观察：网络安全将进入网络接入控制时代

2009/9/24/17:09 来源：5DMail.Net

慧聪安防网 安全与网络之间的界限是模糊不清的。IT领域的许多人都被迫戴上两个帽子以避免他们的网络受到攻击。

　　Interop会议上，这个转变是非常明显的。一些厂商和行业专家概要地讲述了增加安全设备的需求。这些设备将被用来防止在网络上出现蠕虫、病毒、特洛伊木马、黑客和其它恶意的破坏活动。

　　欢迎来到网络接入控制时代

　　位于马萨诸塞州剑桥的市场研究公司Forrester Research的分析师Paul Stamp表示，展望未来，我们将看到从威胁防御到安全设计的重点都将发生变化。安全将内建到我们的网络技术中，使网络从一开始就是安全的。网络接入控制和免疫机制是朝着这个方向迈出的一步。

　　从根本上说，网络接入控制限制谁能够进入这个网络以及一旦连接之后他们能够做什么。它使用身份识别和共同安全策略规定用户能够访问哪里和能够访问哪些信息，同时还能够扫描适当的杀毒软件和其它网络威胁防护软件。

　　虽然思科和微软等大型厂商是网络接入领域的主要参与者，但是，其它一些小型厂商正开始在这个领域掀起波澜。

　　位于西雅图的Lockdown网络公司12月15日推出了其4.1版本的NAC(网络接入控制)设备。这个产品在交换级上工作，根据设备的运行状态、时间、日期、用户和组信息来做出访问的决定。该公司高级产品经理Bryan Nairn表示，这种设备控制网络入口并且不间断地进行检查以确保连接的设备符合最新的软件和更新的要求。

　　与思科的NAC框架相同，如果用户的设备出现差错，用户将被隔离。从那里开始，用户将得到补救措施并且在这个问题解决之前不允许进入网络。

　　Nairn说，这个产品能够防病毒和阻止未经许可的访问。Lockdown 4.1版与众不同的是它支持几种模式的身份识别，不只是支持802.1x。

　　12月14日进入NAC领域的另一家厂商是Vernier网络公司。这家公司提供了一个单一的、无代理的和与供应商无关的设备。与思科不同，这家位于加州山景城的Vernier网络公司推出的EdgeWall Rx网络接入管理设备是在网络内部使用的。

　　Vernier产品经理Ranjeet Sonone对EdgeWall Rx设备的特点做出了这样的总结说，你向我们发送一个坏数据包，我们就删除这个数据包。

　　同Lockdown 4.1一样，EdgeWall进行身份识别并且继续进行定期的设备检查以确保用户和设备仍然符合规定要求。

　　Sonone说，现在你拥有了一台能够保证任何接入网络的设备都符合要求的机器。同Lockdown一样，EdgeWall也有一个基于浏览器的隔离通知，允许管理员根据用户、设备和任务等若干规定制定自己的安全和遵守规则的政策。

　　但是，纽约石溪大学电信和网络主管John Stier说，他没有听说NAC设备是解决他的网络安全问题的一个可行的解决方案。他说，我不相信。坦率地说，我们是在解决一个无法解决的问题。

　　Stier解释说，NAC可能对于一个企业来说是很好的。但是，在处理数千种不同设备的大学网络中，这种技术方法根本就不行。我们正在处理的不是集中管理的和统一型号的计算机。这些机器里面什么东西都有。

　　虽然Stier承认NAC设备是有好处的，但是，他想不出应用这种设备的现实的方法。Stier说，他担心强迫学生采取遵守规定的访问方式可能会产生他的同事无法处理的隐私和技术支持问题。而且，他补充说，在数千台计算机中查出一台受到感染的计算机是非常困难的。他问到，如果一个房间挤满了100个人，其中有一个人患感冒，你如何找到他?

　　尽管有Stier的反对意见，专家们表示，NAC设备将在几年内成为一种必不可少的设备。市场研究公司IDC负责安全产品和服务研究的副总裁Chris Christiansen预测称，到2008年，80%的安全产品将使基于网络的设备。一旦一个不健康的设备接入到一个局域网并且立即注入恶意的东西，那个网络就完了。

　　Christiansen在题为“网络安全:两个世界的碰撞”的发言中说，特洛伊木马、病毒和蠕虫在可以预见的未来将构成严重的威胁，而间谍软件攻击将继续增长。保护网络拒绝不欢迎的设备或者被感染的设备访问是必不可少的。NAC就是这种措施的一部分。

　　如果你认为现在的网络安全情况不好，将来的情况将会更糟糕。