Symantec终端安全与管理技术方案书

错误 !未找到引用源。 错误 !未找到引用源。 赛门铁克 错误 !未找到引用源。 I 目 录 第 1 章 恶意代码发展趋势 . 2 章 防病毒系统设计思路 .于特征的防病毒技术分析 . 2 统的防病毒产品使用效果分析 . 4 术管理服务的体系化建设 . 5 术层面：主动防御 . 管理层面：终端准入控制 . 服务层面 . 16 第 3 章 产品选型推荐 . 17 点安全保护 . 17 品简介 . 17 品主要优势 . 18 要功能 . 20 端准入控制 . 20 要优势 . 21 要功能 . 22 第 4 章 终端安全管理系统体系结构设计 . 24 理系统功能组件说明 . 24 统管理架构设计 . 27 毒定义升级 . 30 病毒系 统初建后第一次升级方案 . 30 错误 !未找到引用源。 正常运维状态下的升级方案 . 31 毒定义升级频率 . 31 络带 宽影响 . 32 入控制设计 . 32 全管理策略设计 . 35 理权限策略 . 35 地市组织结构策略 . 35 份和数据库维护策略 . 35 全策略 . 35 务器的硬件配置需求 . 37 第 5 章 服务方案 . 39 门铁克专业防病毒服务体系 . 39 门铁克服务水平阐述 . 39 门铁克安全响应中心 . 39 门铁克企业客户服务中心 . 40 门铁克安全合作服务商 . 41 门铁克专业防病毒服务流程 . 41 本流程 . 42 户服务专员的 工作流程 . 43 户服务经理的工作流程 . 43 程师的工作流程 . 43 急事件响应流程 . 45 错误 !未找到引用源。 - 1 - 第 1章 恶意代码发展趋势 终端所面临的安全威胁已不再是传统的病毒，而是更加复杂的恶意代码（广义病毒）。分析恶意代码的发展趋势可以帮助我们更好地构建病毒防护体系，优化现有安全防护体系，从而实现保障终端安全的最终目标。 前所未见的恶意代码威胁 当前，终端安全必需要面对的首要问题是越来越多的恶意代码是未知的，前所未见的。前所未见的威胁之所以剧增，其中一个主要原因是恶意代码系列中出现大量变种。攻击者普遍都在更新当前的恶意代码，以创建新的变种，而不是“从头开始”创建新的恶 意代码。一些恶意代码系列（如熊猫烧香、 列）中的变种数量多如牛毛便是这方面淋漓尽致地再现。 恶意代码的编写者创建新变种的方法各式各样，其中包括变形代码进化、更改功能及运行时打包实用程序，以逃避防病毒软件的检测。前几年，蠕虫和病毒（红色代码、冲击波）的大规模爆发表明，恶意代码无需复杂就可以感染大量计算机。如今，关注的焦点逐渐转移到目标性攻击和更狡猾的感染方法上。因此，越来越多的攻击者开始使用复杂的多态技术来逃避检测，为传播助力。多态病毒可以在复制时更改其字节样式，从而逃避采用简单的字符串扫描防病毒技 术进行的检测。 特洛伊木马 特洛伊木马是一种不会进行自我复制的程序，但会以某种方式破坏或危害主机的安全性。特洛伊木马看起来可用于某些目的，从而促使用户下载并运行，但它实际上携带了一个破坏性的程序。它们可能伪装成可从各个来源下载的合法应用程序，还可能作为电子邮件附件发送给无防备的用户。 根据统计，大部分特洛伊木马是通过恶意网站进行安装的。它们利用浏览器漏洞，这些漏洞允许恶意代码的作者下载并执行特洛伊木马，而很少或无需与用 错误 !未找到引用源。 - 2 - 户交互。当用户使用 看其中的恶意的 网络页面时，特洛伊木马便会通过浏览器中的多客户端漏洞安装在用户的系统中。然后，特洛伊木马会记录某些网站的身份验证资料，并将其发送给远程攻击者。许多新出现的特洛伊木马还会从受感染的系统中窃取特定的消息，如网上银行密码。 广告软件 /流氓软件 终端用户遭遇的广告软件 /流氓软件的几率越来越高，广告软件可执行多种操作，其中包括显示弹出式广告、将用户重引导至色情网站、修改浏览器设置，如默认主页设置以及监视用户的上网活动以显示目标广告。其影响范围包括单纯的用户骚扰、隐私权侵犯等。 影响因其固有的特点而难以量 化。但这并不意味着它们不是安全问题。最严重的影响可能是大范围破坏个别最终用户系统的完整性。包括：性能下降、浏览器故障、系统频繁死机等。 混合型威胁 混合型威胁可以利用多种方法和技术进行传播。它们不但能利用漏洞，而且综合了各类恶意代码（病毒、蠕虫和特洛伊木马程序）的特点，从而可以在无需或仅需很少人工干预的情况下，短时间内感染大量系统，迅速造成大范围的破坏。混合型威胁常用的多传播机制使其可以用灵活多变的方式避开组织的安全措施。它们可以同时使系统资源超负荷并耗尽网络带宽。 第 2章 防病毒系统设计思路 于特征的防病毒技术 分析 长期以来，应对混合型威胁（混合型病毒）的传统做法是，一旦混合型病毒爆发，尽快捕获样本，再尽快写出病毒特征，并尽快去部署该病毒特征，然后寄希望于它能够迅速清除病毒并阻截该威胁的蔓延。这种方式曾一度相当有效，但近年来特别是近两年多次影响市儿 冲击波、 猫烧香等病毒，已经体现这种基于特征的被动式病毒响应方式效果不佳了。这一 错误 !未找到引用源。 - 3 - 方面因为病毒的快速发展，另一方面更因为传统防病毒技术采取被动跟踪的方式来进行病毒防护。 但是，这种被动的病毒响应方式越来越力不从心。如下图所示， 对近年的发展趋势做了比较。 附图 1. 混合型病毒感染与病毒特征响应对比图 该图以计算机病毒 /混合威胁的复制速度（蓝色线条，自左上至右下）来显示这些威胁的演变，以响应速度（红色线条，自左下至右上）来显示病毒技术的发展。横轴以年为单位，时间范围是从 1990 年至 2005 年。纵轴实际上显示两种不同的时间规定（都采用左边纵轴的时间比例来显示）。左边纵轴（蓝色文本）显示恶意病毒达到“感染”状态所用的时间，在该状态下，恶意病毒已经感染了相当多有漏洞的计算机。 右边纵轴显示提供描述病毒的特征所用的时间。 分析上图的最后一部分可知，对于现在出现的几分钟甚至几秒钟之内就可发作的超速混合威胁而言，其传播速度和实现完全感染相关主机的速度比人工或自动化系统生成和部署病毒特征的速度快得多时，在这样情况下，原有的基于病毒特征的模式已经效果甚微，因为到那时每次混合型病毒的爆发，由于特征响应方 错误 !未找到引用源。 - 4 - 式的滞后而让将付出沉重的代价（最近的冲击波、震荡波的例子已经初步证明了这一点），而这是绝对不能接受的。 统的防病毒产品使用效果分析 传统的单一的防病毒产品在应对新的终端安全威胁时效果往往不佳 ，其根本原因在于： 基于特征的病毒定义滞后性 虽然防病毒技术不断发展，出现了类似启发式扫描、智能检测等新的技术，但是目前防病毒产品还是以基于特征的病毒扫描方式为主要手段。也即一种新的病毒出现后，防病毒厂商通过各种方式收集到病毒的样本，经过自动地或者专家分析获取病毒特征码，随即发布新的病毒定义供用户下载更新。而用户通过手动或周期地自动更新获取新的病毒定义以后，才可以有效地防御这种新的病毒。 显然，基于特征的病毒定义更新存在着滞后性，这种滞后表现在： 病毒定义滞后于新病毒的出现，当前的病毒快速、大量变种的特性加 剧了这种滞后性所带来的危害。 用户的病毒定义滞后于厂商的病毒定义。这是由于用户往往使用周期自动更新的方式，甚至由于种种原因部分用户的病毒定义不能正常升级，这些都会导致与最新的病毒定义的时间差。 区域性恶意代码增加了样本收集的难度 特洛伊木马等恶意代码当前的一个重要特征是具有很强的目标性和区域性。特洛伊木马往往以特定用户和群体为目标。某一种特洛伊木马可能只是针对某个地区的某类型用户。由于特洛伊木马的目标性强，因此这些攻击只是发送给较小的用户群，从而使其看上去并不显眼，并且不太可能提交给防病毒供应商进行分析。 而如果防病毒厂商不能及时获得最新的病毒样本，也就失去了对这些木马的 错误 !未找到引用源。 - 5 - 防护能力。 单纯的防病毒技术无法应对混合型威胁 混合型威胁 整合了病毒传播和黑客攻击的技术，以多种方式进行传播和攻击。不需要人工干预，能够自动发现和利用系统漏洞，并自动对有系统漏洞的计算机进行传播和攻击。 越来越多的病毒会自动攻击操作系统或者特定的应用软件的漏洞，在漏洞未修复（未安装补丁）的情况下，会造成病毒反复感染，纯粹的防病毒不足以应付这些新型的病毒事件。 复杂的病毒查杀技术与性能需求 新型的恶意代码采取了更多的反检测和清除的技术，包括前文描 述的多态病毒以及高级的 术。与传统的恶意代码相比，检测复杂多态病毒和 及复杂的加密逻辑和统计分析过程，以及代码模拟和数据驱动引擎的设计。因此，这需要经验丰富的分析师来开发检测和移除技术。同时，防护时也需要占用更多的终端系统资源。实际测试包括很多用户实际环境中，防病毒软件通常占用内存 50M 60M 左右，对于一些老的机器（内存小于 256M）会影响系统性能。部分终端用户往往在安全和性能的抉择中放弃安全，这也导致了防病毒体系整体运行效果不佳。 术管理服务的体系化建 设 实践证明，完整有效的终端安全解决方案包括技术、管理和服务三个方面内容。防病毒技术的部署和实施是“实现用户个人的广义病毒和攻击的防护”的主要力量。 传统的病毒防护方案往往以技术为主，但是仅仅依靠技术是有其局限性，因此指望一套防病毒软件解决所有的病毒问题是不现实的；同时，对于市儿 病毒的管理性要求甚至比查杀病毒的能力显得更为重要，如果不能做到全网防病毒的统一管理，再强的防病毒软件也不能发挥应有作用。 此外，我们重点提出“服务”的根本原因是基于一个判断：即没有任何防病 错误 !未找到引用源。 - 6 - 毒厂家能够做到对所有 已知病毒和未知病毒的快速准确查杀。服务是产品的一种补充。 因此，产品管理服务的组合才能在根本上保证病毒防护的可靠性。以下分别予以详细阐述： 术层面：主动防御 从以上对新的恶意软件发展趋势和传统的病毒防护产品的特性分析，不难看出，传统防病毒技术由于采取被动跟踪的方式来进行病毒防护。一旦病毒爆发，尽快捕获样本，再尽快写出病毒特征，并尽快去部署该病毒特征，然后寄希望于它能够迅速清除病毒并阻截该威胁的蔓延。这种被动的防护方式无法应对新的恶意软件的发展。 因此，必须从“主动防御”这一观点出发，建立一个覆盖全网的 、可伸缩、抗打击的防病毒体系。相对于被动式病毒响应技术而言，主动式反应技术可在最新的恶意软件没有出现之前就形成防御墙，静侯威胁的到来而能避免威胁带来的损失。“主动防御”主要体现在以下几个方面： 错误 !未找到引用源。 - 7 - 入侵防护 :基于漏洞的入侵阻断 阻断 冲区溢出漏洞 阻断利用 W e b 浏览器漏洞的攻击（间谍软件最常用的安装方式）入侵防护 :基于漏洞的入侵阻断 阻断 冲区溢出漏洞 阻断利用 W e b 浏览器漏洞的攻击（间谍软件最常用的安装方式）防火墙 阻断进入的对开放端口的攻击 阻断病毒向外扩散的途径 阻断非法的对外通信 间谍软件数据泄漏和连接控制站点的企图防火墙 阻断进入的对开放端口的攻击 阻断病毒向外扩散的途径 阻断非法的对外通信 间谍软件数据泄漏和连接控制站点的企图实时防护和阻断 自动识别并清除蠕虫病毒 自动防护已知恶意软件（特别室间谍软件）的安装 如果恶意软件已经安装，在其运行时检测并阻断实时防护和阻断 自动识别并清除蠕虫病毒 自动防护已知恶意软件（特别室间谍软件）的安装 如果恶意软件已经安装，在其运行时检测并阻断抑制未知的恶意软件 hu 发式病毒扫描 根据恶意软件的行为特征发现和抑制其操作 邮件蠕虫拦截 间谍软件键盘记录、屏幕拦截、数据泄漏行为打分抑制未知的恶意软件 hu 发式病毒扫描 根据恶意软件的行为特征发现和抑制其操作 邮件蠕虫拦截 间谍软件键盘记录、屏幕拦截、数据泄漏行为打分根本：系统加固 关键补丁 强口令 关闭危险服务和默认共享 匿名访问限制根本：系统加固 关键补丁 强口令 关闭危险服务和默认共享 匿名访问限制 基于应用程序的防火墙技术 个人防火墙能够按程序或者通讯特征，阻止 /容许任何端口和协议进出。利用个人防火墙技术，一方面可以防止病毒利用漏洞渗透进入终端，另一方面，更为重要的是，可以有效地阻断病毒传播路径。 以去年大规模爆发的 毒为例，该病毒利用了多个微软系统漏洞和应用软件漏洞，企业可以在终端补丁尚未完全 安装完毕的情况下，通过集中关闭这些存在漏洞的服务端口，阻止病毒进入存在漏洞的终端。 再以 马为例。正常的 求和响应包是由 动发出，而此，通过在防火墙规则中设定，只允许 外发送 据包（协议号0其他的全部禁止。从而，在没有最新的病毒定义的前提下对病毒进行阻断和有效防护。 统一部署防火墙不仅可以解决以上这些安全问题，同时可以成为企业执行安 错误 !未找到引用源。 - 8 - 全策略的有力工具，实现一些企 业的安全策略的部署，如突发病毒爆发时，统一开放关闭防火墙相应端口。 具备通用漏洞阻截技术的入侵防护 通用漏洞利用阻截技术的思想是：正如只有形状正确的钥匙才能打开锁一样，只有“形状”相符的混合型病毒才能利用该漏洞进行攻击。如果对一把锁的内部锁齿进行研究，便可以立即了解到能够打开这把锁的钥匙必需具备的特征 甚至不需要查看实际的钥匙。类似地，当新漏洞发布时，研究人员可以总结该漏洞的“形状”特征。也就是说，可以描述经过网络到达漏洞计算机并利用该漏洞实施入侵的数据的特征。对照该“形状”特征，就可以检测并阻截具有该明 显“形状”的任何攻击（例如蠕虫）。 以冲击波蠕虫被阻截为例进行说明。当 2003 年 7 月 洞被公布时，赛门铁克运用通用漏洞利用研究技术，制作了该漏洞的通用特征。大约在一个月之后，出现了利用该漏洞进行入侵和蔓延的冲击波蠕虫。 于具备了赛门铁克编写的特征在网络环境中能够迅速检测到冲击波蠕虫并立即阻止它。 在前文对恶意软件的发展趋势中，我们分析了木马、流氓软件的一个最主要的传播方式是利用 览器的漏洞，当用户浏览这些恶意站点时，利用 击者可以在用户终端上 悄悄安装木马、广告 /流氓软件等。尽管恶意软件的变种数量庞大，但实际上，恶意软件安装过程中利用的 洞种类并不多。赛门铁克运用通用漏洞利用研究技术，提前制作这些漏洞的通用特征。恶意软件若想利用这些漏洞进行安装，必须具备特定的形状，而赛门铁克编写的特征可以提前检测到该形状，从而对其进行阻截，避免了恶意软件安装到用户终端上，从而根本无需捕获该病毒样本然后再匆忙响应。 应用程序控制技术 通过应用程序行为控制，在系统中实时监控各种程序行为，一旦出现与预定的恶意行为相同的行为就立即进行阻截。 错误 !未找到引用源。 - 9 - 以熊猫烧香为例，如果采用 被动防护技术，必须对捕获每一个变种的样本，才能编写适当的病毒定义。但是，该病毒的传播和发作具有非常明显的行为特征。熊猫烧香最主要的传播方式是通过 U 盘传播，其原理是利用操作系统在打开 根据根目录下的 件，自动执行病毒程序。 读写权限，特别的，当已感染病毒的终端试图往移动设备上写该文件时，可以终止该病毒进程并报告管理员。 再以电子邮件的行为阻截技术应用为例进行说明。首先，我们知道基于电子邮件的蠕虫的典型操作：典 型的电子邮件计算机蠕虫的工作原理是，新建一封电子邮件，附加上其（蠕虫）本身的副本，然后将该消息发送到电子邮件服务器，以便转发到其他的目标计算机。那么，当使用了带行为阻截技术的赛门铁克防病毒软件之后，防病毒软件将监视计算机上的所有外发电子邮件。每当发送电子邮件时，防病毒软件都要检查该邮件是否邮件有附件。如果该电子邮件有附件，则将对附件进行解码，并将其代码与计算机中启动此次电子邮件传输的应用程序相比较。常见的电子邮件程序，如 以发送文件附件，但绝不会在邮件中附加一份自身程序的可执行文件副本！只 有蠕虫才会在电子邮件中发送自己的副本。因此，如果检测到电子邮件附件与计算机上的发送程序非常相似时，防病毒软件将终止此次传输，从而中断蠕虫的生命周期。此项技术非常有效，根本无需捕获蠕虫样本然后再匆忙响应，带此项技术的赛门铁克防病毒软件已经成功的在零时间阻截了数十种快速传播的计算机蠕虫，包括最近的 此外，基于行为的恶意软件阻截技术，还可以锁定 置、注册表、系统目录，当木马或者流氓软件试图更改这些设置时会被禁止。从而，即使用户下载了未知的恶意软件，也无法在终端上正常 安装和作用。基于行为的防护技术非常有效，根本无需捕获恶意软件样本然后再匆忙响应，利用此项技术可以成功的在零时间阻截主流的蠕虫病毒，包括熊猫烧香、威金等。 由于采用了集中的策略部署和控制，无须最终用户的干预，因此不需要用户具备高深的病毒防护技术。同时，基于行为规则的防护技术非常适合于主机系统 错误 !未找到引用源。 - 10 - 环境，主机系统应用单一并且管理专业，采用行为规则的防护是对传统防病毒技术的一个很好的补充。 前瞻性威胁扫描 一种主动威胁防护技术，可防御利用已知漏洞的多种变种和前所未见的威胁。 于分析系统所运行进程的行为来检测潜在威胁的启发式技术。大多数基于主机的 检测它们认为的“不良行为”。所以，它们经常会将可接受的应用程序行为识别为威胁并将它们关闭，严重影响用户和技术支持中心的工作效率，让管理员面临着艰巨的挑战。不过，同时记录应用程序的正常行为和不良行为，提供更加准确的威胁检测，可显著减少误报的数量。前瞻性地威胁扫描让企业能够检测到任何基于特征的技术都检测不到的未知威胁。 终端系统加固 事实上， 确保终端安全的一个必须的基础条件时终端自身的安全加固，包括补丁安装、口令强度等。显然，口令为空、缺少必要的安全补丁的终端，即使有再优秀的防护技术也不可避免地遭受到攻击和病毒感染。 为了弥补和纠正运行在企业网络终端设备的系统软件、应用软件的安全漏洞，使整个网络安全不至由于个别软件系统的漏洞而受到危害，必需在企业的安全管理策略中加强对补丁升级、系统安全配置的管理。 建议集中管理企业网络终端的补丁升级、系统配置策略，可以定义终端补丁下载，补丁升级策略以及增强终端系统安全配置策略并下发给运行于各终端设备上的代理，代理 执行这些策略，保证终端系统补丁升级、安全配置的完备有效，整个管理过程都是自动完成的，对终端用户来说完全透明，减少了终端用户的麻烦和企业网络的安全风险，提高企业网络整体的补丁升级、安全配置管理效率和效用，使企业网络的补丁及安全配置管理策略得到有效的落实。 基于特征的病毒防护技术 错误 !未找到引用源。 - 11 - 最后，传统的病毒防护技术仅仅作为主动防御的的一个必要补充，防御已知的病毒，对于已经感染病毒机器进行自动的清除和恢复操作。 综上所述，单纯的防病毒产品都仅仅实现了基于特征的病毒防护功能，必须依靠其他的主动防御技术，才能有效地应对当前的恶 意代码威胁。 理层面：终端准入控制 在管理层面上需要实现两个目标：“技术管理化”与“管理技术化”。技术管理化要求对以上这些安全技术进行有效的管理，使其真正发挥作用。通过统一、集中、实时地集中管理，构建坚固的技术保障体系。管理技术化体现在终端的策略和行为约束，把停留在口号阶段的“三分技术、七分管理”变成可操作控制程序，这就需要辅以技术手段，通过准入控制等技术把对最终用户的管理要求真正落实下去。 么是终端准入控制 终端准入控制的核心思想在于屏蔽一切不安全的设备和人员接入网络，或者规范用户接入网络的行为，从而 铲除网络威胁的源头，避免事后处理的高额成本。 终端准入控制需要创建一个终端接入的可信尺度。对于市儿 说，典型的策略是强制验证操作系统补丁是否更新，反病毒软件是否在运行及病毒库是否更新，端点防火墙软件是否在运行及被适当的配置。管理员也可以进一步执行更多高级策略，检查特定安全软件或特殊安全配置是否存在。 一旦策略创建完成，就有了在终端连入网络时可参照的安全基线。 它通过 提前的“ 准入扫描 ” ，来确保 终端可信状态并 授权 。 基于该基线评估结果，访问控制（ 予该连接系统相应级别的访问权 限。例如，一个达标的系统将会获得全部的网络访问权限。不达标的系统或者被彻底阻止，没有任何的网络访问权限；或者为了减少对网络的威胁（通常也为了修复），将授予该系统某一隔离级别的网络访问权限，并帮助恢复达到 错误 !未找到引用源。 - 12 - 安全策略的要求。为了使终端准入控制真正有价值，修复过程必须自动化。换句话说，就是不需要求助技术支持小组，系统自动恢复到符合安全策略的要求。 一旦系统经过隔离修复处理，被允许连接入网络，就需要一种监控技术确保这些系统保持达标的状态，不要出现反常的情况。反常的系统必须被隔离，直到它们被修复。 综上， 网络准入控制解 决方案需要 如下流程 : 1. 创建一个中央的安全策略视图； 2. 当一个系统或用户连接入网时， 对其安全状态进行评估； 3. 一旦系统连接入网，对其安全状态进行连续监控； 4. 基于系统状态，执行网络访问和系统修复策略。 端准入控制的实现方法 手动隔离 手动隔离虽然不是自动化的隔离技术，但在管理实践中却是使用频率最高的手段之一。通过创建一个隔离组，然后为该组分配特定的隔离策略。当通过人工方式判断出一个终端处于高风险或者违规状态时，将这个终端手动方式移动到隔离组中，即达到了隔离效果。这种方式下管理员不需要去定位交换机端口，并拔出网线 。更加省时，而且避免误操作。 本地隔离 利用主机防火墙规则和智能切换的能力实现本地隔离。这种方式最易实现，不需要和网络中其他强制服务器发生任何关系 . 如果系统没有通过主机完整性检测 , 将自动切换到一套隔离策略以阻断网络通讯然后开始执行完整性恢复操作； 局域网准入与隔离 局域网的网络准入控制系统可以和支持 能的交换机完成对用户的 错误 !未找到引用源。 - 13 - 接入认证； 当用户没有安装安全客户端软件或者虽然安装了安全客户端软件但是安全检查不合格时，局域网的网络准入控制系统可以通知交换机将该用户连接的交换机端口关闭，或者通知交换机 将该用户的端口 换到修复 迫用户完成安全修复后才将用户切换回正常 边界准入与隔离 在用户通过 、 至是无线 图连接到企业内网时，又或者是从企业的一个内部子网试图访问另外一个内部子网时， 制网关实时检查这些用户的安全性。只有安全性达标的用户才能访问强制网关后的局域网； 当用户透过强制网关设备进行网络互访时，用户的访问方式（应用，受访资源等）也受到严格管理，非标准访问方式被禁止使用； 当对用户的安全检查不合格时，强制网关对这些用户进 行隔离操作，只容许访问强制网关后的个别 址，用以提供对修复资源的下载访问。同时客户端根据策略配置要求对这些用户终端作安全修复操作，直到强制网关确认合格后才予以放行。 代理通知功能。对于那些连接到企业网络又没有安装 户端软件的用户 , 管理员可以使用 出消息通知他们需要安装 户端软件； 可以在进行边界准入与隔离时首先允许所有用户的通讯通过，但是记录是否有用户不符合市儿 安全策略；当客户端完全部署好之后 , 就可以按照市儿 安全策略来允许或阻止不符合 策略用户对内部网络的访问； 当用户试图通过边界网络准入控制系统的认证时，如果边界网络准入控制系统检查出用户端没有安装安全客户端软件或者是用户端的主机完整性检测不合格，会把用户的访问请求重定向到一个企业内部指定的 理员可以配置 错误 !未找到引用源。 - 14 - 这个 企业的修复服务器网站或者是其他通告的网站。 可以对指定 址的用户作安全检查，也可以对指定 址的用户进行放行，完全不检查； P 获取准入 当非企业员工，或者是企业员工试图通过有线局域网（如以太网），或者是无线网络（ 接到局域网并试图自动获取 址时，网络准入控制系统会首先检查这些用户的安全状态，检查合格者分配其一个正常地址范围内的 址；不合格的用户分配另外一个修复区域子网的 址，用户此时只能去修复服务器执行自己的主机安全修复操作，其余网络访问均受到限制。当修复操作全部完成之后，网络准入控制系统才将该用户当前的修复区域 时分配给其一个正常范围内的 址，用户此时的网络访问请求才被放行。 端准入控制的流程 终端准入控制策略勾勒企业终端接入的安全基线，对于未安装终端代理软件或已安装终 端代理软件但不符合市儿 全策略要求 (防病毒软件、病毒特征库升级、补丁、系统安全设置、违规软件等 )的终端，可以禁止其访问网络，或进行网络隔离。 终端准入控制流程包括：检查基准安全策略、隔离控制与自动修复。 检查基准安全策略 是根据进程、文件、注册表等设置的检查结果来判断： 用户身份是否合法 机器身份是否合法 主机防火墙是否安装并运行 防病毒软件是否安装并运行，病毒特征库是否及时更新 其他指定安全工具是否运行、及时更新 操作系统关键安全补丁是否安装 错误 !未找到引用源。 - 15 - 操作系统安全配置是否妥当 桌面设置是否妥当 是否感染特定 病毒实体 是否安装重大违规软件等 隔离控制 根据上述检查结果，强制服务器和网络设备以及客户端联动来决定： 拒绝终端 /用户接入 容许终端 /用户接入 隔离终端 /用户（主机 离， 离，授予隔离 址） 限制终端 /用户访问权限 应用程序，远程主机，时间，协议类型，端口等使用权限 关键网段接入权限 交换机接入权限 无线网络接入权限 动态 址获取权限 互联网访问权限 远程网络（ 入权限 域名解析权限 用登录权限（ A， RP 自动修复 是在隔离或限制接入的情况下，还可以通过自动修复来换回正常的网络访问权限。修复的内容包括： 自动开启 接内部安全网站上相关的提示页面 自动分发病毒专杀工具 自动升级病毒特征库 自动分发操作系统关键补丁 自动纠正错误的系统配置 分发并运行特定脚本 终止指定进程 错误 !未找到引用源。 - 16 - 停止或启用指定服务 远程关机 /重启等 务层面 企业通过建立网络防病毒体系来防止病毒入侵，即是一个动态的技术对抗过程，也是一个防守方和攻击方的人员较量过程。在现实的网络环境里，由于攻击方在大多数情况下掌握着主动权，因此 部署防病毒产品只是建立了对抗攻击的基础，还不能达到真正意义上的安全，最重要的是对产品进行有效的管理和正确的策略配置，并且时时刻刻关注网络安全的最新动态，根据各种变化及时调整安全策略，加固系统。只有结合和采用防病毒安全服务，才能使企业的防病毒体系以及整体安全达到一个新的高度。 防病毒厂商提供的服务主要包括以下两个方面： 病毒预警服务 病毒预警服务为市儿 于新病毒的提前预警、通知和防范的标准流程，该流程为管理员提供必要的信息和预警，以便在病毒到达企业之前或病毒尚未泛滥之前部署对策并成功抵制攻击，减少病毒事 件的数量，降低病毒事件的影响。 突发病毒应急响应服务 当用户发现一种未知病毒的传播导致网络服务瘫痪，而现有防病毒客户端对此无能无能为力，或者当病毒客户端发现病毒但既不能隔离也不能有效删除时候，就需要防病毒服务能够帮用户解决这些问题。而且，用户需要的是一个时限范围内的解决。 用户可以通过提交病毒样本或要求直接上门服务的方式，请防病毒厂家协助解决这些问题，避免病毒在用户的大规模扩散。 错误 !未找到引用源。 - 17 - 第 3章 产品选型推荐 根据以上防病毒系统设计思路，我们推荐采用 点安全保护 产品简介 高级威胁防御功能相结合，可以为笔记本、台式机和服务器提供无与伦比的恶意软件防护能力。它甚至可以防御最复杂的攻击，这些攻击能够躲避传统的安全措施，如 日攻击和不断变化的间谍软件。 仅提供了世界一流、业界领 先且基于特征的防病毒和反间谍软件防护。它还提供了先进的威胁防御能力，能够保护端点免遭目标性攻击以及之前没有发现的未知攻击侵扰。它包括即刻可用的主动防护技术以及管理控制功能；主动防护技术能够自动分析应用程序行为和网络通信，以检测并阻止可疑活动，而管理控制功能使您能够拒绝对企业来说被视为高风险的特定设备和应用程序活动。甚至可以根据用户位置阻止特定操作。 这种多层方法可以显著降低风险，同时能够充分保护企业资产，从而使企业高枕无忧。它是一款功能全面的产品，只要您需要，即可立即为您提供所需的所有功能。无论攻击是由恶意 的内部人员发起，还是来自于外