Sa sa herĂ« bleni diçka nĂ« mĂ«nyrĂ« spontane, duke u dorĂ«zuar njĂ« reklame tĂ« bukur, dhe pastaj ajo gjĂ« e dĂ«shiruar fillimisht pĂ«rfundon duke pluhurosur nĂ« dollap, nĂ« bodrum ose nĂ« garazh deri nĂ« pastrimin e radhĂ«s ose transferimin? Si rezultat â zhgĂ«njim pĂ«r shkak tĂ« pritshmĂ«rive tĂ« paarsyetuara dhe parave tĂ« shpenzuara kot. MĂ« e keqja Ă«shtĂ« kur diçka e tillĂ« ndodh me biznesin. Shpesh, hile marketingu janĂ« aq tĂ« mira, sa qĂ« kompanitĂ« blejnĂ« zgjidhje tĂ« shtrenjta, duke mos parĂ« plotĂ«sisht imazhin e pĂ«rdorimit tĂ« saj. MegjithatĂ«, testimi i provĂ«s ndihmon pĂ«r tĂ« kuptuar si tĂ« pĂ«rgatitet infrastruktura pĂ«r integrim, cila funksionalitet dhe nĂ« çfarĂ« sasi duhet tĂ« zbatohet. KĂ«shtu mund tĂ« shmanget njĂ« numĂ«r i madh problemesh pĂ«r shkak tĂ« zgjedhjes sĂ« produktit "me sy tĂ« mbyllur". PĂ«r mĂ« tepĂ«r, zbatimi pas njĂ« "piloti" tĂ« mirĂ« do tĂ« sjellĂ« shumĂ« mĂ« pak shqetĂ«sime pĂ«r inxhinierĂ«t. Le tĂ« shohim pse testimi pilot Ă«shtĂ« kaq i rĂ«ndĂ«sishĂ«m pĂ«r njĂ« projekt tĂ« suksesshĂ«m, duke marrĂ« si shembull mjetin popullor pĂ«r kontrollin e aksesit nĂ« rrjetin korporativ â Cisco ISE. Do tĂ« shqyrtojmĂ« si opsionet standarde ashtu edhe ato tĂ« pazakonta tĂ« pĂ«rdorimit tĂ« zgjidhjes, qĂ« kemi hasur nĂ« pĂ«rvojĂ«n tonĂ«.
Cisco ISE â "Server Radius nĂ« steroide"
Cisco Identity Services Engine (ISE) është një platformë për ndërtimin e një sistemi kontrolli të aksesit në rrjetin lokal të organizatës. Në komunitetin e ekspertëve, produkti është quajtur "Server Radius në steroide" për nga cilësitë e tij. Pse kështu? Në thelb, zgjidhja është një server Radius, të cilit i janë shtuar një numër i madh shërbimesh dhe "pecësh", që lejojnë marrjen e një sasi të madhe informacioni kontekstual dhe aplikimin e kësaj përmbajtjeje të të dhënave në politikat e aksesit.
Si çdo server tjetër Radius, Cisco ISE bashkëpunon me pajisjet e rrjetit në nivelin e aksesit, grumbullon informacion mbi të gjitha përpjekjet për të hyrë në rrjetin korporativ dhe, në bazë të politikave të autentifikimit dhe autorizimit, lejon ose ndalon përdoruesit në LAN. Megjithatë, mundësia për profilizim, kontrollim dhe integrim me zgjidhje të tjera të sigurisë informuese lejon që logjika e politikës së autorizimit të komplikohet ndjeshëm dhe kështu të zgjidhë detyra mjaft të vështira dhe interesante.
Nuk duhet të zbatohet, por duhet të pilotohet: pse është e nevojshme testimi?
Vlera e testimit pilot qëndron në demonstrimin e të gjitha mundësive të sistemit në infrastrukturën specifike të institucionit përkatës. Jam i bindur se pilotimi i Cisco ISE para implementimit është i dobishëm për të gjithë pjesëmarrësit e projektit, dhe ja pse.
Kjo u jep integratorëve një pamje të qartë të pritshmërive të klientit dhe ndihmon në formimin e një detyre teknike të saktë, e cila përmban shumë më tepër detaje sesa fraza e zakonshme "bëni që gjithçka të jetë mirë". "Piloti" na lejon të ndiejmë të gjithë dhimbjen e klientit, të kuptojmë, cilat janë prioritete për të dhe cilat janë dytësore. Për ne, kjo është një mundësi e shkëlqyer për të kuptuar paraprakisht se çfarë pajisjesh përdoren në organizatë, si do të zhvillohet implementimi, në cilat lokacione, ku ndodhen etj.
Klientët gjatë testimit pilot shohin sistemin e vërtetë në veprim, njohin ndërfaqen e tij, mund të verifikojnë nëse është kompatibile me "harduerin" që kanë, dhe marrin një pamje të plotë të asaj se si do të funksionojë zgjidhja pas implementimit të plotë. "Piloti" është ai moment kur mund të shohim të gjitha "këto momente të papritura" me të cilat do të duhet të përballen gjatë integrimit dhe të vendosim, sa licenca duhet të blihen.
ĂfarĂ« mund tĂ« "shfaqet" gjatĂ« "pilotit"
Pra, si të përgatisni siç duhet për implementimin e Cisco ISE? Nga përvoja jonë, kemi identifikuar 4 pika kryesore që është e rëndësishme të merren parasysh gjatë procesit të testimit pilot të sistemit.
Formati
SĂ« pari, duhet tĂ« pĂ«rcaktoni nĂ« cilin format do tĂ« zbatohet sistemi: pajisje fisike apo pajisje virtuale. Ădo opsion ka avantazhe dhe disavantazhe. PĂ«r shembull, njĂ« pikĂ« e fortĂ« e pajisjeve fizike Ă«shtĂ« performanca e parashikueshme, por nuk duhet harruar se kĂ«to pajisje janĂ« nĂ« rrezik tĂ« bĂ«hen tĂ« vjetra me kalimin e kohĂ«s. Pajisjet virtuale janĂ« mĂ« pak tĂ« parashikueshme, pasi varen nga hardueri mbi tĂ« cilin Ă«shtĂ« ndĂ«rtuar mjedisi i virtualizimit, por kanĂ« njĂ« avantazh tĂ« rĂ«ndĂ«sishĂ«m: nĂ«se kanĂ« mbĂ«shtetje, ato gjithmonĂ« mund tĂ« pĂ«rditĂ«sohen nĂ« versionin mĂ« tĂ« fundit.
A është pajisja juaj rrjetërore e përputhshme me Cisco ISE?
Sigurisht, skenari ideal do të ishte të lidhnim të gjithë pajisjet me sistemin menjëherë. Megjithatë, kjo nuk është gjithmonë e mundur, pasi shumë organizata akoma përdorin switch-a të pa menaxhuar ose switch-a që nuk mbështesin disa teknologji, mbi të cilat punon Cisco ISE. Për ta thënë ndryshe, nuk flasim vetëm për switch-a, por këtu mund të jenë edhe kontrolerët e rrjetit wireless, VPN-koncentratorë dhe çdo pajisje tjetër që lidhet me përdoruesit. Në përvojën time, ka pasur raste kur pas një demonstrimi të sistemit për një implementim të plotë, klienti ka përditësuar pothuajse gjithë parkun e switch-ave të nivelit të aksesit në pajisje moderne Cisco. Për t'u shmangur surprizave të pakëndshme, është e këshillueshme të zbulohet paraprakisht përqindja e pajisjeve të padështijshme.
A janë të gjitha pajisjet tuaja standard?
NĂ« çdo rrjet ka pajisje standarde, lidhja e tĂ« cilave nuk duhet tĂ« shkaktojĂ« probleme: vendet e punĂ«s tĂ« automatizuara, telefonat IP, pikat e qasjes Wi-Fi, kamerat e videove dhe kĂ«shtu me radhĂ«. Por ndodhin raste, qĂ« nĂ« LAN duhet tĂ« lidhen pajisje jo standarde, pĂ«r shembull, konvertues tĂ« sinjaleve tĂ« autobusit RS232/Ethernet, interfaca tĂ« burimeve tĂ« energjisĂ« sĂ« padiskutueshme, pajisje teknologjike tĂ« ndryshme, etj. ĂshtĂ« e rĂ«ndĂ«sishme tĂ« pĂ«rcaktohet lista e kĂ«tyre pajisjeve paraprakisht, pĂ«r t'u siguruar qĂ« nĂ« fazĂ«n e implementimit tĂ« keni njĂ« kuptim se si ato do tĂ« funksionojnĂ« teknikisht me Cisco ISE.
Dialog konstruktiv me IT-në
Shpesh, përdoruesit e Cisco ISE janë departamentet e sigurisë, ndërsa për konfigurimin e switch-ave të nivelit të aksesit dhe Active Directory zakonisht përgjigjen departamentet IT. Prandaj, një ndërveprim produktiv mes sigurtarëve dhe IT-së është një nga kushtet e rëndësishme për një implementim të suksesshëm të sistemit. Nëse të fundit e perceptojnë integrimin 'me armë', është e rëndësishme t'u shpjegosh atyre se si zgjidhja do të jetë e dobishme për departamentin IT.
Top 5 raste përdorimi të Cisco ISE
Nga përvoja jonë, funksionaliteti i nevojshëm i sistemit gjithashtu identifikohet gjatë fazës testuese pilot. Më poshtë janë disa nga rastet më të njohura dhe më pak të zakonshme të përdorimit të zgjidhjes.
Qasje e sigurt në LAN përmes kabllor me EAP-TLS
Sipas rezultateve të hulumtimeve të pëntesterëve tanë, shpesh për të infiltruar rrjetin e një kompanie, sulmuesit përdorin prizat e zakonshme, të cilat janë të lidhura me printera, telefona, kamera IP, pikë Wi-Fi dhe pajisje të tjera jo personale të rrjetit. Prandaj, edhe nëse qasja në rrjet sigurohet me teknologjinë dot1x, nëse përdoren protokolle alternative pa përdorimin e certifikatave të konfirmimit të autentikimit të përdoruesve, është shumë e mundshme që të ndodhë një sulm i suksesshëm me kapjen e sesioneve dhe brute-forcing të fjalëkalimeve. Në rastin e Cisco ISE, për të thyer certifikatën do të jetë shumë më e vështirë - për këtë, hakerët do të kenë nevojë për shumë më shumë kapacitet kompjuterik, kështu që ky rast është mjaft efektiv.
Qasja Pa Fije Dual-SSID
Essenca e këtij skenari përfshin përdorimin e 2 identifikatorëve të rrjetit (SSID). Njëri nga ata mund të quhet sipas zakonit "gost". Nëpërmjet tij, në rrjetin pa fije mund të hyjnë si vizitorët ashtu edhe punonjësit e kompanisë. Të fundit, në përpjekjen për t'u lidhur, ridrejtohen në një portal të veçantë, ku ndodh provizionimi. Kjo do të thotë se përdoruesit u jepet një certifikat dhe bëhet konfigurimi i pajisjes së tij personale për ricopëzim automatik në SSID të dytë, ku tashmë përdoret EAP-TLS me të gjitha avantazhet e rastit të parë.
Shkëputja e Autentifikimit MAC dhe profilizimi
Një rast tjetër popullor përfshin përcaktimin automatik të llojit të pajisjes që është e lidhur dhe aplikimin e kufizimeve të duhura për të. Pse është ky interesant? Fakti është se ende ka shumë pajisje që nuk mbështesin autentifikimin nëpërmjet protokollit 802.1X. Prandaj, për të lejuar që këto pajisje të lidhen me rrjetin, ato duhet të lejojnë sipas adresës MAC, e cila është mjaft e lehtë për t'u falsifikuar. Këtu vjen në ndihmë Cisco ISE: përmes sistemit mund të shohim se si pajisja sillet në rrjet, të krijojmë profilin e saj dhe të vendosim atë në përputhje me një grup pajisjesh të tjera, për shembull, telefon IP dhe një stacion pune. Kur një sulmues përpiqet të falsifikojë adresën MAC dhe të lidhë në rrjet, sistemi do të shohë se profili i pajisjes ka ndryshuar, do të dërgojë një sinjal për sjellje të dyshimtë dhe nuk do të lejojë përdoruesin e dyshimtë në rrjet.
EAP-Chaining
Tehnologjia EAP-Chaining nënkupton autenticimin e radhës të PC-së së punës dhe llogarisë së përdoruesit. Ky rast ka marrë përhapje të gjerë, pasi në shumë kompani ende nuk është e pranuar lidhja e pajisjeve personale të punonjësve me rrjetin korporativ. Duke përdorur një qasje të tillë për autentikimin, është e mundur të kontrollohet nëse një stacion pune i caktuar është pjesë e domeneve, dhe në rast negativ, përdoruesi ose nuk do të hyjë në rrjet, ose do të hyjë, por me disa kufizime.
Posturimi
NĂ« kĂ«tĂ« rast, Ă«shtĂ« fjala pĂ«r vlerĂ«simin e pĂ«rputhshmĂ«risĂ« sĂ« pĂ«rbĂ«rjes sĂ« softuerit tĂ« stacionit tĂ« punĂ«s me kĂ«rkesat e sigurisĂ« kibernetike. Me kĂ«tĂ« teknologji, mund tĂ« kontrollohet nĂ«se softueri nĂ« stacionin e punĂ«s Ă«shtĂ« i pĂ«rditĂ«suar, nĂ«se janĂ« instaluar mjetet e mbrojtjes, nĂ«se Ă«shtĂ« konfigurimi i firewall-it tĂ« hostit etj. ĂshtĂ« interesante se kjo teknologji gjithashtu lejon zgjidhjen e detyrave tĂ« tjera, qĂ« nuk janĂ« tĂ« lidhura me sigurinĂ«, pĂ«r shembull, tĂ« kontrollohet pranimi i skedarĂ«ve tĂ« nevojshĂ«m ose instalimi i softuerĂ«ve tĂ« sistemit tĂ« pĂ«rgjithshĂ«m.
Shpesh hasen edhe skenarë të tjerë të përdorimit të Cisco ISE, si kontrolli i aksesit përmes autentikimit të domeneve pasiv (Passive ID), mikrosigurtimi i bazuar në SGT dhe filtrimi, si dhe integrimi me sistemet e menaxhimit të pajisjeve mobile (MDM) dhe skanerët e vulnerabiliteteve (Vulnerability Scanner).
Projekte jo standarde: për çfarë tjetër mund të nevojitet Cisco ISE, ose 3 raste të rrallë nga praktika jonë
Kontrolli i aksesit në Serverët me bazë Linux
NjĂ« herĂ« we zgjidhĂ«m njĂ« rast mjaft tĂ« veçantĂ« pĂ«r njĂ« prej klientĂ«ve tanĂ«, i cili tashmĂ« kishte implementuar sistemin Cisco ISE: na duhej tĂ« gjejmĂ« njĂ« mĂ«nyrĂ« pĂ«r tĂ« kontrolluar veprimet e pĂ«rdoruesve (nĂ« shumicĂ«n e rastĂ«ve kjo ishin administratorĂ«t) nĂ« serverĂ«t me sistemin operativ Linux tĂ« instaluar. NĂ« kĂ«rkimin e pĂ«rgjigjes na erdhi ideja pĂ«r tĂ« angazhuar softuerin e lirĂ« PAM Radius Module, i cili lejon hyrjen nĂ« serverat nĂ«n menaxhimin e Linux me autentifikimin nĂ« njĂ« server radius tĂ« jashtĂ«m. E gjithĂ« kjo do tĂ« ishte mirĂ«, nĂ«se jo pĂ«r njĂ« 'por': serveri radius, duke dĂ«rguar pĂ«rgjigje pĂ«r kĂ«rkesĂ«n pĂ«r autentifikim, jep vetĂ«m emrin e llogarisĂ« dhe rezultatin â assess accepted ose assess rejected. MegjithatĂ«, pĂ«r autorizimin nĂ« Linux duhet tĂ« caktohet tĂ« paktĂ«n njĂ« parametĂ«r tjetĂ«r â home directory, nĂ« mĂ«nyrĂ« qĂ« pĂ«rdoruesi tĂ« paktĂ«n tĂ« ketĂ« njĂ« vend pĂ«r tĂ« shkuar. Ne nuk gjetĂ«m njĂ« mĂ«nyrĂ« pĂ«r ta dĂ«rguar kĂ«tĂ« si atribut radius, prandaj shkruam njĂ« skript tĂ« veçantĂ« pĂ«r krijimin e mĂ«njanuar tĂ« llogarive nĂ« hostĂ«t nĂ« njĂ« mĂ«nyrĂ« gjysmĂ« automatike. Kjo detyrĂ« ishte mjaft e realizueshme, pasi patĂ«m tĂ« bĂ«jmĂ« me llogaritĂ« e administratorĂ«ve, numri i tĂ« cilĂ«ve nuk ishte aq i madh. MĂ« pas, pĂ«rdoruesit hynin nĂ« pajisjen e nevojshme, pas sĂ« cilĂ«s u caktohej akses i nevojshĂ«m. Merrni nĂ« konsideratĂ« njĂ« pyetje tĂ« arsyeshme: a Ă«shtĂ« me tĂ« vĂ«rtetĂ« e nevojshme tĂ« pĂ«rdoret Cisco ISE nĂ« raste tĂ« tilla? NĂ« tĂ« vĂ«rtetĂ« jo â çdo server radius do tĂ« ishte i pĂ«rshtatshĂ«m, por pasi klienti ynĂ« tashmĂ« kishte kĂ«tĂ« sistem, ne thjesht e shtuam njĂ« funksion tĂ« ri mbi tĂ«.
Inventarizimi i "harduerit" dhe softuerit në LAN
NjĂ« herĂ« ishim duke punuar nĂ« njĂ« projekt pĂ«r furnizimin e Cisco ISE pĂ«r njĂ« klient pa njĂ« "pilot" paraprak. Nuk kishte kĂ«rkesa tĂ« qarta pĂ«r zgjidhjen, dhe pĂ«rveç kĂ«saj, ne kishim tĂ« bĂ«nim me njĂ« rrjet tĂ« sheshtĂ«, pa segmente, qĂ« e komplikonte detyrĂ«n tonĂ«. GjatĂ« projektit, ne konfiguramĂ« tĂ« gjitha metodat e mundshme tĂ« profilizimit qĂ« rrjeti mbĂ«shteste: NetFlow, DHCP, SNMP, integrim me AD, etj. NĂ« fund, u konfigurua akses pĂ«rmes MAR me mundĂ«sinĂ« pĂ«r tĂ« hyrĂ« nĂ« rrjet edhe nĂ« rast tĂ« dĂ«shtimit tĂ« autentikimit. KĂ«shtu, edhe nĂ«se autentikimi nuk ishte i suksesshĂ«m, sistemi pĂ«rsĂ«ri e lejonte pĂ«rdoruesin nĂ« rrjet, mbledhĂ« informacion rreth tij dhe e regjistronte atĂ« nĂ« databazĂ«n ISE. Ky monitorim i rrjetit pĂ«r disa javĂ« na ndihmoi tĂ« identifikonim sistemet e lidhura dhe pajisjet jo personale dhe tĂ« zhvillonim njĂ« qasje pĂ«r segmentimin e tyre. Pas kĂ«saj, ne gjithashtu konfiguramĂ« njĂ« skenar pĂ«r instalimin e agjentit nĂ« stacionet e punĂ«s me qĂ«llim tĂ« mbledhjes sĂ« informacionit mbi softuerin e instaluar nĂ« to. ĂfarĂ« arritĂ«m? Na arriti tĂ« segmentojmĂ« rrjetin dhe tĂ« pĂ«rcaktojmĂ« listĂ«n e softuerĂ«ve qĂ« duhej tĂ« hiqeshin nga stacionet e punĂ«s. Nuk do ta fsheh, detyrat e mĂ«tejshme pĂ«r shpĂ«rndarjen e pĂ«rdoruesve nĂ« grupe domeni dhe ndarjen e tĂ« drejtave tĂ« aksesit na morĂ«n mjaft kohĂ«, por kĂ«shtu e morĂ«m njĂ« pamje tĂ« plotĂ« tĂ« asaj se çfarĂ« "hardueri" kishte klienti nĂ« rrjet. PĂ«r ta thĂ«nĂ« tĂ« drejtĂ«n, kjo nuk ishte e vĂ«shtirĂ« falĂ« punĂ«s sĂ« mirĂ« tĂ« profilizimit "nga kutia". NdĂ«rkohĂ«, atje ku profilizimi nuk ndihmoi, ne e shqyrtuam vetĂ«, duke identifikuar portin e switch-it tĂ« lidhur me pajisjet.
Instalimi në distancë i softuerit në stacionet e punës
Ky kĂ«tĂ« rast Ă«shtĂ« njĂ« nga mĂ« tĂ« çuditshmit nĂ« praktikĂ«n time. NjĂ« herĂ« njĂ« klient erdhi te ne me njĂ« thirrje pĂ«r ndihmĂ« â gjatĂ« implementimit tĂ« Cisco ISE, diçka shkoi keq, gjithçka u prish dhe askush nuk mundi mĂ« tĂ« hynte nĂ« rrjet. Filluam tĂ« shqyrtonim situatĂ«n dhe zbuluam sa vijon. NĂ« kompani ishin 2000 kompjuterĂ«, administrimi i tĂ« cilĂ«ve, pĂ«r shkak tĂ« mungesĂ«s sĂ« kontrolluesit tĂ« domenit, bĂ«hej nĂ«n llogarinĂ« e administratorit. Me qĂ«llim qĂ« tĂ« realizohej njĂ« audt, nĂ« organizatĂ« u implementua Cisco ISE. Duhej nĂ« njĂ« farĂ« mĂ«nyre tĂ« kuptohej nĂ«se nĂ« PC-tĂ« ekzistuese ishte instaluar antivirus, nĂ«se mjedisi i programit ishte i pĂ«rditĂ«suar, etj. Dhe pasi qĂ« pajisjet rrjetore ishin pĂ«rshtatur nga administratoret e TI-sĂ«, ishte logjike qĂ« ata tĂ« kishin qasje nĂ« tĂ«. Duke parĂ« se si funksiononte ajo dhe duke realizuar audt tĂ« PC-ve tĂ« tyre, administratorĂ«t arritĂ«n tĂ« instalonin softuer nĂ« stacionet e punĂ«s tĂ« punonjĂ«sve nĂ« distancĂ« pa vizita personale. VetĂ«m imagjinoni se sa hapa mund tĂ« kursehen nĂ« ditĂ«! AdministratorĂ«t bĂ«nĂ« disa kontrollime tĂ« ARM pĂ«r praninĂ« e njĂ« skedari tĂ« caktuar nĂ« drejtorinĂ« C:Program Files, dhe nĂ« mungesĂ« tĂ« tij, fillonte automatikisht njĂ« proces riparimi me kalim nĂ« njĂ« lidhje qĂ« çonte nĂ« njĂ« ruajtje skedarĂ«sh pĂ«r skedarin instalues .exe. Kjo i lejoi pĂ«rdoruesit e zakonshĂ«m tĂ« hynin nĂ« ruajtjen e skedarĂ«ve dhe tĂ« shkarkonin atje softuerin e nevojshĂ«m. FatkeqĂ«sisht, administratorit i ishte bĂ«rĂ« vonĂ« njohur me sistemin ISE dhe dĂ«mtoi mekanizmat e audt-it â shkroi gabim politikĂ«n, gjĂ« qĂ« e çoi nĂ« problemin qĂ« na angazhoi. Personalish, jam sinqerisht i habitur me kĂ«tĂ« qasje kaq krijuese, sepse do tĂ« kishte qenĂ« shumĂ« mĂ« e lirĂ« dhe mĂ« pak e lodhshme tĂ« krijohej njĂ« kontrollues domeni. Por si provĂ« e konceptit, kjo funksionoi.
Më shumë rreth nuancave teknike që lindin gjatë implementimit të Cisco ISE, lexoni në artikullin e kolegut tim. .
Artem Bobrikov, inxhinier-projektues në Qendrën e Sigurisë Informative të kompanisë 'Infosistemat Jet'
Pasthënie:
Megjithëse ky post tregon për sistemin Cisco ISE, problematika e përshkruar është relevante për të gjithë klasën e zgjidhjeve NAC. Nuk ka rëndësi se çfarë zgjidhjeje të një prodhuesi planifikohet të implementohet, pjesa më e madhe e asaj që u tha më parë do të mbetet e aplikueshme.
Burimi: habr.com
