眾所周知，已有的防病毒措施檢測(cè)病毒的標(biāo)準(zhǔn)主要是基于攻擊簽名，對(duì)于“零窗口”(day-zero)病毒顯得無(wú)能為力，而且也不能防護(hù)由此引起的拒絕服務(wù)（DoS）攻擊。大多數(shù)服務(wù)器和桌面系統(tǒng)，往往無(wú)法按照已有的安全措施執(zhí)行，定位和隔離這些設(shè)備往往需要浪費(fèi)企業(yè)大量的時(shí)間和資源，尤其當(dāng)它們位于網(wǎng)絡(luò)深層時(shí)，企業(yè)更顯得無(wú)能為力。這個(gè)問(wèn)題在網(wǎng)絡(luò)環(huán)境越來(lái)越復(fù)雜的今天，尤其嚴(yán)重，因?yàn)槠髽I(yè)擁有如此多的“多種多樣”：多種多樣的最終用戶，包括雇員、賣主和銷售商；多種多樣的終端，包括公司的桌面系統(tǒng)、家里的設(shè)備和服務(wù)器；多種多樣的接入方式，包括有線、無(wú)線、VPN和撥號(hào)網(wǎng)絡(luò)等。我們對(duì)思科的安全藍(lán)圖SDN（自防御網(wǎng)絡(luò)）的一個(gè)子項(xiàng)目NAC進(jìn)行概要介紹，希望使您對(duì)未來(lái)網(wǎng)絡(luò)安全體系的發(fā)展帶來(lái)一些有益的啟示。下面是思科系統(tǒng)NAC計(jì)劃示意圖：

什么是NAC

NAC可以提供一個(gè)針對(duì)主機(jī)的跨點(diǎn)安全技術(shù)。NAC由下列部分組成：

可信代理（Trust Agent）

它存在于終端系統(tǒng)中，負(fù)責(zé)收集不同客戶的安全軟件的安全狀態(tài)信息。在這部分中，整合了防病毒軟件產(chǎn)品。TA被整合在思科系統(tǒng)安全代理中，使用它可以評(píng)估操作系統(tǒng)的版本、補(bǔ)丁程度和Hot Fix 信息， 并且把這些信息傳遞到CTA。屆時(shí)，沒(méi)有進(jìn)行適當(dāng)升級(jí)的主機(jī)將被限制或者拒絕接入整個(gè)網(wǎng)絡(luò)。

訪問(wèn)控制網(wǎng)絡(luò)訪問(wèn)設(shè)備

它可以強(qiáng)迫性地控制那些請(qǐng)求接入的設(shè)備執(zhí)行安全性的措施，包括路由器、交換機(jī)、無(wú)線接入終端和安全性設(shè)備。這些接入裝置需要主機(jī)安全要求的“Credentials”，并且根據(jù)這些信息制定具體的服務(wù)器接入政策。根據(jù)客戶要求制定的政策，網(wǎng)絡(luò)將執(zhí)行適當(dāng)?shù)脑试S接入的控制措施。

策略服務(wù)器

用來(lái)評(píng)估來(lái)自終端的安全性執(zhí)行信息，以便決定對(duì)于來(lái)自他們那里的接入請(qǐng)求采取適當(dāng)?shù)拇胧＞唧w產(chǎn)品就是思科系統(tǒng)安全接入控制服務(wù)器（ACS），它是一種鑒定、授權(quán)和記錄的RADIUS服務(wù)器，組成了政策服務(wù)器系統(tǒng)。它基于思科系統(tǒng)NAC工作，同應(yīng)用服務(wù)器協(xié)同運(yùn)行，提供更深層次的信任確認(rèn)，例如反病毒政策服務(wù)器。

訪問(wèn)控制管理系統(tǒng)

具體產(chǎn)品即思科系統(tǒng)VPN/安全管理解決方案（VMS）。同時(shí)，思科系統(tǒng)工作安全信息管理解決方案可提供顯示和報(bào)告工具。NAC同時(shí)為終端安全軟件提供協(xié)同管理解決方案。

訪問(wèn)控制NAC將主機(jī)的安全與網(wǎng)絡(luò)基礎(chǔ)合二為一，提供了一個(gè)網(wǎng)絡(luò)允許接入的設(shè)施。例如，企業(yè)可以通過(guò)思科的網(wǎng)絡(luò)體系——路由器、交換機(jī)、無(wú)線和安全裝備，來(lái)加強(qiáng)他們的防病毒軟件的使用。不過(guò)，思科強(qiáng)調(diào)說(shuō)它推出NAC的目的是對(duì)于現(xiàn)有的廣泛應(yīng)用的安全技術(shù)做一個(gè)有效的補(bǔ)充，而絕非替代。

訪問(wèn)控制NAC的應(yīng)用

訪問(wèn)控制思科NAC可以操作所有的網(wǎng)絡(luò)接入主機(jī)方式，包括校園交換、無(wú)線和有線的路由、WAN和LAN的連接、IPSec連接、遠(yuǎn)程連接和撥號(hào)接入等。例如在分支部門的應(yīng)用：思科系統(tǒng)NAC可以幫助確定，試圖接入中心計(jì)算機(jī)數(shù)據(jù)的遠(yuǎn)程或者家居辦公室的連接是否符合安全主機(jī)的要求，這可通過(guò)思科系統(tǒng)分支或者主要辦公室的路由器強(qiáng)迫性檢查來(lái)完成。遠(yuǎn)程接入安全，NAC在允許遠(yuǎn)程接入公司資源之前，幫助確信那些遠(yuǎn)程接入和移動(dòng)設(shè)備是否具有最新的防病毒升級(jí)和操作系統(tǒng)補(bǔ)丁的升級(jí)。

訪問(wèn)控制NAC的發(fā)展分四步

訪問(wèn)控制思科系統(tǒng)NAC計(jì)劃，首次將防病毒與網(wǎng)絡(luò)接入有機(jī)地結(jié)合在一起。該計(jì)劃已在今年上半年投入實(shí)施，思科系統(tǒng)路由器將通過(guò)聯(lián)合思科系統(tǒng)信任代理提供網(wǎng)絡(luò)許可控制路由器接入控制列表(ACLs)將在網(wǎng)絡(luò)中限制“不聽(tīng)話”的主機(jī)和其他系統(tǒng)的通信，例如，只允許同一個(gè)防病毒服務(wù)器通信，以便下載新的模式文件。在實(shí)施之初，思科系統(tǒng)NAC將支持在微軟 Windows NT、XP和2000操作系統(tǒng)。

訪問(wèn)控制思科系統(tǒng)NAC計(jì)劃預(yù)計(jì)分四步走。第一步，第一版將主要包括兩項(xiàng)迫切需要的強(qiáng)迫性檢查內(nèi)容：防病毒軟件狀態(tài)和操作系統(tǒng)信息。這些包括防病毒廠商的軟件版本、引擎水平、簽名文件水平以及操作系統(tǒng)的種類、修補(bǔ)水平和Hot Fix等。

訪問(wèn)控制第二步，思科NAC隨后版本中，思科系統(tǒng)交換機(jī)和無(wú)線接入終端將能使沒(méi)達(dá)標(biāo)的主機(jī)分配到隔離的VLAN中，在那里只有補(bǔ)正的服務(wù)器存在。

訪問(wèn)控制第三步，思科系統(tǒng)NAC將擴(kuò)展，以支持思科系統(tǒng)安全應(yīng)用，例如VPN和防火墻。

訪問(wèn)控制第四步，思科系統(tǒng)NAC將提供動(dòng)態(tài)的防范圍堵政策。這樣可以在受到攻擊時(shí)，使其統(tǒng)管的節(jié)點(diǎn)或者其他系統(tǒng)報(bào)告出錯(cuò)信息。其智能系統(tǒng)可以動(dòng)態(tài)地把受感染的系統(tǒng)隔離，從而降低病毒、蠕蟲(chóng)的威脅。