Network Access Control (NAC) is een netwerkbeveiligingstechnologie die voorkomt dat onbevoegde gebruikers en apparaten privénetwerken binnenkomen en toegang krijgen tot gevoelige bronnen. NAC, ook bekend als Network Admission Control, kreeg voor het eerst voet aan de grond in ondernemingen in het midden tot het einde van de jaren 2000 als een manier om endpoints te beheren door middel van basisscan- en blokkeertechnieken.
Nu kenniswerkers steeds mobieler worden en BYOD-initiatieven zich over organisaties verspreiden, ontwikkelen oplossingen voor netwerktoegangsbeheer zich niet alleen om gebruikers te verifiëren, maar ook om endpoints te beheren en beleidsregels af te dwingen.
Werkingsprincipe
Tools voor netwerktoegangscontrole detecteren en geven inzicht in alle apparaten op het netwerk. Software voor netwerktoegangscontrole voorkomt dat onbevoegde gebruikers het netwerk binnenkomen en dwingt beleidsregels af op eindpunten om ervoor te zorgen dat apparaten voldoen aan de beleidsregels voor netwerkbeveiliging.
Apparaten die niet aan de eisen voldoen, kunnen worden geblokkeerd van het netwerk, in quarantaine worden geplaatst of beperkte toegang krijgen.
Netwerktoegangscontrole werkt in twee fasen. De eerste fase, authenticatie, identificeert de gebruiker en controleert zijn referenties. De meeste tools ondersteunen meerdere authenticatiemethoden, waaronder wachtwoorden, eenmalige wachtwoorden en biometrie.
In de tweede fase dwingt Network Access Control een aantal beleidsfactoren af, waaronder de gezondheid van het apparaat, de locatie en gebruikersrollen. De meeste appliances hebben ook de mogelijkheid om toegang per rol te beperken, zodat gebruikers alleen toegang hebben tot de bronnen die ze nodig hebben om hun werk te doen.
Als een gebruiker of apparaat niet slaagt voor de authenticatie- of autorisatiefase, blokkeren of plaatsen tools voor netwerktoegangscontrole het apparaat en/of de gebruiker in quarantaine.
Wat zijn de verschillende soorten methoden voor netwerktoegangscontrole?
Methoden voor netwerktoegangscontrole kunnen op veel manieren verschillen, maar twee veelvoorkomende verschillen hebben te maken met wanneer een apparaat wordt gecontroleerd en hoe het systeem informatie van het netwerk verzamelt.
Pre-toelating en post-toelating: Er zijn twee manieren om toegang tot eindapparaten te autoriseren. In een pre-toelatingsontwerp worden apparaten geïnspecteerd en worden beleidsregels afgedwongen voordat ze toegang krijgen tot het netwerk. Deze methode is het meest geschikt voor gebruikssituaties waarbij het apparaat mogelijk niet over de nieuwste antivirus- en antimalwaresoftware beschikt.
Een alternatief ontwerp na toelating richt zich minder op de houding van het apparaat en meer op de gebruiker, waarbij beleid wordt afgedwongen op basis van gedrag. Deze aanpak werkt goed voor gebruikssituaties zoals gasttoegang, waarbij online activiteit vaak beperkt is tot gebruik zoals surfen op het web en het controleren van e-mail.
Veel NAC-producten bieden een combinatie van deze methoden, die kunnen verschillen per locatie, apparaattype of gebruikersgroep.
Agent-gebaseerd vs. agentloos ontwerp: Een ander architecturaal verschil is agentgebaseerde versus agentloze informatieverzameling. Sommige leveranciers van Network Access Control vereisen dat gebruikers agentsoftware downloaden op hun clientapparaten. De agent rapporteert dan de apparaatkenmerken terug aan het NAC-systeem.
Als alternatief scannen agentless oplossingen voor netwerktoegangscontrole continu het netwerk en de inventaris van apparaten, waarbij ze vertrouwen op het gedrag van apparaten en gebruikers om uitvoeringsbeslissingen te nemen.
Kernmogelijkheden van NAC-systeem
Network Access Control beschermt het netwerk door middel van meerdere kernfuncties. Deze omvatten:
Authenticatie en autorisatie: Beheer de toegang van gebruikers en apparaten tot bronnen.
Gecentraliseerd beheer van de levenscyclus van beleidsregels: Dwing beleidsregels af voor alle gebruikers en apparaten en beheer beleidswijzigingen in de hele organisatie.
Ontdekking, zichtbaarheid en profielen: Vind apparaten op uw netwerk, identificeer ze en plaats ze in groepen met specifieke profielen terwijl onbevoegde gebruikers en niet-conforme apparaten worden geblokkeerd.
Toegang tot het gastnetwerk: Beheer gasten en geef ze tijdelijke en vaak beperkte toegang via een aanpasbare selfserviceportal.
Controle van de beveiligingsstatus: Evalueer de naleving van het beveiligingsbeleid op basis van gebruikerstype, apparaattype, locatie, versie van het besturingssysteem en andere door de organisatie gedefinieerde beveiligingscriteria.
Respons bij incidenten: Automatisch verdachte activiteiten blokkeren, niet-conforme apparaten in quarantaine plaatsen en waar mogelijk apparaten bijwerken om ze conform te maken - allemaal zonder tussenkomst van IT.
Bi-directionele integratie: Integreer NAC met andere beveiligingstools en netwerkoplossingen via open/RESTful API's, zodat contextuele informatie kan worden gedeeld (IP- en MAC-adressen, gebruikers-ID's, gebruikersrollen, locatie, enz.)
Netwerktoegangscontrole en Zero Trust
Hoewel NAC een bijna 20 jaar oude technologie is, is de toepassing ervan meestal beperkt gebleven tot middelgrote en grote ondernemingen. Nu de netwerkrand zich echter steeds verder uitbreidt buiten de fysieke bedrijfsgrenzen en de COVID-19 pandemie de acceptatie van thuis-, mobiele en hybride werkomgevingen versnelt, is NAC een technologie geworden die een zero-trust beveiligingsaanpak mogelijk maakt.
Nu netwerken steeds gedistribueerder en complexer worden, moeten cyberbeveiligingsteams manieren vinden om zicht te houden op devices connected to the furthest reaches of an organization’s network. Netwerktoegangscontrole biedt deze mogelijkheid door detectie en zichtbaarheid van alle apparaten die het netwerk binnenkomen, gecentraliseerde toegangscontrole en handhaving van het beleid op alle apparaten.
Belangrijkste gebruikssituaties
Toegenomen mobiliteit van werknemers, een toename van het aantal BYOD-apparaten en de noodzaak om hybride werkomgevingen te ondersteunen als gevolg van de pandemie, drijven de behoefte aan sterkere toegangscontrole tot het netwerk. Gebruikelijke toepassingen voor netwerktoegangscontrole zijn onder andere:
Guest and Partner Access: Network Access Control solutions allow organizations to provide temporary, restricted access to guests, partners, and contractors. Network Access Control solutions probe guest devices to ensure they comply with the organization’s security policies.
BYOD and work from anywhere: As knowledge workers become increasingly mobile, Network Access Control is used to authenticate users who may be on unknown devices and in unknown locations, while also enforcing policies against those users and devices. If an employee takes a company device home, Network Access Control ensures that no external malware infiltrates the network when the device re-enters the organization’s network.
De work-from-home en anywhere-anywhere hybride werkomgevingen die zijn ontstaan tijdens de COVID-19 pandemie hebben een vergelijkbaar patroon gevolgd, met oplossingen voor netwerktoegangscontrole die gebruikers verifiëren, ervoor zorgen dat apparaten voldoen aan beleidsregels en de toegang tot bronnen beperken op basis van: locatie en rol van de gebruiker.
IoT: Network Access Control’s ability to provide visibility, device analytics, policy enforcement, and access management helps reduce the risks associated with IoT devices entering corporate networks. Network Access Control tools can inventory and tag each device as it enters the network, classify IoT devices into groups with limited permissions, and continuously monitor the behavior of IoT devices. Network Access Control will automatically enforce rules to ensure devices comply with business, security, and compliance-related policies.
Medische apparaten: Voor IoT-apparaten in sterk gereguleerde zorgomgevingen kan Network Access Control niet alleen ongeautoriseerde toegang tot apparaten en medische dossiers detecteren en blokkeren, maar ook beleidsregels afdwingen die ervoor zorgen dat apparaten in het zorgnetwerk voldoen aan regelgeving zoals HIPAA . Netwerktoegangscontrole kan ook beleidsregels afdwingen wanneer medische professionals op afstand toegang krijgen tot het netwerk.
Respons bij incidenten: Na het inzetten van een NAC-systeem kunnen organisaties het gebruiken om informatie, zoals gebruikers-ID, apparaattype en contextuele informatie te delen met beveiligingsproducten van derden. Dit maakt geautomatiseerd reageren op incidenten mogelijk, waarbij het NAC-systeem automatisch reageert op waarschuwingen voor netwerkbeveiliging door mogelijk gecompromitteerde apparaten te blokkeren en/of in quarantaine te plaatsen zonder tussenkomst van IT.
Netwerktoegangscontrole en compliance
Naleving van regelgeving is een drijfveer geworden voor Network Access Control omdat steeds meer industrieën reguleren hoe bedrijven omgaan met consumentengegevens en privacy beschermen. NAC-systemen kunnen organisaties helpen om te blijven voldoen aan een reeks voorschriften, waaronder HIPPA, PCI-DSS, GLBA, SOX, GDRP en CCPA.
Deze privacyvereisten richten zich meestal op het begrijpen van het wie, wat, wanneer en waar van gebruikers en apparaten op het netwerk, terwijl de toegang tot gevoelige gegevens wordt beperkt tot alleen diegenen met legitieme behoeften. Aantonen dat je dit alles hebt bereikt door middel van herhaalbare en controleerbare processen is ook essentieel voor compliance.
Netwerktoegangscontrole kan aan verschillende wettelijke vereisten voldoen met toegangscontrole, handhaving van beleidsregels voor gebruikers en apparaten, zichtbaarheid van het netwerk en audittrails. Bovendien hebben veel leveranciers van netwerktoegangscontrole ingebouwde functionaliteit om organisaties te helpen bij het automatiseren van de naleving van veelvoorkomende voorschriften zoals HIPPA, PCI-DSS en SOX.
