Dieser Artikel ist der fünfte Teil der Artikelreihe „Wie man die Netzwerkinfrastruktur unter Kontrolle bringt“. Den Inhalt aller Artikel der Reihe und Links finden Sie hier. .
Dieser Teil wird den Campus (Büro) & Remote Access VPN-Segmenten gewidmet sein.
Es könnte scheinen, dass das Design eines Büronetzwerks einfach ist.
Tatsächlich nehmen wir L2/L3-Switches, verbinden sie miteinander. Danach führen wir eine grundlegende Konfiguration von VLANs, Standard-Gateways durch, richten einfaches Routing ein, schließen WiFi-Controller, Zugangspunkte an, installieren und konfigurieren ASA für den Fernzugriff und freuen uns, dass alles funktioniert. Im Prinzip, wie ich bereits in einem der vorherigen Teile dieses Zyklus geschrieben habe, kann jeder Student, der zwei Semester Telekommunikationskurs belegt hat, ein Büronetzwerk so entwerfen und einrichten, dass es "irgendwie funktioniert". Aber je mehr Sie lernen, desto weniger einfach erscheint diese Aufgabe. Für mich persönlich ist dieses Thema, das Design eines Büronetzwerks, überhaupt nicht einfach, und in diesem Artikel werde ich versuchen zu erklären, warum.
Kurz gesagt, es gibt viele Faktoren zu berücksichtigen. Oft stehen diese Faktoren im Widerspruch zueinander, und man muss einen vernünftigen Kompromiss suchen.
Diese Unsicherheit ist die Hauptschwierigkeit. Wenn es um Sicherheit geht, haben wir ein Dreieck mit drei Ecken: Sicherheit, Benutzerfreundlichkeit für Mitarbeiter, Preis der Lösung.
Und jedes Mal muss man einen Kompromiss zwischen diesen drei suchen.
Als Beispiel für die Architektur dieser beiden Segmente empfehle ich, wie in den vorherigen Artikeln,
Architektur
das Modell: Enterprise Campus , .
neuen Dokumentation. .
Dieser Artikel ist, wie gewohnt, keinesfalls vollständig, sondern eher eine Ergänzung zu diesen Informationen.
Am Ende des Artikels werden wir das Cisco SAFE-Design für Büros im Hinblick auf die hier dargelegten Konzepte analysieren.
Das Design eines Büronetzwerks muss natürlich den allgemeinen Anforderungen entsprechen, die behandelt wurden.
Allgemeine Prinzipien
Das Design eines Büronetzwerks muss natürlich die allgemeinen Anforderungen erfüllen, die betrachtet wurden. Im Kapitel «Kriterien zur Bewertung der Designqualität». Neben Preis und Sicherheit, die wir in diesem Artikel diskutieren möchten, gibt es noch drei weitere Kriterien, die wir bei der Gestaltung (oder bei Änderungen) berücksichtigen müssen:
- Skalierbarkeit (scalability)
- Verwaltungsfreundlichkeit (managability)
- Verfügbarkeit (availability)
Vieles von dem, was für gelten auch für das Büro.
Aber das Bürosegment hat dennoch seine eigenen Besonderheiten, die aus Sicht der Sicherheit entscheidend sind. Das Wesen dieser Besonderheiten besteht darin, dass dieses Segment zur Bereitstellung von Netzwerkdiensten für die Mitarbeiter (sowie Partner und Gäste) des Unternehmens geschaffen wird und folglich haben wir auf der obersten Ebene der Problembetrachtung zwei Aufgaben:
- die Ressourcen des Unternehmens vor bösartigen Handlungen zu schützen, die von Mitarbeitern (Gästen, Partnern) sowie von der Software, die sie verwenden, ausgehen können. Dazu gehören auch der Schutz vor unbefugtem Zugriff auf das Netzwerk.
- die Systeme und Daten der Benutzer selbst zu schützen
Und das ist nur eine Seite des Problems (genauer gesagt, eine Spitze des Dreiecks). Auf der anderen Seite stehen Benutzerfreundlichkeit und die Kosten der eingesetzten Lösungen.
Lassen Sie uns damit beginnen, was der Benutzer von einem modernen Büronetzwerk erwartet.
Komfort
So sehen aus meiner Sicht die «netzten Bequemlichkeiten» für den Bürobenutzer aus:
- Mobility
- Die Möglichkeit, das gesamte Spektrum gewohnter Geräte und Betriebssysteme zu nutzen
- Ein einfacher Zugang zu allen erforderlichen Ressourcen des Unternehmens
- Verfügbarkeit von Internetressourcen, einschließlich verschiedener Cloud-Dienste
- «Schnelle Netzwerkleistung»
All das gilt sowohl für Mitarbeiter als auch für Gäste (oder Partner), und das ist bereits die Aufgabe der Ingenieure des Unternehmens, die Zugriffsrechte für verschiedene Benutzergruppen basierend auf der Authentifizierung zu differenzieren.
Lassen Sie uns jeden dieser Aspekte etwas genauer betrachten.
Mobility
Es geht darum, von jedem Ort der Welt aus (natürlich wo das Internet verfügbar ist) zu arbeiten und auf alle erforderlichen Ressourcen des Unternehmens zuzugreifen.
Dies gilt in vollem Umfang auch für das Büro. Es ist praktisch, wenn Sie von jedem Punkt im Büro aus die Möglichkeit haben, weiterzuarbeiten, beispielsweise E-Mails zu empfangen, in einem Unternehmensmessenger zu kommunizieren oder für Videoanrufe verfügbar zu sein. So können Sie einerseits einige Fragen durch „persönliche“ Kommunikation klären (zum Beispiel an Besprechungen teilnehmen), und andererseits immer online sein, den Überblick behalten und schnell einige dringende, hochpriorisierte Aufgaben lösen. Das ist sehr praktisch und verbessert tatsächlich die Qualität der Kommunikation.
Dies wird durch das richtige Design des WiFi-Netzwerks erreicht.
Hinweis
Hier stellt sich meistens die Frage, ob es ausreicht, nur WiFi zu verwenden? Bedeutet das, dass man auf die Nutzung von Ethernet-Ports im Büro verzichten kann? Wenn es nur um die Benutzer geht, nicht um Server, die man dennoch sinnvoll mit einem herkömmlichen Ethernet-Port anschließen sollte, lautet die allgemeine Antwort: Ja, man kann sich auf WiFi beschränken. Aber es gibt Nuancen.
Es gibt wichtige Nutzergruppen, die einen besonderen Ansatz erfordern. Dazu zählen natürlich die Administratoren. Grundsätzlich ist eine WiFi-Verbindung weniger zuverlässig (in Bezug auf Datenverlust) und weniger schnell als ein herkömmlicher Ethernet-Port. Das kann für Administratoren erheblich sein. Außerdem haben Netzwerkadministratoren möglicherweise ein eigenes dediziertes Ethernet-Netzwerk für die Out-of-Band-Verbindung.
Möglicherweise gibt es in Ihrem Unternehmen auch andere Gruppen/Abteilungen, für die diese Faktoren ebenfalls wichtig sind.
Es gibt noch einen wichtigen Punkt – die Telefonie. Möglicherweise möchten Sie aus verschiedenen Gründen kein Wireless VoIP verwenden und stattdessen IP-Telefone mit einer herkömmlichen Ethernet-Verbindung nutzen.
Im Allgemeinen gab es in den Unternehmen, in denen ich gearbeitet habe, normalerweise sowohl die Möglichkeit einer WiFi-Verbindung als auch eines Ethernet-Ports.
Ich wünsche mir, dass die Mobilität nicht nur auf das Büro beschränkt ist.
Um die Möglichkeit zu gewährleisten, von zu Hause (oder einem anderen Ort mit verfügbarem Internet) zu arbeiten, wird eine VPN-Verbindung verwendet. Dabei ist es wünschenswert, dass die Mitarbeiter keinen Unterschied zwischen der Arbeit von zu Hause aus und der Fernarbeit spüren, was bedeutet, dass dieselben Zugriffe vorhanden sind. Wie wir das organisieren, werden wir später im Kapitel „Zentralisiertes Authentifizierungs- und Autorisierungssystem“ besprechen.
Hinweis
Wahrscheinlich werden Sie nicht in der Lage sein, die gleiche Servicequalität für die Telearbeit zu bieten, wie Sie sie im Büro haben. Nehmen wir an, dass Sie Cisco ASA 5520 als VPN-Gateway verwenden. Laut ist dieses Gerät nur in der Lage, 225 Mbit VPN-Traffic zu „verarbeiten“. Das bedeutet, dass sich die Verbindung über VPN in Bezug auf die Bandbreite erheblich von der Arbeit im Büro unterscheidet. Wenn zudem aus bestimmten Gründen die Verzögerung, der Verlust oder Jitter (zum Beispiel, wenn Sie die Unternehmens-IP-Telefonie nutzen möchten) für Ihre Netzwerkdienste erheblich sind, werden Sie auch nicht die gleiche Qualität erhalten, wie wenn Sie im Büro wären. Daher müssen wir, wenn wir über Mobilität sprechen, die möglichen Einschränkungen im Hinterkopf behalten.
Einfacher Zugang zu allen Unternehmensressourcen
Diese Aufgabe sollte zusammen mit anderen technischen Abteilungen gelöst werden.
Die ideale Situation ist, wenn der Benutzer sich nur einmal authentifizieren muss, und danach hat er Zugang zu allen benötigten Ressourcen.
Die Bereitstellung eines einfachen Zugangs ohne gefährliche Sicherheitsrisiken kann die Effizienz der Arbeit erheblich steigern und das Stressniveau Ihrer Kollegen senken.
Hinweis 1
Bequemlichkeit des Zugangs bedeutet nicht nur, wie oft Sie Ihr Passwort eingeben müssen. Wenn Sie beispielsweise gemäß Ihrer Sicherheitsrichtlinien zuerst eine Verbindung zum VPN-Gateway herstellen müssen, um vom Büro zum Rechenzentrum zuzugreifen, und dadurch den Zugang zu Büroressourcen verlieren, dann ist das ebenfalls sehr und sehr unangenehm.
Hinweis 2
Es gibt Dienste (zum Beispiel den Zugang zu Netzwerkhardware), wo wir normalerweise unsere eigenen dedizierten AAA-Server haben, und es ist normal, dass man sich in solchen Fällen mehrmals authentifizieren muss.
Verfügbarkeit von Internetressourcen
Das Internet ist nicht nur Unterhaltung, sondern auch eine Sammlung von Diensten, die für die Arbeit äußerst nützlich sein können. Es gibt auch rein psychologische Faktoren. Der moderne Mensch ist über viele virtuelle Fäden mit anderen Menschen im Internet verbunden, und meiner Meinung nach ist es nicht schlecht, wenn er diese Verbindung auch während der Arbeit spürt.
Aus Sicht des Zeitverlusts ist es nicht schlimm, wenn ein Mitarbeiter beispielsweise Skype geöffnet hat und bei Bedarf 5 Minuten für ein Gespräch mit einer nahestehenden Person aufwendet.
Bedeutet das, dass das Internet immer zugänglich sein muss, bedeutet das, dass Mitarbeitern der Zugang zu allen Ressourcen gewährt werden kann, ohne sie zu kontrollieren?
Nein, das bedeutet es natürlich nicht. Der Grad der Offenheit des Internets kann je nach Unternehmen unterschiedlich sein – von völliger Abschottung bis hin zu vollständiger Offenheit. Methoden zur Kontrolle des Datenverkehrs werden wir später in den Abschnitten über Schutzmaßnahmen besprechen.
Die Möglichkeit, das gesamte Spektrum gewohnter Geräte zu nutzen
Es ist praktisch, wenn Sie zum Beispiel die Möglichkeit haben, alle Ihnen vertrauten Kommunikationsmittel auch bei der Arbeit weiter zu nutzen. Es ist technisch nicht schwierig, dies umzusetzen. Dafür wird WiFi und ein Gast-VLAN benötigt.
Es ist auch vorteilhaft, wenn Sie die Möglichkeit haben, das Betriebssystem zu verwenden, an das Sie gewöhnt sind. Aber meiner Beobachtung nach wird dies normalerweise nur Managern, Administratoren und Entwicklern gestattet.
Beispiel
Natürlich kann man den Weg der Verbote gehen, den Remote-Zugang verbieten, die Nutzung mobiler Geräte untersagen, alles auf statische Ethernet-Anschlüsse beschränken, den Internetzugang einschränken, Handys und Gadgets am Eingang konfiszieren… und tatsächlich gehen einige Organisationen mit hohen Sicherheitsanforderungen diesen Weg, und möglicherweise kann das in bestimmten Fällen auch gerechtfertigt sein, aber… seien wir ehrlich, das sieht doch wie ein Versuch aus, den Fortschritt in einer einzelnen Organisation zu stoppen. Es wäre natürlich wünschenswert, die Möglichkeiten moderner Technologien mit einer angemessenen Sicherheitsstufe zu kombinieren.
«Schnelle Netzwerkleistung»
Die Datentransferrate setzt sich technisch aus vielen Faktoren zusammen. Und die Geschwindigkeit Ihres Anschlussports ist normalerweise nicht der wichtigste davon. Langsame Anwendungsleistung ist nicht immer mit Netzwerkproblemen verbunden, aber uns interessiert jetzt nur der Netzwerkteil. Das häufigste Problem bei der „Verlangsamung“ des lokalen Netzwerks ist der Paketverlust. Dies geschieht üblicherweise bei einer „Flaschenhals“-Situation oder bei L1 (OSI)-Problemen. Seltener, bei bestimmten Designs (zum Beispiel wenn in Ihren Subnetzen Standard-Gateways Firewalls sind und somit der gesamte Verkehr über sie läuft), könnte es an der Leistung der Hardware mangeln.
Daher müssen Sie bei der Auswahl von Geräten und Architektur die Geschwindigkeiten der Endports, Trunks und die Leistung der Hardware in Einklang bringen.
Beispiel
Angenommen, Sie verwenden als Access-Switches Switches mit 1-Gigabit-Ports. Sie sind über Etherchannel mit 2 x 10 Gigabit verbunden. Als Standardgateway verwenden Sie eine Firewall mit Gigabit-Ports, für deren Anschluss an das L2-Netzwerk des Büros Sie 2 Gigabit-Ports nutzen, die in Etherchannel aggregiert sind.
Diese Architektur ist in Bezug auf die Funktionalität recht bequem, da der gesamte Datenverkehr durch die Firewall fließt und Sie die Zugriffspolitiken bequem verwalten sowie komplexe Algorithmen zur Verkehrsüberwachung und zur Verhinderung möglicher Angriffe anwenden können (siehe weiter unten). Aus Sicht der Bandbreite und Leistung hat dieses Design jedoch potenzielle Probleme. Zum Beispiel können 2 Hosts, die Daten herunterladen (mit einer Portgeschwindigkeit von 1 Gigabit), die 2-Gigabit-Verbindung zur Firewall komplett auslasten und somit zu einer Dienstverschlechterung für das gesamte Büro-Segment führen.
Wir haben einen Punkt des Dreiecks betrachtet, jetzt lassen Sie uns anschauen, mit welchen Mitteln wir Sicherheit gewährleisten können.
Schutzmaßnahmen
Natürlich ist unser Wunsch (oder besser gesagt, der Wunsch unserer Führung) in der Regel das Unmögliche zu erreichen, nämlich maximalen Komfort bei maximaler Sicherheit und minimalen Kosten zu bieten.
Betrachten wir die Methoden, die wir für den Schutz zur Verfügung haben.
Für das Büro würde ich die folgenden herausstellen:
- Zero Trust-Ansatz im Design
- hohes Schutzniveau
- Netzwerksichtbarkeit
- einheitliches zentrales Authentifizierungs- und Autorisierungssystem
- Hostüberprüfung (Host Checking)
Lassen Sie uns nun etwas genauer auf jeden dieser Aspekte eingehen.
Zero Trust
Die IT-Welt verändert sich sehr schnell. In den letzten 10 Jahren haben die Einführung neuer Technologien und Produkte zu einer ernsthaften Überprüfung der Sicherheitskonzepte geführt. Vor zehn Jahren haben wir aus der Sicherheitsperspektive das Netzwerk in vertrauenswürdige, DMZ- und nicht vertrauenswürdige Zonen segmentiert und eine sogenannte „Perimetersicherheit“ angewendet, bei der es zwei Verteidigungslinien gab: untrust -> dmz und dmz -> trust. Zudem beschränkte sich der Schutz normalerweise auf Zugriffskontrolllisten basierend auf L3/L4 (OSI)-Headern (IP, TCP/UDP-Ports, TCP-Flags). Alles, was die höheren Ebenen betraf, einschließlich L7, wurde den Betriebssystemen und Sicherheitsprodukten, die auf den Endgeräten installiert sind, überlassen.
Die Situation hat sich jetzt grundlegend geändert. Das moderne Konzept geht davon aus, dass es nicht mehr möglich ist, interne Systeme, die sich innerhalb des Perimeters befinden, als vertrauenswürdig zu betrachten, und das Konzept des Perimeters selbst ist verschwommen geworden.
Neben der Internetverbindung haben wir auch
- Remote Access VPN für Benutzer
- verschiedene persönliche Geräte, mitgebrachte Laptops, die über das Büro-WiFi verbunden werden
- andere (Branch) Büros
- Integration mit Cloud-Infrastrukturen.
Wie sieht der Zero Trust-Ansatz in der Praxis aus?
Idealerweise sollte nur der Verkehr erlaubt sein, der erforderlich ist, und wenn wir schon vom Ideal sprechen, sollte die Kontrolle nicht nur auf der Ebene L3/L4, sondern auch auf der Anwendungsebene erfolgen.
Wenn Sie beispielsweise die Möglichkeit haben, den gesamten Verkehr durch eine Firewall zu leiten, können Sie versuchen, dem Ideal näher zu kommen. Aber ein solcher Ansatz kann die Gesamtbandbreite Ihres Netzwerks erheblich reduzieren, und zudem funktioniert die Anwendungskontrolle nicht immer gut.
Wenn Sie den Verkehr jedoch auf dem Router oder L3-Switch kontrollieren (Verwendung standardmäßiger ACL), stehen Sie vor anderen Problemen:
- Es handelt sich nur um L3/L4-Filterung. Nichts hindert einen Angreifer daran, erlaubte Ports (z. B. TCP 80) für seine Anwendung (nicht http) zu verwenden.
- komplexes ACL-Management (schwierig, ACL zu analysieren)
- es handelt sich nicht um eine stateful Firewall, das heißt, Sie müssen den Rückverkehr explizit erlauben.
- Bei Switches sind Sie normalerweise stark durch die Größe des TCAM eingeschränkt, was bei der Anwendung des „nur das erlauben, was nötig ist“-Ansatzes schnell problematisch werden kann.
Hinweis
Wenn wir über Rückverkehr sprechen, müssen wir uns an die folgende Möglichkeit (Cisco) erinnern:
permit tcp any any established
Aber man muss verstehen, dass diese Zeile gleichbedeutend mit zwei Zeilen ist:
permit tcp any any ack
permit tcp any any rstDas bedeutet, dass selbst wenn es kein ursprüngliches TCP-Segment mit dem SYN-Flag gab (d.h. die TCP-Sitzung hat nicht einmal begonnen), lässt diese ACL ein Paket mit dem ACK-Flag durch, was ein Angreifer ausnutzen kann, um Daten zu übertragen.
Das heißt, diese Zeile macht Ihren Router oder L3-Switch in keiner Weise zu einer stateful Firewall.
einen hohen Schutzlevel zu entscheiden.
Im Im Abschnitt, der den Rechenzentren gewidmet ist, haben wir die folgenden Schutzmaßnahmen betrachtet.
- stateful firewalling (Standard)
- ddos/dos protection
- application firewalling
- threat prevention (Antivirus, Anti-Spyware und Schwachstellen)
- URL-Filterung
- Datenfilterung (Inhaltsfilterung)
- Dateiblocking (Blockierung von Dateitypen)
Im Büro ist die Situation ähnlich, aber die Prioritäten sind etwas anders. Die Verfügbarkeit des Büros (availability) ist in der Regel nicht so kritisch wie im Fall eines Rechenzentrums, während die Wahrscheinlichkeit von "internem" schädlichen Datenverkehr um ein Vielfaches höher ist.
Deshalb werden die folgenden Schutzmethoden für dieses Segment entscheidend:
- application firewalling
- threat prevention (anti-virus, anti-spyware und vulnerability)
- URL-Filterung
- Datenfilterung (Inhaltsfilterung)
- Dateiblocking (Blockierung von Dateitypen)
Obwohl all diese Schutzmethoden, mit Ausnahme des application firewalling, traditionell auf Endgeräten (z.B. durch die Installation von Antivirensoftware) und über Proxy-Lösungen gelöst wurden und weiterhin werden, bieten moderne NGFW diese Dienste ebenfalls an.
Die Anbieter von Sicherheitsgeräten streben eine umfassende Sicherheitslösung an, daher werden neben dem Schutz auf lokalem Gerät verschiedene Cloud-Technologien und client-seitige Software für Hosts (end point protection/EPP) angeboten. So sehen wir zum Beispiel aus dass Palo Alto und Cisco ihre EPP (PA: Traps, Cisco: AMP) haben, aber längst nicht die führenden Anbieter sind.
Die Aktivierung dieser Schutzmechanismen (gewöhnlich durch den Erwerb von Lizenzen) auf der Firewall ist natürlich nicht zwingend notwendig (Sie können den traditionellen Weg gehen), bringt aber einige Vorteile mit sich:
- In diesem Fall entsteht ein einheitlicher Punkt für die Anwendung von Schutzeinstellungen, was die Sichtbarkeit (siehe nächstes Thema) verbessert.
- Wenn sich ein ungeschütztes Gerät in Ihrem Netzwerk befindet, fällt es dennoch unter den "Schirm" des Schutzes der Firewall.
- Durch die gleichzeitige Anwendung des Schutzes an der Firewall und auf den Endgeräten erhöhen wir die Wahrscheinlichkeit, schädlichen Datenverkehr zu erkennen. Zum Beispiel erhöht die Verwendung von threat prevention auf lokalen Hosts und der Firewall die Wahrscheinlichkeit der Entdeckung (sofern natürlich unterschiedliche Softwareprodukte diesen Lösungen zugrunde liegen)
Hinweis
Wenn Sie beispielsweise Kaspersky sowohl als Antivirus auf der Firewall als auch auf den Endgeräten verwenden, wird dies offensichtlich Ihre Chancen, einen Virusangriff in Ihrem Netzwerk zu verhindern, nicht wesentlich erhöhen.
Netzwerksichtbarkeit
einfach – „zu sehen“, was in Ihrem Netzwerk passiert, sowohl in Echtzeit als auch historische Daten.
Ich würde diese "Sichtweise" in zwei Gruppen unterteilen:
Gruppe Eins: was Ihnen normalerweise Ihr Überwachungssystem bereitstellt.
- Geräteauslastung
- Kanalnutzung
- Speicherauslastung
- Festplattennutzung
- Änderung der Routingtabelle
- Linkstatus
- Verfügbarkeit der Geräte (oder Hosts)
- …
Gruppe Zwei: Sicherheitsbezogene Informationen.
- verschiedene Statistiken (z. B. zu Anwendungen, Webaufrufen, welche Daten heruntergeladen wurden, Benutzerdaten)
- was durch Sicherheitsrichtlinien blockiert wurde und aus welchem Grund, nämlich
- verbotene Anwendung
- verboten auf Basis von ip/protocol/port/flags/zones
- Bedrohungsprävention
- URL-Filterung
- Datenfilterung
- Dateiblockierung
- …
- Statistik zu DOS/DDOS-Angriffen
- fehlgeschlagene Authentifizierungs- und Autorisierungsversuche
- Statistik zu allen oben genannten Ereignissen von Sicherheitsverletzungen
- …
In diesem Kapitel, das der Sicherheit gewidmet ist, interessiert uns insbesondere der zweite Teil.
Einige moderne Firewalls (aus meiner Erfahrung Palo Alto) bieten ein gutes Maß an Sichtbarkeit. Aber natürlich muss der Traffic, der Sie interessiert, durch diese Firewall geleitet werden (in diesem Fall haben Sie die Möglichkeit, den Traffic zu blockieren) oder auf die Firewall gespiegelt werden (wird nur für Überwachung und Analyse verwendet), und Sie müssen Lizenzen haben, die es Ihnen ermöglichen, all diese Dienste zu aktivieren.
Es gibt natürlich auch einen alternativen, genauer gesagt traditionelleren Ansatz, zum Beispiel,
- Statistiken über Sitzungen können über Netflow gesammelt und dann spezielle Tools zur Datenanalyse und -visualisierung verwendet werden.
- Bedrohungsprävention – spezielle Programme (Antivirus, Anti-Spyware, Firewall) auf den Endgeräten.
- URL-Filterung, Datenfilterung, Dateiblockierung – auf Proxys.
- Man kann auch tcpdump analysieren, zum Beispiel mit
Diese beiden Ansätze können kombiniert werden, indem fehlende Funktionen ergänzt oder dupliziert werden, um die Wahrscheinlichkeit einer Angriffserkennung zu erhöhen.
Welchen Ansatz sollten Sie wählen?
Hängt stark von der Qualifikation und den Vorlieben Ihres Teams ab.
In beiden Fällen gibt es Vor- und Nachteile.
Einheitliches zentralisiertes System zur Authentifizierung und Autorisierung
Bei einem guten Design impliziert die Mobilität, über die wir in diesem Artikel gesprochen haben, dass Sie die gleichen Zugriffe haben, egal ob Sie im Büro, von zu Hause, vom Flughafen, aus einem Café oder von jedem anderen Ort aus arbeiten (mit den Einschränkungen, die wir oben besprochen haben). Worin liegt also das Problem?
Um die Komplexität dieser Aufgabe besser zu verstehen, lassen Sie uns ein typisches Design betrachten.
Beispiel
- Sie haben alle Mitarbeiter in Gruppen eingeteilt. Sie haben entschieden, die Zugänge nach Gruppen zu gewähren.
- Innerhalb des Büros kontrollieren Sie die Zugänge über die Büro-Firewall.
- Den Datenverkehr vom Büro ins Rechenzentrum steuern Sie über die Firewall des Rechenzentrums.
- Als VPN-Gateway verwenden Sie Cisco ASA und zur Kontrolle des Datenverkehrs, der in Ihr Netzwerk von externen Kunden gelangt, wenden Sie lokale (auf ASA) ACL an.
Nehmen wir nun an, man bittet Sie, einem bestimmten Mitarbeiter einen zusätzlichen Zugang zu gewähren. Dabei wird darum gebeten, diesen Zugang nur ihm und niemandem sonst aus seiner Gruppe zu gewähren.
Zu diesem Zweck müssen wir eine separate Gruppe für diesen Mitarbeiter erstellen, das heißt:
- eine separate IP-Pool auf ASA für diesen Mitarbeiter zu erstellen.
- eine neue ACL auf ASA hinzuzufügen und diese mit diesem externen Client zu verknüpfen.
- neue Sicherheitsrichtlinien für die Büro- und Rechenzentrumsfirewalls zu erstellen.
Das ist in Ordnung, wenn dieses Ereignis selten auftritt. Aber in meiner Erfahrung gab es Situationen, in denen Mitarbeiter an verschiedenen Projekten beteiligt waren, und dieses Set von Projekten sich für einige von ihnen ziemlich oft änderte. Es waren nicht 1-2 Personen, sondern Dutzende. Natürlich musste hier etwas geändert werden.
Dies wurde auf folgende Weise gelöst.
Wir haben beschlossen, dass die einzige Quelle der Wahrheit, die alle möglichen Zugriffe des Mitarbeiters bestimmt, LDAP sein wird. Wir haben alle möglichen Gruppen erstellt, die Zugriffssets definieren, und jeden Benutzer haben wir einer oder mehreren Gruppen zugeordnet.
So beispielsweise gehen wir davon aus, dass es Gruppen gab:
- guest (Zugang zum Internet)
- common access (Zugänge zu gemeinsamen Ressourcen: E-Mail, Wissensdatenbank, ...)
- accounting
- project 1
- project 2
- data base administrator
- linux administrator
- …
Und wenn einer der Mitarbeiter sowohl in Projekt 1 als auch in Projekt 2 involviert war und Zugänge benötigte, die für die Arbeit an diesen Projekten erforderlich waren, dann wurde dieser Mitarbeiter entsprechend den Gruppen zugeordnet:
- guest
- common access
- project 1
- project 2
Wie können wir jetzt diese Informationen in Zugänge für die Netzwerkausrüstung umwandeln?
Cisco ASA Dynamische Zugriffsrichtlinie (DAP) (siehe ) ist die ideale Lösung für diese Aufgabe.
Kurz gesagt, bei unserer Implementierung erhält die ASA im Identifikations-/Autorisierungsprozess eine Reihe von Gruppen von LDAP, die dem Benutzer entsprechen, und „stellt“ aus mehreren lokalen ACLs (von denen jede einer Gruppe entspricht) eine dynamische ACL mit allen notwendigen Zugriffen zusammen, was unseren Anforderungen voll und ganz entspricht.
Das gilt jedoch nur für VPN-Verbindungen. Um die Situation für Mitarbeiter, die sich über VPN verbinden, und für die im Büro befindlichen gleichermaßen zu gestalten, wurde der nächste Schritt unternommen.
Bei der Verbindung aus dem Büro wurden die Nutzer über das Protokoll 802.1x entweder in das Gäste-VLAN (für Gäste) oder in das VLAN mit allgemeinen Zugriffsrechten (für Unternehmensmitarbeiter) eingestuft. Für den Zugriff auf spezifische Ressourcen (z. B. Projekte im Rechenzentrum) mussten die Mitarbeiter sich dann per VPN verbinden.
Für die Verbindung aus dem Büro und von zu Hause wurden unterschiedliche Tunnelgruppen auf der ASA verwendet. Dies ist notwendig, damit der Verkehr zu allgemeinen Ressourcen (die von allen Mitarbeitern genutzt werden, wie z. B. E-Mail, Dateiserver, Ticketsystem, DNS, …), die von Büroangestellten genutzt werden, nicht über die ASA, sondern über das lokale Netzwerk läuft. So vermeiden wir, dass die ASA mit zusätzlichem Datenverkehr, einschließlich hochintensivem Verkehr, belastet wird.
Damit war das Problem gelöst.
Wir haben erhalten
- gleiche Zugriffsrechte sowohl für Büroverbindungen als auch für Fernverbindungen
- keine Verschlechterung des Dienstes bei der Arbeit im Büro, die durch den Transport von hochintensivem Datenverkehr über die ASA verursacht wird
Was sind weitere Vorteile dieses Ansatzes?
Bei der Verwaltung von Zugriffsrechten. Zugriffe können einfach an einem Ort geändert werden.
Wenn beispielsweise ein Mitarbeiter das Unternehmen verlässt, entfernen Sie ihn einfach aus dem LDAP, und er verliert automatisch alle Zugriffsrechte.
Hostprüfung (host checking)
Mit der Möglichkeit von Fernverbindungen besteht das Risiko, dass nicht nur ein Mitarbeiter des Unternehmens, sondern auch schädliche Software, die mit hoher Wahrscheinlichkeit auf seinem Computer (z. B. zu Hause) vorhanden ist, in das Netzwerk gelangt, und darüber hinaus könnten wir möglicherweise einem Angreifer den Zugang zu unserem Netzwerk öffnen, der diesen Host als Proxy verwendet.
Es ist sinnvoll, für Remote-Hosts die gleichen Sicherheitsanforderungen anzuwenden wie für Hosts, die sich im Büro befinden.
Das umfasst auch die "richtige" Version des Betriebssystems, Anti-Virus-, Anti-Spyware- und Firewall-Software sowie Updates. In der Regel ist diese Funktionalität auf dem VPN-Gateway vorhanden (für ASA siehe zum Beispiel, ).
Es ist auch sinnvoll, die gleichen Analysemethoden und Verkehrsbeschränkungen anzuwenden (siehe "Hoher Schutzlevel"), die gemäß Ihrer Sicherheitsrichtlinie auf den Büroverkehr angewendet werden.
Es ist sinnvoll davon auszugehen, dass Ihr Büronetzwerk nun nicht mehr auf das Bürogebäude und die darin befindlichen Hosts beschränkt ist.
Beispiel
Eine gute Strategie ist es, jedem Mitarbeiter, der Remote-Zugriff benötigt, einen hochwertigen, benutzerfreundlichen Laptop zur Verfügung zu stellen und zu verlangen, dass er sowohl im Büro als auch von zu Hause aus darauf arbeitet.
Das erhöht nicht nur die Sicherheit Ihres Netzwerks, sondern ist auch tatsächlich bequem und wird von den Mitarbeitern in der Regel positiv aufgenommen (sofern es sich um einen wirklich guten und benutzerfreundlichen Laptop handelt).
Von einem Gefühl für Maß und Balance
Im Grunde genommen handelt es sich um ein Gespräch über die dritte Spitze unseres Dreiecks - über die Kosten.
Lassen Sie uns ein hypothetisches Beispiel betrachten.
Beispiel
Sie haben ein Büro für 200 Personen. Sie haben beschlossen, es so komfortabel und sicher wie möglich zu gestalten.
Daher haben Sie entschieden, den gesamten Verkehr durch die Firewall zu leiten, und für alle Subnetze im Büro ist die Firewall das Standardgateway. Neben der Sicherheitssoftware, die auf jedem Endgerät installiert ist (Anti-Virus-, Anti-Spyware- und Firewall-Software), haben Sie auch beschlossen, alle möglichen Schutzmethoden auf der Firewall anzuwenden.
Um eine hohe Verbindungsgeschwindigkeit (alles für den Komfort) sicherzustellen, haben Sie als Zugriffsschalter Switches mit 10-Gigabit-Zugangsports gewählt und als Firewalls leistungsstarke NGFW-Firewalls, beispielsweise das Palo Alto der Reihe 7K (mit 40-Gigabit-Ports), selbstverständlich mit allen aktiven Lizenzen und natürlich mit einer Hochverfügbarkeitsgruppe.
Auch benötigen wir für die Arbeit mit dieser Equipmentreihe mindestens ein paar hochqualifizierte Sicherheitstechniker.
Darüber hinaus haben Sie entschieden, jedem Mitarbeiter einen guten Laptop auszuhändigen.
Insgesamt belaufen sich die Kosten auf etwa 10 Millionen Dollar für die Implementierung, Hunderttausende Dollar (ich denke, näher am Million) für die jährliche Unterstützung und Gehälter der Ingenieure.
Büro, 200 Personen ...
Bequem? Vermutlich ja.Sie kommen mit diesem Vorschlag zu Ihrer Geschäftsführung…
Vielleicht gibt es in der Welt einige Unternehmen, für die dies eine akzeptable und richtige Lösung ist. Wenn Sie ein Mitarbeiter dieses Unternehmens sind – herzlichen Glückwunsch, aber in den überwiegenden meisten Fällen bin ich mir sicher, dass Ihr Wissen von der Geschäftsführung nicht gewürdigt wird.
Ist dieses Beispiel übertrieben? Das nächste Kapitel wird Antwort auf diese Frage geben.
Wenn Sie in Ihrem Netzwerk nichts von dem oben Aufgezählten sehen, dann ist das normal.
Für jeden konkreten Fall müssen Sie einen vernünftigen Kompromiss zwischen Komfort, Preis und Sicherheit finden. Oft ist im Büro nicht einmal ein NGFW erforderlich, keine L7-Schutz auf der Firewall. Es genügt, ein gutes Maß an Sichtbarkeit und Benachrichtigungen sicherzustellen, und das kann beispielsweise mit Open-Source-Produkten erreicht werden. Ja, Ihre Reaktion auf einen Angriff wird nicht sofort sein, aber das Wichtigste ist, dass Sie ihn sehen werden, und bei Vorliegen der richtigen Prozesse in Ihrer Abteilung werden Sie ihn schnell neutralisieren können.
Und ich erinnere daran, dass Sie gemäß dem Konzept dieser Artikelreihe kein Netzwerk designen, sondern nur versuchen, das zu verbessern, was Ihnen gegeben wurde.
Analyse der SAFE Architektur des Büros
Bitte beachten Sie dieses rote Quadrat, mit dem ich den Bereich auf dem Diagramm von , das ich hier besprechen möchte.
Dies ist einer der Schlüsselbereiche der Architektur und eine der bedeutendsten Ungewissheiten.
Hinweis
Ich habe noch nie FirePower (aus der Cisco-Firewall-Reihe – nur mit ASA gearbeitet) konfiguriert oder damit gearbeitet, weshalb ich es wie jede andere Firewall betrachten werde, beispielsweise wie Juniper SRX oder Palo Alto, in der Annahme, dass sie die gleichen Funktionen haben.
Bei den gängigen Konstruktionen sehe ich nur 4 mögliche Verwendungsarten der Firewall bei einer solchen Verbindung:
- Der Standardgateway für jedes Subnetz ist ein Switch, wobei die Firewall im transparenten Modus arbeitet (das heißt, der gesamte Verkehr geht durch sie, aber sie stellt keinen L3-Hop dar).
- Der Standardgateway für jedes Subnetz sind die Sub-Interfaces der Firewall (oder SVI-Interfaces), der Switch spielt die Rolle von L2.
- Auf dem Switch werden verschiedene VRFs verwendet, und der Verkehr zwischen den VRFs geht durch die Firewall, der Verkehr innerhalb eines VRFs wird über ACLs auf dem Switch kontrolliert.
- Der gesamte Verkehr wird zur Analyse und Überwachung an die Firewall gespiegelt, der Verkehr geht nicht durch sie.
Hinweis 1
Kombinationen dieser Optionen sind möglich, aber der Einfachheit halber werden wir sie nicht betrachten.
Hinweis2
Es gibt auch die Möglichkeit, PBR (Service Chain-Architektur) zu verwenden, aber derzeit ist dies, obwohl ich es für eine schöne Lösung halte, eher exotisch, weshalb ich es hier nicht in Betracht ziehe.
Aus der Beschreibung der Streams im Dokument sehen wir, dass der Verkehr tatsächlich über die Firewall läuft, das heißt, gemäß dem Design von Cisco entfällt die vierte Option.
Lassen Sie uns zunächst die ersten beiden Optionen betrachten.
Bei diesen Optionen läuft der gesamte Verkehr über die Firewall.
Nun schauen wir , schauen wir und sehen, dass wir, wenn wir eine Gesamtdatenrate für unser Büro von mindestens 10 bis 20 Gigabit haben wollen, die 4K-Version kaufen müssen.
Hinweis
Wenn ich von der Gesamtdatenrate spreche, meine ich den Verkehr zwischen den Subnetzen (und nicht innerhalb eines einzelnen VLANs).
Aus dem GPL sehen wir, dass der Preis für das HA-Bundle mit Threat Defense je nach Modell (4110 - 4150) zwischen ~0,5 und 2,5 Millionen Dollar variiert.
Das heißt, unser Design erinnert an das vorherige Beispiel.
Bedeutet das, dass dieses Design falsch ist?
Nein, bedeutet es nicht. Cisco bietet Ihnen den maximal möglichen Schutz basierend auf der Produktreihe, die es hat. Aber das bedeutet nicht, dass dies ein "Must-Do" für Sie ist.
Im Grunde ist dies eine allgemeine Frage, die beim Design eines Büros oder Rechenzentrums aufkommt, und das bedeutet nur, dass man einen Kompromiss suchen muss.
Zum Beispiel ist es nicht erforderlich, den gesamten Verkehr über die Firewall zu leiten, und in diesem Fall erscheint mir die dritte Option ziemlich ansprechend. Oder (siehe vorherigen Abschnitt) vielleicht benötigen Sie keine „Threat Defense“ oder überhaupt keine Firewall in diesem Netzwerksegment, und es genügt, passives Monitoring mit Hilfe von kostenpflichtigen (nicht teuren) oder Open-Source-Lösungen zu verwenden, oder eine Firewall ist erforderlich, aber von einem anderen Anbieter.
Normalerweise gibt es immer diese Unsicherheit und keine eindeutige Antwort darauf, welche Lösung für Sie die beste ist.
Das ist die Schwierigkeit und die Schönheit dieser Aufgabe.
Quelle: habr.com
