1. 項目建設背景

1.1. 項目建設背景

終端安全管理是安全建設中重要的環節之一，是用戶可持續發展的重要保證，可持續發展奠定更加牢固的作用。通過建設終端安全管理系統可明確內網安全狀況，設備運行狀況和網絡狀況，符合等保要求和公安部檢查要求，使涉密電腦符合固國家要求；符合十三五規劃。

隨著計算機網絡的不斷發展，信息產業已經成為人類社會的支柱產業，全球信息化已成為人類社會發展的大趨勢，由此帶動了計算機網絡的迅猛發展和普遍應用。但由于計算機網絡具有聯結形式多樣性、終端分布不均勻性和網絡的開放性、互連性等特征，致使網絡易受黑客、病毒、蠕蟲、惡意軟件和其他惡意的攻擊，所以網上信息的安全和保密是一個至關重要的問題。無論是有意的攻擊，還是無意的誤操作，都將會給系統帶來不可估量的損失。攻擊者可以竊聽網絡上的信息，竊取用戶的口令、數據庫的信息；還可以篡改數據庫內容，偽造用戶身份，否認自己的簽名。更有甚者，可以刪除數據庫內容，摧毀網絡節點，釋放計算機病毒等等，這些都使信息安全問題越來越復雜。所以網絡的安全性也就成為廣大網絡用戶普遍關心的問題。無論是在局域網還是在廣域網中都存在著自然和人為等諸多因素的脆弱性和潛在威脅。發展和推廣網絡應用的同時進一步提高網絡的安全性，真正做到“既要使網絡開放又要使網絡安全”這一問題已成為了網絡界積極研究的課題。

在我國，近幾年隨著網絡技術的發展，網絡應用的普及和豐富，網絡安全的問題也日益嚴重，利用信息技術進行的高科技犯罪事件呈現增長態勢。

1.2. 終端安全風險分析

受地下黑色產業鏈的影響，全球權威的惡意軟件監測組織 AV-test.org（https://www.av-test.org/en/statistics/malware/） 的統計分析顯示, 每年的全球病毒與惡意軟件數量持續增長并有加速的趨勢。

近來年勒索病毒十分流行，統計2016年后勒索軟件全球增長率達到782%。新發現的勒索軟件變種中，病毒偽裝成為Doc、Js等多種文件類型的垃圾郵件附件，一旦用戶運行此附件，勒索軟件即會潛入到用戶的電腦之中，用戶計算機上的文檔文件會被加密導致無法打開，同時會加密網絡中可訪問的網絡共享文件，并在桌面顯示勒索信息。如果用戶不按照勒索軟件作者的要求支付贖金，其文件很有可能被永久加密。近期發現的勒索軟件變種的加密文件類型比以往有所增多。此惡意程序已導致大量的醫院、企業、政府單位等用戶受到影響。

2018年共收錄通用軟硬件漏洞14201個，其中高危漏洞4898個（占34.5%），中危漏洞8404個（占59.2%），低危漏洞899個（占6.3%）。

2018年，全球專業網絡安全機構發布了各類高級威脅研究報告478份，同比增長了約3.6倍，其中我國12個研究機構發布報告80份，這些報告涉及已被確認的APT攻擊組織包括APT28、Lazarus、Group 123、海蓮花、MuddyWater等53個，攻擊目標主要分布在中東、亞太、美洲和歐洲地區，總體呈現出地緣政治緊密相關的特性，受攻擊的領域主要包括軍隊國防、政府、金融、外交和能源等。

值得注意的是，醫療、傳媒、電信等國家服務性行業領域也正面臨越來越多的APT攻擊風險。APT攻擊組織采用的攻擊手法主要以魚叉郵件攻擊、水坑攻擊、網絡流量劫持或中間人攻擊等，其頻繁利用公開或開源的攻擊框架和工具，并綜合利用多種技術以實現攻擊，或規避與歷史攻擊手法的重合。

1.3. 法規要求

在《網絡安全法》第三章網絡安全運行中第二十一條明確提到“國家實行網絡安全等級保護制度。網絡運營者應當按照網絡安全等級保護制度的要求，履行下列安全保護義務，保障網絡免受干擾、破壞或者未經授權的訪問，防止網絡數據泄露或者被竊取、篡改：（一）制定內部安全管理制度和操作規程，確定網絡安全負責人，落實網絡安全保護責任；（二）采取防范計算機病毒和網絡攻擊、網絡侵入等危害網絡安全行為的技術措施；（三）采取監測、記錄網絡運行狀態、網絡安全事件的技術措施，并按照規定留存相關的網絡日志不少于六個月；（四）采取數據分類、重要數據備份和加密等措施；（五）法律、行政法規規定的其他義務”XX用戶作為社會行業重要組成部分網絡安全是社會穩定發展的重要環節，其網絡安全也是重中之重。

同時隨著等保2.0正式實施，在 GB/T 22239-2019 《網絡安全等級保護基本要求》中明確要求：

“8.1.4.4 a)應遵循最小安裝的原則，僅安裝需要的組件和應用程序 b)應關閉不需要的系統服務、默認共享和高危端口?！?/p>

“8.1.4.5 惡意代碼防范明確要求：應采用免受惡意代碼攻擊的技術措施或主動免疫可信驗證機制及時識別入侵和病毒行為，并將其有效阻斷?！?/p>

由此可見對于任何一個單位，忽視在終端安全的治理和防范，都會導致嚴重的后果，即不符合國家法律法規的遵從性，也容易感染各類惡意軟件導致數據丟失和業務中斷，造成不可預估的損失。

2.防病毒整體管理

根據用戶架構，整體架構設計和全網防病毒部署要求，并綜合考慮全面安全功能和統一管理需求，建議在終端層面部署防毒系統對每一個終端電腦實現惡意軟件檢測查殺保護，在總部和其他區域分公司按照地域劃分本地部署一套防病毒管理服務器作為當地分站點，數據中心部署一套全網防病毒統一管理服務器接管所有分站點數據進行集中管控、事件匯總和安全策略調度，呈現三級管理架構。

3.終端安全管理

4.準入整體管理

終端準入控制系統將采取如下接入控制措施：

? 檢查終端是否為授信注冊的內部終端；

? 檢查終端用戶輸入的用戶名和口令是否合法；

? 檢查終端系統是否滿足安全策略要求； 

? 臨時入網終端是否有授權及臨時入網碼； 

只有合法身份的用戶以及滿足組織安全規范的設備才能接入到網絡中，否則系統會將此設備（包括沒有安裝終端代理的設備）自動隔離到隔離區，終端計算機在此隔離區內訪問修復安全漏洞必須的服務器與網絡資源。

如果是來自外部的終端試圖接入網絡，亞信安全終端準入控制系統將采取如下措施：

? 拒絕外部非法客戶機接入網絡 

? 將外部客戶機設置到 Guest VLAN 中