准入控制系统需求说明
网络准入控制系统集中式管理方案
网络准入系统集中式管理方案1、项目背景目前网络安全概况自从在股份公司和下属分公司在业务系统上大力推广信息化发展策略,目前公司运作的网络是由17家公司的内部网络通过MPLS VPN网络构成的广域网,规模庞大;同时信息技术的快速发展导致信息网络所起的作用越来越巨大,股份公司及下属分公司的连接密度越来越大,人员交流和业务系统的使用网络更为频繁,终端所面临的各种安全问题也越来越突出;各个公司的内网构建因规模大小和建设时间的不同,网络的使用情况也不一样,特别是网络设备的品牌和型号各异,而且员工和访客携带的电脑或者终端等可以随意接入公司网络,在信息安全管理上存在很大的管理难度和安全风险;2017年6月1日,国家网络安全法颁布,明确要求各单位加强网络安全建设,而且股份公司属于上市公司,在网络安全上必须加强安全防范措施,增加网络准入控制和审计手段,完善公司的信息化安全体系;网络架构概况基于业务需求和网络稳定性需求,整个股份公司的各分支公司都是通过租用联通公司的MPLS VPN专线网络解决公司之间的网络连接,其中股份公司和南沙公司的网络访问需求最大;MPLS VPN网络拓扑图大概如下：图1 MPLS VPN 网络拓扑图概图各公司内网网络架构概图如下图2所示：图2 各公司内部网络拓扑图概图各公司的调研情况从表1中可以看出各公司的人员、终端设备和网络设备等等都情况各异,需要从多角度考虑信息安全的管理技术问题和网络准入方案的技术可行性;信息安全管理的存在风险目前,各公司都存在如下的信息安全管理风险：1 公司内部无法对未授权的外来电脑及智能终端接入内网的行为进行有效的认证控制和管理;外来人员或者员工能够轻易地把终端设备接入到办公网,特别是恶意用户如黑客,商业间谍的接入,可能会导致公司机密文件被窃取,或者网络服务器被攻击等等网络安全事件发生,造成严重的后果;随着无线WIFI的普及,私自增加外联WIFI设备用于移动端设备上互联网,内部网络安全更加难以控制管理;如何做到有线和无线WIFI 统一的网络入网管理,是安全的重中之重;2 篡改终端硬件信息;比如：当某些员工知道领导的IP地址权限比较高的时候,把自己的计算机也设置为领导的IP,于是获取了和领导一样的权限,导致领导身份被假冒,或者和领导使用的计算机造成IP地址冲突而导致被冲突的计算机网络故障,这样会直接影响业务办公;3因为公司内网的很多网络设备是不可管理,当网络内部出现网络安全事件的时候,很难查询到IP地址或者设备MAC地址的使用信息,难以定位到责任人;4因各分公司和股份公司之间的网络已经通过MPLS VPN线路构建成了一个规模更大的广域网架构,只要有一个地方的网络安全出现风险,其他地方的网络安全风险也会受影响;所以,对终端设备进行网络准入控制是保证股份公司网络信息安全的一种安全边界管理手段,需要做到全局考虑,做到分布式部署、集中管理,集中信息统一展示,以股份公司为整体设计一个适合本公司的网络准入系统,构建公司内部网络的边界管理保障体系,用于保障股份公司的网络信息安全;2 网络准入系统的详细需求系统功能需求准入控制要保证网络边界的安全性以及完整性,就必须实现网络准入控制,支持对接入网络的人员和终端进行身份认证和准入检查,防止非授权用户、非法终端、不安全终端接入办公网,做到安全有效的拦截;其中终端检查包括终端硬件信息检查,防病毒软件检查,系统版本及补丁检查等;用户管理能够对用户实现按人、按部门、按级别进行管理,用户数据能够从AD域中导入;支持第三方认证服务如radius,LDAP,AD,SQL等认证方式;IP地址的管理必须做到杜绝非法设置静态IP地址并能主动检测和拦截此更改动作行为,阻拦此终端的网络连接;要能够按部门、按角色、按人ID分配IP或IP网段;能确定IP的目前使用人和过去使用者;设置访客特定区域;因公司业务交流需求,能够为访客提供特殊通道,访客经过审批授权允许后,访客可以借助公司网络资源连接互联网,还可以授权访客能够访问指定开放的内部资源;用户认证登录管理因公司的管理需求,将在股份公司范围内推广域控制管理模式,对于加入域的电脑能够结合域用户作为认证需求,域用户联网登录桌面系统时进行网络准入认证;未加入域的终端能够提供简易的认证方式,同时也可以通过域用户做认证;系统支持修改认证用户的密码;能够做到用户漫游,即在分公司能都通过内部用户登录网络,到总部和其他分部也可以用此用户登录,获取同等权限;审计日志管理系统能够详细日志的审计功能,能够审计设备、人员、使用IP地址之间的关联信息,能够快速审计到设备使用责任人;防止用户卸载软件,支持无客户端准入规则,防止网络架构变更出现准入漏洞;出于网络准入安全和严谨的控制要求,网络准入系统必须能够做到对于未安装客户端软件或者卸载安装客户端软件的终端设备先认证后才能入网;必须做到防止用户通过假冒合法电脑网络配置信息未经授权认证进入公司内网;必须做到防止用户私自增加无线路由器或者非可管交换机HUB改变了网络架构而出现网络准入控制漏洞,导致未认证进入公司内网的现象;系统的稳定性和可靠性鉴于网络准入控制的稳定性和可靠性,在网络准入系统出现宕机或者因系统故障无法提供认证时,能够提供网络准入系统在长时间内无法恢复的紧急预案措施,保证系统能够快速切换到无认证状态下,保证网络的正常使用;当网络准入系统恢复正常时候时,快速切换到认证状态,保证网络的准入认证控制;系统管理简单方便因各分公司的系统维护人员的技术水平有限,有些分公司甚至缺少系统维护岗位人员,所以此系统应该偏向简单化,易管理维护;因为考虑到本方案部署规模比较大,特别因产品方案不同对网络设备的支持功能需求也会有所不同;股份公司原有一台网络准入系统,但是有些新的功能需求不能满足,从技术和投资成本上考虑,优先考虑现有网络设备的利旧问题,减少额外的费用支出,做到真正有效的费用节省;3 部署方案设计根据公司对网络准入系统的实际需求和技术讨论确认,本方案采取单控制器的集中式管理方式,在股份公司部署一套网络准入系统作为管控中心,同时也负责股份公司本地网络的网络设备的准入控制,其他16家公司根据需求不同而选择不同性能的网络准入系统,通过VPN网络连接股份公司的管控中心,由管控中心统一管控,由各公司的管理用户分角色管理;网络准入系统的网络架构图如下图3所示：图3 网络准入系统的网络架构图本方案部署详解如下：1股份公司的网络准入系统集中管控中心,其他分公司的网络准入系统为不可管控的准入代理设备,其由管控中心集中管理;2分别在股份公司和南沙公司搭建AD域控服务器,提供员工域用户信息给员工用来做认证准入功能,这两台服务器进行数据同步;其他分公司也是由网络准入系统通过网络连接AD域控制服务器读取员工域用户信息做认证;3逃生机制原理处理方法：当网络准入系统失效时,系统自动切换到无认证的网络模式,使已经准入认证过后的终端设备或新接入网的终端设备不受通信影响;4故障点详细分析和应紧处理方式：故障点1、股份公司的网络准入系统故障时,作为管控中心的单点故障将会直接影响到所有公司包括股份公司本地内网的网络准入失效,会对新需要入网的终端设备无法认证入网,而已经认证后的设备在不中断内网连接的情况下其公司的内部网络通信不受影响;此时单点故障发生后,所有公司各自启用网络逃生机制,取消网络认证功能,自动切换到无认证的网络接入模式,保证内网的正常使用;当设备系统恢复后,可切换回认证模式,恢复网络准入控制;故障点2、本方案采用的是单控制中心,当股份公司VPN线路端出现故障时,16家分公司的网络准入系统将无法通过VPN线路连接到管控中心,这会导致16家分公司的网络准入系统同时失效,会对新需要入网的终端设备无法认证入网,而已经认证后的设备在不中断内网连接的情况下在其公司的内部网通信不受影响,当此故障点发生后,16家分公司都会启用逃生机制自动切换到无认证模式的接入;故障点3、当某个分公司的VPN线路端发生单点网络故障或者网络准入系统发生的单点设备故障,此时此分公司内部的网络准入系统都会失效,会对于新需要入网的终端设备无法认证入网,而已经认证后的设备在不中断内网连接的情况下在其公司的内网通信不受影响,此分公司会启用逃生机制自动切换到无认证模式的接入;4 招标技术要求股份公司原有一套网络准入系统使用标准的DHCP和准入技术,但是不能满足此方案中的所有需求;为了做到利旧的原则,原有的网络准入系统原则上不做淘汰,新准入系统最好能兼容或者最大限度的利用原有的准入系统;具体的准入系统技术要求如下：（1）总体要求：支持总共不少于3500终端的准入性能许可,准入方案中需要说明是利用原有准入硬件系统只提供软件还是提供新的硬件系统,如果提供新硬件,需要新硬件ALL In One要求,单台设备支持所有功能,无需再配置服务器或者第三方系统软件,并说明如何利用原有准入系统;16个分公司要做到股份公司统一准入管理；准入方案要具有可扩展性,为以后公司的容灾扩展提供方便,方案中要说明;提供应急逃生方案;2内网接入控制技术要求：基于DHCP的Webportal认证接入,同时可结合准入一起使用支持无客户端准入无线接入控制支持老旧交换机和Hub的接入控制不得使用串接、策略路由、更改交换机VLAN的准入控制技术建立接入隔离网,隔离不明终端支持来宾访客网;3用户管理要求：能结合AD域用户,自动同步AD域用户,实现AD域单点登录用户自注册、自服务定制用户口令安全等级、弱口令字典、过期时间用户口令防暴力破解支持外联LDAP、SQL用户数据库4IP地址管理要求接入网络非法IP自动隔离,杜绝非法设置IP造成IP冲突内嵌DHCP服务,认证后的DHCP地址分配基于组/角色/终端的IP地址下发,IP统一可视化管理基于认证的IP地址管理交换机端口接入人及状态的图像直观显示5认证要求：可以做到无客户端强制认证支持动态口令牌和动态口令卡内嵌RADIUS服务器、RADIUS统一认证基于用户、部门或角色定义认证强度短信方式多因素认证其他网络设备的ID扩展接口API支持第三方认证系统,并实现无缝集成;6哑终端准入要求：支持哑终端设备指纹扫描,无需安装客户端或插件,识别唯一设备类型哑终端设备指纹支持：防范非法终端仿冒设备网络打印机、网络摄像头等7主机健康检测要求：强制插件安装对终端杀毒软件检查,防止无杀毒能力终端入网能够检查终端网卡的唯一性、禁止Proxy代理按不同网段定制不同主机健康检查策略按不同的终端组定制不同主机健康检查策略;8用户上网、下网审计要求：IP使用人实时和历史记录查找IP网段当前使用人及状态直观图表显示用户IP实时和历史记录查找对IP日志的按用户管理和查找可提供详尽的报表以及标准的日志导出、存贮、查询功能;9部署方式及应急灾备：旁路式部署,不改变网络结构可实现多级分布、分级部署,由一个平台统一管理可实现跨路由的数据分布式同步多台互为容灾热备Active/Active设备支持异地容灾、本地双机冗余热备HA等5 产品购买清单6 项目实施周期因本方案是以股份公司为整体设计的方案,牵涉公司单位共有17家,所以实施周期会比较长,实施安装需要分3期,由信息部系统组和厂家技术支持为主,各分公司系统管。
3.终端准入控制功能及方案资料
EAD解决方案概述——维护网络正常秩序，助力企业核心价值H3C终端准入控制解决方案（EAD，End user Admission Domination）是全球首个推向市场的终端管理解决方案，也是国内应用最广、用户数最多的终端管理系列产品。
EAD方案为网络管理者、网络运营者和企业IT人员提供了一套系统、有效、易用的管理工具，帮助保护、管理和监控网络终端，使网络能够为企业的核心目标和核心业务服务，减少了日益复杂的网络问题和非法使用对网络用户的牵绊。
5 EAD终端准入控制解决方案EAD解决方案通过多种身份认证方式确认终端用户的合法性；通过与微软和众多防病毒厂商的配合联动，检查终端的安全漏洞、终端杀毒软件的安装和病毒库更新情况；通过黑白软件管理，约束终端安装和运行的软件；通过统一接入策略和安全策略管理，控制终端用户的网络访问权限；通过桌面资产管理，进行桌面资产注册和监控、外设管理和软件分发；通过iMC UBA用户行为审计组件，审计终端用户的网络行为；通过iMC智能管理框架基于资源、用户和业务的一体化管理，实现对整个网络的监控和智能联动。
从而形成对终端的事前规划、事中监控和事后审计的立体化管理。
EAD解决方案对终端用户的整体控制过程如下图所示：EAD解决方案组件：EAD解决方案组件包括智能客户端、联动设备、安全策略服务器和第三方服务器。
⏹智能客户端：是指安装了H3C iNode智能客户端的用户接入终端，负责身份认证的发起、安全策略的检查以及和安全策略服务器配合进行终端控制。
⏹联动设备：联动设备是网络中安全策略的实施点，起到强制用户准入认证、隔离不合格终端、为合法用户提供网络服务的作用。
根据应用场合的不同，联动设备可以是交换机、路由器、准入网关、VPN或无线设备，分别实现不同认证方式（如802.1X、VPN和Portal等）的终端准入控制。
针对多样化的网络，EAD提供了灵活多样的组网方案，联动设备可以根据需要进行灵活部署。
网络准入准入控制系统解决方案
网络准入准入控制系统解决方案网络准入准入控制系统是一种用于管理网络访问的解决方案。
通过该系统，网络管理员可以对网络中的用户、设备和应用进行权限控制和访问控制，以确保网络环境的安全和稳定。
下面将详细介绍网络准入准入控制系统的解决方案。
首先，网络准入准入控制系统需要建立一个全面的用户身份认证系统，以确保只有经过身份认证的用户才能接入网络。
在该系统中，用户需要输入正确的用户名和密码来登录网络，从而获得网络访问权限。
此外，系统还可以实现多种身份认证方式，如使用指纹、虹膜识别等，来提高网络访问的安全性。
其次，网络准入准入控制系统还需要对接入网络的设备进行身份认证和访问控制。
这些设备包括电脑、手机、平板等终端设备。
通过在网络准入准入控制系统中注册设备的唯一标识符，如MAC地址或IMEI号码，可以对设备进行身份认证，并针对不同的设备类型设置不同的访问策略。
例如，可以禁止一些不受信任的设备访问网络，或限制一些设备只能访问特定的应用程序。
另外，网络准入准入控制系统还可以实现对网络中流量的监控和分析。
通过对流量进行实时分析，可以检测和阻止一些网络攻击，如DDoS攻击、入侵和恶意软件传播等。
同时，系统还可以记录网络中的访问日志，用于追踪和调查安全事件。
此外，网络准入准入控制系统还可以与其他安全系统集成，如防火墙、入侵检测系统等。
通过与这些系统的集成，可以实现多层次的安全保护，并提高整个网络的安全性。
最后，网络准入准入控制系统需要提供一个统一的管理平台，用于配置和管理系统的各项功能。
网络管理员可以通过该平台对用户、设备和应用的访问权限进行灵活的设置和调整。
同时，该管理平台还需要提供实时的监控和报警功能，以便网络管理员能够及时发现和应对安全事件。
综上所述，网络准入准入控制系统可以通过建立全面的用户身份认证系统、设备身份认证和访问控制、流量监控和分析、与其他安全系统的集成以及提供统一的管理平台等方式来解决网络访问控制的问题。
网络准入、准入控制系统解决方案
捍卫者内网准入控制系统内网安全的一个理念就是，要建立一个可信、可控的内部安全网络。
内网的终端构成了内网90%以上的组成,当之无愧的成为内网安全的重中之重.因此内网安全的重点就在于终端的管理.管理终端，建立一个可控的内网,至少需要完成以下基本问题的处理：一、非法接入内网问题公司内网连接着众多的服务器和终端,运行着OA、财务、ERP 等众多系统和数据库，未通过认证的终端如果随意接入内网，将使这些服务器、系统和重要数据面临被攻击和窃取的危险.二、非法外联问题通常情况下，内网和外网之间有防火墙、防病毒墙等安全设备保障内网的安全性，对于保密网络，甚至是要求与外网物理隔绝的。
但如果内部人员使用拨号、宽带、GPRS、CMDA等方式接入外网，使内网与外网间开出新的连接通道，外部的黑客攻击或者病毒就能够绕过原本连接在内、外网之间的防护屏障,顺利侵入非法外联的计算机，盗窃内网的敏感信息和机密数据，造成泄密事件，甚至利用该机作为跳板，攻击、传染内网的重要服务器,导致整个内网工作瘫痪.而内部人员也可利用不受监管的非法外联发送或泄漏公司的商业秘密。
三、使用者上网行为问题很多公司员工经常使用QQ、MSN之类的进行聊天，使用迅雷之类的软件P2P下载，或上网观看视频，会造成工作效率低下、公司带宽被占用的情况。
还有员工登录论坛留言发帖，可能发表非法或恶意信息,使公司受到相关部门的处罚或名誉受损等.➢基于安全准入技术的入网规范管理产品➢基于非法外联接入的入网规范管理系统➢基于可信域认证的内网管理系统➢计算机终端接入内外网的身份认证系统➢软件及硬件单独或相互联动的多重管理方式产品功能●可信域终端接入管理●未通过认证终端接入访问受限●支持USB KEY作为可信凭据●完整的准入审计记录●可与AD域服务器或LDAP服务器相结合认证●黑白名单两种方式进行终端访问管理●支持级联模式部署。
准入管理系统
准入管理系统在当今复杂多变的商业环境中，准入管理系统已经成为了众多企业和组织不可或缺的一部分。
它就像是一道坚固的大门，决定着谁能进入、谁被阻挡在外，以确保组织内部的安全、有序和高效运行。
那么，究竟什么是准入管理系统呢？简单来说，准入管理系统是一套用于规范和控制人员、设备、信息等资源进入特定区域、网络或系统的规则、流程和技术手段的集合。
对于企业而言，人员的准入管理至关重要。
新员工的入职需要经过一系列的审核和审批流程，以确保其具备相应的能力和资质，符合企业的价值观和业务需求。
这不仅包括对学历、工作经验等基本信息的核实，还可能涉及到背景调查、技能测试等环节。
通过准入管理系统，企业可以将这些流程标准化、自动化，提高效率的同时减少人为失误。
在网络安全领域，准入管理系统更是发挥着关键作用。
随着数字化程度的不断提高，企业的网络面临着越来越多的威胁。
未经授权的设备接入网络，可能会带来病毒、恶意软件等安全隐患。
准入管理系统可以对连接到网络的设备进行身份验证和授权，只有符合安全策略的设备才能访问网络资源。
例如，它可以检查设备是否安装了最新的杀毒软件、是否符合操作系统的安全补丁要求等。
此外，准入管理系统在信息资源的管理方面也有着重要的应用。
企业内部可能存在着各种敏感信息，如客户数据、财务报表等。
只有经过授权的人员才能访问这些信息，以防止信息泄露。
准入管理系统可以根据用户的角色和权限，控制其对不同信息资源的访问。
一个有效的准入管理系统通常具备以下几个特点。
首先是准确性。
它能够准确地识别和验证用户的身份和权限，避免误判和漏判。
这需要系统具备可靠的身份验证技术，如密码、指纹识别、人脸识别等。
其次是灵活性。
不同的组织和场景可能有不同的准入需求，系统应该能够根据具体情况进行定制和调整，以适应多样化的业务需求。
再者是实时性。
能够及时响应和处理准入请求，确保业务的正常进行。
然后是安全性。
系统自身要具备强大的安全防护机制，防止被黑客攻击和数据泄露。
北信源-终端准入控制系统
北信源VRV-BMG终端准入控制系统产品背景网络接入控制管理系统能够强制提升企业网络终端的接入安全，保证企业网络保护机制不被间断，使网络安全得到更有效提升。
与此同时基于设备接入控制网关，还可以对于远程接入企业内部网络的计算机进行身份、唯一性及安全认证。
通过网络接入控制管理系统可以满足企业要求，将设备接入控制扩展到超出简单远程访问及路由器、专有协议和已管理设备的限定之外；能够覆盖到企业网络的每一个角落，甚至是当使用者拿着他们的移动设备离开企业网络时，仍能有效的提供设备接入控制的执行。
网络接入控制管理系统针对所有的网络架构工作，并且不必进行昂贵的网络架构改造。
北信源VRV-BMG终端准入控制系统产品是一款基于内网用户网络行为管理和控制的硬件网关。
有如下具体特点：1)具有网络访问控制、网络行为管理、网页过滤检查、带宽流量管理、综合内容审计等功能。
主要用于解决企业内网、行业用户接入互联网或外联网可能引发的各种安全问题。
通过对内网用户的网络行为管理和控制，从而解决网络规范访问控制、网页浏览过滤、网络带宽资源滥用，以及对P2P软件、游戏软件、股票软件、即时通信等各种应用软件的管理和控制，并实现对上述各种网络行为的管理和审计功能；2)采用先进的深度业务识别DSI技术，能够快速识别包括多种流行P2P及其变种协议、网络流媒体协议、网路游戏、股票软件以及行业用户专用网络协议。
深度业务识别DSI技术是在DPI和DFI技术上发展起来的一种新型的7层应用识别技术。
由于深度业务识别检测DSI技术基于业务本身的特征而不是报文数据细节，对于检测加密或加扰应用协议具有更高的识别率，特别是对于新增和变种的网络应用和业务类型，DSI更具备良好的适应性；3)通过系统内置的网络应用业务特征，综合运用继承式应用描述语言HADL，从而允许网络管理者针对不同的内网用户、不同时段，综合企业的实际需求制定适合本企业的网络行为管理规范。
继承式应用描述语言HADL通过业务拓扑级——流特征级——报文特征的继承描述关系精确描述某项业务的特征。
802.1x准入控制技术使用手册(北信源).
北信源桌面终端标准化管理系统准入控制技术使用手册2010年5月目录一、802.1x认证模块原理 (31-1. 802.1x的工作机制 (31-2. 802.1x的认证过程 (4二、VRVEDP-NAC系统硬件配置及实施方案 (52-1.VRVEDP-NAC相关系统硬件配置 (52-2.VRVEDP-NAC实施方案 (5三、802.1x认证应用注册事项 (22四、802.1x认证应急预案 (244-1.预案流程 (244-2.应急事件处理方法 (24一、802.1x认证模块原理1-1. 802.1x的工作机制IEEE 802.1x认证系统利用EAP(Extensible Authentication Protocol,可扩展认证协议协议,作为在客户端和认证服务器之间交换认证信息的手段。
802.1x认证系统的工作机制在客户端PAE与设备端PAE之间,EAP协议报文使用EAPOL封装格式,直接承载于LAN 环境中。
在设备端PAE与RADIUS服务器之间,EAP协议报文可以使用EAPOR封装格式(EAP over RADIUS,承载于RADIUS协议中;也可以由设备端PAE进行终结,而在设备端PAE与RADIUS服务器之间传送PAP协议报文或CHAP协议报文。
当用户通过认证后,认证服务器会把用户的相关信息传递给设备端,设备端PAE 根据RADIUS服务器的指示(Accept或Reject决定受控端口的授权/非授权状态。
1-2. 802.1x的认证过程802.1x认证系统的认证过程1. 当用户有上网需求时打开802.1x客户端,输入已经申请、登记过的用户名和口令,发起连接请求(EAPOL-Start报文。
此时,客户端程序将发出请求认证的报文给交换机,开始启动一次认证过程。
2. 交换机收到请求认证的数据帧后,将发出一个请求帧(EAP-Request/Identity报文要求用户的客户端程序发送输入的用户名。
网络认证与访问控制的准入控制策略
网络认证与访问控制的准入控制策略随着互联网的普及和发展，我们进入了一个信息爆炸的时代。
网络已经渗透到我们生活的方方面面，变得无处不在。
然而，随之而来的安全问题也逐渐凸显出来。
为了保护网络环境的安全，网络认证与访问控制的准入控制策略被广泛应用。
一、背景介绍在计算机网络中，准入控制是指限制哪些用户、设备或应用程序可以访问网络资源的过程。
网络准入控制是保障网络安全的重要手段，它涉及到身份认证、权限管理和流量控制等方面。
二、身份认证身份认证是准入控制中的第一道防线。
通过身份认证，系统可以确认用户的身份，并判断其是否具有访问权限。
常见的身份认证方式包括密码认证、指纹识别和智能卡认证等。
密码是最常用的一种身份认证方式，用户通过输入正确的密码才能访问网络资源。
指纹识别则通过分析用户指纹的唯一性来确认其身份。
智能卡认证则需要用户携带智能卡插入读卡器，并输入相应的密码来认证身份。
这些认证方式的选择要根据应用场景和安全需求来确定。
三、权限管理身份认证只是确认用户的身份，而权限管理则是根据用户的身份确定其能够访问哪些资源以及拥有哪些操作权限。
权限管理可以分为角色权限和细粒度权限。
在角色权限管理中，系统将用户分为不同的角色，每个角色具有一定的权限。
细粒度权限管理则根据用户的需求和职责，对每个用户进行个性化设置。
例如，对于一家公司的网络系统，员工可以访问内网资源并发送电子邮件，而管理员则拥有更高级别的权限，可以管理网络设备和控制用户访问权限。
四、流量控制流量控制是网络准入控制中的另一个重要方面。
通过流量控制，系统可以限制网络流量的带宽和速率，确保网络资源的合理分配和高效利用。
常见的流量控制手段包括流量整形、流量调度和流量监测等。
流量整形可以限制网络设备的流出速率，避免网络拥堵。
流量调度则可以调整网络流量的优先级，优先保证重要数据的传输。
流量监测则是对网络流量进行实时监测和分析，及时发现异常现象并采取相应的措施。
五、网络安全策略除了上述几个方面，网络认证与访问控制的准入控制策略还可以结合其他网络安全策略来提升网络安全性。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
产品原厂商具备商用密码产品生产定点单位证书和商用密码产品销售许可证。
产品原厂商同时具备（2013—2014年度）国家规划布局内重点软件企业证书。
具备管理员呼叫帮助平台，终端用户可以主动请求管理员提供远程帮助。
具备进程管理功能：支持对（指定公司名称、源文件名、产品名称、MD5探测）进程进行黑白名单的控制，黑名单内的进程自动被禁止，指定执行目录下的白名单内进程自动启动，主要支持除白名单中进程与系统进程外,不允许其他进程执行。
4、补丁分发模块
补丁与文件分发管理
附件：
准入控制系统需求说明
招标项名称
招标项分类
参数要求
1.商务要求
商务要求
产品同时具备《计算机信息系统安全专用产品销售许可证》和《计算机软件著作权登记证》。
产品原厂商应具备至少三个国家级三级（或以上）级联网络中相关安全项目实施的案例，且每案例管理计算机终端数量不少于1000台，并提供书面证明。
产品原厂商应具有对国家级大型网络的安全保障经验和实际案例，并提供相关证明。
产品原厂商具备信息安全等级保护安全建设服务机构能力评估合格证书。
投标产品具有湖北省信息安全等级保护协调小组办公室《计算机信息系统安全专用产品备案证明》。
产品提供第三方的市场占有率证书，并提供相关权威证明。
产品原厂商在武汉有办事处以上办事机构。
2.管理要求
管理要求
具备策略级联管理功能，上级管理服务器可强制定制策略并下发给下级管理服务器；下级管理服务器的各类报警和统计信息级联上报，同时支持上级直接登录下级管理服务器，以进行详细数据查询，应支持三级以上级联。
要求必须支持针对IE、QQ登陆及弹出窗口等web形式的访问提供入网重定向提示，提示进行客户端注册。
满足7*24小时不间断工作，设备无故障运行时间不低于80000小时。
注册管理
支持自定义注册信息，要求可以定义必须填写的注册信息项，可根据需要启用/禁用自定义项。
要求可根据需要自定义客户端注册的服务端地址，客户端可自动识别服务端信息并注册。
要求支持根据IP、使用人、部门、注册情况、开关机情况等多种组合查询已注册的终端。
具备服务器自我保护功能，可以防止IP占用、DDos攻击。
单独管理服务器要求达到支持1000台以上计算机终端的能力。
3.桌面管理模块
资产管理
具备硬件资产管理功能，能够自动获取硬件资产信息，并对资产变更信息进行报警。
具备软件资产管理功能，能够获得计算机软件安装信息，并支持对软件的远程卸载。
能够识别并控制经公安部许可的主流防病毒系统安装情况，并监控其运行。
具备标签和策略相结合的方式，对移动存储的使用权限进行控制（禁止使用、只读使用、读写使用）。
具备对移动存储介质标签进行分部门管理，打过标签的移动存储设备只能在策略指定的范围内使用。
具备将通用移动存储设备分为交换区和保密区，并可以分别设置不同的密码，以提高信息的安全性。离网之后，保密区不可见，防止保密区敏感信息泄露。
具备补丁自动分发安装，同时支持补丁分发策略制订，支持用户自定义补丁策略并自主配置分发，系统可基于客户端网络IP范围、操作系统种类、补丁类别等多种方式制订策略，策略发送至客户端后统一按策略执行应用，系统可在指定时间、指定网络范围内分发补丁。
具备终端代理转发技术功能（即补丁可由安装完补丁的客户端转发补丁给其它客户端），控制补丁分发流量，以免占用汇聚层太大带宽，影响网络正常工作。
具备终端补丁自检测，终端用户可以在内网通过HTTP方式访问查找自身漏打补丁的详细信息，并可方便的进行补丁下载安装；管理员也可远程检测终端补丁安装限制和最大流量控制。
具备补丁安装情况与未打补丁情况汇总统计。
具备补丁内网自动测试功能，即用户可自主选定内网部分设备为补丁安装测试设备，系统将新获得的补丁自动发送给这些设备，在测试设备安装指定时间间隔后再自动分发给其他设备。
桌面安全
具备桌面防火墙功能，实现协议、端口、IP访问控制功能。
具备终端非法外联行为监控功能，实时检测内部物理隔离网络用户通过调制解调器、ADSL、双网卡等设备非法外联互联网行为，并立即阻断和告警；
具备用户口令监控功能，检测口令长度、复杂度、存留期、弱口令、Guest账号等。
具备用户权限监控功能,检测用户/用户组权限的增加、减少、改变等，并可以提示上报。
具备远程对终端的网络数据包协议分析。
具备远程管理功能，可获取终端进程、服务及所开放的端口等，并进行控制。
具备终端流量管理功能，对网络异常流量终端和异常连接数进行监控和控制，对可疑发包（蠕虫病毒等）行为、多并发连接提供检测、报警、断网功能。
具备终端流量统计和流量排名功能。
具备终端文件备份功能，终端可以将指定目录下的指定文件或文件夹备份到其他终端。
具备IP/MAC绑定功能，禁止终端用户修改IP地址、网关等网络通讯关键参数的功能，如用户修改这些参数可自动由系统的客户端软件将这些参数恢复等操作。
具备禁止修改网关、禁用冗余网卡管理功能。
具备注册表项的键名与键值的监控与保护功能，防止恶意代码的侵入、具备注册表强制修改功能。
终端运维
具备硬件接口控制功能，控制外设接口的使用，管理员启用或禁用软驱、光驱、U盘、USB接口、打印机、Model、串口、并口、1394接口、红外接口等硬件设备。
具备移动存储介质接入行为审计，提供详细的文件操作审计记录（文件的创建、复制、删除、修改、和重命名等操作），提供详细的移动存储设备的插入和拔出动作的详细记录。
6.准入控制模块
性能要求
单台最少支持200个用户数的并发。
硬件支持至少4个千兆电口。
支持至少100Mbps的数据吞吐率。
单台至少支持2路业务控制，最多可扩充4路业务控制。
具备普通文件分发功能，且管理员自定义分发成功的判断条件，具体包括对注册表是否写入及文件是否更新等条件进行判断。
5．移动存储管理模块
移动存储管理系统
具备认证标签和策略相结合的方式对移动存储设备接入进行管理，实时发现并管理接入网络中的移动存储设备（如U盘、移动硬盘等）。
具备移动存储设备在格式化和重新分区时授权标签不可被擦除。