Cisco NAC La mise au point du réseau capable de se défendre tout seul

Transcription

1 Cisc NAC La mise au pint du réseau capable de se défendre tut seul Descriptin générale Cisc Netwrk Admissin Cntrl (NAC) explite au maximum l infrastructure réseau pur limiter les dégâts ccasinnés par les virus et les «vers». Grâce à Cisc NAC, l entreprise peut furnir aux unités d'extrémité cmme les PC, les PDA et les serveurs, un accès réseau qui respecte scrupuleusement les plitiques de sécurité en place. Cisc NAC permet de refuser l accès aux unités nn cnfrmes, de les placer en quarantaine u de restreindre leur accès aux ressurces infrmatiques. Cisc NAC est la première étape du prjet Cisc de réseau capable de se défendre tut seul Cisc Self-Defending Netwrk un système capable d identifier et de prévenir les menaces de sécurité et de s y adapter. Intrductin Cmment répndre à l évlutin des menaces de sécurité Les virus et les vers qui interrmpent la bnne marche des systèmes cntinuent de désrganiser les entreprises en faisant baisser leur prductivité et en les cntraignant à crriger en cntinu les failles de leurs systèmes de sécurité. La nature autreprductible des attaques les plus récentes les rend particulièrement virulentes et dangereuses. Les slutins anti-virus existantes, qui repsent sur la recnnaissance de la signature de l attaque, snt incapables de détecter et de neutraliser les virus incnnus et les attaques par déni de service qu ils génèrent. L entreprise est fréquemment cnfrntée à des serveurs et des rdinateurs de bureau qui ne respectent pas sa plitique de sécurité. Ces unités snt difficiles à détecter, à isler et à nettyer. La lcalisatin et la mise en quarantaine de ces systèmes cnsmment beaucup de temps et de ressurces, et même lrsque les infectins qu ils prpagent semblent avir disparu du réseau d entreprise, elles snt susceptibles de réapparaître par la suite. Le prblème est encre multiplié par la cmplexité des envirnnements de réseau mdernes qui cmprennent des types très variés : d utilisateurs finaux emplyés, cnstructeurs et sus-traitants de pints d'extrémité rdinateur de bureau dans l entreprise u à dmicile, serveurs d accès filaire, sans fil, réseau privé virtuel (VPN) u accès cmmuté Cisc NAC s interpse entre ces menaces évluées et le réseau, en gérant la cmplexité de l envirnnement et en ffrant des prgrès très nets par rapprt aux technlgies de sécurité pnctuelles qui se cncentrent sur un serveur u une statin de travail plutôt que sur la dispnibilité et la rbustesse glbale du réseau. Descriptin générale de Cisc NAC Les dégâts générés par les virus et les vers nt mntré dans tute sa réalité l inadéquatin des dispsitifs actuels de sécurité. Cisc NAC ffre une nuvelle slutin cmplète qui permet aux rganisatins d appliquer des plitiques de crrectifs lgiciels sur les hôtes et de rediriger les systèmes nn cnfrmes et ptentiellement vulnérables vers des envirnnements de quarantaine dispsant de peu, vire d aucun, accès au réseau. En assciant les infrmatins sur l état de la sécurité des pints d'extrémité avec les cnditins d admissin au réseau, Cisc NAC permet aux rganisatins d amélirer de manière cnsidérable la sécurité de leurs infrastructures infrmatiques. Cisc NAC accrde un accès au réseau aux unités d extrémité PC, serveurs u PDA, par exemple cnfrmes et de cnfiance et le refuse aux unités nn cnfrmes. Page 1 sur 5

2 La décisin d accrder cet accès peut repser sur des infrmatins cmme l état du lgiciel anti-virus du pint d extrémité u la versin du crrectif de sn système d'explitatin. Figure 1 Cisc NAC Cisc NAC dispse des cmpsants suivants : Cisc Trust Agent (CTA) Ce lgiciel, qui réside sur un système d extrémité, cllecte les infrmatins sur l état de l unité prvenant de nmbreux clients lgiciels de sécurité clients anti-virus, par exemple et cmmunique ces infrmatins aux unités Cisc d accès réseau chargées d appliquer les cntrôles d admissin. Cisc a furni des licences de sa technlgie CTA à ses partenaires anti-virus afin qu ils puissent l intégrer dans leurs prduits clients lgiciels de sécurité. La technlgie CTA sera également intégrée à Cisc Security Agent pur faire appliquer les privilèges d accès en fnctin de la versin du crrectif du système d'explitatin du pint d'extrémité. Cisc Security Agent (CSA), slutin lgicielle de prtectin de l hôte dès le premier jur, évaluera la versin, les crrectifs et les infrmatins de dépannage à chaud du système d'explitatin avant de les cmmuniquer à Cisc trust agent. Les hôtes qui ne dispsent pas des crrectifs requis peuvent ne recevir qu un accès limité au réseau, et même en être exclus. Unités d accès réseau Les ruteurs, les cmmutateurs, les pints d accès sans fil et les serveurs de sécurité dédiés appliquent la plitique de cntrôle d admissin au réseau. Ces unités exigent des «authentifiants» de sécurité hôte et relaient l infrmatin aux serveurs de plitique qui prennent les décisins de cntrôle d admissin au réseau. Seln la plitique définie par l utilisateur, le réseau applique la décisin apprpriée de cntrôle d admissin autrisatin, refus, quarantaine u accès restreint. Serveur de plitiques Ce serveur évalue les infrmatins de sécurité du pint d'extrémité prvenant des unités d accès au réseau et détermine la plitique d accès qu il cnvient de lui appliquer. Cisc Secure Access Cntrl Server (ACS), serveur AAA (authentificatin, autrisatin et administratin) de type RADIUS, est le cœur du système de serveur de plitiques. Il travaille en assciatin avec les serveurs d applicatin de ns partenaires Cisc NAC qui furnissent des fnctinnalités plus puissantes de validatin des authentifiants cmme les serveurs de plitiques anti-virus. Système d administratin CiscWrks VPN/Security Management Slutin (VMS) dimensinne les éléments Cisc NAC tandis que CiscWrks Security Infrmatin Manager Slutin (SIMS) furnit les utils de cntrôle et de reprting. Les partenaires Cisc NAC furnissent les slutins d administratin pur leurs lgiciels de sécurité pur pints d'extrémité. Essentiellement, Cisc NAC tire le meilleur parti des investissements existants en matière d infrastructure de réseau et de technlgie de prtectin des hôtes en assciant les deux fnctinnalités pur réaliser un système de cntrôle d admissin au réseau. L entreprise peut, par exemple, s assurer que les éléments du réseau Cisc ruteurs, cmmutateurs, équipements sans fil u serveurs de sécurité dédiés cntrôlent l usage d un lgiciel anti-virus. De la srte, Cisc NAC cmplète plus qu il ne remplace les technlgies classiques de sécurité déjà curamment utilisées passerelle pare-feu, systèmes de prtectin cntre les intrusins, authentificatin d'identité et sécurité des cmmunicatins. Page 2 sur 5

3 Cisc NAC en actin Cisc NAC est une slutin suple et mniprésente capable d assurer la prtectin de tus les systèmes infrmatiques cnnectés. Cisc NAC père sur tutes les méthdes d'accès utilisées par les hôtes pur se cnnecter au réseau, y cmpris la cmmutatin campus, les cnnexins filaires et sans fil, les liaisns de réseau WAN et LAN par ruteur, les cnnexins IPSec (IP Security), l accès à distance et les liaisns cmmutées. Vici quelques exemples de dépliement de Cisc NAC : Cntrôle de cnfrmité pur les succursales d'entreprise Cisc NAC permet de garantir la cnfrmité des hôtes des succursales distantes u des bureaux à dmicile qui cherchent à se cnnecter aux ressurces centralisées de l entreprise, que ce sit par l intermédiaire d un réseau WAN privé u d un canal sécurisé sur le Web. Il effectue ntamment des vérificatins de cnfrmité au niveau du ruteur Cisc de la succursale u sur celui du siège scial de l entreprise. Prtectin des accès distants Cisc NAC permet de garantir que les rdinateurs des travailleurs distants u mbiles dispsent des versins les plus récentes du lgiciel anti-virus et des crrectifs du système d'explitatin avant de leur dnner accès aux ressurces de l entreprise par l intermédiaire de liaisns cmmutées, IPSec u autres types d accès VPN. Prtectin du campus sans fil Cisc NAC vérifie les hôtes qui se cnnectent au réseau par une liaisn sans fil afin de s assurer qu ils dispsent des bns crrectifs. Pur cette validatin, il utilise le prtcle 802.1x et prcède à l authentificatin de la statin cmme de l utilisateur. Accès au réseau campus et prtectin des centres de calcul Cisc NAC cntrôle les rdinateurs et les serveurs du bureau et permet de s assurer que ces unités snt cnfrmes aux plitiques de l entreprise en matière d anti-virus et de crrectifs de système d'explitatin avant de leur accrder l accès au réseau LAN. Il réduit ainsi le risque que les virus et les vers se prpagent au sein de l entreprise en élargissant le cntrôle d admissin aux cmmutateurs de la cuche 2. Cnfrmité extranet Cisc NAC peut servir à vérifier la cnfrmité de chaque système qui tente d btenir un accès au réseau et pas uniquement ceux qui snt gérés par le service infrmatique. Cisc NAC permet de vérifier la cnfrmité à la plitique en matière d anti-virus et de systèmes d explitatin des hôtes, qu ils sient gérés u nn par l entreprise, y cmpris des systèmes des sus-traitants et des partenaires. Si le lgiciel Cisc Trust Agent n est pas présent sur l hôte interrgé, une plitique d accès par défaut peut-être appliquée. Les avantages de Cisc NAC Améliratin cnsidérable de la sécurité Cisc NAC permet de s assurer que chaque hôte se cnfrme aux plitiques les plus récentes de l entreprise en matière d anti-virus et de crrectifs du système d'explitatin avant de lui accrder l accès nrmal au réseau. Il peut isler les hôtes vulnérables u nn cnfrmes et leur accrder un accès restreint jusqu à ce qu ils exécutent le bn crrectif u qu ils sient crrectement prtégés : il évite ainsi qu ils deviennent la cible u la surce d infectins par virus u par vers. Rentabilisatin de l investissement de réseau et anti-virus Cisc NAC intègre et cnslide la valeur des investissements dans l infrastructure de réseau Cisc, la sécurité des pints d'extrémité Cisc et la technlgie anti-virus. Evlutivité du dépliement Cisc NAC assure un cntrôle d'accès cmplet sur tutes les méthdes d'accès utilisées par les hôtes pur se cnnecter au réseau et supprte également les scénaris multicnstructeurs. Si, par exemple, un emplyé dispse d une slutin anti-virus avec un lgiciel Cisc Trust Agent, et qu un sus-traitant utilise une autre slutin anti-virus avec un lgiciel Cisc Trust Agent, Cisc NAC permet de vérifier la cnfrmité des deux systèmes et d appliquer des plitiques différentes en fnctin de l identité de l utilisateur et de l état de sécurité du pint d'extrémité. Enfin, Cisc NAC peut définir des plitiques d accès différentes seln que l hôte répnd autrement dit qu il exécute Cisc Trust Agent u nn. Améliratin de la rbustesse et de la dispnibilité En assciant les infrmatins sur l état de la sécurité des pints d'extrémité avec les cnditins d admissin au réseau, Cisc NAC permet à ses utilisateurs d amélirer de manière cnsidérable la sécurité de leurs infrastructures infrmatiques. Page 3 sur 5

4 Dispnibilité et utilisatin Cisc NAC sera dispnible au curs du premier semestre A partir de sa cmmercialisatin, tus les ruteur Cisc cmmuniquernt avec le lgiciel Cisc Trust Agent pur furnir le cntrôle d admissin au réseau. Les listes de cntrôle d'accès (ACL) sur le ruteur permettrnt de limiter les cmmunicatins entre les hôtes nn cnfrmes et les autres systèmes du réseau par exemple en ne permettant que les cmmunicatins vers un serveur anti-virus pur permettre le téléchargement d un fichier de mise à jur. Dès sn lancement, Cisc NAC supprtera les pints d'extrémité sus Micrsft Windws NT, XP et «Les récentes infectins virales et par vers nt rendu encre plus cruciale la nécessité d empêcher les nœuds mal sécurisés de cntaminer le réseau, et en nt fait une pririté abslue pur les entreprises mdernes», déclare Mark Buchard, directeur principal de la prgrammatin chez META Grup. «De nmbreuses rganisatins nt mntré leur capacité à blquer les récentes attaques par vers aux frntières Internet de leur réseau. Elles snt tutefis encre victimes des «explits» des pirates dès que leurs utilisateurs mbiles u nn-résidents cnnectent leurs PC infectés directement aux réseaux lcaux internes. L éliminatin de ce type de menaces passe par l assciatin du renfrcement des plitiques et de la technlgie du cntrôle d'admissin au réseau.» La première versin de Cisc NAC satisfait aux exigences des deux tests de cnfrmité les plus urgents l état du lgiciel anti-virus et les infrmatins relatives au système d'explitatin. Ceci englbe la versin du lgiciel antivirus du cnstructeur, la versin du mteur et les niveaux des fichiers de signature ainsi que le type, les crrectifs et les dépannages à chaud du système d'explitatin. Dans un premier temps, Cisc NAC sera prbablement utilisé en mde de cntrôle : la cnfrmité de l hôte sera évaluée sans essayer de limiter l accès réseau. Au curs de cette péride, les systèmes nn cnfrmes purrnt être, si nécessaire, mis à jur afin d atteindre les niveaux de cnfrmité requis. Pur les versins suivantes de Cisc NAC, les cmmutateurs et les pints d'accès sans fil Cisc sernt en mesure de rediriger les hôtes nn cnfrmes vers des segments de réseau VLAN de quarantaine sur lesquels ne résidernt que des serveurs de remédiatin. Les versins suivantes élargirnt le supprt de Cisc NAC aux serveurs de sécurité dédiés Cisc cmme les pare-feu et les cncentrateurs VPN. Dans ses phases ultérieures, Cisc NAC assurera le cntrôle dynamique des infectins. Les pints d'extrémité ainsi que les autres éléments systèmes cnfrmes purrnt alrs signaler les utilisatins abusives prvenant des systèmes illégaux u infectés au curs d une attaque. Cette intelligence permettra d isler de manière dynamique les systèmes infectés du reste du réseau et de réduire de manière cnsidérable la prpagatin des menaces dues aux virus, aux vers et à tute cmbinaisn de ces méthdes. Cnclusin un réseau capable de se défendre lui-même Cisc NAC est une étape cruciale dans la mise au pint du réseau capable de se défendre tut seul Cisc Self- Defending Netwrk initiative innvante de sécurité qui amélire de manière spectaculaire la capacité des réseaux à identifier et prévenir les menaces de sécurité et à s y adapter. Le prjet Cisc Self-Defending Netwrk renfrce cnsidérablement la stratégie de Cisc pur l intégratin des services de sécurité sur l ensemble des réseaux IP en furnissant de nuvelles méthdes de défense au niveau système cntre les menaces de sécurité. Pur plus d infrmatins Pur plus d infrmatins, visitez Page 4 sur 5

5 Page 5 sur 5