#نکته_ریزه_در_امنیت
تقویت امنیت احراز هویت MAB در شبکه‌های سازمانی مبتنی بر Cisco ISE
در معماری‌های شبکه سازمانی که از Cisco ISE (Identity Services Engine) برای کنترل دسترسی استفاده می‌کنند، روش MAB – MAC Authentication Bypass اغلب برای تجهیزاتی به کار می‌رود که از احراز هویت 802.1X پشتیبانی نمی‌کنند؛ مانند چاپگرها، تلفن‌های IP یا تجهیزات IoT. این مکانیزم به سوئیچ اجازه می‌دهد با استفاده از آدرس MAC دستگاه، احراز هویت اولیه را انجام دهد. هرچند MAB ساده و سازگار با تجهیزات قدیمی است، اما ذاتاً ضعف امنیتی مهمی دارد: آدرس MAC را می‌توان به‌آسانی جعل (Spoof) کرد و مهاجم می‌تواند با تقلید MAC دستگاه مجاز، دسترسی غیرمجاز به شبکه به‌دست آورد. این مسئله به‌ویژه در لایه دسترسی (Access Layer) خطرناک است، زیرا مهاجم مستقیماً به شبکه داخلی متصل می‌شود و ممکن است به منابع حساس دسترسی پیدا کند.
برای کنترل این ریسک، باید MAB در کنار چندین لایه حفاظتی استفاده شود. نخستین اقدام، فعال‌سازی Device Profiling در ISE است تا نوع واقعی دستگاه بر اساس ویژگی‌های شبکه‌ای (DHCP، SNMP، LLDP Fingerprint) شناسایی شود و از ورود دستگاه‌های جعل‌شده جلوگیری گردد. سپس، تخصیص VLAN محدود (Restricted VLAN) برای همه دستگاه‌های MAB باعث می‌شود حتی در صورت حمله، دسترسی مهاجم به حداقل برسد. در سطح سوئیچ نیز باید از Port Security با تنظیم پارامترهایی مانند Sticky MAC و Maximum 1 MAC per Port استفاده کرد تا ورود MAC جدید غیرمجاز موجب غیرفعال شدن پورت شود.
افزون‌بر این، اجرای زمان‌بندی Re-authentication، محدود کردن مدت اعتبار نشست‌ها، و به‌کارگیری Cisco TrustSec SGT Tagging برای تفکیک منطقی جریان‌های ترافیکی موجب کاهش سطح حمله و افزایش قابلیت کنترل می‌شود. ترکیب این ابزارها موجب می‌شود MAB- با وجود سادگی و ضعف ذاتی در برابر Spoofing-به روشی امن‌تر و قابل اعتماد برای شبکه‌های بزرگ تبدیل گردد.
متخصص کسی است که چالش را حل میکند. متخصص امنیت کسی است که برای دنیای پرچالش امنیت راهکارهای مقرون به صرفه در راستای بیزنس و قانون دارد ( بخشی از درس CISSP)
تقویت امنیت احراز هویت MAB در شبکه‌های سازمانی مبتنی بر Cisco ISE
در معماری‌های شبکه سازمانی که از Cisco ISE (Identity Services Engine) برای کنترل دسترسی استفاده می‌کنند، روش MAB – MAC Authentication Bypass اغلب برای تجهیزاتی به کار می‌رود که از احراز هویت 802.1X پشتیبانی نمی‌کنند؛ مانند چاپگرها، تلفن‌های IP یا تجهیزات IoT. این مکانیزم به سوئیچ اجازه می‌دهد با استفاده از آدرس MAC دستگاه، احراز هویت اولیه را انجام دهد. هرچند MAB ساده و سازگار با تجهیزات قدیمی است، اما ذاتاً ضعف امنیتی مهمی دارد: آدرس MAC را می‌توان به‌آسانی جعل (Spoof) کرد و مهاجم می‌تواند با تقلید MAC دستگاه مجاز، دسترسی غیرمجاز به شبکه به‌دست آورد. این مسئله به‌ویژه در لایه دسترسی (Access Layer) خطرناک است، زیرا مهاجم مستقیماً به شبکه داخلی متصل می‌شود و ممکن است به منابع حساس دسترسی پیدا کند.
برای کنترل این ریسک، باید MAB در کنار چندین لایه حفاظتی استفاده شود. نخستین اقدام، فعال‌سازی Device Profiling در ISE است تا نوع واقعی دستگاه بر اساس ویژگی‌های شبکه‌ای (DHCP، SNMP، LLDP Fingerprint) شناسایی شود و از ورود دستگاه‌های جعل‌شده جلوگیری گردد. سپس، تخصیص VLAN محدود (Restricted VLAN) برای همه دستگاه‌های MAB باعث می‌شود حتی در صورت حمله، دسترسی مهاجم به حداقل برسد. در سطح سوئیچ نیز باید از Port Security با تنظیم پارامترهایی مانند Sticky MAC و Maximum 1 MAC per Port استفاده کرد تا ورود MAC جدید غیرمجاز موجب غیرفعال شدن پورت شود.
افزون‌بر این، اجرای زمان‌بندی Re-authentication، محدود کردن مدت اعتبار نشست‌ها، و به‌کارگیری Cisco TrustSec SGT Tagging برای تفکیک منطقی جریان‌های ترافیکی موجب کاهش سطح حمله و افزایش قابلیت کنترل می‌شود. ترکیب این ابزارها موجب می‌شود MAB- با وجود سادگی و ضعف ذاتی در برابر Spoofing-به روشی امن‌تر و قابل اعتماد برای شبکه‌های بزرگ تبدیل گردد.
متخصص کسی است که چالش را حل میکند. متخصص امنیت کسی است که برای دنیای پرچالش امنیت راهکارهای مقرون به صرفه در راستای بیزنس و قانون دارد ( بخشی از درس CISSP)
Comments
Be the first to add a comment
Log in to comment