方案背景

隨著互聯(lián)網(wǎng)技術(shù)的發(fā)展，分散化辦公給我們帶來(lái)更多的便利和快捷，然而分散化辦公也給企業(yè)安全管理帶來(lái)很多新的問(wèn)題，迫切需要一套成熟的遠(yuǎn)程辦公安全解決方案，來(lái)解決企業(yè)安全管理中所面臨的以下安全問(wèn)題：

人員安全管理問(wèn)題

用戶身份識(shí)別面臨考驗(yàn)、認(rèn)證介質(zhì)遺失隱患較大、員工違規(guī)行為、合作方及外部人員安全管控難題、缺乏專業(yè)安全人員。

設(shè)備管理問(wèn)題

移動(dòng)終端系統(tǒng)安全、終端被仿冒、資金不足。

遠(yuǎn)程辦公網(wǎng)絡(luò)建設(shè)問(wèn)題

企業(yè)邊界模糊化、數(shù)據(jù)傳輸安全考量、不易管理、缺乏智能、處理性能

業(yè)務(wù)安全隱患

權(quán)限最小化控制、越權(quán)操作、內(nèi)網(wǎng)業(yè)務(wù)安全、安全性與工作效率需要兼顧

數(shù)據(jù)安全

核心數(shù)據(jù)泄露、高級(jí)惡意威脅

方案詳解

1. 多場(chǎng)景接入認(rèn)證：

內(nèi)網(wǎng)接入；

內(nèi)部分支機(jī)構(gòu)，終端用戶接入分支結(jié)構(gòu)的接入網(wǎng)關(guān)，分級(jí)機(jī)構(gòu)網(wǎng)關(guān)和異地網(wǎng)關(guān)之間通過(guò)IPSec VPN隧道連接；

外網(wǎng)PC加裝VPN，用戶終端和VPN網(wǎng)關(guān)之間通過(guò)SSLVPN建立隧道，訪問(wèn)內(nèi)網(wǎng)業(yè)務(wù)系統(tǒng)或虛擬桌面；

客戶端通過(guò)公網(wǎng)訪問(wèn)虛擬桌面，可選擇疊加SSLVPN或不疊加。

2. 出口網(wǎng)絡(luò)審計(jì)

無(wú)分支機(jī)構(gòu)出口審計(jì)場(chǎng)景：

不改變網(wǎng)絡(luò)拓?fù)洌�旁路部署于核心層，僅針對(duì)上網(wǎng)行為進(jìn)行分析和審計(jì)，不提供控制功能

設(shè)備本地日志記錄，日志也可發(fā)送到集中管理和數(shù)據(jù)分析中心處理，并可進(jìn)行數(shù)據(jù)分析

在小型VDI部署中，ACG可以直接作為出口網(wǎng)關(guān)部署，保障關(guān)鍵應(yīng)用和服務(wù)的帶寬，串接進(jìn)網(wǎng)絡(luò)內(nèi)實(shí)現(xiàn)上網(wǎng)行為管理功能

提供完整的覆蓋用戶網(wǎng)絡(luò)審計(jì)的要求，提供用戶URL訪問(wèn)記錄，細(xì)分提供惡意URL日志、IM聊天軟件日志、社區(qū)日志、搜索引擎日志、郵件日志等細(xì)分審計(jì)內(nèi)容

分支機(jī)構(gòu)場(chǎng)景：

在有分支機(jī)構(gòu)場(chǎng)景中，ACG部署在分支和總部的出口，對(duì)廣域網(wǎng)流量進(jìn)行業(yè)務(wù)識(shí)別，并按業(yè)務(wù)進(jìn)行流量調(diào)度

廣域網(wǎng)應(yīng)用可視化：ACG上基于應(yīng)用、時(shí)間、用戶三個(gè)維度的流量統(tǒng)計(jì)和報(bào)表功能，可為廣域網(wǎng)帶寬問(wèn)題排查和帶寬優(yōu)化提供直觀依據(jù)。

廣域網(wǎng)關(guān)鍵業(yè)務(wù)帶寬保證：ACG動(dòng)態(tài)識(shí)別視頻會(huì)議等關(guān)鍵業(yè)務(wù)，并提供帶寬保證；

限制廣域網(wǎng)上的濫用流量：通過(guò)限制上傳、下載、影視等濫用流量，保護(hù)廣域網(wǎng)上有限的帶寬資源。

全網(wǎng)策略統(tǒng)一管理及日志收集展示：ACG1000系列配合日志分析與集中管理平臺(tái)軟件，可為用戶提供全網(wǎng)統(tǒng)一化的設(shè)備、策略管理，而全網(wǎng)日志則可以統(tǒng)一收集，實(shí)現(xiàn)管理節(jié)點(diǎn)下沉、權(quán)限清晰、報(bào)表統(tǒng)一的效果；

基于Internet的IPSec VPN互聯(lián)網(wǎng)絡(luò)：針對(duì)沒(méi)有拉通專線的企業(yè)級(jí)用戶，ACG1000系列可提供高性價(jià)的IPSec VPN組網(wǎng)方案，使用戶可以高效的基于Internet即建立起廣域網(wǎng)內(nèi)網(wǎng)通道；

3. 內(nèi)網(wǎng)訪問(wèn)控制和審計(jì)：

內(nèi)網(wǎng)終端與企業(yè)內(nèi)網(wǎng)之間訪問(wèn)的控制和審計(jì)，確保內(nèi)網(wǎng)內(nèi)容安全。

隔離內(nèi)網(wǎng)終端和企業(yè)內(nèi)網(wǎng)

內(nèi)網(wǎng)訪問(wèn)基于URL的過(guò)濾

內(nèi)網(wǎng)訪問(wèn)基于用戶的流量管理及

內(nèi)網(wǎng)訪問(wèn)日志審計(jì)

方案優(yōu)勢(shì)

更豐富、更安全的接入和認(rèn)證方式

SSLVPN支持釘釘/企業(yè)微信認(rèn)證，支持企業(yè)APP加固，便利接入

TLS1.3，提供更高的安全性

SSLVPN全面支持IPv6

靈活的多因素認(rèn)證：口令、公鑰、USBKey、短信、第三方認(rèn)證等多種認(rèn)證方式，且可以任意組合

自研VDI云桌面接入

自研VDP協(xié)議，保障用戶在低帶寬下享受更好的使用體驗(yàn)

全流程內(nèi)容保護(hù)和審計(jì)

外設(shè)權(quán)限管控

顯性水印+盲水印

增強(qiáng)的內(nèi)網(wǎng)安全及全棧風(fēng)險(xiǎn)可視化

未知應(yīng)用管控：NGFW實(shí)現(xiàn)最小化授權(quán)，通過(guò)簡(jiǎn)便的配置，僅放通業(yè)務(wù)需要的應(yīng)用，未知應(yīng)用一律阻斷

安全風(fēng)險(xiǎn)分析：NGFW具備高度的可見(jiàn)性，并在可此基礎(chǔ)上做應(yīng)用分析和攻擊鏈分析，應(yīng)對(duì)高級(jí)惡意威脅

資產(chǎn)風(fēng)險(xiǎn)評(píng)估：NGFW具備高度的可見(jiàn)性，對(duì)企業(yè)資產(chǎn)的風(fēng)險(xiǎn)狀況進(jìn)行動(dòng)態(tài)評(píng)估，并為客戶推薦策略

SSL卸載及不解密檢測(cè)加密流量，應(yīng)對(duì)各種惡意命令與控制連接

全面踐行NIST零信任模型

人-設(shè)備-網(wǎng)絡(luò)-業(yè)務(wù)-數(shù)據(jù)信任鏈的持續(xù)更新

態(tài)勢(shì)感知、零信任防火墻、可信API網(wǎng)關(guān)、終端安全軟件的聯(lián)動(dòng)配合

細(xì)致的管控粒度：NGFW和API可信網(wǎng)關(guān)具備基于用戶、應(yīng)用、URL、API級(jí)粒度的管控能力，精準(zhǔn)控制，兼顧高度的安全性和業(yè)務(wù)的靈活性