Controle de acesso no FortiNAC é uma decisão sobre colocação: dado o que este endpoint é e quem o está usando, em qual segmento de rede ele deveria estar. A mecânica é direta; as decisões de projeto em torno do isolamento é que fazem implantações darem certo ou frustrarem todo mundo.
Redes de isolamento
Uma rede de isolamento é um segmento para endpoints que ainda não têm permissão na rede de produção. O FortiNAC usa várias, e confundi-las torna a investigação mais difícil do que precisa ser:
| Rede de isolamento | Quem vai parar lá | Propósito |
|---|---|---|
| Registro | Endpoints desconhecidos ou não registrados | Permitir que o usuário se identifique e registre o equipamento |
| Remediação | Endpoints registrados porém não conformes | Permitir que o equipamento corrija o que está errado |
| Quarentena | Endpoints sinalizados por um evento de segurança | Conter, pendente de investigação |
| Beco sem saída | Endpoints que as anteriores não conseguem ajudar | Isolamento deliberado sem caminho de saída |
A regra de projeto que importa mais que qualquer outra: um endpoint isolado precisa continuar conseguindo alcançar o que precisa para deixar de estar isolado. Uma rede de registro sem DNS, sem e sem rota até o portal cativo é uma rede em que ninguém jamais consegue se registrar, e o sintoma são usuários relatando que nada acontece.
O assistente de configuração existe porque acertar esses serviços de apoio é trabalhoso e a falha é silenciosa. Usá-lo e depois revisar o que ele produziu é mais rápido que montar tudo à mão.
Políticas de acesso decidem o destino
Uma política de acesso combina uma condição com um resultado. A condição casa com o que o FortiNAC sabe: a classificação do endpoint, seu estado de registro, o grupo do usuário, a localização, o horário. O resultado é o acesso de rede a conceder, tipicamente uma .
As políticas são avaliadas em ordem e a primeira correspondência vence, o que a esta altura deve soar familiar. Traz a mesma consequência: uma política ampla colocada acima de uma específica torna a específica inalcançável, e nada avisa.
A ordenação prática é do específico para o geral, com uma regra final abrangente que manda o que não casou para algum lugar seguro, e não para algum lugar permissivo.
Visitantes e terceiros
Acesso de visitantes é um problema diferente do acesso de funcionários, porque não há conta de diretório nem equipamento gerenciado. O FortiNAC trata isso com fluxos de registro patrocinado ou autorregistro: um visitante se registra por um portal, opcionalmente exigindo aprovação de um patrocinador, e recebe acesso por tempo limitado.
Os controles que importam são os que as pessoas esquecem de definir:
Uma expiração. Contas de visitante que nunca expiram se acumulam, e cada uma é uma credencial viva.
Um escopo. Acesso de visitante deve alcançar a internet e pouco mais, e isso se expressa no resultado da política de acesso, e não se presume.
Acesso de terceiros fica entre visitante e funcionário: mais duradouro que um visitante, mais estreito que o quadro próprio, e geralmente ligado a um patrocinador responsável por ele. Modelar terceiros como visitantes de expiração longa é comum e funciona, desde que a expiração seja de fato aplicada.
MDM e integração com terceiros
O FortiNAC pode consumir informação de sistemas que sabem coisas que ele não sabe.
A integração com dá ao FortiNAC o estado de conformidade de um dispositivo móvel gerenciado: se está inscrito, criptografado, com jailbreak, rodando uma versão exigida. Isso permite que uma política de acesso dependa da postura do dispositivo, e não apenas da identidade, que é a diferença prática entre "este é o celular da Ana" e "este é o celular da Ana e ele está conforme".
Entrada por syslog e trap permite que equipamentos de terceiros avisem o FortiNAC de que algo aconteceu. Um appliance de segurança que detecta comportamento malicioso pode enviar uma mensagem syslog que o FortiNAC interpreta e sobre a qual age, e é assim que produtos sem integração nativa ainda participam da aplicação.
Os dois compartilham um modo de falha que vale enunciar: a integração só está tão atual quanto a última mensagem recebida. Um MDM cuja sincronização parou em silêncio deixa o FortiNAC aplicando sobre postura obsoleta, o que é pior que aplicar sobre nenhuma, porque parece estar funcionando.
Automação de segurança
A automação liga um evento a uma resposta sem humano no meio: um endpoint sinalizado por um sistema integrado é movido para quarentena, uma porta com equipamento inesperado é desabilitada, uma falha de conformidade dispara remediação.
O valor é a velocidade, e o risco é a confiança no gatilho. Uma quarentena automática movida por um detector ruidoso produz interrupções que parecem falhas de rede, então a progressão sensata é rodar o gatilho em modo apenas-alerta tempo suficiente para ver o que ele teria feito antes de deixá-lo agir.
O que quem vai prestar o exame precisa saber de cor
Redes de isolamento de registro, remediação, quarentena e beco sem saída atendem estados diferentes, e um endpoint isolado precisa conseguir alcançar os serviços de que precisa para se tornar conforme. Políticas de acesso combinam uma condição com um resultado de rede, avaliadas em ordem com a primeira correspondência vencendo. Acesso de visitante precisa de expiração e escopo; terceiros são visitantes de longa duração com patrocinador. O MDM fornece postura do dispositivo e a entrada por syslog ou trap SNMP deixa sistemas de terceiros dispararem ação, e ambos só estão tão atuais quanto sua última mensagem. A automação deve ser observada em modo apenas-alerta antes de ter permissão para agir.