Der Test zeigt: Wie man sich auf die Implementierung von Cisco ISE vorbereitet und welche Funktionen des Systems benötigt werden.

Wie oft haben Sie spontan etwas gekauft, verführt durch glänzende Werbung, nur um dann festzustellen, dass der einst begehrte Artikel in einem Schrank, Lagerraum oder in der Garage bis zur nächsten Grundreinigung oder dem Umzug verstaubt? Das Resultat ist oft Enttäuschung über unerfüllte Erwartungen und Geldverschwendung. Noch schlimmer ist es, wenn so etwas im Geschäft passiert. Häufig sind Marketingtricks so überzeugend, dass Unternehmen teure Lösungen erwerben, ohne das vollständige Bild ihrer Anwendung zu erkennen. Ein Probetest der Systeme kann jedoch dabei helfen, die Infrastruktur für die Integration vorzubereiten und zu verstehen, welche Funktionen in welchem Umfang implementiert werden sollten. So können zahlreiche Probleme vermieden werden, die durch eine „blinde“ Produktwahl entstehen. Außerdem wird die Implementierung nach einem gut durchgeführten Pilotprojekt für die Ingenieure erheblich weniger nervenaufreibend sein. Lassen Sie uns untersuchen, warum Testläufe für den Erfolg eines Projekts so entscheidend sind, anhand des Beispiels eines beliebten Tools zur Zugriffskontrolle auf Unternehmensnetzwerke — Cisco ISE. Wir werden sowohl typische als auch sehr unkonventionelle Anwendungsmöglichkeiten betrachten, die wir in unserer Praxis erlebt haben.

Cisco ISE – „Radius-Server auf Steroiden“

Die Cisco Identity Services Engine (ISE) ist eine Plattform zur Erstellung eines Zugriffssteuerungssystems für das lokale Netzwerk eines Unternehmens. In der Expertencommunity wird das Produkt aufgrund seiner Eigenschaften als „Radius-Server auf Steroiden“ bezeichnet. Warum? Im Grunde genommen handelt es sich um einen Radius-Server, dem eine Vielzahl zusätzlicher Dienste und Funktionen hinzugefügt wurden, die es ermöglichen, große Mengen kontextueller Informationen zu sammeln und diese Daten in Zugriffsrichtlinien anzuwenden.

Wie jeder andere Radius-Server interagiert Cisco ISE mit Netzwerkgeräten auf Zugriffsebene, sammelt Informationen über alle Verbindungsversuche mit dem Unternehmensnetzwerk und entscheidet anhand von Authentifizierungs- und Autorisierungsrichtlinien, ob Benutzer in das LAN gelangt werden. Die Möglichkeit des Profilings, der User-Gruppierung und der Integration mit anderen Sicherheitslösungen ermöglicht es jedoch, die Logik der Autorisierungsrichtlinien erheblich zu verkomplizieren und dadurch anspruchsvolle und interessante Aufgaben zu lösen.

Implementieren statt nur testen: Warum ist Testing notwendig?

Der Wert von Pilotprojekten liegt darin, alle Funktionen des Systems in der spezifischen Infrastruktur einer Organisation zu demonstrieren. Ich bin überzeugt, dass das Pilotieren von Cisco ISE vor der Implementierung für alle Projektbeteiligten von Nutzen ist, und hier ist der Grund dafür.

Für Integratoren bietet dies ein klares Verständnis der Erwartungen des Kunden und hilft, ein präzises Pflichtenheft zu erstellen, das weit mehr Details enthält als die gängige Aussage „Sorgen Sie dafür, dass alles gut funktioniert“. Ein „Pilot“ ermöglicht es uns, die Herausforderungen des Kunden besser zu verstehen, herauszufinden, welche Aufgaben für ihn Priorität haben und welche weniger wichtig sind. Für uns ist es eine ausgezeichnete Gelegenheit, im Voraus zu klären, welches Equipment in der Organisation verwendet wird, wie die Implementierung ablaufen wird, an welchen Standorten und wo sie sich befinden.

Während der Pilotphase können die Kunden das System in Aktion sehen, sich mit seiner Benutzeroberfläche vertrautmachen, überprüfen, ob es mit ihrer vorhandenen Hardware kompatibel ist, und ein umfassendes Verständnis dafür gewinnen, wie die Lösung nach der vollständigen Implementierung funktionieren wird. Der 'Pilot' ist der Zeitpunkt, an dem alle 'Hürden' sichtbar werden, mit denen man bei der Integration sicherlich konfrontiert sein wird, und man entscheiden kann, wie viele Lizenzen benötigt werden.
Was kann während des 'Piloten' 'auftauchen'?

Wie sollten Sie sich also auf die Implementierung von Cisco ISE vorbereiten? Aus unserer Erfahrung haben wir vier wesentliche Punkte identifiziert, die während der Pilotphase berücksichtigt werden sollten.

Formfaktor

Zunächst müssen Sie entscheiden, in welchem Formfaktor das System realisiert werden soll: als physisches oder als virtuelles Appliance. Jede Variante hat ihre Vor- und Nachteile. Beispielsweise ist die Stärke eines physischen Appliances die vorhersehbare Leistung, aber man darf nicht vergessen, dass solche Geräte mit der Zeit veralten. Virtuelle Appliances sind weniger vorhersehbar, da sie von der Hardware abhängen, auf der die Virtualisierungsumgebung betrieben wird, bieten jedoch einen erheblichen Vorteil: Bei Vorhandensein von Support können sie immer auf die neueste Version aktualisiert werden.

Ist Ihre Netzwerkhardware mit Cisco ISE kompatibel?

Natürlich wäre das ideale Szenario, alle Geräte gleichzeitig an das System anzuschließen. Dennoch ist das nicht immer möglich, da viele Organisationen immer noch unmanaged Switches oder Switches verwenden, die nicht bestimmte Technologien unterstützen, auf denen Cisco ISE basiert. Übrigens geht es nicht nur um Switches, es können auch Wireless-Controller betroffen sein. VPN-Konzentratoren und andere Geräte, die mit Benutzern verbunden sind. In meiner Erfahrung gab es Fälle, in denen der Kunde nach der Demonstration des Systems praktisch den gesamten Park an Zugangs-Switches auf moderne Cisco-Ausrüstung aktualisiert hat, um ein optimales Deployment zu gewährleisten. Um unerwartete Überraschungen zu vermeiden, sollten Sie im Voraus klären, welcher Anteil an nicht unterstützter Hardware vorhanden ist.

Sind alle Ihre Geräte standardisiert?

In jedem Netzwerk gibt es Standardgeräte, deren Anschluss normalerweise unproblematisch ist: automatisierte Arbeitsplätze, IP-Telefone, WLAN-Zugangspunkte, Kameras usw. Es kommt jedoch vor, dass nicht standardisierte Geräte an das LAN angeschlossen werden müssen, wie z.B. RS232/Ethernet-Signalwandler, Schnittstellen für unterbrechungsfreie Stromversorgungen, verschiedene technische Geräte usw. Es ist wichtig, diese Geräte im Voraus zu identifizieren, damit Sie in der Implementierungsphase bereits ein Verständnis dafür haben, wie sie technisch mit Cisco ISE arbeiten.

Konstruktiver Dialog mit IT-Spezialisten

Häufig sind es die Sicherheitsabteilungen, die Cisco ISE anfordern, während die IT-Abteilungen normalerweise für die Konfiguration der Access-Switches und Active Directory verantwortlich sind. Daher ist eine produktive Zusammenarbeit zwischen den Sicherheits- und IT-Teams eine wichtige Voraussetzung für die reibungslose Implementierung des Systems. Wenn die IT-Abteilungen die Integration skeptisch betrachten, sollte man ihnen erklären, welchen Nutzen die Lösung für die IT-Abteilung hat.

Top 5 Anwendungsfälle von Cisco ISE

Unserer Erfahrung nach wird der erforderliche Funktionsumfang des Systems auch in der Pilotphase ermittelt. Nachfolgend sind einige der beliebtesten und weniger verbreiteten Anwendungsfälle der Lösung aufgeführt.

Sicherer kabelgebundener Zugang zum LAN mit EAP-TLS

Wie die Ergebnisse unserer Penetrationstests zeigen, nutzen Angreifer häufig reguläre Steckdosen, an die Drucker, Telefone, IP-Kameras, WLAN-Zugangspunkte und andere nicht-personalisierte Netzwerkgeräte angeschlossen sind, um in das Netzwerk eines Unternehmens einzudringen. Daher kann selbst bei der Nutzung von dot1x-Technologie für den Netzwerkzugang, jedoch mit alternativen Protokollen ohne Verwendung von Authentifizierungszertifikaten, die Wahrscheinlichkeit eines erfolgreichen Angriffs durch Sitzungsübernahme und Brute-Force-Angriffe auf Passwörter hoch sein. Im Fall von Cisco ISE wird es deutlich schwieriger sein, ein Zertifikat zu knacken – hierfür benötigen Hacker weitaus mehr Rechenleistung, was diesen Fall sehr effektiv macht.

Drahtloser Zugang Dual-SSID

Das Wesentliche dieses Szenarios besteht darin, zwei Netzwerk-IDs (SSIDs) zu verwenden. Die eine kann als "Gäste-SSID" bezeichnet werden. Über diese können sowohl Gäste als auch Mitarbeiter des Unternehmens auf das drahtlose Netzwerk zugreifen. Letztere werden beim Verbindungsversuch an ein spezielles Portal weitergeleitet, wo das Provisioning stattfindet. Das bedeutet, dass dem Nutzer ein Zertifikat ausgestellt und sein persönliches Gerät so konfiguriert wird, dass es automatisch mit der zweiten SSID, die bereits EAP-TLS nutzt und alle Vorteile des ersten Falls bietet, erneut verbindet.

MAC-Authentifizierungsumgehung und Profilierung

Ein weiteres populäres Anwendungsbeispiel ist die automatische Erkennung des Typs des angeschlossenen Geräts und die Anwendung der entsprechenden Einschränkungen. Was macht es so interessant? Es gibt nach wie vor eine Vielzahl von Geräten, die die Authentifizierung über das Protokoll 802.1X nicht unterstützen. Daher müssen solche Geräte oft über die MAC-Adresse in das Netzwerk zugelassen werden, die relativ leicht gefälscht werden kann. Hier kommt Cisco ISE ins Spiel: Mit Hilfe des Systems kann man beobachten, wie sich das Gerät im Netzwerk verhält, ein Profil erstellen und es einer Gruppe anderer Geräte zuordnen, wie zum Beispiel einem IP-Telefon und einem Arbeitsplatzrechner. Wenn ein Angreifer versucht, die MAC-Adresse zu fälschen und sich mit dem Netzwerk zu verbinden, erkennt das System, dass sich das Profil des Geräts geändert hat, gibt ein Signal für verdächtiges Verhalten und verweigert dem verdächtigen Benutzer den Zugang zum Netzwerk.

EAP-Chaining

Die EAP-Chaining-Technologie ermöglicht eine sequenzielle Authentifizierung von Arbeits-PCs und Benutzerkonten. Dieses Verfahren hat sich weit verbreitet, da in vielen Unternehmen die Verbindung persönlicher Geräte der Mitarbeiter zum Unternehmensnetzwerk nach wie vor nicht erwünscht ist. Mit diesem Authentifizierungsansatz kann überprüft werden, ob ein bestimmter Arbeitsplatz Mitglied der Domäne ist; im Falle eines negativen Ergebnisses hat der Benutzer entweder keinen Zugang zum Netzwerk oder kann zwar hineingehen, jedoch mit bestimmten Einschränkungen.

Posturing

In diesem Fall geht es um die Bewertung der Übereinstimmung der Softwarezusammensetzung des Arbeitsstationssystems mit den Anforderungen an die Informationssicherheit. Mit dieser Technologie kann überprüft werden, ob die Software auf der Arbeitsstation aktualisiert ist, ob Schutzmittel installiert sind, ob die Firewall korrekt konfiguriert ist usw. Interessanterweise ermöglicht diese Technologie auch die Lösung anderer Aufgaben, die nicht mit Sicherheit zusammenhängen, beispielsweise die Überprüfung auf das Vorhandensein erforderlicher Dateien oder die Installation von Systemsoftware.

Seltener kommen auch Nutzungsszenarien wie Zugriffskontrolle mit durchgängiger Domain-Authentifizierung (Passive ID), SGT-basierte Mikrosemmantierung und Filterung sowie Integration mit Mobile Device Management (MDM) und Schwachstellenscannern (Vulnerability Scanner) bei Cisco ISE vor.

Maßgeschneiderte Projekte: Wofür kann Cisco ISE noch benötigt werden, oder drei seltene Anwendungsfälle aus unserer Praxis

Zugriffskontrolle auf Linux-Server

Eines Tages standen wir vor einem eher komplexen Fall eines Kunden, der bereits ein Cisco ISE-System implementiert hatte: Wir mussten einen Weg finden, um die Benutzeraktivitäten (hauptsächlich von Administratoren) auf Servern mit einem installierten Linux-Betriebssystem zu kontrollieren. Bei der Suche nach einer Lösung kam uns die Idee, das Open-Source-Tool PAM Radius Module zu nutzen, das eine Anmeldung auf Linux-Servern mit Authentifizierung über einen externen RADIUS-Server ermöglicht. Das wäre alles gut gewesen, wenn da nicht ein "aber" wäre: Der RADIUS-Server gibt bei der Antwort auf die Authentifizierungsanfrage nur den Benutzernamen und das Ergebnis – assess accepted oder assess rejected – zurück. Für die Authentifizierung in Linux muss jedoch mindestens ein weiterer Parameter zugewiesen werden – das Home-Verzeichnis, damit der Benutzer überhaupt Zugriff hat. Wir fanden keinen Weg, dies als RADIUS-Attribut zurückzugeben, also schrieben wir ein spezielles Skript für die halbautomatische Erstellung von Benutzerkonten auf den Hosts. Diese Aufgabe war durchaus durchführbar, da es sich um Administratorenhandelte, deren Anzahl nicht zu groß war. Anschließend loggten sich die Benutzer auf das erforderliche Gerät ein, und dann wurde ihnen der notwendige Zugriff zugewiesen. Es stellt sich die berechtigte Frage: Ist es notwendig, in solchen Fällen unbedingt Cisco ISE zu verwenden? Tatsächlich nicht – jeder RADIUS-Server wäre geeignet, aber da der Kunde bereits dieses System hatte, fügten wir einfach eine neue Funktion hinzu.

Inventarisierung von Hardware und Software im LAN

Einmal arbeiteten wir an einem Projekt zur Bereitstellung von Cisco ISE für einen Kunden, ohne vorherige Pilotphase. Die Anforderungen an die Lösung waren unklar, und zudem hatten wir es mit einem flachen, nicht segmentierten Netzwerk zu tun, was unsere Aufgabe erschwerte. Im Laufe des Projekts richteten wir alle möglichen Profilierungsmethoden ein, die das Netzwerk unterstützte: NetFlow, DHCP, SNMP, Integration mit AD usw. Schließlich wurde der Zugang mittels MAR eingerichtet, sodass Nutzer auch bei fehlgeschlagener Authentifizierung ins Netzwerk gelangen konnten. Das bedeutet, selbst wenn die Authentifizierung nicht erfolgreich war, ließ das System den Benutzer ins Netzwerk, sammelte Informationen über ihn und speicherte diese in der ISE-Datenbank. Diese Netzwerküberwachung über mehrere Wochen half uns, die angeschlossenen Systeme und nicht-personalisierten Geräte zu identifizieren und einen Ansatz zur Segmentierung zu entwickeln. Danach richteten wir zusätzlich das Sharing ein, um Agenten auf den Arbeitsstationen zu installieren, um Informationen über die darauf installierte Software zu sammeln. Und was ist das Ergebnis? Wir konnten das Netzwerk segmentieren und eine Liste der Software erstellen, die von den Arbeitsstationen entfernt werden musste. Ich will nicht verschweigen, dass die nachfolgenden Aufgaben zur Verteilung der Benutzer in Domänengruppen und zur Begrenzung der Zugriffsrechte viel Zeit in Anspruch nahmen, aber so erhielten wir ein vollständiges Bild davon, welche 'Hardware' im Netzwerk des Kunden vorhanden war. Übrigens war das dank der guten Profilierungsarbeit 'out of the box' nicht schwierig. Wo die Profilierung nicht half, schauten wir selbst nach und isolierten den Port des Switches, an den die Geräte angeschlossen waren.

Remote-Software-Installation auf Arbeitsstationen

Dieser Fall gehört zu den ungewöhnlichsten in meiner Karriere. Eines Tages wandte sich ein Kunde mit einem Hilferuf an uns – bei der Implementierung von Cisco ISE ist etwas schiefgegangen, alles war kaputt und niemand konnte mehr auf das Netzwerk zugreifen. Wir begannen zu recherchieren und fanden Folgendes heraus. Im Unternehmen gab es 2000 Computer, deren Verwaltung aufgrund des Fehlens eines Domaincontrollers über das Administratorkonto erfolgte. Um eine Inventarisierung durchzuführen, wurde Cisco ISE implementiert. Es musste zumindest herausgefunden werden, ob auf den vorhandenen PCs ein Antivirus installiert war, die Softwareumgebung aktualisiert war usw. Da die IT-Administratoren das Netzwerkgerät in das System einpflegten, war es logisch, dass sie Zugriff darauf hatten. Nachdem sie gesehen hatten, wie es funktioniert, und eine Inventarisierung ihrer PCs durchgeführt hatten, kamen die Administratoren auf die Idee, Software aus der Ferne auf die Arbeitsstationen der Mitarbeiter zu installieren, ohne persönlich vorstellig zu werden. Stellen Sie sich nur vor, wie viele Schritte man so an einem Tag einsparen kann! Die Administratoren führten mehrere Überprüfungen auf den Arbeitsplätzen durch, um das Vorhandensein einer bestimmten Datei im Verzeichnis C:Program Files zu überprüfen. Bei Nichterfüllung wurde eine automatische Remediation ausgelöst, die zu einem Link führte, der auf den Installationsdatei .exe im Dateispeicher verweist. Das ermöglichte es den normalen Benutzern, auf den Dateiserver zuzugreifen und die benötigte Software herunterzuladen. Leider kannte der Administrator das System ISE nicht gut genug und beschädigte die Inventarisierungsmechanismen – er formulierte die Richtlinie falsch, was zur Problematik führte, wegen der wir hinzugezogen wurden. Ich persönlich bin von diesem kreativen Ansatz ehrlich überrascht, denn es wäre viel günstiger und weniger aufwändig gewesen, einen Domaincontroller zu erstellen. Aber als Proof of Concept hat es funktioniert.

Erfahren Sie mehr über die technischen Herausforderungen bei der Implementierung von Cisco ISE in dem Artikel meines Kollegen. „Praktische Implementierung von Cisco ISE: Eine Ingenieurperspektive“.

Artem Bobrikov, Projektingenieur im Zentrum für Informationssicherheit bei ‚Infosysteme Jet‘

Nachwort:
Obwohl dieser Beitrag sich mit dem Cisco ISE-System beschäftigt, sind die angesprochenen Probleme für die gesamte Klasse von NAC-Lösungen relevant. Unabhängig vom Anbieter bleibt der Großteil der oben genannten Punkte anwendbar.

Quelle: habr.com