Viren, Würmer und Trojaner stören heutzutage mehr denn je die Geschäftsabläufe und können zu einem großen wirtschaftlichen Schaden führen. In der Regel reagieren die installierten Schutzkomponenten erst auf eine Bedrohung oder gar Angriff mit dem Update aktueller Patches und Signaturen. Doch ist dies eigentlich zu spät: Der Schädling kann sich bereits im gesamten Firmennetz oder sogar bis zu angebundenen Kunden verbreitet haben. »Network Access Control« (NAC) tritt hier nun als Lösung zur proaktiven Absicherung der Netzwerke auf. NAC sorgt für die Einhaltung definierter Sicherheitsrichtlinien im gesamten Netzwerk bis hin zum Endgerät - und will dadurch die Intelligenz im Netzwerk steigern können. Durch den Einsatz von NAC im Unternehmen wird der Netzwerkzugriff von Endgeräten wie etwa PCs, Laptops oder Servern auf Einhaltung der unternehmensweiten Sicherheitsrichtlinien überprüft. NAC identifiziert nichtkonforme Endgeräte und verweigert den weiteren Netzwerkzugriff. Diese werden dann wahlweise in ein Quarantänenetz umgeleitet oder erhalten nur eingeschränkten Zugriff auf das Unternehmensnetzwerk.Markus Nispel, Director Solution Architecture Enterasys Networks, rechnet mit dem breiten Einsatz von NAC in zwei bis fünf Jahren. »Mit Network Access Control steht wieder einmal eine Technologie am Anfang des Gartner Hype Cycle«, weiß Nispel. Sowohl aus Sicht der Hersteller als auch der Kunden biete NAC eine Reihe von Vorteilen und Möglichkeiten. »Sie stellt aber auch eine Herausforderung insbesondere an die Struktur und Organisation der Unternehmen dar, die eine entsprechende NAC-Lösung einsetzen möchten.«Aktuell tummeln sich über 35 Hersteller in diesem Markt und die Zahl wächst fast täglich. Darunter sind einige der etablierten Player aus dem Netzwerk- und auch aus dem Securitymarkt. Laut einer Umfrage von Network Computing im Juni 2006 vertrauen bereits 37 Prozent der Unternehmen darauf, dass ein Netzwerkhersteller eine entsprechende Lösung bietet und 25 Prozent setzen auf einen respektive ihren etablierten Securityhersteller. »NAC-Lösungen werden aus Komponenten beider Lager bestehen«, sieht Nispel. In einer anderen Studie, diesmal von Infonetics, wird ein weltweites Umsatzwachstum von 323 Millionen Dollar in 2005 auf 3,9 Milliarden Dollar im Jahr 2008 erwartet. Ein Gros des Wachstums wird dabei im Switchbereich passieren.User-centric. NAC ist eine benutzerfokussierte Technologie, die ein genutztes Endgerät autorisiert und Zugriff auf Ressourcen gewährt - auf der Basis der Authentisierung der Identität des entsprechenden Benutzers sowie auf dem Status des Gerätes. Diese Parameter werden im sogenannten »Pre-Connect Assessment« ermittelt - also vor Anschluss an die Infrastruktur. Es sollte aber auch dann im laufenden Betrieb eine überprüfung erfolgen, welche als »Post-Connect Assessment« bezeichnet wird. Teilweise wird auf den einen oder anderen Baustein im Rahmen einer Implementierung auch verzichtet - je nach Kundenanforderung. Die Parameter gelten für alle Endgeräte und Nutzer am Netz: eigene Mitarbeiter, Partner, Gäste, Kunden und sonstige Geräte wie Drucker oder Videokameras. NAC ist aber auch nicht das Allheilmittel gegen beliebige Sicherheitsprobleme. Insbesondere falsches Nutzerverhalten und Angriffe auf Applikationsebene können mittels NAC kaum erkannt werden, es sei denn, man setzt intensiv auch Post-Connect-Assessment-Techniken ein. Herausforderungen. NAC ist insbesonders eine organisatorische Herausforderung für größere Unternehmen. Um die gewünschten Effekte zu erzielen, müssen in Großunternehmen die Netzwerk-, die Security- und die Desktopmanagement-Abteilung eng verzahnt miteinander arbeiten. In der Konzeptionsphase und insbesonders im Betrieb muss die Netzwerkabteilung eine entsprechende Authentifizierung der Endgeräte und Nutzer durchführen. Dazu muss Zugriff auf die Directory Services erfolgen. Die Sicherheitsabteilung wiederum hat die Compliance-Vorgaben zu kommunizieren. Und die Desktopmanagementabteilung muss die Vorgaben prüfen und in geeigneter Form der Netzwerkabteilung als zusätzlichen Parameter bei der Authentifizierungsphase mitteilen. Die Securityabteilung hat zusammen mit der Netzwerkabteilung zu definieren, was bei einem »non-compliant« Endsystem zu tun ist, welche Zugriffe noch möglich sein sollen und in welchen Schritten das Problem zu beheben ist. Hinzu kommt die entscheidende Frage zur Auswahl der adäquaten Technik. Da sich der Markt noch am Anfang befindet, konkurrieren viele unterschiedliche Ansätze miteinander - wobei sich am Horizont aber schon auch eine Standardlösung abzeichnet. Je nach Unternehmen kann auf diese gewartet werden oder es müssen sinnvolle Zwischenschritte unternommen werden, die zum gewünschten Ziel führen. Folgende Lösungen werden in den nächsten zwei bis fünf Jahren wohl die dominierende Position einnehmen, schätzt der Enterasys-Experte:Microsoft NAP … Die »Microsoft NAP Network Access Protection«-Lösung, die mit MS Vista und Longhorn-Server Einzug hält, wird wohl erst ab Anfang 2008 allgemein bereitstehen. Die Beta-Tests und Early-Adaptor-Implementierungen sind für 2007 geplant und teilweise schon am Laufen. Es wird auch einen NAP-Client für Windows XP geben. Da der Endgerätemarkt nicht nur aus Microsoft-Produkten besteht, ist insbesondere hier ein Standard notwendig, der sich mit der »Trusted Computing Group« und deren Sub-Group »TNC-SG Trusted Network Connect« abzeichnet. Vereinzelt sind auch schon Produkte zu finden, die diese Spezifikation unterstützen. Ein großer Durchbruch ist aber in 2007 zumindest für TNC noch nicht zu sehen obwohl schon mehr als 160 Unternehmen dort Mitglied sind.… vs. Cisco CNAC. Cisco setzt im CNAC-Programm auf die Integration von Partnern mittels proprietärer Protokolle. Nachdem die Entwicklung bei Ciscos NAC-Lösung auf sich warten ließ, um alle Geräte unterstützen zu können, hat Cisco nun erkennen müssen, dass die Kundenbasis mit ihren Infrastrukturupgrades noch nicht für CNAC bereit ist. Und schnell wurde ein Unternehmen gekauft - Perfigo -, um dessen Produkt »CleanAccess« in das CNAC einzubauen.Fazit. Auf der Desktopebene wird Microsoft mit seinem NAP-Agent wohl eine maßgebliche Rolle spielen - in Bezug auf Sicherheit zieht Microsoft hier die Daumenschrauben stark an. Die Akzeptanz der TNC-Implementierungen wird in der Non-Microsoft-Welt groß sein, für Microsoft-basierte Endsysteme bleibt dies abzuwarten, schätzt Nispel, »der NAC-Markt ist noch sehr volatil«. Generell ist darauf zu achten, dass der Hersteller eine flexible Architektur besitzt - mit offenen Schnittstellen, um sich den Marktgegebenheiten anpassen zu können. Was ist Network Access Control?Ein neues Werkzeug für die Netzwerksicherheit: Dank Network Access Control (NAC) kann rasch entscheiden werden, welche Nutzer oder Geräte Zugriff auf ein Netzwerk haben dürfen. Böse Computer können dadurch leicht blockiert, gute Gastcomputer effizient begleitet werden. So wird sichergestellt, dass alle Geräte im Netzwerk mit den Sicherheitsrichtlinien des Unternehmens übereinstimmen. Eine NAC-Lösung sorgt dafür, dass nur geschützte Computer Zugriff auf das Netzwerk haben.Desktops, Laptops, verdrahtete oder drahtlose Computer, die sich mit dem Netzwerk verbinden, werden über NAC erkannt und verwaltet. Dabei geht es bis ins kleinste Detail: Verfügen Betriebssysteme nicht über die neuesten Patches, sind Firewalls ausgeschaltet oder werden nicht erlaubte Anwendungen verwendet, kann der Netzwerkzugriff verweigert werden.Die Folge: Das Netzwerk wird proaktiv geschützt und Kosten, die entstehen, wenn Systeme nicht mit den Richtlinien übereinstimmen, sinken. In der Regel sinken mit der Implementierung einer NAC-Lösung die Security-Events dramatisch. Angewendet wird das Konzept bereits in Netzwerkprotokollen aller Art: auch in Drahtlosennetzwerken (WLAN) und Weitverkehrsnetzen (WAN). NAC in neuer VersionDie Netzwerkhersteller haben es, die Securityspezialisten haben es. Network Access Control (NAC) ist bereits in allen gängigen Systemen integriert - so auch in den Sicherheitskonzepten von Marktplayern wie McAfee, Sophos oder Symantec. Letztere haben zuletzt ihre NAC-Lösung mit neuen Funktionen erweitert, die die Zugangskontrolle und Sicherheitsbewertungen von verwalteten und fremden Endgeräten gewährleisten. Die neue Symantec-Software vereint drei Sicherheitsbewertungsmodelle: konstante Agenten, temporäre Agenten und die Fernanalyse des Gefahrenpotenzials. Das Resultat ist eine vollständige Lösung zur Auswertung sämtlicher Endgeräte am Netzwerk. Mit der agentenlosen Scanfunktion lässt sich das Gefahrenpotenzial von Endgeräten, die sich an das Unternehmensnetzwerk anbinden, präzise überprüfen. Diese Funktion ist besonders dann interessant, wenn Gastrechner im Unternehmen eingesetzt werden oder von Windows abweichende Betriebssysteme. Auch Peripheriegeräte, wie beispielsweise Drucker, können damit ausgewertet werden. Mit der Integration eines MacOSX-Agenten und der integrierten 802.1X Supplicant-Schnittstelle möchte »Symantec Network Access Control 5.1.5« eine der flexibelsten und umfassendsten Lösungen in diesem Produktsegment sein.