sentinel, Lab
场景 2 — 阶段二：准入控制策略部署与实施
终端准入控制架构
终端设备 → NAC 网关(802.1X/Portal) → 合规检查(Agent/无代理) → 策略引擎(身份+设备+上下文) → 资源访问(授予权限/隔离)
text
终端接入 → 身份认证 → 合规检查 → 策略决策 → 访问授权/隔离修复
接入方式选择
| 方式 | 说明 |
|---|---|
| 有线 802.1X | 企业办公网络，交换机端口级准入 |
| 无线 802.1X | 企业 WiFi，WPA2/WPA3-Enterprise |
| VPN + ZTNA | 远程接入，零信任网络访问替代传统 VPN |
准入策略决策矩阵
| 场景 | 身份 | 设备 | 策略 |
|---|---|---|---|
| 办公 + 企业设备 + 合规 | ✅ | ✅ | Full Access |
| 远程 + 企业设备 + 合规 | ✅ | ✅ | VPN + Full Access |
| 远程 + 企业设备 + 不合规 | ✅ | ❌ | 隔离修复 |
| 远程 + BYOD + 合规 | ✅ | ⚠ | 受限访问 |
| BYOD + 不合规 | ✅ | ❌ | 禁止 |
| 未知设备 | ❌ | ❌ | 禁止 |
动态调整因子
地理位置 · 接入时间 · 风险评分 · 行为异常 · 威胁情报
以上下文信息动态提升/降低授权级别
分步部署策略
| 阶段 | 名称 | 说明 |
|---|---|---|
| 1 | 监控模式（Monitor） | 仅采集不阻断，摸清终端合规状态，建立准入基线数据，发现未纳管设备 |
| 2 | 告警模式（Alert） | 不合规终端告警，推送修复通知，建立修复闭环，用户自助修复引导 |
| 3 | 强制模式（Enforce） | 不合规终端隔离，限制访问资源，引导至修复网络，合规后自动放行 |
| 4 | 零信任模式（ZTNA） | 替代传统 VPN，应用级细粒度授权，持续评估 + 动态调整，SDP 架构 |
部署节奏： 监控(2 周) → 告警(4 周) → 强制(6 周) → ZTNA(持续推进)
不合规终端修复机制
| 机制 | 说明 |
|---|---|
| 自助修复门户 | 不合规终端自动跳转修复页面，一键修复引导/视频教程 |
| 自动通知 | 邮件/短信/IM 推送修复通知，含修复指引和截止时间 |
| 自动修复 | Agent 自动推送补丁/配置，EDR 自动更新病毒库 |
| 隔离修复网 | 仅允许访问修复资源，合规验证通过后自动放行 |
| 超时未修复 | 超期未修复 → 降级为访客网络，多次未合规 → 上报安全团队 |