NAC, una solución REAL. Samuel Bonete

1. NAC, una solución REAL.Samuel Bonete

2. Contenido a tratar • ¿Por qué hacer Control de Acceso? • ¿Qué debe ofrecer NAC? • ¿Consideraciones de cara al despliegue? • Conclusiones

3. ¿Por qué hacer Control de Acceso? • ¿Qué debe ofrecer NAC? • ¿Consideraciones de cara al despliegue? • Conclusiones ¿Por qué hacer control de acceso ?

4. Control de Acceso Físico • A nadie le extraña el control de acceso físico…

5. Internet La necesidad Compañía XYZ Bienvenido, Sr. Usuario

6. STOP Internet La solución NAC – Control del sistema final Compañía XYZ Bienvenido Sr. Usuario

7. Sorpresas desagradables

8. ¿Por qué hacer Control de Acceso? • ¿Qué debe ofrecer NAC? • ¿Consideraciones de cara al despliegue? • Conclusiones ¿Qué debe de ofrecer NAC?

9. Detectar Autenticar Evaluar Remedio Autorizar Funciones de una solución NAC Funciones PRE-Conexión • Detectar • Authenticar • Evaluar • Autorizar • Remediar NAC

10. Acceso de un equipo que no cumple… 2 5 1 4 1 2 3 3 4 Funciones Pre-Conexión Enterasys™ NAC Manager Funciones NAC Pre-Connect  Detectar  Authenticación  Evaluación  Autorización  Remedio Switch (RFC 3580 compatible) VLAN = Quarentena Role = Quarentena NAC Gateway (equipo fuera de banda) User Laptop Enterasys Matrix/SecureStack Switch Verificación de políticas Role = Quarentena Role = Quarentena Gestor de Vulnerabiliades Servidor de autenticación 10

11. Detectar Autenticar Evaluar Remedio Autorizar Funciones de una solución NAC Funciones PRE-Conexión • Detectar • Authenticar • Evaluar • Autorizar • Remediar NAC RESPUESTAS AUTOMÁTICAS Detección de Intrusiones Detección de anomalías Funciones POST-Conexión: Monitorizar Contenter Remediar

12. 1 2 2 Enterasys Post-Connect NAC (Demo)  Riesgos en la red. Enterasys™ Automated Security Manager Post-Connect NAC Functions  Monitor  Contain Dragon IDS Role = Quarentena 3rd Party Switch ROLE = Quarentena

13. ¿Por qué hacer Control de Acceso? • ¿Qué debe ofrecer NAC? • ¿Consideraciones de cara al despliegue? • Conclusiones ¿Consideraciones de cara al despliegue?

14. Consideraciones al despliegue • Ámbito de aplicación. • ¿Qué evaluar en el sistema? • Políticas a aplicar. • Monitorización Constante.

15. Trabajadores remotos Authentication Server (RADIUS) ¿Por dónde empezar con NAC? • Redes Wireless. • Usuarios remotos VPN • ¿Acceso cableado? 1. Sólo portátiles 2. Sobremesas. 3. CPD. ¡CONTROLAR LA INFRAESTRUCTURA! Internet Firewall IPS NetSight (NMS) Backbone de RED Capa de Distribución Capa de Acceso Usuarios locales Gran entorno

16. Consideraciones al despliegue • Ámbito de aplicación. • ¿Qué evaluar en el sistema? • Políticas a aplicar. • Monitorización Constante.

17. SalesForce Email HTTP worm Cracking Voice High Priority Low Priority Rate Limited Authorizado: Filtered Filtered Highest Priority & Rate Limited Authentication: User ID Password Intranet EVALUACIÓN!!!!! Servidor de Autenticación(RADIUS) FUNDAMENTAL NAC vs 802.1x • Autenticación • Autorización • Validación • Detección • Remediación • Queremos controlar • Software no autorizado. • Equipo CORPORATIVO • Antivirus encencido Usuario Final Equipo

18. Qué evaluar… • Virus y gusanos • Antivirus encencido, actualizado, equipo parcheado a nivel de SSOO. • Spyware/Adware • Firmar actualizadas. • Mal uso de la red interna. • Aplicaciones no autorizadas instaladas(P2P, Skype, FTP, etc.) • Acceso no autorizado. • Equipos conocidos o que pertenezcan a la corporación. • Denegar el acceso tras varios intentos fallidos. • Controlar e inventariar el acceso de visitas. ¡¡¡CUMPLIMIENTO DE NORMATIVA!!! POLÍTICA DE SEGURIDAD

19. EVALUACION DEL EQUIPO Sin Agente Con Agente Basado en red Basado en applet Agente ligero Agente pesado Cómo evaluar.

20. Consideraciones al despliegue • Ámbito de aplicación. • ¿Qué evaluar en el sistema? • Políticas a aplicar. • Monitorización Constante.

21. Acceso (bloqueado/no bloquedo) • Asignación VLAN del puerto • Asignación QoS del puerto Control • Análisis de tramas L2/L3/L4 en tiempo real para: • Clasificación dinámica a VLANs • Filtrado de tramas Contención • Análisis de tramas L2/L3/ L4 en tiempo real para: • Clasificación dinámica 802.1p • Clasificación dinámica TOS Calidad de Servicio • Limitación de Ancho de banda de Entrada y/o Salida • por dispositivo, aplicación, puerto,… • Granularidad desde 8K hasta 1Gbps Rate Limit Gestión de PolíticasRedes basadas en políticas • Una política de RED es un conjunto de parámetros de análisis, control y gestión de tráfico, que son aplicadas a cada uno de los usuarios, máquinas o flujos y que determinan el comportamiento de todos los sistemas IT que confluyen en la red P

22. Credit Policy Role SMAC = Anita Guest Policy Role Sales Policy Role SMAC = Bob Port X SMAC = Ted Multiple usuario por puerto. Auth. Agent DFE Multi-Mode Sessions <Anita, dot1x, Authenticated, PID=Credit, Applied > 802.1X <Bob, PWA, Authenticated, PID=Sales, Applied > PWA <Anita, PWA, Authenticated, PID=Credit, Not Applied > MUA Logic <Ted, MAC, Authenticated, PID=Guest,Applied> MAC <Anita, MAC, Authenticated, PID=Guest, Not Applied > <Bob, MAC, Authenticated, PID=Guest, Not Applied > CEP

23. Consideraciones al despliegue • Ámbito de aplicación. • ¿Qué evaluar en el sistema? • Políticas a aplicar. • Monitorización Constante.

24. Monitorización constante. Reportes Operaciones Probar el cumplimiento Priorizar Alertas REALES Eventos/Recolección de flujos, normalización y correlación. Net flow/S-flow J-flow Firewall IDS/IPS Router/Switch Server log

25. ¿Por qué hacer Control de Acceso? • ¿Qué debe ofrecer NAC? • ¿Consideraciones de cara al despliegue? • Conclusiones Conclusiones

26. Conclusiones • El perímetro es permeable. • Es necesaria la PRE y POST validación. • NAC se puede implementar por FASES. • Flexibilidad de políticas. • Correlación y monitorización. • DOCUMENTO DE SEGURIDAD.

27. MUCHAS GRACIAS POR SU ATENCIÓNSamuel Bonete