ടെസ്റ്റിംഗ് കാണിക്കും: സിസ്‌കോ ISE നടപ്പിലാക്കുന്നതിന് എങ്ങനെ തയ്യാറെടുക്കാം, നിങ്ങൾക്ക് എന്ത് സിസ്റ്റം സവിശേഷതകൾ ആവശ്യമാണെന്ന് മനസിലാക്കുക

രസകരമായ ഒരു പരസ്യത്തിന് വഴങ്ങി നിങ്ങൾ എത്ര തവണ സ്വയമേവ എന്തെങ്കിലും വാങ്ങുന്നു, തുടർന്ന് ആദ്യം ആഗ്രഹിച്ച ഈ ഇനം അടുത്ത സ്പ്രിംഗ് ക്ലീനിംഗ് അല്ലെങ്കിൽ നീങ്ങുന്നത് വരെ ഒരു ക്ലോസറ്റിലോ കലവറയിലോ ഗാരേജിലോ പൊടി ശേഖരിക്കുന്നു? അന്യായമായ പ്രതീക്ഷകളും പാഴായ പണവും മൂലം നിരാശയാണ് ഫലം. ഒരു ബിസിനസ്സിന് ഇത് സംഭവിക്കുമ്പോൾ ഇത് വളരെ മോശമാണ്. മിക്കപ്പോഴും, മാർക്കറ്റിംഗ് ഗിമ്മിക്കുകൾ വളരെ നല്ലതാണ്, കമ്പനികൾ അതിന്റെ ആപ്ലിക്കേഷന്റെ പൂർണ്ണ ചിത്രം കാണാതെ തന്നെ വിലയേറിയ പരിഹാരം വാങ്ങുന്നു. അതേസമയം, സംയോജനത്തിനായി ഇൻഫ്രാസ്ട്രക്ചർ എങ്ങനെ തയ്യാറാക്കണം, എന്ത് പ്രവർത്തനക്ഷമത, എത്രത്തോളം നടപ്പിലാക്കണം എന്ന് മനസിലാക്കാൻ സിസ്റ്റത്തിന്റെ ട്രയൽ ടെസ്റ്റിംഗ് സഹായിക്കുന്നു. "അന്ധമായി" ഒരു ഉൽപ്പന്നം തിരഞ്ഞെടുക്കുന്നതിലൂടെ നിങ്ങൾക്ക് ധാരാളം പ്രശ്നങ്ങൾ ഒഴിവാക്കാനാകും. കൂടാതെ, കഴിവുള്ള ഒരു “പൈലറ്റിന്” ശേഷം നടപ്പിലാക്കുന്നത് എഞ്ചിനീയർമാരെ നശിപ്പിക്കുന്ന നാഡീകോശങ്ങളും നരച്ച മുടിയും കൊണ്ടുവരും. ഒരു കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കിലേക്കുള്ള ആക്‌സസ് നിയന്ത്രിക്കുന്നതിനുള്ള ഒരു ജനപ്രിയ ഉപകരണത്തിന്റെ ഉദാഹരണം ഉപയോഗിച്ച്, വിജയകരമായ ഒരു പ്രോജക്റ്റിന് പൈലറ്റ് ടെസ്റ്റിംഗ് വളരെ പ്രധാനമായിരിക്കുന്നത് എന്തുകൊണ്ടാണെന്ന് നമുക്ക് കണ്ടെത്താം - സിസ്കോ ഐഎസ്ഇ. ഞങ്ങളുടെ പരിശീലനത്തിൽ ഞങ്ങൾ നേരിട്ട പരിഹാരം ഉപയോഗിക്കുന്നതിനുള്ള സ്റ്റാൻഡേർഡ്, പൂർണ്ണമായും നിലവാരമില്ലാത്ത ഓപ്ഷനുകൾ പരിഗണിക്കാം.

Cisco ISE - "റേഡിയസ് സെർവർ ഓൺ സ്റ്റിറോയിഡുകൾ"

ഒരു ഓർഗനൈസേഷന്റെ ലോക്കൽ ഏരിയ നെറ്റ്‌വർക്കിനായി ഒരു ആക്സസ് കൺട്രോൾ സിസ്റ്റം സൃഷ്ടിക്കുന്നതിനുള്ള ഒരു പ്ലാറ്റ്ഫോമാണ് സിസ്കോ ഐഡന്റിറ്റി സർവീസസ് എഞ്ചിൻ (ISE). വിദഗ്‌ദ്ധ സമൂഹത്തിൽ, ഉൽപ്പന്നത്തിന് അതിന്റെ ഗുണങ്ങൾക്കായി "റേഡിയസ് സെർവർ ഓൺ സ്റ്റിറോയിഡുകൾ" എന്ന് വിളിപ്പേര് ലഭിച്ചു. എന്തുകൊണ്ടാണത്? അടിസ്ഥാനപരമായി, പരിഹാരം ഒരു റേഡിയസ് സെർവറാണ്, അതിൽ ധാരാളം അധിക സേവനങ്ങളും "തന്ത്രങ്ങളും" ഘടിപ്പിച്ചിരിക്കുന്നു, ഇത് വലിയ അളവിലുള്ള സന്ദർഭോചിതമായ വിവരങ്ങൾ സ്വീകരിക്കാനും തത്ഫലമായുണ്ടാകുന്ന ഡാറ്റ സെറ്റ് ആക്സസ് പോളിസികളിൽ പ്രയോഗിക്കാനും നിങ്ങളെ അനുവദിക്കുന്നു.

മറ്റേതൊരു റേഡിയസ് സെർവറിനെയും പോലെ, Cisco ISE ആക്‌സസ്-ലെവൽ നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളുമായി സംവദിക്കുന്നു, കോർപ്പറേറ്റ് നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്യാനുള്ള എല്ലാ ശ്രമങ്ങളെയും കുറിച്ചുള്ള വിവരങ്ങൾ ശേഖരിക്കുന്നു, ആധികാരികതയുടെയും അംഗീകാര നയങ്ങളുടെയും അടിസ്ഥാനത്തിൽ LAN-ലേക്ക് ഉപയോക്താക്കളെ അനുവദിക്കുകയോ നിരസിക്കുകയോ ചെയ്യുന്നു. എന്നിരുന്നാലും, മറ്റ് വിവര സുരക്ഷാ പരിഹാരങ്ങളുമായി പ്രൊഫൈൽ ചെയ്യാനും പോസ്റ്റുചെയ്യാനും സംയോജിപ്പിക്കാനുമുള്ള സാധ്യത അംഗീകാര നയത്തിന്റെ യുക്തിയെ ഗണ്യമായി സങ്കീർണ്ണമാക്കാനും അതുവഴി വളരെ ബുദ്ധിമുട്ടുള്ളതും രസകരവുമായ പ്രശ്നങ്ങൾ പരിഹരിക്കാനും സഹായിക്കുന്നു.

നടപ്പിലാക്കുന്നത് പൈലറ്റ് ചെയ്യാൻ കഴിയില്ല: നിങ്ങൾക്ക് എന്തുകൊണ്ട് പരിശോധന ആവശ്യമാണ്?

ഒരു പ്രത്യേക ഓർഗനൈസേഷന്റെ നിർദ്ദിഷ്ട ഇൻഫ്രാസ്ട്രക്ചറിൽ സിസ്റ്റത്തിന്റെ എല്ലാ കഴിവുകളും പ്രകടിപ്പിക്കുക എന്നതാണ് പൈലറ്റ് ടെസ്റ്റിംഗിന്റെ മൂല്യം. നടപ്പിലാക്കുന്നതിന് മുമ്പ് സിസ്‌കോ ISE പൈലറ്റ് ചെയ്യുന്നത് പദ്ധതിയിൽ ഉൾപ്പെട്ടിരിക്കുന്ന എല്ലാവർക്കും പ്രയോജനം ചെയ്യുമെന്ന് ഞാൻ വിശ്വസിക്കുന്നു, അതിനുള്ള കാരണം ഇതാണ്.

ഇത് ഇന്റഗ്രേറ്റർമാർക്ക് ഉപഭോക്താവിന്റെ പ്രതീക്ഷകളെക്കുറിച്ച് വ്യക്തമായ ആശയം നൽകുകയും "എല്ലാം ശരിയാണെന്ന് ഉറപ്പാക്കുക" എന്ന സാധാരണ വാക്യത്തേക്കാൾ കൂടുതൽ വിശദാംശങ്ങൾ ഉൾക്കൊള്ളുന്ന ശരിയായ സാങ്കേതിക സവിശേഷതകൾ സൃഷ്ടിക്കാൻ സഹായിക്കുകയും ചെയ്യുന്നു. ഉപഭോക്താവിന്റെ എല്ലാ വേദനകളും അനുഭവിക്കാൻ "പൈലറ്റ്" ഞങ്ങളെ അനുവദിക്കുന്നു, ഏതൊക്കെ ജോലികളാണ് അദ്ദേഹത്തിന് മുൻഗണന നൽകുന്നതെന്നും ഏതൊക്കെ ദ്വിതീയമാണെന്നും മനസ്സിലാക്കാൻ. ഞങ്ങളെ സംബന്ധിച്ചിടത്തോളം, ഓർഗനൈസേഷനിൽ എന്ത് ഉപകരണങ്ങൾ ഉപയോഗിക്കുന്നു, എങ്ങനെ നടപ്പാക്കൽ നടക്കും, ഏതൊക്കെ സൈറ്റുകളിൽ, അവ എവിടെയാണ് സ്ഥിതിചെയ്യുന്നത് മുതലായവ മുൻകൂട്ടി കണ്ടുപിടിക്കാനുള്ള മികച്ച അവസരമാണിത്.

പൈലറ്റ് പരിശോധനയ്ക്കിടെ, ഉപഭോക്താക്കൾക്ക് യഥാർത്ഥ സിസ്റ്റം പ്രവർത്തനക്ഷമമായി കാണുകയും അതിന്റെ ഇന്റർഫേസുമായി പരിചയപ്പെടുകയും അവരുടെ നിലവിലുള്ള ഹാർഡ്‌വെയറുമായി ഇത് പൊരുത്തപ്പെടുന്നുണ്ടോയെന്ന് പരിശോധിക്കുകയും പൂർണ്ണമായി നടപ്പിലാക്കിയതിന് ശേഷം പരിഹാരം എങ്ങനെ പ്രവർത്തിക്കുമെന്ന് സമഗ്രമായ ധാരണ നേടുകയും ചെയ്യാം. "പൈലറ്റ്" എന്നത് സംയോജന വേളയിൽ നിങ്ങൾക്ക് നേരിടേണ്ടിവരുന്ന എല്ലാ അപകടങ്ങളും കാണാനും എത്ര ലൈസൻസുകൾ വാങ്ങണമെന്ന് തീരുമാനിക്കാനും കഴിയുന്ന നിമിഷമാണ്.
"പൈലറ്റ്" സമയത്ത് എന്ത് "പോപ്പ് അപ്പ്" ചെയ്യാം

അപ്പോൾ, സിസ്‌കോ ISE നടപ്പിലാക്കുന്നതിന് നിങ്ങൾ എങ്ങനെ ശരിയായി തയ്യാറെടുക്കുന്നു? ഞങ്ങളുടെ അനുഭവത്തിൽ നിന്ന്, സിസ്റ്റത്തിന്റെ പൈലറ്റ് ടെസ്റ്റിംഗ് സമയത്ത് പരിഗണിക്കേണ്ട പ്രധാനപ്പെട്ട 4 പ്രധാന പോയിന്റുകൾ ഞങ്ങൾ കണക്കാക്കിയിട്ടുണ്ട്.

ഫോം ഘടകം

ആദ്യം, ഏത് ഫോം ഫാക്ടറിലാണ് സിസ്റ്റം നടപ്പിലാക്കേണ്ടതെന്ന് നിങ്ങൾ തീരുമാനിക്കേണ്ടതുണ്ട്: ഫിസിക്കൽ അല്ലെങ്കിൽ വെർച്വൽ അപ്ലൈൻ. ഓരോ ഓപ്ഷനും ഗുണങ്ങളും ദോഷങ്ങളുമുണ്ട്. ഉദാഹരണത്തിന്, ഒരു ഫിസിക്കൽ അപ്ലൈനിന്റെ ശക്തി അതിന്റെ പ്രവചനാതീതമായ പ്രകടനമാണ്, എന്നാൽ അത്തരം ഉപകരണങ്ങൾ കാലക്രമേണ കാലഹരണപ്പെട്ടതായി നാം മറക്കരുത്. വെർച്വൽ അപ്‌ലൈനുകൾ പ്രവചിക്കാനാകാത്തതിനാൽ... വിർച്ച്വലൈസേഷൻ എൻവയോൺമെന്റ് വിന്യസിച്ചിരിക്കുന്ന ഹാർഡ്‌വെയറിനെ ആശ്രയിച്ചിരിക്കുന്നു, പക്ഷേ അവയ്‌ക്ക് ഗുരുതരമായ നേട്ടമുണ്ട്: പിന്തുണ ലഭ്യമാണെങ്കിൽ, അവ എല്ലായ്പ്പോഴും ഏറ്റവും പുതിയ പതിപ്പിലേക്ക് അപ്‌ഡേറ്റ് ചെയ്യാൻ കഴിയും.

നിങ്ങളുടെ നെറ്റ്‌വർക്ക് ഉപകരണങ്ങൾ Cisco ISE-യുമായി പൊരുത്തപ്പെടുന്നുണ്ടോ?

തീർച്ചയായും, എല്ലാ ഉപകരണങ്ങളും ഒരേസമയം സിസ്റ്റത്തിലേക്ക് ബന്ധിപ്പിക്കുന്നതാണ് അനുയോജ്യമായ സാഹചര്യം. എന്നിരുന്നാലും, പല ഓർഗനൈസേഷനുകളും ഇപ്പോഴും നിയന്ത്രിക്കാത്ത സ്വിച്ചുകൾ അല്ലെങ്കിൽ സിസ്കോ ISE പ്രവർത്തിപ്പിക്കുന്ന ചില സാങ്കേതികവിദ്യകളെ പിന്തുണയ്ക്കാത്ത സ്വിച്ചുകൾ ഉപയോഗിക്കുന്നതിനാൽ ഇത് എല്ലായ്പ്പോഴും സാധ്യമല്ല. വഴിയിൽ, ഞങ്ങൾ സ്വിച്ചുകളെക്കുറിച്ചല്ല സംസാരിക്കുന്നത്, അത് വയർലെസ് നെറ്റ്‌വർക്ക് കൺട്രോളറുകളും വിപിഎൻ കോൺസെൻട്രേറ്ററുകളും ഉപയോക്താക്കൾ ബന്ധിപ്പിക്കുന്ന മറ്റേതെങ്കിലും ഉപകരണങ്ങളും ആകാം. എന്റെ പ്രയോഗത്തിൽ, പൂർണ്ണമായ നടപ്പാക്കലിനായി സിസ്റ്റം പ്രദർശിപ്പിച്ചതിന് ശേഷം, ഉപഭോക്താവ് ആധുനിക സിസ്‌കോ ഉപകരണങ്ങളിലേക്ക് ആക്‌സസ് ലെവൽ സ്വിച്ചുകളുടെ ഏതാണ്ട് മുഴുവൻ ഫ്ലീറ്റും അപ്‌ഗ്രേഡുചെയ്‌ത സന്ദർഭങ്ങളുണ്ട്. അസുഖകരമായ ആശ്ചര്യങ്ങൾ ഒഴിവാക്കാൻ, പിന്തുണയ്ക്കാത്ത ഉപകരണങ്ങളുടെ അനുപാതം മുൻകൂട്ടി കണ്ടെത്തുന്നത് മൂല്യവത്താണ്.

നിങ്ങളുടെ എല്ലാ ഉപകരണങ്ങളും നിലവാരമുള്ളതാണോ?

ഏത് നെറ്റ്‌വർക്കിലും കണക്റ്റുചെയ്യാൻ പ്രയാസമില്ലാത്ത സാധാരണ ഉപകരണങ്ങൾ ഉണ്ട്: വർക്ക്സ്റ്റേഷനുകൾ, IP ഫോണുകൾ, Wi-Fi ആക്സസ് പോയിന്റുകൾ, വീഡിയോ ക്യാമറകൾ തുടങ്ങിയവ. എന്നാൽ നിലവാരമില്ലാത്ത ഉപകരണങ്ങൾ LAN-ലേക്ക് കണക്റ്റുചെയ്യേണ്ടതുണ്ട്, ഉദാഹരണത്തിന്, RS232 / ഇഥർനെറ്റ് ബസ് സിഗ്നൽ കൺവെർട്ടറുകൾ, തടസ്സമില്ലാത്ത പവർ സപ്ലൈ ഇന്റർഫേസുകൾ, വിവിധ സാങ്കേതിക ഉപകരണങ്ങൾ മുതലായവ. അത്തരം ഉപകരണങ്ങളുടെ പട്ടിക മുൻകൂട്ടി നിർണ്ണയിക്കേണ്ടത് പ്രധാനമാണ്. , അതുവഴി നടപ്പിലാക്കൽ ഘട്ടത്തിൽ അവർ സിസ്‌കോ ഐഎസ്‌ഇയുമായി എത്രത്തോളം സാങ്കേതികമായി പ്രവർത്തിക്കുമെന്ന് നിങ്ങൾക്ക് ഇതിനകം തന്നെ ധാരണയുണ്ട്.

ഐടി സ്പെഷ്യലിസ്റ്റുകളുമായുള്ള ക്രിയാത്മക സംഭാഷണം

Cisco ISE ഉപഭോക്താക്കൾ പലപ്പോഴും സുരക്ഷാ വകുപ്പുകളാണ്, അതേസമയം ആക്സസ് ലെയർ സ്വിച്ചുകളും ആക്റ്റീവ് ഡയറക്ടറിയും കോൺഫിഗർ ചെയ്യുന്നതിന് ഐടി വകുപ്പുകൾ സാധാരണയായി ഉത്തരവാദികളാണ്. അതിനാൽ, സെക്യൂരിറ്റി സ്പെഷ്യലിസ്റ്റുകളും ഐടി സ്പെഷ്യലിസ്റ്റുകളും തമ്മിലുള്ള ഉൽപാദനപരമായ ഇടപെടൽ സിസ്റ്റത്തിന്റെ വേദനയില്ലാതെ നടപ്പിലാക്കുന്നതിനുള്ള ഒരു പ്രധാന വ്യവസ്ഥയാണ്. ശത്രുതയുമായുള്ള സംയോജനമാണ് രണ്ടാമത്തേത് മനസ്സിലാക്കുന്നതെങ്കിൽ, ഐടി വകുപ്പിന് പരിഹാരം എങ്ങനെ ഉപയോഗപ്രദമാകുമെന്ന് അവരോട് വിശദീകരിക്കേണ്ടതാണ്.

മികച്ച 5 Cisco ISE ഉപയോഗ കേസുകൾ

ഞങ്ങളുടെ അനുഭവത്തിൽ, പൈലറ്റ് ടെസ്റ്റിംഗ് ഘട്ടത്തിൽ സിസ്റ്റത്തിന്റെ ആവശ്യമായ പ്രവർത്തനക്ഷമതയും തിരിച്ചറിഞ്ഞിട്ടുണ്ട്. പരിഹാരത്തിനുള്ള ഏറ്റവും ജനപ്രിയമായതും സാധാരണമല്ലാത്തതുമായ ചില കേസുകൾ ചുവടെയുണ്ട്.

EAP-TLS ഉള്ള ഒരു വയർ വഴി സുരക്ഷിതമായ LAN ആക്സസ്

ഞങ്ങളുടെ പെന്റസ്റ്റേഴ്‌സിന്റെ ഗവേഷണ ഫലങ്ങൾ കാണിക്കുന്നത് പോലെ, ഒരു കമ്പനിയുടെ നെറ്റ്‌വർക്കിലേക്ക് തുളച്ചുകയറാൻ, ആക്രമണകാരികൾ സാധാരണ സോക്കറ്റുകൾ ഉപയോഗിക്കുന്നു, അവയിലേക്ക് പ്രിന്ററുകൾ, ഫോണുകൾ, ഐപി ക്യാമറകൾ, വൈഫൈ പോയിന്റുകൾ, മറ്റ് നോൺ-പേഴ്‌സണൽ നെറ്റ്‌വർക്ക് ഉപകരണങ്ങൾ എന്നിവ ബന്ധിപ്പിച്ചിരിക്കുന്നു. അതിനാൽ, dot1x സാങ്കേതികവിദ്യയെ അടിസ്ഥാനമാക്കിയുള്ള നെറ്റ്‌വർക്ക് ആക്‌സസ് ആണെങ്കിലും, ഉപയോക്തൃ പ്രാമാണീകരണ സർട്ടിഫിക്കറ്റുകൾ ഉപയോഗിക്കാതെ ഇതര പ്രോട്ടോക്കോളുകൾ ഉപയോഗിക്കുന്നുണ്ടെങ്കിലും, സെഷൻ ഇന്റർസെപ്ഷനും ബ്രൂട്ട്-ഫോഴ്‌സ് പാസ്‌വേഡുകളും ഉപയോഗിച്ച് വിജയകരമായ ആക്രമണത്തിന് ഉയർന്ന സാധ്യതയുണ്ട്. സിസ്കോ ഐഎസ്ഇയുടെ കാര്യത്തിൽ, ഒരു സർട്ടിഫിക്കറ്റ് മോഷ്ടിക്കുന്നത് വളരെ ബുദ്ധിമുട്ടായിരിക്കും - ഇതിനായി, ഹാക്കർമാർക്ക് കൂടുതൽ കമ്പ്യൂട്ടിംഗ് പവർ ആവശ്യമാണ്, അതിനാൽ ഈ കേസ് വളരെ ഫലപ്രദമാണ്.

ഡ്യുവൽ-എസ്എസ്ഐഡി വയർലെസ് ആക്സസ്

ഈ സാഹചര്യത്തിന്റെ സാരാംശം 2 നെറ്റ്‌വർക്ക് ഐഡന്റിഫയറുകൾ (SSID-കൾ) ഉപയോഗിക്കുക എന്നതാണ്. അവരിൽ ഒരാളെ സോപാധികമായി "അതിഥി" എന്ന് വിളിക്കാം. അതിലൂടെ അതിഥികൾക്കും കമ്പനി ജീവനക്കാർക്കും വയർലെസ് നെറ്റ്‌വർക്ക് ആക്‌സസ് ചെയ്യാൻ കഴിയും. അവർ ബന്ധിപ്പിക്കാൻ ശ്രമിക്കുമ്പോൾ, രണ്ടാമത്തേത് പ്രൊവിഷനിംഗ് നടക്കുന്ന ഒരു പ്രത്യേക പോർട്ടലിലേക്ക് റീഡയറക്‌ട് ചെയ്യുന്നു. അതായത്, ഉപയോക്താവിന് ഒരു സർട്ടിഫിക്കറ്റ് നൽകുകയും അവന്റെ സ്വകാര്യ ഉപകരണം രണ്ടാമത്തെ SSID-ലേക്ക് സ്വയമേവ വീണ്ടും കണക്റ്റുചെയ്യാൻ കോൺഫിഗർ ചെയ്യുകയും ചെയ്യുന്നു, അത് ഇതിനകം തന്നെ EAP-TLS ഉപയോഗിക്കുന്ന ആദ്യ കേസിന്റെ എല്ലാ ഗുണങ്ങളുമുണ്ട്.

MAC ഓതന്റിക്കേഷൻ ബൈപാസും പ്രൊഫൈലിങ്ങും

കണക്റ്റുചെയ്‌തിരിക്കുന്ന ഉപകരണത്തിന്റെ തരം സ്വയമേവ കണ്ടെത്തുകയും അതിന് ശരിയായ നിയന്ത്രണങ്ങൾ പ്രയോഗിക്കുകയും ചെയ്യുക എന്നതാണ് മറ്റൊരു ജനപ്രിയ ഉപയോഗ കേസ്. എന്തുകൊണ്ടാണ് അവൻ രസകരമായത്? 802.1X പ്രോട്ടോക്കോൾ ഉപയോഗിച്ച് പ്രാമാണീകരണത്തെ പിന്തുണയ്ക്കാത്ത ധാരാളം ഉപകരണങ്ങൾ ഇപ്പോഴും ഉണ്ട് എന്നതാണ് വസ്തുത. അതിനാൽ, അത്തരം ഉപകരണങ്ങൾ ഒരു MAC വിലാസം ഉപയോഗിച്ച് നെറ്റ്‌വർക്കിലേക്ക് അനുവദിക്കേണ്ടതുണ്ട്, അത് വ്യാജമാക്കാൻ വളരെ എളുപ്പമാണ്. ഇവിടെയാണ് സിസ്‌കോ ഐഎസ്ഇ രക്ഷാപ്രവർത്തനം നടത്തുന്നത്: സിസ്റ്റത്തിന്റെ സഹായത്തോടെ, നെറ്റ്‌വർക്കിൽ ഒരു ഉപകരണം എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് നിങ്ങൾക്ക് കാണാനും അതിന്റെ പ്രൊഫൈൽ സൃഷ്‌ടിക്കുകയും മറ്റ് ഉപകരണങ്ങളുടെ ഒരു ഗ്രൂപ്പിന് അത് നൽകുകയും ചെയ്യാം, ഉദാഹരണത്തിന്, ഒരു ഐപി ഫോണും വർക്ക്‌സ്റ്റേഷനും . ഒരു ആക്രമണകാരി ഒരു MAC വിലാസം കബളിപ്പിച്ച് നെറ്റ്‌വർക്കിലേക്ക് കണക്റ്റുചെയ്യാൻ ശ്രമിക്കുകയാണെങ്കിൽ, ഉപകരണ പ്രൊഫൈൽ മാറിയതായി സിസ്റ്റം കാണുകയും സംശയാസ്പദമായ പെരുമാറ്റം സൂചിപ്പിക്കുകയും സംശയാസ്പദമായ ഉപയോക്താവിനെ നെറ്റ്‌വർക്കിലേക്ക് അനുവദിക്കുകയുമില്ല.

EAP-ചെയിനിംഗ്

EAP-ചെയിനിംഗ് സാങ്കേതികവിദ്യയിൽ പ്രവർത്തിക്കുന്ന പിസിയുടെയും ഉപയോക്തൃ അക്കൗണ്ടിന്റെയും ക്രമാനുഗതമായ പ്രാമാണീകരണം ഉൾപ്പെടുന്നു. ഈ കേസ് വ്യാപകമായത് കാരണം... ജീവനക്കാരുടെ സ്വകാര്യ ഗാഡ്‌ജെറ്റുകൾ കോർപ്പറേറ്റ് LAN-ലേക്ക് ബന്ധിപ്പിക്കുന്നത് പല കമ്പനികളും ഇപ്പോഴും പ്രോത്സാഹിപ്പിക്കുന്നില്ല. പ്രാമാണീകരണത്തിനായുള്ള ഈ സമീപനം ഉപയോഗിച്ച്, ഒരു പ്രത്യേക വർക്ക്‌സ്റ്റേഷൻ ഡൊമെയ്‌നിലെ അംഗമാണോ എന്ന് പരിശോധിക്കാൻ കഴിയും, ഫലം നെഗറ്റീവ് ആണെങ്കിൽ, ഉപയോക്താവിനെ നെറ്റ്‌വർക്കിലേക്ക് അനുവദിക്കില്ല, അല്ലെങ്കിൽ പ്രവേശിക്കാൻ കഴിയും, പക്ഷേ ഉറപ്പോടെ നിയന്ത്രണങ്ങൾ.

പോസ്ചറിംഗ്

വിവര സുരക്ഷാ ആവശ്യകതകളുമായി വർക്ക്സ്റ്റേഷൻ സോഫ്‌റ്റ്‌വെയറിന്റെ അനുരൂപത വിലയിരുത്തുന്നതിനെക്കുറിച്ചാണ് ഈ കേസ്. ഈ സാങ്കേതികവിദ്യ ഉപയോഗിച്ച്, വർക്ക്സ്റ്റേഷനിലെ സോഫ്‌റ്റ്‌വെയർ അപ്‌ഡേറ്റ് ചെയ്‌തിട്ടുണ്ടോ, സുരക്ഷാ നടപടികൾ അതിൽ ഇൻസ്റ്റാൾ ചെയ്‌തിട്ടുണ്ടോ, ഹോസ്റ്റ് ഫയർവാൾ കോൺഫിഗർ ചെയ്‌തിട്ടുണ്ടോ തുടങ്ങിയവ പരിശോധിക്കാം. രസകരമെന്നു പറയട്ടെ, സുരക്ഷയുമായി ബന്ധമില്ലാത്ത മറ്റ് ജോലികൾ പരിഹരിക്കാനും ഈ സാങ്കേതികവിദ്യ നിങ്ങളെ അനുവദിക്കുന്നു, ഉദാഹരണത്തിന്, ആവശ്യമായ ഫയലുകളുടെ സാന്നിധ്യം പരിശോധിക്കുക അല്ലെങ്കിൽ സിസ്റ്റം-വൈഡ് സോഫ്റ്റ്വെയർ ഇൻസ്റ്റാൾ ചെയ്യുക.

എൻഡ്-ടു-എൻഡ് ഡൊമെയ്ൻ ഓതന്റിക്കേഷൻ (പാസിവ് ഐഡി), എസ്ജിടി അടിസ്ഥാനമാക്കിയുള്ള മൈക്രോ സെഗ്മെന്റേഷനും ഫിൽട്ടറിംഗും, മൊബൈൽ ഉപകരണ മാനേജ്മെന്റ് (എംഡിഎം) സിസ്റ്റങ്ങളുമായുള്ള സംയോജനവും വൾനറബിലിറ്റി സ്കാനറുകളും ഉപയോഗിച്ചുള്ള ആക്സസ് നിയന്ത്രണം സിസ്‌കോ ഐഎസ്ഇയുടെ സാധാരണ ഉപയോഗത്തിൽ കുറവാണ്.

നിലവാരമില്ലാത്ത പ്രോജക്റ്റുകൾ: നിങ്ങൾക്ക് മറ്റെന്തിന് Cisco ISE അല്ലെങ്കിൽ ഞങ്ങളുടെ പരിശീലനത്തിൽ നിന്നുള്ള 3 അപൂർവ കേസുകൾ ആവശ്യമായി വന്നേക്കാം

ലിനക്സ് അധിഷ്ഠിത സെർവറുകളിലേക്കുള്ള ആക്സസ് നിയന്ത്രണം

സിസ്‌കോ ഐഎസ്ഇ സിസ്റ്റം ഇതിനകം നടപ്പിലാക്കിയ ഉപഭോക്താക്കളിൽ ഒരാൾക്ക് ഞങ്ങൾ നിസ്സാരമല്ലാത്ത ഒരു കേസ് പരിഹരിച്ചു: ലിനക്സ് ഇൻസ്റ്റാൾ ചെയ്ത സെർവറുകളിലെ ഉപയോക്തൃ പ്രവർത്തനങ്ങൾ (മിക്കവാറും അഡ്മിനിസ്ട്രേറ്റർമാർ) നിയന്ത്രിക്കുന്നതിനുള്ള ഒരു മാർഗം ഞങ്ങൾ കണ്ടെത്തേണ്ടതുണ്ട്. ഒരു ഉത്തരം തേടി, ഒരു ബാഹ്യ റേഡിയസ് സെർവറിൽ ആധികാരികതയോടെ ലിനക്സ് പ്രവർത്തിക്കുന്ന സെർവറുകളിലേക്ക് ലോഗിൻ ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്ന സൗജന്യ PAM റേഡിയസ് മൊഡ്യൂൾ സോഫ്റ്റ്‌വെയർ ഉപയോഗിക്കുന്നതിനുള്ള ആശയം ഞങ്ങൾ കൊണ്ടുവന്നു. "പക്ഷേ" ഒന്നുമല്ലെങ്കിൽ ഇക്കാര്യത്തിൽ എല്ലാം നല്ലതായിരിക്കും: റേഡിയസ് സെർവർ, പ്രാമാണീകരണ അഭ്യർത്ഥനയ്ക്ക് ഒരു പ്രതികരണം അയയ്ക്കുന്നു, അക്കൗണ്ടിന്റെ പേരും ഫലവും മാത്രം നൽകുന്നു - അംഗീകരിച്ചു അല്ലെങ്കിൽ നിരസിച്ചുവെന്ന് വിലയിരുത്തുക. അതേസമയം, ലിനക്സിലെ അംഗീകാരത്തിനായി, നിങ്ങൾ കുറഞ്ഞത് ഒരു പാരാമീറ്ററെങ്കിലും നൽകേണ്ടതുണ്ട് - ഹോം ഡയറക്ടറി, അതുവഴി ഉപയോക്താവിന് എവിടെയെങ്കിലും എത്താം. ഇതൊരു റേഡിയസ് ആട്രിബ്യൂട്ട് ആയി നൽകാനുള്ള ഒരു മാർഗം ഞങ്ങൾ കണ്ടെത്തിയില്ല, അതിനാൽ സെമി ഓട്ടോമാറ്റിക് മോഡിൽ ഹോസ്റ്റുകളിൽ വിദൂരമായി അക്കൗണ്ടുകൾ സൃഷ്ടിക്കുന്നതിന് ഞങ്ങൾ ഒരു പ്രത്യേക സ്ക്രിപ്റ്റ് എഴുതി. ഈ ടാസ്ക് തികച്ചും പ്രായോഗികമായിരുന്നു, കാരണം ഞങ്ങൾ അഡ്മിനിസ്ട്രേറ്റർ അക്കൗണ്ടുകൾ കൈകാര്യം ചെയ്യുന്നു, അവയുടെ എണ്ണം അത്ര വലുതല്ല. അടുത്തതായി, ഉപയോക്താക്കൾ ആവശ്യമായ ഉപകരണത്തിലേക്ക് ലോഗിൻ ചെയ്തു, അതിനുശേഷം അവർക്ക് ആവശ്യമായ ആക്സസ് നൽകി. ന്യായമായ ഒരു ചോദ്യം ഉയർന്നുവരുന്നു: അത്തരം സന്ദർഭങ്ങളിൽ Cisco ISE ഉപയോഗിക്കേണ്ടത് ആവശ്യമാണോ? യഥാർത്ഥത്തിൽ, ഇല്ല - ഏതെങ്കിലും റേഡിയസ് സെർവറും ചെയ്യും, എന്നാൽ ഉപഭോക്താവിന് ഇതിനകം ഈ സിസ്റ്റം ഉള്ളതിനാൽ, ഞങ്ങൾ അതിൽ ഒരു പുതിയ സവിശേഷത ചേർത്തു.

LAN-ലെ ഹാർഡ്‌വെയറിന്റെയും സോഫ്റ്റ്‌വെയറിന്റെയും ഇൻവെന്ററി

ഒരു പ്രാഥമിക "പൈലറ്റ്" ഇല്ലാതെ ഒരു ഉപഭോക്താവിന് Cisco ISE വിതരണം ചെയ്യുന്നതിനുള്ള ഒരു പ്രോജക്റ്റിൽ ഞങ്ങൾ ഒരിക്കൽ പ്രവർത്തിച്ചു. പരിഹാരത്തിന് വ്യക്തമായ ആവശ്യകതകളൊന്നും ഉണ്ടായിരുന്നില്ല, കൂടാതെ ഞങ്ങൾ ഒരു ഫ്ലാറ്റ്, നോൺ-സെഗ്മെന്റഡ് നെറ്റ്‌വർക്കാണ് കൈകാര്യം ചെയ്യുന്നത്, ഇത് ഞങ്ങളുടെ ചുമതലയെ സങ്കീർണ്ണമാക്കി. പ്രോജക്റ്റ് സമയത്ത്, നെറ്റ്‌വർക്ക് പിന്തുണയ്‌ക്കുന്ന സാധ്യമായ എല്ലാ പ്രൊഫൈലിംഗ് രീതികളും ഞങ്ങൾ കോൺഫിഗർ ചെയ്‌തു: NetFlow, DHCP, SNMP, AD ഇന്റഗ്രേഷൻ മുതലായവ. തൽഫലമായി, പ്രാമാണീകരണം പരാജയപ്പെട്ടാൽ നെറ്റ്‌വർക്കിലേക്ക് ലോഗിൻ ചെയ്യാനുള്ള കഴിവ് ഉപയോഗിച്ച് MAR ആക്‌സസ് കോൺഫിഗർ ചെയ്‌തു. അതായത്, പ്രാമാണീകരണം വിജയിച്ചില്ലെങ്കിലും, സിസ്റ്റം ഉപയോക്താവിനെ നെറ്റ്‌വർക്കിലേക്ക് അനുവദിക്കുകയും അവനെക്കുറിച്ചുള്ള വിവരങ്ങൾ ശേഖരിക്കുകയും ISE ഡാറ്റാബേസിൽ രേഖപ്പെടുത്തുകയും ചെയ്യും. നിരവധി ആഴ്‌ചകൾ നീണ്ട ഈ നെറ്റ്‌വർക്ക് നിരീക്ഷണം കണക്റ്റുചെയ്‌ത സിസ്റ്റങ്ങളും വ്യക്തിഗതമല്ലാത്ത ഉപകരണങ്ങളും തിരിച്ചറിയാനും അവയെ സെഗ്‌മെന്റ് ചെയ്യുന്നതിനുള്ള ഒരു സമീപനം വികസിപ്പിക്കാനും ഞങ്ങളെ സഹായിച്ചു. ഇതിനുശേഷം, വർക്ക്സ്റ്റേഷനുകളിൽ ഇൻസ്റ്റോൾ ചെയ്തിരിക്കുന്ന സോഫ്റ്റ്‌വെയറിനെ കുറിച്ചുള്ള വിവരങ്ങൾ ശേഖരിക്കുന്നതിനായി, ഏജന്റ് ഇൻസ്റ്റാൾ ചെയ്യുന്നതിനായി ഞങ്ങൾ പോസ്റ്റിംഗ് കോൺഫിഗർ ചെയ്തു. എന്താണ് ഫലം? നെറ്റ്‌വർക്ക് സെഗ്‌മെന്റ് ചെയ്യാനും വർക്ക്‌സ്റ്റേഷനുകളിൽ നിന്ന് നീക്കം ചെയ്യേണ്ട സോഫ്റ്റ്‌വെയറിന്റെ ലിസ്റ്റ് നിർണ്ണയിക്കാനും ഞങ്ങൾക്ക് കഴിഞ്ഞു. ഉപയോക്താക്കളെ ഡൊമെയ്‌ൻ ഗ്രൂപ്പുകളായി വിതരണം ചെയ്യുന്നതിനും ആക്‌സസ് അവകാശങ്ങൾ നിർവചിക്കുന്നതിനുമുള്ള കൂടുതൽ ജോലികൾ ഞങ്ങൾക്ക് വളരെയധികം സമയമെടുത്തുവെന്ന് ഞാൻ മറയ്ക്കില്ല, എന്നാൽ ഈ രീതിയിൽ ഉപഭോക്താവിന് നെറ്റ്‌വർക്കിൽ എന്ത് ഹാർഡ്‌വെയർ ഉണ്ടെന്നതിന്റെ പൂർണ്ണമായ ചിത്രം ഞങ്ങൾക്ക് ലഭിച്ചു. വഴിയിൽ, ബോക്‌സിന് പുറത്ത് പ്രൊഫൈലിംഗ് നല്ല ജോലി കാരണം ഇത് ബുദ്ധിമുട്ടുള്ള കാര്യമായിരുന്നില്ല. ശരി, പ്രൊഫൈലിംഗ് സഹായിക്കാത്തയിടത്ത്, ഉപകരണങ്ങൾ കണക്റ്റുചെയ്തിരിക്കുന്ന സ്വിച്ച് പോർട്ട് ഹൈലൈറ്റ് ചെയ്തുകൊണ്ട് ഞങ്ങൾ സ്വയം നോക്കി.

വർക്ക്സ്റ്റേഷനുകളിൽ സോഫ്റ്റ്വെയറിന്റെ വിദൂര ഇൻസ്റ്റാളേഷൻ

ഈ കേസ് എന്റെ പ്രയോഗത്തിലെ ഏറ്റവും വിചിത്രമായ ഒന്നാണ്. ഒരു ദിവസം, സഹായത്തിനായുള്ള നിലവിളിയുമായി ഒരു ഉപഭോക്താവ് ഞങ്ങളുടെ അടുത്തേക്ക് വന്നു - സിസ്‌കോ ISE നടപ്പിലാക്കുമ്പോൾ എന്തോ കുഴപ്പം സംഭവിച്ചു, എല്ലാം തകർന്നു, മറ്റാർക്കും നെറ്റ്‌വർക്ക് ആക്‌സസ് ചെയ്യാൻ കഴിഞ്ഞില്ല. ഞങ്ങൾ അത് അന്വേഷിക്കാൻ തുടങ്ങി, ഇനിപ്പറയുന്നവ കണ്ടെത്തി. കമ്പനിക്ക് 2000 കമ്പ്യൂട്ടറുകൾ ഉണ്ടായിരുന്നു, അവ ഒരു ഡൊമെയ്ൻ കൺട്രോളറിന്റെ അഭാവത്തിൽ ഒരു അഡ്മിനിസ്ട്രേറ്റർ അക്കൗണ്ടിന് കീഴിൽ കൈകാര്യം ചെയ്തു. പിയറിംഗ് ഉദ്ദേശ്യത്തിനായി, സംഘടന സിസ്‌കോ ISE നടപ്പിലാക്കി. നിലവിലുള്ള പിസികളിൽ ഒരു ആന്റിവൈറസ് ഇൻസ്റ്റാൾ ചെയ്തിട്ടുണ്ടോ, സോഫ്റ്റ്വെയർ എൻവയോൺമെന്റ് അപ്ഡേറ്റ് ചെയ്തിട്ടുണ്ടോ തുടങ്ങിയവ എങ്ങനെയെങ്കിലും മനസ്സിലാക്കേണ്ടത് ആവശ്യമാണ്. ഐടി അഡ്മിനിസ്ട്രേറ്റർമാർ സിസ്റ്റത്തിലേക്ക് നെറ്റ്‌വർക്ക് ഉപകരണങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്തതിനാൽ, അവർക്ക് അതിലേക്ക് ആക്‌സസ് ഉണ്ടായിരുന്നു എന്നത് യുക്തിസഹമാണ്. ഇത് എങ്ങനെ പ്രവർത്തിക്കുന്നുവെന്ന് കാണുകയും അവരുടെ പിസികൾ പോഷർ ചെയ്യുകയും ചെയ്ത ശേഷം, വ്യക്തിപരമായ സന്ദർശനങ്ങളില്ലാതെ വിദൂരമായി ജീവനക്കാരുടെ വർക്ക് സ്റ്റേഷനുകളിൽ സോഫ്റ്റ്വെയർ ഇൻസ്റ്റാൾ ചെയ്യാനുള്ള ആശയം അഡ്മിനിസ്ട്രേറ്റർമാർ മുന്നോട്ടുവച്ചു. ഈ രീതിയിൽ നിങ്ങൾക്ക് പ്രതിദിനം എത്ര സ്റ്റെപ്പുകൾ ലാഭിക്കാമെന്ന് സങ്കൽപ്പിക്കുക! C:Program Files ഡയറക്‌ടറിയിൽ ഒരു നിർദ്ദിഷ്‌ട ഫയലിന്റെ സാന്നിധ്യത്തിനായി അഡ്‌മിനിസ്‌ട്രേറ്റർമാർ വർക്ക്‌സ്റ്റേഷനിൽ നിരവധി പരിശോധനകൾ നടത്തി, അത് ഇല്ലെങ്കിൽ, ഇൻസ്റ്റാളേഷൻ .exe ഫയലിലേക്കുള്ള ഫയൽ സംഭരണത്തിലേക്ക് നയിക്കുന്ന ഒരു ലിങ്ക് പിന്തുടർന്ന് സ്വയമേവയുള്ള പരിഹാരങ്ങൾ സമാരംഭിച്ചു. ഇത് സാധാരണ ഉപയോക്താക്കൾക്ക് ഒരു ഫയൽ ഷെയറിലേക്ക് പോകാനും അവിടെ നിന്ന് ആവശ്യമായ സോഫ്റ്റ്വെയർ ഡൗൺലോഡ് ചെയ്യാനും അനുവദിച്ചു. നിർഭാഗ്യവശാൽ, അഡ്മിന് ISE സിസ്റ്റം നന്നായി അറിയില്ലായിരുന്നു, കൂടാതെ പോസ്റ്റിംഗ് മെക്കാനിസങ്ങൾ തകരാറിലായി - അദ്ദേഹം നയം തെറ്റായി എഴുതി, അത് ഞങ്ങൾ പരിഹരിക്കുന്നതിൽ ഏർപ്പെട്ടിരിക്കുന്ന ഒരു പ്രശ്നത്തിലേക്ക് നയിച്ചു. വ്യക്തിപരമായി, അത്തരമൊരു സൃഷ്ടിപരമായ സമീപനത്തിൽ ഞാൻ ആത്മാർത്ഥമായി ആശ്ചര്യപ്പെടുന്നു, കാരണം ഒരു ഡൊമെയ്ൻ കൺട്രോളർ സൃഷ്ടിക്കുന്നത് വളരെ ചെലവുകുറഞ്ഞതും കുറഞ്ഞ അധ്വാനവും ആയിരിക്കും. എന്നാൽ ആശയത്തിന്റെ തെളിവായി അത് പ്രവർത്തിച്ചു.

എന്റെ സഹപ്രവർത്തകന്റെ ലേഖനത്തിൽ Cisco ISE നടപ്പിലാക്കുമ്പോൾ ഉണ്ടാകുന്ന സാങ്കേതിക സൂക്ഷ്മതകളെക്കുറിച്ച് കൂടുതൽ വായിക്കുക “സിസ്കോ ISE നടപ്പിലാക്കൽ പ്രാക്ടീസ്. ഒരു എഞ്ചിനീയറുടെ വീക്ഷണം".

ജെറ്റ് ഇൻഫോസിസ്റ്റംസിലെ ഇൻഫർമേഷൻ സെക്യൂരിറ്റി സെന്ററിന്റെ ഡിസൈൻ എഞ്ചിനീയർ ആർട്ടെം ബോബ്രിക്കോവ്

Afterword:
ഈ പോസ്റ്റ് Cisco ISE സിസ്റ്റത്തെക്കുറിച്ച് സംസാരിക്കുന്നുണ്ടെങ്കിലും, വിവരിച്ച പ്രശ്നങ്ങൾ NAC പരിഹാരങ്ങളുടെ മുഴുവൻ ക്ലാസിനും പ്രസക്തമാണ്. ഏത് വെണ്ടർ സൊല്യൂഷനാണ് നടപ്പിലാക്കാൻ ഉദ്ദേശിക്കുന്നത് എന്നത് അത്ര പ്രധാനമല്ല - മുകളിൽ പറഞ്ഞവയിൽ ഭൂരിഭാഗവും ബാധകമായിരിക്കും.

അവലംബം: www.habr.com