ความปลอดภัยเครือข่าย - การควบคุมการเข้าถึง

การควบคุมการเข้าถึงเครือข่ายเป็นวิธีการเพิ่มความปลอดภัยของเครือข่ายองค์กรส่วนตัวโดยการ จำกัด การมีทรัพยากรเครือข่ายไปยังอุปกรณ์ปลายทางที่สอดคล้องกับนโยบายความปลอดภัยขององค์กร โครงร่างการควบคุมการเข้าถึงเครือข่ายโดยทั่วไปประกอบด้วยองค์ประกอบหลักสองส่วนเช่นการเข้าถึงที่ จำกัด และการป้องกันขอบเขตเครือข่าย

การเข้าถึงอุปกรณ์เครือข่ายแบบ จำกัด ทำได้โดยการพิสูจน์ตัวตนผู้ใช้และการควบคุมการอนุญาตซึ่งมีหน้าที่ในการระบุและพิสูจน์ตัวตนผู้ใช้ที่แตกต่างกันไปยังระบบเครือข่าย การให้สิทธิ์คือกระบวนการให้หรือปฏิเสธสิทธิ์การเข้าถึงเฉพาะสำหรับทรัพยากรที่ได้รับการป้องกัน

Network Boundary Protectionควบคุมการเชื่อมต่อตรรกะเข้าและออกจากเครือข่าย ตัวอย่างเช่นสามารถติดตั้งไฟร์วอลล์หลายตัวเพื่อป้องกันการเข้าถึงระบบเครือข่ายโดยไม่ได้รับอนุญาต นอกจากนี้เทคโนโลยีการตรวจจับและป้องกันการบุกรุกยังสามารถปรับใช้เพื่อป้องกันการโจมตีจากอินเทอร์เน็ต

ในบทนี้เราจะพูดถึงวิธีการระบุตัวผู้ใช้และการตรวจสอบสิทธิ์สำหรับการเข้าถึงเครือข่ายตามด้วยไฟร์วอลล์และระบบตรวจจับการบุกรุกประเภทต่างๆ

การรักษาความปลอดภัยการเข้าถึงอุปกรณ์เครือข่าย

การ จำกัด การเข้าถึงอุปกรณ์บนเครือข่ายเป็นขั้นตอนที่สำคัญมากสำหรับการรักษาความปลอดภัยเครือข่าย เนื่องจากอุปกรณ์เครือข่ายประกอบด้วยการสื่อสารเช่นเดียวกับอุปกรณ์คอมพิวเตอร์การบุกรุกสิ่งเหล่านี้อาจทำให้เครือข่ายและทรัพยากรทั้งหมดลดลง

ในทางที่ผิดหลายองค์กรรับรองความปลอดภัยที่ดีเยี่ยมสำหรับเซิร์ฟเวอร์และแอปพลิเคชันของตน แต่ปล่อยให้อุปกรณ์เครือข่ายสื่อสารด้วยความปลอดภัยพื้นฐาน

สิ่งสำคัญของการรักษาความปลอดภัยอุปกรณ์เครือข่ายคือการควบคุมการเข้าถึงและการอนุญาต โปรโตคอลจำนวนมากได้รับการพัฒนาเพื่อตอบสนองความต้องการทั้งสองนี้และเพิ่มความปลอดภัยของเครือข่ายให้สูงขึ้น

การตรวจสอบผู้ใช้และการอนุญาต

การพิสูจน์ตัวตนผู้ใช้เป็นสิ่งจำเป็นเพื่อควบคุมการเข้าถึงระบบเครือข่ายโดยเฉพาะอุปกรณ์โครงสร้างพื้นฐานเครือข่าย การพิสูจน์ตัวตนมีสองลักษณะ: การพิสูจน์ตัวตนการเข้าถึงทั่วไปและการอนุญาตการทำงาน

การตรวจสอบสิทธิ์การเข้าถึงโดยทั่วไปเป็นวิธีการควบคุมว่าผู้ใช้รายใดมีสิทธิ์เข้าถึง "ประเภทใดก็ได้" ในระบบที่เขาพยายามเชื่อมต่อหรือไม่ โดยปกติการเข้าถึงประเภทนี้จะเชื่อมโยงกับผู้ใช้ที่มี“ บัญชี” กับระบบนั้น การให้สิทธิ์เกี่ยวข้องกับ“ สิทธิ์” ของผู้ใช้แต่ละคน ตัวอย่างเช่นการตัดสินใจว่าผู้ใช้สามารถทำอะไรได้บ้างเมื่อตรวจสอบสิทธิ์แล้ว ผู้ใช้อาจได้รับอนุญาตให้กำหนดค่าอุปกรณ์หรือดูข้อมูลเท่านั้น

การรับรองความถูกต้องของผู้ใช้ขึ้นอยู่กับปัจจัยที่รวมถึงสิ่งที่เขารู้ (รหัสผ่าน) สิ่งที่เขามี (โทเค็นการเข้ารหัส) หรือสิ่งที่เขาเป็น (ไบโอเมตริกซ์) การใช้ปัจจัยมากกว่าหนึ่งปัจจัยสำหรับการระบุตัวตนและการพิสูจน์ตัวตนเป็นพื้นฐานสำหรับการพิสูจน์ตัวตนแบบหลายปัจจัย

การรับรองความถูกต้องโดยใช้รหัสผ่าน

ในระดับต่ำสุดอุปกรณ์เครือข่ายทั้งหมดควรมีการตรวจสอบชื่อผู้ใช้และรหัสผ่าน รหัสผ่านต้องไม่สำคัญ (อย่างน้อย 10 อักขระตัวอักษรผสมตัวเลขและสัญลักษณ์)

ในกรณีของการเข้าถึงระยะไกลโดยผู้ใช้ควรใช้วิธีการเพื่อให้แน่ใจว่าชื่อผู้ใช้และรหัสผ่านจะไม่ถูกส่งผ่านเครือข่ายอย่างชัดเจน นอกจากนี้ควรเปลี่ยนรหัสผ่านด้วยความถี่ที่เหมาะสม

วิธีการรับรองความถูกต้องจากส่วนกลาง

ระบบการพิสูจน์ตัวตนโดยใช้อุปกรณ์ส่วนบุคคลมีมาตรการควบคุมการเข้าถึงขั้นพื้นฐาน อย่างไรก็ตามวิธีการรับรองความถูกต้องแบบรวมศูนย์ถือว่ามีประสิทธิภาพและประสิทธิผลมากกว่าเมื่อเครือข่ายมีอุปกรณ์จำนวนมากโดยมีผู้ใช้จำนวนมากเข้าถึงอุปกรณ์เหล่านี้

ตามเนื้อผ้าการรับรองความถูกต้องจากส่วนกลางถูกใช้เพื่อแก้ปัญหาที่ต้องเผชิญในการเข้าถึงเครือข่ายระยะไกล ในระบบการเข้าถึงระยะไกล (RAS) การดูแลผู้ใช้บนอุปกรณ์เครือข่ายไม่สามารถใช้ได้จริง การวางข้อมูลผู้ใช้ทั้งหมดในอุปกรณ์ทั้งหมดแล้วทำให้ข้อมูลนั้นเป็นปัจจุบันถือเป็นฝันร้ายของผู้ดูแลระบบ

ระบบการพิสูจน์ตัวตนแบบรวมศูนย์เช่น RADIUS และ Kerberos ช่วยแก้ปัญหานี้ได้ วิธีการรวมศูนย์เหล่านี้ช่วยให้สามารถจัดเก็บและจัดการข้อมูลของผู้ใช้ได้ในที่เดียว โดยปกติระบบเหล่านี้สามารถรวมเข้ากับแผนการจัดการบัญชีผู้ใช้อื่น ๆ ได้อย่างราบรื่นเช่นไดเรกทอรี Active Directory หรือ LDAP ของ Microsoft เซิร์ฟเวอร์ RADIUS ส่วนใหญ่สามารถสื่อสารกับอุปกรณ์เครือข่ายอื่น ๆ ในโปรโตคอล RADIUS ปกติจากนั้นเข้าถึงข้อมูลบัญชีที่เก็บไว้ในไดเร็กทอรีอย่างปลอดภัย

ตัวอย่างเช่น Internet Authentication Server (IAS) ของ Microsoft เชื่อมโยง RADIUS และ Active Directory เพื่อให้การรับรองความถูกต้องแบบรวมศูนย์สำหรับผู้ใช้อุปกรณ์ นอกจากนี้ยังช่วยให้มั่นใจได้ว่าข้อมูลบัญชีผู้ใช้รวมเข้ากับบัญชีโดเมนของ Microsoft แผนภาพด้านบนแสดงตัวควบคุมโดเมนของ Windows ที่ทำงานเป็นทั้งเซิร์ฟเวอร์ Active Directory และเซิร์ฟเวอร์ RADIUS สำหรับองค์ประกอบเครือข่ายเพื่อรับรองความถูกต้องในโดเมน Active Directory

รายการควบคุมการเข้าถึง

อุปกรณ์เครือข่ายจำนวนมากสามารถกำหนดค่าด้วยรายการเข้าถึง รายการเหล่านี้กำหนดชื่อโฮสต์หรือที่อยู่ IP ที่ได้รับอนุญาตให้เข้าถึงอุปกรณ์ เป็นเรื่องปกติที่จะ จำกัด การเข้าถึงอุปกรณ์เครือข่ายจาก IPs ยกเว้นผู้ดูแลระบบเครือข่าย

จากนั้นจะป้องกันการเข้าถึงทุกประเภทที่อาจไม่ได้รับอนุญาต รายการเข้าถึงประเภทนี้ทำหน้าที่เป็นด่านสุดท้ายที่สำคัญและมีประสิทธิภาพมากในอุปกรณ์บางประเภทที่มีกฎต่างกันสำหรับโปรโตคอลการเข้าถึงที่แตกต่างกัน