Тестирање ће показати: како се припремити за имплементацију Цисцо ИСЕ и разумети које функције система су вам потребне

Колико често купујете нешто спонтано, подлегнувши кул реклами, а онда овај првобитно жељени предмет скупља прашину у ормару, остави или гаражи до следећег пролећног чишћења или селидбе? Резултат је разочарење због неоправданих очекивања и баченог новца. Много је горе када се ово деси неком послу. Врло често су маркетиншки трикови толико добри да компаније купују скупо решење, а да не виде пуну слику његове примене. У међувремену, пробно тестирање система помаже да се разуме како припремити инфраструктуру за интеграцију, које функционалности и у којој мери треба имплементирати. На тај начин можете избећи велики број проблема због избора производа „на слепо“. Поред тога, имплементација након компетентног "пилот-а" ће инжењерима донети много мање уништених нервних ћелија и седе косе. Хајде да схватимо зашто је пилот тестирање толико важно за успешан пројекат, користећи пример популарног алата за контролу приступа корпоративној мрежи - Цисцо ИСЕ. Хајде да размотримо и стандардне и потпуно нестандардне опције за коришћење решења на које смо наишли у нашој пракси.

Цисцо ИСЕ - „Радиус сервер на стероидима“

Цисцо Идентити Сервицес Енгине (ИСЕ) је платформа за креирање система контроле приступа за локалну мрежу организације. У стручној заједници, производ је због својих својстава добио надимак „Радиус сервер на стероидима“. Зашто је то? У суштини, решење је Радиус сервер, на који је прикачен огроман број додатних услуга и „трикова“, који вам омогућавају да примите велику количину контекстуалних информација и примените резултујући скуп података у политикама приступа.

Као и сваки други Радиус сервер, Цисцо ИСЕ ступа у интеракцију са мрежном опремом на нивоу приступа, прикупља информације о свим покушајима да се повеже на корпоративну мрежу и, на основу смерница за аутентификацију и ауторизацију, дозвољава или одбија корисницима приступ ЛАН-у. Међутим, могућност профилисања, постављања и интеграције са другим решењима за информациону безбедност омогућава значајно компликовање логике политике ауторизације и тиме решавање прилично тешких и занимљивих проблема.

Имплементација се не може пилотирати: зашто вам је потребно тестирање?

Вредност пилот тестирања је да демонстрира све могућности система у специфичној инфраструктури одређене организације. Верујем да пилотирање Цисцо ИСЕ-а пре имплементације користи свима који су укључени у пројекат, а ево и зашто.

Ово даје интеграторима јасну представу о очекивањима купаца и помаже у стварању исправне техничке спецификације која садржи много више детаља од уобичајене фразе „уверите се да је све у реду“. „Пилот“ нам омогућава да осетимо сав бол купца, да разумемо који задаци су за њега приоритетни, а који секундарни. За нас је ово одлична прилика да унапред схватимо која опрема се користи у организацији, како ће се имплементација одвијати, на којим локацијама, где се налазе и тако даље.

Током пилот тестирања, купци виде прави систем у акцији, упознају се са његовим интерфејсом, могу да провере да ли је компатибилан са њиховим постојећим хардвером и стекну холистичко разумевање како ће решење функционисати након потпуне имплементације. „Пилот“ је управо тренутак када можете да видите све замке на које ћете вероватно наићи током интеграције и одлучити колико лиценци треба да купите.
Шта може да "искочи" током "пилота"

Дакле, како се правилно припремити за имплементацију Цисцо ИСЕ? Из нашег искуства, избројали смо 4 главне тачке које је важно узети у обзир током пилот тестирања система.

Фактор форме

Прво, морате одлучити у ком фактору форме ће систем бити имплементиран: физички или виртуелни уплине. Свака опција има предности и недостатке. На пример, снага физичког уплине-а је његова предвидљива перформанса, али не смемо заборавити да такви уређаји временом застаревају. Виртуелни успони су мање предвидљиви јер... зависе од хардвера на коме је распоређено окружење виртуелизације, али имају озбиљну предност: ако је подршка доступна, увек се могу ажурирати на најновију верзију.

Да ли је ваша мрежна опрема компатибилна са Цисцо ИСЕ?

Наравно, идеалан сценарио би био да се сва опрема повеже на систем одједном. Међутим, то није увек могуће јер многе организације и даље користе неуправљане прекидаче или прекидаче који не подржавају неке од технологија које покрећу Цисцо ИСЕ. Иначе, не говоримо само о прекидачима, то могу бити и бежични мрежни контролери, ВПН концентратори и било која друга опрема на коју се корисници повезују. У мојој пракси је било случајева када је, након демонстрације система за пуну имплементацију, купац надоградио скоро целу флоту прекидача нивоа приступа на савремену Цисцо опрему. Да бисте избегли непријатна изненађења, вреди унапред сазнати удео неподржане опреме.

Да ли су сви ваши уређаји стандардни?

Свака мрежа има типичне уређаје на које не би требало бити тешко повезати се: радне станице, ИП телефоне, Ви-Фи приступне тачке, видео камере и тако даље. Али такође се дешава да на ЛАН треба да се повежу нестандардни уређаји, на пример претварачи сигнала РС232/Етернет магистрале, интерфејси за беспрекидно напајање, различита технолошка опрема итд. Важно је унапред одредити листу таквих уређаја. , тако да у фази имплементације већ имате разумевање како ће технички радити са Цисцо ИСЕ.

Конструктиван дијалог са ИТ стручњацима

Корисници Цисцо ИСЕ-а су често одељења за безбедност, док су ИТ одељења обично одговорна за конфигурисање прекидача приступног слоја и активног именика. Стога је продуктивна интеракција између стручњака за безбедност и ИТ стручњака један од важних услова за безболну имплементацију система. Ако ови други доживљавају интеграцију са непријатељством, вреди им објаснити како ће решење бити корисно ИТ одељењу.

5 најбољих случајева употребе Цисцо ИСЕ

Према нашем искуству, потребна функционалност система се такође идентификује у фази пилот тестирања. Испод су неки од најпопуларнијих и мање уобичајених случајева употребе решења.

Безбедан ЛАН приступ преко жице са ЕАП-ТЛС

Како показују резултати истраживања наших пентестера, прилично често за продор у мрежу компаније, нападачи користе обичне утичнице на које су повезани штампачи, телефони, ИП камере, Ви-Фи тачке и други нелични мрежни уређаји. Стога, чак и ако је приступ мрежи заснован на дот1к технологији, али се алтернативни протоколи користе без коришћења сертификата за аутентификацију корисника, постоји велика вероватноћа успешног напада са пресретања сесије и бруте-форце лозинки. У случају Цисцо ИСЕ, биће много теже украсти сертификат - за то ће хакерима бити потребно много више рачунарске снаге, тако да је овај случај веома ефикасан.

Дуал-ССИД бежични приступ

Суштина овог сценарија је коришћење 2 идентификатора мреже (ССИД). Један од њих се условно може назвати "гост". Преко њега и гости и запослени у компанији могу приступити бежичној мрежи. Када покушају да се повежу, потоњи се преусмеравају на посебан портал где се врши обезбеђивање. То јест, кориснику се издаје сертификат и његов лични уређај је конфигурисан да се аутоматски поново повеже на други ССИД, који већ користи ЕАП-ТЛС са свим предностима првог случаја.

Заобилазак и профилисање МАЦ аутентикације

Још један популаран случај употребе је аутоматско откривање типа уређаја који се повезује и примена исправних ограничења на њега. Зашто је занимљив? Чињеница је да још увек постоји доста уређаја који не подржавају аутентификацију помоћу 802.1Кс протокола. Због тога се такви уређаји морају пустити на мрежу користећи МАЦ адресу, што је прилично лако лажирати. Ту у помоћ прискаче Цисцо ИСЕ: уз помоћ система можете видети како се уређај понаша на мрежи, креирати његов профил и доделити га групи других уређаја, на пример, ИП телефону и радној станици . Ако нападач покуша да лажира МАЦ адресу и повеже се на мрежу, систем ће видети да се профил уређаја променио, сигнализираће сумњиво понашање и неће дозволити сумњивом кориснику да уђе у мрежу.

ЕАП-Цхаининг

ЕАП-Цхаининг технологија укључује секвенцијалну аутентификацију радног рачунара и корисничког налога. Овај случај је постао широко распрострањен јер... Многе компаније још увек не подстичу повезивање личних гаџета запослених са корпоративном ЛАН мрежом. Коришћењем овог приступа аутентификацији могуће је проверити да ли је одређена радна станица члан домена, а ако је резултат негативан, корисник или неће бити пуштен у мрежу, или ће моћи да уђе, али уз одређене Ограничења.

Постуринг

Овај случај се односи на процену усклађености софтвера радне станице са захтевима безбедности информација. Помоћу ове технологије можете проверити да ли је софтвер на радној станици ажуриран, да ли су на њему инсталиране безбедносне мере, да ли је конфигурисан заштитни зид хоста итд. Занимљиво је да ова технологија такође омогућава решавање других задатака који нису повезани са безбедношћу, на пример, провера присуства потребних датотека или инсталирање софтвера за читав систем.

Мање уобичајени случајеви употребе за Цисцо ИСЕ укључују контролу приступа са енд-то-енд аутентификацијом домена (пасивни ИД), микро-сегментацију и филтрирање засновано на СГТ-у, као и интеграцију са системима за управљање мобилним уређајима (МДМ) и скенерима рањивости.

Нестандардни пројекти: зашто би вам иначе можда требао Цисцо ИСЕ, или 3 ретка случаја из наше праксе

Контрола приступа серверима заснованим на Линук-у

Једном смо решавали прилично нетривијалан случај за једног од купаца који су већ имали имплементиран Цисцо ИСЕ систем: морали смо да пронађемо начин да контролишемо радње корисника (углавном администратора) на серверима са инсталираним Линуком. У потрази за одговором, дошли смо на идеју да користимо бесплатни софтвер ПАМ Радиус Модуле, који вам омогућава да се пријавите на сервере који раде на Линук-у са аутентификацијом на екстерном радијус серверу. Све би у том погледу било добро, да не постоји једно „али“: радијус сервер, који шаље одговор на захтев за аутентификацију, даје само име налога и резултат - процени прихваћено или процени одбијено. У међувремену, за ауторизацију у Линуксу, потребно је да доделите бар још један параметар - кућни директоријум, како би корисник бар негде стигао. Нисмо пронашли начин да ово дамо као атрибут радијуса, па смо написали посебну скрипту за даљинско креирање налога на хостовима у полуаутоматском режиму. Овај задатак је био сасвим изводљив, пошто смо радили са администраторским налозима, чији број није био тако велики. Затим су се корисници пријавили на тражени уређај, након чега им је додељен неопходан приступ. Поставља се разумно питање: да ли је у таквим случајевима неопходно користити Цисцо ИСЕ? У ствари, не - било који радијус сервер ће послужити, али пошто је корисник већ имао овај систем, једноставно смо му додали нову функцију.

Инвентар хардвера и софтвера на ЛАН-у

Једном смо радили на пројекту снабдевања Цисцо ИСЕ једног купца без прелиминарног „пилот-а“. Није било јасних захтева за решење, плус радили смо са равном, несегментираном мрежом, што је компликовало наш задатак. Током пројекта смо конфигурисали све могуће методе профилисања које мрежа подржава: НетФлов, ДХЦП, СНМП, АД интеграција итд. Као резултат тога, МАР приступ је конфигурисан са могућношћу пријаве на мрежу ако аутентификација није успела. Односно, чак и да аутентификација није успела, систем би и даље дозволио кориснику да уђе у мрежу, прикупио информације о њему и забележио их у ИСЕ бази података. Ово праћење мреже током неколико недеља помогло нам је да идентификујемо повезане системе и неличне уређаје и развијемо приступ за њихово сегментирање. Након овога, додатно смо конфигурисали постављање да инсталирамо агента на радне станице како бисмо прикупили информације о софтверу који је на њима инсталиран. Шта је резултат? Успели смо да сегментирамо мрежу и одредимо листу софтвера који је требало уклонити са радних станица. Нећу да кријем да су нам даљи задаци дистрибуције корисника у групе домена и разграничења права приступа одузимали доста времена, али смо на тај начин добили комплетну слику о томе какав хардвер корисник има на мрежи. Узгред, ово није било тешко због доброг рада профилисања из кутије. Па, тамо где профилисање није помогло, погледали смо сами, истичући свич порт на који је опрема повезана.

Даљинска инсталација софтвера на радним станицама

Овај случај је један од најчуднијих у мојој пракси. Једног дана, купац нам је дошао са вапајем за помоћ - нешто је пошло по злу приликом имплементације Цисцо ИСЕ, све је покварено и нико други није могао да приступи мрежи. Почели смо да га испитујемо и сазнали смо следеће. Компанија је имала 2000 рачунара, којима се, у недостатку контролера домена, управљало под администраторским налогом. За потребе пееринга, организација је имплементирала Цисцо ИСЕ. Требало је некако разумети да ли је на постојећим рачунарима инсталиран антивирус, да ли је ажурирано софтверско окружење итд. А пошто су ИТ администратори инсталирали мрежну опрему у систем, логично је да су јој имали приступ. Након што су видели како то функционише и улепшали своје рачунаре, администратори су дошли на идеју да инсталирају софтвер на радним станицама запослених на даљину без личних посета. Замислите само колико корака дневно можете уштедети на овај начин! Администратори су извршили неколико провера радне станице ради присуства одређене датотеке у директоријуму Ц:Програм Филес, а ако је није било, покренута је аутоматска санација праћењем везе која води до складишта датотека до инсталационе .еке датотеке. Ово је омогућило обичним корисницима да оду на дељење датотека и одатле преузму неопходан софтвер. Нажалост, администратор није добро познавао ИСЕ систем и оштетио механизме објављивања - погрешно је написао политику, што је довело до проблема у чијем решавању смо били укључени. Лично сам искрено изненађен оваквим креативним приступом, јер би било много јефтиније и мање радно интензивно направити контролер домена. Али као доказ концепта то је успело.

Прочитајте више о техничким нијансама које се јављају приликом имплементације Цисцо ИСЕ у чланку мог колеге „Пракса имплементације Цисцо ИСЕ-а. Инжењерски поглед".

Артем Бобриков, пројектант Центра за безбедност информација у Јет Инфосистемс

Афтерворд:
Упркос чињеници да овај пост говори о Цисцо ИСЕ систему, описани проблеми су релевантни за целу класу НАЦ решења. Није толико важно које решење добављача је планирано за имплементацију - већина горе наведеног ће остати применљива.

Извор: ввв.хабр.цом