Conçu à l’origine comme une solution de contrôle d’accès au réseau (NAC), Aruba ClearPass continue d’évoluer pour devenir une gamme d’outils de sécurité réseau. Même si ses fonctionnalités s’étendent, ClearPass continue de remplir sa mission première : contrôler les accès au réseau à grande échelle.
Pour comparer Aruba ClearPass à ses concurrents, consultez la liste complète des principales solutions de contrôle d’accès au réseau (NAC).
Qui est Aruba ?
Aruba, une entreprise de Hewlett Packard Enterprise (HPE), fournit des solutions de mobilité et d’IoT aux organisations de toutes tailles. Pionnière des réseaux sans fil, Aruba propose désormais des services d’infrastructure sous forme logicielle, depuis le cloud public ou privé, afin de sécuriser la connectivité d’un large éventail d’appareils, notamment mobiles et IoT. L’entreprise a été fondée en 2003 et est une filiale détenue à 100 % par HPE.
Aruba ClearPass Policy Manager
Aruba ClearPass assure un contrôle d’accès au réseau fondé sur les rôles et les appareils pour les employés, les étudiants, les sous-traitants et les invités, sur toute infrastructure filaire, sans fil ou VPN multifournisseur. ClearPass constitue une base pour la sécurité réseau et permet de :
- Identifier les utilisateurs et les appareils qui se connectent aux réseaux
- Détecter l’état des appareils qui se connectent
- Élaborer et appliquer des politiques
- Assurer une intégration indépendante des fournisseurs
ClearPass est devenu une famille de produits prenant en charge les principales fonctions NAC :
- Policy Manager permet au personnel informatique de définir des politiques régissant la manière dont les utilisateurs et les appareils se connectent, ainsi que les données de l’entreprise auxquelles ils peuvent accéder, afin d’assurer les fonctionnalités NAC essentielles
- Licences OnGuard : un agent, un agent temporaire ou un outil sans agent qui vérifie en profondeur l’état des appareils afin de réaliser des évaluations des terminaux
- Licences Compliance Suite : permettent l’intégration avec Device Insight
- Licences Onboard : options d’intégration permettant aux employés d’enregistrer leurs appareils
Agents
Pour évaluer et corriger l’état de sécurité des terminaux, Aruba propose ClearPass OnGuard, disponible sous forme d’agent persistant, sans agent ou d’agent temporaire. Les agents persistants sont principalement déployés sur les ordinateurs appartenant à l’entreprise. Les agents temporaires peuvent être déployés provisoirement sur les appareils personnels (BYOD) et ceux des visiteurs afin de vérifier le respect des exigences minimales avant d’autoriser toute forme d’accès au réseau. Les agents peuvent être déployés sur les systèmes d’exploitation Windows, MacOS et Linux, certaines fonctionnalités n’étant pas disponibles pour macOS ou Linux..
Indicateurs applicables
Aruba ClearPass est déployé dans des environnements d’authentification à haut volume (par exemple, plus de 10 millions d’authentifications par jour), ainsi que dans des environnements distribués nécessitant une continuité de l’authentification locale sur plusieurs zones géographiques (par exemple, 30 points de présence). Les utilisateurs indiquent qu’une appliance prenant en charge 25 000 utilisateurs simultanés peut « gérer facilement entre 250 et 300 authentifications par seconde ». L’entreprise tient également une liste étendue d’intégrations tierces (pare-feu, SIEM, MDM/EMM, équipements d’accès réseau, etc.).
Certifications de sécurité
Lorsque ClearPass fonctionne en mode approuvé FIPS, il utilise un module cryptographique validé FIPS 140 2. Il figure également sur la liste des produits approuvés Unified Capabilities du département de la Défense des États-Unis (UC-APL).
Fonctionnalités
- Plusieurs méthodes d’application (RADIUS, TACACS, SNMP) sont prises en charge, tout comme l’application propriétaire non-RADIUS OnConnect
- Options de bases de données utilisateurs pour Active Directory, LDAP et SQL
- Empreinte des appareils et évaluation complète de leur état permettant d’identifier le type et le nom du modèle, l’adresse MAC, l’adresse IP, le fabricant de la carte réseau, le système d’exploitation et sa version
- Options d’intégration pour définir les autorisations d’intégration des appareils de l’entreprise et des appareils personnels (BYOD), ainsi que le nombre d’appareils intégrés par utilisateur
- Intégration en libre-service avec autorité de certification (CA) intégrée
- Options de sécurité OnGuard permettant de définir et d’appliquer les niveaux minimaux d’intégrité requis pour autoriser un appareil à accéder au réseau
- Options d’accès invité avancées personnalisables selon l’image de marque ou avec approbation d’un parrain, afin d’autoriser l’accès au réseau via des comptes invités temporaires en libre-service
- Moteur de politiques contextuelles prenant en charge une application granulaire des politiques selon le rôle de l’utilisateur, le type d’appareil, la méthode d’authentification, le lieu, l’heure et d’autres critères
- Prévention des intrusions sans fil
- Certifié pour le secteur public avec une validation FIPS 140-2 de niveau 2/3, une accréditation de type Common Criteria, et répertorié dans la liste des produits approuvés Unified Capabilities.
- Certification Cyber Catalyst by Marsh qui confirme que ClearPass est un outil de sécurité efficace pour réduire les risques, selon huit des plus grands assureurs cyber
Avantages
- Indépendance vis-à-vis des fournisseurs : peut propager les politiques d’accès d’autres fournisseurs, notamment Cisco
- Intègre les alertes de sécurité provenant de plus de 170 solutions de sécurité et de gestion informatique, et peut servir de point central pour les alertes d’attaque
- Options de déploiement flexibles : appliances physiques ou virtuelles, autonomes ou déployées en cluster.
- Accès réseau filaire, sans fil et via réseau privé virtuel (VPN) pris en charge
- Vaste intégration tierce
- Bloque automatiquement les appareils non autorisés et ceux qui ne respectent pas les normes de sécurité minimales
- Modèles de configuration intuitifs pour les politiques et outils de dépannage
- Prise en charge de l’authentification unique (SSO) pour Ping, Okta et d’autres solutions
- Prise en charge des appareils IoT via l’authentification par adresse MAC
Inconvénients
- Nécessite plusieurs licences pour mettre en place un NAC fonctionnel
- Option plus coûteuse à court terme
- Peu d’assistance de la communauté
- La configuration peut être complexe et difficile
Renseignement
ClearPass Exchange et ClearPass Extensions permettent l’intégration avec des solutions tierces afin de partager des informations avec les plateformes d’autres fournisseurs. En outre, la solution peut partager des informations de manière bidirectionnelle avec des produits UEBA tels que Aruba IntroSpect (anciennement Niara), qui fournit des analyses de sécurité fondées sur l’apprentissage automatique afin d’ajuster l’accès au réseau lorsque les indices de menace atteignent certains niveaux.
Déploiement
L’appliance physique offre un contrôle avancé des politiques pour un maximum de :
- 500 sessions simultanées (C1000)
- 5 000 sessions simultanées (C2000)
- 25 000 sessions simultanées (C3000)
L’appliance virtuelle prend en charge les principales options de virtualisation :
- Amazon AWS (EC2)
- KVM sur CentOS 7.7, Ubuntu 18.04 et Ubuntu 20.04
- Microsoft Azure
- Microsoft Hyper-V 2016/2019 R2/2019
- VMware ESXi jusqu’à la version 7.0
Des clusters d’appliances physiques et virtuelles peuvent être déployés pour étendre la portée ou améliorer la résilience grâce à la redondance.
Tarifs
HPE Aruba propose trois types de licences mutuellement exclusives :
- Licences permanentes qui n’expirent pas, mais nécessitent souvent des frais supplémentaires pour les mises à jour et l’assistance
- Licences d’abonnement qui expirent au bout d’un, trois ou cinq ans. Après expiration, le produit continue de fonctionner, mais les mises à jour et les modifications (configuration, services, etc.) ne sont plus disponibles
- Licences d’évaluation généralement valables entre 90 et 180 jours (3 à 6 mois)
Chaque appliance doit disposer d’une licence de base Policy Manager Platform (disponible uniquement sous forme de licence permanente ou d’évaluation). ClearPass propose également des licences d’application selon le niveau de fonctionnalités requis :
- Licences d’entrée :
- Disponibles sous forme de licences permanentes ou d’évaluation
- Prennent en charge un nombre limité de fonctionnalités essentielles : authentification 802.1X, authentification MAC, enregistrement et authentification des utilisateurs via le Web, MFA, OnConnect et certaines fonctionnalités d’échange de 360 Security
- Licences d’accès :
- Activent l’ensemble des fonctionnalités, des types d’authentification et des fonctions Guest
- Network Scan fonctionne uniquement sur les serveurs Policy Manager disposant d’une licence d’accès
- Disponibles sous forme de licences permanentes, d’abonnement ou d’évaluation
- Licences de mise à niveau d’accès :
- Permettent de mettre à niveau une licence d’entrée vers une licence d’accès
- Disponibles uniquement sous forme de licence permanente
- Toutes les licences d’entrée doivent être mises à niveau simultanément
- Licences OnGuard : Une licence permanente et illimitée pour Policy Manager OnGuard
- Licences Compliance Suite
- Disponibles sous forme d’abonnements d’un, trois ou cinq ans
- Permettent à Policy Manager de s’intégrer à Device Insight
- Sont requises pour chaque appareil lors du déploiement d’OnGuard
- Les agents temporaires ne peuvent être déployés qu’une seule fois par période de 24 heures
- Licences Onboard :
- Minimum de 100 licences
- Disponibles sous forme de licences permanentes, d’abonnement ou d’évaluation
- Permettent d’utiliser les certificats d’appareil générés par Onboard
Les coûts varient selon l’appliance, le niveau d’assistance, le nombre d’appareils pris en charge et la durée des licences. HPE Aruba fournit un guide de commande et publie les tarifs sur son site Web, mais les ventes sont effectuées par des partenaires. Les tarifs proposés par les partenaires peuvent bénéficier de remises promotionnelles ou sur volume ; les prix indiqués sont donc indicatifs et non exacts au centime près.
Un échantillonnage des tarifs publiés par les partenaires permet d’estimer les prix de vente conseillés comme suit :
- Coût des appliances :
- 7 500 $US – C1000 (500 sessions simultanées)
- 12 100 $US – C2010 (5 000 sessions simultanées)
- 20 300 $US – C3010 (25 000 sessions simultanées)
- 4 300 $US – appliance virtuelle
- 2 800 $US – licence perpétuelle ClearPass Access, 100 points de terminaison simultanés
- 1 670 $US – abonnement ClearPass Access d’un an, 100 points de terminaison simultanés
- 710 $US – licence perpétuelle ClearPass Entry, 100 points de terminaison simultanés
- 3 200 $US – licence de mise à niveau ClearPass Access, 100 points de terminaison simultanés
- 3 500 $US – licence perpétuelle OnBoard, 100 utilisateurs
- 2 450 $US – abonnement OnBoard d’un an, 100 utilisateurs
- 2 250 $US – licence perpétuelle OnGuard, 100 utilisateurs
- 1 120 $US – abonnement OnGuard d’un an, 100 utilisateurs
En résumé : idéale pour les environnements à fort volume
Aruba ClearPass offre des options de déploiement flexibles pour gérer d’importants volumes d’utilisateurs simultanés, qu’il s’agisse de collaborateurs ou d’invités. Les options d’intégration et d’authentification automatiques des utilisateurs permettent de gérer les pics importants de demandes associés aux salles de concert, aux stades, aux centres de congrès, aux aéroports et autres lieux où les demandes temporaires de comptes invités peuvent régulièrement augmenter puis diminuer.
Bien qu’il s’agisse d’une option plus coûteuse, HPE et Aruba soutiennent leur produit ClearPass en s’appuyant sur la confiance inspirée par leur marque, de solides options d’assistance et un vaste réseau de partenaires.
Cet article a été initialement rédigé par Drew Robb le 7 juillet 2017, puis mis à jour par Chad Kime le 29 mars 2023.