论文部分内容阅读
摘要：本文通过对TSM系统的研究，希望能达到通过此技术有效管理网络用户的目的。通过对TSM终端安全管理技术（terminal security management）的体系架构与准入控制原理的探讨和实际操作可以明确此一技术的有效性。这一技术的实施可以保障终端用户终端的安全，服务器区域的接入安全，违规的处理以及达到统计方面的便捷。
关键词：TS；安全管理；维护；SC；SM
中图分类号：TP309.3 文献标识码：A 文章编号：1007-9599 （2012） 17-0000-02
1 概述
随着企业信息化的深入，终端所面临的安全威胁越来越难以解决，像外来人员随意接入、病毒泛滥、随意安装软件、核心业务资源被非授权人员访问等等。这些问题交织在一起，已经对安全界提出了挑战，需提供一套立体防御解决方案来应对各类安全问题的产生。针对终端存在的主要问题，TSM终端安全管理（terminal security management）提供了解决方案：以企业安全策略为核心，用户在接入企业标准网络之前，首先要进行身份认证；认证通过后强制进行安全检查，检查用户的安全状态，通过安全状态的结果决定是否进行隔离修复，安全状态合格后对接入用于进行业务访问授权；最后业务审计要素监视整个过程，以便为违规行为作出响应与记录，包括对业务授权后用户的安全行为进行监控。整个流程形成了终端安全保护的持续改进过程。
2 TSM体系架构简述
TSM系统由管理器（SM）、控制服务器（SC）、接入控制网关（SACG）和安全代理（SA）组成。TSM管理器作为管理服务器允许管理员通过IE浏览器登录进行日常维护操作，包括系统配置、组织人员管理、安全策略管理、补丁管理、软件分发、资产管理、公告管理、报表管理等；TSM控制服务器（SC）主要负责验证终端用户的身份、对终端主机进行安全检查，以及与准入控制设备联动实现最小授权的访问控制等；TSM接入控制网关（SACG）用于控制终端访问受控网络的权限，向隶属不同角色的终端用户和不同安全状况的终端用户开放不同的权限。TSM代理（SA）完成对用户的身份认证向服务器获取安全策略参数。
TSM系统允许两种终端接入方式：1）Web接入方式，只进行身份认证；2）Agent接入方式，进行身份认证和部分安全认证；3）Agent，进行身份认证和安全认证；
TSM系统区域分为：1）认证前域，用户终端身份认证前只能访问该区域；2）隔离域，用户终端身份认证后，安全认证前可以进入得安全修复区域；3）认证后域，安全认证通过后，终端基于业务需求角色所授予业务资源访问权限的区域。认证前域和隔离域属于安全域中的服务域，认证后域属于安全域中的业务域。
3 TSM维护与日常管理
管理员需要登录TSM管理中心后才能执行日常管理和维护操作。为保证安全，系统采用加密web页面和认证码结合方式登录，登录端口8443。登录TSM管理中心后，如果管理员在连续的30分钟内没有与TSM管理中心进行交互（例如查询报表、保存设置），则管理员与TSM管理中心之间的会话将会被自动注销，管理员要继续访问TSM管理中心将会看到“服务超时，请重新登陆”的对话框。管理员必须重新登录才能继续访问TSM管理中心。使用2个不同账号在同1个IE 7.0窗口的2个页签同时登录TSM管理中心，会导致操作权限互相覆盖的问题。在已经使用IE 7.0登录TSM管理中心的情况下，如果管理员需要使用另一个账号登录TSM管理中心而不注销当前账号，请打开1个新窗口并使用其他账号登录TSM管理中心，即可避免操作权限互相覆盖的问题
例行维护
对系统的例行维护着重在系统健康情况周期性检查，主要是TSM 服务器、SACG、数据库的运行情况和业务数据方面的例行维护，如：报表、补丁等例行操作。监控内容包括：服务器连接状态、在线用户、资源使用情况以及License数量和监听端口列表。
服务器状态监控工具可以运行在任何一台与服务器IP可达的机器上远程进行监控服务器监控工具可以设置监控资源的阀值，也可以开启告警，包括邮件告警和短信告警。
突发性维护
突发性维护包括：服务端的故障处理；客户端的故障处理；SACG的故障处理三方面。
服务器端的故障处理主要包含：
（1）收集事故信息。当系统或设备发生紧急事故时，维护人员应首先保持镇静，然后通过故障申告、设备巡检、查看日志信息等途径或手段尽可能多地收集与事故相关的各种信息，以便为后续的事故处理提供充分的依据。
（2）检查硬件设备的运行是否正常。由于硬件设备故障很容易同时引发业务阻塞事故（例如SACG瘫痪必然导致全局业务阻塞），因此，为提高事故处理的效率，在执行任何紧急事故的处理措施之前，维护人员必须首先检查硬件设备的运行是否正常。
4 结语
TSM终端安全管理系统着眼于网络访问控制上，对终端的接入访问进行控制，防止非法用户接入，也防止了合法用户越权使用网络资源。TSM终端安全管理系统还对网络进行自动检测，检查网络内终端的系统安全情况，加强了对合法用户滥用权限的管理。TSM终端安全管理系统的使用解决了内网的安全问题。
参考文献：
[1]苏小玲，宋敏.基于SNMP和ICMP的可视化网络拓扑发现[J].科技资讯，2007，（05）.
[2]闵军，许涧.SNMPc网管系统建设模式研究[J].宜宾学院学报，2007，（06）.
[3]龚奇夫.基于校园网的网络安全检测与监控系统[J].中国校外教育（理论），2007，（10）.
[4]NetGate网络管理软件[J].微型机与应用，1999，（06）.
[5]TSM终端安全管理系统培训手册
[作者简介]
宋玉艳（1970.4-），2008年畢业于沈阳大学。现在东北空管局通信网络中心工作，主任工程师。
关键词：TS；安全管理；维护；SC；SM
中图分类号：TP309.3 文献标识码：A 文章编号：1007-9599 （2012） 17-0000-02
1 概述
随着企业信息化的深入，终端所面临的安全威胁越来越难以解决，像外来人员随意接入、病毒泛滥、随意安装软件、核心业务资源被非授权人员访问等等。这些问题交织在一起，已经对安全界提出了挑战，需提供一套立体防御解决方案来应对各类安全问题的产生。针对终端存在的主要问题，TSM终端安全管理（terminal security management）提供了解决方案：以企业安全策略为核心，用户在接入企业标准网络之前，首先要进行身份认证；认证通过后强制进行安全检查，检查用户的安全状态，通过安全状态的结果决定是否进行隔离修复，安全状态合格后对接入用于进行业务访问授权；最后业务审计要素监视整个过程，以便为违规行为作出响应与记录，包括对业务授权后用户的安全行为进行监控。整个流程形成了终端安全保护的持续改进过程。
2 TSM体系架构简述
TSM系统由管理器（SM）、控制服务器（SC）、接入控制网关（SACG）和安全代理（SA）组成。TSM管理器作为管理服务器允许管理员通过IE浏览器登录进行日常维护操作，包括系统配置、组织人员管理、安全策略管理、补丁管理、软件分发、资产管理、公告管理、报表管理等；TSM控制服务器（SC）主要负责验证终端用户的身份、对终端主机进行安全检查，以及与准入控制设备联动实现最小授权的访问控制等；TSM接入控制网关（SACG）用于控制终端访问受控网络的权限，向隶属不同角色的终端用户和不同安全状况的终端用户开放不同的权限。TSM代理（SA）完成对用户的身份认证向服务器获取安全策略参数。
TSM系统允许两种终端接入方式：1）Web接入方式，只进行身份认证；2）Agent接入方式，进行身份认证和部分安全认证；3）Agent，进行身份认证和安全认证；
TSM系统区域分为：1）认证前域，用户终端身份认证前只能访问该区域；2）隔离域，用户终端身份认证后，安全认证前可以进入得安全修复区域；3）认证后域，安全认证通过后，终端基于业务需求角色所授予业务资源访问权限的区域。认证前域和隔离域属于安全域中的服务域，认证后域属于安全域中的业务域。
3 TSM维护与日常管理
管理员需要登录TSM管理中心后才能执行日常管理和维护操作。为保证安全，系统采用加密web页面和认证码结合方式登录，登录端口8443。登录TSM管理中心后，如果管理员在连续的30分钟内没有与TSM管理中心进行交互（例如查询报表、保存设置），则管理员与TSM管理中心之间的会话将会被自动注销，管理员要继续访问TSM管理中心将会看到“服务超时，请重新登陆”的对话框。管理员必须重新登录才能继续访问TSM管理中心。使用2个不同账号在同1个IE 7.0窗口的2个页签同时登录TSM管理中心，会导致操作权限互相覆盖的问题。在已经使用IE 7.0登录TSM管理中心的情况下，如果管理员需要使用另一个账号登录TSM管理中心而不注销当前账号，请打开1个新窗口并使用其他账号登录TSM管理中心，即可避免操作权限互相覆盖的问题
例行维护
对系统的例行维护着重在系统健康情况周期性检查，主要是TSM 服务器、SACG、数据库的运行情况和业务数据方面的例行维护，如：报表、补丁等例行操作。监控内容包括：服务器连接状态、在线用户、资源使用情况以及License数量和监听端口列表。
服务器状态监控工具可以运行在任何一台与服务器IP可达的机器上远程进行监控服务器监控工具可以设置监控资源的阀值，也可以开启告警，包括邮件告警和短信告警。
突发性维护
突发性维护包括：服务端的故障处理；客户端的故障处理；SACG的故障处理三方面。
服务器端的故障处理主要包含：
（1）收集事故信息。当系统或设备发生紧急事故时，维护人员应首先保持镇静，然后通过故障申告、设备巡检、查看日志信息等途径或手段尽可能多地收集与事故相关的各种信息，以便为后续的事故处理提供充分的依据。
（2）检查硬件设备的运行是否正常。由于硬件设备故障很容易同时引发业务阻塞事故（例如SACG瘫痪必然导致全局业务阻塞），因此，为提高事故处理的效率，在执行任何紧急事故的处理措施之前，维护人员必须首先检查硬件设备的运行是否正常。
4 结语
TSM终端安全管理系统着眼于网络访问控制上，对终端的接入访问进行控制，防止非法用户接入，也防止了合法用户越权使用网络资源。TSM终端安全管理系统还对网络进行自动检测，检查网络内终端的系统安全情况，加强了对合法用户滥用权限的管理。TSM终端安全管理系统的使用解决了内网的安全问题。
参考文献：
[1]苏小玲，宋敏.基于SNMP和ICMP的可视化网络拓扑发现[J].科技资讯，2007，（05）.
[2]闵军，许涧.SNMPc网管系统建设模式研究[J].宜宾学院学报，2007，（06）.
[3]龚奇夫.基于校园网的网络安全检测与监控系统[J].中国校外教育（理论），2007，（10）.
[4]NetGate网络管理软件[J].微型机与应用，1999，（06）.
[5]TSM终端安全管理系统培训手册
[作者简介]
宋玉艳（1970.4-），2008年畢业于沈阳大学。现在东北空管局通信网络中心工作，主任工程师。