Quanto spesso acquistate qualcosa in modo impulsivo, attratti da una pubblicità accattivante, e poi quell'oggetto desiderato rimane a prendere polvere in un armadio, in un ripostiglio o in garage fino alla prossima pulizia generale o trasloco? Il risultato è spesso la delusione dovuta a aspettative non mantenute e soldi spesi invano. È molto peggio quando succede nel business. Spesso le strategie di marketing sono così efficaci che le aziende acquistano soluzioni costose senza vedere il quadro completo del loro utilizzo. Nel frattempo, effettuare un test del sistema aiuta a capire come preparare l'infrastruttura per l'integrazione, quale funzionalità e in quale misura implementare. In questo modo si possono evitare moltissimi problemi derivanti dalla scelta di un prodotto “al buio”. Inoltre, l'implementazione dopo un “pilota” ben strutturato porterà agli ingegneri molta meno frustrazione e capelli grigi. Esploriamo perché il test pilota è così importante per un progetto di successo, utilizzando come esempio uno strumento popolare di controllo degli accessi alla rete aziendale: Cisco ISE. Consideriamo sia le applicazioni standard che quelle non convenzionali della soluzione, che abbiamo incontrato nella nostra esperienza.
Cisco ISE — "Server Radius al massimo delle sue capacità"
Cisco Identity Services Engine (ISE) è una piattaforma per creare un sistema di controllo degli accessi alla rete locale di un'organizzazione. Nella comunità di esperti, il prodotto è stato soprannominato «server Radius al massimo delle sue capacità» a causa delle sue caratteristiche. Perché? In sostanza, la soluzione è un server Radius a cui sono stati aggiunti un'enorme quantità di servizi e funzioni che consentono di ottenere un grande volume di informazioni contestuali e di applicare la loro combinazione nelle politiche di accesso.
Come qualsiasi altro server Radius, Cisco ISE interagisce con l'hardware di rete a livello di accesso, raccoglie informazioni su tutti i tentativi di connessione alla rete aziendale e, sulla base delle politiche di autenticazione e autorizzazione, decide se consentire o negare l'accesso agli utenti della LAN. Tuttavia, la possibilità di profilazione, monitoraggio e integrazione con altre soluzioni di sicurezza informatica consente di complicare notevolmente la logica delle politiche di autorizzazione, affrontando così compiti piuttosto complessi e interessanti.
Implementare è necessario, pilotare: perché è importante il test?
Il valore del test pilota risiede nella dimostrazione di tutte le capacità del sistema all'interno dell'infrastruttura specifica di una particolare organizzazione. Sono convinto che il pilotaggio di Cisco ISE prima dell'implementazione sia utile per tutti i partecipanti al progetto, ecco perché.
Per gli integratori, questo fornisce una chiara idea delle aspettative del cliente e aiuta a formare un corretto capitolato tecnico, contenente molte più dettagli rispetto alla generica frase "fate in modo che tutto funzioni bene". Il "pilota" ci permette di comprendere appieno le difficoltà del cliente, capire quali compiti siano prioritari e quali secondari. Per noi, questa è un'ottima opportunità per chiarire in anticipo quale attrezzatura viene utilizzata nell'organizzazione, come avverrà l'implementazione, in quali località, dove si trovano e così via.
Durante il test pilota, i clienti vedono il sistema reale in azione, si familiarizzano con la sua interfaccia, possono verificare la compatibilità con l'hardware che possiedono e ottenere un quadro completo di come la soluzione funzionerà dopo un'implementazione completa. Il "pilota" è quel momento in cui è possibile identificare tutte le "insidie" con cui ci si troverà sicuramente a che fare durante l'integrazione e decidere quante licenze è necessario acquistare.
Cosa può "emergere" durante il "pilota"
Quindi, come prepararsi correttamente all'implementazione di Cisco ISE? Dalla nostra esperienza abbiamo identificato 4 aspetti principali da tenere in considerazione durante il processo di test pilota del sistema.
Fattore di forma
Per cominciare, è necessario decidere in quale fattore di forma sarà implementato il sistema: appliance fisiche o virtuali. Ogni opzione ha vantaggi e svantaggi. Ad esempio, il punto di forza delle appliance fisiche è la prevedibilità delle prestazioni, ma non si può dimenticare che questi dispositivi diventano obsoleti nel tempo. Le appliance virtuali sono meno prevedibili, poiché dipendono dall'hardware su cui è stata distribuita l'ambiente di virtualizzazione, ma hanno un grande vantaggio: se supportate, possono sempre essere aggiornate all'ultima versione.
È compatibile il vostro hardware di rete con Cisco ISE?
Naturalmente, lo scenario ideale sarebbe collegare subito tutto l'hardware al sistema. Tuttavia, ciò non è sempre possibile, poiché molte organizzazioni utilizzano ancora switch non gestiti o switch che non supportano alcune delle tecnologie su cui si basa Cisco ISE. A proposito, non si tratta solo di switch, ma anche di controller di rete wireless, VPN-concentratori e qualsiasi altro hardware a cui si connettono gli utenti. Nella mia esperienza, ci sono stati casi in cui, dopo una dimostrazione del sistema, il cliente ha aggiornato praticamente tutta la propria flotta di switch di accesso con attrezzature moderne di Cisco. Per evitare sorprese sgradevoli, è utile accertarsi in anticipo della proporzione di hardware non supportato.
Tutti i vostri dispositivi sono standardizzati?
In ogni rete ci sono dispositivi standardizzati, il cui collegamento non dovrebbe presentare difficoltà: workstation, telefoni IP, punti di accesso Wi-Fi, telecamere video e così via. Ma può anche succedere che sia necessario collegare dispositivi non standard alla LAN, ad esempio, convertitori di segnale RS232/Ethernet, interfacce di fonti di alimentazione non interrompibile, vari dispositivi tecnologici e altro ancora. È importante identificare in anticipo l'elenco di tali dispositivi, in modo da avere già chiarezza su come funzioneranno tecnicamente con Cisco ISE in fase di implementazione.
Dialogo costruttivo con gli IT
Spesso i clienti di Cisco ISE sono i dipartimenti di sicurezza, mentre la configurazione degli switch di accesso e di Active Directory è generalmente responsabilità delle divisioni IT. Pertanto, un'interazione produttiva tra i professionisti della sicurezza e gli IT è una delle condizioni fondamentali per un'implementazione indolore del sistema. Se questi ultimi percepiscono l'integrazione con ostilità, è opportuno spiegare loro come la soluzione possa essere utile al dipartimento IT.
Top 5 casi d'uso di Cisco ISE
Dalla nostra esperienza, le funzionalità richieste dal sistema si evidenziano anche nella fase di test pilota. Di seguito sono presentati alcuni dei casi d'uso più comuni e meno diffusi della soluzione.
Accesso sicuro alla LAN tramite cavo con EAP-TLS
Come dimostrano i risultati delle ricerche dei nostri pentester, gli aggressori utilizzano abbastanza frequentemente normali prese per infiltrarsi nella rete aziendale, a cui sono collegati stampanti, telefoni, telecamere IP, punti di accesso Wi-Fi e altri dispositivi di rete non personali. Pertanto, anche se l'accesso alla rete avviene sulla base della tecnologia dot1x, se vengono utilizzati protocolli alternativi senza l'uso di certificati di autenticazione degli utenti, vi è un'alta probabilità di un attacco riuscito con intercettazione delle sessioni e brute force delle password. Nel caso di Cisco ISE, forzare un certificato sarà significativamente più difficile: gli hacker richiederanno potenze di calcolo molto maggiori, quindi questo caso è piuttosto efficace.
Accesso wireless Dual-SSID
La sostanza di questo scenario consiste nell'uso di 2 identificatori di rete (SSID). Uno di essi può essere considerato 'ospite'. Attraverso di esso, nella rete wireless possono accedere sia gli ospiti che i dipendenti dell'azienda. Gli ultimi, al tentativo di connessione, vengono reindirizzati a un portale speciale, dove avviene il provisioning. Cioè, all'utente viene rilasciato un certificato e viene configurato il suo dispositivo personale per il riconnessione automatica al secondo SSID, dove viene già utilizzato EAP-TLS con tutti i vantaggi del primo caso.
MAC Authentication Bypass e profilazione
Un altro caso popolare consiste nella determinazione automatica del tipo di dispositivo connesso e nell'applicazione delle giuste restrizioni. Perché è interessante? La ragione è che attualmente ci sono ancora molti dispositivi che non supportano l'autenticazione tramite il protocollo 802.1X. Pertanto, per far accedere alla rete tali dispositivi, bisogna utilizzare l'indirizzo MAC, che è piuttosto facile da falsificare. Qui viene in aiuto Cisco ISE: grazie al sistema si può osservare come si comporta un dispositivo nella rete, creare il suo profilo e associarlo a un gruppo di altri dispositivi, ad esempio, un telefono IP e un workstation. Quando un aggressore tenta di eseguire lo spoofing dell'indirizzo MAC e connettersi alla rete, il sistema rileverà che il profilo del dispositivo è cambiato, invierà un segnale di comportamento sospetto e non permetterà a un utente sospettoso di entrare nella rete.
EAP-Chaining
La tecnologia EAP-Chaining implica un'autenticazione sequenziale del PC di lavoro e dell'account utente. Questo caso ha ottenuto una diffusione ampia, poiché molte aziende non accettano ancora il collegamento di dispositivi personali dei dipendenti alla rete aziendale. Utilizzando questo approccio all'autenticazione, è possibile verificare se una specifica postazione di lavoro è membro del dominio e, in caso negativo, l'utente non potrà accedere alla rete o entrerà con determinate limitazioni.
Posturing
In questo caso si parla di valutazione della conformità del software installato sulla postazione di lavoro ai requisiti di sicurezza informatica. Grazie a questa tecnologia è possibile verificare se il software sulla postazione di lavoro è aggiornato, se sono presenti strumenti di protezione, se il firewall del host è configurato, ecc. È interessante notare che questa tecnologia consente anche di affrontare altre problematiche non legate alla sicurezza, come la verifica della presenza di file necessari o l'installazione di software di sistema.
Raramente si incontrano anche scenari di utilizzo di Cisco ISE come il controllo dell'accesso con autenticazione di dominio passiva (Passive ID), microsegmentazione basata su SGT e filtraggio, oltre all'integrazione con sistemi di gestione dei dispositivi mobili (MDM) e scanner di vulnerabilità (Vulnerability Scanner).
Progetti non standard: perché potrebbe essere necessario Cisco ISE, o 3 casi rari dalla nostra esperienza
Controllo accesso ai server basati su Linux
Una volta abbiamo affrontato un caso piuttosto complesso per uno dei nostri clienti, che aveva già implementato un sistema Cisco ISE: dovevamo trovare un modo per controllare le azioni degli utenti (principalmente amministratori) sui server con sistema operativo Linux. Nel cercare una risposta, ci è venuta l'idea di utilizzare il software libero PAM Radius Module, che consente l'accesso ai server Linux con autenticazione su un server RADIUS esterno. Tutto questo funzionerebbe bene, se non fosse per un "ma": il server RADIUS, nel rispondere alla richiesta di autenticazione, restituisce solo il nome dell’account e il risultato - assess accepted o assess rejected. Tuttavia, per l'autenticazione in Linux è necessario specificare almeno un altro parametro - la home directory, affinché l'utente possa accedere a qualche risorsa. Non siamo riusciti a restituire questo come attributo RADIUS, quindi abbiamo scritto uno script speciale per la creazione remota di account sulle macchine in modalità semi-automatica. Questo compito era del tutto realizzabile, dato che ci occupavamo di account amministrativi, il cui numero non era così elevato. Successivamente, gli utenti accedevano all’apparecchiatura necessaria, dopo di che veniva loro assegnato l'accesso richiesto. Sorge spontanea una domanda: è davvero necessario utilizzare Cisco ISE in casi simili? In realtà no - qualsiasi server RADIUS può andare bene, ma poiché il cliente aveva già questo sistema, abbiamo semplicemente aggiunto una nuova funzionalità ad esso.
Inventario dell'hardware e del software nella rete locale
Una volta stavamo lavorando a un progetto per la fornitura di Cisco ISE a un cliente senza un "pilota" preliminare. Non c'erano requisiti chiari per la soluzione e, inoltre, ci trovavamo a dover gestire una rete piatta e non segmentata, il che complicava il nostro compito. Nel corso del progetto abbiamo configurato tutti i metodi di profilazione possibili supportati dalla rete: NetFlow, DHCP, SNMP, integrazione con AD, ecc. Alla fine, era stato configurato l'accesso tramite MAR con la possibilità di accedere alla rete anche in caso di autenticazione non riuscita. Cioè, anche se l'autenticazione non era stata positiva, il sistema permetteva comunque all'utente di entrare nella rete, raccoglieva informazioni su di lui e le registrava nel database di ISE. Questo monitoraggio della rete per diverse settimane ci ha aiutato a identificare i sistemi collegati e i dispositivi non personali e sviluppare un approccio alla loro segmentazione. Dopo ciò, abbiamo ulteriormente configurato il sharing per installare l'agente sulle workstation al fine di raccogliere informazioni sul software installato su di esse. E alla fine? Siamo riusciti a segmentare la rete e a identificare l'elenco del software che doveva essere rimosso dalle workstation. Non nascondo che le ulteriori attività di distribuzione degli utenti nei gruppi di dominio e di delimitazione dei diritti di accesso ci hanno preso molto tempo, ma in questo modo abbiamo ottenuto un quadro completo di quale hardware fosse presente nella rete del cliente. A proposito, non è stato difficile grazie al buon funzionamento della profilazione "out of the box". E lì dove la profilazione non ha aiutato, abbiamo fatto delle verifiche manuali, identificando la porta dello switch a cui era collegato l'equipaggiamento.
Installazione remota del software sulle workstation
Questo caso è uno dei più strani che abbia mai affrontato. Un giorno un cliente ci ha contattati chiedendo aiuto: durante l'implementazione di Cisco ISE qualcosa è andato storto, tutto si è bloccato e nessuno riusciva più ad accedere alla rete. Abbiamo iniziato a indagare e abbiamo scoperto quanto segue. L'azienda aveva 2000 computer, la cui gestione avveniva tramite un account amministratore a causa dell'assenza di un controller di dominio. A scopo di auditing, l'organizzazione aveva implementato Cisco ISE. Era necessario capire se sui computer esistenti fosse installato un antivirus, se l'ambiente software fosse aggiornato, ecc. E poiché l'hardware di rete era gestito dagli amministratori IT, era logico che avessero accesso al sistema. Osservando come funzionava e svolgendo l'audit dei propri computer, gli admin hanno pensato di installare il software sulle workstation dei dipendenti da remoto, senza dover andare di persona. Immaginate quanti passaggi si possono risparmiare in un giorno! Gli admin hanno effettuato alcune verifiche APM per individuare un determinato file nella directory C:Program Files, e in sua assenza si attivava una remediazione automatica con un link che portava a uno storage di file contenente il file di installazione .exe. Questo ha permesso agli utenti di accedere al file sharing e di scaricare il software necessario. Purtroppo, l'amministratore non conosceva bene il sistema ISE e ha danneggiato i meccanismi di auditing: ha scritto la politica in modo errato, il che ha portato al problema per il quale siamo stati coinvolti. Personalmente sono sinceramente sorpreso da questo approccio così creativo, poiché sarebbe stato molto più economico e meno dispendioso in termini di lavoro creare un controller di dominio. Ma come Proof of Concept ha funzionato.
Per maggiori dettagli sui dettagli tecnici che emergono durante l'implementazione di Cisco ISE, leggi l'articolo del mio collega .
Artem Bobrikov, ingegnere progettista del Centro di sicurezza informatica dell'azienda «Infosesstemi Jet»
Postfazione:
Sebbene questo post tratti del sistema Cisco ISE, i problemi descritti sono rilevanti per tutta la classe di soluzioni NAC. Non è così importante quale soluzione di vendor si intende implementare; la maggior parte di quanto detto rimarrà applicabile.
Fonte: habr.com
