Die Rolle von SCEP und NAC in der modernen MDM-Infrastruktur

Willkommen zum Purple Technical Briefing. Ich bin Ihr Moderator, und heute befassen wir uns mit einem entscheidenden Architekturthema für Unternehmensnetzwerke: Die Rolle von SCEP und NAC in modernen MDM-Infrastrukturen. Wenn Sie IT-Leiter, Netzwerkarchitekt oder Betriebsleiter an einem großen Standort sind – sei es ein Stadion, ein Krankenhaus oder eine Einzelhandelskette –, kennen Sie das Problem des sicheren Onboardings von Geräten. Die Zeiten von Pre-Shared Keys sind vorbei. Heute sprechen wir über zertifikatsbasierte Authentifizierung. Wir untersuchen, wie das Simple Certificate Enrollment Protocol (SCEP) mit Network Access Control (NAC) zusammenwirkt, um die Bereitstellung von Geräten zu automatisieren und Zero-Trust-Zugriff durchzusetzen. Lassen Sie uns direkt einsteigen. Lassen Sie uns die Architektur aufschlüsseln. Im Kern haben wir drei Ebenen: die Geräteebene, die Policy-Engine und die Netzwerkzugriffsebene. Wenn ein neues Unternehmensgerät oder ein BYOD-Endpunkt Zugriff benötigt, registriert er sich zuerst bei Ihrer Mobile Device Management-Plattform. MDM allein gewährt jedoch keinen Netzwerkzugriff. Hier kommt SCEP ins Spiel. SCEP fungiert als automatisierter Kurier zwischen Ihrem MDM und Ihrer Zertifizierungsstelle (CA). Anstatt dass ein IT-Administrator manuell ein X.509-Zertifikat auf jedem Gerät generiert und installiert, sendet das MDM einen Payload an das Gerät. Das Gerät generiert eine Zertifikatsignierungsanforderung (CSR) und sendet sie an den SCEP-Server. Die CA stellt das Zertifikat aus, und das Gerät verfügt nun über eine kryptografisch sichere Identität. Keine Passwörter, die per Phishing gestohlen werden können, keine gemeinsamen Schlüssel, die durchsickern können. Ein Zertifikat ist jedoch nur ein Ausweis. Sie brauchen immer noch einen Türsteher. Das ist Ihr NAC. Wenn das Gerät versucht, eine Verbindung mit dem WiFi herzustellen – typischerweise über 802.1X EAP-TLS –, leitet der Wireless Access Point die Anfrage an den RADIUS-Server weiter, der von der NAC-Policy-Engine gesteuert wird. Das NAC prüft das Zertifikat: Ist es gültig? Wurde es gesperrt? Moderne NACs gehen jedoch noch weiter. Sie prüfen das MDM auf den Gerätezustand: Ist das Betriebssystem aktualisiert? Ist die Firewall aktiviert? Wenn ja, weist das NAC den Switch oder Access Point an, das Gerät in das richtige VLAN zu verschieben. Wenn nein, verschiebt es sie in ein Quarantänenetzwerk. Diese Integration ist entscheidend für Umgebungen wie große Einzelhandelsketten oder Gesundheitseinrichtungen, in denen Sie eine Mischung aus Unternehmens-Laptops, IoT-Geräten und Gastnetzwerken haben. Apropos Gastnetzwerke: Hier lassen sich Plattformen wie das Guest WiFi und die WiFi Analytics von Purple nahtlos an Ihre sicheren Unternehmens-SSIDs anbinden, um sicherzustellen, dass der öffentliche Zugang von Ihrer sicheren, zertifikatsgestützten Infrastruktur isoliert ist. Wie stellen Sie dies bereit, ohne Ihr Netzwerk zu beeinträchtigen? Erste Empfehlung: Verwenden Sie immer EAP-TLS. Es erfordert Zertifikate sowohl auf dem Server als auch auf dem Client und bietet so eine gegenseitige Authentifizierung. Zweitens: Achten Sie auf Ihre Zertifikatssperrlisten (CRLs) und OCSP. Wenn ein Gerät kompromittiert wird oder ein Mitarbeiter das Unternehmen verlässt, ist der Widerruf des Zertifikats in der CA nutzlos, wenn das NAC den Sperrstatus nicht in Echtzeit überprüft. Ein häufiger Fehler, den wir im Gastgewerbe und an großen Veranstaltungsorten sehen, ist die Vernachlässigung von IoT-Geräten. Nicht alle IoT-Sensoren oder Smart-TVs unterstützen 802.1X oder SCEP. Für diese benötigen Sie eine Ausweichstrategie wie MAC Authentication Bypass (MAB), die von Ihrem NAC streng auf bestimmte Switch-Ports oder isolierte VLANs beschränkt wird. Ein weiterer Stolperstein sind die Gültigkeitszeiträume von Zertifikaten. Stellen Sie diese nicht auf 10 Jahre ein, aber auch nicht auf 30 Tage, es sei denn, Ihre automatische Verlängerung über SCEP ist absolut todsicher. Eine einjährige Gültigkeit mit automatischer Verlängerung ab dem 30. Tag vor Ablauf ist ein solider Branchenstandard. Lassen wir uns kurz auf ein paar schnelle Fragen eingehen, die wir häufig von CTOs erhalten. Frage eins: Können wir unsere bestehenden Active Directory Certificate Services für SCEP nutzen? Ja, Microsoft AD CS enthält eine Network Device Enrollment Service (NDES) Rolle, die als SCEP-Server fungiert. Stellen Sie einfach sicher, dass diese ordnungsgemäß gesichert und für Ihr MDM freigegeben ist. Frage zwei: Ersetzt dies unsere Firewall? Absolut nicht. SCEP und NAC übernehmen die Authentifizierung und Zugriffskontrolle am Edge – auf Layer 2. Ihre Firewall übernimmt die Paketprüfung und Bedrohungsprävention auf den Layern 3 bis 7. Sie arbeiten zusammen. Zusammenfassend lässt sich sagen: Die Kombination aus SCEP, NAC und MDM bietet Ihnen einen berührungslosen, hochsicheren Netzwerk-Edge. Sie eliminiert passwortbezogene Helpdesk-Tickets und stellt sicher, dass nur konforme Geräte auf Ihre kritische Infrastruktur zugreifen. Für Betreiber von Veranstaltungsorten bedeutet dies, dass Ihre Back-of-House-Aktivitäten sicher laufen, sodass Sie sich voll und ganz auf das Front-of-House-Erlebnis konzentrieren können – welches Sie mit den Analyse- und Interaktionswerkzeugen von Purple optimieren können. Beginnen Sie mit einer Überprüfung Ihrer aktuellen MDM-Funktionen und stellen Sie sicher, dass Ihre RADIUS-Infrastruktur EAP-TLS unterstützt. Erfassen Sie Ihre Gerätetypen und führen Sie zunächst ein Pilotprojekt mit den Geräten Ihres IT-Teams durch. Vielen Dank, dass Sie sich dieses technische Briefing angesehen haben. Bleiben Sie sicher, und wir sehen uns beim nächsten Mal.