被忽略的内网入口风险：网络准入认证系统的现实落地困境
【摘要】 本文围绕网络准入认证系统，结合真实勒索病毒横向传播案例，拆解办公终端、BYOD 访客、哑终端、多分支网络四类落地矛盾，梳理建设阶段常见认知误区，对标等保合规控制点给出自检维度，阐明准入技术能力必须和资产台账、运维制度结合，才能够抵御非法内网接入风险。
开篇
很多政企单位会把安全防护重心放在防火墙、入侵检测、数据加密这类对外防御设备上，默认内网属于可信环境。现实当中大量安全威胁恰恰发生在内网接入环节：外来笔记本、私人手机、未登记的工业设备、访客终端直接接入交换机或者企业 Wi‑Fi，绕过边界防护，在内部横向扩散病毒、窃取业务数据。网络准入认证系统，正是用来解决 “谁的设备可以接入内网、设备是否满足安全基线、接入之后能访问哪些资源” 这一类基础问题，但很多项目上线之后，出现大量兼容故障、哑终端无法管控、策略形同虚设等现实问题。
一、由接入点引发的真实安全事件复盘
某制造企业研发园区，防火墙、DLP 数据防泄漏系统均已部署完成，满足等保测评基础要求。外包合作人员携带私人笔记本，直接接入会议室闲置网口，该笔记本携带勒索病毒，接入内网之后快速在内网横向传播，多台研发服务器、图纸存储主机被加密。
事故处置过程中安全团队遇到很大阻碍：交换机缺少接入日志，无法确认该笔记本入网时间；内网没有准入校验机制，任何设备插上网线即可获取内网 IP；IT 台账无法匹配 MAC 地址与人员身份，事后很难定位接入人。最终只能全盘恢复备份数据，研发项目被迫中断，同时在等保复核中被指出网络接入控制控制点缺失。
事后复盘，该企业不是完全没有安全预算，而是形成一种认知误区：认为外网防护做好，内网端口不用做接入校验。域智盾软件的网络准入认证相关能力，可以完成终端身份核验、安全基线检查、非法设备隔离、接入行为日志留存，但这套技术能力无法解决交换机闲置端口管理、外包人员管理流程缺失这类管理层面的短板。
二、四类场景下网络准入认证的固有矛盾
不同于标准化测试环境，真实办公环境内，网络准入会遇到大量技术与业务冲突，这也是很多项目落地失败的核心原因。
2.1 普通办公终端：身份和设备基线的冲突
常规员工电脑，不仅要校验账号密码，还需要核查补丁安装情况、杀毒软件状态、是否存在高危服务开启。部分企业直接采取强制阻断模式，终端基线不达标直接断网，会造成业务中断。很多业务部门办公电脑因为历史原因补丁缺失，一旦强制拦截，会直接影响生产办公，造成安全团队和业务部门的对立。
2.2 访客与外包 BYOD 设备：开放便利和安全管控的矛盾
访客、外包人员自带手机、笔记本，需要接入企业 Wi‑Fi。如果管控过严，访客接入流程繁琐，影响接待效率；管控宽松，仅设置统一 Wi‑Fi 密码，不做实名登记，外来设备直接进入内网，一旦发生安全事件，无法追溯接入主体。很多单位 Portal 访客认证只记录手机号，没有留存身份关联信息，审计的时候无法定位实际使用人。
2.3 哑终端设备：打印机、摄像头、工控设备的适配难题
打印机、监控摄像头、门禁、工控仪器，这类设备无法安装客户端程序。传统 802.1X 准入模式无法直接适配，大多只能依靠 MAC 地址白名单放行。但 MAC 地址存在被伪造风险，如果攻击者替换网口设备，把笔记本接入原本属于打印机的网口，仅依靠 MAC 白名单的准入体系就会被绕过。大量政企单位的准入项目，哑终端管控成为测评扣分项。域智盾软件支持 MAC 旁路认证模式处理哑终端场景，但需要配合设备台账定期核对，单纯依靠技术无法杜绝 MAC 伪造风险。
2.4 多分支、跨地域网络：设备统一管控的现实阻力
集团型企业存在多地分公司、车间、办事处，网络设备型号混杂，老旧交换机不支持 802.1X 协议。部分分支机构网络改造难度大，硬件不兼容，准入策略很难全网统一落地，出现 “总部严格管控，分支机构完全裸奔” 的管控割裂现象。
三、网络准入建设中三类典型认知误区
误区一：完成准入部署，就等同于解决内网接入安全
不少单位把网络准入认证系统当成 “一劳永逸” 的方案，上线之后不再维护白名单、不更新基线策略。MAC 白名单长期不清理，离职人员设备、报废设备依旧留在允许列表；安全基线长期不更新，老旧漏洞不在检查范围内，准入体系逐步形同虚设。准入系统属于持续运维类能力，并非一次性建设项目。
误区二：把准入等同于交换机端口物理管控
部分管理者混淆了网络准入认证和端口管理。准入系统完成设备入网后的身份校验，但是交换机闲置网口如果没有做关闭处理，攻击者依旧可以通过修改 MAC 地址、旁路接入等方式尝试绕过。技术准入不能替代交换机端口台账、闲置端口关闭等基础运维动作。
误区三：追求全部阻断，忽略 “审计先行” 的建设思路
很多项目一上线就直接开启阻断模式，基线不达标直接隔离全部网络访问。在复杂存量网络环境中，极易引发大面积业务故障。行业内较为稳妥的实施路径是先全量审计，摸清全网终端资产、哑终端清单，梳理存量设备基线现状，再分阶段开启隔离策略，降低业务冲击。
四、合规标准中，网络准入对应的硬性控制点
《信息安全技术 网络安全等级保护基本要求》GB/T22239‑2019 当中，对网络接入控制、身份鉴别有明确要求：需要对网络接入行为进行管控，对接入终端做身份核验，审计记录留存完整，能够追溯接入设备、接入账号、接入时间。
《网络安全法》第二十一条，要求企业落实网络安全保护义务，采取访问控制措施。内网非法设备接入造成安全事件，企业如果没有落实接入管控技术手段，监管检查中会被认定未履行安全保护义务。
需要厘清：合规不等于必须采购某一类产品，而是要达到控制效果；网络准入认证系统只是实现该控制项的技术路径之一，同时需要配套资产台账、端口管理、人员制度，才能够满足测评核查。
五、落地实施的自检校验维度
不需要直接照搬产品配置，企业可以用下面几个维度做现状自查：
-
内网有线网、Wi‑Fi 环境，陌生设备接入，是否会触发身份校验，不能直接获取内网访问权限。
-
员工终端入网，除账号密码之外，是否做基础安全基线检查，针对补丁、恶意程序防护做校验。
-
打印机、监控、工控等哑终端，是否建立完整设备台账，MAC 白名单是否定期清理核对。
-
访客、外包人员接入网络，是否留存实名关联记录，访问权限做隔离，不能直接访问核心业务域。
-
所有入网事件日志完整留存，日志保存周期满足合规要求，可以追溯设备、账号、接入时间。
-
针对老旧交换机不支持准入协议的点位，是否有替代补偿方案，而不是直接放任不受管控。
结语
网络准入认证系统的核心价值，是守住内网第一道入口，把不安全、未授权的设备阻挡在内网业务资源之外。但它不是独立的安全神器，技术能力会受限于存量网络硬件、哑终端现状、IT 运维流程。域智盾软件可以实现身份核验、基线检测、非法设备隔离、接入日志留存等技术层面的能力，但网络安全闭环，必须补齐资产台账、端口管理、外包访客管理制度，技术与管理互相配合，才能真正降低非法接入带来的内网安全风险。
责编：璇玑
【声明】本内容来自华为云开发者社区博主，不代表华为云及华为云开发者社区的观点和立场。转载时必须标注文章的来源（华为云社区）、文章链接、文章作者等基本信息，否则作者和本社区有权追究责任。如果您发现本社区中有涉嫌抄袭的内容，欢迎发送邮件进行举报，并提供相关证据，一经查实，本社区将立刻删除涉嫌侵权内容，举报邮箱：
cloudbbs@huaweicloud.com
- 点赞
- 收藏
- 关注作者
评论（0）