Was leisten Netzwerk-Zugangskontrolle und Security-Event-Management gemeinsam?

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Extreme Networks GmbH

Switch-basiertes Policy Enforcement

Switch based: Die optimale Lösung für NAC im LAN ist die Implementierung von Access-Switches, die eine entsprechende Authentifizierung via 802.1x und eine Zuordnung von Policies (via VLAN aber besser mit ACL und Rate Limits) unterstützt. Insbesondere aber auch in einer heterogenen Umgebung mit Non-802.1x-Endgeräten und mehreren Geräten pro Switch-Port (z.B. Voice over IP Phones und ein PC in Reihe geschaltet) sind hier mehr Optionen notwendig. Dies gilt auch für Migrationen (nicht alle Access-Switches können gleichzeitig getauscht werden) und bei der Verwendung von Fibre to the Office (Kabelkanal- oder andere Mini-Switches setzen dann auf Kupfer um, können keine Authentisierung oder nur mit erheblichem finanziellen und verwaltungstechnischem Aufwand) ein entscheidender Faktor.

Wenn man Authentisierung einführen möchte, stellt sich zunächst die Frage nach der Art und Weise des Verfahrens. Es gibt mehrere Möglichkeiten, dies zu tun. Hier ist man sehr abhängig vom verwendeten Endsystem:

• 802.1x für eigene PCs und Laptops, in Zukunft teilweise auch IP-Phones ist die präferierte Lösung
• MAC-Adresse für Drucker, IP Phones und andere Maschinen am Netz (Sicherheitskameras, Produktionssteuerungen, Sensoren etc.)
• Web-Portal für Gäste, Consultants, Service-Techniker
• Default-Eigenschaften z.B. für TFTP/Bootp, damit Diskless-Stationen booten

Weitere Alternativen wie Kerberos und Radius Snooping sollten zumindest im Rahmen einer Gesamtlösung (via Appliances) mit unterstützt werden.

Ein Switch muss optimalerweise alle o.g. Verfahren gleichzeitig pro Port unterstützen, damit man nicht den Administrationsaufwand unnötig erhöht. Ansonstes müsste bei jedem Umzug das Authentisierungsverfahren angepasst werden.

Bei der Authentisierung verschiedener Benutzer / Geräte gleichzeitig an einem Port ist natürlich davon auszugehen, dass an diesem Port dann auch unterschiedliche Gruppen-Regeln je nach Benutzer und Gerät spezifisch und gleichzeitig vorhanden sein müssen. Der PC soll z.B. andere Regeln bekommen wie das IP-Phone am selben Port. Ein Gast soll andere Regeln haben wie ein eigener Mitarbeiter etc. d.h. nach erfolgreicher Authentisierung muss eine Policy-Vergabe pro Benutzer / Gerät erfolgen.

Hierbei können mehrere „User“ pro Port mit beliebigen Authentisierungsverfahren zu völlig unterschiedlichen Policies dynamisch zugeordnet werden. Ein weiteres Augenmerk sollte auf die Art der Policies gelegt werden: Oft werden nur einfache VLAN-Policies unterstützt, innerhalb eines VLANs gibt es aber gar keine Kontrolle:

• Was passiert nun, wenn jemand einen unautorisierten DHCPServer an das VLAN anschließt (und sich mit passenden Credentials anmeldet)?
• Wie unterscheide ich hier bei einem Softphone (auf dem PC) zwischen VoIP und Datenverkehr?
• Wie kann ich eine Wurmausbreitung innerhalb eines VLANs stoppen?

Die Antwort liegt in Port-Policies (ACLs und QoS auf Layer 2-4), die auch zwischen Ports im gleichen VLAN greifen und auch Informationen von Layer 2 (VLAN/MAC Adresse) bis Layer 4 (Applikation – http, Email, VOIP) mit einbeziehen.

Seite 4: Weitere Policy-Enforcement-Optionen

(ID:2012947)