پیش‌نویس:کنترل دسترسی به شبکه

"این مقاله در حال ترجمه از ویکی انگلیسی است

لطفا حذف نشود."

 کنترل دسترسی به شبکه 
"کنترل دسترسی به شبکه" (Network Access Control) که معمولا به صورت مخفف "NAC" شناخته میشود، رویکردی در امنیت رایانه‌ای است که تلاش می‌کند فناوری‌های امنیت نقطهٔ پایانی (مانند آنتی‌ویروس، سامانه‌های جلوگیری از نفوذ میزبان و ارزیابی آسیب‌پذیری)، احراز هویت کاربر یا سامانه، و اعمال سیاست‌های امنیت شبکه را در قالب یک چارچوب یکپارچه گرد هم آورد.

 توضیحات 
کنترل دسترسی شبکه راهکاری در شبکه‌های رایانه‌ای است که با استفاده از مجموعه‌ای از پروتکل‌ها، سیاست‌هایی را برای ایمن‌سازی دسترسی دستگاه‌ها به گره‌های شبکه هنگام اتصال اولیه تعریف و اجرا می‌کند. سامانه‌های NAC می‌توانند فرایند اصلاح خودکار را نیز در زیرساخت شبکه ادغام کنند؛ به این معنا که پیش از صدور مجوز دسترسی، مشکلات دستگاه‌های ناسازگار به‌صورت خودکار برطرف شود.

این فرایند باعث می‌شود تجهیزاتی مانند مسیریاب‌ها، سوئیچ‌ها و دیوارهای آتش در کنار سرورها و تجهیزات کاربری همکاری کنند تا پیش از برقراری ارتباط، از ایمن بودن سامانهٔ اطلاعاتی اطمینان حاصل شود. یکی از ساده‌ترین نمونه‌های NAC، استاندارد 802.1X است.

هدف NAC همان چیزی است که از نامش پیداست: کنترل دسترسی به شبکه بر پایهٔ سیاست‌های امنیتی. این سیاست‌ها شامل بررسی وضعیت امنیتی دستگاه‌ها پیش از ورود به شبکه و همچنین کنترل فعالیت کاربران و دستگاه‌ها پس از اتصال می‌شود؛ از جمله اینکه به کدام بخش‌های شبکه دسترسی داشته باشند و چه اقداماتی بتوانند انجام دهند.

 نمونه 
هنگامی که یک رایانه به شبکه متصل می‌شود، تا زمانی که با سیاست‌های تعیین‌شدهٔ سازمان مطابقت نداشته باشد، اجازهٔ دسترسی به منابع شبکه را نخواهد داشت. این سیاست‌ها می‌تواند شامل سطح به‌روزبودن آنتی‌ویروس، نسخهٔ به‌روزرسانی‌های سیستم و تنظیمات امنیتی باشد.

در زمان بررسی دستگاه توسط عامل نرم‌افزاری نصب‌شده، رایانه تنها به منابعی دسترسی خواهد داشت که امکان رفع یا به‌روزرسانی مشکلات را فراهم می‌کنند. پس از آنکه شرایط تعیین‌شده برآورده شد، سیستم می‌تواند مطابق سیاست‌های NAC به منابع شبکه و اینترنت دسترسی پیدا کند.

فناوری NAC عمدتاً برای بررسی وضعیت امنیتی دستگاه‌های پایانی به‌کار می‌رود، اما معمولاً با کنترل دسترسی مبتنی بر نقش نیز ترکیب می‌شود. در این حالت، دسترسی کاربران بر اساس نقش سازمانی و وضعیت امنیتی دستگاه آن‌ها تعیین می‌شود. برای مثال، در یک سازمان ممکن است کارکنان واحد منابع انسانی تنها زمانی بتوانند به پرونده‌های این بخش دسترسی داشته باشند که هم نقش کاربری آن‌ها معتبر باشد و هم دستگاهشان حداقل الزامات امنیتی مانند آنتی‌ویروس به‌روز را داشته باشد.

 اهداف NAC 
کنترل دسترسی شبکه یکی از حوزه‌های نوظهور امنیت اطلاعات است و تعریف آن همچنان در حال تکامل بوده و گاه محل بحث است. با این حال، اهداف اصلی این فناوری را می‌توان چنین خلاصه کرد:

 احراز هویت، مجوزدهی و حسابرسی اتصال‌های شبکه 

در شبکه‌های IP سنتی، سیاست‌های دسترسی معمولاً بر پایهٔ نشانی‌های IP اعمال می‌شوند؛ اما در محیط‌های NAC تلاش می‌شود سیاست‌ها بر اساس هویت احراز‌شدهٔ کاربران اعمال شوند، به‌ویژه در دستگاه‌های کاربری مانند لپ‌تاپ‌ها و رایانه‌های رومیزی.

 اعمال سیاست های امنیتی 
راهکارهای NAC به مدیران شبکه اجازه می‌دهند سیاست‌هایی مانند نوع دستگاه‌های مجاز یا نقش کاربران قابل‌دسترسی به بخش‌های مختلف شبکه را تعریف کرده و این سیاست‌ها را در تجهیزاتی مانند سوئیچ‌ها، مسیریاب‌ها و تجهیزات میانی شبکه اجرا کنند.

 بررسی وضعیت امنیتی دستگاه‌های متصل 
مهم‌ترین مزیت سامانه‌های NAC جلوگیری از اتصال دستگاه‌هایی است که فاقد آنتی‌ویروس، وصله‌های امنیتی یا نرم‌افزار جلوگیری از نفوذ میزبان هستند؛ زیرا چنین دستگاه‌هایی می‌توانند سایر سامانه‌ها را در معرض آلودگی بدافزارها و کرم‌های رایانه‌ای قرار دهند.

 مفاهیم 

 پیش از پذیرش و پس از پذیرش 
در سامانه‌های NAC دو معماری اصلی وجود دارد که تفاوت آن‌ها به زمان اعمال سیاست‌های امنیتی مربوط می‌شود: پیش از اتصال یا پس از اتصال دستگاه به شبکه.

در روش «پیش از پذیرش»، دستگاه پیش از دریافت دسترسی بررسی می‌شود. برای نمونه، ممکن است دستگاهی که امضاهای آنتی‌ویروس آن قدیمی است، اجازهٔ ارتباط با سرورهای حساس را نداشته باشد.

در مقابل، در روش «پس از پذیرش»، تصمیم‌های امنیتی پس از اتصال کاربر به شبکه و بر اساس رفتار او اتخاذ می‌شوند.

 مبتنی بر عامل یا بدون عامل 
ایدهٔ اصلی NAC این است که شبکه بتواند بر پایهٔ اطلاعات مربوط به دستگاه‌های متصل، دربارهٔ دسترسی آن‌ها تصمیم‌گیری کند. به همین دلیل، نحوهٔ جمع‌آوری این اطلاعات اهمیت زیادی دارد.

برخی سامانه‌ها برای گزارش وضعیت دستگاه‌ها به نرم‌افزار عامل نیاز دارند؛ در حالی که برخی دیگر بدون نصب عامل و با استفاده از اسکن شبکه و فهرست‌برداری، ویژگی‌های دستگاه‌ها را از راه دور شناسایی می‌کنند.

با گسترش NAC، شرکت‌هایی مانند مایکروسافت نیز این رویکرد را پذیرفتند و عامل Network Access Protection یا NAP را در نسخه‌های ویندوز 7، ویستا و XP ارائه کردند. البته مایکروسافت از زمان ویندوز ۱۰ پشتیبانی از NAP را متوقف کرد. همچنین عامل‌های سازگار با NAP برای لینوکس و Mac OS X نیز توسعه یافته‌اند.

 خارج از مسیر و درون‌خطی 
در برخی سامانه‌های خارج از مسیر (Out-of-band)، عامل‌های نرم‌افزاری روی دستگاه‌ها نصب می‌شوند و اطلاعات را به یک کنسول مرکزی ارسال می‌کنند؛ سپس این کنسول از طریق کنترل سوئیچ‌ها سیاست‌های امنیتی را اعمال می‌کند.در مقابل، راهکارهای درون‌خطی (Inline) معمولاً به‌صورت یک تجهیز مستقل عمل کرده و مشابه دیوار آتش داخلی، کنترل مستقیم بسته‌های شبکه را بر عهده دارند.

راهکارهای خارج از مسیر این مزیت را دارند که از زیرساخت موجود استفاده می‌کنند؛ اما سامانه‌های درون‌خطی معمولاً در شبکه‌های جدید ساده‌تر پیاده‌سازی می‌شوند و کنترل دقیق‌تری بر ترافیک شبکه دارند.

 اصلاح، قرنطینه و درگاه اسیر 
مدیران شبکه انتظار دارند برخی کاربران مجاز به دلیل رعایت نکردن الزامات امنیتی از دسترسی محروم شوند؛ به همین دلیل، سامانه‌های NAC معمولاً سازوکارهایی برای رفع مشکلات دستگاه‌های کاربران فراهم می‌کنند.دو روش رایج در این زمینه عبارت‌اند از:

 شبکه قرنطینه 
شبکهٔ قرنطینه شبکه‌ای محدود است که تنها اجازهٔ دسترسی به میزبان‌ها و برنامه‌های مشخصی را می‌دهد. این روش معمولاً با استفاده از VLAN پیاده‌سازی می‌شود؛ به‌طوری که دستگاه ناسازگار تنها به سرورهای وصله و به‌روزرسانی متصل می‌شود و به سایر بخش‌های شبکه دسترسی ندارد.

 درگاه اسیر 
درگاه اسیر درخواست‌های HTTP کاربران را رهگیری کرده و آن‌ها را به صفحه‌ای هدایت می‌کند که شامل ابزارها و راهنمای رفع مشکلات امنیتی است. تا زمانی که دستگاه بررسی و تأیید نشود، دسترسی دیگری به شبکه داده نمی‌شود. این روش مشابه سازوکار دسترسی اینترنت در برخی شبکه‌های بی‌سیم عمومی است.درگاه‌های اسیر خارجی نیز به سازمان‌ها اجازه می‌دهند مدیریت احراز هویت شبکه‌های بی‌سیم و سیمی را در یک سامانهٔ متمرکز انجام دهند.

 NAC همراه 
استفاده از NAC در محیط‌های سیار، جایی که کارکنان در طول روز از شبکه‌های بی‌سیم مختلف استفاده می‌کنند، چالش‌هایی متفاوت از شبکه‌های محلی سیمی ایجاد می‌کند. اگر دسترسی کاربر به دلیل مشکلات امنیتی مسدود شود، ممکن است بهره‌وری کاری او کاهش یابد یا ارائهٔ خدمات به مشتری مختل شود.

همچنین فرایند اصلاح خودکار که در شبکهٔ سیمی تنها چند ثانیه زمان می‌برد، در شبکه‌های بی‌سیم ممکن است چندین دقیقه طول بکشد.

راهکارهای NAC همراه به مدیران سیستم اجازه می‌دهند تعیین کنند که مشکلات امنیتی چگونه و در چه زمانی برطرف شوند. برای نمونه، قدیمی بودن امضای آنتی‌ویروس ممکن است تنها یک هشدار ساده ایجاد کند؛ در حالی که مشکلات جدی‌تر می‌توانند باعث قرنطینه شدن دستگاه شوند.

همچنین می‌توان سیاست‌هایی تعریف کرد تا نصب خودکار وصله‌ها و به‌روزرسانی‌های امنیتی تنها هنگام اتصال دستگاه به شبکهٔ Wi-Fi یا خارج از ساعات کاری انجام شود. این کار به ایجاد تعادل میان امنیت و حفظ بهره‌وری کارکنان کمک می‌کند.

 منابع