ການທົດສອບຈະສະແດງໃຫ້ເຫັນ: ວິທີການກະກຽມສໍາລັບການປະຕິບັດ Cisco ISE ແລະເຂົ້າໃຈລັກສະນະລະບົບທີ່ທ່ານຕ້ອງການ

ທ່ານຊື້ບາງສິ່ງບາງຢ່າງ spontaneously, succumbing ກັບການໂຄສະນາເຢັນ, ແລະຫຼັງຈາກນັ້ນສິ່ງທີ່ຕ້ອງການໃນເບື້ອງຕົ້ນນີ້ລວບລວມຂີ້ຝຸ່ນຢູ່ໃນ closet, pantry ຫຼື garage ກ່ອນທີ່ຈະທໍາຄວາມສະອາດທົ່ວໄປຕໍ່ໄປຫຼືການເຄື່ອນຍ້າຍ? ດັ່ງນັ້ນ, ຄວາມຜິດຫວັງຍ້ອນຄວາມຄາດຫວັງທີ່ບໍ່ເປັນຈິງແລະເສຍເງິນ. ມັນຮ້າຍແຮງກວ່າເກົ່າເມື່ອສິ່ງນີ້ເກີດຂື້ນກັບທຸລະກິດ. ເລື້ອຍໆ tricks ການຕະຫຼາດແມ່ນດີຫຼາຍທີ່ບໍລິສັດຊື້ການແກ້ໄຂລາຄາແພງໂດຍບໍ່ເຫັນຮູບພາບເຕັມຂອງຄໍາຮ້ອງສະຫມັກຂອງມັນ. ໃນຂະນະດຽວກັນ, ການທົດລອງທົດລອງຂອງລະບົບຊ່ວຍໃຫ້ເຂົ້າໃຈວິທີການກະກຽມໂຄງສ້າງພື້ນຖານສໍາລັບການເຊື່ອມໂຍງ, ຫນ້າທີ່ໃດແລະລະດັບໃດຄວນປະຕິບັດ. ດັ່ງນັ້ນທ່ານສາມາດຫຼີກເວັ້ນບັນຫາຈໍານວນຫລາຍອັນເນື່ອງມາຈາກການເລືອກຜະລິດຕະພັນ "ຕາບອດ". ນອກຈາກນັ້ນ, ການປະຕິບັດຫຼັງຈາກ "ນັກບິນ" ທີ່ມີຄວາມສາມາດຈະນໍາວິສະວະກອນທີ່ທໍາລາຍຈຸລັງເສັ້ນປະສາດແລະຜົມສີຂີ້ເຖົ່າຫນ້ອຍລົງ. ໃຫ້ເບິ່ງວ່າເປັນຫຍັງການທົດສອບການທົດລອງຈຶ່ງມີຄວາມສໍາຄັນຫຼາຍສໍາລັບໂຄງການທີ່ປະສົບຜົນສໍາເລັດ, ການນໍາໃຊ້ຕົວຢ່າງຂອງເຄື່ອງມືທີ່ນິຍົມໃນການຄວບຄຸມການເຂົ້າເຖິງເຄືອຂ່າຍຂອງບໍລິສັດ - Cisco ISE. ພິ​ຈາ​ລະ​ນາ​ທັງ​ສອງ​ທາງ​ເລືອກ​ທີ່​ປົກ​ກະ​ຕິ​ແລະ​ບໍ່​ໄດ້​ມາດ​ຕະ​ຖານ​ສໍາ​ລັບ​ການ​ນໍາ​ໃຊ້​ການ​ແກ້​ໄຂ​ທີ່​ພວກ​ເຮົາ​ພົບ​ໃນ​ການ​ປະ​ຕິ​ບັດ​ຂອງ​ພວກ​ເຮົາ​.

Cisco ISE - Radius Server ໃນ Stereos

Cisco Identity Services Engine (ISE) ເປັນແພລະຕະຟອມສໍາລັບການກໍ່ສ້າງລະບົບການຄວບຄຸມການເຂົ້າເຖິງສໍາລັບເຄືອຂ່າຍທ້ອງຖິ່ນຂອງອົງການຈັດຕັ້ງ. ໃນຊຸມຊົນຜູ້ຊ່ຽວຊານ, ຜະລິດຕະພັນໄດ້ຖືກຕັ້ງຊື່ຫຼິ້ນວ່າ "ເຄື່ອງແມ່ຂ່າຍຂອງ Radius ກ່ຽວກັບ steroids" ສໍາລັບຄຸນສົມບັດຂອງມັນ. ເປັນຫຍັງຄື? ໂດຍເນື້ອແທ້ແລ້ວ, ການແກ້ໄຂແມ່ນເຄື່ອງແມ່ຂ່າຍຂອງ Radius, ເຊິ່ງມີຈໍານວນການບໍລິການເພີ່ມເຕີມແລະ "chips" ທີ່ຕິດຢູ່, ຊ່ວຍໃຫ້ທ່ານໄດ້ຮັບຂໍ້ມູນບໍລິບົດຈໍານວນຫລາຍແລະນໍາໃຊ້ຊຸດຂໍ້ມູນຜົນໄດ້ຮັບໃນນະໂຍບາຍການເຂົ້າເຖິງ.

ເຊັ່ນດຽວກັນກັບເຄື່ອງແມ່ຂ່າຍ Radius ອື່ນໆ, Cisco ISE ພົວພັນກັບອຸປະກອນເຄືອຂ່າຍລະດັບການເຂົ້າເຖິງ, ເກັບກໍາຂໍ້ມູນກ່ຽວກັບຄວາມພະຍາຍາມທັງຫມົດໃນການເຊື່ອມຕໍ່ເຄືອຂ່າຍຂອງບໍລິສັດ, ແລະ, ອີງຕາມການຮັບຮອງຄວາມຖືກຕ້ອງແລະນະໂຍບາຍການອະນຸຍາດ, ອະນຸຍາດໃຫ້ຫຼືບໍ່ອະນຸຍາດໃຫ້ຜູ້ໃຊ້ເຂົ້າເຖິງ LAN ໄດ້. ຢ່າງໃດກໍຕາມ, ຄວາມເປັນໄປໄດ້ຂອງ profileing, post-schering, ປະສົມປະສານກັບວິທີແກ້ໄຂຄວາມປອດໄພຂໍ້ມູນອື່ນໆສາມາດສັບສົນຢ່າງມີເຫດຜົນຂອງນະໂຍບາຍການອະນຸຍາດແລະດັ່ງນັ້ນຈຶ່ງແກ້ໄຂວຽກງານທີ່ມີຄວາມຫຍຸ້ງຍາກແລະຫນ້າສົນໃຈຫຼາຍ.

ການປະຕິບັດບໍ່ສາມາດທົດລອງໄດ້: ເປັນຫຍັງພວກເຮົາຕ້ອງການການທົດສອບ?

ມູນຄ່າຂອງການທົດສອບການທົດລອງແມ່ນເພື່ອສະແດງໃຫ້ເຫັນຄວາມສາມາດທັງຫມົດຂອງລະບົບໃນໂຄງສ້າງພື້ນຖານຂອງອົງການຈັດຕັ້ງສະເພາະໃດຫນຶ່ງ. ຂ້າພະເຈົ້າເຊື່ອຫມັ້ນວ່າການທົດລອງ Cisco ISE ກ່ອນທີ່ຈະປະຕິບັດແມ່ນເປັນປະໂຫຍດສໍາລັບຜູ້ເຂົ້າຮ່ວມໂຄງການທັງຫມົດ, ແລະນີ້ແມ່ນວ່າເປັນຫຍັງ.

ສໍາລັບຜູ້ປະສົມປະສານ, ນີ້ເຮັດໃຫ້ຄວາມຄິດທີ່ຊັດເຈນກ່ຽວກັບຄວາມຄາດຫວັງຂອງລູກຄ້າແລະຊ່ວຍສ້າງຂໍ້ກໍານົດທີ່ຖືກຕ້ອງຂອງການອ້າງອິງ, ມີລາຍລະອຽດຫຼາຍກ່ວາປະໂຫຍກທົ່ວໄປ "ເຮັດໃຫ້ທຸກສິ່ງທຸກຢ່າງໄປໄດ້ດີ." "ນັກບິນ" ຊ່ວຍໃຫ້ພວກເຮົາຮູ້ສຶກເຖິງຄວາມເຈັບປວດຂອງລູກຄ້າທັງຫມົດ, ເພື່ອເຂົ້າໃຈວ່າວຽກງານໃດເປັນບູລິມະສິດສໍາລັບລາວ, ແລະອັນໃດເປັນວຽກຮອງ. ສໍາລັບພວກເຮົາ, ນີ້ແມ່ນໂອກາດທີ່ດີທີ່ຈະຄິດລ່ວງຫນ້າວ່າອຸປະກອນໃດທີ່ໃຊ້ໃນອົງການຈັດຕັ້ງ, ວິທີການປະຕິບັດຈະເກີດຂຶ້ນ, ສະຖານທີ່ໃດ, ບ່ອນທີ່ພວກເຂົາຕັ້ງຢູ່, ແລະອື່ນໆ.

ລູກຄ້າ, ໃນລະຫວ່າງການທົດສອບການທົດລອງ, ເບິ່ງລະບົບທີ່ແທ້ຈິງໃນການປະຕິບັດ, ຮູ້ຈັກກັບການໂຕ້ຕອບຂອງມັນ, ສາມາດກວດເບິ່ງວ່າມັນເຫມາະສົມກັບຮາດແວທີ່ມີຢູ່ຂອງເຂົາເຈົ້າ, ແລະໄດ້ຮັບທັດສະນະລວມຂອງວິທີການແກ້ໄຂບັນຫາຫຼັງຈາກການປະຕິບັດຢ່າງເຕັມທີ່. "ນັກບິນ" ແມ່ນຊ່ວງເວລາທີ່ເຈົ້າສາມາດເຫັນ "ຂຸມ" ທັງຫມົດທີ່ເຈົ້າອາດຈະພົບໃນລະຫວ່າງການປະສົມປະສານ, ແລະຕັດສິນໃຈວ່າເຈົ້າຕ້ອງການຊື້ໃບອະນຸຍາດຫຼາຍປານໃດ.
ສິ່ງທີ່ສາມາດ "ອອກ" ໃນລະຫວ່າງການ "ນັກບິນ"

ດັ່ງນັ້ນທ່ານຈະກະກຽມແນວໃດຢ່າງຖືກຕ້ອງສໍາລັບການຈັດຕັ້ງປະຕິບັດ Cisco ISE? ຈາກປະສົບການຂອງພວກເຮົາ, ພວກເຮົາໄດ້ນັບ 4 ຈຸດຕົ້ນຕໍທີ່ສໍາຄັນທີ່ຈະພິຈາລະນາໃນຂະບວນການທົດລອງທົດລອງລະບົບ.

ປັດໃຈແບບຟອມ

ກ່ອນອື່ນ ໝົດ, ທ່ານ ຈຳ ເປັນຕ້ອງຕັດສິນໃຈວ່າຮູບແບບໃດທີ່ລະບົບຈະຖືກ ນຳ ໃຊ້: upline ທາງດ້ານຮ່າງກາຍຫຼື virtual. ແຕ່ລະທາງເລືອກມີຂໍ້ດີແລະຂໍ້ເສຍ. ຕົວຢ່າງ, ຄວາມເຂັ້ມແຂງຂອງ upline ທາງດ້ານຮ່າງກາຍແມ່ນການປະຕິບັດທີ່ຄາດເດົາໄດ້, ແຕ່ພວກເຮົາຕ້ອງບໍ່ລືມວ່າອຸປະກອນດັ່ງກ່າວກາຍເປັນສິ່ງທີ່ລ້າສະໄຫມໃນໄລຍະເວລາ. uplines virtual ແມ່ນຄາດຄະເນຫນ້ອຍເພາະວ່າ ຂຶ້ນກັບຮາດແວທີ່ສະພາບແວດລ້ອມ virtualization ຖືກນໍາໄປໃຊ້, ແຕ່ໃນເວລາດຽວກັນພວກເຂົາມີປະໂຫຍດທີ່ຮ້າຍແຮງ: ຖ້າມີການສະຫນັບສະຫນູນ, ພວກເຂົາສາມາດຖືກປັບປຸງເປັນເວີຊັນຫຼ້າສຸດ.

ອຸປະກອນເຄືອຂ່າຍຂອງເຈົ້າເຂົ້າກັນໄດ້ກັບ Cisco ISE ບໍ?

ແນ່ນອນ, ສະຖານະການທີ່ເຫມາະສົມແມ່ນການເຊື່ອມຕໍ່ອຸປະກອນທັງຫມົດກັບລະບົບໃນເວລາດຽວກັນ. ຢ່າງໃດກໍ່ຕາມ, ນີ້ບໍ່ແມ່ນຄວາມເປັນໄປໄດ້ສະ ເໝີ ໄປ, ຍ້ອນວ່າຫຼາຍໆອົງການຈັດຕັ້ງຍັງໃຊ້ສະຫຼັບທີ່ບໍ່ສາມາດຈັດການຫຼືສະຫຼັບທີ່ບໍ່ສະຫນັບສະຫນູນບາງເຕັກໂນໂລຢີທີ່ Cisco ISE ດໍາເນີນການ. ໂດຍວິທີທາງການ, ນີ້ບໍ່ພຽງແຕ່ກ່ຽວກັບການສະຫຼັບ, ມັນຍັງສາມາດເປັນຕົວຄວບຄຸມເຄືອຂ່າຍໄຮ້ສາຍ, ຈຸດສຸມ VPN ແລະອຸປະກອນອື່ນໆທີ່ຜູ້ໃຊ້ເຊື່ອມຕໍ່. ໃນການປະຕິບັດຂອງຂ້ອຍ, ມີບາງກໍລະນີ, ຫຼັງຈາກສະແດງໃຫ້ເຫັນລະບົບການຈັດຕັ້ງປະຕິບັດຢ່າງເຕັມທີ່, ລູກຄ້າໄດ້ຍົກລະດັບເກືອບທຸກເຮືອຂອງລະດັບການເຂົ້າເຖິງໄປສູ່ອຸປະກອນ Cisco ທີ່ທັນສະໄຫມ. ເພື່ອຫຼີກເວັ້ນການແປກໃຈທີ່ບໍ່ຫນ້າພໍໃຈ, ມັນເປັນມູນຄ່າທີ່ຈະຊອກຫາລ່ວງຫນ້າອັດຕາສ່ວນຂອງອຸປະກອນທີ່ບໍ່ສະຫນັບສະຫນູນ.

ອຸປະກອນຂອງທ່ານທັງໝົດແມ່ນທົ່ວໄປບໍ?

ໃນເຄືອຂ່າຍໃດກໍ່ຕາມ, ມີອຸປະກອນທົ່ວໄປທີ່ບໍ່ຄວນຍາກທີ່ຈະເຊື່ອມຕໍ່: ສະຖານີເຮັດວຽກ, ໂທລະສັບ IP, ຈຸດເຂົ້າເຖິງ Wi-Fi, ກ້ອງຖ່າຍຮູບວິດີໂອ, ແລະອື່ນໆ. ແຕ່ມັນກໍ່ເກີດຂື້ນວ່າອຸປະກອນທີ່ບໍ່ໄດ້ມາດຕະຖານຈໍາເປັນຕ້ອງເຊື່ອມຕໍ່ກັບ LAN, ຕົວຢ່າງເຊັ່ນ RS232 / Ethernet bus converters signal, uninterruptible power supply interfaces, various technology, etc. ມັນເປັນສິ່ງສໍາຄັນທີ່ຈະກໍານົດບັນຊີລາຍຊື່ຂອງອຸປະກອນດັ່ງກ່າວລ່ວງຫນ້າ. ເພື່ອໃຫ້ຢູ່ໃນຂັ້ນຕອນການຈັດຕັ້ງປະຕິບັດ, ທ່ານມີຄວາມເຂົ້າໃຈທາງດ້ານວິຊາການແລ້ວວ່າພວກເຂົາຈະເຮັດວຽກກັບ Cisco ISE.

ການສົນທະນາທີ່ສ້າງສັນກັບຜູ້ຊ່ຽວຊານດ້ານໄອທີ

ພະແນກຄວາມປອດໄພມັກຈະເປັນລູກຄ້າ Cisco ISE, ໃນຂະນະທີ່ພະແນກ IT ປົກກະຕິແລ້ວແມ່ນຮັບຜິດຊອບໃນການຕັ້ງຄ່າການປ່ຽນຊັ້ນການເຂົ້າເຖິງແລະ Active Directory. ດັ່ງນັ້ນ, ການພົວພັນດ້ານການຜະລິດຂອງຄວາມປອດໄພແລະຜູ້ຊ່ຽວຊານດ້ານ IT ແມ່ນຫນຶ່ງໃນເງື່ອນໄຂທີ່ສໍາຄັນສໍາລັບການປະຕິບັດທີ່ບໍ່ເຈັບປວດຂອງລະບົບ. ຖ້າຄົນສຸດທ້າຍຮັບຮູ້ການລວມຕົວ "ດ້ວຍຄວາມເປັນສັດຕູ", ມັນຄວນຈະເປັນການອະທິບາຍໃຫ້ພວກເຂົາຮູ້ວ່າການແກ້ໄຂຈະເປັນປະໂຫຍດຕໍ່ພະແນກ IT.

Top 5 Cisco ISE ກໍລະນີການນໍາໃຊ້

ໃນປະສົບການຂອງພວກເຮົາ, ການເຮັດວຽກທີ່ຈໍາເປັນຂອງລະບົບຍັງຖືກເປີດເຜີຍຢູ່ໃນຂັ້ນຕອນຂອງການທົດສອບການທົດລອງ. ຂ້າງລຸ່ມນີ້ແມ່ນບາງກໍລະນີທີ່ໃຊ້ຫຼາຍທີ່ສຸດແລະຫນ້ອຍທົ່ວໄປສໍາລັບການແກ້ໄຂ.

ຮັບປະກັນການເຂົ້າເຖິງ LAN ຜ່ານສາຍດ້ວຍ EAP-TLS

ອີງຕາມຜົນການຄົ້ນຄວ້າຂອງ pentesters ຂອງພວກເຮົາ, ຜູ້ໂຈມຕີຂ້ອນຂ້າງມັກຈະໃຊ້ຊັອກເກັດທໍາມະດາທີ່ເຄື່ອງພິມ, ໂທລະສັບ, ກ້ອງຖ່າຍຮູບ IP, ຈຸດ Wi-Fi ແລະອຸປະກອນເຄືອຂ່າຍທີ່ບໍ່ແມ່ນສ່ວນບຸກຄົນອື່ນໆທີ່ເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍຂອງບໍລິສັດ. ດັ່ງນັ້ນ, ເຖິງແມ່ນວ່າການເຂົ້າເຖິງເຄືອຂ່າຍແມ່ນອີງໃສ່ເທກໂນໂລຍີ dot1x, ແຕ່ໂປໂຕຄອນທາງເລືອກແມ່ນຖືກນໍາໃຊ້ໂດຍບໍ່ມີການນໍາໃຊ້ໃບຢັ້ງຢືນການກວດສອບຜູ້ໃຊ້, ມີຄວາມເປັນໄປໄດ້ສູງຂອງການໂຈມຕີທີ່ປະສົບຜົນສໍາເລັດດ້ວຍການຂັດຂວາງ session ແລະ password brute force. ໃນກໍລະນີຂອງ Cisco ISE, ມັນຈະມີຄວາມຫຍຸ້ງຍາກຫຼາຍທີ່ຈະທໍາລາຍໃບຢັ້ງຢືນ - ສໍາລັບການນີ້, ແຮກເກີຈະຕ້ອງໃຊ້ພະລັງງານຄອມພິວເຕີ້ຫຼາຍ, ດັ່ງນັ້ນກໍລະນີນີ້ມີປະສິດທິພາບຫຼາຍ.

Wireless Dual-SSID

ໂດຍເນື້ອແທ້ແລ້ວຂອງສະຖານະການນີ້ແມ່ນການໃຊ້ 2 ຕົວລະບຸເຄືອຂ່າຍ (SSID). ຫນຶ່ງໃນພວກເຂົາສາມາດຖືກເອີ້ນວ່າ "ແຂກ". ຜ່ານມັນ, ທັງແຂກແລະພະນັກງານຂອງບໍລິສັດສາມາດເຂົ້າໄປໃນເຄືອຂ່າຍໄຮ້ສາຍ. ສຸດທ້າຍ, ເມື່ອພະຍາຍາມເຊື່ອມຕໍ່, ຖືກໂອນໄປຫາປະຕູພິເສດທີ່ການສະຫນອງເກີດຂຶ້ນ. ນັ້ນແມ່ນ, ໃບຢັ້ງຢືນຖືກອອກໃຫ້ຜູ້ໃຊ້ແລະອຸປະກອນສ່ວນຕົວຂອງລາວຖືກຕັ້ງຄ່າເພື່ອເຊື່ອມຕໍ່ໃຫມ່ໂດຍອັດຕະໂນມັດກັບ SSID ທີສອງ, ເຊິ່ງໃຊ້ EAP-TLS ແລ້ວດ້ວຍຂໍ້ດີທັງຫມົດຂອງກໍລະນີທໍາອິດ.

MAC Authentication Bypass ແລະ Profiling

ອີກກໍລະນີທີ່ນິຍົມແມ່ນການກວດສອບປະເພດຂອງອຸປະກອນທີ່ເຊື່ອມຕໍ່ໂດຍອັດຕະໂນມັດແລະນໍາໃຊ້ຂໍ້ຈໍາກັດທີ່ຖືກຕ້ອງກັບມັນ. ເປັນຫຍັງລາວຈຶ່ງສົນໃຈ? ຄວາມ​ຈິງ​ແລ້ວ​ແມ່ນ​ວ່າ​ຍັງ​ມີ​ອຸ​ປະ​ກອນ​ທີ່​ຂ້ອນ​ຂ້າງ​ບໍ່​ຫຼາຍ​ປານ​ໃດ​ທີ່​ບໍ່​ໄດ້​ສະ​ຫນັບ​ສະ​ຫນູນ 802.1X authentication​. ດັ່ງນັ້ນ, ທ່ານຕ້ອງປ່ອຍໃຫ້ອຸປະກອນດັ່ງກ່າວເຂົ້າໄປໃນເຄືອຂ່າຍໂດຍທີ່ຢູ່ MAC, ເຊິ່ງຂ້ອນຂ້າງງ່າຍທີ່ຈະປອມ. ນີ້ແມ່ນບ່ອນທີ່ Cisco ISE ເຂົ້າມາຊ່ວຍ: ດ້ວຍການຊ່ວຍເຫຼືອຂອງລະບົບ, ທ່ານສາມາດເບິ່ງວິທີການຂອງອຸປະກອນໃນເຄືອຂ່າຍ, ສ້າງໂປຣໄຟລ໌ສໍາລັບມັນ, ແລະເຊື່ອມໂຍງກຸ່ມຂອງອຸປະກອນອື່ນໆກັບມັນ, ຕົວຢ່າງ, ໂທລະສັບ IP. ແລະສະຖານີເຮັດວຽກ. ຖ້າຜູ້ໂຈມຕີພະຍາຍາມຫຼອກລວງທີ່ຢູ່ MAC ແລະເຊື່ອມຕໍ່ກັບເຄືອຂ່າຍ, ລະບົບຈະເຫັນວ່າໂປຣໄຟລ໌ອຸປະກອນມີການປ່ຽນແປງ, ສັນຍານພຶດຕິກໍາທີ່ຫນ້າສົງໄສ, ແລະປ້ອງກັນບໍ່ໃຫ້ຜູ້ໃຊ້ທີ່ຫນ້າສົງໄສເຂົ້າເຖິງເຄືອຂ່າຍ.

ລະບົບຕ່ອງໂສ້ EAP

ເທກໂນໂລຍີ EAP-Chaining ກ່ຽວຂ້ອງກັບການກວດສອບຕາມລໍາດັບຂອງ PC ແລະບັນຊີຜູ້ໃຊ້. ກໍລະນີນີ້ໄດ້ກາຍເປັນທີ່ກວ້າງຂວາງ, ເພາະວ່າ. ບໍລິສັດຈໍານວນຫຼາຍຍັງບໍ່ຍິນດີຕ້ອນຮັບການເຊື່ອມຕໍ່ອຸປະກອນສ່ວນບຸກຄົນຂອງພະນັກງານກັບ LAN ຂອງບໍລິສັດ. ການນໍາໃຊ້ວິທີການນີ້ໃນການກວດສອບຄວາມຖືກຕ້ອງ, ທ່ານສາມາດກວດເບິ່ງວ່າບ່ອນເຮັດວຽກສະເພາະແມ່ນສະມາຊິກຂອງໂດເມນ, ແລະຖ້າຜົນໄດ້ຮັບເປັນລົບ, ຜູ້ໃຊ້ຈະບໍ່ເຂົ້າໄປໃນເຄືອຂ່າຍ, ຫຼືຈະເຂົ້າມາ, ແຕ່ມີຂໍ້ຈໍາກັດບາງຢ່າງ.

ທ່າທາງ

ໃນກໍລະນີນີ້, ພວກເຮົາກໍາລັງເວົ້າກ່ຽວກັບການປະເມີນຄວາມສອດຄ່ອງຂອງອົງປະກອບຂອງຊອບແວບ່ອນເຮັດວຽກກັບຄວາມຕ້ອງການຂອງຄວາມປອດໄພຂອງຂໍ້ມູນ. ການນໍາໃຊ້ເທກໂນໂລຍີນີ້, ທ່ານສາມາດກວດເບິ່ງວ່າຊອບແວແມ່ນທັນສະໄຫມຢູ່ໃນສະຖານີເຮັດວຽກ, ຖ້າເຄື່ອງມືປ້ອງກັນຖືກຕິດຕັ້ງໃສ່ມັນ, ຖ້າໄຟວໍຖືກຕັ້ງຄ່າ, ແລະອື່ນໆ. ຫນ້າສົນໃຈ, ເທກໂນໂລຍີນີ້ຍັງຊ່ວຍໃຫ້ທ່ານສາມາດປະຕິບັດວຽກງານອື່ນໆທີ່ບໍ່ແມ່ນຄວາມປອດໄພ, ເຊັ່ນ: ການກວດສອບການມີໄຟລ໌ທີ່ຈໍາເປັນຫຼືການຕິດຕັ້ງຊອບແວທົ່ວລະບົບ.

ບໍ່ຄ່ອຍມີກໍລະນີທີ່ໃຊ້ Cisco ISE ເຊັ່ນ: ການຄວບຄຸມການເຂົ້າເຖິງດ້ວຍການພິສູດຢືນຢັນໂດເມນ end-to-end (Passive ID), SGT-based micro-segmentation ແລະການກັ່ນຕອງ, ເຊັ່ນດຽວກັນກັບການເຊື່ອມໂຍງກັບລະບົບການຈັດການອຸປະກອນມືຖື (MDM) ແລະເຄື່ອງສະແກນຊ່ອງໂຫວ່ ( Vulnerability Scanner).

ໂຄງການທີ່ບໍ່ແມ່ນມາດຕະຖານ: ເປັນຫຍັງເຈົ້າອາດຈະຕ້ອງການ Cisco ISE, ຫຼື 3 ກໍລະນີທີ່ຫາຍາກຈາກການປະຕິບັດຂອງພວກເຮົາ

ຄວບຄຸມການເຂົ້າເຖິງເຊີບເວີທີ່ໃຊ້ Linux

ເມື່ອພວກເຮົາແກ້ໄຂກໍລະນີທີ່ບໍ່ແມ່ນເລື່ອງເລັກໆນ້ອຍໆສໍາລັບຫນຶ່ງໃນລູກຄ້າທີ່ໄດ້ປະຕິບັດລະບົບ Cisco ISE ແລ້ວ: ພວກເຮົາຈໍາເປັນຕ້ອງຊອກຫາວິທີທີ່ຈະຄວບຄຸມການປະຕິບັດຂອງຜູ້ໃຊ້ (ສ່ວນຫຼາຍແມ່ນຜູ້ເບິ່ງແຍງ) ໃນເຄື່ອງແມ່ຂ່າຍທີ່ມີການຕິດຕັ້ງ Linux. ໃນການຊອກຫາຄໍາຕອບ, ພວກເຮົາໄດ້ມີຄວາມຄິດທີ່ຈະນໍາໃຊ້ຊອບແວຟຣີ PAM Radius Module, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດເຂົ້າໄປໃນເຄື່ອງແມ່ຂ່າຍທີ່ໃຊ້ Linux ດ້ວຍການຢືນຢັນໃນເຄື່ອງແມ່ຂ່າຍ radius ພາຍນອກ. ທຸກສິ່ງທຸກຢ່າງໃນເລື່ອງນີ້ຈະດີຖ້າບໍ່ແມ່ນສໍາລັບ "ແຕ່": ເມື່ອສົ່ງຄໍາຕອບຕໍ່ຄໍາຮ້ອງຂໍການກວດສອບຄວາມຖືກຕ້ອງ, ເຊີຟເວີ radius ສົ່ງຄືນພຽງແຕ່ຊື່ບັນຊີແລະຜົນໄດ້ຮັບ - assess accept or assess rejected . ໃນຂະນະດຽວກັນ, ສໍາລັບການອະນຸຍາດໃນ Linux, ທ່ານຈໍາເປັນຕ້ອງໄດ້ກໍານົດຢ່າງຫນ້ອຍຫນຶ່ງຕົວກໍານົດການເພີ່ມເຕີມ - home directory, ເພື່ອໃຫ້ຜູ້ໃຊ້ຢ່າງຫນ້ອຍໄດ້ຮັບບາງບ່ອນ. ພວກເຮົາບໍ່ໄດ້ຊອກຫາວິທີທີ່ຈະຜ່ານສິ່ງນີ້ເປັນລັກສະນະລັດສະໝີ, ດັ່ງນັ້ນພວກເຮົາຈຶ່ງຂຽນສະຄຣິບພິເສດເພື່ອສ້າງບັນຊີທາງໄກໃນໂຮສໃນໂໝດເຄິ່ງອັດຕະໂນມັດ. ວຽກງານນີ້ແມ່ນເປັນໄປໄດ້ຂ້ອນຂ້າງ, ນັບຕັ້ງແຕ່ພວກເຮົາໄດ້ຈັດການກັບບັນຊີຜູ້ບໍລິຫານ, ຈໍານວນທີ່ບໍ່ຫຼາຍປານໃດ. ຕໍ່ໄປ, ຜູ້ໃຊ້ໄດ້ໄປຫາອຸປະກອນທີ່ຕ້ອງການ, ຫຼັງຈາກນັ້ນເຂົາເຈົ້າໄດ້ຖືກມອບຫມາຍການເຂົ້າເຖິງທີ່ຈໍາເປັນ. ຄໍາຖາມທີ່ສົມເຫດສົມຜົນເກີດຂື້ນ: ມັນຈໍາເປັນຕ້ອງໃຊ້ Cisco ISE ໃນກໍລະນີດັ່ງກ່າວບໍ? ໃນຄວາມເປັນຈິງ, ບໍ່ມີ - ເຄື່ອງແມ່ຂ່າຍ radius ໃດຈະເຮັດ, ແຕ່ນັບຕັ້ງແຕ່ລູກຄ້າມີລະບົບນີ້ແລ້ວ, ພວກເຮົາພຽງແຕ່ເພີ່ມຄຸນສົມບັດໃຫມ່ໃຫ້ກັບມັນ.

ຮາດແວ ແລະຊອບແວຄົງຄັງຢູ່ໃນ LAN

ເມື່ອພວກເຮົາໄດ້ເຮັດວຽກກ່ຽວກັບໂຄງການສົ່ງ Cisco ISE ໃຫ້ກັບລູກຄ້າຫນຶ່ງໂດຍບໍ່ມີ "ການທົດລອງ" ເບື້ອງຕົ້ນ. ບໍ່ມີຂໍ້ກໍານົດທີ່ຊັດເຈນສໍາລັບການແກ້ໄຂ, ບວກກັບທຸກສິ່ງທຸກຢ່າງທີ່ພວກເຮົາໄດ້ຈັດການກັບເຄືອຂ່າຍທີ່ຮາບພຽງ, ບໍ່ແບ່ງສ່ວນ, ເຊິ່ງເຮັດໃຫ້ວຽກງານຂອງພວກເຮົາສັບສົນ. ໃນ​ລະ​ຫວ່າງ​ໂຄງ​ການ​, ພວກ​ເຮົາ​ກໍາ​ນົດ​ຄ່າ​ວິ​ທີ​ການ profileing ທີ່​ເປັນ​ໄປ​ໄດ້​ທັງ​ຫມົດ​ທີ່​ເຄືອ​ຂ່າຍ​ສະ​ຫນັບ​ສະ​ຫນູນ​: NetFlow​, DHCP​, SNMP​, ການ​ເຊື່ອມ​ໂຍງ AD​, ແລະ​ອື່ນໆ​. ດັ່ງນັ້ນ, ການເຂົ້າເຖິງ MAR ໄດ້ຖືກຕັ້ງຄ່າດ້ວຍຄວາມສາມາດໃນການເຂົ້າໄປໃນເຄືອຂ່າຍຖ້າການພິສູດຢືນຢັນລົ້ມເຫລວ. ນັ້ນແມ່ນ, ເຖິງແມ່ນວ່າການກວດສອບບໍ່ໄດ້ປະສົບຜົນສໍາເລັດ, ລະບົບຍັງປ່ອຍໃຫ້ຜູ້ໃຊ້ເຂົ້າໄປໃນເຄືອຂ່າຍ, ເກັບກໍາຂໍ້ມູນກ່ຽວກັບລາວແລະບັນທຶກໄວ້ໃນຖານຂໍ້ມູນ ISE. ການຕິດຕາມເຄືອຂ່າຍນີ້ໃນໄລຍະຫຼາຍອາທິດໄດ້ຊ່ວຍໃຫ້ພວກເຮົາແຍກລະບົບທີ່ເຊື່ອມຕໍ່ ແລະອຸປະກອນທີ່ບໍ່ແມ່ນສ່ວນບຸກຄົນ ແລະພັດທະນາວິທີການແບ່ງສ່ວນພວກມັນ. ຫຼັງຈາກນັ້ນ, ພວກເຮົາຍັງຕັ້ງຄ່າ post-schering ເພື່ອຕິດຕັ້ງຕົວແທນໃນບ່ອນເຮັດວຽກເພື່ອເກັບກໍາຂໍ້ມູນກ່ຽວກັບຊອບແວທີ່ຕິດຕັ້ງຢູ່ໃນພວກມັນ. ຜົນໄດ້ຮັບແມ່ນຫຍັງ? ພວກ​ເຮົາ​ໄດ້​ຈັດ​ການ​ແບ່ງ​ກຸ່ມ​ເຄືອ​ຂ່າຍ​ແລະ​ກໍາ​ນົດ​ລາຍ​ຊື່​ຂອງ​ຊອບ​ແວ​ທີ່​ຈໍາ​ເປັນ​ຕ້ອງ​ໄດ້​ຮັບ​ການ​ເອົາ​ອອກ​ຈາກ​ສະ​ຖາ​ນີ​ເຮັດ​ວຽກ​. ຂ້ອຍຈະບໍ່ຊ່ອນວຽກງານເພີ່ມເຕີມຂອງການແຈກຢາຍຜູ້ໃຊ້ໂດຍກຸ່ມໂດເມນແລະການຈໍາກັດສິດການເຂົ້າເຖິງໄດ້ໃຊ້ເວລາຫຼາຍ, ແຕ່ດ້ວຍວິທີນີ້ພວກເຮົາໄດ້ຮັບຮູບພາບທີ່ສົມບູນຂອງອຸປະກອນທີ່ລູກຄ້າມີຢູ່ໃນເຄືອຂ່າຍ. ໂດຍວິທີທາງການ, ມັນບໍ່ມີຄວາມຫຍຸ້ງຍາກເນື່ອງຈາກການເຮັດວຽກທີ່ດີຂອງ profileing ອອກຈາກກ່ອງ. ດີ, ແລະບ່ອນທີ່ profileing ບໍ່ໄດ້ຊ່ວຍ, ພວກເຮົາເບິ່ງຕົວເຮົາເອງ, ເນັ້ນໃສ່ພອດສະຫຼັບທີ່ອຸປະກອນເຊື່ອມຕໍ່.

ການ​ຕິດ​ຕັ້ງ​ທາງ​ໄກ​ຂອງ​ຊອບ​ແວ​ໃນ​ສະ​ຖາ​ນີ​ເຮັດ​ວຽກ​

ກໍລະນີນີ້ແມ່ນຫນຶ່ງທີ່ແປກປະຫລາດໃນປະສົບການຂອງຂ້ອຍ. ເມື່ອລູກຄ້າຕິດຕໍ່ພວກເຮົາດ້ວຍສຽງຮ້ອງສໍາລັບການຊ່ວຍເຫຼືອ - ບາງສິ່ງບາງຢ່າງທີ່ຜິດພາດໃນລະຫວ່າງການປະຕິບັດ Cisco ISE, ທຸກສິ່ງທຸກຢ່າງໄດ້ແຕກຫັກ, ແລະບໍ່ມີໃຜສາມາດເຂົ້າເຖິງເຄືອຂ່າຍໄດ້. ພວກເຮົາເລີ່ມເຂົ້າໃຈ ແລະຄົ້ນພົບສິ່ງຕໍ່ໄປນີ້. ບໍລິສັດມີ 2000 ຄອມພິວເຕີ, ເຊິ່ງ, ໃນກໍລະນີທີ່ບໍ່ມີຕົວຄວບຄຸມໂດເມນ, ໄດ້ຖືກຄຸ້ມຄອງຈາກບັນຊີຜູ້ບໍລິຫານ. ສໍາລັບຈຸດປະສົງຂອງການກໍານົດເວລາ, ອົງການຈັດຕັ້ງໄດ້ປະຕິບັດ Cisco ISE. ມັນເປັນສິ່ງຈໍາເປັນທີ່ຈະເຂົ້າໃຈບາງຢ່າງວ່າ antivirus ໄດ້ຖືກຕິດຕັ້ງຢູ່ໃນເຄື່ອງຄອມພິວເຕີທີ່ມີຢູ່, ບໍ່ວ່າຈະເປັນສະພາບແວດລ້ອມຊອບແວໄດ້ຖືກປັບປຸງ, ແລະອື່ນໆ. ແລະນັບຕັ້ງແຕ່ຜູ້ບໍລິຫານ IT ໄດ້ນໍາເອົາອຸປະກອນເຄືອຂ່າຍເຂົ້າໄປໃນລະບົບ, ມັນເປັນເຫດຜົນທີ່ພວກເຂົາມີການເຂົ້າເຖິງມັນ. ຫຼັງຈາກໄດ້ເຫັນວິທີການເຮັດວຽກແລະການຈັດຕາຕະລາງ PC ຂອງພວກເຂົາ, ຜູ້ບໍລິຫານກໍ່ມີຄວາມຄິດໃນການຕິດຕັ້ງຊອບແວໃນສະຖານີເຮັດວຽກຂອງພະນັກງານຈາກໄລຍະໄກໂດຍບໍ່ມີການໄປຢ້ຽມຢາມສ່ວນບຸກຄົນ. ພຽງແຕ່ຈິນຕະນາການວ່າທ່ານສາມາດປະຫຍັດໄດ້ຫຼາຍຂັ້ນຕອນຕໍ່ມື້! ຜູ້ເບິ່ງແຍງໄດ້ດໍາເນີນການກວດສອບຫຼາຍໆບ່ອນຂອງບ່ອນເຮັດວຽກສໍາລັບການມີໄຟລ໌ທີ່ແນ່ນອນຢູ່ໃນໄດເລກະທໍລີ C: Program Files, ແລະຖ້າມັນບໍ່ມີ, ການແກ້ໄຂອັດຕະໂນມັດໄດ້ຖືກເປີດຕົວດ້ວຍການເຊື່ອມຕໍ່ທີ່ນໍາໄປສູ່ການເກັບຮັກສາໄຟລ໌ໄປຫາໄຟລ໌ການຕິດຕັ້ງ .exe. ນີ້ອະນຸຍາດໃຫ້ຜູ້ໃຊ້ທົ່ວໄປໄປຫາບານໄຟລ໌ແລະດາວໂຫລດຊອບແວທີ່ຈໍາເປັນຈາກບ່ອນນັ້ນ. ແຕ່ຫນ້າເສຍດາຍ, ຜູ້ບໍລິຫານບໍ່ຮູ້ຈັກລະບົບ ISE ໄດ້ດີແລະທໍາລາຍກົນໄກການຕອບໂຕ້ - ລາວຂຽນນະໂຍບາຍບໍ່ຖືກຕ້ອງ, ເຊິ່ງເຮັດໃຫ້ບັນຫາທີ່ພວກເຮົາມີສ່ວນຮ່ວມໃນການແກ້ໄຂ. ສ່ວນບຸກຄົນ, ຂ້າພະເຈົ້າຮູ້ສຶກແປກໃຈຢ່າງຈິງໃຈຕໍ່ວິທີການສ້າງສັນດັ່ງກ່າວ, ເພາະວ່າມັນຈະມີລາຄາຖືກກວ່າແລະຫນ້ອຍຫຼາຍເພື່ອສ້າງຕົວຄວບຄຸມໂດເມນ. ແຕ່ເປັນຫຼັກຖານສະແດງແນວຄວາມຄິດມັນເຮັດວຽກ.

ອ່ານເພີ່ມເຕີມກ່ຽວກັບ nuances ດ້ານວິຊາການທີ່ເກີດຂື້ນໃນເວລາທີ່ປະຕິບັດ Cisco ISE ໃນບົດຄວາມຂອງເພື່ອນຮ່ວມງານຂອງຂ້ອຍ « ການປະຕິບັດການປະຕິບັດ Cisco ISE. ທັດສະນະຂອງວິສະວະກອນ".

Artem Bobrikov, ວິສະວະກອນອອກແບບ, ສູນຄວາມປອດໄພຂໍ້ມູນຂ່າວສານ, Jet Infosystems

Afterword:
ເຖິງວ່າຈະມີຄວາມຈິງທີ່ວ່າຂໍ້ຄວາມນີ້ເວົ້າກ່ຽວກັບລະບົບ Cisco ISE, ບັນຫາທີ່ອະທິບາຍແມ່ນມີຄວາມກ່ຽວຂ້ອງສໍາລັບການແກ້ໄຂ NAC ທັງຫມົດ. ມັນບໍ່ສໍາຄັນຫຼາຍທີ່ການແກ້ໄຂຂອງຜູ້ຂາຍໄດ້ຖືກວາງແຜນສໍາລັບການຈັດຕັ້ງປະຕິບັດ - ສ່ວນໃຫຍ່ຂ້າງເທິງຈະຍັງຄົງໃຊ້ໄດ້.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com