适用场景

企业传统的网络安全手段包括防病毒、防火墙、IPS等，但这些防御手段大多专注于抵御来自外部网络的入侵，但对于来自内部网络的安全往往无能为力，比如：

来宾：当贵宾或者合作伙伴携带笔记本，为了工作需求需要通过公司网络获取相关消息，如何对其授权？接入的计算机是否安全，是否携带蠕虫，会不会存在恶意访问？

无线和移动用户：内部职员使用智能手机或者掌上电脑，是否允许访问内部网络或某些机密数据？

无线路由器：能否允许内部员工使用此类设备，接入的终端是否可以受到全面的监控？

蠕虫和僵尸网络：网络无故受到攻击，网速经常性的不稳定，机密信息被不明访问，但找不到原因和问题所在。

遵循性：终端计算机系统补丁未修复，防病毒未及时更新，用户安装与工作无关的应用软件。

需求分析

基于上述问题，我们认为必须通过技术手段对内部网络的准入及访问进行有效控制，方案必须能够满足以下需求。

全网监视：可随时查看网络中的各种元素，网络终端，网络设备，用户，应用程序等。

安全性：提供全面地数据防护，快速发现并修复已接入终端存在的问题，主动拦截网络中突发攻击。

灵活性：根据需求灵活授予设备或者用户的相关权限，且无需额外交互性操作或软件安装。

可靠性：主动识别隐藏威胁，通过管理员做进一步处理，提高网络的稳定性成本节约；消除由于来宾访问给管理员带来额外的体力支出（如打开或关闭网络端口），迅速清楚网络故障，缩短排查时间。

实现方式

鼎元科技网络准入解决方案不同于大多数网络接入控制（NAC）解决方案，其采用单一设备实现全局管理，无代理安装且无需硬件升级，从而实现与现有网络的无缝对接。

方案采用网络准入控制设备旁路部署的方式接入网络，通过交换机SPAN端口监控网络流量，从而查看是否存在新设备访问您的网络。方案采用自动授权方式，确定用户，设备类型以及设备的安全态势。一旦设备得到允许接入网络后，将对接入终端做进一步的安全检查，持续保护您的网络，检测所有设备的行为。

方案主要功能功能如下：

全局可控：提供实时的资产清查，多维的网络可视性和控制，让管理员保持对使用终端的全面掌控（如账户，应用程序，外设等）。

用户注册：网络管理员可以灵活定制来宾访问的注册方法，让访问者在企业安全准则的前提下方便快捷进行注册。

移动设备控制：能够迅速发现和控制通过Wi-Fi连入的可移动设备，支持Iphone/Ipad，Blackberry，Android，window Mobile和Symbian。

威胁检测：采用Active Response威胁检测技术主动监控设备连接后的行为，及时阻断零日攻击，蠕虫威胁和其他恶意行为，不依赖于签名库更新的检测手段，最大限度降低管理成本，实现安全最大化。

流氓设备的检测：能够及时发现检测流氓设备，包括私接交换机和无线接入点，通过识别该设备是否是NAT设备，确定是否为授权设备及连入的交换机端口，是否存在多台主机相连等。

基于角色的访问：确保只有得到授权的设备或用户才能进行正确的资源访问。方案充分利用当前的目录结构，指定介入者的身份和角色。

灵活地控制：方案提供多种响应类型，通过定制合适的响应方法并将发现的各种风险迅速通知管理员和最终用户，自动修复存在的安全问题。

策略管理：本方案能够让管理员通过本身强大的策略库定制各种各样适合企业的安全策略，全面保证网络安全标准得到统一执行。

产品推荐

我们推荐ForeScout ConunterACT系列产品作为网络准入控制产品。

Forescout是一家专业从事网络准入控制的美国安全厂家，其网络准入控制产品CounterACT采用先进的无客户端访问控制技术,以快速高效的方式无缝集成到任何网络环境,为全球的大型企业和政府机构提供全面的安全网络接入保障。

ForeScout CounterACT主要型号有：

CT/R-可管理100台设备，网络端口带宽100Mbps。

CT100-可管理500台设备，网络端口带宽500Mbps。

CT1000-可管理1000台设备，网络端口带宽1Gbps。

CT2000-可管理2500台设备，网络端口带宽2Gbps。

CT4000-可管理4000台设备。

CT10000-可管理10000台设备。

更多成功案例及具体解决方案欢迎致电或通过邮件进行索取：

Tel: 4008853464 E-mail: Sales@dingtech.com.cn