网络准入控制在大中型企业中的应用

摘 要：网络准入控制NAC（Network Access Control）从诞生之日起就引起人们的普遍关注，尤其是对网络安全准入要求比较高的大中型企业，应用比较广泛。在大中型企业中都建立了比较完善的内部局域网系统，为了确保网络系统的安全，不仅要建立严密的网络管理制度，还要从技术上加强安全措施，以防止外部黑客的入侵和来自内部的威胁，那么对网络准入控制系统的需求就显得尤为迫切。

关键词：准入控制；威胁；网络管理；安全措施

1 具有很好的网络环境适应性，不需要大幅调整网络结构

在大中型企业中，信息化建设已经达到一定高度，网络环境已经建设完好。选择的产品必须能够适应用户多种多样的接入环境，尽量避免改造用户网络，要求产品支持多种入网强制技术，能够适应各种网络设备及环境。

2 选择成熟的、先进的网络准入控制方案

现在各种厂家介绍了很多种网络准入控制的技术解决方案，现行的网络准入控制框架基本上分为三个NAC技术框架：

⑴基于端点系统的架构――Software-base NAC，主要是桌面厂商的产品，采用ARP干扰、终端软件的软件防火墙等技术。

⑵基于基础网络设备联动的架构――Infrastructure-base NAC，主要是采用802.1X技术的产品。

⑶基于应用设备的架构――Appliance-base NAC，主要是专业准入控制厂商。

3 能够支持快速部署的，最好不安装客户端

一个好的准入控制产品一定要能够让各类用户接受，能够快速部署，并且在部署时具有友好的WEB引导界面，让终端用户一目了然，可以减少管理员很多工作。用户上准入控制系统的目的，就是要将之前经常出问题的网络从源头上保护起来，但是安全性与易用性需要一个平衡的，如果一味地追求安全性，而给已经超负荷的管理员增加很多额外的工作，会对系统的建设、运营都将带来非常严重的阻碍。所以在选择产品时要看，是否支持快速部署，是否提供友好的WEB引导界面，终端最好不要安装客户端。

4 具有高可靠性，一定要有很好的逃生方案

用户一旦建成网络准入控制系统后，就意味着所有终端每天进入网络，都依赖于这套网络准入控制系统的解决方案。现在市面上的网络准入控制方案有纯软件、有纯硬件也有软硬件结合等多种。但是建议用户一定要选择具有高可靠性的、系统集成度高的成熟方案，而不要因为先期的低廉带来后期高额的维护成本，另外选择无论哪种方案，一定要求有完善的逃生方案，不存在单点故障。

5 能够提供不断更新的安全检查引擎和规则库升级，具有较好的可扩展性

在选择网络准入控制产品时，应该要考虑产品是否具有很好的可扩展性，在产品的架构上是否可以很好实现扩展、方便升级，可以满足企业未来几年的发展。尤其是像安全检查规范库、补丁漏洞库、支持联动的防病毒软件等。

6 具备从认证、安检、修复、访问控制“一条龙”体系

用户选择的网络准入控制产品应该具备完整的、健壮的功能体系，包括身份认证、友好WEB重定向引导、可配置的安全检查规范库、“一键式”智能修复、基于角色的动态授权访问控制、实名日志审计等功能。

7 需要经验丰富、具有风险管理的专业技术服务团队支撑

要建设好网络准入控制的项目，一定需要有一个相关项目实施经验丰富的，具有良好风险管理的专业技术服务团队支撑。甚至可以说“技术服务比产品更重要”，在项目建设前期，需要能够规划出适合用户网络的准入控制解决方案；在项目实施时，需要有一套完整的项目建设计划与配置的项目管理制度；在项目运行后，一定要有及时响应的客服体系。

ASM盈高入网规范管理系统是一套基于最先进的第三代准入控制技术的纯硬件网络准入控制设备，秉承“不改变网络、不装客户端”的特性，为你解决网络的合规性要求，达到“违规不入网，入网必合规”的管理规范，支持包括身份认证、友好WEB重定向引导、基于角色的动态授权访问控制、可配置的安全检查规范库、“一键式”智能修复、实名日志审计等功能，满足等级保护对网络边界、终端防护的相应要求、同时提供更高效、智能式的网络准入防护功能。

ASM盈高入网规范管理系统部署在企业中达到的效果。

⑴通过部署盈高科技的ASM入网规范管理系统实现了对终端网络接入的控制，未经允许的设备无法进放网络，对所有入网终端做统一身份认证；

⑵每个入网终端用户都必须通过合规性检查，必须检查系统安全补丁是否安装，防病毒软件是否已及时升级，以及有没有安装违规应用软件和违规行为等安全隐患；

⑶通过技术手段确保了规章制度顺利有效的执行，真正做到了100%的执行率；

⑷细化的终端系统安全检查项，做到系统进程，磁盘空间，安装及所执行的软件等全面的安全项检查控制。

[参考文献]

[1]《ASM盈高入网规范管理系统技术白皮书》.