网络准入控制设备核查检查表

网络准入控制设备核查检查表一、核查目的与适用范围本检查表旨在规范企业网络准入控制（NAC）设备的周期性核查工作，防止未授权终端接入内部网络引发数据泄露或勒索病毒横向传播。适用于所有部署在网络边界、关键汇聚节点的NAC设备（含硬件网关、旁路准入控制器及认证服务器）的月度例行核查、变更后核查及年度安全审计。二、核查前准备工作核查前的准备工作是确保检查过程不中断生产业务、数据采集具备法律与合规效力的前提。•人员要求：由具备网络安全管理员资质的专人（主核）与一名复核人员执行，严禁单人操作生产环境NAC设备。•权限隔离：核查账号必须使用独立的只读审计账号；若需进行配置验证，必须使用由堡垒机动态授权的临时管理员账号。•工具与备份：核查前，必须通过配置中心或手工导出当前NAC设备的全量配置文件，并加密存储于独立的备份服务器中。配置文件哈希值需记录在案。•时间窗口：线上配置核查应避开业务高峰期（如每日09:00-11:30、14:00-16:30），优先选择在凌晨01:00-05:00进行涉及策略推送的验证测试。三、物理与网络环境核查物理与网络环境的稳定性直接决定NAC设备能否在攻击发生时持续提供准入阻断服务。3.1硬件运行状态检查•检查设备电源冗余：必须确认双电源模块均处于"Active"状态。若单电源运行，必须在24小时内更换备件，严禁双电源设备单电源长期运行（电源单点故障将导致设备断电宕机，整个网络失去准入控制，非法终端可瞬间接入）。•检查设备风扇模块：登录管理控制台，查看风扇转速及告警日志。若发现转速超阈值或异响，应当立即提交工单更换。•温度与湿度监控：机房环境温度应当维持在18∼27∘3.2网络链路冗余核查•上行链路状态：通过命令行（如showinterface）核查上联核心交换机的端口状态，必须确保双链路处于UP状态且负载均衡正常。•心跳线检查：对于双机热备架构的NAC设备，必须检查HA（HighAvailability）心跳线物理连接状态。心跳线断开将导致双机脑裂，两台设备同时抢占主控权，引发网络IP冲突与准入策略下发混乱。四、身份认证与策略配置核查身份认证是准入控制的第一道防线，策略配置决定了网络访问的最小权限边界。4.1认证源与认证协议核查•认证源冗余：NAC设备必须同时配置主、备认证源（如主AD域控与备AD域控）。当主认证源无响应超过15秒时，必须自动切换至备认证源。仅配置单一认证源将面临域控宕机即全网无法认证的风险。•协议安全性：准入认证协议优先使用EAP-TLS（基于证书的强双向认证）；若终端不支持证书则使用PEAP-MSCHAPv2；严禁使用PAP、CHAP等明文或弱哈希传输密码的协议（明文密码易被中间人抓包截获，进而被攻击者用于横向移动）。•来宾账号管理：来宾账号必须设置有效期，单次有效期不得超过24小时，且需绑定MAC地址限制单设备登录。4.2准入策略与VLAN下发核查•默认策略：NAC设备的默认接入策略必须为"DenyAll"（全阻断）。未匹配任何身份认证规则的未知MAC/IP设备，必须被隔离至无权限的GuestVLAN或直接阻断。•访问控制列表（ACL）：核查各部门的准入策略，必须遵循最小权限原则。例如，研发部终端准入后下发的ACL，严禁包含对财务系统网段的访问放行权限。•终端绑定策略：对于打印机、门禁等哑终端，优先采用MAC地址白名单绑定；若哑终端支持802.1x认证则优先使用证书认证；严禁将哑终端直接划入无认证的默认VLAN（哑终端极易被攻击者伪造MAC地址仿冒接入，作为内网跳板）。五、终端合规性核查终端合规性检查是防止"带病"终端接入导致内网交叉感染的核心机制。5.1合规基线检查策略杀毒软件与补丁状态是基线核查的重中之重。•杀毒软件状态：准入策略必须强制校验终端是否运行指定杀毒软件且病毒库更新时间在7天内。未满足条件的终端，应当被重定向至修复VLAN。•系统补丁核查：针对高危漏洞补丁（如微软每月补丁星期二发布的高危补丁），NAC策略库更新时间差不得超过72小时。未打补丁的终端接入时，必须触发阻断或隔离动作。5.2隔离与修复机制验证•隔离VLAN连通性：合规性不达标的终端被隔离至修复VLAN后，该VLAN内应当仅允许访问补丁服务器、杀毒软件更新服务器，严禁开通通向外网或内网其他网段的路由。•修复后重连：终端在修复VLAN完成补丁安装并重启后，NAC设备必须在3分钟内重新发起合规性检查，通过后自动下发正常业务VLAN。六、日志与审计核查日志审计是追溯安全事件、定责与改进防御策略的基础。6.1日志完整性与时钟同步•日志存储与外发：NAC设备的本地日志保存期不得少于6个月。同时，必须配置Syslog协议将准入认证日志、断开日志实时外发至独立日志审计平台。•时钟同步：NAC设备、认证服务器、终端必须通过NTP协议与统一的时间源服务器同步。时间偏差超过5秒将导致基于时间窗口的认证票据（如Kerberos）失效，并使日志溯源时间线错乱。6.2关键事件审计重点核查日志时，应当重点排查以下异常行为：•同一账号在10分钟内跨物理位置（不同交换机端口/IP网段）多次认证。•单个终端MAC地址在1小时内认证失败超过5次（疑似暴力破解）。•管理员账号在非工作时间（如周末或夜间）登录NAC管理后台并进行策略变更。七、高可用与灾备演练核查高可用性确保在单点故障或网络拥塞时，准入控制服务不中断。7.1主备切换机制验证•切换阈值：主设备宕机或核心服务无响应超过5秒，备设备必须接管业务虚拟IP（VIP）。•会话同步：主备切换过程中，已认证在线终端的会话表必须实时同步，切换后已连接终端无需重新认证。若设备不支持会话同步，切换将导致全网终端瞬间断网并触发大规模重连风暴，可能导致核心网络拥塞。7.2灾备旁路逃生机制•逃生通道开启条件：当NAC设备自身宕机且备机未接管，或认证服务器完全不可达超过15分钟时，必须自动触发"逃生模式"（Fail-open）。•逃生模式权限：逃生模式下，网络交换机端口应当自动放行所有终端至上联业务网络，以保证基础生产业务不中断；但应当同时向安全运营中心（SOC）发送最高级别告警。严禁在非灾难情况下手工强制开启逃生模式（将使网络完全失去准入防护）。八、异常处置与应急响应针对核查中发现的异常或突发安全事件，必须按严重程度分级处置。8.1风险等级判定与启动权限风险等级判定标准启动权限处置原则与时限要求一级（高危）NAC设备单机宕机且备机未接管；核心认证源瘫痪；逃生模式被非法触发。CISO或安全总监5分钟内确认告警，10分钟内启动应急预案。核心系统优先切旁路逃生，30分钟内定位故障并恢复。二级（中危）发现未知设备突破准入接入内网；部分终端合规策略下发失败；双机心跳中断。部门安全主管15分钟内隔离违规设备，1小时内修复心跳链路或重推合规策略。三级（低危）单个终端认证失败；日志外发延迟超过1小时；个别非核心端口配置不规范。一线安全运维工程师2小时内排查修复，记录于日常运维工单闭环。8.2应急处置操作规程针对一级高危事件（如非法终端突破准入），处置流程必须形成闭环：1.物理或逻辑阻断：优先在接入层交换机Shutdown涉事端口；若无法定位端口，则在NAC设备上下发针对该MAC/IP的全局阻断ACL。2.取证分析：截取NAC设备的完整认证日志与流量镜像，打包发送至安全分析组。3.策略回溯：核查准入策略库版本，确认是否存在策略配置漏洞（如ACL通配符范围过大），修复后重新下发策略。4.复盘改进：事件平息后48小时内必须召开复盘会，输出事件分析报告，并更新本核查检查表的相关条款。九、附录9.1网络准入控制设备日常核查清单样表序号检查项检查标准/阈值实际状态是否合规备注/工单号1主备电源状态双电源Active2HA心跳线状态UP，无丢包3主备认证源切换测试主断开后15秒内切换4默认准入策略DenyAll5哑终端接入方式MAC白名单/证书认证6终端杀毒软件基线检查病毒库时效≤77NTP时钟同步偏差≤58本地日志保留期≥69逃生模式触发测试