Questo articolo è il quinto di un ciclo di articoli intitolato «Come prendere il controllo dell'infrastruttura di rete». Il contenuto di tutti gli articoli del ciclo e i collegamenti possono essere trovati .
Questa parte sarà dedicata ai segmenti Campus (ufficio) e VPN per accesso remoto.
Potrebbe sembrare che il design della rete dell'ufficio sia semplice.
Infatti, prendiamo switch L2/L3, li colleghiamo tra loro. Poi, facciamo una configurazione elementare di VLAN, gateway predefiniti, attiviamo un semplice routing, colleghiamo i controller WiFi, i punti di accesso, installiamo e configuriamo l'ASA per l'accesso remoto, e siamo felici che tutto funzioni. In linea di principio, come ho già scritto in uno degli articoli precedenti di questo ciclo, progettare e configurare una rete d'ufficio in modo che «funzioni in qualche modo» può farlo praticamente qualsiasi studente che ha frequentato (e assimilato) due semestri di un corso di telecomunicazioni.
Ma più apprendete, meno semplice comincia a sembrare questo compito. Personalmente, questo argomento, il design della rete d'ufficio, non mi sembra affatto semplice, e in questo articolo cercherò di spiegare perché.
In breve, bisogna considerare un numero piuttosto elevato di fattori. Spesso questi fattori sono in conflitto tra loro e si deve cercare un compromesso ragionevole.
Questa incertezza è la principale difficoltà. Così, parlando di sicurezza, abbiamo un triangolo con tre vertici: sicurezza, comodità per i dipendenti, costo della soluzione.
E ogni volta si deve cercare un compromesso tra questi tre.
Architettura
Come esempio di architettura per questi due segmenti, consiglio, come in articoli precedenti, il modello: , .
Questi sono documenti un po' obsoleti. Li riporto qui perché essenzialmente i diagrammi e l'approccio non sono cambiati, ma il modo in cui sono esposti mi piace di più rispetto alla .
Senza invitarvi a utilizzare necessariamente soluzioni Cisco, credo sia comunque utile studiare attentamente questo design.
Questo articolo, come al solito, non pretende in alcun modo di essere esaustivo, ma è piuttosto un complemento a queste informazioni.
Alla fine dell'articolo, analizzeremo il design Cisco SAFE per l'ufficio in base ai concetti esposti qui.
Principi generali
Il design della rete dell'ufficio, ovviamente, deve soddisfare i requisiti generali che sono stati trattati. nella sezione «Criteri di valutazione della qualità del design». Oltre al prezzo e alla sicurezza, che intendiamo discutere in questo articolo, rimangono altri tre criteri da considerare nella progettazione (o nelle modifiche):
- scalabilità
- facilità di gestione (gestibilità)
- disponibilità (disponibilità)
Molto di quanto discusso per vale anche per l'ufficio.
Tuttavia, il segmento office ha le sue specificità, che dal punto di vista della sicurezza sono critiche. La sostanza di queste specificità è che questo segmento è creato per fornire servizi di rete ai dipendenti (nonché ai partner e agli ospiti) dell'azienda, e, di conseguenza, al più alto livello di analisi del problema abbiamo due compiti:
- proteggere le risorse aziendali da azioni dannose che possono provenire dai dipendenti (ospiti, partner) e dal software che utilizzano. Ciò include anche la protezione contro le connessioni non autorizzate alla rete.
- proteggere i sistemi e i dati degli utenti
E questo è solo un lato del problema (o, più precisamente, un vertice del triangolo). Dall'altro lato si trova la comodità dell'utente e il costo delle soluzioni applicate.
Iniziamo a considerare cosa si aspetta l'utente da una rete d'ufficio moderna.
Comodità
Ecco come vedo io i «comfort di rete» per l'utente d'ufficio:
- Mobilità
- Possibilità di utilizzare tutta la gamma di dispositivi e sistemi operativi familiari
- Accesso facile a tutte le risorse necessarie dell'azienda
- Disponibilità delle risorse internet, inclusi vari servizi cloud
- «Velocità» della rete
Tutto ciò si applica sia ai dipendenti che agli ospiti (o partner), e questa è già una responsabilità degli ingegneri dell'azienda di differenziare gli accessi per gruppi diversi di utenti basandosi sulla loro autorizzazione.
Consideriamo più in dettaglio ciascuno di questi aspetti.
Mobilità
Si parla della possibilità di lavorare e utilizzare tutte le risorse necessarie dell'azienda da qualsiasi punto del mondo (ovviamente dove è disponibile internet).
Questo vale pienamente anche per l'ufficio. È comodo quando, da qualsiasi punto dell'ufficio, hai la possibilità di continuare a lavorare, ad esempio, ricevere email, comunicare tramite il messenger aziendale, essere disponibile per una videochiamata, … In questo modo, ti consente, da un lato, di affrontare alcune questioni tramite comunicazioni "live" (ad esempio, partecipare a riunioni), e dall'altro, di essere sempre online, tenere il polso della situazione e risolvere rapidamente alcune questioni urgenti e ad alta priorità. È molto comodo e, davvero, migliora la qualità della comunicazione.
Questo si ottiene grazie a un design corretto della rete WiFi.
Nota
Qui sorge generalmente la domanda, è sufficiente utilizzare solo WiFi? Significa questo che si può rinunciare all'uso delle porte Ethernet in ufficio? Se si parla solo di utenti e non di server, che comunque è consigliabile collegare tramite una porta Ethernet standard, la risposta in generale è: sì, si può limitare solo a WiFi. Ma ci sono delle sfumature.
Ci sono gruppi di utenti importanti a cui è necessario adottare un approccio specifico. Questi sono, ovviamente, gli amministratori. In linea di principio, la connessione WiFi è meno affidabile (dal punto di vista della perdita di traffico) e meno veloce rispetto a una porta Ethernet standard. Questo può essere cruciale per gli amministratori. Inoltre, i network administrator, ad esempio, possono avere una rete Ethernet dedicata per la connessione out-of-band.
Potrebbe esserci anche altri gruppi/dipartimenti nella tua azienda per i quali questi fattori sono altrettanto importanti.
C'è un altro punto importante: la telefonia. È possibile che, per un motivo qualsiasi, tu non voglia utilizzare Wireless VoIP e desideri utilizzare telefoni IP con una normale connessione Ethernet.
In generale, nelle aziende in cui ho lavorato, c'era sempre la possibilità di utilizzare sia la connessione WiFi che quella tramite porta Ethernet.
Vorrei che la mobilità non fosse limitata solo all'ufficio.
Per consentire la possibilità di lavorare da casa (o da qualsiasi altro luogo con internet disponibile) si utilizza una connessione VPN. Inoltre, sarebbe auspicabile che i dipendenti non sentano differenza tra lavorare da casa e lavorare in remoto, il che implica la presenza degli stessi accessi. Come organizzarlo ne discuteremo più avanti nel capitolo "Sistema centralizzato unico di autenticazione e autorizzazione".
Nota
Probabilmente non sarete in grado di fornire la stessa qualità dei servizi per il lavoro remoto che avete in ufficio. Supponiamo che stiate usando un gateway VPN Cisco ASA 5520. Secondo il questo dispositivo è in grado di gestire solo 225 Mbps di traffico VPN. Ovviamente, dal punto di vista della larghezza di banda, la connessione tramite VPN è molto diversa dal lavoro in ufficio. Inoltre, se per qualche motivo la latenza, la perdita di pacchetti o il jitter (ad esempio, se desiderate utilizzare la telefonia IP dell'ufficio) sono significativi per i vostri servizi di rete, non otterrete lo stesso livello di qualità che avreste se foste in ufficio. Pertanto, quando si parla di mobilità, dobbiamo tener presente le potenziali limitazioni.
Accesso facile a tutte le risorse aziendali
Questo compito deve essere affrontato insieme ad altri reparti tecnici.
La situazione ideale è quando l'utente deve autenticarsi solo una volta, dopo di che ha accesso a tutte le risorse necessarie.
Fornire un accesso facile senza compromettere la sicurezza può aumentare significativamente l'efficienza del lavoro e ridurre il livello di stress per i vostri colleghi.
Nota 1
La comodità di accesso non riguarda solo quante volte dovete inserire la password. Se, ad esempio, secondo la vostra politica di sicurezza, per collegarvi dall'ufficio al data center dovete prima connettervi al gateway VPN, e allo stesso tempo perdete l'accesso alle risorse dell'ufficio, questo è davvero molto poco comodo.
Nota 2
Ci sono servizi (ad esempio, accesso a hardware di rete), dove di solito abbiamo i nostri server AAA dedicati ed è normale doversi autenticare più volte in questo caso.
Accessibilità delle risorse internet
Internet non è solo intrattenimento, ma anche un insieme di servizi che può essere molto utile per il lavoro. Ci sono anche fattori puramente psicologici. L'uomo moderno è connesso agli altri attraverso l'internet con molteplici fili virtuali e, a mio avviso, non c'è nulla di male se continua a sentire questo legame anche mentre lavora.
Dal punto di vista della perdita di tempo, non c'è nulla di sbagliato se un dipendente, ad esempio, ha Skype aperto e spende 5 minuti a parlare con una persona cara, se necessario.
Significa che Internet deve sempre essere accessibile, significa che ai dipendenti può essere consentito l'accesso a tutte le risorse senza alcun controllo?
No, non significa affatto. Il livello di apertura di Internet può variare da un'azienda all'altra: dalla chiusura totale all'apertura totale. Discuteremo in seguito le modalità di controllo del traffico nelle sezioni dedicate ai mezzi di protezione.
Possibilità di utilizzare l'intera gamma di dispositivi familiari
È comodo quando, ad esempio, hai la possibilità di continuare a utilizzare tutti i mezzi di comunicazione a cui sei abituato anche al lavoro. Non è tecnicamente difficile realizzarlo. Serve solo WiFi e un guest VLAN.
È anche utile se avete la possibilità di utilizzare il sistema operativo con cui vi avete familiarità. Ma, per mia osservazione, di solito questo è consentito solo ai manager, agli amministratori e ai programmatori.
Esempio
Certo, si può seguire il percorso dei divieti, vietare l'accesso remoto, vietare la connessione da dispositivi mobili, limitare tutto a connessioni Ethernet statiche, limitare l'accesso a Internet e ritirare obbligatoriamente i telefoni cellulari e i gadget all'ingresso… e in effetti, alcune organizzazioni con requisiti di sicurezza elevati stanno seguendo questa strada e, forse, in alcuni casi, può essere giustificato, ma… ammetti che questo sembra un tentativo di fermare il progresso in un'organizzazione. Naturalmente, sarebbe desiderabile combinare le opportunità offerte dalle tecnologie moderne con un livello sufficiente di sicurezza.
«Velocità» della rete
La velocità di trasmissione dei dati tecnicamente dipende da molti fattori. E la velocità della tua porta di connessione di solito non è il più importante di questi. Non sempre il malfunzionamento lento di un'applicazione è legato a problemi di rete, ma ora ci interessa solo la parte di rete. Il problema più comune di "lentezza" nella rete locale è associato alla perdita di pacchetti. Questo di solito accade in presenza di un effetto di "bottleneck" o a causa di problemi L1 (OSI). Più raramente, in alcuni design (ad esempio, quando in subnet ci si collega tramite un firewall, intrappolando così tutto il traffico attraverso di esso), potrebbe mancare la potenza di elaborazione dell'hardware.
Pertanto, nella scelta dell'attrezzatura e dell'architettura, è necessario correlare le velocità delle porte terminali, dei trunk e delle prestazioni dell'attrezzatura.
Esempio
Supponiamo che tu stia utilizzando switch a livello di accesso con porte da 1 gigabit. Tra di loro sono collegati tramite Etherchannel 2 x 10 gigabit. Come gateway predefinito utilizzi un firewall con porte da gigabit, per collegarlo alla rete L2 dell'ufficio utilizzi 2 porte gigabit, unite in Etherchannel.
Questa architettura è abbastanza conveniente dal punto di vista funzionale, poiché tutto il traffico passa attraverso il firewall, e puoi gestire comodamente le politiche di accesso e applicare complessi algoritmi di controllo del traffico e prevenzione di attacchi (vedi oltre), ma dal punto di vista della larghezza di banda e delle prestazioni, questo design ha sicuramente problemi potenziali. Ad esempio, 2 host che scaricano dati (alla velocità della porta di 1 gigabit) possono saturare completamente la connessione da 2 gigabit al firewall, portando così a una degradazione del servizio per tutto il segmento dell'ufficio.
Abbiamo esaminato un vertice del triangolo, ora vediamo quali mezzi possiamo utilizzare per garantire la sicurezza.
Mezzi di protezione
Quindi, ovviamente, il nostro desiderio (o, più precisamente, il desiderio della nostra direzione) è raggiungere l'impossibile, ossia fornire il massimo comfort con la massima protezione e al minimo prezzo.
Esaminiamo quali metodi abbiamo a disposizione per fornire protezione.
Per l'ufficio, evidenzierei i seguenti:
- approccio zero trust nel design
- alto livello di protezione
- visibilità della rete
- sistema centrale di autenticazione e autorizzazione
- verifica dell'host (host checking)
Successivamente, ci soffermeremo in modo più dettagliato su ciascuno di questi aspetti.
Zero Trust
Il mondo IT sta cambiando molto rapidamente. Negli ultimi 10 anni, l'emergere di nuove tecnologie e prodotti ha portato a una seria revisione dei concetti di sicurezza. Dieci anni fa, dal punto di vista della sicurezza, segmentavamo la rete in zone di fiducia, DMZ e di non fiducia, e si applicava la cosiddetta «protezione perimetrale», con 2 linee di difesa: non fiducia -> DMZ e DMZ -> fiducia. Inoltre, la protezione era solitamente limitata a liste di accesso basate su intestazioni L3/L4 (OSI) (IP, porte TCP/UDP, flag TCP). Tutto ciò che riguardava livelli più alti, inclusa la L7, era lasciato agli OS e ai prodotti di sicurezza installati sui terminali.
Ora la situazione è radicalmente cambiata. Il concetto moderno di parte dal presupposto che non sia più possibile considerare i sistemi interni, cioè quelli all'interno del perimetro, come fidati, e il concetto stesso di perimetro è diventato sfocato.
Oltre alla connessione a Internet, abbiamo anche
- accesso remoto VPN per gli utenti
- vari gadget personali, laptop portati da casa, connessi tramite WiFi aziendale
- altri uffici (branch)
- integrazioni con l'infrastruttura cloud
Come si presenta l'approccio Zero Trust nella pratica?
In un mondo ideale, dovrebbe essere consentito solo il traffico necessario e, se parliamo di un ideale, il controllo dovrebbe avvenire non solo a livello L3/L4, ma anche a livello applicativo.
Se, ad esempio, hai la possibilità di far passare tutto il traffico attraverso un firewall, puoi cercare di avvicinarti all'ideale. Ma questo approccio può ridurre significativamente la larghezza di banda totale della tua rete e, inoltre, la filtrazione a livello applicativo non funziona sempre bene.
Con il controllo del traffico su un router o uno switch L3 (utilizzando ACL standard) ci si imbatte in altri problemi:
- si tratta solo di filtrazione L3/L4. Nulla impedisce a un malintenzionato di utilizzare porte autorizzate (ad esempio, TCP 80) per la propria applicazione (non http)
- gestione complessa delle ACL (difficile analizzare le ACL)
- non è un firewall stateful, quindi devi consentire esplicitamente il traffico di ritorno
- nel caso degli switch sei generalmente limitato dalla dimensione della TCAM, il che, applicando l'approccio «consenti solo ciò che è necessario», può rapidamente diventare un problema
Nota
Parlando di traffico di ritorno, dobbiamo ricordare che abbiamo la seguente possibilità (Cisco)
permit tcp any any established
Ma bisogna comprendere che questa riga è equivalente a due righe:
permetti tcp any any ack
permetti tcp any any rstQuesto significa che anche se non c'era un segmento TCP iniziale con il flag SYN (cioè la sessione TCP non è nemmeno iniziata), questo ACL permetterà il pacchetto con il flag ACK, che un attaccante può sfruttare per inviare dati.
Quindi, questa riga in nessun modo trasforma il tuo router o lo switch L3 in un firewall stateful.
Alto livello di protezione
In Nella sezione dedicata ai data center, abbiamo esaminato i seguenti metodi di protezione.
- firewalling stateful (per impostazione predefinita)
- protezione ddos/dos
- firewalling delle applicazioni
- prevenzione delle minacce (antivirus, anti-spyware e vulnerabilità)
- filtraggio URL
- filtraggio dati (filtraggio dei contenuti)
- blocco file (blocco dei tipi di file)
Nel caso degli uffici, la situazione è simile, ma le priorità sono leggermente diverse. La disponibilità dell'ufficio (availabilty) di solito non è così critica come nel caso del data center, mentre la probabilità di traffico dannoso "interno" è di gran lunga superiore.
Pertanto, i seguenti metodi di protezione per questo segmento diventano critici:
- firewalling delle applicazioni
- prevenzione dalle minacce (antivirus, antispyware e vulnerabilità)
- filtraggio URL
- filtraggio dati (filtraggio dei contenuti)
- blocco file (blocco dei tipi di file)
Sebbene tutti questi metodi di protezione, ad eccezione del firewalling per applicazioni, siano stati tradizionalmente affrontati e continuino a essere risolti sugli host finali (ad esempio, installando software antivirus) e utilizzando proxy, le moderne NGFW offrono anche questi servizi.
I fornitori di apparecchiature di sicurezza mirano a creare una protezione complessiva, quindi, accanto alla protezione sulla scatola locale, vengono offerte varie tecnologie cloud e software client per gli host (protezione degli endpoint/EPP). Ad esempio, dal vediamo che Palo Alto e Cisco hanno i loro EPP (PA: Traps, Cisco: AMP), ma non si trovano certo fra i leader.
L'attivazione di queste protezioni (di solito attraverso l'acquisto di licenze) sul firewall non è obbligatoria (puoi seguire il percorso tradizionale), ma offre alcuni vantaggi:
- in questo caso emerge un unico punto di applicazione dei metodi di protezione, il che migliora la visibilità (vedi il prossimo argomento).
- se nella tua rete c'è un dispositivo non protetto, esso rientra comunque sotto "l'ombrello" di protezione del firewall
- utilizzando le protezioni sul firewall insieme a quella sugli host finali, aumentiamo la probabilità di rilevare traffico dannoso. Ad esempio, l'uso della prevenzione delle minacce sugli host locali e sul firewall aumenta la probabilità di rilevamento (a condizione che, ovviamente, le soluzioni sottostanti utilizzino prodotti software diversi)
Nota
Se, ad esempio, utilizzi Kaspersky come antivirus sia sul firewall che sugli host finali, è chiaro che ciò non aumenterà significativamente le tue possibilità di prevenire un attacco virale nella tua rete.
Visibilità della rete
è semplicemente "vedere" cosa sta accadendo nella tua rete, sia in tempo reale che nei dati storici.
Suddividerei questa "visione" in due gruppi:
Primo gruppo: ciò che di solito ti fornisce il tuo sistema di monitoraggio.
- carico delle apparecchiature
- carico delle linee
- utilizzo della memoria
- utilizzo dei dischi
- cambiamento della tabella di instradamento
- stato dei collegamenti
- disponibilità delle apparecchiature (o degli host)
- …
Secondo gruppo: informazioni relative alla sicurezza.
- varie statistiche (ad esempio, riguardanti le applicazioni, il traffico URL, quali tipi di dati sono stati scaricati, dati sugli utenti)
- cosa è stato bloccato dalle politiche di sicurezza e per quale motivo, ovvero
- applicazione bloccata
- bloccato in base a ip/protocollo/porta/flags/zone
- prevenzione delle minacce
- filtraggio degli URL
- filtraggio dei dati
- blocco dei file
- …
- statistiche sugli attacchi DOS/DDOS
- tentativi di identificazione e autorizzazione non riusciti
- statistiche per tutti i suddetti eventi di violazione delle politiche di sicurezza
- …
In questo capitolo, dedicato alla sicurezza, ci interessa proprio la seconda parte.
Alcuni firewall moderni (nella mia esperienza, Palo Alto) offrono un buon livello di visibilità. Tuttavia, ovviamente, il traffico che ti interessa deve passare attraverso questo firewall (in questo caso, hai la possibilità di bloccare il traffico) o essere riflesso sul firewall (usato solo per monitoraggio e analisi), e devono essere presenti licenze che consentano di attivare tutti questi servizi.
Ci sono, ovviamente, anche percorsi alternativi, più precisamente un percorso tradizionale, ad esempio,
- la statistica delle sessioni può essere raccolta tramite netflow e poi utilizzare strumenti speciali per analizzare le informazioni e visualizzare i dati
- prevenzione delle minacce – programmi speciali (antivirus, antispyware, firewall) sugli host finali
- filtraggio degli URL, filtraggio dei dati, blocco dei file – su proxy
- puoi anche analizzare tcpdump utilizzando, ad esempio,
Puoi combinare questi due approcci, completando le funzioni mancanti o duplicandole per aumentare la probabilità di rilevamento di un attacco.
Quale approccio scegliere?
Dipende molto dalle competenze e dalle preferenze del tuo team.
Ci sono vantaggi e svantaggi in entrambi i casi.
Sistema centrale di autenticazione e autorizzazione unificata
Con un buon design, la mobilità di cui abbiamo parlato in questo articolo implica che tu abbia gli stessi accessi, lavorando dall'ufficio o da casa, dall'aeroporto, da un caffè o da qualsiasi altro luogo (con le limitazioni di cui abbiamo discusso sopra). Qual è quindi il problema?
Per comprendere meglio la complessità di questa attività, consideriamo un design tipico.
Esempio
- Hai suddiviso tutti i dipendenti in gruppi. Hai deciso di fornire accessi per gruppi.
- All'interno dell'ufficio controlli gli accessi sul firewall dell'ufficio.
- Controlli il traffico dall'ufficio verso il data center sul firewall del data center.
- Come gateway VPN utilizzi Cisco ASA e per controllare il traffico in entrata nella tua rete dai clienti dedicati, applichi ACL locali (sull'ASA).
Ora, supponiamo che ti venga chiesto di aggiungere un accesso aggiuntivo a un certo dipendente. Ti viene chiesto di aggiungere l'accesso solo a lui e a nessun altro del suo gruppo.
Per fare ciò, dobbiamo creare un gruppo separato per questo dipendente, ovvero
- creare un pool IP separato per questo dipendente sull'ASA.
- aggiungere una nuova ACL sull'ASA e collegarla a questo cliente remoto.
- creare nuove policy di sicurezza sui firewall dell'ufficio e del data center.
Va bene se questo evento è raro. Ma nella mia esperienza c'è stata una situazione in cui i dipendenti partecipavano a progetti diversi, e questo insieme di progetti cambiava piuttosto frequentemente per alcuni di loro, e non erano solo 1-2 persone, ma decine. Certamente, qui c'era bisogno di apportare delle modifiche.
È stato risolto nel seguente modo.
Abbiamo deciso che l'unica fonte di verità che determina tutti i possibili accessi dei dipendenti sarebbe stata LDAP. Abbiamo creato vari gruppi che definiscono set di accessi e ogni utente veniva assegnato a uno o più gruppi.
Quindi, ad esempio, supponiamo che ci fossero gruppi
- guest (accesso a Internet)
- common access (accessi a risorse comuni: email, knowledge base, …)
- accounting
- project 1
- project 2
- data base administrator
- linux administrator
- …
E se qualcuno dei dipendenti fosse stato coinvolto, sia nel progetto 1 che nel progetto 2, e avesse bisogno degli accessi necessari per lavorare a questi progetti, allora quel dipendente veniva collegato rispettivamente ai gruppi:
- guest
- common access
- project 1
- project 2
Come possiamo ora trasformare queste informazioni in accessi sui dispositivi di rete?
La Politica di Accesso Dinamico (DAP) Cisco ASA (vedi ) è proprio la soluzione adatta per questo compito.
Per riassumere la nostra implementazione, durante il processo di identificazione/autenticazione, l'ASA riceve da LDAP un insieme di gruppi corrispondenti a quell'utente e "costruisce" un ACL dinamico da più ACL locali (ognuno dei quali corrisponde a un gruppo) con tutti i permessi necessari, il che soddisfa completamente le nostre esigenze.
Ma questo vale solo per le connessioni VPN. Per rendere la situazione identica sia per i dipendenti connessi tramite VPN che per quelli presenti in ufficio, è stato fatto il passo successivo.
Quando ci si connette dall'ufficio, gli utenti tramite il protocollo 802.1x vengono collocati nel VLAN ospiti (per gli ospiti), o in un VLAN con accessi condivisi (per i dipendenti). Inoltre, per ottenere accessi specifici (ad esempio, ai progetti nel data center), i dipendenti devono connettersi tramite VPN.
Per le connessioni dall'ufficio e da casa venivano utilizzati gruppi tunnel diversi sull'ASA. Questo è necessario affinché il traffico verso le risorse condivise (utilizzate da tutti i dipendenti, come email, server di file, sistema di ticket, dns, ...) per chi si connette dall'ufficio non passi attraverso l'ASA, ma attraverso la rete locale. In questo modo, non sovraccarichiamo l'ASA con traffico non necessario, incluso quello ad alta intensità.
Pertanto, il problema è stato risolto.
Abbiamo ottenuto
- un insieme di accessi identico, sia per le connessioni dall'ufficio che per le connessioni remote
- assenza di degrado del servizio durante il lavoro dall'ufficio, legato al traffico ad alta intensità tramite l'ASA
Qual è un ulteriore vantaggio di questo approccio?
Nell'amministrazione degli accessi. Gli accessi possono essere facilmente modificati in un unico posto.
Ad esempio, se un dipendente lascia l'azienda, basta rimuoverlo da LDAP e perderà automaticamente tutti gli accessi.
Controllo dell'host (host checking)
Con la possibilità di connessione remota, abbiamo il rischio di consentire l'accesso alla rete non solo a un dipendente dell'azienda, ma anche a tutto il software dannoso che con alta probabilità è presente sul suo computer (ad esempio, quello domestico), e soprattutto, tramite questo software, potremmo fornire l'accesso alla nostra rete a un malintenzionato che sta utilizzando questo host come proxy.
È ragionevole per l'host collegato da remoto applicare gli stessi requisiti di sicurezza che si applicano a un host situato in ufficio.
Questo include anche l'uso della «versione corretta» del sistema operativo, antivirus, antispyware e software firewall e aggiornamenti. Di solito, questa funzionalità esiste sul gateway VPN (per ASA vedi, ad esempio, ).
È anche saggio applicare gli stessi metodi di analisi e blocco del traffico (vedi «Alto livello di protezione»), che secondo la tua politica di sicurezza si applicano al traffico d'ufficio.
È ragionevole partire dall'ipotesi che ora la tua rete d'ufficio non sia limitata all'edificio dell'ufficio e agli host presenti in esso.
Esempio
Un buon approccio è fornire a ciascun dipendente che necessita di accesso remoto un laptop adeguato e richiedere di lavorare, sia in ufficio che da casa, solo su quello.
Questo non solo aumenta il livello di sicurezza della tua rete, ma è anche davvero comodo e di solito è visto positivamente dai dipendenti (se si tratta davvero di un laptop buono e comodo).
Senso delle misure e equilibrio
In linea di principio, si tratta della terza cima del nostro triangolo: il costo.
Consideriamo un esempio ipotetico.
Esempio
Hai un ufficio con 200 persone. Hai deciso di renderlo il più comodo e sicuro possibile.
Pertanto, hai deciso di far passare tutto il traffico attraverso il firewall e in questo modo per tutte le sotto-reti dell'ufficio il firewall è il gateway predefinito. Oltre al software di sicurezza installato su ciascun host finale (antivirus, antispyware e software firewall), hai anche deciso di applicare tutti i possibili metodi di protezione sul firewall.
Per garantire un'alta velocità di connessione (tutto per comodità) come switch di accesso hai scelto switch con porte di accesso da 10 gigabit, come firewall hai scelto firewall NGFW ad alte prestazioni, ad esempio, Palo Alto serie 7K (con porte da 40 gigabit), ovviamente con tutte le licenze attive e, naturalmente, una coppia di alta disponibilità.
Inoltre, naturalmente, per lavorare con questa gamma di attrezzature abbiamo bisogno di almeno un paio di ingegneri della sicurezza altamente qualificati.
In seguito, hai deciso di fornire a ciascun dipendente un buon laptop.
In totale, circa 10 milioni di dollari per l'implementazione, centinaia di migliaia di dollari (penso più vicino a un milione) per il supporto annuale e stipendi per gli ingegneri.
Ufficio, 200 persone...
Comodo? Probabilmente sì.Presentate questa proposta al vostro management...
Forse, nel mondo esistono alcune aziende per le quali questa è una soluzione accettabile e corretta. Se sei un dipendente di questa azienda, congratulazioni, ma nella stragrande maggioranza dei casi sono certo che le tue conoscenze non saranno valorizzate dal management.
È un esempio esagerato? Il prossimo capitolo risponderà a questa domanda.
Se nella tua rete non vedi nulla di quanto sopra, allora è normale.
Per ogni caso specifico devi trovare un compromesso ragionevole tra comodità, costo e sicurezza. Spesso non è nemmeno necessario avere un NGFW nel tuo ufficio, né è necessaria la protezione L7 sul firewall. È sufficiente garantire un buon livello di visibilità e avvisi, e questo può essere fatto utilizzando prodotti open source, ad esempio. Sì, la tua reazione a un attacco non sarà immediata, ma la cosa importante è che lo vedrai, e con i giusti processi nel tuo dipartimento riuscirai a neutralizzarlo rapidamente.
E, ricordo che secondo l'idea della serie di questi articoli, non stai progettando una rete, ma stai semplicemente cercando di migliorare ciò che ti è stato dato.
Analisi dell'architettura SAFE dell'ufficio
Fai attenzione a questo quadrato rosso, con cui ho evidenziato un'area nello schema di , che vorrei discutere qui.
È uno dei punti chiave dell'architettura e una delle più importanti incertezze.
Nota
Non ho mai configurato e non ho mai lavorato con FirePower (della linea di firewall Cisco — solo con ASA), quindi lo considererò come qualsiasi altro firewall, ad esempio Juniper SRX o Palo Alto, supponendo che abbia le stesse funzionalità.
Dai normali schemi vedo solo 4 possibili varianti di utilizzo del firewall con questo tipo di connessione:
- il gateway predefinito per ogni sottorete è uno switch, con il firewall in modalità trasparente (ossia tutto il traffico passa attraverso di esso, ma non crea un hop L3)
- il gateway predefinito per ogni sottorete sono i sub-interfaccia del firewall (o interfacce SVI), mentre lo switch gioca il ruolo di L2
- sullo switch vengono utilizzati diversi VRF, e il traffico tra i VRF passa attraverso il firewall, il traffico all'interno di un VRF è controllato da ACL sullo switch
- tutto il traffico è mirrorato al firewall per analisi e monitoraggio, ma non vi passa attraverso
Nota 1
Possono esserci combinazioni di queste opzioni, ma per semplicità non le prenderemo in considerazione.
Nota2
C'è anche la possibilità di utilizzare PBR (architettura service chain), ma per ora, sebbene sia una soluzione che considero elegante, è piuttosto esotica, quindi non la prenderò in considerazione qui.
Dalla descrizione dei flussi nel documento vediamo che il traffico passa attraverso il firewall, quindi, secondo il design Cisco, la quarta opzione cade.
Iniziamo a esaminare prima le prime due opzioni.
Con queste opzioni, tutto il traffico passa attraverso il firewall.
Adesso guardiamo , guardiamo e vediamo che se vogliamo avere una larghezza di banda totale per il nostro ufficio di almeno 10 — 20 gigabit, dobbiamo acquistare la versione 4K.
Nota
Quando parlo di larghezza di banda totale, mi riferisco al traffico tra le sottoreti (e non all'interno dello stesso VLAN).
Dal GPL vediamo che per HA Bundle con Threat Defense il prezzo varia a seconda del modello (4110 — 4150) da ~0,5 a 2,5 milioni di dollari.
Quindi il nostro design inizia a somigliare all'esempio precedente.
Significa che questo design è errato?
No, non significa. Cisco ti offre la massima protezione possibile in base alla gamma di prodotti che ha. Ma non significa che sia un "must-do" per te.
In linea di principio, è una domanda comune che sorge durante la progettazione di un ufficio o di un data center, e significa solo che è necessario cercare un compromesso.
Ad esempio, non far passare tutto il traffico attraverso il firewall, e in questo caso la terza opzione mi sembra piuttosto gradevole, oppure (vedi sezione precedente), potresti non aver bisogno di "Threat Defense" o anche di un firewall in questo segmento di rete, e puoi limitarti a un monitoraggio passivo utilizzando soluzioni a pagamento (non costose) o open source, oppure può servirti un firewall ma di un altro fornitore.
Di solito c'è sempre questa incertezza e nessuna risposta definitiva su quale soluzione sia la migliore per te.
Questa è la complessità e la bellezza di questo compito.
Fonte: habr.com
