Questo articolo è il quinto di una serie di articoli intitolati «Come controllare la rete». Puoi trovare il contenuto di tutti gli articoli della serie e i collegamenti qui. .
Questa parte sarà dedicata ai segmenti VPN Campus (Ufficio) e Accesso remoto.
Potrebbe sembrare che progettare una rete d'ufficio sia semplice.
In effetti, prendiamo switch L2/L3, li colleghiamo tra loro. Successivamente, eseguiamo una configurazione di base di VLAN, gateway predefiniti, attiviamo un semplice routing, colleghiamo controllori WiFi, punti di accesso, installiamo e configuriamo un ASA per accesso remoto, e siamo felici che tutto funzioni. Fondamentalmente, come ho già scritto in uno dei precedenti articoli di questa serie, progettare e configurare una rete d'ufficio in modo che «funzioni in qualche modo» può essere fatto da quasi ogni studente che ha seguito (e appreso) due semestri di un corso di telecomunicazioni. Ma più si impara, meno facile sembra diventare questo compito. Personalmente, per me, questo tema, il design della rete d'ufficio, non sembra affatto semplice, e in questo articolo cercherò di spiegare il perché.
Ma più impari, meno semplice sembra questa attività. Personalmente, il tema della progettazione della rete d'ufficio non mi sembra affatto facile, e in questo articolo cercherò di spiegare perché.
In breve, ci sono molti fattori da considerare. Spesso, questi fattori sono in conflitto tra loro e bisogna trovare un compromesso ragionevole.
Questa incertezze è la principale difficoltà. Parlando di sicurezza, abbiamo un triangolo con tre vertici: sicurezza, facilità per i dipendenti e prezzo della soluzione.
E ogni volta bisogna trovare un compromesso tra questi tre.
Architettura
Come esempio di architettura per questi due segmenti, come in precedenti articoli, consiglio modello: , .
Questi sono documenti un po' datati. Li porto qui perché i principi e gli approcci non sono cambiati, ma mi piace di più la loro esposizione rispetto alla .
Senza incoraggiarvi a utilizzare necessariamente soluzioni Cisco, ritengo comunque utile esaminare attentamente questo design.
Questo articolo, come al solito, pur non pretendendo di essere esaustivo, è più un complemento a queste informazioni.
Alla fine dell'articolo, analizzeremo il design Cisco SAFE per l'ufficio alla luce dei concetti qui esposti.
Principi generali
Il design della rete aziendale deve naturalmente soddisfare i requisiti generali considerati nel capitolo «Criteri di valutazione della qualità del design». Oltre al prezzo e alla sicurezza, che discuteremo in questo articolo, ci sono ancora tre criteri che dobbiamo considerare durante la progettazione (o durante le modifiche):
- scalabilità (scalability)
- facilità di gestione (manageability)
- disponibilità (availability)
Molto di quanto discusso per valida anche per l'ufficio.
Tuttavia, il segmento ufficio ha le sue specifiche, che sono critiche dal punto di vista della sicurezza. La sostanza di queste specifiche è che questo segmento è creato per fornire servizi di rete ai dipendenti (nonché ai partner e agli ospiti) dell’azienda, e, di conseguenza, a un livello superiore, abbiamo due compiti:
- proteggere le risorse dell'azienda da attività dannose che possono provenire dai dipendenti (ospiti, partner) e dai software che utilizzano. Questo include anche la protezione contro accessi non autorizzati alla rete.
- proteggere i sistemi e i dati degli utenti stessi
E questa è solo una faccia del problema (o meglio, un vertice del triangolo). Dall'altra parte c'è il comfort dell'utente e il costo delle soluzioni adottate.
Iniziamo esaminando cosa si aspetta un utente da una rete d'ufficio moderna.
Comfort
Ecco come, secondo me, si presentano i "comodità di rete" per un utente d'ufficio:
- Mobilità
- La possibilità di utilizzare l'intera gamma di dispositivi e sistemi operativi familiari
- Accesso facile a tutte le risorse necessarie dell'azienda
- Disponibilità delle risorse internet, comprese le varie soluzioni cloud
- «Velocità di funzionamento» della rete
Tutto ciò riguarda sia i dipendenti che gli ospiti (o partner), ed è compito degli ingegneri dell'azienda, sulla base dell'autorizzazione, delimitare gli accessi per diversi gruppi di utenti.
Esaminiamo più da vicino ciascun aspetto.
Mobilità
Si tratta della possibilità di lavorare e accedere a tutte le risorse necessarie dell'azienda da qualsiasi luogo nel mondo (naturalmente, dove è disponibile internet).
Questo vale anche per l'ufficio. È comodo quando da qualsiasi punto dell'ufficio hai la possibilità di continuare a lavorare, ad esempio, ricevere email, comunicare nel messenger aziendale, essere disponibile per una videochiamata, ... In questo modo, ti consente da un lato di affrontare alcune questioni tramite comunicazione "dal vivo" (ad esempio, partecipare a incontri), e dall'altro di essere sempre online, avere il polso della situazione e risolvere rapidamente alcune urgenze ad alta priorità. È davvero comodo e migliora la qualità delle comunicazioni.
Questo si ottiene con un design WiFi corretto.
Nota
Qui sorge solitamente la domanda: è sufficiente utilizzare solo WiFi? Significa che si può rinunciare all'uso delle porte Ethernet in ufficio? Se si parla solo di utenti e non di server, che è comunque ragionevole collegare tramite una normale porta Ethernet, la risposta generale è: sì, si può limitarsi a WiFi. Ma ci sono delle sfumature.
Ci sono importanti gruppi di utenti che richiedono un approccio dedicato. Questo riguarda, ovviamente, gli amministratori. In generale, la connessione WiFi è meno affidabile (perdita di traffico) e più lenta rispetto a una porta Ethernet tradizionale. Questo può essere cruciale per gli amministratori. Inoltre, gli amministratori di rete, ad esempio, potrebbero avere una rete Ethernet dedicata per connessioni out-of-band.
È probabile che nella vostra azienda ci siano altri gruppi/dipartimenti per i quali anche questi fattori siano importanti.
C'è un altro punto importante: la telefonia. Potreste, per vari motivi, non voler utilizzare il Wireless VoIP e preferire utilizzare telefoni IP con connessione Ethernet tradizionale.
In generale, nelle aziende in cui ho lavorato, c'era di solito la possibilità di connettersi sia via WiFi che tramite porta Ethernet.
Mi piacerebbe che la mobilità non fosse limitata solo all'ufficio.
Per garantire la possibilità di lavorare da casa (o da qualsiasi altro luogo con accesso a internet), si utilizza una connessione VPN. È auspicabile che i dipendenti non percepiscano differenze tra lavorare da casa e lavorare in remoto, il che implica avere gli stessi accessi. Come organizzarci lo discuteremo più avanti nel capitolo "Sistema centralizzato di autenticazione e autorizzazione".
Nota
Probabilmente non sarete in grado di offrire la stessa qualità dei servizi per il lavoro remoto che avete in ufficio. Supponiamo che stiate utilizzando Cisco ASA 5520 come gateway VPN. In base al questo dispositivo può gestire solo 225 Mbit di traffico VPN. Questo significa che, chiaramente, dal punto di vista della capacità, la connessione VPN è molto diversa dal lavoro in ufficio. Inoltre, se per qualche motivo latenza, perdite e jitter (ad esempio, se desiderate utilizzare la telefonia IP dell'ufficio) sono significativi per i vostri servizi di rete, non potrete ottenere la stessa qualità come se foste in ufficio. Pertanto, parlando di mobilità, dobbiamo tenere a mente i possibili limiti.
Accesso facile a tutte le risorse aziendali
Questo compito deve essere affrontato insieme ad altri reparti tecnici.
La situazione ideale è quando l'utente deve autenticarsi solo una volta e successivamente ha accesso a tutte le risorse necessarie.
Fornire un accesso facile senza compromettere la sicurezza può notevolmente migliorare l'efficienza lavorativa e ridurre il livello di stress dei vostri colleghi.
Nota 1
La facilità di accesso non riguarda solo quante volte devi inserire una password. Se, ad esempio, secondo la tua politica di sicurezza, per connetterti dall'ufficio al datacenter devi prima collegarti a un gateway VPN e, nel farlo, perdi l'accesso alle risorse dell'ufficio, questo è davvero molto scomodo.
Nota 2
Esistono servizi (ad esempio, l'accesso all'hardware di rete) dove di solito abbiamo i nostri server AAA dedicati, ed è normale dover effettuare l'autenticazione più volte in questo caso.
Disponibilità delle risorse internet
Internet non è solo intrattenimento, ma anche un insieme di servizi che possono essere molto utili per il lavoro. Ci sono anche fattori puramente psicologici. L'essere umano moderno è legato a molte persone attraverso internet con tanti fili virtuali e, a mio avviso, non c'è nulla di male se continua a sentire questo legame anche durante il lavoro.
Dal punto di vista della perdita di tempo, non c'è nulla di sbagliato se un dipendente ha, ad esempio, Skype aperto e spende 5 minuti per comunicare con una persona cara, se necessario.
Significa che internet deve essere sempre accessibile? Significa che i dipendenti possono accedere a tutte le risorse senza alcun controllo?
No, non significa necessariamente questo. Il livello di apertura di internet può variare tra le diverse aziende, andando dalla completa chiusura alla completa apertura. Discuteremo più avanti dei metodi di controllo del traffico nelle sezioni dedicate agli strumenti di protezione.
La possibilità di utilizzare tutta la gamma di dispositivi familiari
È comodo quando, ad esempio, puoi continuare a utilizzare tutti gli strumenti di comunicazione a cui sei abituato anche sul lavoro. Non è tecnicamente complicato implementare questo. Serve solo un WiFi e una VLAN ospite.
È anche positivo se c'è la possibilità di utilizzare il sistema operativo con cui si è abituati. Tuttavia, per mia esperienza, di solito questo è permesso solo a manager, amministratori e sviluppatori.
Esempio
Certo, si può optare per la strada dei divieti, vietare l'accesso remoto, proibire le connessioni da dispositivi mobili, limitare tutto a connessioni Ethernet statiche, restringere l'accesso a Internet, obbligare il ritiro di telefoni cellulari e gadget all'ingresso... e alcune organizzazioni con requisiti di sicurezza elevati intraprendono effettivamente questa strada, e forse in alcuni casi potrebbe anche essere giustificato, ma... ammettiamolo, sembra un tentativo di fermare il progresso all'interno di una singola organizzazione. Certamente, sarebbe auspicabile combinare le possibilità offerte dalle moderne tecnologie con un adeguato livello di sicurezza.
«Velocità di funzionamento» della rete
La velocità di trasferimento dati è influenzata da molti fattori, e la velocità della tua porta di connessione non è sempre il più importante. Non sempre le prestazioni lente delle applicazioni sono collegate ai problemi di rete, ma qui ci occupiamo solo della parte di rete. Il problema più comune di "rallentamento" della rete locale è legato alla perdita di pacchetti. Questo di solito si verifica in caso di colli di bottiglia o problemi a livello L1 (OSI). Più raramente, in alcune configurazioni (ad esempio, quando i firewall fungono da gateway predefiniti nelle tue sotto-reti e quindi tutto il traffico passa attraverso di essi), potrebbe esserci una carenza nelle prestazioni hardware.
Pertanto, nella scelta dell'hardware e dell'architettura, devi allineare le velocità delle porte finali, dei trunk e delle prestazioni hardware.
Esempio
Supponiamo che tu stia utilizzando switch di accesso con porte da 1 gigabit. Tra di loro sono collegati tramite Etherchannel 2 x 10 gigabit. Come gateway predefinito utilizzi un firewall con porte da 1 gigabit, per il quale colleghi alla rete L2 dell'ufficio due porte da 1 gigabit, unite in Etherchannel.
Questa architettura è piuttosto comoda dal punto di vista funzionale, poiché tutto il traffico passa attraverso il firewall, e puoi gestire comodamente le politiche di accesso e applicare algoritmi complessi per il controllo del traffico e la prevenzione di possibili attacchi (vedi oltre), ma dal punto di vista della larghezza di banda e delle prestazioni, questo design presenta sicuramente potenziali problemi. Ad esempio, due host che scaricano dati (alla velocità della porta di 1 gigabit) possono saturare completamente la connessione da 2 gigabit al firewall, portando così a una degradazione del servizio per l'intero segmento dell'ufficio.
Abbiamo esaminato un vertice del triangolo, ora vediamo quali mezzi possiamo utilizzare per garantire la sicurezza.
Mezzi di protezione
Quindi, naturalmente, il nostro desiderio (o meglio, il desiderio della nostra direzione) è raggiungere l'impossibile, ovvero fornire il massimo comfort con la massima sicurezza e al prezzo più contenuto.
Esaminiamo quali sono i metodi a nostra disposizione per garantire la protezione.
Per l'ufficio, evidenzierei i seguenti:
- approccio zero trust nel design
- alto livello di protezione
- visibilità di rete
- sistema centralizzato unificato di autenticazione e autorizzazione
- verifica dell'host (host checking)
Passiamo ora a esplorare più in dettaglio ciascuno di questi aspetti.
Zero Trust
Il mondo IT sta cambiando molto rapidamente. Negli ultimi 10 anni, l'emergere di nuove tecnologie e prodotti ha portato a una revisione significativa dei concetti di sicurezza. Dieci anni fa, da un punto di vista della sicurezza, segmentavamo la rete in zone trusted, DMZ e untrusted, e veniva applicata quella che si chiamava "protezione perimetrale", dove c'erano due linee di difesa: untrusted -> DMZ e DMZ -> trusted. Inoltre, la protezione era solitamente limitata a liste di accesso basate su intestazioni L3/L4 (OSI) (IP, porte TCP/UDP, flag TCP). Tutto ciò che riguardava livelli più alti, incluso L7, veniva delegato ai sistemi operativi e ai prodotti di sicurezza installati sugli host finali.
Oggi la situazione è cambiata radicalmente. Il concetto moderno di si basa sull'idea che non è più possibile considerare i sistemi interni, cioè quelli situati all'interno del perimetro, come fidati, e il concetto stesso di perimetro è diventato sfocato.
Oltre alla connessione a Internet, abbiamo anche
- accesso remoto VPN per gli utenti
- vari dispositivi personali, laptop portatili, connessi tramite WiFi aziendale
- altri uffici (branch)
- integrazione con infrastrutture cloud
Come si presenta l'approccio Zero Trust nella pratica?
Idealmente, il traffico autorizzato dovrebbe essere solo quello necessario e, se parliamo di ideale, il controllo dovrebbe essere non solo a livello L3/L4, ma anche a livello di applicazione.
Se, ad esempio, avete la possibilità di far passare tutto il traffico attraverso un firewall, allora potete tentare di avvicinarvi all'ideale. Tuttavia, questo approccio può ridurre significativamente la banda totale della vostra rete e inoltre la filtrazione a livello di applicazione non sempre funziona bene.
Controllando il traffico su un router o uno switch L3 (utilizzando ACL standard) ci si scontra con altri problemi:
- si tratta solo di filtrazione L3/L4. Niente impedisce a un malintenzionato di utilizzare porte autorizzate (ad esempio, TCP 80) per la propria applicazione (non http)
- gestione complessa delle ACL (difficile analizzare le ACL)
- non è un firewall stateful, quindi è necessario autorizzare esplicitamente il traffico di ritorno
- nel caso degli switch, solitamente si è piuttosto limitati nelle dimensioni del TCAM, il che, applicando un approccio di "autorizzare solo ciò che serve", può rapidamente diventare un problema
Nota
Parlando di traffico di ritorno, dobbiamo ricordare che abbiamo la seguente possibilità (Cisco)
permetti tcp qualsiasi qualsiasi stabilito
Ma bisogna capire che questa riga è equivalente a due righe:
permetti tcp qualsiasi qualsiasi ack
permetti tcp qualsiasi qualsiasi rstIl che significa che anche se non c'è stato un segmento TCP iniziale con il flag SYN (cioè la sessione TCP non è nemmeno iniziata), questo ACL consentirà un pacchetto con il flag ACK, di cui un malintenzionato potrebbe approfittare per trasmettere dati.
Quindi, questa riga non trasforma in alcun modo il tuo router o switch L3 in un firewall statefull.
. Nessuna azione sarà eseguita senza la tua supervisione.
In Nella sezione dedicata ai data center, abbiamo esaminato i seguenti metodi di protezione.
- firewalling stateful (di default)
- protezione ddos/dos
- firewalling applicativo
- prevenzione dalle minacce (antivirus, anti-spyware e vulnerabilità)
- filtraggio URL
- filtraggio dati (filtraggio dei contenuti)
- blocco file (blocco dei tipi di file)
Nel caso dell'ufficio la situazione è simile, ma le priorità sono leggermente diverse. La disponibilità dell'ufficio (availability) di solito non è così critica come nel caso del data center, mentre la probabilità di traffico malevolo “interno” è di gran lunga superiore.
Pertanto, i seguenti metodi di protezione per questo segmento diventano critici:
- firewalling applicativo
- prevenzione dalle minacce (antivirus, anti-spyware e vulnerabilità)
- filtraggio URL
- filtraggio dati (filtraggio dei contenuti)
- blocco file (blocco dei tipi di file)
Sebbene tutti questi metodi di protezione, ad eccezione del firewalling delle applicazioni, siano tradizionalmente gestiti e continuino ad essere gestiti sui host finali (ad esempio, attraverso l'installazione di software antivirus) e tramite proxy, i moderni NGFW offrono anche questi servizi.
I fornitori di apparecchiature di sicurezza si stanno orientando verso la creazione di una protezione integrata, quindi oltre alla protezione sulla scatola locale, vengono offerte varie tecnologie cloud e software client per host (end point protection / EPP). Ad esempio, dal vediamo che Palo Alto e Cisco hanno i loro EPP (PA: Traps, Cisco: AMP), ma non sono affatto tra i leader.
L'attivazione di queste protezioni (di solito tramite l'acquisto di licenze) sul firewall, ovviamente, non è obbligatoria (è possibile seguire il percorso tradizionale), ma offre alcuni vantaggi:
- in questo caso, si crea un'unica fonte di applicazione dei metodi di protezione, il che migliora la visibilità (vedi il prossimo tema).
- se nella tua rete è presente un dispositivo non protetto, esso rientra comunque sotto il 'tetto' di protezione del firewall.
- utilizzando protezioni sul firewall insieme a quelle sugli host finali, aumentiamo la probabilità di rilevare traffico dannoso. Ad esempio, l'uso della prevenzione delle minacce sugli host locali e sul firewall aumenta la possibilità di rilevamento (ovviamente a condizione che alla base di queste soluzioni ci siano prodotti software diversi)
Nota
Se, ad esempio, utilizzi Kaspersky come antivirus sia sul firewall che sugli host finali, è chiaro che questo non aumenterà significativamente le tue possibilità di prevenire un attacco virus nella tua rete.
Visibilità della rete
è semplice – «vedere» cosa succede nella tua rete, sia in tempo reale che nei dati storici.
Dividerò questa «visione» in due gruppi:
Primo gruppo: ciò che normalmente il tuo sistema di monitoraggio ti fornisce.
- carico delle apparecchiature
- carico dei canali
- utilizzo della memoria
- utilizzo dei dischi
- cambio della tabella di routing
- stato dei link
- disponibilità delle apparecchiature (o host)
- …
Secondo gruppo: informazioni relative alla sicurezza.
- statistiche di vario genere (ad esempio, sulle applicazioni, sul traffico URL, quali tipi di dati sono stati scaricati, dati sugli utenti)
- cosa è stato bloccato dalle politiche di sicurezza e per quale motivo, ossia
- applicazione bloccata
- bloccata in base a ip/protocollo/porta/bandiere/zone
- prevenzione delle minacce
- filtraggio URL
- filtraggio dati
- blocco file
- …
- statistiche sugli attacchi DOS/DDOS
- tentativi di identificazione e autorizzazione falliti
- statistiche su tutti gli eventi sopra menzionati di violazione delle politiche di sicurezza
- …
In questo capitolo, dedicato alla sicurezza, ci interessa in particolare la seconda parte.
Alcuni moderni firewall (dalla mia esperienza con Palo Alto) offrono un buon livello di visibilità. Ma, ovviamente, il traffico che ti interessa deve passare attraverso questo firewall (in questo caso hai la possibilità di bloccare il traffico) o essere mirrorato sul firewall (utilizzato solo per monitoraggio e analisi), e devi avere le licenze che consentono di attivare tutti questi servizi.
C'è, ovviamente, anche un percorso alternativo, anzi, un percorso tradizionale, ad esempio,
- Le statistiche sulle sessioni possono essere raccolte tramite netflow e successivamente utilizzare strumenti specializzati per l'analisi delle informazioni e la visualizzazione dei dati.
- prevenzione delle minacce – programmi specifici (anti-virus, anti-spyware, firewall) sui dispositivi finali.
- Filtraggio URL, filtraggio dati, blocco file – sui proxy.
- È possibile anche analizzare tcpdump con, per esempio,
Si possono combinare questi due approcci, integrando le funzioni mancanti o duplicandole per aumentare la probabilità di rilevare un attacco.
Quale approccio scegliere?
Dipende molto dalle competenze e dalle preferenze del tuo team.
Entrambi hanno pro e contro.
Un sistema centralizzato unico di autenticazione e autorizzazione.
Con un buon design, la mobilità di cui abbiamo parlato in questo articolo implica che hai gli stessi accessi lavorando dall'ufficio o da casa, dall'aeroporto, da un caffè o da qualsiasi altro luogo (con le limitazioni di cui abbiamo discusso in precedenza). Qual è quindi il problema?
Per comprendere meglio la complessità di questa sfida, consideriamo un design tipico.
Esempio
- Hai diviso tutti i dipendenti in gruppi. Hai deciso di fornire accessi in base ai gruppi.
- All'interno dell'ufficio controlli l'accesso sul firewall dell'ufficio.
- Il traffico dall'ufficio al centro dati viene controllato sul firewall del centro dati.
- Come gateway VPN utilizzi Cisco ASA e per controllare il traffico in ingresso nella tua rete dai clienti dedicati, applichi ACL locali (sull'ASA).
Ora, supponiamo che ti venga chiesto di aggiungere un accesso aggiuntivo per un particolare dipendente. Ti viene richiesto di concedere l'accesso solo a lui e non a nessun altro del suo gruppo.
Per fare ciò, dobbiamo creare un gruppo separato per questo dipendente, ovvero
- sull'ASA creare un pool IP separato per questo dipendente.
- aggiungere una nuova ACL sull'ASA e collegarla a questo cliente remoto.
- creare nuove policy di sicurezza sui firewall dell'ufficio e del centro dati.
Va bene, se questo evento è raro. Ma nella mia esperienza ci sono stati momenti in cui i dipendenti partecipavano a progetti diversi, e questo insieme di progetti cambiava piuttosto frequentemente per alcuni di loro, e non si trattava di 1-2 persone, ma di decine. Certamente, qui era necessario apportare delle modifiche.
È stato deciso nel seguente modo.
Abbiamo deciso che l'unica fonte di verità, che definisce tutti i possibili accessi per un dipendente, sarà LDAP. Abbiamo creato vari gruppi che definiscono insiemi di accessi e ciascun utente è stato associato a uno o più gruppi.
Ad esempio, supponiamo che ci siano gruppi
- guest (accesso a Internet)
- common access (accessi a risorse condivise: email, base di conoscenza, …)
- accounting
- project 1
- project 2
- data base administrator
- linux administrator
- …
E se qualcuno dei dipendenti fosse impegnato sia nel progetto 1 che nel progetto 2 e avesse bisogno degli accessi necessari per lavorare a questi progetti, quel dipendente verrebbe quindi associato ai gruppi corrispondenti:
- guest
- common access
- project 1
- project 2
Come possiamo ora trasformare queste informazioni in accessi sull'hardware di rete?
Cisco ASA Dynamic Access Policy (DAP) (vedi ) è la soluzione adatta per questo compito.
In breve, nella nostra implementazione, durante il processo di identificazione/autenticazione, ASA riceve dal LDAP un insieme di gruppi corrispondenti a questo utente e "compila" da diverse ACL locali (ognuna delle quali corrisponde a un gruppo) un ACL dinamico con tutti gli accessi necessari, in totale accordo con le nostre richieste.
Ma questo è valido solo per le connessioni VPN. Per rendere la situazione identica sia per i dipendenti connessi tramite VPN che per quelli in ufficio, è stato fatto il passo successivo.
Quando ci si connette dall'ufficio, gli utenti, mediante il protocollo 802.1x, venivano indirizzati o nella VLAN per gli ospiti (per gli ospiti stessi), o in una VLAN con accessi condivisi (per i dipendenti dell'azienda). Successivamente, per ottenere accessi specifici (ad esempio, ai progetti nel data center), i dipendenti dovevano connettersi tramite VPN.
Per le connessioni dall'ufficio e da casa sono stati utilizzati diversi gruppi di tunnel su ASA. Questo è necessario affinché il traffico proveniente dagli utenti in ufficio verso le risorse condivise (utilizzate da tutti i dipendenti, come la posta, i server di file, il sistema di ticketing, dns, …) non passi attraverso ASA, ma tramite la rete locale. In questo modo, non sovraccarichiamo ASA con traffico eccessivo, inclusi i picchi di traffico intenso.
Così, il problema è stato risolto.
Abbiamo ottenuto
- un set di accessi identico, sia per le connessioni dall'ufficio che per quelle remote
- l'assenza di degrado del servizio durante l'uso dall'ufficio, legata alla trasmissione di traffico intenso attraverso ASA
Qual è un altro vantaggio di questo approccio?
Nell'amministrazione degli accessi. Gli accessi possono essere modificati facilmente, in un solo luogo.
Ad esempio, se un dipendente lascia l'azienda, basta rimuoverlo da LDAP e perderà automaticamente tutti gli accessi.
Controllo host (host checking)
Con la possibilità di connessione remota, corriamo il rischio di introdurre nella rete non solo il dipendente dell'azienda, ma anche tutto il software malevolo che può essere presente sul suo computer (ad esempio, quello domestico), e, ulteriormente, attraverso questo software possiamo aprire l'accesso alla nostra rete a un attaccante che utilizza questo host come proxy.
È saggio applicare gli stessi requisiti di sicurezza per un host connesso in remoto come per un host situato in ufficio.
Questo include la necessità di avere la 'versione corretta' del sistema operativo, antivirus, antispyware e software firewall e dei relativi aggiornamenti. Di norma, questa possibilità esiste presso il gateway VPN (per ASA, vedere ad esempio, ).
È anche saggio applicare gli stessi metodi di analisi e blocco del traffico (vedi 'Alto livello di protezione'), secondo quanto stabilito dalla vostra politica di sicurezza per il traffico dell'ufficio.
È saggio presumere che ora la vostra rete d'ufficio non sia limitata all'edificio dell'ufficio e agli host in esso.
Esempio
Una buona strategia è fornire a ogni dipendente che necessita di accesso remoto un buon laptop comodo e richiedere che lavori da esso sia in ufficio che da casa.
Questo non solo aumenta il livello di sicurezza della rete, ma è anche molto conveniente e solitamente viene percepito positivamente dai dipendenti (se si tratta davvero di un buon e comodo laptop).
Il senso della misura e dell'equilibrio
In sostanza, si tratta della terza vertice del nostro triangolo: il prezzo.
Facciamo un esempio ipotetico.
Esempio
Hai un ufficio con 200 persone. Hai deciso di renderlo il più comodo e sicuro possibile.
Pertanto, hai deciso di far passare tutto il traffico attraverso un firewall e così per tutte le sottoreti dell'ufficio il firewall è il gateway predefinito. Oltre al software di sicurezza installato su ogni host finale (software antivirus, antimalware e firewall), hai anche deciso di applicare tutti i possibili metodi di protezione sul firewall.
Per garantire un'alta velocità di connessione (tutto per comodità), come switch di accesso avete scelto switch con porte di accesso da 10 gigabit, mentre come firewall — firewall NGFW ad alte prestazioni, come i Palo Alto della serie 7K (con porte da 40 gigabit), naturalmente con tutte le licenze attive e, naturalmente, in configurazione High Availability.
Inoltre, ovviamente, per gestire questa gamma di attrezzature abbiamo bisogno di almeno un paio di ingegneri della sicurezza altamente qualificati.
In seguito, avete deciso di fornire a ogni dipendente un buon laptop.
In totale, circa 10 milioni di dollari per il progetto, centinaia di migliaia di dollari (credo più vicino al milione) per il supporto annuale e per le retribuzioni degli ingegneri.
Ufficio, 200 persone…
Comodo? Probabilmente, sì.Portate questa proposta alla vostra direzione…
Forse ci sono alcune aziende nel mondo per le quali questa è una soluzione accettabile e corretta. Se siete un dipendente di questa azienda — congratulazioni, ma nella stragrande maggioranza dei casi, sono certo che le vostre competenze non saranno apprezzate dalla direzione.
È stato esagerato questo esempio? Il prossimo capitolo offrirà una risposta a questa domanda.
Se nella vostra rete non vedete nulla di quanto sopra, è normale.
Per ogni caso specifico, è necessario trovare un compromesso ragionevole tra comodità, prezzo e sicurezza. Spesso non è nemmeno richiesta una NGFW nel vostro ufficio e la protezione L7 su un firewall non è necessaria. È sufficiente garantire un buon livello di visibilità e avvisi, e questo può essere realizzato utilizzando prodotti open source, per esempio. Sì, la vostra reazione a un attacco non sarà immediata, ma l'importante è che lo vediate e, con i giusti processi nel vostro dipartimento, sarete in grado di neutralizzarlo rapidamente.
E, ricordo che, secondo l'intento di questo ciclo di articoli, non state progettando una rete, state solo cercando di migliorare ciò che avete ricevuto.
Analisi dell'architettura SAFE dell'ufficio
Fate attenzione a questo quadrato rosso, con cui ho evidenziato il punto nella mappa di , che vorrei discutere qui.
Questo è uno dei punti chiave dell'architettura ed è una delle incertezze più importanti.
Nota
Non ho mai configurato né lavorato con FirePower (della linea di firewall Cisco — soltanto con ASA), quindi lo considererò come qualsiasi altro firewall, ad esempio Juniper SRX o Palo Alto, supponendo che abbia le stesse funzionalità.
Dalle configurazioni standard, vedo solo 4 possibili modi di utilizzare il firewall in questa connessione:
- il gateway predefinito per ogni sottorete è lo switch, mentre il firewall è in modalità trasparente (cioè tutto il traffico passa attraverso di esso, ma non crea un hop L3)
- il gateway predefinito per ogni sottorete sono i sotto-interfacce del firewall (o interfacce SVI), mentre lo switch svolge un ruolo L2
- sullo switch vengono utilizzati diversi VRF, e il traffico tra i VRF passa attraverso il firewall, mentre il traffico all'interno di un singolo VRF è controllato da ACL nello switch
- tutto il traffico è duplicato sul firewall per analisi e monitoraggio, ma non passa attraverso di esso
Nota 1
Sono possibili combinazioni di questi modi, ma per semplicità non le prenderemo in considerazione.
Nota2
C'è anche la possibilità di utilizzare PBR (architettura della service chain), ma al momento, sebbene sia una soluzione esteticamente gradevole, è più un'esoticità, quindi non la prendo in considerazione qui.
Dalla descrizione dei flussi nel documento vediamo che il traffico passa attraverso il firewall, quindi, secondo il design Cisco, la quarta opzione non è valida.
Consideriamo prima i primi due scenari.
Con queste opzioni, tutto il traffico passa attraverso il firewall.
Ora vediamo , vediamo e vediamo che se vogliamo avere una larghezza di banda totale per il nostro ufficio di almeno 10 — 20 gigabit, dobbiamo acquistare la versione 4K.
Nota
Quando parlo di larghezza di banda totale intendo il traffico tra sottoreti (non all'interno di un singolo VLAN).
Dalla GPL vediamo che per il pacchetto HA Bundle con Threat Defense il prezzo varia a seconda del modello (4110 — 4150) da ~0,5 a 2,5 milioni di dollari.
Quindi il nostro design inizia a somigliare all'esempio precedente.
Significa che questo design è errato?
No, non significa. Cisco offre la massima protezione possibile basata sulla gamma di prodotti che ha. Ma questo non implica che sia un "must-do" per voi.
In linea di principio, si tratta di una questione comune che sorge durante la progettazione di un ufficio o di un data center, e significa semplicemente che è necessario cercare un compromesso.
Ad esempio, non è necessario far passare tutto il traffico attraverso il firewall, e in questo caso la terza opzione mi sembra piuttosto interessante, oppure (vedi la sezione precedente), potrebbe essere che non hai bisogno di "Threat Defense" o addirittura non hai bisogno di un firewall in questo segmento di rete, e puoi limitarti a un monitoraggio passivo utilizzando soluzioni a pagamento (non costose) o open source, oppure necessiti di un firewall ma di un fornitore diverso.
Di solito c'è sempre questa incertezza e non c'è una risposta chiara su quale soluzione sia la migliore per te.
In questa complessità risiede la bellezza di questa sfida.
Fonte: habr.com
