Seguridad de red: control de acceso
El control de acceso a la red es un método para mejorar la seguridad de una red organizacional privada al restringir la disponibilidad de los recursos de la red a los dispositivos terminales que cumplen con la política de seguridad de la organización. Un esquema de control de acceso a la red típico consta de dos componentes principales, como el acceso restringido y la protección de límites de red.
El acceso restringido a los dispositivos de red se logra a través de la autenticación de usuarios y el control de autorización que es responsable de identificar y autenticar a diferentes usuarios en el sistema de red. La autorización es el proceso de otorgar o denegar permisos de acceso específicos a un recurso protegido.
Network Boundary Protectioncontrola la conectividad lógica dentro y fuera de las redes. Por ejemplo, se pueden implementar varios cortafuegos para evitar el acceso no autorizado a los sistemas de red. También se pueden implementar tecnologías de prevención y detección de intrusiones para defenderse de los ataques de Internet.
En este capítulo, discutiremos los métodos para la identificación y autenticación de usuarios para el acceso a la red, seguidos por varios tipos de firewalls y sistemas de detección de intrusos.
Asegurar el acceso a los dispositivos de red
Restringir el acceso a los dispositivos en la red es un paso muy esencial para proteger una red. Dado que los dispositivos de red forman parte de los equipos de comunicación y de computación, comprometerlos puede potencialmente hacer caer una red completa y sus recursos.
Paradójicamente, muchas organizaciones garantizan una seguridad excelente para sus servidores y aplicaciones, pero dejan los dispositivos de red de comunicación con una seguridad rudimentaria.
Un aspecto importante de la seguridad de los dispositivos de red es el control y la autorización de acceso. Se han desarrollado muchos protocolos para abordar estos dos requisitos y mejorar la seguridad de la red a niveles más altos.
Autenticación y autorización de usuarios
La autenticación de usuario es necesaria para controlar el acceso a los sistemas de red, en particular a los dispositivos de infraestructura de red. La autenticación tiene dos aspectos: autenticación de acceso general y autorización funcional.
La autenticación de acceso general es el método para controlar si un usuario en particular tiene "algún" tipo de derecho de acceso al sistema al que está intentando conectarse. Por lo general, este tipo de acceso está asociado con el usuario que tiene una "cuenta" con ese sistema. La autorización se ocupa de los "derechos" de los usuarios individuales. Por ejemplo, decide qué puede hacer un usuario una vez autenticado; el usuario puede estar autorizado para configurar el dispositivo o solo ver los datos.
La autenticación del usuario depende de factores que incluyen algo que él sabe (contraseña), algo que tiene (token criptográfico) o algo que es (biométrico). El uso de más de un factor para la identificación y autenticación proporciona la base para la autenticación multifactor.
Autenticación basada en contraseña
Como mínimo, todos los dispositivos de red deben tener autenticación de nombre de usuario y contraseña. La contraseña no debe ser trivial (al menos 10 caracteres, alfabetos mixtos, números y símbolos).
En caso de acceso remoto por parte del usuario, se debe utilizar un método para garantizar que los nombres de usuario y las contraseñas no se pasen de forma clara a través de la red. Además, las contraseñas también deben cambiarse con una frecuencia razonable.
Métodos de autenticación centralizados
El sistema de autenticación basado en dispositivos individuales proporciona una medida básica de control de acceso. Sin embargo, un método de autenticación centralizado se considera más efectivo y eficiente cuando la red tiene una gran cantidad de dispositivos con una gran cantidad de usuarios que acceden a estos dispositivos.
Tradicionalmente, la autenticación centralizada se utilizaba para resolver los problemas que se enfrentaban en el acceso a la red remota. En los sistemas de acceso remoto (RAS), la administración de usuarios en los dispositivos de red no es práctica. Colocar toda la información del usuario en todos los dispositivos y luego mantener esa información actualizada es una pesadilla administrativa.
Los sistemas de autenticación centralizados, como RADIUS y Kerberos, resuelven este problema. Estos métodos centralizados permiten almacenar y administrar la información del usuario en un solo lugar. Por lo general, estos sistemas se pueden integrar sin problemas con otros esquemas de administración de cuentas de usuario, como Active Directory de Microsoft o directorios LDAP. La mayoría de los servidores RADIUS pueden comunicarse con otros dispositivos de red en el protocolo RADIUS normal y luego acceder de forma segura a la información de la cuenta almacenada en los directorios.
Por ejemplo, el servidor de autenticación de Internet (IAS) de Microsoft conecta RADIUS y Active Directory para proporcionar autenticación centralizada para los usuarios de los dispositivos. También asegura que la información de la cuenta de usuario esté unificada con las cuentas de dominio de Microsoft. El diagrama anterior muestra un controlador de dominio de Windows que funciona como servidor de Active Directory y como servidor RADIUS para que los elementos de red se autentiquen en un dominio de Active Directory.
Listas de control de acceso
Muchos dispositivos de red se pueden configurar con listas de acceso. Estas listas definen nombres de host o direcciones IP que están autorizadas para acceder al dispositivo. Es típico, por ejemplo, restringir el acceso a los equipos de red desde las IP, excepto para el administrador de la red.
Esto protegería entonces contra cualquier tipo de acceso que pudiera no estar autorizado. Estos tipos de listas de acceso sirven como una última defensa importante y pueden ser bastante poderosos en algunos dispositivos con diferentes reglas para diferentes protocolos de acceso.