一、 背景概述
隨著云計算、物聯(lián)網(wǎng)、移動互聯(lián)網(wǎng)等新技術(shù)的出現(xiàn)，設(shè)備類型以及接入網(wǎng)絡(luò)方式呈多樣化、便捷化發(fā)展，未授權(quán)的筆記本、BYOD、網(wǎng)絡(luò)設(shè)備及各種各樣的loT設(shè)備都有可能威脅整個網(wǎng)絡(luò)的安全。這些未經(jīng)合規(guī)性檢測的終端可能會因未安裝殺毒軟件、漏洞補(bǔ)丁未更新等增加中毒、被攻擊的可能?！缎畔踩夹g(shù) 網(wǎng)絡(luò)安全等級保護(hù)基本要求》對三級以上“邊界防護(hù)”作出明確要求。如何規(guī)范網(wǎng)絡(luò)設(shè)備接入流程，實(shí)現(xiàn)終端認(rèn)證、權(quán)限及訪問控制的一體化管理已成為政務(wù)網(wǎng)絡(luò)亟待解決的問題。
政務(wù)網(wǎng)中存在的網(wǎng)絡(luò)接入風(fēng)險：
1.違規(guī)接入難以防范：政務(wù)網(wǎng)采用級聯(lián)模式分布，點(diǎn)多面廣，非法私接、仿冒難以防范。
2.邊界增多導(dǎo)致風(fēng)險劇增：由于政務(wù)網(wǎng)需與電子政務(wù)外網(wǎng)及其他網(wǎng)絡(luò)進(jìn)行數(shù)據(jù)交換共享，造成邊界增多，安全風(fēng)險劇增。
3.核心數(shù)據(jù)易受攻擊：政務(wù)網(wǎng)中存儲大量涉及公民信息、政務(wù)機(jī)密的數(shù)據(jù)，這些數(shù)據(jù)資源價值巨大，針對數(shù)據(jù)的攻擊行為也將增多。
4.資產(chǎn)數(shù)據(jù)管理混亂：資產(chǎn)數(shù)量統(tǒng)計、信息采集不準(zhǔn)確，數(shù)據(jù)更新不及時，IP地址使用混亂。
5.資產(chǎn)運(yùn)維存在安全隱患：運(yùn)維電腦違規(guī)接入，外包服務(wù)人員非法獲取并泄露關(guān)鍵數(shù)據(jù)。
二、 解決方案
遠(yuǎn)望準(zhǔn)入控制可對網(wǎng)絡(luò)內(nèi)終端主機(jī)、服務(wù)器、安全設(shè)備等資產(chǎn)類型進(jìn)行分類精確準(zhǔn)入控制，只有通過認(rèn)證的設(shè)備才允許接入，只有合法的應(yīng)用才允許在網(wǎng)絡(luò)中傳輸，從而防范非法私接、設(shè)備仿冒、非法掃描等問題，達(dá)到“信任接入、接入可知、接入可管”的管理規(guī)范。守住網(wǎng)絡(luò)入口，才能防范外來風(fēng)險。
資產(chǎn)管理：采用多種技術(shù)手段，實(shí)現(xiàn)網(wǎng)絡(luò)內(nèi)指定IP范圍內(nèi)軟硬資產(chǎn)的快速發(fā)現(xiàn)、自動識別與歸類。支持網(wǎng)內(nèi)IP資源使用進(jìn)行整體規(guī)劃、資源分配、回收登記管理。
注冊審核：支持對資產(chǎn)注冊入網(wǎng)注冊審核機(jī)制，對首次接入的終端設(shè)備或應(yīng)用系統(tǒng)要求提交注冊申請，在用戶登記終端設(shè)備的基本屬性信息并上報，由安全管理員審核通過并注冊完成后才允許其接入網(wǎng)絡(luò)。
接入控制：對網(wǎng)絡(luò)接入設(shè)備進(jìn)行管控，只有通過認(rèn)證設(shè)備才允許接入到網(wǎng)絡(luò)中。
入網(wǎng)安檢：對接入內(nèi)部網(wǎng)絡(luò)的終端在入網(wǎng)前進(jìn)行安全檢查，確保接入內(nèi)網(wǎng)的終端符合安全要求，防止造成內(nèi)網(wǎng)隱患。對于不符合安全要求的終端進(jìn)行隔離修復(fù)，修復(fù)完成后方能入網(wǎng)。
三、 應(yīng)用成效
1、符合等保2.0規(guī)范要求
依據(jù)網(wǎng)絡(luò)安全等級保護(hù)基本要求，實(shí)現(xiàn)了對非授權(quán)設(shè)備聯(lián)到內(nèi)部網(wǎng)絡(luò)發(fā)現(xiàn)和管控。
2、契合政府內(nèi)網(wǎng)信息安全管理要求
采用對接入設(shè)備安裝終端代理程序的方式，實(shí)現(xiàn)對接入設(shè)備的身份認(rèn)證和安全狀態(tài)檢查。從終端設(shè)備的安全管理入手，堵住信息安全漏洞的短板，正契合當(dāng)前政府部門內(nèi)部網(wǎng)絡(luò)的信息安全問題特點(diǎn)和管理需求。