锐捷网络:打造全局化GSN网络安全解决方案

　　近日，微软破例公布了一项严重漏洞，涉及Windows2000/XP/Vista等操作系统的绝大多数版本。安全研究人员已正式宣布了一种新的蠕虫诞生，局域网的用户一旦有一个中招，病毒就会迅速扩散。据IDC的统计数据显示：这种源自局域网内部的安全事件高达70%以上。类似的还有ARP欺骗、熊猫烧香、灰鸽子网络病毒等，他们在局域网内部的传播和扩散，都给互联网安全带来极大的危害。专家指出：网络安全需要全方位的考量，预防、防御、管理等各个环节都不容忽视。

　　在这种严峻的安全形势下，网络访问控制(NAC Network Access Control)解决方案的出现，实现了内网用户身份合法化，上网主机安全状况健康化，网络通信的安全化以及用户网络访问行为的规范化。尤其是针对目前我国教育行业、企业级网络用户数量多、应用内容广泛、防范意识薄弱、不易于管理的国情，锐捷网络从解决安全问题四个主要层面考虑，打造了全局化理念的GSN解决方案，从预防、保护、响应到管理建立了一个整体的机制。

　　主动量身定制，为客户打造最适合的模式

　　针对用户不同的网路状况，锐捷GSN方案设计了多种不同部署模式，达到量身定做的匹配效果。其中，经典模式有接入认证的部署模式和汇聚认证的部署模式两种。接入认证的部署模式是将GSN组件之一的安全接入设备部署在网络的最边缘，即在接入层交换机上进行身份认证，将安全管理控制到网络边缘，这种部署模式的好处在于，认证设备处于网络最边缘，能够控制的粒度最细，对用户端的管理权限最强。通过汇聚层认证的解决方案，适用于用户接入层交换机部署完毕的网络环境，这种部署方式对现有网络的影响最小。

　　自动三重立体防御，抵御ARP欺骗

　　面对横行的ARP欺骗现象，锐捷网络GSN给出了自己的解决方案来抵御侵袭，即通过网关设备、接入设备以及后台软件的联动，实现了对于ARP欺骗的三重立体防御。第一重为网关防御，首先SMP通过客户端SU学习已通过认证的合法用户的IP-MAC对应关系，然后通过网关生成对应用户的可信任ARP表项来实现网关的防御。第二重为用户端防御，既在SMP上设置网关的正确IP-MAC对应信息，通过用户认证，使SMP将网关的ARP信息下传至SU，再通过SU静态绑定网关的ARP实现用户端的防御。第三重则为交换机非法报文过滤，用户认证通过后，安全智能交换机会在接入端口上绑定用户的IP-MAC对应信息。安全智能交换机对报文的源地址进行检查，对非法的攻击报文一律丢弃处理。通过以上的三重立体ARP防护方法，锐捷网络GSN解决方案解决了ARP欺骗中的网关型欺骗，中间人欺骗以及ARP泛洪攻击，给我们的局域网带来更加干净的网络环境。

　　联动效果，“病毒”势必可当

　　在保障网络运行安全与稳定方面，锐捷网络GSN解决方案真正实现了对网络安全事件的检测、分析、处理等一条龙式自助服务，再通过严格的身份验证，可以方便的将网络安全事件定位到人，并进行自动通知和处理。这就是锐捷网络GSN解决方案所特有的网络通信防御体系，它是通过RG-SMP安全管理平台、RG-SEP安全事件解析器与RG-IDS入侵检测设备的联动实现的。这种联动形式能够有效抵御各种形式的网络攻击、病毒，并通过联动来进行自动处理，降低管理员的工作量。更值得一提的是，锐捷网络GSN解决方案还能够在防御同时就安全事件进行统计分析，并为日后安全报表提前做好准备。

　　通过软硬件的联动、计算机层面与网络层面的结合，锐捷GSN全局安全解决方案不仅从身份、主机、网络等多个角度对网络安全进行监控、检测、防御和处理，还帮助用户共同构建身份合法、主机健康、网络安全、行为规范的全局安全网络，真正达到了1+1大于2 的效果。