Uwierzytelnianie, autoryzacja i rozliczalność

Struktura AAA jest podstawą kontroli dostępu w całym środowisku. Uwierzytelnianie pyta „kim Państwo są?”, autoryzacja — „co mogą Państwo zrobić?”, a rozliczanie — „co Państwo zrobili?”.

Uwierzytelnianie potwierdza, że są Państwo osobą, za którą się podają — na podstawie czegoś, co Państwo znają, posiadają lub czym są. Połączenie dwóch z tych elementów to MFA, które powstrzymuje większość ataków z użyciem skradzionych haseł.

Popularne metody obejmują rozwiązania od słabych do silnych: hasła, certyfikaty na kartach inteligentnych, bilety Kerberos w Active Directory oraz RADIUS do dostępu do sieci i VPN.

Autoryzacja następuje po zalogowaniu i określa, do czego można uzyskać dostęp. Złota zasada to najmniejsze uprawnienia: należy przyznać każdej osobie wyłącznie minimalny dostęp potrzebny do pracy.

Trzy modele określają, kto otrzymuje dostęp: DAC pozwala właścicielom udostępniać zasoby, MAC wymusza stosowanie etykiet i poziomów uprawnień, a RBAC przypisuje uprawnienia do ról, ułatwiając skalowanie.

Rozliczanie rejestruje działania użytkowników, dzięki czemu można przypisać je konkretnej osobie. To niezaprzeczalność — gdy dzienniki potwierdzają działanie, nie można się go wyprzeć.

Dwa protokoły zapewniają AAA w sieciach. RADIUS korzysta z UDP i jest standardem w sieciach Wi-Fi oraz VPN. TACACS+ korzysta z TCP i szyfruje wszystko — świetnie sprawdza się przy administrowaniu urządzeniami.

Single Sign-On (SSO) pozwala zalogować się raz i uzyskać dostęp do wielu systemów. Ogranicza zmęczenie hasłami i opiera się na zaufaniu między dostawcą tożsamości a każdą aplikacją.

Niezaprzeczalność oznacza, że nie można wyprzeć się wykonanego działania. Łączy uwierzytelnianie (kto) z rozliczaniem (co), a podpisy cyfrowe dodatkowo je zabezpieczają.

Dobre dzienniki muszą być kompletne, odporne na niezauważalne modyfikacje i zsynchronizowane czasowo za pomocą NTP, aby zdarzenia z różnych systemów można było ze sobą zestawić. Należy przechowywać je wystarczająco długo na potrzeby przyszłych dochodzeń.

AAA stanowi podstawę Network Access Control: gdy urządzenie dołącza do sieci, serwer RADIUS je uwierzytelnia, umieszcza we właściwej sieci VLAN, a każda próba dostępu jest rejestrowana.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

Krótkie podsumowanie: uwierzytelnianie potwierdza tożsamość, autoryzacja określa zakres działań, a rozliczanie rejestruje wszystkie czynności. Następnie: niezaprzeczalność i kontrole bezpieczeństwa.