Тестирањето ќе покаже: како да се подготвите за имплементација на Cisco ISE и да разберете кои карактеристики на системот ви се потребни

Колку често купувате нешто спонтано, подлегнувајќи на кул реклама, а потоа овој првично посакуван предмет собира прашина во плакарот, оставата, чајната кујна или гаражата до следното пролетно чистење или преместување? Резултатот е разочарување поради неоправданите очекувања и потрошените пари. Многу е полошо кога ова ќе му се случи на некој бизнис. Многу често, маркетиншките трикови се толку добри што компаниите купуваат скапо решение без да ја видат целосната слика за неговата примена. Во меѓувреме, пробното тестирање на системот помага да се разбере како да се подготви инфраструктурата за интеграција, која функционалност и до кој степен треба да се имплементира. На овој начин можете да избегнете огромен број проблеми поради изборот на производ „на слепо“. Покрај тоа, имплементацијата по компетентен „пилот“ ќе им донесе на инженерите многу помалку уништени нервни клетки и сива коса. Ајде да откриеме зошто пилот-тестирањето е толку важно за успешен проект, користејќи го примерот на популарна алатка за контролирање на пристапот до корпоративна мрежа - Cisco ISE. Ајде да ги разгледаме и стандардните и целосно нестандардните опции за користење на решението што го наидовме во нашата практика.

Cisco ISE - „сервер со радиус на стероиди“

Cisco Identity Services Engine (ISE) е платформа за создавање систем за контрола на пристап за локалната мрежа на организацијата. Во експертската заедница, производот го доби прекарот „сервер на радиус на стероиди“ поради неговите својства. Зошто е тоа? Во суштина, решението е серверот Radius, на кој се прикачени огромен број дополнителни услуги и „трикови“, кои ви овозможуваат да добивате голема количина контекстуални информации и да го примените добиениот сет на податоци во политиките за пристап.

Како и секој друг Radius сервер, Cisco ISE комуницира со мрежна опрема на ниво на пристап, собира информации за сите обиди за поврзување со корпоративната мрежа и, врз основа на политиките за автентикација и авторизација, им дозволува или негира на корисниците на LAN. Сепак, можноста за профилирање, објавување и интеграција со други решенија за безбедност на информации овозможува значително да се комплицира логиката на политиката за овластување и со тоа да се решат доста тешки и интересни проблеми.

Имплементацијата не може да се пилотира: зошто ви треба тестирање?

Вредноста на пилот-тестирањето е да ги покаже сите способности на системот во специфичната инфраструктура на одредена организација. Верувам дека пилотирањето на Cisco ISE пред имплементацијата им користи на сите вклучени во проектот, и еве зошто.

Ова им дава јасна претстава на интеграторите за очекувањата на клиентите и помага да се создаде правилна техничка спецификација која содржи многу повеќе детали од вообичаената фраза „погрижете се се да е во ред“. „Пилот“ ни овозможува да ја почувствуваме целата болка на клиентот, да разбереме кои задачи се приоритетни за него, а кои се споредни. За нас, ова е одлична можност однапред да дознаеме каква опрема се користи во организацијата, како ќе се одвива имплементацијата, на кои локации, каде се наоѓаат итн.

За време на пилот-тестирањето, клиентите го гледаат вистинскиот систем во акција, се запознаваат со неговиот интерфејс, можат да проверат дали е компатибилен со нивниот постоечки хардвер и да добијат сеопфатно разбирање за тоа како решението ќе функционира по целосната имплементација. „Пилот“ е моментот кога можете да ги видите сите стапици на кои веројатно ќе наидете при интеграцијата и да одлучите колку лиценци треба да купите.
Што може да „се појави“ за време на „пилотот“

Значи, како правилно се подготвувате за имплементација на Cisco ISE? Од нашето искуство, изброивме 4 главни точки кои се важни да се земат предвид при пилот-тестирањето на системот.

Формат фактор

Прво, треба да одлучите во кој фактор на форма ќе се имплементира системот: физичка или виртуелна upline. Секоја опција има предности и недостатоци. На пример, силата на физичката линија е нејзината предвидлива работа, но не смееме да заборавиме дека таквите уреди со текот на времето стануваат застарени. Виртуелните нагоре линии се помалку предвидливи бидејќи ... зависат од хардверот на кој е распоредена околината за виртуелизација, но тие имаат сериозна предност: ако е достапна поддршка, секогаш може да се ажурираат до најновата верзија.

Дали вашата мрежна опрема е компатибилна со Cisco ISE?

Се разбира, идеалното сценарио би било да се поврзе целата опрема со системот одеднаш. Сепак, ова не е секогаш можно бидејќи многу организации сè уште користат неуправувани прекинувачи или прекинувачи кои не поддржуваат некои од технологиите што работат на Cisco ISE. Патем, не зборуваме само за прекинувачи, тоа може да бидат и контролери за безжична мрежа, VPN концентратори и која било друга опрема на која се поврзуваат корисниците. Во мојата пракса, имаше случаи кога, по демонстрирањето на системот за целосна имплементација, клиентот го надгради речиси целиот возен парк на прекинувачи за ниво на пристап до модерна опрема на Cisco. За да избегнете непријатни изненадувања, вреди однапред да се дознае процентот на неподдржана опрема.

Дали сите ваши уреди се стандардни?

Секоја мрежа има типични уреди со кои не треба да биде тешко да се поврзете: работни станици, IP телефони, точки за пристап до Wi-Fi, видео камери итн. Но, исто така се случува и нестандардни уреди да треба да се поврзат на LAN, на пример, конвертори на сигнали RS232/Ethernet, интерфејси за непрекинато напојување, различна технолошка опрема итн. Важно е однапред да се одреди списокот на такви уреди , така што во фазата на имплементација веќе имате разбирање како технички ќе работат со Cisco ISE.

Конструктивен дијалог со ИТ специјалисти

Клиентите на Cisco ISE често се безбедносни одделенија, додека одделенијата за ИТ обично се одговорни за конфигурирање на прекинувачи на нивоа за пристап и Active Directory. Затоа, продуктивната интеракција помеѓу специјалистите за безбедност и ИТ специјалистите е еден од важните услови за безболна имплементација на системот. Ако вторите ја согледаат интеграцијата со непријателство, вреди да им се објасни како решението ќе биде корисно за одделот за ИТ.

Топ 5 случаи за употреба на Cisco ISE

Според нашето искуство, потребната функционалност на системот е исто така идентификувана во фазата на пилот тестирање. Подолу се дадени некои од најпопуларните и поретко употребливи случаи за решението.

Обезбедете пристап до LAN преку жица со EAP-TLS

Како што покажуваат резултатите од истражувањето на нашите петестери, често за да навлезат во мрежата на компанијата, напаѓачите користат обични приклучоци на кои се поврзани печатачи, телефони, IP камери, Wi-Fi точки и други нелични мрежни уреди. Затоа, дури и ако пристапот до мрежата се базира на технологијата dot1x, но се користат алтернативни протоколи без користење на сертификати за автентикација на корисникот, постои голема веројатност за успешен напад со пресретнување на сесии и лозинки со брутална сила. Во случајот на Cisco ISE, ќе биде многу потешко да се украде сертификат - за ова, на хакерите ќе им треба многу поголема компјутерска моќ, така што овој случај е многу ефикасен.

Безжичен пристап со двоен SSID

Суштината на ова сценарио е да се користат 2 мрежни идентификатори (SSID). Еден од нив може условно да се нарече „гостин“. Преку него и гостите и вработените во компанијата можат да пристапат до безжичната мрежа. Кога ќе се обидат да се поврзат, вторите се пренасочуваат на посебен портал каде се врши обезбедување. Односно, на корисникот му се издава сертификат и неговиот личен уред е конфигуриран автоматски да се поврзе со вториот SSID, кој веќе користи EAP-TLS со сите предности од првиот случај.

Заобиколување и профилирање на MAC автентикација

Друг популарен случај за употреба е автоматски да се открие типот на уредот што се поврзува и да се применат правилните ограничувања за него. Зошто е интересен? Факт е дека сè уште има доста уреди кои не поддржуваат автентикација со помош на протоколот 802.1X. Затоа, таквите уреди треба да бидат дозволени на мрежата користејќи MAC адреса, што е прилично лесно да се лажира. Ова е местото каде што Cisco ISE доаѓа на помош: со помош на системот, можете да видите како се однесува уредот на мрежата, да го креирате неговиот профил и да го доделите на група други уреди, на пример, IP телефон и работна станица . Ако напаѓачот се обиде да измами MAC адреса и да се поврзе на мрежата, системот ќе види дека профилот на уредот е променет, ќе сигнализира сомнително однесување и нема да дозволи сомнителниот корисник да влезе во мрежата.

EAP-Saning

Технологијата EAP-Chaining вклучува секвенцијална автентикација на работниот компјутер и корисничката сметка. Овој случај стана широко распространет бидејќи ... Многу компании сè уште не поттикнуваат поврзување на личните гаџети на вработените со корпоративната LAN мрежа. Користејќи го овој пристап за автентикација, можно е да се провери дали одредена работна станица е членка на доменот и ако резултатот е негативен, на корисникот или нема да му биде дозволено да влезе во мрежата, или ќе може да влезе, но со одредени ограничувања.

Држење на телото

Овој случај е за проценка на усогласеноста на софтверот на работната станица со барањата за безбедност на информациите. Користејќи ја оваа технологија, можете да проверите дали софтверот на работната станица е ажуриран, дали на неа се инсталирани безбедносни мерки, дали е конфигуриран заштитниот ѕид на домаќинот итн. Интересно е што оваа технологија ви овозможува да решавате и други задачи кои не се поврзани со безбедноста, на пример, проверка на присуството на потребни датотеки или инсталирање софтвер низ целиот систем.

Помалку вообичаени случаи за употреба за Cisco ISE вклучуваат контрола на пристап со автентикација на домен од крај до крај (пасивен ID), микросегментација и филтрирање базирана на SGT, како и интеграција со системи за управување со мобилни уреди (MDM) и скенери за ранливост.

Нестандардни проекти: зошто инаку можеби ќе ви треба Cisco ISE, или 3 ретки случаи од нашата пракса

Контрола на пристап до сервери базирани на Linux

Откако решивме прилично нетривијален случај за еден од клиентите кој веќе го имаше имплементирано Cisco ISE системот: требаше да најдеме начин да ги контролираме активностите на корисниците (најчесто администраторите) на серверите со инсталиран Linux. Во потрага по одговор, дојдовме до идеја да го користиме бесплатниот софтвер PAM Radius Module, кој ви овозможува да се најавите на сервери кои работат на Linux со автентикација на сервер со надворешен радиус. Сè во овој поглед би било добро, ако не за едно „туку“: серверот за радиус, испраќајќи одговор на барањето за автентикација, го дава само името на сметката и резултатот - процени прифатено или оценето одбиено. Во меѓувреме, за овластување во Линукс, треба да доделите барем уште еден параметар - домашен директориум, за корисникот барем да стигне некаде. Не најдовме начин да го дадеме ова како атрибут за радиус, па напишавме специјална скрипта за далечинско креирање сметки на хостови во полуавтоматски режим. Оваа задача беше сосема изводлива, бидејќи имавме работа со администраторски сметки, чиј број не беше толку голем. Следно, корисниците се најавија на потребниот уред, по што им беше доделен потребниот пристап. Се поставува разумно прашање: дали е неопходно да се користи Cisco ISE во такви случаи? Всушност, не - секој сервер со радиус ќе го стори тоа, но бидејќи клиентот веќе го имаше овој систем, ние едноставно додадовме нова функција на него.

Инвентар на хардвер и софтвер на LAN

Еднаш работевме на проект за снабдување на Cisco ISE на еден клиент без прелиминарен „пилот“. Немаше јасни барања за решението, плус имавме работа со рамна, несегментирана мрежа, што ни ја комплицираше задачата. Во текот на проектот, ги конфигуриравме сите можни методи за профилирање што ги поддржуваше мрежата: NetFlow, DHCP, SNMP, AD интеграција итн. Како резултат на тоа, пристапот MAR беше конфигуриран со можност да се најавите на мрежата ако автентикацијата не успее. Односно, дури и ако автентикацијата не беше успешна, системот сепак ќе му дозволи на корисникот да влезе во мрежата, да собира информации за него и да ги запише во базата на податоци ISE. Овој мрежен мониторинг во текот на неколку недели ни помогна да ги идентификуваме поврзаните системи и не-лични уреди и да развиеме пристап за нивно сегментирање. По ова, дополнително го конфигуриравме објавувањето да го инсталира агентот на работните станици со цел да собираме информации за софтверот инсталиран на нив. Каков е резултатот? Успеавме да ја сегментираме мрежата и да ја одредиме листата на софтвер што треба да се отстрани од работните станици. Нема да кријам дека понатамошните задачи за дистрибуција на корисници во групи на домени и разграничување на правата за пристап ни одземаа доста време, но на овој начин добивме целосна слика за тоа каков хардвер има клиентот на мрежата. Патем, ова не беше тешко поради добрата работа на профилирање надвор од кутијата. Па, таму каде што профилирањето не помогна, се погледнавме себеси, истакнувајќи ја портата на прекинувачот на која беше поврзана опремата.

Далечинско инсталирање на софтвер на работни станици

Овој случај е еден од најчудните во мојата пракса. Еден ден, клиент дојде кај нас со крик за помош - нешто тргна наопаку при спроведувањето на Cisco ISE, сè се расипа и никој друг не можеше да пристапи до мрежата. Почнавме да го разгледуваме и го дознавме следново. Компанијата имаше 2000 компјутери, кои, во отсуство на доменски контролер, беа управувани под администраторска сметка. За целите на peering, организацијата имплементира Cisco ISE. Беше неопходно некако да се разбере дали е инсталиран антивирус на постоечките компјутери, дали е ажурирана софтверската околина итн. И бидејќи ИТ администраторите инсталираа мрежна опрема во системот, логично е да имаа пристап до неа. Откако видоа како функционира и ги надополнија нивните компјутери, администраторите дојдоа до идеја да го инсталираат софтверот на работните станици на вработените од далечина без лични посети. Замислете само колку чекори можете да заштедите дневно на овој начин! Администраторите извршија неколку проверки на работната станица за присуство на специфична датотека во директориумот C:Program Files, а доколку ја немаше, се активираше автоматска ремедијација со следење на врската што води до складирање на датотеки до инсталационата датотека .exe. Ова им овозможи на обичните корисници да отидат до споделување на датотека и да го преземат потребниот софтвер од таму. За жал, администраторот не го познаваше добро системот ISE и ги оштети механизмите за објавување - погрешно ја напиша политиката, што доведе до проблем во кој бевме вклучени во решавањето. Лично, јас сум искрено изненаден од таквиот креативен пристап, бидејќи би било многу поевтино и помалку трудоинтензивно да се создаде домен контролер. Но, како доказ за концептот тоа функционираше.

Прочитајте повеќе за техничките нијанси што се појавуваат при спроведувањето на Cisco ISE во написот на мојот колега „Практика за имплементација на Cisco ISE. Инженерски поглед“.

Артем Бобриков, дизајнерски инженер на Центарот за информациска безбедност во Jet Infosystems

Поговор:
И покрај фактот дека овој пост зборува за системот Cisco ISE, опишаните проблеми се релевантни за целата класа на NAC решенија. Не е толку важно кое решение на продавачот е планирано за имплементација - повеќето од горенаведените ќе останат применливи.

Извор: www.habr.com