现如今各大银行办公网均已部署基于802.1x准入技术的接入控制系统，要求所有网管交换机配置radius指向准入系统，每个交换机端口配置802.1x认证协议，每台联网计算机安装802.1x客户端，多模块交互联动，实现对终端接入的严格管理，从而提升整体网络安全。随着信息化业务的发展，能够接入网络的终端类型也越来越多样，例如网络打印机、IP电话、摄像头、门禁系统等IoT设备，在接入银行网络时，由于自身无法安装802.1x客户端，因此，通常需要在该交换机端口设置MAC认证或IP/MAC/PORT绑定，同时在准入控制系统中对该IoT设备添加例外白名单。对此，存在以下问题：

       nIoT设备属于人工录入白名单静态化数据，无法确定该设备上报信息与其接入信息的一致性；

       nIoT设备所连接交换机端口的三种形态，即未设防、绑定、MAC认证，无论哪种形态的交换机端口配置，对管理员而言，均属于管理脱缰，缺乏数据主动采集能力与主动管理能力；

       nIoT设备例外白名单的处置方式，必然存在违规设备仿冒接入的安全隐患，例如PC仿冒IoT设备接入，小路由仿冒IoT设备接入且NAT下联设备管理员看不到管不了，存在巨大的安全隐患；

       n随着长时间使用以来，网内有多少交换机未配置802.1x，有多少交换机端口未启用802.1x协议，如何实现自动化对交换机配置基线的核查。

方案健全当今金融行业对办公网信息化安全建设短板，根据现状提出针对性防护方案，具体表现为：

健全安全短板：健全哑终端接入管控流程，实现自动化IP/MAC/PORT绑定管理，统一交换机端口配置无需额外单独配置；

提供主动能力：提供主动网络层采集能力，摸清家底理清资产，构建基础防护对象；

建立良性循环：对新增、未管控等提供技术督促手段，使其建立安全配置良性循环；

上线简捷统一：基于总行、分行两级架构，统一集中管控，实现简便，非客户端模式、网络层，无需改动现有结构。