3.1.2分級/分組保護(hù)原則

    對信息系統(tǒng)分類，不同對象定義不同的安全級別，首先要保障安全級別高的對象。

    3.1.3全局性原則

    解決安全問題不只是一個技術(shù)問題，要從組織、流程、管理上予以整體考慮、解決。

    3.2 內(nèi)網(wǎng)安全建設(shè)架構(gòu)

    企業(yè)的內(nèi)網(wǎng)安全系統(tǒng)建設(shè)應(yīng)建立一個統(tǒng)一的集成化的管理平臺，有整體的終端安全視圖，呈現(xiàn)整個計算機(jī)網(wǎng)絡(luò)系統(tǒng)中所有終端設(shè)備的安全運(yùn)行狀況。管理員不僅可以看到終端安全的運(yùn)行狀況，終端的安全設(shè)置，也能夠看到終端的軟件配置、硬件配置、終端的物理位置等信息。

    通過統(tǒng)一的集成化的管理平臺，管理員可以完成所有與終端安全管理維護(hù)相關(guān)的各種任務(wù)，包括用戶身份認(rèn)證，網(wǎng)絡(luò)準(zhǔn)入控制管理，網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn)及設(shè)備快速定位，終端安全策略設(shè)置（主機(jī)安全漏洞策略、防病毒安全策略、非法外聯(lián)策略、網(wǎng)絡(luò)訪問審計策略等），網(wǎng)絡(luò)異常監(jiān)控，移動介質(zhì)管理，終端軟件及補(bǔ)丁管理，終端的遠(yuǎn)程管理和維護(hù)，終端資產(chǎn)管理等多個方面。

    3.3 安全功能模塊

    3.3.1準(zhǔn)入控制管理

    系統(tǒng)對于非法進(jìn)入企業(yè)內(nèi)網(wǎng)的終端進(jìn)入進(jìn)行監(jiān)控與管理。管理員將網(wǎng)絡(luò)資源劃分為不同的區(qū)域以便不同的終端訪問不同區(qū)域的網(wǎng)絡(luò)資源：訪客區(qū)、修復(fù)區(qū)和正常工作區(qū)。劃分方式可以是VLAN或者基于IP的訪問控制列表。通過網(wǎng)絡(luò)準(zhǔn)入控制杜絕非法外來電腦接入內(nèi)部網(wǎng)絡(luò)；同時將有問題的客戶機(jī)隔離或限制其訪問，直到這些有問題的客戶機(jī)修復(fù)為止，這樣，一方面可以防止這些客戶機(jī)成為蠕蟲和病毒攻擊的目標(biāo)，還可以防止這些主機(jī)成為傳播病毒的源頭。

    對于非法主機(jī)，系統(tǒng)可以主動阻止其訪問任何網(wǎng)絡(luò)資源，從而保證非法主機(jī)不對網(wǎng)絡(luò)產(chǎn)生影響，無法有意或無意的對網(wǎng)絡(luò)進(jìn)行攻擊或者試圖竊密。

    3.3.2網(wǎng)絡(luò)拓?fù)浒l(fā)現(xiàn)及IT資產(chǎn)管理

    通過二層拓?fù)浒l(fā)現(xiàn)功能可以發(fā)現(xiàn)網(wǎng)絡(luò)中的所有IT設(shè)備，包括網(wǎng)絡(luò)設(shè)備、主機(jī)設(shè)備、網(wǎng)絡(luò)打印機(jī)、終端設(shè)備等。實現(xiàn)跨網(wǎng)絡(luò)、跨路由發(fā)現(xiàn)設(shè)備，支持不同廠商網(wǎng)絡(luò)設(shè)備混合構(gòu)建的異構(gòu)網(wǎng)絡(luò)設(shè)備發(fā)現(xiàn)。通過二層拓?fù)浒l(fā)現(xiàn)，能夠獲得網(wǎng)絡(luò)設(shè)備之間、主機(jī)和網(wǎng)絡(luò)設(shè)備之間的物理連接關(guān)系，獲得設(shè)備的基本信息如IP地址、MAC地址、設(shè)備名、在線

    利用局域網(wǎng)終端計算機(jī)代理客戶端的安裝，系統(tǒng)可以自動終端詳細(xì)的軟硬件配置信息，包括CPU、主板信息、內(nèi)存信息、硬盤信息、光驅(qū)信息、網(wǎng)卡信息、外設(shè)信息、操作系統(tǒng)信息等各種計算機(jī)系統(tǒng)信息。同時，系統(tǒng)可以自動收集分析終端計算機(jī)安裝的軟件信息，包括安裝的軟件名、軟件廠商、版本、語言、安裝日期等。

    通過上述技術(shù)，管理員可以可以快速發(fā)現(xiàn)接入網(wǎng)絡(luò)的所有設(shè)備（無需準(zhǔn)入控制），無論接入網(wǎng)絡(luò)的終端是否安裝個人防火墻，均可以對其快速發(fā)現(xiàn)并予以定位，實現(xiàn)企業(yè)局域網(wǎng)設(shè)備的實時監(jiān)控。系統(tǒng)智能實現(xiàn)自動監(jiān)測系統(tǒng)軟硬件資產(chǎn)的變動，記錄日志并可以產(chǎn)生報警，同時可以根據(jù)策略自主采用響應(yīng)措施，防止資產(chǎn)變更給客戶端或者網(wǎng)絡(luò)帶來更大的危害。

    3.3.3移動介質(zhì)管理

    移動介質(zhì)的管理一直是企業(yè)IT管理中的難點(diǎn)，也是最容易出現(xiàn)安全問題的設(shè)備，對移動介質(zhì)的管理主要在以下幾點(diǎn)上進(jìn)行控制：外部的或非法的移動存儲設(shè)備不能隨意的進(jìn)入IT系統(tǒng)，必須經(jīng)過一個安全的注冊認(rèn)證流程來實現(xiàn)對管理；經(jīng)過注冊的內(nèi)部移動存儲設(shè)備的使用要進(jìn)行監(jiān)管，未經(jīng)授權(quán)無法到外部使用，進(jìn)行加密存儲；為了防御移動介質(zhì)的自運(yùn)行程序，在使用移動介質(zhì)時，無法運(yùn)行移動介質(zhì)中的可執(zhí)行程序；對移動介質(zhì)的文件傳輸進(jìn)行審計或禁止。