ACK准入控制宣传手册2.0
ACK内网规范管理解决方案实名制准入控制硬件
动态划分安全域 多元绑定 IPAM监测 IP地址使用统计 非法IP阻塞
功能四、访客管理
用户规范管理 终端规范管理 网络规范管理
访客网与办公网隔离 利用现有网络，不改变网络配置 访客入网无物理限制 访客入网需员工授权 访客权限控制 访客入网审计
内网混乱的本质原因
一切安全风险皆来自于人带 来的威胁；
利用内网先天安全性不足；
现有安全技术多为被动防御 技术；
管理手段较为单一；
物理层 威胁
法规遵从意识不足；
网络层 威胁
人的 威胁
终端层 威胁
应用层 威胁
内网需要规范管理
内网安全 先管人
ACK内网规范管理 解决方案
ACK内网规范管理架构
终端认证 设备分类识别 强制插件安装 强制安全隔离
功能二、终端健康检查
用户规范管理 终端规范管理 网络规范管理
终端认证 设备分类识别 强制插件安装 强制安全隔离 终端合规性检查 安全修复向导 免插件软件识别
功能二、终端健康检查
用户规范管理 终端规范管理 网络规范管理
终端认证 设备分类识别 强制插件安装 强制安全隔离 终端合规性检查 安全修复向导 免插件软件识别
大型分支机构 IDNAC
Internet
专 线
V P N
小型分支机构 IDSensor
Firewall
IDWall
Trunk
TrunkAC HA-备 安
全
全
边
Cisco/802.1x H3C/802.1x Dlink Sw
HUB
界
边 界
功能一、实名制准入控制
用户规范管理 终端规范管理 网络规范管理
ACK测试方案
ACK IDNAC测试方案与报告ACK IDNAC测试方案与报告 (1)一、概述 (3)二、用户需求分析 (3)三、产品测试方案 (3)1．功能测试 (4)1.1测试环境拓扑 (4)1.2 测试前准备工作 (6)1.2.1测试环境设备准备： (6)1.2.2测试VLAN和IP地址规划： (7)1.3主要准入测试步骤和结果 (8)1.3.1测试目标：实现局域网无客户端条件下接入控制功能。
(8)1.3.2测试目标：虚拟机入网认证与控制测试 (9)1.3.3测试目标：域用户信息同步，登陆域用户免认证，禁止未登录域用户入网。
(9)1.3.4测试目标：终端注册功能，控制非法的私人电脑接入。
(10)1.3.5测试目标：对网络接入认证，ID/IP/终端绑定，实现专人专机，固定IP (11)1.3.6测试目标：终端资产管理，防止假冒终端 (11)1.3.7 测试目标：终端安全检查功能测试 (12)1.3.8 测试目标：终端桌面控制功能（U盘控制，文件分发、远程桌面等） (12)1.3.9 测试目标：指定设备可以直接接入，设备指纹防止假冒设备 (13)1.3.10 测试目标：威胁定位，非法HUB/SWITCH接入控制 (14)1.3.11 测试目标：测试访客入网管理功能，访客网与办公网相互隔离。
(15)1.3.12测试目标：支持分步骤实施，分VLAN逐步部署。
(16)1.3.13测试目标：用户和终端威胁定位功能 (16)1.3.14测试目标：实名制审计 (16)1.3.15测试目标：高可用性测试（一）----双机热备HA (17)1.3.16测试目标：高可用性测试（二）--ID MONITOR应急逃生系统 (17)1.3.17测试目标：高可用性测试（三）--异地容灾 (18)1.4网络访问控制策略测试步骤和结果 (20)一、概述ACK（北京艾科网信科技有限公司）的ID网络安全管理方案，ID网络管理是以网络准入为基础，实现基于人（ID）的网络管理，从而彻底解决了非法接入、无线安全、传统DHCP 等安全风险，实现了全网接入认证以及基于ID的IP管理、基于ID的边界防护、基于ID的访问控制、基于ID的网络审计等功能，加上与业界知名的桌面管理产品的联动和配合，实现了人、终端、IP三大要素的统一管理，彻底解决现有安全产品仅基于IP的终端独立管理模式。
艾科网信准入控制技术交流
802.1x接入控制技术示意
无线接入：1. 无法端 口IP绑定 2. 非802.1x
无线AP无法认证
路由器 防火墙
IPSec VPN
认证服务器
不适用于新老设 备混合部署的复 杂网络环境
OA服务器
各厂家交换机兼容 性差，华为客户端 不支持Cisoc交换机
无线AP
Cisco 802.1x 交换机
不支持
Linux WinXP
下挂Hub后：
1. 同一端口，办公VLAN和隔离VLAN不能共存
2. 同一端口，一台终端认证后，其他终端都可入网
准入控制技术
接入控制技术简介
➢ 网关控制技术：
在线部署在网关处，控制用户终端通过网关的所有数据 包。从而实现接入的控制。
不依赖于802.1x交换机，兼容老旧设备 问题：对内网的控制几乎没有，同时容易形成瓶颈； 产品：思科NAC（网关产品）、JUNIPER等
核心 交换机
华为 802.1x 交换机
Email服务器
华为 非802.1x
交换机
Hub
无法支持2层交 换机和Hub
Win2000 老iMac WinXP 客户端软件
即使是3层交换机，无 802.1x功能的交换机，无
法实现接入控制
必须安装客户端，
问题：1. 实施成本高；2. 老的 Windows不支持；3. Linux系统
用DHCP协议，建立IP层网络隔离区（隔离IP）， WebPortal认证通过后分配正常的IP，实现接入控制
不依赖于802.1x交换机，兼容老旧设备 实现IP的中心下发，统一管理 按人分配IP地址，实现安全域划分
问题：对设备、VLAN控制较弱 产品：艾科网信的ACK
中国移动 LTE无线参数设置指导优化手册 华为分册
中国移动TD-LTE无线参数设置指导优化手册-华为分册(征求意见稿)目录TABLE OF CONTENTS1 前言1.1 关于本书1.1.1目的本文主要介绍了华为TD-LTE系统版本的各个专题的相关参数，对参数进行介绍和分析，旨在帮助读者理解和使用系统中的参数，提高系统性能。
1.1.2读者对象本手册适用于TD-LTE系统的基本概念有一定认识的华为公司内部工程师。
1.1.3内容组织本手册是基于TD-LTE产品版本的参数介绍，其内容组织如下：第一章：对本手册的目的，读者对象，内容组织进行介绍。
第二章上行资源分配：介绍Sounding RS资源分配和上行调度的参数配置及调整影响。
第三章上行ICIC：介绍上行ICIC相关参数配置及其调整影响。
第四章下行资源分配：介绍PUCCH资源分配、下行CQI调整、下行调度和下行物理控制信道的参数配置及调整影响。
第五章下行ICIC：介绍下行ICIC相关参数的配置及其调整影响。
第六章下行MIMO：介绍下行MIMO（含Beamforming）与CQI模式的参数配置方法及其调整的影响。
第七章移动性管理：介绍切换、重选的参数配置及其调整影响。
第八章LC（过载控制）：介绍负载控制算法、随机接入控制算法、系统消息SIB映射、移动性负载平衡算法、准入控制算法的参数配置及其调整影响。
第九章功控算法：介绍影响上行功率控制算法、下行功率控制算法的相关参数及其调整影响。
第十章信道配置&链路控制：介绍影响DRX控制算法、上行定时控制算法、上行无线链路检测算法的相关参数及其调整影响。
第十一章数传算法：介绍影响AQM算法、TCP Agent算法的相关参数及其调整影响。
第十二章传输TRM算法: 介绍影响LMPT接口板下行流控算法、TRM算法的相关参数及其调整影响。
第十三章SON：介绍影响ANR算法、ICIC自组织模式选择算法、MRO算法的相关参数及其调整影响。
1.1.4撰写和评审记录1.1.5参考文献1)< LTE eRAN2 2 性能参数分册>2)<V100R005C00B009 离线MML>3)<LTE TDD eRAN 参数配置规则>4)< -DBS3900 LTE TDD 产品文档-(V100R005C00_01).chm>1.1.6本文的约定和说明本文重点关注和性能相关的参数：(基于M2000平台，以R版本为基础，缺省配置带宽为20MHz,)本文对应的产品版本请参看修订记录，未作特别说明的参数均是该版本的参数。
安全资料档案分册目录
安全资料档案分册目录1. 企业信息安全1.1 信息安全政策• 1.1.1 企业信息安全政策• 1.1.2 信息安全政策执行计划1.2 网络安全• 1.2.1 网络安全管理规定• 1.2.2 网络监控管理规定1.3 应急管理• 1.3.1 应急响应计划• 1.3.2 应急预案1.4 资产管理• 1.4.1 资产管理规定• 1.4.2 资产清单1.5 培训和意识• 1.5.1 信息安全培训课程• 1.5.2 安全培训计划2. 个人信息安全2.1 个人隐私保护• 2.1.1 个人隐私政策• 2.1.2 个人信息保护通知2.2 密码安全• 2.2.1 密码安全政策• 2.2.2 密码设置规则2.3 移动设备管理• 2.3.1 移动设备管理规定• 2.3.2 移动设备使用规定2.4 社交媒体管理• 2.4.1 社交媒体管理规定• 2.4.2 社交媒体安全指南2.5 身份认证• 2.5.1 身份认证规定• 2.5.2 身份认证流程图3. 物理安全3.1 门禁系统• 3.1.1 门禁系统管理规定• 3.1.2 门禁系统使用手册3.2 监控系统• 3.2.1 监控系统管理规定• 3.2.2 监控系统使用手册3.3 安全基础设施• 3.3.1 安全设施管理规定• 3.3.2 安全设施维护记录4. 环境安全4.1 环境管理• 4.1.1 环境管理规定• 4.1.2 环境安全手册4.2 健康管理• 4.2.1 健康管理规定• 4.2.2 健康安全手册4.3 空气质量管理• 4.3.1 空气质量管理规定• 4.3.2 空气质量测量记录5. 数据安全5.1 数据备份和恢复• 5.1.1 数据备份和恢复规定• 5.1.2 数据备份和恢复流程图5.2 数据加密和解密• 5.2.1 数据加密和解密规定• 5.2.2 数据加密和解密工具手册5.3 数据访问控制• 5.3.1 数据访问控制规定• 5.3.2 数据访问控制管理记录5.4 数据存储管理• 5.4.1 数据存储管理规定• 5.4.2 数据存储管理手册6. 应用程序安全6.1 应用程序安全检测• 6.1.1 应用程序安全检测规定• 6.1.2 应用程序安全检测报告6.2 应用程序入侵检测• 6.2.1 应用程序入侵检测规定• 6.2.2 应用程序入侵检测报告6.3 应用程序授权管理• 6.3.1 应用程序授权管理规定• 6.3.2 应用程序授权管理记录6.4 应用程序漏洞修复• 6.4.1 应用程序漏洞修复规定• 6.4.2 应用程序漏洞修复计划以上是安全资料档案分册目录，如果需要查看具体内容，请点开相应章节。
网络准入控制背景
北京艾科网信科技有限公司
创新更安全
艾科网信
各厂商市场分布率 项 目 规 模
大
华为
H3C
北京艾科
CISCO
深圳联软
杭州盈高
小 少
画方
客户数量和行业分布
多
北京艾科网信科技有限公司
创新更安全
优缺点 技术综合 性能优越 终端安全功能强 终端安全功能强 与交换机兼容好 无线控制功能强 网关型设备要求高 影响网速 802.1x支持较好 要求交换机支持802.1x 新厂商、案例少
创新更安全
艾科网信
ACK支持多种准入技术同时 使用，有效的避免单一准入 技术的盲区，是业界兼容性 最好、整合实用功能最多的 准入产品。
艾科网信
网络准入控制背景
北京艾科网信科技有限公司
创新更安全
艾科网信
思考： 什么是网络准入控制？
北京艾科网信科技有限公司
创新更安全
艾科网信
网络安全现状
被动防御 功能单一
• 防火墙、防毒墙、IPS、垃圾邮件 • 杀毒、防毒等
创新更安全
艾科网信
网络准入控制的诞生
网络准入控制是实名制ID网络准入控制 （NAC）的简称。是指对网络的边界进行 保护，对接入网络的终端和终端的使用 人进行合规性检查。
2004年，思 科的NAC进 入市场；许 多厂商跟进， 如NAP， A10等等
2002年，思 科提出NAC 的概念
北京艾科网信科技有限公司
防火墙、IPS、防毒墙 反垃圾邮件、网络行为审计 负载均衡、带宽流量管理 UTM、VPN 围堵策略，头痛医头，脚痛医脚
根据CSI/FBI等权威机构公布的数据，超过 80%的安全事件都发生在内网环境中； 蠕虫、木马、ARP病毒、DoS攻击层出不 尽；
1.0-JGKv2.0-技术白皮书
捷普安全运维管理系统Jump Gatekeeper白皮书Version 2.0西安交大捷普网络科技有限公司2014年1月目录一、运维管理面临的安全风险 (1)1.运维操作复杂度高 (1)2.运维操作不透明 (1)3.误操作给企业带来严重损失 (2)4.IT运维外包给企业带来管理风险 (2)5.法律法规的要求 (2)6.人员流动性给企业带来未知风险 (2)二、运维审计势在必行 (3)1.设备集中统一管理 (3)2.根据策略实现对操作的控制管理 (3)3.实时的操作告警及审计机制 (3)4.符合法律法规 (3)5.易部署、高可用性 (4)三、安全运维管理方案 (5)1.捷普安全运维管理系统简介 (5)2.应用环境 (6)四、系统功能 (7)1.运维事件事前防范 (7)1）完整的身份管理和认证 (7)2）灵活、细粒度的授权 (7)3）后台资源自动登录 (7)2.运维事件事中控制 (8)1）实时监控 (8)2）违规操作实时告警与阻断 (8)3.运维事件事后审计 (9)1）完整记录网络会话过程 (9)2）详尽的会话审计与回放 (9)3）完备的审计报表功能 (9)五、系统部署 (11)六、系统特点 (13)1.全面的运维审计 (13)2.更严格的审计管理 (13)3.高效的处理能力 (13)4.丰富的报表展现 (14)5.完善的系统安全设计 (14)七、产品规格参数 (15)1.参数规格 (15)2.产品功能 (15)一、运维管理面临的安全风险随着IT建设的不断深入和完善，计算机硬软件系统的运行维护已经成为了各行各业各单位领导和信息服务部门普遍关注和不堪重负的问题。
由于这是随着计算机信息技术的深入应用而产生的，因此如何进行有效的IT 运维管理，这方面的知识积累和应用技术还刚刚起步。
对这一领域的研究和探索，将具有广阔的发展前景和巨大的现实意义。
大中型企业和机构纷纷建立起庞大而复杂的IT系统，IT系统的运营、维护和管理的风险不断加大。
Sox内控审计规定
Q1~Q27, 中国企业合规工作答疑之一: 关于萨班斯法案Q1. 什么是萨班斯法案？A1. "安然"事件爆发后，为了防止类似的由于企业内部控制失效造成的公司舞弊和欺诈，美国总统于2002年7月颁布了《2002年萨班斯·奥克斯法案》（简称"SOA"）。
该法案第404条款要求在美国上市的上市公司的管理层在每一年都对公司的与财务报告相关的内部控制是否有效出具管理层自我评价报告，并且由公司的外部审计师审核并测试该等内部控制是否有效。
Q2. 违反SOA法案要承担什么责任？A2. 对虚假声明的刑事处罚：刑事处罚——无论是谁——"…(1)明知包括财务报告在内的定期报告未能满足本节提出的全部要求，却签署了本节(a)条和(b)条所述之证明的，应该被处以不多于100万美元的罚款，或不多于10年的监禁，或并罚；或(2) 明知包括财务报告在内的定期报告未能满足本节提出的全部要求，却故意签署了本节(a)条和(b)条所述之证明的，应该被处以不多于500万美元的罚款，或不多于20年的监禁，或并罚。
…"（引自SOA法案906节）Q3. 为什么要遵守SOA法案？A3. 目前所有在美国上市的公司，包括在美国注册的上市公司和在外国注册而于美国上市的公司，都必须遵守萨班斯法案。
Q4.目前的SOA项目主要做什么？A4. 该项目主要是在审计师进行审计工作之前，企业的合规工作项目小组应检查公司目前的与财务报告相关的内部控制是否存在重大控制缺陷（定义请参见Q20），对于存在重大控制缺陷的地方（即针对关键控制的控制设计失效、或者控制执行失效的地方）进行修改。
Q5. SOA项目的目标是什么？A5. SOA项目的目标在于通过验证企业的与财务报告相关的内部控制是否有效，从而为财务报告可靠性目标提供有效支持。
Q6. SOA项目主要包括哪些方面的工作？A6. SOA项目主要涉及三个层面的工作需要进行准备，包括：公司层面控制、流程层面控制、一般信息技术控制。