NAC 狀態評估：在允許網路存取前確保託管裝置合規性

歡迎來到 Purple 技術簡報系列。今天我們要深入探討企業網路安全中，最具營運關鍵性且最常被誤解的領域之一：NAC 狀態評估，特別是如何在託管且合規的裝置發送任何實際生產流量之前，確保只有這些裝置能夠存取您的網路。 如果您是負責多據點資產（不論是飯店集團、零售連鎖、體育場還是公共部門組織）的 IT 經理、網路架構師或 CTO，這與您目前的安全性狀態直接相關。我們將介紹其架構、標準、實際部署模式，以及連經驗豐富的團隊都可能踩到的陷阱。讓我們開始吧。 那麼，到底什麼是 NAC 狀態評估？網路存取控制（Network Access Control，簡稱 NAC）是管理哪些裝置在何種條件下可以連線到您網路的整體框架。狀態評估則是 NAC 內部的特定機制，用於在裝置連線之前或剛連線時，詢問並檢查其安全性狀態。這就像是在門口進行健康檢查。裝置不僅需要證明自己的身分，還需要證明自己處於值得信賴的健康狀態。 此處的架構有三個核心元件。首先是策略執行點 - PEP。這通常是您的存取點、交換器或無線控制器。它是實體控制流量是否流動的守門人。其次是策略決策點 - PDP。這是您的 NAC 引擎，通常與 RADIUS 或 AAA 伺服器整合。它接收狀態資料，根據您的策略進行評估，並告訴 PEP 該怎麼做。第三是狀態評估引擎本身 - 這可以是在端點上執行的代理程式（Agent），或者是使用 SNMP、WMI 或 SSH 等協定遠端查詢裝置的無代理程式（Agentless）機制。 現在，支援這一切的驗證層是 IEEE 802.1X。這是自 2001 年以來就已存在、但至今仍是企業 NAC 骨幹的連接埠網路存取控制標準。802.1X 定義了三種角色：請求端（Supplicant） - 即嘗試連線的裝置；驗證器（Authenticator） - 您的交換器或存取點；以及驗證伺服器（Authentication Server） - 您的 RADIUS 伺服器。請求端與驗證伺服器透過 EAP（可延伸驗證協定 - Extensible Authentication Protocol）進行通訊，該協定會經由驗證器建立通道。使用雙向憑證驗證的 EAP-TLS 是此處的黃金標準。如果您重視託管裝置的合規性，這就是您應該部署的方案。狀態檢查實際上會評估哪些項目？主要有六大類別。作業系統修補程式版本 - 裝置是否正在運行受支援的 OS 版本，且關鍵修補程式是否已在您定義的時間範圍內套用？端點安全狀態 - 是否安裝並啟用了經核准的 AV 或 EDR 代理程式，且定義檔已更新？防火牆狀態 - 主機型防火牆是否啟用且其原則完好無損？磁碟加密 - 全磁碟加密是否已啟用且未暫停？憑證有效性 - 裝置是否持有由您的 PKI 核發、有效且受信任的機器憑證？最後是設定合規性 - 裝置的安全設定是否符合您定義的基準？ 根據這些檢查的結果，您的 NAC 原則引擎會指派三種狀態之一。合規 - 裝置通過所有必要的檢查並獲得完整的網路存取權限，通常會指派至其專屬的 VLAN 或角色。條件性合規 - 裝置通過了關鍵檢查，但有一項或多項非關鍵檢查失敗；它會獲得受限的存取權限（例如僅限網際網路），並向使用者發出通知。不合規 - 裝置未能通過關鍵檢查，會被放入隔離 VLAN，僅能存取修復入口網站。在該修復入口網站中，裝置可以下載修補程式、更新 AV 定義檔，或取得手動修復指引。 現在，WPA3 在這之中扮演什麼角色？WPA3-Enterprise（特別是 192-bit 模式）強化了 802.1X 底層的密碼編譯層。它強制要求使用 GCMP-256 進行加密，以及 HMAC-SHA-384 來確保完整性，這對於依據 GDPR 處理付款卡資料或敏感個人資料的環境特別重要。如果您的零售環境屬於 PCI-DSS 範圍，或醫療機構需符合 NHS 資料治理要求，WPA3-Enterprise 應納入您新部署規劃的藍圖中。 接著來談談無代理程式與代理程式型狀態評估，因為這是一個關鍵的架構抉擇點。代理程式型評估 - 即在端點上執行輕量化用戶端 - 能為您提供最深層的可視性。您可以查詢登錄檔機碼、執行中的程序、已安裝的軟體以及即時安全狀態。折衷之處在於部署開銷：您需要 MDM 或端點管理平台來在整個企業環境中推播和維護代理程式。無代理程式評估則使用基於網路的偵測方式 - 透過網路使用 SNMP、WMI，或對您的 MDM 平台進行 API 呼叫。它更容易部署，但可視性較淺，且更容易被規避。對於受控的企業資產，代理程式型是正確的選擇。而對於同時擁有受控與未受控裝置的混合環境 - 例如會議中心或飯店後勤網路 - 採用混合做法會更具合理性。 還有一個值得指出的架構重點：持續狀態評估與特定時間點評估。大多數舊型 NAC 實作僅在連線時檢查狀態。這是一個重大的漏洞。一台在早上九點連線時符合規範的裝置，其防毒軟體可能會在十一點時被使用者停用。現代 NAC 平台支援持續評估 - 在定義的時間間隔或因應事件重新評估狀態 - 並動態變更裝置的網路存取層級，而不需要重新連線。這才是您應該朝向發展的方向。 好，讓我們切入實際面。當您在部署 NAC 狀態評估時，我最常看見的單一失敗模式就是直接進入強制執行模式。千萬別這麼做。請先從監控模式（有時稱為稽核模式或能見度模式）開始。執行您的狀態檢查並記錄結果，但不要強制執行原則。以此模式運作至少二至四週。您幾乎肯定會發現網路上存在您先前不知道的裝置，而且您會發現已知裝置中有很大比例未通過一項或多項狀態檢查。在您強制執行之前，請先使用該資料來修復您的資產。 第二個陷阱是憑證基礎架構。搭配 EAP-TLS 的代理程式狀態評估需要運作正常的 PKI。如果您沒有 PKI，或者您的憑證生命週期管理是手動且非專門的，您將會遇到中斷情況。憑證會過期。裝置會被重建而沒有憑證。在規劃 NAC 部署之前，請先規劃好您的 PKI。 第三：VLAN 設計。您的隔離 VLAN 需要真正地隔離 - 而不只是在同一個實體基礎架構上的不同子網路。它應該只能存取您的補救入口網站，以及在必要時存取 Windows Update 或您的修補程式管理伺服器。如果您的隔離 VLAN 有任何路由可通往生產系統，您就只是創造了安全性的虛假安全感。 第四：例外與旁路程序。每個組織都有無法執行代理程式的裝置 - 印表機、IoT 感測器、建築物管理系統。您需要一個已記錄且經核准的程序，以便為這些裝置授予 MAC 驗證旁路，並搭配補償控制措施。如果您沒有預先定義此程序，您最終將得到一個無人負責且無人稽核的非正式白名單。 從標準的角度來看，請將您的狀態原則與適用於您作業系統平台的 CIS Benchmarks 保持一致。這些是與廠商無關、定期更新且被廣泛接受為企業端點安全性的基準。對於 PCI-DSS 環境，關於修補程式管理的 Requirement 6.3 和關於防惡意軟體的 Requirement 5.3，可直接對應到您的狀態檢查類別。 現在來回答幾個快速問答。 NAC 狀態評估是否適用於 BYOD 設備？是的，但您需要獨立的策略流程。BYOD 設備通常使用不同的 EAP 方法 — 使用使用者憑證的 EAP-PEAP，而非使用電腦憑證的 EAP-TLS — 並分配到受限制較多的網路區段。BYOD 的狀態檢查通常較為輕量：OS 版本、基本防毒軟體存在與否、啟用螢幕鎖定。 這與 guest WiFi 網路如何互動？不會互動，也不應該互動。Guest WiFi 是一個完全獨立的 SSID 和網路區段，與您的企業基礎架構相隔離。NAC 狀態評估僅適用於您的企業 SSID。這兩個網路絕不應該共用 VLAN 或互相路由。 完整部署 NAC 的典型時間表為何？對於中型企業 — 例如多個據點擁有 500 到 2000 個終端設備 — 從設計到完全強制執行，請預留 12 到 16 週的時間。這包括 PKI 設定、代理程式部署、監控模式、修復以及分階段強制執行推廣。 總結來說：NAC 狀態評估是確保您的網路存取控制架構發揮實效的機制。單憑身分識別 — 僅知道誰正在連線 — 是不夠的。您需要了解設備的安全狀態、根據策略進行驗證，並對不合規行為採取相應措施。該架構已圍繞 802.1X、RADIUS 和 EAP-TLS 發展成熟且高度標準化。實作挑戰確實存在，但如果您採取分階段的方法，這些挑戰是可以解決的。 您的當前下一步行動：使用現有的 MDM 或終端管理工具，稽核目前終端設備資產的狀態合規性。評估您的 PKI 整備度。設計您的 VLAN 架構以包含合規、條件式和隔離區段。並在接觸強制執行之前，先規劃監控模式部署。 對於運行混合環境的組織 — 企業後台與客用或公共 WiFi 並存 — 像 Purple 這樣的平台可提供 guest 端網路智慧與分析，與您的企業 NAC 部署相輔相成，將這兩個世界乾淨地隔離開來，同時為您提供橫跨兩者的完整可見性。 感謝您的聆聽。歡迎探索 Purple 平台上的完整書面指南，以獲取架構圖、操作範例和設定參考。