Izsó Krisztián Péti Zoltán. Cisco Identity Services Engine

Méret: px

Mutatás kezdődik a ... oldaltól:

Download "Izsó Krisztián Péti Zoltán. Cisco Identity Services Engine"

Sarolta Gréta Hegedűs
5 évvel ezelőtt
Látták:

1 Izsó Krisztián Péti Zoltán Cisco Identity Services Engine

2 Bevezetés Szakképzett informatikusok számának növekedése Biztonságosnak tűnő rendszerek jobb átláthatósága Sérülékenységek, hibák napvilágra kerülése Vállalati és otthoni környezet érintettsége Felbecsülhetetlen károk Fokozott IT Biztonság igénye

3 Kezdetleges védekezési formák Víruskereső Tűzfal - Szoftver / Hardver

4 Kár érték Otthoni Kis vállalat Nagy vállalat

5 Biztonsági rés A céges privát hálózat Felépítése Hozzáférhetősége

6 Mobil eszközök a vállalatban Notebook Okostelefon ipad

7 Egy lehetséges megoldás Kinek? Közép- és Nagyvállalatok számára Mit ad? OSI modell alsó rétegeitől induló védelmet Mobilitás támogatását Mi ez? Cisco ISE

8 Mobilitás építőkövei Elérhetőség Internet kapcsolat Épületen belüli vándorlás

9 Csatlakozás a hálózathoz LAN WiFi VPN

10 Engedély nélküli hozzáférés Vezetékes hálózaton Vezeték nélküli hálózaton

11 Vezetések hálózat védelme 1 Port letiltása ( admin shutdown ) Cisco Port-security feature Fix munkaállomásoknál kiszámítható, jó megoldás MAC cím klónozás problémája Mobil eszközöknél használhatatlan

12 Vezetések hálózat védelme 2 Port-alapú authentiká ció Hitelesítés hiányában semmilyen kommunikáció sem jöhet létre Centralizált hitelesítő szerver Hitelesítés RADIUS szerveren keresztül ISE rendszer alapköve Dot1x - MAB

13 Vezeték nélküli hálózat védelme Alapértelmezetten védtelen A megfelelő biztonságoz minimális szaktudás szükséges Kezdetleges védekezési lehetőségek SSID broadcast kikapcsolása Jelszavas hitelesítés, titkosítási algoritmusok Infrastrukturális tervezés Egységes Wifi infrastruktúra Vendég Wifi hálózat

14 CISCO ISE Jellemzők Csomópontok Logikai architektúra Logikai adatfolyam

15 Jellemzők Identitás alapú hozzáférés szabályzó rendszer Hitelesítendő eszköz / Felhasználó = Identitás 5 alapvető aspektus Authentikáció Rendszerelemzés Authorizáció Szolgáltatási szint Naplózás

16 Logikai architektúra Szolgáltatási csomópontokból áll Redundánsan telepíthető Központi admin felületen kezelhető minden

17 ISE logikai folyamat

18 ISE csomópontok Admin node ISE rendszer konfigurálása, web GUI Monitoring node Log gyűjtés, elemzések, hibakeresés, riportok Policy service node Felhasználók kiértékelése, vendég hozzáférés biztosítása, NAC agenttel kommunikál In-line posture node Wifi kontroller, VPN koncentrátor mögött Adatforgalom áthalad rajta Folyamatosan változó szabályok

19 ISE funkciók 802.1x authentikáció tanúsítványokkal Profilozás Mac Authentication Bypass Komponens elemzés Vendég regisztrációs rendszer

20 802.1x authentikáció tanúsítványokkal Dot1x switch platform OS beállítás Switch konfiguráció

21 Dot1x switchport konfig

22 Sikeres Dot1x auth

23 Mac Authentication Bypass Buta eszközök számára Sikertelen dot1x után javasolt MAC cím alapon hitelesít MAC cloning probléma?

24 MAB switch konfig

25 Sikeres MAB

26 Vendég regisztrációs rendszer Problémák Statikus jelszavak Sávszélesség pazarlás Megoldás Kettős portál rendszer : Szponzor - Vendég

27 Szponzor portál

28 Komponens elemzés A hitelesítendő eszköz biztonságos? Szándékos vagy nem szándékos károkozás Eszköz Kiértékelés ( NAC Agent ) Go / No Go!

29 Profilozás BYOD támogatása Dinamikus felismerés Eltérő szabályozás / eszköz Logikai csoportokba helyezés Hardver alapon : Apple, Blackberry OS alapon : Windows 7, MAC OS X, Win XP

30 Tanúsítványkezelés ISE alatt X.509-es szabvány User Machine

31 X.509-es tanúsítvány Publikus kulcsú infrastruktúrában a tanúsítványok feladata elsősorban egy adott publikus kulcs és az ahhoz tartozó titkos kulcs összekapcsolása. Ugyanakkor a tanúsítványoktól elvárjuk, hogy rendelkezzen mindazokkal a tulajdonságokkal, amikkel mondjuk egy személyi igazolvány vagy egy bankkártya. Elvárjuk, hogy az egyes személyek, szervezetek azonosítását, kezelését épp olyan, de inkább nagyobb biztonsággal el tudjuk végezni, mint ahogy azt az offline megfelelőikkel természetesen és magától értetődően tesszük. Elvárjuk tőlük mindazt a biztonságot és kényelmet és természetesen azt, hogy ezt a modern hálózati környezetben hajtsa végre. (Folláth János, 2011)

32 Tanúsítványok kezelése Több szintű hitelesítésre alkalmas Hitelesítő szerver feladata a tanúsítvány kiértékelése Megbízható CA állította ki? Lejárt? Visszavonták? Tanusítvány ( hitelesítés ) + Active Directory ( authorizáció )

33 Machine Tanúsítvány példa

34 User tanúsítvány példa

35 Folyamat összegzése Helytől független munkavégzés Machine cert. ( Hitelesítés ) User cert. ( Authorizáció ) Kettős kiértékelés Biztonságos hozzáférés

36 Teszteset 1 Normál működés Teszt alany : Nagy Ottó Modell: HP Elitbook 840 MAC cím: 64:51:06:A0:72:20 Tartományi felhasználónév: Otto.Nagy@xyz.com

37 Switch konfig

38 Sikeres Hitelesítés

39 Machine auth logok

40 User Auth logok

41 Teszteset 2 Lopott notebook Hackelt admin jelszó Kísérlet a céges hálózatra való csatlakoztatásra

42 Machine auth

43 Tört Admin jelszó után

44 Sikertelen hitelesítés

45 Teszteset 3 Idegen notebook Tetszőleges felhasználónév Modell: Fujitsu-Siemens S7210 MAC cím: 00:17:42:79:87:51 Tartományi felhasználónév: Aladar.Kocsis@kertemkft.com

46 Switchport - MAC

47 Nem létező machine tanúsítvány

48 ISE logok

49 ISE rendszer összefoglalás ISE Dinamikus Skálázható Biztonságos Komplex, erőforrás igényes

50 Kérdések

51 Köszönjük a figyelmet

Hasonló dokumentumok

Cisco ISE megoldások. Balatonalmádi, 2014. február 27. Détári Gábor, senior rendszermérnök detari.gabor@t-systems.hu

Cisco ISE megoldások. Balatonalmádi, 2014. február 27. Détári Gábor, senior rendszermérnök detari.gabor@t-systems.hu Cisco ISE megoldások Balatonalmádi, 2014. február 27. Détári Gábor, senior rendszermérnök detari.gabor@t-systems.hu TARTALOM 1 2 3 Motivációk Aggasztó kérdések, belépési pontok Régi és új típusú megoldások