1. Úvod
Každá spoločnosť, aj tá najmenšia, potrebuje autentifikáciu, autorizáciu a sledovanie používateľov (rodina protokolov AAA). V úvodnej fáze sa AAA dobre realizuje s využitím protokolov ako RADIUS, TACACS+ a DIAMETER. Avšak s rastom počtu používateľov a spoločnosti rastie aj množstvo úloh: maximálna viditeľnosť hostiteľov a zariadení BYOD, viacfaktorová autentifikácia, vytváranie viacúrovňovej prístupovej politiky a mnoho ďalších.
Pre takéto úlohy sa skvele hodí trieda riešení NAC (Network Access Control) — kontrola sieťového prístupu. V cykle článkov, ktoré sa týkajú (Identity Services Engine) — NAC riešenie na poskytovanie kontroly prístupu používateľom k vnútornej sieti s ohľadom na kontext, podrobne preskúmame architektúru, inicializáciu, nastavenie a licencovanie riešenia.
Pripomeňme si stručne, že Cisco ISE umožňuje:
Rýchlo a jednoducho vytvárať hosťovský prístup vo vyhradenej WLAN;
Objavovať zariadenia BYOD (napríklad domáce PC zamestnancov, ktoré si priniesli do práce);
Centralizovať a uplatňovať bezpečnostné politiky na doménových aj nedoménových používateľov pomocou označení bezpečnostných skupín SGT (technológia );
Kontrolovať počítače na prítomnosť určitého softvéru a dodržiavanie štandardov (posturing);
Klasifikovať a profilovať koncové a sieťové zariadenia;
Poskytovať viditeľnosť koncových zariadení;
Zaznamenávať protokoly udalostí prihlásenia/odhlásenia používateľov, ich identitu (identity) na NGFW na vytváranie politík založených na používateľoch;
Natively integrácia s Cisco StealthWatch a karanténovať podozrivé hosty zúčastňujúce sa na bezpečnostných incidentoch ();
A ďalšie štandardné funkcie pre AAA servery.
O Cisco ISE už písali kolegovia v odvetví, preto v budúcnosti odporúčam oboznámiť sa: ,.
2. Architektúra
V architektúre Identity Services Engine sú štyri entity (uzly): uzol správy (Policy Administration Node), uzol distribúcie politík (Policy Service Node), monitoringový uzol (Monitoring Node) a PxGrid uzol (PxGrid Node). Cisco ISE môže byť v samostatnej (standalone) alebo distribuovanej (distributed) inštalácii. V samostatnej variante sú všetky entity umiestnené na jednom virtuálnom stroji alebo fyzickom serveri (Secure Network Servers — SNS), zatiaľ čo v distribuovanej sú uzly rozložené po rôznych zariadeniach.
Policy Administration Node (PAN) — povinný uzol, ktorý umožňuje vykonávať všetky administratívne operácie na Cisco ISE. Spracováva všetky systémové konfigurácie súvisiace s AAA. V distribuovanej konfigurácii (uzly je možné inštalovať ako samostatné virtuálne stroje) môžete mať maximálne dva PAN pre zabezpečenie tolerancie porúch — režim Active/Standby.
Policy Service Node (PSN) — povinný uzol, ktorý zabezpečuje prístup do siete, stav, hosťovský prístup, poskytovanie služieb klientom a profilovanie. PSN vyhodnocuje politiku a aplikuje ju. Zvyčajne sa inštaluje viacero PSN, najmä v distribuovanej konfigurácii, pre väčšiu redundanciu a distribuovanú prevádzku. Samozrejme, tieto uzly sa snažia inštalovať v rôznych segmentoch, aby zabezpečili autentifikovaný a autorizovaný prístup bez sekundy výpadku.
Monitoring Node (MnT) — povinný uzol, ktorý uchováva záznamy udalostí, logy iných uzlov a politík v sieti. Uzol MnT poskytuje pokročilé nástroje na monitorovanie a riešenie problémov, zhromažďuje a porovnáva rôzne údaje a taktiež poskytuje obsahové správy. Cisco ISE umožňuje mať maximálne dva MnT uzly, čím sa zabezpečuje tolerancia porúch — režim Active/Standby. Avšak, logy zhromažďujú oba uzly, aktívny aj pasívny.
PxGrid Node (PXG) — uzol, ktorý používa protokol PxGrid a zabezpečuje komunikáciu medzi inými zariadeniami, ktoré podporujú PxGrid.
— protokol, ktorý zabezpečuje integráciu produktov IT a bezpečnostnej infraštruktúry rôznych dodávateľov: systémov monitorovania, systémov detekcie a prevencie zásahov, platforiem na správu bezpečnostných politík a mnohých ďalších riešení. Cisco PxGrid umožňuje výmenu kontextu v jednosmernom alebo obojsmernom režime s mnohými platformami bez potreby používania API, čím umožňuje využívať technológiu (SGT značky), modifikovať a aplikovať ANC (Adaptive Network Control) politiku, ako aj realizovať profilovanie — určenie modelu zariadenia, operačného systému, polohy a iné.
V konfigurácii vysokej dostupnosti uzly PxGrid replikujú informácie medzi uzlami prostredníctvom PAN. V prípade, ak PAN sa vypne, uzol PxGrid prestáva autentifikovať, autorizovať a vykonávať účtovanie používateľov.
Nižšie schématicky znázorňuje prácu rôznych entít Cisco ISE v podnikovej sieti.
Obrázok 1. Architektúra Cisco ISE
3. Požiadavky
Cisco ISE môže byť implementovaný, ako väčšina moderných riešení, virtuálne alebo fyzicky ako samostatný server.
Fyzické zariadenia s nainštalovaným softvérom Cisco ISE sa nazývajú SNS (Secure Network Server). Existujú v troch modeloch: SNS-3615, SNS-3655 a SNS-3695 pre malé, stredné a veľké podniky. V tabuľke 1 sú uvedené informácie z SNS.
Tabuľka 1. Porovnávacia tabuľka SNS pre rôzne rozsahy
Parameter
SNS 3615 (malý)
SNS 3655 (stredný)
SNS 3695 (veľký)
Počet podporovaných koncových zariadení v standalone inštalácii
10000
25000
50000
Počet podporovaných koncových zariadení pre každé PSN
10000
25000
100000
CPU (Intel Xeon 2.10 GHz)
8 jadier
12 jadier
12 jadier
RAM
32 GB (2 x 16 GB)
96 GB (6 x 16 GB)
256 GB (16 x 16 GB)
HDD
1 x 600 GB
4 x 600 GB
8 x 600 GB
Hardvérové RAID
Nie
RAID 10, existuje RAID kontrolér
RAID 10, existuje RAID kontrolér
Sieťové rozhrania
2 x 10Gbase-T
4 x 1Gbase-T
2 x 10Gbase-T
4 x 1Gbase-T
2 x 10Gbase-T
4 x 1Gbase-T
Pokiaľ ide o virtuálne implementácie, podporované sú hypervízory VMware ESXi (odporúča sa minimálne VMware verzia 11 pre ESXi 6.0), Microsoft Hyper-V a Linux KVM (RHEL 7.0). Zdroje by mali byť približne rovnaké ako v tabuľke vyššie, alebo viac. Napriek tomu sú minimálne požiadavky na virtuálny stroj pre malé podniky: 2 CPU s frekvenciou 2.0 GHz a vyššou, 16 GB RAM a 200 GB HDD.
Pre upresnenie ďalších detailov nasadenia Cisco ISE sa obráťte na alebo na , .
4. Inštalácia
Ako väčšina ostatných produktov Cisco, ISE môže byť otestovaný viacerými spôsobmi:
– cloudová služba prednastavených laboratórnych makiet (je potrebný účet Cisco);
– požiadavka s určitým softvérom Cisco (spôsob pre partnerov). Vytvoríte prípad s nasledujúcim typickým popisom: Typ produktu [ISE], softvér ISE [ise-2.7.0.356.SPA.x8664], záplata ISE [ise-patchbundle-2.7.0.356-Patch2-20071516.SPA.x8664];
— obráťte sa na akéhokoľvek autorizovaného partnera na uskutočnenie bezplatného pilotného projektu.
1) Po vytvorení virtuálneho stroja, ak ste požiadali o ISO súbor a nie o OVA šablónu, sa otvorí okno, v ktorom ISE požaduje vybrať inštaláciu. Namiesto prihlasovacieho mena a hesla napíšte „setup«!
Poznámka: ak ste rozvinuli ISE z OVA šablóny, potom prihlasovacie údaje admin / MyIseYPass2 (toto a mnoho ďalšieho je uvedené v oficiálnom ).
Obrázok 2. Inštalácia Cisco ISE
2) Potom je potrebné vyplniť potrebné polia, ako sú IP adresa, DNS, NTP a ďalšie.
Obrázok 3. Inicializácia Cisco ISE
3) Po tom sa zariadenie reštartuje a budete sa môcť pripojiť prostredníctvom webového rozhrania na predtým zadanú IP adresu.
Obrázok 4. Webové rozhranie Cisco ISE
4) Na karte Administration > System > Deployment môžete si vybrať, ktoré uzly (entity) sú zahrnuté na danom zariadení. Uzol PxGrid sa zapína tu.
Obrázok 5. Správa entít Cisco ISE
5) Potom na karte Administration > System > Admin Access > Authentication odporúčam nastaviť politiku hesiel, metódu autentifikácie (certifikát alebo heslo), dobu platnosti účtu a ďalšie nastavenia.
Obrázok 6. Nastavenie typu autentifikácie
Obrázok 7. Nastavenia politiky hesiel
Obrázok 8. Nastavenie deaktivácie účtu po uplynutí doby
Obrázok 9. Nastavenie blokovania používateľských účtov
6) Na karte Administration > System > Admin Access > Administrators > Admin Users > Add môžete vytvoriť nového administrátora.
Obrázok 10. Vytvorenie lokálneho administrátora Cisco ISE
7) Nového administrátora môžete urobiť členom novej skupiny alebo už prednastavených skupín. Správa skupín administrátorov sa vykonáva na tej istej paneli na karte Admin Groups. V tabuľke 2 sú zhrnuté informácie o administrátoroch ISE, ich právach a rolách.
Tabuľka 2. Skupiny administrátorov Cisco ISE, úrovne prístupu, povolenia a obmedzenia
Názov skupiny administrátorov
Povolenia
Obmedzenia
Customization Admin
Nastavenie portálov hostí, sponzorského, administrácia a prispôsobenie
Nemožnosť meniť politiky, prezerať správy
Helpdesk Admin
Možnosť zobraziť hlavný dashboard, všetky správy, alarmy a ladenie tokom
Nie je možné meniť, vytvárať ani mazať správy, alarmy a logy overovania
Identity Admin
Správa používateľov, oprávnení a rolí, možnosť zobraziť logy, správy a alarmy
Nie je možné meniť politiky, vykonávať úlohy na úrovni OS
MnT Admin
Úplný monitoring, správy, alarmy, logy a ich správa
Nemožnosť meniť žiadne politiky
Network Device Admin
Práva na vytváranie a zmenu objektov ISE, zobrazenie logov, správ, hlavného dashboardu
Nie je možné meniť politiky, vykonávať úlohy na úrovni OS
Policy Admin
Úplná správa všetkých politík, zmena profilov, nastavení, zobrazenie správ
Nemožnosť vykonávať nastavenia s prihlasovacími údajmi, objektmi ISE
RBAC Admin
Všetky nastavenia v záložke Operations, nastavenie ANC politiky, správa reportov
Nie je možné meniť iné okrem ANC politiky, vykonávať úlohy na úrovni OS
Super Admin
Práva na všetky nastavenia, správy a riadenie, môže mazať a meniť prihlasovacie údaje administrátorov
Nemôže zmeniť, odstrániť iný profil zo skupiny Super Admin
System Admin
Všetky nastavenia v záložke Operations, správa systémových nastavení, politík ANC, zobrazenie reportov
Nie je možné meniť iné okrem ANC politiky, vykonávať úlohy na úrovni OS
External RESTful Services (ERS) Admin
Úplný prístup k REST API Cisco ISE
Iba na autorizáciu, správu lokálnych používateľov, hostiteľov a skupín zabezpečenia (SG)
External RESTful Services (ERS) Operator
Práva na čítanie REST API Cisco ISE
Iba na autorizáciu, správu lokálnych používateľov, hostiteľov a skupín zabezpečenia (SG)
Obrázok 11. Predinštalované skupiny administrátorov Cisco ISE
8) Ďalšie v záložke Authorization > Permissions > RBAC Policy možno upraviť práva predinštalovaných administrátorov.
Obrázok 12. Správa práv predinštalovaných profilov administrátorov Cisco ISE
9) V záložke Administration > System > Settings sú dostupné všetky systémové nastavenia (DNS, NTP, SMTP a ďalšie). Môžete ich vyplniť tu, ak ste ich vynechali pri počiatočnej inicializácii zariadenia.
5. Záver
Na tejto prvej článku sme sa dostali na koniec. Diskutovali sme o efektívnosti NAC riešenia Cisco ISE, jeho architektúre, minimálnych požiadavkách a možnostiach nasadenia, ako aj o prvotnej inštalácii.
V nasledujúcom článku sa pozrieme na vytváranie účtov, integráciu s Microsoft Active Directory, ako aj na vytváranie hosťovského prístupu.
Ak máte otázky k tejto téme alebo potrebujete pomoc pri testovaní produktu, obráťte sa na .
Sledujte aktualizácie na našich kanáloch (, , , , ).
Zdroj: habr.com
