Conociendo Microsoft Network Access Protection (NAP)
 Introducción En seguridad informática hay una frase que dice: “Una red es tan segura, como el ultimo punto de acceso que se conecte a esta…” Este es uno de los tantos conceptos de los que se parten al momento de diseñar la infraestructura de seguridad de una red, más aún teniendo en cuenta los requerimientos de las regulaciones actuales (SOAX, HIPAA, ISO 17799/27001, etc.) y el avance en tecnologías de intrusión (worms, virus, spyware, rootkits, etc.) que son más fáciles de utilizar y adquirir. Una de las tareas más demandantes para los administradores de sistemas es asegurar que cualquier dispositivo que se conecte a la red corporativa en cualquiera de sus formas (PDA, Notebook, Smartphone, Workstation, Server, Virtual Server) y a través de cualquier medio de acceso (Internet, VPN, Extranet, Wireless, Wired, Dial-Up) cumplan con el modelo de seguridad definido para la organización. Teniendo en cuenta esta necesidad, en los últimos años emergieron tecnologías de control de acceso como NAC (Network Admission Control) de Cisco Systems, NAP (Network Access Protection) de Microsoft y TNC (Trusted Network Connect) de Trusted Computing Group, a alto nivel estas tecnologías tienen por objetivo verificar que los dispositivos cumplan con el modelo de seguridad definido para la organización (Ej.: Firewall activado, Actualizaciones del SO, Software de Antivirus/Antimalware) antes de que estos tengan acceso a la red corporativa. El lanzamiento de Microsoft Windows Server “Longhorn” está acompañado de una de las tres tecnologías de control de acceso NAP (Network Access Protection): esta tecnología se estimaba iba a realizar su primer debut en Microsoft Windows Server 2003 R2, esto no sucedió y en su lugar apareció NAQS (Network Access Quarantine Control) integrándose con IAS (Internet Authentication Service) como solución de control de acceso para clientes de acceso remoto, a través de una validación del modelo de seguridad vía vbscripting, esto mas tarde fue integrado con la solución de Microsoft ISA Server 2004 a través de una característica conocida como VPN Quarantine. Cabe destacar que la solución de NAP no está diseñada para asegurar la red de usuarios maliciosos, si no que está diseñada para ayudar a los administradores de sistemas a mantener la higiene de los dispositivos con SO Microsoft NAP “compliance” dentro de la red, que tiene como resultado mantener la integridad general de la red. NAP provee “compliance” sobre las siguientes tecnologías:
Estas tecnologías pueden ser utilizadas en forma conjunta o independiente en función del modelo de seguridad y la infraestructura a utilizar, el refuerzo de las políticas en estas tecnologías se realiza a través de un NPS (Network Policy Server) que es el reemplazo del IAS (Internet Authentication Service) en Microsoft Windows Server 2000/2003 y está disponible en Microsoft Windows Server “Longhorn”. Para la implementación de NAP es necesario montar toda una infraestructura que soporte el framework de control de acceso, esta infraestructura cuenta con:
En la siguiente figura se ve un modelo de ejemplo de alto nivel de Network Access Protection.  Por otro lado tenemos la propuesta de Cisco Systems NAC (Network Admission Control), que son un conjunto de tecnologías desarrolladas por Cisco Systems, utiliza la infraestructura de red para forzar las políticas de seguridad definidas en el modelo de seguridad de una organización en todos los dispositivos conectados a esta. Microsoft y Cisco han trabajado conjuntamente para garantizar la interoperabilidad en estas dos tecnologías, como resultado de este trabajo conjunto se obtiene:
A alto nivel la integración que tienen estas dos plataformas funciona de la siguiente manera:
Como tercera opción emergente en lo que respecta a tecnologías de control de acceso, esta TNC (Trusted Network Connect) una solución desarrollada por TCG (Trusted Computing Group) una organización sin fines de lucro creada para desarrollar, definir y promover estándares abiertos para hardware habilitado para funcionar dentro de un modelo confiable y tecnologías de seguridad. Este modelo esta siendo utilizado por empresas como Juniper Networks dentro de su modelo de control de acceso conocido como Juniper Networks Unified Access Control Microsoft es miembro de TCG, a estado trabajando con el grupo desde el 2004 y se están desarrollando interfaces para soportar “plug-ins” para garantizar la interoperabilidad entre NAP y TNC. Sumario NAP (Network Access Protection) es una tecnología que incluye componentes tanto de servidor como de cliente, y que puede implementarse a través de IPSec Enforcement, 802.1x Enforcement, VPN Enforcement, DHCP Enforcement, en forma separada o conjunta. Tiene por objetivo ser totalmente interoperable con otras tecnologías de control de acceso (NAC/TNC), lo cual provee independencia del proveedor de hardware ya que NAC trabaja de momento solo con dispositivos Cisco Systems, mientras que TNC es un modelo abierto multi-vendor. Emiliano Estévez Socio y consultor de Algeiba S.A. (eestevez@algeiba.com.ar). Es el encargado de proyectos en infraestructura de IT. Tiene más de 9 años de experiencia como profesional de IT. Ha trabajado en diferentes empresas nacionales y multinacionales, contribuyendo a incrementar la disponibilidad, seguridad y performance de sus centros de datos. Es MCSA (Microsoft Certified Systems Administrator) en MS Windows 2000/2003 y MCSE (Microsoft Certified Systems Engineer) en MS Windows 2000/2003, ambas certificaciones con especialización en Messaging. Certificó como Cisco CRS (Customer Response Solutions) y Cisco UCSE (Unified Communications System Engineer). Actualmente se desempeña como instructor de la carrera de MCSA/MCSE en MS Windows 2000 y MS Exchange Server 2003 en BS Training Center. Actualmente esta trabajando como Consultor Senior en Seguridad para Microsoft Cono Sur. |
