Netwerk toegang (fysieke) beveiliging*

[magic45]

We zitten momenteel in een traject waar we het gehele bedrijf gaan afschermen voor ongeautoriseerde toegang. Dit gebeurt op vele niveaus zowel fysiek(badges e.d.) als op IT(machtigingen op sites, applicaties en shares) maar er is een punt dat waar ik geen mooie oplossing voor kan vinden.

De gemiddelde vertegenwoordiger van tegenwoordig reist met een CAT5 kabel in z'n tas het land door en is niet te beroerd om deze in de eerste beschikbare lanport te pluggen zonder even wat te vragen. Verder zijn medewerkers tegenwoordig gehaaid genoeg om zelf een laptopje in te pluggen van thuis ect. ect. met ongewenste situaties tot gevolg.

Wat we willen is eigenlijk vrij simpel echter blijkt nogal een complexe oplossing te vereisen;

- Enkel domainclients of DHCP reserveringen mogen gebruik maken van de volledige netwerk functionaliteit.
- Het moet niet uitmaken op welke port iets ingeplugd wordt, de controle moet overal plaatsvinden.
- Alle andere clients/devices wil ik kunnen knijpen en kneden op de mogelijkheden (b.v.: enkel HTTP op port 80 naar buiten).


Kort gezegd wat ik niet ken wil ik niet zomaar volledige toegang geven tot het netwerk.
Ik ben me nu al een tijdje aan het inlezen op zowel NAP/NPS en bekijk ook PacketFence als mogelijkheid i zie echter in beide zowel mogelijkheden als onmogelijkheden.

Ik ben eigenlijk heel benieuwd hoe mede-tweakers in de systeem/netwerk beheer tak dit geregeld hebben en waarom op die manier? Alle informatie en suggesties zijn welkom!

[CrankyGamerOG]

ik weet niet om hoeveel clients dat het gaat, maar je kan de dhcp uitdelen aan de hand van bekende mac addys en onbekende addys dus geen lease verstrekken.......

[elevator]

Het voorstel van Def!ance werkt eigenlijk alleen tegen 'per ongeluk' inpluggen, beschermen tegen kwaadwilligen doe je er uiteraard niet mee
-

Ik maak even een linkje naar Beveiliging & Virussen omdat ik denk dat het genoeg raakvlakken daar mee heeft

[magic45]

CrankyGamerOG schreef op dinsdag 27 oktober 2009 @ 11:20:
ik weet niet om hoeveel clients dat het gaat, maar je kan de dhcp uitdelen aan de hand van bekende mac addys en onbekende addys dus geen lease verstrekken.......

Geen lease betekend helemaal geen toegang, dit zou het beheer van nieuw te implementeren stations weer overbodig moeilijk maken en goedbedoelde gastgebruikers geen enkele verbinding geven(wil ze dus b.v. wel HTTP/HTTPS laten gebruiken).

[The Lord]

Beste oplossing is op dit moment het toepassen van IPsec. Probleem kan zijn dat niet alle appraten dit ondersteunen.

[Orion84]

Registreren van MAC adressen van machines die je vertrouwt is één van de mogelijke oplossingen. Aan de hand van het MAC adres kan je dan bepaalde restricties opleggen. Mogelijk met behulp van VLAN technieken.

Maar als je toch al een domain gebeuren hebt, dan is er via die route vast ook wel het een en ander mogelijk. Er valt dan te denken aan RADIUS en 802.1x achtige oplossingen, waarbij de domain login automatisch wordt hergebruikt voor de netwerk authenticatie.

Het fijne weet ik er ook niet van, maar wellicht dat je hiermee al wat aanknopingspunten hebt om verder te zoeken?

[CrankyGamerOG]

elevator schreef op dinsdag 27 oktober 2009 @ 11:23:
Het voorstel van Def!ance werkt eigenlijk alleen tegen 'per ongeluk' inpluggen, beschermen tegen kwaadwilligen doe je er uiteraard niet mee
-

Ik maak even een linkje naar Beveiliging & Virussen omdat ik denk dat het genoeg raakvlakken daar mee heeft

Het lijkt me niet dat iemand ie op bezoek is in je pand ook nog even een mac addy gaat clonen etc.....
(Beetje vergezocht elevator imho, gij doemdenker )

_{En medewerkers die mac addys gaan clonen of gaan klooien kun je leuk straffen}

[ Voor 8% gewijzigd door CrankyGamerOG op 27-10-2009 11:34 ]

[DiedX]

Ik neig naar IPSec. Zakelijke apparaten accepteren dat wel. Ik neem aan dat de medewerkers geen administrator-toegang hebben?

[Orion84]

CrankyGamerOG schreef op dinsdag 27 oktober 2009 @ 11:30:
[...]

Het lijkt me niet dat iemand ie op bezoek is in je pand ook nog even een mac addy gaat clonen etc.....
(Beetje vergezocht elevator imho, gij doemdenker )

Medewerkers die hun privelaptop in willen kunnen prikken daarentegen zijn dan wel weer typisch een groep die naar dat soort mogelijkheden zal grijpen, zodra hun laptopjes ineens niet meer blijken te werken.

[ Voor 56% gewijzigd door Orion84 op 27-10-2009 11:35 ]

[magic45]

DiedX schreef op dinsdag 27 oktober 2009 @ 11:33:
Ik neig naar IPSec. Zakelijke apparaten accepteren dat wel. Ik neem aan dat de medewerkers geen administrator-toegang hebben?

Users hebben uiteraard geen admin toegang.

[CrankyGamerOG]

Orion84 schreef op dinsdag 27 oktober 2009 @ 11:34:
[...]

Medewerkers die hun privelaptop in willen kunnen prikken daarentegen zijn dan wel weer typisch een groep die naar dat soort mogelijkheden zal grijpen, zodra hun laptopjes ineens niet meer blijken te werken.

Zoals ik al zei, voor elke overtreding is een passende straf

[serkoon]

Dit is typisch een probleem waar 802.1x voor uitgevonden is. Wat je daarmee kunt regelen is dat wanneer iemand inplugt, hij/zij standaard in een guest-VLAN geplaatst wordt, die uiteraard lekker restrictief is. Pas na authenticatie geeft de switch toegang tot het gewone VLAN.

Probleem hierbij is dat wanneer je AD gebruikt, je een kip-en-ei-probleem krijgt: je hebt immers netwerktoegang nodig om ueberhaupt in te kunnen loggen op AD (even cached credentials buiten beschouwing latende). Zowel Microsoft als Cisco hebben 802.1x omarmd (NAP/NAC), dus mogelijk hebben ze daar dit kip/ei-probleem opgelost.

Ik kan me voorstellen dat ze simpelweg de loginprocedure hooken (msgina.dll heette dat toch?) zodat met de ingevoerde credentials eerst op de switch geauthenticeerd wordt, als dat gelukt is een nieuwe DHCP-lease wordt opgehaald en pas daarna wordt ingelogd op AD en de normale procedure gevolgd wordt.

[elevator]

CrankyGamerOG schreef op dinsdag 27 oktober 2009 @ 11:30:
Het lijkt me niet dat iemand ie op bezoek is in je pand ook nog even een mac addy gaat clonen etc.....
(Beetje vergezocht elevator imho, gij doemdenker )

Ik had het niet voor niks over kwaadwilligen - er zal vast een reden zijn dat men bij topicstarter opeens én fysieke beveiliging én IT beveiliging gaan doorvoeren, meestal is dat gebaseerd op een bepaalde ervaring.

MAC adres clonen hoeft overigens niet eens - je kan heel gemakkelijk 'gewoon' een statisch IP adres instellen als de DHCP weigert je te helpen en dan kan het nog eens veel meer schade geven dan nu

[FireDrunk]

elevator schreef op dinsdag 27 oktober 2009 @ 11:53:
[...]

Ik had het niet voor niks over kwaadwilligen - er zal vast een reden zijn dat men bij topicstarter opeens én fysieke beveiliging én IT beveiliging gaan doorvoeren, meestal is dat gebaseerd op een bepaalde ervaring.

MAC adres clonen hoeft overigens niet eens - je kan heel gemakkelijk 'gewoon' een statisch IP adres instellen als de DHCP weigert je te helpen en dan kan het nog eens veel meer schade geven dan nu

Wat dat betreft heb je natuurlijk een koppeling liggen tussen je routers/switches en je RRASDHCP server...
Zodra er geen officiele lease is gegeven op een bepaalde MAC, krijgt deze ook geen toegang tot netwerk anders dan VLAN 1 (richting autenticatie server)

[Junktroep]

http://www.microsoft.com/...r2008/en/us/nap-main.aspx
Misschien is bovenstaand nog interesant om naar te kijken

[CrankyGamerOG]

elevator schreef op dinsdag 27 oktober 2009 @ 11:53:
[...]

Ik had het niet voor niks over kwaadwilligen - er zal vast een reden zijn dat men bij topicstarter opeens én fysieke beveiliging én IT beveiliging gaan doorvoeren, meestal is dat gebaseerd op een bepaalde ervaring.

MAC adres clonen hoeft overigens niet eens - je kan heel gemakkelijk 'gewoon' een statisch IP adres instellen als de DHCP weigert je te helpen en dan kan het nog eens veel meer schade geven dan nu

akkoord, echter moet je wel weten in welke range het lan zich uberhaupt bevind dan, dan moet je ook nog eens het gateway ip weten, en eventueel de dns.
Maar je kunt dan idd beter gewoon een andere oplossing kiezen.

* CrankyGamerOG geeft zich gewonnen.

[Resistor]

serkoon schreef op dinsdag 27 oktober 2009 @ 11:38:
<knip>

Probleem hierbij is dat wanneer je AD gebruikt, je een kip-en-ei-probleem krijgt: je hebt immers netwerktoegang nodig om ueberhaupt in te kunnen loggen op AD (even cached credentials buiten beschouwing latende). Zowel Microsoft als Cisco hebben 802.1x omarmd (NAP/NAC), dus mogelijk hebben ze daar dit kip/ei-probleem opgelost.

<knip>

Je kan een week lang alles monitoren, die in de directory zetten, en later handmatig de onrechtmatige laptops er uit halen en rechtmatige (van mensen die bij voorbeeld met vakantie waren die week) er handmatig in zetten.

Ik heb wel geen professionele ervaring, maar hier thuis moet ik eerst handmatig een MAC-adres invoeren op de router voordat de computer het netwerk op kan.

IP-MAC binding presets DHCP Allocations.
If you select Strict Bind, unspecified LAN clients cannot access the Internet.

staat er bij die optie in de router (Draytek Vigor 2600VG voor de geïnteresseerden)

-edit-
Of dit soort outlets gebruiken

[ Voor 19% gewijzigd door Resistor op 27-10-2009 16:14 ]