H3C EAD端点准入防御组件解决方案.docVIP

H3C智能管理中心EAD平安策略组件解决方案 产品简介 目前，在企业网络中，用户的终端计算机不及时升级系统补丁和病毒库、私设代理效劳器、私自访问外部网络、滥用企业禁用软件的行为比比皆是，脆弱的用户终端一旦接入网络，就等于给潜在的平安威胁敞开了大门，使平安威胁在更大范围内快速扩散，进而导致网络使用行为的“失控〞。保证用户终端的平安、阻止威胁入侵网络，对用户的网络访问行为进行有效的控制，是保证企业网络平安运行的前提，也是目前企业急需解决的问题。 同时，目前市场上常见的用户管理及接入控制软件往往缺乏与网络资源管理、业务管理的融合，导致管理手段单一、管理力度缺乏、管理操作复杂。企业迫切需要一种管理方案，使得用户、网络、业务统一管理、互相协同、提升管理效率、满足多种接入场景所需。 H3C端点准入防御〔EAD，Endpoint Admission Defense〕解决方案从控制用户终端平安接入网络的角度入手，整合网络接入控制与终端平安产品，通过iNode智能客户端、EAD平安策略效劳器、iMC平台、网络设备以及第三方软件的配合和联动，对接入网络的用户终端强制实施企业平安策略，严格控制终端用户的网络使用行为；同时，在管理上，又能做到用户管理与网络设备管理、网络拓扑管理的融合，并支持与iMC ACL Manager组件的联动，使得H3C 端点准入防御解决方案在有效地加强用户终端的主动防御能力的根底上，为企业网络管理人员更提供了有效、易用、强大的管理工具和手段。 方案概述 对于要接入网络的用户，EAD解决方案首先要对其进行身份认证，通过身份认证的用户进行终端的平安认证，根据网络管理员定制的平安策略进行包括病毒库更新情况、系统补丁安装情况、软件的黑白名单等内容的平安检查，根据检查的结果，EAD对用户网络准入进行授权和控制。通过平安认证后，用户可以正常使用网络，与此同时，EAD可以对用户终端运行情况和网络使用情况进行审计和监控。EAD解决方案对用户网络准入的整体认证过程如下列图所示： 组网模型 如下列图所示，EAD组网模型图中包括iNode智能客户端、平安联动设备、iMC平安策略效劳器和第三方效劳器。 iNode智能客户端：是指安装了H3C iNode智能客户端的用户接入终端，负责身份认证的发起和平安策略的检查。 平安联动设备：是指用户网络中的交换机、路由器、VPN网关等设备。EAD提供了灵活多样的组网方案，平安联动设备可以根据需要灵活部署在各层比方网络接入层和会聚层。 iMC〔EAD〕平安策略组件：它要求与平安联动设备路由可达。负责给客户端下发平安策略、接收客户端平安策略检查结果并进行审核，向平安联动设备发送网络访问的授权指令。 第三方效劳器：是指补丁效劳器、病毒效劳器和平安代理效劳器等，被部署在隔离区中。当用户通过身份认证但平安认证失败时，将被隔离到隔离区，此时用户能且仅能访问隔离区中的效劳器，通过第三方效劳器进行自身平安修复，直到满足平安策略要求。 产品特点 严格的身份认证 除基于用户名和密码的身份认证外，EAD还支持身份与接入终端的MAC地址、IP地址、所在VLAN、接入设备IP、接入设备端口号等信息进行绑定，支持智能卡、数字证书认证，增强身份认证的平安性。 完备的平安状态评估 根据管理员配置的平安策略，用户可以进行的平安认证检查包括终端病毒库版本检查、终端补丁检查、终端安装的应用软件检查、是否有代理、拨号配置等；为了更好的满足客户的需求，EAD客户端支持和微软SMS、LANDesk、BigFix等业界桌面平安产品的配合使用，支持和瑞星、江民、金山、Symantec、MacAfee、Trend Micro、Ahn等国内外主流病毒厂商联动。例如EAD可充分利用微软成熟的桌面管理工具，由SMS实现各种Windows环境下用户的桌面管理需求：资产管理、补丁管理、软件分发和安装等。 用户管理与网络设备管理的融合 接入设备列表中可以直接看到用户相关信息，操作简单方便，提高了操作员日常维护的效率。 可针对选定的接入设备进行用户操作，比方，针对某个接入设备，将其所挂的用户全部下线处理等。 可在在线用户列表中通过点击接入设备，直接查看当前在线用户所对应的接入设备的详细信息，比方对应的根本信息、告警、性能状况等。操作更友好，全面提升操作员的操作体验。 用户管理与网络拓扑管理的融合 在拓扑上可以直观的操作接入设备、接入终端相关的用户管理功能。比方查看用户信息、强制用户下线、执行平安检查等。使终端用户的管理更加直观清晰。 基于角色的网络授权 在用户终端通过病毒、补丁等平安信息检查后，EAD可基于终端用户的角色，向平安联动设备下发事先配置的接入控制策略，按照用户角色权限标准用户的网络使用行为。终端用户的所属VLAN、ACL访问策略、是否禁止使用代理、是否禁止使用