o NAC
Autor: ORGANIZAÇÃO E PROGRAMAÇÃO "N" | Publicado: 2012-08-22T15:40:00-07:00

Network Access Control&nbsp;(&nbsp;NAC&nbsp;) é uma abordagem para a segurança da rede de computador que tenta unificar&nbsp;endpoint&nbsp;tecnologia de segurança (como&nbsp;antivírus&nbsp;,&nbsp;prevenção de intrusão de máquinas&nbsp;e&nbsp;avaliação de vulnerabilidade&nbsp;), usuário ou sistema&nbsp;de autenticação&nbsp;e execução de segurança de rede.&nbsp;[&nbsp;1&nbsp;]&nbsp;[&nbsp;2&nbsp;]





Antecedentes

Network Access Control (NAC) é um&nbsp;computador&nbsp;de rede&nbsp;solução que utiliza um conjunto de&nbsp;protocolos&nbsp;para definir e implementar uma política que descreve como garantir o acesso a rede&nbsp;nóspor dispositivos quando eles inicialmente tentar acessar a rede.&nbsp;[&nbsp;carece de fontes?&nbsp;]&nbsp;NAC pode integrar o processo de correção automática (fixação não-conformes nós antes de permitir acesso) para os sistemas de rede, permitindo que a infra-estrutura de rede, como roteadores, switches e firewalls para trabalhar em conjunto com servidores de back office e equipamentos de computação final do usuário para garantir o&nbsp;sistema de informação&nbsp;está operando com segurança antes de interoperabilidade é permitido.

Network Access Control pretende fazer exatamente o que o nome sugere controle de acesso a uma&nbsp;rede&nbsp;de políticas, incluindo a admissão de terminais pré-verificações de segurança política e pós-admissão controles sobre onde os usuários e dispositivos podem ir em uma rede eo que eles podem fazer.

Inicialmente&nbsp;802.1X&nbsp;também foi pensado como NAC.&nbsp;Alguns ainda consideram 802.1X como a forma mais simples de NAC, mas a maioria das pessoas pensa em NAC como algo mais.[&nbsp;carece de fontes?&nbsp;]

[&nbsp;editar&nbsp;]Na planície Inglês

Quando um computador se conecta a uma rede de computador, ele não tem permissão para acessar qualquer coisa a menos que cumpra com uma política comercial definida, incluindo anti-vírus nível de proteção, nível de atualização e configuração do sistema.&nbsp;Enquanto o computador está sendo controlado por um agente de software pré-instalado, ele só pode acessar os recursos que podem remediar (resolver ou atualizar) quaisquer problemas.&nbsp;Uma vez que a política é cumprida, o computador é capaz de acessar os recursos de rede e Internet, dentro das políticas definidas no âmbito do sistema NAC.&nbsp;NAC é usado principalmente para exames de saúde de terminais, mas é muitas vezes ligado ao acesso de função de base.&nbsp;Acesso à rede será dada de acordo com o perfil da pessoa e os resultados de uma verificação de postura / saúde.&nbsp;Por exemplo, em uma empresa, o departamento de RH poderia acessar apenas os arquivos do departamento de RH se tanto o papel eo desfecho atende anti-vírus mínimos.

[&nbsp;editar&nbsp;]Objetivos do NAC

Porque NAC representa uma categoria emergente de produtos de segurança, a sua definição é evoluir e controversa.&nbsp;Os objetivos gerais do conceito pode ser destilado para:

Mitigação de&nbsp;não-ataques de dia zero
A proposição de valor fundamental do NAC soluções é a capacidade de impedir finais estações que não têm antivírus, patches, ou host software de prevenção de intrusão de acessar a rede e colocar outros computadores em risco de contaminação cruzada de&nbsp;worms de computador&nbsp;.
Aplicação de políticas
NAC soluções permitem que os operadores de rede para definir políticas, como os tipos de computadores ou funções de usuários autorizados a acessar áreas da rede, e aplicá-las em switches, roteadores e&nbsp;middleboxes rede&nbsp;.
Gerenciamento de identidade e acesso
Onde as redes IP convencionais aplicar políticas de acesso em termos de&nbsp;endereços IP&nbsp;, ambientes NAC tentar fazê-lo com base em&nbsp;autenticados&nbsp;identidades de usuários, pelo menos para o usuário final-estações, como laptops e computadores de mesa.

[&nbsp;editar&nbsp;]Conceitos

[&nbsp;editar&nbsp;]Pré-internação e pós-internação

Há duas filosofias de design vigentes no NAC, com base em se as políticas são aplicadas antes ou depois finais estações ganham acesso à rede.&nbsp;No primeiro caso, chamado&nbsp;de pré-admissãoNAC, estações finais são inspeccionados antes de ser permitido na rede.&nbsp;Um caso de uso típico de pré-admissão NAC seria para impedir que clientes com assinaturas desatualizadas de antivírus, de falar com os servidores sensíveis.&nbsp;Como alternativa,&nbsp;pós-admissão&nbsp;NAC faz decisões de aplicação baseadas em ações do usuário, após os usuários tenham sido fornecidos com acesso à rede.

[&nbsp;editar&nbsp;]Agente contra agentless

A ideia fundamental por trás NAC é permitir que a rede de tomar decisões de controle de acesso baseado em inteligência sobre fim-sistemas, de modo a maneira em que a rede é informado sobre o fim-sistemas é uma decisão de projeto chave.&nbsp;Uma diferença fundamental entre os sistemas de NAC é se eles exigem&nbsp;software agente&nbsp;denunciar final as características do sistema, ou se eles usam técnicas de digitalização e inventário de rede para discernir essas características remotamente.

Como NAC amadureceu, a Microsoft agora oferece sua&nbsp;proteção de acesso à rede (NAP)&nbsp;do agente, como parte de seus lançamentos do Windows 7, Vista e XP.&nbsp;Há agentes NAP compatíveis para Linux e Mac OS X que fornecem perto de inteligência igual para esses sistemas operacionais.

[&nbsp;editar&nbsp;]fora da banda versus linha

Em alguns sistemas de out-of-band, os agentes são distribuídos em estações finais e comunicar as informações para um console central, que por sua vez pode comandar a aplicar a política.&nbsp;Em contraste, as soluções inline pode ser single-box soluções que funcionam como firewalls internos para&nbsp;acesso da camada de redes&nbsp;e fazer cumprir a política.&nbsp;Out-of-band soluções têm a vantagem de reutilização de infra-estrutura existente; produtos inline pode ser mais fácil de implantar em novas redes, e pode fornecer a capacidade de aplicação mais avançados de rede, porque eles estão diretamente no controle de pacotes individuais sobre o fio.&nbsp;No entanto, existem produtos que são sem agente, e tem as vantagens inerentes de mais fácil, menos arriscado implantação out-of-band, mas usar técnicas para fornecer eficácia embutida para dispositivos incompatíveis, onde a execução é necessária

[&nbsp;editar&nbsp;]Remediação, portais de quarentena e de cativeiro

Rede operadores implantar produtos NAC com a expectativa de que alguns clientes legítimos será negado o acesso à rede (se os usuários nunca tinham níveis desatualizados-patch, NAC seria desnecessário).&nbsp;Devido a isso, as soluções de NAC requerem um mecanismo para corrigir os problemas do usuário final que lhes negam acesso.

Duas estratégias comuns para remediação são redes de quarentena e&nbsp;portais cativos&nbsp;:

Quarentena
A rede de quarentena é uma rede IP restrito que fornece aos usuários acesso encaminhados apenas para certos hosts e aplicativos.&nbsp;Quarentena é frequentemente implementada em termos de&nbsp;VLAN&nbsp;atribuição, quando um produto NAC determina que um usuário final está fora de prazo, sua porta de switch é atribuída a uma VLAN que é encaminhado apenas para servidores de correção e atualização, não para o resto do a rede.&nbsp;Outras soluções usar técnicas de gerenciamento de endereço (como&nbsp;Address Resolution Protocol&nbsp;(ARP) ou&nbsp;vizinho Discovery Protocol(NDP)) para quarentena, evitando a sobrecarga de gerenciamento de VLANs de quarentena.
Portais de cativeiro
Um cativo portal intercepta&nbsp;HTTP&nbsp;acesso a páginas web, redirecionando usuários para uma aplicação web que fornece instruções e ferramentas para atualizar o seu computador.&nbsp;Até o seu computador passa de inspeção automatizado, sem o uso da rede, além do portal cativo é permitido.&nbsp;Isto é semelhante à forma como pago acesso sem fios funciona a pontos de acesso público.
Portais cativos externos permitem que as organizações descarregar controladores wireless e switches de hospedagem de portais web.&nbsp;Um único portal externo hospedado por um aparelho NAC para autenticação e sem fio elimina a necessidade de criar vários portais, e consolida os processos de gestão de políticas.

[&nbsp;editar&nbsp;]móvel NAC

Usando NAC em um&nbsp;móvel&nbsp;de implantação, onde os trabalhadores se conectar através de várias&nbsp;redes sem fio&nbsp;por todo o dia de trabalho, envolve desafios que não estão presentes em um fioLAN&nbsp;ambiente.&nbsp;Quando um usuário tem o acesso negado por causa de um&nbsp;segurança&nbsp;preocupação, o uso produtivo do dispositivo é perdido, o que pode afetar a capacidade de realizar um trabalho ou servir um cliente.&nbsp;Além disso, a correção automatizada que leva apenas alguns segundos em uma conexão com fio pode demorar alguns minutos em uma conexão de dados sem fio mais lento, atolando o dispositivo.&nbsp;[&nbsp;3&nbsp;]&nbsp;Um móvel solução NAC dá aos administradores de sistema um maior controle sobre se, quando e como remediar a segurança preocupação.&nbsp;[&nbsp;4&nbsp;]&nbsp;Uma preocupação menor grau, como out-of-date&nbsp;antivírus&nbsp;assinaturas pode resultar em uma simples advertência ao usuário, enquanto questões mais graves podem resultar na colocação do dispositivo.&nbsp;[&nbsp;5&nbsp;]&nbsp;As políticas podem ser definidas para que automatizado remediação, como a empurrando para fora e aplicar segurança&nbsp;correções&nbsp;e atualizações, é retido até que o dispositivo é conectado através de uma&nbsp;Wi-Fi&nbsp;de conexão ou mais rápido, ou após o horário de trabalho.&nbsp;[&nbsp;3&nbsp;]&nbsp;Isto permite aos administradores mais apropriadamente equilibrar a necessidade de segurança contra o objetivo de manter os trabalhadores produtivos.&nbsp;[&nbsp;5&nbsp;]

[&nbsp;editar&nbsp;]Controvérsia

[&nbsp;editar&nbsp;]Spyware

Alguns softwares NAC, como SafeConnect Impulse, exigem a instalação de um agente cliente.&nbsp;Este agente é usado para verificar se o usuário está em conformidade com o acordo de acesso ao site da rede.&nbsp;Isto permite bloquear o acesso à rede para qualquer cliente executando um software não autorizado, atualizações sem manutenção, ou por qualquer outra violação detectada.

[&nbsp;editar&nbsp;]O compartilhamento de arquivos

Algumas faculdades e universidades utilizados sistemas de NAC, a fim de proibir ilegais, bem como legais, aplicativos de compartilhamento de arquivos.

[&nbsp;editar&nbsp;]Rede de velocidade

A implementação de um NAC requer recursos adicionais e despesas.&nbsp;Isso reduz o tempo de acesso e de largura de banda usos.

[&nbsp;editar&nbsp;]802.1x hackers

Alguns vendedores NAC exigir o protocolo 802.1x para ser ativado e o uso de um agente 802.1x / cliente.&nbsp;Provou-se que este protocolo é extremamente fácil de contornar.&nbsp;Há inúmeras maneiras de explorar 802.1x: