Das Angebot an Lösungen zum Schutz vor Fremdgeräten im Firmennetz ist in den vergangenen Jahren stark gewachsen. Es handelt sich dabei um einen recht jungen Markt, der sich vor allem technisch noch stark entwickeln wird. Im Angebot sind derzeit weniger Komplettlösungen als vielmehr eine Sammlung aus Einzellösungen und Komponenten für verschiedene Teilbereiche. Entsprechend stehen die Anwender vor einer Vielfalt an technischen Methoden, die sich in Sicherheitsniveau, Implementierungsaufwand und Kosten stark unterscheiden.

Zwar richten die NAC-Hersteller zwischen ihren Produkten immer mehr Schnittstellen ein, die aber eher eine Alibifunktion haben. Selbst Hersteller, die mit ihrem Portfolio die gesamte NAC-Thematik abdecken, kämpfen noch mit Lücken und bieten ein Sammelsurium an Produkten, deren Zusammenspiel oft nicht gewährleistet ist. Wie die Beratungspraxis zeigt, fehlt es auf Anwenderseite zudem häufig an genauen Kenntnissen der verschiedenen Methoden. Ein Vergleich der wichtigsten Verfahren soll Orientierungshilfe im NAC-Dschungel bieten.

802.1x mit Radius

Diese zurzeit wohl sicherste Methode hat den Vorteil, dass eine Authentifizierung am Switchport erfolgt, noch bevor der Zugriff auf das Netz gewährt wird. Bei diesem Standard sind allerdings mindestens drei Komponenten (Client, Switch und Radius-Server) erforderlich, die aufeinander abgestimmt sein müssen. Schwierig ist, dass nicht alle Endgeräte diese Authentifizierungsmethode unterstützen. Darüber hinaus sind die Implementierungsmethoden der Switch-Hersteller nicht einheitlich. Für einen unternehmensweiten Einsatz in heterogener Umgebung ist der Standard 802.1x derzeit noch schwer umzusetzen. Bei Anschaffung einer neuen homogenen Infrastruktur ist er jedoch eine sinnvolle Alternative.

Bewertung: teuer, aufwändig, sicher.

MAC-Authentifizierung

Sie stellt eine Alternative zu 802.1x dar – vor allem für ältere oder heterogene Netze. Hierbei wird nur die bei der Anmeldung ans Netz erkannte MAC-Adresse vom RadiusServer überprüft, bevor ein Netz-Port freigeschaltet wird. Das ist zwar kein hoher Sicherheitsstandard, bei älteren Endgeräten aber häufig die einzige Möglichkeit zur Authentifizierung. Die Implementierung erfordert die gleichen Voraussetzungen für die Switches und den Radius-Server wie 802.1x.

Bewertung: mittlere Kosten, mittlerer Aufwand, geringe Sicherheit.

Web-Authentifizierung

Bei der Web-basierenden Authentifizierung ist die Eingabe von Benutzername und Passwort an einem eigens zur Verfügung stehenden Web-Server erforderlich. Es handelt sich dabei um eine Alternative für Benutzer, bei denen die Implementierung eines Supplicant für 802.1x nicht möglich ist.

Bewertung: mittlere Kosten, wenig Aufwand, mittlere Sicherheit.

Statische Zuordnung

statische Port-/MAC-Zuordnung sieht eine feste Zuordnung von MAC-Adressen und Switch-Ports vor. Dabei müssen alle kommunizierenden Systeme in die Konfiguration jedes Switchs eingetragen werden. Jedes neue Gerät und jede Löschung zieht somit eine Konfigurationsänderung auf dem Switch nach sich.

Bewertung: günstig, hoher Aufwand, geringe Sicherheit.

Dynamische Zuordnung

Bei der dynamischen Port-/MAC-/ IP-Zuordnung mittels SNMP wird die vorhandene Infrastruktur genutzt. Es ist kein Agent auf den Endgeräten notwendig – die gesamte Kommunikation erfolgt mit der Netzinfrastruktur (Switches und Router). SNMP ist ein weit verbreiteter Standard, der nahezu flächendeckend in Unternehmen eingesetzt wird und mit Version 3 auch hinreichend sicher ist. Nahezu alle Netz-Management-Systeme basieren darauf. Durch Verwendung zusätzlicher Tools wie Port-Scanner, VoIP- und WLAN-Module, sFlow/netFlow oder Router-Module können solche Systeme sehr leistungsstark sein und ein Netz-Management-System nahezu ersetzen.

Bewertung: günstig, mittlerer Aufwand, mittlere Sicherheit.

Kerberos-Snooping

Damit lassen sich keine Endgeräte lokalisieren, sondern ausschließlich Benutzer authentifizieren. Hierzu muss eine "Inline"-Komponente im Datenstrom zum Anmelde-Server (Active Directory) eingerichtet werden.

Bewertung: günstig, geringer Aufwand, mittlere Sicherheit.

Je nach Bedarf und Etat

Diese Liste praktikabler Verfahren ist längst nicht umfassend, konzentriert sich aber auf die wichtigsten Methoden zur Identifizierung und Lokalisierung in Netzen. Welcher Ansatz der beste ist, hängt vor allem vom Schutzbedarf und den Investitionsmöglichkeiten eines Unternehmens sowie den jeweils bereits vorhandenen Komponenten ab. Von den vorgestellten Methoden weisen allerdings zweifellos die Systeme mit dynamischer Port-/MAC-/IP-Zuordnung mittels SNMP die größten Vorteile auf, da sie zahlreiche weitere Sicherheits- und Netz-Management-Funktionen bieten. Zudem sind sie mit anderen Methoden gut kombinierbar. (kf)