Network Access Control (NAC): la migliore protezione per reti interne

Network Access Control consente di proteggere le reti da accessi non autorizzati e da comportamenti insoliti. Il NAC ha luogo prima e dopo l’accesso.

Cos’è Network Access Control?

Network Access Control, anche conosciuto come NAC o controllo di accesso alla rete, serve per proteggere le reti private e per prevenire l’accesso non autorizzato di dispositivi esterni che non soddisfano determinate e ben definite politiche di sicurezza. Nel complesso le soluzioni NAC svolgono due compiti importanti:

Pre-ammissione NAC

Il controllo degli accessi alla rete offre un riepilogo completo di tutti i dispositivi collegati a una determinata rete. Consente di autorizzare stampanti, scanner o tecnologie di Internet of Things, non solo computer o smartphone. L’obiettivo è impedire a sistemi estranei di accedere alla rete interna tramite WLAN o altri punti di accesso, mantenendo invariata l’architettura di sicurezza. Questo tipo di controllo degli accessi alla rete è chiamato pre-ammissione NAC.

Post-ammissione NAC

Questa funzionalità di compliance serve a controllare i dispositivi che si trovano già all’interno della rete e a identificare rapidamente eventuali problemi o falle di sicurezza. Ad esempio, il controllo di accesso alla rete verifica lo stato del firewall o di un software antivirus e garantisce che all’interno della rete siano presenti solo dispositivi aggiornati. Questa funzione fa parte della post-ammissione NAC, ovvero quel tipo di controllo degli accessi alla rete dedicato a monitorare determinate aree all’interno di una rete.

Come funziona il controllo di accesso alla rete?

Anche se alcuni sistemi NAC funzionano diversamente dagli altri, normalmente i vari tipi di controllo degli accessi alla rete presentano un funzionamento molto simile. A tal proposito, il reparto sicurezza di un’azienda o il responsabile IT stabilisce anzitutto i requisiti che tutti i dispositivi devono rispettare. Tramite i controlli di accesso alla rete si procede quindi alla verifica e alla categorizzazione di nuovi dispositivi. In base alle linee di sicurezza precedentemente definite, si consente o vieta l’accesso alla rete. Una volta ottenuto l’accesso, un dispositivo ottiene determinate autorizzazioni ma continua a essere controllato. In tal modo la rete risulta costantemente protetta.

Perché il controllo degli accessi alla rete è importante?

NAC non è un sistema adatto a tutte le reti e riveste un ruolo importante soprattutto per le aziende di grandi dimensioni o le reti più estese. Questa tecnologia, infatti, consente di ottenere una visione d’insieme completa di tutti i dispositivi che si trovano in una rete e impedisce a persone non autorizzate di accedervi con facilità. Il controllo di accesso alla rete aiuta a creare e a mantenere tutte le policy di sicurezza rilevanti. Inoltre, consente di assegnare autorizzazioni e ruoli. I dispositivi che si trovano già in rete ma che non sono conformi alle linee guida possono essere messi in quarantena e riattivati successivamente.

Di quali tecnologie si serve il controllo degli accessi alla rete?

Il controllo degli accessi alla rete si serve di numerosi metodi e funzioni per proteggere al meglio una determinata rete prima o dopo l’accesso. Le tecnologie più comuni sono le seguenti:

Linee guida di sicurezza per NAC

Ogni rete ha bisogno di policy di sicurezza ben calibrate e vincolanti per i diversi dispositivi e casi d’uso, in grado di tenere in considerazione requisiti e autorizzazioni diversi. Pertanto, le soluzioni NAC consentono di definire queste regole in anticipo e, se necessario, di modificarle dopo la strutturazione della rete. I dispositivi vengono quindi controllati prima e durante l’accesso sulla base dei parametri definiti.

Profilazione NAC

Mediante la profilazione, il controllo degli accessi alla rete scansiona tutti i dispositivi, ne verifica le caratteristiche e confronta ad esempio gli indirizzi IP. In questo modo, tutti i dispositivi inclusi nella rete vengono rilevati e analizzati sotto il profilo della sicurezza.

Sensori per Network Access Control

Anche i dispositivi autorizzati e approvati possono causare danni all’interno di una rete o contravvenire intenzionalmente o involontariamente alle regole interne. I sensori, che funzionano come componenti software o direttamente sugli access point, controllano in tempo reale l’intero traffico di una rete o parti dello stesso e possono arrestarlo o bloccarlo in caso di violazione delle regole.

Agenti di controllo per l’accesso alla rete

Nella maggior parte dei casi, gli agenti relativi al controllo degli accessi di rete sono software installati sugli endpoint. Questi agenti comunicano con un punto di contatto NAC centralizzato che consente loro di accedere alla rete. Il vantaggio di questo metodo è che l’accesso è riservato solo ai dispositivi precedentemente selezionati e autorizzati. Lo svantaggio è che ogni dispositivo deve essere dotato di un agente. Soprattutto quando le reti sono di grandi dimensioni, questo può rivelarsi complicato e molto dispendioso a livello di tempo. Oltre a Microsoft, Cisco offre ad esempio un trust agent per la variante NAC Network Admission Control.

Gli agenti temporanei rappresentano una valida alternativa perché non richiedono un’installazione permanente e vengono cancellati automaticamente al riavvio. Sono solitamente caricati tramite il browser e richiedono il consenso esplicito della persona interessata. Si tratta di una soluzione adatta se l’accesso alla rete è temporaneo, avviene sporadicamente o una volta sola. Tuttavia, altri metodi di controllo dell’accesso alla rete si addicono meglio a un uso permanente.

Soluzioni VLAN per Network Access Control

Numerosi strumenti per NAC si servono di Virtual Local Area Network per creare aree secondarie accessibili solo a determinati dispositivi. In questo modo è possibile separare le aree contenenti informazioni riservate da segmenti pubblici o parzialmente accessibili al pubblico.

Directory LADP per migliorare il raggruppamento

Le directory LDAP sono protocolli di accesso di rete che si occupano di suddividere gli utenti in gruppi. Ciascuno di questi gruppi ottiene determinate autorizzazioni e ha quindi accesso a parti o a tutte le aree della rete. In tal modo è anche possibile stabilire che gli accessi non dipendano dal terminale, ma dai singoli utenti.

In quali casi trova impiego il controllo degli accessi di rete?

Esistono varie possibilità per usare il controllo degli accessi di rete. Non tutte le soluzioni sono adatte o consigliate in tutti i casi. Particolarmente diffusi sono i seguenti casi d’uso:

Bring Your Own Device

Bring Your Own Device o BYOD è una pratica che ormai trova impiego nella maggior parte delle reti. Il termine BYOD significa che le persone che dispongono di un proprio dispositivo sono autorizzate a collegarsi alla rete. Ad esempio, può trattarsi dello smartphone in ufficio o del laptop personale nella rete dell’università. Tuttavia, la presenza di numerosi dispositivi diversi pone anche alcune problematiche in termini di infrastruttura e sicurezza. In questo caso, il controllo degli accessi alla rete è indispensabile per proteggere informazioni riservate, ad esempio da malware senza perdere la visione d’insieme.

Accesso ospite al sistema

Anche ospiti o persone estranee all’azienda possono aver bisogno di accedere a un sistema. Anche se l’accesso avviene sporadicamente o una sola volta, è particolarmente importante che esistano una buona connessione e un livello di sicurezza elevati. Anche per questo motivo è necessario un sistema di controllo di accesso alla rete ben strutturato.

Internet of Things

Grazie all’Internet of Things un numero di dispositivi sempre maggiore può accedere a una determinata rete. Questi dispositivi non sono sempre aggiornati e non vengono controllati a uno a uno. Una buona strategia di controllo degli accessi alla rete consente una gestione adeguata dei dispositivi coinvolti e assicura che questi non si trasformino in un punto di accesso per persone non autorizzate.

Controllo degli accessi di rete nel settore sanitario

Nel settore sanitario la sicurezza è una grande priorità. Infatti, i dispositivi devono poter funzionare correttamente e i dati devono essere protetti nel miglior modo possibile: per questo è importante che la rete non presenti alcuna vulnerabilità. Un adeguato controllo di accesso alla rete è quindi molto importante anche in questo caso.