网络准入控制系统在电网企业的应用研究

《网络准入控制系统在电网企业的应用研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、万方数据38熙曼曩了‘夕电力信息安全专家J厂中图分类号：TP319文献标志码：B文章编号：2095—641X(2013)11—0038—07常荣(云南电网公司玉溪供电局，云南玉溪653100)摘要：随着电力企业信息化程度的不断提高，企业对信息网络的依赖程度越来越高，网络内部不安全因素对信息安全的危害越来越大。文章介绍了网络准入控制技术的研究现状与发展，及目前常见的网络准入控制技术的特点。并分析了其优点及不足之处。此外。还介绍了网络准入控制技术在电网企业的应用情况，结合云南电网公司网络准入控制系统的部署情况，指出了云南电网网络准入控制系统目前在无线网络准入控制、设备准入控制、虚拟化应用支持、

2、非Windows系统平台支持中存在的不足，需要对其不断地进行完善。关键词：网络准入控制；802．1x；网络安全；安全策略：终端管理0引言随着电力企业信息化程度的不断提高，电网企业对信息网络的依赖程度越来越高，各种各样的设备需要接入企业的内部网络来访问企业资源，电网企业的内网安全管理工作面临的挑战越来越大。据统计，83％的信息安全事件是由内部人员或内外人员勾结所为【l。】，因此加强企业内部网络安全管理是非常必要的，网络准人控制技术可以阻止外来人员未经允许非法接人企业内部网络、限制企业内部用户的网络访问行为、加强内部用户的网络接人控制，13益受到企业的关注。目前很多企业部署了网络准人控制系统H

3、墙】，电网企业[9-15]也通过部署网络准人系统来保证用户终端的安全、阻止威胁人侵网络，实现网络安全的主动有效控制。网络准入控制(NetworkAdmissionControl。NAC)概念最早由Cisco公司于2003年提出[16-171。2013年第11卷第11期ELECTRICP(]WERI(：T其核心思想是从终端网络接人控制人手，结合认证、安全策略服务器、网络设备，以及第三方系统(病毒和补丁服务器)，完成对接人终端的认证和安全策略检查，达到保障网络安全的目的。换言之，网络准入控制系统将自动更新、安全状态审核、准入控制等思想集中在一起，从过去的被动防御和分散安全管理变为主动防御和集中

4、安全管理。图l展示了网络准人控制技术认证层级。图1NAC认证金字塔Fig．1Authenticalionstructureofnetworkaccesscontro万方数据常见的网络准入控制技术网络准人控制作为系统安全的关键技术之一，很多机构和研究者对其进行了研究[16,18-21}，并在很多行业进行应用【4。8】。按实现方式，可分为两大类：基于网络的准人控制和基于主机的网络准人控制。基于网络的准入控制主要有基于局域网的扩展认证协议(ExtensibleAuthenticationProtocolOverLAN，EAPOL)技术、基于用户数据报的扩展认证协议(ExtensibleAuthe

5、nticationProtocolOverUDP。EAPOU)技术、网络Plug．in技术；基于主机的准人控制技术主要有系统及应用准人、客户端准入。按准人控制所在的层次，可分为终端层、网络层和应用层准入控制3种(见表1)。从目前网络准人控制技术发展的趋势来看，网络准人控制系统将向全面、多层次方向发展，不仅局限于终端，还对用户上网行为的全过程进行监管。2几种主流的网络准人解决方案前面介绍的网络准入控制技术是一项由思科发起、多厂商参加的项目，因此不同的厂商具有不同的解决方案。就目前而言，比较成熟解决方案有：CiscoNAC网络接入控制技术(NetworkAccessContr01)、类别技术E

6、APOLI：基于网慈翁EAPOUl2Plug．in【2癌醐疆最F万曩嚣焉f_’◆MicrosoftNAP网络接入保护技术(NetworkAccessProtection)、华为3COMEAD准入控制技术、SymantecSNAC网络准入技术以及TNC可信网络连接技术(TrustedNetworkConnection)等【l】，这些解决方案的主要思路是从用户终端人手，通过管理员指定的安全策略，对接入私有网络的主机进行安全性检测，自动拒绝不安全的主机接人，保护网络直到这些主机符合网络内的安全策略为止。2．1CiscoNACCiscoNAC网络准人控制技术能够检测包括通过WAN链路、IPsec远

7、程接入、拨号接入、VPN接入、局域网、无线设备等所有接入方法部署的终端。NAC系统主要包含NACAppliance(NAC产品)和NACFramework(NAC框架oNACAppliance方案由3个组件构成：CiscoCleanAccessAgent(有WebAgent或ExeAgent)、CiscoCleanAccessServer(评估设备并基于终端的策略符合情况授予访问权限)、CiscoCleanAccessM