NAC – Allgemeine Spezifikationen sowie Konzepte von Microsoft und TCG

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Extreme Networks GmbH

Microsoft NAP

Die Microsoft-Lösung, die mit MS Vista und Windows Server 2008 Einzug hielt, nennt sich NAP (Network Access Protection). Die Beta-Tests und Early-Adopter-Implementierungen laufen schon seit 2007. Es gibt mittlerweile auch einen NAP-Client für Windows XP mit dem Service Pack 3, der grundlegende Kundenanforderungen umsetzt. Der NAP-Client unterstützt DHCP, VPN und 802.1x Enforcement.

Der Enforcement Point kann aber auch in der Netzwerk-Infrastruktur liegen, die Steuerung erfolgt dann über einen RADIUS-Server (Quelle: Microsoft). Microsoft hat auf der Interop 2007 bekannt gegeben, dass sie den TNC-Standard der Trusted Computing Group unterstützen werden. Damit zeichnet sich ab, dass der Weg zu NAP in Richtung TNC führen wird.

Microsoft NAP ist allerdings eine sehr fokussierte Technologie, die nur für Windows-Clients wirklich sinnvoll ist. Da allerdings auch andere Systeme im Netzwerk kommunizieren, sind weitere Schritte erforderlich, um eine ganzheitliche Lösung anzustreben. Mehr hierzu ist im Kapitel „Assessment“ unter „Advanced Security Applications – Network Access Control“ beschrieben.

Trusted Computing Group TCG – TNC

Da der Endgerätemarkt nicht nur aus Microsoft-Produkten besteht, ist insbesondere hier ein Standard notwendig, den die TCG und deren Sub-Group Trusted Network Connect (TNC-SG) vorantreiben. Das Modell der TNC-SG 1.1 Spezifikation sieht dem Microsoft NAP-Konzept allerdings ähnlich.

Posture Collector und Validator entsprechen jetzt den Integrity Measurement Collectors und Verifiers, die Client- und Server-Broker sind die eigentlichen TNC-Clients und -Server, die Network Access Requestor, Network Access Authority und Policy-Enforcement-Point-Instanzen bleiben identisch.

Das Zusammenspiel in heterogenen Umgebungen

Auf der Desktop-Ebene wird Microsoft mit dem NAP Agent wohl langfristig eine übergeordnete Rolle spielen – in Bezug auf Sicherheit zieht Microsoft hier die Daumenschrauben stark (vielleicht auch zu stark?) an. Die Akzeptanz der TNC-Implementierungen wird in der non-Microsoft Welt groß sein, für Microsoft-basierte Endsysteme bleibt dies abzuwarten.

Eine Integration der verschiedenen Systeme ist möglich auf der Serverseite. Hier müssen intelligente Network Access Authority Server erkennen, welche Clients installiert sind (oder clientless gearbeitet wsird) und auf dieser Basis muss eine Umleitung an den entsprechenden (Network Access Authority) Server erfolgen.

Enterasys geht mit Enterasys NAC diesen Weg des intelligenten RADIUS-Proxy und -Brokers, der diese Integration übernehmen kann. Auf dem Desktop muss sich der Kunde für jeweils einen Agenten und eine Technologie entscheiden. Im kommenden und letzten Artikel dieser Reihe werden wir uns mit der Konfiguration und Funktion von Enterasys NAC beschäftigen.

Über den Autor

Markus Nispel ist als Vice President Solutions Architecture zuständig für die strategische Produkt- und Lösungsentwicklung bei Enterasys. Sein Fokus liegt auf dem Ausbau der Sicherheits- und dort insbesondere der Network-Access-Control-Lösung (NAC) von Enterasys; hier zeichnet er als Architekt verantwortlich. Diese Position knüpft an seine vorherige Tätigkeit bei Enterasys als Director Technology Marketing an. Bereits hier war er intensiv in die weltweite Produktentwicklung und -strategie von Enterasys im Office des CTO involviert. Darüber hinaus berät er Key Accounts in Zentraleuropa, Asien und dem mittleren Osten bei strategischen Netzwerkentscheidungen und verantwortet die technischen Integrationsprojekte zwischen Enterasys und der Siemens Enterprise Communications Group.

In Zentraleuropa und Asien verantwortet er zudem das Security Business Development und steht mit einem Team an Security Spezialisten für die Implementierung von Security Projekten mit höchsten Anforderungen bereit.

Vor seiner Tätigkeit für Enterasys Networks war Markus Nispel als Systems Engineer bei Cabletron Systems aktiv. Hier führte er 1998 die ersten Layer 3Switches für den europäischen Kundenstamm ein.

Markus Nispel studierte an der Fachhochschule der Deutschen Telekom in Dieburg und schloss sein Studium 1996 als Dipl.-Ing. Nachrichtentechnik erfolgreich ab. Erste Berufserfahrung sammelte er unter anderem bei der E-Plus Mobilfunk GmbH innerhalb der Netzwerkoptimierungsgruppe für DCS Mobile Networks.

Inhalt

• Seite 1: Definition von Network Access Control
• Seite 2: Die großen Frameworks – das Endziel
• Seite 3: NAC-Ansätze von Microsoft und TCG

(ID:2048876)