De beste manier om te bepalen wanneer een endpoint toegang moet hebben tot een netwerk is vandaag de dag via Network Access Control (NAC) software. Naast het verlenen van toegang tot het netwerk, biedt NAC software meestal inzicht in het endpoint dat verbinding maakt met de omgeving door informatie van de infrastructuur op te vragen.
Deze bijkomende zichtbaarheid kan verkregen worden uit de karakteristieken van het eindpunt zoals:
- DHCP vingerafdruk
- MAC Organisatie Unieke Identificatie (OUI)
- User Agent
- Internet gedrag
Deze informatie kan de netwerkbeheerder meer security zekerheid geven over het apparaat dat verbinding maakt met hun netwerk. Als we nog een stap verder gaan en er een agent op het eindpunt is geïnstalleerd, kan er nog meer informatie worden achterhaald. Zoals bijvoorbeeld of er een certificaat aanwezig is op de machine, wat de status is van beveiligingssoftware die op het apparaat draait en een overzicht van de processen die op de specifieke machine draaien. Â
Met deze hoeveelheid mogelijkheden is het makkelijk te begrijpen waarom er extra kosten verbonden kunnen zijn aan deze producten die dit type oplossing bieden.
FortiNAC-lite
Die extra kosten hoef je echter niet op te hoesten als je een Firewall en Switch/ Accesspoint van Fortinet al hebt draaien. Deze onderdelen van de Fortinet Security Fabric kunnen zonder extra kosten of licenties gebruik maken van NAC functionaliteit:
- FortiGate
- FortiSwitch
- FortiAP
- FortiClientEMS
Deze componenten kunnen worden geconfigureerd om samen te werken en zo vergelijkbare NAC-functionaliteit te bieden als een product dat specifiek is gemaakt voor toegangscontrole op het netwerk. Door gebruik te maken van deze oplossing kan toegangscontrole worden ingezet op basis van apparaat, gebruiker (captive portal/SSO) of zelfs FortiClient EMS ZTNA Tags.
Fortinet heeft deze NAC features beschikbaar gesteld vanaf FortiOS 6.4. Een minimale configuratie kan dus al gedaan worden met alleen een Fortigate en FortiSwitch/FortiAP aanwezig. Deze NAC-functie kan zelfs per FortiSwitch of per FortiSwitch poort worden ingesteld.
Deze functionaliteit is misschien niet volledig gelijk aan de mogelijkheden van een speciaal gebouwde NAC-oplossing, maar afhankelijk van de use case is een hele handige oplossing. En een kostenefficiënte NAC-oplossing waarvan de meeste beheerders zich wellicht niet bewust waren.
Hoe dan?
Een van de belangrijkste principes bij het toepassen van NAC-beleid op de FortiSwitch is het gebruik van een Onboarding VLAN voor niet-geïdentificeerde apparaten. Dit VLAN heeft meestal beperkte toegang en kan zelfs worden geconfigureerd met een captive portal om een splash page te bieden die de gebruiker moet bevestigen voordat hij toegang krijgt tot bronnen op het netwerk.
NAC policies kunnen aangemaakt worden op een verscheidenheid aan kenmerken. Bij het aanmaken van het NAC-beleid voor het apparaat kunnen de volgende karakteristieken beoordeeld worden:
- Â MAC-adres
- Â Hardware leverancier
- Â Apparaatfamilie
- Â Type
- Â Besturingssysteem
De FortiGate’s mogelijkheid om deze kenmerken te bepalen wordt vergemakkelijkt door het gebruik van de “device detection” functie op de FortiGate en FortiSwitch. Met deze functionaliteit ingeschakeld, kan de Fortinet oplossing passief identificeren welk type apparaat verbinding maakt met de infrastructuur (FortiSwitch) en vervolgens een beleid maken om een soort actie uit te voeren op basis van deze informatie.
De NAC policy kan ook toegepast worden op Wi-Fi wanneer gebruik gemaakt wordt van FortiAP.
Wanneer gebruik gemaakt wordt van FortiClient EMS kan ook gebruik gemaakt worden van ZTNA tags in de NAC Policy. ZTNA tags kunnen toegewezen worden aan FortiClients op vele eigenschappen, met als voorbeeld: ingelogde gebruiker, lidmaatschap gebruiker in domein, aanwezigheid van applicaties/bestanden, aanwezigheid security vulnerabilities, etc.
