Segurança de rede - controle de acesso
O controle de acesso à rede é um método de aumentar a segurança de uma rede organizacional privada, restringindo a disponibilidade de recursos de rede para dispositivos terminais que estejam em conformidade com a política de segurança da organização. Um esquema típico de controle de acesso à rede consiste em dois componentes principais, como Acesso restrito e Proteção de limite de rede.
O acesso restrito aos dispositivos de rede é obtido por meio de autenticação de usuário e controle de autorização, que é responsável por identificar e autenticar diferentes usuários no sistema de rede. Autorização é o processo de conceder ou negar permissões de acesso específicas a um recurso protegido.
Network Boundary Protectioncontrola a conectividade lógica dentro e fora das redes. Por exemplo, vários firewalls podem ser implantados para impedir o acesso não autorizado aos sistemas de rede. Além disso, tecnologias de detecção e prevenção de intrusão podem ser implantadas para defesa contra ataques da Internet.
Neste capítulo, discutiremos os métodos de identificação e autenticação do usuário para acesso à rede, seguidos por vários tipos de firewalls e sistemas de detecção de intrusão.
Protegendo o acesso a dispositivos de rede
Restringir o acesso aos dispositivos na rede é uma etapa muito essencial para proteger uma rede. Como os dispositivos de rede incluem equipamentos de comunicação e também de computação, comprometê-los pode derrubar uma rede inteira e seus recursos.
Paradoxalmente, muitas organizações garantem excelente segurança para seus servidores e aplicativos, mas deixam os dispositivos de rede de comunicação com segurança rudimentar.
Um aspecto importante da segurança do dispositivo de rede é o controle de acesso e a autorização. Muitos protocolos foram desenvolvidos para atender a esses dois requisitos e aumentar a segurança da rede para níveis mais elevados.
Autenticação e autorização do usuário
A autenticação do usuário é necessária para controlar o acesso aos sistemas de rede, em particular aos dispositivos de infraestrutura de rede. A autenticação tem dois aspectos: autenticação de acesso geral e autorização funcional.
A autenticação de acesso geral é o método para controlar se um determinado usuário tem “qualquer” tipo de direito de acesso ao sistema ao qual está tentando se conectar. Normalmente, este tipo de acesso está associado ao fato de o usuário possuir uma “conta” naquele sistema. A autorização trata dos “direitos” individuais do usuário. Por exemplo, ele decide o que um usuário pode fazer depois de autenticado; o usuário pode estar autorizado a configurar o dispositivo ou apenas visualizar os dados.
A autenticação do usuário depende de fatores que incluem algo que ele conhece (senha), algo que ele possui (token criptográfico) ou algo que ele é (biométrico). O uso de mais de um fator para identificação e autenticação fornece a base para a autenticação multifator.
Autenticação baseada em senha
No mínimo, todos os dispositivos de rede devem ter autenticação de nome de usuário e senha. A senha não deve ser trivial (pelo menos 10 caracteres, letras, números e símbolos mistos).
No caso de acesso remoto por parte do usuário, um método deve ser usado para garantir que os nomes de usuário e as senhas não sejam passados de forma clara pela rede. Além disso, as senhas também devem ser alteradas com alguma frequência razoável.
Métodos de autenticação centralizados
O sistema de autenticação individual baseado em dispositivo fornece uma medida básica de controle de acesso. No entanto, um método de autenticação centralizado é considerado mais eficaz e eficiente quando a rede tem um grande número de dispositivos com um grande número de usuários acessando esses dispositivos.
Tradicionalmente, a autenticação centralizada foi usada para resolver problemas enfrentados no acesso remoto à rede. Em sistemas de acesso remoto (RAS), a administração de usuários nos dispositivos de rede não é prática. Colocar todas as informações do usuário em todos os dispositivos e, em seguida, manter essas informações atualizadas é um pesadelo administrativo.
Sistemas de autenticação centralizados, como RADIUS e Kerberos, resolvem esse problema. Esses métodos centralizados permitem que as informações do usuário sejam armazenadas e gerenciadas em um só lugar. Normalmente, esses sistemas podem ser integrados de forma transparente com outros esquemas de gerenciamento de contas de usuário, como o Active Directory da Microsoft ou diretórios LDAP. A maioria dos servidores RADIUS pode se comunicar com outros dispositivos de rede no protocolo RADIUS normal e então acessar com segurança as informações da conta armazenadas nos diretórios.
Por exemplo, o Internet Authentication Server (IAS) da Microsoft faz a ponte entre o RADIUS e o Active Directory para fornecer autenticação centralizada para os usuários dos dispositivos. Ele também garante que as informações da conta do usuário sejam unificadas com as contas de domínio da Microsoft. O diagrama acima mostra um controlador de domínio do Windows operando como um servidor Active Directory e um servidor RADIUS para que elementos de rede sejam autenticados em um domínio Active Directory.
Listas de controle de acesso
Muitos dispositivos de rede podem ser configurados com listas de acesso. Essas listas definem nomes de host ou endereços IP autorizados para acessar o dispositivo. É típico, por exemplo, restringir o acesso a equipamentos de rede de IPs, exceto para o administrador de rede.
Isso então protegeria contra qualquer tipo de acesso que possa ser não autorizado. Esses tipos de listas de acesso servem como uma última defesa importante e podem ser bastante poderosos em alguns dispositivos com regras diferentes para protocolos de acesso diferentes.