নেটওয়ার্ক সিকিউরিটিতে অ্যাক্সেস কন্ট্রোল: ধাপ, মডেল ও বেস্ট প্র্যাকটিস
অ্যাক্সেস কন্ট্রোল হলো নেটওয়ার্ক সিকিউরিটির কোর কম্পোনেন্ট—এটি নিশ্চিত করে যে সঠিক ব্যক্তি/সিস্টেমই সঠিক রিসোর্সে সঠিক সময়ে অ্যাক্সেস পাচ্ছে।
অ্যাক্সেস কন্ট্রোলের ৫টি মূল ফেজ (AAA Framework)
- Identification (شناخت): ইউজার দাবি করে যে সে কে (username, email, certificate)।
- Authentication (প্রমাণীকরণ): দাবি যাচাই করা (Password, MFA, Biometrics, Smart Card, OTP)।
- Authorization (অনুমোদন): অথেনটিকেটেড ইউজারকে কী করার অনুমতি আছে (RBAC, ABAC, ACL)।
- Access/Accounting (অ্যাক্সেস/অ্যাকাউন্টিং): এক্টুয়াল অ্যাক্সেস দেওয়া ও সব কার্যকলাপ লগ করা।
- Auditing (অডিটিং): লগ রিভিউ, কমপ্লায়েন্স চেক, অস্বাভাবিক বিহেভিয়ার ডিটেকশন।
৩টি প্রধান অ্যাক্সেস কন্ট্রোল মডেল
| মডেল | পূর্ণরূপ | বর্ণনা | ব্যবহার ক্ষেত্র |
|---|---|---|---|
| DAC | Discretionary Access Control | রিসোর্সের মালিক ঠিক করে কে অ্যাক্সেস পাবে (File permissions, chmod) | ফাইল সিস্টেম, সহযোগিতামূলক পরিবেশ |
| MAC | Mandatory Access Control | সিস্টেম/সিকিউরিটি পলিসি নিয়ম দিয়ে অ্যাক্সেস কন্ট্রোল (Security labels: Top Secret, Confidential) | সামরিক, সরকারি, হাই-সিকিউরিটি পরিবেশ |
| RBAC | Role-Based Access Control | রোল (Job Function) অনুযায়ী পারমিশন (Admin, Analyst, Auditor) | এন্টারপ্রাইজ, ক্লাউড (AWS IAM, Azure RBAC), SaaS |
অতিরিক্ত মডেল: ABAC & RuBAC
- ABAC (Attribute-Based Access Control): ইউজার, রিসোর্স, এনভায়রনমেন্টের অ্যাট্রিবিউট (লোকেশন, টাইম, ডিভাইস টাইপ) বেসড ডাইনামিক ডিসিশন।
- RuBAC (Rule-Based Access Control): নেটওয়ার্ক ডিভাইসের ACL রুল (IP, Port, Protocol) বেসড ফিল্টারিং।
অ্যাক্সেস কন্ট্রোলের ৪টি কোর কম্পোনেন্ট
- Subject (User/Process): কে অ্যাক্সেস চাইছে (User, Service Account, API Client)।
- Object (Resource): কী অ্যাক্সেস চাইছে (File, DB, API, Network Segment)।
- Action (Operation): কী করবে (Read, Write, Execute, Delete, Configure)।
- Policy/Rule: কোন কন্ডিশনে অ্যাক্সেস গ্রান্ট/ডেনাই হবে।
নেটওয়ার্ক অ্যাক্সেস কন্ট্রোল (NAC) কেন দরকার?
- BYOD/IoT ডিভাইস অটো ডিটেক্ট ও কোয়ারান্টাইন।
- গেস্ট নেটওয়ার্ক আইসোলেশন।
- কমপ্লায়েন্স এনফোর্সমেন্ট (প্যাচ স্ট্যাটাস, এন্টিভাইরাস আপডেটেড কিনা)।
- প্রিভিলেজ এস্ক্যালেশন রোধ।
RBAC vs ACL: কী ভিন্নতা?
- ACL (Access Control List): লো-লেভেল, রিসোর্স-সেন্ট্রিক, ইউজার/গ্রুপ স্পেসিফিক। ফায়ারওয়াল রুল, ফাইল পারমিশনে ব্যবহৃত।
- RBAC: হাই-লেভেল, রোল-সেন্ট্রিক, স্কেলেবল। হাজার হাজার ইউজার ম্যানেজমেন্ট সহজ।
বেশিরভাগ এন্টারপ্রাইজে RBAC + ACL কম্বিনেশন ব্যবহার হয়।
বেস্ট প্র্যাকটিস
- Least Privilege Principle: শুধু দরকারি পারমিশন দিন।
- Separation of Duties: ক্রিটিক্যাল টাস্ক একই ব্যক্তি করবে না।
- MFA বাধ্যতামূলক করুন (প্রশাসনিক একাউন্টের জন্য অবশ্যই)।
- রেগুলার অ্যাক্সেস রিভিউ (Quarterly/Annual)।
- Just-in-Time (JIT) Access: টেম্পোরারি এলিভেটেড প্রিভিলেজ।
- সেন্ট্রালাইজড আইডেন্টিটি ম্যানেজমেন্ট (IAM/IdP)।
