Автор: Rick Vanover
Компанией Microsoft для своих систем была разработана технология сетевой защиты Network Access Protection (MS-NAP). Она предназначенная для ограничения сетевого доступа по принципу соответствия установленным требованиям безопасности, главное из которых — наличие сервис-пака и последних заплаток-хотфиксов.
В MS-NAP отсутствует механизм защиты от проникновения злоумышленников, однако при помощи этой технологии можно обезопасить работу в сети отдельных машин.
В чём преимущества технологии Network Access Protection?
Грубо говоря, главной целью NAP является предотвращение подключения к сети клиентских систем с устаревшей конфигурацией (например тех, где установлены старые версии служебных пакетов дополнений, антивирусного ПО и др). NAP также чрезвычайно полезна для мобильных систем. Представьте владельца ноутбука, который работает дома и подключается к корпоративной сети, будучи вне офиса; если это противоречит политике безопасности компании, NAP сможет запретить доступ для данного компьютера.
NAP необходима в тех случаях, когда сотрудники фирмы входят в сеть со своих домашних ПК. Обычно организации запрещают доступ в сеть таким машинам, но встречаются исключения. В подобных ситуациях NAP необходима как воздух, поскольку без неё администратор не может даже проверить, имеется ли на компьютере последние версии служебных пакетов и хотфиксов.
NAP можно использовать для проверки состояния стандартных настольных систем (и других серверов Windows Server 2008) на предмет предоставления сетевого доступа. Такой подход помогает защитить от проблем, которые могут возникнуть, если машину, долгое время работавшую автономно (вследствие чего она стала более уязвимой), подключили к сети. По сути, это сулит те же неприятности, что и в описанной выше ситуации с ноутбуком.
Настройка MS-NAP
MS-NAP можно настроить при помощи Windows Server 2008 для сервера и Windows Vista, Windows Server 2008, Windows XP с третьим пакетом обновлений для поддерживаемых клиентов. Третий сервис-пак для Windows XP пока что не вышел в свет (находится на стадии бета-тестирования), но известно, что в нём будет представлен модуль NAP для этой операционной системы.
Инструментарий MS-NAP использует роли объектов сети для осуществления политики администрирования и безопасности, хранения данных о системных требованиях для клиентских машин, их проверки на соответствия данным требованиям, автоматического предоставления необходимых дополнений и исправлений, а также временной изоляции несоответствующих требованиям устройств — всё это, согласно выбранным настройкам. Для устройств с выявленными недостатками предусмотрена специальная карантинная зона (коррекционная сеть), где осуществляется нужная настройка конфигурации, после которой они могут быть снова использованы для дальнейшей работы в корпоративной сети. На рисунке A показана обычная схема работы MS-NAP и её ролевых объектов.
Рисунок A. MS-NAP использует различные ролевые объекты.
Microsoft давно выпускает продукты для серверов, способные осуществлять функции маршрутизации и управления службами DNS, DHCP, WINS; MS-NAP не является исключением. Хотя не всем IT-специалистам на предприятиях понадобятся предоставляемые сетевым оборудованием службы, технология MS-NAP позволяет использовать ролевые объекты сервера Windows для идентификации и управления системами безопасности. MS-NAP использует традиционное сетевое оборудование, поэтому данная технология не может считаться 100%-м продуктом Microsoft.
Механизм работы MS-NAP
Суть MS-NAP довольно ясна. Непонятно только как всё это работает. Для осуществления защиты сети MS-NAP использует ролевые объекты сервера в сочетании с комбинациями коммуникационных каналов. Рассмотрим подробнее поток трафика MS-NAP. Для сервера используются следующие компоненты MS-NAP:
- Полномочия реестра безопасности (Health Registry Authority, HRA): Этот компьютер Windows Server 2008, которому назначена роль интернет-сервера IIS, получает необходимые сертификаты безопасности из соответствующих центров.
- Сервер политики безопасности NAP (NAP Health Policy Server, NPS): Этот компьютер Windows Server 2008 с присвоенной ролью NPS содержит требования по политике безопасности и выполняет проверку на соответствие данным требованиям.
- Коррекционный сервер (Remediation Server): Здесь расположены ресурсы для устранения неисправностей клиентов NAP, не прошедших проверку на соответствие. Например, последние версии антивирусного ПО и прочих приложений.
- Сервер требований по безопасности (Health Requirement Server): Этот ролевой объект снабжает сервера MS-NAP необходимыми компонентами, обеспечивающими текущий уровень безопасности.
- Клиент NAP (NAP client): Компьютер с ОС Windows XP SP3 или Vista, на который направлена деятельность MS-NAP.
- Сервер VPN (VPN server): Роль сервера может исполнять уже существующая система, однако нужно иметь в виду, что это точка доступа во внешнюю сеть (которая не ограничивается только интернетом).
- Сетевое оборудование: Коммутаторы или точки беспроводного доступа WAP, поддерживающие протокол идентификации IEEE 802.1X.
- Сервер DHCP (DHCP server): Сервер DHCP при помощи протокола RADIUS передаёт данные об уровне безопасности клиента NPS серверу политики безопасности. Это ключевой компонент MS-NAP. Если система прошла проверку, ей предоставляется неограниченный доступ в сеть, в противном случае она попадает в карантинную сеть для корректировки конфигурации.
Варианты использования MS-NAP
После того, как мы рассмотрели принцип работы MS-NAP, давайте разберёмся, какие выгоды от применения этой технологии могут получить пользователи обыкновенных сетей. Безопасность стоит на первом месте в политике любой организации, следовательно, функции защиты каждого программного продукта должны быть предусмотрены ещё на самых ранних стадиях разработки. Технология MS-NAP способна запретить доступ в сеть незащищённым системам и отдельным пользователям. В среде Windows имеется один из лучших инструментов по управлению системами — домен Активной директории (Active Directory, AD).
При помощи AD IT-профессионалы могут осуществлять управление большим количеством элементов систем и использовать дополнительные пакеты администрирования, например Systems Management Server (SMS), а также настраивать политику обновлений для Windows и защиты от вирусов. MS-NAP может помочь там, где не работают обычные стратегии администрирования.
Представьте ситуацию, когда поставщику или другому деловому партнёру понадобилось подключиться к ресурсу корпоративной сети. Подключение может осуществляться с машин, присоединённых к другому домену или к сети с иным механизмом управления, то есть недоступных для контроля администратором. Наконец эти компьютеры могут принадлежать другой среде Активных директорий, а это значит, что у администратора, после того как эти машины подключаться к сети, не будет необходимых ресурсов для корректировки необходимых настроек. Технология MS-NAP исправит нужные параметры удалённой системы, прежде чем она получит доступ к сети.
Вопросы обновления и настройки конфигурации систем из других организаций — тема отдельного разговора, менее важная, чем вопрос о предоставлении им прямого доступа к корпоративной сети. Но в случае подобной необходимости MS-NAP принудит удалённую систему принять правила сетевой политики перед тем, как предоставить ей возможность подключения. Это помогает преодолеть расхождение в стандартах, принятых организацией и группами разработчиков компьютерного оборудования.
Главной задачей MS-NAP является профилактика рисков, возникающих при подключении удалённых пользователей, которые выходят в сеть с домашних компьютеров и ноутбуков. Самый большой риск возникает при входе в сеть пользователей, которые почти не заботятся о безопасности своих систем. MS-NAP позволяет осуществлять управление конфигурацией всех удалённых систем, включая те, что редко подключаются к сети (из-за чего не происходит своевременное обновление конфигурации параметров безопасности). Клиент MS-NAP не обязан иметь учётную запись в домене Активной директории организации. К тому же при помощи AD можно осуществлять непосредственное управление идентификацией.
Читайте также: Код от шкафа в игре винкс
Ресурсы Microsoft для MS-NAP
В интернете представлена информация о разработке и пробной версии этого инструментария для бета-версий систем Windows Server 2008. Компания Microsoft в свою очередь представила на своём сайте документацию по архитектуре и разнообразным способам применения MS-NAP .
Межплатформенная поддержка NAP
Технология MS-NAP работает на основе широко распространённого сетевого протокола идентификации IEEE 802.1X, что обеспечивает совместимость NAP с операционными системами Windows Server 2008, Vista, XP и различными видами устройств. В целом, IEEE 802.1X при помощи стандартного протокола RADIUS позволяет осуществлять безопасный доступ к беспроводным сетям и сетям Ethernet.
Главное достоинство этого протокола заключается в том, что серверу идентификации не нужно присваивать роль узла базы данных. Это значит, что поддерживающее IEEE 802.1X сетевое оборудование может подавать запросы на ролевые объекты MS-NAP. Таким образом, технология MS-NAP позволяет осуществлять централизованное управление процессами авторизации и идентификации, а также вести учётные записи в соответствии с заданными параметрами безопасности. В настоящее время этот протокол, разработанный совместными усилиями инженеров HP, Microsoft, Cisco, Trapeze networks и Enterasys, поддерживается большинством производителей сетевого оборудования.
Содержание статьи
Ситуация, когда на одной рабочей станции не установлены последние заплатки,
на другой не работает брандмауэр, а на третьей — антивирус или антишпионское ПО,
встречается сплошь и рядом. А ведь безопасность всей Сети определяется самым
слабым звеном. Как же быть администратору с клиентскими компьютерами, не
удовлетворяющими требованиям безопасности?
Новая технология NAP
Технология защиты сетевого доступа NAP (Network Access Protection),
реализованная в Win2k8, призвана помочь администратору в поддержании
безопасности Сети на максимально высоком уровне. Принцип работы NAP заключается
в следующем. При подключении клиента к Сети проверяется наличие файрвола,
последних обновлений безопасности, обновлений антивирусных программ и т.д. Если
компьютер не удовлетворяет принятым политикам, в полном доступе ему будет
отказано до тех пор, пока выявленные проблемы не будут устранены. В зависимости
от настроек, компьютеры, не прошедшие контроль, либо блокируются полностью, либо
помещаются в карантин (например, им выдаются IP-адреса из другого диапазона).
Как вариант, можно настроить только журналирование подобных событий без принятия
каких-либо мер. В карантинной подсети могут располагаться коррекционные сервера
(Remediation Server), предоставляющие ресурсы для устранения выявленных
недостатков, к примеру, сервер обновлений WSUS (Windows Server Update
Services) или антивирусная база. После обновления соответствие политикам
проверяется повторно, – если все нормально, система получает доступ в Сеть.
Среди настроек можно указать веб-страничку, на которой описано, почему
пользователь не может подключиться, и что ему для этого нужно сделать.
Так что, NAP выполняет не только блокирующие функции, но и является
средством, помогающим устранить найденные недостатки. Его работа не сводится к
однократной проверке при подключении (после которой пользователь может отключить
антивирус, «чтобы не мешал»). Проверка состояния производится периодически в
течение всего времени, когда компьютер подключен к Сети.
Для некоторых компьютеров (несовместимая ОС; ноутбук посетителя, которым
управлять не имеем права) может быть настроено исключение, позволяющее получить
доступ в любом случае.
Очень важно понимать, что сам по себе NAP не защищает Сеть и тем более
не заменяет антивирус и межсетевой экран. Он взаимодействует со многими
механизмами принуждения (DHCP, VPN, IPsec, IEEE 802.1x и TS-Gateway) для
повышения уровня безопасности. Собственно, одна из задач администратора при
развертывании NAP и заключается в выборе «своего» метода. Наиболее простым и в
реализации и по принципу действия является DHCP, – достаточно перестроить
таблицу маршрутизации, и клиент уже не сможет получить доступ в Сеть.
Модифицированная NAP совместимая DHCP-служба называется DHCP NAP Enforcement
Client (EC). Остальные методы более надежны, хотя потребуют дополнительных
настроек.
Разберем такой вариант. Вся клиентская система в порядке, только не
активирован брандмауэр. Что проще всего сделать в такой ситуации? Блокировать
доступ или объяснить пользователю, в чем его проблема? Нет. Проще включить
Windows Firewall. Вот тут мы подходим к еще одной важной особенности NAP
– клиент-серверная архитектура.
Для оценки состояния используется агент NAP либо уже встроенный в
систему, либо устанавливаемый отдельно. Агент передает отчет о соблюдении
установленных требований серверу сетевых политик (NPS, Network Policy Server)
отправкой специального SHV-маркера (System Health Validators). NPS-сервер
является механизмом обработки политик, встроенным в Win2k8. Он пришел на замену
Internet Authentication Service (IAS), который обеспечивал RADIUS
аутентификацию в Active Directory.
Кроме Win2k8, агент уже включен в состав Windows Vista и XP SP3. Сам агент
состоит из нескольких уровней. Это позволяет наращивать его возможности. За
проверку соответствия заданным требованиям отвечает агент состояния системы (System
Health Agents, SHA). Причем, на компьютере может одновременно работать
несколько таких агентов. Собственный агент Microsoft SHA на основании
информации, полученной из Центра безопасности, проверяет, включен ли брандмауэр,
установлен ли антивирус и антишпионское ПО. Производители программ могут
добавлять SHA для поддержки своих продуктов. Агент карантина (Quarantine
Agent, QA) создает отчеты о состоянии работоспособности SHA. И, наконец,
клиент принуждения (Enforcement Client, EC) обеспечивает доступ к Сети,
основываясь на состоянии системы.
Имеющийся API позволяет третьим сторонам создавать реализации EC для своих
решений, а использование сетевого протокола идентификации IEEE 802.1X
гарантирует совместимость с различными видами устройств. В настоящее время
разработан протокол авторизации учетных данных узла (Host Credential
Authorization Protocol, HCAP), обеспечивающий интеграцию и с подобной
разработкой Cisco NAC (Network Admission Control). Активировать
поддержку HCAP можно на этапе установки сервера NPS. Имеются данные о
разработках агента Anyclick for NAP для Mac и Linux в UNETsystem (www.unetsystem.co.kr).
Компания Avenda (www.avendasys.com)
уже представила готовое (правда, не бесплатное) решение Avenda Linux NAP Agent
для использования в Linux.
Установка NPS
Роль NPS, как и большинство остальных ролей, по умолчанию не
устанавливается. Выбираем в «Диспетчере сервера» (Server Manager) ссылку
«Добавить роли» (Add roles), затем в окне выбора ролей отмечаем «Службы политики
сети и доступа» (Network Policy and Access Services). Попутно не забываем
устанавливать остальные роли, которые могут потребоваться (DHCP, службы
терминалов, VPN). В дальнейших настройках будем использовать DHCP, поэтому
отмечаем и роль «DHCP Server».
Читайте также: Как найти все комментарии пользователя на ютубе
Переходим к выбору служб ролей (Select Role Services). Кроме HCAP, о котором
говорилось выше, и самого NPS, здесь имеется еще ряд пунктов, которые активируем
в зависимости от конфигурации. Так, «Центр регистрации работоспособности» (Health
Registration Authority, HRA) является компонентом NAP, обеспечивающим
безопасность IPSec. Роли HRA и HCAP потребуют наличия IIS и Windows Process
Activation Service. Запрос на их установку появится на соответствующем шаге.
Роль службы маршрутизации и удаленного доступа (Routing and Remote Access
Service, RRAS) необходима для клиентов, подключающихся удаленно (Dial-up & VPN,
NAT). Вот, собственно, и все. По окончании установки во вкладке «Роли» в
«Диспетчере сервера» появится новый пункт. Также в меню «Администрирование» (Administrative
Tools) станет доступна консоль «Сервер политики сети» (Network Policy Server).
Настройка NPS при помощи шаблона
Консоль управления позволяет настроить NPS-сервер несколькими способами.
Самый простой – выбрать нужную конфигурацию в раскрывающемся списке
«Стандартная конфигурация» (Standard Configuration) на заглавной странице.
Отсюда можно быстро настроить сервер NAP, а также RADIUS-сервер для удаленного
доступа (Dial-up & VPN) и IEEE 802.1x-подключения. К примеру, выбираем «Защита
доступа к сети» (Network Access Protection). После этого внизу страницы появится
ссылка на документацию. Для начала настройки нажимаем на «Настройка NAP» (Configure
NAP), – стартует мастер конфигурации. Самый важный шаг – определение в списке «Network
Connection method» метода подключения для NAP-совместимых клиентов. Здесь есть
все поддерживаемые NAP варианты: DHCP, IPSec с HRA, IEEE 802.1x Wired и Wireless,
VPN и TS-Gateway. Затем в поле «Имя политики» при необходимости уточняем
название правила и переходим к шагу выбора сервера принудительной защиты
доступа. Главное, не запутаться в терминологии, так как просят указать на RADIUS
клиента. Обычно это IEEE 802.1x-совместимый маршрутизатор или беспроводная точка
доступа.
Если на компьютере, на котором производится установка NPS, выполняется служба
DHCP, то этот шаг можно пропустить. В Сети может быть несколько DHCP-областей;
сервер NPS может контролировать их все или только некоторые. Шаг «Укажите
DHCP-области» (Specify DHCP Scopes) позволяет определить области, которые будут
контролироваться этим сервером. Если здесь ничего не указать, политика будет
применяться ко всем NAP-областям. Все добавленные DHCP-серверы должны также
поддерживать NPS. Теперь указываем группы пользователей и компьютеров, к которым
будут применяться правила. На следующей странице «Specify a NAP Remediation
Group and URL» задаем группу серверов обновлений, которые будут использоваться
клиентами. Если такой группы нет, то ее следует создать, нажав кнопку «Новая
группа». Чуть ниже, в строке «Trouble shooting URL», вводим адрес страницы с
инструкциями для пользователя (если она нужна) и переходим к определению
политики работоспособности NAP (Define NAP Health policy). Установленный флажок
«Включить автообновление клиентских компьютеров» (Enable auto-remediation of
client computers) разрешает получение обновлений клиентскими системами, не
удовлетворяющими политикам. Если этот параметр не выбран, клиенты, не
поддерживающие NAP, не обновятся автоматически и не смогут получить полный
доступ, пока не будут обновлены вручную. Переключатель внизу позволяет выбрать
ограничения доступа к Сети клиентам, не поддерживающим NAP. По умолчанию
разрешен только ограниченный доступ (Deny full network access …). Если по
какой-то причине для таких систем ограничений не предусмотрено, то переключаем в
полный доступ (Allow full network access …). После нажатия кнопки «Далее»
создаются политики и выводится отчет.
Знакомство с консолью NPS
Более тонко политики задаются в отдельных меню. Так в «RADIUS Server и
Clients» настраиваются клиенты и удаленные группы серверов RADIUS (Remote RADIUS
Server Groups). Если узел NPS будет настроен как RADIUS прокси, то на удаленные
сервера будут пересылаться запросы на подключение.
В меню «Политики» (Policies) указываются политики запросов на подключение (Connection
Request Policies, CRP), сетевые политики (Network Policies) и политики
работоспособности (Health Policies). В CRP-политиках определяется обработчик
запроса при подключении клиента. Это может быть как локальный узел, так и
удаленный (в случае с RADIUS). Так как ранее мы уже создали политики, используя
шаблон, то в списке присутствуют две записи: NAP DHCP и проверка подлинности
Windows. Чтобы добавить новую политику, следует в контекстном меню выбрать пункт
«Новый документ». После чего следовать указаниям мастера. В колонке «Статус»
показано, активна эта политика или нет, а цифра в соседней колонке указывает на
порядок ее обработки.
Для изменения политики следует дважды щелкнуть по имени. В появившемся окне
свойств – три вкладки. На вкладке «Обзор» (Overview) можно изменить имя
политики; сняв флажок «Политика включена» (Policy enabled), отключить проверку
этой политики сервером. Раскрывающийся список чуть ниже позволяет изменить тип
NPS-сервера (сейчас установлен DHCP-сервер). Активная политика будет применяться
без каких-либо ограничений. Во вкладке «Условия» (Conditions) задаются различные
ограничения для выбранной политики: по времени, IP-адресу, группе HCAP, по имени
пользователя, протоколу, типу службы и туннеля и т.д. В том числе, предусмотрены
и такие, как разработчик оборудования RADIUS. Все это позволяет задать
действительно гибкие правила, правда, тут придется немного потрудиться. И,
наконец, в третьей вкладке «Параметры» (Settings) настраиваются параметры для
политики сети, которые будут применены после проверки всех ограничений.
Большинство основных параметров NAP находятся в «Network Policies». Различают
два типа политик: разрешающая и запрещающая. После использования шаблона в
списке уже будут присутствовать пять политик, определяющих, кому и на каких
условиях будет разрешен или запрещен доступ. При выборе политики в окнах внизу
будут показаны условия и параметры. При необходимости их можно отредактировать,
вызвав мастера двойным щелчком. Новая политика создается аналогично предыдущему
пункту (выбор «Новый документ» в контекстном меню).
Обратимся к свойствам политики. Сразу обращаем внимание, что теперь вкладок
четыре: добавилась «Ограничения» (Constraints). А содержимое других вкладок чуть
изменилось. На вкладке «Обзор» указывается, разрешить или запретить доступ в
сеть клиентам, удовлетворяющим требованиям этой политики. Установленный по
умолчанию флажок «Ignore user account dial-in properties» позволяет игнорировать
свойства удаленного доступа учетной записи пользователя, если запрос на
подключение удовлетворяет политикам. Настройка методов проверки подлинности
перекочевала в «Ограничения». Здесь же указывается тайм-аут простоя и сеанса,
ограничения по времени, тип порта NAS и некоторые другие. Соответственно,
несколько изменилось содержимое вкладки «Параметры». В ней настраиваются
IP-фильтры (позволяющие определить, какие пакеты обрабатывать этим интерфейсом),
шифрование, дополнительные атрибуты RADIUS, обработка многоканальных
подключений. Политика назначения клиенту IP-адреса определяется в подпункте «IP
Setting». Выбрав «Принудительное использование NAP» (NAP Enforcement), мы
настраиваем уровень применения правил NAP. Это может быть полный доступ к Сети,
полный доступ в ограниченное время (испытательный срок) и ограниченный доступ.
Читайте также: После замены матрицы не включается ноутбук
Наличие разрешающих политик и настроек может немного запутать. На этапе
подготовки нужно четко определиться с задачами и представлять конечный
результат, чтобы не активировать ничего лишнего. Так, параметры сетевой политики
для «правильных» клиентов должны разрешать полный доступ, автообновление должно
быть выключено. Для нарушителей, наоборот – ограниченный доступ и активируем
автообновление.
Группа серверов обновлений задается в окне, появляющемся при нажатии кнопки
«Настроить» (Configure). За автообновление клиентских компьютеров отвечает
флажок «Enable auto-remediation of client computers».
Конфигурации, необходимые для доступа к Сети NAP-совместимым клиентам,
создаются в «Политики работоспособности». После использования шаблона здесь две
политики: DHCP Совместимый и DHCP Несовместимый. Вторая определяет клиентов,
которые не прошли одну или несколько SHV-проверок.
Непосредственно параметры SHV и группы серверов обновлений настраиваются в
меню «Защита доступа к Сети». По умолчанию в NPS присутствует только один SHV –
«Средство проверки работоспособности системы безопасности Windows» (Windows
Security Health Validator). Двойным щелчком вызываем окно свойств, в котором
представлены способы разрешения кода ошибки в различных ситуациях (SHV не может
связаться со службами или не отвечает, SHA не отвечает клиенту и т.д.). По
умолчанию при возникновении любой ошибки клиенту устанавливается статус
«Несовместимый». Нажав на кнопку «Настроить», получим возможность указать
требования к клиентским компьютерам (отдельно Windows XP и Vista):
- должен ли быть включен Windows Firewall (или другой совместимый
брандмауэр); - должна ли быть включена антивирусная программа и насколько актуальна ее
версия; - работает ли Windows Defender или другое антишпионское ПО и насколько оно
актуально (только для Vista); - включено ли автоматическое обновление;
- установлены ли обновления безопасности с заданным уровнем, с указанием
времени последней проверки наличия обновлений.
Последнее меню – «Учетные данные» (Accounting) – отвечает за настройки
журналирования событий NPS. Для хранения журналов можно использовать локальный
файл или базу SQL-сервера (в том числе и удаленного). При использовании
локального хранилища события будут отображаться в Event Viewer.
Настройка клиента NAP
Настройка NAP клиента производится при помощи MMC консоли «Конфигурация
клиента NAP» (NAP Client Configuration), доступной в совместимых версиях ОС.
По умолчанию она не выводится в списке, поэтому ее необходимо добавить
самостоятельно. Запускаем mmc из командной строки и добавляем новую оснастку
«Консоль» – «Добавить или удалить оснастку». Выбираем в списке «Конфигурация
клиента NAP» и нажимаем кнопку «Добавить». В появившемся окне отмечаем
компьютер, на котором будет выполняться оснастка (обычно это локальная система).
После нажатия на «ОК» в окне MMC появляется новая консоль, в корне которой
предложено три настройки: клиент системы ограничений (Enforcement Client),
параметры интерфейса пользователя (User Interface Settings) и параметры
регистрации работоспособности (Health Policies). Список поддерживаемых
механизмов NAP доступен в «Enforcement Client» (по умолчанию все отключены).
Например, для активации механизма DHCP выделяем «Клиент принудительного
карантина для DHCP» (DHCP Quarantine Enforcement Client) и нажимаем «Включить».
Пункт «User Interface Setting» позволяет задать рисунок значка NAP-клиента и
поясняющий текст.
Если компьютеров много, то ручная настройка клиентов займет много времени. В
этом случае следует использовать групповые политики, которые расположены в узле
Конфигурация компьютера/Установки Windows/Настройки безопасности/Защита доступа
к Сети (Computer Configuration/Windows Setting/Security Setting/Network Access
Protection).
Заключение
Новая технология Network Access Protection позволяет повысить
безопасность Сети, блокировав или ограничив доступ незащищенным клиентским
компьютерам. Особенно это актуально для удаленных систем, как правило,
неподконтрольных администратору и служащих основными источниками неприятностей.
WARNING
Сам по себе NAP не защищает Сеть и, тем более, не заменяет антивирус и
межсетевой экран.
NAP не предназначен для защиты от инсайдеров и других подобных типов
внутренних угроз, когда пользователь обладает в Сети особыми правами,
позволяющими выполнять злонамеренные действия как умышленно, так и случайно.
Полную версию статьи
читай в декабрьском номере
Хакера!
access hole — окно доступа
access path — путь доступа
access mode — метод доступа
access right — право доступа
have access to — иметь доступ
English-Russian dictionary of Information technology . 2005 .
Смотреть что такое «network access» в других словарях:
Network Access Control — (NAC) is an approach to computer network security that attempts to unify endpoint security technology (such as antivirus, host intrusion prevention, and vulnerability assessment), user or system authentication and network security… … Wikipedia
Network Access Protection — (NAP) is a Microsoft technology for controlling network access of a computer host based on the system health of the host, first introduced in Windows Server 2008. With Network Access Protection, system administrators of an organization s computer … Wikipedia
Network Access Protection — (NAP) est une technique de Microsoft en partenariat avec Cisco pour contrôler l accès au réseau d un ordinateur en se basant sur la santé de son système. Elle est utilisée sur les systèmes d exploitation Windows Vista et Windows Server 2008. Elle … Wikipédia en Français
Network Access Point — Saltar a navegación, búsqueda Network Access Point o NAP, en español Punto de Acceso a la Red, es el punto donde confluyen las redes de las distintas empresas proveedoras de servicios de internet. A través de los NAP se intercambia el tráfico de… … Wikipedia Español
Network Access Protection — (NAP) защита доступа к сети технология компании Microsoft, предназначенная для контроля доступа к сети предприятия, исходя из информации о состоянии системы подключающегося компьютера. Впервые была реализована в Windows XP Service Pack 3,… … Википедия
Network Access Control — Network Admission Control (NAC) ist eine Technologie, die die Abwehr von Viren und Würmern aus dem Netzwerk heraus unterstützt. Mit NAC werden Endgeräte während der Authentisierung auf Richtlinienkonformität geprüft. Ist z. B. der Virenscanner… … Deutsch Wikipedia
Network Access Point — Network Access Point, NAP … Universal-Lexikon
Network access server — A Network Access Server (NAS) is a single point of access to a remote resource. Contents 1 Overview 2 Examples 3 Associated Protocols 4 See also … Wikipedia
Network access point — New network architecture, c. 1995 A Network Access Point (NAP) was a public network exchange facility where Internet Service Providers (ISPs) connected with one another in peering arrangements. The NAPs were a key component in the transition from … Wikipedia
Network Access Device — A Network Access Device (or NAD) is an electronic circuit that automatically connects a user to a preferred network. More generally, a NAD is any device that, when connected to, provides access to a larger communication network of some sort.… … Wikipedia
