网络现状 ：

IT 、网管：内外交困

---- 现代企业、机构的生产及业务系统高度依赖网络，但是对网络行之有效的管理手段的缺乏使 IT 和网管的处境“内外交困”。

---- 内：出差在外的员工，在家工作的员工，分支机构的员工，他们都要以各种形式接入企业的内部网络，但是企业关守型的安全体系却无法为他们提供安全防护；企业耗费巨资的软件分发管理平台的客户端软件，被员工随意卸载，致使企业统一化管理变得遥不可及；上班时间使用 、 、网络蚂蚁、在线游戏，既影响工作效率，又带来种种安全隐患，但要统一禁止成百上千的用户，却是难上加难；更有甚者，攻击核心服务，窃取商业机密 , 令企业苦不堪言。

---- 外：越来越多的攻击直接针对系统和应用的漏洞，且混合多种攻击手段，并快速变异，使得各自为政的防火墙、杀毒软件、入侵检测系统形同虚设。

策略强制、端点防护

----symantec 技术公司（ symantec Technologies, Inc. ）是近年在美国硅谷崛起的企业网络端点保护与安全策略强制领域的。据三大 IT 市场研究公司之一的 Frost & Sullivan 的调查， symantec 技术公司目前在企业网络端点保护与安全策略强制市场占有近 2/3 的份额。

----symantec 所倡导的“策略强制＋端点防护”理念，把 IT 和网管从以上种种困境中*解脱出来，把网络安全管理变成一项简单易行的工作。这种理念的实现就是 symantec 安全策略保证系统（ symantec Secure Enterprise ， SSE ）。
全面策略强制：一方面， symantec 安全策略保证系统通过对网络应用的强制，来规范用户的网络行为。比如管理员可以要求用户只能在规定的时间段内，使用的网络应用，甚至的端口和协议，按照的网络连接方式，来访问的资源，从而有效控制安全隐患的源头。

另一方面， symantec 安全策略保证系统通过强制网络主机的安全完整性，来决定是否给与该主机网络访问权限。主机的安全完整性由管理员定义，可以包含很多层面，如操作系统、应用程序的补丁，系统注册表的键值，主机型防火墙、杀毒软件、 IDS 等是否运行和相应特征库的更新等。对安全完整性被破坏的主机， symantec 安全策略保证系统会对其进行隔离，然后按照管理员的设置，对该主机的安全完整性进行自动修复，从而保证所有主机在接入企业内部网络之前都是安全的、可信的，并且大幅降低企业 IT 运维，支持的成本和工作量。

主动端点防护： symantec 安全策略保证系统通过*管理的防火墙和入侵监测系统，并发挥防火墙和 IDS 联动的优势，结合 symantec 的多项技术，为企业所有的网络端点提供主动的、自适应的安全防护，阻断网络入侵。

系统典型架构

symantec 的解决方案*在哪里？

symantec 用来缔造安全可靠的开放网络的核心科技是通过一个包含安全措施、 政策以及所必需的数据的综合平台—以企业网络安全策略为依据—来确保某一网络设备的可信度。 这三个基本要素能保证您企业网络的安全， 可能更加重要的是存放于您网络上的宝贵信息资源，并且实现我们所说的主机完整性以及业务的连续性。

工作原理

针对开放网络， symantec 推出了一个从根本上解决安全问题的平台，它使企业能够自动地：

认知用户、应用程序和网络的行为模式

根据所知信息制定相应的企业网络安全行为规范及应对策略

强制实施既定的安全策略于企业网络的每一个端点和网络接入点

有了这个平台之后， 您就可以着手定义和实施真正意义上的“信任网络”了。该“信任网络”把安全保护延伸到您企业网络的每一个端点和 接入点，从而涵盖整个企业网络。zui终，这套建立起来的企业网络信任机制使您 的企业可以不断的采用各种提高工作效率的方案，例如接入因特网、实施无线局域网、 允许远程访问以及采用协同共享应用程序，同时还能确保开放企业网络的安全可靠。

该图中 有通过 VPN 接入内网的用户，也有内网中的服务器系统和客户端设备，甚至保护了 DMZ 区域的服务系统。 symantec 安全策略保证系统*保证了企业安全，每个端点都得到可靠的保证。

通过强制认证网关，保障企业网络的完整性，安全性，以及所有主机的身份鉴别 , 对进出内网的主机进行认证，和安全状态识别，保证了企业与外界交换信息的安全性。

通过 symantec 安全代理 主动防护的防火墙和入侵检测保证了端点的安全，主机完整性检查强制端点符合企业的安全规范。

VPN 保护

◇ 查明用户和系统是谁、何时以及从那里通过 VPN 访问企业网络

◇ 控制他们

- 验证 只有受邀请的用户和系统才能通过 VPN

- 拒绝访问 未经邀请或不符合漏洞防护要求的用户和系统

- 按要求恢复 安全措施 , 自动化实现策略依从

- 报告活动 以及状态 , 减少网络中断

◇ 使他们安全

- 在建立隧道之前确保主机防火墙正在有效运行

- 使防火墙基于企业安全策略保护操作系统以及应用程序

- 检测并阻断恶意行为

补丁更新

◇ 在服务器、台式机以及笔记本中找到未打补丁的应用程序和操作系统

◇ 控制他们

- 验证 应用程序 , 版本以及补丁

- 拒绝访问 以防止漏洞被利用

- 恢复补丁安装 自动实现策略依从

- 报告活动 减少网络中断

◇ 使他们安全

- 锁定应用程序以及操作系统配置

- 用防火墙保护操作系统和应用程序 (, IIS, MSSQL)

- 检测并阻止恶意行为

防病毒

◇ 找到那些没有运行防病毒软件或没有及时更新防病毒软件的系统

◇ 控制他们

- 验证 应用程序 , 版本以及级别

- 拒绝访问 防止漏洞被利用

- 恢复防病毒 自动实现策略依从

- 报告活动 减少网络中断

◇ 使他们安全

- 确保防病毒程序的存在、版本和级别

- 检测并阻止恶意行为

服务器专署区管理

◇ 保护任何操作系统类型的服务器

◇ 无需在服务器上安装任何主机型防护软件

◇ *解决由操作系统和应用服务缺陷给服务器带来的隐患

能够严格限定访问服务器专署区的用户网络行为，如：使用的程序，在的时间，访问的服务器和端口等

内部审计

◇邮件备查 　－　为了防止拥有核心机密的员工通过邮件方式向外泄漏或窃取企业数据，在不剥夺其对外电子邮件通讯权限的前提下，要求其所有邮件必须抄送备查

◇禁用 WEB 上载 － 为了防止拥有核心机密的员工通过 WEB 上载方式向外泄漏或窃取企业数据，在不剥夺其 WEB 浏览权限的前提下，禁止其使用 WEB 上传功能。如使用 Web mail 上传附件

◇禁用 FTP 上载 － 为了防止拥有核心机密的员工通过 FTP 上载方式向外泄漏或窃取企业数据，在不剥夺其 FTP 下载权限的前提下，禁止其使用 FTP 上传功能

◇禁用 USB 设备 － 为了防止拥有核心机密的员工通过 USB 端口拷贝企业数据，禁用其主机上的所有 USB 端口。

◇禁用拨号适配器和无线网卡 － 为了防止拥有核心机密的员工在企业内部时使用线或私设无线设备上网，绕过企业关守防火墙的限制向外传送数据，禁用其拨号适配器和无线网卡

◇禁止网络邻居浏览和共享 － 为了防止因非法的网络邻居浏览和共享而导致企业核心数据的失窃，禁止打开网络邻居浏览和共享

◇文件服务器访问追踪 － 为了防止拥有访问文件服务器权限的人恶意篡改服务器上的敏感文件，提供追踪审计的功能

网络应用管理

◇ 工作在系统的zui底层，能够阻断自带协议驱动的恶意程序绕过传统的防火墙

◇提供灵活、精准的管理手段，除了使用传统防火墙规则中的端口服务，主机 IP 和 MAC 地址以外，还可以综合网络应用程序，网络适配器，处所等多项因素来定义安全规则

◇自动收集用户计算机的网络程序信息，*统一监管各种网络应用程序

◇ 提供分时段控制功能，对网络聊天、游戏、文件下载，浏览等进行灵活管理

自动隔离木马，蠕虫的扩散传播和禁止其他高风险，耗费高带宽的应用程序的使用

系统实施的展望

◇ 使企业可以掌握他们的风险

◇使企业可以创建策略来减少风险

◇ 确保现有的安全措施都在运行并且及时更新

◇策略强制弥和了策略和事实之间的缝隙 – 保证端点 100 ％的遵守策略

◇自动将用户的计算机恢复到可信状态 – 提高用户的效率并有效节省部门的资源