Jak przejąć kontrolę nad infrastrukturą sieciową. Rozdział trzeci. Bezpieczeństwo sieci. Część trzecia

Artykuł ten jest piątym w cyklu artykułów „Jak wziąć infrastrukturę sieciową pod kontrolę”. Spis wszystkich artykułów oraz odnośniki można znaleźć tutaj.

Ta część będzie poświęcona segmentom VPN Campus (biuro) i zdalnego dostępu.

Może się wydawać, że projektowanie sieci biurowej jest proste.

Rzeczywiście, bierzemy przełączniki L2/L3, łączymy je ze sobą. Następnie dokonujemy podstawowej konfiguracji VLAN-ów, bram domyślnych, uruchamiamy prosty routing, podłączamy kontrolery WiFi, punkty dostępowe, instalujemy i konfiguruje ASA dla zdalnego dostępu i cieszymy się, że wszystko działa. W zasadzie, jak już pisałem w jednym z poprzednich artykułów artykułów tego cyklu, zaprojektowanie i skonfigurowanie sieci biurowej, aby „jakoś działało”, może prawie każdy student, który odbył (i opanował) dwa semestry kursu dotyczącego telekomunikacji.

Jednak im więcej się uczysz, tym mniej prosta wydaje się ta zadanie. Osobiście, temat projektowania sieci biurowej zupełnie nie wydaje mi się prosty, a w tym artykule postaram się wyjaśnić dlaczego.

Krótko mówiąc, trzeba uwzględnić wiele czynników. Często czynniki te są sprzeczne i trzeba szukać rozsądnego kompromisu.
To właśnie ta niepewność jest głównym źródłem trudności. Mówiąc o bezpieczeństwie, mamy trójkąt z trzema wierzchołkami: bezpieczeństwo, wygoda dla pracowników, koszt rozwiązania.
I za każdym razem trzeba szukać kompromisu pomiędzy tymi trzema.

Architektura

Jako przykład architektury dla tych dwóch segmentów, jak i w poprzednich artykułach, polecam modelu Cisco SAFE model: Enterprise Campus, Enterprise Internet Edge.

To są nieco przestarzałe dokumenty. Przytaczam je tutaj, ponieważ zasady i podejście nie zmieniły się, ale podoba mi się przedstawienie bardziej niż w nowej dokumentacji.

Nie namawiając was do korzystania z rozwiązań Cisco, uważam, że warto dokładnie przyjrzeć się temu projektowi.

Ten artykuł, jak zwykle, nie pretendując do pełności, jest raczej uzupełnieniem tych informacji.

Na końcu artykułu przeanalizujemy projekt Cisco SAFE dla biura z perspektywy koncepcji przedstawionych tutaj.

Ogólne zasady

Projekt sieci biurowej oczywiście musi spełniać ogólne wymagania, które były omawiane. tutaj w rozdziale „Kryteria oceny jakości designu”. Oprócz ceny i bezpieczeństwa, które zamierzamy omówić w tym artykule, pozostają jeszcze trzy kryteria, które musimy wziąć pod uwagę przy projektowaniu (lub wprowadzaniu zmian):

• skalowalność (scalability)
• łatwość zarządzania (manageability)
• dostępność (availability)

Wiele z tego, co było omawiane dla data-centra jest również prawdziwe dla biura.

Jednak segment biurowy ma swoją specyfikę, która z punktu widzenia bezpieczeństwa jest krytyczna. Esencja tej specyfiki polega na tym, że segment ten jest tworzony w celu zapewnienia usług sieciowych pracownikom (a także partnerom i gościom) firmy, a w związku z tym, na najwyższym poziomie rozpatrywania problemu mamy dwa zadania:

• ochronić zasoby firmy przed złośliwymi działaniami, które mogą pochodzić od pracowników (gości, partnerów) oraz od oprogramowania, z którego korzystają. To również obejmuje ochronę przed nieuprawnionym dostępem do sieci.
• ochronić systemy i dane samych użytkowników

I to tylko jedna strona problemu (a dokładniej jedna szczytowa część trójkąta). Po drugiej stronie znajdują się wygoda użytkownika i koszt stosowanych rozwiązań.

Zacznijmy od zbadania, czego użytkownik oczekuje od nowoczesnej sieci biurowej.

Udogodnienia

Oto jak moim zdaniem wyglądają „wygody sieciowe” dla użytkownika biurowego:

• Mobilność
• Możliwość korzystania z całego wachlarza znajomych urządzeń i systemów operacyjnych
• Łatwy dostęp do wszystkich niezbędnych zasobów firmy
• Dostępność zasobów internetowych, w tym różnych usług chmurowych
• „Szybka praca” sieci

To wszystko dotyczy zarówno pracowników, jak i gości (lub partnerów), a to już zadanie inżynierów firmy, aby na podstawie autoryzacji wyznaczyć dostęp dla różnych grup użytkowników.

Przyjrzyjmy się nieco bliżej każdemu z tych aspektów.

Mobilność

Chodzi o możliwość pracy i korzystania ze wszystkich niezbędnych zasobów firmy z dowolnego miejsca na świecie (oczywiście tam, gdzie dostępny jest internet).

W pełni odnosi się to również do biura. To wygodne, gdy z dowolnego miejsca w biurze masz możliwość kontynuowania pracy, na przykład odbierania poczty, komunikowania się w prywatnym komunikatorze, bycia dostępnym na wideo rozmowę, … Dzięki temu możesz z jednej strony rozwiązywać niektóre zagadnienia poprzez „żywe” rozmowy (na przykład uczestnictwo w spotkaniach), a z drugiej być zawsze online, mieć rękę na pulsie i szybko rozwiązywać niektóre pilne, wysokopriorytetowe zadania. To bardzo wygodne i naprawdę poprawia jakość komunikacji.

Osiąga się to poprzez odpowiedni projekt sieci WiFi.

Uwagi

Tutaj zazwyczaj pojawia się pytanie, czy wystarczy używać tylko WiFi? Czy to oznacza, że można zrezygnować z używania portów Ethernet w biurze? Jeśli mówimy tylko o użytkownikach, a nie o serwerach, które wciąż rozsądnie jest podłączać zwykłym portem Ethernet, to ogólnie odpowiedź brzmi: tak, można ograniczyć się tylko do WiFi. Ale są niuanse.

Są ważne grupy użytkowników, które wymagają osobnego podejścia. To oczywiście administratorzy. Zasadniczo, połączenie WiFi jest mniej niezawodne (pod względem utraty ruchu) i mniej szybkie niż zwykły port Ethernet. To może być istotne dla administratorów. Ponadto, administratorzy sieci mogą na przykład mieć swoją dedykowaną sieć Ethernet do połączeń out-of-band.

Może w Twojej firmie znajdą się również inne grupy/ działy, dla których te czynniki są również ważne.

Jest jeszcze jeden ważny aspekt – telefonia. Może z jakiegoś powodu nie chcesz korzystać z Wireless VoIP i wolisz używać telefonów IP z konwencjonalnym połączeniem Ethernet.

Ogólnie rzecz biorąc, w tych firmach, w których pracowałem, zazwyczaj istniała możliwość korzystania zarówno z połączenia WiFi, jak i portu Ethernet.

Chciałbym, aby mobilność nie była ograniczona tylko do biura.

Aby zapewnić możliwość pracy z domu (lub z dowolnego innego miejsca z dostępnym internetem), używane jest połączenie VPN. Ważne jest, aby pracownicy nie czuli różnicy między pracą z domu a pracą zdalną, co oznacza, że muszą mieć te same dostępności. Jak to zorganizować, omówimy nieco później w rozdziale „Jednolity zcentralizowany system uwierzytelniania i autoryzacji”.

Uwagi

Prawdopodobnie nie będziesz w stanie zapewnić takiej samej jakości usług do pracy zdalnej, jakie masz w biurze. Załóżmy, że jako bramę VPN używasz Cisco ASA 5520. Zgodnie z arkuszem danych to urządzenie jest w stanie obsługiwać tylko 225 Mb/s ruchu VPN. Oznacza to, że z perspektywy przepustowości połączenie VPN znacznie różni się od pracy z biura. Jeśli z jakichś powodów opóźnienia, straty, jitter (na przykład, jeśli chcesz korzystać z biurowej telefonii IP) dla twoich usług sieciowych są istotne, nie otrzymasz również tej samej jakości, jakbyś był w biurze. Dlatego mówiąc o mobilności, musimy pamiętać o możliwych ograniczeniach.

Łatwy dostęp do wszystkich zasobów firmy

Zadanie to powinno być rozwiązane wspólnie z innymi działami technicznymi.
Idealna sytuacja to taka, kiedy użytkownik musi uwierzytelnić się tylko raz, a potem ma dostęp do wszystkich niezbędnych zasobów.
Zapewnienie łatwego dostępu bez uszczerbku dla bezpieczeństwa może znacznie zwiększyć efektywność pracy i obniżyć poziom stresu wśród twoich współpracowników.

Uwaga 1

Wygoda dostępu to nie tylko to, ile razy musisz wprowadzać hasło. Jeśli na przykład zgodnie z twoją polityką bezpieczeństwa, aby połączyć się z biura z centrum danych, musisz najpierw połączyć się z bramą VPN, a przy tym tracisz dostęp do zasobów biurowych, to również jest to bardzo, bardzo niewygodne.

Uwaga 2

Istnieją usługi (na przykład dostęp do sprzętu sieciowego), gdzie zazwyczaj mamy własne dedykowane serwery AAA i normalne jest, że w takim przypadku trzeba uwierzytelnić się kilka razy.

Dostępność zasobów internetowych

Internet to nie tylko rozrywka, ale także zestaw usług, które mogą być bardzo użyteczne w pracy. Są też czynniki czysto psychologiczne. W dzisiejszych czasach człowiek jest za pośrednictwem internetu powiązany z innymi ludźmi wieloma wirtualnymi nitkami, i nie widzę nic złego w tym, że nadal czuje tę więź, nawet podczas pracy.

Z perspektywy utraty czasu nie ma nic złego, jeśli pracownik na przykład ma uruchomionego Skype'a i spędza 5 minut na rozmowie z bliską osobą w razie potrzeby.

Czy to oznacza, że internet powinien być zawsze dostępny, a pracownicy mogą mieć dostęp do wszystkich zasobów bez jakiejkolwiek kontroli?

Nie, nie oznacza. Poziom otwartości internetu może być różny w różnych firmach – od pełnej zamkniętości do pełnej otwartości. Metody kontroli ruchu omówimy później w sekcjach poświęconych środkom ochrony.

Możliwość korzystania z pełnego zestawu znanych urządzeń.

To wygodne, gdy możesz kontynuować korzystanie ze wszystkich znanych ci środków komunikacji także w pracy. Technicznie nie ma w tym trudności. Potrzebny jest WiFi i gościnny VLAN.

Dobrze, jeśli masz możliwość korzystania z systemu operacyjnego, do którego jesteś przyzwyczajony. Ale, z mojego obserwacji, zazwyczaj jest to dozwolone tylko menedżerom, administratorom i deweloperom.

Przykład

Można oczywiście podjąć drogę zakazów, zakazać zdalnego dostępu, zakazać łączenia się z urządzeń mobilnych, ograniczyć wszystko statycznymi połączeniami Ethernet, ograniczyć dostęp do internetu, obowiązkowo konfiskować telefony komórkowe i gadżety przy wjeździe... i niektóre organizacje o zwiększonych wymaganiach bezpieczeństwa rzeczywiście podążają tą drogą, a być może w niektórych przypadkach jest to uzasadnione, ale... zgodzicie się, że wygląda to jak próba zatrzymania postępu w danej organizacji. Oczywiście, chciałoby się połączyć możliwości, które dają nowoczesne technologie z odpowiednim poziomem bezpieczeństwa.

„Szybka praca” sieci

Prędkość transferu danych technicznie składa się z wielu czynników. I prędkość twojego portu połączenia zazwyczaj nie jest jednym z najważniejszych. Nie zawsze wolna praca aplikacji wiąże się z problemami sieciowymi, ale interesuje nas teraz tylko część sieciowa. Najczęstszym problemem "spowolnienia" lokalnej sieci jest utrata pakietów. Zwykle ma to miejsce w przypadku wystąpienia efektu „wąskiego gardła” lub problemów L1 (OSI). Rzadziej, w niektórych projektach (na przykład, gdy jako bramy domyślnej w twoich podsieciach występuje zapora ogniowa i w ten sposób cały ruch przechodzi przez nią), sprzęt może nie mieć wystarczającej wydajności.

Zatem przy wyborze sprzętu i architektury należy uwzględnić prędkości końcowych portów, trunków oraz wydajność sprzętu.

Przykład

Załóżmy, że jako przełączniki dostępu używasz przełączników z portami 1-gigabitowymi. Są one połączone między sobą przez Etherchannel 2 x 10 gigabitów. Jako bramę domyślną używasz zapory z portami gigabitowymi, do której podłączasz się do sieci L2 biura przy użyciu 2 portów gigabitowych, połączonych w Etherchannel.

Taka architektura jest dość wygodna pod względem funkcjonalności, ponieważ cały ruch przechodzi przez zaporę, co pozwala na łatwe zarządzanie politykami dostępu i stosowanie zaawansowanych algorytmów kontroli ruchu oraz zapobiegania potencjalnym atakom (zobacz dalej), ale z perspektywy przepustowości i wydajności ten projekt ma oczywiście potencjalne problemy. Na przykład, 2 hosty pobierające dane (z prędkością portu 1 gigabita) mogą w pełni obciążyć 2-gigabitowe połączenie z zaporą, co może prowadzić do degradacji usługi dla całego segmentu biurowego.

Rozważyliśmy jeden wierzchołek trójkąta, teraz przyjrzyjmy się, jakimi środkami możemy zapewnić bezpieczeństwo.

Środki ochrony

Zatem oczywiście, zazwyczaj nasze pragnienie (a dokładniej, pragnienie naszego kierownictwa) polega na osiągnięciu niemożliwego, a mianowicie zapewnieniu maksymalnej wygody przy maksymalnej ochronie i minimalnej cenie.

Zobaczmy, jakie mamy metody dostarczania ochrony.

Dla biura wyróżniłbym następujące:

• podejście zero trust w projektowaniu
• wysoki poziom ochrony
• widoczność sieci
• jednolity, scentralizowany system uwierzytelniania i autoryzacji
• sprawdzanie hosta (host checking)

Teraz przyjrzyjmy się bliżej każdemu z tych aspektów.

Zero Trust

Świat IT zmienia się bardzo szybko. Dosłownie w ciągu ostatnich 10 lat pojawienie się nowych technologii i produktów doprowadziło do poważnego przemyślenia koncepcji bezpieczeństwa. Jeszcze dziesięć lat temu, z perspektywy bezpieczeństwa, segmentowaliśmy sieć na strefy zaufane, DMZ i niezaufane, a stosowano tzw. "ochronę perymetralną", gdzie były 2 linie obrony: niezaufana -> DMZ i DMZ -> zaufana. Ochrona była zazwyczaj ograniczona do list dostępu opartych na nagłówkach L3/L4 (OSI) (IP, porty TCP/UDP, flagi TCP). Wszystko, co dotyczyło wyższych poziomów, w tym L7, było pozostawione systemom operacyjnym i produktom ochronnym instalowanym na końcowych hostach.

Obecnie sytuacja zmieniła się diametralnie. Nowoczesna koncepcja zero trust opiera się na założeniu, że nie można już uważać systemów znajdujących się wewnątrz perymetru za zaufane, a sama koncepcja perymetru stała się nieostra.
Oprócz połączenia z internetem mamy również

• zdalny dostęp VPN użytkowników
• różne osobiste urządzenia, przyniesione laptopy, podłączane przez biurowe WiFi
• inne biura (oddziały)
• integrację z infrastrukturą chmurową

Jak wygląda podejście Zero Trust w praktyce?

W idealnym świecie dozwolony powinien być tylko ten ruch, który jest wymagany, a jeśli mówimy o idealnej sytuacji, kontrola powinna być przeprowadzana nie tylko na poziomie L3/L4, ale również na poziomie aplikacji.

Na przykład, jeśli masz możliwość przeprowadzenia całego ruchu przez zaporę, możesz spróbować zbliżyć się do ideału. Ale takie podejście może znacznie zmniejszyć łączną przepustowość twojej sieci, a ponadto filtracja na poziomie aplikacji nie zawsze działa dobrze.

Przy kontroli ruchu na routerze lub przełączniku L3 (wykorzystanie standardowych ACL) napotykasz na inne problemy:

• to tylko filtracja L3/L4. Nic nie stoi na przeszkodzie, aby przestępca wykorzystał dozwolone porty (np. TCP 80) dla własnej aplikacji (nie http)
• skomplikowane zarządzanie ACL (trudno analizować ACL)
• to nie jest zapora stateful, co oznacza, że musisz wyraźnie zezwolić na ruch zwrotny
• w przypadku przełączników jesteś zazwyczaj dość mocno ograniczony rozmiarem TCAM, co przy zastosowaniu podejścia "zezwalać tylko na to, co potrzebne" może szybko stać się problemem

Uwagi

Mówiąc o ruchu zwrotnym, musimy pamiętać, że mamy następującą możliwość (Cisco)

zezwól tcp any any established

Należy jednak zrozumieć, że ta linia jest równoważna dwóm liniom:
permit tcp any any ack
permit tcp any any rst

Co oznacza, że nawet jeśli nie było początkowego segmentu TCP z flagą SYN (czyli sesja TCP nawet nie została nawiązana), ten ACL przepuści pakiet z flagą ACK, co może być wykorzystane przez hakerów do przekazywania danych.

Oznacza to, że ta linia w żaden sposób nie przekształca twojego routera ani przełącznika L3 w stanowy zaporę.

. Żadne działanie nie zostanie wykonane bez Twojego „nadzoru”.

W artykuł W sekcji poświęconej centrom danych omówiliśmy następujące metody ochrony.

• stateful firewalling (by default)
• ochrona ddos/dos
• application firewalling
• threat prevention (antivirus, anti-spyware, and vulnerability)
• URL filtering
• data filtering (content filtering)
• file blocking (file types blocking)

W przypadku biura sytuacja jest podobna, ale priorytety są nieco inne. Dostępność biura (availability) zazwyczaj nie jest tak krytyczna, jak w przypadku centrum danych, podczas gdy prawdopodobieństwo „wewnętrznego” złośliwego ruchu jest znacznie wyższe.
Dlatego następujące metody ochrony stają się krytyczne dla tego segmentu:

• application firewalling
• zapobieganie zagrożeniom (antywirus, antyspyware i wrażliwość)
• URL filtering
• data filtering (content filtering)
• file blocking (file types blocking)

Chociaż wszystkie te metody ochrony, z wyjątkiem ochrony aplikacji, tradycyjnie były i nadal są realizowane na końcowych hostach (na przykład poprzez instalację programów antywirusowych) i za pomocą proxy, nowoczesne NGFW również oferują te usługi.

Dostawcy sprzętu zabezpieczającego dążą do stworzenia kompleksowej ochrony, dlatego obok ochrony na lokalnym urządzeniu oferowane są różne technologie chmurowe oraz oprogramowanie klienckie dla hostów (ochrona punktów końcowych/EPP). Na przykład w Magiczny Kwadrat Gartnera (Gartner Magic Quadrant) z 2018 roku widzimy, że Palo Alto i Cisco mają własne EPP (PA: Traps, Cisco: AMP), ale zdecydowanie nie znajdują się w czołówce.

Włączenie tych ochron (zazwyczaj poprzez zakup licencji) na zaporze, oczywiście, nie jest obowiązkowe (możesz podążać tradycyjną ścieżką), ale przynosi pewne korzyści:

• W takim przypadku pojawia się jeden punkt zastosowania metod ochrony, co poprawia widoczność (patrz następny temat).
• jeśli w twojej sieci znajduje się niechronione urządzenie, to i tak podlega ono «parasolowi» ochrony zapory
• korzystając z ochrony na zaporze w połączeniu z ochroną na końcowych hostach, zwiększamy prawdopodobieństwo wykrycia złośliwego ruchu. Na przykład, stosowanie zapobiegania zagrożeniom na lokalnych hostach i na zaporze zwiększa prawdopodobieństwo wykrycia (pod warunkiem, że te rozwiązania opierają się na różnych produktach oprogramowania)

Uwagi

Na przykład, jeśli używasz Kaspersky’ego jako oprogramowania antywirusowego zarówno na zaporze, jak i na końcowych hostach, to oczywiście nie zwiększy to znacznie twoich szans na zapobieżenie atakowi wirusowemu w twojej sieci.

Widoczność sieci

Podstawowa idea polega na "widzeniu", co dzieje się w twojej sieci, zarówno w czasie rzeczywistym, jak i w danych historycznych.

Podzieliłbym tę "widoczność" na dwie grupy:

Grupa pierwsza: to, co zazwyczaj dostarczają twoje systemy monitorujące.

• obciążenie sprzętu
• obciążenie kanałów
• użycie pamięci
• użycie dysków
• zmiany w tabeli routingu
• stan linków
• dostępność sprzętu (lub hostów)
• …

Grupa druga: informacje związane z bezpieczeństwem.

• różnego rodzaju statystyki (na przykład o aplikacjach, odwiedzalności URL, jakie rodzaje danych były pobierane, dane o użytkownikach)
• co zostało zablokowane przez polityki bezpieczeństwa i dlaczego, a mianowicie
  • zabroniona aplikacja
  • zabroniona na podstawie ip/protocol/port/flags/zones
  • zapobieganie zagrożeniom
  • filtracja url
  • filtracja danych
  • blokowanie plików
  • …
• statystyki dotyczące ataków DOS/DDOS
• nieudane próby identyfikacji i autoryzacji
• statystyki dotyczące wszystkich powyższych naruszeń polityk bezpieczeństwa
• …

W tym rozdziale, poświęconym bezpieczeństwu, interesuje nas właśnie druga część.

Niektóre nowoczesne zapory (z moich doświadczeń Palo Alto) zapewniają dobry poziom widoczności. Ale oczywiście, ruch, który cię interesuje, musi przechodzić przez tę zaporę (w takim przypadku masz możliwość blokowania ruchu) lub być lustrowany przez zaporę (używane tylko do monitorowania i analizy), i musisz mieć licencje umożliwiające aktywację wszystkich tych usług.

Istnieje oczywiście alternatywna droga, a dokładniej tradycyjna droga, na przykład,

• statystyki sesji można zbierać przez netflow, a potem używać specjalnych narzędzi do analizy informacji i wizualizacji danych
• zapobieganie zagrożeniom – specjalne programy (antywirusy, antyszpiegowskie, zapory) na końcowych hostach
• filtracja url, filtracja danych, blokowanie plików – na proxy
• można też analizować tcpdump z pomocą na przykład snort

Można połączyć te dwa podejścia, uzupełniając brakujące funkcje lub je duplikując, aby zwiększyć prawdopodobieństwo wykrycia ataku.

Które podejście wybrać?
Zależy to głównie od kwalifikacji i preferencji twojego zespołu.
W obu przypadkach są zalety i wady.

Zintegrowany system uwierzytelniania i autoryzacji

Przy dobrym projekcie mobilność, o której mówiliśmy w tym artykule, oznacza, że masz takie same uprawnienia, pracując z biura czy z domu, z lotniska, z kawiarni lub z innego miejsca (z ograniczeniami, które omówiliśmy wcześniej). Gdzie tkwi problem?
Aby lepiej zrozumieć złożoność tego zadania, przyjrzyjmy się typowemu projektowi.

Przykład

• Podzieliłeś wszystkich pracowników na grupy. Postanowiłeś przyznawać uprawnienia według grup.
• W biurze kontrolujesz uprawnienia za pomocą zapory ogniowej biura.
• Ruch z biura do centrum danych kontrolujesz na zaporze ogniowej centrum danych.
• Jako bramę VPN używasz Cisco ASA i do kontroli ruchu wchodzącego do twojej sieci od dedykowanych klientów stosujesz lokalne (na ASA) listy kontroli dostępu (ACL).

Teraz załóżmy, że proszą Cię o dodanie dodatkowego dostępu dla konkretnego pracownika. Przy tym proszą Cię o dodanie dostępu tylko dla niego i nikogo więcej z jego grupy.

Aby to zrobić, musimy stworzyć oddzielną grupę dla tego pracownika, to znaczy

• na ASA stworzyć oddzielną pulę IP dla tego pracownika.
• dodać nową listę kontroli dostępu (ACL) na ASA i przypisać ją temu zdalnemu klientowi.
• stworzyć nowe zasady bezpieczeństwa na zaporach ogniowych biura i centrum danych.

Dobrze, jeśli to wydarzenie jest rzadkie. Jednak w mojej praktyce miałem sytuację, gdy pracownicy zaangażowani byli w różne projekty, a zestaw projektów dla niektórych z nich zmieniał się dość często i nie było to 1-2 osoby, lecz dziesiątki. Oczywiście, wszystko to wymagało zmian.

Rozwiązano to w następujący sposób.

Postanowiliśmy, że jedynym źródłem prawdy, które określa wszystkie możliwe uprawnienia pracownika, będzie LDAP. Stworzyliśmy różne grupy, które definiują zestawy uprawnień i każdego użytkownika przypisywaliśmy do jednej lub kilku grup.

Na przykład załóżmy, że były grupy:

• gość (dostęp do Internetu)
• dostęp ogólny (dostępy do wspólnych zasobów: poczta, baza wiedzy, ...)
• księgowość
• projekt 1
• projekt 2
• administrator bazy danych
• administrator systemu Linux
• …

A jeśli którykolwiek z pracowników był zaangażowany zarówno w projekt 1, jak i w projekt 2, i potrzebował dostępu niezbędnego do pracy w tych projektach, to ten pracownik był odpowiednio przypisywany do grup:

• gość
• dostęp ogólny
• projekt 1
• projekt 2

Jak teraz przekształcić te informacje w uprawnienia na sprzęcie sieciowym?

Cisco ASA Dynamic Access Policy (DAP) (see www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html) is a perfect solution for this task.

In short, during the identification/authorization process, ASA obtains a set of groups from LDAP corresponding to the user and 'assembles' a dynamic ACL from several local ACLs (each corresponding to a group) that includes all necessary access, fully meeting our requirements.

But this is only for VPN connections. To create a uniform situation for both employees connected via VPN and those in the office, the following step was taken.

When connecting from the office, users via the 802.1x protocol were placed either in a guest VLAN (for guests) or in a shared access VLAN (for company employees). Furthermore, to gain specific access (for example, to projects in the data center), employees had to connect via VPN.

Different tunnel groups on ASA were used for office and home connections. This is necessary so that traffic to shared resources (used by all employees, such as email, file servers, ticketing systems, DNS, etc.) for those connecting from the office does not go through ASA but through the local network. Thus, we did not overload ASA with unnecessary traffic, including high-intensity traffic.

Thus, the task was solved.
We achieved

• the same set of access both for office connections and for remote connections
• the absence of service degradation when working from the office related to the transmission of high-intensity traffic through ASA

What other advantages does this approach have?
In access administration. Accesses can be easily changed in one place.
For example, if an employee leaves the company, you simply remove them from LDAP, and they automatically lose all access.

Host checking

With remote connection capabilities, we face the risk of allowing not only company employees into the network but also any malware that is likely present on their computer (for example, a home computer), and moreover, through this software, we may inadvertently grant access to our network to an attacker using this host as a proxy.

Rozsądnie jest stosować te same wymagania bezpieczeństwa dla hosta podłączonego zdalnie, co dla hosta znajdującego się w biurze.

Oznacza to również wymóg posiadania „poprawnej” wersji systemu operacyjnego, oprogramowania antywirusowego, antyszpiegowskiego oraz zapory sieciowej i aktualizacji. Zwykle ta możliwość istnieje na bramie VPN (dla ASA zobacz, na przykład, tutaj).

Również rozsądnie jest zastosować te same metody analizy i blokowania ruchu (zob. „Wysoki poziom ochrony”), które zgodnie z polityką bezpieczeństwa stosowane są do ruchu biurowego.

Rozsądnie jest założyć, że teraz Twoja sieć biurowa nie ogranicza się do budynku biurowego i hostów, które się w nim znajdują.

Przykład

Dobrym pomysłem jest zapewnienie każdemu pracownikowi, który potrzebuje zdalnego dostępu, dobrego, wygodnego laptopa i wymaganie, aby pracował zarówno w biurze, jak i zdalnie tylko na nim.

To nie tylko zwiększa poziom bezpieczeństwa Twojej sieci, ale również jest wygodne i zazwyczaj jest postrzegane pozytywnie przez pracowników (jeśli to rzeczywiście dobry i wygodny laptop).

O poczuciu miary i równowadze

W zasadzie to rozmowa o trzecim wierzchołku naszego trójkąta — o kosztach.
Rozważmy hipotetyczny przykład.

Przykład

Masz biuro na 200 osób. Postanowiłeś uczynić je jak najbardziej komfortowym i jak najbezpieczniejszym.

Dlatego cały ruch postanowiłeś przepuścić przez zaporę, a tym samym dla wszystkich podsieci biura zapora jest domyślną bramą. Oprócz oprogramowania zabezpieczającego zainstalowanego na każdym końcowym hoście (oprogramowanie antywirusowe, antyszpiegowskie i zapory), postanowiłeś również zastosować wszelkie możliwe metody ochrony na zaporze.

Aby zapewnić wysoką prędkość połączenia (wszystko dla wygody), jako przełączniki dostępowe wybrałeś przełączniki z portami dostępu 10-gigabitowymi, a jako zapory wysokowydajne zapory NGFW, na przykład seria Palo Alto 7K (z portami 40-gigabitowymi), oczywiście z wszystkimi uruchomionymi licencjami i, oczywiście, parą wysoka dostępność.

Również, oczywiście, do pracy z tą linią sprzętu potrzebujemy przynajmniej kilku wysoko wykwalifikowanych inżynierów ds. zabezpieczeń.

Następnie, każdemu pracownikowi postanowiłeś wydać dobrego laptopa.

Łącznie około 10 milionów dolarów na wdrożenie, setki tysięcy dolarów (myślę, że bliżej miliona) na roczne utrzymanie i wynagrodzenia dla inżynierów.

Biuro, 200 osób…
Wygodne? Pewnie tak.

Przychodzisz z tą propozycją do swojego kierownictwa…
Możliwe, że na świecie jest pewna liczba firm, dla których to akceptowalne i właściwe rozwiązanie. Jeśli jesteś pracownikiem takiej firmy — gratulacje, ale w zdecydowanej większości przypadków, jestem pewien, że twoja wiedza nie zostanie doceniona przez kierownictwo.

Czy ten przykład jest przerysowany? Następny rozdział odpowie na to pytanie.

Jeśli w twojej sieci nie widzisz czegoś z wymienionych powyżej, to jest norma.
Dla każdego konkretnego przypadku musisz znaleźć rozsądny kompromis między wygodą, ceną i bezpieczeństwem. Często nawet nie potrzebujesz NGFW w swoim biurze, nie potrzebujesz ochrony L7 na zaporze. Wystarczy zapewnić dobry poziom widoczności i powiadomień, i to można zrobić przy użyciu produktów open source, na przykład. Tak, twoja reakcja na atak nie będzie natychmiastowa, ale najważniejsze, że go zobaczysz, a przy odpowiednich procesach w twoim dziale będziesz mógł szybko go zneutralizować.

I przypominam, że celem tej serii artykułów jest to, że nie zajmujesz się projektowaniem sieci, tylko próbujesz poprawić to, co otrzymałeś.

Analiza architektury SAFE w biurze

Zwróć uwagę na ten czerwony kwadrat, którym zaznaczyłem miejsce na schemacie z Przewodnik po architekturze SAFE Secure Campus, które chciałbym tutaj omówić.

To jedno z kluczowych miejsc w architekturze i jedna z najważniejszych niepewności.

Uwagi

Nigdy nie konfigurowałem ani nie pracowałem z FirePower (z linii zapór Cisco - tylko z ASA), więc będę rozpatrywał go jak każdą inną zaporę, na przykład jak Juniper SRX lub Palo Alto, zakładając, że ma te same możliwości.

Z typowych konstrukcji widzę tylko 4 możliwe sposoby użycia zapory przy takim połączeniu:

• domyślną bramą dla każdej podsieci jest przełącznik, przy czym zapora działa w trybie transparentnym (to znaczy cały ruch przechodzi przez nią, ale nie tworzy skoku L3)
• domyślną bramą dla każdej podsieci są podinterfejsy zapory (lub interfejsy SVI), przełącznik pełni rolę L2
• na przełączniku używane są różne VRF, a ruch między VRF przechodzi przez zaporę, ruch wewnątrz jednego VRF jest kontrolowany przez ACL na przełączniku
• cały ruch jest mirrowany do zapory w celu analizy i monitorowania, nie przechodzi przez nią

Uwaga 1

Możliwe są kombinacje tych opcji, ale dla uproszczenia nie będziemy ich rozważać.

Uwagi2

Jest również możliwość użycia PBR (architektura service chain), ale na razie, mimo że jest to według mnie ładne rozwiązanie, to raczej jest egzotyką, dlatego nie będę go tu rozważać.

Z opisu strumieni w dokumencie widzimy, że ruch jednak przechodzi przez zaporę, czyli zgodnie z projektem Cisco czwarta opcja odpada.

Zajmijmy się najpierw pierwszymi dwoma opcjami.
W tych opcjach cały ruch przechodzi przez zaporę.

Teraz przyjrzyjmy się arkuszem danych, przyglądamy się Cisco GPL i widzimy, że jeśli chcemy mieć łączną przepustowość dla naszego biura na poziomie przynajmniej 10 — 20 gigabitów, musimy kupić wersję 4K.

Uwagi

Kiedy mówię o łącznej przepustowości, mam na myśli ruch między podsieciami (a nie w obrębie jednego VLAN-u).

Z GPL widzimy, że dla HA Bundle z Threat Defense cena w zależności od modelu (4110 — 4150) waha się od ~0,5 — 2,5 miliona dolarów.

Oznacza to, że nasz projekt zaczyna przypominać poprzedni przykład.

Czy to oznacza, że ten projekt jest błędny?
Nie, to nie oznacza. Cisco oferuje maksymalną możliwą ochronę na podstawie gamy produktów, które posiada. Ale to nie znaczy, że to jest konieczne dla Ciebie.

W zasadzie to zwykłe pytanie, które pojawia się przy projektowaniu biura lub centrum danych, i oznacza tylko, że trzeba szukać kompromisu.

Na przykład, nie przekierowywać całego ruchu przez zaporę, i w takim przypadku trzecia opcja wydaje się całkiem atrakcyjna, albo (patrz poprzednia sekcja), może nie potrzebujesz «Threat Defense» lub w ogóle zapory w tym segmencie sieci, i wystarczy ograniczyć się do pasywnego monitorowania przy użyciu płatnych (niedrogich) lub rozwiązań open source, lub zapora jest potrzebna, ale innego dostawcy.

Zazwyczaj zawsze występuje ta niepewność i nie ma jednoznacznej odpowiedzi, jakie rozwiązanie jest dla Ciebie najlepsze.
W tym tkwi trudność i piękno tego zadania.

Źródło: habr.com