论文摘要：基于准入控制的网络安全系统研究与验证系统--CNAC

本论文的研究工作主要依托863计划《协作式应急响应服务》项目的准入控制子系统。 本文首先对访问控制领域和身份认证领域的相关技术进行综述，简单介绍传统的访问控制模型和当前主要使用的身份认证机制。然后，进一步研究多种网络准入控制技术实现方案，并且在结合下一代使用控制模型（UCON）理论基础上，提出了基于状态的准入控制模型（SBNAC--State Based Network Admission Control）。该模型以主体、客体及环境的相关状态为基础，以策略为核心对访问主体进行甄别，提供不同的安全服务，从而有效的降低访问者对网络资源带来的安全风险。接下来，依据SBNAC模型进行校园网准入控制系统CNAC（Campus Network Admission Control ）的系统分析与设计。CNAC系统致力于将自动更新、安全状态审核、准入控制等思想集中在一起，简化园区网的安全管理，为新的安全审核应用提供可扩展性，实现基于网络准入控制技术的园区网安全防御体系。文章的最后，分析了系统运行测试情况，并和传统的网络接入认证系统作了对比分析，描述下一步工作重点。 本文的主要贡献：（1）提出了基于状态的准入控制模型(SBNAC)。SBNAC模型引入了状态、授权、控制反馈等概念。丰富了传统访问控制模型的描述能力，较好的适应网络环境发展的新特征和新需要。（2）引入认证授权依赖于策略的观点，并引入策略作用时机的概念。不同于传统的认证授权依赖于主客体属性的观点。SBNAC模型能够很好的解决准入过程中主体、客体及系统状态进行更新过程中涉及的权限的延续性和即时回收等问题。（3）实现了基于SBNAC模型的原型系统—CNAC。CNAC系统利用现有的RADIUS认证技术，在此技术基础上增加对于SBNAC模型的支持。一方面，保证了系统的稳定性和兼容性；另一方面最大程度保护校园网的原有投资。（4）CNAC综合了自动更新、安全状态审核、准入控制思想，实现不依赖设备厂商的具有自主知识产权的校园网准入控制系统。 CNAC系统设计建立在模块化结构基础上，提供了高可扩展性。系统为园区网的准入控制提供安全认证框架，使得各种安全服务（安全公告分发、系统补丁更新等）独立于系统本身，具有更强的的可配置和可扩展能力。 本文所提出的SBNAC模型可以形式化得描述园区网环境中的准入控制机制，本文所实现的CNAC准入控制系统工作对于提高内联网的网络安全管理有重要的实用价值。