10. Check Point Introduksjon R80.20. Identity Awareness

Velkommen til jubileums - 10. leksjon. I dag skal vi snakke om en annen Check Point-blade - Identitetsbevissthet. Allerede i begynnelsen, da vi beskrev NGFW, definerte vi at det er nødvendig med tilgangsregulering basert på brukerkontoer, ikke IP-adresser. Dette er først og fremst knyttet til brukernes økte mobilitet og den utbredte modellen BYOD - bring your own device. Det kan være mange mennesker i selskapet som kobler til via WiFi, får dynamiske IP-er, og kanskje fra forskjellige nettverkssegmenter. Prøv å lage tilgangslister basert på IP-adresser her. Her må vi absolutt identifisere brukerne. Og akkurat denne blade, Identitetsbevissthet, vil hjelpe oss med dette.

Men først, la oss forstå hva identifisering av brukere ofte benyttes til?

1. For å begrense nettverkstilgang basert på brukerkontoer, ikke på IP-adresser. Tilganger kan reguleres både til Internett og til alle andre nettverkssegmenter, for eksempel DMZ.
2. Tilgang basert på VPN. Enig i at det er mye mer praktisk for brukeren å bruke sin domenekonto for autorisering i stedet for et annet oppfunnet passord.
3. For å administrere Check Point er det også nødvendig med en brukerkonto, som kan ha forskjellige rettigheter.
4. Og den mest gledelige delen - Rapportering. Det er mye mer tilfredsstillende å se på rapporter med konkrete brukere, i stedet for deres IP-adresser.

Check Point støtter to typer brukerkontoer:

• Lokale interne brukere. Brukeren opprettes i den lokale databasen til administrasjonsserveren.
• Eksterne brukere. Microsoft Active Directory eller en hvilken som helst annen LDAP-server kan fungere som ekstern brukerbase.

I dag skal vi snakke om nettverkstilgang. For å administrere nettverkstilgang, når Active Directory er tilgjengelig, brukes det såkalte Tilgangsrolle, som tillater bruk av tre brukerparametere:

1. Nettverk — altså nettet brukeren prøver å koble seg til
2. AD-bruker eller brukergruppe — disse dataene hentes direkte fra AD-serveren
3. Maskin — arbeidsstasjon.

Identifiseringen av brukere kan gjøres på flere måter:

• AD-spørringCheck Point leser logger fra AD-serveren for autentiserte brukere og deres IP-adresser. Datamaskiner som er i AD-domenet identifiseres automatisk.
• Nettleserbasert autentiseringIdentifisering gjennom brukerens nettleser (Captive Portal eller Transparent Kerberos). Ofte brukt for enheter som ikke er i domenet.
• TerminalservereI dette tilfellet skjer identifisering ved hjelp av en spesialterminalagent (installert på terminalserveren).

Dette er de tre mest vanlige alternativene, men det finnes tre til:

• IdentitetsagenterEn spesialagent installeres på brukernes datamaskiner.
• IdentitetsinnsamlerEn separat programvare som installeres på Windows Server og samler autentiseringslogger i stedet for gatewayen. Faktisk et obligatorisk alternativ ved et stort antall brukere.
• RADIUS-regnskapOg hva skulle vi gjort uten den gamle gode RADIUS.

I denne leksjonen vil jeg demonstrere det andre alternativet — Nettleserbasert. Jeg tror teorien er tilstrekkelig, la oss gå videre til praktisk arbeid.

Videoleksjon

Hold deg oppdatert for mer og bli med i vår YouTube-kanal 🙂

Kilde: habr.com