注册 | 登录 忘记密码? 51cto首页 | 博客 | 论坛 | 招聘
热点文章 【全新打造】思科认证跟踪..
 帮助

如何找到最佳网络接入控制解决方案


2007-02-15 22:25:04
网络接入控制一直处在网络安全的圣杯的顶点已经有大约一年的时间了。阻止网络接入控制超越这个顶点的是困惑,不仅是厂商方面,而且在用户方面都存在困惑。厂商把任何和每一个安全解决方案都称作网络接入解决方案。用户对这个词汇有这样多的定义和许多不同的厂商而感到困惑。

  据市场研究公司Infonetics Research称,大约50%的大型机构已经部署了网络接入控制。到2008年,这个数字将增长到大约60%。此外,大约一半的中小企业计划在2008年部署网络接入控制。但是,大多数公司没有计划在2008年部署网络接入控制的公司表示,他们没有关于这个技术的足够的资料。Infonetics的研究报告指出,这就意味着他们确实不知道它是什么,或者能够为他们做什么。

  存在这样多的困惑和这样缺少信息,企业很难制定一个网络接入控制解决方案的建议请求,特别是由于网络接入控制到的是什么还没有一个确切的定义。

  安全厂商Insightix的首席技术官Ofir Arkin希望消除一些困惑。他最近发表了一个在网络接入控制建议申请报告中要问的一些重要问题列表,以保证这个解决方案适应一个机构的需求。

  Arkin在谈到许多网络接入控制建议申请报告时说,这些报告缺少关键的内容。

  他说,首先,企业需要问一个潜在的厂商它如何定义网络接入控制。人们没有真正理解网络接入控制包括什么或者推测所有的解决方案都是一样的。

  从那里,一个公司应该确定实施厂商的网络接入解决方案的前提条件。应该说明网络升级和需要采购的额外硬件等前提条件,这样一家公司就知道需要增加开支。

  Arkin说,由于网络接入控制是一个年轻的领域,因此还缺少经验。有隐性的成本。企业需要问:“我将得到什么,这将使我付出多少成本?”

  企业应该知道一个网络接入解决方案需要改变网络结构,无论它依赖特殊的设备还是依赖第三方的厂商,无论它需要现有的设备进行升级或者更换设备,以及无论它是否需要安装新的软件代理都是如此。

  企业应该提出的其它问题包括:网络接入控制解决方案的架构是什么,这个解决方案如何实施要素检测?由于要素检测是网络接入控制的主要功能之一,了解这个解决方案如何实时检测设法要进入网络的要素是非常重要的。如果这个网络接入解决方案不支持实时要素检测,这个解决方案是否能够保护它不知道的设备就是一个问题。

  按照同样的思路,重要的是了解一个网络接入解决方案如何进行遵守法规的检查。能够检查哪一个参数,需要哪一个软件,支持哪一个操作系统,是否能够定义客户化遵守法规的检查等,这些都是重要的问题。

  最后,企业需要确定网络接入解决方案厂商如何隔离不允许进入网络的设备以及如何强制执行这种措施。有不同的隔离手段。企业应该发现他们正在评估的解决方案是否依赖特殊的硬件或者软件以及一旦一个要素被隔离会发生什么事情。企业还应该发现隔离和强制执行措施是在2层还是3层实施的。

  Arkin说,网络接入控制是一个连续不断的过程。如果你知道你需要什么,你就能找到一个适合你的需求的解决方案。一定要保证提出正确的问题。





    文章评论
 
2007-12-29 08:34:57
Ofir Arkin是Insightix公司的首席技术官,同时他还是“黑客大曝光”的作著。

Insightix有两个产品Insightix Visibility 4.0和Insightix NAC 4.0 (网络访问控制)。

Insightix Visibility能全面、准确、实时地发现IT网络基础设施。简单的说它能发现所有网络上的设备,以及其属性和能力。属性包括MAC/IP地址、操作系统类型、设备在交换机上的接入位置、开放的Network Serive Port等;所识别的设备能力包括打印机、防火墙、路由器、交换机、VMWare Host或Guest等。对Windows操作系统,它还能发现Service Pack、Hotfix、计算机硬件配置、以及安装的软件和运行的Service等。网络管理员可以对设备进行授权标记,以便发现未知设备接入企业网络。此外,还能还能生成资产、性能、网络拓扑图、安全审计报告。

Insightix NAC是网络访问控制(NAC)解决方案。它建立在Insightix Visibility所发现的设备信息的基础之上,禁止未经授权或不符合企业安全策略的设备访问网络资源。
Insightix NAC的网络访问控制包括3个部份:
1. 准入前
 1.1 防止未授权设备访问企业网络
 1.2 防止未登陆Windows域的用户访问企业网络并强迫其登陆Windows域。
2. 准入阶段
 按Network Service Port、Service Pack、Hotfix、个人防火墙、防病毒软件、应用软件黑白名单、Windows Service黑白名单等策略,对设备进行检查。防止不符合安全策略的设备访问企业网络。
3. 准入后
 对设备的关键属性进行绑定(如MAC地址、操作系统、设备接入位置等)并对绑定的属性进行实时监视。防止关键属性发生变化的设备访问企业网络(若设备的某个关键属性发生变化,则认为可能有人假冒合法设备)。

Insightix Visbility和Insightix NAC部署简单,不需更换任何网络设备,也不需要安装任何agent。

Insightix的产品的主要技术特点:
1、全面、实时、精确的发现网络上的所有设备,其发现技术主要采用被动地监听网络流量并从Layer 2的帧中获得设备属性信息。
2、发现网络设备的接入位置,包括是从交换机端口,以及网络设备的物理位置(哪层楼,哪间办公室和哪位员工使用这个网络设备)
3、利用Windows AD的超级管理权限,以及远程注册表和wmi技术获得Windows系统安全状态信息(hotfix、service pack、application、Windows Service、AntiVirus等)。
4、网络访问控制的隔离技术使隔离设备只能与修复服务器进行通讯,而不能访问企业网络上的其他资源。被隔离设备之间不能相互访问。

 

发表评论

昵   称:
验证码:  点击图片可刷新验证码  博客过2级,无需填写验证码
内   容: