◀ Prev · Parts · Full · Next ▶

Bei der Kontrolle der Netzwerkzugänge geht es prinzipiell darum, die Identitäten der Netzwerkteilnehmer festzustellen und zu verwalten und entsprechend Zugang zu gewähren oder zu verweigern. Dabei müssen Geräteidentitäten und Benutzeridentitäten unterschieden werden, da die Netzwerkszugangskontrolle im ersten Schritt endgeräteorientiert ist. Die Kontrolle der Benutzer wiederum erfolgt innerhalb des Netzwerkes durch andere Systeme, wie das Berechtigungssystem im Active Directory oder anderen Verzeichnisdiensten.

Dennoch sind auch das Active Directory oder grundsätzlich LDAP Dienste eine beliebte Identitätsquelle, die auch für die Netzwerkzugangskontrolle herangezogen werden können. Folgende Einschränkungen gibt es dabei:

• Die reine Betrachtung der Geräte aus dem Active Directory ist relativ einfach und in der Regel zur Vereinfachung der Pflege auch sinnvoll. Zu beachten ist aber, dass die Definition, welche AD-Geräte-Gruppen in welches Netzwerksegment bzw. VLAN gesteuert werden sollen, gut geplant und strukturiert sein muss, damit Änderungen an der einen oder anderen Seite keine Schwierigkeiten verursachen.

• Die reine Betrachtung der Benutzer aus dem AD ist definitiv nicht ausreichend. Mit dieser Methode ist jeder Mitarbeiter in der Lage, beliebige Geräte mitzubringen und im Netzwerk zu betreiben – echtes Network Access Control ist damit nicht mehr möglich, da ungesicherte Geräte jederzeit vollen Zugriff erlangen können.

• Eine Kombination von Benutzern und Geräten aus dem AD zur Ermittlung der spezifischen Zugriffsrechte ist in der Regel nicht ganz einfach und erzeugt eine hohe Komplexität. Sollen tatsächlich unterschiedliche Zugänge für verschiedene Benutzer an dem gleichen Endgerät gewährt werden, müssen diese Regeln jedoch genau geplant und sorgfältig umgesetzt werden. Je nach Komplexität der Wünsche kann dies einen erheblichen Aufwand bedeuten, bei dem vorher genau analysiert werden sollte, ob es denn überhaupt zielführend und/oder notwendig ist.

• Das Active Directory selbst steuert über die zugewiesenen Berechtigungen der Benutzer genau, welcher Mitarbeiter Zugriff auf welche Server und Dienste im Unternehmen hat. Melden sich also an ein und demselben Endgerät erst ein „normaler“ Mitarbeiter und später ein IT-Administrator mit seinem Benutzerkonto an, so erfolgt darüber bereits die Steuerung, welche Zugriffe erlaubt sind. Die Veränderung des Netzwerksegmentes, in dem sich das Endgerät befindet, ist daher nur dann notwendig, wenn die vom Administrator benötigten Systeme in dem aktuellen Netzwerksegment nicht erreichbar sind. Diese Situation tritt aber in der Regel nur in sehr großen und umfangreich strukturierten Netzwerken auf. Darüber hinaus empfiehlt das BSI grundsätzlich, keine administrativen Maßnahmen von einem regulären Benutzersystem auszuführen. Vorhandener Schadcode könnte sonst administrative Rechte erhalten und erheblichen Schaden anrichten.

• Folglich reicht in den allermeisten Fällen die Autorisierung der Endgeräte aus, oder die Reduzierung der Regeln auf ganz spezielle Sonderfälle.

◀ Prev · Parts · Full · Next ▶