网络访问控制(NAC)的新角色

www.net130.com     日期:2013-8-28    浏览次数:
作者:Shamus McGillicuddy 译者:曾少宁    出处:TechTarget中国

网络访问控制(NAC)名声不好,我们得让它改改。过去十年里,NAC出现了部署失败和安全策略过份严格等问题,这使得许多CEO发现按照IT部门实施的NAC,自己的笔记本电脑无法访问网络。

但是,现在情况已经发生变化。专家指出,NAC不再只是访问控制;而是提供终端可见性和感知环境的安全性。Enterprise Strategy Group的研究表明,NAC正演变成一种新的平台产品,它叫终端监控、访问与安全(EVAS),它能够实现感知环境的安全性,可以给其他安全平台提供信息,同时应用这些平台专用的策略。

ESG高级主任分析师Jon Oltsik指出,早期的NAC解决方案会检查用户设备的状态,保证它们未感染病毒,并且安装了正确的终端安全 软件,然后才允许它们连接网络。之后,NAC增加了软件补丁和配置检查。现在,NAC解决进一步发展成为EVAS平台,从而符合企业关于感知环境安全性的需求。他说,思科、瞻博、ForeScout和Bradford都推出了这样的产品。

EVAS的特点是增加了两个新功能。这个平台可以整合到其他安全和策略系统,而且与早期NAC系统不同,它们不仅能处理传统PC机,也能处理更广泛的终端设备。

Jon Oltsik说:“EVAS已经整合到基础架构的其他部分上,包括MDM[移动设备管理]、身份验证和RADIUS服务器等。它既可以提供分析的信息,也能够加强策略。而且,EVAS面向下一代终端开发;而不仅仅针对于PC。它包括移动终端和其他一些IP设备,如打印机、控制系统、医疗设备或其他需要监控的网络设备。它能够识别设备,也能够提供这些设备上与环境相关的信息。

企业会在其中部署许多安全分析工具,包括安全与事件管理平台、数据包分析或流量分析等。安全工程师真正缺乏的是这些分析的更详细信息。当您想知道用户在使用哪些设备,他们执行了哪些活动,以及特定时间的系统配置情况,这里会缺少很多信息,而且很难捕捉这些信息。EVAS可以作为一个中间设备,捕捉这些信息,并且提供更详细的信息。”他还指出,EVAS还可以应用策略,这是分析平台无法做到的。”

终端可见性与访问控制:是变换名称还是新技术?
Frost & Sullivan 网络安全行业分析师Chris Rodriguez指出,NAC并不一定会发展成为一个新产品。但是,在最近几年,客户发现了一些除简单访问控制之外的用例,这项技术增加了一些新功能。EVAS的说法是“更准确反映NAC价值的一种尝试。”此外,他还认为,这也是改变过去几年NAC市场中因为部署失败而造成的不良名声。客户一直说,使用NAC解决方案,他们可以看到比任何终端管理解决方案更多的东西,他们看到的不仅仅是企业拥有的设备。也能够监控员工拥有的设备,以及不能安装客户端的设备,如控制系统和医疗监控设备。

EVAS控制着终端,而非数据
虽然可见性和感知环境很重要,但是并非所有人都认为终端是最需要关注的元素。Forrester Research主任分析师John Kindervag指出,安全供应商应该关注于真正有价值的东西——数据。

Kindervag说:“我认同可见性,但是我们的终端不需要它。终端上更需要的是数据,因为终端的数量太庞大了。您无法控制这么多的终端。我们需要控制自己能够控制的东西,那就是数据。为了保护数据,企业需要检测和监控所有的流量,因为这样才能够知道数据发生了什么变化。他说,担心谁有权限访问网络是浪费时间。在这里,流量是很有价值的。我们完全不需要直接进入终端,流量就可以告诉我们终端中发生的一切。这也是更有可能实现的位置。它与进入网络设备无关。我们必须从认识上纠正这一点。边界已经没有意义。我们要超越它。”

基于终端的控制还造成了对安全性和合规性的一种误解。是的,进入我们网络的人都是批准进入的。所以不如就让他们正正当当进来。让所有人都从前门进来,但是我们要盯住数据。如果有人想要动数据,那么您就要采取措施。在您关注数据之后,终端保护可能会受到影响,但是不要认为可以在终端上解决这个问题。

多年以来,Kindervag和Forrester Research都认为企业应该采用一种“零信任”安全模型,也就是认为所有流量都是不可信的,它们都应该检查和分析。即使授权用户连接网络的设备符合策略规定,他们也仍然可能威胁公司的数据。所以,企业必须跟踪数据传输,而不要关注于谁和什么设备在访问网络。

NAC/EVAS供应商支持这种零信任方法。ForeScout首席销售官Scott Gordon说:“假设您有一个企业政策,它要求用户激活个人防火墙,要求设置特定的补丁级别,并且要求安装并激活数据丢失保护软件。我们的系统可以动态验证网络进出访问。如果数据丢失保护[DLP]安装但没有运行,那么就可能存在一种风险,即DLP管理系统会误认为一切都是正常的。NAC/EVAS平台可以检测到终端未激活DLP,然后指示DLP系统通知该设备的客户端。”

 

分享道
相关新闻