Quante volte acquisti qualcosa in modo impulsivo, colpito da una pubblicità accattivante, per poi vedere quell'oggetto desiderato accumulare polvere nell'armadio, nel ripostiglio o nel garage fino al prossimo grande riordino o trasloco? Il risultato è una delusione dovuta a aspettative disattese e a denaro sprecato. È molto peggio quando questo accade nel business. Spesso le tecniche di marketing sono così persuasive che le aziende acquistano soluzioni costose senza avere una visione completa della loro applicazione. Nel frattempo, eseguire un test preliminare del sistema aiuta a comprendere come preparare l'infrastruttura per l'integrazione, quali funzionalità e in quale misura implementare. In questo modo si possono evitare un numero enorme di problemi dovuti alla scelta di un prodotto 'alla cieca'. Inoltre, un'implementazione dopo un 'pilota' ben condotto porterà a ingegneri con molte meno cellule nervose distrutte e capelli grigi. Analizziamo perché il testing pilota è così importante per il successo di un progetto, prendendo come esempio uno strumento popolare per il controllo degli accessi alla rete aziendale: Cisco ISE. Esamineremo sia le applicazioni standard che quelle del tutto insolite della soluzione che abbiamo incontrato nella nostra pratica.
Cisco ISE — «Radius server evoluto»
Cisco Identity Services Engine (ISE) è una piattaforma per creare un sistema di controllo degli accessi alla rete locale dell'organizzazione. Nella comunità esperta, questo prodotto è stato soprannominato «Radius server evoluto» per le sue caratteristiche distintive. Ma perché? In sostanza, la soluzione è un server Radius a cui sono stati aggiunti una miriade di servizi e funzionalità che consentono di raccogliere grandi volumi di informazioni contestuali e di applicare questi dati nelle politiche di accesso.
Come qualsiasi altro server Radius, Cisco ISE interagisce con l'hardware di rete di accesso, raccoglie informazioni su tutti i tentativi di connessione alla rete aziendale e, sulla base delle politiche di autenticazione e autorizzazione, decide se consentire o meno l'accesso agli utenti alla LAN. Tuttavia, la possibilità di profilazione, di analisi approfondita e di integrazione con altre soluzioni di sicurezza informatica consente di complicare notevolmente la logica della politica di autorizzazione, affrontando così compiti piuttosto impegnativi e interessanti.
Implementare non significa testare: perché è necessario il collaudo?
Il valore del test pilota risiede nella dimostrazione di tutte le capacità del sistema all'interno dell'infrastruttura specifica di una determinata organizzazione. Sono convinto che un pilota di Cisco ISE prima dell'implementazione sia utile a tutti i partecipanti al progetto, e questo è il motivo.
Per gli integratori, questo offre una chiara comprensione delle aspettative del cliente e aiuta a formulare un corretto capitolato tecnico, contenente molte più dettagli rispetto alla frase consueta 'fate in modo che tutto funzioni'. Il 'pilota' ci consente di percepire tutto il dolore del cliente, di capire quali compiti siano prioritari per lui e quali secondari. Per noi è un'ottima opportunità per capire in anticipo quale attrezzatura viene utilizzata nell'organizzazione, come avverrà l'implementazione, in quali sedi e dove si trovano.
Durante il test pilota, i clienti possono vedere il sistema reale in azione, familiarizzare con la sua interfaccia, verificare se è compatibile con l'hardware a loro disposizione e ottenere una visione complessiva di come la soluzione funzionerà dopo l'implementazione completa. Il 'pilota' è il momento in cui è possibile scoprire tutte le 'insidie' con cui si dovrà necessariamente confrontare durante l'integrazione e decidere quante licenze è necessario acquistare.
Cosa potrebbe 'emergere' durante il 'pilota'
Quindi, come ci si prepara correttamente all'implementazione di Cisco ISE? Dalla nostra esperienza, abbiamo identificato 4 aspetti principali da considerare nel processo di test pilota del sistema.
Fattore di forma
Per cominciare, è fondamentale decidere in quale form factor implementare il sistema: appliance fisica o virtuale. Ogni opzione ha i propri vantaggi e svantaggi. Ad esempio, il punto di forza delle appliance fisiche è la prestazione prevedibile, ma non si può dimenticare che tali dispositivi invecchiano nel tempo. Le appliance virtuali sono meno prevedibili, poiché dipendono dall'hardware su cui è distribuito l'ambiente di virtualizzazione, ma hanno un grande vantaggio: se supportate, possono sempre essere aggiornate all'ultima versione.
Il vostro hardware di rete è compatibile con Cisco ISE?
Naturalmente, lo scenario ideale sarebbe quello di connettere tutto l'hardware al sistema contemporaneamente. Tuttavia, ciò non è sempre possibile, poiché molte organizzazioni utilizzano ancora switch non gestiti o switch che non supportano alcune tecnologie su cui si basa Cisco ISE. A proposito, non si tratta solo di switch; possono esserci anche controller di rete wireless. VPN-concentratori e qualsiasi altra attrezzatura a cui si collegano gli utenti. Nella mia esperienza, ci sono stati casi in cui, dopo la dimostrazione del sistema per una piena implementazione, il cliente ha aggiornato praticamente tutta la serie di switch di accesso a moderne attrezzature Cisco. Per evitare brutte sorprese, è utile chiarire in anticipo la percentuale di attrezzature non supportate.
Tutti i vostri dispositivi sono standard?
In ogni rete ci sono dispositivi standard, il cui collegamento non dovrebbe presentare difficoltà: postazioni di lavoro automatizzate, telefoni IP, punti di accesso Wi-Fi, telecamere video e così via. Tuttavia, può accadere che sia necessario collegare dispositivi non standard alla LAN, come convertitori di segnali da RS232/Ethernet, interfacce di sorgenti di alimentazione ininterrotte, varie attrezzature tecnologiche e altro. È importante determinare in anticipo l'elenco di tali dispositivi, in modo da avere già chiaro come funzioneranno tecnicamente con Cisco ISE nella fase di implementazione.
Dialogo costruttivo con i professionisti IT
Spesso i dipartimenti di sicurezza richiedono Cisco ISE, mentre la configurazione degli switch di accesso e dell'Active Directory è generalmente gestita dai reparti IT. Pertanto, una collaborazione produttiva tra i responsabili della sicurezza e i tecnici IT è una delle condizioni fondamentali per un'implementazione senza problemi del sistema. Se questi ultimi percepiscono l'integrazione con scetticismo, è utile spiegare loro come la soluzione possa essere vantaggiosa per il reparto IT.
Top 5 casi d'uso di Cisco ISE
Secondo la nostra esperienza, le funzionalità necessarie del sistema emergono anche nella fase di test pilota. Di seguito sono riportati alcuni dei casi d'uso della soluzione, sia popolari che meno comuni.
Accesso sicuro alla LAN tramite cavo con EAP-TLS
Come dimostrano i risultati delle indagini effettuate dai nostri pentester, gli aggressori utilizzano frequentemente le normali prese a cui sono collegati stampanti, telefoni, telecamere IP, punti di accesso Wi-Fi e altri dispositivi di rete non personali per infiltrarsi nella rete aziendale. Pertanto, anche se l'accesso alla rete è basato sulla tecnologia dot1x, se vengono utilizzati protocolli alternativi senza l'uso di certificati di autenticazione degli utenti, la probabilità di un attacco riuscito con intercettazione delle sessioni e brute force delle password è alta. Nel caso di Cisco ISE, compromettere il certificato sarà notevolmente più difficile: gli hacker richiederanno risorse di calcolo molto maggiori, quindi questo caso è piuttosto efficace.
Accesso wireless Dual-SSID
Il fulcro di questo scenario è l'utilizzo di 2 identificatori di rete (SSID). Uno di essi può essere considerato 'ospite'. Attraverso di esso, sia gli ospiti che i dipendenti dell'azienda possono accedere alla rete wireless. I dipendenti, durante il tentativo di connessione, vengono reindirizzati a un portale speciale, dove avviene il provisioning. In altre parole, all'utente viene rilasciato un certificato e viene configurato il suo dispositivo personale per riconnettersi automaticamente al secondo SSID, già protetto da EAP-TLS con tutti i vantaggi del primo caso.
Bypass dell'autenticazione MAC e profilazione
Un altro caso popolare riguarda l'identificazione automatica del tipo di dispositivo connesso e l'applicazione delle giuste restrizioni. Perché è interessante? Il fatto è che esistono ancora molti dispositivi che non supportano l'autenticazione tramite il protocollo 802.1X. Pertanto, è necessario consentire l'accesso alla rete per questi dispositivi tramite l'indirizzo MAC, che è piuttosto facile da falsificare. Qui entra in gioco Cisco ISE: attraverso il sistema è possibile vedere come si comporta un dispositivo nella rete, creare il suo profilo e associarlo a un gruppo di altri dispositivi, come un telefono IP e una workstation. Nel tentativo di un malintenzionato di effettuare lo spoofing dell'indirizzo MAC e connettersi alla rete, il sistema noterà che il profilo del dispositivo è cambiato, invierà un segnale di comportamento sospetto e non consentirà all'utente sospetto di accedere alla rete.
EAP-Chaining
La tecnologia EAP-Chaining prevede l'autenticazione sequenziale del PC di lavoro e dell'account utente. Questo approccio è diventato comune, poiché molte aziende non supportano ancora il collegamento dei dispositivi personali dei dipendenti alla rete aziendale. Utilizzando questo metodo di autenticazione, è possibile verificare se una specifica workstation è membro del dominio, e in caso negativo, l'utente non potrà accedere alla rete oppure entrerà con delle limitazioni.
Posturing
In questo caso si parla di valutare la conformità del software installato sulla workstation ai requisiti di sicurezza informatica. Questa tecnologia consente di verificare se il software è aggiornato, se sono presenti misure di protezione, se il firewall host è configurato, e così via. È interessante notare che questa tecnologia permette anche di affrontare altre problematiche non necessariamente legate alla sicurezza, come controllare la presenza di file necessari o l'installazione di software di sistema.
Ci sono anche scenari d'uso di Cisco ISE meno comuni, come il controllo degli accessi con autenticazione di dominio passiva (Passive ID), la microsegmentazione basata su SGT e il filtraggio, oltre all'integrazione con i sistemi di gestione dei dispositivi mobili (MDM) e gli scanner di vulnerabilità (Vulnerability Scanner).
Progetti personalizzati: perché potrebbe essere necessario Cisco ISE, o 3 casi rari dalla nostra esperienza
Controllo degli accessi ai server basati su Linux
Una volta abbiamo affrontato un caso piuttosto articolato per uno dei nostri clienti, che aveva già implementato un sistema Cisco ISE: dovevamo trovare un modo per monitorare le azioni degli utenti (principalmente amministratori) sui server con installato un sistema operativo Linux. Nella ricerca di una soluzione, ci è venuta l'idea di utilizzare il software open source PAM Radius Module, che consente di accedere ai server Linux con autenticazione su un server RADIUS esterno. Tutto sarebbe andato bene, se non fosse stato per un "ma": il server RADIUS, inviando una risposta alla richiesta di autenticazione, restituisce solo il nome dell'account e il risultato — assess accepted oppure assess rejected. Tuttavia, per l'autorizzazione in Linux è necessario assegnare almeno un altro parametro — home directory, affinché l'utente possa accedere a qualcosa. Non abbiamo trovato un modo per fornire questo come attributo RADIUS, quindi abbiamo scritto uno script speciale per creare account remoti sui host in modalità semi-automatica. Questo compito era del tutto realizzabile, poiché trattavamo account di amministratori, il cui numero non era così elevato. Successivamente, gli utenti accedevano al dispositivo necessario, dopodiché veniva loro assegnato l'accesso richiesto. Sorge pertanto la domanda: è necessario utilizzare Cisco ISE in casi simili? In realtà no: qualsiasi server RADIUS andrà bene, ma poiché il cliente aveva già implementato questo sistema, abbiamo semplicemente aggiunto una nuova funzionalità.
Inventario dell'hardware e del software nella rete locale
Un giorno abbiamo lavorato a un progetto per fornire Cisco ISE a un cliente senza un «pilota» preliminare. Non c'erano requisiti chiari per la soluzione e, inoltre, dovevamo affrontare una rete piatta e non segmentata, il che complicava il nostro compito. Durante il progetto abbiamo configurato tutti i metodi di profilazione supportati dalla rete: NetFlow, DHCP, SNMP, integrazione con AD, ecc. Alla fine, è stato impostato l'accesso tramite MAR che permetteva di accedere alla rete anche in caso di autenticazione fallita. In altre parole, anche se l'autenticazione non aveva successo, il sistema permetteva comunque all'utente di accedere alla rete, raccoglieva informazioni su di lui e le memorizzava nel database ISE. Questa monitorizzazione della rete per diverse settimane ci ha aiutato a identificare i sistemi connessi e i dispositivi non personali e a sviluppare un approccio alla loro segmentazione. Successivamente, abbiamo ulteriormente configurato il sharing per installare l'agente sulle workstation per raccogliere informazioni sul software installato. Qual è stato il risultato? Siamo riusciti a segmentare la rete e a identificare l'elenco del software da rimuovere dalle workstation. Non nascondo che le ulteriori attività di distribuzione degli utenti nei gruppi di dominio e di delimitazione dei diritti di accesso ci hanno richiesto molto tempo, ma in questo modo abbiamo avuto una visione completa dell'hardware presente nella rete del cliente. A proposito, è stato relativamente semplice grazie all'ottimo funzionamento della profilazione 'out of the box'. E dove la profilazione non ha aiutato, abbiamo esaminato noi stessi, isolando la porta dello switch a cui era collegato l'hardware.
Installazione remota del software sulle postazioni di lavoro
Questo caso è uno dei più strani della mia carriera. Un giorno un cliente ci ha contattati chiedendo aiuto: durante l'implementazione di Cisco ISE qualcosa è andato storto, tutto si è bloccato e nessuno poteva più accedere alla rete. Abbiamo iniziato a indagare e abbiamo scoperto quanto segue. Nella società c'erano 2000 computer, la cui gestione, in mancanza di un controller di dominio, avveniva tramite l'account dell'amministratore. Per motivi di auditing, è stato implementato Cisco ISE. Era necessario comprendere se fosse installato un antivirus sui PC presenti, se l'ambiente software fosse aggiornato, ecc. Poiché gli attuatori di rete avevano accesso al sistema, gli amministratori IT hanno trovato logico fare così. Osservando come funzionava e effettuando l'audit dei propri PC, gli amministratori hanno ideato un metodo per installare software sulle stazioni di lavoro dei dipendenti a distanza, senza visite personali. Immaginate quanti passaggi si possono risparmiare in un giorno! Gli amministratori hanno effettuato diverse verifiche APM per verificare la presenza di un certo file nella directory C:Program Files, e in caso di assenza veniva avviata un'automazione di remediation con un link che conduceva a un archivio di file per scaricare il file di installazione .exe. Questo ha permesso agli utenti normali di accedere al file share e scaricare il software necessario. Sfortunatamente, l'amministratore non conosceva bene il sistema ISE e ha danneggiato i meccanismi di auditing: ha scritto erroneamente la policy, e questo ha portato al problema, per il quale sono stati coinvolti noi. Personalmente, sono sinceramente sorpreso da un approccio così creativo, poiché sarebbe stato molto più economico e meno dispendioso in termini di lavoro creare un controller di dominio. Ma come prova di concetto ha funzionato.
Ulteriori dettagli sulle sfide tecniche nell'implementazione di Cisco ISE possono essere trovati nell'articolo del mio collega .
Artem Bobrikov, progettista del Centro di Sicurezza Informatica di «Infosystem Jet»
Epifania:
Sebbene questo post tratti del sistema Cisco ISE, le problematiche descritte sono rilevanti per l'intera classe di soluzioni NAC. Non è importante quale fornitore si prevede di implementare, gran parte di quanto detto rimarrà applicabile.
Fonte: habr.com
