联软科技产品「准入」存在任意文件上传和命令执行漏洞

本文由“东塔网络安全学院”总结归纳

1、准入系统概述

网络准入这一概念是由思科发起、后续由华为、联软、北信源等多家厂商根据此概念，基于在NACC、802.1x、EOU、WebAuth、MAB、IAB的基础上进行自主研发的一门新兴技术。其宗旨是防止病毒和蠕虫等新兴黑客技术对企业安全造成危害，为企业建设一套网络安全体系。

2、联软UniNAC网络准入控制系统功能

• 发现

自动发现网络设备、自动发现接入设备、自动发现网络拓扑；

自动发现接入设备的类型，包括：终端操作系统、受控类别、IoT设备类型；

自动发现设备的接入方式及接入位置，连接的交换机及其端口或无线热点；

通过多维度的发现分析，实现网络全面可视化。

• 控制

对接入终端和用户进行准入控制，按其账号、安全状态、位置等属性，进行安全检查与认证；

对通过安全检查的接入设备，按账户或设备类别授予网络访问权限ACL/VLAN；

接入设备在使用网络资源期间，持续监控设备的安全状态，出现异常予以控制。

• 管理

统一身份认证，实现基于角色的授权，组织架构用户集中管理；

提供安全可视化，规范入网流程化管理，安全策略统一下发，实现系统化的安全管理体系；

通过异常检测，告警通知，控制隔离，帮助企业识别内网安全风险并及