l Control de Admisión enRed o Network AdmissionControl (NAC) de Cisco esun componente principalde la estrategia global deseguridad de Cisco deno-

minada Redes de Auto-defensa o Self-Defending Networks. Su objetivo principales la comprobación del estado de saluddel equipo desde el que un usuario inten-ta acceder a la red, de forma que se per-mita el acceso sólo a los dispositivos“seguros” y se bloquee la entrada aaquellos equipos que no cumplan conlos requisitos mínimos de protecciónexigidos por la política de seguridadcorporativa. Los elementos de red y las

aplicaciones utilizadas para comprobar ygarantizar el estado adecuado del dispo-sitivo realizan una labor conjunta deprotección de la infraestructura, permi-tiendo o restringiendo el acceso de losdispositivos en función de su identidad ynivel de protección.

La solución es aplicable a todos losmétodos de acceso: red de área local,red inalámbrica, red de área extensa yaccesos remotos ya que se ha desarro-llado para los accesos a través de cual-quier dispositivo de red: conmutadores,equipos Wi-Fi, routers y concentradoresVPN respectivamente.

Cisco hizo su primer anuncio sobre elprograma NAC en noviembre del 2003 yactualmente cuenta con la participaciónde más de 88 fabricantes que colaboranen dicho programa. El resultado obtenidohasta la fecha, como fruto de esta colabo-ración, permite ofrecer al usuario solucio-nes totalmente novedosas en el ámbitodel control de acceso y aumentar enor-memente las garantías de futuro de lasolución. El programa NAC supone unhito sin precedentes en la colaboraciónentre fabricantes en los entornos deseguridad en red, aplicaciones antivirus,aplicaciones de remedio ante problemas,software cliente de seguridad y auditoríaen red. Un claro ejemplo de la colabora-ción entre fabricantes es la propuesta deinteroperabilidad entre la solución NACde Cisco y la solución Network Access Pro-tection (NAP) de Microsoft. Esta soluciónestará disponible a partir del lanzamientoal mercado del nuevo servidor Windowsde Microsoft conocido como Longhorn ypermitirá a los clientes aprovechar todaslas prestaciones de la solución de controlde admisión en red y la protección en losaccesos desde equipos con software deMicrosoft tanto en su modalidad de esta-ción de trabajo como servidor.

Propuesta flexible Asimismo, Cisco ha iniciado el proceso deestandarización de los protocolos no

estándar desarrollados para mejorar lasolución (se utilizan protocolos propieta-rios cuando no se dispone de un proto-colo alternativo ya normalizado), mante-niendo su apuesta clara por impulsar laincorporación de soluciones abiertas unavez que se defina el estándar de controlde admisión.

La propuesta de control de admisiónde Cisco es la más flexible del mercadoya que permite a los clientes invertir en lasolución de forma gradual. El desplieguede la arquitectura NAC puede iniciarsemediante la instalación en la red de losdispositivos NAC y posteriormente con-vertirse en un proyecto integral de infra-estructura NAC ya que Cisco garantizaesta migración.

Equipamiento Cisco Sea cual sea el punto de entrada a la red,la solución de dispositivos NAC identificaun grupo de usuarios y equipos en red,desde empleados a proveedores e invita-

NAC visto como una solucióninteroperableCisco Systems propone una estrategia de control de admisión a la red adaptada a lasnecesidades del cliente, de forma que la empresa pueda invertir de manera gradualdesde una instalación en la red de dispositivos NAC hasta un proyecto integral.

ESTRATEGIA

E

Los componentes de la solución de dis-positivos NAC ( Clean Access Server,Clean Access Manager, cliente CleanAccess y servicios de subscripción) per-miten un despliegue sencillo y rápidode la solución de control de acceso enredes pequeñas, redes con electrónicade red heterogénea o en partes de lared que requieran una intervencióninmediata por ser más vulnerables anteposibles infecciones propagadas por losdispositivos que normalmente seconectan a ellas, por ejemplo segmen-tos de red dedicados a dar conectividada dispositivos de terceras compañías.Cisco Clean Manager proporciona uninterfaz de gestión basado en webpara crear políticas de seguridad y ges-tionar los usuarios conectados. Adicio-nalmente puede hacer la función deservidor de autenticación Proxy hacialos servidores de autenticación del backend. Los administradores pueden utili-zarlo para definir niveles de usuarios,

comprobación de cumplimiento depolíticas y requisitos en situaciones deremedio. Este dispositivo gestiona y secomunica con el servidor Cisco CleanAccess que es el dispositivo que seencarga de permitir o no el acceso des-de la red. El servidor Cisco Clean Accessrealiza la comprobación de cumpli-miento de políticas cuando los usuariosintentan acceder a la red. El agente Cis-co Clean Access es opcional y cuando seinstala en los dispositivos finales realizauna inspección exhaustiva del perfil deseguridad de la máquina mediante elanálisis de la configuración de los regis-tros, los servicios y los ficheros. Trasdicho análisis, el agente determina queacción de remedio es necesaria y arran-ca la versión adecuada de antivirus asícomo otras aplicaciones de seguridadcomo Cisco Security Agent. Como elagente se descarga y ejecuta fácilmen-te, se puede instalar en los equipos nogestionados bajo demanda.

Dispositivos para el Controlde Admisión en Red

6 REDES&TELECOM

006-7 CISCO 30/10/06 13:13 Página 1

dos con diversos sistemas operativos(Windows, Macintosh, Linux), PDAs,impresoras y teléfonos IP. Los dispositivosNAC comprueban el cumplimiento de laspolíticas de seguridad de la empresa yconceden los derechos correspondien-tes de acceso a la red. Los equipos queno cumplan las políticas de seguridadcorporativas quedan bloqueados y encuarentena. Las actualizaciones de vul-nerabilidad se administran automática-mente para el sistema operativo utiliza-do así como el software de antivirus yantispyware.

Por otra parte, los dispositivos NACproporcionan cómodas funciones deregistro para clientes VPN, clientes ina-lámbricos y dominios de DirectorioActivo de Windows. Esta funcionalidad,junto con las innumerables capacidadesde gestión y configuración existentes,proporciona simplificación de las opera-ciones y mejora la productividad de losempleados.

Además de colaborar con numerososproductos de seguridad de Cisco comolos puntos de acceso inalámbricos, CiscoSecurity Agent para protección en losextremos y Cisco Adapt ive Secur i tyAppliance (ASA), el dispositivo NACinteropera con sistemas de otros prove-edores de equipos de redes, por lo quepuede aplicarse a una infraestructura dered heterogénea.

La solución de infraestructura NACva dirigida a empresas cuya red estébasada totalmente en equipamiento Cis-co, clientes especialmente preocupadospor garantizar la interoperabilidad entresoluciones de seguridad multifabricante,clientes que precisen una solución decontrol de admisión compatible con elprotocolo de gestión de identidades deusuarios en red 802.1x o clientes quequieran utilizar el servidor ACS comoservidor donde se centralicen las políti-cas de seguridad. En el instante en elque los dispositivos de red detectan el

intento de acceso desde un dispositivocliente a la red, contactan con el servi-dor de autenticación, denominado CiscoAccess Control Server o ACS que, a suvez, y de forma opcional, puede contac-tar con el servidor de antivirus, el servi-dor de gestión de políticas de seguridad,el servidor de auditoría, etc. Así com-prueban si el nuevo usuario y el disposi-tivo desde el que se conecta cumplencon la política de seguridad definida enla empresa. Cisco distribuye de formagratuita el software cliente denominadoCisco Trust Agent que se instala, opcional-mente, en los ordenadores en los que sequiere activar el control de admisión. Silos dispositivos no tienen instalado estesoftware cliente, se produce la colabora-ción del servidor de autenticación conlas soluciones de auditoría que se basantípicamente en la utilización de herra-mientas de rastreo para comprobar elestado del ordenador antes de emitir uninforme sobre su estado de salud.

El programa NAC supone un hito sinprecedentes en la colaboración entre fabricantesen los entornos de seguridad en red,aplicaciones antivirus, aplicaciones de remedioante problemas, software cliente de seguridad yauditoría en red

• Los dispositivos NAC constituyen lasolución que cuenta con un mayornúmero de referencias en la actualidad.La amplia experiencia de Cisco en estosproductos reduce los tiempos de imple-mentación a unos días. • Tanto los dispositivos NAC como lasolución de infraestructura NAC pue-den adquirirse ya. Además, Ciscogarantiza la migración desde una solu-ción basada en dispositivos a una solu-ción integral o de infraestructura.• La solución NAC permite un controlexhaustivo de cualquier intento deacceso ya que Cisco puede modificarel código ejecutado en los equipos dered, sea cual sea el método de accesoutilizado por el usuario (a través deconmutadores, routers, equipos Wi-Fi,concentradores VPN, etc.). Además, es

la única solución aplicable a entornoscon tecnología punta como la telefo-nía IP.• La solución NAC ofrece un cien porcien de compatibilidad entre dispositi-vos y hosts por lo que no se requiere lainstalación de múltiples servidores.• NAC se aplica a dispositivos gestio-nados, no gestionados e invitados a lared y es la única solución que permitela integración del control de identidady estado de cumplimiento de la nor-mativa de seguridad en los equiposfinales.• Con NAC, las decisiones sobre quéacciones realizar según el estado decumplimiento o no de la política deseguridad se realizan desde la red y nodesde el propio dispositivo final. Deesta forma se evitan los fraudes asocia-

dos a una interpretación errónea (acci-dental o premeditada) sobre el estadode cumplimiento de las políticas en elequipo que intenta acceder a la red.• Cisco es el único fabricante que dispo-ne de una solución basada en dispositi-vos y una solución de infraestructuraNAC y, por tanto, es el único capaz deofrecer protección de la inversión aaquellos clientes que opten por undespliegue inicial de dispositivos NACy una migración posterior a la solu-ción de infraestructura.• Cisco puede ofrecer servicios avanza-dos de consultoría y despliegue desoluciones NAC integrando la soluciónNAC con la infraestructura de red exis-tente, la política de admisión en red, laseguridad de los extremos de la red ylas tecnologías antivirus.

Ventajas principales de la solución NAC

Más informaciónCisco Systems: www.cisco.com

NOVIEMBRE 2006 7

006-7 CISCO 30/10/06 13:13 Página 2