СОИБ. Проектирование. Защищённый доступ к сети

Недавно компания Cisco обновила архитектуру безопасности Cisco SecureX и решение по управлению защищенным доступом к сети Cisco TrustSec 2.0. Решение Cisco TrustSeс 2.0 является развитием технологии, ранее известной как Cisco NAC.

Ключевым компонентом решения является новый продукт Cisco  Identity Services Engine (Cisco ISE). А в реализации единых политик доступа к сети участвует всё активное сетевое оборудование Cisco:  коммутаторы¸ маршрутизаторы, межсетевые экраны, средства построения VPN, точки доступа и контроллеры беспроводной сети.

Данное решение хочу рассмотреть в сегодняшней статье.

Cisco TrustSec 2.0 поможет, если в вашей политике доступа к корпоративной сети или информационным ресурсам есть определенные правила, а технически реализовать и проконтролировать их полностью нечем. Говорите, что у вас нет политик управления и разграничения доступа к корпоративной сети и информационным ресурсам? Тогда вам не нужно решение TrustSec.

Но рассмотрим для примера экспресс анализ рисков связанных с корпоративной сетью.

Рассмотрим контрмеры, которые можно использовать для нейтрализации угроз по неприемлемым рискам:

·         Запретить удаленный доступ, гостевой доступ, взаимодействие с партнёрами мы не можем – ведь это требует бизнес.

·         Антивируса, межсетевого экрана, системы обнаружения вторжений и встроенных возможностей приложений недостаточной для нейтрализации всех неприемлемых угроз, а также требует чрезмерных трудозатрат на независимую настройку каждого средства защиты.

·         Антивирус не поможет нам остановить массовое заражение АРМ, если он пропустил данный вирус.  

·         Межсетевой экран и система обнаружения вторжений ничего не знает про уязвимости ОС и ролях конкретных пользователей.

·         Встроенные средства приложений не помогут при перехвате и подмене информации в сегменте сети.

·         Необходимой контрмерой для данных угроз является Cisco ISE, который дополняет функции приведенных средств защиты и объединяет их с использованием единых политик доступа к сети.

Вы спросите какие политики можно реализовать с применением данного решения?

Примеры:

·         Новому сотруднику предоставлять базовый доступ к сервисам сети:  AD, электронная почта, общий файловый сервер.

·         Сотрудникам бухгалтерии предоставлять доступ к группе серверов бухгалтерии, а главному бухгалтеру ещё и к дополнительной группе серверов бухгалтерии.

·         Администратора сети при подключении в любой точке сети помещать в выделенный сегмент управления и мониторинга.

·         Разрешать вносить изменения в конфигурацию сетевого оборудования и сетевых средств защиты только из локальной сети.

·         Гостям разрешено подключаться только к беспроводным точкам в приемном зале, а партнерам компании на всей территории. И тем и другим разрешить доступ только в рабочее время.  Гостям разрешить доступ только в интернет, а партнерам ещё к корпоративному справочнику и электронной почте.

·         Сотрудникам в командировке предоставлять удалённый доступ к  той-же группе серверов что и при их локальном доступе, за исключением суперсекретного.

·         Всем сотрудникам разрешать доступ к корпоративной сети в соответствии с их ролями, только  при наличии всех обновлений ОС, антивируса и запущенным агентом DLP.

·         Удаленный доступ к ИСПДн разрешать только при наличие установленного СКЗИ поддерживающего ГОСТ.

·         При доступе к корпоративной сети с мобильных устройств предоставлять доступ только к ограниченному количеству сервисов (в виду отсутствия на мобильных устройствах средств защиты).

·         Принтеры помещать в выделенный сегмент принтеров.

·         Видеокамеры помещать в выделенный сегмент видеокамер.

·         Телефоны помещать в выделенный сегмент видеокамер.

·         Новые принесенные пользователем устройства помещать в карантин и блокировать доступ к КИС до одобрения администратора.

·         Все нарушающие политики устройства помещать в карантин и блокировать доступ к КИС до устранения нарушений или одобрения администратора.

И на последок сравнение ISE, NAC, ACS.

В следующих заметках более подробно опишу архитектуру и принципы работы.

Про Cisco TrustSec и Cisco ISE можно почитать тут.