企业网络安全有效地发挥业务能量需要何种架构

　　移动设备和网络连接技术已经蓄势待发，但企业若要安全有效地发挥业务能量，还需要建立一种相应的网络架构。

　　移动运算的新时代已经来了！其标志性现象就是笔记本电脑、掌上电脑、Smartphone、终极移动PC（Ultra-Mobile PC）和笔控输入 PC（Tablet PC）等移动设备的技术在近年突飞猛进，3G及WiMax等宽带网络连接技术即将成为市场主流。

　　移动设备和网络连接技术已经蓄势待发，但企业若要安全有效地发挥业务能量，还需要建立一种相应的网络架构，这就是渗透式网络存取（Pervasive Network Access, PNA）。

　　渗透式网络存取

　　渗透式网络存取是一种安全的网络存取架构，无论面对怎样的用户、端点设备和网络技术的组合，都能够灵活理解企业的业务政策。

　　一个成功的渗透式网络，其中的一项指标就是需要同时应用SSL VPN及UAC两种解决方案，同时对外联网络及内联网络传输进行管理，达到三个方面的要求。

　　第一、对应Windows、Linux、UNIX等各种不同的计算机系统，以及Pocket PC、Smartphone等移动运算设备，并能够验证其身份及是否符合网络安全政策。

　　第二、系统要能够灵活设置用户身份及角色，根据内部和外部用户的业务需求来决定存取情况。例如CFO和外部核数师都需要存取财务系统，但CFO应该可以存取整个财务资源，而核数师就只可以存取部分财务数据，系统应该能够阻止用户存取其职权以外的资源。

　　第三、同一位用户可能经常到不同地点工作，因此需要在客户公司内、家中甚至街上不同地点进入企业网络。不论他们采用可靠（trusted）、半可靠（semi-trusted）甚至不可靠（un-trusted）的网络联机和设备，企业网络也要对应其网络和设备。

　　网络架构统一化

　　SSL VPN针对企业外网传输进行安全管制，而对内网的传输就需要依靠统一接入控制 (Unified Access Control, UAC )的方法来进行监管。UAC方案由三部分组成，首先是根据以角色为基础的政策，作出关于存取权决策的策略管理服务器（Infranet Controller），其次就是评估端点设备是否符合安全标准的小巧软件代理器（Infranet Agent），最后就是负责实时执行安全政策的Infranet Enforcers。

　　UAC使网络能够结合客户端点评估和身份及网络信息，能够在整个网络内实行实时政策管理，既方便用户存取网络资源，也能够顾及安全控制，让企业可以掌握网络存取情况、对抗威胁及遵守法规要求，同时提供安全、可靠的网络服务，在加强协作和资源共享之余，同时降低网络被入侵的风险。

　　除了UAC外，网络基础架构的其余部份也要采用灵活的架构和开放式标准。因此企业要采用可信赖计算组织 Trusted Computing Group (TCG)、电气电子工程师协会IEEE及互联网工程任务组IETF等业界团体提出的开放式标准，包括RADIUS、802.1X、SSL/TLS及IPSec,才能应付市面上五花八门的产品和技术不可预计的未来需要。

　　渗透式网络存取是一个复杂而庞大的架构，不可能一蹴而就。企业必须先计划周全，寻找适当的技术伙伴，然后逐步实行，才能够成功建立一个灵活、可调节规模及容易管理的系统，以便同时应付业务、网络、安全和IT管理方面的需要，使企业在安全可靠的环境下运作。