An ninh mạng - Kiểm soát truy cập
Kiểm soát truy cập mạng là một phương pháp tăng cường bảo mật của mạng tổ chức tư nhân bằng cách hạn chế tính khả dụng của tài nguyên mạng cho các thiết bị đầu cuối tuân thủ chính sách bảo mật của tổ chức. Một sơ đồ kiểm soát truy cập mạng điển hình bao gồm hai thành phần chính như Quyền truy cập hạn chế và Bảo vệ ranh giới mạng.
Quyền truy cập có giới hạn vào các thiết bị mạng được thực hiện thông qua xác thực người dùng và kiểm soát ủy quyền chịu trách nhiệm xác định và xác thực người dùng khác nhau vào hệ thống mạng. Ủy quyền là quá trình cấp hoặc từ chối các quyền truy cập cụ thể đối với tài nguyên được bảo vệ.
Network Boundary Protectionkiểm soát kết nối logic vào và ra khỏi mạng. Ví dụ, nhiều tường lửa có thể được triển khai để ngăn chặn truy cập trái phép vào hệ thống mạng. Ngoài ra, các công nghệ phát hiện và ngăn chặn xâm nhập có thể được triển khai để bảo vệ khỏi các cuộc tấn công từ Internet.
Trong chương này, chúng ta sẽ thảo luận về các phương pháp nhận dạng và xác thực người dùng để truy cập mạng, tiếp theo là các loại tường lửa và hệ thống phát hiện xâm nhập.
Bảo mật quyền truy cập vào thiết bị mạng
Hạn chế quyền truy cập vào các thiết bị trên mạng là một bước rất cần thiết để bảo mật mạng. Vì các thiết bị mạng bao gồm thông tin liên lạc cũng như thiết bị máy tính, việc xâm phạm những thiết bị này có thể làm hỏng toàn bộ mạng và tài nguyên của nó.
Nghịch lý là nhiều tổ chức đảm bảo an ninh tuyệt vời cho các máy chủ và ứng dụng của họ nhưng lại để các thiết bị mạng giao tiếp có bảo mật thô sơ.
Một khía cạnh quan trọng của bảo mật thiết bị mạng là kiểm soát truy cập và ủy quyền. Nhiều giao thức đã được phát triển để giải quyết hai yêu cầu này và nâng cao an ninh mạng lên các mức cao hơn.
Xác thực và Ủy quyền Người dùng
Xác thực người dùng là cần thiết để kiểm soát quyền truy cập vào hệ thống mạng, đặc biệt là các thiết bị hạ tầng mạng. Xác thực có hai khía cạnh: xác thực truy cập chung và ủy quyền chức năng.
Xác thực quyền truy cập chung là phương pháp để kiểm soát xem một người dùng cụ thể có “bất kỳ” loại quyền truy cập nào vào hệ thống mà anh ta đang cố gắng kết nối hay không. Thông thường, loại truy cập này được kết hợp với việc người dùng có “tài khoản” với hệ thống đó. Việc ủy quyền liên quan đến "quyền" của người dùng cá nhân. Ví dụ, nó quyết định người dùng có thể làm gì sau khi được xác thực; người dùng có thể được phép định cấu hình thiết bị hoặc chỉ xem dữ liệu.
Xác thực người dùng phụ thuộc vào các yếu tố bao gồm thứ mà anh ta biết (mật khẩu), thứ anh ta có (mã thông báo mật mã) hoặc thứ gì đó anh ta là (sinh trắc học). Việc sử dụng nhiều hơn một yếu tố để nhận dạng và xác thực tạo cơ sở cho xác thực Đa yếu tố.
Xác thực dựa trên mật khẩu
Ở mức tối thiểu, tất cả các thiết bị mạng phải có xác thực tên người dùng-mật khẩu. Mật khẩu phải không nhỏ (ít nhất 10 ký tự, hỗn hợp bảng chữ cái, số và ký hiệu).
Trong trường hợp người dùng truy cập từ xa, một phương pháp nên được sử dụng để đảm bảo tên người dùng và mật khẩu không bị chuyển qua mạng một cách rõ ràng. Ngoài ra, mật khẩu cũng nên được thay đổi với một số tần suất hợp lý.
Phương thức xác thực tập trung
Hệ thống xác thực dựa trên thiết bị riêng lẻ cung cấp một biện pháp kiểm soát truy cập cơ bản. Tuy nhiên, phương pháp xác thực tập trung được coi là hữu hiệu và hiệu quả hơn khi mạng có số lượng thiết bị lớn với số lượng lớn người dùng truy cập vào các thiết bị này.
Theo truyền thống, xác thực tập trung được sử dụng để giải quyết các vấn đề gặp phải khi truy cập mạng từ xa. Trong Hệ thống Truy cập Từ xa (RAS), việc quản lý người dùng trên các thiết bị mạng là không thực tế. Đặt tất cả thông tin người dùng trong tất cả các thiết bị và sau đó giữ cho thông tin đó được cập nhật là một cơn ác mộng quản trị.
Các hệ thống xác thực tập trung, chẳng hạn như RADIUS và Kerberos, giải quyết vấn đề này. Các phương pháp tập trung này cho phép thông tin người dùng được lưu trữ và quản lý ở một nơi. Các hệ thống này thường có thể được tích hợp liền mạch với các sơ đồ quản lý tài khoản người dùng khác như thư mục Active Directory hoặc LDAP của Microsoft. Hầu hết các máy chủ RADIUS có thể giao tiếp với các thiết bị mạng khác theo giao thức RADIUS thông thường và sau đó truy cập an toàn vào thông tin tài khoản được lưu trữ trong các thư mục.
Ví dụ: Máy chủ xác thực Internet (IAS) của Microsoft kết nối RADIUS và Active Directory để cung cấp xác thực tập trung cho người dùng thiết bị. Nó cũng đảm bảo rằng thông tin tài khoản người dùng được thống nhất với các tài khoản miền Microsoft. Sơ đồ trên cho thấy bộ điều khiển miền Windows hoạt động như một máy chủ Active Directory và một máy chủ RADIUS để các phần tử mạng xác thực vào miền Active Directory.
Danh sách kiểm soát truy cập
Nhiều thiết bị mạng có thể được cấu hình bằng danh sách truy cập. Các danh sách này xác định tên máy chủ hoặc địa chỉ IP được phép truy cập thiết bị. Ví dụ điển hình là hạn chế quyền truy cập vào thiết bị mạng từ các IP ngoại trừ quản trị viên mạng.
Sau đó, điều này sẽ bảo vệ khỏi bất kỳ loại truy cập nào có thể trái phép. Các loại danh sách truy cập này đóng vai trò là biện pháp bảo vệ cuối cùng quan trọng và có thể khá mạnh mẽ trên một số thiết bị có các quy tắc khác nhau cho các giao thức truy cập khác nhau.