網絡準入控制NAC的演進史
歷史巨輪：NAC誕生
計算機(ji)高速(su)發展過程中，網絡內出現越(yue)(yue)來越(yue)(yue)多的0day攻擊，此(ci)時迫切需要一(yi)種技術可以(yi)對(dui)非法(fa)的(de)電(dian)(dian)腦(nao)(nao)做(zuo)網絡隔離，并能(neng)在(zai)網絡中自(zi)動定位出有問題的(de)電(dian)(dian)腦(nao)(nao)，進一(yi)步對(dui)這(zhe)些電(dian)(dian)腦(nao)(nao)做(zuo)安(an)全修復(fu)，最(zui)早的(de)網絡準入控制(zhi)技術應景而生。
在2003年，當(dang)時全(quan)世界最大的(de)網絡廠商Cisco提出NAC技術與SDN(自防御網絡)概(gai)念，并形成了(le)網絡準(zhun)入控(kong)制技(ji)術框架，隨后(hou)，Microsoft、Juniper等網絡(luo)大廠也(ye)分別(bie)發布相(xiang)應的產(chan)品與解決方案(an)，到了2006年，網絡準入控制市場(chang)發展迅猛，當年NAC被國內外媒體稱為繼防火墻之后最大的網(wang)絡(luo)安全市(shi)場熱點。
NAC首創者：Cisco
思科是網絡準入(ru)控制技術的提出(chu)者(zhe)，Cisco NAC網(wang)絡(luo)準入控制技術(shu)的演進過程如下所示(shi)：
Cisco NAC 1.0：解決網絡(luo)隔(ge)離問題；
Cisco NAC 2.0：實現更細粒度的準(zhun)入控制(zhi)；
Cisco NAC 3.0：提出硬件的解決方案(an)，主要解決部(bu)署困難的問(wen)題(ti)；
Cisco NAC 4.0：思(si)科(ke)又放棄了網關的方(fang)案，重(zhong)點解(jie)決集(ji)中管(guan)理的問(wen)題，在第(di)二代技術基礎(chu)上(shang)增加了實(shi)名(ming)制(zhi)(zhi)網絡(luo)資源(yuan)訪(fang)問(wen)控制(zhi)(zhi)等(deng)技術，即Role-based 802.1x技術。
經(jing)過這么(me)多年的發展，NAC的(de)解決焦點從網絡的(de)訪(fang)問(wen)(wen)控(kong)制(zhi)演進為(wei)對資源的(de)訪(fang)問(wen)(wen)控(kong)制(zhi)。
NAC技術發展階段
|
時(shi)間 |
驅動力 |
功能 |
局限性 |
|
2003-2004 |
網絡蠕(ru)蟲 |
基本(ben)的設備 （PC）檢查 |
技術(shu)復雜， 缺(que)乏標準 |
|
2005-2006 |
來賓訪(fang)問 無線接入 |
基本的設(she)備 （PC）檢驗(yan)、 802.1 X身份驗(yan)證 |
技術(shu)復(fu)雜，成(cheng)本高，混(hun)亂的(de)(de)市(shi)場(chang)格局，標(biao)準(zhun)的(de)(de)競爭導致了混(hun)亂的(de)(de)市(shi)場(chang) |
|
2007-2008 |
設備（PC）認證 |
有線和無線網(wang)絡(luo)的802.1x身份認證 |
技術復(fu)雜，多個 802.1 X制約(yue) |
|
2008-2010 |
來賓訪(fang)問 無線(xian)接(jie)入(ru)（802.11n） |
802.1 X身份驗(yan)證， 常規的有線/無(wu)線策略(lve)管理 |
NAC在(zai)預防/檢測高級持續性威脅( APTs)乏力，削弱了實用性 |
|
2010-至(zhi)今 |
BYOD 移動終端 |
提供(gong)基于策略的(de)情(qing)報(bao)、 執行、 弱化(hua)風險，并實時監控(kong)所(suo)有網絡設(she)備訪(fang)問、配置和連接(jie)到 IP 網絡的任何節點的活動 |
EVAS本身(shen)不直接實現數(shu)據(ju)信息(xi)的保(bao)護，而(er)作為(wei)(wei)“安(an)全基(ji)礎(chu)(chu)設施”為(wei)(wei)數(shu)據(ju)安(an)全保(bao)護提(ti)供支撐基(ji)礎(chu)(chu) |
NAC技術類型分析
在標準框架(jia)基礎上，根據不同的應用場景發(fa)展出(chu)三類網絡準入(ru)控(kong)制技術，這三種類型技術，都支持有Agent和無Agent設備(bei)的接入認證，無Agent的認證(zheng)，大多數廠商(shang)使用MAC地址或IP地址(zhi)。
|
準入控制技術(shu) |
內(nei)容 |
|
基于(yu)網絡設(she)備方式（Infrastructure-based NAC） |
包括802.1x 、EOU、portal等技術； |
|
基于網關設備(bei)方式(shi)（Appliance-based NAC） |
串(chuan)聯方式、準旁(pang)路（PBR）、旁路方式等多種技術； |
|
基于純軟(ruan)件(jian)方式（Software-based NAC） |
包括ARP干(gan)擾、DHCP干擾(rao)、fake DNS、NAP、Ipsec enforcement、與Web Server/ISA聯動等等。 |
這三(san)類技術各有(you)特點，分(fen)別應用(yong)于(yu)不通的網絡接入場景。
除了以上的技術分析，還需明(ming)確網絡接入最終(zhong)需要(yao)承(cheng)擔安全責任的是(shi)人(ren)，不(bu)是(shi)設(she)備，所以采用Role-based（基于角色(se)）管(guan)理方法，與HR/LDAP對接，更易落(luo)實到(dao)人，也便于策略管理、數據分析(xi)、事(shi)(shi)后追查（事(shi)(shi)件鏈）。
NAC創新者和領導者：聯軟科技
總括：
Leagsoft UniNAC支持(chi)幾(ji)乎(hu)所(suo)有的網絡(luo)準(zhun)入控制(zhi)技術，除了能支持(chi)802.1x 、Cicso NAC、portal等(deng)Infrastructure-based準(zhun)入控制技術，串接、準(zhun)旁路、端口鏡(jing)像等Appliance-based準入控制技(ji)術和ARP干擾、DHCP干擾等(deng)Software-based準入控制技術外(wai)，還支持Role-Based準(zhun)入(ru)控(kong)制技術，針對不(bu)同的(de)準(zhun)入(ru)控(kong)制技術，可以應用于不(bu)同的(de)接入(ru)管理場景(jing)，所以UniNAC可以(yi)適(shi)應任何復雜的(de)網(wang)絡環境下的(de)網(wang)絡接入控制需求。
創新：資源訪問控制技術RAC
Leagsoft UniNAC系統在2012年發布資源訪問(wen)控制技術RAC(Resource Access Control)，支持Role-based網絡資源訪問控(kong)制，也支持用戶終端、啞終端的資源訪問控(kong)制。
該技(ji)術通常用(yong)ACL控制網(wang)絡資源訪(fang)問權限，支持在各種型號(hao)的802.1X網絡(luo)交(jiao)換機、無(wu)線(xian)控制器(qi)、支(zhi)持EoU的路由(you)器、聯(lian)軟的NACC網關和客戶端(duan)上下(xia)發(fa)ACL，這樣就可以(yi)實現(xian)對不(bu)同的(de)(de)(de)(de)終端、不(bu)同的(de)(de)(de)(de)用(yong)戶角(jiao)色、不(bu)同的(de)(de)(de)(de)應用(yong)程序、不(bu)同的(de)(de)(de)(de)訪問時間(jian)下發指(zhi)定的(de)(de)(de)(de)訪問權(quan)限，從而對網絡的(de)(de)(de)(de)接入實現(xian)細粒度的(de)(de)(de)(de)管理。
創新：新一代的DEVAS
網絡(luo)使用中新的安全性和移(yi)動性要求，讓NAC演進為全新的EVAS（Endpoint、Visibility、Access、Security）端點可視化與訪問(wen)控制安全。EVAS定義：一種網絡(luo)安全(quan)技(ji)術，提供基于策(ce)略的情報(bao)、 執(zhi)行(xing)、 弱化風險，并(bing)實(shi)時監(jian)控(kong)所有網絡(luo)設備訪問(wen)、配(pei)置和連接到 IP 網(wang)絡的任何節點(dian)的活動。
但(dan)是EVAS本身不直接實現數(shu)據信息(xi)的保(bao)護(hu)，而只能作為“安全基(ji)礎設施”為數(shu)據安全保(bao)護(hu)提供支撐基(ji)礎！聯軟科技率先將EVAS概念引入到終端安(an)全管理(li)平臺(tai)產品(pin)中，形(xing)成了一套(tao)以EVAS為基礎(chu)，集合終(zhong)端數(shu)據(ju)信息安全防護(hu)的DEVAS解決方案。
在網絡安全方面
有EAVS，基于設備(bei)、用戶(hu)、網絡位置、時間、數據(ju)的(de)敏感性等顆粒化的(de)網絡訪問(wen)(wen)控制，防止(zhi)問(wen)(wen)題(ti)電腦接入、問(wen)(wen)題(ti)人(ren)員對網絡的(de)訪問(wen)(wen)，與安(an)全信息和(he)事件(jian)管(guan)理間廣泛的(de)集成。
在應用安全方面
有資源(yuan)訪問控(kong)制(zhi)RAC，防止不(bu)正(zheng)確的時間、地點、接入方(fang)式的異(yi)常(chang)訪(fang)問，防范緩沖區(qu)溢出攻(gong)擊(ji)、規避審計手段等黑客工(gong)具攻(gong)擊(ji)。
在信息安全方面
有終(zhong)端數據信(xin)(xin)息安全防(fang)護(hu)，防(fang)止(zhi)被用(yong)黑(hei)客(ke)工具非法盜取信(xin)(xin)息，防(fang)止(zhi)內(nei)部人員將其接觸到的信(xin)(xin)息，轉給外部人員泄密。
聯軟在準入控制的演進
2004年(nian)，全球首創設(she)備(bei)快速發現與(yu)定位技術，設(she)備(bei)接入(ru)網絡，幾分鐘內即可發現、定位(無需Agent)，同(tong)類產品需要數(shu)小時(shi)乃至數(shu)天，持續12年保(bao)持領先；
2005年，中國第一(yi)家基于802.1x/EoU網(wang)絡準(zhun)入控(kong)制產品，EoU準入這個名(ming)詞(ci)首(shou)先在聯軟(ruan)的技術文檔(dang)中(zhong)被使用；
2006年，全球第一家，一個Agent支持(chi)多網絡設(she)備廠商，聯軟成為首家基于Cicso NAC框架(jia)的產品(pin)供應商；
2008年，中國第一(yi)家推出基于(yu)硬件網(wang)關的準入控(kong)制器(NACC)，解決復雜(za)的(de)環境的(de)網(wang)絡接入管(guan)理問題，支持準旁路部署(shu)、全旁路部署(shu)；
2010年，中國(guo)第一家發布Linux客戶端的廠商，支持(chi)準入(ru)控制；
2012年，在網(wang)絡準入控制基礎上(shang)，發布(bu)新(xin)一代(dai)NAC技(ji)術RAC，引領第(di)四代網(wang)絡(luo)準入控(kong)制技術(shu)向前發展；
2014年，系統支持對移動(dong)終端的接入管理；
2015年(nian)，系統支持對啞終(zhong)端設備自動識別和接入管理；集合終(zhong)端數據信息安全防護(hu)的DEVAS解決方案。
當然，還(huan)有業內(nei)獨(du)創(chuang)HTTPS重定向(xiang)訪問技術，獨創MAC地址自動(dong)獲(huo)取，接入認(ren)證故障診斷輔(fu)助工具(ju)等等。
經(jing)過13年的(de)發展，聯軟科(ke)技已經成為(wei)中國網絡準(zhun)入(ru)控制市場的(de)技術(shu)領導(dao)者(zhe)，而且還將持續創(chuang)新，為(wei)客戶(hu)更有價值的(de)技術(shu)及(ji)解決方案(an)。