“动”“静”结合构建准入控制体系.pdfVIP

“动 “静结合构建准入控制体系 检查安装程序列表用于确认是否安装 集美大学在全网802．1×认证基础上，建立了一套静态准入控制和动态准 入控制相结合的准入控制体系，来实现对接入终端网络安全的管理和控制。 了指定的软件，根据安全策略有些软件必 须安装，有些则不允许安装。比如为了禁止 私设代理服务器，可以设定一个已知的常 ■文 ／陈伟斌 薛芳 2006年再次升级，提出了高速、稳定、安 用代理软件列表 ，凡是安装列表中任意一 全的建设 目标 ，第一次把安全问题提升到 个软件的，则不允许接八 再比如为了要求 了核心地位 ，实现了包括宿舍区和教学办 接人终端必须安装常用的防毒软件，也可 动与静的结合 公区在 内的全网802．Ix认证 ，目前有注册 以设定一个常用防毒软件列表，只要安装 校园网规模大、网络环境开放、用户群 用户5万多人，其中学生宿舍网络用户2．5 列表中任意一个软件就允许接入 ，反之则 体活跃而不安定，兼有企业网和 ISP的特 万多人 ，每天上网高峰期超过 1．5万人同时 不允许接入。 点，因而校园网管理复杂，网络安全问题也 在线，网络规模和用户数量都比较庞大，因 2．检查注册表 更为突出。 此网络安全 问题也比较突出。 检查注册表用以判断特定的表项是否 针对网络安全问题，传统的做法是在 我们在全网802．1x认证基础上，建立 存在或符合要求 ，最典型的应用就是对微 本地网络边界部署防火墙、入侵检测、安全 了一套静态准入控制和动态准入控制相结 软更新的控制，及时更新系统补丁对安全 网关等网络安全设备，防止来 自外部网络 合的准人控制体系，来实现对接入终端网 问题的防治至关重要 ，但如果都到微软网 的安全攻击。但是在校园网环境下，主要的 络安全的管理和控制。 站或校外去下载补丁，对本来就很紧张的 安全威胁来 自内部，绝大部分的网络安全 出口带宽会造成很大的压力，因此很多学 攻击是由内部用户发起的，大量的滥用网 校都部署了自己的SUS服务器。但是很多 静态准入控制的应用 络资源及不规范的上网行为也会对整个网 用户并不会主动根据要求改变更新服务配 络和其他用户造成影响。保证用户终端的 静态准入控制是在用户接入网络之前 置，通过检查注册表中Windows更新地址条 安全，防止来 自内部的安全威胁，对用户的 发起强制认证，对客户端主机环境进行安 目，不否符合要求的接入终端不允许接入 网络访问行为进行有效的控制，是保证校 全检查，根据预先定义的安全策略决定是 并给予明确的提示，引导用户正确设置。 园网安全稳定运营的前提，也是 目前学校 否允许接入或采取相应的动作。静态准入 3．检查系统服务 网络安全管理亟需解决的问题。 控制系统主要 由安全客户端、身份认证系 典型的应用就是禁止接入终端启动 准入控制是结合身份认证系统，安全 统、安全策略系统三个组件构成 安全客户 DHcP服务，在采用DHCP环境下一般不允 策略系统和网络设备等，实现对接入终端 端负责发起认证、实施主机环境安全检查， 许接人终端启动DHCP)]~务，如果发现接人 用户的强制认证和安全策略的应用，通过 并将来 自后端服务器的消息呈现给用户； 终端DHCP服务已启动，则不允许接人，避 控制网络接入终端的安全来达到保障整个 身份认证