UTM平方与终端安全的一体化完美结合

文/启明星辰 吕明

　　近些年来，随着中国航空工业信息化建设的不断加强，各类针对该行业的信息化应用层出不穷，信息安全所扮演的角色变得越来越重要。由于行业的特殊性，航空工业会涉及到科研、试验、生产、经营、销售、教育等各方面的商业、军事秘密，且信息量巨大，因此其面临的安全压力也在日益提高，这些都使得航空工业在信息安全体系化建设方面的投入在逐年加大。

　　中国航空工业是新中国成立以后，在极其薄弱的基础上逐步发展起来的。经过50多年的建设和发展，中国的航空工业从小到大、从修理到制造、从仿制到自行研制，如今拥有了自主研制能力、相关产品配套比较齐全的工业体系，且让中国成为世界少数几个能够生产系列航空产品的国家之一。

　　无庸质疑，航空工业已成为中国国民经济中技术密集、基础雄厚的高新技术产业，且为中国经济建设和国防建设做出了重要贡献。

　　那么，究竟航空业的信息安全需求具体是怎样的?相应的，这个行业的企业又该采用什么样的安全解决方案?

　　大量终端所带来的一体化安全防护需求

　　以中国航空工业下属某企业集团为例，这家企业的内网存在大量终端设备，虽然网络中已部署防火墙网络防护设备，但是对于构建集团可信的网络的要求依然相距甚远。因为防火墙设备作为访问控制的安全产品，只具有单一安全风险的管控和防御，而面对多样化的安全边界构成，防火墙设备往往会束手无策，特别是在访问控制和终端安全的协同管理上，更是面临极大的挑战。

　　那么，有什么样的一体化防护设备，既能做到对集团的网络访问进行防护，又能兼顾对应用层的安全防护，同时还能够做到从网关到终端边界之间的协同管理和有效管控，从而构建起集团可信的网络呢?

　　经过深入的了解和沟通，该企业集团最终选择了启明星辰公司给出的UTM平方(UTM2)网关·终端统一安全套件作为构建集团可信网络的解决方案。

　　UTM平方成功实现企业一体化安全防护

　　那么，UTM平方是凭借什么特性打动了该企业集团呢?

　　启明星辰公司的UTM平方网关-终端统一安全套件，是启明星辰天清汉马USG产品(也即UTM产品)与天珣内网安全产品(也即终端UTM)的跨界产品组合，实现了从网关到终端的全面安全。

　　UTM平方在UTM的基础上将网络访问、准入控制、安全见车、流量管理、攻击防范等功能进一步细化延伸到终端，能够帮助用户构建一套细粒度、可控制、易管理和高效能的立体化安全网络。

　　通过这样的一体化设备，既满足了航空某企业集团针对网络访问进行防护时所需要的渗透到应用层防护的特点，也满足了管理员易管理、易使用、易配置的管理要求，最终实现了网关和终端的统一部署、统一配置、统一监控，简化了企业集团安全管理所带来的成本，同时也保护了用户的投资。它的部署方式如下图1所示：

细解UTM平方的产品特性

　　如前所述，该企业集团采用UTM平方产品后获得了非常满意的效果。与此同时，他们还结合自身的实际情况详细解读出了UTM平方的产品特性：

　　1. 一体化协同防护体系：通过统一的管理界面，实现对网关的配置和终端安全策略的下发，能够从网关对接入网络的所有终端进行进程管理、服务管理、网络应用管理和补丁管理;同时，终端负责各种安全性检查，网关根据检查结果进行准入控制，彻底杜绝不安全的终端接入，保障内网合规。

　　2. 精确的上网行为管理：通过网关协议解析和终端进程管理的结合，可以对IM、P2P、流媒体等网络应用实现100%的精确控制;针对各种网络应用，在安全网关上可通过安全策略、主机或服务进行流量控制，在终端上可实现基于进程和访问端口的流量控制，两者搭配可以实现更细粒度的流量管理。

　　3. 全面的网络准入控制：传统防火墙只能根据五元组进行准入控制，无法实现应用层控制，而UTM平方除了具备UTM的应用层安全检查功能，更可根据终端的进程检查、防病毒检查和系统补丁检查等多种安全检查结果，实现强大的进程级准入控制。

　　4. 增强的网络攻击防护：从终端出发准确定位ARP攻击源头，阻止本机发送、接收ARP欺骗包，彻底解决ARP攻击难题;通过网关限制终端连接数，通过终端限制主机进程连接数，彻底防范DoS/DDoS攻击。