网络应采取何种控制技术保证安全访问而绝对禁止非法者进入，已经成为网络建设的重大对策问题。通过安全地控制网络资源和用户账号以及对NDS数据库中对象属性的访问，使网络管理员可以从一个集中点实现对整个网络的访问和安全控制，NDS能够提供切实有效的网络安全的全面解决方案。
　　无论是企业内部网络还是与Internet相连，都必须解决一个关键问题，即网络的安全性问题。
　　首先，我们先来看看什么是网络安全，或者说什么样的网络才可以称得上是安全的网络。目前Internet及企业内部网络上大量的非法入侵使我们认为，一个安全的网络系统应该是将各种类型的非法事件都挡在网络之外，网络能够持续稳定地运行。其实，这种说法并不全面。一个安全的网络应该知道在何时何处哪个用户在网络上做了什么事（When、Where、Who、What），即网络能够跟踪记录下网络上的事件和出现的变化，网络管理员可以根据详细的日志报告采取相应的防范措施。由于有了对网络运行的记录，对网络的分析也是主动的，从而排除一些安全隐患。网络安全措施可以分为两种：一种是直接防范或称为访问控制。这种方法往往针对已知的可能的入侵手段和方式。另一种是间接防范措施或称为审计（Auditing），它将网络中的各种事件记录到一个数据库中为评价网络安全提供材料。这两种方式相辅相成。通过审计可以发现网络中存在的问题和安全漏洞，然后通过直接措施加以弥补和改善，解决之后又可以通过审计检查结果。还有一些措施如模拟攻击，也可以通过日志来发现问题。
　　构建网络安全体系的重要因素主要有：明确网络资源、确定网络访问点、限定访问权限、确认安全隐患、内部的安全问题。而Novell的NDS可以从以上各个方面提供解决措施。
　　明确网络资源 在网络安全方面，常见的一个问题就是网络管理员不能得到一个关于网络的全面拓扑图，特别是随着网络的不断增长和变化，掌握网络的全面情况就更加困难，因而给网络管理员提供一个清晰的网络视图十分重要。NDS将网络中所有资源以对象的方式保存在严格的树形结构数据库中，这些对象包括：网络用户、服务器、交换机、应用程序等。它能为网络管理员提供一个清晰集成的网络结构的视图。通过这个网络结构图，可以清楚地辨识每个使用者在网络上的身份、地位、权限、位置和所处的部门，并且可以清楚地看出他与整个网络的对应关系。另外，这个结构图是非常具有弹性的。它可以根据实际网络发生的变化和增长而随时调整，因而可以保证与实际运行的网络是高度一致的。这种集中的统一管理方式大大减轻了网络管理人员出错的可能。
　　确定网络访问点 网络管理员应当了解潜在的非法入侵者会何时何地进入系统。对网络的非法入侵有内部和外部两个方面。企业与Internet相连不可能完全杜绝从外部访问公司的内部数据。基于NDS的安全解决方案使用户无论在网络的哪个地方都可识别他的身份。NDS是一个优秀的网络安全平台，建立在Novell目录服务之上的应用可以灵活地控制网络边界、严把网络安全关口。BorderManager是利用NDS架构网络安全信息结构的出色代表，除了提供防火墙、认证等服务之外，还能提供虚拟专网和代理缓存等多项增值服务，它使用户在不牺牲网络速度的条件下确保网络的安全运行。
　　限定访问权限 制定用户访问的范围(权限)，约束用户的访问权限，在网络中必须构筑多道屏障，使非法入侵者不能自动进入整个系统，特别是要注意对于网络中关键数据库或敏感地区的防范。 在企业内部，通过基于NDS的应用能够严格约束用户的访问权限，能够根据不同部门对安全性的要求分别设定安全权限，将不同安全级别的部门分隔开，任何用户都不能越权越界进行访问，它仿佛在企业内部设立一道屏障。
　　确认安全隐患 每个安全系统都有一定的安全防范措施，在网络管理中必须认真检查和确认安全，否则隐藏的问题就会成为系统潜在的安全漏洞，必要时须设立安全防护岗，24小时全天候动态监测，确保网络安全，同时需考虑人为因素对网络安全的影响。堡垒容易由内部攻破，因此加强内部防范和堵塞漏洞是最好的防范机制。 NDS的重要特点在于它能够保存数年运行的跟踪记录。这些日志记录相当详尽，可以通过分析这样的记录来查找网络系统存在的安全隐患，使之得到解决。把审计的工作交给基于NDS的应用也非常合适，利用目录的信息建立完整的日志和报表将大大方便网络管理员在网管工作中的“查漏补缺”。Novell为网管人员提供了一个称为ManageWise的工具，配合第三方开发工具，能利用NDS自动对网络事件进行记录、跟踪和监视，有助于防范网络设定上出现的安全漏洞，降低网络安全管理成本并减少网管人员的工作量。
　　内部的安全问题 根据ICSA的报告，有80％的非法入侵事件来自于防火墙内部，这主要是目前提供的一些内部保护措施比较单一。基于NDS的安全措施能有效解决内部互访、管理维护及安全认证等问题。
　　NDS能够提供切实有效的网络安全的全面解决方案，能安全地控制网络资源和用户账号以及对NDS数据库中对象属性的访问，使得网络管理员可以从一个集中点实现对整个网络的访问和安全控制。
　　NDS能安全地控制网络资源和用户账号以及对NDS数据库中对象属性的访问。要查看对象，用户必须对该对象具有适当对象权限。为了查看和修改与一个对象有关的信息，用户还必须有适当的属性权限。在NDS中，对象和属性权限沿着树往下流，就如同文件系统中权限一样。当权限沿着树往下流的时候，这种权限被称为继承权限。如果你需要确保某些权限不被NDS树的某个分支所继承，可以使用继承权限筛选（IRF），IRF类似于文件系统权限筛选的概念，通过IRF，权限可以被取消并且不被获取。使用权限筛选程序，你可以指定哪种权限能被继承。如果一个指定的权限出现在列表中，那么它就可以被继承。IRF也可以用于属性权限，它与IRF用于对象权限的方法相同。在使用IRF筛选管理权限时会出现例外。如果你筛选出管理属性权限而没筛选出管理对象权限，那么从上面继承了管理对象权限的对象，不受IRF属性的影响，这是因为管理对象权限允许所有的属性权限。
　　在NDS中，对象用于管理和查看目录内的对象，对象权限有五种类型，分别是Browse（浏览）、Create（创建）、Delete（删除）、Rename（换名）、Supervisor（管理）。每个对象都有一组属性，每个属性都有与它相关的权限，这些权限控制哪些用户或者其它对象可以操作属性，一共有五种属性权限，分别是Compare（比较）、Read（读取）、Add or Delete Self（增加或删除自身）、Write（写入）、Supervisor（管理）。在NDS中创建一个用户对象时，赋予用户对象本身对该对象所有属性的读取权限和对于他的注册脚本和打印作业配置属性的读取和写入权限。与每个对象都有关的是访问控制表（ACL）的属性，它列出并控制着谁具有权限以及对象具有哪些权限。如果一个对象有写入ACL的权限，那么那个对象就可以修改它的任何权限。
　　安全保密服务(Security Service)永远是公司主管对企业网络管理最重要的一环，包含网络设备、系统操作平台、网络操作平台、应用软件、数据库及Internet的安全。NDS担当此安全纽带，可以串起各个层级的安全系统，创建起一道密不透风的防护网。 目录服务不仅要作为网络资源信息的存置所(network resource repository)，此目录服务还必须能作为密匙(key)的保存库并提供在此目录中的对象之间互相验证(Authentication)的功能。
　　当前看来，Public Key的验证系统配合着目录服务是业界认为可行的方法，因为Public Key解决了密匙分配(Key Distribution)的难题，而在Public Key验证系统中很重要的Public Key可放在目录内供人拿来做为加密(encryption)及验证收发两方身份的真伪。Novell的NDS正是采用RSA的Public Key验证系统。当NDS成为Internet的目录服务标准时，所有的授权及保密皆可通过NDS来达成。集成新的安全功能技术，为程序开发人员及企业客户提供在企业网络的应用程序中使用先进的国际网络安全技术。此项新功能将加强NDS独特的管理能力，并且将使NetWare 成为保密商业交易的领导平台。这种基于RSA公钥／私钥加解密算法的验证服务使用私钥属性和数字签名来验证用户身份，验证是基于会话的。用户签名仅在会话期间才有效。然而用户不需要在要求使用新的服务和应用时重新授权，因为重新授权在后台自动进行。网络管理员是能够改变网络与目录配置的唯一个人。随着NDS日益成为一种通用的跨平台的Internet/Intranet目录，它的安全性将进一步显露出来。
　　网络管理员可以从一个集中点实现对整个网络的访问和安全控制，他们就可以管理更多的资源，从而达到提高生产效率，降低管理成本的目的。另外，通过NDS进行安全管理，不仅具有良好的伸缩性，而且允许管理员通过某种可控的安全方式，将某些访问管理的职责予以下放，由于所有用户的身份验证都是通过NDS进行处理的，管理员无需再对分布在不同产品和目录中的大量访问控制信息和安全信息进行管理，这既减少了出错的风险，也确保了高水平的安全性能。另外，也可以通过对NDS的单一登录，实现对授权的所有网络资源的访问，而不管他们进入网络时所处的位置如何。他们可以从任何地点，通过直接连接的Lan工作站、拨号连接的Lan工作站，或是Internet连接的远程VPN客户机进行登录。单一登录也就意味着用户只需记住一个口令，从而使他们能够很快地获得其所需的资源，最大限度地提高他们的生产效率。
　　基于NDS的验证要比传统的TCP/IP的安全机制安全得多。TCP/IP的安全性比较弱，主要是因为它是基于IP地段或网段的，而不是基于用户本身的。例如：如果某个职工的工作站不具有某种特殊资源的访问权限，他只要到另一个具有该访问权限的职员的工作站上去就可以了。而动态的主机控制协议（DHCP）的情况更糟，因为它的每个用户的机器地址是动态变化的，这使得这种基于标识的管理根本无法实现。NDS提供的安全性是以用户为中心的，而不是以机器或IP网段为中心。这使得管理员可以同时根据资源标识和用户标识来建立网络的安全管理。当某个用户进行登录时，系统是根据用户标识和访问授权来确定接受或拒绝其网络资源的访问，而与用户正在用来进行登录的工作站标识无关。


返回