테스트 내용: Cisco ISE 구현을 준비하는 방법과 필요한 시스템 기능을 이해하는 방법

멋진 광고에 굴복하여 자발적으로 무언가를 구매한 다음, 처음에 원했던 품목이 다음 봄 청소나 이사 때까지 옷장, 식료품 저장실 또는 차고에 먼지를 모으는 경우가 얼마나 자주 있습니까? 결과는 부당한 기대와 낭비된 돈으로 인한 실망입니다. 비즈니스에 이런 일이 발생하면 상황은 훨씬 더 악화됩니다. 마케팅 수법이 너무 좋아서 기업에서는 응용 프로그램의 전체 그림을 보지 못한 채 값비싼 솔루션을 구입하는 경우가 많습니다. 한편, 시스템 시험 테스트는 통합을 위한 인프라 준비 방법, 구현해야 할 기능 및 범위를 이해하는 데 도움이 됩니다. 이렇게 하면 "맹목적으로" 제품을 선택함으로써 발생하는 수많은 문제를 피할 수 있습니다. 또한 유능한 "파일럿" 이후의 구현을 통해 엔지니어는 파괴된 신경 세포와 흰머리를 훨씬 덜 얻을 수 있습니다. 기업 네트워크에 대한 액세스를 제어하는 ​​데 널리 사용되는 도구인 Cisco ISE의 ​​예를 사용하여 성공적인 프로젝트에 파일럿 테스트가 왜 중요한지 알아 보겠습니다. 실습에서 만난 솔루션을 사용하기 위한 표준 옵션과 완전히 비표준 옵션을 모두 고려해 보겠습니다.

Cisco ISE - “스테로이드를 사용한 Radius 서버”

Cisco ISE(Identity Services Engine)는 조직의 LAN용 액세스 제어 시스템을 생성하기 위한 플랫폼입니다. 전문가 커뮤니티에서는 이 제품의 특성 때문에 '스테로이드 위의 Radius 서버'라는 별명이 붙었습니다. 왜 그런 겁니까? 기본적으로 솔루션은 수많은 추가 서비스와 "트릭"이 연결된 Radius 서버로, 이를 통해 대량의 상황별 정보를 수신하고 결과 데이터 세트를 액세스 정책에 적용할 수 있습니다.

다른 Radius 서버와 마찬가지로 Cisco ISE는 액세스 수준 네트워크 장비와 상호 작용하고 기업 네트워크에 연결하려는 모든 시도에 대한 정보를 수집하며 인증 및 권한 부여 정책에 따라 사용자의 LAN 연결을 허용하거나 거부합니다. 그러나 프로파일링, 게시 및 다른 정보 보안 솔루션과의 통합 가능성으로 인해 인증 정책의 논리가 상당히 복잡해지고 그에 따라 상당히 어렵고 흥미로운 문제가 해결될 수 있습니다.

구현을 시범적으로 진행할 수 없습니다. 테스트가 필요한 이유는 무엇입니까?

파일럿 테스트의 가치는 특정 조직의 특정 인프라에서 시스템의 모든 기능을 입증하는 것입니다. 저는 구현 전에 Cisco ISE를 시험해 보는 것이 프로젝트에 참여하는 모든 사람에게 도움이 된다고 믿습니다. 그 이유는 다음과 같습니다.

이는 통합자에게 고객의 기대에 대한 명확한 아이디어를 제공하고 "모든 것이 괜찮은지 확인하십시오"라는 일반적인 문구보다 훨씬 더 자세한 내용을 포함하는 올바른 기술 사양을 만드는 데 도움이 됩니다. "파일럿"을 통해 우리는 고객의 모든 고통을 느끼고 어떤 작업이 고객에게 우선 순위이고 어떤 작업이 부차적인지 이해할 수 있습니다. 우리에게 이는 조직에서 어떤 장비가 사용되는지, 구현 방법, 어떤 사이트, 위치 등을 미리 파악할 수 있는 좋은 기회입니다.

파일럿 테스트 중에 고객은 실제 시스템이 작동하는 모습을 보고, 인터페이스에 대해 알아보고, 기존 하드웨어와 호환되는지 확인하고, 전체 구현 후 솔루션이 어떻게 작동할지 전체적으로 이해할 수 있습니다. "파일럿"은 통합 중에 발생할 수 있는 모든 위험을 확인하고 구매해야 하는 라이선스 수를 결정할 수 있는 바로 그 순간입니다.
"파일럿" 중에 "팝업"할 수 있는 것

그렇다면 Cisco ISE 구현을 올바르게 준비하려면 어떻게 해야 합니까? 우리의 경험을 통해 시스템 파일럿 테스트 중에 고려해야 할 중요한 4가지 주요 사항을 계산했습니다.

폼 팩터

먼저 시스템을 구현할 폼 팩터(물리적 업라인 또는 가상 업라인)를 결정해야 합니다. 각 옵션에는 장점과 단점이 있습니다. 예를 들어, 물리적 업라인의 강점은 예측 가능한 성능이지만 이러한 장치는 시간이 지남에 따라 쓸모가 없게 된다는 점을 잊어서는 안 됩니다. 가상 업라인은 예측하기가 어렵습니다. 가상화 환경이 배포되는 하드웨어에 따라 다르지만 심각한 이점이 있습니다. 지원이 가능한 경우 항상 최신 버전으로 업데이트할 수 있습니다.

귀하의 네트워크 장비는 Cisco ISE와 호환됩니까?

물론, 이상적인 시나리오는 모든 장비를 시스템에 한 번에 연결하는 것입니다. 그러나 많은 조직이 여전히 관리되지 않는 스위치나 Cisco ISE를 실행하는 일부 기술을 지원하지 않는 스위치를 사용하고 있기 때문에 이것이 항상 가능한 것은 아닙니다. 그건 그렇고, 우리는 스위치에 대해서만 이야기하는 것이 아니라 무선 네트워크 컨트롤러, VPN 집중 장치 및 사용자가 연결하는 기타 장비일 수도 있습니다. 실제로는 전체 구현을 위한 시스템을 시연한 후 고객이 액세스 수준 스위치 전체를 최신 Cisco 장비로 업그레이드한 경우가 있었습니다. 불쾌한 놀라움을 피하려면 지원되지 않는 장비의 비율을 미리 알아내는 것이 좋습니다.

모든 장치가 표준입니까?

모든 네트워크에는 워크스테이션, IP 전화, Wi-Fi 액세스 포인트, 비디오 카메라 등 연결이 어렵지 않은 일반적인 장치가 있습니다. 그러나 RS232/이더넷 버스 신호 변환기, 무정전 전원 공급 장치 인터페이스, 다양한 기술 장비 등과 같은 비표준 장치를 LAN에 연결해야 하는 경우도 있습니다. 이러한 장치 목록을 미리 결정하는 것이 중요합니다. , 구현 단계에서 Cisco ISE와 기술적으로 어떻게 작동하는지 이미 이해하고 있습니다.

IT 전문가와의 건설적인 대화

Cisco ISE 고객은 대개 보안 부서인 반면, IT 부서는 일반적으로 액세스 레이어 스위치 및 Active Directory 구성을 담당합니다. 따라서 보안 전문가와 IT 전문가 간의 생산적인 상호 작용은 시스템을 원활하게 구현하기 위한 중요한 조건 중 하나입니다. 후자가 통합과 적대감을 인식한다면 솔루션이 IT 부서에 어떻게 유용할 것인지 설명하는 것이 좋습니다.

Cisco ISE 사용 사례 상위 5개

우리의 경험에 따르면 시스템에 필요한 기능은 파일럿 테스트 단계에서도 식별됩니다. 다음은 이 솔루션에 대한 가장 인기 있고 덜 일반적인 사용 사례 중 일부입니다.

EAP-TLS를 사용하여 유선을 통한 보안 LAN 액세스

침투 테스터 연구 결과에 따르면, 공격자는 프린터, 전화기, IP 카메라, Wi-Fi 포인트 및 기타 비개인 네트워크 장치가 연결된 일반 소켓을 사용하여 회사 네트워크에 침투하는 경우가 많습니다. 따라서 네트워크 접속이 dot1x 기술을 기반으로 하지만 사용자 인증 인증서를 사용하지 않고 대체 프로토콜을 사용하더라도 세션 가로채기 및 무차별 암호 대입을 통한 공격이 성공할 가능성이 높습니다. Cisco ISE의 ​​경우 인증서를 훔치는 것이 훨씬 더 어려울 것입니다. 이를 위해 해커에게는 훨씬 더 많은 컴퓨팅 성능이 필요하므로 이 경우는 매우 효과적입니다.

듀얼 SSID 무선 액세스

이 시나리오의 핵심은 2개의 SSID(네트워크 식별자)를 사용하는 것입니다. 그 중 하나는 조건부로 "게스트"라고 부를 수 있습니다. 이를 통해 손님과 회사 직원 모두 무선 네트워크에 접속할 수 있습니다. 연결을 시도하면 후자는 프로비저닝이 이루어지는 특수 포털로 리디렉션됩니다. 즉, 사용자에게 인증서가 발급되고 그의 개인 장치는 첫 번째 경우의 모든 장점과 함께 이미 EAP-TLS를 사용하는 두 번째 SSID에 자동으로 다시 연결되도록 구성됩니다.

MAC 인증 우회 및 프로파일링

또 다른 널리 사용되는 사용 사례는 연결된 장치 유형을 자동으로 감지하고 이에 대한 올바른 제한을 적용하는 것입니다. 그 사람이 왜 흥미로운가요? 사실 802.1X 프로토콜을 사용한 인증을 지원하지 않는 장치가 여전히 많이 있습니다. 따라서 이러한 장치는 MAC 주소를 사용하여 네트워크에 접속할 수 있어야 하며 이는 위조가 매우 쉽습니다. 이것이 바로 Cisco ISE가 구출되는 곳입니다. 시스템의 도움으로 장치가 네트워크에서 어떻게 작동하는지 확인하고 해당 프로필을 생성한 후 이를 다른 장치 그룹(예: IP 전화 및 워크스테이션)에 할당할 수 있습니다. . 공격자가 MAC 주소를 스푸핑하여 네트워크에 연결하려고 시도하면 시스템은 장치 프로필이 변경되었음을 확인하고 의심스러운 동작에 대한 신호를 보내고 의심스러운 사용자가 네트워크에 들어오는 것을 허용하지 않습니다.

EAP 체인

EAP-Chaining 기술에는 작업 중인 PC와 사용자 계정을 순차적으로 인증하는 기술이 포함됩니다. 이 사건이 널리 퍼진 이유는... 많은 회사에서는 여전히 직원의 개인 장치를 회사 LAN에 연결하는 것을 권장하지 않습니다. 이 인증 접근 방식을 사용하면 특정 워크스테이션이 도메인의 구성원인지 여부를 확인할 수 있으며, 결과가 부정적이면 사용자는 네트워크에 들어갈 수 없거나 들어갈 수 있습니다. 제한.

자세

이 사례는 워크스테이션 소프트웨어의 정보 보안 요구 사항 준수 여부를 평가하는 것입니다. 이 기술을 사용하면 워크스테이션의 소프트웨어가 업데이트되었는지, 보안 조치가 설치되어 있는지, 호스트 방화벽이 구성되어 있는지 등을 확인할 수 있습니다. 흥미롭게도 이 기술을 사용하면 필요한 파일이 있는지 확인하거나 시스템 전체 소프트웨어를 설치하는 등 보안과 관련되지 않은 다른 작업도 해결할 수 있습니다.

Cisco ISE의 ​​덜 일반적인 사용 사례에는 엔드 투 엔드 도메인 인증(Passive ID)을 통한 액세스 제어, SGT 기반 마이크로 세분화 및 필터링, MDM(모바일 장치 관리) 시스템 및 취약점 스캐너와의 통합이 포함됩니다.

비표준 프로젝트: Cisco ISE가 필요한 이유 또는 당사 실무에서 드물게 발생하는 3가지 사례

Linux 기반 서버에 대한 액세스 제어

이미 Cisco ISE 시스템을 구현한 고객 중 한 사람의 다소 사소한 사례를 해결하고 있었을 때 우리는 Linux가 설치된 서버에서 사용자 작업(주로 관리자)을 제어할 수 있는 방법을 찾아야 했습니다. 이에 대한 답을 찾기 위해 우리는 외부 Radius 서버에서 인증을 통해 Linux를 실행하는 서버에 로그인할 수 있는 무료 PAM Radius 모듈 소프트웨어를 사용하는 아이디어를 내놓았습니다. 이와 관련하여 모든 것이 좋을 것입니다. 단 하나의 "그러나"가 아니라면 반경 서버는 인증 요청에 대한 응답을 보내고 계정 이름과 결과만 제공합니다(승인 평가 또는 거부 평가). 한편 Linux에서 인증을 받으려면 사용자가 최소한 어딘가에 도착할 수 있도록 홈 디렉터리라는 매개 변수를 하나 이상 추가로 할당해야 합니다. 이것을 반경 속성으로 제공하는 방법을 찾지 못했기 때문에 반자동 모드에서 호스트에 원격으로 계정을 생성하기 위한 특수 스크립트를 작성했습니다. 이 작업은 그 수가 그리 많지 않은 관리자 계정을 다루고 있었기 때문에 상당히 실현 가능했습니다. 다음으로 사용자는 필요한 장치에 로그온한 후 필요한 액세스 권한을 할당 받았습니다. 합리적인 질문이 생깁니다. 이러한 경우 Cisco ISE를 사용해야 합니까? 실제로는 아닙니다. 모든 Radius 서버가 가능하지만 고객이 이미 이 시스템을 갖고 있었기 때문에 우리는 여기에 새로운 기능을 추가했습니다.

LAN의 하드웨어 및 소프트웨어 인벤토리

우리는 예비 "파일럿" 없이 한 고객에게 Cisco ISE를 공급하는 프로젝트를 진행한 적이 있습니다. 솔루션에 대한 명확한 요구 사항이 없었고, 우리는 평면적이고 비분할된 네트워크를 다루고 있었기 때문에 작업이 복잡했습니다. 프로젝트 중에 NetFlow, DHCP, SNMP, AD 통합 등 네트워크가 지원하는 가능한 모든 프로파일링 방법을 구성했습니다. 그 결과, 인증이 실패하면 네트워크에 로그인할 수 있는 기능으로 MAR 액세스가 구성되었습니다. 즉, 인증에 실패하더라도 시스템은 사용자의 네트워크 접속을 허용하고 사용자에 대한 정보를 수집하여 ISE 데이터베이스에 기록합니다. 몇 주에 걸친 이러한 네트워크 모니터링은 연결된 시스템과 비개인 장치를 식별하고 이를 분할하는 접근 방식을 개발하는 데 도움이 되었습니다. 이후 워크스테이션에 설치된 소프트웨어에 대한 정보를 수집하기 위해 워크스테이션에 에이전트를 설치하도록 게시를 추가로 구성했습니다. 결과는 무엇입니까? 우리는 네트워크를 분할하고 워크스테이션에서 제거해야 하는 소프트웨어 목록을 결정할 수 있었습니다. 사용자를 도메인 그룹에 분배하고 액세스 권한을 설명하는 추가 작업에 상당한 시간이 걸렸다는 점을 숨기지 않겠습니다. 하지만 이러한 방식으로 고객이 네트워크에 어떤 하드웨어를 보유하고 있는지에 대한 완전한 그림을 얻을 수 있었습니다. 그런데, 이 작업은 기본적으로 프로파일링 작업을 잘 수행했기 때문에 어렵지 않았습니다. 글쎄, 프로파일링이 도움이 되지 않은 경우, 우리는 장비가 연결된 스위치 포트를 강조하면서 스스로 살펴보았습니다.

워크스테이션에 소프트웨어 원격 설치

이 사례는 내 실습에서 가장 이상한 사례 중 하나입니다. 어느 날 고객이 도움을 청하며 우리에게 왔습니다. Cisco ISE를 구현하는 중에 문제가 발생하여 모든 것이 중단되었으며 다른 사람은 네트워크에 액세스할 수 없었습니다. 우리는 그것을 조사하기 시작했고 다음을 발견했습니다. 회사에는 2000대의 컴퓨터가 있었는데 도메인 컨트롤러가 없을 경우 관리자 계정으로 관리되었습니다. 피어링을 위해 조직에서는 Cisco ISE를 구현했습니다. 기존 PC에 바이러스 백신이 설치되어 있는지, 소프트웨어 환경이 업데이트되었는지 등을 어떻게든 파악해야 했습니다. 그리고 IT 관리자가 시스템에 네트워크 장비를 설치했기 때문에 그들이 해당 장비에 액세스할 수 있다는 것은 논리적입니다. 작동 방식을 확인하고 PC를 다듬은 후 관리자는 개인적 방문 없이 원격으로 직원 워크스테이션에 소프트웨어를 설치하는 아이디어를 생각해 냈습니다. 이런 식으로 하루에 얼마나 많은 걸음을 절약할 수 있는지 상상해 보세요! 관리자는 C:Program Files 디렉터리에 특정 파일이 있는지 확인하기 위해 워크스테이션을 여러 번 검사했으며, 해당 파일이 없는 경우 파일 저장소로 연결되는 링크를 따라 설치 .exe 파일을 따라 자동 치료가 시작되었습니다. 이를 통해 일반 사용자는 파일 공유로 이동하여 거기에서 필요한 소프트웨어를 다운로드할 수 있었습니다. 불행하게도 관리자는 ISE 시스템을 잘 모르고 게시 메커니즘을 손상시켰습니다. 그는 정책을 잘못 작성하여 우리가 해결해야 하는 문제로 이어졌습니다. 개인적으로 도메인 컨트롤러를 만드는 것이 훨씬 저렴하고 노동 집약적이기 때문에 이러한 창의적인 접근 방식에 진심으로 놀랐습니다. 그러나 개념 증명으로서는 효과가 있었습니다.

동료의 기사에서 Cisco ISE를 구현할 때 발생하는 기술적인 미묘한 차이에 대해 자세히 알아보세요. “Cisco ISE 구현 사례. 엔지니어의 견해".

Jet Infosystems 정보 보안 센터의 설계 엔지니어 Artem Bobrikov

사후:
이 게시물이 Cisco ISE 시스템에 대해 설명하고 있음에도 불구하고 설명된 문제는 전체 NAC 솔루션 클래스와 관련이 있습니다. 어떤 공급업체의 솔루션을 구현하도록 계획되어 있는지는 그다지 중요하지 않습니다. 위의 대부분은 계속 적용 가능합니다.

출처 : habr.com