一、前言
很多企业在建设网络准入控制时，会把目标定在 “系统上线” 或 “终端认证通过”。
但真正成熟的准入控制体系，并不是某一个功能上线，而是形成持续运行的治理能力。
企业需要回答的问题包括：
- 当前准入控制能力处于什么阶段？
- 哪些能力已经具备？
- 哪些能力还存在短板？
- 下一步应该先补哪一块？
本文尝试建立一套能力成熟度评估模型，帮助企业做阶段性判断。
二、网络准入控制能力成熟度模型
本文将网络准入控制能力分为 5 个等级。
等级 1：基础识别阶段
这个阶段的企业，开始关注终端接入问题，但管理手段仍较基础。
典型特征：
- 能发现部分终端接入；
- 对重要设备采用静态绑定或白名单；
- 缺少统一认证和完整日志；
- 管理方式偏人工。
这个阶段的核心目标，是先建立终端资产可见性。
等级 2：统一认证阶段
这个阶段的企业，开始引入统一认证机制。
典型特征：
- 终端接入需要身份认证；
- 访客接入有临时账号；
- 认证记录开始留存；
- 部分区域实现接入控制。
这个阶段的核心目标，是把 “接入行为” 纳入统一管理。
等级 3：访问授权阶段
这个阶段的企业，开始从 “允许接入” 走向 “按条件授权”。
典型特征：
- 不同用户拥有不同访问权限；
- 不同终端类型拥有不同访问范围；
- 权限与部门、角色、位置等条件关联；
- 访问控制策略更加细化。
这个阶段的核心目标，是建立更细粒度的访问边界。
等级 4：隔离修复阶段
这个阶段的企业，开始关注终端安全状态与网络访问之间的联动。
典型特征：
- 终端接入时进行安全检查；
- 不合规终端进入隔离修复区域；
- 修复完成后恢复网络权限；
- 隔离、修复、恢复形成闭环。
这个阶段的核心目标，是把终端状态纳入访问控制判断。
等级 5：持续治理阶段
这个阶段的企业，准入控制已经成为内网安全治理的一部分。
典型特征：
- 终端资产持续可见；
- 策略统一管理；
- 日志集中分析；
- 异常接入能够及时发现；
- 准入能力与其他安全机制协同。
这个阶段的核心目标，是形成长期运行的治理体系。
三、关键评估指标
企业可以从以下 6 个维度评估当前能力。
1. 终端识别率
有多少终端接入行为能够被识别？
评估问题：
- 是否能识别新接入设备？
- 是否能区分终端类型？
- 是否能记录接入时间和位置？
- 是否存在长期未管理设备？
2. 认证覆盖率
有多少接入行为经过统一认证？
评估问题：
- 办公终端是否认证？
- 访客终端是否认证？
- 重要区域是否认证？
- 未认证终端是否被限制？
3. 授权细粒度
访问权限是否足够细化？
评估问题：
- 是否按角色分配权限？
- 是否按终端类型分配权限？
- 是否按接入位置分配权限？
- 是否按安全状态分配权限？
4. 隔离修复能力
不合规终端能否被有效隔离和修复？
评估问题：
- 隔离区域是否可用？
- 修复通道是否畅通？
- 修复后是否自动恢复？
- 是否存在长期隔离终端？
5. 日志完整度
日志是否完整、可追溯？
评估问题：
- 是否记录接入日志？
- 是否记录认证日志？
- 是否记录授权变更日志？
- 是否记录隔离恢复日志？
6. 运维可持续性
系统上线后能否长期运行？
评估问题：
- 策略是否集中管理？
- 故障是否容易排查？
- 变更是否有回退路径？
- 运维团队是否能够承接？
四、不同成熟度阶段的建设重点
表格
| 成熟度等级 | 建设重点 | 不建议过早做的事 |
|---|---|---|
| 等级 1 | 终端发现、资产梳理、基础白名单 | 过早建设复杂授权体系 |
| 等级 2 | 统一认证、访客管理、日志记录 | 强行全网强阻断 |
| 等级 3 | 访问授权、区域边界、权限分级 | 忽略业务连续性 |
| 等级 4 | 安全检查、隔离修复、闭环管理 | 只做检查不做修复 |
| 等级 5 | 策略优化、日志分析、持续治理 | 长期不更新策略和资产 |
五、企业演进路径建议
企业在规划准入控制演进路径时，可以参考以下顺序。
第一步：先做资产梳理
没有资产可见性，就不要急于建设复杂认证。
第二步：建立统一认证
统一认证是后续精细化授权的基础。
第三步：建立访问边界
先划分不同区域和权限，再逐步细化。
第四步：建立隔离修复闭环
把终端安全状态纳入访问控制判断。
第五步：形成持续治理机制
定期更新资产、策略和日志分析规则。
六、参考实现
在网络准入控制持续治理方面，迪康网络准入控制管理系统提供了统一管理框架，能够将终端识别、认证、授权、隔离和日志等能力纳入同一体系。对于希望从单点接入控制走向持续治理的企业，这类实现思路具有参考价值。
结语
网络准入控制建设，不能只停留在 “系统上线”。
企业应从终端识别、统一认证、访问授权、隔离修复和持续治理五个阶段进行评估，明确当前能力等级，再规划后续演进路径。
