终端安全理念与SACG（用户域、网络域、认证前域、受控域（隔离域与认证后域））

终端安全理念与SACG（用户域、网络域、认证前域、受控域（隔离域与认证后域））
终端安全理念是对普通防火墙防范外网安全风险理念的补充，可以解决日益增加的内网安全隐患。
随着网络的发展与防火墙设备的普及，企业的网络安全威胁的主要来源正逐渐从外网转移到内网，包括：
非法终端和非授权终端对业务系统的访问，主要包括以下几种情况：
1. 非自有的终端设备接入企业内网
2. 不合法人员利用企业设备接入企业内网
3. 合法人员越权访问网络资源
4. 终端不安全导致病毒的扩散
5. 终端数量大、系统复杂、员工的违规行为得不到监控

SACG联动方案正是为了解决这一问题而提出来的。它将网络划分为以下几类区域：
（1）用户域
所有接入企业内网的终端设备，例如台式机、便携机以及通过Internet接入的出差员工、驻外机构、合作伙伴等。
（2）网络域
进行流量转发的网络设备所组成的域，承载业务流量，实现各网络的互联。SACG就部署在这个域中。
（3）认证前域
认证前域指终端主机在通过身份认证之前能够访问的区域，如DNS服务器、外部认证源、业务控制器（SC）、业务管理器（SM）。

（4）受控域
受控域是终端在完成认证之后才可以访问的区域。包括两种：
隔离域
隔离域是指在终端用户通过了身份认证但未通过安全认证时允许访问的区域，如补丁服务器、病毒库服务器。

认证后域
后域是指终端用户通过了身份认证和安全认证后能够访问的区域，如ERP系统、财务系统、数据库系统。

身份认证：

安全认证：