Как да поемем контрол върху мрежовата инфраструктура. Глава трета. Мрежова сигурност. Част трета

Тази статия е петата в серия статии "Как да поемем контрол върху мрежовата инфраструктура". Съдържанието на всички статии в серията и линковете можете да намерите тук..

Тази част ще бъде посветена на сегментите Campus (Офис) и VPN за отдалечен достъп.

Може да изглежда, че проектирането на офисна мрежа е просто.

Наистина, взимаме L2/L3 комутатори, свързваме ги помежду си. След това извършваме елементарна настройка на VLAN, подразбиращи шлюзове, изграждаме прост рутинг, свързваме WiFi контролери, точки за достъп, инсталираме и настройваме ASA за отдалечен достъп, радваме се, че всичко работи. Всъщност, както вече писах в една от предишните статии части на тази серия, да проектираме и настроим офисна мрежа така, че "поне да работи", може почти всеки студент, прослушал (и усвоил) два семестъра курс по телекомуникации.

Но колкото повече научавате, толкова по-малко проста започва да изглежда тази задача. Лично за мен тази тема, темата за проектиране на офисна мрежа, изобщо не изглежда проста, и в тази статия ще се опитам да обясня защо.

Накратко, трябва да вземете предвид доста фактори. Често тези фактори са в противоречие един с друг и се налага да търсите разумен компромис.
Тази несигурност е основната трудност. Така, говорейки за сигурност, имаме триъгълник с три върха: сигурност, удобство за служителите, цена на решението.
И всеки път трябва да търсите компромис между тези три.

Архитектура

Като пример за архитектура за тези два сегмента, както и в предишните статии, препоръчвам Cisco SAFE модел: Enterprise Campus, Enterprise Internet Edge.

Тези документи са малко остарели. Представям ги тук, защото принципите и подходът не са се променили, но изложението ми харесва повече, отколкото в новата документация.

Не призовавайки ви да използвате конкретно решения на Cisco, все пак считам, че е полезно да разгледате внимателно този дизайн.

Тази статия, както обикновено, не претендира за изчерпателност и е по-скоро допълнение към тази информация.

В края на статията ще анализираме дизайна на Cisco SAFE за офиса от гледна точка на концепциите, изложени тук.

Общи принципи

Дизайн на офисната мрежа, разбира се, трябва да отговаря на общите изисквания, които бяха разгледани тук. в глава „Критерии за оценка качеството на дизайна“. Освен цената и безопасността, които смятаме да обсъдим в тази статия, остават още три критерия, които трябва да вземем предвид при проектирането (или при извършване на промени):

• мащабируемост (scalability)
• удобство в управлението (managability)
• достъпност (availability)

Много от нещата, които бяха обсъдени за на данни центрове също важат и за офиса.

Но все пак офисният сегмент има своя специфика, която по отношение на безопасността е критична. Същността на тази специфика е, че този сегмент се създава за предоставяне на мрежови услуги на служителите (както и на партньори и гости) на компанията и, следователно, на най-високото ниво на разглеждане на въпросите имаме две задачи:

• да защитим ресурсите на компанията от злонамерени действия, които могат да произтичат от служители (гости, партньори) и от софтуера, който те използват. Това включва също така защита от несанкциониран достъп до мрежата.
• да защитим системите и данните на самите потребители

И това е само една страна на проблема (или по-точно една върха на триъгълника). От другата страна - удобството за потребителя и цената на прилаганите решения.

Нека започнем с разглеждане на това, какво потребителят очаква от съвременната офисна мрежа.

Удобства

Ето как според мен изглеждат „мрежовите удобства“ за офис потребителя:

• Мобилност
• Възможност за използване на целия спектър от познати устройства и операционни системи
• Лесен достъп до всички необходими ресурси на компанията
• Достъпност на интернет ресурсите, включително и на различни облачни услуги
• „Бърза работа“ на мрежата

Всичко това важи както за служителите, така и за гостите (или партньорите) и това вече е задача на инженерите на компанията на база на авторизация да разделят достъпа за различни групи потребители.

Нека разгледаме по-подробно всеки от тези аспекти.

Мобилност

Става въпрос за възможността да се работи и ползват всички необходими ресурси на компанията от всяка точка на света (разбира се, където има интернет).

Това важи и за офиса. Удобно е, когато от всяка точка на офиса можете да продължите да работите, например, да получавате имейли, да комуникирате в корпоративния мессенджър, да бъдете на разполагане за видео разговори… По този начин можете, от една страна, да решавате някои въпроси чрез "живото" общуване (например, да участвате в срещи), а от друга страна, да сте винаги онлайн, да сте в течение и бързо да решавате някои спешни, високоприоритетни задачи. Това е изключително удобно и наистина подобрява качеството на комуникацията.

Това се постига с правилното проектиране на WiFi мрежата.

Бележка

Тук обикновено възниква въпросът, достатъчно ли е да се използва само WiFi? Значи ли това, че можем да се откажем от Ethernet портовете в офиса? Ако става въпрос само за потребители, а не за сървъри, които все пак е разумно да се свързват с обикновен Ethernet порт, то в общи линии отговорът е: да, може да се ограничи само до WiFi. Но има нюанси.

Има важни групи потребители, за които е необходим отделен подход. Това, разбира се, са администраторите. По принцип, WiFi свързането е по-малко надеждно (от гледна точка на загуба на трафик) и по-бавно от обикновения Ethernet порт. Това може да е съществено за администраторите. Освен това, мрежовите администратори например, принципно могат да имат собствена отделна Ethernet мрежа за out-of-band свързване.

Възможно е във вашата компания да има и други групи/отдели, за които тези фактори също са важни.

Има и още един важен момент – телефонията. Възможно е поради някакви причини да не искате да ползвате Wireless VoIP и искате да използвате IP телефони с обикновено Ethernet свързване.

В общи линии, в компаниите, в които съм работил аз, обикновено имаше възможност както за WiFi свързване, така и за Ethernet порт.

Бих искал мобилността да не е ограничена само до офиса.

За да се осигури възможност за работа от вкъщи (или от всяко друго място с достъпен интернет), се използва VPN свързване. При това, е желателно служителите да не усещат разлика между работата от вкъщи и дистанционната работа, което предполага наличието на същите достъпи. Как да го организираме ще обсъдим по-късно в главата "Единна централизирана система за удостоверяване и авторизация".

Бележка

Малко вероятно е да успеете да предоставите същото качество на услугите за дистанционна работа, каквото имате в офиса. Да предположим, че използвате Cisco ASA 5520 като VPN шлюз. Според data sheet това устройство е в състояние да обработва само 225 Mbps VPN трафик. Тоест, разбира се, що се отнася до капацитета, VPN свързаността значително се различава от работата в офиса. Освен това, ако по какви-то причини забавянето, загубите или джитъра (например, ако искате да използвате офисната IP телефония) са съществени за вашите мрежови услуги, също няма да получите същото качество, както ако сте в офиса. Затова, когато говорим за мобилност, трябва да помним за възможните ограничения.

Лесен достъп до всички ресурсите на компанията

Тази задача трябва да бъде решена в сътрудничество с другите технически отдели.
Идеалната ситуация е, когато потребителят трябва да се автентикира само веднъж и след това получава достъп до всички необходими ресурси.
Предоставянето на лесен достъп, без да се жертва сигурността, може да повиши ефективността на работата и да намали нивото на стреса при вашите колеги.

Забележка 1

Удобството на достъпа не е само въпрос на това, колко пъти трябва да въвеждате паролата си. Например, ако съгласно вашата политика за сигурност е необходимо първо да се свържете със VPN шлюз, за да получите достъп до датacentра, и при това губите достъп до офисните ресурси, то това също е много неудобно.

Забележка 2

Съществуват услуги (например, достъп до мрежово оборудване), където обикновено имаме свои отделни AAA сървъри и е нормално в този случай да се автентикираме няколко пъти.

Достъпност на интернет ресурсите

Интернет — това не е само развлечение, но и набор от услуги, който може да бъде доста полезен за работа. Има и чисто психологически фактори. Съвременният човек е свързан с много хора чрез интернет и, по мое мнение, няма нищо лошо, ако той продължава да чувства тази връзка дори по време на работа.

От гледна точка на загубата на време, не е страшно, ако служителят например използва Skype и ако е необходимо, похарчи 5 минути да разговаря с близък човек.

Означава ли това, че интернетът винаги трябва да е достъпен? Означава ли това, че служителите могат да получават достъп до всички ресурси и да не се контролира по никакъв начин?

Не, не означава, разбира се. Нивото на отвореност на интернет може да бъде различно за различните компании – от пълна затвореност до пълна отвореност. Начините за контрол на трафика ще обсъдим по-късно в разделите, посветени на средствата за защита.

Възможност за ползване на целия спектър от познати устройства

Удобно е, когато, например, имате възможност да продължите да ползвате всички познати средства за комуникация и на работа. Няма техническа сложност да се реализира това. За целта е необходим WiFi и гостов VLAN.

Също така е добре, ако имате възможност да ползвате операционната система, с която сте свикнали. Но, по моите наблюдения, обикновено това е позволено само на мениджьори, администратори и разработчици.

Пример

Може, разбира се, да се тръгне по пътя на забраните – да се забрани отдалечен достъп, да се забрани свързването с мобилни устройства, да се ограничи всичко до статични Ethernet връзки, да се ограничи достъпа до интернет, задължително да се отнемат мобилни телефони и електронни устройства на входа… и по този път наистина следват някои организации с повишени изисквания за сигурност, и може би в някои случаи това може да бъде оправдано, но… съгласете се, че това изглежда като опит да се спре прогресът в определена организация. Разбира се, би било хубаво да се съчетаят възможностите, които предлагат съвременните технологии, с достатъчно ниво на безопасност.

„Бърза работа“ на мрежата

Скоростта на предаване на данни технически се състои от много фактори. И скоростта на вашия порт за свързване обикновено не е най-важният от тях. Не винаги бавната работа на приложението е свързана с мрежови проблеми, но сега ни интересува само мрежовата част. Най-честата причина за "забавянето" на работата на локалната мрежа е свързана с загубата на пакети. Това обикновено се случва при наличието на „бутилечно гърло“ или при проблеми на L1 (OSI). По-рядко, при някои дизайни, (например, когато в качеството на шлюзове по подразбиране в вашите подсетки действат защитни стени и, така, целият трафик преминава през тях), може да липсва производителност на оборудването.

Следователно, при избора на оборудването и архитектурата трябва да съотнесете скоростите на крайния порт, транковете и производителността на оборудването.

Пример

Да предположим, че използвате комутатори с 1-гигабитни портове като комутатори на ниво достъп. Те са свързани помежду си чрез Etherchannel 2 x 10 гигабита. Като умолчание използвате стенд за защита с гигабитни портове, за свързването му към L2 мрежата на офиса използвате 2 гигабитни порта, обединени в Etherchannel.

Тази архитектура е доста удобна от гледна точка на функционалността, тъй като целият трафик преминава през стенда, и можете удобно да управлявате политиките за достъп и да прилагате сложни алгоритми за контрол на трафика и предотвратяване на възможни атаки (вижте по-долу), но от гледна точка на пропускателната способност и производителността този дизайн, разбира се, носи потенциални проблеми. Например, 2 хоста, сваляйки данни (с скорост на порта от 1 гигабит), могат напълно да натоварят 2-гигабитното свързване към стенда и по този начин да доведат до деградация на услугата за цялото офисно сегмент.

Разгледахме една върха на триъгълника, сега нека да видим как можем да осигурим безопасност.

Методи за защита

И така, обикновено нашето желание (или по-точно, желанието на нашето ръководство) е да постигнем невъзможното, а именно, да предоставим максимално удобство при максимална защита и минимална цена.

Нека да разгледаме какви методи имаме за предоставяне на защита.

За офиса бих выделил следните:

• подход без доверие в дизайна
• високо ниво на защита
• виждане на мрежата
• единна централизирана система за аутентификация и авторизация
• проверка на хост (host checking)

Нека се спрем малко по-подробно на всеки от тези аспекти.

Zero Trust

IT светът се променя много бързо. Само през последните 10 години появата на нови технологии и продукти доведе до сериозен преглед на концепциите за сигурност. Още преди десет години от гледна точка на сигурността подразделяхме мрежата на доверени, DMZ и недоверени зони, и се прилагаха така наречените "периметрални защити", където имаше 2 линии на отбрана: недоверена -> DMZ и DMZ -> доверена. Също така защитата обикновено беше ограничена до списъци за достъп на основата на L3/L4 (OSI) заглавия (IP, TCP/UDP портове, TCP флагове). Всички, свързани с по-високи нива, включително и L7, бяха оставени на операционната система и защитни продукти, инсталирани на крайни хостове.

Сега ситуацията се е променяла коренно. Съвременната концепция нулево доверие изхожда от това, че вече не е възможно да се считат вътрешните, тоест находещите се вътре в периметъра, системи за надеждни, а самата концепция за периметър стана размита.
Освен свързването към интернет, ние също имаме

• отдалечен достъп VPN на потребителите
• различни лични устройства, донесени лаптопи, свързващи се през офисния WiFi
• други (филиал) офиси
• интеграцията с облачна инфраструктура

Как изглежда подходът Zero Trust на практика?

Идеално, разрешен трябва да бъде само този трафик, който е необходим и, ако говорим за идеал, контролът трябва да бъде не само на ниво L3/L4, но и на ниво приложение.

Ако, например, имате възможност да пропуснете целия трафик през защитната стена, можете да се опитате да се доближите до идеала. Но такъв подход може значително да намалее общата пропускателна способност на вашата мрежа, а и филтрацията по приложение не винаги работи добре.

При контрола на трафика на рутер или L3 комутатор (използване на стандартни ACL) се сблъсквате с други проблеми:

• това е само L3/L4 филтрация. Нищо не пречи на злонамеренец да използва разрешените портове (например, TCP 80) за своето приложение (не http)
• сложен мениджмънт на ACL (трудно е да се анализират ACL)
• това не е statefull защитна стена, тоест трябва да разрешите явно обратния трафик
• в случай на комутатори обикновено сте доста строго ограничени от размера на TCAM, което в случай на прилагане на подхода "да разрешите само това, което е необходимо" може бързо да стане проблем

Бележка

Говорейки за обратния трафик, трябва да помним, че имаме следната възможност (Cisco)

permit tcp any any established

Но трябва да се разбере, че тази редица е равносилна на две редици:
разреши tcp всеки всеки ack
разреши tcp всеки всеки rst

Което означава, че дори и да няма оригинален TCP сегмент с флаг SYN (т.е. TCP сесията дори не е започнала да се установява), този ACL ще пропусне пакета с флага ACK, което може да бъде използвано от злонамерен човек за предаване на данни.

Т.е. тази редица по никакъв начин не превръща вашия рутер или L3 комутатор в stateful фаервол.

Високо ниво на защита

В статии в раздела, посветен на дата центровете, разгледахме следните методи за защита.

• stateful firewalling (по подразбиране)
• защита от ddos/dos
• приложен фаервол
• предотвратяване на заплахи (антивирус, анти-шпионски софтуер и уязвимост)
• филтриране на URL
• филтриране на данни (филтриране на съдържание)
• блокиране на файлове (блокиране на типове файлове)

В случай на офис ситуацията е подобна, но приоритетите са малко по-различни. Достъпността на офиса (availabilty) обикновено не е толкова критична, колкото в случай на дата център, докато вероятността от "вътрешен" злонамерен трафик е много по-висока.
Затова следващите методи за защита за този сегмент стават критични:

• приложен фаервол
• предотвратяване на заплахи (антивирус, анти-шпионски софтуер и уязвимост)
• филтриране на URL
• филтриране на данни (филтриране на съдържание)
• блокиране на файлове (блокиране на типове файлове)

Въпреки че всичките тези методи за защита, с изключение на приложния фаервол, традиционно са се и продължават да се решават на крайни хостове (например инсталация на антивирусни програми) и с помощта на проксита, съвременните NGFW също осигуряват тези услуги.

Доставчиците на защитно оборудване се стремят да създадат комплексна защита, затова наред с защитата на локалната кутия, се предлагат различни облачни технологии и клиентски софтуер за хостове (end point protection/EPP). Например, от Магическия квадрант на Гартнер (Gartner Magic Quadrant) за 2018 година виждаме, че Palo Alto и Cisco имат свои EPP (PA: Traps, Cisco: AMP), но не са сред лидерите.

Активирането на тези защити (обикновено чрез закупуване на лицензи) на фаервола, разбира се, не е задължително (можете да последвате традиционния път), но дава някои предимства:

• в този случай има единна точка за прилагане на методите за защита, което подобрява видимостта (вижте следващата тема).
• ако в мрежата ви се е оказало незащитено устройство, то все пак попада под "зонтика" на защитата на фаервола.
• Използвайки защитите на фаервола заедно с защитата на крайни хостове, увеличаваме вероятността за откриване на зловреден трафик. Например, използването на предотвратяване на заплахи на локалните хостове и на фаервола увеличава вероятността за откриване (при условие, разбира се, че основата на тези решения са различни софтуерни продукти).

Бележка

Ако, например, като антивирусна защита на фаервола и на крайни хостове използвате Kaspersky, очевидно това не повишава значително шансовете ви да предотвратите вирусна атака в мрежата си.

Мрежова видимост

Основната идея е проста – "да виждаме" какво се случва в мрежата ви, както в реално време, така и исторически данни.

Бих разделил това "виждане" на две групи:

Група първа: това, което обикновено ви предоставя вашата система за мониторинг.

• натоварване на оборудването
• натоварване на каналите
• използване на паметта
• използване на дисковете
• промяна на таблицата за маршрутизиране
• състояние на линковете
• достъпност на оборудването (или хостовете)
• …

Група втора: информация, свързана с безопасността.

• различни видове статистика (например, за приложения, за посещаемост на URL, какви видове данни са били изтегляни, данни за потребителите)
• какво е било блокирано от политиките за безопасност и по каква причина, а именно
  • забранено приложение
  • забранено на база ip/protocol/port/flags/zones
  • предотвратяване на заплахи
  • филтриране на url
  • филтриране на данни
  • блокиране на файлове
  • …
• статистика за DOS/DDOS атаки
• неуспешни опити за идентификация и авторизация
• статистика за всички по-горе споменати събития на нарушение на политиките за безопасност
• …

В тази глава, посветена на безопасността, ни интересува именно втората част.

Някои съвременни фаерволи (от моя опит Palo Alto) предоставят добро ниво на видимост. Но, разбира се, трафикът, който ви интересува, трябва да премине през този фаервол (в този случай имате възможност да блокирате трафика) или да бъде отразен на фаервола (използва се само за мониторинг и анализ) и вие трябва да имате лицензи, позволяващи включването на всички тези услуги.

Има, разбира се, и алтернативен път, по-скоро традиционен път, например,

• статистиката за сесиите може да се събира чрез netflow и след това да се използват специални инструменти за анализ на информацията и визуализация на данните.
• предотвратяване на заплахи – специални програми (антивирус, антишпионска програма, фаервол) на крайни хостове.
• Филтриране на URL, филтриране на данни, блокиране на файлове – на прокси
• също така можете да анализирате tcpdump с помощта на, например, snort

Можете да комбинирате тези два подхода, допълвайки липсващите функции или дублирайки ги за увеличаване на вероятността за засичане на атака.

Кой подход да изберете?
Силно зависи от квалификацията и предпочитанията на вашия екип.
И там, и там има плюсове и минуси.

Една единна централизирана система за удостоверяване и авторизация

При добро проектиране, мобилността, за която говорихме в тази статия, предполага, че имате идентични достъпи, работейки от офиса или от дома, от летището, от кафе или всяка друга точка (с ограниченията, за които обсъдихме по-горе). Ужасно какъв е проблемът?
За да разберем по-добре сложността на задачата, нека разгледаме типичен дизайн.

Пример

• Вие разделяте всички служители на групи. Решили сте да предоставяте достъпи по групи
• В офиса контролирате достъпите на офисния фаервол.
• Трафикът от офиса към дата центъра контролирате на фаервола на дата центъра.
• Като VPN шлюз използвате Cisco ASA и за контрол на трафика, влизащ в мрежата ви от отдалечени клиенти, прилагате локални (на ASA) ACL.

Сега, предположим, че ви молят да добавите допълнителен достъп на определен служител. В същото време ви молят да добавите достъп само за него и повече никого от неговата група.

За това трябва да създадем отделна група за този служител, а именно

• на ASA да създадем отделен IP пул за този служител
• да добавим нов ACL на ASA и да го свържем с този отдалечен клиент
• да създадем нови security policy на офисния и дата център фаерволи.

Добре, ако това събитие е рядко. Но в моята практика имаше ситуация, в която служителите участваха в различни проекти, а този набор от проекти за някои от тях се променяше доста често, и не ставаше дума за 1 -2 човека, а за десетки. Разбира се, тук трябваше нещо да се промени.

Това беше решено по следния начин.

Решихме, че единственият източник на истина, определящ всички възможни достъпи на служителя, ще бъде LDAP. Създадохме всевъзможни групи, които определят наборите от достъпи, и всеки потребител свързвахме с една или повече групи.

Например, да предположим, че бяха групи

• гост (достъп до Интернет)
• общ достъп (достъп до общи ресурси: поща, база знания, …)
• счетоводство
• проект 1
• проект 2
• администратор базы данных
• администратор linux
• …

А если кто-то из сотрудников был задействован как в проекте 1, так и в проекте 2, и ему требовались доступы, необходимые для работы в этих проектах, то этот сотрудник привязывался соответственно к группам:

• гость
• общий доступ
• проект 1
• проект 2

Как же теперь эту информацию превратить в доступы на сетевом оборудовании?

Cisco ASA Dynamic Access Policy (DAP) (см. www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) решение как раз подходит для этой задачи.

Если коротко о нашей реализации, то в процессе идентификации/авторизации ASA получает от LDAP набор групп, соответствующих данному пользователю и «собирает» из нескольких локальных ACL (каждый из которых соответствует группе) динамический ACL со всеми необходимыми доступами, что полностью соответствует нашим пожеланиям.

Но это ведь только для VPN подключений. Чтобы сделать ситуацию одинаковой как для сотрудников, подключенных через VPN, так и для находящихся в офисе был сделан следующий шаг.

При подключении из офиса пользователи при помощи протокола 802.1x попадали либо в гостевой вилан (для гостей), либо в вилан с общими доступами (для сотрудников компании). Далее, для получения специфичных доступов (например, к проектам в дата-центре) сотрудники должны были подключаться по VPN.

Для подключения из офиса и из дома применялись разные туннельные группы на ASA. Это необходимо для того, чтобы для подключившихся из офиса трафик к общим ресурсам (используемым всеми сотрудниками, таким как почта, файловые серверы, тикетная система, dns и т.д.) ходил не через ASA, а через локальную сеть. Таким образом, мы не загружали ASA лишним трафиком, в том числе и высокоинтенсивным.

Таким образом, задача была решена.
Мы получили

• одинаковый набор доступов как для подключений из офиса, так и для удаленного подключения
• отсутствие деградации сервиса при работе из офиса, связанного с передачей высокоинтенсивного трафика через ASA

В чем еще преимущество данного подхода?
В администрировании доступов. Доступы легко изменяются в одном месте.
Например, если сотрудник покинул компанию, то вы просто удаляете его из LDAP, и он автоматически теряет все доступы.

Проверка хоста (host checking)

При възможност за дистанционно свързване рискуваме да допуснем в мрежата не само служител, но и целия злонамерен софтуер, който с голяма вероятност присъства на компютъра му (например, домашен), и повече от това, чрез този софтуер може би отваряме достъп до нашата мрежа за злонамерен нападател, който използва този хост като прокси.

Разумно е за хоста, свързан дистанционно, да се прилагат същите изисквания за сигурност, каквито се прилагат и за хоста, намиращ се в офиса.

Това включва и „правилната“ версия на ОС, антивирусен софтуер, софтуер за против шпионски софтуер и софтуер за защитна стена и обновления. Обикновено, тази възможност съществува на VPN шлюза (за ASA вижте, например, тук.).

Също така е разумно да приложите същите методи за анализ и блокиране на трафик (вж. „Високо ниво на защита“), които съгласно вашата политика за сигурност се прилагат за офисния трафик.

Разумно е да предположим, че сега вашата офисна мрежа не се ограничава до офисната сграда и до хостовете в нея.

Пример

Добра идея е да осигурите на всеки служител, който изисква дистанционен достъп, добър, удобен лаптоп и да изискате да работят както в офиса, така и от дома единствено на него.

Това не само повишава нивото на сигурност на вашата мрежа, но и наистина е удобно и обикновено се възприема положително от служителите (ако наистина е добър и удобен лаптоп).

За чувство за мярка и баланс

По принцип, това е разговор за третата върхова точка на нашия триъгълник — за цената.
Нека разгледаме хипотетичен пример.

Пример

Имате офис за 200 души. Решили сте да го направите максимално удобен и максимално безопасен.

Затова решавате целият трафик да минава през защитната стена и по този начин за всички подсистеми на офиса защитната стена е шлюзът по подразбиране. Освен софтуера за сигурност, инсталиран на всеки крайнен хост (антивирусен софтуер, софтуер за против шпионски софтуер и софтуер за защитна стена), решили сте също така да приложите всички възможни методи за защита на защитната стена.

За осигуряване на висока скорост на свързване (всичко за удобството) като комутатори за достъп сте избрали комутатори с 10-гигабитни портове, а като защитни стени — високопроизводителни NGFW защитни стени, например, Palo Alto серия 7K (с 40-гигабитни портове), разбира се с всички включени лицензи и, разбира се, High Availability двойка.

Разбира се, за работа с тази линия оборудване, със сигурност, ни трябват поне двама високо квалифицирани инженери по сигурността.

След това, решихте да предоставите на всеки служител по един добър лаптоп.

Общо, около 10 милиона долара за внедряване, стотици хиляди долара (мисля, че по-скоро близо до милион) за годишна поддръжка и заплати на инженерите.

Офис, 200 души…
Удобно? Вероятно да.

Вие идвате с това предложение към вашето ръководство…
Възможно е в света да има някакви компании, за които това е приемливото и правилно решение. Ако сте служител на такава компания — поздравления, но в преобладаващата част от случаите, съм сигурен, че вашите знания няма да бъдат оценени от ръководството.

Дали този пример е преувеличен? Следващата глава ще даде отговор на този въпрос.

Ако в мрежата си не виждате нещо от изброеното по-горе, то това е нормално.
За всеки конкретен случай трябва да намерите разумен компромис между удобство, цена и безопасност. Често дори не е необходимо NGFW в офиса ви, не е необходима L7 защита на фаервола. Достатъчно е да осигурите добър ниво на видимост и аларми, и това може да се постигне с използване на open source продукти, например. Да, реакцията ви на атака няма да бъде мигновена, но важното е, че ще я видите, и при наличие на правилни процеси в отдела си бързо ще успеете да я неутрализирате.

И, да напомня, че замисълът на цикъла от тези статии не е да проектирате мрежа, а да се опитате да подобрите това, което сте получили.

Анализ на SAFE архитектурата на офиса

Обърнете внимание на този червен квадрат, с който подчертах мястото на схемата от SAFE Secure Campus Architecture Guide, което бих искал да обсъдим тук.

Това е едно от ключовите места в архитектурата и една от най-важните несигурности.

Бележка

Никога не съм конфигурирал и не съм работил с FirePower (от линията фаерволи на Cisco — само с ASA), така че ще го разглеждам като всеки друг фаервол, например, Juniper SRX или Palo Alto, предполагайки, че има същите възможности.

От обичайните конструкции виждам само 4 възможни варианта на използване на фаервола при такава връзка:

• по подразбиране шлюзът за всяка подсетка е превключвател, а фаерволът е в transparent режим (т.е. целият трафик минава през него, но не образува L3 хоп)
• Приеморазделителят по подразбиране за всяка подсистема са саб-интерфейсите на защитната стена (или SVI интерфейси). Комутаторът играе роля на L2.
• На комутатора се използват различни VRF, а трафикът между VRF преминава през защитната стена. Трафикът в рамките на един VRF се контролира от ACL на комутатора.
• Целият трафик се отразява на защитната стена за анализ и мониторинг, трафикът не преминава през нея.

Забележка 1

Възможни са комбинации от тези варианти, но за простота няма да ги разглеждаме.

Забележка 2

Има и възможност за използване на PBR (архитектура на услугите), но засега, въпреки че ми се струва привлекателно решение, то е по-скоро екзотично, затова не го разглеждам тук.

От описанията на потоките в документа виждаме, че все пак трафикът преминава през защитната стена, тоест, в съответствие с дизайна на Cisco четвъртият вариант отпада.

Нека първо разгледаме първите два варианта.
При тези варианти целият трафик преминава през защитната стена.

Сега да видим data sheet, да видим Cisco GPL и виждаме, че ако искаме обща честотна лента за нашия офис поне в района на 10—20 гигабита, трябва да закупим 4K версия.

Бележка

Когато говоря за обща честотна лента, имам предвид трафика между подсистемите (а не в рамките на един VLAN).

От GPL виждаме, че за HA Bundle с Threat Defense цената варира в зависимост от модела (4110—4150) от ~0.5—2.5 милиона долара.

Тоест, нашият дизайн започва да наподобява предишния пример.

Означава ли това, че този дизайн е неправилен?
Не, не означава. Cisco ви предоставя максимално възможната защита на базата на продуктите, които предлага. Но това не означава, че е „незабавно необходимо“ за вас.

По принцип, това е обичайният въпрос, който възниква при дизайна на офис или дата център, и това само означава, че трябва да търсите компромис.

Например, не целият трафик да минава през защитната стена, и в този случай третият вариант ми се струва доста привлекателен, или (вж. предишния раздел) може би не ви е необходима „Threat Defense“ или изобщо не ви е нужна защитна стена в този сегмент от мрежата, и може да се ограничите до пасивен мониторинг с използване на платени (не скъпи) или open source решения, или защитна стена, но от друг производител.

Обикновено винаги съществува тази несигурност и няма категоричен отговор на въпроса кое решение е най-добро за вас.
В това се състои сложността и красотата на тази задача.

Източник: habr.com