Transcription
Im Test: Pulse Policy Secure von PulseSecureFlexible NAC Lösung für NetworkVisibility und ZugriffskontrolleDr. Götz GüttichMit Pulse Policy Secure bietet PulseSecure ein Network Access Control Produkt an,das genau steuert, wer beziehungsweise was wann auf ein Netzwerk zugreifenkann. Gleichzeitig behält die Lösung das Netz im Blick und ermöglicht so eineunternehmensweite Visibility sowie das Auditing und Monitoring derNetzwerkkomponenten. Das Produkt konnte im Testlabor zeigen,was in ihm steckt.Pulse Policy Secure (PPS) bringtneben einer identitätsbasiertenZugriffssteuerung ein DeviceOnboarding mit, über das sichBYOD Geräte automatisch inBezug auf die WiFi und VPN Einstellungen sowie die verwen dete Software in eine Unterneh mensumgebung integrieren las sen. Außerdem lässt sich die Lö sung zum Sicherstellen der Com pliance verwenden, da sie dieGeräte im Netz erkennt, unter Auge behält. Die Konfigurationerfolgt über ein zentrales Verwal tungswerkzeug mit vielen Assis tenten und Vorlagen und sollteDie Appliance während der Installationsucht und überwacht und den Si cherheitsstatus der Endpoints so wohl vor dem Aufbau als auchwährend der Verbindungen imdeshalb verhältnismäßig unpro blematisch ablaufen. Da das Pro dukt mit externen Mobile DeviceManagement Lösungen(Pulse1Workspace sowie Lösungen vonAirWatch, MobileIron und Mi crosoft) zusammenarbeitet, ist eszudem dazu in der Lage, Infor mationen von diesen Produktenzum Durchsetzen der NAC Poli cies (Network Access Control) zuverwenden. Darüber hinaus kannes auch in viele vorhandeneKomponenten integriert werden,wie das Active Directory, Fire walls, IDS Lösungen, SIEM Produkte, Switches und WLAN Controller.UmfassendeKlassifizierungs ,Inspektions und Logging Funk tionen helfen beim Inventory undder Überwachung der Geräte so wie beim Troubleshooting vonProblemen wie zum BeispielCompliance Verletzungen benö tigter Anwendungen. Das "PatchAssessment" sorgt dafür, dass aufden Endgeräten immer die
neuesten Applikationen und letz ten Upgrades laufen. Sollte daseinmal nicht der Fall sein, so löstdas Patch Assessment über Sys tem Management Server (SMS)beziehungsweise System CenterConfiguration Manager (SCCM)Update Vorgänge aus. Um dieEndpoints zu überwachen, setztPulsePolicySecureaufCDP/LLDP, DHCP Fingerprin ting, HTTP User Agent, MACOUI, MDM, Nmap, SNMP undSNMP Traps sowie WMI. Aufdiese Weise bleibt das Systemstets auf dem aktuellen Stand undkennt den Status der verbunde nen Geräte.wendet Pulse Policy Secure ver schiedene Ansätze. Dazu gehörtBandbreiten für bestimmte An wendungen zu beschränken. DieNetzwerks und Anwendungs Über die Profiling Funktion erkennt die PPS Appliance die im Netz vorhande zugriffsschutznen KomponentenPPS wendet auf den Netzwerkge räten mit agenten und agentenlo eine rollenbasierte Absicherung Zugriffe im Netz sind also gra sen Methoden Indentitäts , Kon auf Anwendungsebene. Dabei nular steuerbar.figurations , Verhaltens und kommuniziert das System mitStatefulSecurity Bewertungen Next Generation Firewalls von Zur Authentifizierung externeran. Dabei kann die Lösung – je Checkpoint, Fortinet, Juniper und Benutzer stellt das Produkt einnach Policy – den Zugriff auf Palo Alto Networks. Auf diese Captive Portal bereit. In Zusam Netzwerkressourcenerlauben, Weise ist es unter anderem mög menarbeit mit der Pulse Connecteinschränken oder blockieren.lich, die Gültigkeit der Firewall Secure SSL VPN Lösung desgleichen Herstellers lassen sichauch Remote Access User naht los einbinden. Zur Authentifizie rung kommen neben einem loka len Login mit Passörtern bei Be darf auch 802.1X, CA Site Min der, LDAP, Microsoft Active Di rectory, NIS, Radius, RSA Au thentication Manager und RSAClear Trust zum Einsatz.Einige grundlegende Administrationsarbeiten lassen sich direkt auf der Kom mandozeile der Appliance durchführenZum Schützen des Netzwerksund der darin vorhandenen Ap plikationen sowie Dienste ver Regeln für bestimmte Benutzeroder Geräte abhängig von der Ta geszeit zu modifizieren und die2Da die Lösung auch mit offenenStandards für die Netzwerkzu griffskontrolle und Sicherheit wieTNC IF MAP und TNC SOH ar beitet, lässt sie sich auf dieseWeise auch in die Netzwerk undSicherheitsprodukte vieler weite rer Hersteller integrieren. Eineautomatische Threat Response,die aktiv wird, sobald das Systemeine Bedrohung erkennt, rundet
den Leistungsumfang der PulsePolicy Secure Lösung ab.Der TestIm Test installierten wir zunächsteine virtuelle Appliance mit Pul se Policy Secure in unserem Netzund machten uns mit dem Leis Zu Authentifizierung lassen sich unternutzentungsumfang der Lösung und denvorhandenen Assistenten ver traut. Außerdem nahmen wir dieFunktionen zum Device Onboar ding, zum Host Checking undzum Profiling unter die Lupe.Darüber hinaus befassten wir unsauch noch mit den Gastzugängenund setzen die Lösung in Kombi nation mit einem WS C2960C 8TC S Switch von Cisco ein, umLayer 2 Funktionen, wie die Ar beit mit 802.1X zu analysieren.Auch die Layer 3 Features mitder dynamischen Firewall Konfi guration blieben im Test nicht au ßen vor: Dazu verwendeten wireine virtuelle Firewall Appliancevon Palo Alto Networks unterPAN OS 7.1.InstallationDie Installation der virtuellenPPS Appliance gestaltete sichverhältnismäßig einfach. DerHersteller hatte uns für den Testzu diesem Zweck eine virtuelleMaschine (VM) auf OVF Basiszur Verfügung gestellt, die wirvornehmen und ein Administra torkonto definieren. Nach demAbschluss des Setups, das aufunserem System nur ein paar Mi nuten in Anspruch nahm, konntenwir uns beim Konfigurations In terface der Lösung unter htt ps://{IP Adresse der Applian ce}/admin mit unserem kurz zu vor angelegten Administrator konto anmelden. Sobald das erle digt war, spielten wir zunächsteinmal die Testlizenz ein, die unsder Hersteller zuvor geliefert hat te und brachten das System dannmit einer Patch Datei auf die zumTestzeitpunkt aktuelle Version9.0R1. Danach war die Lösungeinsatzbereit.InbetriebnahmeUm den IT Mitarbeitern die In betriebnahme der Lösung zu er leichtern, hat PulseSecure in dasWeb Interface des Produkts einen„Initial Setup Wizard“ integriert.Dieser lässt sich nicht nur nutzen,um die Zeitzone und den NTP Server festzulegen, sondern kannanderem auch Active Directory Server auch zum Einsatz kommen, umandere Funktionen wie das Profi auf einem Vmware ESXi System ling zu konfigurieren. Letzteresmit der Version 6.7 importierten.identifiziert und klassifiziert dy namisch die verwalteten undDer verwendete Host verfügte nicht verwalteten Endpoints imüber eine Intel i7 8 Core CPU Netz und ermöglicht es so, denund 32 GByte RAM. Für die VM Zugriff auf das Netz und die dar benötigten wir aber nur zwei in enthaltenen Ressourcen aufCPU Kerne und zwei GByte Ar Basis des Geräte Typs und derbeitsspeicher. Nachdem der Im jeweiligen Konfiguration zuport abgeschlossen war, fuhren steuern.wir die Appliance hoch, worauf hin diese sofort automatisch mit Damit das Profiling funktioniert,der Installation der Pulse Policy müssen die zuständigen Mitar Secure Lösung begann.beiter eine so genannte Finger print Database auf die ApplianceDie Setup Routine arbeitet im hochzuladen, die beim HerstellerGroßen und Ganzen ohne Inter bezogen werden kann. Nach demaktion mit dem Administrator, Hochladen dieser Datenbank liefwir mussten im Test im Wesentli das Profiling wie erwartet. PPSchen nur die Konfiguration für unterstützt bei Bedarf übrigensdas interne Netzwerkinterface auch selbstdefinierte Klassifika 3
tionen. Im nächsten Schritt desEinrichtungsassistenten ging esan die Konfiguration des Layer 2 Enforcements.Dieses steuert den Netzwerkzu griff von dem Moment an, zudem sich ein Anwender mit demNetz verbindet. In einem kabel basierten Netz, wie in unseremTest, erfolgt diese Steuerung anden Switch Ports, in einem draht losen Netz über den Wireless Ac cess Point. Die Zugriffssteuerungläuft im Betrieb über das Authen tifizierungsprotokoll 802.1X ab.Der verwendete Switch oder Ac cess Point muss dieses also be herrschen. Außerdem kommtnoch Radius zum Einsatz, derRadius Server kann hierbei diePPS Appliance sein. Neben der802.1X Authentifizierung unter stützt das System bei Bedarfauch MAC und SNMP Authen tication. Auf das Layer 2 Enfor cement gehen wir später noch ge nauer ein.die PPS Appliance an dieserStelle das Microsoft Active Di rectory und LDAP, wobei LDAPzur Authentifizierung von Gerä ten auf Basis von MAC Adressenzum Einsatz kommen sollte. BeiBedarf besteht aber auch dieMöglichkeit, einen lokalen Au thentifizierungs Server aufzuset zen, der mit Benutzerkonten ar beitet, die direkt auf der Applian ce gespeichert werden. Im Testfiniert PulseSecure im Gegensatzdazu Sitzungsparameter wie dieSession Settings und die Perso nalisierungseinstellungen.Zum Schluss legen die zuständi gen Mitarbeiter noch fest, obBrowser Zugriffe für die jeweili ge Rolle erlaubt sein sollen undob das System den Pulse Secure Client auf den Endpoints instal liert. Letzteres ist aber nicht im Der Initial Setup Wizard lässtsich zusätzlich übrigens auchnutzen, um Gastzugänge einzu Die Einbindung des SCEP Servers für die Zertifikatsvergabe beim Enterpriserichten. Dabei können die Admi Onboardingnistratoren unter anderem ein Ad ministratorkonto für die Gastzu entschieden wir uns zu diesem mer zwingend erforderlich, dagänge definieren und die Regis Zeitpunkt für diese Option.das System agentenlose Konfi trierungsfunktion aktivieren, diegurationen unterstützt. Damit istes Gästen ermöglicht, sich selbst Zur Konfiguration der Zugriffsre die Konfiguration abgeschlossenbei dem System einzutragen. Im geln müssen die zuständigen Mit und die Zugriffsregel geht in Be Test ergaben sich anschließend arbeiter zunächst einmal die URL trieb.bei der Arbeit mit Gastkonten festlegen, über die sich die An keine Probleme.wender bei der Appliance anmel Die Guidance Einträgeden können. Danach kommt die Zusätzlich zu den genannten As Die ZugriffsregelnKonfiguration des eben genann sistenten existiert auch noch imEin weiterer Assistent hilft den ten Authentifizierungsservers an Web Interface eine SammlungAdministratoren dabei, Zugriffs die Reihe. Anschließend geht es von Hilfeseiten namens "Gui Policies für die Benutzer anzule daran, den User Realm und die dance", die die Anwender Schrittgen. Dazu ist es in der Regel zu User Role einzurichten. Der User für Schritt durch die Konfigurati nächst einmal erforderlich, Au Realm legt fest, welche Benut on der wichtigsten Funktionenthentifizierungs Server zu defi zerrollen über welche Authentifi der Appliance führt. Sie hilft un nieren. Zur Authentifizierung der zierungs Serverauthentifiziert ter anderem beim Einstellen derBenutzer und Geräte unterstützt werden. Über die User Roles de Zeitzone, beim Einspielen der4
Lizenz und der Zertifikate, beimInstallieren von Updates, beimAnlegen von Authentifizierungs Servern für Gastbenutzer und beider Definition der Authentifizie rungs Realms sowie User Roles.Außerdem lassen sich über dieGuidance Seiten auch noch RoleMappings anlegen, die festlegen,welche Benutzerrollen welcheUser zugewiesen bekommen, ab hängig von ihrem Benutzerna men, ihrem Zertifikat oder einembenutzerdefinierten Ausdruck.oder, falls erforderlich, auch Zer tifikate zur Authentifizierung.Anschließend ist der Benutzerdann dazu in der Lage, die fürihn freigegebenen Unterneh mensressourcen zu verwenden,Die Guidance Einträge helfenzudem beim Sichern der Konfi guration und beim Definierenvon Ressource Access Policies,die festlegen, auf welche Res sourcen im Netz – also Anwen dungen, Server und so weiter –die Anwender und Gäste zugrei Der Host Checker bei der Arbeitfen dürfen. Der Eintrag "ManageUsers" unterstützt die Adminis ohne dass die IT Abteilung fürtratoren schließlich beim Anle die Konfiguration seines Endge gen und Verwalten von Benutzer räts aktiv werden muss.konten.Das Enterprise Onboarding funk Das Enterprise Onboardingtioniert mit Geräten unter Andro Kommen wir nun einmal im De id, iOS, MacOS und Windows,tail auf die wichtigsten Funktio wobei die beiden Apple Betriebs nen der PPS Lösung zu sprechen: systeme dazu in der Lage sind,Über das Enterprise Onboarding das Onboarding auch ohne dielassen sich fremde Geräte, die vorherige Installation des Pulse beispielsweise aufgrund von BY Secure Clientsdurchzuführen.OD Regelungen im Unterneh Im Test verwendeten wir als Cli mensnetz auftauchen, automati ents ein Huawei P9 unter Andro siert so konfigurieren, dass sie id 7 und eine Windows 10 Ma auf die Netzwerkumgebung zu schine.greifen können. Konkret siehtdas so aus, dass sich der Anwen Um das Onboarding einzurich der mit dem neuen Gerät über ein ten, müssen die zuständigen Mit Portal bei der PPS anmeldet und arbeiter diese Funktion zunächstanschließend bei Bedarf Softwa für die Benutzerrolle aktivieren,re, wie etwa den PulseSecure die die Anwender, die ihre Devi Client, auf seinem Endpoint in ces einbringen dürfen, verwen stallieren kann. Sobald dieser den. Das geht unter „Users / UserSchritt erledigt wurde, erhält das Roles / {Name der betroffenenSystem von der Appliance Konfi Benutzerrolle} / General / Over gurationsdaten für den Verbin view“. Nach dem Aktivieren ha dungsaufbau via VPN oder Wifi ben die zuständigen Mitarbeiter5Gelegenheit, auszuwählen, obdas System nach dem Benutzer Login eine Onboarding Seite an zeigt, über die der Anwenderdann das Onboarding startenkann, oder ob das System denPulseSecure Client automatischauf MacOS und Windows Rechnern einspielen soll. Alter nativ gibt es auch die Möglich keit, eine externe MDM Lösungfür das Onboarding mobiler Ge räte einzusetzen. Im Test ent schieden wir uns für die ersteOption.Jetzt konnte es daran gehen, dasOnboarding selbst einzurichten.Dazu wechseln die Administrato ren nach „Users / Enterprise On boarding“ und haben dort Gele genheit, einen SCEP Server indie Konfiguration einzubinden,Templates für Certificate SigningRequests anzulegen und Profilefür VPN beziehungsweise Wifi Verbindungen sowie Zertifikatezu erzeugen.Der SCEP Server (Simple Certi ficateEnrollmentProtocol)kommt in Verbindung mit denCertificate Signing Request Templates (CSR) zum Einsatz,
um den Endbenutzergeräten an hand der Zertifikatsprofile auto matisch jeweils eigene Zertifika te zur Verfügung zu stellen, mitdenen sich diese dann im Betriebbei der PPS Appliance oder ei nem Pulse Connect Secure Sys tem (ebenfalls von PulseSecure)authentifizieren können.Ein SCEP Server ist übrigensnicht die einzige Möglichkeit,Zertifikate an die Clients zu ver teilen. Es existieren auch Optio nen, ein globales Zertifikat zuimportieren, oder ein CA Zertifi kat zu verwenden. Das globaleZertifikat stellt das Zertifikat derPPS selbst dar. Die Verwendungvon CA Zertifikaten kann bei konnten die Zertifikate zur Au thentifizierung nutzen.Im nächsten Schritt erzeugten wirnoch ein VPN Profil, über dasdie Anwender Zugriff auf unsereRessourcenerhielten.Dazumussten wir lediglich einen Na men vergeben, sagen ob das Pro fil für Android oder iOS ClientsGültigkeit haben sollte und denVPN Gateway angeben. Im Testwar das unsere PPS Appliance.Zum Schluss legten wir nochfest, welcher Realm, welche Be nutzerrolle und welcher Userna me zum Einsatz kamen undwählten die Authentifizierungs methode (Zertifikate) aus. An stelle der Zertifikate ist auch eineBei der Konfiguration unserer Palo Alto Appliance verwendeten wir dreiNetzwerkinterfaces. Das Management Netz erscheint in dieser Übersicht nicht,nur die beiden Interfaces für interne und externe Zugriffespielsweise Sinn ergeben, wennes um den Einsatz in Wifi Profi len geht. Im Test verwendetenwir die Konfiguration mit demSCEP Server. Dazu gaben wir imWesentlichen seine URL und dasZugriffspasswort an und ludenein CSR Template hoch, das wirzuvor über das PPS Web Inter face erzeugt hatten. Anschließendwar die Verbindung aktiv und wirPasswort Authentifizierung mög lich, über die sich die Benutzerim Betrieb selbst beim VPN an melden können. Das gestaltetsich zwar nicht so komfortabel,erspart den Administratoren aberdie Arbeit mit der Zertifikats Konfiguration.Nachdem wir die genanntenSchritte durchgeführt hatten,6konnten wir uns mit unserenTest Clients bei dem Benutzer Portal anmelden und das On boarding durchführen. Die ganzeKonfiguration der genanntenFunktion nahm im Test wenigerals zehn Minuten in Anspruchund hinterließ bei uns einen sehrguten Eindruck.Host CheckingDie Host Checking Funktionlässt sich nutzen, um sicher zustellen, dass die Endbenutzersys teme bestimmte, zuvor festgeleg te, Voraussetzungen erfüllen, be vor sie Zugriff auf das Unterneh mensnetz erhalten. Dabei kann essich beispielsweise um das Vor handensein eines Antivirus Pro gramms mit aktuellen Virendefi nitionen, eine aktive Firewalloder auch um einen bestimmtenPatch Level handeln.Im Betrieb wird der Host Che cker während des Logins aktivund prüft, ob die vorgegebenenVoraussetzungen erfüllt werden.Falls ja, erteilt er den Zugriff aufdieUnternehmensressourcen,falls nein, sind die Administrato ren dazu in der Lage, eine Reme diation Page anzulegen, die In formationen und Links darüberenthält, was der Endanwendermachen muss, um sein Systemregelkonform zu gestalten, bei spielsweise durch das Aktivierender Firewall. Alternativ kann derHost Checker auch selbst versu chen, Compliance zu den Regelnherzustellen. Dazu hält er aufWunsch Prozesse an, löscht Da teien oder führt Aktionen durch,die zuvor im Rahmen einer Anti virus oder Firewall Policy defi niert wurden. Dazu später mehr.Im Test legten wir eine Host Checking Regel an, die über prüfte, on der Windows Defender
auf unserem Test Client aktiv undauf dem aktuellen Stand war. Da zu wechselten wir nach „Authen tication / Endpoint Security /Host Checker“ und erzeugten ei Nach dem Login mit unserem Win dows Testclient überprüft die Client Software von PulseSecure erst einmaldie Kompatibilität des Systemsne neue Antivirus Regel. Dort se lektierten wir den Eintrag „Re quire Specific Products“ undwählten dort den „Windows De fender“. Anschließend gaben wiran, dass das System die Virus De finition Files prüfen sollte undlegten fest, wie alt diese Datensein durften, bevor ein Alarmausgelöstwurde. Außerdemkonnten wir noch angeben, obdas System die Einhaltung derRegel nur während des Loginsoder auch während des Betriebsim Auge behalten sollte und wel che Remediation Aktionen derHost Checker im Fall der Nicht einhaltung der Policies durchzu führen hatte. Hier standen uns dieOptionen „Download the latestVirus Definition Files“, „Turn onReal Time Protection“ und „StartAntivirus Scan“ zur Verfügung.Wir wählten die beiden ersten ausund speicherten die Regel. BeiBedarf lassen sich auch mehrerePolicies in einer Regel zusam menfassen. Zum Schluss war esnur noch erforderlich, die neueRegel unter „Users / User Realms/ {Name der Benutzerrolle} / Au thentication Policy / Host Che cker“ zu aktivieren. Danach prüf te der Host Checker unseren Cli ent während des Logins und ließuns nur mit aktiver und aktuellerAntivirus Software ins Netz.Das Layer 2 EnforcementÜber das Layer 2 Enforcementlässt sich – wie bereits erwähnt –eine Umgebung konfigurieren,die nur authentifizierten Gerätenden Zugriff ins LAN erlaubt. Inunserem Netz verwendeten wirneben der Pulse Secure Applian ce beim Einrichten dieses Szena rios einen Cisco Catalyst 2960 C Switch, der dazu in der Lage war,das 802.1X Protokoll zu unter stützen.Wir planten im Test eine Konfi guration, in der sich der Anwen der über den Pulse Secure AccessClient auf seinem Rechner mitBenutzername und Passwort,Zertifikat oder Token beim Sys tem authentifiziert. Zunächstfragt dabei der Cisco Switch beider als Radius Server arbeitendenPolicy Secure Appliance nach,ob die Authentifizierung in Ord nung geht. Die Appliance und derEndpoint tauschen dann EAP Nachrichten durch den Switchaus. Läuft die Authentifizierungerfolgreich ab, so erhält der UserZugriff auf das Netz, indem dieAppliance dem Switch, der alsRadius Client arbeitet, mitteilt,dass er die vorhandenen Assetsnutzen darf.durch die KonfigurationLayer 2 AuthentifizierungBenutzersitzungen führt.derderIm ersten Schritt zeigt der WizardeinenWillkommensbildschirman, der die durchzuführendenSchritte beschreibt. Danach gehtes gleich in Medias Res und da mit an die Definition des RadiusClients. In unserem Test war das,wie gesagt, der Cisco Switch. Umdiesen als Radius Client einzu richten, mussten wir ihm zu nächst einen Namen geben, seineIP Adresse definieren und einShared Secret festlegen, um dieDatenübertragungenzwischenSwitch und Appliance abzusi chern. Danach gaben wir an, dasses sich bei dem Gerät um eineCisco Lösung handelte und akti vierten den Support für Dis connect Messages.Im nächsten Schritt wählten wirdie Location Group, die für dieEine laufende Verbindung mit einemIm Test verwendeten wir als Au Windows Clientthentifizierungsmethode Benut zername und Passwort. Um das Konfiguration zum Einsatz kom beschriebene Szenario umzuset men sollte, damit war der Wizardzen, steht im Konfigurations abgeschlossen und die Konfigu werkzeug der Pulse Policy Secu ration ging in Betrieb. Jetztre Appliance ein Wizard zur Ver mussten wir nur noch den Cisco fügung, der die Administratoren Switch so konfigurieren, dass er7
mit der PPS Appliance zusam menarbeitete. Dazu wechseltenwir auf die Kommandozeile desSwitches und führten dort die da für erforderlichen Befehle aus.Enforcement Point. Auch hier au thentifiziert die PPS Appliancedie Anwender, stellt sicher, dassdie Endpoints die Sicherheits Po licies erfüllen und leitet dann Be nutzer beziehungsweise Geräte informationen darüber, welcheRessourcen dem jeweiligen An wender oder Gerät zur Verfügungstehen sollen, an die Firewallweiter.Im Test verwendeten wir einevirtuelle Firewall Appliance vonPalo Alto. Die Konfigurationläuft ähnlich ab, wie bei demLayer 2 Enforcement. Zunächststarteten wir im PPS Konfigura tionswerkzeug den Wizard zumDer PulseSecure Client liefert im Be Einrichten des "Intranet Enfor trieb diverse Informationen über diecers". Dieser wollte im Wesentli aktiven Sitzungenchen wissen, welche Firewall wirEs würde den Rahmen dieses für die Konfiguration verwendenTests sprengen, im Detail auf je wollten (mit Hersteller und IP den Befehl einzugehen. Das ist Adresse sowie Zugriffsdaten)auch nicht nötig, da das ganze und welche Policy für das Map Vorgehen recht gut in der Doku ping der Authentifizierungs Ta mentation beschrieben wurde. Im bles zum Einsatz kommen sollte.Wesentlichen reicht es an dieserStelle aus, zu sagen, dass wir ei Die Policy gibt in diesem Zusam ne Radius Server Gruppe ein menhang an, welche Firewall fürrichten und die PPS Appliance die jeweilige User Role Verwen als Radius Server definieren dung findet. Auf diese Weise ver mussten. Danach war die Konfi hindert das System, dass die PPSguration abgeschlossen und das auf allen angeschlossenen Fire System ging in Betrieb. An walls teilweise unnötige Regelnschließend verhielt es sich so wie erzeugt. Die genannte Regelerwartet und oben beschrieben.konnten wir gleich innerhalb desWizards definieren.Das Layer 3 EnforcementDie Pulse Policy Secure App Sobald das erledigt war, wende liance ist wie gesagt nicht nur da ten wir uns der Konfiguration derzu in der Lage, NAC Funktiona Firewall selbst zu. Auch hierlitäten auf Layer 2 mit Hilfe ei würde es wieder den Rahmen desnes kompatiblen Switches zu Tests sprengen, im Detail daraufkonfigurieren, sondern kann auch einzugehen und auch hier werdenin Zusammenarbeit mit Firewalls die einzelnen Schritte wieder imvon Checkpoint, Fortinet, Juniper Detail in der Dokumentation be und Palo Alto das Netz auf Layer schrieben. Es genügt an dieser3 Ebene absichern. In diesem Stelle zu sagen, dass wir in denFall fungieren die Firewalls ge Zonen der Firewall die Usernauso wie zuvor der Switch als Identification aktivieren mussten,8eine dynamische Adress Gruppeanlegten und eine Sicherheitspo licy hinzufügten, die den Zugriffauf die Ressourcen regelte. Beider Policy lassen sich unter an derem auch Zeiträume für dieGültigkeit der Regel hinzufügenund ähnliches. Nach dem Ab schluss der Konfiguration nah men wir das System in Betriebund konnten auf die beschriebeneArt und Weise damit arbeiten.FazitDie Pulse Policy Secure Lösungkonnte uns im Test voll überzeu gen. Das Produkt verfügt übereinen eindrucksvollen Funkti onsumfang mit vielen mächtigenFeatures wie beispielsweise demHost Checking, dem EnterpriseOnboarding und dem Enforce ment auf Layer 2 und 3 des OSI Schichtenmodells. Außerdem ar beitet die Appliance auch mitvielen anderen Produkten aus derIT Sicherheit zusammen, an die ser Stelle seien nur exemplarischdie MDM Lösungen von Mobi leIron, die Switches von Ciscound die Firewalls von Check point sowie Palo Alto genannt.Im Betrieb verhält sich das Pro dukt zuverlässig und unauffälligund die Konfiguration dürfteaufgrund der vorhandenen Wi zards keinen Administratoren vorunüberwindlicheHindernissestellen. Eine gewisse Einarbei tungszeit ist zwar erforderlich,danach können die zuständigenIT Mitarbeiter die Sicherheit ih rer Netze aber deutlich erhöhen,weswegen sich der Aufwand inden meisten mittleren und großenUnternehmensumgebungen loh nen dürfte. Wegen des großenFunktionsumfangs verleihen wirdem Pulse Policy Secure Produktdas Prädikat "IAITested and re commended".
dukt mit externen Mobile Device Management Lösungen (Pulse Workspace sowie Lösungen von AirWatch, MobileIron und Mi crosoft) zusammenarbeitet, ist es zudem dazu in der Lage, Infor mationen von diesen Produkten zum Durchsetzen der NAC Poli cies (NetworkAccess Control) zu verwenden. Darüber hinaus kann es auch in viele vorhandene
