Network Access Control: Bezpečnost sítě začíná u připojení uživatelů

• Historicky byly lokální sítě považovány za důvěryhodné prostředí. NAC reaguje na realitu, kdy se do interní infrastruktury běžně připojují Wi-Fi zařízení, BYOD, IoT prvky, externí uživatelé i kompromitované koncové stanice, a tento předpoklad již neplatí.
• Základní princip NAC je „ověř identitu a stav zařízení, teprve pak umožni přístup“. To jde dál než jednoduché heslo k Wi-Fi – kontroluje, kdo se připojuje, z jakého zařízení a zda splňuje bezpečnostní požadavky.
• Co NAC řídí? Přístup uživatelů a zařízení, jejich umístění v síti a oprávnění. NAC neslouží primárně k blokování připojení, ale k segmentaci sítě a kontrolovanému omezení pohybu zařízení.
• NAC výrazně snižuje riziko, že útočník po průniku do sítě a získání základního přístupu začne pronikat i do dalších systémů, účtů a sítí.
• NAC není antivirus, EDR ani detekce útoků. Je to nástroj pro definici a vynucování přístupových politik podle vámi nastavených pravidel.

Aruba ClearPass, jakožto základní komponenta služby, je Policy manager, který provádí autentizaci uživatelů a zařízení. Rozhoduje, jaká práva pak zaměstnanec, host, tiskárna nebo kamera dostanou.

Architektura služby rozlišuje role „Publisher“, „StandBy Publisher“ a „Subscriber“. Jedná se o jednotlivé uzly v prostředí s více instancemi ClearPassu – typicky v HA clusteru nebo distribuovaném prostředí. Publisher je primární (řídicí) uzel v clusteru ClearPass, který obsahuje hlavní databázi (Policy Manager DB). Je zodpovědný za správu konfigurace, licencí, replikaci nastavení do Subscriberů a autentizaci. Subscriber (Standby Publisher) je peplikační (podřízený) uzel, který si stahuje konfiguraci z Publisheru. Slouží ke škálování autentizačního výkonu (např. pro více lokalit) a záložnímu provozu při výpadku hlavního uzlu. Subscriber, stejně jako Publisher, může obsluhovat autentizace a přístupové politiky.

ClearPass jako virtuální appliance může být provozována v cloudovém prostředí CRA, organizace nebo ve veřejném prostředí MS Azure či Amazon AWS. 

V rámci služby dokážeme ověřovat zařízení jako PC/notebooky, mobilní zařízení, AP, Tiskárny nebo BYOD zařízení. Ověřovat dokážeme pomocí switchů, AP, ClearPass nebo Active Directory.

Služba poskytuje řadu autentizačních metod, jako 802.1X, MAC Authentitacation nebo TACACS+ / Radius autentizace) a širokou škálu integrací bezpečnostních produktů od různých vendorů (např. Active Directory, MDM, Firewall, SIEM apod.).

Službu NAC lze nasadit v klasických metalických LAN sítích, Wi-Fi sítích i v sítích se vzdáleným přístupem.

1. Identifikace a ověření. Každý pokus o připojení do sítě se automaticky analyzuje:
    
   • uživatel (ověření identity),
   • zařízení (typ, operační systém, „otisk prstu“),
   • lokalita a způsob připojení,
   • bezpečnostní stav zařízení.
2. Vyhodnocení podle politik. Na základě definovaných bezpečnostních politik systém rozhodne:
    
   • zda bude přístup povolen,
   • v jakém rozsahu bude povolen,
   • či bude zařízení omezeno nebo zcela odmítnuto.
3. Dynamické řízení a reakce:
    
   • přístupová práva se mohou měnit v reálném čase a
   • systém segmentuje síť, izoluje riziková zařízení a může automaticky reagovat na bezpečnostní incident.

Službu NAC je možné ve všech provozních scénářích realizovat ve dvou variantách. Základní varianta Standard poskytuje základní funkcionality, tj. analýzu přístupových politik a autentizace. Znamená to, že kontroluje kdo, co a kam se do sítě připojuje.

Rozšířená varianta Advanced doplňuje řešení o kontrolu bezpečnostního stavu zařízení před přístupem a v průběhu připojení do sítě. Zjišťuje tedy, zda má zařízení např. aktivní a aktuální antivirus apod., a podle toho rozhoduje o přístupu do sítě.

Všechna zařízení v sítí organizace musí být provozována ve stejné variantě, nelze tedy v rámci jedné služby varianty Standard a Advanced kombinovat.