ورود یک لپ تاپ ناشناس، موبایل شخصی، دوربین جدید یا حتی یک پرینتر ساده به شبکه سازمانی می تواند مسیر تازه ای برای نفوذ ایجاد کند. بسیاری از سازمان ها فایروال و آنتی ویروس دارند، اما دقیقا نمی دانند چه دستگاه هایی به شبکه متصل هستند و هر دستگاه به کدام منابع دسترسی دارد. در چنین شرایطی، راهکار NAC به مدیر شبکه کمک می کند قبل از صدور دسترسی، هویت کاربر، نوع تجهیز و وضعیت امنیتی آن را بررسی کند. بهتر است سیاست های NAC از همان زمان تدوین قرارداد شبکه مشخص شوند تا مسئولیت بررسی تجهیزات، ثبت رخدادها و واکنش به اتصال های غیرمجاز روشن باشد.
NAC چیست و چه نقشی در امنیت شبکه سازمانی دارد؟
NAC مخفف Network Access Control و به معنی کنترل دسترسی به شبکه است. این راهکار تعیین می کند چه کاربر یا دستگاهی، در چه زمانی، از چه نقطه ای و با چه سطحی از مجوز وارد شبکه شود. برخلاف روش های قدیمی که فقط نام کاربری و رمز عبور را بررسی می کردند، NAC وضعیت خود دستگاه را نیز ارزیابی می کند. برای مثال ممکن است کاربر مجاز باشد، اما لپ تاپ او آنتی ویروس فعال نداشته باشد یا سیستم عامل آن به روز نشده باشد. در این حالت NAC می تواند دسترسی کامل را رد کند یا دستگاه را به شبکه قرنطینه منتقل کند. هدف NAC فقط مسدود کردن کاربران نیست. این راهکار دید دقیقی از تجهیزات متصل ایجاد می کند، دسترسی ها را براساس نقش شغلی تنظیم می کند و امکان واکنش سریع به اتصال های مشکوک را به وجود می آورد. استفاده درست از NAC زمانی نتیجه بهتری دارد که همراه با خدمات پشتیبانی شبکه، پایش مداوم لاگ ها و بازبینی دوره ای سیاست های امنیتی انجام شود.
NAC چگونه کاربران و تجهیزات ناشناس را شناسایی می کند؟
وقتی یک دستگاه از طریق کابل شبکه، وای فای یا VPN درخواست اتصال می دهد، NAC اطلاعات آن را جمع آوری می کند. این اطلاعات می تواند شامل آدرس MAC، سیستم عامل، نوع دستگاه، نام کاربر، محل اتصال، وضعیت آنتی ویروس و سطح به روزرسانی باشد. سپس داده های به دست آمده با قوانین سازمان مقایسه می شوند تا مشخص شود دستگاه شناخته شده، مهمان، شخصی، سازمانی یا مشکوک است. در شبکه های حرفه ای، استاندارد ۸۰۲.1X و پروتکل RADIUS برای احراز هویت استفاده می شوند. تجهیزاتی مانند پرینتر، دوربین یا تلفن VoIP که معمولا از ۸۰۲.1X پشتیبانی نمی کنند، ممکن است با روش MAB و براساس آدرس MAC شناسایی شوند. استفاده از NAC باید با طراحی درست زیرساخت، سوییچ ها، شبکه بی سیم و سرویس دایرکتوری هماهنگ باشد. به همین دلیل اجرای آن معمولا بخشی از پروژه های تخصصی خدمات شبکه محسوب می شود، نه یک تنظیم ساده روی یک نرم افزار.
NAC با دستگاه ناشناس، آلوده یا غیرمجاز چه برخوردی می کند؟
واکنش NAC به هر دستگاه براساس سیاست امنیتی تعریف شده در سازمان تعیین می شود. این سامانه فقط به نام کاربری یا رمز عبور توجه نمی کند، بلکه نوع دستگاه، مالک آن، محل اتصال، وضعیت سیستم عامل، آنتی ویروس، سطح به روزرسانی و سابقه رفتاری تجهیز را نیز بررسی می کند. بر همین اساس، ممکن است دو کاربر با نام کاربری معتبر، سطح دسترسی متفاوتی دریافت کنند؛ زیرا یکی از یک لپ تاپ سازمانی و سالم استفاده می کند و دیگری با یک دستگاه شخصی، ناشناس یا فاقد الزامات امنیتی وارد شبکه شده است. دستگاه ناشناس لزوما آلوده یا مخرب نیست. ممکن است لپ تاپ یک نیروی جدید، موبایل شخصی کارمند، تجهیزات یک پیمانکار یا حتی یک دوربین تازه نصب شده باشد. با این حال، تا زمانی که هویت، مالکیت و وضعیت امنیتی آن مشخص نشده است، نباید به سرورها، فایل های سازمانی، سامانه های مالی یا دیگر منابع حساس دسترسی کامل داشته باشد. NAC با اجرای سیاست های مختلف می تواند خطر چنین اتصال هایی را مدیریت کند.
مسدود کردن کامل دسترسی
اگر دستگاه در فهرست سیاه قرار داشته باشد، از یک نقطه غیرمجاز متصل شود، رفتار مشکوکی نشان دهد یا پیش از این در یک رخداد امنیتی شناسایی شده باشد، NAC می تواند دسترسی آن را به طور کامل مسدود کند. در این وضعیت دستگاه حتی اگر از نظر فیزیکی به سوییچ یا شبکه بی سیم متصل باشد، اجازه برقراری ارتباط با منابع داخلی را دریافت نمی کند. برای مثال، اگر یک لپ تاپ ناشناس به پورت شبکه واحد مالی متصل شود، NAC می تواند آدرس MAC، نوع سیستم عامل و الگوی ارتباطی آن را بررسی کند. اگر این مشخصات با تجهیزات ثبت شده سازمان مطابقت نداشته باشد، اتصال بلافاصله متوقف می شود و تیم فناوری اطلاعات از این رخداد مطلع خواهد شد.
انتقال دستگاه به شبکه قرنطینه
در بسیاری از موارد، مسدود کردن کامل بهترین گزینه نیست. ممکن است دستگاه متعلق به یک کاربر مجاز باشد اما شرایط امنیتی مورد نیاز سازمان را نداشته باشد. برای مثال، آنتی ویروس آن غیرفعال باشد، سیستم عامل به روز نشده باشد یا یک نرم افزار امنیتی ضروری روی آن نصب نشده باشد. در چنین شرایطی NAC می تواند دستگاه را به یک VLAN قرنطینه منتقل کند. شبکه قرنطینه بخشی محدود و جدا از شبکه اصلی است که دستگاه در آن فقط به سرویس های مشخصی دسترسی دارد. این سرویس ها می توانند شامل سامانه به روزرسانی، سرور آنتی ویروس، صفحه راهنمای امنیتی یا پورتال رفع مشکل باشند.
ارائه دسترسی محدود به مهمان یا پیمانکار
همه افرادی که وارد ساختمان یا شبکه سازمان می شوند نباید به منابع داخلی دسترسی کامل داشته باشند. کاربران مهمان، مشاوران، نیروهای پیمانکار یا ارائه دهندگان خدمات معمولا فقط به اینترنت یا چند سامانه مشخص نیاز دارند. NAC می تواند برای این کاربران دسترسی محدود، زمان دار و قابل ردیابی ایجاد کند. برای مثال، یک پیمانکار ممکن است فقط به سرور مربوط به پروژه خود دسترسی داشته باشد و امکان مشاهده دیگر بخش های شبکه برای او مسدود باشد. همچنین دسترسی مهمان می تواند تنها برای چند ساعت یا تا پایان جلسه فعال باشد و پس از پایان زمان تعیین شده به صورت خودکار منقضی شود. در این روش، اطلاعات کاربر، زمان ورود، مدت اتصال، نوع دستگاه و منابع مورد استفاده ثبت می شوند. این اطلاعات در صورت بروز مشکل یا بررسی یک رخداد امنیتی بسیار ارزشمند هستند. سازمان می تواند مشخص کند چه کسی، در چه زمانی و با چه دستگاهی به شبکه متصل شده است.
ارسال هشدار و ثبت رخداد
یکی از وظایف مهم NAC ثبت تمام رویدادهای مربوط به ورود، رد دسترسی، قرنطینه و تغییر سطح مجوز است. هر اتصال ناشناس باید در لاگ ثبت شود تا تیم فناوری اطلاعات بتواند جزئیات آن را بررسی کند. این اطلاعات معمولا شامل نام کاربر، آدرس IP، آدرس MAC، نوع دستگاه، محل اتصال، زمان ورود و دلیل پذیرش یا رد دسترسی است. اگر سطح ریسک بالا باشد، NAC می تواند بلافاصله برای مدیر شبکه یا تیم امنیت هشدار ارسال کند. این هشدار ممکن است از طریق ایمیل، پیامک، داشبورد مدیریتی یا اتصال به سامانه های SIEM منتقل شود. برای مثال، اتصال همزمان یک کاربر از دو محل متفاوت، ورود یک دستگاه ناشناس به شبکه مدیریت یا تلاش مکرر برای عبور از سیاست های دسترسی می تواند به عنوان رفتار مشکوک شناسایی شود. ثبت دقیق رخدادها فقط برای واکنش لحظه ای کاربرد ندارد. این داده ها در تحلیل حوادث، ممیزی امنیتی، بررسی تخلفات و شناسایی الگوهای رفتاری نیز استفاده می شوند. مدیر شبکه می تواند بررسی کند کدام دستگاه ها بیشتر قرنطینه شده اند، چه واحدی بیشترین اتصال ناشناس را داشته است و کدام سیاست ها نیاز به اصلاح دارند. همان طور که در موضوع چرا بکاپ موفق همیشه قابل بازیابی نیست؟ اهمیت آزمون واقعی فرایندها مطرح می شود، سیاست های NAC نیز نباید فقط روی کاغذ تعریف شوند. سناریوهای مسدودسازی، قرنطینه، هشدار و بازگرداندن دسترسی باید پیش از وقوع یک حادثه واقعی آزمایش شوند. اگر سازمان مسیر مشخصی برای رفع قرنطینه، تایید دستگاه و پاسخ به هشدار نداشته باشد، حتی یک NAC قدرتمند نیز نمی تواند امنیت موثری ایجاد کند.
سیاست های NAC برای کارکنان، مهمانان، BYOD و تجهیزات IoT
یکی از اصول اصلی NAC این است که همه کاربران و دستگاه ها نباید دسترسی یکسان داشته باشند. مجوزها باید براساس نقش شغلی، نوع دستگاه، مالکیت تجهیز، محل اتصال و میزان ریسک تعیین شوند. جدول زیر یک الگوی کلی برای طراحی سیاست دسترسی در شبکه سازمانی ارائه می کند.
| گروه کاربر یا دستگاه | سطح دسترسی پیشنهادی | کنترل امنیتی لازم |
|---|---|---|
| کارکنان سازمان | دسترسی براساس واحد و نقش شغلی | احراز هویت، بررسی سلامت دستگاه و ثبت رخداد |
| مدیران و کاربران حساس | دسترسی به سامانه های مدیریتی مشخص | احراز هویت چند مرحله ای و محدودیت مکانی |
| مهمانان | فقط اینترنت و بدون دسترسی به شبکه داخلی | ثبت نام، تایید میزبان و انقضای خودکار |
| پیمانکاران | دسترسی موقت به سرویس های مورد نیاز | محدودیت زمانی، ثبت کامل فعالیت و تایید مدیر |
| تجهیزات شخصی یا BYOD | دسترسی محدود پس از ثبت دستگاه | بررسی سیستم عامل، آنتی ویروس و سیاست امنیتی |
| تجهیزات IoT | قرارگیری در شبکه مجزا | محدود کردن ارتباط فقط به سرور یا سرویس مورد نیاز |
| دستگاه ناشناس | قرنطینه یا مسدودسازی | شناسایی مالک، ارزیابی ریسک و تایید دستی |
این سیاست ها باید با اصل حداقل دسترسی طراحی شوند. یعنی هر کاربر یا دستگاه فقط به منابعی دسترسی داشته باشد که برای انجام وظیفه خود واقعا به آن نیاز دارد. ترکیب NAC با VLAN، فایروال داخلی و سیاست های مبتنی بر نقش می تواند حرکت جانبی مهاجم در شبکه را محدود کند.
مراحل پیاده سازی NAC در شبکه سازمانی
پیاده سازی NAC بهتر است به صورت مرحله ای انجام شود. در گام اول باید فهرست کاملی از کاربران، تجهیزات، سوییچ ها، اکسس پوینت ها، سرورها و سرویس های حساس تهیه شود. بدون شناخت دارایی ها، تعریف سیاست دقیق ممکن نیست. در گام بعد دستگاه ها به گروه های سازمانی، شخصی، مهمان، پیمانکار، IoT و ناشناس تقسیم می شوند. پس از دسته بندی، سطح دسترسی هر گروه و شرایط ورود آن مشخص می شود. بهتر است NAC ابتدا در حالت مانیتورینگ اجرا شود تا بدون مسدود کردن کاربران، رفتار واقعی شبکه و خطاهای احتمالی شناسایی شوند. سپس اجرای آزمایشی در یک واحد کوچک آغاز می شود و بعد از رفع مشکلات، سیاست ها به تدریج در کل سازمان گسترش پیدا می کنند. از اشتباهات رایج می توان به اعمال ناگهانی محدودیت های سختگیرانه، نادیده گرفتن تجهیزات قدیمی، وابستگی بیش از حد به آدرس MAC، تعریف نکردن دسترسی اضطراری و بررسی نکردن ظرفیت زیرساخت اشاره کرد. سیاست ها نیز نباید ثابت بمانند. تغییر سمت کارکنان، اضافه شدن نرم افزارهای جدید و ورود تجهیزات تازه می تواند سطح دسترسی مورد نیاز را تغییر دهد. بنابراین بازبینی دوره ای قوانین NAC بخشی از نگهداری امنیت شبکه است.
سخن پایانی درباره NAC و کنترل تجهیزات ناشناس
NAC یک ابزار ساده برای بستن پورت شبکه نیست، بلکه سامانه ای برای شناسایی، ارزیابی و کنترل هوشمند کاربران و تجهیزات است. این راهکار به سازمان کمک می کند بداند چه کسی با چه دستگاهی وارد شبکه شده، چه سطحی از دسترسی دارد و در صورت مشاهده خطر چه واکنشی باید انجام شود. موفقیت NAC به شناخت دارایی ها، طراحی سیاست های واقع بینانه، اجرای مرحله ای و پایش مداوم وابسته است. هرچه تعداد تجهیزات شخصی، مهمان و IoT بیشتر باشد، نیاز به کنترل متمرکز دسترسی نیز جدی تر خواهد شد.
سوالات متداول درباره NAC و کنترل دسترسی شبکه
- آیا NAC جایگزین فایروال و آنتی ویروس می شود؟خیر. NAC مکمل فایروال، آنتی ویروس و سامانه های تشخیص تهدید است. وظیفه اصلی آن کنترل ورود به شبکه و تعیین سطح دسترسی است، در حالی که فایروال ترافیک را کنترل می کند و آنتی ویروس مسئول شناسایی بدافزار است.
- آیا NAC فقط برای سازمان های بزرگ مناسب است؟خیر. هر مجموعه ای که چند نوع کاربر، شبکه بی سیم، تجهیزات شخصی یا دستگاه های IoT دارد می تواند از NAC استفاده کند. در سازمان های کوچک ممکن است نسخه ساده تر یا ابری راهکار کافی باشد، اما طراحی سیاست همچنان اهمیت دارد.
- اگر NAC یک دستگاه مجاز را اشتباه مسدود کند چه باید کرد؟باید مسیر مشخصی برای بررسی، تایید دستی و رفع قرنطینه وجود داشته باشد. اجرای اولیه در حالت مانیتورینگ، ثبت دقیق لاگ ها و آزمایش سیاست ها در یک واحد محدود می تواند احتمال مسدود شدن اشتباه کاربران مجاز را کاهش دهد.
