基于角色的终端安全访问控制案例分析

大型网络中的组织和系统结构日益复杂。仅仅依靠传统的网络访问控制无法有效的保障未授权用户对网络的访问和恶意的网络攻击，使处于敏感状态的公共数据和资源受到安全威胁。
在政府、军队、社保、大型企业等重要领域发展公共安全战略，不仅需要对应用系统的访问权限进行控制而且对计算机终端的访问控制、安全审计等需求也要不断提高。随着基于角色的终端安全访问控制技术的发展，在大型网络合分布式环境的广泛应用，给网络合分布式系统中的终端访问控制技术提出了更高的要求。

下面是结合实际产品和案例提出的解决方案：
本方案产品采用的是北京时代亿信科技有限公司研发的基于SecureKey（USB智能卡）的终端访问控制系统（ EETRUST Terminal Access Control System ）。

网络环境描述：
1)局域网采用域管理方式，通过域策略控制用户使用权限。
2)拥有多个域，部分部门有独立的域。
3)用户划分为：公司员工、外地员工、外地出差员工和外来访客。
4)服务器：文件服务器、邮件服务器、数据库服务器（Oracle）等
5)员工对网络信息安全的意识不高，加入域受管理的意愿不强。
6)服务器操作系统：Windows / Linux

网络安全需求：
1)客户端采用CA证书认证，替换传统用户名+口令的方式，证书隐藏在SecureKey（USB智能卡）中。
2)系统采用基于证书形式的登录身份识别。
3)系统采用基于角色的终端安全访问控制技术，授予不同的用户享用局域网内不同的系统使用权限和级别。
4)对客户端光驱、软驱、打印机等计算机外置设备的使用控制。
5)对每日增减的大量客户端进行快速部署。
6)基于WEB管理界面，具备用户的集中管理和监控、访问策略制定操作日志和审计。
7)对定制文件的加密和解密。

终端控制系统拓扑图： 

图1

登录控制：
通过局域网管理员在访问控制服务器上配置，可以授权不同的用户对终端的访问控制，实现MAC+IP+SecureKey的绑定；对终端机的访问采用软硬件结合的方式进行认证：企业局域网内的每个终端用户都有自己的数字证书，证书存放在SecureKey（USB智能卡）中，用户登录个人PC必须使用SecureKey，一旦将SecureKey从计算机上拔出，系统会自动锁定或注销。这样有效的防止了局域网内非法使用机器；

进程访问控制流程
1)用户通过登录控制软件认证进入Windows操作系统，并记录该用户的身份，进程控制软件随Windows自动启动；
2)进程控制软件根据用户身份从终端访问控制服务器查询并取回进程控制策略，然后在本机缓存；
3)用户启动某一进程时，进程控制软件检查本机缓存的进程控制策略，如果不允许运行该进程，则结束该进程并提示。
4)实现对终端的存储设备（光驱、软驱及USB接口等）的安全管理；
通过对系统平滑升级，满足了客户对信息安全的需求，实现多域多用户的集中管理；网络信息的加密传输和加密存储；对登录的不同用户分角色管理；客户端软件硬件的控制等。