客戶(hù)登錄
English
時(shí)間：2013-01-04
端點(diǎn)準(zhǔn)入防御(EAD，Endpoint Admission Defense)解決方案從網(wǎng)絡(luò)接入端點(diǎn)的安全控制入手，通過(guò)安全客戶(hù)端、安全策略服務(wù)器、網(wǎng)絡(luò)設(shè)備以及第三方軟件的聯(lián)動(dòng)，對(duì)接入網(wǎng)絡(luò)的用戶(hù)終端強(qiáng)制實(shí)施企業(yè)安全策略，加強(qiáng)網(wǎng)絡(luò)用戶(hù)終端的主動(dòng)防御能力，并嚴(yán)格控制終端用戶(hù)的網(wǎng)絡(luò)使用行為，保護(hù)網(wǎng)絡(luò)安全。
炫億時(shí)代
概述 炫億，炫億時(shí)代
在互聯(lián)網(wǎng)技術(shù)的發(fā)展應(yīng)用過(guò)程中，伴隨著網(wǎng)絡(luò)應(yīng)用軟硬件技術(shù)的快速發(fā)展，網(wǎng)絡(luò)信息安全問(wèn)題日益嚴(yán)重，新的安全威脅不斷涌現(xiàn)，特別是金融行業(yè)、其數(shù)據(jù)的特殊性和重要性、更成為黑客們攻擊的重要對(duì)象，針對(duì)目前金融系統(tǒng)計(jì)算機(jī)犯罪頻率越來(lái)越高，手段越來(lái)越復(fù)雜，銀行損失金額越來(lái)越大。
目前金融系統(tǒng)網(wǎng)絡(luò)安全威脅主要有：
xetimes.com
1.通過(guò)攻擊接口進(jìn)行非法入侵 ：根據(jù)各級(jí)局域網(wǎng)、廣域網(wǎng)、及服務(wù)器接口的情況，可以通過(guò)下面幾種方式進(jìn)行攻擊：業(yè)務(wù)系統(tǒng)拒絕服務(wù);通過(guò)猜測(cè)獲得內(nèi)部主機(jī)其他服務(wù)的訪問(wèn)權(quán)限;內(nèi)部網(wǎng)絡(luò)拓?fù)湫畔⑼庑?局域網(wǎng)中數(shù)據(jù)的截獲。
炫億，炫億時(shí)代
2.針對(duì)系統(tǒng)自身存在缺陷進(jìn)行攻擊：利用系統(tǒng)(包括操作系統(tǒng)、支撐軟件及應(yīng)用系統(tǒng))固有的或系統(tǒng)配置及管理過(guò)程中的安全漏洞，穿透或繞過(guò)安全設(shè)施的防護(hù)策略，達(dá)到非法訪問(wèn)直至控制系統(tǒng)的目的，并以此為跳板，繼續(xù)攻擊其他系統(tǒng)。此類(lèi)攻擊手段包括隱通道攻擊、特洛伊木馬、口令猜測(cè)、緩沖區(qū)溢出等。 炫億時(shí)代
網(wǎng)絡(luò)安全問(wèn)題的解決，三分靠技術(shù)，七分靠管理，嚴(yán)格管理是金融機(jī)構(gòu)及用戶(hù)免受網(wǎng)絡(luò)安全問(wèn)題威脅的重要措施。根據(jù)調(diào)查表明，網(wǎng)絡(luò)安全的威脅60%來(lái)自網(wǎng)絡(luò)內(nèi)部，網(wǎng)絡(luò)用戶(hù)不及時(shí)升級(jí)系統(tǒng)補(bǔ)丁、升級(jí)病毒庫(kù)的現(xiàn)象普遍存在;私設(shè)代理服務(wù)器、私自訪問(wèn)外部網(wǎng)絡(luò)、使用網(wǎng)絡(luò)管理員禁止使用的軟件等行為在金融系統(tǒng)內(nèi)部網(wǎng)絡(luò)中也比比皆是。如果只是通過(guò)防火墻和在網(wǎng)絡(luò)設(shè)備上配置一系列訪問(wèn)控制策略是無(wú)法完全避免各種安全威脅的，而必須從用戶(hù)接入終端-網(wǎng)絡(luò)設(shè)備-中心服務(wù)器提供一系列端到端的安全解決方案。所以首先要從網(wǎng)絡(luò)接入端點(diǎn)的安全控制入手，對(duì)接入網(wǎng)絡(luò)的用戶(hù)終端強(qiáng)制實(shí)施企業(yè)安全策略，加強(qiáng)網(wǎng)絡(luò)用戶(hù)終端的主動(dòng)防御能力。 炫億時(shí)代
針對(duì)接入層用戶(hù)的安全威脅，特別是來(lái)自應(yīng)用層面的安全隱患，防止黑客對(duì)核心層設(shè)備及服務(wù)器的攻擊，我們必須在接入層設(shè)置強(qiáng)大的安全屏障，華為3Com公司推出了端點(diǎn)準(zhǔn)入防御(EAD)解決方案，該方案從網(wǎng)絡(luò)用戶(hù)終端準(zhǔn)入控制入手，整合網(wǎng)絡(luò)接入控制與終端安全產(chǎn)品，通過(guò)安全客戶(hù)端、安全策略服務(wù)器、網(wǎng)絡(luò)設(shè)備以及第三方軟件的聯(lián)動(dòng)，對(duì)接入網(wǎng)絡(luò)的用戶(hù)終端強(qiáng)制實(shí)施企業(yè)安全策略，嚴(yán)格控制終端用戶(hù)的網(wǎng)絡(luò)使用行為，加強(qiáng)網(wǎng)絡(luò)用戶(hù)終端的主動(dòng)防御能力，保護(hù)網(wǎng)絡(luò)安全。 炫億時(shí)代
EAD簡(jiǎn)介 炫億，炫億時(shí)代
原理
EAD解決方案提供企業(yè)網(wǎng)絡(luò)安全管理的平臺(tái)，通過(guò)整合孤立的單點(diǎn)防御系統(tǒng)，加強(qiáng)對(duì)用戶(hù)的集中管理，統(tǒng)一實(shí)施企業(yè)網(wǎng)絡(luò)安全策略，提高網(wǎng)絡(luò)終端的主動(dòng)抵抗能力。其基本原理圖如下： 炫億時(shí)代
EAD系統(tǒng)由四部分組成，具體包括安全策略服務(wù)器、安全客戶(hù)端平臺(tái)、安全聯(lián)動(dòng)設(shè)備和第三方服務(wù)器。
安全策略服務(wù)器是EAD方案中的管理與控制中心，是EAD解決方案的核心組成部分，實(shí)現(xiàn)用戶(hù)管理、安全策略管理、安全狀態(tài)評(píng)估、安全聯(lián)動(dòng)控制以及安全事件審計(jì)等功能。目前華為3Com公司的CAMS產(chǎn)品實(shí)現(xiàn)了安全策略服務(wù)器的功能，該系統(tǒng)在全面管理網(wǎng)絡(luò)用戶(hù)信息的基礎(chǔ)上，支持多種網(wǎng)絡(luò)認(rèn)證方式，支持針對(duì)用戶(hù)的安全策略設(shè)置，以標(biāo)準(zhǔn)協(xié)議與網(wǎng)絡(luò)設(shè)備聯(lián)動(dòng)，實(shí)現(xiàn)對(duì)用戶(hù)接入行為的控制，同時(shí)，該系統(tǒng)可詳細(xì)記錄用戶(hù)上網(wǎng)信息和安全事件信息，審計(jì)用戶(hù)上網(wǎng)行為和安全事件。
安全客戶(hù)端平臺(tái)是安裝在用戶(hù)終端系統(tǒng)上的軟件，該平臺(tái)可集成各種安全廠商的安全產(chǎn)品插件，對(duì)用戶(hù)終端進(jìn)行身份認(rèn)證、安全狀態(tài)評(píng)估以及實(shí)施網(wǎng)絡(luò)安全策略。 炫億時(shí)代
安全聯(lián)動(dòng)設(shè)備是企業(yè)網(wǎng)絡(luò)中安全策略的實(shí)施點(diǎn)，起到強(qiáng)制用戶(hù)準(zhǔn)入認(rèn)證、隔離不合格終端、為合法用戶(hù)提供網(wǎng)絡(luò)服務(wù)的作用。CAMS綜合接入管理平臺(tái)作為安全策略服務(wù)器，提供標(biāo)準(zhǔn)的協(xié)議接口，支持同交換機(jī)、路由器等各類(lèi)網(wǎng)絡(luò)設(shè)備的安全聯(lián)動(dòng)。
第三方服務(wù)器為病毒服務(wù)器、補(bǔ)丁服務(wù)器等第三方網(wǎng)絡(luò)安全產(chǎn)品，通過(guò)安全策略的設(shè)置實(shí)施，第三方安全產(chǎn)品的功能集成至EAD解決方案種，實(shí)現(xiàn)安全產(chǎn)品功能的整合。
EAD原理圖示意了應(yīng)用EAD系統(tǒng)實(shí)現(xiàn)終端安全準(zhǔn)入的流程：
1. 用戶(hù)終端試圖接入網(wǎng)絡(luò)時(shí)，首先通過(guò)安全客戶(hù)端上傳用戶(hù)信息至安全策略服務(wù)器進(jìn)行用戶(hù)身份認(rèn)證，非法用戶(hù)將被拒絕接入網(wǎng)絡(luò); 炫億時(shí)代
2. 合法用戶(hù)將被要求進(jìn)行安全狀態(tài)認(rèn)證，由安全策略服務(wù)器驗(yàn)證補(bǔ)丁版本、病毒庫(kù)版本等信息是否合格，不合格用戶(hù)將被安全聯(lián)動(dòng)設(shè)備隔離到隔離區(qū); 炫億時(shí)代
3. 進(jìn)入隔離區(qū)的用戶(hù)可以根據(jù)企業(yè)網(wǎng)絡(luò)安全策略，通過(guò)第三方服務(wù)器進(jìn)行安裝系統(tǒng)補(bǔ)丁、升級(jí)病毒庫(kù)、檢查終端系統(tǒng)信息等操作，直到接入終端符合企業(yè)網(wǎng)絡(luò)安全策略;
4. 安全狀態(tài)合格的用戶(hù)將實(shí)施由安全策略服務(wù)器下發(fā)的安全設(shè)置，并由安全聯(lián)動(dòng)設(shè)備提供基于身份的網(wǎng)絡(luò)服務(wù)。 炫億，炫億時(shí)代
功能特點(diǎn) 炫億，炫億時(shí)代
完備的安全狀態(tài)評(píng)估 炫億時(shí)代
用戶(hù)終端的安全狀態(tài)是指操作系統(tǒng)補(bǔ)丁、第三方軟件版本、病毒庫(kù)版本、是否感染病毒等反映終端防御能力的狀態(tài)信息。EAD通過(guò)對(duì)終端安全狀態(tài)進(jìn)行評(píng)估，使得只有符合企業(yè)安全標(biāo)準(zhǔn)的終端才能正常訪問(wèn)網(wǎng)絡(luò)。
實(shí)時(shí)的“危險(xiǎn)”用戶(hù)隔離
系統(tǒng)補(bǔ)丁、病毒庫(kù)版本不及時(shí)更新或已感染病毒的用戶(hù)終端，如果不符合管理員設(shè)定的企業(yè)安全策略，將被限制訪問(wèn)權(quán)限，只能訪問(wèn)病毒服務(wù)器、補(bǔ)丁服務(wù)器等用于系統(tǒng)修復(fù)的網(wǎng)絡(luò)資源。 xetimes.com
基于角色的網(wǎng)絡(luò)服務(wù)
在用戶(hù)終端在通過(guò)病毒、補(bǔ)丁等安全信息檢查后，EAD可基于終端用戶(hù)的角色，向安全客戶(hù)端下發(fā)系統(tǒng)配置的安全策略，按照用戶(hù)角色權(quán)限規(guī)范用戶(hù)的網(wǎng)絡(luò)使用行為。終端用戶(hù)的ACL訪問(wèn)策略、QoS策略、是否禁止使用代理、是否禁止使用雙網(wǎng)卡等安全措施設(shè)置均可由管理員統(tǒng)一管理，并實(shí)時(shí)應(yīng)用實(shí)施。 炫億時(shí)代
可擴(kuò)展的、開(kāi)放的安全解決方案
EAD是一個(gè)可擴(kuò)展的安全解決方案，對(duì)現(xiàn)有網(wǎng)絡(luò)設(shè)備和組網(wǎng)方式改造較小。在現(xiàn)有企業(yè)網(wǎng)中，只需對(duì)網(wǎng)絡(luò)設(shè)備和第三方軟件進(jìn)行簡(jiǎn)單升級(jí)，即可實(shí)現(xiàn)接入控制和防病毒的聯(lián)動(dòng)，達(dá)到端點(diǎn)準(zhǔn)入控制的目的，有效保護(hù)用戶(hù)的網(wǎng)絡(luò)投資。 炫億，炫億時(shí)代
EAD也是一個(gè)開(kāi)放的解決方案。EAD系統(tǒng)中，安全策略服務(wù)器同設(shè)備的交互、同第三方服務(wù)器的交互都基于開(kāi)放的、標(biāo)準(zhǔn)的協(xié)議實(shí)現(xiàn)。在防病毒方面，目前EAD系統(tǒng)已金山、瑞星、江民等多家主流防病毒廠商的產(chǎn)品實(shí)現(xiàn)聯(lián)動(dòng)。
靈活、方便的部署與維護(hù) xetimes.com
EAD方案部署靈活，維護(hù)方便，可以按照網(wǎng)絡(luò)管理員的要求區(qū)別對(duì)待不同身份的用戶(hù)，定制不同的安全檢查和隔離級(jí)別。EAD可以部署為監(jiān)控模式(只記錄不合格的用戶(hù)終端，不進(jìn)行修復(fù)提醒)、提醒模式(只做修復(fù)提醒，不進(jìn)行網(wǎng)絡(luò)隔離)和隔離模式，以適應(yīng)用戶(hù)對(duì)安全準(zhǔn)入控制的不同要求。 炫億時(shí)代
安全客戶(hù)端平臺(tái)是安裝在用戶(hù)終端系統(tǒng)上的軟件，該平臺(tái)可集成各種安全廠商的安全產(chǎn)品插件，對(duì)用戶(hù)終端進(jìn)行身份認(rèn)證、安全狀態(tài)評(píng)估以及實(shí)施網(wǎng)絡(luò)安全策略。
安全聯(lián)動(dòng)設(shè)備是企業(yè)網(wǎng)絡(luò)中安全策略的實(shí)施點(diǎn)，起到強(qiáng)制用戶(hù)準(zhǔn)入認(rèn)證、隔離不合格終端、為合法用戶(hù)提供網(wǎng)絡(luò)服務(wù)的作用。CAMS綜合接入管理平臺(tái)作為安全策略服務(wù)器，提供標(biāo)準(zhǔn)的協(xié)議接口，支持同交換機(jī)、路由器等各類(lèi)網(wǎng)絡(luò)設(shè)備的安全聯(lián)動(dòng)。 炫億，炫億時(shí)代
EAD原理圖示意了應(yīng)用EAD系統(tǒng)實(shí)現(xiàn)終端安全準(zhǔn)入的流程： 炫億時(shí)代
2. 合法用戶(hù)將被要求進(jìn)行安全狀態(tài)認(rèn)證，由安全策略服務(wù)器驗(yàn)證補(bǔ)丁版本、病毒庫(kù)版本等信息是否合格，不合格用戶(hù)將被安全聯(lián)動(dòng)設(shè)備隔離到隔離區(qū); xetimes.com
4. 安全狀態(tài)合格的用戶(hù)將實(shí)施由安全策略服務(wù)器下發(fā)的安全設(shè)置，并由安全聯(lián)動(dòng)設(shè)備提供基于身份的網(wǎng)絡(luò)服務(wù)。 炫億時(shí)代
功能特點(diǎn)
完備的安全狀態(tài)評(píng)估
系統(tǒng)補(bǔ)丁、病毒庫(kù)版本不及時(shí)更新或已感染病毒的用戶(hù)終端，如果不符合管理員設(shè)定的企業(yè)安全策略，將被限制訪問(wèn)權(quán)限，只能訪問(wèn)病毒服務(wù)器、補(bǔ)丁服務(wù)器等用于系統(tǒng)修復(fù)的網(wǎng)絡(luò)資源。
基于角色的網(wǎng)絡(luò)服務(wù) 炫億時(shí)代
在用戶(hù)終端在通過(guò)病毒、補(bǔ)丁等安全信息檢查后，EAD可基于終端用戶(hù)的角色，向安全客戶(hù)端下發(fā)系統(tǒng)配置的安全策略，按照用戶(hù)角色權(quán)限規(guī)范用戶(hù)的網(wǎng)絡(luò)使用行為。終端用戶(hù)的ACL訪問(wèn)策略、QoS策略、是否禁止使用代理、是否禁止使用雙網(wǎng)卡等安全措施設(shè)置均可由管理員統(tǒng)一管理，并實(shí)時(shí)應(yīng)用實(shí)施。 炫億，炫億時(shí)代
EAD是一個(gè)可擴(kuò)展的安全解決方案，對(duì)現(xiàn)有網(wǎng)絡(luò)設(shè)備和組網(wǎng)方式改造較小。在現(xiàn)有企業(yè)網(wǎng)中，只需對(duì)網(wǎng)絡(luò)設(shè)備和第三方軟件進(jìn)行簡(jiǎn)單升級(jí)，即可實(shí)現(xiàn)接入控制和防病毒的聯(lián)動(dòng)，達(dá)到端點(diǎn)準(zhǔn)入控制的目的，有效保護(hù)用戶(hù)的網(wǎng)絡(luò)投資。
EAD也是一個(gè)開(kāi)放的解決方案。EAD系統(tǒng)中，安全策略服務(wù)器同設(shè)備的交互、同第三方服務(wù)器的交互都基于開(kāi)放的、標(biāo)準(zhǔn)的協(xié)議實(shí)現(xiàn)。在防病毒方面，目前EAD系統(tǒng)已金山、瑞星、江民等多家主流防病毒廠商的產(chǎn)品實(shí)現(xiàn)聯(lián)動(dòng)。 炫億時(shí)代
靈活、方便的部署與維護(hù) 炫億時(shí)代
EAD在金融行業(yè)的應(yīng)用
EAD是一種通用接入安全解決方案，具有很強(qiáng)的靈活性和適應(yīng)性，可以配合金融廣域網(wǎng)及局域網(wǎng)的交換機(jī)、路由器、VPN網(wǎng)關(guān)等網(wǎng)絡(luò)設(shè)備，實(shí)現(xiàn)對(duì)局域網(wǎng)接入、無(wú)線接入、VPN接入、關(guān)鍵區(qū)域訪問(wèn)等多種組網(wǎng)方式的安全防護(hù)。
具體包括：
局域網(wǎng)安全防護(hù)
在金融機(jī)構(gòu)內(nèi)部局域網(wǎng)中，EAD通過(guò)與交換機(jī)的聯(lián)動(dòng)，強(qiáng)制檢查用戶(hù)終端的病毒庫(kù)和系統(tǒng)補(bǔ)丁信息，降低病毒和蠕蟲(chóng)蔓延的風(fēng)險(xiǎn)，同時(shí)強(qiáng)制實(shí)施網(wǎng)絡(luò)接入用戶(hù)的安全策略，阻止來(lái)自網(wǎng)絡(luò)內(nèi)部的安全威脅。 炫億時(shí)代
無(wú)線接入網(wǎng)絡(luò)的安全防護(hù)
WLAN接入的用戶(hù)終端具有漫游性，經(jīng)常脫離企業(yè)網(wǎng)絡(luò)管理員的監(jiān)控，容易感染病毒和木馬或出現(xiàn)長(zhǎng)期不更新系統(tǒng)補(bǔ)丁的現(xiàn)象，給網(wǎng)絡(luò)帶來(lái)安全隱患。與局域網(wǎng)接入防護(hù)類(lèi)似，對(duì)于這種無(wú)線接入的用戶(hù)，EAD也可以在交換機(jī)配合下，通過(guò)實(shí)現(xiàn)用戶(hù)接入終端的安全控制，實(shí)現(xiàn)用戶(hù)網(wǎng)絡(luò)的安全保護(hù)。
數(shù)據(jù)中心關(guān)鍵數(shù)據(jù)保護(hù)
金融系統(tǒng)中不同部門(mén)的用戶(hù)，網(wǎng)絡(luò)管理員將對(duì)其賦予不同的訪問(wèn)權(quán)限和安全規(guī)則，通過(guò)EAD下發(fā)的安全策略，可以控制內(nèi)部用戶(hù)對(duì)數(shù)據(jù)中心不同服務(wù)器的訪問(wèn)權(quán)限，同時(shí)由于可訪問(wèn)該數(shù)據(jù)服務(wù)器的用戶(hù)均通過(guò)EAD的安全狀態(tài)檢查，避免數(shù)據(jù)遭受非法訪問(wèn)和攻擊。
網(wǎng)絡(luò)入口安全防護(hù) 炫億，炫億時(shí)代
對(duì)于金融機(jī)構(gòu)新業(yè)務(wù)的開(kāi)展，包括各種中間業(yè)務(wù)和大額支付、代收代付業(yè)務(wù)等，都存在與第三方合作機(jī)構(gòu)的網(wǎng)絡(luò)對(duì)接，這種組網(wǎng)方式受到的安全威脅也更嚴(yán)重。為了確保接入金融機(jī)構(gòu)網(wǎng)絡(luò)的用戶(hù)具有合法身份且符合金融行業(yè)安全標(biāo)準(zhǔn)，可以在外聯(lián)路由器上實(shí)施EAD準(zhǔn)入認(rèn)證。 xetimes.com
結(jié)論
EAD為金融網(wǎng)絡(luò)提供了一個(gè)全新的安全防御體系，該系統(tǒng)作為網(wǎng)絡(luò)安全管理的平臺(tái)，將防病毒功能、自動(dòng)升級(jí)系統(tǒng)補(bǔ)丁等第三方軟件提供的網(wǎng)絡(luò)安全功能、網(wǎng)絡(luò)設(shè)備接入控制功能、用戶(hù)接入行為管理功能相融合，加強(qiáng)了對(duì)用戶(hù)終端的集中管理，提高了網(wǎng)絡(luò)終端的主動(dòng)抵抗能力。通過(guò)對(duì)網(wǎng)絡(luò)接入終端的檢查、隔離、修復(fù)、管理和監(jiān)控，有效管理網(wǎng)絡(luò)安全，使整個(gè)網(wǎng)絡(luò)變被動(dòng)防御為主動(dòng)防御、變單點(diǎn)防御為全面防御、變分散管理為集中策略管理，讓網(wǎng)絡(luò)擁有“自動(dòng)免疫”的安全機(jī)能。結(jié)合金融網(wǎng)絡(luò)中的系列防火墻、IDS、IPS、VPN網(wǎng)關(guān)、以及網(wǎng)絡(luò)設(shè)備、主機(jī)服務(wù)器，為金融系統(tǒng)提供端到端的安全解決方案。
上一篇：思科(Cisco)虛擬桌面VDI基礎(chǔ)架構(gòu)端到端整體解決方
下一篇：某銀行智能監(jiān)控綜合解決方案