Network Access Control - Eine Frage der Integrität

14 Securityfacts / Februar 2007 Network-Access-Control Eine Frage der Integrität Security- und Infrastrukturanbieter revolutionieren die Zugangskontrolle. Erst wenn ein Endgerät einen Gesundheitscheck absolviert, darf es alle Zutrittsprivilegien genießen. Da auf dem Gebiet Standards fehlen, sind die aktuellen Konzepte recht proprietär. Die Policies mit entsprechenden Enforce- ment-Aktionen werden granular für verschiedene Gruppen zentral definiert Das Thema Network-Access-Control, kurz Der Host wird während des Logins und NAC, wird die IT-Security-Industrie in während des Betriebs auf seine Compliance den kommenden Jahren bestimmen. zur Policy untersucht Denn mit Cisco und Microsoft bauen zwei Schwergewichte NAC- oder NAP- Alarme und Reports werden zentral Funktionen, wie es bei den Redmon- Sophos NAC 3.0 kann abgewickelt dern heißt, in viele ihrer Produkte ein. einfach in bestehende Hier wird der Zugriff auf die Ressourcen Systeme eingefügt wer- Cisco und Microsoft haben außerdem ei- den und bindet sie in anhand zahlreicher Mechanismen gesteuert Hosts,die gegen die Policy verstoßen, ne Allianz geschlossen, um ihre eigenen das eigene zentrale werden in einer Quarantäne isoliert und Konzepte aufeinander abzustimmen. Als Management mit ein. dort repariert Gegengewicht hat sich die »Trusted Net- work Connect«-Arbeitsgruppe (TNC) ge- bildet und erarbeitet allgemeingültige Rechner externer Service-Techniker, die Autorisierungssysteme reibungslos in- Standards für NAC-Konzepte. auf interne Ressourcen zugreifen sol- teragieren. Wer heute investiert, sollte Ein Unternehmen ist in einer schwie- len? Was geschieht mit Systemen wie daher eine offene Lösung wählen. So rigen Situation. Das Marktgewicht die- Druckern, VoIP-Telefonen oder Embed- bleibt gesichert, dass sich beispielsweise ser Player bedingt, dass Betriebe eines ded-Plattformen, für die die Hersteller das Endpoint-Security-Produkt mit der der NAC-Konzepte automatisch in ihr noch keine Agenten entwickelt haben? Infrastruktur abspricht, unabhängig Netz tragen, sobald sie eine von deren Andere Anbieter propagieren einen davon, welches NAC-Verfahren der Lösungen implementieren. Da die Kon- Appliance-Ansatz, der keinen Agent for- fremde Switch oder die Appliance be- zepte derzeit nicht interoperabel sind, dert, dafür ein Stück Code auf den End- herrscht. Christian Christiansen, Pro- müsste sich eine Firma auf ein Konzept point überspielt. Aber selbst das Applet gram-Vice-President Security-Products festlegen. braucht wie der Agent einen privilegier- & Services bei IDC, ergänzt: »Einer in- ten Zugang zum Host. Darf ein Unter- tegrierten NAC-Lösung gelingt die Ba- Stärken und Schwächen nehmen diese Rechte bei Gast-Usern lance, um kritische Geschäftsprozesse Die Idee von NAC sieht vor, jedes Endge- oder Service-Technikern einfordern? auf allen Endpoints vor gefährlichen rät im Netz einem Gesundheitstest zu Die Ergebnisse der Gesundheitstests Threats zu schützen«. unterziehen. Er ermittelt den Status der werden schließlich an eine übergeord- Hosts, und zwar beim ersten Login und nete Validierungsinstanz geschickt, sei Offenheit suchen später im laufenden Betrieb. Denn sein es die Management- oder Policy-Platt- Ein rein auf Software basierender An- Zustand kann sich wegen eines infizier- form des Endpoint-Produkts. Dieses Sys- satz hat in diesem Punkt gegenüber rei- ten Downloads in kürzester Zeit drama- tem übersetzt den Host-Zustand in Zu- nen Hardware-Konzepten Vorteile, denn tisch ändern. griffsrechte. Ist der Rechner integer, darf er lässt sich an neue Anforderungen an- Was den Status einer Maschine aus- sein User auf alle die ihm zugesproche- passen. Sophos hat mit seinem »Sophos macht und wie er ermittelt werden soll, nen Ressourcen zugreifen. Ist er es nicht, Network Access Control« genau diesen darüber herrscht noch Unklarheit. Eini- wird er in einem Remediation-Bereich Weg gewählt. Das offene Agent-Konzept ge Anbieter wollen die Hosts über Agen- isoliert und dort für den User möglichst integriert andere NAC-relevante Anwen- ten analysieren. Sie prüfen, ob die AV- transparent und schnell repariert. Die dungen auf dem Endpunkt, indem es Signaturen aktuell, alle nötigen Patches nackte Umsetzung der Policy wird im deren Integritätswerte abfragt. Der Vor- aufgespielt, die PC-Firewall und Host-IPS Hintergrund vom Netzwerk übernom- teil: Der Sophos-Agent wird zentral aktiviert sind und das System im richti- men. Damit das Konzept funktioniert, administriert und bindet die fremden gen IP-Subnetz verbunden ist. Aber wie müssen Endpunkt-Produkte, die Netz- Applikationen policygemäß ein. handhabt ein Firma Gast-User oder die infrastruktur, Authentifizierungs- und Christian Meier, Security-Consultant, Belsoft-IT-Solutions, Schweiz