ABC della sicurezza: NAC, Network Access Control

Che cosa si intende per NAC?

Nel mondo interconnesso di oggi anche le reti aziendali stentano ad avere confini ben definiti e ciò che prima era limitato alle porte di uno o più switch di rete ora è costituito da una pletora eterogenea, diffusa e dinamica di apparati e punti di accesso differenti. Ai punti di accesso per così dire “wired” si sono aggiunte le reti “wireless” e i collegamenti in mobilità attraverso Internet, tipicamente via VPN. L’irruzione del BYOD all’interno delle aziende ha poi progressivamente reso enormemente più complessa la definizione di perimetri e asset che delimitano da un lato e compongono dall’altro l’ecosistema di un’organizzazione. In questa realtà (“anyone, anywhere, anytime, and on any device“) dai confini impalpabili e in continua evoluzione e movimento, il concetto di NAC (Network Access Control) si è largamente evoluto da quella che, in passato, poteva essere un’appliance di mero controllo di accesso alla rete e autenticazione di un client tramite protocollo 802.1X. L’evoluzione ha portato il NAC ad essere un metodo, un approccio, una soluzione o, se preferite, un processo di ammissione degli utenti e dei dispositivi – ovunque essi si trovino – all’infrastruttura di rete. Sarebbe riduttivo e fondamentalmente errato definire oggi un NAC come un semplice dispositivo che va ad aggiungersi alla rete esistente, una soluzione NAC è infatti qualcosa di molto più articolato.

Lo scopo è quello di rafforzare la postura di sicurezza della rete di un’organizzazione limitando la disponibilità delle risorse della rete stessa ai soli endpoint che risultano essere “in regola” (compliant) con la policy di sicurezza definita dall’organizzazione in questione. La sfida che le soluzioni NAC affrontano è quella di armonizzare fra loro, e imporre al dispositivo/utente che richiede l’accesso, questi tre elementi fondamentali:

• un processo di autenticazione;
• la verifica della funzionalità e/o dell’aggiornamento di diverse criteri e tecnologie di sicurezza (come, ad esempio, le soluzioni antivirus, la presenza di un HIPS, la rispondenza a criteri minimi di sicurezza tramite Vulnerability Assessment);
• l’applicazione (enforcement) di determinate misure di sicurezza nei confronti dell’endpoint.

Per avere successo nella loro missione, le soluzioni NAC ricorrono ad un insieme di protocolli che principalmente entrano in gioco quando un utente/dispositivo tentano il primo accesso alla rete, il NAC può integrare processi di remediation automatici che costringono l’endpoint che risulta non compliant ad adeguarsi alla policy di sicurezza prima di vedere autorizzato il proprio accesso alla rete. Da quanto ho appena descritto si intuisce quanto sia importante l’integrazione del NAC con i dispositivi di rete quali router, switch e firewall. La collaborazione di questi ultimi con le parti della soluzione NAC che governano l’autenticazione, l’identificazione e la compliance dei dispositivi rappresentano il punto cardine del processo di ammissione alla rete che è lo scopo del NAC.

Ricorrendo ad un’analogia, un NAC (almeno nella sua concezione originale e di base) può essere assimilato ad una guardia di frontiera che effettua dei controlli nei confronti di un visitatore straniero (documenti, passaporto, visto, bagagli, effetti personali), per verificare che l’ingresso del forestiero non costituisca un pericolo per la sicurezza della propria nazione e che la persona che desidera entrare sia in effetti chi dichiara di essere e non porti con sè oggetti illegali o pericolosi. Peccato che oggi, come accennato all’inizio, i confini che un NAC deve controllare sono indefiniti, sfumati o addirittura inesistenti.

Cosa accade quando un client non è compliant?

Vediamo ora in maggior dettaglio cosa può accadere ad un client non compliant. Il processo a cui va incontro il client è quello della remediation che può avvenire sostanzialmente in due modi, attraverso il meccanismo della “quarantena” o mediante l’uso di “captive portal”. Il primo metodo consiste nel relegare il client ad una ben determinata sottorete all’interno della quale esso ha accesso solo ad alcune risorse (tipicamente server che distribuiscono patch e aggiornamenti), il secondo metodo, quello del “captive portal” prevede di intercettare le richieste del browser dell’utente al quale viene proposta una pagina contenente le istruzioni e gli strumenti necessari ad aggiornare e regolarizzare il client.

In principio era 802.1X

Agli albori i NAC erano sostanzialmente basati sul protocollo 802.1X, un protocollo standard che coinvolge tre attori: il client che richiede l’accesso (detto supplicant), un authenticator e un authentication server. Senza entrare nei dettagli del protocollo, l’illustrazione che segue descrive il processo di autenticazione in seguito al quale all’endpoint viene consentito o meno l’accesso.