Toegang onbekende apparatuur regelen

[Verwijderd]

Beste Tweakers,

Momenteel ben ik bezig met een project. Het is de bedoeling dat er een oplossing komt voor de beveiliging van onbekende apparatuur te regelen. Momenteel is het zo dat iemand zijn eigen laptop aan kan sluiten en in feite op het netwerk kan. Momenteel is er al een gedeelte beveiligd door middel van MAC Authenticatie. Aan mij is het de taak om uit te zoeken of dit wel de beste oplossing is. Het moet uiteraard zo goed mogelijk beveiligd zijn voor zo min hoe mogelijk geld.

Het gaat om een omgeving van ongeveer 1500 clients. De clients zijn fat en thin clients. Ze draaien allemaal op citrix met RES. Als OS wordt gebruik gemaakt van Windows Server 2008 en Windows XP SP3. De clients gaan binnenkort echter over op Windows 7. Als switches wordt gebruik gemaakt van HP Procurve switches.

Wat ik momenteel heb ik het volgende uitgezocht, en de voor en nadelen opgesomd:

MAC Authenticatie

Voordelen:
-Kosten. De kosten voor het gebruik van MAC Authenticatie is het laagste. Het is het makkelijkste te configureren waardoor de configuratie kosten laag uitvallen, het beheer is vrij eenvoudig omdat bij een nieuwe client alleen het MAC adres ingevoerd hoeft te worden.
-Gemakkelijk te implementeren en beheren. Het implementeren van MAC Authenticatie is het meest eenvoudige omdat er geen gebruik gemaakt hoeft te worden van bijvoorbeeld certificaten. Het beheren van MAC Authenticatie is eenvoudig omdat bij nieuwe apparatuur alleen het MAC Adres van het betreffende apparaat hoeft worden toegevoegd.
-Het kan voor alle apparatuur die een MAC Adres heeft gebruikt worden. Binnen de organisatie wordt er gebruik gemaakt van printers / mobiele telefoons / tablets. Op deze apparaten kunnen geen certificaten geïnstalleerd worden. Bij het gebruik van MAC Authenticatie is dit geen enkel probleem. Het MAC adres van deze apparaten hoeft maar worden toegevoegd en de gebruiker heeft toegang tot het netwerk.
-Geen gebruik RADIUS. Gaat via Network Policy Server (NPS). Er hoeven geen extra servers geïnstalleerd worden. Het enige wat gebruikt wordt is een Network Policy Server . Een Network Policy Server is reeds aanwezig.

Nadelen:
Het nadeel van MAC Authenticatie is dat het vrij gemakkelijk omzeild kan worden door gebruik te maken van een MAC Adres dat reeds is toegestaan. Het MAC Adres kan op de volgende manieren achterhaald worden:
-Sniffer. De indringer kan gebruik maken van een sniffer. Een sniffer leest alle verkeer dat over het netwerk gaat uit. Bij het gebruik van MAC authenticatie wordt het MAC adres niet encrypt waardoor dit doormiddel van een sniffer uitgelezen kan worden. De indringer hoeft het MAC Adres dan maar aan zijn apparaat toe te kennen, en kan gebruik maken van het netwerk.
-Fysiek aflezen. De indringer kan het MAC adres aflezen door het af te lezen op een machine. Vaak is het zo dat er een sticker aanwezig is op machines waar het MAC adres op staat aangegeven. De indringer hoeft het MAC Adres dan maar aan zijn apparaat toe te kennen, en kan gebruik maken van het netwerk.

DHCP Enforcement

Voordelen:
Het voordeel van DHCP Enforcement is dat het makkelijk te implementeren is. De kosten vallen laag uit omdat het makkelijk te implementeren en te beheren is.

Nadelen:
Veel te onveilig. Het is namelijk makkelijk te omzeilen om de client een vast IP adres te geven. Als de client een vast IP adres toegekend heeft gekregen dan wordt de health status niet door DHCP gecontroleerd.

802.1X

Voordelen:
De beveiliging van 802.1X is een stuk veiliger dan het gebruik van MAC Authenticatie.

Nadelen:
-Kosten
De kosten van 802.1X zullen veel hoger zijn dan de kosten voor MAC Authenticatie. De implementatie kosten zullen veel hoger liggen omdat het gehele systeem opnieuw gebouwd dient worden, de beheerskosten zullen tevens veel hoger liggen dan bij MAC Authenticatie.
-Compatibiliteit
Niet alle apparaten ondersteunen 802.1X. Printers / telefoons / tablets ondersteunen het niet.

IPSEC

Voordelen:
-Veilig, het is niet mogelijk deze methode te omzeilen zoals dat wel mogelijk is bij DHCP enforcement
-Geen infrastructuur upgrade nodig, IPSec werkt over elke type Infra. Bij 802.1x kan het nodig zijn om switches te vervangen door switches die 802.1x spreken. Dit is bij IPSec niet noodzakelijk
-Flexibel, een computer in het secure network kan communicatie initialiseren naar een computer in het restricted network (dit kan niet andersom)
-Encryptie, IPSec kan ook gebruikt worden voor encryptie

Nadelen:
- Microsoft Active Directory Certification Service CA dient geïnstalleerd worden
- Kan niet voor alle apparatuur gebruikt worden. Apparatuur waarvoor geen certificaten geïnstalleerd kunnen worden kunnen niet gebruikt worden
- Kosten (Beheer / implementatie / licenties servers)

Multifactor (802.1X + MAC Authenticatie)

Voordelen:
- Veilig. Voor apparaten die om kunnen gaan met certificaten wordt gebruik gemaakt van certificaten, apparaten die niet om kunnen gaan met certificaten wordt MAC authenticatie gebruikt

Nadelen:
- Beheer complexer. Omdat twee verschillende beveiligingstechnieken worden toegepast is het beheer complexer
- Kosten. Omdat het beheer complexer is, gaan de kosten omhoog

Mis ik nog dingen, en wat zouden jullie kiezen? Ik neig momenteel het meest naar Multifactor 802.1X en MAC. Dit is het meest veilige / alle apparatuur kun je ondersteunen, en 802.1X is een beetje de standaard qua security tegenwoordig. Het gaat trouwens alleen over een wired netwerk!

[Rolfie]

Ik denk dat de je kosten van MAC addressen beheer ook niet moet onderschatten. Certificaat beheer is hierin een stuk gemakkelijker voor domain based machines.

Het hangt er een beetje vanaf wat je precies wilt.
Een goede implementatie 802.1X icm met MAC addressen is meestal de beste. Eventueel icm met een ACL er over. BV Printer vlan mag alleen van de server IP range benaderd worden.

Thinclients, mogen alleen naar de Citrix farm. Al kunnen ze het vervalsen, dan kunnen ze nog steeds niet veel.

De gewone AD machine op basis van 802.1X.

[ Voor 7% gewijzigd door Rolfie op 23-09-2012 20:40 ]

[Verwijderd]

Rolfie schreef op zondag 23 september 2012 @ 20:39:
Ik denk dat de je kosten van MAC addressen beheer ook niet moet onderschatten. Certificaat beheer is hierin een stuk gemakkelijker voor domain based machines.

Het hangt er een beetje vanaf wat je precies wilt.
Een goede implementatie 802.1X icm met MAC addressen is meestal de beste. Eventueel icm met een ACL er over. BV Printer vlan mag alleen van de server IP range benaderd worden.

Thinclients, mogen alleen naar de Citrix farm. Al kunnen ze het vervalsen, dan kunnen ze nog steeds niet veel.

De gewone AD machine op basis van 802.1X.

En hoe denk je over het gebruik van IPSEC? Ik ben er nu over aan het lezen, maar IPSEC is veiliger en het is als ik alles tel denk ik goedkoper te implementeren. Het hoeft alleen op de server geconfigureerd te worden namelijk. De switches hoeft niks op te gebeuren. Alleen hoe ga je om met apparaten zoals printers icm IPSEC?

[LuckY]

Hoe is de cliënt omgeving ingeregeld? als je accesslayer enkel bestaat uit Microsoft systemen zou je naar NAP-achtige dingen kunnen gaan, dan zou je enkel de printers via 802.1X los kunnen configureren.

Printers en telefoons ondersteunen veelal wel 802.1X, of je moet brakke modellen hebben. Maar ik heb nog maar weinig office mfp's gezien welke geen .1X ondersteunde.

-Sniffer. De indringer kan gebruik maken van een sniffer. Een sniffer leest alle verkeer dat over het netwerk gaat uit. Bij het gebruik van MAC authenticatie wordt het MAC adres niet encrypt waardoor dit doormiddel van een sniffer uitgelezen kan worden. De indringer hoeft het MAC Adres dan maar aan zijn apparaat toe te kennen, en kan gebruik maken van het netwerk.

Hij moet dan toch eerst op het netwerk zitten om te sniffen ?

Het belangrijkste om te melden is:
Gaat het om bekabeld of draadloos
Zijn het XP systemen of vista en hoger
Enkel Microsoft of ook linux/apple

Dit dient allemaal meegenomen te worden in de keuzes.

Hoe zit het met teamscheiding? zijn er dedicated netwerk of serverbeheerders?

[ Voor 4% gewijzigd door LuckY op 24-09-2012 20:18 ]

[Verwijderd]

LuckY schreef op maandag 24 september 2012 @ 20:11:
Hoe is de cliënt omgeving ingeregeld? als je accesslayer enkel bestaat uit Microsoft systemen zou je naar NAP-achtige dingen kunnen gaan, dan zou je enkel de printers via 802.1X los kunnen configureren.

Printers en telefoons ondersteunen veelal wel 802.1X, of je moet brakke modellen hebben. Maar ik heb nog maar weinig office mfp's gezien welke geen .1X ondersteunde.

Hij moet dan toch eerst op het netwerk zitten om te sniffen ?

Het belangrijkste om te melden is:
Gaat het om bekabeld of draadloos
Zijn het XP systemen of vista en hoger
Enkel Microsoft of ook linux/apple

Dit dient allemaal meegenomen te worden in de keuzes.

Hoe zit het met teamscheiding? zijn er dedicated netwerk of serverbeheerders?

Het is geheel Microsoft. Momenteel draait alles op server 2003 en server 2008 R2. Dit gaat binnenkort over naar geheel Server 2008 R2. De clients draaien op Windows XP SP3. Begin volgend jaar gaat dit geheel over op Windows 7.

Of de printers 802.1X ondersteunen weet ik niet, printers worden veelal uitbesteed. Maar hoe werkt een printer dan met 802.1X? Kun je die ook een certificaat uitdelen of hoe zit dat?

Het gaat er juist om dat het niet de bedoeling is dat iedereen zomaar zijn eigen laptop oid mee kan nemen, in kan prikken op het netwerk kan. Nu zullen de meeste gebruikers toch geen idee hebben wat ze doen, maar het kan natuurlijk voorkomen dat er iemand tussen zit die net wat meer wil

Voor het beheer zit er beheerders, installaties worden meestal uitbesteed. En het gaat over het bedraade netwerk. Voor het wireless netwerk is een apart netwerk gelegd, wat alleen verbonden is met het internet.

Mijn idee was om dmv NAP 802.1X te regelen, en door middel van NPS MAC Authenticatie te regelen. Echter was ik wat meer aan het lezen over IPSEC, en zag dat dit veiliger was. Nu heeft me dit dus aan het twijfelen gebracht. Vandaar dat ik het hier even vraag

[ Voor 6% gewijzigd door Verwijderd op 25-09-2012 08:50 ]