用友軟件是中國(guó)最大的獨(dú)立軟件供應(yīng)商，其研發(fā)的ERP軟件市場(chǎng)份額在本土軟件廠商中排名首位。用友集團(tuán)以軟件產(chǎn)品為核心產(chǎn)品，因此研發(fā)部門對(duì)于網(wǎng)絡(luò)信息安全有著嚴(yán)格的規(guī)定。用友軟件公司的業(yè)務(wù)和研發(fā)生產(chǎn)需要一個(gè)高效和安全穩(wěn)定運(yùn)行的信息化網(wǎng)絡(luò)系統(tǒng)，以實(shí)現(xiàn)客戶端病毒庫(kù)自動(dòng)更新、系統(tǒng)及時(shí)分發(fā)補(bǔ)丁、集中統(tǒng)一用戶安全策略，保證用戶終端的安全、阻止威脅入侵網(wǎng)絡(luò)，從而保證辦公網(wǎng)絡(luò)的安全運(yùn)行。

　　基于軟件產(chǎn)品對(duì)用友的重要戰(zhàn)略意義，研發(fā)部門的保密工作非常重要，必須有一套完善的解決方案以保護(hù)用友研發(fā)的數(shù)據(jù)。經(jīng)過詳細(xì)考察，H3C公司的EAD解決方案的控制思路與用友不謀而合，從而促成了雙方的合作。

　　案例規(guī)模

　　共12000個(gè)信息點(diǎn)

　　管理需求

• 信息安全

　　限制非法筆記本電腦或非授權(quán)用戶接入網(wǎng)絡(luò)。

　　對(duì)登錄網(wǎng)絡(luò)用戶進(jìn)行唯一性身份認(rèn)證，實(shí)現(xiàn)一個(gè)用戶帳號(hào)對(duì)應(yīng)一臺(tái)計(jì)算機(jī)，且與接入網(wǎng)絡(luò)端口綁定，避免外來計(jì)算機(jī)隨意接入研發(fā)網(wǎng)絡(luò)，杜絕帳戶盜用、PC機(jī)盜用。

　　員工終端受Windows域控制器統(tǒng)一管理，需要實(shí)現(xiàn)網(wǎng)絡(luò)接入和Windows域的統(tǒng)一認(rèn)證，即一次用戶登錄，同時(shí)完成域認(rèn)證和網(wǎng)絡(luò)認(rèn)證。

• 威脅抵御

　　在用友辦公和研發(fā)網(wǎng)絡(luò)中，任何一臺(tái)終端的安全狀態(tài)（主要是指終端的防病毒能力、補(bǔ)丁級(jí)別和系統(tǒng)安全設(shè)置），都將直接影響到整個(gè)網(wǎng)絡(luò)的安全。

　　需要保證接入網(wǎng)絡(luò)的用戶終端沒有感染病毒，且病毒庫(kù)得到及時(shí)更新。
　　用戶終端的操作系統(tǒng)，必須及時(shí)更新系統(tǒng)補(bǔ)丁。
　　規(guī)范接入網(wǎng)絡(luò)的終端必須安裝、運(yùn)行或禁止安裝、運(yùn)行其中某些軟件。

• 權(quán)限控制

　　員工需要分工明確，各負(fù)其職，按角色劃分工作范圍，不同的角色有不同的權(quán)利和責(zé)任。對(duì)于已經(jīng)接入網(wǎng)絡(luò)的用戶，需要規(guī)范用戶的網(wǎng)絡(luò)行為，不同崗位的員工，其網(wǎng)絡(luò)訪問權(quán)限必須明確區(qū)分，嚴(yán)格控制。

　　解決方案實(shí)施

　　針對(duì)用友集團(tuán)對(duì)于終端的安全需求，H3C采用EAD解決方案，提出了解決措施，其網(wǎng)絡(luò)拓?fù)涫疽鈭D所示：

　　應(yīng)用效果

• 信息安全控制策略

　　為了嚴(yán)格控制用戶的網(wǎng)絡(luò)接入，使用接入層802.1X認(rèn)證，同時(shí)由于用戶終端均加入到Windows域中，采用H3C的802.1X與Windows域統(tǒng)一認(rèn)證技術(shù)，實(shí)現(xiàn)網(wǎng)絡(luò)接入和Windows域的統(tǒng)一登錄，EAD安全策略服務(wù)器系統(tǒng)負(fù)責(zé)同步域控制器中的用戶信息。

　　根據(jù)用友提出的安全需求，在用戶接入安全策略方面，設(shè)置了用戶認(rèn)證綁定用戶MAC、接入設(shè)備IP、端口等信息，并限制所有用戶必須使用DHCP方式分配IP地址，有效防止了IP地址沖突。

• 威脅抵御管理

　　在網(wǎng)絡(luò)中專門劃分出隔離區(qū)域，防病毒軟件服務(wù)器、DHCP服務(wù)器均放置在網(wǎng)絡(luò)隔離區(qū)中。

　　用友使用趨勢(shì)的Office Scan8網(wǎng)絡(luò)版，由中心服務(wù)器負(fù)責(zé)防病毒客戶端的版本升級(jí)和病毒庫(kù)定義的定期更新。因此H3C iNode智能客戶端在用戶每次登錄時(shí)，都強(qiáng)制檢查防病毒軟件的版本和病毒庫(kù)版本，確保所有版本均符合策略服務(wù)器的要求。

　　系統(tǒng)補(bǔ)丁采用手工安裝的方式，在EAD安全策略服務(wù)器中設(shè)置補(bǔ)丁安裝的URL，當(dāng)終端用戶上網(wǎng)進(jìn)行安全檢測(cè)時(shí)，一旦發(fā)現(xiàn)補(bǔ)丁狀況不符合要求，即進(jìn)行隔離并給出下載地址，提示安裝這些補(bǔ)丁才能夠正常上網(wǎng)。

• 用戶權(quán)限控制

　　員工認(rèn)證通過后，根據(jù)用戶身份，EAD方案授予用戶不同的ACL訪問權(quán)限。有效的防止越權(quán)訪問資源的發(fā)生。通過基于身份的ACL訪問規(guī)則控制，可以保證只有研發(fā)部門的員工允許訪問關(guān)鍵服務(wù)器，禁止非法訪問。

　　EAD安全策略服務(wù)器與智能客戶端配合可以對(duì)各種外聯(lián)或代理進(jìn)行禁止。無(wú)論用戶采用何種方式，包括IE代理、雙網(wǎng)卡以及內(nèi)網(wǎng)用戶通過Modem上網(wǎng)等都可以進(jìn)行控制，以上的禁止方式，可以進(jìn)行靈活選擇，滿足不同組網(wǎng)需要。

　　用戶評(píng)價(jià)

　　“用友公司局域網(wǎng)絡(luò)上采用H3C S3600/3000系列接入交換機(jī)，配合EAD解決方案，實(shí)現(xiàn)了用友研發(fā)人員的安全接入控制，滿足了用友對(duì)研發(fā)區(qū)域資源保護(hù)和研發(fā)人員使用網(wǎng)絡(luò)的安全控制，確保了研發(fā)資源的安全。

　　該方案的使用是用友軟件公司的試點(diǎn)工程，它的成功實(shí)施為用友在整個(gè)研發(fā)體系中推廣終端控制解決方案起了良好的示范作用，不僅加強(qiáng)了對(duì)網(wǎng)絡(luò)終端的集中管理，更能提高其主動(dòng)防御能力，可大幅度提高網(wǎng)絡(luò)整體安全性能。”