Network Access Control: μπαίνουν μη διαχειριζόμενες συσκευές στο δίκτυο;

Το παρακάτω σενάριο είναι ανώνυμο και βασίζεται σε ελεγχόμενη, εξουσιοδοτημένη αξιολόγηση ασφαλείας. Δεν περιλαμβάνει πραγματικά στοιχεία πελάτη, πραγματικές διευθύνσεις, domains, credentials ή ευαίσθητες τεχνικές λεπτομέρειες — μόνο μοτίβα έκθεσης που συναντά συχνά η Audax σε έργα υπό NDA.

Το Network Access Control (NAC) υπόσχεται ότι μόνο εξουσιοδοτημένες, συμμορφούμενες συσκευές μπαίνουν στο δίκτυο. Στην πράξη, πολλές υλοποιήσεις NAC λειτουργούν σε monitor mode, έχουν εξαιρέσεις για συσκευές που δεν υποστηρίζουν 802.1X, ή αφήνουν διαδρομές που επιτρέπουν σε μια rogue συσκευή να αποκτήσει πρόσβαση.

Η επικύρωση Network Access Control απαντά στο ερώτημα: αν κάποιος συνδέσει μια μη εξουσιοδοτημένη ή μη διαχειριζόμενη συσκευή, θα αποκλειστεί πραγματικά ή θα βρει τρόπο να μπει; Η Audax το ελέγχει υπό αυστηρό, εξουσιοδοτημένο scope, ενώ το Erevos AI κρατά την εικόνα της κάλυψης διαχρονικά.

Το επιχειρησιακό πρόβλημα

Όταν το NAC δεν επιβάλλεται πραγματικά, μια μη διαχειριζόμενη ή κακόβουλη συσκευή μπορεί να αποκτήσει θέση μέσα στο δίκτυο και να χρησιμοποιηθεί ως σημείο εκκίνησης για αναγνώριση και πλευρική κίνηση. Οι εξαιρέσεις για εκτυπωτές, συσκευές IoT ή OT συχνά γίνονται οι πιο αδύναμοι κρίκοι.

Επιχειρησιακά, αυτό υπονομεύει κάθε στρατηγική τμηματοποίησης και Zero Trust. Από πλευράς διακυβέρνησης, η αδυναμία να αποδείξετε ότι ελέγχεται ποια συσκευή μπαίνει στο δίκτυο είναι κενό για NIS2, ιδίως σε κρίσιμες υποδομές, και για κάθε έλεγχο ασφάλειας δικτύου.

Το σενάριο που πρέπει να ελεγχθεί

Σε ελεγχόμενο, εξουσιοδοτημένο σενάριο, η Audax ελέγχει αν το NAC επιβάλλει πραγματικά την πολιτική πρόσβασης: τι συμβαίνει με μια μη διαχειριζόμενη συσκευή σε διαφορετικά τμήματα δικτύου, αν υπάρχουν εξαιρέσεις ή VLAN που παρακάμπτουν τους ελέγχους, και αν το NAC λειτουργεί σε enforcement ή απλώς σε monitor mode.

Δεν εκτελούνται καταστροφικές τεχνικές με λειτουργικά payloads. Ο στόχος είναι να καταγραφεί αν μια μη εξουσιοδοτημένη συσκευή μπορεί να αποκτήσει χρήσιμη πρόσβαση και πόσο ορατό είναι αυτό στο SOC.

Τι επικυρώνει το Erevos AI

Το Erevos AI συγκεντρώνει την εικόνα της επιβολής NAC: ποια τμήματα είναι πραγματικά σε enforcement, ποιες εξαιρέσεις (IoT, OT, εκτυπωτές) δημιουργούν διαδρομές, ποια πρόσβαση αποκτά μια μη διαχειριζόμενη συσκευή. Έτσι ξεχωρίζει η ονομαστική πολιτική από την πραγματική επιβολή.

Επιπλέον, το Erevos AI παρακολουθεί διαχρονικά τη μετατόπιση: νέες εξαιρέσεις, αλλαγές VLAN ή νέες συσκευές μπορούν να ανοίξουν διαδρομές. Η διοίκηση αποκτά μετρήσιμη απάντηση στο αν ο έλεγχος πρόσβασης στο δίκτυο είναι πραγματικός φραγμός ή ένα banner χωρίς ισχύ.

Πώς εκτελείται η αξιολόγηση από την Audax

Η αξιολόγηση ξεκινά με scoping και εξουσιοδότηση, καταγραφή της αρχιτεκτονικής NAC, των πολιτικών, των εξαιρέσεων και της τμηματοποίησης. Ακολουθεί ελεγχόμενη επικύρωση της επιβολής με μη διαχειριζόμενες, εξουσιοδοτημένες συσκευές δοκιμής, σε συντονισμό με την ομάδα δικτύου, ώστε κάθε εύρημα να επαληθεύεται.

Συλλέγονται αποδείξεις (ανωνυμοποιημένα στιγμιότυπα, χρονοσφραγίδες, αναγνωριστικά ειδοποιήσεων), υπολογίζεται risk scoring και γίνεται κοινή επισκόπηση ανίχνευσης με το SOC. Η Audax παραδίδει executive report και τεχνικό παράρτημα με remediation roadmap (μετάβαση σε enforcement, περιορισμός εξαιρέσεων, σκλήρυνση τμηματοποίησης) και προγραμματίζει retest.

Τι αποδείξεις λαμβάνει ο οργανισμός

Ο οργανισμός λαμβάνει τεκμηριωμένη εικόνα του τι πρόσβαση αποκτά μια μη εξουσιοδοτημένη συσκευή και ποιες εξαιρέσεις δημιουργούν κίνδυνο. Οι αποδείξεις είναι κατάλληλες για την ομάδα δικτύου (τι να σκληρύνει) και για τη διοίκηση (πόσο αξιόπιστος είναι ο έλεγχος πρόσβασης στο δίκτυο).

Γιατί έχει αξία για NIS2, DORA ή executive cyber risk

Για NIS2, ιδίως σε κρίσιμες υποδομές, ο έλεγχος του ποια συσκευή συνδέεται στο δίκτυο είναι θεμελιώδης. Η απόδειξη ότι το NAC επιβάλλεται πραγματικά μετατρέπει μια παραδοχή σε τεκμηριωμένη ικανότητα. Για executive cyber risk, η διοίκηση κατανοεί ότι η τμηματοποίηση και το Zero Trust ξεκινούν από τον έλεγχο εισόδου συσκευών — και επενδύει στο enforcement με βάση αποδείξεις.

Ενδεικτικά ανώνυμα αποτελέσματα

Σε ένα ανώνυμο σενάριο αξιολόγησης, ένας οργανισμός μπορεί να ανακαλύψει ότι το NAC ήταν σε enforcement στα γραφεία, αλλά μια εξαίρεση για συσκευές χωρίς υποστήριξη 802.1X επέτρεπε σε μια μη διαχειριζόμενη συσκευή να αποκτήσει πρόσβαση σε τμήμα με ευαίσθητα συστήματα. Με περιορισμό της εξαίρεσης, αυστηρότερη τμηματοποίηση και βελτιωμένη ανίχνευση νέων συσκευών, το ρίσκο μειώνεται ουσιαστικά και επιβεβαιώνεται σε retest.

Πότε πρέπει να εφαρμοστεί αυτό το use case

Το use case εφαρμόζεται μετά από υλοποίηση ή επέκταση NAC, μετά από αλλαγές στην τμηματοποίηση, πριν από έλεγχο NIS2 ή ασφαλιστική αξιολόγηση, μετά από προσθήκη νέων IoT/OT συσκευών, ή ανά τρίμηνο ως συνεχής επικύρωση έκθεσης δικτύου.

Συμπέρασμα

Το NAC σε monitor mode είναι παρατηρητής, όχι φύλακας. Η επικύρωση NAC δείχνει αν ο έλεγχος πρόσβασης συσκευών επιβάλλεται πραγματικά ή αν μια απλή rogue συσκευή ανοίγει την πόρτα. Η Audax, με υποστήριξη του Erevos AI, σας δίνει αυτή την απόδειξη μετρήσιμα και διαχρονικά.

Συχνές ερωτήσεις

Διαφέρει από την επικύρωση τμηματοποίησης δικτύου;

Συμπληρώνει. Εδώ εστιάζουμε στο σημείο εισόδου — αν μια μη εξουσιοδοτημένη συσκευή αποκλείεται — ενώ η τμηματοποίηση αφορά το τι μπορεί να φτάσει μετά την είσοδο.

Χρειάζεται φυσική σύνδεση συσκευής;

Η επικύρωση γίνεται με εξουσιοδοτημένες συσκευές δοκιμής σε συντονισμό με την ομάδα δικτύου, υπό αυστηρό scope, χωρίς διακοπή λειτουργιών.

Κινδυνεύει η παραγωγή;

Όχι. Τα σενάρια είναι μη καταστροφικά και ελεγχόμενα.

Τι παραδίδεται στη διοίκηση;

Χάρτης επιβολής NAC σε MITRE ATT&CK, risk scoring, executive summary και remediation roadmap με προτεραιότητες.