নেটওয়ার্ক সিকিউরিটিতে Authorization (অনুমোদন): উদ্দেশ্য, প্রক্রিয়া ও বেস্ট প্র্যাকটিস
Authorization (অনুমোদন) কী?
Authorization হলো অথেনটিকেশন (Authentication) এর পরের ধাপ — এটি নির্ধারণ করে যে **অথেনটিকেটেড ইউজার/সিস্টেম কী রিসোর্সে কী অপারেশন পারফর্ম করতে পারবে**। সংক্ষেপে: "Who can do What on Which Resource?"
Authorization-এর উদ্দেশ্য (Purpose)
- Least Privilege Enforcement: ইউজারকে শুধু তার কাজের জন্য দরকারি মিনিমাম পারমিশন দেয়া।
- Data Confidentiality & Integrity: সেনসিটিভ ডেটা (PII, PHI, IP) শুধু অনুমোদিত রোল/পার্সোনা এক্সেস করবে।
- Separation of Duties (SoD): ক্রিটিক্যাল অপারেশন (যেমন: ফায়ারওয়াল রুল চেঞ্জ + অডিট) একই ব্যক্তি করবে না।
- Compliance & Auditability: কে কী এক্সেস করেছে, কেন, কখন — ট্রেসেবল রাখা (SOX, HIPAA, GDPR, PCI-DSS)য়।
- Attack Surface Reduction: কমপ্রোমাইজড একাউন্টের ব্লাস্ট রেডিয়াস (Blast Radius) সীমাবদ্ধ করা।
Authentication vs Authorization vs Accounting (AAA Framework)
| কম্পোনেন্ট | প্রশ্ন | উদাহরণ |
|---|---|---|
| Authentication (AuthN) | তুমি কে? (Who are you?) | Username/Password, MFA, Certificate, Biometrics |
| Authorization (AuthZ) | তুমি কী করতে পারো? (What can you do?) | RBAC Role, ACL, Policy (OPA/Rego), File Permissions |
| Accounting (Audit) | তুমি কী করলে? (What did you do?) | SIEM Logs, Session Recording, Audit Trail, NetFlow |
নোট: Authorization **শুধু Authentication সফল হয়ার পরই** হয়। AuthN ছাড়া AuthZ সম্ভব নয়।
Authorization মডেল ও আর্কিটেকচার
- RBAC (Role-Based Access Control): Job Function → Role → Permissions। (AWS IAM Roles, Azure RBAC, Kubernetes RBAC)য়।
- ABAC (Attribute-Based Access Control): User Attr + Resource Attr + Environment Attr → Policy Decision (OPA, XACML, AWS IAM Conditions)য়।
- PBAC (Policy-Based Access Control): সেন্ট্রালাইজড পলিসি ইঞ্জিন (OPA/Gatekeeper, AWS Verified Permissions, Google Zanzibar-স্টাইল)য়।
- ReBAC (Relationship-Based Access Control): User-Resource Relationship (Google Drive Sharing, Facebook Friends) — Graph-based।
নেটওয়ার্ক ডিভাইসগুলোর Authorization (CLI Privilege Levels)
- Cisco IOS/IOS-XE: Privilege Level 0-15 (Level 1 = User EXEC, Level 15 = Privileged EXEC)। Custom Privilege Levels দিয়ে Role-based CLI Access।
- AAA Authorization (TACACS+/RADIUS): `aaa authorization commands 15 default group tacacs+ local` — প্রতিটি কমান্ড রান করার আগে TACACS+ সার্ভার থেকে অথোরাইজেশন চেক।
- Role-Based CLI Access (Parser Views): View-ভিত্তিক কমান্ড রস্ট্রিকশন (Network Operator View, Security Auditor View)য়।
মডার্ন Authorization আর্কিটেকচার (Zero Trust / Cloud-Native)
- Policy Decision Point (PDP) / Policy Enforcement Point (PEP): OPA (Open Policy Agent) + Gatekeeper (K8s), AWS Verified Permissions, Azure Authorization, Google IAM Conditions।
- Continuous Authorization: Static RBAC নয়, রিয়েল-টাইম রিস্ক স্কোর (Device Health, Location, Behavior) ভিত্তে ডাইনামিক অ্যাক্সেস ডিসিশন।
- Just-in-Time (JIT) Access: Standing Privilege না, অনুরোধ-ভিত্তে টেম্পোরারি এলিভেটেড অ্যাক্সেস (PIM/PAM: Azure PIM, CyberArk, HashiCorp Boundary)য়।
Authorization ফেইলার কেস স্টাডিজ
- Capital One (2019): Misconfigured WAF Role (Over-permissioned IAM Role) → SSRF → S3 Data Exfiltration।
- Uber (2016): Hardcoded Credentials + Excessive Permissions → GitHub → AWS S3 → 57M Records Breach।
- SolarWinds (2020): Build System Compromise → Signed Malicious Update → Customer Networks → Over-privileged Service Accounts।
বেস্ট প্র্যাকটিস
- Default Deny: এক্সপ্লিসিট অ্যালো ছাড়া সব ডেনাই।
- Least Privilege + Just-in-Time: Standing Admin Access 없애기।
- Attribute-Based (ABAC) for Dynamic Context: Location, Device, Time, Risk Score।
- Centralized Policy Management: OPA/Rego, Cedar, AWS VP — GitOps-managed Policies।
- Quarterly Access Reviews: Manager Attestation, Automated Recertification Campaigns।
- Segregation of Duties (SoD) Matrix: Conflicting Roles (Dev vs Prod Deploy, Approver vs Executor) ব্লক।
