- StarSecCommander
- 0 نظر
- 973 بازدید
در یک سازمان امروزی، شبکه دیگر فقط مجموعهای از کامپیوترها و سرورها نیست. لپتاپ کارکنان، تلفنهای همراه، تجهیزات IoT، پرینترها، دوربینها، تجهیزات اتاق جلسات، سیستمهای کنترل صنعتی، دستگاههای پیمانکاران و حتی تجهیزات مهمانان میتوانند به شبکه سازمان متصل شوند.
اما یک سؤال اساسی وجود دارد:
آیا سازمان واقعاً میداند چه کسی و چه دستگاهی به شبکه متصل است و هرکدام دقیقاً به چه منابعی دسترسی دارند؟
اگر پاسخ این سؤال «خیر» یا حتی «تا حدی» باشد، احتمالاً سازمان به یک راهکار NAC یا Network Access Control نیاز دارد.
NAC یکی از راهکارهای مهم در معماری امنیت شبکه است که با شناسایی کاربران و تجهیزات، بررسی وضعیت امنیتی آنها و اعمال سیاستهای دسترسی، مشخص میکند چه دستگاهی، توسط چه کاربری و تحت چه شرایطی اجازه ورود و دسترسی به شبکه را داشته باشد.
در این مقاله از ستاره امنیت بررسی میکنیم NAC چیست، چگونه کار میکند، چه مشکلاتی را برای سازمانها حل میکند و چرا استفاده از یک راهکار NAC سازمانی میتواند بخش مهمی از استراتژی امنیت شبکه باشد.
NAC چیست؟
NAC مخفف Network Access Control به معنای «کنترل دسترسی به شبکه» است.
راهکار NAC یک راهکار امنیتی برای کنترل دسترسی کاربران و تجهیزات به شبکه است. این راهکار میتواند هویت کاربر و دستگاه را بررسی کند، وضعیت امنیتی Endpoint را ارزیابی کند و بر اساس سیاستهای تعریفشده تصمیم بگیرد که دسترسی دستگاه مجاز باشد، محدود شود، به یک شبکه یا VLAN مشخص منتقل شود، قرنطینه شود، یا بهطور کامل مسدود شود.
به بیان ساده، NAC در نقطه ورود به شبکه این سؤال را مطرح میکند:
این دستگاه کیست، چه وضعیتی دارد و آیا طبق سیاست امنیتی سازمان اجازه ورود دارد؟
بنابراین NAC صرفاً یک سیستم احراز هویت نیست بلکه یک لایه سیاستگذاری و کنترل دسترسی است که میتواند وضعیت کاربر، دستگاه و شرایط اتصال را در تصمیمگیری امنیتی دخالت دهد.
NAC مخفف چیست؟
NAC از عبارت زیر گرفته شده است:
Network Access Control
یعنی:
کنترل دسترسی به شبکه
در برخی منابع قدیمیتر، عبارت Network Admission Control نیز برای NAC استفاده شده است؛ اما امروزه اصطلاح Network Access Control رایجتر است.
هدف اصلی NAC این است که سازمان بتواند دسترسی به شبکه را به جای یک مدل «هرکس وصل شد، دسترسی دارد»، بر اساس Policy و شرایط امنیتی مشخص مدیریت کند.
مقالات مرتبط: چه زمانی یک سازمان واقعاً به Cisco ISE نیاز پیدا میکند؟ بررسی شاخصهای الزام به پیادهسازی NAC
چرا سازمانها به NAC نیاز دارند؟
یکی از مشکلات مهم شبکههای سازمانی مدرن، افزایش تعداد و تنوع Endpointهاست.
در گذشته ممکن بود مدیر شبکه تقریباً بداند چه تعداد کامپیوتر به شبکه متصل هستند. اما امروز وضعیت کاملاً متفاوت است.
ممکن است همزمان موارد زیر به شبکه متصل باشند:
کامپیوترهای سازمانی
لپتاپهای کارکنان
گوشیهای موبایل
تجهیزات BYOD
پرینترها
دوربینهای تحت شبکه
تلفنهای IP
تجهیزات IoT
تجهیزات پیمانکاران
سیستمهای مهمان
تجهیزات سرور و دیتاسنتر
تجهیزات صنعتی و OT
مشکل اصلی فقط تعداد تجهیزات نیست، بلکه مسئله این است که همه این تجهیزات لزوماً وضعیت امنیتی یکسانی ندارند.
برای مثال ممکن است یک لپتاپ آنتیویروس فعال نداشته باشد، سیستمعامل آن بهروز نباشد، Patchهای امنیتی مهم روی آن نصب نشده باشد، توسط یک کاربر غیرمجاز استفاده شود یا از یک شبکه غیرمطمئن وارد سازمان شده باشد.
اگر چنین دستگاهی بدون کنترل وارد شبکه داخلی شود، میتواند به یک نقطه ورود برای تهدیدات امنیتی تبدیل شود.
NAC با ایجاد کنترل در نقطه اتصال، به سازمان کمک میکند قبل از اینکه یک Endpoint به منابع حساس دسترسی پیدا کند، وضعیت آن را بررسی و Policy مناسب را اعمال کند.
NAC چگونه کار میکند؟
فرآیند NAC را میتوان به چند مرحله اصلی تقسیم کرد:
1 . شناسایی دستگاه
در اولین مرحله، NAC تلاش میکند مشخص کند چه دستگاهی در حال اتصال به شبکه است.
اطلاعات مختلفی میتواند برای شناسایی و Profiling دستگاه مورد استفاده قرار گیرد؛ از جمله مشخصات دستگاه، نوع سیستمعامل، اطلاعات اتصال و سایر دادههای موجود در شبکه.
هدف این مرحله ایجاد Visibility روی Endpointهای شبکه است.
2 . شناسایی کاربر
در بسیاری از سناریوهای سازمانی، تنها دانستن اینکه «چه دستگاهی» متصل شده کافی نیست.
سازمان باید بداند چه کاربری با این دستگاه وارد شبکه شده است؟
برای مثال Policy مربوط به یک مدیر سازمان ممکن است با Policy مربوط به یک کاربر مهمان یا پیمانکار کاملاً متفاوت باشد.
به همین دلیل NAC میتواند اطلاعات هویتی کاربر را نیز در تصمیمگیری مربوط به دسترسی وارد کند.
3 . بررسی وضعیت امنیتی Endpoint
یکی از قابلیتهای مهم NAC، بررسی Security Posture یا وضعیت امنیتی دستگاه است.
در این مرحله بسته به راهکار و Policy سازمان میتوان مواردی مانند وضعیت نرمافزارهای امنیتی، سیستمعامل و سایر الزامات امنیتی را بررسی کرد.
این فرآیند را معمولاً Posture Assessment یا Posture Validation مینامند.
4 . تصمیمگیری بر اساس Policy
پس از جمعآوری اطلاعات، NAC آنها را با سیاستهای تعریفشده سازمان مقایسه میکند.
برای مثال:
اگر کاربر کارمند باشد + دستگاه سازمانی باشد + شرایط امنیتی مورد قبول باشد : دسترسی عادی
یا اگر دستگاه متعلق به مهمان باشد : دسترسی فقط به Internet
یا اگر Endpoint دارای وضعیت امنیتی نامطلوب باشد: انتقال به شبکه قرنطینه
این همان نقطهای است که NAC از یک ابزار صرفاً شناسایی به یک سیستم Policy Enforcement تبدیل میشود.
5 . اعمال سطح دسترسی
در نهایت، NAC میتواند بر اساس نتیجه Policy، سطح دسترسی مناسب را اعمال کند.
برای مثال:
Allow: دسترسی کامل مطابق Policy .
Restrict: دسترسی محدود به برخی منابع.
Quarantine: انتقال دستگاه به محیط یا VLAN قرنطینه.
Deny: جلوگیری از دسترسی به شبکه.
در معماریهای NAC، سیاست دسترسی میتواند با استفاده از سازوکارهایی مانند VLAN و ACL در زیرساخت شبکه اعمال شود.
یک مثال ساده از عملکرد NAC
فرض کنید یک کارمند با لپتاپ شخصی خود وارد ساختمان سازمان شده و میخواهد به Wi-Fi داخلی متصل شود.
بدون NAC ممکن است صرفاً با داشتن اطلاعات اتصال، امکان دسترسی به شبکه فراهم شود.
اما در یک معماری NAC میتوان این مراحل را اجرا کرد:
اتصال دستگاه
↓
شناسایی دستگاه و کاربر
↓
بررسی وضعیت امنیتی
↓
بررسی Policy سازمان
↓
تصمیمگیری
↓
اعمال سطح دسترسی
در نتیجه ممکن است سیستم تصمیم بگیرد این دستگاه کاربر مجاز است اما متعلق به سازمان نیست، بنابراین فقط به Internet و چند سرویس مشخص دسترسی داشته باشد.
در مقابل، اگر همان کاربر با لپتاپ سازمانی و مطابق با Policy امنیتی متصل شود، میتواند سطح دسترسی متفاوتی دریافت کند.
این قابلیت برای سازمانهایی که تعداد زیادی کاربر، Endpoint و نوع دسترسی دارند اهمیت زیادی دارد.
مهمترین قابلیتهای NAC
یک راهکار NAC سازمانی میتواند مجموعهای از قابلیتهای امنیتی و مدیریتی را در اختیار تیم IT و امنیت قرار دهد.
Network Visibility .1
یکی از اولین مزایای NAC، ایجاد دید بهتر نسبت به تجهیزات متصل به شبکه است.
مدیر شبکه باید بتواند پاسخ این سؤال را پیدا کند:
چه تجهیزاتی در حال حاضر به شبکه من متصل هستند؟
Visibility مناسب، پایه بسیاری از تصمیمات امنیتی است.
2 . Device Profiling
NAC میتواند برای شناسایی و دستهبندی تجهیزات متصل به شبکه استفاده شود.
برای مثال لپ تاپ، کامپیوتر، موبایل، پرینتر، دوربین ها، IP Phone، IoT Device و Guest Device. این دستهبندی به سازمان کمک میکند Policyهای متفاوتی برای گروههای مختلف تعریف کند.
3 . Authentication و Authorization
NAC میتواند در فرآیند احراز هویت و تعیین سطح دسترسی کاربران و دستگاهها نقش داشته باشد.
در بسیاری از معماریها، استاندارد IEEE 802.1X یکی از فناوریهای مهم برای کنترل دسترسی مبتنی بر پورت است.
اما نکته مهم این است که Authentication بهتنهایی کافی نیست.
احراز هویت میگوید: این کاربر کیست؟
اما NAC میتواند سؤال دیگری را نیز پاسخ دهد:
این کاربر با این دستگاه، تحت این شرایط، به کدام بخش شبکه دسترسی داشته باشد؟
4. کنترل دسترسی بر اساس Policy
یکی از مهمترین ارزشهای NAC برای سازمانها، امکان تعریف Policyهای متمرکز است.
برای مثال سازمان میتواند سیاستهایی مانند موارد زیر داشته باشد:
| نوع کاربر/دستگاه | سطح دسترسی |
| کاربر سازمانی + دستگاه سازمانی | دسترسی سازمانی |
| کاربر مهمان | Internet Only |
| پیمانکار | دسترسی محدود |
| IoT | فقط سرویسهای موردنیاز |
| دستگاه غیرمجاز | Block |
| Endpoint ناسازگار با Policy | Quarantine |
این مدل باعث میشود کنترل دسترسی از حالت دستی و پراکنده خارج شود و به یک فرآیند Policy-Based تبدیل شود.
5. قرنطینه تجهیزات ناامن
فرض کنید یک دستگاه به شبکه متصل شده اما شرایط امنیتی مورد انتظار سازمان را ندارد.
در چنین شرایطی، یکی از راهکارها این است که دستگاه کاملاً به شبکه راه پیدا نکند یا به یک محیط محدود منتقل شود.
NAC میتواند دستگاههای Non-Compliant را مسدود، محدود یا قرنطینه کند تا ریسک آنها برای سایر بخشهای شبکه کاهش پیدا کند.
این قابلیت بهخصوص در سناریوهایی که تعداد Endpointها زیاد است اهمیت بالایی دارد.
NAC چه تفاوتی با فایروال دارد؟
این یکی از سؤالهای مهم مدیران شبکه است.
NAC جایگزین Firewall نیست. فایروال عمدتاً برای کنترل و فیلتر کردن ترافیک شبکه بر اساس Ruleهای امنیتی استفاده میشود. اما NAC بیشتر روی این سؤال تمرکز دارد:
چه کسی و چه دستگاهی اصلاً اجازه حضور و دسترسی به شبکه را دارد؟
به بیان ساده:
Firewall برای کنترل ترافیک است و NAC برای کنترل دسترسی به شبکه
این دو راهکار میتوانند در کنار یکدیگر استفاده شوند.
NAC چه تفاوتی با EDR دارد؟
EDR روی Endpoint تمرکز دارد و برای شناسایی و تحلیل رفتارهای مشکوک، تهدیدات و فعالیتهای امنیتی روی سیستمهای Endpoint استفاده میشود.
NAC در نقطه اتصال Endpoint به شبکه، روی هویت، دسترسی و وضعیت اتصال تمرکز دارد.
بنابراین این دو فناوری نیز رقیب مستقیم یکدیگر نیستند.
یک معماری امنیتی میتواند از هر دو استفاده کند:
EDR : محافظت و پایش Endpoint
NAC : کنترل دسترسی Endpoint به شبکه
و در معماریهای پیشرفتهتر، اطلاعات این سیستمها میتواند در تصمیمگیری امنیتی با یکدیگر ترکیب شود.
NAC و معماری Zero Trust
یکی از دلایل اهمیت بیشتر NAC در معماریهای امنیتی مدرن، ارتباط آن با رویکرد Zero Trust است.
در مدل Zero Trust، صرفاً قرار گرفتن یک دستگاه در شبکه داخلی به معنی قابلاعتماد بودن آن نیست.
اصل مهم این است: Verify Explicitly، یعنی دسترسی باید بر اساس اطلاعات و شرایط واقعی کاربر و دستگاه بررسی شود.
مایکروسافت نیز در راهنمای Zero Trust خود بر احراز هویت و مجوزدهی صریح، Least Privilege و محدود کردن دامنه دسترسی تأکید میکند.
NAC میتواند در این مدل بهعنوان یکی از لایههای Enforcement عمل کند، یعنی هنگام اتصال دستگاه، اطلاعات لازم برای تصمیمگیری دسترسی را بررسی و Policy مناسب را اعمال کند.
NAC و کاهش Lateral Movement
یکی از اهداف مهم مهاجمان پس از نفوذ اولیه، حرکت در شبکه و دسترسی به سیستمهای دیگر است.
اگر یک Endpoint آلوده بتواند بدون محدودیت با بخشهای مختلف شبکه ارتباط برقرار کند، احتمال گسترش حمله افزایش پیدا میکند.
در معماریهای امنیتی مدرن، Segmentation و Least Privilege برای کاهش این ریسک اهمیت زیادی دارند.
NAC میتواند با اعمال Policyهای مبتنی بر هویت، دستگاه و نوع دسترسی، به اجرای این مدل کمک کند.
برای مثال:
دوربین : فقط دسترسی به سرور مدیریت دوربین
Guest : فقط Internet
Printer : فقط سرویسهای موردنیاز
کاربر واحد مالی : فقط منابع مجاز واحد مالی
این مدل باعث میشود حتی در صورت compromise شدن یک دستگاه، دامنه دسترسی آن محدودتر باشد.
NAC برای چه سازمانهایی ضروریتر است؟
اگر سازمان شما یکی از شرایط زیر را دارد، NAC میتواند ارزش بسیار بالایی ایجاد کند:
سازمانهای بزرگ: هرچه تعداد کاربران و Endpointها افزایش پیدا کند، مدیریت دستی دسترسی دشوارتر میشود.
سازمانهای دولتی : در محیطهایی که کنترل دسترسی، تفکیک کاربران و حفاظت از اطلاعات حساس اهمیت بالایی دارد، NAC میتواند یک لایه مهم امنیتی باشد.
بانکها و مؤسسات مالی: در شبکههای حساس مالی، کنترل دقیق تجهیزات و کاربران اهمیت زیادی دارد.
شرکتهای دارای شعب متعدد: NAC میتواند به ایجاد Policyهای متمرکز و استاندارد در نقاط مختلف سازمان کمک کند.
سازمانهای دارای تجهیزات IoT: تجهیزات IoT معمولاً شرایط متفاوتی نسبت به کامپیوترهای معمولی دارند و نیازمند Policyهای اختصاصی هستند.
سازمانهایی با تعداد زیاد پیمانکار و مهمان: Guest و Contractor Access یکی از سناریوهای رایج NAC است.
مزایای NAC برای مدیران IT و امنیت
برای مدیران، ارزش NAC را میتوان در چند محور اصلی خلاصه کرد:
کاهش ریسک امنیتی: دسترسی تجهیزات غیرمجاز یا ناسازگار با Policy محدود میشود.
افزایش Visibility: تیم IT دید بهتری نسبت به تجهیزات متصل به شبکه پیدا میکند.
کنترل متمرکز: Policyهای دسترسی میتوانند به شکل متمرکز مدیریت شوند.
کاهش وابستگی به فرآیندهای دستی: بهجای اینکه تیم شبکه برای هر دستگاه بهصورت دستی تصمیمگیری کند، بسیاری از تصمیمات بر اساس Policy انجام میشوند.
مدیریت بهتر Guest و BYOD: دسترسی کاربران غیرسازمانی میتواند از دسترسی کاربران داخلی تفکیک شود.
پشتیبانی از Zero Trust : میتواند بخشی از معماری کنترل دسترسی مبتنی بر هویت و وضعیت دستگاه باشد.
مقالات مرتبط: CISCO ISE چیست و چه کمکی به سازمان شما می کند؟
هنگام انتخاب یک راهکار NAC به چه نکاتی توجه کنیم؟
انتخاب NAC صرفاً بر اساس نام برند یا تعداد قابلیتها نباید انجام شود.
قبل از خرید لایسنس NAC بهتر است سازمان این موارد را بررسی کند:
تعداد Endpointهای سازمان، کاربران و شعب
نوع تجهیزات شبکه
پشتیبانی از تجهیزات موجود
پشتیبانی از 802.1X
قابلیت Device Profiling
قابلیت Guest Management
قابلیت BYOD
Posture Assessment
امکان تعریف Policyهای متنوع
قابلیت Quarantine
امکان Integration با سایر راهکارهای امنیتی
قابلیت گزارشگیری
Scalability
معماری High Availability
مدل Licensing
کیفیت پشتیبانی و خدمات پیادهسازی
به عبارت دیگر، NAC باید با معماری واقعی شبکه سازمان هماهنگ باشد؛ نه اینکه صرفاً بهعنوان یک محصول امنیتی دیگر خریداری شود.
چرا NAC باید بخشی از استراتژی امنیت شبکه سازمان باشد؟
امنیت شبکه دیگر صرفاً به معنی قرار دادن یک Firewall در مرز شبکه نیست.
امروزه سازمان باید بتواند در سطح Endpoint نیز کنترل داشته باشد.
سؤالهایی مانند:
چه کسی وصل شده؟
با چه دستگاهی وصل شده؟
دستگاه متعلق به چه گروهی است؟
آیا وضعیت امنیتی آن قابل قبول است؟
به کدام منابع نیاز دارد؟
آیا واقعاً باید به کل شبکه دسترسی داشته باشد؟
باید پاسخ مشخص داشته باشند.
NAC دقیقاً در همین نقطه ارزش خود را نشان میدهد.
این فناوری میتواند شکاف میان هویت کاربر، وضعیت دستگاه و دسترسی شبکه را تا حد زیادی پوشش دهد.
چرا پیادهسازی NAC بدون برنامهریزی کافی نیست؟
پیادهسازی NAC یک پروژه صرفاً نرمافزاری نیست.
NAC با زیرساخت شبکه، Switchها، Access Pointها، سرویسهای احراز هویت، Directory، Endpointها و Policyهای امنیتی سازمان در ارتباط است.
به همین دلیل قبل از خرید و استقرار باید یک طراحی دقیق انجام شود.
بهخصوص در سازمانهای بزرگ، فعالسازی ناگهانی Policyهای سختگیرانه میتواند باعث قطع دسترسی تجهیزات ضروری شود.
بهترین رویکرد این است که ابتدا:
Discovery → Profiling → Policy Design → Pilot → Enforcement
انجام شود.
یعنی ابتدا تجهیزات و کاربران شناسایی شوند، سپس Policyها طراحی و در یک محیط کنترلشده آزمایش شوند و در نهایت Enforcement گسترده انجام شود.
لایسنس NAC| چرا انتخاب راهکار مناسب اهمیت دارد؟
وقتی صحبت از NAC در سازمان میشود، مسئله فقط خرید یک نرمافزار نیست.
سازمان در واقع در حال ایجاد یک لایه کنترلی مهم در زیرساخت شبکه است.
بنابراین هنگام خرید لایسنس باید علاوه بر قابلیتهای محصول، مواردی مانند تعداد Endpoint، مدل استقرار، قابلیت توسعه، امکانات مدیریتی، Integration با زیرساخت موجود و سطح پشتیبانی نیز بررسی شود.
انتخاب درست باعث میشود NAC به یک ابزار مؤثر برای کنترل دسترسی، افزایش Visibility و کاهش ریسک شبکه تبدیل شود؛ نه یک سیستم پیچیده که صرفاً هزینه نگهداری به سازمان تحمیل کند.
جمعبندی: آیا سازمان شما به NAC نیاز دارد؟
اگر شبکه سازمان شما تعداد زیادی کاربر، Endpoint، تجهیزات IoT، مهمان، پیمانکار یا شعب مختلف دارد، کنترل دستی دسترسی دیگر راهکار مناسبی نیست.
NAC به سازمان کمک میکند بداند چه کسی و چه دستگاهی به شبکه متصل است، وضعیت آن چیست و بر اساس Policy چه سطحی از دسترسی باید دریافت کند.
از کنترل دسترسی و احراز هویت گرفته تا Device Profiling، Posture Assessment، Guest Management، Quarantine و Segmentation، NAC میتواند نقش مهمی در ایجاد یک شبکه کنترلشدهتر و امنتر داشته باشد.
برای سازمانهایی که به دنبال ارتقای سطح امنیت شبکه و پیادهسازی یک معماری کنترل دسترسی متمرکز هستند، انتخاب یک راهکار NAC سازمانی مناسب میتواند یکی از اقدامات مهم در مسیر افزایش امنیت و کاهش سطح حمله باشد.
راهکار NAC آیس برای سازمان شما
اگر سازمان شما به دنبال پیادهسازی Network Access Control، مدیریت متمرکز دسترسی کاربران و تجهیزات و افزایش کنترل روی Endpointهای متصل به شبکه است، میتوانید برای بررسی نیازمندیهای سازمان، انتخاب مدل مناسب و دریافت لایسنس آیس با کارشناسان مجموعه ستاره امنیت تماس بگیرید.
پیش از خرید لایسنس، معماری شبکه و تعداد Endpointهای سازمان بررسی میشود تا راهکار متناسب با نیاز واقعی مجموعه انتخاب شود.
