物联网接入控制系统_产品技术白皮书_V1.0

奇安信物联网接入控制系统

IoT AC-V7.0

产品技术白皮书

文档版本：V1.0

■版权声明@2018奇安信集团

本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明外，所有版权均属奇安信集团所有，受到有关产权及版权法保护。任何个人、机构未经奇安信集团的书面授权许可，不得以任何方式复制或引用本文的任何片断。

目录|Contents

一.整体技术方案 (4)

1.1内网边界划分 (4)

1.2准入技术路线支持 (4)

1.2.1端口级访问控制 (4)

1.2.2应用级访问控制 (5)

二.整体架构与组成 (7)

2.1系统组成 (7)

2.1.1控制台 (7)

2.1.2IOT AC设备 (7)

2.1.3客户端 (7)

2.2整体架构 (8)

2.2.1服务端架构 (9)

2.2.2客户端架构 (9)

三.终端接入与资产发现 (10)

3.1入网感知 (10)

3.2发现识别 (10)

四.网络连接发现与控制 (11)

4.1IPAM (11)

4.2网络设备与连接 (12)

4.3网络设备联动 (12)

五.终端认证与授权控制 (12)

5.1身份识别与认证 (12)

5.2网络授权类型 (13)

5.3场景策略模式定义 (13)

六.终端合规检测与监控 (14)

6.1有代理合规检测 (14)

6.2无代理合规检测 (14)

6.2.1外联能力探测与取证 (14)

6.2.2外联行为检测与记录 (14)

6.2.3NAT深度探测 (15)

6.2.4弱口令检查 (15)

6.2.5异常行为检测 (15)

6.2.6异常流量检测 (15)

6.3有代理合规监控 (15)

6.4无代理合规监控 (15)

七.违规处置与联动 (16)

7.11X认证与安检联动 (16)

7.2应用准入与安检联动 (17)

7.3无人业务终端违规处置 (17)

八.系统高可用 (18)

8.1高可用设计 (18)

8.2高可用部署 (19)

8.2.1802.1x高可用 (19)

8.2.2应用准入高可用 (20)

一

.整体技术方案

1.1内网边界划分

按照梯级防御的思路，我们根据终端到应用及存储的访问路径将内网划分为以下几个边界：用户边界、终端边界、接入网边界、汇聚核心网边界、应用访问边界、存储访问边界。天擎和IoT AC将有效协同联动构建完整可靠的终端安全接入边界。

构建梯级环形防御

安全终端边界

可控应用与接入边界

IOT AC通过控制接入网设备边界和应用访问边界，强制终端进行用户识别与认证、终端资产识别、终端安全合规、进行终端网络权限设定。

1.2准入技术路线支持

天擎IOT AC支持常用准入技术，包括：基于接入交换机或者无线AP的802.1x协议的认证技术、旁路流量分析和阻断技术、策略路由（PBR）方式引流的准入控制技术，物理桥接方式的准入控制、结合DHCP和ARP认证的准入控制技术、结合网络设备控制的虚拟网关准入控制技术。

1.2.1端口级访问控制

802.1x是国际通行的标准认证协议，具有良好网络厂商兼容性，支持基于端口及端口下的主机控制细粒度，支持访客vlan和修复vlan划分，支持基于用户的vlan和acl

授权。认证安全协议框架具有良好的扩展性。天擎IOT AC广泛兼容国内外接入网络设备的协议实现。IOT AC将为用户提供稳定、高性能的radius认证和记账服务，同时兼容通用的认证客户端，并为高安全级别的用户提供专用的认证客户端。

天擎IOT AC支持如下认证协议：PAP、EAP-MD5、EAP-PEAP、EAP-TLS、EAP-TTLS等，为用户的终端安全认证设计并提供EAP-IOT AC私有认证协议，并申请了专利。

产品提供内建用户身份体系，同时支持和用户现有的身份体系进行集成。除用户身份外，还设计了一整套终端身份体系，支持终端注册申请、指纹生成、资产审批、管理域识别、管理域漫游。

为了加快产品的部署减少运维的工作量，同时保证终端的安全性，设计了用户认证的快速主机认证模式。用户首次认证后绑定终端，终端不变时以终端身份进行认证接入。

终端发生改变将需要终端用户重新进行身份认证确认。

产品兼容哑终端MAB认证场景，支持mac地址快速收集简化mac地址收集审批工作。支持VOIP计算机混合接入场景，支持摄像头接入认证场景。

1.2.2应用级访问控制

IOT AC通过旁路流量镜像、策略路由引流、物理桥接串行方式感知终端对应用服务器的访问或者互联网的访问，强制终端用户进行身份注册和认证并保持主机安全合规。

旁路部署模式下的原理图

配置：每个子网的控制方式。隔离网段、访客网段处置方式。IOT AC根据策略和用户及客户端状态数据进行决策每个访问是放行还时阻断或者重定向到指定页面。

策略路由模式下的原理图

物理桥接模式下的原理图

二.整体架构与组成

2.1系统组成

2.1.1控制台

IOT AC设备控制台集成于终端安全管理平台，主要负责设备的管理、配置、策略下发，接收IOT AC设备和客户端的业务和日志数据，负责数据的分析、展示、统计、诊断。控制台支持多级管理和分离部署。

2.1.2IOT AC设备

IOT AC设备是接入网络动态感知点、接入控制策略的落地点，IOT AC设备需要注册到统一控制中心，由控制中心统一定义IOT AC设备的配置和工作策略。IOT AC设备本身不提供图形界面控制台，仅提供命令行控制接口用于初始配置和故障诊断和应急设置。

2.1.3客户端

客户端主要完成802.1x认证、有代理模式下的终端合规检查、应用边界准入的代理监控状态与数据同步。

2.2整体架构

2.2.1

服务端架构

2.2.2客户端架构

天擎小助手基础框架配

置

同

步

插

件认证小助手服务组件认证客户端

交互界面合规检查自助界面合规检查服务与修复组件

网络驱动操作系统

集成组件应用准入打点联动插件

三.终端接入与资产发现

3.1入网感知

系统将联动接入网络设备的事件管理和数据查询，实现接入即感知。对于不能提供事件关联和管理权限的网络环境，系统还将提供流量感知引擎实时感知终端设备的子网内部通信和网间通信，实现有访问即感知。

感知引擎可以利用子网客户端以软件形式存在，根据终端的在线状态进行实时调度。

也可以通过设备的形式部署在网络中以硬件的形式存在。两种感知引擎可同时并存。充分利用现有的基础设施，并很好的兼容无代理场景。

3.2发现识别

系统将对所有在线设备进行网络扫描和深入识别，获取终端的网络地址、系统网络指纹、系统开发端口和服务指纹，并根据积累和运营的指纹库裁定每个终端的类型、操作系统、厂商信息。

并根据所获取的设备指纹信息，采用智能识别和唯一性算法为每个终端建议指纹身份信息。作为终端生命周期管理的唯一性依据。

四.网络连接发现与控制

4.1IPAM

系统本身提供网络地址分配服务，并在分配地址时检查用户-mac-ip的绑定关系为特定用户和主机进行地址分配，实现静态绑定。支持根据用户和设备的认证状态情况分配

不同的ip地址。监控和管理所有ip地址空间的地址的使用状态，并有效管理每个ip地址的使用、分配和回收。为用户提供使用快照报表。支持网络设备的dhcp snooping、option60、option82。支持与用户现有的dhcp服务进行协同完成用户主机的智能绑定。

系统支持通过专有协议扫描、核心网络设备扫描、核心网络设备协议监听获取每个ip-mac 的对应关系。

4.2网络设备与连接

网络环境中配置了SNMP管理，并将网络设备ip范围和SNMP管理权限输入给系统，系统将对网络设备进行网管协议扫描和信息获取，根据采集的协议信息生成网络设备之间的连接关系图，终端与网络设备的连接关系图，并将采集到的网络设备的信息以图形化面板的形式展示给用户并提供图形化的操控。

可以通过图形面板直观的查看每个端口状态、管理与连接状态、所属的vlan、stp 状态、流量信息，每个端口连接的设备。

4.3网络设备联动

通过SNMP网管协议和管理授权可以对接入网设备的每个端口进行管理开关动作，可以根据终端的认证状态和安全状态进行端口vlan的划分和变更。能够感知到终端插拔网线的操作、终端上下线事件、认证成功失败事件。

五.终端认证与授权控制

5.1身份识别与认证

系统支持如下身份识别方式：用户名密码、数字证书、Ukey、短信码、设备唯一识别码、终端指纹、二维码、一次性令牌。短息支持短息猫和短信平台

身份验证支持与如下系统进行认证联动：AD、LDAP、Email、OA、Database、Radius、微信、定制对接

用户认证支持基于时间、终端、接入点、接入方式等自定义场景条件的认证约束策略。

5.2网络授权类型

网络授权支持基于用户的vlan分配、自学习ACL基线、基于用户角色的ACL。系统会自动学习授权终端的网络行为并自动建立网络行为基线并自动授权绑定。如果终端的行为违反了授权基线，则进行报警和阻断。管理员可以对授权基线进行修订纠正学习偏差。

5.3场景策略模式定义

系统支持根据用户的属性信息（角色、分组、标识、类型）、终端（类型、操作系统、安全状态）、接入点和接入类型（有线或者无线、ip地址、端口）、访问目的、认证类型定义场景并自动选择匹配的认证源，并进行自定义场景的授权。

六.终端合规检测与监控

6.1有代理合规检测

检测项目覆盖：操作系统、系统配置、网络配置服务、应用程序部署配置与运行，如下图所示：

6.2无代理合规检测

系统支持对无人无代理终端的安全检测，例如摄像头、打印机、专业行业终端、工业控制终端。

检测的内容主要包括：终端身份仿冒接入、终端网络端口与服务风险检查、操作系统风险与弱口令、网络连接方式异常、异常流量与行为异常检测

6.2.1外联能力探测与取证

对无正常外联能力的终端进行主动探测，探测其是否有违规外联能力，如果有外联能力可以从取证服务器上对其能力的探测结果进行记录。同时标记终端有违规外联能力并通知管理员。

6.2.2外联行为检测与记录

对有外联能力的终端进行授权检查并记录其违规外联行为，并对其访问的url进行风险评估。

6.2.3NAT深度探测

通过对终端网络行为流量的深入分析，感知并检查终端是否为NAT方式接入，并尝试分析NAT前的终端数量和操作系统信息。

6.2.4弱口令检查

支持内置若过口令字典和自定义口令字典对web方式、ssh方式、telnet方式进行远程访问的终端是否存在默认口令和弱口令风险。

6.2.5异常行为检测

对无人值守终端的默认行为进行学习建模，包括入站管理行为和出站访问行为。学习建模后对其出入站网络流量进行检查，判断其行为是否发生异常。

6.2.6异常流量检测

对无人值守终端的业务网络流量进行基于时间和流向的规律学习建模，对异常偏差流量进行振幅异常的检测，以判断其流量模式的异常。

6.3有代理合规监控

对办公终端可以强制客户端安装安全代理进行检查和防护。监控方式支持定期、网络接入后、软件安装、配置变更等基于安全状态潜在变化事件感知的触发方式。

6.4无代理合规监控

无代理能力终端无法感知其内在系统和应用的变化，系统会监控其网络连接状态的变化、管理与行为变化、终端身份变化，在出现异常事件时立刻出发合规检测。无变化状态的合规检测也会严格控制器时效周期，强制终端的定期合规确认。

七.违规处置与联动

7.11x认证与安检联动

安检策略与安检客户端的安检工作模式单独定义独立工作。认证联动场景下用户进行认证时驱动安检模块进行检查，并将安检结果上报给认证服务器，认证服务器根据策略确定是否需要强制终端安检通过。如果安检不通过提示用户引文安检不通过而导致认证失败，认证失败后交换机可以将终端划分到修复vlan中。每次安全检查后与上一次安检结果进行比较，如果发生变化将通知认证模块重新进行认证。

7.2应用准入与安检联动

客户端周期向IOT AC汇报终端有效性与合规的状态数据，IOT AC根据策略确定终端有效性和安检结果是否符合策略，如果不符合策略将对终端的web访问进行重定向到结果通知页面，提示用户访问失败的原因，并提示用户后续的操作。非http协议的访问将被阻断。

7.3无人业务终端违规处置

因为业务终端的行为模式是预制和明确定义的。当出现异常违规时需要及时通知管理员并告警，对高危异常可联动网络设备限制其网络接入。

八.系统高可用8.1高可用设计

NAC 3rd AAA

认证服务不可达放行主认证服务器辅认证服务器双机热备多活强制认证放行认证源热备认证源不可用放行认证源响应异常方向

1x 配置状态可视化结果缓存

应急工具快速取消1x 设备面板查看认证配置提示消息明确支持调试追踪日志

8.2高可用部署

8.2.1802.1x高可用

集中管理模式下每个IOT AC的配置和数据都是相同的，IOT AC可以工作与HA模式下也可工作于多活模式下，每个IOT AC设备的认证日志都会上传到控制台。

HA模式下两个IOT AC监视同一个服务ip地址，交换机的主要认证服务器指向这个服务ip地址。

8.2.2应用准入高可用

应用准入模式下当两个核心工作于热备模式下时，两个IOT AC工作于热备模式。备机只监听流量不处理业务逻辑。与主机同步认证和打点数据，可以进行平滑服务的切换。