Rozwiązania Check Point i Sygate pozwalają odizolować punkty końcowe od sieci, jeżeli ich stan stwarza potencjalne zagrożenie wniesienia infekcji wirusowej. Oba zaliczają się do rozwiązań typu NAC (Network Access Control).

Check Point Integrity i Sygate Enterprise Protection to w istocie efektywne zapory ogniowe oparte na regułach polityki bezpieczeństwa. To co je wyróżnia, to możliwość monitorowania zgodności konfiguracji aplikacji z wymaganiami i poddawanie niepoprawnie skonfigurowanych maszyn kwarantannie do momentu, aż definicje antywirusowe, łatki systemu operacyjnego i inne szczegóły związane z bezpieczeństwem zostaną uaktualnione.

Oba rozwiązania - wykorzystując klienta punktu końcowego, ściśle powiązanego z serwerem zarządzania polityką bezpieczeństwa - obsługują różne mechanizmy kwarantanny, zawierają uwierzytelnianie 802.1x i integrują się z przełącznikami, routerami, bezprzewodowymi punktami dostępowymi i VPN.

Łącząc silną ochronę klienta z elastycznym zarządzaniem regułami polityki, zarówno Check Point Integrity 6.0, jak i Symantec Sygate Enterprise Protection 5.0 zapobiegają przenikaniu do sieci spyware, robaków, trojanów i wirusów z zainfekowanych klientów. Poza dbaniem o to, by punkty końcowe były bezpieczne i uaktualnione, oba produkty mogą egzekwować reguły rządzące tym, która aplikacja strony klienckiej i w jaki sposób może uzyskiwać dostęp do sieci.

<hr size="1" noshade>Check Point Integrity 6.0

Producent: Check Point Software (www.checkpoint.com)

Cena: od 40 do 60 USD za klienta

Platformy: Integrity Server: Windows 2000 Server, Windows Server 2003; Red Hat Enterprise Linux ES 3.0

Integrity Client: Windows 2000 Pro, XP Pro, Red Hat Enterprise Linux WS 3.0

Cechy: Silna ochrona klienta rodem z Zone Labs, solidne zarządzanie i możliwości raportowania czynią z Integrity skuteczne rozwiązanie do ochrony punktów końcowych sieci i kontroli dostępu do sieci opartej na regułach polityki bezpieczeństwa<hr size="1" noshade>

Posterunki kontrolne na wejściu do sieci

Symantec Sygate Policy Manager zawiera szablony reguł rozprowadzania łatek, uaktualnień osobistych zapór, oprogramowania antywirusowego i antyspyware. W zależności od typu adaptera używanego do połączenia z siecią (Ethernet, Wi-Fi, VPN itp.), umożliwia stosowanie odpowiednio restrykcyjnej kontroli dostępu.

Pomiędzy Sygate Enforcement Agent (SEA) i siecią działa program Enforcer, przeprowadzający kontrolę dostępu w zakresie określonym przez moduł Policy Manager. Systemy niespełniające wymagań są kierowane do segmentu sieci stanowiącego kwarantannę, w którym mogą one sprowadzać komponenty niezbędne do spełnienia wymogów bezpieczeństwa.

SEA przeprowadza kontrolę zgodności z regułami polityki bezpieczeństwa podczas pierwszego połączenia punktu końcowego, a także okresowo oraz przy zmianie lokalizacji punktu w sieci. Dodatkowo zapewnia egzekwowanie polityki w tym czasie, gdy punkt końcowy jest odłączony od sieci i automatycznie łączy z ośrodkiem naprawczym w celu przywrócenia zgodnego z regułami bezpieczeństwa stanu konfiguracji, angażując do tego użytkownika lub bez jego udziału.

Do wymuszenia polityki bezpieczeństwa na punkcie końcowym nieobjętym stałą kontrolą Sygate przewidział moduł On-Demand Agent (ODA). Jest to aplet Javy ładowany do klienta po podłączeniu. ODA tworzy zaszyfrowany desktop wirtualny z aktualnym oprogramowaniem i sygnaturami antywirusowymi, antyloggerem i osobistą zaporą ogniową. Po takiej sesji ODA jest usuwany z systemu.

Check Point Integrity zapewnia bardzo podobną funkcjonalność. Zamiast jednak używać własnej bramy do poddawania kwarantannie klientów niespełniających wymogów bezpieczeństwa, współpracuje z Check Point VPN-1, Connectra SSL VPN oraz InterSpec IPS, a także urządzeniami 802.1x. Integrity współpracuje z przełącznikami Cisco Systems, Enterasys, Extreme Networks, Foundry, HP i innych dostawców oraz rozwiązaniami SSL VPN firm Avential, Cisco, Juniper, Microsoft i Nortel.

Sygate również ma grono partnerów, w tym wielu z wyżej wymienionych, ale jego Enforcer zapewnia użytkownikom, którzy nie mają infrastruktury 802.1x, możliwość wdrożenia NAC bez konieczności zakupu dodatkowych urządzeń.

Podobnie jak agent Sygate oprogramowanie Integrity Client kontroluje punkt końcowy po połączeniu i podczas sesji, a także zapewnia możliwość samokontroli i samonaprawy. Check Point zapewnia także "klienta na żądanie" o nazwie Clientless Security, który używa kontrolek ActiveX do rozprowadzania Integrity Secure Browser na niezarządzane systemy. Secure Browser używa połączeń SSL VPN (Check Point lub jego partnerów), szyfruje również dane sesyjne i zapewnia blokowanie kopiowania bufora przeglądarki, rejestratora klawiatury, a także usuwa wszystkie swoje elementy po zakończeniu sesji.

W obu rozwiązaniach efektywna kontrola dostępu do sieci zaczyna się od zapewnienia bezpieczeństwa klienta. Klienty Sygate i Check Point zawierają aplikacyjną zaporę ogniową oraz ochronę przed przepełnieniem bufora. Sygate używa technologii zapory ogniowej firmy Determina do ochrony serwerów Windows, podczas gdy zapora ogniowa Check Point i Malicious Code Protection (nazwa produktu do ochrony przed przepełnieniem bufora) chronią klienty Windows.

Ponadto Check Point zapewnia własną ochronę przed spyware i trojanami, a także ochronę dla komunikatorów. Sygate zapewnia własną ochronę przed trojanami, a do wykrywania i usuwania spyware testowana wersja używała produktu Lavasoft Ad-Aware SE Professional. Docelowo do zwalczania spyware produkt Sygate ma korzystać z technologii Symantec. Zarówno Check Point, jak i Spyware nie mają jeszcze zagnieżdżonej możliwości skanowania antywirusowego.

Logując się jako zwykły użytkownik końcowy bez uprawnień administratora, próbowano podczas testów sprawdzić czy można wyłączyć oba klienty. Agent Check Point radził sobie z wszystkimi próbami jego wyłączenia, obejmującymi zarówno zatrzymanie usług, jak i usunięcie wewnętrznych plików. Natomiast agenta Sygate można było unieszkodliwić poprzez usunięcie plików, ale reguły bezpieczeństwa Sygate pozwalają na poddanie kwarantannie lub izolowanie każdego punktu końcowego, na którym nie ma pracującego agenta. Zarówno Check Point, jak i Sygate umożliwiają ukrycie agenta przed użytkownikiem, a nawet odizolowanie go od skanowania portów i sond sieciowych.