Network Access Control Die Renaissance des digitalen Türstehers

Um Network Access Control, kurz NAC, ist es still geworden. Allzu oft war die Strategie der Netzwerk-Zugangskontrolle unausgereift, unflexibel oder unwirtschaftlich. Doch die NAC-Hersteller haben dazugelernt und ihre Lösungen weiter optimiert.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

TXOne Networks

Keeper Security EMEA Ltd.

macmon secure GmbH

Jeder Mitarbeiter hat heute ein Smartphone oder einen eigenen Laptop. Die Funktionalitäten und der Komfort, den diese Geräte im privaten Bereich bieten, bergen auch das Potential, für ein erhebliches Plus an Effizienz am Arbeitsplatz zu sorgen.

Mobile Geräte bieten die Möglichkeit, Prozesse zu verschlanken bzw. neu zu definieren, geben Mitarbeitern ein hohes Maß an Flexibilität und erleichtern den Informationsaustausch. Auf der anderen Seite gewährt diese Entwicklung aber auch wesentlich mehr Angriffsfläche für Cyber-Attacken.

Jedes einzelne Gerät stellt im Netzwerk letztlich einen möglichen Schwachpunkt in der IT-Sicherheit dar. Nicht umsonst ist oftmals die Verwendung eigener, also privater Geräte im Unternehmensnetz untersagt. Viele Unternehmen halten dem Druck, mitarbeitereigene Geräte zuzulassen, zwar noch stand. Über kurz oder lang wird diese resolute Haltung aber zumindest in Teilen aufweichen.

Der menschliche Makel

Viele Geräte, wie auch einfache Access Points, sind heute kinderleicht zu bedienen. Mitarbeiter können ohne Weiteres entsprechende „Verteiler“ mitbringen, anschließen und betreiben– ohne, dass es die IT-Abteilung mitbekommen würde. Nicht zuletzt überwiegen die Vorteile der Agilität und Effizienz immer häufiger die Sicherheitsbedenken.

Der Kenntnisstand der Mitarbeiter darüber, welche Geräte eine Gefährdung darstellen können, ist aber meist nicht ausreichend. Tatsächlich sind die meisten Devices gar nicht für den Unternehmenseinsatz gedacht und damit auch nicht einfach zentral verwaltbar.

Das Zulassen auch nur einzelner Geräte öffnet jedoch den Zugang für alle anderen, wenn nicht zeitgleich oder vorher eine entsprechende Kontrollinstanz eingeführt wurde. Diese Instanz heißt Network Access Control, kurz: NAC.

Aus der Geschichte gelernt

Trotz dieses immer größer werdenden Handlungsdrucks basierten bis vor kurzem noch die meisten der angebotenen NAC-Produkte auf Technologien und Lösungsansätzen, die entweder gar nicht oder nicht zufriedenstellend arbeiteten. So sollten flächendeckend Appliances im Netzwerk verteilt werden.

Traditionelles NAC sollte den Traffic von unerwünschten Systemen blocken, Software auf allen Clients installieren, nur die Kommunikation zu eigenen Geräten erlauben oder die Infrastruktur aufwendig auf Komponenten eines Herstellers umrüsten. Die hohen Aufwände und Kosten für solche Implementierungen führten fast zwangsläufig zum Scheitern der Projekte und auch zu einem negativen Touch des gesamten Themas.

Moderne Ansätze haben aus diesen Fehlern gelernt, bedienen sich der bestehenden Infrastruktur ohne umfangreiche Umbauten oder Investitionen zu erfordern und bieten damit bereits im ersten Schritt der Einführung einen nie dagewesenen Gesamtüberblick. Die dynamische Zuweisung der je Gerät benötigten Zugangs- und Kommunikationsmöglichkeiten reduziert das Fehlerpotential aufgrund falscher Konfigurationen oder unbedachter Aktionen erheblich.

Das Aufspüren von menschlichen Fehlern wie z.B. die doppelte Vergabe von IP-Adressen (was hier banal klingt, kann in Produktionsumgebungen schnell zum Desaster führen) und die Gewissheit, auf jegliche Kommunikations-Anforderung flexibel reagieren zu können, erlauben eine erheblich effektivere und voraus Nutzung.

Die schwerste Tür der Stadt

Neben der neu gewonnenen Wirtschaftlichkeit, Transparenz und Flexibilität spielen natürlich die Sicherheitsaspekte bei NAC-Lösungen eine entscheidende Rolle. Allein Man-In-The-Middle-Attacken über das Netzwerk wie ARP-Spoofing oder ARP-Poisoning treiben den IT-Security-Verantwortlichen regelmäßig den Schweiß auf die Stirn.

Hier haben die NAC-Lösungen ihre Rolle als erste Verteidigungslinie wieder ernstgenommen und agieren als zentrale Sicherheitsinstanz, in der Bedrohungen erkannt und verhindert werden. Durch die Möglichkeit, verschiedene Sicherheitsmodule zu integrieren, kann die Netzwerkumgebung individuell an die Anforderungen angepasst innerhalb der NAC-Lösung geschützt werden.

Umfangreiche Systeminformationen wie Hostname, IP-Adresse, Betriebssystem, offene und geschlossene IP-Ports können im Hintergrund abgeglichen werden, um Adressmanipulationen und weitere Angriffsversuche vollständig zu unterbinden. Neben der Netzwerkzugangskontrolle wird auch die detaillierte Überprüfung der zugelassenen Systeme auf Einhaltung der Sicherheitsrichtlinien immer wichtiger.

In vielen Situationen reichen schon „leichte Sicherheitsverstöße“ um leicht erreichbare Angriffsfläche zu bieten. Um das Risiko durch menschliches Fehlverhalten auch im inneren minimal zu halten, sind moderne NAC-Lösungen in der Lage, den Compliance-Status aller Akteure im Netzwerk permanent zu überprüfen und die zentralen Unternehmens- und IT-Sicherheitsrichtlinien automatisch durchzusetzen.

Was tun wenn’s brennt

Kommt es doch einmal zum Ernstfall, können diverse Antivirus-Systeme angebunden werden, um auf kritische Events reagieren zu können, ohne notwendige Konfigurationen am Antivirus-Management selbst vornehmen zu müssen. Viren-Scanner können die permanent neuen Malware-Bedrohungen und modifizierte Schädlinge nicht immer vollständig abwehren und neben der Erkennung muss auch das Säubern gewährleistet sein.

Regelmäßiges Patchen, aktuelle Virenscanner und zusätzliche Technologien wie Desktop Firewall, Host Intrusion Prevention oder Application Control bieten zwar bereits hervorragenden Schutz. Nichtsdestotrotz wird es immer wieder Situationen geben, in denen der Virenscanner nicht mehr adäquat auf eine Bedrohung reagieren kann.

Wenn das Antivirus-Programm auf einem Endgerät meldet, dass eine Malware nicht gesäubert und nicht gelöscht werden konnte, möchte man das betreffende System möglichst schnell finden und isolieren, um händisch eingreifen zu können. Durch die Ankoppelung des Antivirus-Programms an die NAC-Lösung, erkennt es diese Situation automatisch und isoliert direkt das betreffende Endgerät oder verändert seinen Status auf „Non-Compliant“.

Solche als unsicher eingestuften Endgeräte werden dann durch das NAC-System selbsttätig in ein Quarantäne-VLAN oder auch Remediation-LAN verschoben, um sie in diesem geschützten Umfeld hinsichtlich des Sicherheitsstatus zu aktualisieren. Nach erfolgreicher Aktualisierung können die Systeme unmittelbar wieder ihrer ursprünglichen Produktiv-Umgebung im Netzwerk zugewiesen werden.

Fazit

Christian Bücker

Lange war es ruhig um den digitalen Türsteher, doch die rasanten Entwicklungen im Bereich Mobilität, BYOD, IoT und Co. und die damit einhergehenden Cyber-Risiken zwingen die Unternehmens-IT dazu, die Sicherheit ihres Netzwerks wieder ganz oben auf die Agenda zu setzen. Moderne NAC-Lösungen können somit wieder zum Rückgrat der Unternehmenssicherheit werden.

* Christian Bücker ist Geschäftsführer der macmon secure GmbH Berlin.

(ID:44276183)