眾所周知,已有的防病毒措施檢測病毒的標準主要是基于攻擊簽名,對于“零窗口”(day-zero)病毒顯得無能為力,而且也不能防護由此引起的拒絕服務(wù)(DoS)攻擊。大多數(shù)服務(wù)器和桌面系統(tǒng),往往無法按照已有的安全措施執(zhí)行,定位和隔離這些設(shè)備往往需要浪費企業(yè)大量的時間和資源,尤其當它們位于網(wǎng)絡(luò)深層時,企業(yè)更顯得無能為力。這個問題在網(wǎng)絡(luò)環(huán)境越來越復(fù)雜的今天,尤其嚴重,因為企業(yè)擁有如此多的“多種多樣”:多種多樣的最終用戶,包括雇員、賣主和銷售商;多種多樣的終端,包括公司的桌面系統(tǒng)、家里的設(shè)備和服務(wù)器;多種多樣的接入方式,包括有線、無線、VPN和撥號網(wǎng)絡(luò)等。我們對思科的安全藍圖SDN(自防御網(wǎng)絡(luò))的一個子項目NAC進行概要介紹,希望使您對未來網(wǎng)絡(luò)安全體系的發(fā)展帶來一些有益的啟示。下面是思科系統(tǒng)NAC計劃示意圖:
什么是NAC
NAC可以提供一個針對主機的跨點安全技術(shù)。NAC由下列部分組成:
可信代理(Trust Agent)
它存在于終端系統(tǒng)中,負責收集不同客戶的安全軟件的安全狀態(tài)信息。在這部分中,整合了防病毒軟件產(chǎn)品。TA被整合在思科系統(tǒng)安全代理中,使用它可以評估操作系統(tǒng)的版本、補丁程度和Hot Fix 信息, 并且把這些信息傳遞到CTA。屆時,沒有進行適當升級的主機將被限制或者拒絕接入整個網(wǎng)絡(luò)。
訪問控制網(wǎng)絡(luò)訪問設(shè)備
它可以強迫性地控制那些請求接入的設(shè)備執(zhí)行安全性的措施,包括路由器、交換機、無線接入終端和安全性設(shè)備。這些接入裝置需要主機安全要求的“Credentials”,并且根據(jù)這些信息制定具體的服務(wù)器接入政策。根據(jù)客戶要求制定的政策,網(wǎng)絡(luò)將執(zhí)行適當?shù)脑试S接入的控制措施。
策略服務(wù)器
用來評估來自終端的安全性執(zhí)行信息,以便決定對于來自他們那里的接入請求采取適當?shù)拇胧>唧w產(chǎn)品就是思科系統(tǒng)安全接入控制服務(wù)器(ACS),它是一種鑒定、授權(quán)和記錄的RADIUS服務(wù)器,組成了政策服務(wù)器系統(tǒng)。它基于思科系統(tǒng)NAC工作,同應(yīng)用服務(wù)器協(xié)同運行,提供更深層次的信任確認,例如反病毒政策服務(wù)器。
訪問控制管理系統(tǒng)
具體產(chǎn)品即思科系統(tǒng)VPN/安全管理解決方案(VMS)。同時,思科系統(tǒng)工作安全信息管理解決方案可提供顯示和報告工具。NAC同時為終端安全軟件提供協(xié)同管理解決方案。
訪問控制NAC將主機的安全與網(wǎng)絡(luò)基礎(chǔ)合二為一,提供了一個網(wǎng)絡(luò)允許接入的設(shè)施。例如,企業(yè)可以通過思科的網(wǎng)絡(luò)體系——路由器、交換機、無線和安全裝備,來加強他們的防病毒軟件的使用。不過,思科強調(diào)說它推出NAC的目的是對于現(xiàn)有的廣泛應(yīng)用的安全技術(shù)做一個有效的補充,而絕非替代。
訪問控制NAC的應(yīng)用
訪問控制思科NAC可以操作所有的網(wǎng)絡(luò)接入主機方式,包括校園交換、無線和有線的路由、WAN和LAN的連接、IPSec連接、遠程連接和撥號接入等。例如在分支部門的應(yīng)用:思科系統(tǒng)NAC可以幫助確定,試圖接入中心計算機數(shù)據(jù)的遠程或者家居辦公室的連接是否符合安全主機的要求,這可通過思科系統(tǒng)分支或者主要辦公室的路由器強迫性檢查來完成。遠程接入安全,NAC在允許遠程接入公司資源之前,幫助確信那些遠程接入和移動設(shè)備是否具有最新的防病毒升級和操作系統(tǒng)補丁的升級。
訪問控制NAC的發(fā)展分四步
訪問控制思科系統(tǒng)NAC計劃,首次將防病毒與網(wǎng)絡(luò)接入有機地結(jié)合在一起。該計劃已在今年上半年投入實施,思科系統(tǒng)路由器將通過聯(lián)合思科系統(tǒng)信任代理提供網(wǎng)絡(luò)許可控制路由器接入控制列表(ACLs)將在網(wǎng)絡(luò)中限制“不聽話”的主機和其他系統(tǒng)的通信,例如,只允許同一個防病毒服務(wù)器通信,以便下載新的模式文件。在實施之初,思科系統(tǒng)NAC將支持在微軟 Windows NT、XP和2000操作系統(tǒng)。
訪問控制思科系統(tǒng)NAC計劃預(yù)計分四步走。第一步,第一版將主要包括兩項迫切需要的強迫性檢查內(nèi)容:防病毒軟件狀態(tài)和操作系統(tǒng)信息。這些包括防病毒廠商的軟件版本、引擎水平、簽名文件水平以及操作系統(tǒng)的種類、修補水平和Hot Fix等。
訪問控制第二步,思科NAC隨后版本中,思科系統(tǒng)交換機和無線接入終端將能使沒達標的主機分配到隔離的VLAN中,在那里只有補正的服務(wù)器存在。
訪問控制第三步,思科系統(tǒng)NAC將擴展,以支持思科系統(tǒng)安全應(yīng)用,例如VPN和防火墻。
訪問控制第四步,思科系統(tǒng)NAC將提供動態(tài)的防范圍堵政策。這樣可以在受到攻擊時,使其統(tǒng)管的節(jié)點或者其他系統(tǒng)報告出錯信息。其智能系統(tǒng)可以動態(tài)地把受感染的系統(tǒng)隔離,從而降低病毒、蠕蟲的威脅。