泛终端安全入网感知及自动化处置系统研究.pdf

2023 年 10 月泛终端安全入网感知及自动化处置系统研究邓雄荣袁刘卓贤袁欧瑞红袁王湘女袁萧楚杨（东莞供电局，广东 东莞 523008）【摘要】在当前网络环境下袁泛终端种类繁多袁数量巨大袁区域部署分散袁安全合规属性无法统一袁缺乏整体有效的终端入网控制技术及安全行为监控手段袁导致入网终端资产不可视尧无感知尧易伪造遥 为实现泛终端入网安全管控袁设计了泛终端安全入网感知及自动化处置系统袁实现对全网泛终端的入网感知尧可视定位尧监控运行尧应急响应处置袁对物联网设备的入网安全监测及动态防护提供参考遥【关键词】泛终端曰自动感知曰可视定位曰自动处置【中图分类号】TP391【文献标识码】A【文章编号】1006-4222（2023）10-0043-030 引言随着内网泛终端接入数量的不断增加，网络安全环境日益复杂，防护面不断扩大，导致传统的网络安全防护及监控措施无法全面覆盖泛终端，存在泛终端易被仿冒、被劫持、被攻击的风险隐患。因此，在企业的日常网络安全运营中，强化泛终端入网感知可视、风险快速定位、安全应急处置等能力显得尤为重要。本文设计了一种泛终端安全入网感知及自动化处置系统，针对泛终端的入网感知、网络可视状态、运行及变更状态等进行动态监测管控，从而规范终端入网流程，防范接入风险，追溯威胁源头，自动处置及隔离风险，第一时间阻止网络中的非法入侵及异常攻击，确保泛终端入网安全可控，有效地确保企业内网的安全运行。1 项目背景目前，企业使用的终端设备中，除了办公电脑、网络打印机之外，还有网络摄像头、考勤机、刷卡机、楼宇电视、智能投影仪、视频会议智能终端等。普通电脑终端入网控制主要通过安装代理软件，结合交换机，启用 802.1X 联动网络准入控制系统、桌面管理系统实现入网合规性检测及台账管理，而其他泛终端设备不支持安装代理软件，接入交换机网络端口时不能启用 802.1X 联动网络准入控制系统，只能以互联网协议（internet protocol address,IP）或媒体存取控制（media access control,MAC）地址绑定的方式进行入网合规控制。虽然防火墙和交换机等网络安全防护设备配置了安全访问策略，但仍无法阻止攻击者冒用 IP 和 MAC 地址进行渗透破坏，进而对企业网络构成严重威胁。因此，泛终端安全入网已成为影响企业网络安全的重要因素1。2 系统设计泛终端安全入网感知及自动化处置系统通过台账建模管理，生成泛终端安全入网基准台账列表，感知终端入网时间，主动采集终端级联的网络设备端口全景可视表，对终端资产类型变化及网络设备端口变化进行动态监测，快速定位到网络接入信息点。当出现网络安全风险后，该系统能联动网络设备自动触发隔离断网，及时阻断异常终端或不合规终端入网。2.1 系统功能架构泛终端安全入网感知及自动化处置系统主要由七大功能模块构成，其功能架构如下。（1）基准台账可视化管理。按照企业组织架构，通过添加及导入现有泛终端台账数据，通过台账建模定义关键资产属性，定义台账基准合规数据，形成可视化基准台账列表，为后续的泛终端安全入网及变更提供合规基准台账比对。（2）端口可视化管理。通过安全外壳（secure shell,SSH）协议或简单网络管理协议（simple networkmanagement protocol,SNMP）采集网络设备地址解析协议（address resolution protocol,ARP）表及 MAC 地址接入表信息，结合基准台账列表，关联泛终端 IP及 MAC 地址，展现级联网络设备端口全景，实现终端网络接入可视化2。（3）运行状态监测管理。对基准台账列表中的终端上下线情况进行实时监测，对网络设备端口的运行状态进行实时监测，对终端资产类型变更进行主动扫描探测，当出现异常时生成告警事件，并推送给管理员。（4）变更感知。对告警事件进行感知分析判断，定义风险等级，进行事件分级管理。（5）安全响应及处置。针对告警事件，触发场景处置流程，结合工单管理，定位风险位置，联动网络设备，对端口进行一键封禁，阻断风险攻击传播路径。网络安全432023 年 10 月图 2 管控流程交换机检测到流量，匹配 MAC 地址安全过滤策略，合法入网系统感知到泛终端入网，参照关联关系表，启动监测告警发现终端在线情况及网络端口上下线变更，触发场景处置，启用识别策略检测终端被伪造，启动安全响应及处置，定位风险点，联动交换机关停端口，阻断风险源处置完成若终端无变化，保持现有网络接入，继续监测（6）安全运营分析。对某区域、某时间段的泛终端接入及风险情况进行评估，展现整体的泛终端安全入网运行态势。（7）统计分析。根据各个泛终端的属性字段，查询终端的安全属性，并汇总生成报表。2.2 技术原理（1）终端台账基准列表建立。泛终端安全入网感知及自动化处置系统通过添加或导入泛终端设备台账信息，建立终端台账基准列表。（2）网络数据自动采集。泛终端安全入网感知及自动化处置系统通过 SSH 协议或 SNMP 自动采集泛终端设备对应的网络设备接入端口信息，形成完整的泛终端资产接入位置关联分析表，一旦发现其他异常终端接入网络，可根据场景发出告警信号。（3）端口状态监测及自动处置。根据泛终端安全入网感知及自动化处置系统实时接收交换机端口变化信息所产生的 SNMP 陷阱事件，确认接入端口是否出现异常，然后调用场景处置策略，启用扫描探测判断终端资产类型是否发生变化，再联动交换机关闭异常接入端口，第一时间消除潜在风险。2.3 系统网络部署架构泛终端安全入网感知及自动化处置系统旁路部署在内网核心交换机上，确保能访问到所有的泛终端网段及网络设备网管网段，对全网泛终端设备进行入网感知，发现风险后进行自动化处置。系统网络部署架构如图 1 所示。2.4 系统管控流程通常情况下，泛终端开机后，访问流量会先经过接入层交换机端口，匹配到端口层面的 MAC 地址绑定安全过滤策略，只允许合法的白名单 MAC 地址流量经过，直接阻断其他 MAC 地址流量。此时，泛终端安全入网感知及自动化处置系统感知到泛终端已安全入网，启动实时监控，监测终端对应的网络接入端口，生成泛终端与网络设备端口的关联关系表，对泛终端在线情况及端口的上下线状态进行实时监测，若出现变更告警事件，触发场景处置策略，启动资产识别策略，判断接入终端的资产类型是否为原有资产。若出现变更，联动交换机自动关闭端口，阻止风险终端入网，再进行下一步现场取证追溯工作；若无变更，交换机端口状态保持不变，维持现有网络接入3。管控流程如图 2 所示。3 系统主要核心功能3.1 基准台账可视化当前的网络环境中，大量的泛终端资产以静态数据台账管理为主，缺乏针对泛终端的动态台账可泛终端开机入网图 1 系统网络部署架构泛终端资产入网感知及自动化处置平台核心交换机楼层 汇聚办公室接入端口未启用网络准入，通过 MAC地址绑定限制接入惠普/三星/富士/佳能/联想打印机其他厂商楼道接入端口未启用网络准入，通过 MAC地址绑定限制接入楼宇电视网络摄像头其他区域接入端口未启用网络准入，通过 MAC 地址绑点限制接入饭堂刷卡机网络考勤机网络安全442023 年 10 月视化管理，通过泛终端安全入网感知及自动化处置系统对泛终端进行统一台账建模，定义资产标签属性，不同的资产类型重点呈现，最终形成可视化的基准台账列表，并与网络实时运行动态关联。为后续的异常资产入网感知比对提供参考依据。3.2 网络端口关联全景展现泛终端安全入网感知及自动化处置系统通过与网络设备的结合，能自动采集泛终端的网络位置，批量获取所有在基准台账列表里的泛终端级联端口信息，能快速定位到相应的泛终端入网位置，最终终端台账与网络端口一一对应，为后续的风险定位及处置提供依据。3.3 动态监测及告警按照组织架构，对基准台账列表中的终端上下线情况及资产类型变更进行实时监测，对终端网络关联端口的运行状态进行实时监测，当发现终端上下线状态或资产类型发生变更时，主动触发告警提示，生成告警事件。3.4 安全响应及自动处置根据告警事件，快速定位风险点，启动自动化响应处置，联动交换机阻断风险源接入端口，并快速追踪溯源。3.5 终端安全运营分析按照时间段、组织架构、资产类型，将被伪造的终端列表、被盗用的端口列表等进行自定义报表统计输出，并提供相应的安全运营整改建议，实现全网泛终端安全入网。4 技术创新点4.1 泛终端台账可视化泛终端安全入网感知及自动化处置系统可结合资产指纹识别技术，对泛终端的台账实物定位、设备运行状态、资产异动情况进行可视化监控，提高了入网终端安全监测的准确性和及时性。4.2 端口接入可视化泛终端安全入网感知及自动化处置系统可对未启用 802.1X 联动网络准入控制系统的特殊端口接入终端资产进行可视化监控，快速跟踪非准入端口变化情况，实时掌控准入端口的变更情况。4.3 响应处置自动化泛终端安全入网感知及自动化处置系统对未启用 802.1X 联动网络准入控制系统的特殊端口进行监测，若出现变更，对产生的告警信息进行分析，直接在系统上对特殊端口进行一键风险应急处置（直接关闭特殊端口，断开泛终端接入交换机与上联交换机的通信），第一时间定位风险点，阻断风险源，防止伪造攻击，提升安全应急处置能力。5 成果推广及应用前景应用泛终端安全入网感知及自动化处置系统，对泛终端可视化入网管控，实时动态监测，规范了泛终端的入网流程，提高了泛终端管理效率、安全监管能力及应急处置时效性，真正做到了泛终端“事前控制、事中监控处置、事后审计”的全生命周期安全管理，满足了“入网必可视可信、入网必合规安全”的边界安全防护要求。泛终端安全入网感知及自动化处置系统可确保现有入网泛终端安全、可视、可管、可控，确保企业网络的安全运行，提升企业整体的网络安全防护水平，可针对所有泛终端设备网络接入及重要资产的网络接入推广此管控方式4。6 结语本文设计了一种泛终端安全入网感知及自动化处置系统，通过旁路部署，不改变企业现有网络架构，实现泛终端安全入网。有效规避了泛终端不支持强准入5控制的泛终端安全入网问题，预防攻击者冒用 IP 和 MAC 地址进行渗透破坏，杜绝了风险传播隐患。当发现安全风险时，该系统能快速响应自动处置，提升了企业内网的边界安全防御能力，从而保障企业终端网络及系统安全运行。该系统将扩展其应用范围，涵盖企业现有的其他物联网终端设备，扩展功能及挖掘其他网络安全功能，满足更多的泛终端网络可管、可控应用场景需求。参考文献1 徐相森，来骥，彭柏，等.基于精细化管控的物联网终端设备智能防御体系C/中国电力科学研究院有限公司，国网电投（北京）科技中心，计算机科学与探索 杂志社.全国第四届“智能电网”会议论文集.北京：全国第四届“智能电网”会议，2019：44-46.2 王广鹏.企业内网终端安全管理系统的部署与应用J.数字通信世界，2017（7）：271.3 宋洁，刘晓蕾，焦腾，等.一体电力企业泛终端化管控体系的建设与研究J.通信电源技术，2019，36（11）：117-118.4 李国杰.泛终端边界准入防御策略下的网络安全研究：基于人民银行网关准入控制系统和一体化终端管理系统相结合的实践J.北方金融，2020（5）：74-77.5 尹月琴，张华健，崔航，等.泛在物联网终端安全接入防护系统的研究与设计Z.延安：国网陕西省电力公司延安供电公司，2020-07-09.作者简介院邓雄荣（1975），男，汉族，广东梅州人，硕士研究生，高级工程师，主要从事网络安全管理工作。网络安全45