Toen ruim 10 jaar geleden medewerkers steeds mobieler werden en BYOD-initiatieven (Bring Your Own Device ofwel het meenemen van je eigen mobiel of tablet en verbinden met het bedrijfsnetwerk) zich over organisaties verspreidden, ontwikkelden NAC-oplossingen zich niet alleen om gebruikers te verifiëren, maar ook om endpoints te beheren en beleidsregels af te dwingen.
Network Access Control voorkomt dat niet-geautoriseerde gebruikers en apparaten netwerken binnenkomen en toegang krijgen tot gevoelige bronnen. NAC, ook bekend als Network Admission Control, kreeg voor het eerst voet aan de grond in het bedrijfsleven als een manier om endpoints te beheren met eenvoudige scan- en blokkeertechnieken.
NAC is essentieel om ervoor te zorgen dat de gebruikers die toegang krijgen tot netwerken, gegevens, apparaten en softwarebronnen, daartoe naar behoren zijn geautoriseerd. In veel gevallen is dit een fundamenteel beveiligingsaspect, waarbij ervoor wordt gezorgd dat gevoelige gegevens en functies niet in handen vallen van mensen die er opzettelijk of onopzettelijk gebruik van zouden kunnen maken.
NAC is om die reden belangrijk, omdat het in staat is het beleid te beheren dat de toegangsvereisten definieert en uitvoert, en ervoor zorgt dat er een consistente aanpak is voor toegang vanaf verschillende endpoints. Het zorgt ervoor dat elk eindpunt dat verbinding maakt met een netwerk, zich houdt aan een baseline van beveiligingsstatus, terwijl beheerders ook per geval toegang kunnen verlenen, intrekken en in quarantaine plaatsen.
Hoe NAC werkt
NAC-tools detecteren alle apparaten in het netwerk en bieden inzicht in die apparaten. NAC-software voorkomt dat onbevoegde gebruikers het netwerk binnenkomen en dwingt beleidsregels af op endpoints om ervoor te zorgen dat apparaten voldoen aan het netwerkbeveiligingsbeleid. NAC-oplossingen zorgen er bijvoorbeeld voor dat het endpoint is voorzien van up-to-date antivirus- en anti-malwarebescherming. Apparaten die niet aan de eisen voldoen, kunnen worden geblokkeerd van het netwerk, in quarantaine worden geplaatst of beperkte toegangsrechten krijgen.
NAC werkt in twee fasen. In de eerste fase, de authenticatie, worden gebruikers geïdentificeerd en wordt hun legitimatie gecontroleerd. De meeste NAC-tools ondersteunen verschillende authenticatiemethoden, waaronder wachtwoorden, eenmalige pins en biometrische gegevens.
In de tweede fase dwingt NAC een aantal beleidsfactoren af, waaronder de gezondheid van het apparaat, de locatie en de rol van de gebruiker. De meeste NAC-apparaten hebben ook de mogelijkheid om de toegang te beperken op basis van rol, waardoor gebruikers alleen toegang krijgen tot de bronnen die nodig zijn om hun werk te doen.
Een NAC oplossing kan uw organisatie veel opleveren door de netwerkperimeter te bewaken op bedreigingen en aanvallen. Het systeem zal echter pas echt zijn waarde bewijzen wanneer u er een beleid voor netwerktoegangscontrole in opbouwt. Dat beleid is een lijst van regels, specifiek voor uw onderneming, die bepaalt wie toegang heeft tot welke bronnen.
Wat zijn de voordelen van NAC?
Grote ondernemingen waren een van de eersten die overstapten op NAC, omdat het beheer van hun complexe netwerken en gebruikersbestanden erdoor werd vereenvoudigd. NAC biedt onder meer de volgende voordelen
Beveiliging van gebruikersapparaten
NAC-oplossingen dichten een belangrijk gat in de netwerkbeveiliging door netwerktoegang te ontzeggen aan apparaten van gebruikers die niet aan de eisen voldoen. NAC-clientagents – of ze nu worden uitgevoerd op een beheerde laptop of op de mobiele telefoon van een gebruiker – zorgen ervoor dat alle apparaten die op het netwerk zijn aangesloten, de nieuwste beveiligingsupdates hebben. De quarantaine- en remediëringssystemen vormen een laatste verdedigingslinie om gecompromitteerde en niet-conforme apparaten buiten het netwerk te houden.
Zichtbaarheid
Gebruikersapparaten en endpoints zijn de belangrijkste vectoren voor cyberaanvallen. NAC-oplossingen geven beveiligingsprofessionals een gedetailleerd overzicht van de apparaten die op hun netwerken zijn aangesloten en van de beveiligingsstatus van elk apparaat. Deze zichtbaarheid biedt bruikbare inzichten in de beveiligingsrisico’s van het netwerk.
Geautomatiseerde beleidshandhaving
NAC-oplossingen zijn ingebouwd in de netwerkinfrastructuur van een bedrijf, waardoor het NAC-beleid automatisch wordt uitgevoerd. Terwijl gebruikers en apparaten door een sterk gesegmenteerd netwerk navigeren, vermindert de automatisering van de NAC-oplossing de administratieve overhead.
En de nadelen?
Hoewel deze voordelen ook voor kleine en middelgrote bedrijven aantrekkelijk zouden moeten zijn, vereisen traditionele NAC-oplossingen de resources van een grote ondernemingen. Er zijn ervaren professionals nodig om NAC te implementeren binnen een gesegmenteerde netwerkarchitectuur. Bovendien is NAC geen set-it-and-forget-it-oplossing. Specialisten moeten het systeem bewaken, opkomende bedreigingen aanpakken en reageren op (veranderende) zakelijke behoeften.
Toch worstelen zelfs de grootste bedrijven met NAC. Veranderende technologie en verschuivingen in de aard van het personeelsbestand hebben toegangscontrole ingewikkeld gemaakt. Het mainstreamen van het bring your own device (BYOD)-beleid dwingt NAC-oplossingen tot het uiterste. Bedenk maar eens hoe moeilijk het is om consistente beleidsregels op te stellen voor de smartphones van gebruikers. Vrijwel alle iPhone-gebruikers hebben gelijktijdig toegang tot de nieuwste iOS-versie, maar het gefragmenteerde Android-ecosysteem heeft maanden of jaren nodig om volledig te worden beveiligd.
Het moderne personeelsbestand maakt het ook moeilijker om NAC te beheren. Naast werknemers zijn bedrijven afhankelijk van een mix van freelancers, consultants en andere derden. Deze mensen komen en gaan en hun rollen veranderen regelmatig. Alleen een speciaal administratief team kan de voortdurende wisseling van rechten bijhouden.
Moderne NAC-benaderingen
Gezien de inherente zwakte van op hardware gebaseerde beveiligingsbenaderingen, wenden organisaties zich tot modernere benaderingen van netwerktoegangscontrole. In plaats van een kwetsbaar fysiek netwerk te beschermen, gaan ze over op softwaregedefinieerde perimeters (SDP). In plaats van zich te concentreren op de beveiliging van het netwerk, richt SDP zich op de beveiliging van de gebruiker, de toepassing en de connectiviteit daartussen. Deze aanpak biedt nog een voordeel: Met SDP kunnen bedrijven on-premise en externe gebruikers binnen hetzelfde systeem beheren.
De meest robuuste manier om moderne beveiligingsrisico’s aan te pakken is door een SDP te implementeren met een Zero-Trust Network Access (ZTNA)-oplossing. Zoals de naam al aangeeft, gaat ZTNA er niet van uit dat een gebruiker of apparaat op elk moment kan worden vertrouwd. Gebruikers wordt standaard de toegang geweigerd, tenzij ze slagen voor een “need-to-know”-beoordeling. ZTNA beoordeelt ook de beveiligingsstatus van het apparaat van de gebruiker en de inkomende netwerkverbinding. De gebruikers-, apparaat- en netwerkbeoordelingen bepalen welke rechten moeten worden toegekend.
Door SDP met een op ZTNA gebaseerd product te implementeren, kunnen organisaties veilige, fijnkorrelige perimeters rond elke bron instellen zonder dure investeringen in hardware infrastructuur. Cloud-hosted en X-as-a-Service resources kunnen binnen hetzelfde systeem worden beschermd.
NAC wel of niet?
De keuze om NAC te implementeren kan de netwerkbeveiliging van een organisatie drastisch verbeteren door meer controle mogelijk te maken over welke apparaten toegang krijgen tot het netwerk, en waartoe ze toegang krijgen. Door ongeautoriseerde partijen, zoals bezoekers of derden, effectief in specifieke netwerksegmenten te sandboxen, kan het risico op een opzettelijke of onopzettelijke inbreuk worden verkleind.
Overweeg of de belangrijkste voordelen van NAC — zoals meer controle over BYOD en IoT, meer fijnmazige toegang tot netwerkshares en betere bescherming tegen cyberdreigingen — de investering waard zijn. Houd er rekening mee dat de implementatie van NAC niet alleen uitgaven vooraf vergt, maar ook doorlopende investeringen met zich meebrengt in de vorm van extra licenties, training, monitoring van het NAC-systeem en het reageren op waarschuwingen.
Ga ook na welke beveiligingssystemen reeds op uw netwerk aanwezig zijn. Worden deze effectief gebruikt, of is het alleen maar witte ruis? Als een organisatie ervoor kiest NAC te implementeren, moet het ervoor zorgen dat het integreert met bijvoorbeeld zijn MDM- of SIEM-producten. Dit bespaart de extra overhead van het beheer van verschillende IT-beveiligingssystemen op afzonderlijke platforms.
En als laatste bekijk of uw organisatie voldoende tijd beschikbaar heeft om waarschuwingen uit het NAC systeem te controleren. Zonder toezicht op en interpretatie van waarschuwingen kunnen de door het systeem verstrekte gegevens in het beste geval worden verspild en in het slechtste geval worden verstoord — als de netwerktoegang wordt geblokkeerd voor een gebruiker die deze nodig heeft.
Meer vragen dan antwoorden?
Meer weten over welke specifieke oplossingen binnen het secure access domein beschikbaar zijn? Lees verder op onze SA pagina. Of neem contact op met SolidBE en laat u persoonlijk informeren door één van onze NAC specialisten.
