Network Access Control (NAC) w praktyce: bezpieczna sieć korporacyjna z Cisco ISE

W erze pracy zdalnej, BYOD (Bring Your Own Device) i wewnętrznych zagrożeń, klasyczne firewalle to za mało. Firmy potrzebują narzędzi, które dadzą im kontrolę dostępu do sieci, widoczność urządzeń i możliwość natychmiastowej reakcji. Takie funkcje zapewniają systemy NAC (Network Access Control) – w szczególności Cisco ISE.

Dlaczego kontrola dostępu do sieci to dziś konieczność?

Środowisko IT nie przypomina już zwartej, zamkniętej infrastruktury, którą dało się chronić wyłącznie za pomocą firewalla ustawionego na granicy sieci. Obecnie granice organizacji są płynne:

• pracownicy pracują zdalnie,
• korzystają z prywatnych urządzeń,
• infrastruktura firmowa coraz częściej obejmuje dziesiątki, a nawet setki różnorodnych punktów dostępowych, fizycznych i wirtualnych.

W takiej rzeczywistości coraz większym zagrożeniem jest nie tylko zewnętrzny atakujący, lecz także nieświadomy użytkownik wewnętrzny, który – działając w dobrej wierze – może naruszyć bezpieczeństwo organizacji.

Przykład: pracownik podłącza prywatny sprzęt do sieci firmowej, instaluje aplikację bez zgody działu IT lub nieświadomie przynosi zainfekowanego pendrive’a. W wielu organizacjach nie istnieje żaden mechanizm, który w sposób ciągły weryfikuje:

• jakie urządzenia pojawiają się w sieci,
• skąd pochodzą,
• jakie mają uprawnienia.

W efekcie jedno nieautoryzowane podłączenie może umożliwić rozprzestrzenienie się zagrożenia w obrębie całej infrastruktury. Dlatego tak ważna jest kontrola dostępu do sieci – nie jednorazowa, ale dynamiczna, dostosowana do aktualnego stanu urządzenia, jego właściciela, lokalizacji i sposobu połączenia.

Co to jest Cisco ISE i czym różni się od typowego systemu NAC?

System NAC (Network Access Control) kojarzy się najczęściej z podstawową weryfikacją użytkownika i urządzenia przy próbie połączenia z siecią. W praktyce taka funkcjonalność to dopiero punkt wyjścia. Cisco ISE (Identity Services Engine) projektowano z myślą o znacznie szerszym zakresie działań: pełnej identyfikacji punktów końcowych, wymuszaniu polityk bezpieczeństwa, współpracy z innymi systemami w infrastrukturze. To system zarządzania kontekstem i zachowaniem urządzeń w całym cyklu ich obecności w sieci.

Cisco ISE działa niezależnie od rodzaju połączenia – przewodowego, bezprzewodowego, czy VPN – i umożliwia jednolite zarządzanie dostępem w całym środowisku. Oferuje też zestaw funkcji, które trudno znaleźć w klasycznych rozwiązaniach NAC:

• weryfikuje tożsamość nie tylko użytkownika, ale również urządzenia, jego typu, stanu systemu i lokalizacji,
• przypisuje dynamiczne uprawnienia w zależności od roli, typu urządzenia, poziomu zgodności z politykami,
• automatycznie reaguje na zmiany, np. odcina stację roboczą od sieci, jeśli wykryje zagrożenie lub brak wymaganych aktualizacji,
• integruje się z innymi komponentami bezpieczeństwa (np. EDR, firewall), przekazując i odbierając kontekst dla jeszcze dokładniejszego reagowania.

Dzięki temu Cisco ISE pozwala nie tylko decydować o tym, kto ma dostęp, ale również – jak długo, w jakim zakresie i pod jakimi warunkami. To system NAC, który aktywnie nadzoruje środowisko sieciowe, a nie tylko rejestruje próby logowania.

Widoczność i segmentacja = klucz do bezpieczeństwa sieci

Kontrola dostępu do sieci to dopiero początek. Równie istotne jest obserwowanie tego, co dzieje się z urządzeniem już po podłączeniu do infrastruktury. Administratorzy potrzebują precyzyjnej informacji:

• jakie urządzenia działają w sieci,
• w którym miejscu są podłączone,
• jakie generują aktywności.

Dzięki temu można szybko wychwycić nietypowe sytuacje, np. komputer, który nagle zaczyna przesyłać duże ilości danych, czy urządzenie, którego wcześniej w organizacji nie było.

Drugim elementem ochrony jest segmentacja. Sieć może być podzielona na odseparowane obszary, tak aby każde urządzenie miało dostęp tylko do tego, co jest mu niezbędne. W praktyce oznacza to, że jeśli pojedynczy laptop zostanie zainfekowany, skutki ograniczają się do niewielkiej części infrastruktury. Złośliwy kod nie ma możliwości swobodnego przechodzenia na inne komputery czy serwery krytyczne dla działania firmy.

Dopełnieniem jest automatyczna weryfikacja stanu stacji końcowych. System potrafi sprawdzić, czy urządzenie ma:

• aktualne poprawki bezpieczeństwa,
• aktywne oprogramowanie ochronne,
• wymagane konfiguracje.

Jeśli warunki nie są spełnione, użytkownik może otrzymać tymczasowy, ograniczony dostęp lub zostać skierowany do specjalnej strefy, w której dostępne są jedynie zasoby potrzebne do przeprowadzenia aktualizacji. Takie podejście pozwala utrzymać ciągłość pracy, a jednocześnie nie dopuszcza do tego, aby niezgodne urządzenie narażało całą organizację.

Goście i BYOD: jak dać dostęp bez ryzyka?

W wielu organizacjach wizyty partnerów czy kontrahentów oznaczają konieczność udostępnienia im sieci. Często odbywa się to w sposób uproszczony: jedno wspólne hasło do Wi-Fi lub całkowicie otwarty dostęp. Taki model nie pozwala jednak na kontrolę tego, kto faktycznie korzysta z zasobów i jakie działania podejmuje.

Cisco ISE wprowadza tu porządek dzięki dedykowanym portalom. Gość, aby uzyskać dostęp, podaje wymagane dane, a administrator albo wyznaczony pracownik decyduje o ich zatwierdzeniu. Cała sesja jest rejestrowana, co pozwala później jednoznacznie zidentyfikować użytkownika i jego aktywność.

Podobny problem dotyczy urządzeń prywatnych pracowników. Model BYOD bywa wygodny, ale jednocześnie rodzi poważne ryzyko, jeśli nie jest odpowiednio kontrolowany. Cisco ISE oferuje proces samodzielnej rejestracji:

• użytkownik loguje się na specjalnym portalu,
• jego sprzęt jest automatycznie oznaczany i przypisywany do właściwej polityki.

Dzięki temu komputer czy smartfon otrzymuje tylko te uprawnienia, które są potrzebne do pracy, bez pełnego dostępu do infrastruktury firmowej.

Co więcej, administratorzy mają możliwość szybkiego odebrania dostępu w razie zgubienia lub kradzieży urządzenia. Cofnięcie certyfikatu przypisanego do sprzętu sprawia, że nawet jeśli trafi on w niepowołane ręce, nie będzie mógł połączyć się z siecią. W ten sposób zarówno goście, jak i pracownicy korzystający z prywatnych urządzeń mogą pracować wygodnie, a jednocześnie nie narażają bezpieczeństwa całej organizacji.

Architektura ISE w skrócie

Cisco ISE można wdrożyć jako urządzenie fizyczne lub jako maszynę wirtualną. W obu wariantach działa identycznie. W mniejszych środowiskach wystarczy pojedyncza instancja. W większych – szczególnie tam, gdzie sieć jest rozproszona – zaleca się użycie kilku instancji, tzw. nodów. Dzięki temu możliwe jest rozłożenie ruchu i zapewnienie działania systemu nawet wtedy, gdy jeden z serwerów przestanie odpowiadać.

Każdy nod może pełnić jedną lub więcej ról, czyli odpowiadać za konkretną część działania systemu. W praktyce oznacza to:

• jeden moduł zarządza politykami i ustawieniami,
• drugi egzekwuje reguły przy połączeniu użytkownika,
• trzeci zapisuje zdarzenia i pozwala je analizować.

W małej firmie wszystkie te funkcje mogą działać na jednym serwerze. W dużej – warto je rozdzielić, żeby system był bardziej wydajny.

Cisco ISE może także współpracować z innymi narzędziami z obszaru bezpieczeństwa używanymi w organizacji. Przykład: jeśli oprogramowanie zabezpieczające wykryje, że komputer został zainfekowany, informacja trafia do ISE, które może od razu ograniczyć temu urządzeniu dostęp do sieci. Takie reakcje odbywają się automatycznie, na podstawie wcześniej ustalonych reguł, bez potrzeby ręcznego działania administratora.

Network Access Control – kilka słów na koniec

Zarządzanie dostępem do sieci to zadanie znacznie bardziej złożone niż jeszcze kilka lat temu. Pracownicy korzystają z prywatnych urządzeń, pracują zdalnie lub hybrydowo, a sieci firmowe są rozproszone i stale zmieniające się. Przewidywalność, na której opierano dotychczasowe modele ochrony, przestała być możliwa.

W wielu organizacjach brakuje jasnych mechanizmów, które umożliwiałyby kontrolę nad tym, kto łączy się z siecią i w jaki sposób. Użytkownicy działają w dobrej wierze, ale nie zawsze świadomie – a to wystarczy, aby naruszyć integralność całego środowiska. Nawet drobna nieuwaga, jak podłączenie niezaufanego urządzenia, może uruchomić łańcuch zdarzeń prowadzący do poważnego incydentu.

W tej sytuacji potrzebne są rozwiązania, które pozwalają nie tylko ograniczać dostęp, ale też monitorować to, co dzieje się po zalogowaniu: jakie urządzenia są aktywne, gdzie się znajdują, jak zostały skonfigurowane i jakie działania podejmują. Izolowanie niezgodnych stacji, ograniczanie dostępu na podstawie stanu technicznego, a także możliwość reakcji w czasie rzeczywistym – to niezbędne elementy każdej odpowiedzialnej strategii zabezpieczeń.