用网络访问控制(NAC)解决网络安全问题(1)


网络访问控制(NAC)是最有前途的安全技术之一，但也是误解最多的一种技术。部分原因是，厂商希望利用NAC进行一些宣传炒作，吸引用户的注意力，但事实上他们所销售的只是一些外围产品而已。很多希望考虑NAC的公司因此望而却步，因为他们无法彻底理解NAC到底是什么、有什么作用以及投资需求到底有多大。
给NAC一个定义

要想拨开这团迷雾，第一步就是定义NAC。根据Forrester Research的定义，“NAC是一种软件技术和硬件技术的混合体，可根据客户系统符合策略的情况对其访问网络能力进行动态控制。”

目前市场上可列入此类的产品包括Cisco公司Network Admission Control架构和Juniper公司统一访问控制环境中的各个组件。可以列入此类的单一设备包括ConSentry Networks、StillSecure和Vernier Networks等公司的产品。其他的NAC厂商，如Lockdown Networks和Mirage Networks也在通过各自的伙伴进行此类产品的研究与推广工作。

可信计算集团(TCG ，Trusted Computing Group)是一个编写NAC标准的行业集团，其目标是促进多厂商互操作性。该集团也拥有自己的NAC方案。可信网络连接(TNC)规定了厂商用于TNC 架构的各类设备上的产品接口。TCG将NAC定义为一种“能够在端点连接至企业网络的过程中应用和执行各类安全要求的开放的、非专用的规格。”

因此，厂商可以根据TNC的网络访问控制标准来构建自己的产品，但也可以依靠其他产品来实现可操作的网络访问控制部署。

可以说，NAC是高层次的技术。实际上，网络访问控制是一个扫描计算机及其他设备的进程，它可以在这些计算机或设备进入网络之前确定其是否符合企业在安全方面的策略。例如，这些对象的病毒扫描软件是否更新至最新版本?操作系统是否已经施加补丁?它们的个人防火墙是否启用?

这一进程需要用到一种引擎，而该引擎应当将扫描结果与策略进行对比，确定设备是否有资格获得访问权。它规定这些设备必须能够执行策略引擎的决定，例如阻止访问、限制访问某些资源或只允许访问一个能够更新安全功能的独立网段。

理解网络访问控制的世界

这才是网络访问控制的核心。一些公司自诩为网络访问控制厂商，但其真正的意思是，自己的产品能够适用一个更为宽泛的网络访问控制环境。

例如，CA声称该公司已经加入了Cisco公司的NAC计划，利用其eTrust反病毒和反间谍软件为Cisco的Trust Agent提供状态信息。该代理程序可从桌面计算机和笔记本中安装的CA的软件和其他软件上收集数据，为这些试图访问网络的计算机开发出一套配置方案。

类似的还有IBM公司的Tivoli Security Compliance Manager。该产品可以兼容Cisco的网络访问控制技术，因为它能够扫描进入网络的计算机。但该产品本身并不能规定设备是否获得访问权，它仍然需要Cisco或其他厂商的基础设施来执行这些策略。

eTrust和Security Compliance Manager软件适用于网络访问控制(NAC)架构，但却无法创建自己的网络访问控制环境。Cisco、Microsoft和TCG都列出了数十家合作伙伴，并表示这些伙伴的产品适用于自己的网络访问控制方案，并且都声称自己是网络访问控制厂商。因此，客户必须弄明白这些厂商所说的“NAC支持”到底是什么意思。

还有另外一个关键因素也使问题变得更为复杂。微软公司拥有自己的网络访问控制架构，名为Network Access Protection(NAP)。由于该架构具备微软的支持，并且可以利用微软公司无处不在的服务器和桌面软件，因此NAP是网络访问控制领域中一个非常重要的角色。但问题是，该架构中关键的组件目前还没有上市，因此除了微软公司NAP平台的公开测试版之外，谁也无从对其互操作性进行全面的测试。

从好的一方面来看，包括Cisco在内的75家厂商都已经承诺其设备上市时将与微软的NAP组件实现互操作。Cisco公司正在开发NAP和 Cisco NAC之间的互操作性。同时Cisco还在积极推动IETF通过NAC的相关标准。虽然Cisco目前并没有参加TCG，但有30家合作伙伴正在出售与 Cisco NAC兼容的设备，另外还有27家厂商正在开发此类产品。

确定网络访问控制的要求

Opus One资深合伙人兼网络世界实验室联盟成员Joel Snyder指出，无论厂商的选择是什么，企业必须知道自己在采用NAC之前需要在网络方面解决哪些挑战。但令人惊讶的是，很多企业都急于采用网络访问控制，但这些企业并没有制订好保护其投资的商业要求。

科罗拉多州立大学商学院是较早采用网络访问控制的用户之一，而且该学院在采用此类技术之前就已经制订了明确的目标。这所学院的技术主任Jon Schroth指出，学院希望控制访客和学生对网络资源的访问，但也希望尽可能地保持基础设施的开放性。同时，他也不想添置大量的设备，或者在用户的设备上安装任何软件。

Schroth选择了Vernier公司的EdgeWall设备。该设备可对用户进行验证、扫描其机器并根据学院Active Directory服务器中提取的数据来执行各项策略。他说:“我们采用的全部是微软的系统，因此我们希望尽可能地利用这些资源。”

由于EdgeWall在接入交换机和核心交换机之间执行各项策略，因此它可以在不修改网络拓扑结构的情况下与学院的HP ProCurve和3Com交换机和谐共处。


相关内容