我們知道可以幫助阻止來自網(wǎng)絡的攻擊，但如果攻擊是你自己的用戶發(fā)起的呢——惡意的或意外的?你該怎么辦!一旦一個不知情的員工他的個人電腦感染了，在接入公司網(wǎng)絡時，就會影響公司網(wǎng)絡，為此加州北部的一家信用社使用了網(wǎng)絡訪問控制(NAC)設備以便在病毒爆發(fā)之前來避免來自內(nèi)部的威脅。
“有統(tǒng)計數(shù)字顯示，企業(yè)所受到的威脅主要來自內(nèi)部，因為他們有更多訪問您設備的機會，” John Shields說到。John Shields是Patelco Credit Union的和高級副總裁。Patelco Credit Union在舊有50個分行?！拔覀冎饕P(guān)心的是[為訪問控制]廠商或訪問者，或確保人們不會從外面帶入一些不好的東西?！?/P>
在Shields設想購買NAC設備之前，信用社的部分網(wǎng)絡團隊人員已經(jīng)非常熟悉使用一些土方法來監(jiān)測網(wǎng)絡訪問了，但其公司的表示，這些辦法不是都有效。
“我們做了一些特別的事情——在網(wǎng)絡上檢測新設備——但正如我所說，那只是臨時性的，對用戶不是很方便，” Shields說。“使用NAC設備給我們帶來了更加精簡和實用的解決辦法，而在以前，我們是沒有辦法真正地在一個端口采取一些行動的?！?/P>
大約兩年以前，一名員工從家里帶來了一個已經(jīng)感染了的筆記本電腦。我們無法阻止用戶感染設備，在網(wǎng)絡中釋放，Shields說。
“它對我們的內(nèi)部會有一些損失，”他說。
但是，內(nèi)部威脅來源可能不止信用社的500名員工，Shields說。承包商和供應商往往也會要求網(wǎng)絡訪問，這需要Shields的網(wǎng)絡團隊通過建立一個受限訪問的物理獨立網(wǎng)絡使他們進行訪問。
“建立的這個網(wǎng)絡是一個完全獨立的網(wǎng)絡，它增加了我們的成本和管理開銷，”他說。“這時我們意識到我們需要一個網(wǎng)絡訪問控制設備來控制——到上的端口級——誰有權(quán)訪問以及一旦他們獲得了連接可以訪問的內(nèi)容。
NAC設備有助于控制和轉(zhuǎn)移游客訪問
作為一個使用和交換機的長期客戶，Shields認為網(wǎng)絡巨頭的網(wǎng)絡訪問控制設備部署太困難了，并且在他的網(wǎng)絡上覆蓋智能設備時存在一些缺陷，如專門的收據(jù)打印機。
“這些產(chǎn)品中的部分在安裝和運行時真的很麻煩，”他說?！凹词顾伎频幕A設施，端點安全[有其NAC設備]都需要專門的軟件，而且這只適用于個人電腦和桌面型設備?！?/P>
越簡單的東西，他的網(wǎng)絡工作人員更能處理，Shields轉(zhuǎn)向了獨立的NAC廠商ForeScout Technologies，用它的NAC設備CounterACT。該產(chǎn)品不需要在基礎設施配置變更或1500個端點保護，他說。
有了合適的NAC設備，Patelco的供應商和用戶就可以自動重定向到一個不同的虛擬(VLAN)或者繞過只有接入的網(wǎng)絡，Shields說到。
“我們中的兩種系統(tǒng)可以看到所有流量的來源和去向，”他說?！拔覀兛梢钥吹侥男┰O備與哪些服務器會話，如果一個系統(tǒng)訪問的內(nèi)容多于它允許的或它試圖訪問超過它所能訪問的內(nèi)容我們都會知道?！?/P>
網(wǎng)絡安全人士把目光投向由內(nèi)部員工制造的內(nèi)部安全已經(jīng)有一段時間了，但現(xiàn)在偶爾的內(nèi)部人員——承包商，審計師，外包公司——也對安全構(gòu)成了威脅，據(jù)ForeScout公司營銷總監(jiān)Jack Marsal說到。
“世界是不斷變化的，企業(yè)是在一直發(fā)展的，網(wǎng)絡已經(jīng)可以容納越來越多的商務訪問者了，” Marsal說。 “企業(yè)想知道的就是，這些不明身份的人，未知的計算機是如何影響他們的安全的?！?/P>
NAC設備為者拉響警報
Patelco不再遭受破壞了，但Shields說，NAC設備使系統(tǒng)管理員忙于處理警報——如果一個端點沒有最新的Windows安全補丁，他們也會知道，以便使信用社能夠確保其符合規(guī)定的標準。
“基于我們目前針對設備的企業(yè)政策，我們可以運行一個報告，并發(fā)送所有不符合標準的設備名單”，Shields說?！拔覀冇辛⒓淳瘓?，再加上一段時間，我們可以運行報告，來進行再三的檢查。”
雖然他希望看到ForeScout能推出更新更快——他們通常是兩個星期后，在提出一個新補丁后，Shields說，其很少的管理和維護NAC設備需求讓人印象深刻。
“[該NAC設備]會說，‘這個設備會與六個不同IP的[地址]會話，[通常] 是我們一個工作人員在一個路由器或多個路由器上的工作，” Shields說。“我們還沒有看到一個真實案例，但如果它是一種蠕蟲病毒，你就會看到一個類似的模式?！?/P>