Et si la menace venait de l’intérieur ?... La réponse est dans le NAC !

Or, qui peut affirmer avoir un inventaire complet et à jour de la configuration de tous les commutateurs de son LAN et de ce qui y est connecté ? Ports « temporaires » en place depuis 2 ans, vlan par défaut mal configuré, commutateur oublié dans un local technique isolé, borne Wi-Fi « pirate » dans un bureau pour passer outre le filtrage Url de l’entreprise, les exemples ne manquent pas…

Par ailleurs, on peut également faire le parallèle avec l’expansion des réseaux Wi-Fi, qui nécessitent aujourd’hui une authentification forte difficile à contourner, alors qu’il suffit de repérer une prise réseau dans un bureau isolé pour avoir les mêmes accès.

Sur le marché de la sécurité informatique, les solutions NAC (Network Access Control) répondent à cette problématique, en apportant le même niveau de sécurité qu’un accès distant au niveau des accès internes.

Les intérêts sont multiples :

• Conformité à des standards comme SOX, PCI-DSS, …
• Maîtrise de son réseau, et surtout de tout ce qui s’y connecte, la liste étant passée en quelques années de simples postes de travail à une multitude d’équipements hétérogènes (téléphones VoIP, badgeuses, caméras, laptops professionnels et personnels, Smartphones, tablettes,…), notamment avec l’essor du BYOD,
• Maintien de la politique de sécurité et de la conformité en tous points du réseau.

Aujourd’hui, les solutions proposées par les différents éditeurs du marché permettent de répondre à ces problématiques et se sont adaptées à l’évolution des besoins.

Là où, auparavant, elles se contentaient de fournir une authentification au niveau de commutateur, en vérifiant l’identité et la conformité du poste de l’utilisateur, les solutions NAC intègrent désormais :

• La prise en compte des problématiques « BYOD » et « Guest », avec la fourniture d’outils de gestion pour ces deux nouveaux types de population,
• L’intégration de solutions de « profiling » pour adresser l’authentification de tous les équipements tiers présents sur un réseau.

Il y a quelques années, ces évolutions freinaient voire provoquaient l’arrêt en cours de déploiement des projets NAC. Il était impossible d’aller au bout du processus et l’on finissait souvent par devoir baisser le niveau de sécurité global, à cause d’un téléphone ou d’une imprimante incapable d’être reconnue et authentifiée. Aujourd’hui, on est capable d’identifier précisément chaque type d’équipement client, de l’authentifier selon ses capacités de manière quasi automatique et d’appliquer ainsi une politique « NAC » globale, adaptée et modulable.

Enfin, les bénéfices pour les utilisateurs, que l’on a parfois tendance à négliger, sont également notables :

• Environnement de travail accessible partout, grâce aux clients logiciels détectant le type de connexion (Wi-Fi, LAN, VPN) et déclenchant l’authentification de manière automatique et transparente,
• Mobilité dans l’entreprise, grâce aux vlans dynamiques basés sur l’identité de l’utilisateur et non plus sur sa localisation, qui permettent d’accompagner l’utilisateur dans ses déplacements internes.

Ces évolutions technologiques permettent ainsi à de nombreuses entreprises d’avoir une maîtrise effective, au port près, de tout ou partie (bureaux R&D, environnements « confidentiels ») de leur réseau, associée à un monitoring en temps réel des anomalies de conformité et de sécurité au niveau de l’accès LAN.

Pour ceux qui ont déjà osé se lancer, des avantages complémentaires sont même apparus avec l’utilisation généralisée du NAC. On constate notamment des gains de temps considérables dans la résolution des incidents réseaux - principalement en raison de la manne d’informations contenues dans la solution de profiling, ou encore dans le déploiement d'un nouveau commutateur (limité à la configuration du management et du 802.1X, l’utilisation du NAC avec des vlans dynamiques permet aux ports de s’auto-configurer en fonction de l’usage).

Le NAC n’est donc plus synonyme de projet complexe aux résultats douteux. Aujourd’hui, la maturité de certaines solutions du marché en fait un allié incontournable face aux tentatives d’intrusions. Au-delà du niveau de sécurité certain apporté par le contrôle d’accès, les effets de synergie sont nombreux et la plus-value s’étend à la visibilité, à la fois au niveau du réseau, et des utilisateurs. De là à dire que le 802.1X est un élément clé dans le cadre d’un projet BYOD et mobilité…

Auteur : Vincent Clément, Ingénieur Sécurité Réseaux, Nomios.