盈高入网规范管理系统ASM产品说明V1

盈高入网规范管理系统ASM6000平台产品说明V1.0 INFOGO A ccess S tandard M anagement System声明：本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属盈高科技所有，并受到有关产权及版权法保护。

任何个人、机构未经盈高科技的书面授权许可，不得以任何方式复制或引用本文的任何片断。

商标：盈高、INFOGO是盈高科技的注册商标，未经允许，不得引用。

目录1产品概述 (1)1.1“亚安全”带来的挑战 (1)1.2安全准入的技术选择 (2)1.2.1良好的网络及终端适应性 (2)1.2.2先进的网络准入控制框架 (2)1.2.3系统可靠性高 (3)1.2.4专业的服务团队 (3)1.3系统简介 (4)1.4技术架构 (4)2产品主要功能 (6)2.1边界控制管理 (6)2.2人员认证管理 (6)2.3设备规范管理 (8)2.4操作行为管理 (11)2.5视角报表管理 (12)2.6分布部署管理 (13)3产品技术特点 (14)3.1安全高效的系统平台 (14)3.2弹性系统设计 (14)3.3设备采集智能化 (15)3.4卫星式安全定位 (15)3.5丰富的实名认证方式 (16)3.6灵活全面的授权管理 (17)3.7支持复杂大网络 (17)3.8运行高可靠性 (17)4部署方案 (19)4.1典型部署 (19)4.2高可用性部署 (20)4.3复杂环境部署 (21)5特别声明 (22)1产品概述1.1 “亚安全”带来的挑战在大部分的用户网络中，对外部网络边界进行防护的安全设备如防火墙、UTM、流控、IDS等都已经部署到位，但是内部网络的安全层次却很低，往往很容易就可以进入到单位内部的信息系统中。

在这样的安全状况下，不用说黑客，就是普通员工也会有意无意地干出一些惊天动地的事情。

某上市公司，由于生产车间离运维部门比较远，有人私接hub入网，在无意中将hub的2个端口用网线连接后导致整个生产网络中断。

Hub的存在是小事，但引发全网断网就是大事。

某地区重点医院，在内部不设防的情况下被外来人员用无线路由器接入内网，获取大量医药信息后进行贩卖。

在没有发生安全事故的情况下，内部仿佛天下太平，但门户洞开的隐患却可以在一瞬间铸成大错。

无视内部漏洞和安全管理不规范，可以保持90%时间的表象正常，但10%的风险就足以造成200%的损失。

这就是典型的“亚安全”现象。

●企业通常采用的安全产品和方案使用交换机的端口-mac绑定，可以获得比较严格的控制力度，外来的电脑基本无法随意接入内部，本地的电脑也不能轻易移动；有的单位部署了AD域，这也是很强势的一种管理方案，可以很好的满足内部认证及安全策略的强制要求；在早期的桌面管理浪潮中，一大批单位部署了桌管系统，内部用户的计算机在安装了桌面客户端的情况下，也可以通过强制派发的策略来应对很多的潜在安全问题。

●安全选型趋势端口-mac绑定是更适用于小型单位或网络的简单方案，管理员可以逐台交换机手动配置过去，也可以在出现变更时再逐台进行改换，但在大型的网络中这样的方法不啻为一个噩梦，试想在有2000~3000台员工计算机的网络中，很可能一个管理员一天忙到晚就只能干这样重复的事情。

另外仅凭mac地址这样单一的安全要素来进行管理已经无法满足管理者更高的安全要求。

对于很多机构而言，采用AD域能够构建出一套强大的系统，但伴随的技术复杂度则是横亘管理者面前的难关，员工不加入域逃避管理也是一个逃避控制的偏方。

另外，IT的发展正朝着开放性、多架构平台性的趋势演变，特备是当前BYOD的浪潮下，AD域将面临非windows系统所带来的严峻挑战。

桌面管理系统在经过了2010年之前的热潮后，发展速度趋缓。

纯粹基于客户端安全管理类的产品在机构内正逐渐失去当初的魅力。

其中包括员工抵触情绪、部署后的系统兼容性问题、后期的大量维护工作、ASR（Agent Survival Rate）等都提升了整个项目的TCO（Total Cost of Ownership）。

对于异构终端，如：平板电脑、智能手机、字符终端系统，甚至于物联网终端，桌面管理系统无法良好的适应。

总的来说，无法确定现在网络中有多少各种设备、终端，是什么种类；无法确定入网终端的安全状况、合法性；无法确定此时有哪些人员入网访问，访问了何种资源；机构的安全规范无法得到有效遵从；私接hub及无线路由器无法进行有效的管理；无法迅速安全定位到终端设备和使用者。

这就是我们网络中的“亚安全”。

“亚安全”的出现往往不如其他网络安全问题来的那么激烈，常常不被人重视，但是其带来的安全隐患却非常严重。

因此“亚安全”的存在严重影响了信息网络的正常运行。

1.2 安全准入的技术选择1.2.1良好的网络及终端适应性一般考虑到要部署准入控制系统的单位，信息化建设已经达到了一定高度，网络环境已经建设好，存在多种网络设备和复杂终端设备。

作为网络准入控制系统的选择，要考虑产品是否支持多种入网强制技术，是否支持多样化的异构终端识别（如：智能手机、平板电脑、字符终端、网络打印机等），以适应各种复杂性的网络环境。

所以选择准入控制产品必须能够适应用户多种多样的信息系统环境，尽量避免进行网络改造。

盈高入网规范管理系统（ASM6000）就具备“不改变网络、灵活客户端”的特性，适合各类复杂网络和混合型部署网络，支持多种接入方式，支持CISCO、H3C、华为等多个厂商的设备，很好的满足及适应了客户网络的复杂性。

1.2.2先进的网络准入控制框架现在各种厂家介绍了很多种网络准入控制的技术解决方案，那么我们先要了解一下现行的网络准入控制框架都有哪些？他们分别有什么优缺点？网络准入控制未来的发展趋势是怎么样的？根据美国著名调研机构Gartner研究，他们把所有的NAC厂家、技术统一做了归类与分析，提出了三个NAC技术框架的理论：1、基于端点系统的架构--Software-base NAC；主要是桌面厂商的产品，采用ARP干扰、终端代理软件的软件防火墙等技术。

2、基于基础网络设备联动的架构—Infrastructure-base NAC；主要是采用802.1X技术的产品。

3、基于应用设备的架构—Appliance-base NAC；主要是专业准入控制厂商，如盈高的入网规范管理系统。

综观这三种框架的进化与发展，现在完全基于Software-base的架构，范围及控制力度有限，目前已不被用户接纳；而大多数网络设备厂商现在主要推崇Infrastructure-base的架构，可以促进他们网络设备的市场销售，但存在互相设置壁垒的问题；现在国外比较新兴的是采用Appliance-base 架构的NAC设备，在部署应用方面有优势。

目前市场认可度比较好的NAC方案，是集成了成熟的第二代Infrastructure-base 架构以及第三代Appliance-base NAC 架构，融合两者优点的方案。

盈高入网规范管理系统（ASM6000）是基于第三代准入控制技术的专业产品。

支持包括802.1x、PBR、MVG、Bridge等多种先进准入控制技术，在性能上、功能上优于基于Software-base NAC和Infrastructure-base NAC的厂商。

1.2.3系统可靠性高用户一旦建成网络准入控制系统后，就意味着所有终端每天进入网络，都依赖于这套网络准入控制系统的解决方案。

现在市面上的网络准入控制方案有纯软件、有纯硬件也有软硬件结合的。

但是建议用户一定要选择具有高可靠性的、系统集成度高的成熟方案。

而不要因为先期价格低廉带来后期维护成本居高不下。

另外选择无论哪种方案，一定要求有完善的逃生方案，具备“Fail-Open”模式，不存在单点故障。

绝对不能因为网络准入控制系统的建设影响业务连续性，导致正常办公业务无法开展。

盈高入网规范管理系统（ASM6000）在设计时就充分考虑了系统可靠性，具有多种逃生方案，支持双机热备、后台数据共享和多级级联管理模式，在大量项目的实际应用中，获得客户满意认可。

1.2.4专业的服务团队要建设好网络准入控制的项目，一定需要有一个相关项目实施经验丰富的，具有良好风险管理的专业技术服务团队支撑。

甚至可以说“技术服务比产品更重要”。

在项目建设前期，需要能够规划出适合用户网络的准入控制解决方案。

从安全、管理、项目建设成本、风险控制等方面都要有详细的计划。

在项目实施时，需要有一套完整的项目建设计划与配套的项目管理制度。

在项目运行后，一定要有及时响应的客服体系。

盈高科技拥有一支具备6年以上安全准入控制项目实施和客户服务经验的队伍，具备多个大型政府行业、金融行业、运营商和上市集团的项目实施经验，精通各个网络厂商的网络设备联动技术，熟悉各个政府及行业的入网规范要求，能有效保障项目的成功实施和可靠运营。

1.3 系统简介ASM6000入网规范管理系统系列产品，是完全基于最先进的第三代准入控制技术的纯硬件网络准入控制系统。

是在总结了ASM4000系统及用户需求的基础上，秉承“不改变网络、灵活客户端”的特性，研制的新一代入网规范管理系统。

ASM6000改变了业界传统的将准入控制系统作为一个单独功能产品的做法，率先提出准入平台的概念。

实现了广泛地结合用户已有的交换机、杀毒软件、AD域、LDAP服务器等，并完全实践了“入网-在网-出网”的整体化流程。

能够达到“违规不入网、入网必合规”的管理规范。

产品功能支持包括：身份认证、设备智能识别管理、全网安全结构管理、友好WEB重定向引导、基于角色的动态授权访问控制、可配置的安全检查规范库、“一键式”智能修复、实名日志审计等功能。

一方面满足等级保护对网络边界、终端防护的相应要求，同时提供更高效、更智能的网络准入防护体系。

1.4 技术架构盈高入网规范管理系统技术模块分为4层：INFOGOOS、服务模块层、终端代理、Web 框架。

INFOGOOS——安全的底层操作系统。

采用整盘加密，应用层透明访问。

开放的服务能够抵御一定的DDOS攻击和数据篡改。

并提供高可用性支持。

服务模块层——可以读取和接受各种服务参数，配置文件（XML文件）方式。

传输时可以抛出相关管理信息，包括：IP、端口、操作、文件、大小、MD5值等。

补丁系统用于从微软下载CAB文件包，进行MD5值校验。

终端代理——客户端设计为连接服务器的模式，客户端向服务器发送数据时采用TCP 的方式进行操作。

客户端定时向服务器提交数据，并定时从服务器端获取本机器的各种策略。

WEB框架——Web端主要分为两个部分，第一部分是客户机安全检查，第二部分是后台管理配置。

终端设备通过第一部分来进行设备注册、身份认证和安全检查。

管理员主要通过后台管理配置进行所有的系统配置、设备管理、规范制定、查询统计和网络基础控制。