如果只是涉及基于用戶身份、設(shè)備或位置來授予網(wǎng)絡(luò)訪問權(quán)限，制定BYOD安全計劃是很簡單的事情。但全面的BYOD網(wǎng)絡(luò)安全應(yīng)用將需要考慮所有這些因素，這是一個艱巨的任務(wù)。
從這一點(diǎn)來看，由于目前并沒有單一的有效的解決，IT部門正在混合使用各種工具，從移動設(shè)備管理(MDM)到網(wǎng)絡(luò)訪問控制(NAC)，甚至還包括帶外管理系統(tǒng)。
為此，我們采訪了四個教育機(jī)構(gòu)的管理人員，他們都希望能使用自動的方式來控制數(shù)百甚至數(shù)千臺個人設(shè)備，這樣他們就不需要辛苦地在每個客戶端安裝軟件。他們想要基于身份和設(shè)備的綜合因素來細(xì)細(xì)致地控制訪問權(quán)限，每個高管實(shí)現(xiàn)這個目標(biāo)的方法不盡相同。
MDM工具很有潛力，但并不是全面的解決方案
這四名接受采訪的高管都已經(jīng)在使用或者評估MDM工具。不同的供應(yīng)商提供功能不同的MDM工具，但一般這些工具都會追蹤網(wǎng)絡(luò)中的移動設(shè)備，并能根據(jù)的政策來限制哪些用戶可以訪問特定應(yīng)用或者網(wǎng)絡(luò)區(qū)域?？傮w而言，企業(yè)都在涌向MDM工具。在2010到2011年，Nemertes Research 調(diào)查的企業(yè)中，21.2%的企業(yè)在使用MDM。根據(jù)分析師Philip Clarke表示，該公司預(yù)計在2014年年底，這個數(shù)字將會增加到84%。
然而，單靠MDM并不能管理擁有多個設(shè)備并使用相同身份登錄信息將所有設(shè)備連接到()的用戶。如果WLAN本身不能區(qū)分經(jīng)過審查的設(shè)備和可能受感染的設(shè)備，網(wǎng)絡(luò)將處于危險之中。IT部門必須能夠識別用戶的多臺設(shè)備，并對不同的用戶及其設(shè)備授予基于角色的訪問權(quán)限。這通常需要與其他工具整合，包括身份管理(IDM)和NAC產(chǎn)品。
BYOD安全：使用帶外管理
美國北卡羅來納州的Rowan-Salisbury學(xué)校系統(tǒng)的技術(shù)執(zhí)行主管Philip Hardin表示，該學(xué)校系統(tǒng)需要基于一系列的變量來控制移動設(shè)備網(wǎng)絡(luò)訪問，包括設(shè)備類型、位置和應(yīng)用等。然而，Hardin的團(tuán)隊需要以的方式來支持軟件安裝以及跨多設(shè)備執(zhí)行政策。
因此，該學(xué)校采用了Aerohive的HiveManager—帶外網(wǎng)絡(luò)管理系統(tǒng)，以及JAMF Software的iOS MDM套件。Aerohive的HiveManager讓企業(yè)可以為每個用戶身份和設(shè)備類型組合配置個性化的政策——政策管理網(wǎng)絡(luò)接入、、允許特定訪問的時間以及針對安全接入的通道政策。
Hardin表示：“HiveManager提供中央數(shù)據(jù)收集，并提醒我們流氓客戶端的存在。它使用設(shè)備指紋基于策略來應(yīng)用特定安全功能，并為單個和組群設(shè)備監(jiān)控設(shè)備的運(yùn)行狀況，以圖形方式直觀地顯示?！?/P>
與此同時，JAMF Software會測試設(shè)備以確保它們安裝了蘋果MDM客戶端。該軟件會將新設(shè)備導(dǎo)向到一個端口來接受設(shè)備的配置文件，從而確定其訪問權(quán)限和特權(quán)。Hardin補(bǔ)充說：“這種整合的解決方案使學(xué)校能夠管理應(yīng)用訪問，以及設(shè)備上的安裝和軟件更新?！痹摻鉀Q方案可以完成配置文件管理和訪問控制，而不需要個人設(shè)備安裝NAC客戶端。
身份管理：BYOD安全的核心
紐約州的Hartwick學(xué)院使用IDM工具和下一代防火墻來處理其設(shè)備管理和訪問。Meru身份管理器(Identity Manager)通過Smart Connect和Guest Connect來同時控制訪客和員工設(shè)備的網(wǎng)絡(luò)訪問。當(dāng)該學(xué)院的新員工首次嘗試打開一個網(wǎng)頁時，他將被重定向到Meru IDM設(shè)備上的強(qiáng)制門戶頁。
Hartwick學(xué)院IT執(zhí)行主管Davis Conley表示，“我們的IDM設(shè)備有2048位VeriSign證書，該證書用于加密該強(qiáng)制門戶網(wǎng)站的網(wǎng)頁，然后員工下載SmartConnect作為applet或者網(wǎng)絡(luò)配置文件?！?
SmartConnect配置該設(shè)備使用加密的網(wǎng)絡(luò)，自動驗證用戶，讓設(shè)備將其作為首選網(wǎng)絡(luò)，然后從設(shè)備的SSID列表移除開放式網(wǎng)絡(luò)。而訪客用戶可以在Guest Connect注冊Guest SSID。Smart Connect和 Guest Connect都有自動化基于角色和政策的BYOD配置。Conley稱，“Guest Connect要求用戶填寫真實(shí)的姓名、電話號碼以及他們所要訪問的校園內(nèi)的人，如果有問題的話，我們可以關(guān)閉他們的網(wǎng)絡(luò)訪問。”然后，Meru IDM使用一個機(jī)制來收集設(shè)備地址用于未來的設(shè)備識別。
然而，Hartwick學(xué)院沒有使用Meru解決方案的活動監(jiān)控、政策管理和政策執(zhí)行部分。Conley稱：“我們已經(jīng)有了自己的政策管理，我們使用Bluecoat數(shù)據(jù)包成型器、下一代防火墻和Tipping Point設(shè)備來查看哪些設(shè)備在傳輸帶有的內(nèi)容，然后我們會要求用戶解決這個問題。”
BYOD管理：帶有NAC的WLAN分析工具
密歇根州的Central Michigan大學(xué)使用Lancope的StealthWatch網(wǎng)絡(luò)分析儀來檢測WLAN上的行為以及跟蹤用戶活動。該大學(xué)網(wǎng)絡(luò)管理人員Ryan Laus表示，“我們使用StealthWatch來查找異常行為，并找出用戶正做什么。然后，我們使用NAC設(shè)備(來自Bradford Networks)來識別用戶，這是一個手動過程?！?/P>
通過StealthWatch，Central Michigan大學(xué)能夠發(fā)現(xiàn)外部發(fā)起的僵尸網(wǎng)絡(luò)攻擊、和高級持續(xù)攻擊，以及內(nèi)部濫用、違反政策的行為和數(shù)據(jù)泄露，無論設(shè)備類型。NetFlow為StealthWatch的分析提供數(shù)據(jù)。
現(xiàn)在該大學(xué)正在測試來自不同供應(yīng)商的MDM工具用以執(zhí)行政策。MDM將可以使用政策來控制用戶可以在設(shè)備上的行為，這與Active Directory使用來控制有些類似。它將阻止未經(jīng)授權(quán)的軟件安裝，并能使管理員為BYOD部署設(shè)置配置和權(quán)限。
Central Michigan大學(xué)預(yù)計將使用StealthWatch來支持新的MDM工具包。Laus表示：“如果用戶知道如何繞過MDM來安裝未經(jīng)批準(zhǔn)的應(yīng)用，StealthWatch可以查找超出政策范圍的流量，并向NAC設(shè)備發(fā)出警報，這會將用戶/設(shè)備轉(zhuǎn)移到隔離的網(wǎng)絡(luò)?！?/P>
BYOD安全：整合IDM與NAC
田納西州的地區(qū)醫(yī)療中心正在使用Aruba Networks的ClearPass集成移動管理和NAC軟件來為BYOD創(chuàng)建一個自配置系統(tǒng)。醫(yī)療中心的用戶將使用標(biāo)準(zhǔn)的登錄名和密碼來登錄，而ClearPass將基于預(yù)先確定的政策來進(jìn)行配置。該醫(yī)療中心的IT主管Tony Alphier表示：“我們不需要讓他們帶來他們的設(shè)備以及手動安裝安全/網(wǎng)絡(luò)配置文件。”經(jīng)過這個過程，NAC控制器將可以防止設(shè)備沒注冊和確保安全就登錄到網(wǎng)絡(luò)。
“目前我們不允許員工BYOD(內(nèi)部訪問)，除非他們是醫(yī)生，并帶來一臺，這樣我們將手動在其設(shè)備上配置文件，”Alphier表示，“當(dāng)我們添加Aruba的NAC模塊時，我們將能夠允許所有員工的BYOD訪問?！?/P>
該醫(yī)療中心還使用Aruba的AirWave來記錄和監(jiān)控設(shè)備活動，Aruba技術(shù)允許Alphier提供訪客網(wǎng)絡(luò)。Alphier表示：“我們曾使用Aruba的Amogopod訪客解決方案，Aruba現(xiàn)在還把AirWave與Clear Pass結(jié)合。我們可以讓家人、病人和朋友訪問我們的網(wǎng)絡(luò)，同時保持安全?！痹L客現(xiàn)在可以自我配置，接收代碼連接到，同時保持與內(nèi)部網(wǎng)絡(luò)的隔離。