Le contrôle d'accès au réseau (NAC) est une technologie de sécurité réseau qui empêche les utilisateurs et les appareils non autorisés de pénétrer dans les réseaux privés et d'accéder à des ressources sensibles. Le NAC, également appelé « contrôle d'admission au réseau », a fait son apparition dans les entreprises entre le milieu et la fin des années 2000, comme moyen de gérer les terminaux à l'aide de techniques élémentaires d'analyse et de blocage.
À mesure que les travailleurs du savoir gagnent en mobilité et que les initiatives BYOD se généralisent au sein des entreprises, les solutions de contrôle d'accès au réseau évoluent pour non seulement authentifier les utilisateurs, mais aussi gérer les terminaux et faire respecter les politiques.
Principe de fonctionnement
Les outils de contrôle d'accès au réseau détectent tous les appareils présents sur le réseau et permettent de les visualiser. Les logiciels de contrôle d'accès au réseau empêchent les utilisateurs non autorisés d'accéder au réseau et appliquent des règles sur les terminaux afin de garantir que les appareils respectent les politiques de sécurité du réseau.
Les appareils non conformes peuvent être bloqués sur le réseau, mis en quarantaine ou se voir accorder un accès limité.
Le contrôle d'accès au réseau se déroule en deux phases. La première phase, l'authentification, permet d'identifier l'utilisateur et de vérifier ses identifiants. La plupart des outils prennent en charge plusieurs méthodes d'authentification, notamment les mots de passe, les mots de passe à usage unique et la biométrie.
Au cours de la deuxième phase, le contrôle d'accès au réseau applique un certain nombre de critères de politique, notamment l'état de santé des appareils, leur emplacement et les rôles des utilisateurs. La plupart des appliances permettent également de limiter l'accès en fonction des rôles, ce qui permet aux utilisateurs d'accéder uniquement aux ressources dont ils ont besoin pour effectuer leur travail.
Si un utilisateur ou un appareil échoue à la phase d'authentification ou d'autorisation, les outils de contrôle d'accès au réseau bloquent ou mettent en quarantaine l'appareil et/ou l'utilisateur.
Quels sont les différents types de méthodes de contrôle d'accès au réseau ?
Les méthodes de contrôle d'accès au réseau peuvent varier à bien des égards, mais deux différences courantes concernent le moment où un appareil est contrôlé et la manière dont le système recueille les informations sur le réseau.
Pré-admission et post-admission : il existe deux façons d'autoriser l'accès aux terminaux. Dans un modèle de pré-admission, les terminaux sont inspectés et les politiques sont appliquées avant que l'accès au réseau ne leur soit accordé. Cette méthode est particulièrement adaptée aux cas où le terminal ne dispose pas nécessairement des dernières versions des logiciels antivirus et anti-malware.
Par ailleurs, la conception « post-admission » met moins l'accent sur la configuration du dispositif et davantage sur l'utilisateur, en appliquant des règles basées sur le comportement. Cette approche fonctionne bien pour des cas d'utilisation tels que l'accès invité, où l'activité en ligne se limite souvent à des activités telles que la navigation sur le Web et la consultation des e-mails.
De nombreux produits NAC combinent ces différentes méthodes, qui peuvent varier en fonction du lieu, du type d'appareil ou du groupe d'utilisateurs.
Conception avec agent ou sans agent : une autre différence architecturale réside dans la collecte d'informations avec ou sans agent. Certains fournisseurs de solutions de contrôle d'accès au réseau (NAC) exigent que les utilisateurs téléchargent un logiciel agent sur leurs terminaux. Cet agent transmet ensuite les caractéristiques du terminal au système NAC.
Par ailleurs, les solutions de contrôle d'accès au réseau sans agent analysent en permanence le réseau et l'inventaire des appareils, en s'appuyant sur le comportement des appareils et des utilisateurs pour déclencher des décisions d'exécution.
Fonctionnalités clés du système NAC
Le contrôle d'accès au réseau protège le réseau grâce à plusieurs fonctions essentielles. Parmi celles-ci, on peut citer :
Authentification et autorisation : gérer l'accès des utilisateurs et des appareils aux ressources.
Gestion centralisée du cycle de vie des politiques : appliquez des politiques à l'ensemble des utilisateurs et des appareils tout en gérant les modifications apportées à ces politiques à l'échelle de l'entreprise.
Détection, visibilité et profils : repérez les appareils présents sur votre réseau, identifiez-les et regroupez-les selon des profils spécifiques, tout en bloquant les utilisateurs non autorisés et les appareils non conformes.
Accès au réseau pour les invités : gérez les invités et accordez-leur un accès temporaire, souvent limité, via un portail en libre-service personnalisable.
Bilan de la posture de sécurité : évaluez la conformité aux politiques de sécurité en fonction du type d'utilisateur, du type d'appareil, de l'emplacement, de la version du système d'exploitation et d'autres critères de sécurité définis par l'organisation.
Réponse aux incidents : bloquer automatiquement les activités suspectes, mettre en quarantaine les appareils non conformes et les mettre à jour pour les rendre conformes lorsque cela est possible, le tout sans intervention du service informatique.
Intégration bidirectionnelle : intégrez le NAC à d'autres outils de sécurité et solutions réseau via des API ouvertes/RESTful, ce qui lui permet de partager des informations contextuelles (adresses IP et MAC, identifiants utilisateur, rôles des utilisateurs, emplacement, etc.)
Contrôle d'accès au réseau et modèle « Zero Trust »
Bien que la technologie NAC existe depuis près de 20 ans, son adoption s'est principalement limitée aux moyennes et grandes entreprises. Cependant, alors que la périphérie du réseau ne cesse de s'étendre au-delà des limites physiques de l'entreprise et que la pandémie de COVID-19 accélère l'adoption des environnements de travail à domicile, mobiles et hybrides, le NAC est devenu une technologie clé pour une approche de sécurité « zero-trust ».
À mesure que les réseaux deviennent de plus en plus décentralisés et complexes, les équipes chargées de la cybersécurité doivent trouver des moyens de conserver une bonne visibilité sur les appareils connectés aux extrémités du réseau d'une organisation. Le contrôle d'accès au réseau (NAC) offre cette fonctionnalité grâce à la détection et à la visibilité de tous les appareils qui accèdent au réseau, à un contrôle d'accès centralisé et à l'application des politiques sur l'ensemble des appareils.
Principaux cas d'utilisation
La mobilité accrue des employés, l'augmentation du nombre d'appareils BYOD et la nécessité de prendre en charge les environnements de travail hybrides en raison de la pandémie renforcent le besoin de solutions plus robustes contrôles d'accès au réseau. Parmi les cas d'utilisation courants du contrôle d'accès au réseau, on peut citer :
Accès des invités et des partenaires : les solutions de contrôle d'accès au réseau permettent aux entreprises d'accorder un accès temporaire et restreint aux invités, aux partenaires et aux prestataires. Ces solutions analysent les appareils des invités afin de s'assurer qu'ils respectent les politiques de sécurité de l'entreprise.
BYOD et télétravail : alors que les travailleurs du savoir sont de plus en plus mobiles, le contrôle d’accès au réseau (NAC) permet d’authentifier les utilisateurs qui peuvent se connecter à partir d’appareils inconnus et depuis des emplacements inconnus, tout en appliquant des politiques à l’égard de ces utilisateurs et de ces appareils. Si un collaborateur emporte un appareil de l'entreprise chez lui, le contrôle d'accès au réseau garantit qu'aucun logiciel malveillant externe ne s'infiltre dans le réseau lorsque l'appareil réintègre le réseau de l'entreprise.
Les modes de travail à domicile et hybrides (« n'importe où, n'importe quand ») qui ont vu le jour pendant la pandémie de COVID-19 ont suivi un schéma similaire : les solutions de contrôle d'accès au réseau (NAC) authentifient les utilisateurs, garantissent la conformité des appareils aux politiques en vigueur et restreignent l'accès aux ressources en fonction de la localisation et du rôle de l'utilisateur.
IoT : La capacité du contrôle d’accès au réseau (NAC) à offrir une visibilité, des analyses des appareils, l’application des politiques et la gestion des accès contribue à réduire les risques liés à l’entrée d’appareils IoT dans les réseaux d’entreprise. Les outils de contrôle d’accès au réseau peuvent recenser et étiqueter chaque appareil dès son entrée sur le réseau, classer les appareils IoT en groupes dotés d’autorisations limitées et surveiller en permanence leur comportement. Le contrôle d’accès au réseau appliquera automatiquement des règles afin de garantir que les appareils respectent les politiques relatives à l’entreprise, à la sécurité et à la conformité.
Dispositifs médicaux : pour les appareils connectés à l'Internet des objets (IoT) utilisés dans des environnements de santé fortement réglementés, le contrôle d'accès au réseau permet non seulement de détecter et de bloquer les accès non autorisés aux appareils et aux dossiers médicaux, mais aussi d'appliquer des politiques garantissant que les appareils du réseau de santé respectent les réglementations telles que la loi HIPAA. Le contrôle d'accès au réseau permet également d'appliquer ces politiques lorsque les professionnels de santé accèdent au réseau à distance.
Réponse aux incidents : après avoir déployé un système NAC, les entreprises peuvent l'utiliser pour partager des informations, telles que l'identifiant de l'utilisateur, le type d'appareil et des données contextuelles, avec des solutions de sécurité tierces. Cela permet une réponse automatisée aux incidents : le système NAC réagit automatiquement aux alertes de sécurité réseau en bloquant et/ou en mettant en quarantaine les appareils potentiellement compromis, sans qu'une intervention du service informatique soit nécessaire.
Contrôle d'accès au réseau et conformité
La conformité réglementaire est devenue un facteur déterminant dans l'adoption du contrôle d'accès au réseau (NAC), car de plus en plus de secteurs réglementent la manière dont les entreprises traitent les données des consommateurs et protègent la vie privée. Les systèmes NAC peuvent aider les organisations à se conformer à toute une série de réglementations, notamment, mais sans s'y limiter, la loi HIPAA, la norme PCI-DSS, la loi GLBA, la loi SOX, le RGPD et la loi CCPA.
Ces exigences en matière de confidentialité visent généralement à identifier les utilisateurs et les appareils présents sur le réseau (qui, quoi, quand et où), tout en limitant l'accès aux données sensibles aux seules personnes ayant un besoin légitime d'y accéder. Il est également essentiel, pour garantir la conformité, de démontrer que vous avez mis en œuvre toutes ces mesures au moyen de processus reproductibles et vérifiables.
Le contrôle d'accès au réseau permet de répondre à diverses exigences réglementaires grâce au contrôle des accès, à l'application des politiques pour l'ensemble des utilisateurs et des appareils, à la visibilité du réseau et aux pistes d'audit. De plus, de nombreux fournisseurs de solutions de contrôle d'accès au réseau proposent des fonctionnalités intégrées permettant aux organisations d'automatiser la mise en conformité avec des réglementations courantes telles que HIPAA, PCI-DSS et SOX.
