北京北信源软件：面向国产化计算机的终端安全管理平台可行性分析报告（20页）.pdf

1、 1 北京北信源软件股份有限公司北京北信源软件股份有限公司 面向国产化计算机的终端安全管理平台面向国产化计算机的终端安全管理平台 可行性分析报告可行性分析报告 二一八年十一月二一八年十一月 面向国产化计算机的终端安全管理平台可行性分析报告 2 目录目录 1项目概况项目概况.3 2项目背景项目背景.12 3项目必要性分析项目必要性分析.15 4项目可行性分析项目可行性分析.16 5项目实施内容项目实施内容.18 6项目效益分析项目效益分析.20 7.项目实施的风险项目实施的风险.20 8.投资项目结论投资项目结论.20 面向国产化计算机的终端安全管理平台可行性分析报告 3 1项目概况项目概况 本

2、项目将服务于国家信息安全自主可控战略，贯彻落实网络安全法、国家网络空间安全战略以及系列政策法规决策文件的指导精神，面向国产化计算机，基于防护监管一体化的安全管理策略，根据国家信息安全等级保护和信息系统分级保护相关国家标准，从网络接入控制、行为安全管理、应用安全管理、数据安全管理和恶意代码防御等方面，打造终端行为与数据安全一体化的管理体系和整体解决方案，研发终端安全管理平台产品，从而系统性地解决国产化计算机的安全管理问题。面向国产化计算机的终端安全管理平台，由网络接入控制及安全可信网关、主机监控审计与补丁分发系统、终端身份鉴别系统、专用服务器审计系统、电子文档安全管理系统、数据防泄漏系统、终端保

3、密安全检测评估系统、移动存储介质安全管理系统、打印刻录监控与审计系统、安全即时通信系统和网络防病毒系统等 11 款产品组成面向国产化计算机的终端安全管理平台，由网络接入控制及安全可信网关、主机监控审计与补丁分发系统、终端身份鉴别系统、专用服务器审计系统、电子文档安全管理系统、数据防泄漏系统、终端保密安全检测评估系统、移动存储介质安全管理系统、打印刻录监控与审计系统、安全即时通信系统和网络防病毒系统等 11 款产品组成，分布在动态自适应网络接入控制、一体化终端行为与数据安全管理和未知恶意代码防御三个技术方向。1.1 动态自适应网络接入控制动态自适应网络接入控制 网络接入接入控制及安全可信网关以国

4、产化计算机终端的安全可信作为网络接入的唯一依据，来实现动态自适应的网络接入控制。它以终端用户与设备的验证以及终端安全为基础，通过身份认证以及安全域控制等手段，在计算机终端和接入交换机上进行控制，从根本上保证接入网络的终端可信、可靠和安全，并可进一步控制终端的访问权限，为企业的终端入网安全管理提供强有力的保障，规避不安全、不可信终端入网时带来的安全风险。系统的工作原理如图 1 所示。入网注册、审核、认证入网安全评估隔离区安全修复新终端通过？合格？是否是否 图 1 动态自适应网络接入控制 （1）定性与定量相结合的主机安全评估 该技术用于国产化计算机终端的安全评估，为网络接入控制提供依据，不安全的终

5、端将不允许入网。它从杀毒软件检查、共享资源检查、系统漏洞检查、IE 面向国产化计算机的终端安全管理平台可行性分析报告 4 主页检查、Guest 来宾账户检查、远程桌面检查、启动项检查、弱口令检查、启动服务检查等方面，通过设定不同的技术要求（评分项）与对应的分值，对终端主机进行定性与定量相结合的安全评估，计算得到终端的安全可信值，并与设定的安全可信阈值（基线安全值）进行比较，如果终端的安全可信值低于设定的阈值，就会被认定为是非安全可信的终端，从而被拒绝入网或移至隔离区，需进行安全修复，经重新评估达到安全要求后才被允许入网。安全评估项包括但不限于：杀毒软件检查，针对终端安装杀毒软件的情况进行检测评

6、估，支持“要求安装”和“不要求安装”两种模式；共享资源检查，针对终端是否存在共享资源进行检查，支持“允许”和“禁止”两种模式；系统漏洞检查，针对终端系统的漏洞情况进行检查，支持“允许”和“不允许”两种模式；IE 主页检查，针对 IE 的主页设置配置进行检查，支持“允许修改”主页和“不允许修改”主页两种模式；Guest 来宾账户检查，针对终端系统对Guest 来宾账户的启用情况下进行检查，支持“允许”和“禁止”两种模式；远程桌面检查，针对远程桌面启用情况进行检查，支持“允许”和“禁止”两种模式；启动项检查，针对系统的进程启动情况进行检查，支持禁止启动项，可自行设定启动项的进程列表；弱口令检查，针