初探內(nèi)網(wǎng)安全的新思路
一、 準(zhǔn)入控制——內(nèi)網(wǎng)安全體系的關(guān)鍵
內(nèi)網(wǎng)安全產(chǎn)品主要有三大標(biāo)準(zhǔn)架構(gòu)，分別是：網(wǎng)絡(luò)準(zhǔn)入控制（NAC）、網(wǎng)絡(luò)訪問保護（NAP）和可信網(wǎng)絡(luò)連接（TNC），這三大標(biāo)準(zhǔn)體系分別定義了各自的實現(xiàn)協(xié)議，但遵從類似的體系框架，主要架構(gòu)如下：
1A. 終端連接網(wǎng)絡(luò)，通知PDP
1B. PDP啟動終端評估（包括用戶認(rèn)證）
2. 將終端評估數(shù)據(jù)發(fā)送到策略服務(wù)器
3. 策略服務(wù)器與后端系統(tǒng)交互，證實終端狀態(tài)，決策是否授予終端接入權(quán)限
4. 策略服務(wù)器將終端評估結(jié)果通知給網(wǎng)絡(luò)（4A）和終端 (4B)
5. 終端接入網(wǎng)絡(luò)，獲得部分或者全部訪問權(quán)限，或接入修復(fù)服務(wù)器
在內(nèi)網(wǎng)安全架構(gòu)中，準(zhǔn)入控制點是整個體系的關(guān)鍵，承擔(dān)著與后臺策略決策系統(tǒng)交互，控制終端對網(wǎng)絡(luò)的訪問，隔離非健康終端并協(xié)助其修復(fù)等多項功能。準(zhǔn)入控制方式的選擇（也稱為策略強制點的選擇）至關(guān)重要, 內(nèi)網(wǎng)安全產(chǎn)品能否成功部署，主要就在于能否結(jié)合企業(yè)網(wǎng)絡(luò)的具體情況，選擇到合適的準(zhǔn)入控制點。
二、 多種準(zhǔn)入控制技術(shù)的深入分析
業(yè)界的內(nèi)網(wǎng)安全產(chǎn)品，一般采用以下幾類準(zhǔn)入控制方式，比較如下：
以上是內(nèi)網(wǎng)安全產(chǎn)品主流使用的準(zhǔn)入控制方式，每種方式都有其特定的優(yōu)缺點，一般來說每個廠商的產(chǎn)品都會支持兩種以上的準(zhǔn)入控制方式。
#p#三、 網(wǎng)關(guān)準(zhǔn)入控制——UTM2的四位一體
啟明星辰在2009年5月發(fā)布了UTM2 統(tǒng)一安全套件，采用了獨有特色的準(zhǔn)入控制方式——USG網(wǎng)關(guān)準(zhǔn)入控制。UTM2將安全網(wǎng)關(guān)、終端代理軟件、終端策略服務(wù)器、認(rèn)證控制點四位一體化部署，在終端數(shù)量龐大的情況下，還可將終端策略服務(wù)器平滑切換到獨立式工作模式。
在UTM2統(tǒng)一安全套件中，USG承擔(dān)了準(zhǔn)入控制網(wǎng)關(guān)（策略強制點）的功能。當(dāng)計算機終端需要通過天清漢馬USG進行訪問時，在天清漢馬USG上進行安全監(jiān)察，確保只有安裝天珣客戶端程序、并且符合管理員所設(shè)置的企業(yè)安全策略的計算機終端才能通過天清漢馬USG進行訪問。
相對于其它的準(zhǔn)入控制方式，USG作為準(zhǔn)入控制網(wǎng)關(guān)，可實現(xiàn)全面覆蓋用戶內(nèi)網(wǎng)每一個區(qū)域和角落。其優(yōu)勢主要體現(xiàn)如下：
（1）網(wǎng)關(guān)位置是非常合適的準(zhǔn)入控制點
UTM的位置本身即位于安全域邊界（互聯(lián)網(wǎng)出口、服務(wù)器出口及辦公網(wǎng)出口等），從安全理論的角度講，對某個用戶進行控制（包括訪問控制、準(zhǔn)入控制、業(yè)務(wù)控制etc）的最佳位置就是在安全域的邊界；同時，UTM設(shè)備的入侵防御、防病毒、外連控制等模塊可以與準(zhǔn)入控制功能相互配合，UTM一旦發(fā)現(xiàn)某用戶行為違規(guī)，就可通過內(nèi)網(wǎng)管理系統(tǒng)直接斷開該用戶的所有連接。從這個角度上講，UTM是最適合執(zhí)行準(zhǔn)入控制的網(wǎng)關(guān)設(shè)備。
（2）實現(xiàn)簡單方便，成本低，易于部署
采用UTM網(wǎng)關(guān)配合內(nèi)網(wǎng)管理系統(tǒng)實現(xiàn)準(zhǔn)入控制，與基于802.1x/EOU等協(xié)議相比，業(yè)務(wù)實現(xiàn)流程清晰可靠、環(huán)節(jié)少，用戶只需要購買少量UTM設(shè)備，采用透明方式部署至網(wǎng)絡(luò)關(guān)鍵節(jié)點處，即可實現(xiàn)全面的準(zhǔn)入控制，且對用戶原有的業(yè)務(wù)流程不造成任何影響。
（3）控制力度強，覆蓋全面
與基于DHCP控制，ARP spoofing，DNS劫持等準(zhǔn)入控制相比，UTM準(zhǔn)入控制能力更強、更全面，終端用戶在任何情況下均無法突破或繞過準(zhǔn)入控制。
（4）與UTM其它安全功能進行有機的配合
例如，在采用UTM作為VPN網(wǎng)關(guān)時，對接入的移動用戶實施準(zhǔn)入控制，可為整個VPN體系提供更佳的安全防護措施，同時實現(xiàn)對內(nèi)網(wǎng)用戶和VPN用戶的管理及準(zhǔn)入控制。除此以外，UTM設(shè)備還可根據(jù)終端的安全情況自動配置合適的安全策略，如在終端未滿足某些安全要求的情況下開放其訪問修復(fù)服務(wù)器的權(quán)限。
內(nèi)網(wǎng)安全是當(dāng)前網(wǎng)絡(luò)安全領(lǐng)域的熱門話題之一。在內(nèi)網(wǎng)安全產(chǎn)品架構(gòu)中，準(zhǔn)入控制方式至關(guān)重要。通過深入分析目前業(yè)界主要準(zhǔn)入控制機制的技術(shù)原理，我們可以發(fā)現(xiàn)，包括802.1X、終端防火墻、DHCP控制、ARP spoofing、DNS重定向等各有其優(yōu)缺點。一般地，我們可以根據(jù)企業(yè)網(wǎng)絡(luò)的具體情況，選擇一種或者多種準(zhǔn)入控制方案，完成內(nèi)網(wǎng)安全產(chǎn)品的部署。啟明星辰的UTM2統(tǒng)一安全套件，使用網(wǎng)關(guān)來完成準(zhǔn)入控制功能與終端安全軟件的有機配合，在易部署、強制性、統(tǒng)一性等準(zhǔn)入控制綜合能力上可圈可點。這也體現(xiàn)出，像啟明星辰這樣集多種網(wǎng)絡(luò)安全核心技術(shù)于一身的綜合類安全提供商，正在為整合企業(yè)網(wǎng)絡(luò)安全應(yīng)用做出有益的探索。
【編輯推薦】
