テストでは、Cisco ISEの実装を準備し、必要なシステムの機能を理解する方法を示します。

クールな広告に屈して、自発的に何かを購入する頻度はどれくらいですか？それから、この最初に望まれたものは、次の一般的な掃除または移動まで、クローゼット、パントリー、またはガレージにほこりを集めますか？ 結果として、不当な期待と無駄なお金による失望。 これがビジネスに起こると、さらに悪化します。 多くの場合、マーケティングのコツは非常に優れているため、企業はアプリケーションの全体像を見ずに高価なソリューションを取得します。 一方、システムの試用テストは、統合のためにインフラストラクチャを準備する方法、どの機能、どの程度実装する必要があるかを理解するのに役立ちます。 そのため、製品を「盲目的に」選択することによる膨大な数の問題を回避できます。 さらに、有能な「パイロット」の後の導入により、エンジニアは神経細胞や白髪の損傷がはるかに少なくなります。 企業ネットワークへのアクセスを制御する一般的なツールの例であるCisco ISEを使用して、パイロットテストがプロジェクトの成功にとって非常に重要である理由を見てみましょう。 私たちの実践で遭遇したソリューションを適用するための標準オプションと完全に非標準のオプションの両方を考えてみましょう。

Cisco ISE-「ステロイド上の半径サーバー」

Cisco Identity Services Engine（ISE）は、組織のローカルエリアネットワーク用のアクセス制御システムを作成するためのプラットフォームです。 専門家コミュニティでは、そのプロパティの製品は「Radius server on steroids」と呼ばれていました。 なぜそう 本質的に、ソリューションはRadiusサーバーであり、膨大な数の追加サービスと「チップ」がねじ込まれ、大量のコンテキスト情報を受け取り、結果のデータセットをアクセスポリシーに適用できます。



他のRadiusサーバーと同様に、Cisco ISEはアクセスレベルのネットワーク機器とやり取りし、企業ネットワークへのすべての接続試行に関する情報を収集し、認証および許可ポリシーに基づいて、LANへのユーザーアクセスを許可または拒否します。 ただし、プロファイリング、スケジューリング、他の情報セキュリティソリューションとの統合の可能性により、許可ポリシーのロジックが大幅に複雑化する可能性があり、それによりかなり困難で興味深いタスクが解決されます。

実装はパイロットできません ：なぜテストが必要なのですか？

パイロットテストの価値は、特定の組織の特定のインフラストラクチャでシステムのすべての機能を実証することにあります。 展開前にCisco ISEを試験運用することは、すべてのプロジェクト参加者に役立つと確信しています。そのためです。



インテグレーターにとって、これは顧客の期待の明確なアイデアを提供し、「すべてを大丈夫にする」という一般的なフレーズよりもはるかに多くの詳細を含む正しい技術タスクを策定するのに役立ちます。 「パイロット」により、顧客のすべての痛みを感じ、どのタスクが彼にとって優先的であり、どのタスクが二次的であるかを理解できます。 私たちにとって、これは組織で使用されている機器、実装方法、サイト、場所などを事前に把握する絶好の機会です。



パイロットテスト中に、顧客は実際のシステムの動作を確認し、インターフェイスに精通し、ハードウェアと互換性があるかどうかを確認し、完全な実装後のソリューションの動作の全体像を把握できます。 「パイロット」とは、統合中に発生する可能性のあるすべての「落とし穴」を確認し、購入する必要があるライセンス数を決定できる瞬間です。

「パイロット」中に「出現」できるもの

それでは、Cisco ISEの実装にどのように準備しますか？ 私たちの経験から、システムのパイロットテストのプロセスで考慮する必要がある4つの主要なポイントをカウントしました。

フォームファクター

最初に、システムを実装するフォームファクター（物理または仮想）を決定する必要があります。 各オプションには長所と短所があります。 たとえば、物理的なアップライニングの強さは予測されるパフォーマンスですが、そのようなデバイスが時間とともに廃止されることを忘れてはなりません。 仮想の隆起はあまり予測できない それらは、仮想化環境が展開されている機器に依存しますが、同時に深刻なプラスもあります。サポートがあれば、いつでも最新バージョンに更新できます。

ネットワーク機器はCisco ISEと互換性がありますか？

もちろん、理想的なシナリオは、すべての機器を一度にシステムに接続することです。 ただし、多くの組織では管理されていないスイッチまたはCisco ISEが実行されている一部のテクノロジーをサポートしていないスイッチを使用しているため、これは常に可能とは限りません。 ちなみに、これはスイッチだけでなく、ワイヤレスネットワークコントローラー、VPNコンセントレーター、およびユーザーが接続するその他の機器でもあります。 私の実務では、システムを完全に実装するためのデモを行った後、顧客が最新のシスコ機器のアクセスレベルスイッチのほぼ全体を更新した場合がありました。 不快な驚きを避けるために、サポートされていない機器の割合を事前に決定することは価値があります。

すべてのデバイスは典型的ですか？

どのネットワークにも、ワークステーション、IP電話、Wi-Fiアクセスポイント、ビデオカメラなど、接続するのが難しくない典型的なデバイスがあります。 しかし、たとえばRS232 /イーサネットバス信号コンバーター、無停電電源装置インターフェース、さまざまな処理装置などの非標準デバイスをLANに接続する必要があることもあります。そのようなデバイスのリストを事前に決定して、実装段階で理解しておくことが重要です。どのように技術的にCisco ISEと連携するか。

IT専門家との建設的な対話

多くの場合、Cisco ISEのお客様はセキュリティ部門であり、通常、IT部門はアクセスレベルスイッチとActive Directoryの構成を担当します。 したがって、セキュリティとITの専門家の生産的なやり取りは、痛みのないシステム実装の重要な条件の1つです。 後者が「敵意を伴う」統合を認識する場合、IT部門にとってソリューションがどのように役立つかを説明する価値があります。

上位5つのCisco ISEユーザーケース

私たちの経験では、パイロットテスト段階で必要なシステム機能も検出されます。 以下は、このソリューションを使用する最も一般的であまり一般的でないケースの一部です。

EAP-TLSによる安全なLANアクセス

ペンテスターの調査結果が示すように、多くの場合、攻撃者は通常のソケットを使用して、プリンター、電話、IPカメラ、Wi-Fiポイント、その他の非個人的なネットワークデバイスが接続されている会社のネットワークに侵入します。 したがって、ネットワークへのアクセスがdot1xテクノロジーに基づいていても、ユーザー認証証明書を使用せずに代替プロトコルが使用される場合でも、セッションインターセプトとパスワードのブルートフォースによる攻撃が成功する可能性が高くなります。 Cisco ISEの場合、証明書を取得することははるかに困難になります。このため、ハッカーはより多くのコンピューティングパワーを必要とするため、このケースは非常に効果的です。

デュアルSSIDワイヤレスアクセス

このシナリオの本質は、2つのネットワーク識別子（SSID）を使用することです。 それらの1つは条件付きで「ゲスト」と呼ばれます。 これにより、ゲストと会社の従業員の両方がワイヤレスネットワークに入ることができます。 接続しようとすると、後者は特別なポータルにリダイレクトされ、そこでプロビジョニングが行われます。 つまり、証明書がユーザーに発行され、ユーザーの個人用デバイスは2番目のSSIDに自動的に再接続するように構成されます。SSIDは、最初のケースのすべての利点を備えたEAP-TLSを既に使用します。

MAC認証のバイパスとプロファイリング

別の一般的なケースは、接続するデバイスのタイプを自動的に決定し、それに適切な制限を適用することです。 彼はどのように面白いですか？ 実際、802.1Xプロトコルでの認証をサポートしていないデバイスはまだかなりあります。 したがって、そのようなデバイスをMACアドレスで起動する必要がありますが、これは非常に簡単に偽造できます。 ここで、Cisco ISEが助けになります。システムの助けを借りて、ネットワーク内でのデバイスの動作を確認し、プロファイルをコンパイルして、IP電話やワークステーションなどの他のデバイスのグループと一致させることができます。 攻撃者がMACアドレスをスプーフィングしてネットワークに接続しようとすると、システムはデバイスプロファイルが変更されたことを確認し、疑わしい動作を通知し、疑わしいユーザーをネットワークに入れません。

Eapチェーン

EAP-Chainingテクノロジーは、動作中のPCとユーザーアカウントの順次認証を意味します。 このケースは広まっています 多くの企業は、個人の従業員のガジェットを企業LANに接続することをまだ歓迎していません。 このアプローチを認証に使用すると、特定のワークステーションがドメインのメンバーであるかどうかを確認できます。結果が否定的である場合、ユーザーはネットワークにアクセスしたりログインしたりしませんが、特定の制限があります。

姿勢

この場合は、ワークステーションソフトウェアが情報セキュリティの要件に準拠しているかどうかを評価することです。 このテクノロジを使用すると、ワークステーション上のソフトウェアが更新されているか、セキュリティ機能がインストールされているか、ホストファイアウォールが構成されているかなどを確認できます。 興味深いことに、この技術を使用すると、たとえば、必要なファイルの存在の確認やシステム全体のソフトウェアのインストールなど、セキュリティに関連しない他のタスクを解決することもできます。



パススルードメイン認証（パッシブID）、SGTベースのマイクロセグメンテーションとフィルタリング、モバイルデバイス管理システム（MDM）および脆弱性スキャナー（脆弱性スキャナー）との統合などのCisco ISE使用シナリオもあまり一般的ではありません。

非標準プロジェクト：他にCisco ISEが必要な理由、または私たちの実践からの3つのまれなケース

Linuxサーバーのアクセス制御

すでにCisco ISEシステムを実装している顧客の1人のかなり重要なケースを解決したら、Linuxを実行しているサーバーでユーザーアクション（主に管理者）を制御する方法を見つける必要がありました。 答えを探して、無料のPAM Radius Moduleソフトウェアを使用するというアイデアを得ました。これにより、外部のRADIUSサーバーで認証されたLinuxベースのサーバーにログオンできます。 この点に関しては、すべてが適切ですが、認証要求に応答を送信するRADIUSサーバーは、アカウント名のみを返し、結果は評価され、評価されます。 一方、Linuxでの承認には、少なくとも1つ以上のパラメーター（ホームディレクトリ）を割り当てる必要があります。これにより、ユーザーが少なくともどこかにアクセスできるようになります。 これを半径属性として指定する方法が見つからなかったため、半自動モードでホストにアカウントをリモートで作成する特別なスクリプトを作成しました。 管理者アカウントを扱っていたので、このタスクはかなり実行可能でした。その数はそれほど多くありませんでした。 その後、ユーザーは必要なデバイスにアクセスし、その後、必要なアクセスが割り当てられました。 合理的な疑問が生じます。このような場合にCisco ISEを使用することは必須ですか？ 実際、いいえ-どんな半径のサーバーでもできますが、顧客はすでにこのシステムを持っているので、新しい機能を追加しました。

LAN内のハードウェアとソフトウェアのインベントリ

かつて「パイロット」なしで1人の顧客にCisco ISEを提供するプロジェクトに取り組んでいました。 ソリューションに対する明確な要件はなく、フラットでセグメント化されていないネットワークを扱っていたすべてのものがあったため、タスクが複雑になりました。 プロジェクト中に、ネットワークがサポートする可能なすべてのプロファイリング方法を構成しました：NetFlow、DHCP、SNMP、AD統合など。 その結果、MARアクセスは、認証が失敗した場合にネットワークに入る機能で構成されました。 つまり、認証が成功しなかった場合でも、システムはユーザーをネットワークに入れ、ユーザーに関する情報を収集し、それをISEデータベースに書き込みます。 このような数週間にわたるネットワークの監視は、プラグインシステムと非個人的なデバイスを識別し、それらのセグメンテーションへのアプローチを開発するのに役立ちました。 その後、ワークステーションにインストールされたソフトウェアに関する情報を収集するために、ワークステーションにエージェントをインストールするためのスケジューリングを追加で構成しました。 結果は何ですか？ ネットワークを分割し、ワークステーションから削除する必要のあるソフトウェアのリストを決定しました。 ユーザーをドメイングループに割り当て、アクセス権を区切るというさらなるタスクにはかなりの時間がかかりましたが、この方法で、顧客がネットワーク上にどのようなハードウェアを持っているかを完全に把握できました。 ちなみに、これはすぐに使えるプロファイリング作業のため、難しくありませんでした。 さて、プロファイリングが役に立たなかったので、私たちはそれを自分自身で見て、機器が接続されたスイッチポートを強調しました。

ワークステーションへのリモートソフトウェアインストール

このケースは私の練習の中で最も奇妙なものの一つです。 顧客が私たちのところに来て助けを叫びました-Cisco ISEの実装中に何かがおかしくなり、すべてが故障し、他の誰もネットワークにアクセスできなくなりました。 私たちは次のことを理解し始めました。 同社には2,000台のコンピューターがあり、ドメインコントローラーがないためドメイン管理者から管理されていました。 スケジューリングの目的で、組織にCisco ISEが導入されました。 ウイルス対策が既存のPCにインストールされているかどうか、ソフトウェア環境が更新されているかどうかなどを何らかの方法で理解する必要がありました。 また、ネットワーク機器はIT管理者によってシステムに持ち込まれたため、彼らがアクセスできるのは当然です。 それがどのように機能するかを見て、PCをスケジュールした後、管理者は従業員のワークステーションに個人的な訪問なしでソフトウェアをリモートでインストールするというアイデアを思いつきました。 1日で何歩節約できるか想像してみてください！ 管理者は、C：\ Program Filesディレクトリに特定のファイルが存在するかどうかワークステーションのいくつかのチェックを行い、その不在では、.exeインストールファイルのファイルストレージへのリンクで自動修復が開始されました。 これにより、一般ユーザーはファイル共有に入り、そこから必要なソフトウェアをダウンロードできます。 残念ながら、管理者はISEシステムを十分に知らず、共有後のメカニズムを破損しました。ポリシーを誤って記述したため、ソリューションに関連する問題が発生しました。 個人的には、ドメインコントローラーを作成する方がはるかに安価で手間がかからないため、このような創造的なアプローチに心から驚きました。 しかし、概念実証がどのように機能したのか。



Cisco ISEを実装するときに生じる技術的なニュアンスの詳細については、同僚の記事「Implementing Cisco ISE。 エンジニアの外観 。 "



Artem Bobrikov、デザインエンジニア、情報セキュリティセンター、Jet Infosystems



あとがき ：

この投稿ではCisco ISEシステムについて説明していますが、説明されている問題はNACソリューションのクラス全体に関連しています。 どのベンダーの決定が実装のために計画されているかはそれほど重要ではありません-上記のほとんどは引き続き適用されます。