Control de acceso a la red

Cuando un ordenador se conecta a una red informática, no tiene permitido acceder a nada a menos que cumpla con una política empresarial definida, que incluye el nivel de protección antivirus, el nivel de actualización del sistema y la configuración. Mientras un agente de software preinstalado verifica el ordenador, este solo puede acceder a los recursos que pueden solucionar (resolver o actualizar) cualquier problema. Una vez que se cumple la política, el ordenador puede acceder a los recursos de la red e Internet, dentro de las políticas definidas por el sistema NAC. NAC se utiliza principalmente para la verificación del estado de los dispositivos, pero a menudo está vinculado al acceso basado en roles. El acceso a la red se otorgará según el perfil del usuario y los resultados de una verificación de estado. Por ejemplo, en una empresa, el departamento de RR. HH. podría acceder solo a los archivos del departamento si tanto el rol como el dispositivo cumplen con los requisitos mínimos de antivirus.

NAC es una categoría de productos de seguridad emergente, cuya definición está en constante evolución y resulta controvertida. Los objetivos generales de este concepto se pueden resumir en:

• Autenticación, autorización y contabilidad de las conexiones de red.
  • Mientras que las redes IP convencionales aplican políticas de acceso en función de las direcciones IP , los entornos NAC intentan aplicar políticas de acceso basadas en identidades de usuario autenticadas , al menos para los dispositivos finales de los usuarios, como ordenadores portátiles y de sobremesa.
• Aplicación de políticas
  • Las soluciones NAC permiten a los operadores de red definir políticas, como los tipos de ordenadores o las funciones de los usuarios autorizados a acceder a áreas de la red, y aplicarlas en conmutadores, enrutadores y dispositivos intermedios de red .
• Verificación del nivel de seguridad de los dispositivos conectados.
  • La principal ventaja de las soluciones NAC es evitar que las estaciones finales que carecen de antivirus, parches o software de prevención de intrusiones accedan a la red y pongan en riesgo a otros ordenadores de contraer virus informáticos .

En el control de acceso a la red (NAC), predominan dos diseños, según si las políticas se aplican antes o después de que los dispositivos accedan a la red. En el primer caso, denominado NAC previo a la admisión , los dispositivos se inspeccionan antes de permitirles el acceso. Un ejemplo típico de NAC previo a la admisión sería impedir que clientes con firmas antivirus desactualizadas se comuniquen con servidores confidenciales. Por otro lado, el NAC posterior a la admisión toma decisiones de aplicación basadas en las acciones de los usuarios, una vez que estos han obtenido acceso a la red.

La idea fundamental de NAC es permitir que la red tome decisiones de control de acceso basadas en información sobre los sistemas finales, por lo que la forma en que la red recibe dicha información es una decisión de diseño clave. Una diferencia fundamental entre los sistemas NAC radica en si requieren software agente para informar sobre las características de los sistemas finales o si utilizan técnicas de escaneo e inventario de red para discernir dichas características de forma remota.

A medida que NAC ha madurado, desarrolladores de software como Microsoft han adoptado este enfoque, incluyendo su agente de protección de acceso a la red (NAP) en sus versiones de Windows 7 , Vista y XP. Sin embargo, a partir de Windows 10, Microsoft ya no ofrece soporte para NAP. También existen agentes compatibles con NAP para Linux y Mac OS X que brindan la misma funcionalidad para estos sistemas operativos.

En algunos sistemas fuera de banda, los agentes se distribuyen en las estaciones finales e informan a una consola central, que a su vez puede controlar los conmutadores para aplicar la política. En cambio, las soluciones en línea pueden ser soluciones de un solo dispositivo que actúan como cortafuegos internos para redes de capa de acceso y aplican la política. Las soluciones fuera de banda tienen la ventaja de reutilizar la infraestructura existente; los productos en línea pueden ser más fáciles de implementar en redes nuevas y pueden proporcionar capacidades de aplicación de red más avanzadas, ya que controlan directamente los paquetes individuales en la red. Sin embargo, existen productos sin agentes que tienen las ventajas inherentes de una implementación fuera de banda más sencilla y menos arriesgada, pero que utilizan técnicas para proporcionar eficacia en línea para dispositivos que no cumplen con la política, donde se requiere la aplicación de la misma.

Los operadores de red implementan productos NAC con la expectativa de que a algunos clientes legítimos se les denegará el acceso a la red (si los usuarios nunca tuvieran parches de seguridad obsoletos, NAC sería innecesario). Por ello, las soluciones NAC requieren un mecanismo para solucionar los problemas de los usuarios finales que les impiden el acceso.

Dos estrategias comunes para la remediación son las redes de cuarentena y los portales cautivos :

Cuarentena

Una red de cuarentena es una red IP restringida que proporciona a los usuarios acceso enrutado únicamente a determinados hosts y aplicaciones. La cuarentena se suele implementar mediante la asignación de VLAN ; cuando un producto NAC determina que un usuario final no tiene la versión actualizada, su puerto de switch se asigna a una VLAN que se enruta solo a los servidores de parcheo y actualización, y no al resto de la red. Otras soluciones utilizan técnicas de gestión de direcciones (como el Protocolo de resolución de direcciones (ARP) o el Protocolo de descubrimiento de vecinos (NDP)) para la cuarentena, evitando la complejidad de gestionar las VLAN de cuarentena.

Portales cautivos

Un portal cautivo intercepta el acceso HTTP a las páginas web y redirige a los usuarios a una aplicación web que proporciona instrucciones y herramientas para actualizar su equipo. Hasta que el equipo supere la inspección automatizada, no se permite ningún otro uso de la red que no sea a través del portal cautivo. Esto es similar al funcionamiento del acceso inalámbrico de pago en los puntos de acceso públicos.

Los portales cautivos externos permiten a las organizaciones liberar a los controladores y conmutadores inalámbricos de la gestión de portales web. Un único portal externo alojado por un dispositivo NAC para la autenticación inalámbrica y cableada elimina la necesidad de crear múltiples portales y consolida los procesos de gestión de políticas.