可信專用網TPN(Trusted Private Network)系統=邊界防護+VPN接入+全網行為管理+主機安全管理。
基本介紹
TPN定義,系統組成,TPN發展,醫學TPN,
TPN定義
可信專用網TPN系統通過對“用戶—角色—資源”的集中描述,實現“區域網路威脅”、“邊界威脅”、“主機威脅”和“接入威脅”的統一管理。
在“邊界威脅”防護方面,TPN系統集成了以下幾方面的功能:狀態檢測防火牆,VPN,網路層入侵檢測,並可選配反垃圾郵件系統、網路防病毒系統,外掛第三方網路內容審計系統。“邊界威脅”防護功能主要依靠系統中的SJW74-T 系列TPN安全網關(可由安達通SJW74系列VPN安全網關升級獲得,詳見3.1章節介紹)來實現, 而且TPN安全網關和主機威脅引擎相互聯動,構建主機和網關的互動防護體系。TPN系統是基於“用戶——角色——資源”進行訪問控制的,按照角色定義用戶可訪問的網路資源,包括:對internet的訪問許可權,URL黑白名單,Qos頻寬管理等等。TPN安全網關具備完善的日誌管理能力,按照“用戶名”進行網路行為訪問記錄。
在“區域網路威脅”防護方面,TPN系統具備以下幾方面能力:對區域網路用戶進行“強制身份”認證,沒有通過認證的區域網路用戶無法訪問(實際上,預設的用戶許可權由TPN網路管理員決定)任何內/外網資源。另外,TPN系統具備非法外聯檢測,非法接入檢測,區域網路病毒爆發點定位和區域網路威脅點自動隔離功能等。
在“主機威脅”防護方面,TPN系統能夠對三類程式(惡意程式、禁用程式、強制運行軟體)進行分類檢測和控制,對運行有受限程式或沒有運行強制運行軟體的主機基於“網關聯動技術”進行封堵。TPN系統中的“主機威脅引擎”可檢測主機的補丁版本,強制主機按照系統管理員的定義進行補丁升級和軟體分發,並可進行主機風險評估。在主機被病毒感染後,“主機威脅引擎”能夠自動感知,並主動阻斷自身的網路訪問進行問題主機隔離,防止病毒或其他網路威脅擴散。另外,還可以進行主機的外設控制(如:PC、硬碟、USB 口、軟碟、網口等的使用)。
在“接入威脅”防護方面,TPN系統對於通過VPN接入的移動用戶和遠地區域網路進行類似本地用戶一樣的訪問控制,如:當VPN用戶在和總部的TPN安全網關建立起加密隧道後,總部的TPN安全網關能夠對遠程接入的主機進行安全評估:如果發現主機上有威脅或不滿足接入總部的安全級別(如:沒有打補丁等),則不允許該主機接入到總部。這就是安達通倡導的“VPN接入用戶準入控制”技術。通過該技術可以確保外網的威脅(如:木馬、病毒、攻擊等)不會通過VPN用戶帶進區域網路,避免了黑客進行“跳板”攻擊。並且網路管理員能夠象管理本地區域網路一樣,對整個VPN網路進行統一的安全策略管理,實現面向全(VPN)網而不僅僅是本地區域網路的全網行為管理。
系統組成
可信專用網路TPN系統組件:TPN安全網關和主機威脅引擎CTE。
安達通SJW74-T系列TPN安全網關可以在安達通SJW74系列VPN安全網關上升級獲得,SJW74-T TPN安全網關包含了原有SJW74安全網關的所有功能和上述TPN系統中的新增功能,內置“安全策略伺服器”和主機威脅引擎安裝包。
“主機威脅引擎CTE”是TPN系統中區域網路主機上安裝的軟體。該引擎當區域網路主機的網路訪問首次通過TPN安全網關時,會被自動引導到TPN網關上的“主機威脅引擎”安裝界面上,自動下載並安裝該控制項。CTE引擎支持Windows2000以上各個作業系統,安裝後隱蔽運行,無需用戶干預,並自動接受TPN安全網關的指令和TPN系統管理員的管理。
TPN發展
企業對VPN都不會陌生,因為信息的共享有網路互聯的需求,客觀上需要將分布在異地的區域網路進行互聯。
隨著網路互聯的進行,整個網路平台已經越來越成為企業以及政府單位運行的基礎設施。
這些基礎設施,安全可信是最重要的。
可信平台建設包括了邊界、區域網路、主機、接入等部分。目前來看,企業可以用各種技術來確保這四部分成為有機整體。而安達通在其中提供的就是可信專用網技術TPN.TPN與VPN的主要區別,就在於融合了可信任的區域網路技術,從而產生互聯以後全網的可信任安全平台。
事實上,網路平台的演變,是從最簡單的網際網路開始的。此後,隨著套用需求的發展,越來越多的企業要求將分流的網路進行互聯,從而產生專網、專線。而VPN產生的動力,一方面是安全的需求,一方面是廉價的需求。所以,從專網發展成虛擬網路是一種需求,而安達通也認為,從虛擬專網發展到可信專網也會是一種趨勢。
目前來看,一套完整的TPN模型需要實現所有傳統安全設備所提供的安全功能:包括虛擬專網、防火牆、入侵檢測、漏洞掃描、病毒防護、網路審計、身份認證、桌面安全等。而TPN應對的問題則包括了:遠程接入用戶帶進木馬和病毒、網路邊界防護力度不夠、分支機構的統一、垃圾郵件和病毒、越權訪問/盜取機密、非法接入/非法外聯、補丁和病毒庫的統一升級、以及聊天、遊戲、下載等網路濫用。
在邊界防禦上,TPN可以做到:
支持動態防火牆,實現基於“身份-角色-資源” 的動態訪問控制,內置全狀態檢測防火牆和入侵檢測微引擎;支持VPN;和主機威脅引擎聯動,構成“主動防禦體系”,阻斷有安全隱患和未通過身份認證的區域網路主機訪問網際網路;可以對QQ、BT、MSN、Skype等各種P2P軟體進行攔截,也可以按照管理員的定義;能夠為不同角色的用戶分配不同的頻寬和上網優先權,確保關鍵業務的順暢運行。
在區域網路防禦上,TPN可以做到:
支持區域網路用戶強制身份認證,基於角色對區域網路伺服器進行嚴格的訪問控制,防止越權訪問;非法接入檢測;IP和MAC綁定;問題主機自動隔離:對於有安全問題的主機,主機威脅引擎發現後會告警,並可主動斷開問題PC的網路連線,防止威脅擴散,並實現區域網路病毒爆發點定位。
在主機防禦上,TPN可以做到:
禁用/惡意/強制運行軟體檢測和基於“網關聯動技術”的封堵;主機風險評估:對主機系統的安全狀況進行檢測和評估;強制軟體/補丁分發;IP位址固定:防止主機IP被非法篡改;主機連線埠統一管理;主機反垃圾郵件:作為主機威脅引擎的一個組件,採用業界最先進的反垃圾郵件技術,進行垃圾郵件分析和堵截;主機外設控制。
在接入威脅防護上,TPN可以做到:
VPN移動用戶準入控制,禁止VPN移動用戶的主機在沒有達到安全級別時對區域網路的接入,確保外網的威脅不會通過內部用戶傳播進區域網路;遠地VPN網路用戶準入控制:禁止遠地VPN網路內的用戶主機在沒有達到管理員規定的安全級別時,對TPN安全網關保護區域網路的接入。
醫學TPN
全胃腸外營養(Total Parenteral Nutrition,簡稱TPN)TPN系指通過靜脈途徑給予適量的蛋白質(胺基酸)、脂肪、碳水化合物、電解質、維生素和微量元素,以達到營養治療的一種方法。臨床套用越來越廣泛,已成為外科治療中不可缺少的一部分。
TPN是由水、糖類、胺基酸、脂肪、維生素、電解質及微量元素等組成。根據病情需要可酌加胰島素、抗生素等藥物。