Asegúr@IT III - Network Access Protection (NAP)

Protección de acceso a Redes Juan Luis García Rambla MVP Windows Security [email_address]

Introducción

Problemática de las redes.

¿Quién está en mi red?

¿Estará controlado?

¿Cumplirá las normas de uso de la empresa?

¿Se encontrará actualizado?

¿Está en la VLAN quien debe estar?

Si se conecta remotamente ¿seguro que está seguro?

¿Qué es Network Access Protection?

Es una plataforma que fuerza el cumplimiento de unos estados de salud para el acceso a las redes.

Establece redes de cuarentena a la espera de cumplir los diferentes criterios.

Componentes de Sistema Operativo.

Servidor NAP Windows Server 2008.

Clientes Nap: Windows Vista y Windows XP SP2

Permite la integración con sistemas de terceros.

¿Qué es NAP?

Componentes de NAP

Métodos para forzar el cumplimiento Network Access Protection.

Validar el estado de salud.

Aplicación de remedios.

Limitar el acceso.

Network Policy Server (NPS)

Componentes de infraestructura:

Switch.

DHCP.

Terminal Server.

…

Arquitectura NAP Network Policy Server Quarantine Server (QS) Client Quarantine Agent (QA) Health policy Updates Health Statements Network Access Requests System Health Servers Remediation Servers Health Certificate Network Access Devices and Servers System Health Agent (SHA ) MS and 3rd Parties System Health Validator Enforcement Client (EC) (DHCP, IPSec, 802.1X, VPN)

Network Policy Server (NPS)

Servidor Remote Authentication Dial-In User Service (RADIUS) y proxy para Windows Server 2008.

Sustituye al Servicios de Autentificación de Internet Service (IAS) de Windows Server 2003

Servidor de políticas para Network Access Protection

Los administradores definen los requerimientos de estado de salud como política en un entorno NAP.

Proporcionan el punto de validación de políticas de salud configuradas.

Componentes de la infraestructura NAP

Servicio de Directorio Activo.

Almacena las cuentas de usuarios y equipo que serán utilizados para autenticar las conexiones.

Servidor de salud de certificados.

Ofrece certificados para equipos que cumplent las condiciones de salud.

Servidores de remedio.

Utilizado por SHAs o clientes no compatibles para obtener las actualizaciones.

Servidor de políticas

Utilizado por los SHV para validar el estado actual de salud de los clientes NAP.

Validación de la política de salud.

Los equipos parametrizan las condiciones exigidas por el servidor NPS.

Equipos que cumplen.

Ganan acceso ilimitado.

Equipos que no cumplen las condiciones o no son compatibles con NAP.

Tienen acceso ilimitado pero se registra un log de estado

Acceso limitado a redes restringidas.

Hay equipos que pueden estar exceptuados del cumplimiento NAP.

Aplicación de remedio

Aquellos equipos que no cumplan con las condiciones de seguridad, pueden aplicarse métodos automatizados para remediarlo.

Levantar servicios automáticamente.

Ejecutar procedimientos.

Iniciar los procedimientos de actualización de sistema operativo o soluciones de seguridad.

Notificaciones.

Como trabaja NAP Network Access Requests Restricted Network Windows Client Network Access Devices NPS Active Directory Health Statements QA SHA EC QS SHV Not Compliant Policy Compliant Remediation Servers

Escenarios NAP

NAP proporciona soluciones en diferentes escenarios:

Internet Protocol security (IPsec).

IEEE 802.1X.

Acceso remoto en conexiones privadas virtuales (VPN).

En configuraciones Dynamic Host Configuration Protocol (DHCP).

Example network NAP client that has limited access DHCP server Remediation servers VPN server NPS Active Directory Intranet Restricted network Perimeter network Health certificate server IEEE 802.1X devices Internet Policy servers

NAP con DHCP Requiero acceso este es mi estado de salud El cliente requiere y recibe las actualizaciones Necesito una dirección IP No cumples requerimientos de estado de salud Acceso concedido. Esta es tu nueva dirección IP. Servidor NPS Cliente Servidor DHCP Servidor VPN Dispositivo IEEE 802.1X Servidores de remedio

Integración con otros fabricantes