네트워크 인프라를 제어하는 ​​방법. XNUMX장. 네트워크 보안. XNUMX부

이 기사는 "네트워크 인프라를 제어하는 ​​방법" 시리즈의 다섯 번째 기사입니다. 시리즈의 모든 기사 내용과 링크를 확인할 수 있습니다. 여기에.

이 부분은 캠퍼스(사무실) 및 원격 액세스 VPN 부문에 대해 다룹니다.

사무실 네트워크 디자인은 쉬워 보일 수 있습니다.

실제로 우리는 L2/L3 스위치를 가져와 서로 연결합니다. 다음으로 vilan 및 기본 게이트웨이의 기본 설정을 수행하고, 간단한 라우팅을 설정하고, WiFi 컨트롤러, 액세스 포인트를 연결하고, 원격 액세스를 위해 ASA를 설치 및 구성합니다. 모든 것이 제대로 작동해서 기쁩니다. 기본적으로 이전 글 중 하나에서 이미 썼듯이 조항 이 주기의 두 학기 동안 통신 과정을 수강하고 학습한 거의 모든 학생은 사무실 네트워크가 "어떻게든 작동"하도록 설계하고 구성할 수 있습니다.

그러나 더 많이 배울수록 이 작업은 덜 단순해 보이기 시작합니다. 개인적으로 사무실 네트워크 디자인이라는 주제가 전혀 단순해 보이지 않는데, 이 기사에서는 그 이유를 설명하려고 합니다.

간단히 말해서 고려해야 할 몇 가지 요소가 있습니다. 이러한 요소들은 서로 충돌하는 경우가 많으므로 합리적인 절충안을 찾아야 합니다.
이러한 불확실성이 가장 큰 어려움입니다. 따라서 보안에 관해 말하면 보안, 직원 편의성, 솔루션 가격이라는 세 가지 꼭지점으로 구성된 삼각형이 있습니다.
그리고 매번 이 세 가지 사이에서 타협점을 찾아야 합니다.

구조

이전 기사에서와 같이 이 두 세그먼트에 대한 아키텍처의 예로 다음을 권장합니다. 시스코 안전 모델 : 엔터프라이즈 캠퍼스, 엔터프라이즈 인터넷 엣지.

다소 오래된 문서입니다. 기본적인 계획과 접근 방식이 변경되지 않았기 때문에 여기에 제시하지만 동시에 프레젠테이션보다 프레젠테이션이 더 마음에 듭니다. 새로운 문서.

Cisco 솔루션을 사용하도록 권장하지 않더라도 이 설계를 주의 깊게 연구하는 것이 유용하다고 생각합니다.

평소와 같이 이 기사는 완전한 척하지 않고 오히려 이 정보에 추가된 것입니다.

기사 마지막 부분에서는 여기에 설명된 개념을 바탕으로 Cisco SAFE 사무실 디자인을 분석하겠습니다.

일반 원칙

물론 사무실 네트워크의 설계는 논의된 일반 요구 사항을 충족해야 합니다. 여기에 "설계 품질 평가 기준"장에서. 이 기사에서 논의하려는 가격과 안전성 외에도 설계(또는 변경) 시 고려해야 할 세 가지 기준이 있습니다.

• 확장성
• 사용 용이성(관리성)
• 유효성

논의된 내용의 대부분은 데이터 센터 이는 사무실에서도 마찬가지입니다.

그러나 여전히 사무실 부문에는 보안 관점에서 중요한 고유한 특성이 있습니다. 이 특이성의 본질은 이 세그먼트가 회사의 직원(파트너 및 게스트 포함)에게 네트워크 서비스를 제공하기 위해 만들어졌으며 결과적으로 문제에 대한 최고 수준의 고려 사항에서 두 가지 작업이 있다는 것입니다.

• 직원(게스트, 파트너) 및 이들이 사용하는 소프트웨어로부터 발생할 수 있는 악의적인 행위로부터 회사 리소스를 보호합니다. 여기에는 네트워크에 대한 무단 연결로부터의 보호도 포함됩니다.
• 시스템 및 사용자 데이터 보호

그리고 이것은 문제의 한 면(또는 오히려 삼각형의 한 꼭지점)일 뿐입니다. 다른 측면에는 사용자 편의성과 사용된 솔루션의 가격이 있습니다.

사용자가 최신 사무실 네트워크에서 기대하는 것이 무엇인지부터 살펴보겠습니다.

편의 시설

내 생각에 사무실 사용자를 위한 "네트워크 편의 시설"은 다음과 같습니다.

• 이동성
• 친숙한 장치 및 운영 체제를 모두 사용할 수 있는 능력
• 필요한 모든 회사 리소스에 쉽게 액세스
• 다양한 클라우드 서비스를 포함한 인터넷 리소스의 가용성
• 네트워크의 "빠른 작동"

이 모든 것은 직원과 손님(또는 파트너) 모두에게 적용되며, 인증에 따라 다양한 사용자 그룹의 액세스를 차별화하는 것이 회사 엔지니어의 임무입니다.

이러한 각 측면을 좀 더 자세히 살펴보겠습니다.

이동성

우리는 전 세계 어디에서나(물론 인터넷을 사용할 수 있는 곳) 회사에 필요한 모든 자원을 활용하고 업무를 수행할 수 있는 기회에 대해 이야기하고 있습니다.

이것은 사무실에 완전히 적용됩니다. 예를 들어 메일 수신, 회사 메신저로 통신, 화상 통화 가능 등 사무실 어디에서나 계속 작업할 수 있는 기회가 있을 때 편리합니다. 일부 문제를 해결하려면 "실시간" 의사소통(예: 집회 참여)을 하고, 반면에 항상 온라인 상태를 유지하고 상황을 파악하고 긴급하고 우선순위가 높은 일부 작업을 신속하게 해결하세요. 이는 매우 편리하며 실제로 통신 품질을 향상시킵니다.

이는 적절한 WiFi 네트워크 설계를 통해 달성됩니다.

참고 :

여기서 일반적으로 질문이 발생합니다. WiFi만 사용하는 것으로 충분합니까? 이는 사무실에서 이더넷 포트 사용을 중단할 수 있다는 의미입니까? 일반 이더넷 포트에 연결하는 것이 여전히 합리적인 서버가 아닌 사용자에 대해서만 이야기하는 경우 일반적으로 대답은 다음과 같습니다. 예, WiFi로만 제한할 수 있습니다. 그러나 뉘앙스가 있습니다.

별도의 접근 방식이 필요한 중요한 사용자 그룹이 있습니다. 물론 이들은 관리자입니다. 원칙적으로 WiFi 연결은 일반 이더넷 포트보다 안정성이 낮고(트래픽 손실 측면에서) 속도가 느립니다. 이는 관리자에게 중요할 수 있습니다. 또한, 예를 들어 네트워크 관리자는 원칙적으로 대역 외 연결을 위한 전용 이더넷 네트워크를 보유할 수 있습니다.

회사에는 이러한 요소가 중요한 다른 그룹/부서가 있을 수도 있습니다.

또 다른 중요한 점은 전화입니다. 아마도 어떤 이유로 인해 무선 VoIP를 사용하고 싶지 않고 일반 이더넷 연결로 IP 전화를 사용하고 싶을 수도 있습니다.

일반적으로 제가 근무한 회사에는 WiFi 연결과 이더넷 포트가 모두 있는 경우가 많았습니다.

이동성이 사무실에만 국한되지 않았으면 좋겠습니다.

집(또는 인터넷에 액세스할 수 있는 다른 장소)에서 작업할 수 있도록 VPN 연결이 사용됩니다. 동시에, 직원들이 재택근무와 동일한 액세스를 전제로 하는 원격근무의 차이를 느끼지 않는 것이 바람직합니다. 이를 구성하는 방법은 나중에 "통합 중앙 집중식 인증 및 권한 부여 시스템" 장에서 논의하겠습니다.

참고 :

대부분의 경우 원격 근무에 대해 사무실에서 제공하는 것과 동일한 품질의 서비스를 완벽하게 제공하지 못할 가능성이 높습니다. Cisco ASA 5520을 VPN 게이트웨이로 사용한다고 가정해 보겠습니다. 데이터 시트 이 장치는 225Mbit의 VPN 트래픽만 "소화"할 수 있습니다. 물론 대역폭 측면에서 VPN을 통한 연결은 사무실에서 작업하는 것과 매우 다릅니다. 또한 어떤 이유로든 네트워크 서비스의 대기 시간, 손실, 지터(예: 사무실 IP 전화 통신을 사용하려는 경우)가 심각한 경우에도 사무실에 있는 것과 동일한 품질을 받을 수 없습니다. 그러므로 이동성에 관해 이야기할 때 우리는 가능한 한계를 인식해야 합니다.

모든 회사 리소스에 쉽게 액세스

이 작업은 다른 기술 부서와 공동으로 해결해야 합니다.
이상적인 상황은 사용자가 한 번만 인증하면 되고 그 후에는 필요한 모든 리소스에 액세스할 수 있는 경우입니다.
보안을 유지하면서 쉬운 액세스를 제공하면 생산성이 크게 향상되고 동료의 스트레스가 줄어들 수 있습니다.

비고 1

액세스 용이성은 단지 비밀번호를 몇 번이나 입력해야 하는지에 관한 것이 아닙니다. 예를 들어, 보안 정책에 따라 사무실에서 데이터 센터로 연결하려면 먼저 VPN 게이트웨이에 연결해야 하고 동시에 사무실 리소스에 대한 액세스가 손실되는 경우에도 마찬가지입니다. , 매우 불편합니다.

비고 2

일반적으로 자체 전용 AAA 서버를 보유하는 서비스(예: 네트워크 장비에 대한 액세스)가 있으며, 이 경우 여러 번 인증해야 하는 것이 표준입니다.

인터넷 자원의 가용성

인터넷은 오락일 뿐만 아니라 업무에 매우 유용할 수 있는 일련의 서비스이기도 합니다. 순전히 심리적인 요인도 있습니다. 현대인은 수많은 가상 스레드를 통해 인터넷을 통해 다른 사람들과 연결되어 있는데, 내 생각에는 일하는 동안에도 이러한 연결을 계속 느낀다면 아무런 문제가 없다고 생각합니다.

예를 들어 직원이 Skype를 실행하고 필요한 경우 사랑하는 사람과 5분 동안 대화를 나누는 경우 시간 낭비의 관점에서 볼 때 아무런 문제가 없습니다.

이는 인터넷을 항상 사용할 수 있어야 한다는 의미입니까? 직원이 모든 리소스에 액세스할 수 있고 어떤 식으로든 이를 제어할 수 없다는 의미입니까?

물론 그렇다고 해서 그런 뜻은 아닙니다. 인터넷의 개방성 수준은 완전한 폐쇄부터 완전한 개방까지 회사마다 다를 수 있습니다. 나중에 보안 조치에 관한 섹션에서 트래픽을 제어하는 ​​방법에 대해 논의하겠습니다.

친숙한 장치 전체를 사용할 수 있는 능력

예를 들어 직장에서 익숙한 모든 의사소통 수단을 계속 사용할 수 있는 기회가 있으면 편리합니다. 이를 기술적으로 구현하는데 어려움은 없습니다. 이를 위해서는 WiFi와 게스트 wilan이 필요합니다.

또한, 익숙한 운영체제를 사용할 기회가 생긴다면 좋습니다. 그러나 제가 관찰한 바에 따르면 이는 일반적으로 관리자, 관리자 및 개발자에게만 허용됩니다.

예

물론 금지 경로를 따르고, 원격 액세스를 금지하고, 모바일 장치에서 연결을 금지하고, 모든 것을 정적 이더넷 연결로 제한하고, 인터넷 액세스를 제한하고, 검문소에서 휴대폰과 장치를 강제로 압수할 수 있습니다... 그리고 이 경로 실제로는 보안 요구 사항이 강화된 일부 조직이 뒤따르고 있으며, 어떤 경우에는 이것이 정당화될 수도 있지만... 이것이 단일 조직의 발전을 중단시키려는 시도처럼 보인다는 점에 동의해야 합니다. 물론, 저는 현대 기술이 제공하는 기회와 충분한 수준의 보안을 결합하고 싶습니다.

네트워크의 "빠른 작동"

데이터 전송 속도는 기술적으로 여러 요소로 구성됩니다. 그리고 연결 포트의 속도는 일반적으로 가장 중요한 것이 아닙니다. 애플리케이션의 느린 작동이 항상 네트워크 문제와 연관되는 것은 아니지만 지금은 네트워크 부분에만 관심이 있습니다. 로컬 네트워크 "속도 저하"와 관련된 가장 일반적인 문제는 패킷 손실과 관련이 있습니다. 이는 일반적으로 병목 현상이나 L1(OSI) 문제가 있을 때 발생합니다. 드물지만 일부 설계에서는(예: 서브넷에 기본 게이트웨이로 방화벽이 있어 모든 트래픽이 방화벽을 통과하는 경우) 하드웨어 성능이 부족할 수 있습니다.

따라서 장비와 아키텍처를 선택할 때 엔드 포트, ​​트렁크 및 장비 성능의 속도를 연관시켜야 합니다.

예

액세스 계층 스위치로 1기가비트 포트가 있는 스위치를 사용한다고 가정해 보겠습니다. Etherchannel 2 x 10기가비트를 통해 서로 연결됩니다. 기본 게이트웨이로 기가비트 포트가 있는 방화벽을 사용하여 Etherchannel에 결합된 2개의 기가비트 포트를 사용하는 L2 사무실 네트워크에 연결합니다.

이 아키텍처는 기능적 관점에서 볼 때 매우 편리합니다. 왜냐하면... 모든 트래픽은 방화벽을 통과하므로 액세스 정책을 편안하게 관리하고 복잡한 알고리즘을 적용하여 트래픽을 제어하고 가능한 공격을 방지할 수 있지만(아래 참조) 처리량 및 성능 관점에서 볼 때 이 설계에는 물론 잠재적인 문제가 있습니다. 따라서 예를 들어 데이터를 다운로드하는 2개의 호스트(포트 속도 1기가비트)는 방화벽에 대한 2기가비트 연결을 완전히 로드할 수 있으므로 전체 사무실 세그먼트의 서비스 저하로 이어질 수 있습니다.

우리는 삼각형의 한 꼭지점을 살펴보았습니다. 이제 보안을 어떻게 보장할 수 있는지 살펴보겠습니다.

구제 수단

따라서 물론 일반적으로 우리의 욕구(또는 경영진의 욕구)는 불가능한 것을 달성하는 것, 즉 최대의 보안과 최소의 비용으로 최대의 편의성을 제공하는 것입니다.

보호를 제공하기 위해 어떤 방법이 필요한지 살펴 보겠습니다.

사무실에서는 다음 사항을 강조하겠습니다.

• 설계에 대한 제로 트러스트 접근 방식
• 높은 수준의 보호
• 네트워크 가시성
• 통일된 중앙 집중식 인증 및 권한 부여 시스템
• 호스트 확인

다음으로, 이러한 각 측면에 대해 좀 더 자세히 살펴보겠습니다.

제로 트러스트

IT 세계는 매우 빠르게 변화하고 있습니다. 지난 10년 동안 새로운 기술과 제품의 출현으로 인해 보안 개념이 크게 바뀌었습니다. 2년 전, 보안 관점에서 우리는 네트워크를 신뢰, dmz, 비신뢰 영역으로 분할하고 소위 "경계 보호"를 사용했는데, 여기서는 비신뢰 -> dmz 및 dmz -> 3가지 방어선이 있었습니다. 신뢰하다. 또한 보호는 일반적으로 L4/L7(OSI) 헤더(IP, TCP/UDP 포트, TCP 플래그)를 기반으로 하는 액세스 목록으로 제한되었습니다. LXNUMX을 포함한 상위 레벨과 관련된 모든 것은 최종 호스트에 설치된 OS 및 보안 제품에 맡겨졌습니다.

이제 상황은 극적으로 변했습니다. 현대적인 컨셉 제로 트러스트 내부 시스템, 즉 경계 내부에 위치한 시스템을 더 이상 신뢰할 수 있는 것으로 간주할 수 없고 경계 자체의 개념도 모호해졌기 때문입니다.
인터넷 연결 외에도

• 원격 액세스 VPN 사용자
• 다양한 개인 기기, 노트북 가져옴, 사무실 WiFi로 연결
• 기타(지점) 사무실
• 클라우드 인프라와의 통합

제로 트러스트 접근 방식은 실제로 어떤 모습인가요?

이상적으로는 필요한 트래픽만 허용되어야 하며, 이상적으로 말하면 L3/L4 수준뿐만 아니라 애플리케이션 수준에서도 제어가 이루어져야 합니다.

예를 들어, 방화벽을 통해 모든 트래픽을 통과시킬 수 있는 능력이 있다면 이상에 더 가까워지도록 노력할 수 있습니다. 그러나 이 접근 방식은 네트워크의 총 대역폭을 크게 줄일 수 있으며, 게다가 애플리케이션별 필터링이 항상 제대로 작동하는 것은 아닙니다.

라우터 또는 L3 스위치(표준 ACL 사용)에서 트래픽을 제어할 때 다른 문제가 발생합니다.

• 이는 L3/L4 필터링 전용입니다. 공격자가 자신의 애플리케이션(http가 아닌)에 허용된 포트(예: TCP 80)를 사용하는 것을 막을 방법은 없습니다.
• 복잡한 ACL 관리(ACL 구문 분석이 어려움)
• 이는 상태 저장 방화벽이 아니므로 명시적으로 역방향 트래픽을 허용해야 합니다.
• 스위치를 사용하면 일반적으로 TCAM의 크기에 따라 매우 엄격하게 제한됩니다. 이는 "필요한 것만 허용" 접근 방식을 취하는 경우 빠르게 문제가 될 수 있습니다.

참고 :

역방향 트래픽에 관해 말하면 다음과 같은 기회가 있다는 것을 기억해야 합니다(Cisco)

설정된 모든 TCP 허용

하지만 이 줄은 두 줄과 동일하다는 것을 이해해야 합니다.
모든 ack에 대한 TCP 허용
먼저 tcp를 허용하세요.

즉, SYN 플래그가 있는 초기 TCP 세그먼트가 없더라도(즉, TCP 세션이 설정을 시작하지 않은 경우에도) 이 ACL은 공격자가 데이터 전송에 사용할 수 있는 ACK 플래그가 있는 패킷을 허용합니다.

즉, 이 라인은 라우터나 L3 스위치를 상태 저장 방화벽으로 전환하지 않습니다.

높은 수준의 보호

В 기사 데이터 센터 섹션에서는 다음과 같은 보호 방법을 고려했습니다.

• 상태 저장 방화벽(기본값)
• 디도스/도스 방어
• 애플리케이션 방화벽
• 위협 방지(바이러스 백신, 스파이웨어 방지 및 취약성)
• URL 필터링
• 데이터 필터링(컨텐츠 필터링)
• 파일 차단(파일 형식 차단)

사무실의 경우 상황은 비슷하지만 우선순위가 조금씩 다르다. 사무실 가용성(가용성)은 일반적으로 데이터 센터의 경우만큼 중요하지 않지만 "내부" 악성 트래픽의 가능성은 훨씬 더 높습니다.
따라서 이 세그먼트에 대한 다음 보호 방법이 중요합니다.

• 애플리케이션 방화벽
• 위협 예방(안티바이러스, 안티스파이웨어, 취약점)
• URL 필터링
• 데이터 필터링(컨텐츠 필터링)
• 파일 차단(파일 형식 차단)

애플리케이션 방화벽을 제외한 이러한 모든 보호 방법은 전통적으로 최종 호스트에서(예: 바이러스 백신 프로그램 설치) 프록시를 사용하여 해결되어 왔고 계속해서 해결되고 있지만 최신 NGFW도 이러한 서비스를 제공합니다.

보안 장비 공급업체는 포괄적인 보호를 위해 노력하므로 로컬 보호와 함께 다양한 클라우드 기술 및 호스트용 클라이언트 소프트웨어(엔드포인트 보호/EPP)를 제공합니다. 예를 들어, 2018 Gartner 매직 쿼드런트 Palo Alto와 Cisco는 자체 EPP(PA: Traps, Cisco: AMP)를 보유하고 있지만 리더와는 거리가 멀다는 것을 알 수 있습니다.

물론 방화벽에서 이러한 보호 기능을 활성화하는 것은(일반적으로 라이센스 구매를 통해) 필수는 아니지만(기존 경로를 사용할 수 있음) 다음과 같은 몇 가지 이점을 제공합니다.

• 이 경우 단일 보호 방법 적용 지점이 있어 가시성이 향상됩니다(다음 항목 참조).
• 네트워크에 보호되지 않은 장치가 있는 경우에도 여전히 방화벽 보호의 "우산"에 속합니다.
• 최종 호스트 보호와 함께 방화벽 보호를 사용하면 악성 트래픽 탐지 가능성이 높아집니다. 예를 들어, 로컬 호스트와 방화벽에서 위협 방지를 사용하면 탐지 가능성이 높아집니다(물론 이러한 솔루션이 다른 소프트웨어 제품을 기반으로 하는 경우).

참고 :

예를 들어 Kaspersky를 방화벽과 최종 호스트 모두에서 바이러스 백신으로 사용하는 경우 물론 네트워크에서 바이러스 공격을 예방할 가능성이 크게 높아지지는 않습니다.

네트워크 가시성

중심 사상 간단합니다. 실시간 및 과거 데이터를 통해 네트워크에서 무슨 일이 일어나고 있는지 “확인”할 수 있습니다.

나는 이 "비전"을 두 그룹으로 나누겠습니다.

그룹 XNUMX: 모니터링 시스템이 일반적으로 제공하는 것.

• 장비 로딩
• 채널 로드 중
• 메모리 사용량
• 디스크 사용량
• 라우팅 테이블 변경
• 링크 상태
• 장비(또는 호스트)의 가용성
• ...

그룹 XNUMX: 안전 관련 정보입니다.

• 다양한 유형의 통계(예: 애플리케이션별, URL 트래픽별, 다운로드된 데이터 유형, 사용자 데이터)
• 보안 정책에 의해 차단된 항목과 그 이유는 무엇입니까?
  • 금지된 신청
  • IP/프로토콜/포트/플래그/구역에 따라 금지됨
  • 위협 예방
  • URL 필터링
  • 데이터 필터링
  • 파일 차단
  • ...
• DOS/DDOS 공격 통계
• 식별 및 인증 시도 실패
• 위의 모든 보안 정책 위반 이벤트에 대한 통계
• ...

보안에 관한 이 장에서는 두 번째 부분에 관심이 있습니다.

일부 최신 방화벽(내 Palo Alto 경험에서 나온)은 좋은 수준의 가시성을 제공합니다. 그러나 물론 관심 있는 트래픽은 이 방화벽을 통과하거나(이 경우 트래픽을 차단할 수 있음) 방화벽에 미러링되어야 하며(모니터링 및 분석에만 사용됨), 모든 트래픽을 활성화하려면 라이센스가 있어야 합니다. 이러한 서비스.

물론 대안적인 방법이나 오히려 전통적인 방법이 있습니다. 예를 들면 다음과 같습니다.

• 세션 통계는 netflow를 통해 수집한 후 정보 분석 및 데이터 시각화를 위한 특수 유틸리티를 사용할 수 있습니다.
• 위협 예방 – 최종 호스트의 특수 프로그램(바이러스 백신, 스파이웨어 방지, 방화벽)
• URL 필터링, 데이터 필터링, 파일 차단 - 프록시에서
• 예를 들어 tcpdump를 분석하는 것도 가능합니다. 흡입

이러한 두 가지 접근 방식을 결합하여 누락된 기능을 보완하거나 복제하여 공격 탐지 가능성을 높일 수 있습니다.

어떤 접근 방식을 선택해야 합니까?
팀의 자격과 선호도에 따라 크게 달라집니다.
거기와 거기에는 장단점이 있습니다.

통합된 중앙 집중식 인증 및 권한 부여 시스템

잘 설계된 모빌리티는 사무실이나 집, 공항, 커피숍 등 어디에서나 동일한 액세스 권한을 갖는다고 가정합니다(위에서 논의한 제한 사항 포함). 문제가 무엇인 것 같나요?
이 작업의 복잡성을 더 잘 이해하기 위해 일반적인 디자인을 살펴보겠습니다.

예

• 모든 직원을 그룹으로 나누었습니다. 그룹별 액세스를 제공하기로 결정했습니다.
• 사무실 내부에서는 사무실 방화벽으로 접근을 통제합니다.
• 데이터센터 방화벽을 통해 사무실에서 데이터센터로의 트래픽을 제어합니다.
• Cisco ASA를 VPN 게이트웨이로 사용하고 원격 클라이언트에서 네트워크로 들어오는 트래픽을 제어하려면 로컬(ASA에서) ACL을 사용합니다.

이제 특정 직원에게 추가 액세스 권한을 추가하라는 요청을 받았다고 가정해 보겠습니다. 이 경우 해당 그룹에 속한 다른 사람이 아닌 그 사람에게만 액세스 권한을 추가하라는 메시지가 표시됩니다.

이를 위해 이 직원에 대한 별도의 그룹을 만들어야 합니다.

• 이 직원을 위해 ASA에 별도의 IP 풀을 생성합니다.
• ASA에 새 ACL을 추가하고 이를 원격 클라이언트에 바인딩합니다.
• 사무실 및 데이터 센터 방화벽에 대한 새로운 보안 정책 수립

이 이벤트가 드물다면 좋습니다. 하지만 실제로는 직원들이 다양한 프로젝트에 참여하는 상황이 있었고 일부에 대한 이러한 프로젝트 세트는 꽤 자주 변경되었으며 1-2명이 아니라 수십 명이었습니다. 물론 여기서 뭔가 변경이 필요했습니다.

이는 다음과 같은 방법으로 해결되었습니다.

우리는 LDAP가 가능한 모든 직원 액세스를 결정하는 유일한 정보 소스가 될 것이라고 결정했습니다. 우리는 액세스 집합을 정의하는 모든 종류의 그룹을 만들고 각 사용자를 하나 이상의 그룹에 할당했습니다.

예를 들어 그룹이 있다고 가정해 보겠습니다.

• 게스트(인터넷 접속)
• 공통 액세스(공유 리소스에 대한 액세스: 메일, 지식 베이스 등)
• 회계
• 1 프로젝트
• 2 프로젝트
• 데이터베이스 관리자
• 리눅스 관리자
• ...

직원 중 한 명이 프로젝트 1과 프로젝트 2에 모두 참여했고 해당 프로젝트에서 작업하는 데 필요한 액세스 권한이 필요한 경우 이 직원은 다음 그룹에 할당되었습니다.

• 손님
• 공통 액세스
• 1 프로젝트
• 2 프로젝트

이제 이 정보를 어떻게 네트워크 장비에 대한 액세스로 전환할 수 있습니까?

Cisco ASA 동적 액세스 정책(DAP)(참조 www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next- Generation-firewalls/108000-dap-deploy-guide.html) 솔루션이 이 작업에 적합합니다.

구현에 대해 간략히 설명하면, 식별/권한 부여 프로세스 중에 ASA는 LDAP에서 특정 사용자에 해당하는 그룹 집합을 수신하고 여러 로컬 ACL(각각 그룹에 해당)에서 필요한 모든 액세스 권한이 있는 동적 ACL을 "수집"합니다. , 이는 우리의 희망과 완전히 일치합니다.

그러나 이는 VPN 연결에만 해당됩니다. VPN을 통해 연결된 직원과 사무실에 있는 직원 모두에게 동일한 상황을 만들기 위해 다음 단계를 수행했습니다.

사무실에서 연결할 때 802.1x 프로토콜을 사용하는 사용자는 게스트 LAN(게스트용) 또는 공유 LAN(회사 직원용)을 사용하게 되었습니다. 또한 특정 액세스(예: 데이터 센터의 프로젝트)를 얻으려면 직원이 VPN을 통해 연결해야 했습니다.

사무실과 집에서 연결하기 위해 ASA에서는 서로 다른 터널 그룹이 사용되었습니다. 이는 사무실에서 연결하는 경우 공유 리소스(메일, 파일 서버, 티켓 시스템, DNS 등 모든 직원이 사용함)에 대한 트래픽이 ASA를 통과하지 않고 로컬 네트워크를 통과하도록 하기 위해 필요합니다. . 따라서 우리는 고강도 트래픽을 포함하여 불필요한 트래픽을 ASA에 로드하지 않았습니다.

따라서 문제가 해결되었습니다.
우리는

• 사무실 연결과 원격 연결 모두에 대해 동일한 액세스 세트
• ASA를 통한 고강도 트래픽 전송과 관련된 사무실 근무 시 서비스 저하가 없음

이 접근 방식의 다른 장점은 무엇입니까?
액세스 관리 중. 액세스 권한을 한 곳에서 쉽게 변경할 수 있습니다.
예를 들어, 직원이 회사를 떠나는 경우 해당 직원을 LDAP에서 제거하기만 하면 해당 직원은 자동으로 모든 액세스 권한을 잃게 됩니다.

호스트 확인

원격 연결 가능성으로 인해 회사 직원뿐만 아니라 그의 컴퓨터(예: 집)에 존재할 가능성이 매우 높은 모든 악성 소프트웨어도 네트워크에 액세스할 수 있는 위험이 있으며, 더욱이 이 소프트웨어를 통해 우리는 이 호스트를 프록시로 사용하는 공격자에게 우리 네트워크에 대한 액세스를 제공할 수 있습니다.

원격으로 연결된 호스트가 사무실 내 호스트와 동일한 보안 요구 사항을 적용하는 것이 합리적입니다.

이는 또한 OS, 안티바이러스, 안티스파이웨어, 방화벽 소프트웨어 및 업데이트의 "올바른" 버전을 가정합니다. 일반적으로 이 기능은 VPN 게이트웨이에 존재합니다(ASA의 경우 예를 들어 참조). 여기에).

또한 보안 정책이 사무실 트래픽에 적용되는 것과 동일한 트래픽 분석 및 차단 기술(“높은 수준의 보호” 참조)을 적용하는 것이 좋습니다.

사무실 네트워크가 더 이상 사무실 건물과 그 안에 있는 호스트로 제한되지 않는다고 가정하는 것이 합리적입니다.

예

좋은 기술은 원격 액세스가 필요한 각 직원에게 훌륭하고 편리한 노트북을 제공하고 사무실과 집에서 노트북을 통해서만 작업하도록 요구하는 것입니다.

이는 네트워크 보안을 향상시킬 뿐만 아니라 매우 편리하며 일반적으로 직원들에게 호평을 받습니다(정말 훌륭하고 사용자 친화적인 노트북인 경우).

비례감과 균형감에 대해

기본적으로 이것은 삼각형의 세 번째 꼭지점, 즉 가격에 대한 대화입니다.
가상의 예를 살펴보겠습니다.

예

200명을 수용할 수 있는 사무실이 있습니다. 최대한 편리하고 안전하게 만들기로 결정하셨습니다.

따라서 모든 트래픽을 방화벽을 통해 전달하기로 결정했으므로 모든 사무실 서브넷에 대해 방화벽이 기본 게이트웨이입니다. 각 최종 호스트에 설치된 보안 소프트웨어(바이러스 백신, 스파이웨어 방지 및 방화벽 소프트웨어) 외에도 방화벽에 가능한 모든 보호 방법을 적용하기로 결정했습니다.

높은 연결 속도(편의성을 위해 모두)를 보장하기 위해 액세스 스위치로 10기가비트 액세스 포트가 있는 스위치를 선택하고 방화벽으로 고성능 NGFW 방화벽을 선택했습니다. 예를 들어 Palo Alto 7K 시리즈(40기가비트 포트 포함)는 물론 모든 라이센스가 포함됩니다. 포함되어 있으며 당연히 고가용성 쌍도 포함됩니다.

또한, 물론 이 장비 라인을 사용하려면 최소한 두 명의 우수한 보안 엔지니어가 필요합니다.

다음으로, 각 직원에게 좋은 노트북을 주기로 결정했습니다.

총 구현 비용은 약 천만 달러, 연간 지원 비용과 엔지니어 급여 비용은 수십만 달러(백만 달러에 가깝다고 생각합니다)입니다.

사무실, 200명...
편안한? 내 생각엔 그렇습니다.

당신은 경영진에게 이 제안을 가지고 왔습니다...
아마도 이것이 수용 가능하고 올바른 솔루션인 회사가 전 세계에 많이 있을 것입니다. 귀하가 이 회사의 직원이라면 축하합니다. 그러나 대부분의 경우 경영진은 귀하의 지식을 인정하지 않을 것이라고 확신합니다.

이 예는 과장된 것입니까? 다음 장에서는 이 질문에 답할 것입니다.

네트워크에 위의 내용이 표시되지 않으면 이것이 표준입니다.
각각의 특정 사례에 대해 편의성, 가격 및 안전성 사이에서 합리적인 절충안을 찾아야 합니다. 종종 사무실에는 NGFW가 필요하지 않으며 방화벽의 L7 보호도 필요하지 않습니다. 좋은 수준의 가시성과 경고를 제공하는 것만으로도 충분하며, 예를 들어 오픈 소스 제품을 사용하여 이를 수행할 수 있습니다. 예, 공격에 대한 귀하의 반응은 즉각적이지는 않을 것입니다. 그러나 가장 중요한 것은 귀하가 이를 확인하고 귀하의 부서에 올바른 프로세스가 마련되어 있으면 이를 신속하게 무력화할 수 있다는 것입니다.

그리고 이 기사 시리즈의 개념에 따르면 네트워크를 설계하는 것이 아니라, 얻은 것을 개선하려고 노력하는 것임을 상기시켜 드리겠습니다.

사무실 아키텍처의 SAFE 분석

내가 다이어그램에서 장소를 할당한 이 빨간색 사각형에 주목하세요. SAFE 보안 캠퍼스 아키텍처 가이드여기서 논의하고 싶은 것입니다.

이것은 건축의 핵심 장소 중 하나이자 가장 중요한 불확실성 중 하나입니다.

참고 :

저는 FirePower(Cisco의 방화벽 제품군 - ASA만 해당)를 설정하거나 사용한 적이 없으므로 동일한 기능이 있다는 가정하에 Juniper SRX 또는 Palo Alto와 같은 다른 방화벽처럼 취급하겠습니다.

일반적인 설계 중에서 이 연결에서 방화벽을 사용하는 데 가능한 옵션은 4가지뿐입니다.

• 각 서브넷의 기본 게이트웨이는 스위치이고 방화벽은 투명 모드입니다(즉, 모든 트래픽이 이를 통과하지만 L3 홉을 형성하지 않음).
• 각 서브넷의 기본 게이트웨이는 방화벽 하위 인터페이스(또는 SVI 인터페이스)이고 스위치는 L2 역할을 합니다.
• 스위치에서 서로 다른 VRF가 사용되며 VRF 간의 트래픽은 방화벽을 통과하고 하나의 VRF 내의 트래픽은 스위치의 ACL에 의해 제어됩니다.
• 모든 트래픽은 분석 및 모니터링을 위해 방화벽에 미러링되며 트래픽은 방화벽을 통과하지 않습니다.

비고 1

이러한 옵션의 조합이 가능하지만 단순화를 위해 고려하지 않습니다.

노트 2

PBR(서비스 체인 아키텍처)을 사용할 가능성도 있지만 현재로서는 이것이 아름다운 솔루션이라고 생각하지만 다소 이국적이므로 여기서는 고려하지 않습니다.

문서의 흐름에 대한 설명에서 트래픽이 여전히 방화벽을 통과한다는 것을 알 수 있습니다. 즉, Cisco 설계에 따라 네 번째 옵션이 제거되었습니다.

먼저 처음 두 가지 옵션을 살펴보겠습니다.
이러한 옵션을 사용하면 모든 트래픽이 방화벽을 통과합니다.

이제 우리는 본다 데이터 시트봐 시스코 GPL 그리고 우리 사무실의 총 대역폭이 최소한 10~20기가비트가 되기를 원한다면 4K 버전을 구입해야 한다는 것을 알았습니다.

참고 :

총 대역폭에 관해 이야기할 때, 이는 하나의 빌라 내가 아닌 서브넷 간 트래픽을 의미합니다.

GPL을 보면 Threat Defense가 포함된 HA 번들의 경우 모델(4110 - 4150)에 따라 가격이 0,5만 ~ 2,5만 달러 정도인 것으로 나타났습니다.

즉, 우리의 디자인은 이전 예와 비슷해지기 시작합니다.

이 디자인이 잘못되었다는 뜻인가요?
아니요, 그런 뜻은 아닙니다. Cisco는 보유하고 있는 제품 라인을 기반으로 최상의 보호 기능을 제공합니다. 하지만 이것이 꼭 해야 할 일이라는 의미는 아닙니다.

원칙적으로 이는 사무실이나 데이터 센터를 설계할 때 발생하는 일반적인 질문이며 이는 단지 타협점을 찾아야 함을 의미할 뿐입니다.

예를 들어, 모든 트래픽이 방화벽을 통과하도록 허용하지 마세요. 이 경우 옵션 3이 제게는 꽤 좋을 것 같습니다. 또는 (이전 섹션 참조) Threat Defense가 필요하지 않거나 방화벽이 전혀 필요하지 않을 수도 있습니다. 네트워크 세그먼트, 유료(비싸지 않은) 또는 오픈 소스 솔루션을 사용하는 수동 모니터링으로 제한해야 하거나 방화벽이 필요하지만 다른 공급업체에서 제공합니다.

일반적으로 이러한 불확실성은 항상 존재하며 어떤 결정이 귀하에게 가장 적합한지에 대한 명확한 대답은 없습니다.
이것이 이 작업의 복잡성과 아름다움입니다.

출처 : habr.com