Transcript فايل آقاي محمديان

‫به نام خدا‬
Hadi Mohammadian:
• Karnama Rayaneh Network & Security
Technical Manager
• B.Sc in Computer Hardware Engineering
• M.Sc in Computer Architecture
• CCIE Routing & Switching (350-001)
• CCIE Security (350-018)
• Cyberoam Certified Network & Security
Expert (CCNSE)
• Cyberoam Certified Network & Security
Professional (CCNSP)
‫کنترل دسترس ی به شبکه‬
‫)‪(NAC‬‬
‫رئوس مطالب‪:‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫چرا به ‪ NAC‬فکر می کنیم ؟‬
‫تعریف ‪ NAC‬چیست ؟‬
‫چهار مولفه اصلی تشکیل دهنده ‪ NAC‬کدامند ؟‬
‫چه معماری هایی برای ‪ NAC‬وجود دارند ؟‬
‫رابطه ‪ NAC‬و دورکاری‬
‫مدیریت امنیت به سمت کاربران در حرکت است‬
‫‪ ‬نگرانی های امنیتی موجود در گذشته‪:‬‬
‫‪ .1‬بستن راه های نفود بر اساس آدرس ‪ IP‬و یا یک سرویس خاص روی دیواره آتش‬
‫‪ .2‬ایجاد ارتباط امن از راه دور از طریق ‪IPSec VPN‬‬
‫‪ ‬نگرانی های امنیتی آینده‪:‬‬
‫‪ .1‬تعیین سیاست های امنیتی بر اساس اینکه چه افرادی و از کجا سعی در برقراری‬
‫ارتباط نموده اند‬
‫‪ .2‬ایجاد راهکارهای دسترس ی از راه دور بطوری که تمرکز بر روی کاربران باشد نه شبکه‬
‫همانطور که مشخص است راهکارهای امنیتی محیطی نمی‬
‫توانند برای همیشه کارساز باشند‬
‫ساخت دوباره محیط دفاعی‬
‫دفاع بصورت عمیق‬
‫‪‬مشخص نمودن هویت و سطح‬
‫دسترس ی تمام کاربران‬
‫‪‬استفاده از ‪( NAC‬کنترل دسترس ی به‬
‫شبکه) در ‪LAN‬‬
‫‪‬پیاده سازی ‪ VLAN‬برای‬
‫جداسازی ترافیک کاربران‬
‫‪‬استفاده از ‪ NAC‬روی ‪ VPN‬برای کنترل‬
‫کاربران خارج شبکه‬
‫‪‬استفاده از رمزنگاری در سراسر شبکه‬
‫‪‬یافتن و از میان بردن تهدیدات برای‬
‫برقراری یکپارچگی شبکه‬
‫‪‬اعمال سیاست های امنیتی در نقاط‬
‫پایانی (‪)End-Points‬‬
‫ساخت دوباره محیط دفاعی یعنی ایجاد محیط های دفاعی‬
‫مجازی‬
‫وجود یک حفره در سرویس‬
‫های قابل دسترس ی از بیرون‬
‫می تواند یک تهدید جدی‬
‫محسوب شود‬
‫‪SSL VPN‬‬
‫‪mail‬‬
‫‪dns‬‬
‫‪web‬‬
‫‪IPsec VPN‬‬
‫استفاده از ‪ VPN‬به ایجاد محیط مجازی‬
‫برای دفاع کمک می کند‬
‫می‬
‫‪ NAC‬یک محیط دفاعی در اطراف شبکه ایجاد‬
‫کند‬
‫در نقاط دسترس ی (‪،wired ،wireless‬‬
‫‪ )SSL VPN ،IPSec‬از ‪ NAC‬می‬
‫توان استفاده کرد‬
‫‪SSL VPN‬‬
‫شما چه کس ی هستید ؟‬
‫چه اطالعاتی در مورد شما وجود دارد ؟‬
‫‪7‬‬
‫آیا سیستم شما با سیاست های امنیتی سازمان تطابق دارد ؟‬
‫تعریف ‪NAC‬‬
‫‪ ‬کنترل دسترس ی به شبکه با تمرکز بر روی کاربر و شرایط آن‬
‫دیواره آتش و کنترل دسترس ی‬
‫‪ ‬با وجود اینکه کنترل دسترس ی بر عهده دیواره آتش است‪ ،‬تفاوت آن با ‪ NAC‬در نوع‬
‫تصمیم گیری است‬
‫شما اجازه دسترس ی‬
‫ندارید‬
‫اینترنت‬
‫‪9‬‬
‫‪ NAC‬یک دیواره آتش با تفاوت های زیر است‬
‫‪ ‬ویژگی های یک دیواره آتش‪:‬‬
‫‪ .1‬تصمیم گیری بر اساس ‪ IP‬و ‪( Port‬و در برخی موارد نام کاربری)‬
‫‪ .2‬موقعیت قرارگیری‪ :‬بین دو شبکه‬
‫‪ ‬ویژگی های ‪:NAC‬‬
‫‪ .1‬تصمیم گیری بر اساس نام کاربری‪ ،‬گروه‪ ،‬روش دسترس ی‪ ،‬موقعیت امنیتی دستگاهی‬
‫که تقاضای دسترس ی نموده است‬
‫‪ .2‬موقعیت قرارگیری‪ :‬بین کاربر و شبکه‬
‫دیدی که از ‪ NAC‬وجود دارد‬
‫اینترنت‬
‫‪‬‬
‫‪‬‬
‫شبکه سازمان‬
‫‪‬‬
‫‪11‬‬
‫‪ NAC‬دارای چهار مولفه است‬
‫‪ ‬تعیین هویت کاربر‬
‫کاربران پیش از دسترس ی به شبکه‬
‫تعیین هویت می شوند‬
‫اطالعات محیطی در تغییر دسترس ی و یا از بین بردن ضعف‬
‫ها موثرند‬
‫‪ ‬استفاده از اطالعات محیطی به عنوان بخش ی از سیاست های تصمیم گیری‬
‫کاربر از کجا آمده ؟‬
‫درخواست دسترس ی در چه زمانی‬
‫انجام شده ؟‬
‫دستگاه کاربر در چه وضعیت امنیتی‬
‫ای قرار دارد ؟‬
‫کنترل های دسترس ی (‪ )Access Controls‬قابلیت ها را تعریف‬
‫کرده و کاربر را محدود می نمایند‬
‫‪ ‬کنترل استفاده از منابع شبکه بر اساس سیاست های امنیتی و وضعیت کاربر‬
‫اجازه و یا رد درخواست دسترس ی‬
‫قرار دادن کاربر در ‪ VLAN‬مربوطه‬
‫بصورت پویا بر اساس هویت شناسایی‬
‫شده‬
‫مرتبط نمودن کاربر با منابع دیگر برای از‬
‫بین بردن ضعف ها‬
‫اعمال ‪ACL‬های گوناگون بصورت پویا‬
‫مدیریت در ‪NAC‬‬
‫‪ ‬مدیریت سیاست های ‪ NAC‬یکی از بخش های با اهمیت در آن است که در بسیاری‬
‫از پیاده سازی ها فراموش می شود‬
‫مدیریت سیاست ها و گزارش گیری‬
‫محصوالت ‪ NAC‬زیادی در بازار موجودند ولی‪...‬‬
‫برخی از آنها یک معماری خوب را معرفی می نمایند‬
‫در معماری زیر از واژگان ‪ IETF‬استفاده شده است‪ .‬سیسکو‪ ،‬مایکروسافت و‬
‫‪ TCG/TNC‬واژگانی معادل دارند‪.‬‬
‫کالینت‬
‫سرور‬
‫جمع آوری‬
‫وضعیت‬
‫تائید یا رد‬
‫وضعیت امنیتی‬
‫تعیین سطوح‬
‫دسترس ی‬
‫نقطه اجرای‬
‫سیاست ها‬
‫درخواست دسترس ی‬
‫به شبکه‬
‫کالینت‬
‫سرور‬
‫جمع آوری‬
‫وضعیت‬
‫تائید یا رد‬
‫وضعیت امنیتی‬
‫تعیین سطوح‬
‫دسترس ی‬
‫نقطه اجرای سیاست ها‬
‫یکی از اجزای شبکه که سیاست ها را اجرا می‬
‫کند‬
‫نقطه اجرای‬
‫سیاست ها‬
‫درخواست دسترس ی‬
‫به شبکه‬
‫‪Microsoft‬‬
‫‪NAP‬‬
‫‪TCG TNC‬‬
‫‪Cisco NAC‬‬
‫‪NAP‬‬
‫‪Enforcement‬‬
‫‪Server‬‬
‫‪Policy‬‬
‫‪Enforcement‬‬
‫‪Point‬‬
‫‪Network‬‬
‫‪Access‬‬
‫‪Device‬‬
‫جمع کننده وضعیت‪:‬‬
‫یک نرم افزار که بر روی‬
‫دستگاه کاربر اجرا شده و‬
‫به جمع آوری اطالعات‬
‫برنامه ها و وضعیت‬
‫امنیتی سیستم می پردازد‪.‬‬
‫برای مثال‪ :‬آیا آنتی‬
‫ویروس فعال و به روز‬
‫است یا نه ؟‬
‫درخواست کننده‬
‫دسترس ی به شبکه‪:‬‬
‫کاربر را به شبکه متصل‬
‫می کند‪ ،‬مثل متقاض ی‬
‫‪802.1x‬‬
‫تعیین هویت کاربر را‬
‫انجام داده‪ ،‬و رابط‬
‫انتقال اطالعات جمع‬
‫آوری شده است‬
‫‪Microsoft NAP‬‬
‫‪TCG TNC‬‬
‫‪Cisco NAC‬‬
‫‪System‬‬
‫‪Health‬‬
‫‪Agent‬‬
‫‪Integrity‬‬
‫‪Measurement‬‬
‫‪Collector‬‬
‫‪Posture Plug-in‬‬
‫‪Apps‬‬
‫‪NAP‬‬
‫‪Enforcement‬‬
‫‪Client‬‬
‫‪Network Access‬‬
‫‪Requestor‬‬
‫‪Cisco‬‬
‫‪Trust‬‬
‫‪Agent‬‬
‫تائید یا رد وضعیت امنیتی‪:‬‬
‫اطالعات مربوط به وضعیت سیستم‬
‫را از جمع کننده وضعیت دریافت‬
‫کرده و آن را با سیاست های‬
‫سازمان مقایسه می نماید‪.‬‬
‫تعیین سطح دسترس ی‪:‬‬
‫تائید هویت را انجام داده و سپس‬
‫سیاست را به نقطه اعمال سیاست‬
‫ها منتقل می کند‪.‬‬
‫‪Microsoft NAP‬‬
‫‪TCG TNC‬‬
‫‪Cisco NAC‬‬
‫‪System‬‬
‫‪Health Validator‬‬
‫‪Integrity‬‬
‫‪Measurement‬‬
‫‪Verifier‬‬
‫‪Policy‬‬
‫‪Vendor Server‬‬
‫‪Network‬‬
‫‪Policy‬‬
‫‪Server‬‬
‫‪Network Access‬‬
‫‪Authority‬‬
‫‪Access Control‬‬
‫‪Server‬‬
‫عمل تعیین هویت به چه صورتی انجام می شود ؟‬
The Internet

Corporate Net
‫سه انتخاب برای انجام این کار وجود‬
:‫دارد‬
802.1X 
Web-based Authentication 
Proprietary Client 
NAC Policy
Server
‫‪ 802.1x‬بهترین و امن ترین روش است‬
‫‪Internet‬‬
‫‪‬‬
‫‪‬‬
‫‪Corporate Net‬‬
‫‪‬‬
‫‪‬‬
‫‪NAC Policy‬‬
‫‪Server‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪ ‬کاربر به سوئیچ و یا ‪ AP‬متصل می شود‬
‫‪ ‬سوئیچ یا ‪ AP‬از طریق ‪ EAP‬هویت را درخواست می نماید‬
‫‪ ‬کاربر از طریق سرور سیاست گذاری مرکزی تعیین هویت می شود‬
‫‪ ‬اگر تعیین هویت موفقیت آمیز باشد‪ ،‬سرور سیاست گذاری‪ ،‬دستگاهی که در لبه‬
‫ارتباط با کاربر قرار دارد را وادار به ارائه دسترس ی مناسب به کاربر می کند‬
‫معرفی‬
‫‪ IEEE 802.1x ‬به منظور فراهم کردن شناسایی و ارائه اختیارات و امکانات در‬
‫شبکه های مبتنی بر استاندارد ‪ IEEE 802‬شامل شبکه های محلی ‪ LAN‬و‬
‫شبکه های محلی بی سیم ‪ Wireless LAN‬پدید آمده است‬
‫‪ ‬در اینجا منظور از شناسایی‪ ،‬روند استخراج و تصدیق هویت کاربری است که‬
‫سرویس خاص ی را از شبکه در خواست می کند‬
‫‪ ‬در حال حاضر ‪ 802.1X‬قویترین راهکار برای شناسایی کاربران در شبکه ها می‬
‫باشد‬
‫احراز هویت ‪ 802.1x‬از سه قسمت تشکیل شده است‬
‫ً‬
‫‪ ‬درخواست کننده ی اتصال که معموال نرم افزاری در کامپیوتر سرویس گیرنده است‬
‫‪ ‬احرازکننده ی هویت که در شبکه های اترنت سوئیچ ها و در شبکه های محلی بی‬
‫سیم همان نقاط دسترس ی)‪ (Access Point‬هستند‬
‫‪ ‬سرویس دهنده ی احراز هویت که همان سرور سرویس دهنده ی ‪ RADIUS‬است‬
‫مراحل احراز هویت‬
Supplicant
Authenticator
Authentication Server
EAPOL-Start
EAP-Request/Identity
EAPResponse/Identity
EAP-Request/OTP
EAP-Response/OTP
EAP-Success
RADIUS Access-Request
RADIUS Access-Challenge
RADIUS AccessRequest
RADIUS Access-Accept
Port Authorized
EAPOL-Logoff
Port unauthorized
‫‪Credential‬هایی که در ‪ IEEE 802.1x‬مورد‬
‫استفاده قرار می گیرد‬
Authentication ‫قبل از‬
‫‪ Authentication‬به صورت کامل انجام شده است‬
‫ ناموفق‬Authentication
‫خالصه ویژگی ها‬
‫‪ ‬شناسایی هویت کاربر پیش از اجازه دسترس ی به شبکه سازمان‬
‫‪ ‬جلوگیری کامل از دسترس ی های غیر مجاز به شبکه سازمان (‪ Block‬کردن کامل پورت)‬
‫‪ ‬استفاده از نام کاربری و رمز عبور و یا ‪ Certificate‬برای شناسایی هویت‬
‫‪ ‬امکان استفاده از ‪( Dynamic VLan‬قرارگیری در ‪ VLan‬با توجه به هویت کاربر‪ ،‬نه‬
‫موقعیت فیزیکی)‬
‫‪ ‬امکان استفاده از ‪Dynamic ACL‬‬
‫‪ ‬اعمال سیاست های دسترس ی گوناگون با توجه به سطح کاربر شناسایی شده‬
‫‪ ‬قرار دادن کاربران شناسایی نشده در ‪ VLan‬مهمان و یا ‪ Block‬کردن آنها‬
‫تعیین هویت از طریق ‪ Web‬بسیار ساده است‬
‫‪Internet‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪NAC Policy‬‬
‫‪Server‬‬
‫‪Corporate Net‬‬
‫‪‬‬
‫‪ ‬کاربر به شبکه وصل شده و ‪ IP‬دریافت می نماید‬
‫‪ ‬کاربر مرورگر خود را باز کرده و نام کاربری و رمزعبور خود را وارد می کند‬
‫‪ ‬کاربر از طریق سرور سیاست گذاری مرکزی تعیین هویت می شود‬
‫‪ ‬اگر تعیین هویت موفقیت آمیز باشد‪ ،‬سرور سیاست گذاری‪ ،‬دستگاهی که در لبه‬
‫ارتباط با کاربر قرار دارد را وادار به ارائه دسترس ی مناسب به کاربر می کند‬
‫‪ NAC‬و دورکاری‬
‫‪VPN‬‬
‫‪Concentrator‬‬
‫‪‬‬
‫‪Internet‬‬
‫‪Corporate Net‬‬
‫‪‬‬
‫‪Remote User‬‬
‫‪NAC Policy‬‬
‫‪Server‬‬
‫‪ ‬کاربر از طریق اینترنت به دستگاه ‪VPN‬متصل می شود‬
‫‪ ‬از طریق مرورگر و یا ‪ Agent‬نام کاربری و رمزعبور خور را وارد می کند‬
‫‪ ‬کاربر از طریق سرور سیاست گذاری مرکزی تعیین هویت می شود‬
‫‪ ‬اگر تعیین هویت موفقیت آمیز باشد‪ ،‬سرور سیاست گذاری‪ ،‬دستگاه ‪ VPN‬که در‬
‫لبه ارتباط با کاربر قرار دارد را وادار به ارائه دسترس ی مناسب به کاربر می کند‬
‫اطالعات محیطی می تواند موارد گوناگونی را شامل شود‬
‫‪ ‬روش دسترس ی (‪)VPN ،Wireless ،Wired‬‬
‫‪ ‬زمان دسترس ی (و محدودیت های زمانی اعمال شده برای دسترس ی)‬
‫‪ ‬سیستم عامل کاربر (‪)... Mac ،Windows‬‬
‫‪ ‬روش تعیین هویت ( ‪)Certificate ،MAC ،user/pass‬‬
‫‪ ‬آیا وضعیت دستگاه با سیاست های امنیتی سازمان تطابق دارد‪:‬‬
‫‪.1‬‬
‫‪.2‬‬
‫‪.3‬‬
‫‪.4‬‬
‫فعال و یا غیر فعال بودن ابزارهای امنیتی (‪)...A/S ،A/V‬‬
‫به روز بودن ابزارهای امنیتی (‪)...A/S ،A/V‬‬
‫به روز بودن سیستم عامل (نصب ‪Patch‬ها و ‪)...‬‬
‫وضعیت مناسب بعد از اسکن آسیب پذیری ها‬
‫‪ ‬عدم تطابق وضعیت دستگاه با سیاست های امنیتی سازمان باعث رد دسترس ی و قرار‬
‫گرفتن دستگاه در وضعیت قرنطینه می شود‬
‫خالصه ویژگی ها‪:‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫‪‬‬
‫شناسایی هویت کاربر پیش از اجازه دسترس ی به شبکه‬
‫امکان استفاده از ‪Dynamic VLan‬‬
‫امکان استفاده از ‪Dynamic ACLs‬‬
‫اعمال سیاست های دسترس ی گوناگون با توجه به سطح کاربر شناسایی شده‬
‫قرار دادن کاربران شناسایی نشده در ‪ VLan‬مهمان و یا ‪ Block‬کردن آنها‬
‫جلوگیری از گسترش تهدیدات کاربران و دستگاه های غیرمجاز در شبکه شما‬
‫اعمال سیاست های امنیتی سازمان روی تمامی کاربران و دستگاه هایی که خواستار‬
‫دسترس ی به شبکه هستند‬
‫بهره جویی از داشته های امنیتی موجود مانند برنامه های آنتی ویروس ‪ ,‬ضد جاسوس‬
‫افزارها و مدیریت وصله های امنیتی و دیگر برنامه های امنیتی سازگار با ‪ NAC‬به‬
‫طوری که کاربران ناگزیر به استفاده از این برنامه ها در آخرین وضعیت بروز رسانی‬
‫می شوند‬
‫با تشکر‬