Wie Bundesbehörden hochsicheres Wi-Fi erhalten können

Die Installation moderner, sicherer Wi-Fi-Technologie in einer Bundeseinrichtung mag einfach klingen, aber für viele Behörden ist es eine überwältigende Aufgabe. Agenturen fehlt häufig das Fachwissen, das erforderlich ist, um eine WLAN-Lösung zu entwerfen und bereitzustellen, die für offizielle oder nicht-offizielle Geschäfte verwendet werden kann und die vielen komplexen Sicherheitskontrollen erfüllt, die vom Federal Information Security Management Act (FISMA) gefordert werden.

Eine Bundesregulierungsbehörde stellte sich dieser Herausforderung in 2020 Jahren. Die Agentur wollte eine WLAN-Lösung, die sich auf einer Infrastruktur befand, die dem Federal Risk and Authorization Management Program (FedRAMP) entspricht, ein Managed Service war und eine sichere, kontrollierte WLAN-Abdeckung an ihren fünf Standorten im ganzen Land für mehr als 1.300 Endbenutzer bieten würde, besagt eine neue Fallstudie, Wie Bundesagenturen hochgradig sicheres WLAN erhalten können – ohne den ATO-Prozess zu durchlaufen.

Sicheres WLAN im Büro

Um diese Funktion zu ermöglichen, wandten sich Entscheidungsträger der Agentur an Paliton Networks und CommScope RUCKUS, die eine hoch skalierbare Lösung entwickelt und bereitgestellt haben, die es allen Mitarbeitern innerhalb dieser Agentur ermöglicht, offizielle Geschäfte auf ihren staatlich eingerichteten Geräte (GFE)-Laptops zu tätigen, ohne zwei separate Netzwerke bereitstellen zu müssen – eines für offizielle Geschäfte und das andere für nicht-offizielle Geschäfte.

Die Lösung, das Controlled Non-Official Business Internet oder CNOBI von Paliton genannt, wurde entwickelt, um Wi-Fi-Abdeckung für nicht-offizielle Regierungsgeschäfte bereitzustellen – sie kann jedoch auch verwendet werden, um Wi-Fi-Abdeckung für offizielle Geschäfte bereitzustellen. Sie wird kontrolliert, da sie den Zugriff auf diejenigen beschränkt, die ausdrücklich autorisiert sind. Sie wird kontrolliert, da sie RUCKUS URL-Filterdienste bietet, um den Zugriff auf nicht arbeitsplatzsichere Inhalte zu beschränken. Es ist kontrolliert, da RUCKUS Analytics die Möglichkeit bietet, Berichte über Benutzeraktivitäten zu erstellen. Als Kerndienst ist er nicht offiziell, da er zwar viele Anforderungen erfüllt, aber außerhalb des Sicherheits- und Akkreditierungsprozesses der Agentur liegt. Ein deutlicher Vorteil in Kombination mit anderen Lösungen. 

Mit einer verwalteten Lösung können verschiedene Benutzertypen im selben Netzwerk getrennt werden. Agenturen können Mitarbeiter authentifizieren, um offizielle Geschäfte auf ihren GFE-Geräten zu tätigen, nicht-offizielle Geschäfte auf BYOD-Geräten und den Zugang zu Agenturbesuchern zu sponsern.

Als Managed Service sind CNOBI und seine Komponenten Eigentum von Paliton, werden von Paliton betrieben und gewartet. Die Lösung ist hochsicher, erfüllt viele Sicherheitskontrollen des National Institute of Standards and Technology (NIST), ist FIPS-konform (Federal Information Processing Standard) und arbeitet auf einer von FedRAMP autorisierten Infrastruktur – Microsoft Azure GovCloud.

Vorteile von CNOBI

Mit der vorhandenen CNOBI-Lösung können Agenturmitarbeiter in jeder Agentureinrichtung sein, ihre GFE-Laptops verwenden und – drahtlos und sicher – offizielle Geschäfte tätigen. 

Wie viele Agenturen während der Pandemie hat diese Bundesbehörde ihren Mitarbeitern GFE-Laptops ausgestellt, damit sie zu Hause arbeiten können. Diese Laptops sind mit Sicherheitssoftware und Funktionen ausgestattet, die sie zwingen, sich sofort nach der Verbindung mit einem vertrauenswürdigen WLAN-Netzwerk automatisch mit dem hochsicheren virtuellen privaten Netzwerk (VPN) der Agentur zu verbinden.

Wenn es zu Hause gemacht werden kann, warum nicht in einer Büroumgebung?

Die Verbindung der beiden Lösungen bietet Agenturmitarbeitern einen vertrauenswürdigen Service, um offizielle Arbeiten an den GFE-Laptops durchzuführen und gleichzeitig die Mobilität im Büro zu erhalten. Ein Benutzer kann einfach abdocken und automatisch über das VPN über WLAN verbunden werden, wo immer CNOBI Abdeckung hat. Die FIPS-zertifizierte CommScope RUCKUS-Hardware und -Software, die sich auf der FedRAMP-Infrastruktur befindet, bietet Servicesicherheit und ermöglicht es GFE-Geräten, höhere Verschlüsselungsstandards anzuwenden.

CNOBI schützt auch Nutzer und drahtlose Netzwerke vor Frag Attacks, einer neuen Kategorie von Zero-Day-Schwachstellen, die die meisten WLAN-Geräte, sowohl Clients als auch Netzwerke, betreffen. Gegner können diese Schwachstellen ausnutzen, um bösartigen Code auszuführen, die Kontrolle über Geräte zu übernehmen, Daten zu erfassen und die Geräte zu verwenden, um andere Angriffe zu starten.

Benutzer von CNOBI sind grundsätzlich geschützt, da die Lösung auf dem 802.1X EAP-TLS-Protokoll (Extensible Authentication Protocol - Transport Layer Security) beruht, um einzelne zertifikatsbasierte Identitäten anstelle von gemeinsam genutzten Passwörtern zu authentifizieren. EAP-TLS-basierte Systeme mindern Cracking-, Man-in-the-Middle- oder Frag-Angriffe, da sich jede Seite der WLAN-Verbindung – das WLAN-System und das Endbenutzergerät – gegenseitig authentifiziert. Wenn eine der Seiten der anderen misstrauen sollte, können sie sich nicht verbinden. Dadurch wird verhindert, dass sich der Endbenutzer versehentlich mit einem schädlichen Gerät verbindet, wodurch sichergestellt wird, dass nur autorisierte Benutzer eine Verbindung zum WLAN-System herstellen können. Sobald Benutzer ihre Geräte registrieren, müssen sie nie wieder ein Passwort eingeben.

Darüber hinaus hilft CommScope RUCKUS Analytics, das Management und die Effizienz der Agentur zu verbessern. Dazu gehören prädiktive Analysen, um Behördenvertreter über erwartete Kennzahlen zur Ressourcennutzung zu informieren, um gegebenenfalls präventive Richtlinien- oder Kontrollanpassungen zu ermöglichen.

CNOBI entlastet die IT und bietet Reisebüromitarbeitern von jedem Ort, an dem der Dienst bereitgestellt wird, aus ein hochsicheres WLAN.

Um mehr zu erfahren, laden Sie die Fallstudie des Bundes herunter: Wie Bundesbehörden hochsicheres WLAN erhalten können – ohne den ATO-Prozess zu durchlaufen