Network Access Control Grundlagen

NAC Grundlagen, Teil 1: Sichere Netzwerke durch Netzwerkzugriffskontrolle

Es gibt Unterschiede bei Network Access Control (NAC). Die Schutzkonzeption ist viel versprechend, verlangt aber auch eine Anpassung des Unternehmensnetzwerks und eine klare Vorstellung von Zielen und Grenzen. Das, was dann mit dem Notizbuch geschieht, kann vom Verwalter nicht kontrolliert werden. An dem Tag, an dem sie ins Unternehmen zurückkehren, verlangen vollkommen fremde Geräte den Zugriff auf das Firmennetz.

Selbst wenn man den Benutzern ein paar Rechte entzieht, damit sie keine Gerätetreiber oder andere Anwendungen einbauen können, hat sich das Risiko allenfalls etwas verringert. Jedes Mal, wenn ein Notizbuch von gelungenen Verkaufsmissionen zurückkehrt, muss es beben. Ist es eine Bedrohung für das Unternehmensnetzwerk und wenn ja, sind die Verteidigungssysteme, in der Hauptsache die Virenscanner oder Intrusion Detection Systeme, in der Lage, damit umzugehen?

Perfekt gelöst: 802.1x - NAC Grundlagen, Teil 2: Grundlagen: Technologie hinter Network Access Control

Wichtigster Authentifizierungsmechanismus ist wohl der Klassiker 802.1x (RADIUS). Sie benötigt einen Supplicant (Client) auf dem Gerät und einen 802.1x Datenserver im Netz. Die Vermittlungsstelle, an deren Port das Gerät angesteckt ist, muss ebenfalls 802.1x-fähig sein. Dies ist ein großes Hindernis für viele Unternehmen, die einfache unmanaged Switches mit einer hohen Portkapazität am Rande des Netzwerkes haben.

Für viele Geräte gibt es jedoch auch keine 802.1x Supplicants, so dass diese Form der Detektion und Authentifizierung nur einen Teil des Netzwerkes ausmacht. Eine einfachere Möglichkeit, RADIUS für die Authentifizierung zu verwenden, ist, auf die Verwendung von Zertifikaten und Credentials zu verzichten und die MAC-Adresse zu überprüfen.

NAC Grundlagen, Teil 2: Basiswissen: Technologie hinter Network Access Control

Mit der flexiblen Festlegung der Netzzugangskontrolle werden viele Varianten dieser Schutzmassnahme abgedeckt. Aber die Grundkomponenten und das Konzept sind immer gleich. NAC ist im Grunde sehr einfach: Alles, was sich in irgendeiner Weise mit dem Netz verbindet, sollte nur dann zugänglich sein, wenn gewisse Anforderungen eingehalten werden.

Bei manchen Unternehmen genügt es, wenn sich der Teilnehmer identifizieren kann, d.h. wenn er eine valide elektronische Identifikation hat. Die anderen Unternehmen gehen viel weiter und nutzen auf dem Gerät installierte Programme, um den Status zu überprüfen: Sind die Antiviren-Signaturen auf dem neuesten Stand, ist eine persönliche Schutzwand eingerichtet und aktiviert oder hat der Anwender möglicherweise nicht autorisierte Programme an Board?

Jeder, der A sagt, muss auch C sprechen und die Lage klären oder andere Maßnahmen treffen, wenn das Gerät die Anforderungen nicht erfüllt. Sie beginnt bereits damit, den Anschlussversuch sicher zu erfassen und anschließend das Gerät zu kennzeichnen. Falls das Gerät nichts Schlechtes im Kopf hat, arbeiten die gängigen Methoden zur Identifizierung neuer Endgeräte im Netz.

Wenn ein Rechner mit Malware befallen ist oder ein Hacker eine Sicherheitslücke sucht, indem er sich direkt mit dem LAN verbindet, wird er alles tun, um die Entdeckung des Verbindungsversuches zu vereiteln. Eine NAK befindet sich dann in einer komplizierten Situation: Um zu bewerten, ob ein Gerät Zugriff hat, muss es die Testperson in das Netzwerk lassen, mindestens ein kleines Stück.

Doch sobald eine physische Anbindung an ein Netzsegment vorliegt, hat der Täter Spielraum. Ein Weg, den Verbindungsversuch zu detektieren, ist ein sogenannter Proxy, der Anforderungen aus dem Netzwerk abfangen kann. Über die MAC-Adresse nimmt er Kontakt mit dem Gerät auf und erfragt zusammen mit dem Nationalen Netzwerkserver die Vorgaben und deren Einhalten. Einerseits gibt es eine Vielzahl von Geräten wie Netzwerkdrucker oder Servern, die kein eigenes Netzwerk verwenden.

Andererseits kann ein Hacker über eine feste IP-Adresse auf das Netzwerksegment zugreifen. Auf andere Endgeräte im selben Subnet kann der Täter dann grundsätzlich zugreifen.