内网安全管理系统设计方案
2.2. 安全体系
北信源VRV SpecSEC体系覆盖终端的资产安全管理、终端数据安全管理、终端行为安全管理、终端服务安全管理等多个方面，涉及管理计算机本身、计算机应用、计算机操作者、计算机使用单位管理规范等多个方面，形成全方位、多层次、立体化终端安全管理。VRV SpecSEC终端安全管理体系层次结构图如下所示：
VRV SpecSEC终端安全管理体系层次结构图
本解决方案正是基于上述核心理念和安全体系的基础上而组建的基于终端各方面安全管理和控制的一体化解决方案。
6
内网安全管理系统设计方案
3. 终端安全管理解决方案
3.1. 终端安全管理建设目标
(1) 当终端接入时要落实安全保护技术措施，保障内部网络的运行安全和信息安全；
(2) 对已接入内部网络的终端计算机，要做好用户权限设定工作，不能开放 其规定以外的操作权限。
(3) 发现有违规情形的，应当保留有关原始记录，并可直接了解到该违规信息及违规方式等。
(4) 网络管理人员能够利用该管理方式，便捷的管理内网终端计算机，并能够利用该种方式对终端计算机现状一目了然。
3.2. 终端安全管理方案设计原则
方案设计遵循如下原则：
(1) 安全性原则：对性能影响小，与其它业务系统无冲突。
(2) 可靠性原则：在反复操作与长期实践之后依然能够保持高度的稳定性。 (3) 可扩展性原则：能够符合IT发展方向，并随业务增长的同时保持高度的可扩充性。
(4) 易用性原则：提供简单、友好界面，能够进行直观的操作，形成丰富的图形界面与报表。
(5) 兼容性原则：能够与主流厂商的系统、软件、主机设备、安全设备、网络设备保持高度的兼容性。
7
内网安全管理系统设计方案
3.3. 终端安全管理方案设计思路
1、遵循IT服务标准
随着信息技术的发展以及对信息技术依赖程度的提高，IT已成为许多业务流程必不可少的部分，甚至是某些业务流程赖以运作的基础。IT部门要承担更大的责任，即提高业务运作效率，降低业务流程的运作成本，遵循ITIL标准，协调IT服务部门内部运作，改善IT部门与业务部门之间的沟通，帮助单位对信息化系统的规划、研发、实施和运营进行有效管理的方法。IT服务管理将流程、人和技术三方面整合在一起来解决IT服务管理问题。并结合单位内部组织结构、IT资源与管理流程等，对业务需求进行整体管理与服务。解决方案设计要采用IT服务管理的理念，按照ITIL最佳实践标准来设计。
2、遵循ISO 27001标准
ISO27001作为信息系统安全管理标准，已经成为全球公认的安全管理最佳实践，成为全国大型机构在设计、管理信息系统安全时的实践指南。其中除了安全思路之外，给出了许多非常细致的安全管理指导规范。在ISO27001中有一个非常有名的安全模型，称为PDCA安全模型。PDCA安全模型的核心思想是：信息系统的安全需求是不断变化的，要使得信息系统的安全能够满足业务需要，必须建立动态的“计划、设计和部署、监控评估、改进提高”管理方法，持续不断地改进信息系统的安全性。
北信源认为，终端安全管理，也将是一个持续、动态、不断改进的过程，北信源将提供统一的、集成化的平台和工具，帮助对其终端进行统一的安全控制、安全评估、安全审计及安全改进策略部署。
3、遵循VRV SpecSEC安全理念
依据业界最佳安全实践和行业信息安全管理体系的建设流程，结合北信源VRV SpecSEC核心安全理念，本方案的总体架构共分为“网络接入管理、补丁及软件分发管理、移动存储介质管理、桌面终端管理、终端安全审计”等安全管理
8
内网安全管理系统设计方案
组件，并通过统一、联动的安全管控与审计平台实现对不同层次架构的集中策略配置与管理，完成对网络终端的分级部署、统一管控，最终实现对内网终端全方位的控制管理，形成完整的终端安全管理体系。
方案设计思路
9
内网安全管理系统设计方案
3.4. 终端安全管理解决方案实现
本方案通过网络接入控制管理、补丁及软件分发管理、移动存储介质管理、桌面终端安全管理，以及终端安全审计管理等五大部分，并由集中统一的管控和策略平台，完成对上述安全管理组件的统一策略配置与下发、集中管理与审计，最终形成联动化的、集成化的、完整的终端安全体系建设。
3.4.1. 网络接入管理设计实现 3.4.1.1. 网络接入管理概述
通过网络接入控制能够完成对未知终端、授权终端的安全准入管理与控制。该系统能够完成基于802.1x协议的准入控制技术的安全准入管理控制，为内网终端的安全接入控制提供了一道绿色的保护屏障。
3.4.1.2. 网络接入管理方案及思路
系统能够确保终端电脑只有在通过认证，即安装终端安全管理组件，并符合必要的安全策略的前提下才能被允许接入内部网络，否则会强制终端电脑跳转到访客隔离区(guest区)，完成认证后还需要完成安检，即终端管理软件的下载和安装，且符合既定安全策略要求时才可准许接入内部网络。具体接入流程如下：
10