Resumo Apresentação : Orador Formador Sénior (1999-2010) CCSI - Certified Cisco System Instructor CCNA Security, Voice, Wireless CCDA, CCDP, CCNP, CCIP, CCSP IPS, NAC, Firewall, Wireless Specialist Coordenador da equipa de formadores nas áreas de sistemas e redes, consultor na área de formação e participação no desenho de soluções Cisco (wireless e segurança).
Resumo Apresentação : Orador Protecção da Infra-estrutura nas Empresas: 802.1X e NAC
Segurança e o Negócio De que forma uma segurança sem limites pode ajudar na protecção do negócio? Identificação e resposta rápida às ameaças emergentes de worms, spam, vírus e comunicações indesejadas Conformidade com as regulamentações governamentais para a protecção dos dados Disponibilidade, fiabilidade e eficiência da infra-estrutura e serviços críticos
Mecanismos de protecção no L2 IP Source Guard DAI DHCP Snooping Port Security VACL e PVLAN
Port Security MAC AA-AA-AA-AA-AA-AA MAC BB-BB-BB-BB-BB-BB Gi0/1 Port Authorized Port Unauthorized Interface GigabitEthernet0/1 switchport mode access switchport access vlan <> switchport port-security switchport port-security maximum 1 switchport port-security violation shutdown switchport port-security mac-address sticky
Ameaças no L2 MAC Spoofing MAC ZZ-ZZ-ZZ-ZZ-ZZ-ZZ MAC YY-YY-YY-YY-YY-YY MAC XX-XX-XX-XX-XX-XX Gi0/1 Gi0/3 MAC AA-AA-AA-AA-AA-AA Gi0/2 Broadcast SRC: AA-AA-AA-AA-AA-AA DST: CC-CC-CC-CC-CC-CC DATA Broadcast MAC CC-CC-CC-CC-CC-CC
Ameaças no L2 MAC Spoofing MAC CC-CC-CC-CC-CC-CC Gi0/1 Gi0/3 Gi0/2 MAC AA-AA-AA-AA-AA-AA SRC: AA-AA-AA-AA-AA-AA DST: CC-CC-CC-CC-CC-CC DATA MAC CC-CC-CC-CC-CC-CC
Identidade identity Quem é o utilizador? Está autorizado? Qual é o seu cargo/função? NAC device security network security Existe algum AV? Está activado? MS está com as actualizações em dia? Existe Politica de Segurança? Os equipamentos sem PS estão de quarentena? Existem correcções?
Arquitectura IEEE 802.1X 802.1X Authenticator - Switch - Router - AP Identity Store - AD - LDAP - NDS - ODBC SSC L2 L3 EAPoL RADIUS Supplicant - Desktop - Laptop - IP Phone Authentication Server - IAS - ACS - IETF Radius Server
Configuração 802.1X 802.1X SSC Port Unauthorized aaa new-model aaa authentication dot1x default group radius aaa authorization network default group radius radius-server host 10.10.10.10 radius-server key cisco dot1x system-auth-control interface GigabitEthernet0/1 authentication port-control auto
Segurança inicial do 802.1X Antes da Autenticação? interface GigabitEthernet0/1 authentication port-control auto
Segurança inicial do 802.1X Depois da Autenticação interface GigabitEthernet0/1 authentication port-control auto
Segurança inicial do 802.1X Dispositivos sem supplicant? Sem EAPoL = Acesso Negado interface GigabitEthernet0/1 authentication port-control auto
Segurança inicial do 802.1X Vários MAC na mesma porta? Security Violation VM interface GigabitEthernet0/1 authentication port-control auto
Implementação do 802.1X Clientes sem suporte 802.1X e Convidados? Método menos seguro MAC Authentication Bypass (MAB) (config-if)# mac-auth-bypass Web Authentication (config)# aaa authorization auth-proxy default group radius (config)# ip admission name WEBAUTH proxy http (config)# fallback profile WEBPROXY (config-fallback-profile)# ip admission WEBAUTH (config-if)# dot1x fallback WEBPROXY (config)# ip http server Acesso limitado após ausência de resposta Guest VLAN (config-if)# authentication event no-response action authorize vlan <> Acesso via rede sem fios
Implementação do 802.1X Implicações do 802.1X timeout? max-reauth-req (default = 2) tx-period (default = 30 segundos) 802.1X timeout == (max-reauth-req + 1) * tx-period 90 segundos > default MSFT DHCP timeout 90 segundos > default PXE timeout Insatisfação do Cliente Solução: Tunning ou NAC Profiler
Implementação do 802.1X Quando a autenticação falha? Certificado expirado Credencial errada Auth-Fail-VLAN SSC 802.1X RADIUS interface GigabitEthernet0/1 authentication port-control auto authentication event fail action authorize vlan <>
Implementação do 802.1X Flex-auth: Next-method SSC 802.1X RADIUS interface GigabitEthernet0/1 authentication port-control auto authentication order 802.1x mac-auth-bypass mac-auth-bypass authentication event fail action next-method
Implementação do 802.1X Se o servidor de Radius estiver indisponível? SSC 802.1X RADIUS dot1x critical eapol dot1x critical recovery delay 100 radius-server host x.x.x.x radius-server dead-criteria 15 tries 3 interface GigabitEthernet0/1 dot1x critical dot1x critical vlan <> dot1x recovery action reinitialize
Implementação do 802.1X Default 802.1X Flex-auth MAB 802.1X timeout MAB fails MAB 802.1X MAB fails 802.1X timeout Guest VLAN Guest VLAN
Considerações sobre o 802.1X IP Telephony Supplicant Cisco Secure Services Client (SSC) Microsoft Windows Boot PXE Wake On LAN (WOL)
Arquitectura do NAC Cisco Trust Agent NAD NAC Profiler Policy Servers NAC Server NAC Manager AD SSC Audit ACS (AAA) AV
Arquitectura do NAC Antivírus reconhecidos pela Cisco: McAfee Symantec Trend F-Secure Computer Associates IBM Para mais informações, consultar a lista completa em, http://www.cisco.com/en/us/partner/partners/pr46/nac/partners.html (precisa de credenciais CCO)
NAC L2 802.1X IBNS (Identity-Based Networking Services) ACS (AAA) AV SSC 802.1X Radius EAP-Fast Tunnel Posture Credentials VLAN
Soluções Cisco Evolução SAFE Self-Defending TrustSec Equipamentos Catalyst 2960-S, 3560-X, 3750-X Cisco ISR G2 3900E Cisco AnyConnect
Próxima Geração - Arquitectura TrustSec
Próxima Geração - Arquitectura TrustSec
paulo.batista@rumos.pt www.rumos.pt Porto Tel: 22 200 65 51 Fax: 22 200 66 85 Lisboa Tel: 21 782 41 10 Fax: 21 797 15 68