第1章 整体方案价值
深信服科技作为全球领先的前沿网络设备供应商，凭借多年行业经验，并结合其在企业业务和网络发展趋势的理解，为用户提供量身打造的网络准入控制解决方案，旨在帮助客户构建“终端+网关”的双向安全机制，提高网络的整体安全级别，降低泄密风险。
1.1 网络准入控制
深信服NAC方案提供的网络准入控制功能对网络接入终端强制进行身份认证和安全评估，为访问网络资源的终端设备提供足够保护，以防御网络安全威胁。网络准入控制功能评估终端安全级别并依据评估结果，将不同用户、不同安全级别的终端隔离出来，形成独立的隔离区，拒绝隔离区中的终端与正常通过安全策略检测的终端进行通讯，从而有效的限制了病毒、蠕虫和间谍软件等损害网络安全。
网络准入控制功能的隔离效果：
? 新接入网络的终端，未通过认证时，默认不能和安全区内的终端通信，管理员可选将其
加入未认证的用户隔离区中，限制其外网访问权限、服务器区访问权限；
? 接入网络的终端，通过认证后，会根据管理员配置的网络准入控制策略检测用户是否通
过评估，通过安全评估的用户会进入安全用户区，安全用户区不能和未通过评估的隔离区通讯；未通过安全评估的用户不能和安全用户区内的用户通讯；
? 未通过安全评估的用户，根据管理员设置的隔离条件进入相应隔离区，隔离区内用户可
访问的网络资源受所在隔离区的配置控制。
管理员对指定用户使用“网络准入控制”管理隔离区用户配置隔离区访问策略隔离区A存在安全威胁！互联网新接入用户终端安全级别评估不符合安全策略隔离区B通过评估安全服务器区安全用户
1.2 防病毒软件检测
深信服NAC具有防病毒软件检测功能，可以检测终端计算机是否安装了防病毒软件，是否开启了自动防护，病毒库是否出于最新状况，并可以根据检测结果来执行指定操作。防病毒软件检测功能帮助管理员消除内网安全短板，保证终端计算机和内网安全。
根据检测结果，管理员可设置NAC主动向用户发起安全检测提示，强制执行远程应用程序如强制安装防病毒软件、强制升级病毒库（需要配合第三方防病毒产品），将安全级别不足的用户放入指定隔离区进行访问权限控制，这些操作可以任意组合并在用户计算机违反相关安全策略后自动执行。在完成修复并达到安全策略要求后，终端将被解除隔离，允许访问网络和内网其他终端。
图：防病毒软件检测客户端安全检测提示
图：防病毒软件检测配置界面
1.3 Windows补丁检测
深信服NAC方案提供了Windows补丁检测功能，能够及时检测客户端计算机当前未安装的补丁，并在有可用更新时，NAC按照管理员指定的时间期限执行设定操作，如：主动向用户发起安全检测提示，提醒用户安装缺失补丁并提供相应链接；强制执行远程应用程序；将安全级别不足的用户放入指定隔离区进行访问权限控制。在完成修复并达到安全策略要求后，终端将被解除隔离，允许访问网络和内网其他终端。
补丁检测功能能促使安全意识不足的用户主动提高操作系统安全性，帮助管理员减少来自内网安全方面的工作压力。
图：Windows补丁检测客户端安全检测提示
图：Windows补丁检测安全报告与补丁链接
1.4 非法外联线路检测
深信服NAC方案提供了非法外联线路检测功能，通过检测终端是否通过组织已有网络之外的其他线路访问外部网络，如无线路由、3G上网卡、拨号网络等，并提供阻断其访问其他网络的能力。更进一步的，管理员可设置，即使恶意用户将不允许带离办公地点的终端设备带出组织网络，也不能访问外联线路。
通过该功能，NAC帮助客户规范了组织的上网线路管理，减少来自非法外联线路的病毒、恶意软件对组织网络的威胁，规避了非法外联线路给组织带来的安全风险和泄密风险。
1.5 USB防拷贝
USB数据防拷贝功能是深信服NAC提供的禁用USB存储设备的软件解决方案，开启USB数据防拷贝功能的终端计算机可以在不影响其他USB设备（如鼠标、摄像头等）正常工作的情况下，禁止USB存储设备的使用，封堵了信息泄漏和病毒传播的一条重要途径。
1.6 终端应用程序统计
员工工作效率的高低不仅表现在网络应用的组成成分中，大量的终端娱乐应用也应列入考核范围。深信服NAC方案提供了终端活动程序统计功能，为决策者提供在终端应用程序管理方面的决策信息。
管理员可使用终端活动程序统计功能记录终端计算机的活动窗口信息，并对这些活动窗口的进程名和窗口名进行计时，然后根据用户配置进行上报。上报信息由数据中心汇总以后形成终端应用程序报表，作为管理员决策的依据。
深信服准入功能介绍
