网络准入控制系统评价指标分析

5. AD 域认证
AD（Active Directory）是基于 windows 系统的强大有效的安全管理工具，由于在目录 中包含了有关各种对象 [例如用户、用户组、计算机、域、组织单位（OU）以及安全策 略] 的信息，网络准入控制系统可以从中获取到相比其他认证系统/接口更为详细的管理 信息，一套好的网络准入控制系统甚至应该能够提供 AD 环境下的单点登录功能，为机构 提供更多的管理便捷性。
7. 生物指纹认证
随着生物信息技术的发展，利用个人特征进行识别的人员管理模式在众多行业/管理模式 中均得到了应用，如虹膜、指纹、语音等。由于这些生物特征具有唯一性和永久性，且无 需人员进行预先设置和记忆，因此具有其他记忆/携带类认证方式所不具有的突出优点。 网络准入控制系统可以选择利用用户已有/采购中的的指纹识别系统作为入网人员身份 的采集点，并结合内置的角色管理、授权审计模块进行更细致的人员入网访问管理，从 而更适合高端用户基于边界的用户认证管理需求。
设备识别。帮助用户对所有接入网络的终端设备进行迅速的识别，根据 ip、MAC、 操作系统、硬盘 ID 等指纹完整地给出接入设备的形态，从而帮助管理者区分内部 设备与外部设备，授权设备与非授权设备，已注册设备与未知设备等多种管理形态。
用户认证。依托于网络准入控制系统强大完善的认证系统，能够提供给管理者基于 用户的角色管理，赋予不同的用户不同的访问权限、所使用设备的安全配置要素及 网络行为准则。
系统补丁（patch）健康保障。如果操作系统不及时更新补丁，那么任何漏洞都会 变成 0day 威胁，从而对设备、使用者甚至是机构造成巨大的威胁和损失。网络准 入控制系统需要依托 microsoft 每月补丁更新，为用户提供更合适的补丁分级管 理机制，确保检测过的补丁具有更高的稳定性和安全针对性。最佳的处理方式则应 该是由网络准入控制系统自身集成补丁服务器，这样就不需要用户再额外搭建 WSUS 等补丁设施，从而有效降低内网管理的 TCO。
4. LDAP 认证
LDAP（Lightweight Directory Access Protocol）是相比 radius 更为专业的得到关于 人或者资源的集中及静态数据的快速方式，被广泛运用于利用数字证书进行人员识别的 系统中。网络准入控制系统应够对众多基于 LDAP 的 CA 系统、usb-key 或独立的数字证 书平台进行身份识别，在提取出其中的用户信息后进行相关的用户认证、审计和授权管 理。
- 基础设施类型识别 - 物理分布 - 连接状况 - 地址分配 - 所有物理位置的接入设备状况 2. 基于端口的空间定位 在整体视图的基础上，网络准入控制系统还应该能够勾勒出所有网络设备的面板视图， 并展现出各个端口的运行状态，从而从物理位置/空间角度更形象地向用户传递所有即 时接入信息。
图 2.网络设备面板示意图 3. 事件/时间交互定位
6. 短信认证
如过在机构中已经登记了所有授权入网用户的移动电话，那么可以采用短信验证码的入 网认证方式。网络准入控制系统应能够迅速跟运营商或用户网络中的短信平台进行结合， 为入网用户提供更方便的利用动态短信验证码进行认证的入网访问验证方式。结合网络 准入控制系统自建的用户名/密码，用户甚至还可以搭建起静态+动态密码的双因素认证， 从而为机构提供更高层次的安全接入保障，这种更高安全性的解决方案目前已经在许多 运营商环境下得到了运用。
通过管理者在网络准入控制系统中内建用户名/密码，具有中小规模网络的机构能够迅速 地对所有接入内网安全边界的人员进行识别和授权。由于提供了最大限度的自定义字段， 管理者能够对每个人员的身份特征进行描述，从而便于在后期进行更为详细的入网审计 和统计。 2. Email 认证 绝大多数机构都内建了 E-mail 系统，利用 PoP3 协议及其他邮件协议，网络准入控制系 统应能够和机构已有的 Email 系统进行身份衔接。用户在入网时能够凭借已有的邮箱/口 令进行快速认证，并得到相应的访问授权。 3. Radius 认证 Radius 协议是具有广泛应用基础的认证/授权/计费标准，在包括 802.1x、交换机安全登 录、vpn 拨号等诸多环境中都能够提供唯一的/有力的支撑。网络准入控制系统应能从第 三方 radius server 上获取到合法的账号口令库，并判断接入的用户是否合法。
通过将所有事件（入网、出网、上线、下线、认证、评估、监测等）以时间维度进行串 联，网络准入控制系统应能够帮助管理者获取到以时间段为中心轴的事件体系报告，从 而能够对时间进行事件定位；网络准入控制系统还应支持通过查询事件得出对应的时间 报表，并得出事件的时间分布状况，以及同一类型的事件的归类视图。通过事件/时间 的交互定位管理，管理者能够对网络中深层次的运维状况进行具有连续性的统计和管理， 将所有的接入网络/组成网络的终端进行归纳，形成一个不断发展，不断治理的内网管 理体系。 基于安全定位技术的网络准入控制系统，将整个系统上升到了内网终端/节点 SOC 的层次， 不同于传统 SOC 只关注上层的网络基础设施，并缺乏对机构网络业务挖掘的缺陷，我们认 为，接入网络的终端及用户是机构业务系统非常重要的组成部分，因此将关注点扩展到接入 终端/用户层面，对接入终端/用户乃至网络基础设施的关联层面中的各种状况进行监控及跟 踪响应，这样就自底向上地实现了依据用户各种具体业务所进行的相关管理和维护，并和传
架设在用户网络中的网络准入控制系统应能够对网络设备进行自动发现，同时能够利用 telnet、snmp、ssh 等方式对机构的所有网络设备（switch、router、firewall、vpn 等） 进行更全面的统一管理，通过优化的算法，为用户快速生成整个网络的整体视图。利用 网络准入控制系统的整体网络视图，用户能够直观地获得所辖网络的以下参数： - 基础设施资产概况
2. 评价指ቤተ መጻሕፍቲ ባይዱ分析
我们将网络准入控制系统的评价指标划分为两个档级，基础级别的应该是所有网络准入控制 系统都应该能够实现的，更高级别的则是代表了行业发展趋势的领导级网络准入控制系统所 应该具备的技术要素。
2.1 基础级评价指标
当机构划分好自身的网络安全边界后，首当其冲的就是在边界处架设好安全管理的基线即准 入基线，对符合基线的准予入网，对入网后违反基线的立即隔离出网。而要实现准入基线， 需要应用到人员身份识别和设备配置检查这两种关键性技术。 基础级评价指标之一：人员身份识别技术 一套优秀的网络准入控制系统，应该能够利用丰富的人员认证/识别方式来基于人员身份的 准入安全，包括但不限于如下的身份认证方式： 1. 本地用户名/密码认证
2.2 高级评价指标
对于在信息安全领域有着更深入理解的用户来说，网络准入控制系统的准确度和灵活性是系 统上线后运维工作的关键。而影响到这两个要素的技术指标就是安全定位和无客户端准入。 高级评价指标之一：安全定位技术 在机构内网设定了管理的边界，并对人员身份和设备安全配置进行了有效识别之后，更高级 别的用户还需要有一个能够有效串联上述 3 个主要安全要素的公共体，在这个公共体中，所 有的安全要素都能够从时间或者空间 2 个角度进行精确的描述，从而提供给管理者有关安 全内容的最后一类补充，帮助其能够从时间和空间 2 个角度对所有事件进行考量。这个评价 指标就是网络准入控制系统的安全定位技术。 1. 基于整体视图的定位
2. 特定行业安全配置规范检查
以生产制造型机构为例，在该行业中需要具备的安全配置规范一般包括以下两个方面：
生产内网的安全配置。生产内网由于存储和运行了涉及到机构内部机密的数据，因 此需要与 internet 进行逻辑隔离或物理隔离，因此需要严格控制非法外联和非法 内联（移动介质）的违规状况。网络准入控制系统应该能够提供完善的非法外联检 测/监测规范选项，并能够针对移动介质非法内联状况进行强制控制。
一般网络安全配置。在云计算和“BYOD”还未大规模运用的情况下，生产制造企业
的内部网络汇聚了大量归属于企业的终端计算机资产，鉴于企业对于生产效率和决 策执行力的看重，企业机构更希望内网的各种行为能够得到有效约束，包括 禁止私自更改 ip 禁止私自连接 hub 桌面客户端安装 资产变动 而在企业机构合作伙伴不断增多的背景下，网络准入控制还需要对来宾进行有效和便捷 快速的管理。
网络准入控制系统评价指标分析
盈高科技：何俊
概述：
本文讨论了网络准入控制的基础概念，并分析了评价网络准入控制系统的几个关键指标，最 后给出了在不同类型网络中应用网络准入控制系统的选型建议。
1. 网络准入控制概念
2003 年，鉴于愈演愈烈的蠕虫病毒安全事件造成的巨大损失，cisco 提出了对接入网络的所 有设备进行安全性检查的方案，在确保设备均安装了防病毒软件，并更新了补丁的情况下准 予入网，是谓 NAC。 NAC 的名称有 2 种解释： - Network Access Control (网络接入控制)； - Network Admission Control (网络准入控制)。 跟后者相比，前者的称谓在国内 NAC 行业被更广泛的采用，而事实上 NAC 的正统称谓却是后 者：“the latest Cisco security technology, called Network Admission Control (NAC) Appliance”—— 《cisco NAC Appliance》，cisco press，2008。一字之差，却体现了 NAC 的精髓，access 体现的只是一个动作，只划定了接入网络的这一个短暂的状态，因此很多 狭义的 NAC 方案往往只管接入，不管入网后；而 admission 则体现的是一种规范，是一种综 合性的“资格”，体现了全局管理的一种理念上升，admission control 是需要将管理与控 制扩展到入网后的所有行为的。
8. 符合各机构特定环境的认证方式
用户的环境是在不断变化的，因此网络准入控制系统还应该能够根据用户各具特色的网 络环境提供面向某些特殊第三方系统（如 OA 服务器等）的接口 API，从而获取到需要进 行授权的人员信息，并结合机构所指定的安全策略进行相应的角色划分和访问授权。 评价指标之二：设备安全配置检查技术 设备配置检查，就是检查入网设备所用操作系统的各项安全设置，当安全设置合格的情况下， 我们可以认为这台设备具有符合条件的抵御攻击的能力并且可以认为对其他的机器不会造 成威胁，当每一个进入网络的端点都符合这个要求的时候，我们可以认为整个网络的安全水 平是非常高的。 从管理意义上说，不同机构都已经设定了网内操作系统应该符合的安全设置要求，及安全规 范，而机构自身的安全规范是隐居于抽屉、文件夹或墙头真正的安全管理高手，准入控制的 意义就在于释放出安全规范中所包含的真正的安全意蕴，遵循 ISMS 的框架性指导，用技术 平台的手段实现安全规范的意义，因此管理者的思路能够在网络准入控制系统中真正得到展 示。网络准入控制系统应该充分利用 PDCA 的管理模型，通过准入控制的技术手段加强了“Do”、 “Check”和“Act”这 3 个在内网管理中传统的弱势环节。