宁盾物联网终端准入之常见网络身份认证及准入控制对比分析 – 作者:宁盾nington

受移动化影响，访客、合作伙伴、员工BYOD、及企业授权设备游走于企业网络中，常见网络身份认证方式包括Portal认证、802.1x认证、终端AD域检测及IoT身份认证。

一、常见网络身份认证及访问控制管理对比分析

二、常规网络身份认证的应用场景

1、自助式访客认证

短信、微信认证：适用于对外开放式网络服务场景，访客自助连接企业网络并进行认证。
 

2、授权式访客认证

协助扫码认证：适用于限制访客接入企业网络的场景，访客只有在企业授权后才允许访问企业网络资源。

邮件审批认证：适用于长时间使用企业网络的外包人员。用户在认证前先需要向企业提交网络使用申请，企业审核后并将网络账号及密码发送至用户手机供用户上网认证。避免重复性认证及授权次数。

3、员工认证

802.1X认证：因8021.X 在win7及以下操作系统的配置较为复杂，所以该认证方式适用于办公设备以win10 操作系统为主的网络环境，同时802.1X 在Android、iOS的兼容性较好，也可适用于BYOD 认证场景。

用户名密码Portal认证：员工通过Portal认证的方式接入企业网络，为避免弱账号密码、账号密码共享的现象，可在账号密码的基础上增加动态密码进行加固。

4、终端AD域检测

如果说Portal认证的不同认证方式可以帮助企业区分员工与访客身份，那么终端AD域检测则可用于区分员工BYOD及企业派发设备。

通过宁盾终端准入引擎（ND ACE）检测终端是否加入AD域，并通过Virtual Firewall 、Vlan、自定义Tag技术将非合规终端隔离至外网，实现终端及身份的自动合规准入。

5、终端及身份的安全性扩展

Forrest认为：“零”信任模型应建立在假设任何访问组织数据的人或设备对企业构成威胁的基础上的，即我们不应该信任网络中任何未经合规性检测的身份及终端。一般情况下，企业可以通过网络身份认证实现身份的校验。宁盾新一代终端准入引擎（ND ACE）主要用于实现终端的安全性、合规性准入，通过与网络身份认证集成，实现企业对访问业务的终端及身份的双重信任。

比如，将没有安装杀毒软件的终端隔离至外网：

再比如，将没有更新WannaCry补丁的终端隔离至外网：

还可做其他更多安全管控，如U盘管控、防私接热点、防蹭网等。

被攻击的终端往往是由于终端安全环境较弱所导致的，企业除了保证入网身份的合规性，同时还应该加强终端安全合规性管理，更多终端安全功能请访问宁盾网站查看和咨询。

来源：freebuf.com 2019-01-30 11:09:03 by: 宁盾nington