Background Information and Implementation

“El conjunto de tecnologías o arquitecturas que permiten gestionar el acceso de los usuarios a la infraestructura de red en el punto de acceso a la misma, verificando tanto la identidad del usuario como el cumplimiento de las políticas de seguridad definidas y en función del tipo de acceso utilizado.”

Del enunciado anterior pueden desprenderse dos ideas clave que caracterizan el enfoque esencial en el que se basa el Control de Acceso a la Red. En primer lugar, que no se trata de una tecnología individual que pueda estar contenida en una única entidad lógica, sino de un conjunto de herramientas que, utilizándose de forma conjugada, dan lugar a toda una arquitectura de seguridad orientada a gestionar la forma en que los usuarios de la red acceden a la misma y hacen uso de sus recursos. Se trata además de una infraestructura muy flexible, capaz de hacer frente a los numerosos escenarios y casos de uso que pudieran darse, a pesar de que dichos escenarios, teniendo en cuenta el papel que la infraestructura de comunicaciones tiene actualmente en los procesos de negocio de toda compañía y las especificidades concretas de la misma, serán sin lugar a dudas muy variados. También es digno de mención que en la definición de las arquitecturas de NAC se mantiene en todo momento el objetivo de reutilizar tecnologías que, con toda probabilidad, ya se encontrarán implantadas en la red, aprovechando al máximo las capacidades de la misma y tratando de evitar la duplicación de funcionalidades.

En segundo lugar, es interesante reseñar que para gestionar adecuadamente el acceso de los usuarios a la infraestructura de red no se utilizan únicamente técnicas tradicionales de autenticación de los mismos. Por supuesto, la comprobación de la identidad del usuario seguirá siendo un aspecto fundamental en el proceso de control de acceso, pero ya existen mecanismos bien conocidos basados en esta comprobación. La idea en este tipo de sistemas es partir de la autenticación del usuario y extender el proceso de verificación a otros aspectos. Puesto que cada escenario particular es específico y diferente de todos los demás, se hace uso de políticas de red en lugar de definir los aspectos concretos que deben comprobarse para garantizar la mayor flexibilidad posible y una capacidad óptima de adaptación de la infraestructura de NAC a cada escenario de aplicación. Además, la forma en que el administrador de la red defina estas políticas de seguridad para control de acceso determinará también los objetivos del sistema y el uso que cada corporación hace del mismo. Aunque es probable que existan ciertos objetivos básicos que siempre impregnarán la política de control de acceso, como la protección de los recursos de la red, pueden implementarse también otras aplicaciones más concretas

Capítulo 3

38

gestionando pormenorizadamente las políticas. Un ejemplo simple sería definir las políticas de forma que no se impida el acceso de los usuarios que las incumplen, lo que permitiría monitorizar su comportamiento para obtener información que podría resultar de utilidad de cara a solucionar de forma preventiva los problemas de seguridad que pudieran suponer. Como se verá más adelante, las infraestructuras de NAC son tanto arquitecturas de seguridad como herramientas de gestión, y el peso de cada una de estas facetas dependerá de la forma en que el administrador de la red defina las políticas que gobiernan el sistema.

3.2.1

Funcionamiento genérico básico

En su concepto general, el funcionamiento de los sistemas de NAC es sencillo. La Figura 6 muestra de forma esquemática el intercambio de mensajes que se produce cuando un cliente desea obtener acceso a la red:

Figura 6. Funcionamiento genérico básico

Como se ve en la ilustración, el proceso de control de acceso comienza cuando un usuario utiliza un dispositivo para acceder a la red, haciendo uso de alguno de los canales de acceso que dicha red ofrece. Nótese que este acceso no tiene por qué ser remoto, aunque así será en la mayoría de las ocasiones. Así pues, el proceso de NAC tendrá lugar en el momento en que el cliente establezca la conexión inalámbrica con la red, negocie el acceso a través del canal cifrado de una red privada virtual o conecte físicamente su dispositivo a un equipo de red, como un switch o un router corporativo.

Cuando el cliente realiza una solicitud de acceso, se le solicitará cierta información que será enviada al servidor de políticas para su análisis. Dicho servidor contrastará entonces la información de seguridad proporcionada por el cliente con la base de políticas de red para control de acceso con objeto de determinar si debe autorizarse o no el acceso dadas la identidad del usuario y las características del dispositivo que éste está utilizando.

Cliente de NAC

Aceptar/Rechazar

Servidor de NAC

Punto de Acceso a la Red

Solicitud de Acceso

Comprobación de

seguridad

Arquitecturas de Control de Acceso a la Red

39 El resultado de esta comprobación determinará si el servidor de políticas permite o deniega el acceso al usuario. Para hacerlo, instruirá al elemento con el que el cliente ha establecido contacto con la red sobre la decisión y las medidas que debe tomar. Dicho elemento será el que haga efectiva la decisión del servidor de políticas, permitiendo o no el acceso del cliente e informándole del resultado del proceso de control de acceso sea éste en uno u otro sentido.

3.2.2

Configuración del dispositivo

Como se ve, el proceso de control de acceso gira en torno a la información aportada por el cliente acerca de la identidad del usuario y las características del dispositivo que utiliza. Son varios los términos que se utilizan para denominar a este conjunto de características relevantes del dispositivo, principalmente derivados de traducciones del inglés que no siempre resultan adecuadas u ortodoxas para con nuestro idioma, como “estado de salud”, “postura de seguridad” o “medidas de integridad”. En este texto se utilizará simplemente el término “configuración” para referirse al conjunto de aspectos o características del sistema o dispositivo que resultan relevantes para cada escenario de aplicación y que, por tanto, serán evaluados. Es importante destacar que este concepto es amplio, en el sentido de que no se determinan de antemano cuáles son los aspectos que definen la configuración del sistema. De hecho, el término es intencionadamente flexible para dar cabida no sólo a características propias de los componentes software de la plataforma de ejecución, sino también a aspectos relacionados con el hardware sobre el que se ejecuta dicha plataforma por si éstos tuviesen alguna relevancia. De la misma forma que cada aplicación requerirá de políticas de control de acceso específicas, será preciso definir también las características que resulten relevantes desde el punto de vista de la misma. Por supuesto, habrá aspectos de la configuración software/hardware del sistema que resultarán útiles en muchos escenarios, pero también existirán otros más específicos que dependerán del entorno concreto en el que se despliegue la infraestructura de NAC. Es obvio que comprobar todos los aspectos de configuración del sistema sería inviable a la par que poco eficaz. Las características que es necesario medir y enviar a la infraestructura de NAC para su evaluación también son definibles mediante una política de control de acceso.

A modo de ejemplo, algunos aspectos que típicamente resultarán de interés a la hora de determinar si se debe permitir o no el acceso de un cliente a la red y sus recursos serán [Cluley2007, Ouellette2011]:

 Versión del sistema operativo.

 Estado de las actualizaciones del sistema operativo.

 Presencia de software antivirus en el sistema y su estado de actualización.

 Existencia de un firewall correctamente configurado.

 Ausencia de ciertos componentes software conocidos, como programas P2P.

La definición de políticas que tengan en cuenta el estado de cada uno de estos elementos permitirá gestionar de forma homogénea un conjunto de dispositivos que en lo relativo a otros aspectos podrían considerarse radicalmente diferentes. Las características que se estime que deben formar parte de la configuración del sistema serán comprobadas y definirán un subconjunto de detalles que abstraerá el estado del sistema, simplificándolo y modelándolo para permitir gestionarlo de forma unificada y determinar el nivel de acceso que cada cliente

Capítulo 3

40

debe tener para garantizar unas ciertas condiciones de seguridad en la red, tanto para el cliente propiamente dicho como para otros usuarios y, por supuesto, los recursos de la red.

Teniendo en cuenta que según los datos que el dispositivo aporte acerca de su configuración se le permitirá un nivel de acceso u otro, es inmediato determinar que la importancia de esta información es capital. En efecto, la configuración del sistema es un elemento crucial de la infraestructura de NAC, y todos los procesos relacionados con la obtención de la misma resultan críticos para la seguridad global que ofrece la infraestructura. Como se verá más adelante, la recopilación y gestión de esta información de forma confiable será uno de los principales problemas para los que este trabajo propone soluciones.