2009年12月，H3C中標(biāo)全國(guó)稅務(wù)系統(tǒng)網(wǎng)絡(luò)安全防護(hù)項(xiàng)目，是H3C EAD解決方案在高端行業(yè)的又一次應(yīng)用，也是截至目前業(yè)界在國(guó)內(nèi)最大規(guī)模的終端準(zhǔn)入應(yīng)用。該項(xiàng)目包括國(guó)稅總局、南海災(zāi)備中心、全國(guó)31個(gè)省/直轄市、5個(gè)計(jì)劃單列市的國(guó)稅局和地稅局省局機(jī)關(guān)，共74套EAD、12萬(wàn)用戶。

　　面對(duì)這種大規(guī)模的網(wǎng)絡(luò)，客戶希望了解產(chǎn)品功能實(shí)現(xiàn)的每個(gè)細(xì)節(jié)，通過(guò)第三方測(cè)試機(jī)構(gòu)（公安部三所）近兩年嚴(yán)格的技術(shù)評(píng)估和方案測(cè)試，H3C EAD憑借完善的功能特性、廣泛的高端應(yīng)用案例以及強(qiáng)大的持續(xù)開發(fā)能力獲得了客戶的青睞。

　　管理現(xiàn)狀

　　在某些稅局，IT運(yùn)維人員少甚至只有一兩人，對(duì)IT系統(tǒng)的管理存在著巨大的挑戰(zhàn)：

　　PC機(jī)、服務(wù)器、網(wǎng)絡(luò)、安全、存儲(chǔ)等設(shè)備越來(lái)越多，如何有效管理？
　　正常運(yùn)行的業(yè)務(wù)突然中斷、網(wǎng)絡(luò)阻塞或遭受外界攻擊，怎么去及時(shí)發(fā)現(xiàn)并控制？
　　若不經(jīng)授權(quán)的計(jì)算機(jī)都可隨意接入稅務(wù)的局域、廣域網(wǎng)絡(luò)，如何對(duì)網(wǎng)絡(luò)接入進(jìn)行有效控制？
　　如何快捷的對(duì)用戶權(quán)限進(jìn)行清晰的劃分？限制超出權(quán)限范圍的訪問(wèn)、瀏覽？
　　接入用戶濫用不合法軟件，讓網(wǎng)絡(luò)如同敞開的大門，那么怎樣從源頭上遏制這種現(xiàn)象？

　　IT建設(shè)需求

• 合法策略驗(yàn)證 -- 判斷每個(gè)客戶端是否符合接入管理的合法策略需求； 網(wǎng)絡(luò)訪問(wèn)限制：限制非法客戶端接入局域網(wǎng)，訪問(wèn)信息資源。
• 權(quán)限約束 -- 確認(rèn)客戶端以及其用戶的權(quán)限，并在其連接網(wǎng)絡(luò)以前建立可信級(jí)別，平衡已存在的標(biāo)準(zhǔn)、產(chǎn)品及技術(shù)。
• 行為操作審計(jì) -- 對(duì)接入客戶端的行為與狀態(tài)進(jìn)行監(jiān)測(cè)，對(duì)客戶端上運(yùn)行的進(jìn)程與安裝的軟件進(jìn)行監(jiān)測(cè)，實(shí)施終端設(shè)備的接入控制、IP管理和行為審計(jì)分析。
• 評(píng)估、隔離及自動(dòng)補(bǔ)救 -- 識(shí)別不符合管理策略要求的客戶端，將不符合管理要求的客戶端隔離在局域網(wǎng)之外�？蓪�(duì)不符合管理要求的客戶端進(jìn)行重新配置，使其達(dá)到準(zhǔn)入的管理要求。

　　解決方案實(shí)施

　　H3C針對(duì)稅務(wù)總局網(wǎng)絡(luò)部署的特點(diǎn)，提出了分級(jí)管理的解決方案，其部署示意圖所下所示：

　　為了便于稅務(wù)總局總部的管理員進(jìn)行全國(guó)統(tǒng)一的安全策略部署，稅務(wù)總局總部管理員統(tǒng)一制訂基礎(chǔ)策略，而后向省、地市逐層下發(fā)。下級(jí)的管理員依據(jù)上級(jí)EAD服務(wù)器下發(fā)的策略進(jìn)行繼承、自定義等操作，從而制訂滿足本地需要的安全策略。同時(shí)，下級(jí)的EAD服務(wù)器通過(guò)EAD策略執(zhí)行信息上報(bào)，將相關(guān)的安全日志信息上報(bào)給上級(jí)的EAD服務(wù)器；上級(jí)管理員可以對(duì)這些統(tǒng)計(jì)數(shù)據(jù)進(jìn)行查詢以及匯總，并基于上報(bào)的統(tǒng)計(jì)數(shù)據(jù)給出全局的統(tǒng)計(jì)報(bào)表（如不合格因素分布圖等等）。

　　除分級(jí)管理外，通過(guò)以下功能方案的實(shí)施保障稅務(wù)總局的內(nèi)網(wǎng)終端安全：

　　安全評(píng)估--終端準(zhǔn)入控制EAD提供系統(tǒng)補(bǔ)丁管理、防病毒軟件管理、可控軟件管理以及防ARP/DHCP攻擊。
　　權(quán)限控制--終端準(zhǔn)入控制EAD提供靈活的安全級(jí)別自定義，基于用戶（組）的動(dòng)態(tài)權(quán)限管理。
　　行為審計(jì)--終端準(zhǔn)入控制EAD支持桌面資產(chǎn)管理及變更審計(jì)、USB審計(jì)、合規(guī)報(bào)表。
　　協(xié)助管理--終端準(zhǔn)入控制EAD提供網(wǎng)管人員遠(yuǎn)程協(xié)助。
　　高可用性--終端準(zhǔn)入控制EAD支持雙機(jī)備份、逃生、分級(jí)漫游。

　　基于H3C iMC智能管理架構(gòu)的EAD解決方案，可以對(duì)稅務(wù)總局的每個(gè)終端用戶進(jìn)行身份認(rèn)證，并基于用戶身份及安全狀態(tài)為其靈活設(shè)置網(wǎng)絡(luò)訪問(wèn)控制權(quán)限。同時(shí)H3C EAD解決方案所采用的擴(kuò)展、開放的結(jié)構(gòu)框架，可以廣泛、深入的和國(guó)內(nèi)外防病毒、操作系統(tǒng)、桌面安全等廠商展開合作，全面滿足國(guó)稅總局對(duì)網(wǎng)絡(luò)安全建設(shè)的要求。