在會上系統(tǒng)中國公司華南區(qū)商業(yè)市場事業(yè)部技術(shù)銷售經(jīng)理徐海成就“建設(shè)自防御網(wǎng)絡(luò)系統(tǒng)”議題進(jìn)行了主旨演講，闡述了思科的自防御網(wǎng)絡(luò)戰(zhàn)略。該項戰(zhàn)略旨在大幅提高網(wǎng)絡(luò)識別、防止和適應(yīng)威脅的能力。
思科啟動自防御網(wǎng)絡(luò)計劃:
具有自防御能力的網(wǎng)絡(luò)如同具有免疫能力的人體，能夠自動免受網(wǎng)絡(luò)、的侵害。3月15日，思科在中國正式啟動了“自防御網(wǎng)絡(luò)”(Self-Defending Network，SDN)計劃，向主動防御邁出了關(guān)鍵的一步。如今很多傳統(tǒng)安全產(chǎn)品還僅僅停留在被動防御階段，就是侵害產(chǎn)生時，才進(jìn)行相關(guān)安全機制的更新，查殺病毒和封補漏洞，這是一種被動安全。
而思科公司并不局限于此，適時推出主動安全的劃時代的轉(zhuǎn)折點——自防御網(wǎng)絡(luò)計劃。在發(fā)布自防御網(wǎng)絡(luò)計劃的同時，思科還發(fā)布了這個計劃的關(guān)鍵環(huán)節(jié)——“網(wǎng)絡(luò)準(zhǔn)入控制”(Network Admission Control，NAC)，用來解決外部和內(nèi)部計算機的信任問題。
什么是自防御網(wǎng)絡(luò)?
自防御網(wǎng)絡(luò)計劃是思科致力于網(wǎng)絡(luò)安全的一個長遠(yuǎn)規(guī)劃。該計劃的目標(biāo)在于提高網(wǎng)絡(luò)發(fā)現(xiàn)、防御和對抗安全威脅的能力，使網(wǎng)絡(luò)對于病毒傳播、黑客攻擊具有自我防御能力。思科自防御網(wǎng)絡(luò)計劃是一個創(chuàng)新的的網(wǎng)絡(luò)安全戰(zhàn)略。
網(wǎng)絡(luò)準(zhǔn)入控制(Network Admission Control)是思科自防御網(wǎng)絡(luò)計劃的重要組成部分。其核心思想是，控制訪問權(quán)限，有效阻止不符合安全
條件的設(shè)備及訪問進(jìn)入網(wǎng)絡(luò)，并將其置于某個隔離區(qū)域之外，或者僅獲得對計算資源的有限訪問權(quán)限。網(wǎng)絡(luò)接入控制與思科公司關(guān)于網(wǎng)絡(luò)安全的其它技術(shù)，如入侵檢測、、網(wǎng)絡(luò)管理與流量分析、等加在一起，就構(gòu)成了自防御網(wǎng)絡(luò)的全部內(nèi)涵。
思科安全戰(zhàn)略演進(jìn)的步驟：最初，思科是在上提供最基本的安全保護(hù)，進(jìn)而發(fā)展到單點的安全、深度的防護(hù)和集成化的安全，最終才是SDN。
SDN是未來網(wǎng)絡(luò)安全發(fā)展的方向，能夠?qū)崿F(xiàn)、預(yù)應(yīng)式、系統(tǒng)的端到端保護(hù)，集成到網(wǎng)絡(luò)的多個層次。SDN實現(xiàn)動態(tài)的安全，及時響應(yīng)，實現(xiàn)端點的強制安全，實現(xiàn)不同安全元素間的溝通。思科自己的全線產(chǎn)品和技術(shù)將被納入到SDN計劃的框架中。
網(wǎng)絡(luò)準(zhǔn)入控制是自防御網(wǎng)絡(luò)的第一步：
網(wǎng)絡(luò)準(zhǔn)入控制是網(wǎng)絡(luò)通過認(rèn)證確定即將接入網(wǎng)絡(luò)的計算機是否存在已知的安全問題(如病毒、程序等)，只有確定訪問者是可信任的，才允許計算設(shè)備接入網(wǎng)絡(luò)。
其核心思想是，控制訪問權(quán)限，有效阻止不符合安全條件的設(shè)備及訪問進(jìn)入網(wǎng)絡(luò)，并將其置于某個隔離區(qū)域之外，或者僅獲得對部分資源的有限訪問權(quán)限。
網(wǎng)絡(luò)準(zhǔn)入控制是一個分布式控制、集中安全策略的安全架構(gòu)。由接入設(shè)備(如接入路由器、、無線AP)完成分布式控制工作，允許通過認(rèn)證的計算機進(jìn)入網(wǎng)絡(luò)。沒有通過認(rèn)證的計算機將不能進(jìn)入網(wǎng)絡(luò)。
集中的安全策略依賴“思科策略”和“反病毒策略服務(wù)器”組成，前者將生成安全策略，后者則用來完成反病毒策略評估，確定進(jìn)入的計算機是否安全。PC安全軟件包括：客戶端反病毒軟件、思科信任代理和思科安全代理軟件。
PC的反病毒軟件(與思科合作的防毒軟件廠商)將集成思科的信任代理。在計算機接入到部署思科的網(wǎng)絡(luò)中時，思科信任代理將與思科策略服務(wù)器和反病毒廠商的策略服務(wù)器進(jìn)行通信，交互信息，驗證計算機上的反病毒軟件是否存在，是否升級到了最新版本等。只有策略服務(wù)器認(rèn)為PC可以信任才會被允許接入網(wǎng)絡(luò)。
思科的安全代理軟件能夠?qū)τ嬎銠C的日常操作進(jìn)行監(jiān)控，一旦計算機出現(xiàn)異常的行動(如某類流量突然增長)就會提供報警。這一軟件可以對計算機提供主動性的防御，在新病毒出現(xiàn)而病毒廠商尚未提供病毒代碼或相應(yīng)的補丁程序沒有發(fā)布之前，能夠?qū)Ω鞣N非法操作提供警告。
思科“自防御網(wǎng)絡(luò)計劃聯(lián)盟”初現(xiàn)：
思科網(wǎng)絡(luò)接入控制是通過與業(yè)界廠商合作實現(xiàn)的。2003年11月，思科宣布與防病毒廠商趨勢科技、以及美國網(wǎng)絡(luò)聯(lián)盟(NAI)三家反病毒軟件廠商合作，通過思科安全代理軟件(Cisco Security Agent CSA)與防病毒軟件的配合，將思科的防御能力延伸到服務(wù)器和PC上。
2004年2月，思科又與IBM達(dá)成合作，在IBM筆記本電腦和Tivoli網(wǎng)絡(luò)軟件中支持思科的自防御網(wǎng)絡(luò)計劃。思科還計劃今后還將把網(wǎng)絡(luò)接入控制計劃向更多的廠商和機構(gòu)開放。
思科網(wǎng)絡(luò)接入控制計劃將分三步實現(xiàn)：
第一步，在2004年中期，思科接入路由器和中檔路由器將支持網(wǎng)絡(luò)接入控制，并將思科安全代理(CSA)軟件集成到思科相應(yīng)的網(wǎng)絡(luò)設(shè)備及軟件產(chǎn)品中;
第二步，網(wǎng)絡(luò)接入控制將擴展到多種思科產(chǎn)品，包括交換機、接入設(shè)備和安全設(shè)備;
第三步，將PC和服務(wù)器與網(wǎng)絡(luò)的安全互操作能力擴展，這一功能在思科的交換機、路由器、中實現(xiàn)，主要依賴軟件來完成。
不過，思科也承認(rèn)網(wǎng)絡(luò)接入控制現(xiàn)在還不能與其他安全認(rèn)證結(jié)合在一起，要想完成、NAC或其他接入認(rèn)證的完全結(jié)合尚待時日?？梢钥闯鏊伎茖⒃谖磥淼臅r期內(nèi)深化與其他業(yè)界安全產(chǎn)品廠家合作，以推進(jìn)它的“自防御網(wǎng)絡(luò)計劃”聯(lián)盟。
小結(jié)：
思科的自防御網(wǎng)絡(luò)計劃是為了應(yīng)對目前普遍存在的“被動響應(yīng)、分立式、基于單個產(chǎn)品支持”的網(wǎng)絡(luò)安全被動防御模式，轉(zhuǎn)變到即將到來的“自動響應(yīng)、集成多層防御、系統(tǒng)服務(wù)支持”的網(wǎng)絡(luò)安全自動防御模式的客觀需求而出現(xiàn)的。
它將能從容應(yīng)對下一代以“秒級”的響應(yīng)要求，解決類似于基礎(chǔ)設(shè)施黑客攻擊、瞬間威脅、大規(guī)模、DDOS等網(wǎng)絡(luò)攻擊。