网络准入控制系统集中式管理方案

《网络准入控制系统集中式管理方案》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、网络准入系统集中式管理方案1、项目背景1.1目前网络安全概况自从在股份公司和下属分公司在业务系统上大力推广信息化发展策略，目前公司运作的网络是由17家公司的内部网络通过MPLSVPN网络构成的广域网，规模庞大。同时信息技术的快速发展导致信息网络所起的作用越来越巨大，股份公司及下属分公司的连接密度越来越大，人员交流和业务系统的使用网络更为频繁，终端所面临的各种安全问题也越来越突出。各个公司的内网构建因规模大小和建设时间的不同，网络的使用情况也不一样，特别是网络设备的品牌和型号各异，而且员工和访客携带的电脑或者手机终端等可以随意接入公司网络，在信息安全管理上存在很大的管理难度和安全风险

2、。2017年6月1日，《国家网络安全法》颁布，明确要求各单位加强网络安全建设，而且股份公司属于上市公司，在网络安全上必须加强安全防范措施，增加网络准入控制和审计手段，完善公司的信息化安全体系。1.2网络架构概况基于业务需求和网络稳定性需求，整个股份公司的各分支公司都是通过租用联通公司的MPLSVPN专线网络解决公司之间的网络连接，其中股份公司和南沙公司的网络访问需求最大。MPLSVPN网络拓扑图大概如下：图1MPLSVPN网络拓扑图概图各公司内网网络架构概图如下图2所示：图2各公司内部网络拓扑图概图1.3各公司的调研情况经调研统计，各公司的设备使用的情况如下表1:公司名称网络交换机

3、品牌网络设备数量接入终端数量电脑办公人员数量是否支持802.1X广州股份公司H3C、华为、TP-LINK、D-LINK30250300H3C、华为支持，12台其他不支持。南沙分公司H3C，TP-LINK无线554005004台不支持从化分公司神州数码1373129支持海丰分公司3COM134572不支持珠丰分公司华为85076支持新丰分公司3COM84550不支持中山分公司3com，TP-link176070不支持东莞分公司3COM147099不支持梅州分公司3COM、华为、科思28140160华为支持、3com和科思不支持阳江分公司3com44047不支持湛江分公司神州数码311

4、49165支持永信分公司Sunsea1台21020不支持荣鑫分公司华为、880112华为支持、D-LINKD-LINK不支持广西分公司华为9台、3COM1台10138170华为支持湖南分公司H3C20115130支持河北分公司3com,华为23140145不支持汕头分公司3COM266不支持表1各公司的网络设备和终端调研表从表1中可以看出各公司的人员、终端设备和网络设备等等都情况各异，需要从多角度考虑信息安全的管理技术问题和网络准入方案的技术可行性。1.4信息安全管理的存在风险目前，各公司都存在如下的信息安全管理风险：（1）公司内部无法对未授权的外来电脑及智能终端接入内网的行为进行

5、有效的认证控制和管理。外来人员或者员工能够轻易地把终端设备接入到办公网，特别是恶意用户（如黑客，商业间谍）的接入，可能会导致公司机密文件被窃取，或者网络服务器被攻击等等网络安全事件发生，造成严重的后果。随着无线WIFI的普及，私自增加外联WIFI设备用于移动端设备上互联网，内部网络安全更加难以控制管理。如何做到有线和无线WIFI统一的网络入网管理，是安全的重中之重。（2）篡改终端硬件信息。比如：当某些员工知道领导的IP地址权限比较高的时候，把自己的计算机也设置为领导的IP，于是获取了和领导一样的权限，导致领导身份被假冒，或者和领导使用的计算机造成IP地址冲突而导致被冲突的计算机网络

6、故障，这样会直接影响业务办公。（3）因为公司内网的很多网络设备是不可管理，当网络内部出现网络安全事件的时候，很难查询到IP地址或者设备MAC地址的使用信息，难以定位到责任人。（4）因各分公司和股份公司之间的网络已经通过MPLSVPN线路构建成了一个规模更大的广域网架构，只要有一个地方的网络安全出现风险，其他地方的网络安全风险也会受影响。所以，对终端设备进行网络准入控制是保证股份公司网络信息安全的一种安全边界管理手段，需要做到全局考虑，做到分布式部署、集中管理，集中信息统一展示，以股份公司为整体设计一个适合本公司的网络准入系统，构建公司内部网络的边界管理保障体系，用于保障股份公司的网

7、络信息安全。2网络准入系统的详细需求2.1系统功能需求2.1.1准入控制要保证网络边界的安全性以及完整性，就必须实现网络准入控制，支持对接入网络的人员和终端进行身份认证和准入检查，防止非授权用户、非法终端、不安全终端接入办公网，做到安全有效的拦截。其中终端检查包括终端硬件信息检查，防病毒软件检查，系统版本及补丁检查等。2.1.2用户管理能够对用户实现按人、按部门、按级别进行管理，用户数据能够从AD域中导入。支持第三方认证服务（如radius，LDAP,AD,SQL等认