¿Qué es NAC y por qué es importante para la seguridad de tu empresa?

Desde que los enfoques de confianza cero (zero trust) han comenzado a abrirse paso en los esquemas de seguridad informática de las empresas, en muchos departamentos de IT comienza a hablarse con cada vez más frecuencia de NAC (Network Access Control), una técnica que impide que usuarios no autorizados y dispositivos no conocidos puedan acceder a redes privadas de la organización y por lo tanto, a información sensible de la misma.

Aunque no hablamos de una técnica ni mucho menos nueva (se empieza a hablar de NAC a mediados de la pasada década), ha sido con el auge del BYOD, la movilidad de los trabajadores y especialmente a partir de la pandemia, cuando ha comenzado a popularizarse…Y es que en sus nuevas implementaciones además de autenticar usuarios, también permite gestionar endpoints y aplicar políticas de seguridad.

¿Cómo funciona NAC?

Las herramientas NAC funcionan en realidad de una forma bastante sencilla. Una vez implementadas, detectan todos los dispositivos que se han conectado o quieren conectarse a una red corporativa, proporcionando visibilidad sobre todos ellos.

A partir de aquí y a través de una serie de reglas definidas previamente por el departamento de TI, impide que los usuarios no autorizados puedan conectarse a la red; además aplica políticas de seguridad en los endpoints a los que sí se les permite conectarse para garantizar que se comportan de forma correcta dentro del perímetro empresarial. En este sentido, las soluciones NAC pueden asegurarse entre otras cosas, que el portátil que se quiere conectar a la red Wi-Fi de la organización tenga un antivirus actualizado a su última versión y otras herramientas antimalware recomendadas.

A los dispositivos que no cumplen con estos requisitos se les puede impedir por completo el acceso a la red, pero también se les puede poner en «cuarentena» (a la espera de que los cumplan) o en ocasiones se les puede permitir la entrada pero obteniendo únicamente privilegios limitados.

Este tipo de herramientas suelen en realidad, trabajar en dos etapas diferentes. En la primera, identifican a los usuarios y verifican sus credenciales. Para ello puede servirse de todo tipo de técnicas, desde el uso de contraseñas o pines de un solo uso, hasta soluciones biométricas.

En la segunda y más interesante, aplica una serie de factores destinados a garantizar la seguridad, analizando por ejemplo el estado del dispositivo, la ubicación en la que se encuentra, o el rol que tiene el usuario, de modo que muchas solo garantizan un acceso a la red corporativa en función de los privilegios que se han asignado a cada uno.

¿Qué tipo de aproximaciones hay?

No todas las herramientas NAC funcionan de la misma forma y de hecho, en el mercado conviven distintos enfoques.

Las principales diferencias sin embargo las encontramos a la hora de examinar cuándo se inspeccionan los dispositivos que se quieren conectar a una red y cómo se extrae la información de ese dispositivo. Teniendo esto en cuenta, podemos encontrar las siguientes aproximaciones:

Preadmisión vs. Postadmisión: Hay dos formas en que NAC autoriza el acceso a los dispositivos finales. En los diseños de preadmisión, los dispositivos se inspeccionan y se aplican las políticas antes de concederles acceso a la red. Este enfoque es el más adecuado para los casos de uso en los que los dispositivos pueden no tener antivirus y otras políticas de red actualizadas.

En los modelos de postadmisión, el enfoque se centra menos en el dispositivo y más en el usuario que hay que autenticar, aplicando distintas políticas en función del rol y el comportamiento. Este enfoque tiene sentido para casos de uso como el acceso de invitados, donde las actividades on-line tienden a limitarse a cosas como la navegación por la web y la comprobación del correo electrónico. Las soluciones más populares suelen permitir que los administradores de red combinen ambos enfoques.

Diseño basado en agentes vs. Agentless design: la otra gran diferencia que encontramos en estas plataformas es cómo se recopila la información. Algunos proveedores NAC requieren que los usuarios descarguen e instalen en sus dispositivos un agente que se encarga de recopilar la información y transmitirla al sistema.

En las soluciones agentless, son en cambio las propias soluciones NAC las que escanean constantemente la red y hacen un inventario de los distintos dispositivos que detectan, tomando a continuación decisiones pertinentes en función del comportamiento de cada uno de los mismos.

Principales casos de uso

Hemos visto cómo una mayor movilidad por parte de los empleados, el auge del BYOD y la necesidad de dar respuesta al fenómeno del trabajo híbrido, han favorecido el desarrollo de políticas más estrictas de acceso a la red. En el caso de las soluciones NAC, algunos de los escenarios en los que más frecuentemente vamos a ver este tipo de soluciones son los siguientes:

Acceso de invitados: Las soluciones NAC permiten a las organizaciones proporcionar acceso temporal y restringido a invitados, partners, clientes…examinando sus dispositivos y asegurándose que cumplen con las políticas de seguridad de la organización.

BYOD y teletrabajo: La pandemia ha demostrado que es perfectamente posible trabajar a distancia y mantenerse productivo, a la vez que se combina con la presencia en la oficina. En este caso las soluciones NAC se utilizan para autenticar usuarios que pueden ser utilizando dispositivos «desconocidos» para la empresa, en ubicaciones remotas, a los que se aplica la correspondientes políticas de seguridad.

Si en cambio los usuarios se llevan sus herramientas de trabajo a casa, las soluciones NAC se utilizan tanto para autenticarles como para restringir su acceso a distintos recursos en función de factores como su ubicación o el rol que tengan en la organización.

IoT: La capacidad de NAC para proporcionar visibilidad, creación de perfiles de dispositivos, aplicación de políticas y gestión de acceso ayuda a reducir los riesgos asociados a los dispositivos IoT que entran en las redes corporativas.

Las herramientas de NAC pueden inventariar y etiquetar cada dispositivo a medida que entra en la red, clasificar los dispositivos IoT en un grupo con permisos limitados y supervisar constantemente los comportamientos de los dispositivos.

Respuesta ante incidentes: Una vez se ha desplegado una plataforma NAC, las organizaciones pueden utilizarla para compartir información con otros productos de seguridad de terceros, lo que permite acceder a una respuesta automatizada ante incidentes.

Los sistemas NAC pueden en este sentido, responder automáticamente a las advertencias de ciberseguridad que ofrecen otras herramientas, bloqueando y/o poniendo en cuarentena los dispositivos potencialmente comprometidos, sin la intervención de TI.

A medida que las redes se vuelven más distribuidas y complejas, los equipos de ciberseguridad deben encontrar formas de mantener la visibilidad de los dispositivos que se conectan a los extremos de la red de la organización. NAC proporciona esta capacidad con la detección y visibilidad de todos los dispositivos que entran en la red, el control de acceso centralizado y la aplicación de políticas en los mismos.