ტესტირება აჩვენებს: როგორ მოემზადოთ Cisco ISE-ის განხორციელებისთვის და გაიგოთ, რა სისტემის ფუნქციები გჭირდებათ

რამდენად ხშირად ყიდულობთ რაიმეს სპონტანურად, ემორჩილებით მაგარ რეკლამას და შემდეგ ეს თავდაპირველად სასურველი ნივთი აგროვებს მტვერს კარადაში, საკუჭნაოში ან ავტოფარეხში მომდევნო გაზაფხულზე დასუფთავებამდე ან გადაადგილებამდე? შედეგი არის იმედგაცრუება გაუმართლებელი მოლოდინებისა და გადაყრილი ფულის გამო. გაცილებით უარესია, როცა ეს ბიზნესს ემართება. ძალიან ხშირად, მარკეტინგული ხრიკები იმდენად კარგია, რომ კომპანიები ყიდულობენ ძვირადღირებულ გადაწყვეტას მისი გამოყენების სრული სურათის ნახვის გარეშე. იმავდროულად, სისტემის საცდელი ტესტირება გვეხმარება იმის გაგებაში, თუ როგორ მოვამზადოთ ინფრასტრუქტურა ინტეგრაციისთვის, რა ფუნქციონირება და რა ზომით უნდა განხორციელდეს. ამ გზით თქვენ შეგიძლიათ თავიდან აიცილოთ უამრავი პრობლემა პროდუქტის "ბრმად" არჩევის გამო. გარდა ამისა, კომპეტენტური „პილოტის“ შემდეგ განხორციელება ინჟინრებს გაცილებით ნაკლებად ანადგურებს ნერვულ უჯრედებს და ნაცრისფერ თმას. მოდით გავარკვიოთ, რატომ არის საპილოტე ტესტირება ასე მნიშვნელოვანი წარმატებული პროექტისთვის, კორპორატიულ ქსელში წვდომის კონტროლის პოპულარული ინსტრუმენტის - Cisco ISE-ს მაგალითის გამოყენებით. მოდით განვიხილოთ როგორც სტანდარტული, ასევე სრულიად არასტანდარტული ვარიანტები გამოსავლის გამოყენებისთვის, რომელიც ჩვენს პრაქტიკაში შეგვხვდა.

Cisco ISE - "რადიუსის სერვერი სტეროიდებზე"

Cisco Identity Services Engine (ISE) არის პლატფორმა ორგანიზაციის ლოკალური ქსელისთვის წვდომის კონტროლის სისტემის შესაქმნელად. ექსპერტთა საზოგადოებაში პროდუქტს მეტსახელად "რადიუსის სერვერი სტეროიდებზე" უწოდეს მისი თვისებების გამო. Რატომ არის, რომ? არსებითად, გამოსავალი არის Radius სერვერი, რომელსაც დართული აქვს უამრავი დამატებითი სერვისი და „ხრიკი“, რაც საშუალებას გაძლევთ მიიღოთ დიდი რაოდენობით კონტექსტური ინფორმაცია და გამოიყენოთ მიღებული მონაცემების ნაკრები წვდომის პოლიტიკაში.

ნებისმიერი სხვა Radius სერვერის მსგავსად, Cisco ISE ურთიერთქმედებს წვდომის დონის ქსელის აღჭურვილობასთან, აგროვებს ინფორმაციას კორპორატიულ ქსელთან დაკავშირების ყველა მცდელობის შესახებ და ავტორიზაციისა და ავტორიზაციის პოლიტიკის საფუძველზე, აძლევს ან უარყოფს მომხმარებლებს LAN-ზე. ამასთან, პროფილირების, განთავსებისა და ინფორმაციული უსაფრთხოების სხვა გადაწყვეტილებებთან ინტეგრაციის შესაძლებლობა საშუალებას იძლევა მნიშვნელოვნად გაართულოს ავტორიზაციის პოლიტიკის ლოგიკა და ამით გადაჭრას საკმაოდ რთული და საინტერესო პრობლემები.

იმპლემენტაციის პილოტირება შეუძლებელია: რატომ გჭირდებათ ტესტირება?

საპილოტე ტესტირების მნიშვნელობა არის სისტემის ყველა შესაძლებლობის დემონსტრირება კონკრეტული ორგანიზაციის კონკრეტულ ინფრასტრუქტურაში. მე მჯერა, რომ Cisco ISE-ის პილოტირება განხორციელებამდე სარგებელს მოუტანს პროექტში ჩართულ ყველა ადამიანს და აი რატომ.

ეს ინტეგრატორებს აძლევს მკაფიო წარმოდგენას მომხმარებლის მოლოდინების შესახებ და ეხმარება შექმნას სწორი ტექნიკური სპეციფიკაცია, რომელიც შეიცავს ბევრად მეტ დეტალს, ვიდრე ჩვეულებრივი ფრაზა "დარწმუნდი, რომ ყველაფერი კარგადაა". „პილოტი“ საშუალებას გვაძლევს ვიგრძნოთ მომხმარებლის მთელი ტკივილი, გავიგოთ, რომელი ამოცანებია მისთვის პრიორიტეტული და რომელი მეორეხარისხოვანი. ჩვენთვის ეს არის შესანიშნავი შესაძლებლობა, წინასწარ გავარკვიოთ, რა აღჭურვილობა გამოიყენება ორგანიზაციაში, როგორ განხორციელდება განხორციელება, რომელ საიტებზე, სად მდებარეობს და ა.შ.

საპილოტე ტესტირების დროს მომხმარებლები ხედავენ რეალურ სისტემას მოქმედებაში, ეცნობიან მის ინტერფეისს, შეუძლიათ შეამოწმონ შეესაბამება თუ არა ის არსებულ აპარატურას და მიიღონ ჰოლისტიკური გაგება, თუ როგორ იმუშავებს გამოსავალი სრული დანერგვის შემდეგ. „პილოტი“ სწორედ ის მომენტია, როდესაც თქვენ ხედავთ ყველა იმ ხარვეზს, რომელიც სავარაუდოდ შეგხვდებათ ინტეგრაციის დროს და გადაწყვიტეთ რამდენი ლიცენზიის შეძენა გჭირდებათ.
რა შეიძლება "გამოჩნდეს" "პილოტის" დროს

მაშ, როგორ ემზადებით სწორად Cisco ISE-ის დანერგვისთვის? ჩვენი გამოცდილებიდან, ჩვენ დავთვალეთ 4 ძირითადი პუნქტი, რომელიც მნიშვნელოვანია გასათვალისწინებელი სისტემის საპილოტე ტესტირებისას.

ფორმა ფაქტორი

პირველ რიგში, თქვენ უნდა გადაწყვიტოთ, რა ფორმით განხორციელდება სისტემა: ფიზიკური თუ ვირტუალური upline. თითოეულ ვარიანტს აქვს დადებითი და უარყოფითი მხარეები. მაგალითად, ფიზიკური აღმართის სიძლიერე არის მისი პროგნოზირებადი შესრულება, მაგრამ არ უნდა დაგვავიწყდეს, რომ ასეთი მოწყობილობები დროთა განმავლობაში მოძველებულია. ვირტუალური ხაზები ნაკლებად პროგნოზირებადია, რადგან... დამოკიდებულია აპარატურაზე, რომელზედაც განლაგებულია ვირტუალიზაციის გარემო, მაგრამ მათ აქვთ სერიოზული უპირატესობა: თუ მხარდაჭერა ხელმისაწვდომია, ისინი ყოველთვის შეიძლება განახლდეს უახლეს ვერსიაზე.

არის თუ არა თქვენი ქსელის მოწყობილობა თავსებადი Cisco ISE-თან?

რა თქმა უნდა, იდეალური სცენარი იქნება ყველა აღჭურვილობის სისტემასთან დაკავშირება ერთდროულად. თუმცა, ეს ყოველთვის არ არის შესაძლებელი, რადგან ბევრი ორგანიზაცია ჯერ კიდევ იყენებს უმართავ გადამრთველებს ან გადამრთველებს, რომლებიც არ უჭერენ მხარს ზოგიერთ ტექნოლოგიას, რომელიც მუშაობს Cisco ISE-ზე. სხვათა შორის, ჩვენ არ ვსაუბრობთ მხოლოდ გადამრთველებზე, ეს ასევე შეიძლება იყოს უკაბელო ქსელის კონტროლერები, VPN კონცენტრატორები და ნებისმიერი სხვა მოწყობილობა, რომელსაც მომხმარებლები უკავშირდებიან. ჩემს პრაქტიკაში იყო შემთხვევები, როდესაც სისტემის სრული დანერგვისთვის დემონსტრირების შემდეგ მომხმარებელმა განაახლეს წვდომის დონის გადამრთველების თითქმის მთელი ფლოტი თანამედროვე Cisco აღჭურვილობაზე. უსიამოვნო სიურპრიზების თავიდან აცილების მიზნით, ღირს წინასწარ გაარკვიოთ მხარდაჭერილი აღჭურვილობის პროპორცია.

ყველა თქვენი მოწყობილობა სტანდარტულია?

ნებისმიერ ქსელს აქვს ტიპიური მოწყობილობები, რომლებთან დაკავშირება რთული არ უნდა იყოს: სამუშაო სადგურები, IP ტელეფონები, Wi-Fi წვდომის წერტილები, ვიდეოკამერები და ა.შ. მაგრამ ასევე ხდება, რომ არასტანდარტული მოწყობილობები უნდა იყოს დაკავშირებული LAN-თან, მაგალითად, RS232/Ethernet ავტობუსის სიგნალის გადამყვანები, უწყვეტი კვების ინტერფეისები, სხვადასხვა ტექნოლოგიური აღჭურვილობა და ა.შ. მნიშვნელოვანია წინასწარ განსაზღვროთ ასეთი მოწყობილობების სია. , ასე რომ განხორციელების ეტაპზე უკვე გესმით, როგორ ტექნიკურად იმუშავებენ ისინი Cisco ISE-თან.

კონსტრუქციული დიალოგი IT სპეციალისტებთან

Cisco ISE კლიენტები ხშირად უსაფრთხოების დეპარტამენტები არიან, ხოლო IT განყოფილებები, როგორც წესი, პასუხისმგებელნი არიან წვდომის ფენის გადამრთველებისა და Active Directory-ის კონფიგურაციაზე. ამიტომ უსაფრთხოების სპეციალისტებსა და IT სპეციალისტებს შორის პროდუქტიული ურთიერთქმედება სისტემის უმტკივნეულო დანერგვის ერთ-ერთი მნიშვნელოვანი პირობაა. თუ ეს უკანასკნელნი აღიქვამენ მტრულ მიმართ ინტეგრაციას, ღირს მათთვის აუხსნათ, თუ როგორ გამოადგება გამოსავალი IT დეპარტამენტს.

ტოპ 5 Cisco ISE გამოყენების შემთხვევები

ჩვენი გამოცდილებით, სისტემის საჭირო ფუნქციონირება ასევე გამოვლენილია საპილოტე ტესტირების ეტაპზე. ქვემოთ მოცემულია გამოსავლის ყველაზე პოპულარული და ნაკლებად გავრცელებული გამოყენების შემთხვევები.

დაიცავით LAN წვდომა სადენზე EAP-TLS-ით

როგორც ჩვენი პენტესტერის კვლევის შედეგები აჩვენებს, საკმაოდ ხშირად კომპანიის ქსელში შესაღწევად თავდამსხმელები იყენებენ ჩვეულებრივ სოკეტებს, რომლებზედაც დაკავშირებულია პრინტერები, ტელეფონები, IP კამერები, Wi-Fi წერტილები და სხვა არაპერსონალური ქსელის მოწყობილობები. ამიტომ, მაშინაც კი, თუ ქსელში წვდომა ეფუძნება dot1x ტექნოლოგიას, მაგრამ ალტერნატიული პროტოკოლები გამოიყენება მომხმარებლის ავტორიზაციის სერთიფიკატების გამოყენების გარეშე, წარმატებული თავდასხმის დიდი ალბათობაა სესიის ჩარევით და უხეში პაროლებით. Cisco ISE-ის შემთხვევაში სერთიფიკატის მოპარვა გაცილებით რთული იქნება – ამისთვის ჰაკერებს გაცილებით მეტი გამოთვლითი ძალა დასჭირდებათ, ამიტომ ეს საქმე ძალიან ეფექტურია.

ორმაგი SSID უკაბელო წვდომა

ამ სცენარის არსი არის 2 ქსელის იდენტიფიკატორის (SSID) გამოყენება. ერთ-ერთ მათგანს პირობითად შეიძლება ეწოდოს "სტუმარი". მისი მეშვეობით, როგორც სტუმრებს, ასევე კომპანიის თანამშრომლებს შეუძლიათ უკაბელო ქსელში წვდომა. როდესაც ისინი ცდილობენ დაკავშირებას, ეს უკანასკნელები გადამისამართდებიან სპეციალურ პორტალზე, სადაც ხდება უზრუნველყოფა. ანუ, მომხმარებელს ეძლევა სერთიფიკატი და მისი პერსონალური მოწყობილობა კონფიგურირებულია ავტომატურად ხელახლა დაუკავშირდეს მეორე SSID-ს, რომელიც უკვე იყენებს EAP-TLS-ს პირველი შემთხვევის ყველა უპირატესობით.

MAC ავთენტიფიკაციის შემოვლითი და პროფილირება

გამოყენების კიდევ ერთი პოპულარული შემთხვევაა დაკავშირებული მოწყობილობის ტიპის ავტომატურად აღმოჩენა და მასზე სწორი შეზღუდვების გამოყენება. რატომ არის ის საინტერესო? ფაქტია, რომ ჯერ კიდევ არის საკმაოდ ბევრი მოწყობილობა, რომლებიც არ უჭერენ მხარს ავთენტიფიკაციას 802.1X პროტოკოლის გამოყენებით. ამიტომ, ასეთი მოწყობილობები უნდა იყოს დაშვებული ქსელში MAC მისამართის გამოყენებით, რომლის გაყალბება საკმაოდ მარტივია. სწორედ აქ მოდის Cisco ISE: სისტემის დახმარებით შეგიძლიათ ნახოთ, როგორ იქცევა მოწყობილობა ქსელში, შექმნათ მისი პროფილი და მიაკუთვნოთ მას სხვა მოწყობილობების ჯგუფს, მაგალითად, IP ტელეფონს და სამუშაო სადგურს. . თუ თავდამსხმელი შეეცდება გააფუჭოს MAC მისამართი და დაუკავშირდეს ქსელს, სისტემა დაინახავს, ​​რომ მოწყობილობის პროფილი შეიცვალა, მიანიშნებს საეჭვო ქცევაზე და არ დაუშვებს საეჭვო მომხმარებელს ქსელში.

EAP-chaining

EAP-Chaining ტექნოლოგია გულისხმობს სამუშაო კომპიუტერის და მომხმარებლის ანგარიშის თანმიმდევრულ ავტორიზაციას. ეს შემთხვევა ფართოდ გავრცელდა, რადგან... ბევრი კომპანია ჯერ კიდევ არ უწყობს ხელს თანამშრომლების პირადი გაჯეტების კორპორატიულ LAN-თან დაკავშირებას. ავტორიზაციის ამ მიდგომის გამოყენებით, შესაძლებელია შეამოწმოთ არის თუ არა კონკრეტული სამუშაო სადგური დომენის წევრი და თუ შედეგი უარყოფითია, მომხმარებელი ან არ დაიშვება ქსელში, ან შეძლებს შესვლას, მაგრამ გარკვეული შეზღუდვები.

პოზირება

ეს საქმე ეხება სამუშაო ადგილის პროგრამული უზრუნველყოფის ინფორმაციული უსაფრთხოების მოთხოვნებთან შესაბამისობის შეფასებას. ამ ტექნოლოგიის გამოყენებით შეგიძლიათ შეამოწმოთ არის თუ არა განახლებული პროგრამული უზრუნველყოფა სამუშაო სადგურზე, არის თუ არა მასზე დაინსტალირებული უსაფრთხოების ზომები, არის თუ არა კონფიგურირებული მასპინძელი firewall და ა.შ. საინტერესოა, რომ ეს ტექნოლოგია ასევე საშუალებას გაძლევთ გადაჭრათ სხვა ამოცანები, რომლებიც არ არის დაკავშირებული უსაფრთხოებასთან, მაგალითად, შეამოწმოთ საჭირო ფაილების არსებობა ან სისტემის მასშტაბით პროგრამული უზრუნველყოფის დაყენება.

Cisco ISE-ის ნაკლებად გავრცელებული გამოყენების შემთხვევები მოიცავს წვდომის კონტროლს დომენის ბოლომდე ავტორიზაციის საშუალებით (პასიური ID), SGT-ზე დაფუძნებული მიკრო სეგმენტაცია და ფილტრაცია, ასევე ინტეგრაცია მობილური მოწყობილობების მართვის სისტემებთან და დაუცველობის სკანერებთან.

არასტანდარტული პროექტები: კიდევ რატომ შეიძლება დაგჭირდეთ Cisco ISE, ან 3 იშვიათი შემთხვევა ჩვენი პრაქტიკიდან

Linux-ზე დაფუძნებულ სერვერებზე წვდომის კონტროლი

ერთხელ ჩვენ ვაგვარებდით საკმაოდ არატრივიალურ შემთხვევას ერთ-ერთი მომხმარებლისთვის, რომელსაც უკვე ჰქონდა დანერგილი Cisco ISE სისტემა: გვჭირდებოდა გზის პოვნა მომხმარებლის ქმედებების (ძირითადად ადმინისტრატორების) კონტროლისთვის სერვერებზე დაინსტალირებული Linux-ით. პასუხის მოსაძებნად, ჩვენ გაგვიჩნდა იდეა უფასო PAM Radius Module პროგრამული უზრუნველყოფის გამოყენების შესახებ, რომელიც საშუალებას გაძლევთ შეხვიდეთ სერვერებზე, რომლებიც მუშაობენ Linux-ზე ავთენტიფიკაციით გარე რადიუსის სერვერზე. ამ მხრივ ყველაფერი კარგი იქნებოდა, რომ არა ერთი „მაგრამ“: რადიუსის სერვერი, რომელიც აგზავნის პასუხს ავტორიზაციის მოთხოვნაზე, იძლევა მხოლოდ ანგარიშის სახელს და შედეგს - შეაფასეთ მიღებული ან შეაფასეთ უარყოფილი. იმავდროულად, Linux-ში ავტორიზაციისთვის საჭიროა კიდევ ერთი პარამეტრის მინიჭება - მთავარი დირექტორია, რათა მომხმარებელი მაინც მოხვდეს სადმე. ჩვენ ვერ ვიპოვეთ ამის რადიუსის ატრიბუტის მინიჭების გზა, ამიტომ დავწერეთ სპეციალური სკრიპტი ჰოსტებზე ანგარიშების დისტანციურად შესაქმნელად ნახევრად ავტომატურ რეჟიმში. ეს ამოცანა საკმაოდ განხორციელებული იყო, ვინაიდან საქმე გვქონდა ადმინისტრატორის ანგარიშებთან, რომელთა რაოდენობა არც ისე დიდი იყო. შემდეგი, მომხმარებლები შედიოდნენ საჭირო მოწყობილობაზე, რის შემდეგაც მათ მიენიჭათ საჭირო წვდომა. ჩნდება გონივრული კითხვა: აუცილებელია თუ არა ასეთ შემთხვევებში Cisco ISE-ის გამოყენება? სინამდვილეში, არა - ნებისმიერი რადიუსის სერვერი იმუშავებს, მაგრამ რადგან მომხმარებელს უკვე ჰქონდა ეს სისტემა, ჩვენ მას უბრალოდ დავამატეთ ახალი ფუნქცია.

აპარატურის და პროგრამული უზრუნველყოფის ინვენტარიზაცია LAN-ზე

ჩვენ ერთხელ ვიმუშავეთ პროექტზე Cisco ISE-ის მიწოდებაზე ერთი მომხმარებლისთვის წინასწარი „პილოტის“ გარეშე. გადაწყვეტის მკაფიო მოთხოვნები არ არსებობდა, გარდა ამისა, საქმე გვქონდა ბრტყელ, არასეგმენტურ ქსელთან, რაც ართულებდა ჩვენს ამოცანას. პროექტის განმავლობაში ჩვენ დავაკონფიგურირეთ პროფილირების ყველა შესაძლო მეთოდი, რომელსაც ქსელი უჭერდა მხარს: NetFlow, DHCP, SNMP, AD ინტეგრაცია და ა.შ. შედეგად, MAR წვდომის კონფიგურაცია მოხდა ქსელში შესვლის შესაძლებლობით, თუ ავტორიზაცია ვერ მოხერხდა. ანუ, ავთენტიფიკაციაც რომ არ ყოფილიყო წარმატებული, სისტემა მაინც დაუშვებდა მომხმარებელს ქსელში, შეაგროვებდა მის შესახებ ინფორმაციას და ჩაწერდა ISE მონაცემთა ბაზაში. ქსელის ეს მონიტორინგი რამდენიმე კვირაში დაგვეხმარა დაკავშირებული სისტემების და არაპერსონალური მოწყობილობების იდენტიფიცირებაში და მათი სეგმენტაციის მიდგომის შემუშავებაში. ამის შემდეგ, ჩვენ დამატებით დავაკონფიგურირეთ გამოქვეყნება აგენტის სამუშაო სადგურებზე დასაინსტალირებლად, რათა შეგვეგროვებინა ინფორმაცია მათზე დაინსტალირებული პროგრამული უზრუნველყოფის შესახებ. რა არის შედეგი? ჩვენ შევძელით ქსელის სეგმენტირება და განვსაზღვროთ პროგრამული უზრუნველყოფის სია, რომელიც საჭირო იყო სამუშაო სადგურებიდან ამოღება. არ დაგიმალავთ, რომ მომხმარებელთა დომენის ჯგუფებში განაწილებისა და წვდომის უფლებების განსაზღვრის შემდგომმა დავალებებს საკმაოდ დიდი დრო დაგვჭირდა, მაგრამ ამ გზით მივიღეთ სრული სურათი იმის შესახებ, თუ რა აპარატურა ჰქონდა მომხმარებელს ქსელში. სხვათა შორის, ეს არ იყო რთული გარე პროფილირების კარგი მუშაობის გამო. ისე, სადაც პროფილირებამ არ დაგვეხმარა, ჩვენ საკუთარ თავს ვუყურებდით, ხაზს ვუსვამდით გადამრთველ პორტს, რომელზეც იყო დაკავშირებული მოწყობილობა.

პროგრამული უზრუნველყოფის დისტანციური ინსტალაცია სამუშაო სადგურებზე

ეს შემთხვევა ერთ-ერთი ყველაზე უცნაურია ჩემს პრაქტიკაში. ერთ დღეს კლიენტი ჩვენთან მოვიდა დახმარების ტირილით - რაღაც შეცდომა მოხდა Cisco ISE-ის დანერგვისას, ყველაფერი გაფუჭდა და სხვა ვერავინ შეძლო ქსელში წვდომა. დავიწყეთ მისი შესწავლა და გავარკვიეთ შემდეგი. კომპანიას ჰქონდა 2000 კომპიუტერი, რომლებიც დომენის კონტროლერის არარსებობის შემთხვევაში იმართებოდა ადმინისტრატორის ანგარიშით. პიერინგის მიზნით ორგანიზაციამ დანერგა Cisco ISE. საჭირო იყო როგორმე გაგება, იყო თუ არა ანტივირუსი დაინსტალირებული არსებულ კომპიუტერებზე, განახლდა თუ არა პროგრამული გარემო და ა.შ. და რადგან IT ადმინისტრატორებმა დააინსტალირეს ქსელის აღჭურვილობა სისტემაში, ლოგიკურია, რომ მათ ჰქონდათ მასზე წვდომა. მას შემდეგ, რაც ნახეს, თუ როგორ მუშაობს იგი და კომპიუტერები გააუმჯობესეს, ადმინისტრატორებს გაუჩნდათ იდეა, დაეყენებინათ პროგრამული უზრუნველყოფა თანამშრომლების სამუშაო სადგურებზე დისტანციურად, პირადი ვიზიტების გარეშე. წარმოიდგინეთ, რამდენი ნაბიჯის დაზოგვა შეგიძლიათ დღეში ამ გზით! ადმინისტრატორებმა ჩაატარეს სამუშაო სადგურის რამდენიმე შემოწმება C:Program Files დირექტორიაში კონკრეტული ფაილის არსებობისთვის და თუ ის არ არსებობდა, დაიწყეს ავტომატური გამოსწორება .exe ფაილის შესანახად მიმავალი ბმულის შემდეგ. ეს საშუალებას აძლევდა ჩვეულებრივ მომხმარებლებს გადასულიყვნენ ფაილის გაზიარებაზე და ჩამოტვირთონ საჭირო პროგრამული უზრუნველყოფა იქიდან. სამწუხაროდ, ადმინისტრატორმა კარგად არ იცნობდა ISE სისტემას და დააზიანა გამოქვეყნების მექანიზმები - არასწორად დაწერა პოლიტიკა, რამაც გამოიწვია პრობლემა, რომლის გადაჭრაშიც ჩვენ ვიყავით ჩართული. პირადად მე გულწრფელად გაკვირვებული ვარ ასეთი კრეატიული მიდგომით, რადგან დომენის კონტროლერის შექმნა გაცილებით იაფი და ნაკლებად შრომატევადი იქნებოდა. მაგრამ, როგორც კონცეფციის მტკიცებულება, ის მუშაობდა.

წაიკითხეთ მეტი ტექნიკური ნიუანსების შესახებ, რომლებიც წარმოიქმნება Cisco ISE-ის დანერგვისას ჩემი კოლეგის სტატიაში „Cisco ISE განხორციელების პრაქტიკა. ინჟინრის შეხედულება".

არტემ ბობრიკოვი, Jet Infosystems-ის საინფორმაციო უსაფრთხოების ცენტრის დიზაინერი

Afterword:
იმისდა მიუხედავად, რომ ეს პოსტი საუბრობს Cisco ISE სისტემაზე, აღწერილი პრობლემები აქტუალურია NAC გადაწყვეტილებების მთელი კლასისთვის. არც ისე მნიშვნელოვანია, რომელი გამყიდველის გადაწყვეტა იგეგმება განსახორციელებლად - ზემოაღნიშნულის უმეტესობა დარჩება მოქმედი.

წყარო: www.habr.com