任何一个端点的失陷都可(kě)能(néng)造成
全面的网络安(ān)全事故。
从早期的蠕虫病毒，到今日盛行的挖矿木(mù)马、勒索病毒、钓鱼邮件、APT攻击等等，突破最薄弱的终端防線(xiàn)，几乎成為(wèi)黑客窃取企业机密信息的“最佳”渠道。
有(yǒu)没有(yǒu)一种方法？
能(néng)够防止不符合安(ān)全策略的终端进入网络？
对违规的终端和行為(wèi)进行自动隔离与安(ān)全修复？
违规不入网，入网必合规
终端，作(zuò)為(wèi)企业信息交互的最基本单位，其安(ān)全问题早已成為(wèi)整个信息安(ān)全建设中(zhōng)最重要的组成部分(fēn)。尤其随着万物(wù)互联时代的到来，终端种类繁多(duō)，数量巨大、部署分(fēn)散、安(ān)全属性无法统一等现状，所带来的安(ān)全隐患不言而喻。
70%以上的信息泄露发生在终端
据数据统计，70%以上的信息泄露和安(ān)全威胁都发生在内网终端。这是因為(wèi)，每个无底線(xiàn)的攻击者都有(yǒu)着一条铁定的契约，这就是《最小(xiǎo)成本法则》。為(wèi)此，网络攻击者无时无刻不在找寻渗透企业IT环境的途径，其中(zhōng)一个最容易的通道，就是利用(yòng)终端上的漏洞，这是最具(jù)吸引力、成本最小(xiǎo)、最柔软脆弱的目标。
终端类型多(duō)样化让风险加剧
企业数字化进程提速，IoT设备、手机、PAD、字符终端、网络打印机等终端成為(wèi)必备工(gōng)具(jù)。但由于终端种类繁多(duō),数量巨大、部署分(fēn)散、安(ān)全属性无法统一，导致网络终端资产(chǎn)不可(kě)视、无感知的情况发生，此时任何一个失陷的端点都可(kě)能(néng)造成全面的网络安(ān)全事故。
等级保护等合规性要求
纵观等级保护标准的条文(wén)，在网络安(ān)全、主机安(ān)全等几个层面，基本强调的管理(lǐ)其实与准入控制技(jì )术是非常吻合的。例如：关注终端的安(ān)全状况、关注用(yòng)户（人）的准入，关注整體(tǐ)网络的资源，关注权限管理(lǐ)（访问控制），以及行為(wèi)审计等。
综上所述，终端威胁治理(lǐ)就是要回答(dá) “它是谁？它合法吗？它安(ān)全吗？”这三问。而解题思路必然离不开网络访问控制（NAC）的应用(yòng)部署，以多(duō)维度自动发现网内终端资产(chǎn)信息，同时确定防止非法终端通过伪冒合法终端信息、私搭网中(zhōng)网环境等手段进入网络，并且对入网终端安(ān)全性进行检测与修复，实现“违规不入网，入网必合规”。
亚信安(ān)全终端安(ān)全管理(lǐ)系统（TSM）
亚信安(ān)全在总结了大量的内网安(ān)全案例以及用(yòng)户需求的基础上，秉承“无需改变网络、终端部署灵活”的特性，在亚信安(ān)全大终端安(ān)全一體(tǐ)化方案中(zhōng)為(wèi)用(yòng)户提供了终端安(ān)全管理(lǐ)系统（TSM）。
TSM系统主要包含网络准入控制、终端安(ān)全防护、终端桌面管理(lǐ)、遠(yuǎn)程终端运维、移动存储管理(lǐ)、终端设备管理(lǐ)、终端资产(chǎn)管理(lǐ)、违规外联、文(wén)件外拷管理(lǐ)、文(wén)档安(ān)全管理(lǐ)、终端代理(lǐ)程序、终端数据备份、终端网络监控、系统预警管理(lǐ)、系统策略管理(lǐ)、系统日志(zhì)与安(ān)全审计等，全面解决内部网络关联的安(ān)全、防护、保密、管理(lǐ)、监控、运维等问题。其产(chǎn)品特色如下：
资产(chǎn)可(kě)视化管理(lǐ)
TSM提供了终端资产(chǎn)的“三步管”。第一步，自动化的指纹特征设备识别，可(kě)对接入的终端资产(chǎn)设备类型、系统和相关信息自动分(fēn)类统计。第二步，可(kě)以自动识别网络位置，绘制拓扑图，并以图形化展示交换机面板信息，对终端进行精(jīng)确定位。第三步，可(kě)以通过图形化展示各子网IP地址使用(yòng)状态，可(kě)进行查询、回溯，执行IP、MAC、端口绑定。
图：自动识别接入的终端资产(chǎn)设备
泛终端准入控制
TSM拥有(yǒu)全面的准入技(jì )术，支持准入技(jì )术复用(yòng)，适用(yòng)于各种网络环境，并支持IPv6环境。针对移动、IT与OT设备，TSM能(néng)够自动识别泛终端类型，放行合法哑终端入网，防止非法终端伪造泛终端IP、MAC入网。同时，通过流程化入网引导，确保用(yòng)户实名(míng)接入，终端合规入网，访问权限清晰，并且利用(yòng)POC扫描、补丁修复等技(jì )术管控资产(chǎn)高危风险。在后端，可(kě)以通过机器學(xué)习建模、威胁情报等技(jì )术发现内网存在的已知和新(xīn)型攻击行為(wèi)，进而让用(yòng)户能(néng)够部署更加广泛和联动的安(ān)全解决方案，最终构筑纵深防御的一體(tǐ)化方案。
运维与安(ān)全合一
TSM通过丰富、高效，易用(yòng)的遠(yuǎn)程管理(lǐ)手段和工(gōng)具(jù)，将安(ān)全与运维实现统一管理(lǐ)，确保计算机满足國(guó)家和单位规定的安(ān)全基線(xiàn)要求，对违规终端进行网络隔离与安(ān)全修复。例如：对各种移动存储介质(zhì)(例如U盘、移动硬盘）进行使用(yòng)登记、加密处理(lǐ)以及使用(yòng)區(qū)域控制与主机外设端口管理(lǐ)的功能(néng)。另外，可(kě)对敏感信息的创建、修改、复制等操作(zuò)进行实时的监控，敏感信息与外网的交换行為(wèi)将形成记录并生成报表，防止发生重大泄密事件。
大终端安(ān)全已实现NAC整合与联动
NAC并不是一个年轻的技(jì )术，历经30年的发展，从第一阶段侧重内网安(ān)全接入，到第二阶段侧重BYOD安(ān)全合规，发展到第三阶段针对IoT威胁动态响应。时至今日，随着大终端安(ān)全技(jì )术的逐步演化，一套NAC解决方案不但能(néng)够检测和隔离，更会与其他(tā)网络安(ān)全设备形成智能(néng)联动，这正是所有(yǒu)的用(yòng)户期盼解决的问题。
在上述背景下，亚信安(ān)全针对全球网络威胁演化趋势和我國(guó)网安(ān)合规（网络安(ān)全法及等保）要求推出了大终端一體(tǐ)化安(ān)全解决方案，将安(ān)全注入、病毒防护、终端管理(lǐ)、运维管理(lǐ)、文(wén)档管理(lǐ)“化零為(wèi)整”，真正实现了更全、更简的统一管理(lǐ)。
