Netzwerksicherheit - Zugriffskontrolle
Die Netzwerkzugriffskontrolle ist eine Methode zur Verbesserung der Sicherheit eines privaten Unternehmensnetzwerks, indem die Verfügbarkeit von Netzwerkressourcen auf Endgeräte beschränkt wird, die den Sicherheitsrichtlinien des Unternehmens entsprechen. Ein typisches Netzwerkzugriffskontrollschema besteht aus zwei Hauptkomponenten, wie z. B. eingeschränktem Zugriff und Netzwerkgrenzenschutz.
Der eingeschränkte Zugriff auf die Netzwerkgeräte wird durch Benutzerauthentifizierung und Autorisierungskontrolle erreicht, die für die Identifizierung und Authentifizierung verschiedener Benutzer im Netzwerksystem verantwortlich sind. Bei der Autorisierung werden bestimmte Zugriffsberechtigungen für eine geschützte Ressource erteilt oder verweigert.
Network Boundary ProtectionSteuert die logische Konnektivität in und aus Netzwerken. Beispielsweise können mehrere Firewalls bereitgestellt werden, um den unbefugten Zugriff auf die Netzwerksysteme zu verhindern. Außerdem können Technologien zur Erkennung und Verhinderung von Eindringlingen eingesetzt werden, um sich gegen Angriffe aus dem Internet zu verteidigen.
In diesem Kapitel werden die Methoden zur Benutzeridentifizierung und -authentifizierung für den Netzwerkzugriff erläutert, gefolgt von verschiedenen Arten von Firewalls und Intrusion Detection-Systemen.
Sichern des Zugriffs auf Netzwerkgeräte
Das Einschränken des Zugriffs auf die Geräte im Netzwerk ist ein sehr wichtiger Schritt zum Sichern eines Netzwerks. Da Netzwerkgeräte sowohl aus Kommunikations- als auch aus Computergeräten bestehen, kann eine Kompromittierung dieser Geräte möglicherweise ein gesamtes Netzwerk und seine Ressourcen zum Erliegen bringen.
Paradoxerweise gewährleisten viele Unternehmen eine hervorragende Sicherheit für ihre Server und Anwendungen, lassen jedoch kommunizierende Netzwerkgeräte mit rudimentärer Sicherheit.
Ein wichtiger Aspekt der Sicherheit von Netzwerkgeräten ist die Zugriffskontrolle und Autorisierung. Viele Protokolle wurden entwickelt, um diese beiden Anforderungen zu erfüllen und die Netzwerksicherheit auf ein höheres Niveau zu bringen.
Benutzerauthentifizierung und -autorisierung
Die Benutzerauthentifizierung ist erforderlich, um den Zugriff auf die Netzwerksysteme, insbesondere auf Netzwerkinfrastrukturgeräte, zu steuern. Die Authentifizierung hat zwei Aspekte: allgemeine Zugriffsauthentifizierung und funktionale Autorisierung.
Die allgemeine Zugriffsauthentifizierung ist die Methode, mit der gesteuert wird, ob ein bestimmter Benutzer über ein Zugriffsrecht für das System verfügt, zu dem er eine Verbindung herstellen möchte. Normalerweise ist diese Art des Zugriffs damit verbunden, dass der Benutzer ein „Konto“ bei diesem System hat. Die Autorisierung befasst sich mit einzelnen Benutzerrechten. Beispielsweise wird entschieden, was ein Benutzer nach der Authentifizierung tun kann. Der Benutzer kann berechtigt sein, das Gerät zu konfigurieren oder nur die Daten anzuzeigen.
Die Benutzerauthentifizierung hängt von Faktoren ab, zu denen etwas gehört, das er kennt (Passwort), etwas, das er hat (kryptografisches Token) oder etwas, das er ist (biometrisch). Die Verwendung von mehr als einem Faktor zur Identifizierung und Authentifizierung bildet die Grundlage für die Multifaktorauthentifizierung.
Passwortbasierte Authentifizierung
Auf einer Mindeststufe sollten alle Netzwerkgeräte über eine Authentifizierung mit Benutzername und Kennwort verfügen. Das Passwort sollte nicht trivial sein (mindestens 10 Zeichen, gemischte Alphabete, Zahlen und Symbole).
Im Falle eines Fernzugriffs durch den Benutzer sollte eine Methode verwendet werden, um sicherzustellen, dass Benutzernamen und Kennwörter nicht im Klartext über das Netzwerk weitergegeben werden. Passwörter sollten auch mit einer angemessenen Häufigkeit geändert werden.
Zentralisierte Authentifizierungsmethoden
Das individuelle gerätebasierte Authentifizierungssystem bietet eine grundlegende Zugriffskontrollmaßnahme. Eine zentralisierte Authentifizierungsmethode wird jedoch als effektiver und effizienter angesehen, wenn das Netzwerk über eine große Anzahl von Geräten verfügt und eine große Anzahl von Benutzern auf diese Geräte zugreift.
Traditionell wurde die zentralisierte Authentifizierung verwendet, um Probleme beim Remote-Netzwerkzugriff zu lösen. In RAS-Systemen (Remote Access Systems) ist die Verwaltung von Benutzern auf den Netzwerkgeräten nicht praktikabel. Es ist ein administrativer Albtraum, alle Benutzerinformationen auf allen Geräten zu platzieren und diese Informationen dann auf dem neuesten Stand zu halten.
Zentralisierte Authentifizierungssysteme wie RADIUS und Kerberos lösen dieses Problem. Mit diesen zentralisierten Methoden können Benutzerinformationen an einem Ort gespeichert und verwaltet werden. Diese Systeme können normalerweise nahtlos in andere Benutzerkontenverwaltungsschemata wie Microsoft Active Directory- oder LDAP-Verzeichnisse integriert werden. Die meisten RADIUS-Server können im normalen RADIUS-Protokoll mit anderen Netzwerkgeräten kommunizieren und dann sicher auf die in den Verzeichnissen gespeicherten Kontoinformationen zugreifen.
Beispielsweise verbindet der Internet Authentication Server (IAS) von Microsoft RADIUS und Active Directory, um den Benutzern von Geräten eine zentralisierte Authentifizierung bereitzustellen. Außerdem wird sichergestellt, dass die Benutzerkontoinformationen mit den Microsoft-Domänenkonten vereinheitlicht werden. Das obige Diagramm zeigt einen Windows-Domänencontroller, der sowohl als Active Directory-Server als auch als RADIUS-Server fungiert, damit sich Netzwerkelemente bei einer Active Directory-Domäne authentifizieren können.
Zugriffssteuerungslisten
Viele Netzwerkgeräte können mit Zugriffslisten konfiguriert werden. Diese Listen definieren Hostnamen oder IP-Adressen, die für den Zugriff auf das Gerät berechtigt sind. Es ist beispielsweise typisch, den Zugriff von IPs auf Netzwerkgeräte mit Ausnahme des Netzwerkadministrators einzuschränken.
Dies würde dann vor jeglichem Zugriff schützen, der möglicherweise nicht autorisiert ist. Diese Arten von Zugriffslisten dienen als wichtige letzte Verteidigung und können auf einigen Geräten mit unterschiedlichen Regeln für unterschiedliche Zugriffsprotokolle sehr leistungsfähig sein.