Uma Política. Cisco Unified Access Roadshow. Filipe Lopes. Systems Engineer Borderless Networks Team

Transcrição

2 Política de Controlo de Acesso: Desafios e Arquitectura UA com Cisco ISE Exemplo de Onboarding (BYOD) Acesso de Grupo de Segurança e TrustSec Dispositivos Cisco de Acesso e Identidade Funcionamento do ISE Exemplo da Administração do ISE 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 2

3 Desafio: BYOD Suportar BYOD sem aumentar os custos operacionais do IT Portal Zero-touch, automatiza o registo de dispositivos, contenção de aplicações e postura de segurança Maior produtividade, dos dispositivos menores custos, segurança adicional Controlo de Acesso Seguro Ligar Elementos Desafio: Identificar o que existe na rede Identificar Visibilidade e analisar dos dispositivos (tipo (Profiling) e caracterização), e reconhecer novos postura dispositivos de segurança, desde 1º dia controlo contextual, AAA Desafio: Assegurar uma política E2E consistente que não esteja dependente de uma topologia Cisco Controlo TrustSec de e acesso gestão de diferenciado políticas Controlo de políticas consistente em toda a rede TECNOLOGIA SERVIÇOS ENERGIA SAÚDE ENSINO SUPERIOR ENSINO SECUNDÁRIO 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 3

4 Gestão de Políticas ISE (Identity Services Engine) Prime Infrastructure Informação sobre Políticas Directório de Utilizadores Profiling pela Infraestrutura Cisco, Postura de segurança pelo NAC/AnyConnect Agent Aplicação das Políticas Infra-estrutura Cisco: Sw itches, Controladores Sem Fios, Firew alls, Routers Contexto das Políticas Identidade dos Utilizadores Dispositivos Pessoais Activos Empresariais Dispositivos Não Destinados a Utilizadores 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 4

5 Gartner 2013 NAC MQ Solução de Gestão de Políticas Controlo de Acesso de Rede Unificada Solução BYOD Chave na Mão 1.ª solução aplicável a todo o sistema Integração profunda na rede Controlo de política em todo o sistema a partir de um ecrã Produto premiado Cisco Pioneer Award 2012 Mais de 400 parceiros ATP com formação e qualificação Mais de 1000 casos de sucesso 1.º ano 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 5

6 Uma Rede Uma Política Uma Gestão Quero permitir o acesso à minha rede apenas aos utilizadores e dispositivos certos Quero que os utilizadores e os dispositivos recebam serviços de rede adequados Quero permitir a entrada de convidados na rede e controlar o comportamento dos mesmos Preciso de permitir/recusar ipads na minha rede (BYOD) Quero assegurar que os dispositivos que acedem à minha rede estão limpos Preciso de uma forma escalável de aplicar uma política de acesso em toda a rede Serviços de Autenticação Serviços de Autorização Gestão de Ciclo de Vida de Convidados Serviços de Perfis e BYOD Serviços de postura de segurança SGA TrustSec 2012 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 6

8 Colaboradores Porque devo utilizar recursos menos avançados do que aqueles que tenho em casa? Não me importo de pagar pelos meus dispositivos! Se puder utilizar o mesmo dispositivo para uso pessoal e profissional, serei mais produtivo Posso trabalhar de qualquer lugar Empresa Pessoal IT Evolução rápida: Dificuldade de aprovar uma lista standard de dispositivos Necessidade de identificar os dispositivos usados Self-Service e on-boarding transparentes Aplicação das políticas Visibilidade: um colaborador pode ter vários dispositivos ligados simultâneamente Revogar acessos Protecção dos dados corporativos DLP 2011 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 8

9 Registo de dispositivos MDM através de ISE o Clientes não registados reencaminhados para a página de registo de MDM Acesso limitado o Será concedido acesso limitado a clientes que não estejam em conformidade com base na política Terminal Agente MDM o o Conformidade Aplicações de dispositivos Acção de dispositivo a partir de ISE Dispositivo roubado -> apagar dados no cliente e impedir acesso à rede corporativa 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 9

13 O utilizador estabelece ligação a SSID seguro PEAP: Nome de utilizador/palavra-passe Reencaminhado para o portal de aprovisionamento O utilizador regista o dispositivo Transfere o certificado Transfere a configuração de requerente Activo pessoal BYOD - Seguro Ponto de acesso Controlador LAN sem fios O utilizador estabelece nova ligação utilizando EAP-TLS ISE AD/LDAP 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 13

14 O utilizador estabelece ligação a SSID aberto Reencaminhado para o portal WebAuth O utilizador introduz as credenciais de funcionário ou convidado O convidado assina a AUP e obtém acesso de Convidado O funcionário regista o dispositivo Transfere o certificado Transfere a configuração de requerente Activo pessoal BYOD - Seguro BYOD - Aberto Ponto de acesso Controlador LAN sem fios O funcionário estabelece nova ligação utilizando EAP-TLS ISE AD/LDAP 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 14

18 Qualquer Dispositivo Dispositivo Registado Dispositivo Empresarial Função de Utilizador e Dispositivo Servidor Web Geral Portal de Notícias de Funcionários Portal de Gestores Aplicação de Cartão de Ponto de Funcionários Servidor de Cartões de Crédito Dispositivo Não Registado Funcionário Gestão Leitores de Cartões do Crédito 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 18

19 Qualquer Dispositivo Dispositivo Registado Dispositivo Empresarial Função de Utilizador e Dispositivo Definição de Política Servidor Web Geral Portal de Notícias de Funcionários Portal de Gestores Aplicação de Cartão de Ponto de Funcionários Servidor de Cartões de Crédito Dispositiv o Não Registado SSID Público SSID Empresarial Funcionário Membro do grupo Funcionário ; Certif icado corresponde ao terminal SSID Empresarial Gestão Membro do grupo Funcionário e Gestor; Certif icado corresponde ao terminal Leitores de Cartões do Crédito SSID Credit_Card; Membro do grupo Credit_Scanners ; Perf il iphone 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 19

23 Arquitectura VLAN Preocupações de Dimensionamento Extremamente dependente da topologia Arquitectura ACL Manutenção Difícil Centenas Milhares de ACEs 802.1x 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 23

24 Etiqueta de Admissão de Função de Utilizador e Dispositivo Dispositivo Não Registado (Unregist_Dev_SGT) Funcionário (Employee_SGT) Gestão (Management_SGT) SGA TAG-Policy SSID Público Membro Empresarial SSID do grupo Funcionário, Certificado corresponde ao terminal Membro Empresarial SSID do grupo Funcionário e Gestor, Certificado corresponde ao terminal quem o quê onde quando como Cisco ISE Leitores de Cartões de Crédito (CC_Scanner_SGT) SSID Credit_Card; Membro do grupo Credit_Scanners ; Perfil iphone Funcionário Gestor Finanças 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 24

28 SRC\DST Cartão de Ponto Cartão de Crédito Gestor (100) Sem Acesso Acesso Gestor Dispositivo Registado SGT = 100 SGACL Cartão de Ponto (SGT=4) Leitor de Cartão de Crédito (SGT=10) Gestor SGT = 100 Cisco ISE Controlo de Acesso Baseado em Grupo de Segurança O ISE faz a correspondência de etiquetas (SGT) com a identidade de utilizador A política de Autorização do ISE faz com que a SGT entre no NAD (Switch/WLC) A política de Autorização ISE faz com que a ACL (SGACL) saia do NAD (ASA ou Nexus) 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 29

30 Inovação Cisco Diferenciadores de Identidade Funcionalidades de Autenticação Modo de Monitorização Acesso sem obstáculos Sem impacto na produtividade Obtenção de visibilidade Sequência de Autenticação Flexível Possibilita configuração única na maior parte das situações de utilização Mecanismo de recuperação de falhas e políticas flexíveis Switch Cisco Catalyst Rede 802.1X Sofisticada e Robusta Suporte de Telefonia IP para Ambientes de Trabalho Virtuais Modo de anfitrião único Modo de vários anfitriões Modo de várias autenticações Autenticação de vários domínios Autenticação Crítica Dados/Voz Continuidade do negócio em caso de falha Utilizadores Autorizados Tablets Telefones IP Dispositivo de Rede Convidados 802.1x MAB WebAuth 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 34

31 Cisco Inovação CDP LLDP DHCP MAC PERFIS DE DISPOSITIVOS Para redes com fios e sem fios POLÍTICA Plataformas Suportadas IOS 15.0(1)SE1 para Cat 3K IOS 15.1(1)SG para Cat 4K WLC 7.2 MR1 - apenas dados de DHCP ISE Impressora ISE ipad Pessoal Política de Impressora [colocar em VLAN X] CDP LLDP DHCP MAC CDP LLDP DHCP MAC Política de ipad Política Pessoal de ipad Pessoal [acesso limitado] Acesso Ponto A Solução Classificação eficiente de dispositivos aproveitando a infraestrutura Cenário de Implementação com Sensores de Dispositivos Cisco RECOLHA O switch recolhe dados relacionados com o dispositivo e envia o relatório para o ISE CLASSIFICAÇÃO O ISE classifica o dispositivo, recolhe informações de fluxo e disponibiliza o relatório de utilização do dispositivo AUTORIZAÇÃO O ISE executa a política com base no utilizador e no dispositivo 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 35

32 Tipo de Sonda Informação Disponibilizada RADIUS (Calling-Station-ID) MACAddress (OUI) Exemplo: 0A:1B:2C = vendedor X DHCP (host-name) (dhcp-class-identifier) Nome de anfitrião (a predefinição pode incluir o tipo de dispositivo) Exemplo: jsmith-ipad Classe/tipo do dispositivo Exemplos: BlackBerry, telefone IP sem fios da Cisco DNS (procura inversa de IP) FQDN (o nome de anfitrião predefinido pode incluir o tipo de dispositivo) Exemplo: jsmith-ipad.company.com HTTP (Utilizador-Agente) Detalhes relativos ao tipo específico de dispositivo móvel Exemplos: ipad, iphone, ipod, Android, Win7 NMAP Scan (SNMPPortsAndOS-scan ) Accionar leitura de terminal para SO Exemplo: SO = ios da Apple Trap SNMP/Consulta (Notificação de MAC/CDP/recolha de LLDP) Endereço MAC/Dados de Interface, Dados de Sessão e Consulta de Sistema Exemplos: 0A:1B:2C/tabela ARP Netflow (Captura de fluxos) Captura de fluxos para correspondência com tráfego quíntuplo do terminal Exemplos: SRC/IP DST/Porta/Protocolo RADIUS Accounting: disponibiliza MAC:IP binding para suportar outras sondas que dependem de endereço IP (DNS, NetFlow, NMAP e HTTP) 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 36

35 BYOD Onboarding automático do Utilizador Parcerias com empresas de MDM e integração com as mesmas Controlo de Acesso Contexto: Quem/O quê/como/quando/onde Visibilidade: Perfis SGA: Independente de topologia, linguagem de negócio Solução Holística Aplicação: funcionalidades do Router/Switch/Controlador Terminal: Desempenho, VPN Armazenamento de informação: AD, LDAP, DHCP, MDM 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 40

36 Informação sobre ISE: Cisco TrustSec (SGA e soluções certificadas): Notas de Aplicação e Guias de Utilização: anding_designzone_trustsec.html Design Zone Concepção BYOD de Referência: ns1050/own_device.html#~overview 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 41

37 Obrigado

38 Identidade e Política Aplicação de Políticas Diferentes para Dispositivos Empresariais e Pessoais Infra-estrutura Unificada IDENTIDADE 1 ISE PERFIS HTTP Autenticação de Utilizadores EAP 802.1x NETFLOW SNMP HQ Activo da empresa 2 Perfil para identificar dispositiv o VLAN 10 VLAN 20 Decisão de Política 4 Recursos Empresariais DNS RADIUS DHCP 2:38pm SSID único Controlador LAN sem fios Apenas Internet Activo pessoal 3 Caracterização, tipo do dispositiv o Gestão de Acesso Unificado 5 Aplicar a política na rede 6 Acesso total ou parcial concedido 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 43

39 Menos preocupações para a equipa de IT Auto-registo para onboarding automático Disponibilização de Certificados e Supplicant Suporte para dispositivos móveis e não móveis Detecção de dispositivos Suporte para Windows, MAC OS X, ios, Android Gestão intuitiva para utilizadores finais Portal My Devices registo, lista negra, gestão; Portal de patrocínio de convidados 2010 Cisco e/ou afiliadas. Todos os direitos reservados. Cisco Confidencial 44