Kontrola Dostępu do Sieci

Kontrola dostępu do sieci

Sieć korporacyjna zapewnia dostęp do danych, serwerów i stanowisk pracy. Każde urządzenie powinno zostać uwierzytelnione i otrzymać zakres uprawnień zgodny z polityką organizacji. Otwarty dostęp bez kontroli to ryzyko nieuprawnionego dostępu do zasobów. Kontrola może obejmować połączenia przewodowe, Wi-Fi, urządzenia zarządzane i urządzenia prywatne.

określa, które urządzenia mogą się połączyć, sprawdza tożsamość użytkownika i stan urządzenia oraz przypisuje zakres dostępu. Polityka może uwzględniać rolę użytkownika, dział, typ urządzenia i wymagania bezpieczeństwa. NAC może stosować te decyzje przy każdym połączeniu z siecią. Decyzją może być pełny dostęp, dostęp ograniczony, przekierowanie do sieci naprawczej albo odmowa połączenia. Polityka może także po uwierzytelnieniu wybrać inny VLAN, ACL albo profil przepustowości. System może także rejestrować powód decyzji i czas jej obowiązywania.

Zastosowanie NAC w nowoczesnych sieciach

Dostęp do sieci odbywa się z wielu typów urządzeń i lokalizacji. Utrudnia to stosowanie jednej reguły dla wszystkich połączeń. Znaczenie mają między innymi praca zdalna, usługi w chmurze i połączenia z sieci bezprzewodowych:

Bring Your Own Device (BYOD): Pracownicy używają teraz swoich prywatnych laptopów, tabletów i smartfonów do pracy. Urządzenia te nie są zarządzane przez dział IT firmy i mogą być niezabezpieczone, niezałatane, a nawet zainfekowane złośliwym oprogramowaniem. NAC może sprawdzać wersję systemu, szyfrowanie i obecność wymaganych zabezpieczeń przed przyznaniem dostępu oraz przypisać urządzenie do ograniczonego segmentu.
Internet Rzeczy (IoT): Liczba podłączonych urządzeń znacznie wzrosła. Sieci obsługują inteligentne termostaty, kamery bezpieczeństwa, czujniki przemysłowe i sprzęt medyczny. Wiele urządzeń IoT ma ograniczone zabezpieczenia, co zwiększa ich podatność na ataki. NAC może rozpoznawać typ urządzenia na podstawie profilu połączenia i umieszczać je w izolowanych segmentach, aby ograniczyć skutki przejęcia.
Dostęp dla Gości i Kontrahentów: Firmy regularnie muszą zapewniać tymczasowy dostęp do sieci gościom, dostawcom i kontrahentom. NAC pozwala na tworzenie oddzielnych, izolowanych sieci dla gości z ograniczonymi uprawnieniami (np. tylko dostęp do internetu) i dostępem ograniczonym czasowo, który automatycznie unieważnia poświadczenia po upływie określonego czasu. Rejestracja gościa może wymagać zgody pracownika albo kodu jednorazowego.
Zgodność z przepisami i regulacjami: Organizacje przetwarzające dane osobowe w Unii Europejskiej mogą podlegać wymaganiom RODO, a podmioty objęte HIPAA muszą chronić informacje zdrowotne zgodnie z wymaganiami tego aktu. Organizacje finansowe mogą również podlegać PCI DSS. NAC wspiera egzekwowanie polityk dostępu i dostarcza logi potrzebne do kontroli, lecz nie zastępuje pełnego programu zgodności.

802.1X: role i kontrola dostępu

Standard definiuje kontrolę dostępu do portu przed dopuszczeniem urządzenia do sieci. W sieci przewodowej portem jest port przełącznika, a w sieci bezprzewodowej rolę uwierzytelniacza pełni punkt dostępowy. Model obejmuje trzy role, które współpracują przy podejmowaniu decyzji:

Suplikant: urządzenie klienckie.
Suplikant to urządzenie końcowe próbujące uzyskać dostęp do sieci, na przykład laptop, smartfon, telefon VoIP albo kamera IoT. Systemy Windows, macOS i Linux mają wbudowane oprogramowanie suplikanta, nazywanego także klientem żądającym. Suplikant może używać hasła, certyfikatu lub innej metody EAP wybranej w konfiguracji.
Uwierzytelniacz: urządzenie dostępu.
Uwierzytelniacz to urządzenie infrastruktury, do którego suplikant jest podłączony, zwykle punkt dostępowy Wi-Fi albo przełącznik Ethernet. Do czasu uzyskania decyzji blokuje ruch użytkownika poza komunikatami uwierzytelniającymi i przekazuje wymianę między suplikantem a serwerem uwierzytelniającym. Wymiana lokalna korzysta z EAPOL, a decyzja z serwera może zawierać parametry VLAN i ACL. Stan portu jest zmieniany dopiero po otrzymaniu odpowiedzi zgodnej z polityką.
Serwer uwierzytelniający.
Serwer uwierzytelniający weryfikuje poświadczenia i podejmuje decyzję o dopuszczeniu. Może korzystać z katalogu użytkowników, bazy urządzeń i polityk określających zakres dostępu. W komunikacji z uwierzytelniaczem często używa protokołu RADIUS, który przenosi żądania, wyzwania i odpowiedzi autoryzacyjne. Odpowiedź może zawierać także parametry sesji.

RADIUS: komunikacja AAA

jest protokołem klient-serwer używanym między uwierzytelniaczem, takim jak przełącznik lub punkt dostępowy, a serwerem uwierzytelniającym. Obsługuje centralne zarządzanie AAA i może przenosić komunikaty EAP używane w 802.1X. W klasycznej konfiguracji serwer może działać poza podsiecią uwierzytelniacza, który korzysta z adresu serwera i wspólnego sekretu. Klasyczny RADIUS używa zwykle UDP, a port 1812 służy do uwierzytelniania, a 1813 do rozliczania. Wymiana EAP wymaga także odpowiedniej ochrony integralności komunikatów, na przykład atrybutu Message-Authenticator.

RADIUS obsługuje trzy funkcje AAA:

Authentication (Uwierzytelnianie): Weryfikacja tożsamości na podstawie poświadczeń, takich jak para nazwa użytkownika i hasło albo certyfikat cyfrowy. Wynik może być pozytywny, negatywny albo wymagać kolejnego komunikatu metody EAP. Metoda i źródło tożsamości zależą od wdrożenia.
Authorization (Autoryzacja): Określanie uprawnień. Po uwierzytelnieniu serwer RADIUS przekazuje uwierzytelniaczowi parametry dostępu, na przykład przypisanie do Wirtualnej Sieci Lokalnej (VLAN), listę kontroli dostępu albo limit przepustowości. Atrybuty mogą zależeć od użytkownika, grupy lub urządzenia.
Accounting (Rozliczanie): Zbieranie danych o sesji, takich jak czas połączenia, ilość przesłanych danych i używane zasoby. Komunikaty rozpoczęcia i zakończenia sesji wspierają fakturowanie, audyt, planowanie pojemności i analizę incydentów.

Przebieg uwierzytelniania 802.1X

Wymiana między suplikantem a uwierzytelniaczem korzysta z EAPOL (EAP over LAN), a wymiana między uwierzytelniaczem i serwerem uwierzytelniającym z RADIUS. Pakiety RADIUS przenoszą komunikaty . Uwierzytelniacz przekazuje te komunikaty między suplikantem i serwerem, bez terminowania wybranej metody EAP. Metoda EAP działa między punktem końcowym i serwerem niezależnie od transportu między uwierzytelniaczem a serwerem.

Inicjacja:Twój laptop (suplikant) jest podłączony do portu Ethernet na przełączniku (uwierzytelniacz). Port jest obecnie w stanie "nieautoryzowanym", blokując cały ruch z wyjątkiem wiadomości 802.1X. Suplikant wysyła wiadomość 'EAPOL-Start', ogłaszając swoją obecność. W sieci Wi-Fi analogiczna wymiana odbywa się przez punkt dostępowy.
Żądanie Tożsamości:Przełącznik (uwierzytelniacz) odpowiada wiadomością 'EAP-Request, Identity', pytając o identyfikator suplikanta. Komunikat jest przenoszony lokalnie przez EAPOL.
Odpowiedź Tożsamości:Suplikant odpowiada wiadomością 'EAP-Response, Identity', zawierającą jego tożsamość użytkownika, zazwyczaj nazwę użytkownika.
Przekazanie RADIUS:Przełącznik bierze tę tożsamość, pakuje ją w pakiet 'RADIUS Access-Request' i wysyła przez sieć do skonfigurowanego serwera RADIUS (serwera uwierzytelniającego). Wdrożenie musi także uzgodnić wspólny sekret i ochronę integralności komunikatów.
Wyzwanie:Serwer RADIUS wyszukuje użytkownika. Inicjuje etap metody EAP, na przykład PEAP (Protected EAP), i wysyła kolejne komunikaty przez przełącznik za pomocą wiadomości 'RADIUS Access-Challenge'. Ta faza obejmuje utworzenie tunelu TLS między suplikantem a serwerem, chroniącego poświadczenia, takie jak hasło, które zostaną wysłane w następnej kolejności.
Werdykt:Suplikant dostarcza swoje poświadczenia w tunelu EAP. Serwer RADIUS weryfikuje je w źródle tożsamości, na przykład Active Directory. Jeśli są poprawne, serwer wysyła do przełącznika wiadomość 'RADIUS Access-Accept'.
Przyznawanie Dostępu: Wiadomość 'Access-Accept' zawiera informacje autoryzacyjne. Może zawierać atrybuty informujące przełącznik: "Ten użytkownik należy do VLANu $20$ (Sprzedaż) i na jego porcie powinna być zastosowana ta lista kontroli dostępu." Atrybuty mogą także określać czas sesji, priorytet ruchu lub adres serwera rozliczającego.
Sukces:Przełącznik konfiguruje port zgodnie z instrukcjami serwera RADIUS i przekazuje komunikat 'EAP-Success' do suplikanta. Port przechodzi do stanu "autoryzowanego", a normalny ruch sieciowy może być przekazywany. Jeżeli odpowiedź zawiera parametry VLAN albo ACL, są one stosowane przed dopuszczeniem sesji.

Ocena zgodności, kwarantanna i naprawa

Nowoczesne systemy NAC wykraczają poza samo uwierzytelnianie. Przed podłączeniem i w niektórych przypadkach podczas sesji oceniają zgodność urządzenia z polityką. Proces ten nazywa się oceną zgodności (posture assessment).

Agent NAC działający na suplikancie może raportować stan bezpieczeństwa urządzenia. System porównuje te informacje z polityką, która określa wymagania dla urządzenia zgodnego z polityką. Może ona wymagać określonego systemu, poziomu poprawek, stanu ochrony i konfiguracji zapory. Wynik oceny może zależeć od typu urządzenia i roli użytkownika:

Określonej wersji systemu operacyjnego i poziomu aktualizacji.
Obecności i statusu oprogramowania antywirusowego (działającego i aktualnego).
Włączonej lokalnej zapory sieciowej.
Braku określonych, nieautoryzowanych aplikacji oraz zmian konfiguracji.

Jeśli urządzenie nie spełnia wymagań, serwer RADIUS może zamiast pełnego dostępu zlecić przełącznikowi umieszczenie go w izolowanym VLAN-ie kwarantanny. Taki VLAN może zapewniać dostęp tylko do serwerów z aktualizacjami. Użytkownik może zostać przekierowany na portal z instrukcjami naprawy, na przykład aktualizacji oprogramowania antywirusowego. Po spełnieniu wymagań urządzenie może ponownie przejść uwierzytelnianie i otrzymać pełny dostęp. System może także przeprowadzać ponowną ocenę w trakcie sesji i wycofać dostęp po zmianie stanu. Ogranicza to ryzyko rozprzestrzeniania złośliwego oprogramowania w sieci korporacyjnej. Kwarantanna powinna zachować możliwość kontaktu z systemami aktualizacji i rejestracji zdarzeń.