Tests zeigen: So bereiten Sie sich auf die Implementierung von Cisco ISE vor und verstehen, welche Funktionen des Systems Sie benötigen.

Wie oft kaufen Sie etwas spontan, beeinflusst von beeindruckender Werbung, und dann verstaubt der ursprünglich begehrte Artikel im Schrank, der Abstellkammer oder der Garage bis zur nächsten großen Reinigung oder dem Umzug? Das Ergebnis ist oft Enttäuschung über unerfüllte Erwartungen und vergeudetem Geld. Noch schlimmer ist es, wenn so etwas im Geschäftsleben passiert. Häufig sind Marketingtricks so überzeugend, dass Unternehmen eine teure Lösung erwerben, ohne das gesamte Bild ihrer Anwendung zu sehen. In der Tat hilft ein Testlauf des Systems, zu verstehen, wie die Infrastruktur für die Integration vorbereitet werden kann, welche Funktionen in welchem Umfang implementiert werden sollten. So kann eine riesige Anzahl von Problemen vermieden werden, die durch die blinde Wahl eines Produkts entstehen. Darüber hinaus wird die Implementierung nach einem gut durchdachten „Pilotprojekt“ für die Ingenieure viel weniger nervenaufreibend und haarsträubend sein. Lassen Sie uns untersuchen, warum Pilotprüfungen so wichtig für den Erfolg eines Projekts sind, anhand eines Beispiels für ein beliebtes Tool zur Zugriffskontrolle auf das Unternehmensnetzwerk – Cisco ISE. Wir betrachten sowohl typische als auch ganz unkonventionelle Anwendungsfälle der Lösung, die wir in unserer Praxis erlebt haben.

Cisco ISE – "Radius-Server auf Steroiden"

Cisco Identity Services Engine (ISE) ist eine Plattform zur Erstellung eines Systems zur Zugriffskontrolle für das lokale Netzwerk einer Organisation. In der Experten-Community wurde das Produkt aufgrund seiner Eigenschaften als "Radius-Server auf Steroiden" bezeichnet. Warum ist das so? Im Grunde genommen ist die Lösung ein Radius-Server, dem eine Vielzahl von zusätzlichen Diensten und "Features" hinzugefügt wurden, die es ermöglichen, eine große Menge kontextbezogener Informationen zu erhalten und diese Datenkombination in Zugriffspolitiken anzuwenden.

Wie jeder andere Radius-Server interagiert Cisco ISE mit Netzwerkgeräten auf Zugriffsebene, sammelt Informationen über alle Verbindungsversuche mit dem Unternehmensnetzwerk und lässt auf Grundlage von Authentifizierungs- und Autorisierungspolitiken Benutzer in das LAN oder nicht ein. Die Möglichkeit zur Profilierung, zum Scoring und zur Integration mit anderen Sicherheitslösungen ermöglicht es jedoch, die Logik der Autorisierungspolitik erheblich zu verkomplizieren und damit recht anspruchsvolle und interessante Aufgaben zu lösen.

Implementieren oder pilotieren: Warum ist Testing notwendig?

Der Wert eines Pilotprojekts liegt in der Demonstration aller Möglichkeiten des Systems in der spezifischen Infrastruktur einer bestimmten Organisation. Ich bin überzeugt, dass das Piloten von Cisco ISE vor der Implementierung für alle Projektbeteiligten nützlich ist, und das aus gutem Grund.

Integrator:innen gibt dies einen klaren Überblick über die Erwartungen des Kunden und hilft, ein korrektes Lastenheft zu erstellen, das viel mehr Details enthält als die gängige Floskel „machen Sie es so, dass alles gut ist“. Das „Pilotprojekt“ ermöglicht es uns, den gesamten Schmerz des Kunden nachzuvollziehen, zu verstehen, welche Aufgaben für ihn Priorität haben und welche sekundär sind. Für uns bietet sich hier eine hervorragende Gelegenheit, im Voraus zu klären, welche Hardware in der Organisation verwendet wird, wie die Implementierung ablaufen wird, an welchen Standorten und wo sie sich befinden.

Die Kunden hingegen sehen während des Pilotprojekts das echte System in Aktion, machen sich mit seiner Benutzeroberfläche vertraut, können überprüfen, ob es mit ihrer vorhandenen Hardware kompatibel ist, und erhalten einen ganzheitlichen Überblick darüber, wie die Lösung nach der vollständigen Implementierung funktionieren wird. Das „Pilotprojekt“ ist der Moment, in dem man alle „unterirdischen Gefahren“ sehen kann, mit denen man bei der Integration wahrscheinlich konfrontiert wird, und entscheiden kann, wie viele Lizenzen benötigt werden.
Was kann während des „Piloten“ „auftauchen“?

Wie kann man sich also richtig auf die Implementierung von Cisco ISE vorbereiten? Aus unserer Erfahrung haben wir 4 wesentliche Punkte identifiziert, die im Prozess des Pilotprojekts berücksichtigt werden sollten.

Formfaktor

Zunächst muss man sich entscheiden, in welchem Formfaktor das System implementiert wird: physisch oder virtuell. Jede Variante hat ihre Vor- und Nachteile. Ein Vorteil einer physischen Appliances ist die vorhersehbare Leistung, jedoch darf nicht vergessen werden, dass solche Geräte im Laufe der Zeit veralten. Virtuelle Appliances sind weniger vorhersehbar, da sie von der Hardware abhängen, auf der die Virtualisierungsumgebung ausgeführt wird, haben aber einen entscheidenden Vorteil: Bei vorhandener Unterstützung können sie immer auf die neueste Version aktualisiert werden.

Ist Ihre Netzwerkausrüstung mit Cisco ISE kompatibel?

Natürlich wäre es ideal, alle Geräte gleichzeitig an das System anzuschließen. Dennoch ist dies nicht immer möglich, da viele Organisationen nach wie vor unverwaltete Switches oder Switches verwenden, die nicht alle Technologien unterstützen, auf denen Cisco ISE basiert. Dabei geht es nicht nur um Switches, es können auch WLAN-Controller sein, VPN-Hubs und jede andere Hardware, an die Benutzer angeschlossen werden. In meiner Praxis gab es Fälle, in denen der Kunde nach der Präsentation des Systems zur vollständigen Implementierung fast seinen gesamten Bestand an Access-Switches auf moderne Cisco-Geräte aktualisierte. Um unangenehme Überraschungen zu vermeiden, ist es ratsam, im Voraus den Anteil an nicht unterstützter Hardware zu ermitteln.

Sind alle Ihre Geräte Standardgeräte?

In jedem Netzwerk gibt es Standardgeräte, deren Anschluss keine Schwierigkeiten bereiten sollte: Arbeitsplätze, IP-Telefone, WLAN-Access Points, Überwachungskameras und so weiter. Es kann jedoch auch vorkommen, dass nicht standardmäßige Geräte an das LAN angeschlossen werden müssen, zum Beispiel RS232/Ethernet-SIGNALWANDLER, Schnittstellen von unterbrechungsfreien Stromversorgungen, verschiedene technische Geräte usw. Es ist wichtig, im Voraus eine Liste solcher Geräte zu erstellen, sodass Sie bereits in der Implementierungsphase wissen, wie sie technisch mit Cisco ISE zusammenarbeiten werden.

Konstruktiver Dialog mit IT-Spezialisten

Häufig sind die Kunden von Cisco ISE die Sicherheitsabteilungen, während die IT-Abteilungen in der Regel für die Konfiguration der Access-Switches und von Active Directory verantwortlich sind. Daher ist eine produktive Zusammenarbeit zwischen Sicherheitsexperten und IT-Spezialisten eine der wichtigen Voraussetzungen für eine reibungslose Einführung des Systems. Wenn Letztere die Integration mit Skepsis betrachten, sollte erklärt werden, welchen Nutzen die Lösung für die IT-Abteilung bringt.

Top 5 Anwendungsfälle von Cisco ISE

Nach unserer Erfahrung wird die erforderliche Funktionalität des Systems auch in der Pilotphase ermittelt. Nachfolgend sind einige der beliebtesten und weniger verbreiteten Anwendungsfälle für die Nutzung der Lösung aufgeführt.

Sicherer kabelgebundener Zugang zum LAN mit EAP-TLS

Die Ergebnisse der Studien unserer Penetrationstester zeigen, dass Angreifer häufig gewöhnliche Steckdosen nutzen, die mit Druckern, Telefonen, IP-Kameras, WLAN-Zugangsstellen und anderen nicht-personalisierten Netzwerkgeräten verbunden sind, um in die Netzwerke von Unternehmen einzudringen. Daher besteht, auch wenn der Netzwerkzugang auf Basis der Technologie dot1x erfolgt, aber alternative Protokolle ohne die Verwendung von Authentifizierungszertifikaten für Benutzer eingesetzt werden, eine hohe Wahrscheinlichkeit für erfolgreiche Angriffe zur Sitzungspasswortübernahme und Brute-Force-Angriffe. Im Fall von Cisco ISE wird das Knacken des Zertifikats erheblich schwieriger sein – Hacker benötigen dafür wesentlich größere Rechenressourcen, sodass dieser Fall durchaus effektiv ist.

Drahtloser Zugang mit Dual-SSID

Das Konzept dieses Szenarios besteht in der Verwendung von 2 Netzwerkidentifikatoren (SSIDs). Eine davon kann bedingt als "Gast-SSID" bezeichnet werden. Über sie können sowohl Gäste als auch Mitarbeiter des Unternehmens in das drahtlose Netzwerk gelangen. Bei dem Versuch, eine Verbindung herzustellen, werden die Mitarbeiter auf ein spezielles Portal umgeleitet, wo das Provisioning erfolgt. Das heißt, dem Benutzer wird ein Zertifikat ausgestellt und sein persönliches Gerät wird für die automatische Neuverbindung zur zweiten SSID konfiguriert, in der bereits EAP-TLS mit allen Vorteilen des ersten Falls verwendet wird.

MAC-Authentifizierung umgangen und Profilierung

Ein weiterer beliebter Fall besteht darin, den Typ des angeschlossenen Geräts automatisch zu erkennen und die richtigen Einschränkungen anzuwenden. Warum ist das interessant? Es gibt nach wie vor viele Geräte, die die Authentifizierung über das Protokoll 802.1X nicht unterstützen. Daher müssen solche Geräte über ihre MAC-Adresse ins Netzwerk lassen, die relativ leicht gefälscht werden kann. Hier kommt Cisco ISE ins Spiel: Mit dem System kann man sehen, wie sich ein Gerät im Netzwerk verhält, ein Profil davon erstellen und diesem eine Gruppe anderer Geräte zuordnen, z. B. ein IP-Telefon und einen Arbeitsplatz. Wenn ein Angreifer versucht, die MAC-Adresse zu spoofen und sich mit dem Netzwerk zu verbinden, wird das System erkennen, dass sich das Profil des Geräts geändert hat, ein Signal für verdächtiges Verhalten geben und den verdächtigen Benutzer nicht ins Netzwerk lassen.

EAP-Chaining

Die EAP-Chaining-Technologie umfasst die sequenzielle Authentifizierung von Arbeits-PCs und Benutzerkonten. Dieses Szenario hat sich weit verbreitet, da in vielen Unternehmen die Verbindung persönlicher Geräte der Mitarbeiter mit dem Unternehmens-LAN nach wie vor nicht erwünscht ist. Mit diesem Ansatz zur Authentifizierung kann überprüft werden, ob ein bestimmter Arbeitsplatz Mitglied der Domäne ist, und im Falle eines negativen Ergebnisses kann der Benutzer entweder nicht ins Netzwerk gelangen oder sich mit bestimmten Einschränkungen anmelden.

Posturing

In diesem Fall geht es um die Bewertung der Konformität der Softwarezusammensetzung einer Arbeitsstation mit den Anforderungen an die Informationssicherheit. Mit dieser Technologie kann überprüft werden, ob die Software auf der Arbeitsstation aktualisiert ist, ob Schutzmittel installiert sind, ob die Host-Firewall konfiguriert ist usw. Interessanterweise ermöglicht diese Technologie auch die Lösung anderer, nicht sicherheitsrelevanter Aufgaben, wie beispielsweise die Überprüfung auf das Vorhandensein notwendiger Dateien oder die Installation von Systemsoftware.

Seltener treten auch solche Anwendungsszenarien von Cisco ISE auf, wie der Zugangskontrolle mit durchgängiger Domain-Authentifizierung (Passive ID), SGT-basierte Mikrosegmentierung und -filterung sowie die Integration mit Mobile Device Management (MDM) und Schwachstellenscannern.

Unkonventionelle Projekte: Wofür Cisco ISE sonst noch benötigt werden könnte, oder 3 seltene Fälle aus unserer Praxis

Zugangskontrolle zu Linux-Servern

Einst mussten wir einen ziemlich komplexen Fall für einen unserer Kunden lösen, der bereits ein Cisco ISE-System implementiert hatte: Wir mussten einen Weg finden, um das Nutzerverhalten (hauptsächlich von Administratoren) auf Servern mit Linux-Betriebssystem zu kontrollieren. Auf der Suche nach einer Lösung kam uns die Idee, das freie PAM Radius Module zu verwenden, das einen Zugriff auf Linux-Server mit Authentifizierung über einen externen Radius-Server ermöglicht. Alles wäre in dieser Hinsicht gut gewesen, wenn da nicht ein "aber" gewesen wäre: Der Radius-Server sendet, als Antwort auf eine Authentifizierungsanfrage, nur den Benutzernamen und das Ergebnis — assess accepted oder assess rejected. Für die Autorisierung in Linux muss jedoch mindestens ein weiterer Parameter zugewiesen werden — das Home-Verzeichnis, damit der Benutzer überhaupt einen Zugriff hat. Wir fanden keinen Weg, dies als Radius-Attribut zurückzugeben, also schrieben wir ein spezielles Skript für die halbautomatische Erstellung von Benutzerkonten auf den Hosts. Diese Aufgabe war durchaus umsetzbar, da wir es mit Administratoren-Konten zu tun hatten, deren Anzahl relativ gering war. Danach loggten sich die Benutzer auf dem erforderlichen Gerät ein, und es wurde ihnen der notwendige Zugang zugewiesen. Dies bringt die berechtigte Frage auf: Muss in solchen Fällen unbedingt Cisco ISE verwendet werden? Tatsächlich nicht — jeder Radius-Server würde ausreichen, aber da der Kunde bereits dieses System hatte, haben wir einfach eine neue Funktion hinzugefügt.

Inventarisierung von Hardware und Software im LAN

Eines Tages arbeiteten wir an einem Projekt zur Bereitstellung von Cisco ISE für einen Kunden, ohne vorher ein „Pilotprojekt“ durchzuführen. Es gab keine klaren Anforderungen für die Lösung, außerdem hatten wir es mit einem flachen, nicht segmentierten Netzwerk zu tun, was unsere Aufgabe erschwerte. Im Verlauf des Projekts richteten wir alle möglichen Profilierungsmethoden ein, die das Netzwerk unterstützte: NetFlow, DHCP, SNMP, Integration mit AD usw. Am Ende wurde der Zugang über MAR eingerichtet, sodass man auch bei fehlgeschlagener Authentifizierung ins Netzwerk gelangen konnte. Das heißt, selbst wenn die Authentifizierung nicht erfolgreich war, ließ das System den Benutzer ins Netzwerk und sammelte Informationen über ihn, die in die ISE-Datenbank aufgenommen wurden. Diese Netzwerküberwachung über mehrere Wochen half uns, angeschlossene Systeme und nicht-personalisierte Geräte zu identifizieren und einen Ansatz für ihre Segmentierung zu entwickeln. Danach richteten wir zusätzlich ein Sharing für die Installation des Agents auf den Arbeitsstationen ein, um Informationen über die darauf installierte Software zu sammeln. Was war das Ergebnis? Es gelang uns, das Netzwerk zu segmentieren und eine Liste der Software zu erstellen, die von den Arbeitsstationen entfernt werden sollte. Ich will nicht verschweigen, dass uns die weiteren Aufgaben zur Verteilung der Benutzer in die Domänengruppen und zur Begrenzung der Zugriffsrechte viel Zeit in Anspruch nahmen, aber so erhielten wir einen vollständigen Überblick darüber, welche „Hardware“ im Netzwerk des Kunden vorhanden war. Übrigens war dies dank der guten Funktionalität der Profilierung „out of the box“ nicht schwierig. Überall dort, wo die Profilierung nicht half, schauten wir selbst nach, indem wir den Port des Switches isolierten, an den die Geräte angeschlossen waren.

Remote-Installation von Software auf Arbeitsstationen

Dieser Fall ist einer der seltsamsten in meiner Praxis. Eines Tages wendete sich ein Kunde mit einem Hilferuf an uns - bei der Implementierung von Cisco ISE ging etwas schief, alles brach zusammen, und niemand konnte mehr auf das Netzwerk zugreifen. Wir begannen zu untersuchen und fanden Folgendes heraus. In der Firma gab es 2000 Computer, deren Verwaltung aufgrund des Fehlens eines Domänencontrollers unter dem Administrator-Konto erfolgte. Im Rahmen des Change Managements wurde Cisco ISE in der Organisation implementiert. Es war notwendig, irgendwie zu verstehen, ob auf den vorhandenen PCs ein Antivirus installiert war, ob die Softwareumgebung aktualisiert war usw. Da die IT-Administratoren das Netzwerkgerät in das System einpflegten, war es logisch, dass sie Zugang dazu hatten. Nachdem sie gesehen hatten, wie es funktioniert, und eine Bestandsaufnahme ihrer PCs durchgeführt haben, hatten die Administratoren die Idee, Software auf den Arbeitsstationen der Mitarbeiter remote ohne persönliche Besuche zu installieren. Stellen Sie sich vor, wie viele Schritte man so am Tag sparen kann! Die Administratoren führten mehrere Überprüfungen am Arbeitsplatz durch, um das Vorhandensein einer bestimmten Datei im Verzeichnis C:Program Files zu prüfen, und wenn diese nicht vorhanden war, wurde eine automatische Remediation gestartet, die auf einen Link führte, der zu einem Dateispeicher mit der Installationsdatei .exe führte. Dies ermöglichte es den normalen Benutzern, auf den Dateiserver zuzugreifen und die benötigte Software herunterzuladen. Leider kannte der Administrator das ISE-System schlecht und beschädigte die Mechanismen des Change Managements - er schrieb die Richtlinie falsch, was zu dem Problem führte, dessen Lösung wir übernehmen sollten. Persönlich bin ich über diesen kreativen Ansatz wirklich überrascht, denn es wäre viel günstiger und weniger arbeitsintensiv gewesen, einen Domänencontroller zu erstellen. Aber als Proof of Concept hat es funktioniert.

Mehr über die technischen Nuancen, die bei der Implementierung von Cisco ISE auftreten, lesen Sie im Artikel meines Kollegen. „Praxis der Implementierung von Cisco ISE. Blick eines Ingenieurs“.

Artem Bobrikov, Entwurfsingenieur im Zentrum für Informationssicherheit der Firma „Infosysteme Jet“

Nachwort:
Obwohl dieser Beitrag über das System Cisco ISE berichtet, sind die beschriebenen Probleme für die gesamte Klasse von NAC-Lösungen relevant. Es spielt keine Rolle, welche Lösung eines Anbieters implementiert werden soll – die meisten der oben genannten Punkte bleiben anwendbar.

Quelle: habr.com