方案背景

隨著互聯(lián)網(wǎng)技術的發(fā)展，分散化辦公給我們帶來更多的便利和快捷，然而分散化辦公也給企業(yè)安全管理帶來很多新的問題，迫切需要一套成熟的遠程辦公安全解決方案，來解決企業(yè)安全管理中所面臨的以下安全問題：

人員安全管理問題

用戶身份識別面臨考驗、認證介質遺失隱患較大、員工違規(guī)行為、合作方及外部人員安全管控難題、缺乏專業(yè)安全人員。

設備管理問題

移動終端系統(tǒng)安全、終端被仿冒、資金不足。

遠程辦公網(wǎng)絡建設問題

企業(yè)邊界模糊化、數(shù)據(jù)傳輸安全考量、不易管理、缺乏智能、處理性能

業(yè)務安全隱患

權限最小化控制、越權操作、內網(wǎng)業(yè)務安全、安全性與工作效率需要兼顧

數(shù)據(jù)安全

核心數(shù)據(jù)泄露、高級惡意威脅

方案詳解

1. 多場景接入認證：

內網(wǎng)接入；

內部分支機構，終端用戶接入分支結構的接入網(wǎng)關，分級機構網(wǎng)關和異地網(wǎng)關之間通過IPSec VPN隧道連接；

外網(wǎng)PC加裝VPN，用戶終端和VPN網(wǎng)關之間通過SSLVPN建立隧道，訪問內網(wǎng)業(yè)務系統(tǒng)或虛擬桌面；

客戶端通過公網(wǎng)訪問虛擬桌面，可選擇疊加SSLVPN或不疊加。

2. 出口網(wǎng)絡審計

無分支機構出口審計場景：

不改變網(wǎng)絡拓撲，旁路部署于核心層，僅針對上網(wǎng)行為進行分析和審計，不提供控制功能

設備本地日志記錄，日志也可發(fā)送到集中管理和數(shù)據(jù)分析中心處理，并可進行數(shù)據(jù)分析

在小型VDI部署中，ACG可以直接作為出口網(wǎng)關部署，保障關鍵應用和服務的帶寬，串接進網(wǎng)絡內實現(xiàn)上網(wǎng)行為管理功能

提供完整的覆蓋用戶網(wǎng)絡審計的要求，提供用戶URL訪問記錄，細分提供惡意URL日志、IM聊天軟件日志、社區(qū)日志、搜索引擎日志、郵件日志等細分審計內容

分支機構場景：

在有分支機構場景中，ACG部署在分支和總部的出口，對廣域網(wǎng)流量進行業(yè)務識別，并按業(yè)務進行流量調度

廣域網(wǎng)應用可視化：ACG上基于應用、時間、用戶三個維度的流量統(tǒng)計和報表功能，可為廣域網(wǎng)帶寬問題排查和帶寬優(yōu)化提供直觀依據(jù)。

廣域網(wǎng)關鍵業(yè)務帶寬保證：ACG動態(tài)識別視頻會議等關鍵業(yè)務，并提供帶寬保證；

限制廣域網(wǎng)上的濫用流量：通過限制上傳、下載、影視等濫用流量，保護廣域網(wǎng)上有限的帶寬資源。

全網(wǎng)策略統(tǒng)一管理及日志收集展示：ACG1000系列配合日志分析與集中管理平臺軟件，可為用戶提供全網(wǎng)統(tǒng)一化的設備、策略管理，而全網(wǎng)日志則可以統(tǒng)一收集，實現(xiàn)管理節(jié)點下沉、權限清晰、報表統(tǒng)一的效果；

基于Internet的IPSec VPN互聯(lián)網(wǎng)絡：針對沒有拉通專線的企業(yè)級用戶，ACG1000系列可提供高性價的IPSec VPN組網(wǎng)方案，使用戶可以高效的基于Internet即建立起廣域網(wǎng)內網(wǎng)通道；

3. 內網(wǎng)訪問控制和審計：

內網(wǎng)終端與企業(yè)內網(wǎng)之間訪問的控制和審計，確保內網(wǎng)內容安全。

隔離內網(wǎng)終端和企業(yè)內網(wǎng)

內網(wǎng)訪問基于URL的過濾

內網(wǎng)訪問基于用戶的流量管理及

內網(wǎng)訪問日志審計

方案優(yōu)勢

更豐富、更安全的接入和認證方式

SSLVPN支持釘釘/企業(yè)微信認證，支持企業(yè)APP加固，便利接入

TLS1.3，提供更高的安全性

SSLVPN全面支持IPv6

靈活的多因素認證：口令、公鑰、USBKey、短信、第三方認證等多種認證方式，且可以任意組合

自研VDI云桌面接入

自研VDP協(xié)議，保障用戶在低帶寬下享受更好的使用體驗

全流程內容保護和審計

外設權限管控

顯性水印+盲水印

增強的內網(wǎng)安全及全棧風險可視化

未知應用管控：NGFW實現(xiàn)最小化授權，通過簡便的配置，僅放通業(yè)務需要的應用，未知應用一律阻斷

安全風險分析：NGFW具備高度的可見性，并在可此基礎上做應用分析和攻擊鏈分析，應對高級惡意威脅

資產(chǎn)風險評估：NGFW具備高度的可見性，對企業(yè)資產(chǎn)的風險狀況進行動態(tài)評估，并為客戶推薦策略

SSL卸載及不解密檢測加密流量，應對各種惡意命令與控制連接

全面踐行NIST零信任模型

人-設備-網(wǎng)絡-業(yè)務-數(shù)據(jù)信任鏈的持續(xù)更新

態(tài)勢感知、零信任防火墻、可信API網(wǎng)關、終端安全軟件的聯(lián)動配合

細致的管控粒度：NGFW和API可信網(wǎng)關具備基于用戶、應用、URL、API級粒度的管控能力，精準控制，兼顧高度的安全性和業(yè)務的靈活性