2.2.1.2 Conformité
Le but est de récupérer des informations sur
l'état du système d'extrémité. Deux
possibilités sont envisageables, avec un agent embarqué sur le
poste utilisateur ou sans agent. Avec la solution à base d'agents, il
faudra prendre en compte le temps d'exécution, la charge CPU, le niveau
de sécurité des échanges agent/serveur et la
méthode de déploiement de ces agents. Sans agent, le temps
d'exécution peut être long (scanner de
vulnérabilités), ce qui peut contraindre à évaluer
la conformité après la connexion.
2.2.2 Le système d'évaluation (Policy
Decision Point)
Cet élément de l'infrastructure est crucial
pour la politique de sécurité de l'établissement. À
partir des informations recueillies sur le système
d'extrémité, des informations sur la méthode
d'accès (réseau filaire, sans-fil, VPN), mais aussi à
l'aide d'informations sur le lieu où le moment de la demande
d'accès, le système d'évaluation va décider d'un
contexte de connexion en accord avec la politique de sécurité. Un
exemple simple de système d'évaluation serait l'utilisation des
adresses MAC des systèmes d'extrémité pour
déterminer leur VLAN d'appartenance, le choix de la mise en quarantaine
serait fait si l'adresse MAC est inconnue. La complexité du
système d'évaluation dépendra de la quantité
d'informations obtenue sur les systèmes d'extrémité et de
la complexité de la politique d'accès à mettre en
place.
2.2 - LES COMPOSANTS D'UNE ARCHITECTURE NAC
2.2.3 Le système de contrainte (Enforcement)
2.2.3.1 Rôle du système de contrainte
C'est l'ensemble des éléments de
l'infrastructure réseau permettant de détecter la demande
d'accès au réseau et d'appliquer les décisions du
système d'évaluation. Dans le cas d'un NAC basé sur un
matériel dédié (dit « Appliance »)
positionné en coupure sur le réseau, c'est
généralement lui qui gérera la connexion du système
d'extrémité dans son ensemble et mettra en oeuvre la politique
décidée par le système d'évaluation. Si le
système NAC n'est pas positionné en coupure (« outofband
»), le système de contrainte doit s'appuyer sur l'infrastructure
existante. Les actions classiques mises en oeuvre par le système de
contrainte sont les suivantes:
-- positionner le système d'extrémité
dans un VLAN particulier.
-- mettre en place des contrôles d'accès aux
niveaux 2,3 ou 4 sur les équipements de bordure (commutateurs
d'extrémité) ou plus près du coeur du réseau
(routeurs, pare-feu, proxy).
-- gérer la qualité de service, la bande
passante
| 
