Hálózati hozzáférés-vezérlés (NAC)
NAC-kal elérjük, hogy csak ismert és megfelelő eszköz csatlakozhasson a hálózatra. Az ismeretlen eszközök elkülönített zónába kerülnek.
Mit csinál a NAC
Mit ellenőrzünk a beengedés előtt
A Zero Trust elv szerint minden hozzáférési kérést külön kell elbírálni, bárhonnan érkezik is. A NAC ezt a hálózatra csatlakozás pillanatában teszi meg. A teljes felépítést a Zero Trust útmutatónkban írtuk le.
Eszközazonosítás
A NAC minden csatlakozó eszközt azonosít a beengedés előtt, és a besorolása alapján dönti el, beléphet-e, és ha igen, melyik zónába.
Egyéni hitelesítés (802.1X)
Minden felhasználó vagy eszköz saját azonosítóval csatlakozik, jellemzően tanúsítvánnyal vagy a tartományi fiókjával. Így látszik, ki csatlakozott, mikor és hol, és egy hozzáférés egyénileg visszavonható.
Eszközállapot
Megnézzük, regisztrálva van-e az eszköz az eszközkezelőben, felügyelt-e és naprakész-e. A hálózatra csak ismert és megfelelő eszköz csatlakozhat.
Ismeretlen eszközök
Az elkülönített zónából a belső hálózat erőforrásai nem érhetők el, amíg az eszköz besorolást nem kap.
A bevezetés
Figyelő üzemmódtól az élesítésig
A megoldást gyártófüggetlenül, a környezethez és a meglévő eszközparkhoz választjuk. A NAC először csak figyel. A szabályokat akkor élesítjük, amikor már a hálózat valós eszközparkjához igazodnak.
-
Eszközleltár és profilozás
Feltérképezzük, milyen eszközök csatlakoznak a hálózatra, és típus szerint csoportosítjuk őket, például munkaállomásokra, nyomtatókra és kamerákra.
-
Szabályok eszköztípusonként
Eszköztípusonként rögzítjük, mihez férhet hozzá az adott csoport, és melyik zónába kerül.
-
Figyelő üzemmód
A NAC kiértékeli a csatlakozásokat, de még nem tilt. Így látszik, melyik eszközt zárná ki, és a téves besorolásokat még a kikényszerítés előtt javítjuk.
-
Fokozatos élesítés
A kikényszerítést lépésenként kapcsoljuk be, így egy hibás szabály nem érinti egyszerre a teljes hálózatot.
Szállítandó anyagok
Mit kap a munka végén
átadott tétel
- A csatlakozó eszközök leltára és profilozása
- Hozzáférési szabályok eszköztípusonként
- Fokozatos élesítés figyelő üzemmódból
- Dokumentáció
Kapcsolódó szolgáltatások
Ami a NAC mellé tartozik
A NAC a csatlakozásról dönt. Hogy a zónák között mi folyhat, és hogyan érik el a munkatársak a rendszereket kívülről, azt más szolgáltatás rendezi.
Hálózati szegmentáció
A lapos vállalati hálózatot zónákra bontjuk, hogy egy fertőzött eszköz ne érje el a teljes hálózatot.
Wi-Fi hálózat helyszíni felméréssel
Vállalati vezeték nélküli hálózat külön hálózatokkal a vendégeknek, a munkatársaknak és az eszközöknek.
Zéró bizalmi távoli elérés (ZTNA)
Távoli elérésre a VPN helyett alkalmazásszintű hozzáférés, eszközmegfelelőségi ellenőrzéssel a csatlakozáskor.
Tűzfal és VPN
Új generációs tűzfal tervezése, telepítése és beállítása, a telephelyek közötti VPN-nel együtt.
Gyakori kérdések
Amit a legtöbben kérdeznek
Miért nem elég a megosztott Wi-Fi-jelszó?
Mert nem tudni, ki csatlakozott vele, csak azt, hogy valaki. Egy jelszó, amit ötven ember ismer, néhány hónap alatt kívülállókhoz is eljut, WPA2-nél pedig a csatlakozás rögzítésével a forgalom utólag visszafejthető, ha a jelszó megvan. Az egyéni hitelesítés tanúsítványalapú változata erősebb a jelszavasnál, mert a tanúsítványt nem lehet elárulni vagy kiszivárogtatni. Részletesen a vállalati Wi-Fi biztonságáról szóló cikkünkben írtunk erről.
Mi lesz a nyomtatókkal és a kamerákkal, amelyek nem tudnak hitelesíteni?
A nyomtatók, IP-kamerák, épületautomatizálási és konferenciatermi eszközök nem támogatják a 802.1X-et, és jellemzően alapértelmezett jelszóval, régi firmware-rel futnak. Saját szegmensben a helyük, korlátozott kimenő forgalommal, a menedzsmentfelületük pedig csak az IT-szegmensből legyen elérhető. A NAC ezeket is a nekik szánt szegmensbe irányítja. A szegmensek kialakításáról a belső szegmentálásról szóló cikkünk szól.
NAC kell vagy ZTNA?
A kettő más helyzetre való. A NAC a belső hálózatra csatlakozó eszközt bírálja el, a ZTNA a távoli hozzáférést. A klasszikus VPN-nél az eszközállapot jellemzően nem számít, ZTNA-nál a döntés része, és a felhasználó a hálózat helyett egy adott alkalmazáshoz kap hozzáférést. A ZTNA az identitásra épül, ezért a sorrend számít: előbb központi identitás és MFA, aztán eszközkezelés, és csak utána ZTNA. Az átállás lépéseit a ZTNA és VPN összevetéséről szóló cikkünk mutatja be.
Használható NAC OT-környezetben?
Igen. A megvalósítás ott más: a vezérlőeszközökre nem telepíthető ügynök, és a folyamatos hitelesítés sem értelmezhető egy PLC esetében. Ezért a hozzáférés-vezérlés ott a zónák és csatornák modelljéhez (IEC 62443) igazodik, a szállítói karbantartói csatornákon pedig erős identitás és MFA kell. Az ipari védelem többi elemét az OT-szolgáltatások oldala mutatja be.
