পরীক্ষা দেখাবে: কীভাবে সিসকো আইএসই বাস্তবায়নের জন্য প্রস্তুত করবেন এবং আপনার কী সিস্টেম বৈশিষ্ট্যগুলি প্রয়োজন তা বুঝতে হবে

কত ঘন ঘন আপনি স্বতঃস্ফূর্তভাবে কিছু কিনবেন, একটি দুর্দান্ত বিজ্ঞাপনের কাছে আত্মসমর্পণ করবেন এবং তারপরে এই প্রাথমিকভাবে কাঙ্ক্ষিত আইটেমটি পরবর্তী বসন্ত পরিষ্কার বা সরানো পর্যন্ত একটি পায়খানা, প্যান্ট্রি বা গ্যারেজে ধুলো জড়ো করে? অযৌক্তিক প্রত্যাশা এবং অর্থ অপচয়ের কারণে ফলাফল হতাশা। এটি একটি ব্যবসার ক্ষেত্রে ঘটলে এটি আরও খারাপ। প্রায়শই, বিপণনের কৌশলগুলি এত ভাল যে কোম্পানিগুলি এর প্রয়োগের সম্পূর্ণ চিত্র না দেখেই একটি ব্যয়বহুল সমাধান ক্রয় করে। ইতিমধ্যে, সিস্টেমের ট্রায়াল টেস্টিং বুঝতে সাহায্য করে কিভাবে একীকরণের জন্য পরিকাঠামো প্রস্তুত করতে হয়, কী কার্যকারিতা এবং কতটা প্রয়োগ করা উচিত। এইভাবে আপনি "অন্ধভাবে" একটি পণ্য নির্বাচন করার কারণে বিপুল সংখ্যক সমস্যা এড়াতে পারেন। উপরন্তু, একটি যোগ্য "পাইলট" পরে বাস্তবায়ন ইঞ্জিনিয়ারদের অনেক কম ধ্বংস স্নায়ু কোষ এবং ধূসর চুল আনতে হবে. একটি কর্পোরেট নেটওয়ার্ক - সিসকো আইএসই-তে অ্যাক্সেস নিয়ন্ত্রণের জন্য একটি জনপ্রিয় টুলের উদাহরণ ব্যবহার করে একটি সফল প্রকল্পের জন্য পাইলট পরীক্ষা কেন এত গুরুত্বপূর্ণ তা বের করা যাক। আসুন আমরা আমাদের অনুশীলনে যে সমাধানটি পেয়েছি তা ব্যবহার করার জন্য আদর্শ এবং সম্পূর্ণ অ-মানক উভয় বিকল্প বিবেচনা করি।

সিসকো আইএসই - "স্টেরয়েডগুলিতে ব্যাসার্ধ সার্ভার"

Cisco Identity Services Engine (ISE) হল একটি প্রতিষ্ঠানের লোকাল এরিয়া নেটওয়ার্কের জন্য একটি অ্যাক্সেস কন্ট্রোল সিস্টেম তৈরি করার একটি প্ল্যাটফর্ম। বিশেষজ্ঞ সম্প্রদায়ের মধ্যে, পণ্যটির বৈশিষ্ট্যগুলির জন্য "স্টেরয়েডগুলিতে ব্যাসার্ধ সার্ভার" ডাকনাম করা হয়েছিল। কেন এমন হল? মূলত, সমাধানটি হল একটি ব্যাসার্ধ সার্ভার, যার সাথে বিপুল সংখ্যক অতিরিক্ত পরিষেবা এবং "কৌশলগুলি" সংযুক্ত করা হয়েছে, যা আপনাকে প্রচুর পরিমাণে প্রাসঙ্গিক তথ্য পেতে এবং অ্যাক্সেস নীতিতে ডেটার ফলস্বরূপ সেট প্রয়োগ করতে দেয়৷

অন্য যেকোনো রেডিয়াস সার্ভারের মতো, সিসকো আইএসই অ্যাক্সেস-লেভেল নেটওয়ার্ক সরঞ্জামের সাথে যোগাযোগ করে, কর্পোরেট নেটওয়ার্কের সাথে সংযোগ করার সমস্ত প্রচেষ্টা সম্পর্কে তথ্য সংগ্রহ করে এবং প্রমাণীকরণ এবং অনুমোদন নীতির উপর ভিত্তি করে, ব্যবহারকারীদের LAN-এ অনুমতি দেয় বা অস্বীকার করে। যাইহোক, প্রোফাইলিং, পোস্টিং, এবং অন্যান্য তথ্য সুরক্ষা সমাধানগুলির সাথে একীকরণের সম্ভাবনা অনুমোদন নীতির যুক্তিকে উল্লেখযোগ্যভাবে জটিল করে তোলে এবং এর ফলে বেশ কঠিন এবং আকর্ষণীয় সমস্যাগুলি সমাধান করা যায়।

বাস্তবায়ন পাইলট করা যাবে না: কেন আপনার পরীক্ষার প্রয়োজন?

পাইলট পরীক্ষার মূল্য হল একটি নির্দিষ্ট সংস্থার নির্দিষ্ট পরিকাঠামোতে সিস্টেমের সমস্ত ক্ষমতা প্রদর্শন করা। আমি বিশ্বাস করি যে বাস্তবায়নের আগে Cisco ISE এর পাইলটিং প্রকল্পের সাথে জড়িত প্রত্যেককে উপকৃত করে এবং এর কারণ এখানে।

এটি ইন্টিগ্রেটরদের গ্রাহকের প্রত্যাশা সম্পর্কে একটি পরিষ্কার ধারণা দেয় এবং একটি সঠিক প্রযুক্তিগত স্পেসিফিকেশন তৈরি করতে সাহায্য করে যা সাধারণ বাক্যাংশের চেয়ে অনেক বেশি বিশদ ধারণ করে "নিশ্চিত করুন সবকিছু ঠিক আছে।" "পাইলট" আমাদের গ্রাহকের সমস্ত ব্যথা অনুভব করতে দেয়, বুঝতে দেয় কোন কাজগুলি তার জন্য অগ্রাধিকার এবং কোনটি গৌণ। আমাদের জন্য, সংস্থায় কী কী সরঞ্জাম ব্যবহার করা হয়, কীভাবে বাস্তবায়ন ঘটবে, কোন সাইটগুলিতে, তারা কোথায় অবস্থিত এবং আরও অনেক কিছু আগে থেকে বের করার এটি একটি দুর্দান্ত সুযোগ।

পাইলট পরীক্ষার সময়, গ্রাহকরা বাস্তব ব্যবস্থাটি কার্যত দেখতে পান, এর ইন্টারফেসের সাথে পরিচিত হন, এটি তাদের বিদ্যমান হার্ডওয়্যারের সাথে সামঞ্জস্যপূর্ণ কিনা তা পরীক্ষা করতে পারেন এবং সম্পূর্ণ বাস্তবায়নের পরে কীভাবে সমাধানটি কাজ করবে সে সম্পর্কে একটি সামগ্রিক ধারণা পান। "পাইলট" হল সেই মুহূর্ত যখন আপনি ইন্টিগ্রেশনের সময় সম্ভবত যে সমস্ত সমস্যাগুলির সম্মুখীন হবেন তা দেখতে পারেন এবং আপনার কতগুলি লাইসেন্স কিনতে হবে তা নির্ধারণ করতে পারেন৷
"পাইলট" এর সময় কী "পপ আপ" করতে পারে

সুতরাং, কিভাবে আপনি সঠিকভাবে সিসকো আইএসই বাস্তবায়নের জন্য প্রস্তুত করবেন? আমাদের অভিজ্ঞতা থেকে, আমরা 4টি প্রধান পয়েন্ট গণনা করেছি যা সিস্টেমের পাইলট পরীক্ষার সময় বিবেচনা করা গুরুত্বপূর্ণ।

ফর্ম ফ্যাক্টর

প্রথমত, আপনাকে সিদ্ধান্ত নিতে হবে যে সিস্টেমটি কোন ফর্মে কার্যকর করা হবে: শারীরিক বা ভার্চুয়াল আপলাইন। প্রতিটি বিকল্পের সুবিধা এবং অসুবিধা আছে। উদাহরণস্বরূপ, একটি শারীরিক আপলাইনের শক্তি হল এর পূর্বাভাসযোগ্য কর্মক্ষমতা, কিন্তু আমাদের ভুলে যাওয়া উচিত নয় যে এই ধরনের ডিভাইসগুলি সময়ের সাথে অপ্রচলিত হয়ে যায়। ভার্চুয়াল আপলাইন কম অনুমানযোগ্য কারণ... যে হার্ডওয়্যারের উপর ভার্চুয়ালাইজেশন পরিবেশ স্থাপন করা হয়েছে তার উপর নির্ভর করে, তবে তাদের একটি গুরুতর সুবিধা রয়েছে: সমর্থন উপলব্ধ থাকলে, সেগুলি সর্বদা সর্বশেষ সংস্করণে আপডেট করা যেতে পারে।

আপনার নেটওয়ার্ক সরঞ্জাম Cisco ISE এর সাথে সামঞ্জস্যপূর্ণ?

অবশ্যই, আদর্শ দৃশ্যকল্পটি একযোগে সিস্টেমের সাথে সমস্ত সরঞ্জাম সংযুক্ত করা হবে। যাইহোক, এটি সবসময় সম্ভব হয় না কারণ অনেক প্রতিষ্ঠান এখনও অব্যবস্থাপিত সুইচ বা সুইচ ব্যবহার করে যা Cisco ISE চালানোর কিছু প্রযুক্তি সমর্থন করে না। যাইহোক, আমরা কেবল সুইচগুলির কথা বলছি না, এটি ওয়্যারলেস নেটওয়ার্ক কন্ট্রোলার, ভিপিএন কনসেনট্রেটর এবং ব্যবহারকারীদের সাথে সংযোগ স্থাপনকারী অন্য কোনও সরঞ্জামও হতে পারে। আমার অনুশীলনে, এমন কিছু ঘটনা ঘটেছে যখন, সম্পূর্ণ বাস্তবায়নের জন্য সিস্টেমটি প্রদর্শন করার পরে, গ্রাহক আধুনিক সিস্কো সরঞ্জামগুলিতে অ্যাক্সেস লেভেল স্যুইচের প্রায় পুরো বহরকে আপগ্রেড করেছেন। অপ্রীতিকর বিস্ময় এড়াতে, অসমর্থিত সরঞ্জামগুলির অনুপাত আগে থেকেই খুঁজে বের করা মূল্যবান।

আপনার সমস্ত ডিভাইস কি স্ট্যান্ডার্ড?

যেকোনো নেটওয়ার্কে সাধারণ ডিভাইস রয়েছে যেগুলির সাথে সংযোগ করা কঠিন হবে না: ওয়ার্কস্টেশন, আইপি ফোন, ওয়াই-ফাই অ্যাক্সেস পয়েন্ট, ভিডিও ক্যামেরা ইত্যাদি। কিন্তু এটাও ঘটে যে অ-মানক ডিভাইসগুলিকে LAN-এর সাথে সংযুক্ত করতে হবে, উদাহরণস্বরূপ, RS232/ইথারনেট বাস সিগন্যাল কনভার্টার, নিরবচ্ছিন্ন পাওয়ার সাপ্লাই ইন্টারফেস, বিভিন্ন প্রযুক্তিগত সরঞ্জাম ইত্যাদি। এই ধরনের ডিভাইসের তালিকা আগে থেকেই নির্ধারণ করা গুরুত্বপূর্ণ। , যাতে বাস্তবায়নের পর্যায়ে আপনি ইতিমধ্যেই বুঝতে পেরেছেন কিভাবে তারা Cisco ISE এর সাথে কাজ করবে।

আইটি বিশেষজ্ঞদের সাথে গঠনমূলক কথোপকথন

সিসকো আইএসই গ্রাহকরা প্রায়ই নিরাপত্তা বিভাগ, যখন আইটি বিভাগগুলি সাধারণত অ্যাক্সেস লেয়ার সুইচ এবং অ্যাক্টিভ ডিরেক্টরি কনফিগার করার জন্য দায়ী। অতএব, সুরক্ষা বিশেষজ্ঞ এবং আইটি বিশেষজ্ঞদের মধ্যে উত্পাদনশীল মিথস্ক্রিয়া সিস্টেমটির বেদনাহীন বাস্তবায়নের জন্য একটি গুরুত্বপূর্ণ শর্ত। যদি পরেরটি শত্রুতার সাথে একীকরণ উপলব্ধি করে, তবে তাদের ব্যাখ্যা করা মূল্যবান যে কীভাবে সমাধানটি আইটি বিভাগের জন্য কার্যকর হবে।

শীর্ষ 5 Cisco ISE ব্যবহারের ক্ষেত্রে

আমাদের অভিজ্ঞতায়, সিস্টেমের প্রয়োজনীয় কার্যকারিতা পাইলট পরীক্ষার পর্যায়েও চিহ্নিত করা হয়। সমাধানের জন্য নীচে কিছু জনপ্রিয় এবং কম সাধারণ ব্যবহারের ক্ষেত্রে রয়েছে৷

EAP-TLS সহ একটি তারের উপর LAN অ্যাক্সেস সুরক্ষিত করুন

আমাদের পেন্টেস্টারদের গবেষণার ফলাফল হিসাবে, প্রায়শই একটি কোম্পানির নেটওয়ার্কে প্রবেশ করার জন্য, আক্রমণকারীরা সাধারণ সকেট ব্যবহার করে যার সাথে প্রিন্টার, ফোন, আইপি ক্যামেরা, Wi-Fi পয়েন্ট এবং অন্যান্য অ-ব্যক্তিগত নেটওয়ার্ক ডিভাইস সংযুক্ত থাকে। অতএব, এমনকি যদি নেটওয়ার্ক অ্যাক্সেস ডট1এক্স প্রযুক্তির উপর ভিত্তি করে হয়, কিন্তু বিকল্প প্রোটোকল ব্যবহারকারীর প্রমাণীকরণ শংসাপত্র ব্যবহার না করে ব্যবহার করা হয়, সেশন ইন্টারসেপশন এবং ব্রুট-ফোর্স পাসওয়ার্ড সহ একটি সফল আক্রমণের উচ্চ সম্ভাবনা রয়েছে। সিসকো আইএসই-এর ক্ষেত্রে, একটি শংসাপত্র চুরি করা অনেক বেশি কঠিন হবে - এর জন্য, হ্যাকারদের অনেক বেশি কম্পিউটিং শক্তির প্রয়োজন হবে, তাই এই কেসটি খুব কার্যকর।

ডুয়াল-SSID ওয়্যারলেস অ্যাক্সেস

এই দৃশ্যের সারমর্ম হল 2 নেটওয়ার্ক শনাক্তকারী (SSIDs) ব্যবহার করা। তাদের মধ্যে একজনকে শর্তসাপেক্ষে "অতিথি" বলা যেতে পারে। এটির মাধ্যমে, অতিথি এবং কোম্পানির কর্মচারী উভয়ই ওয়্যারলেস নেটওয়ার্ক অ্যাক্সেস করতে পারবেন। যখন তারা সংযোগ করার চেষ্টা করে, পরবর্তীগুলিকে একটি বিশেষ পোর্টালে পুনঃনির্দেশিত করা হয় যেখানে ব্যবস্থা করা হয়। অর্থাৎ, ব্যবহারকারীকে একটি শংসাপত্র জারি করা হয় এবং তার ব্যক্তিগত ডিভাইসটি স্বয়ংক্রিয়ভাবে দ্বিতীয় SSID-তে পুনরায় সংযোগ করার জন্য কনফিগার করা হয়, যা ইতিমধ্যেই প্রথম ক্ষেত্রের সমস্ত সুবিধার সাথে EAP-TLS ব্যবহার করে।

MAC প্রমাণীকরণ বাইপাস এবং প্রোফাইলিং

আরেকটি জনপ্রিয় ব্যবহারের ক্ষেত্রে স্বয়ংক্রিয়ভাবে সংযুক্ত ডিভাইসের ধরন সনাক্ত করা এবং এতে সঠিক বিধিনিষেধ প্রয়োগ করা। কেন তিনি আকর্ষণীয়? আসল বিষয়টি হল যে এখনও অনেকগুলি ডিভাইস রয়েছে যা 802.1X প্রোটোকল ব্যবহার করে প্রমাণীকরণ সমর্থন করে না। অতএব, এই জাতীয় ডিভাইসগুলিকে একটি MAC ঠিকানা ব্যবহার করে নেটওয়ার্কে অনুমতি দিতে হবে, যা জাল করা বেশ সহজ। এখানেই সিসকো আইএসই রেসকিউতে আসে: সিস্টেমের সাহায্যে, আপনি নেটওয়ার্কে একটি ডিভাইস কীভাবে আচরণ করে তা দেখতে পারেন, এটির প্রোফাইল তৈরি করুন এবং এটিকে অন্যান্য ডিভাইসের একটি গ্রুপে বরাদ্দ করুন, উদাহরণস্বরূপ, একটি আইপি ফোন এবং একটি ওয়ার্কস্টেশন . যদি একজন আক্রমণকারী একটি MAC ঠিকানা ফাঁকি দেওয়ার চেষ্টা করে এবং নেটওয়ার্কের সাথে সংযোগ স্থাপন করে, সিস্টেমটি দেখতে পাবে যে ডিভাইসের প্রোফাইল পরিবর্তিত হয়েছে, সন্দেহজনক আচরণের সংকেত দেবে এবং সন্দেহজনক ব্যবহারকারীকে নেটওয়ার্কে প্রবেশ করতে দেবে না।

EAP- চেইনিং

ইএপি-চেইনিং প্রযুক্তিতে কর্মরত পিসি এবং ব্যবহারকারীর অ্যাকাউন্টের অনুক্রমিক প্রমাণীকরণ জড়িত। এই মামলাটি ব্যাপক আকার ধারণ করেছে কারণ... অনেক কোম্পানি এখনও কর্মীদের ব্যক্তিগত গ্যাজেটগুলি কর্পোরেট LAN-এ সংযুক্ত করতে উৎসাহিত করে না। প্রমাণীকরণের এই পদ্ধতিটি ব্যবহার করে, একটি নির্দিষ্ট ওয়ার্কস্টেশন ডোমেনের সদস্য কিনা তা পরীক্ষা করা সম্ভব, এবং ফলাফল নেতিবাচক হলে, ব্যবহারকারীকে হয় নেটওয়ার্কে প্রবেশ করতে দেওয়া হবে না, বা প্রবেশ করতে সক্ষম হবে, তবে নির্দিষ্ট কিছুর সাথে সীমাবদ্ধতা

ভঙ্গি

এই ক্ষেত্রে তথ্য নিরাপত্তা প্রয়োজনীয়তা সঙ্গে ওয়ার্কস্টেশন সফ্টওয়্যার সম্মতি মূল্যায়ন সম্পর্কে. এই প্রযুক্তি ব্যবহার করে, আপনি ওয়ার্কস্টেশনের সফ্টওয়্যার আপডেট করা হয়েছে কিনা, এতে নিরাপত্তা ব্যবস্থা ইনস্টল করা আছে কিনা, হোস্ট ফায়ারওয়াল কনফিগার করা আছে কিনা ইত্যাদি পরীক্ষা করতে পারেন। মজার বিষয় হল, এই প্রযুক্তিটি আপনাকে নিরাপত্তার সাথে সম্পর্কিত নয় এমন অন্যান্য কাজগুলি সমাধান করতে দেয়, উদাহরণস্বরূপ, প্রয়োজনীয় ফাইলগুলির উপস্থিতি পরীক্ষা করা বা সিস্টেম-ওয়াইড সফ্টওয়্যার ইনস্টল করা।

Cisco ISE-এর জন্য কম সাধারণ ব্যবহারের ক্ষেত্রে এন্ড-টু-এন্ড ডোমেন প্রমাণীকরণ (প্যাসিভ আইডি), SGT-ভিত্তিক মাইক্রো-সেগমেন্টেশন এবং ফিল্টারিং, সেইসাথে মোবাইল ডিভাইস ম্যানেজমেন্ট (MDM) সিস্টেম এবং ভালনারেবিলিটি স্ক্যানারগুলির সাথে একীকরণ সহ অ্যাক্সেস নিয়ন্ত্রণ অন্তর্ভুক্ত।

নন-স্ট্যান্ডার্ড প্রজেক্ট: কেন আপনার সিস্কো আইএসই বা আমাদের অনুশীলন থেকে 3টি বিরল ক্ষেত্রে প্রয়োজন হতে পারে

লিনাক্স-ভিত্তিক সার্ভারগুলিতে অ্যাক্সেস নিয়ন্ত্রণ

একবার আমরা এমন একজন গ্রাহকের জন্য একটি অ-তুচ্ছ কেস সমাধান করছিলাম যারা ইতিমধ্যেই সিস্কো আইএসই সিস্টেম প্রয়োগ করেছে: আমাদের লিনাক্স ইনস্টল থাকা সার্ভারগুলিতে ব্যবহারকারীর ক্রিয়াকলাপ (অধিকাংশ প্রশাসকদের) নিয়ন্ত্রণ করার একটি উপায় খুঁজে বের করতে হবে। একটি উত্তরের সন্ধানে, আমরা বিনামূল্যে PAM ব্যাসার্ধ মডিউল সফ্টওয়্যার ব্যবহার করার ধারণা নিয়ে এসেছি, যা আপনাকে একটি বহিরাগত ব্যাসার্ধ সার্ভারে প্রমাণীকরণের সাথে লিনাক্সে চলমান সার্ভারগুলিতে লগ ইন করতে দেয়। এই বিষয়ে সবকিছুই ভাল হবে, যদি একটি "কিন্তু" এর জন্য না হয়: ব্যাসার্ধ সার্ভার, প্রমাণীকরণের অনুরোধে একটি প্রতিক্রিয়া প্রেরণ করে, শুধুমাত্র অ্যাকাউন্টের নাম এবং ফলাফল দেয় - গৃহীত বা প্রত্যাখ্যাত মূল্যায়ন। এদিকে, লিনাক্সে অনুমোদনের জন্য, আপনাকে কমপক্ষে আরও একটি প্যারামিটার বরাদ্দ করতে হবে - হোম ডিরেক্টরি, যাতে ব্যবহারকারী অন্তত কোথাও পায়। আমরা এটিকে একটি ব্যাসার্ধ বৈশিষ্ট্য হিসাবে দেওয়ার কোনও উপায় খুঁজে পাইনি, তাই আমরা একটি আধা-স্বয়ংক্রিয় মোডে হোস্টগুলিতে দূরবর্তীভাবে অ্যাকাউন্ট তৈরি করার জন্য একটি বিশেষ স্ক্রিপ্ট লিখেছি। এই কাজটি বেশ সম্ভাব্য ছিল, যেহেতু আমরা অ্যাডমিনিস্ট্রেটর অ্যাকাউন্টগুলির সাথে কাজ করছিলাম, যার সংখ্যা এত বড় ছিল না। এরপরে, ব্যবহারকারীরা প্রয়োজনীয় ডিভাইসে লগ ইন করেন, তারপরে তাদের প্রয়োজনীয় অ্যাক্সেস বরাদ্দ করা হয়। একটি যুক্তিসঙ্গত প্রশ্ন উঠেছে: এই ধরনের ক্ষেত্রে কি সিসকো আইএসই ব্যবহার করা প্রয়োজন? প্রকৃতপক্ষে, না - যে কোনো ব্যাসার্ধ সার্ভার করবে, কিন্তু যেহেতু গ্রাহকের কাছে ইতিমধ্যেই এই সিস্টেমটি ছিল, তাই আমরা কেবল এটিতে একটি নতুন বৈশিষ্ট্য যুক্ত করেছি।

LAN-এ হার্ডওয়্যার এবং সফ্টওয়্যারের তালিকা

আমরা একবার প্রাথমিক "পাইলট" ছাড়া একজন গ্রাহককে Cisco ISE সরবরাহ করার জন্য একটি প্রকল্পে কাজ করেছি। সমাধানের জন্য কোন স্পষ্ট প্রয়োজনীয়তা ছিল না, এছাড়াও আমরা একটি সমতল, অ-বিভাগযুক্ত নেটওয়ার্ক নিয়ে কাজ করছিলাম, যা আমাদের কাজকে জটিল করে তুলেছিল। প্রকল্প চলাকালীন, আমরা নেটওয়ার্ক সমর্থিত সমস্ত সম্ভাব্য প্রোফাইলিং পদ্ধতি কনফিগার করেছি: NetFlow, DHCP, SNMP, AD ইন্টিগ্রেশন ইত্যাদি। ফলস্বরূপ, প্রমাণীকরণ ব্যর্থ হলে নেটওয়ার্কে লগ ইন করার ক্ষমতা দিয়ে MAR অ্যাক্সেস কনফিগার করা হয়েছিল। অর্থাৎ, প্রমাণীকরণ সফল না হলেও, সিস্টেমটি এখনও ব্যবহারকারীকে নেটওয়ার্কে প্রবেশের অনুমতি দেবে, তার সম্পর্কে তথ্য সংগ্রহ করবে এবং এটি আইএসই ডাটাবেসে রেকর্ড করবে। বেশ কয়েক সপ্তাহ ধরে এই নেটওয়ার্ক পর্যবেক্ষণ আমাদের সংযুক্ত সিস্টেম এবং অ-ব্যক্তিগত ডিভাইসগুলি সনাক্ত করতে এবং সেগুলিকে সেগমেন্ট করার জন্য একটি পদ্ধতি বিকাশ করতে সাহায্য করেছে। এর পরে, আমরা অতিরিক্তভাবে ওয়ার্কস্টেশনগুলিতে এজেন্ট ইনস্টল করার জন্য পোস্টিং কনফিগার করেছি যাতে তাদের উপর ইনস্টল করা সফ্টওয়্যার সম্পর্কে তথ্য সংগ্রহ করা যায়। ফলাফল কি? আমরা নেটওয়ার্ককে ভাগ করতে এবং ওয়ার্কস্টেশনগুলি থেকে সরানো দরকার এমন সফ্টওয়্যারের তালিকা নির্ধারণ করতে সক্ষম হয়েছি। আমি লুকিয়ে রাখব না যে ব্যবহারকারীদের ডোমেন গোষ্ঠীতে বিতরণ করা এবং অ্যাক্সেসের অধিকারগুলি বর্ণনা করার আরও কাজগুলি আমাদের অনেক সময় নিয়েছে, তবে এইভাবে আমরা নেটওয়ার্কে গ্রাহকের কী হার্ডওয়্যার রয়েছে তার একটি সম্পূর্ণ চিত্র পেয়েছি। যাইহোক, বাক্সের বাইরে প্রোফাইলিংয়ের ভাল কাজের কারণে এটি কঠিন ছিল না। ঠিক আছে, যেখানে প্রোফাইলিং সাহায্য করেনি, আমরা নিজেদেরকে দেখেছিলাম, স্যুইচ পোর্টটি হাইলাইট করে যেখানে সরঞ্জামগুলি সংযুক্ত ছিল।

ওয়ার্কস্টেশনে সফ্টওয়্যারের দূরবর্তী ইনস্টলেশন

এই কেস আমার অনুশীলনের মধ্যে অদ্ভুত এক. একদিন, একজন গ্রাহক সাহায্যের জন্য কান্নাকাটি করে আমাদের কাছে এসেছিলেন - সিসকো আইএসই প্রয়োগ করার সময় কিছু ভুল হয়েছে, সবকিছু ভেঙে গেছে এবং অন্য কেউ নেটওয়ার্ক অ্যাক্সেস করতে পারেনি। আমরা এটি খুঁজতে শুরু করেছি এবং নিম্নলিখিতগুলি খুঁজে পেয়েছি। কোম্পানির 2000 কম্পিউটার ছিল, যেগুলি, একটি ডোমেন কন্ট্রোলারের অনুপস্থিতিতে, একটি প্রশাসক অ্যাকাউন্টের অধীনে পরিচালিত হয়েছিল। পিয়ারিংয়ের উদ্দেশ্যে, সংস্থাটি সিসকো আইএসই বাস্তবায়ন করেছে। বিদ্যমান পিসিগুলিতে একটি অ্যান্টিভাইরাস ইনস্টল করা হয়েছে কিনা, সফ্টওয়্যার পরিবেশ আপডেট করা হয়েছে কিনা, ইত্যাদি বোঝার প্রয়োজন ছিল। এবং যেহেতু আইটি অ্যাডমিনিস্ট্রেটররা সিস্টেমে নেটওয়ার্ক সরঞ্জাম ইনস্টল করেছে, এটি যৌক্তিক যে তাদের এটিতে অ্যাক্সেস ছিল। এটি কীভাবে কাজ করে এবং তাদের পিসিগুলিকে পোশার করার পরে, প্রশাসকরা ব্যক্তিগত পরিদর্শন ছাড়াই দূরবর্তীভাবে কর্মচারী ওয়ার্কস্টেশনগুলিতে সফ্টওয়্যারটি ইনস্টল করার ধারণা নিয়ে এসেছিলেন। শুধু কল্পনা করুন আপনি এইভাবে প্রতিদিন কতগুলি পদক্ষেপ সংরক্ষণ করতে পারেন! অ্যাডমিনিস্ট্রেটররা C:Program Files ডিরেক্টরিতে একটি নির্দিষ্ট ফাইলের উপস্থিতির জন্য ওয়ার্কস্টেশনের বেশ কয়েকটি পরীক্ষা করে এবং যদি এটি অনুপস্থিত থাকে, তাহলে ইনস্টলেশন .exe ফাইলে ফাইল স্টোরেজের দিকে নিয়ে যাওয়া একটি লিঙ্ক অনুসরণ করে স্বয়ংক্রিয় প্রতিকার চালু করা হয়েছিল। এটি সাধারণ ব্যবহারকারীদের একটি ফাইল শেয়ারে যেতে এবং সেখান থেকে প্রয়োজনীয় সফ্টওয়্যার ডাউনলোড করার অনুমতি দেয়। দুর্ভাগ্যবশত, প্রশাসক আইএসই সিস্টেমটি ভালভাবে জানতেন না এবং পোস্টিং প্রক্রিয়াগুলিকে ক্ষতিগ্রস্ত করেছেন - তিনি নীতিটি ভুলভাবে লিখেছিলেন, যার ফলে আমরা সমাধানে জড়িত ছিলাম। ব্যক্তিগতভাবে, আমি এই ধরনের সৃজনশীল পদ্ধতির দ্বারা আন্তরিকভাবে বিস্মিত, কারণ এটি একটি ডোমেন কন্ট্রোলার তৈরি করা অনেক সস্তা এবং কম শ্রম-নিবিড় হবে। কিন্তু ধারণার প্রমাণ হিসেবে এটি কাজ করেছে।

আমার সহকর্মীর নিবন্ধে Cisco ISE প্রয়োগ করার সময় উদ্ভূত প্রযুক্তিগত সূক্ষ্মতা সম্পর্কে আরও পড়ুন “সিসকো আইএসই বাস্তবায়ন অনুশীলন। একজন প্রকৌশলীর দৃষ্টিভঙ্গি".

আর্টেম বব্রিকভ, জেট ইনফোসিস্টেমের তথ্য সুরক্ষা কেন্দ্রের ডিজাইন ইঞ্জিনিয়ার

উত্তরভাষ:
এই পোস্টটি সিসকো আইএসই সিস্টেম সম্পর্কে কথা বললেও, বর্ণিত সমস্যাগুলি NAC সমাধানগুলির সমগ্র শ্রেণীর জন্য প্রাসঙ্গিক। কোন বিক্রেতার সমাধানটি বাস্তবায়নের জন্য পরিকল্পনা করা হয়েছে তা এত গুরুত্বপূর্ণ নয় - উপরের বেশিরভাগই প্রযোজ্য থাকবে।

উত্স: www.habr.com