NAP beschermt IT-omgevingen tegen risicowerkplekken

Transcriptie

1 security NAP beschermt IT-omgevingen tegen risicowerkplekken Net w ork Access Protection helpt organisaties bij het controleren en w eren van onbetrou w bare w erkplekken Beveiliging is een vreemd o nderw erp. Is er eenmaal schade geleden, dan speelt geld geen rol. M aar z olan g alles g oed loo p t en veilig lijkt, is het knap lastig is om bu dget ten te reserveren vo or de beveiliging van de in f ormatieomgevin g. Het idee dat een omgeving hermetisch beveilig d kan w orden als een so ort digitaal Fort Knox en daarnaast w erkbaar blijf t vo or gebruikers is een u topie. Er is w el een meer realistische en meestal min der kostbare o p tie. Een mo del w aarin de balans tussen veiligheid en gebruikersvriendelijkheid op timaal is. Zo n mo del w ord t mede mo gelijk gemaakt met N AP: Net w ork Access Pro tectio n. Tom Driessen en Gérard van der Burg M ede door de enorme groei in gebruik van mobiele w erkstations (in het bijzonder laptops) is het relatie f eenvoudig ge w orden om bedrijfsin f ormatiesystemen binnen te dringen, bijvoorbeeld via o f Instant M essaging. Verschillende partijen zijn al enige tijd geleden begonnen aan een vorm van controle aan de uiteinden van het interne net w erk (LA N) en het begin van het internet. Sygate (nu Symantec) is er daar één van, met het product Universal Net w ork Access Control. O ok Check Point is hier met het product Integrity al geruime tijd mee bezig. Cisco hee f t al jaren N AC (Net w ork A dmission Control) op de plank liggen om deze pijnpunten binnen de bedrijfsnet w erken te beschermen. Bij M icroso f t w ord t de N AP (Net w ork Access Pro tection) tech nologie gebruikt, een tech nisch pro tectieplat f orm dat in M icroso f t W indo ws-server 2008 is geïn tegreerd. M icroso f t N AP w ord t niet zo zeer als een o p zichzelf staan d pro d uct gezien, maar meer als een plat f orm w aar al veel ISV s en IHV s o p inspelen en in mee w erken. Enkele van deze spelers zijn: McA fee en Syman tec (an tivirus) A ltiris en PatchLink (patch managemen t) 1 jan uari 2008 ITB08-01_v3.indd :13:42

2 security Remediation network/ External network Connection request Cliënt OK RSA (security) Citrix, Entrasys en F5 (netwerkproducten) Updates Cliënt not OK NPS/NAP Secured network Ook Microsoft en Cisco zijn een samenwerkingsverband aangegaan. In eerste instantie om hun eigen producten optimaal met elkaar te laten samenwerken (interoperabiliteit). Daarnaast delen zij informatie over vormen van beveiliging tegen risicowerkstations. NAC of NAP, de concepten, zijn nauw met elkaar verwant. Als werkplekken voldoen aan alle veiligheidseisen, zoals virusupdates en Windows-updates, dan krijgen ze volledig of gedeelde toegang tot het bedrijfsnetwerk. NAP zal gedurende de aanwezigheid van een risicowerkstation, maar ook van het geaccepteerde werkstation, de gezondheidsstatus in de gaten blijven houden. O ok kan het reageren op wijzigingen die als risico gezien w orden Figuur 1 WSUS/SCCM vanuit de gedefinieerde NAP-policies. NAP-policies w orden geconfigureerd op een Network Policy Server (NPS). NPS is een standaardonderdeel van Windows server NAP controleert de werkplekken die zich aanmelden in de infrastructuur op hun health-status. Tijdens de check, die geïnitieerd w ordt op de NPS-server, Boundary network w ordt een verzoek naar de NAP-cliënt op de werkplek gestuurd om de SoH (Statement of Health) te rapporteren. De NAP-cliënt antwoordt hierop met de SoHR (Statement of Health Response). De System Health Validator (SHV) op de NPS-server controleert de inhoud van het SoH-bericht. Als de SoH voldoet aan de gestelde policy, dan krijgt de werkplek VPN DHCP Domain controller Internet DMZ Bedrijfsnetwerk NPS/NAP Health Registration Authority WSUS Remediation netwerksegment Figuur januari 2008 ITB08-01_v3.indd :13:44

3 WSUS/SCCM/AV updates SHV Updates Health-policy SHA Microsoft Werkplek SHA Derde partij SoHR s Health certificate Authenticatieverzoeken NPS-Server met RADIUS Quarantine agent System Health Validator EC DHCP, VPN, IPSec, 802,1xEC EC Derde partij SSL VPN gateway 802.1x switch Certificate server Quarantine Server Figuur 3 toegang tot het netwerk. Als de SoH niet voldoet aan de gestelde policy, dan beschouwt de NPS-server het werkstation als risico. In figuur 1 w ord op high-level niveau weergegeven hoe de connectie loopt. O p de NPS-server kan geconfigureerd w orden hoe deze met risicowerkplekken moet omgaan. Dit kan betekenen dat de werkplek geplaatst wordt in een remediation-netwerk waar de werkplek zijn SoH kan verbeteren. O ok is het mogelijk om te configureren dat de werkplek toch toegelaten w ordt op het netwerk, maar dan slechts tijdelijk. Een remediation-netwerksegment bevat servers om de afgekeurde werkplek te kunnen bedienen met updates. Dit kunnen updates zijn voor Windows, virusscanners en servers van leveranciers die de (NAP-)cliënt hebben uitgebreid. Vaak heeft het netwerksegment alleen toegang tot Internet en niet tot het bedrijfsnetwerk. In figuur 2 staan de componenten afgebeeld die bij een NAP-implementatie vereist zijn. De cliënt waarmee de NAP-server communiceert, moet geïnstalleerd zijn op het werkstation dat verbinding wil maken met het netwerk. De NAP-cliënt w ordt standaard meegeleverd met alle versies van Windows Vista. Voor Windows XP zal deze w orden geleverd zodra Service Pack 3 beschikbaar komt. De NAP-cliënt bestaat uit drie componenten: System Health A gent (SHA) Q uarantine A gent (Q A) Enforcement Client (EC) Om communicatie tussen de NAP-cliënt en de NPS-server mogelijk te maken is een certificateninfrastructuur (PKI) vereist. De werkplekken en de servers moeten van de juiste certificaten worden voorzien. Zonder certificaten zal er geen verbinding tot stand komen. Via GPO s kunnen certificaten aan werkplekken toegekend w orden. Dit is één van de redenen waarom werkplekken die gebruik maken van NAP, voordeel hebben als zij lid zijn van een Active Directory-domein. Figuur 3 geeft alle componenten weer die in de NAP-cliënt aangebracht zijn en daarnaast de communicatiestroom met de NPS-server. De SHA is het component dat verifieert of het werkstation voldoet aan de gedefinieerde health-policy. De Windows Vista-werkstations w orden standaard geleverd met de Microsoft SHA. De Microsoft SHA controleert bijvoorbeeld of de Windows Firewall actief is en of de Windows Update Services gestart zijn. Als er een virusscanner van een derde partij wordt geïnstalleerd moet er een bijbeho- rende SHA geïnstalleerd w orden op de cliënts. De Q A is de tussenliggende laag tussen de SHA en de EC. De Q A verzamelt alle health-informatie die de SHA s beschikbaar stellen voor de Q A. Deze informatie w ordt geconverteerd naar een leesbaar formaat voor de EC. Daarna w ordt de health-informatie beschikbaar gemaakt voor de EC. De EC is het gedeelte dat meewerkt om de werkplek de juiste policy op te leggen, zoals geconfigureerd in de NAPpolicy. Voor iedere NAP-uitrolmogelijkheid is er een specifieke EC noodzakelijk. Standaard zijn de Windows Vista-werkplekken voorzien van een EC voor de volgende uitrolscenario s: IPSec-uitrol 802.1x-uitrol DHCP-uitrol VPN-uitrol Terminal Server Gateway-uitrol Zodra bepaald is welk type NAP-uitrol geïmplementeerd w ordt, moet op de werkplek de EC geconfigureerd w orden. Als de werkplek lid is van het corporate domein, kan de EC geconfigureerd worden met een GPO. In de GPO w ordt het juiste EC-type geactiveerd. Als de werkplek niet eigen is en toch moet w orden verbonden met het netwerk, dan moet de gebruiker handmatig de EC activeren. 1 januari ITB08-01_v3.indd :13:45

4 Software for Service Management Solutions Alles in één Webgebaseerd Meertalig Denk vooruit. Blijf vooruit. ITB08-01_v3.indd :13:45

5 security Figuur 4 De EC kan geactiveerd w orden door het NAP-cliënt Configuration-scherm te openen (NAPCLCFG.MSC). Zie figuur 4. Het is met Windows Server 2008 mogelijk om de toegangsrestricties die met NAP w orden afgedwongen te combineren met een VPN-server. Alle inkomende VPN-verbindingen w orden dan verplicht onderw orpen aan een NAP-scan en op basis van het resultaat in de SoHR toegelaten of niet. Bestaande VPN-servers moeten w orden vervangen door een VPN-server op basis van Windows Server 2008-technologie. Indien er voor een NAP-uitrol gekozen w ordt in combinatie met DHCP, dan w orden werkplekken die een request uitsturen om een IPadres te krijgen van de DHCP-server ook gecontroleerd door de NAP-server. Als de werkplek voldoet aan de policy krijgt de werkplek een IP-adres. Ook de DHCP-server moet geïnstalleerd zijn met Windows Server 2008 om deze uitrol mogelijk te maken. Voor ieder type uitrol is de NPS-server noodzakelijk. Als er gekozen w ordt voor de IPsec-uitrol communiceren de switches via het RA DIUS-protocol met de NPS-server. Ongeacht de grootte van de organisatie vergt de implementatie van NAP een goede voorbereiding en planning. Allereerst moet er gekozen w orden welk scenario van NAP gebruikt gaat w orden. Technisch gezien houdt dit in dat alle werkplekken moeten beschikken over de NAP-cliënt en dus dat de werkstations minimaal Windows Vista of Windows XP SP3 moeten hebben. Daarnaast moet de NAP-policy gedefinieerd en geconfigureerd w orden. Het is aan te bevelen om de NAP-infrastructuur eerst een korte periode te laten werken zonder remediation policy. O p deze manier krijgt de beheerder van de infrastructuur inzicht in de zwakke plekken van zijn werkplekken. Ook kan hij ontbrekende updates gecontroleerd uitrollen zonder dat de NAP-client dit gaat forceren. Als de rapportage aangeeft dat de werkplekken up-to-date zijn qua software patches en virusscanner updates kan de NAP-policy ingeschakeld w orden. Deze gecontroleerde wijze van implementeren van NAP geeft de minste kans op productieverstoringen en zorgt voor een NAP-baseline implementatie. Microsoft positioneert NAP niet als de beveiligingsoplossing voor allerlei werkplekvarianten, maar meer als een gecontroleerde beheeroplossing. Door NAP te gebruiken zorgt de beheerder van het netwerk ervoor dat alleen computers die voldoen aan de standaard, verbinding kunnen maken. Het concept van NAP is vooral gericht op de infrastructuren waar geen externe gebruikers verbinding hoeven te maken. Het is niet onmogelijk om als externe gebruiker verbinding te maken, maar het heeft wel behoorlijk wat voeten in aarde. Microsoft NAP eist een certificateninfrastructuur binnen het NAP-platform en daarnaast is het wenselijk dat de werkplekken lid zijn van de Microsoft Active Directory. Deze vereisten zou men misschien los willen kunnen trekken van het NAP-platform. Microsoft heeft met NAP een product gemaakt dat, zeker in samenwerking met beveiligingoplossingen zoals Cisco NAC, een nieuwe stap is om infrastructuren beter gecontroleerd te beveiligen. Er blijven er nog vragen onbeantwoord. Een daarvan is of er ruimte is voor aanpassingen, waardoor NAP gedimensioneerder ingezet kan w orden in heterogene omgevingen waar ook externe medewerkers werkzaam zijn. De updates of volgende versies zullen ons leren of Microsoft hier zelf ook zo tegenaan kijkt. Tom Driessen is Consultant bij Avanade. Gérard van der Burg is Architect bij Avanade (tomdr@avanade.com en gerardv@avanade.com). 1 januari ITB08-01_v3.indd :13:46