網絡準入控制在大中型企業中的應用

摘 要：網絡準入控制NAC（Network Access Control）從誕生之日起就引起人們的普遍關注，尤其是對網絡安全準入要求比較高的大中型企業，應用比較廣泛。在大中型企業中都建立了比較完善的內部局域網系統，為了確保網絡系統的安全，不僅要建立嚴密的網絡管理制度，還要從技術上加強安全措施，以防止外部黑客的入侵和來自內部的威脅，那么對網絡準入控制系統的需求就顯得尤為迫切。

關鍵詞：準入控制；威脅；網絡管理；安全措施

1 具有很好的網絡環境適應性，不需要大幅調整網絡結構

在大中型企業中，信息化建設已經達到一定高度，網絡環境已經建設完好。選擇的產品必須能夠適應用戶多種多樣的接入環境，盡量避免改造用戶網絡，要求產品支持多種入網強制技術，能夠適應各種網絡設備及環境。

2 選擇成熟的、先進的網絡準入控制方案

現在各種廠家介紹了很多種網絡準入控制的技術解決方案，現行的網絡準入控制框架基本上分為三個NAC技術框架：

⑴基于端點系統的架構——Software-base NAC，主要是桌面廠商的產品，采用ARP干擾、終端代理軟件的軟件防火墻等技術。

⑵基于基礎網絡設備聯動的架構——Infrastructure-base NAC，主要是采用802.1X技術的產品。

⑶基于應用設備的架構——Appliance-base NAC，主要是專業準入控制廠商。

3 能夠支持快速部署的，最好不安裝客戶端

一個好的準入控制產品一定要能夠讓各類用戶接受，能夠快速部署，并且在部署時具有友好的WEB引導界面，讓終端用戶一目了然，可以減少管理員很多工作。用戶上準入控制系統的目的，就是要將之前經常出問題的網絡從源頭上保護起來，但是安全性與易用性需要一個平衡的，如果一味地追求安全性，而給已經超負荷的管理員增加很多額外的工作，會對系統的建設、運營都將帶來非常嚴重的阻礙。所以在選擇產品時要看，是否支持快速部署，是否提供友好的WEB引導界面，終端最好不要安裝客戶端。

4 具有高可靠性，一定要有很好的逃生方案

用戶一旦建成網絡準入控制系統后，就意味著所有終端每天進入網絡，都依賴于這套網絡準入控制系統的解決方案。現在市面上的網絡準入控制方案有純軟件、有純硬件也有軟硬件結合等多種。但是建議用戶一定要選擇具有高可靠性的、系統集成度高的成熟方案，而不要因為先期的低廉帶來后期高額的維護成本，另外選擇無論哪種方案，一定要求有完善的逃生方案，不存在單點故障。

5 能夠提供不斷更新的安全檢查引擎和規則庫升級，具有較好的可擴展性

在選擇網絡準入控制產品時，應該要考慮產品是否具有很好的可擴展性，在產品的架構上是否可以很好實現擴展、方便升級，可以滿足企業未來幾年的發展。尤其是像安全檢查規范庫、補丁漏洞庫、支持聯動的防病毒軟件等。

6 具備從認證、安檢、修復、訪問控制“一條龍”體系

用戶選擇的網絡準入控制產品應該具備完整的、健壯的功能體系，包括身份認證、友好WEB重定向引導、可配置的安全檢查規范庫、“一鍵式”智能修復、基于角色的動態授權訪問控制、實名日志審計等功能。

7 需要經驗豐富、具有風險管理的專業技術服務團隊支撐

要建設好網絡準入控制的項目，一定需要有一個相關項目實施經驗豐富的，具有良好風險管理的專業技術服務團隊支撐。甚至可以說“技術服務比產品更重要”，在項目建設前期，需要能夠規劃出適合用戶網絡的準入控制解決方案；在項目實施時，需要有一套完整的項目建設計劃與配置的項目管理制度；在項目運行后，一定要有及時響應的客服體系。

ASM盈高入網規范管理系統是一套基于最先進的第三代準入控制技術的純硬件網絡準入控制設備，秉承“不改變網絡、不裝客戶端”的特性，為你解決網絡的合規性要求，達到“違規不入網，入網必合規”的管理規范，支持包括身份認證、友好WEB重定向引導、基于角色的動態授權訪問控制、可配置的安全檢查規范庫、“一鍵式”智能修復、實名日志審計等功能，滿足等級保護對網絡邊界、終端防護的相應要求、同時提供更高效、智能式的網絡準入防護功能。

ASM盈高入網規范管理系統部署在企業中達到的效果。

⑴通過部署盈高科技的ASM入網規范管理系統實現了對終端網絡接入的控制，未經允許的設備無法進放網絡，對所有入網終端做統一身份認證；

⑵每個入網終端用戶都必須通過合規性檢查，必須檢查系統安全補丁是否安裝，防病毒軟件是否已及時升級，以及有沒有安裝違規應用軟件和違規代理行為等安全隱患；

⑶通過技術手段確保了規章制度順利有效的執行，真正做到了100%的執行率；

⑷細化的終端系統安全檢查項，做到系統進程，磁盤空間，安裝及所執行的軟件等全面的安全項檢查控制。

[參考文獻]

[1]《ASM盈高入網規范管理系統技術白皮書》.