1. Introduzione
Ogni azienda, anche la più piccola, ha bisogno di attuare processi di autenticazione, autorizzazione e contabilizzazione degli utenti (insieme di protocolli AAA). Nelle fasi iniziali, AAA può essere implementato utilizzando protocolli come RADIUS, TACACS+ e DIAMETER. Tuttavia, con l'aumento del numero di utenti e della complessità aziendale, crescono anche le esigenze: visibilità massima degli host e dei dispositivi BYOD, autenticazione multifattoriale, creazione di politiche di accesso multilivello e molto altro.
Per queste esigenze, la classe di soluzioni NAC (Network Access Control) è perfetta per il controllo dell'accesso alla rete. In un ciclo di articoli dedicati a (Identity Services Engine) — soluzione NAC per fornire il controllo d'accesso agli utenti della rete interna tenendo conto del contesto, esploreremo in dettaglio l'architettura, l'inizializzazione, la configurazione e la licenza della soluzione.
Ricordo brevemente che Cisco ISE consente di:
Creare rapidamente e facilmente accessi ospiti su una WLAN dedicata;
Rilevare i dispositivi BYOD (ad esempio, i computer personali dei dipendenti portati al lavoro);
Centralizzare e applicare politiche di sicurezza per utenti di dominio e non dominio utilizzando etichette di gruppi di sicurezza SGT (tecnologia );
Verificare i computer per la presenza di software specifico installato e conformità agli standard (posturing);
Classificare e profilare dispositivi finali e di rete;
Fornire visibilità sui dispositivi finali;
Restituire i log degli eventi di logon/logoff utenti, le loro credenziali (identity) al NGFW per formare politiche basate sugli utenti;
Integrarsi nativamente con Cisco StealthWatch e mettere in quarantena host sospetti coinvolti in incidenti di sicurezza ();
E altre funzionalità standard per server AAA.
I colleghi del settore hanno già scritto su Cisco ISE, quindi consiglio di approfondire: ,.
2. Architettura
Nell'architettura dell'Identity Services Engine ci sono 4 entità (nodi): nodo di gestione (Policy Administration Node), nodo di distribuzione delle politiche (Policy Service Node), nodo di monitoraggio (Monitoring Node) e nodo PxGrid (PxGrid Node). Cisco ISE può essere installato in modalità autonoma (standalone) o distribuita (distributed). Nella modalità Standalone, tutte le entità si trovano su una macchina virtuale o su un server fisico (Secure Network Servers — SNS), mentre nella modalità Distributed, i nodi sono distribuiti su dispositivi diversi.
Il Policy Administration Node (PAN) è un nodo obbligatorio che consente di eseguire tutte le operazioni amministrative su Cisco ISE. Gestisce tutte le configurazioni di sistema relative ad AAA. In una configurazione distribuita (i nodi possono essere installati come macchine virtuali separate), è possibile avere un massimo di due PAN per garantire l'affidabilità — modalità Active/Standby.
Policy Service Node (PSN) — è un nodo obbligatorio che garantisce l'accesso alla rete, la gestione dello stato, l'accesso guest, la fornitura di servizi ai clienti e il profiling. Il PSN valuta le politiche e le applica. Di solito, si installano più PSN, specialmente in una configurazione distribuita, per garantire un'operatività più ridondante e distribuita. Ovviamente, questi nodi vengono installati in segmenti diversi per non perdere mai l'accesso autenticato e autorizzato.
Monitoring Node (MnT) — è un nodo obbligatorio che memorizza i registri degli eventi, i log di altri nodi e delle politiche nella rete. Il nodo MnT fornisce strumenti avanzati per il monitoraggio e la risoluzione dei problemi, raccoglie e confronta vari dati, oltre a fornire report dettagliati. Cisco ISE consente di avere un massimo di due nodi MnT, creando così una configurazione di tolleranza ai guasti — modalità Active/Standby. Tuttavia, entrambi i nodi, sia quello attivo che quello passivo, raccolgono i log.
PxGrid Node (PXG) — è un nodo che applica il protocollo PxGrid e garantisce la comunicazione tra altri dispositivi che supportano PxGrid.
— un protocollo che garantisce l'integrazione dei prodotti di infrastruttura IT e di sicurezza informatica di diversi vendor: sistemi di monitoraggio, sistemi di rilevamento e prevenzione delle intrusioni, piattaforme di gestione delle politiche di sicurezza e molte altre soluzioni. Cisco PxGrid consente lo scambio di contesto in modalità unidirezionale o bidirezionale con molte piattaforme senza la necessità di utilizzare API, rendendo così la tecnologia utilizzabile. (etichettatura SGT), modificare e applicare la politica ANC (Adaptive Network Control) e inoltre effettuare la profilazione — definire il modello del dispositivo, il sistema operativo, la posizione e altro.
Nella configurazione ad alta disponibilità, i nodi PxGrid replicano le informazioni tra i nodi attraverso il PAN. Nel caso in cui il PAN venga disattivato, il nodo PxGrid smette di autenticare, autorizzare e contabilizzare gli utenti.
Di seguito è schematizzata l'operazione delle diverse entità Cisco ISE nella rete aziendale.
Figura 1. Architettura Cisco ISE
3. Requisiti
Cisco ISE può essere implementato, come la maggior parte delle moderne soluzioni, in modo virtuale o fisico come server indipendente.
I dispositivi fisici con software Cisco ISE installato sono chiamati SNS (Secure Network Server). Ci sono tre modelli: SNS-3615, SNS-3655 e SNS-3695 per piccole, medie e grandi imprese. La tabella 1 riporta informazioni da SNS.
Tabella 1. Tabella comparativa SNS per diverse scale
Caratteristica
SNS 3615 (Piccolo)
SNS 3655 (Medio)
SNS 3695 (Grande)
Numero di dispositivi finali supportati in installazione Standalone
10000
25000
50000
Numero di dispositivi finali supportati per ciascun PSN
10000
25000
100000
CPU (Intel Xeon 2,10 GHz)
8 core
12 core
12 core
RAM
32 GB (2 x 16 GB)
96 GB (6 x 16 GB)
256 GB (16 x 16 GB)
HDD
1 x 600 GB
4 x 600 GB
8 x 600 GB
Hardware RAID
No
RAID 10, presenza di un controller RAID
RAID 10, presenza di un controller RAID
Interfacce di rete
2 x 10Gbase-T
4 x 1Gbase-T
2 x 10Gbase-T
4 x 1Gbase-T
2 x 10Gbase-T
4 x 1Gbase-T
Per le implementazioni virtuali, sono supportati i hypervisor VMware ESXi (si consiglia almeno la versione 11 di VMware per ESXi 6.0), Microsoft Hyper-V e Linux KVM (RHEL 7.0). Le risorse devono essere circa le stesse della tabella sopra, o superiori. Tuttavia, i requisiti minimi della macchina virtuale per le piccole imprese sono: 2 CPU con frequenza di 2,0 GHz o superiore, 16 GB di RAM e 200 GB HDD.
Per ulteriori dettagli sul deployment di Cisco ISE, contattare o , .
4. Installazione
Come la maggior parte degli altri prodotti Cisco, ISE può essere testato in diversi modi:
– servizio cloud per modelli di laboratorio preconfigurati (è necessaria un'account Cisco);
– richiesta da Cisco di specifici software (modo per i partner). Crei un caso con la seguente descrizione tipica: Tipo di prodotto [ISE], Software ISE [ise-2.7.0.356.SPA.x8664], Patch ISE [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];
— contatti un qualsiasi partner autorizzato per condurre un progetto pilota gratuito.
1) Dopo aver creato una macchina virtuale, se ha richiesto un file ISO e non un modello OVA, apparirà una finestra in cui ISE richiede di selezionare l'installazione. Per questo, invece di username e password, bisogna scrivere «setup«!
Nota: se ha implementato ISE da un modello OVA, i dati di accesso admin / MyIseYPass2 (questo e molto altro è indicato nella guida ufficiale ).
Figura 2. Installazione di Cisco ISE
2) Quindi è necessario compilare i campi richiesti, come indirizzo IP, DNS, NTP e altri.
Figura 3. Inizializzazione di Cisco ISE
3) Dopo che il dispositivo si riavvierà, potrà connettersi tramite l'interfaccia web all'indirizzo IP precedentemente impostato.
Figura 4. Interfaccia web di Cisco ISE
4) Nella scheda Amministrazione > Sistema > Distribuzione puoi selezionare quali nodi (entità) sono inclusi su un determinato dispositivo. Il nodo PxGrid si attiva qui.
Figura 5. Gestione delle entità Cisco ISE
5) Successivamente nella scheda Amministrazione > Sistema > Accesso Amministratore > Autenticazione ti consiglio di configurare la politica delle password, il metodo di autenticazione (certificato o password), la scadenza dell'account e altre impostazioni.
Figura 6. Configurazione del tipo di autenticazione
Figura 7. Impostazioni della politica delle password
Figura 8. Configurazione della disattivazione dell'account dopo un certo periodo
Figura 9. Configurazione del blocco degli account
6) Nella scheda Amministrazione > Sistema > Accesso Amministratore > Amministratori > Utenti Amministratore > Aggiungi è possibile creare un nuovo amministratore.
Figura 10. Creazione di un amministratore locale Cisco ISE
7) Il nuovo amministratore può far parte di un nuovo gruppo o di gruppi predefiniti. La gestione dei gruppi di amministratori avviene in questo stesso pannello nella scheda Gruppi di Amministratori. Nella Tabella 2 sono riassunte le informazioni sugli amministratori ISE, i loro diritti e ruoli.
Tabella 2. Gruppi di amministratori Cisco ISE, livelli di accesso, autorizzazioni e restrizioni
Nome del gruppo di amministratori
Autorizzazioni
Limitazioni
Amministratore di Personalizzazione
Impostazione di portali guest e sponsor, amministrazione e personalizzazione
Impossibilità di modificare le politiche, visualizzare i report
Amministratore Helpdesk
Possibilità di visualizzare il dashboard principale, tutti i report, allarmi e risolvere le problematiche
Impossibilità di modificare, creare o eliminare report, allarmi e log di autenticazione
Amministratore Identity
Gestione utenti, privilegi e ruoli, possibilità di visualizzare log, report e allarmi
Impossibilità di modificare le politiche, eseguire operazioni a livello di OS
Amministratore MnT
Monitoraggio completo, report, allarmi, log e gestione
Impossibilità di modificare alcuna politica
Amministratore Dispositivo di Rete
Diritti di creazione e modifica di oggetti ISE, visualizzazione di log, report, dashboard principale
Impossibilità di modificare le politiche, eseguire operazioni a livello di OS
Amministratore Politiche
Gestione completa di tutte le politiche, modifica di profili, impostazioni, visualizzazione dei report
Impossibilità di effettuare configurazioni con credenziali, oggetti ISE
Amministratore RBAC
Tutte le impostazioni nella scheda Operazioni, configurazione della politica ANC, gestione della reportistica
Impossibilità di modificare politiche diverse da quelle ANC, eseguire operazioni a livello di OS
Super Admin
Diritti su tutte le impostazioni, report e gestione, può eliminare e modificare le credenziali degli amministratori
Non può modificare o eliminare un altro profilo dal gruppo Super Admin
Amministratore di sistema
Tutte le impostazioni nella scheda Operazioni, gestione delle impostazioni di sistema, politica ANC, visualizzazione dei report
Impossibilità di modificare politiche diverse da quelle ANC, eseguire operazioni a livello di OS
Amministratore dei servizi RESTful esterni (ERS)
Accesso completo all'API REST di Cisco ISE
Solo per l'autenticazione, gestione degli utenti locali, degli host e dei gruppi di sicurezza (SG)
Operatore dei servizi RESTful esterni (ERS)
Diritti di lettura per l'API REST di Cisco ISE
Solo per l'autenticazione, gestione degli utenti locali, degli host e dei gruppi di sicurezza (SG)
Figura 11. Gruppi di amministratori preimpostati di Cisco ISE
8) Aggiuntivo nella scheda Autorizzazione > Permessi > Politica RBAC è possibile modificare i diritti degli amministratori preimpostati.
Figura 12. Gestione dei diritti dei profili di amministratori preimpostati di Cisco ISE
9) Nella scheda Amministrazione > Sistema > Impostazioni tutte le impostazioni di sistema (DNS, NTP, SMTP e altre) sono disponibili. Puoi compilarle qui, nel caso tu le avessi saltate durante la inizializzazione iniziale del dispositivo.
5. Conclusione
Questo è giunto alla fine del primo articolo. Abbiamo discusso dell'efficacia della soluzione NAC Cisco ISE, della sua architettura, dei requisiti minimi e delle opzioni di distribuzione, nonché della configurazione iniziale.
Nel prossimo articolo, esamineremo la creazione di account, l'integrazione con Microsoft Active Directory, nonché la creazione di accessi per gli ospiti.
Se hai domande su questo argomento o hai bisogno di assistenza nel testare il prodotto, contattaci a .
Seguite gli aggiornamenti sui nostri canali (, , , , ).
Fonte: habr.com
