🥇10. Check Point R80.20 alustamine. Identiteedi teadlikkus

Tere tulemast juubeli — 10. õppetundi. Täna räägime veel ühest Check Pointi blade'ist — Identiteedi teadlikkus. Juba varakult, kui kirjeldasime NGFW-d, oleme määratlenud, et sellel peab olema võimalus reguleerida juurdepääsu kontode, mitte IP-aadresside põhjal. See on enamasti seotud kasutajate suurenenud mobiilsusega ja BYOD mudeli — tood oma seade — laialdase levikuga. Ettevõttes võib olla palju inimesi, kes ühenduvad WiFi kaudu, saavad dünaamilise IP ja veelgi erinevatest võrgu segmentidest. Proovige siin luua juurdepääsuloendeid IP-aadresside põhjal. Siin ei tule kasutajate tuvastamiseta läbi. Ja just identiteedi teadlikkuse blade aitab meil sellega toime tulla.

Kuid kõigepealt selgitage välja, milleks kasutatakse kasutajate tuvastamist kõige sagedamini?

Kasutajate kontode põhjal võrgu juurdepääsu piiramiseks, mitte IP-aadresside. Juurdepääsu saab reguleerida nii lihtsalt Internetile kui ka paljudele teistele võrgu segmentidele, näiteks DMZ-le.
Juurdepääs VPN. Olete nõus, et kasutajale on oluliselt mugavam kasutada oma domeeni kontot autentimiseks, mitte veel ühte välja mõeldud parooli.
Check Pointi haldamiseks on samuti vajalik konto, millel võivad olla erinevad õigused.
Ja kõige meeldivam osa — Aruandlus. Oluliselt meeldivam on aruannetes näha konkreetseid kasutajaid, mitte nende IP-aadresse.

Samal ajal toetab Check Point kahte tüüpi kasutajakontosid:

Kohalikud sisemised kasutajad. Kasutaja luuakse kohalikes haldusserveri andmebaasides.
Välised kasutajad. Väliseks kasutajate andmebaasiks võib olla Microsoft Active Directory või mõni muu LDAP-server.

Täna räägime võrgu juurdepääsust. Võrgu juurdepääsu haldamiseks, kui on olemas Active Directory, kasutatakse objektina (allikas või sihtkoht) nn Juurdepääsurool, mis võimaldab kasutada kolme kasutaja parameetrit:

Võrk — st. võrk, millega kasutaja üritab ühenduda
AD kasutaja või kasutajarühm — need andmed saadakse otse AD serverist
Masin — tööjaam.

Samal ajal saab kasutajate tuvastamist teha mitmel viisil:

AD-päringCheck Point loebib AD serveri logisid autentifitseeritud kasutajate ja nende IP-aadresside osas. AD domeenis olevad arvutid tuvastatakse automaatselt.
Brahhsel põhinev autentimineKasutaja brauseri kaudu tuvastamine (Captive Portal või Transparent Kerberos). Seda kasutatakse kõige sagedamini seadmete puhul, mis ei kuulu domeeni.
TerminaliserveridSellisel juhul toimub tuvastamine spetsiaalse terminali agendi abil (paigaldatakse terminaliserverisse).

Need on kolm kõige levinumat varianti, kuid on veel kolm:

IdentiteediagendidKasutajate arvutitesse paigaldatakse spetsiaalne agent.
IdentiteedikogujadErinev utiliit, mis paigaldatakse Windows Serverisse ja kogub autentimise logisid mitme jaoks. Tegelikult on see hädavajalik variant suure kasutajate arvu korral.
RADIUS arvestusJa kuhu ka ilma vana hea RADIUSeta.

Selles tunnis demonstreerin teist varianti — brahhsel põhinev. Arvan, et piisavalt teooriat, liikume nüüd praktika juurde.