27、中型企业NAC部署与配置全解析

中型企业NAC部署与配置全解析

1. 业务需求分析

近期，网络蠕虫爆发对企业网络造成了严重影响。几个月前，部分笔记本电脑因未使用最新的防病毒签名文件，且未安装Cisco Security Agent (CSA) 应用程序，导致网络基础设施严重受损。为解决这些问题，企业首席安全官（CSO）提出了一系列网络访问控制（NAC）的需求：
- 对试图访问网络的主机进行策略合规性检查。
- 检查所有类型用户（VPN或LAN用户）的策略合规性。
- 根据合规策略为用户分配适当的访问级别。
- 若主机不符合策略，启动修复流程。
- 检测主机的以下信息：
- 防病毒软件版本，包括签名文件。
- 操作系统信息，包括服务包和热修复程序。
- 某些安全应用程序（如CSA）的运行状态。

此外，解决方案还需无缝集成到现有网络基础设施中，无需安装新设备；能够区分VPN用户，根据用户凭证应用不同策略；对不符合公司政策的主机进行隔离。基于这些需求，企业决定实施Cisco的NAC Framework解决方案。

2. 解决方案亮点

在部署解决方案之前，企业对其主要亮点进行了记录，以便后续扩展以满足新的网络或安全需求。具体亮点如下：
- 在企业拥有的所有主机上安装CTA代理，企业已部署Altiris Quarantine解决方案用于软件管理。
- 对于企业未拥有或未安装CTA代理的主机，使用QualysGuard Scanner Appliance扫描已知漏洞。
- 在以下设备上实施NAC Framework解决方案：
- VPN 3000 concentrator：已部署该设