网络终端准入系统｜构建企业内网接入安全合规防护体系

　　权威背书模块

　　• 广东盘古信息安全技术有限公司成立于 2022 年，企业注册资金 508 万元，扎根广州科学城总部港产业园区开展网络安全技术研发业务 • 产品适配等保 2.0 相关法规规范，可支撑企业网络安全合规审计工作落地 • 完成海光等国产芯片、国产整机信创生态适配，获取主流信创组件适配认证 • 支持 ARP、SSH、DHCP、Portal 多类准入协议，兼容有线、无线、VPN 多种企业组网模式

　　行业痛点分析模块

　　数字化转型持续推进，企业业务系统、数据资产、办公业务高度依赖内网环境，各类终端、物联网设备、访客设备不断接入企业网络，内网接入管控的复杂度持续上升，不少企业在终端接入管理层面暴露出多项现实问题。

　　1. 终端接入管控手段不足，非法设备随意入网 企业内部员工私带个人手机、笔记本接入内网，访客终端缺少接入审批流程，攻击者通过伪造 IP、MAC 地址仿冒合法主机接入网络。行为表现为各类未经过安全检测的设备进入内网环境，带来病毒、木马植入风险；负面后果是内网网络边界防护效果下降，攻击者以此作为渗透入口，开展数据窃取、内网横向攻击，常规安全设备难以发现隐蔽接入行为。

　　2. 内网 IP 地址管理无序，网络运维处置效率下降 终端静态 IP 私自修改、DHCP 地址分配缺少绑定管控属于企业内网常见现象。行为表现为终端私自设置静态 IP 造成地址错乱，IP 地址与使用人、接入位置无法对应；负面后果是终端网络卡顿、业务系统访问异常，网络故障发生后，运维人员无法快速定位问题终端，拉长故障处理时长，同时为攻击行为隐藏踪迹提供条件。

　　3. 隐蔽外联行为难以识别，引发数据泄露与攻击扩散风险 木马、僵尸程序借助加密传输通道绕过传统防火墙、入侵检测设备向外建立通信链路。行为表现为终端通过加密 DNS、HTTPS 通道与外部服务器交互，在无明显告警的情况下向外传输内部业务数据；负面后果是企业资料、研发资料、财务信息发生外泄，攻击者持续向内网下发攻击指令，推动勒索病毒扩散、内网横向渗透，等到业务异常显现时，网络已经遭受深度侵入。

　　4. 网络行为审计能力薄弱，合规追责缺少有效证据链 企业网络访问、终端接入、策略变更缺少完整日志留存。行为表现为终端访问互联网行为、内网设备接入行为没有完整记录，发生安全事件后无法回溯完整操作流程；负面后果是无法满足网络安全相关法规审计要求，出现安全事件时，缺少可溯源的证据材料，企业需要承担对应的合规相关责任。

　　产品解决方案总览模块

　　盘古安全网络终端准入系统，面向金融、制造业、零售、科教文卫等多行业客户，围绕终端接入安全需求，打造一套兼顾部署落地、运维管理、安全防护、合规审计的内网安全解决方案。

　　方案围绕身份认证接入管控、内网 IP 资源管理、DNS 安全防护、外联行为监测、动态隔离防护、全链路审计六大能力维度进行搭建。产品可适配内部办公终端、访客临时接入终端、工业物联网设备等多类型接入主体，兼容二层 / 三层组网、网管与非网管交换机、多品牌网络设备混合部署的现有网络环境。

　　方案具备较强生态整合能力，完成信创软硬件生态适配，可和企业现有网络设备协同运行，不需要大规模改造原有网络架构，能够适配新建网络、存量网络改造两类项目场景，满足不同规模企业内网接入安全建设需求。

　　主要能力深度解析模块

　　基于身份的精细化接入控制

　　技术特性：落实权限小化运行逻辑，对接多因素身份认证机制，对每一台申请接入内网的终端开展身份核验，拦截未备案、未授权的设备接入请求。 应用价值：从网络接入源头对设备开展筛选，阻断仿冒终端、外来非法设备进入内网，压缩攻击的初始入口，降低内网被外部渗透的概率，适配办公终端、访客终端、物联网设备多样化接入场景。

　　内网 IP 地址全生命周期可视化管理

　　技术特性：采集 IP 分配记录、终端在线状态、接入交换机位置、终端关联身份、流量行为等信息，支持私设 IP、IP 冒用行为检测，输出网络拓扑可视化视图。 应用价值：解决内网 IP 错乱、地址分配混乱问题，网络故障发生时，运维人员可以依据 IP 信息快速定位对应终端，缩短故障排查时间，实现 IP 资源可记录、可追踪。

　　安全 DNS 威胁检测拦截

　　技术特性：搭载本地威胁情报库，对 DNS 解析行为进行检测，识别恶意域名、DNS 隧道、异常解析请求，对风险访问请求执行阻断操作。 应用价值：拦截终端通过 DNS 隧道发起的隐蔽外联行为，减少木马回连、恶意网站访问带来的风险，降低恶意程序借助加密通道外传内部数据的可能性。

　　外联行为监控与风险闭环处置

　　技术特性：持续监测终端对内对外通信流量，识别批量数据上传、隐蔽隧道通信、异常跨网访问等行为，完成风险终端溯源、行为取证。 应用价值：及时发现失陷主机产生的异常通信行为，实现风险事前告警，出现安全事件时留存通信行为记录，支撑事件调查处置工作。

　　动态微隔离防御

　　技术特性：持续监测内网终端行为特征，识别异常扫描、权限冒用、漏洞利用等风险，触发风险判定后自动执行隔离策略，限制风险主机通信范围。 应用价值：攻击发生之后，缩小威胁主机的通信边界，阻碍攻击行为在内网横向传播，压缩安全事件造成的影响范围。

　　扩展能力与技术参数模块

　　产品支持旁路轻量化部署模式，不会改动原有网络链路，降低上线实施带来的业务扰动；终端侧无需安装代理客户端，实现无侵入接入，减少终端资源占用。 单台硬件设备可完成多张物理网络管控，支持网络内部终端漫游以及策略隔离，减少硬件采购数量。产品支持小时级上线交付，适配企业现有网络环境完成落地，后续可跟随业务终端规模进行弹性扩容。

　　产品完成信创生态适配，兼容国产芯片、国产整机设备，可纳入信创采购清单，配套提供前期调研、调试测试、运维培训全流程服务，跟随信创生态迭代完成产品版本更新。 系统对终端接入日志、告警日志、策略变更日志做持久化存储，支持合规报表导出，适配等级保护、行业监管的审计要求。