思科NAC网络准入控制白皮书

　思科网络准入控制(NAC) 进行了专门设计，可确保为访问网络资源的所有终端设备(如PC、笔记本电脑、服务器、智能电话或PDA等)提供足够保护，以防御网络安全威胁。作为著名防病毒、安全性和管理产品制造商共同参与的市场领先的计划，NAC引起了媒体、分析公司及各规模机构的广泛关注。

　　本文将解释作为基于策略的安全战略的一部分，NAC将发挥怎样的关键作用，同时描述并定义可用的NAC方法。

　　NAC的优势

　　据2005 CSI/FBI安全报告称，虽然安全技术多年来一直在发展且安全技术的实施更是耗资数百万美元，但病毒、蠕虫、间谍软件和其他形式的恶意软件仍然是各机构现在面临的主要问题。机构每年遭遇的大量安全事故造成系统中断、收入损失、数据损坏或毁坏以及生产率降低等问题，给机构带来了巨大的经济影响。

　　显然，仅凭传统的安全解决方案无法解决这些问题。思科系统公司? 开发出了将领先的防病毒、安全和管理解决方案结合在一起的全面的安全解决方案，以确保网络环境中的所有设备都符合安全策略。NAC允许您分析并控制试图访问网络的所有设备。通过确保每个终端设备都符合企业安全策略(例如运行最相关的、最先进的安全保护措施)，机构可大幅度减少甚至是消除作为常见感染源或危害网络的终端设备的数量。

　　大幅度提高网络安全性

　　虽然大多数机构都使用身份管理及验证、授权和记帐(AAA) 机制来验证用户并为其分配网络访问权限，但这些对验证用户终端设备的安全状况几乎不起任何作用。如果不通过准确方法来评估设备‘状况’，即便是最值得信赖的用户也有可能在无意间通过受感染的设备或未得到适当保护的设备，将网络中所有用户暴露在巨大风险之中。

　　NAC是构建在思科系统公司?领导的行业计划之上的一系列技术和解决方案。NAC使用网络基础设施对试图访问网络计算资源的所有设备执行安全策略检查，从而限制病毒、蠕虫和间谍软件等新兴安全威胁损害网络安全性。实施NAC的客户能够仅允许遵守安全策略的可信终端设备(PC、服务器及PDA等)访问网络，并控制不符合策略或不可管理的设备访问网络。

　　NAC设计集成在网络基础设施之中，因此是独一无二的。那么，为何要在网络上(而不是其他位置)实施策略符合性和验证战略呢？

　　1. 机构感兴趣或关心的每个比特的数据都通过网络传输。

　　2. 机构感兴趣或关系的每个设备都与相同的网络相连接。

　　3. 对网络实施准入控制使机构能够部署尽量广泛的安全解决方案，包含尽可能多的网络设备。

　　4. 这个战略利用机构的现有基础设施、安全性和管理部署，因此最大限度地降低了IT开销。

　　通过运行NAC，只要终端设备试图连接网络，网络访问设备(LAN、WAN、无线或远程访问设备)都将自动申请已安装的客户端或评估工具提供终端设备的安全资料。随后将这些资料信息与网络安全策略进行比较，并根据设备对这个策略的符合水平来决定如何处理网络访问请求。网络可以简单地准许或拒绝访问，也可通过将设备重新定向到某个网段来限制网络访问，从而避免暴露给潜在的安全漏洞。此外，网络还能隔离的设备，它将不符合策略的设备重新定向到修补服务器中，以便通过组件更新使设备达到策略符合水平。

　　NAC执行的某些安全策略符合检查包括：

　　判断设备是否运行操作系统的授权版本。

　　通过检查来查看操作系统是否安装了适当补丁，或完成了最新的热修复。

　　判断设备是否安装了防病毒软件以及是否带有最新的系列签名文件。

　　确保已打开并正在运行防病毒技术。

　　判断是否已安装并正确配置了个人防火墙、入侵防御或其他桌面系统安全软件。

　　检查设备的企业镜像是否已被修改或篡改。

　　NAC随后根据上述问题的答案做出基于策略的明智的网络准入决策。

　　实施NAC解决方案的某些优势包括：

　　1. 帮助确保所有的用户网络设备都符合安全策略，从而大幅度提高网络的安全性，不受规模和复杂性的影响。通过积极抵御蠕虫、病毒、间谍软件和恶意软件的攻击，机构可将注意力放在主动防御上(而不是被动响应)。

　　2. 通过著名制造商的广泛部署与集成来扩展现有思科网络及防病毒、安全性和管理软件的价值。

　　3. 检测并控制试图连接网络的所有设备，不受其访问方法的影响(如路由器、交换机、无线、VPN和拨号等)，从而提高企业永续性和可扩展性。

　　4. 防止不符合策略和不可管理的终端设备影响网络可用性或用户生产率。

　　5. 降低与识别和修复不符合策略的、不可管理的和受感染的系统相关的运行成本。