Implementierung von Post-Admission NAC für kontinuierliche Vertrauensüberwachung

Willkommen beim Purple Enterprise Architecture Briefing. Ich bin Ihr Gastgeber, und heute befassen wir sich mit einer entscheidenden Veränderung in der Netzwerksicherheit: dem Übergang von der statischen Authentifizierung zur kontinuierlichen Vertrauensüberwachung (Continuous Trust Monitoring) mittels Post-Admission NAC. Bei mir ist unser Senior Solutions Architect. Vielen Dank, dass Sie da sind. Es ist mir ein Vergnügen, hier zu sein. Das ist ein Thema, das derzeit in fast jeder Diskussion über Enterprise-Design zur Sprache kommt. Lassen Sie uns den Kontext herstellen. Jahrelang haben wir uns auf 802.1X und Captive Portals verlassen, um den Edge-Bereich zu sichern. Warum reicht das für Umgebungen wie große Einzelhandelsketten oder Hotel- und Gastronomiebetriebe nicht mehr aus? Das liegt am Vertrauensmodell. Traditionelles NAC – das, was wir als Pre-Admission NAC bezeichnen – ist wie ein Türsteher in einem Club. Er kontrolliert Ihren Ausweis an der Tür, und wenn Sie auf der Liste stehen, sind Sie drin. Aber sobald Sie drinnen sind, beobachtet der Türsteher nicht mehr, was Sie tun. Im Netzwerkkontext authentifiziert sich ein Gerät vielleicht absolut sauber. Aber was ist, wenn dieses Gerät zehn Minuten später eine schädliche Payload herunterlädt und beginnt, das interne Point-of-Sale-Subnetz zu scannen? Pre-Admission NAC hat seine Aufgabe bereits erfüllt und sich zurückgezogen. Post-Admission NAC ist der Sicherheitsdienst, der Streife läuft. Es überwacht die Sitzung kontinuierlich und kann dynamisch eingreifen. Wir sprechen also von einer Verhaltensanalyse in Echtzeit. Wie funktioniert das eigentlich unter der Haube? Genau. Es erfordert zwei Hauptkomponenten: die Erfassung von Telemetriedaten und eine dynamische Policy Engine. Zuerst benötigen wir Transparenz. Die Network Access Devices – die Wireless-LAN-Controller, die Switches – müssen Telemetriedaten an die NAC-Engine streamen. Wir sprechen hier von NetFlow, IPFIX und RADIUS-Accounting-Daten. Die NAC-Engine nutzt diese, um eine Verhaltens-Baseline zu erstellen. Wie sieht der normale Datenverkehr für ein Gastgerät in einem Hotel aus? Wie sieht der Normalzustand bei einer medizinischen Infusionspumpe aus? Sobald man diese Baseline hat, werden Abweichungen erkennbar. Und wenn eine Anomalie erkannt wird? An dieser Stelle kommt die Durchsetzung ins Spiel, in der Regel über RADIUS Change of Authorization (CoA). Wenn ein Gastgerät plötzlich riesige Mengen an SMB-Datenverkehr erzeugt – die Art von Datenverkehr, die man bei einer Ransomware-Infektion sieht –, erkennt die NAC-Engine die Anomalie und sendet eine CoA-Anfrage an den Wireless-Controller. Der Controller kann den Client dann trennen, in ein Quarantäne-VLAN verschieben oder eine restriktive Zugriffskontrollliste anwenden – und das alles mitten in der Sitzung, ohne dass Ihr Netzwerkteam manuell eingreifen muss. Das klingt leistungsstark, aber potenziell auch störend, wenn es nicht richtig implementiert wird. Was sind die typischen Fallstricke, die Sie in der Praxis sehen? Der größte Fehler ist es, die aktive Durchsetzung zu schnell zu aktivieren. Sie müssen einen phasenweisen Ansatz verfolgen. Phase eins ist immer „Nur Überwachen“. Sie müssen dem System Zeit geben, Telemetriedaten aufzunehmen und präzise Baselines zu erstellen. Wenn Sie direkt zur Durchsetzung übergehen, erzeugen Sie Fehlalarme – und in der Hotellerie oder an öffentlichen Veranstaltungsorten ist das Trennen legitimer Benutzer ein betrieblicher Albtraum. Ich sage meinen Kunden immer: Überwachen, Messen, Risiken minimieren. Das ist das Framework. Das Framework „Überwachen, Messen, Risiken minimieren“. Lassen Sie uns das genauer betrachten. Gerne. Überwachen bedeutet die Bereitstellung im passiven Modus – alle Telemetriedaten fließen ein, es erfolgen keine Durchsetzungsmaßnahmen. Messen bedeutet, die Daten zu überprüfen, Schwellenwerte anzupassen und Ihre Richtlinien anhand von bekanntem, gutem Datenverkehr einem Stresstest zu unterziehen. Risiken minimieren ist der Punkt, an dem Sie die aktive Durchsetzung aktivieren, beginnend mit einer abgestuften Reaktion – vielleicht einer restriktiven ACL vor einer vollständigen Trennung – und von dort aus eskalieren. Direkt zu „Risiken minimieren“ zu springen, ist der am häufigsten vorkommende Fehler, den ich sehe. Was ist der zweite große Fehler? CoA-Fehler. Change of Authorization basiert auf UDP-Port 3799. Häufig blockieren Firewalls zwischen der zentralen NAC-Engine und den Filial-Routern diesen Datenverkehr, oder die gemeinsamen RADIUS-Geheimnisse stimmen nicht überein. Wenn CoA fehlschlägt, haben Sie kein Post-Admission-NAC, sondern nur ein sehr teures Warnsystem. Ihre Protokolle zeigen die Anomalie an, aber im Netzwerk passiert nichts. Validieren Sie CoA immer in einer Laborumgebung vor dem produktiven Rollout. Lassen Sie uns über IoT sprechen. Wie lässt sich das auf Umgebungen mit vielen bildschirmlosen Geräten übertragen, wie beispielsweise im Gesundheitswesen? Dort ist es wohl noch kritischer. Viele medizinische IoT-Geräte unterstützen kein 802.1X, sodass sie auf MAC Authentication Bypass (MAB) angewiesen sind. MAB ist extrem anfällig für MAC-Spoofing – ein Angreifer kann die MAC-Adresse eines vertrauenswürdigen Geräts klonen und sich so Zugriff auf das klinische Netzwerk verschaffen. Post-Admission-NAC minimiert dieses Risiko, indem es das Verhalten des Geräts profiliert. Eine Infusionspumpe hat ein sehr vorhersehbares Datenverkehrsmuster – sie kommuniziert in regelmäßigen Abständen mit einem bestimmten internen Server auf einem bestimmten Port. Wenn sich ein Gerät mit der MAC-Adresse der Pumpe authentifiziert, aber Port-Scans durchführt oder mit externen IP-Adressen kommuniziert, erkennt die kontinuierliche Überwachung dies sofort und stellt den Switch-Port unter Quarantäne. Das ist ein überzeugender Anwendungsfall. Wie sieht es mit großen öffentlichen Veranstaltungsorten aus – Stadien, Konferenzzentren? Umgebungen mit hoher Dichte sind perfekt für diesen Ansatz geeignet, bringen jedoch eigene Herausforderungen mit sich. Sie haben es mit Tausenden von gleichzeitigen Sitzungen zu tun, die alle Telemetriedaten erzeugen. Ihre NAC-Policy-Engine und Ihre Protokollierungsinfrastruktur müssen so skaliert sein, dass sie diese Aufnahmerate bewältigen können. Wir empfehlen in der Regel eine verteilte Architektur – lokale Telemetrie-Kollektoren an jedem Veranstaltungsort, die eine zentrale Policy-Engine speisen –, anstatt zu versuchen, alle Roh-Telemetriedaten über eine WAN-Verbindung zurückzuübertragen. Die Purple WiFi Analytics-Plattform lässt sich hier hervorragend integrieren und liefert Kontext auf Sitzungsebene, der die Entscheidungsfindung der NAC-Engine bereichert. Lassen Sie uns eine schnelle Fragerunde basierend auf häufigen Kundenfragen durchführen. Erstens: Ersetzt Post-Admission NAC meine Firewall? Nein. Es ergänzt sie. Firewalls schützen den Perimeter und die Grenzen zwischen Netzwerksegmenten. NAC schützt den Zugangsrand und verhindert laterale Bewegungen innerhalb desselben Segments. Sie benötigen beides. Zweitens: Kann dies in unser bestehendes SIEM integriert werden? Absolut, und das sollte es auch. Die NAC-Engine sollte Ereignisse zur Korrelation an Ihr SIEM senden. Ein Quarantäne-Ereignis im Netzwerk in Kombination mit einem entsprechenden Alarm in Ihrem Endpoint-Detection-System ist ein weitaus stärkeres Signal als jedes für sich allein. Drittens: Was ist der unmittelbare ROI für einen CTO? Eine drastisch verkürzte Mean Time to Respond (mittlere Reaktionszeit). Sie automatisieren die Quarantäne kompromittierter Geräte von Stunden – oder Tagen – auf Millisekunden. Das schützt Ihre Marke, entlastet Ihr Netzwerkteam im Betrieb und liefert den Audit-Trail, den Ihr Compliance-Team für PCI DSS und GDPR benötigt. Hervorragend. Zum Abschluss: die wichtigsten Erkenntnisse aus dem heutigen Briefing. Post-Admission NAC verlagert Ihr Sicherheitsmodell von einer statischen Einlasskontrolle hin zu einer kontinuierlichen, dynamischen Vertrauensbewertung. Der Durchsetzungsmechanismus ist RADIUS Change of Authorization – sorgen Sie dafür, dass dieser vor allem anderen zuverlässig funktioniert. Führen Sie die Bereitstellung immer in Phasen durch: Überwachen, Messen, Eindämmen. Die verhaltensbasierte Baseline-Erstellung ist Ihr Fundament – investieren Sie die Zeit, um sie richtig aufzusetzen. Und schließlich entspricht dieser Ansatz direkt den Prinzipien der Zero-Trust-Architektur, wohin sich jedes Unternehmensnetzwerk entwickelt. Vielen Dank für die Einblicke und vielen Dank an Sie alle, dass Sie dem Purple Enterprise Architecture Briefing zugehört haben. Wenn Sie erfahren möchten, wie die Plattform von Purple Ihre Post-Admission NAC-Bereitstellung unterstützen kann, besuchen Sie purple dot ai, um mit unserem Solutions-Team zu sprechen.