端占用資源很少，正常運(yùn)行時，占用的內(nèi)部不足7M，CPU占有率1%，對網(wǎng)絡(luò)幾乎沒有影響，支持Windows全系列操作系統(tǒng)平臺。2. 可管理的規(guī)模無極限天珣具備業(yè)界領(lǐng)先的CSC體系架構(gòu)、多服務(wù)器管理架構(gòu)和優(yōu)良的系統(tǒng)性能，可管理的終端數(shù)量無極限。3. 適應(yīng)復(fù)雜的網(wǎng)絡(luò)環(huán)境，不依賴特定的網(wǎng)絡(luò)設(shè)備天珣具備提供業(yè)界全完善的準(zhǔn)入控制和終端合規(guī)控制平臺，可以適應(yīng)各種復(fù)雜的網(wǎng)絡(luò)環(huán)境，準(zhǔn)入控制不依賴特定的網(wǎng)絡(luò)設(shè)備，多種準(zhǔn)入控制方式可靈活組合，在全面提升用戶內(nèi)規(guī)管理水平的同時，同時最大限度保護(hù)用戶已有的網(wǎng)絡(luò)建設(shè)投資。4. 可擴(kuò)充的安全策略定義天珣特有的模塊化、可擴(kuò)充策略定義結(jié)構(gòu)，除了支持運(yùn)行軟件策略，操作系統(tǒng)補(bǔ)丁策略，防病毒軟件策略，防火墻策略，弱密碼策略，帶寬策略，隨著用戶需求的不斷變化，可持續(xù)不斷地?cái)U(kuò)充新的安全策略，及時應(yīng)對未來的可能任何新的內(nèi)網(wǎng)安全威脅。6 成功案例 用戶：某銀行（代稱：G銀行） 需求G銀行一直非常重視內(nèi)網(wǎng)合規(guī)管理，已經(jīng)指定嚴(yán)格和完善的內(nèi)網(wǎng)安全管理規(guī)章制度，但仍然多次發(fā)生病毒爆發(fā)。曾經(jīng)由于內(nèi)網(wǎng)爆發(fā)ARP欺騙病毒，造成網(wǎng)絡(luò)堵塞嚴(yán)重，嚴(yán)重影響到銀行業(yè)務(wù)的正常運(yùn)行。因此G銀行迫切要求加強(qiáng)內(nèi)網(wǎng)終端安全管理，并規(guī)劃在內(nèi)網(wǎng)終端安全管理的基礎(chǔ)上，在銀行內(nèi)網(wǎng)實(shí)現(xiàn)用戶實(shí)名管理，建立從統(tǒng)一用戶管理、終端網(wǎng)絡(luò)行為受控和全程安全審計(jì)能力，從而建立其真正具備執(zhí)行力的內(nèi)網(wǎng)合規(guī)控制和管理系統(tǒng)，但因苦于沒有適合的手段來實(shí)現(xiàn)和執(zhí)行，一直沒有可執(zhí)行的解決方案。后來，G銀行在了解到天珣強(qiáng)大的內(nèi)網(wǎng)終端合規(guī)管理能力后，發(fā)現(xiàn)真是他們尋找的解決方案，最終G銀行選擇天珣作為其內(nèi)網(wǎng)實(shí)名制管理核心的支撐平臺，在解決內(nèi)網(wǎng)終端安全控制和合規(guī)管理發(fā)揮巨大的作用。G銀行在終端合規(guī)管理方面，最關(guān)注的功能主要集中以下4個方面：1. 終端內(nèi)網(wǎng)合規(guī)準(zhǔn)入控制，實(shí)現(xiàn)只有認(rèn)證和安全的終端才能接入內(nèi)網(wǎng)；2. 終端接入內(nèi)網(wǎng)后，其身份標(biāo)示不可更改，并且訪問全程受控；3. 每個終端用戶只能獲得與自己角色相符的內(nèi)網(wǎng)和Internet的訪問控制權(quán)限；4. 終端自身安全加固和漏洞動態(tài)修復(fù)。 部署G銀行使用4臺天珣策略服務(wù)器和Radius服務(wù)器，2套基于ISA代理服務(wù)器的策略網(wǎng)和僅2萬臺終端，構(gòu)成G銀行用戶實(shí)名制管理平臺核心。系統(tǒng)部署如下圖所示：圖10. G銀行天珣系統(tǒng)部署示意圖 收效G銀行部署了天珣后，在以下幾個方面取得了明顯的成效： 通過實(shí)現(xiàn)終端內(nèi)網(wǎng)準(zhǔn)入控制，不僅保證只有合法和安全的終端接入內(nèi)網(wǎng)，同時借助天珣確保每個接入的終端用戶身份不可更改和網(wǎng)絡(luò)行為受控； 實(shí)現(xiàn)終端分級安全管理，保證每個終端用戶只能獲得與自己角色相符的內(nèi)網(wǎng)和Internet的訪問控制權(quán)限； 通過天珣提供終端安全加固和安全控制功能，全面提高內(nèi)網(wǎng)終端安全健康狀況和威脅抵御能力，因病毒導(dǎo)致的網(wǎng)絡(luò)阻塞再也沒有發(fā)生過； 依托天珣內(nèi)網(wǎng)風(fēng)險管理與審計(jì)系統(tǒng)，實(shí)現(xiàn)用戶網(wǎng)絡(luò)實(shí)名制管理，使G銀行獲得了業(yè)界最強(qiáng)的內(nèi)網(wǎng)合規(guī)管理執(zhí)行力。 客戶評價天珣產(chǎn)品首次試用時，由G銀行科技處領(lǐng)導(dǎo)親自操作使用，測試了過程中就對天珣所提供強(qiáng)大合規(guī)管理執(zhí)行力所折服，實(shí)際的效果也非常明顯，很快即表示G銀行需要的就是此類產(chǎn)品。該項(xiàng)目07年3月份實(shí)施，實(shí)施和管理都簡潔方便，上線后一直穩(wěn)定運(yùn)行，已經(jīng)在G銀行中發(fā)揮巨大的作用，客戶也很滿意。