Offenheit in Richtung Framework

Wer bei den Herstellern nach technischen Einzel­heiten von Authentisierung und Autorisierung fragt, bekommt einen Wust von Antworten. Grundsätzlich können die Hersteller fast alles: Das ist wahrscheinlich noch nicht einmal falsch, da »Kontrollmecha­nismen für den Netzwerkzugriff letztlich kein ­Produkt, sondern das Ergebnis eines langen Beratungsprozesses sind« (Christoph Skornia). Zwischen den großen unvollendeten (und wahrscheinlich unvollendet bleibenden Frameworks) bieten Firmen wie phion, Sophos, Juniper, McAfee und Checkpoint (um nur einige zu nennen) Lösungen in Hardware und Software an, von denen gesagt wird, dass sie ­einerseits wirksam schützen, die aber andererseits nicht den Weg in eine der Framework-Welten verbauen, sollten diese doch einmal ein Ganzes ergeben. Übrigens hat auch der Framework-Protagonist Cisco eine »NAC-Appliance« (siehe Foto oben). Offenheit und spätere Andockmöglichkeiten an die Frameworks sind deshalb Verkaufsargumente vieler Hersteller. »Bei vorhandener Cisco-Infrastruktur kann Microsoft NAP durch die Unterstützung von EAPoverUDP und EAPfast (zwei Authentisierungsprotokollvarianten*) den Cisco ACS (das ist der Richtlinienserver im Cisco-Framework*) nutzen« (Originalton Microsoft). Auch ProCurve preist seine offenen Konzepte: »ProCurve stell in diesem Zusammenhang die wohl flexibelste Lösung bereit, da diese sowohl mit dem Framework der Trusted Network Connect-Gruppe als auch mit dem kommenden MS NAP (nämlich integriert im Windows Server 2008*) zusammenarbeiten kann und schon heute umfangreiche Möglichkeiten der Authentisierung, Autorisierung und Integritätsprüfung bietet«, sagt Holger Hasenaug, Technischer Berater bei HP ProCurve. Nach allen Seiten offen gibt sich auch Sophos: »Sophos NAC nutzt den universellen Charakter von DHCP für die Netzwerkzugriffskontrolle und die Durchsetzung von Richtlinien.« Darüber wirbt man aber auch mit Zusatzfeatures: »Sophos NAC überwacht proaktiv auch Anwendungen wie beispielsweise P2P-Programme, die von Microsoft NAP oder Cisco NAC nicht gemeldet werden«, sagt Jens Freitag, Leiter des technischen Marketings. Und Freitag betont auch ganz ausdrücklich: »Sophos NAC ist kein Anti-Hacker-Werkzeug.«

* Anmerkung der Redaktion

Referenzen [1]: http://www.ernw.de/content/e15/e28/e641/download643/ERNW_Newsletter_15_NAC@ACK_de_ger.pdf