解析NAC上模式化的虛擬化和云安全
虛擬化和云安全極度擾亂著安全市場。當大多數安全性能都部署在設備靜態設備周圍，而我們還沒有辦法應對動態的架構。
我們爭論的焦點是應該在何處進行安全部署：應該部署在資源虛擬化池外部的應用設備上，或者內置于管理程序中，抑或是運行于虛擬機上?答案是都要，但是真正重要的事情是如何在它們之間進行合理安排和協調管理。當談及在一個動態環境中協調安全時，答案出乎意料地來自網絡訪問控制。
虛擬化資源的安全存在兩個重大隱患。第一，資源可能是動態的，瞬時的。服務器的復制和發布不經安排，它們可能圍繞VMWare的VMotion而移動，也可能等量移動。第二，安全要求網絡和運算的協調。使用虛擬化的時候，二者不一致：在最接近網絡流量的時候，你就會被放在管理程序之中或是虛擬機之中，在這些地方，電腦的運算能力不僅受到限制，而且還要承擔真實的工作流。雖然有些設備可以通過集中硬件提供運算能力，但是卻將你移出了工作流的輸送。
理想情況下，你應當在專用硬件和網絡攔截的資源池外，完成大量運算工作，還要控制距離工作流最近的端點以及與管理程序協作的端點。二者在理想條件下可以相互協作，也可以與虛擬化系統協作。
這正是NAC要解決的一系列問題。有NAC，你就具備連接交換機ad-hoc的端點。運行于端點的所有設備之間必須與運行于網絡的設備之間保持安全性能上的一致性，繼而將策略動態部署到每個端點。
對于NAC方案而言，既有架構講究的，也有專用的。那些架構比較好的方案頗具啟發性，可以重新部署到虛擬空間中。Trusted Computing Group的Trusted Network Connect架構就是個不錯的架構方案。PEP推行的安全性能可以部署到端點，接入交換機或網絡更深層次的地方。它們都是通過PDP策略編排的方案。通過元數據接入點和IF-MAP協議，可訪問元數據和事件，還可通過pub/sub架構對其進行共享。最后，可以通過不同的域整合TNC，并將其應用到云環境中。
【編輯推薦】
