Network Access Control (NAC):
cos’è e come funziona

Secondo una definizione offerta da Gartner, sotto l’acronimo di NAC (Network Access Control) sono ricomprese le tecnologie hardware e software che consentono di automatizzare la gestione in sicurezza degli accessi di un’ampia gamma di endpoint.

Si spazia dai dispositivi informatici degli utenti connessi in remote working, all’enorme varietà di sistemi Internet of Things (IoT), anche in previsione del loro vertiginoso aumento sul mercato (30 miliardi di dispositivi IoT entro il 2030, fonte: Statista).

A scanso di equivoci, è opportuno precisare come il NAC non dovrebbe essere confuso, come talvolta accade, con la generica definizione di standard IEEE 802.1X per il controllo degli accessi alla rete basato su porte, in quanto quest’ultimo costituisce soltanto uno dei protocolli utilizzati da un sistema NAC, che tuttavia comprende anche diversi altri elementi.

Attraverso l’esperienza di IFIConsulting vediamo cos’è un NAC e come funziona nello specifico, cercando di comprendere quando abbia senso o meno implementarlo nella rete aziendale.

Network access control (NAC): cos’è?

Il Network Access Control (NAC) è un sistema IT concepito per rafforzare la sicurezza, la visibilità e la gestione degli accessi di una rete aziendale.

Il NAC applica una serie di policy di sicurezza ai fini di consentire l’accesso alle risorse di rete soltanto a utenti e dispositivi riconosciuti dal sistema, oltre a definire il livello delle autorizzazioni di cui dispongono.

Il NAC può inoltre integrarsi con vari sistemi di sicurezza per garantire la protezione degli endpoint, offrendo funzionalità antivirus, firewall e tool di scansione per il vulnerability assessment.

In altri termini, il NAC costituisce pertanto un’opzione molto utile per la sicurezza di rete e la sicurezza IoT nel contesto aziendale, in quanto si propone di:

• Limitare l’accesso degli utenti a specifiche aree della rete aziendale;
• Prevenire l’accesso non autorizzato ai dati da utenti non riconosciuti e cybercriminali;
• Bloccare i tentativi di accesso alla rete da dispositivi che non godono dei necessari requisiti autorizzativi;
• Gestire le policy di sicurezza a seconda degli scenari operativi che si presentano;
• Integrare tecnologie di sicurezza per proteggere i dispositivi connessi alla rete da malware e altre minacce provenienti dalla rete.

Perché è importante il controllo degli accessi alla rete?

In estrema sintesi, un NAC assume un ruolo molto importante nella cybersecurity delle aziende, in quanto consente di monitorare utenti e dispositivi che tentano di accedere alla rete, applicando policy di sicurezza che consentono di non “chiudere troppo”, con il rischio di penalizzare la corretta operatività degli utenti.

L’ importanza dei NAC e dei sistemi IAM (identity and access management) appare cruciale per le organizzazioni che consentono l’accesso da remoto a dispositivi come smartphone, tablet e PC laptop, che utilizzano Internet per accedere alla rete aziendale.

Esistono varie soluzioni NAC, in grado di soddisfare molti casi d’uso aziendali.

Per orientarsi in uno scenario molto eterogeneo senza perdere inutilmente tempo e risorse sarebbe auspicabile avvalersi del supporto di un player dotato di una comprovabile esperienza sul campo, come IFIConsulting, che affianca ormai da molti anni le aziende di tutta Italia nel valutare una serie di fattori essenziali, per capire se e quale soluzione NAC implementare:

• livello di maturità della cybersecurity aziendale;
• livello di proattività della cybersecurity aziendale;
• tipologia e configurazione dei sistemi hardware / software esistenti;
• budget a disposizione.

Occorre infatti precisare che il NAC non è la soluzione ideale per tutte le organizzazioni, ad esempio quando l’integrazione con i sistemi esistenti sarebbe così complessa da suggerire il ricorso ad altre tecnologie di sicurezza, in grado di raggiungere simili obiettivi con un più efficace dispendio di risorse.

Come funziona il NAC (Network Access Control)?

Al di là della varietà tecnologica che li caratterizza, i sistemi per il Network Access Control prevedono uno schema funzionale piuttosto simile.

Il responsabile per la sicurezza IT, in concerto con le principali figure dell’organizzazione, definisce le policy di sicurezza da applicare ai dispositivi per cui si prevede l’accesso alla rete aziendale.

Oltre a regolare le condizioni di accesso di utenti e dispositivi, mediante una access control list (ACL), le policy di sicurezza consentono di gestire anche il livello di autorizzazione per l’accesso a determinate aree della rete.

Il NAC dispone di un pool tecnologie, costantemente attive per monitorare gli account che accedono alla rete, ai fini di garantire la continua coerenza alle policy stesse, bloccando nel frattempo qualsiasi accesso sospetto.

Per raggiungere questi obiettivi di sicurezza informatica si utilizzano due tipologie di NAC: pre-admission e post-admission.

Pre-admission NAC

Il controllo dell’accesso alla rete avviene prima che ciò avvenga, elaborando la richiesta ricevuta dall’utente.

Il software NAC confronta le credenziali degli utenti presenti nei database con quelle inserite nella richiesta e si integra con procedure di autenticazioni a più fattori come il MFA (multi factor authentication).

Post-Admission NAC

Il NAC Post-Admission ha lo scopo di verificare continuamente ciò che gli utenti possono fare una volta che accedono alla rete, soprattutto quando effettuano richieste di accesso ad altre aree rispetto a quella in cui sono inizialmente approdati.

Il NAC si avvale di protocolli specifici e dei firewall configurati per segregare internamente la rete.

I NAC dispongono di strumenti proattivi, in grado di soddisfare un’ampia varietà di casi d’uso, per proteggere l’infrastruttura di rete fisica, i dispositivi connessi, le applicazioni di rete e tutti gli asset cloud based di cui l’organizzazione si avvale nei propri sistemi IT.

Tra i casi d’uso aziendali più frequenti che prevedono l’utilizzo di un NAC ritroviamo il BYOD e i sistemi IoT (Internet of Things).

BYOD (bring your own device)

Il NAC assicura il controllo degli accessi degli endpoint con cui i dipendenti provano ad utilizzare le risorse aziendali da remoto, a prescindere che questi siano di proprietà dell’azienda o degli utenti stessi.

Il NAC può ad esempio gestire una VPN per consentire l’accesso protetto via web, con dati crittografati, a utenti guest come consulenti e partner che accedono alla rete aziendale utilizzando la pubblica rete internet.

Internet of things (IoT)

Il NAC consente il controllo degli accessi dei sistemi IoT, che spesso costituiscono l’anello debole della catena di sicurezza informatica di un’azienda. Si tratta infatti di dispositivi che talvolta non nascono con funzioni di sicurezza integrate o dispongono di sistemi operativi proprietari che non consentono il facile aggiornamento delle feature di sicurezza.

Tali condizioni costituiscono un bersaglio privilegiato per i cybercriminali, in grado di sfruttare le vulnerabilità che li caratterizzano.

Per tali motivi i NAC costituiscono una risorsa molto importante per la protezione delle reti industriali e delle strutture sanitarie, che vedono spesso coinvolti sistemi IT-OT e dispositivi nativamente non concepiti per essere connessi alla rete.