一、系統概述
信息安全、網絡安全在各大企業、機構中越來越受到重視，提高入網規范管理以成為必要。
我們從終端接入控制、邊界完整性檢查、主機身份鑒別、內網訪問控制、安全審計、資產管理、介質管理、監控管理、惡意代碼防范和系統安全管理等方面入手，共同完成信息系統的安全保護。
二、設計特點
準入控制系統是一套基于最先進的第三代準入控制技術的純硬件網絡準入控制系統，秉承“不改變網絡、不裝客戶端”的特性，重點解決網絡的合規性要求，達到“違規不入網、入網必合規”的管理規范，支持包括身份認證、友好WEB重定向引導、基于角色的動態授權訪問控制、可配置的安全檢查規范庫、“一鍵式”智能修復、實名日志審計等功能，滿足等級保護對網絡邊界、終端防護的相應要求，同時提供更高效、更智能的網絡準入防護體系。
網絡準入控制平臺將實現以下功能點：
2.1.1 雙實名制
準入控制系統在提供多樣化的身份認證，保障接入網絡人員合法性的同時，支持對設備的實名認證，保障了接入網絡終端設備的合法性，從而加強內部網絡的可控性，方便管理員對網絡的統一管理。
2.1.2 多樣化身份認證
準入控制系統既提供自身用戶名、密碼身份認證，也支持與AD域、LDAP、USB-KEY、手機短信、EMAIL等第三方身份認證系統進行聯動，保障身份認證功能的多樣化。
2.1.3 來賓管理
準入控制系統提供“我是來賓”選擇訪問模式，管理員可以事先配置來賓區資源基于應用的方式對來賓訪問權限進行控制，可以實現既滿足業務需要，又保護好用戶內網資源的目標。
2.1.4 多樣化引導
準入控制系統在提供傳統的網頁智能引導的功能的同時，更拓展支持通過郵件客戶端引導，進一步地方便了用戶的入網體驗和快速入網的流程。
2.1.5 綜合入網控制、檢查引擎及規范執行審計
準入控制系統以入網強制技術為基礎，先在網絡邊界設立崗哨，將之前無序的接入網絡行為加以控制；再結合具有優化的高效檢查引擎--“基于安全策略可配置引擎”（國家科技部創新基金編號-09C26223301274），進行安全檢查修復，并且可持續在線升級引擎及規范庫；監視合法終端在網絡內的操作行為。技術的組合可以有效解決網絡安全規范落實的問題。
2.1.6 人機對應
準入控制系統采用可以實現非常靈活的設備分組、分級分域管理，對所有設備建立責任人對應管理制度；這樣將IP設備與用戶ID建立對應關系，對日常管理、事中責任明確以及事后規范行為審計等有十分重要的意義。同時可以根據不同組別的資產，可以采取不同的安全檢查規范。
2.1.7 可定制化特色安全檢查規范
準入控制系統針對不同的行業，提供了可定制化的行業特性規范模版；并以此模版為依據，通過系統設置落實在管理手段上。
2.1.8 “一鍵式”智能安全修復
準入控制系統為存在安全隱患的接入設備提供了智能、快速的“一鍵式”修復功能，解決終端用戶面對漏洞而無從下手，導致不能及時接入網絡進行業務操作的問題，減少安全隱患修復的復雜性和專業性，同時大大減少了管理員的工作量。
2.1.9 定期更新的安全檢查引擎及規則庫
安全檢查規范作為準入控制系統對接入設備審核安全性的依據，應具有豐富性、擴充性、行業性。準入控制系統不僅已包含了補丁檢查、殺毒軟件檢查、IP/MAC地址綁定檢查等常規安全檢查項，也包含了桌面客戶端運行狀態檢查、域用戶檢查、必須/禁止安裝軟件檢查等個性化安全檢查項，還可以根據用戶的實際需求進行擴充。為用戶提供符合安全管理需求的安全檢查規范庫在線或離線更新服務，給用戶帶去的不僅僅是產品更是個性化的服務。
2.1.10 國內最優秀的網絡適應性
該系統集成了思科的EOU、H3C的PORTAL/PORTAL+、策略路由、L2-OOB-VG虛擬網關、DHCP強制、SNMP強制以及透明網橋等多種入網強制認證技術，可以適應于各種復雜的網絡環境，靈活的部署到網絡中。
2.1.11 基于角色的動態授權
在用戶認證及設備通過病毒、補丁等安全信息檢查后，可基于終端用戶的角色，向安全聯動設備下發事先配置的接入控制策略，按照用戶角色權限規范用戶的網絡使用行為?？梢允孪茸龊冒踩芾硪巹潱鶕枰獎澐侄鄠€安全域，管理員可以根據角色的不同配置可訪問的安全域。這樣就可以在內網中做好區域訪問布控。
2.1.12 嚴格管理內網外聯行為
在機器數量眾多且分散的情況下，內網的機器容易利用管理的漏洞私自通過3G網卡撥號上網或者其他方式進行非法的外網訪問，這就給涉密內網帶來了信息外泄、中毒或成為外網黑客木馬跳板的安全風險。
準入控制系統通過入網時的安全規范檢查確保進入內網機器的訪問規范，對于掃描到有非法外聯行為的機器進行有效的阻斷，并可以在終端設備上進行實時的外聯行為檢測，對于任何情況下的非法外聯均能進行有效的發現和及時處理，從而確保涉密內網的入網規范和信息安全。
2.1.13 聯動與整合
準入控制系統在端點上采用Agentless可分解代理（無客戶端）技術，主動檢查各項規范落實情況，能夠與防病毒軟件、桌面管理等終端安全防護強強聯動；并且結合終端資源、IP資源、補丁資源、規范策略以及集中報警事件，有效改變之前的單點防御、無序分散管理的局面。
2.1.14 實名制報警與審計報表
準入控制系統能夠對新接入網絡的設備、等待審核設備、統計報表及網絡中的異常情況以郵件提醒、手機短信等形式進行及時報警。ASM能夠收集接入設備的相關信息，對各檢查項數據進行統計分析并提供報表便于查看，管理員能一目了然地掌控全網的安全狀態。
三、主要功能
1、發現
自動發現網絡設備、自動發現接入設備、自動發現網絡拓撲；
自動發現接入設備的類型，包括：終端操作系統、受控類別、IoT設備類型；
自動發現設備的接入方式及接入位置，連接的交換機及其端口或無線熱點；
通過多維度的發現分析，實現網絡全面可視化。
2、控制
對接入終端和用戶進行準入控制，按其賬號、安全狀態、位置等屬性，進行安全檢查與認證；
對通過安全檢查的接入設備，按賬戶或設備類別授予網絡訪問權限ACL/VLAN；
接入設備在使用網絡資源期間，持續監控設備的安全狀態，出現異常予以控制。
3、管理
統一身份認證，實現基于角色的授權，組織架構用戶集中管理；
提供安全可視化，規范入網流程化管理，安全策略統一下發，實現系統化的安全管理體系；
通過異常檢測，告警通知，控制隔離，幫助企業識別內網安全風險并及時處置；
對于所有接入設備進行審計留痕，為安全審計溯源提供支撐，同時也可以和第三方平臺 對接實現安全情報共享。
四、主要優勢
1、功能
組網靈活、兼容性高：具有靈活的組網方式，全面的有線/無線/WAN/VPN接入認證技術、業界更廣泛的網絡設備兼容性；
真正的最小授權：直接與網絡設備聯動，自動下發VLAN和ACL，安全控制粒度細，與安全助手結合可感知應用類別，實現資源訪問控制；
支持Windows、MacOS、Linux、iOS、Android等各種終端的802.1x協議；
NAC支持接入設備跨網絡漫游。
2、性能與擴展
單服務器支持15萬+設備管控，支持集群部署；
提供第三方功能擴展開發接口，可深度定制客戶端、后臺、管理頁面。
3、可靠性與可用性
可靠性設計優異：
結構簡單，無單點故障、緊急逃生、Radius熔斷機制及自動撤防，提供可靠性措施；
部署和維護簡單：
系統提供Agent自助式部署工具，終端用戶無須更改網絡屬性設置，接入故障診斷一目了然（一個界面分析出端口、認證、策略、綁定問題）。
4、成本
獨立第三方NAC系統，不依賴網絡設備廠商，用戶有更多網絡設備采購決策自由；
國內保有量巨大的NAC產品，決策風險與TCO低。
五、主要價值
解決內網安全管理問題的強大基礎設施，讓各種安全管理規范落地；
適應各種復雜網絡環境，防止外部或內部不安全的設備接入網絡；
自動發現網絡、設備及連接關系，清晰展現全網線上資產與安全狀態；
與其它終端安全管理產品協同，是解決內網安全管理問題的基礎設施。
六、典型應用場景
1、無線接入（員工、訪客）
通過實名身份認證接入企業無線網絡，結合入網安全檢查，可保護企業無線網絡安全，符合國家網絡安全法和等保要求。
2、有線網絡
通過實施準入控制，可以從邊界保護企業內網安全，將不合規的終端、用戶隔離至企業網絡之外，保護業務安全訪問。
3、遠程接入
可以有效防止非授權用戶從外部網絡遠程接入，可有效防止非法終端接入到內部網絡獲取數據。
