В рамках данной лабораторной работы мы изучим что такое профилирование, как с помощью профилирования можно провести инвентаризацию устройств, подключенных к сети, как работает профилирование со стороны безопасности сети, какие существуют критерии профилирования и создадим собственный профиль. Мы разберем события безопасности, как работает приоритизация в них, как настраивать триггеры и действия для событий безопасности и приведем примеры эксплуатации. Также мы расскажем о работе механизмов фильтрации, объясним как обогащать сообщения Radius-Reply дополнительными атрибутами, и опишем процесс настройки этих механизмов. Длительность выполнения лабораторной работы — 3 часа.
Профилирование (профайлинг) — это процесс, с помощью которого можно определять модели конечных устройств, их производителя, ОС, и тем самым получать о них дополнительную информацию. Благодаря данным, полученным из профилирования AxelNAC может использовать их в качестве политик авторизации.
В отношении безопасности сети профилирование выполняет следующие функции:
AxelNAC уже содержит созданные профили на самые часто используемые устройства. При помощи комбинаций различных критериев вы можете группировать устройства по их данным (MAC-адрес, вид устройства, DHCP-отпечаток и т.д.) и использовать эти профили в политиках аутентификации.
Иногда, при внешних атаках, устройства взлома могут мимикрировать под устройства, которые уже находятся в сети. В такой ситуации профилирование клиентских устройств позволяет настроить отдельную политику доступа, которая будет применяться к устройствам, которые внезапно поменяли свои данные.
Для того чтобы тому или иному устройству автоматически назначался профиль, существуют различные критерии профилирования. Рассмотрим самые основные:
MAC-адрес (Media или Medium Access Control Address) — это уникальный номер, который назначает производитель каждому устройству с сетевой картой, Bluetooth- или Wi-Fi-адаптером. Он не меняется со временем и состоит из двенадцати шестнадцатеричных символов.
Первые шесть символов обозначают код производителя (MAC OUI), что позволяет определять вендора и добавлять его в профиль.
Отпечаток DHCP (DHCP Fingerprinting) — это метод идентификации устройства, запрашивающего аренду IP-адреса через протокол DHCP, на основе которого может быть определен тип подключенного устройства. Идентификация осуществляется путем анализа структуры и содержимого DHCP-сообщений, поступающих от конечного устройства. При этом данный механизм не следует рассматривать как надежное средство защиты, поскольку DHCP-сообщения могут быть подделаны без нарушения процесса получения IP-адреса.
Агент пользователя (User Agent) — это программный агент, отвечающий за получение и облегчение взаимодействия конечного конечного устройства с сервером. При каждом запросе по протоколу HTTP, клиент передает свой user-agent, который содержит информацию о типе приложения, операционной системе, производителе устройства и т.д., которая также может быть использована для построения профиля.
Использование вышеперечисленных критериев позволяет идентифицировать все устройства находящиеся в защищенной сети. При наличии достаточного количества сформированных профилей устройств, мы можем определить, какое количество АРМ, IP-телефонов, принтеров, коммутаторов и т.д. подключено к сети.
В AxelNAC в разделе Узлы → Поиск находится строка поиска, которая позволяет отсортировать все подключенные устройства по любому из заполненных критериев.
Все созданные профили устройств можно найти в разделе Конфигурация → Соответствие → Профилирование Хранилища отпечатков → Комбинации. При нажатии на любой из профилей вы можете его просмотреть и отредактировать. Данная страница содержит следующие поля:
Поле Балл является оценкой безопасности профиля, и несет лишь оценочную роль. Вы можете поменять значение в предустановленных профилях на свое усмотрение.
Рассмотрим создание профиля в AxelNAC на примере подключенного устройства, которое еще не прошло процесс профилирования.
Шаг 1. Подключите новое устройство к своей сети.
Шаг 2. Перейдите в раздел Отчеты → Хранилище отпечатков → Неизвестные отпечатки → Все и нажмите на MAC-адрес узла. Затем нажмите Просмотреть узел во всплывающем окне.
Шаг 3. Перейдите на вкладку Хранилище отпечатков и скопируйте полученный DHCP-отпечаток.
Шаг 4. Перейдите в раздел Конфигурация → Соответствие → Профилирование Хранилища отпечатков → Комбинации. и нажмите Новая комбинация.
Шаг 5. Вставьте скопированный отпечаток DHCP в соответствующее поле и укажите название устройства. Начните печатать название устройства, чтобы найти подходящее значение. Затем нажмите Сохранить.
Шаг 6. Перейдите раздел Узлы → Поиск и вставьте в строку поиска MAC-адрес устройства, для которого вы только что создали профиль.
Шаг 7. Откройте узел и нажмите Обновить Хранилище отпечатков. После этого запустится процесс профилирования устройства для узла, после чего его информация обновится.
В данном примере мы настроили профилирование только по отпечатку DHCP, но настройку можно произвести по любому одному или нескольким из критериев.
Если все настройки произведены верно, информация об устройстве должна обновиться на шаге 7.
События безопасности (Security Events) — это модуль, который позволяет реагировать на действия и состояния конечных устройств. AxelNAC позволяет реагировать на смену профиля устройства, на несоответствие политикам ИБ устройства, а также реагировать на превышение устройством порогового уровня потребляемого трафика. Функционал событий безопасности позволяет комбинировать уведомление администраторов ИБ и изолирование устройства, вызвавшего событие, от общей сети с последующим указанием инструкций и действий на портале администратора AxelNAC.
Для того чтобы настроить события безопасности, перейдите в раздел Конфигурация → Соответствие → События в системе безопасности и нажмите Новое событие в системе безопасности.
На открывшейся странице вы найдете следующие параметры:
Шаг 1. В окне Новое событие безопасности включите срабатывание и внесите описание события безопасности.
Шаг 2. Нажмите Добавить триггер, в колонке Конечное устройство выберите значение Переключатель и укажите IP-адрес вашего коммутатора.
Шаг 3. В колонке Профилирование устройств выберите значение Отпечаток DHCP и укажите отпечаток вашего конечного устройства.
Шаг 4. В строке Действия, связанные с событием активируйте флажки Администратор электронной почты и Адресат сообщения и укажите адрес электронной почты для тестирования.
Шаг 5. В строке Grace укажите время в 10 минут и нажмите Создать.
Шаг 6. Подключитесь к сети с конечного устройства, чтобы вызвать срабатывание события безопасности.
Для того, чтобы проверить срабатывание события безопасности, зайдите в электронную почту, которая указана как электронная почта администратора и в электронную почту для тестирования. Если вы получили уведомления о срабатывании события — настройка проведена верно. Повторите шаг 6, чтобы проверить, что событие не повторяется в течение 10 минут.
AxelNAC позволяет создавать расширенные правила фильтрации на основании информации RADIUS, DHCP, DNS или HTTP. Также они позволяют добавлять дополнительные данные в сообщения, которые отправляются от сервера аутентификации. В рамках этой лабораторной работы мы рассмотрим фильтрацию только по атрибутам RADIUS.
Посредством RADIUS-атрибутов производится весь обмен информацией между сервером аутентификации и RADIUS-сервером. Набор поддерживаемых RADIUS-атрибутов меняется для каждого сервера аутентификации, они также называются VSA (Vendor Specific Attribute), однако существуют и общие.
Для того чтобы создать новый фильтр, перейдите в раздел Конфигурация → Расширенные настройки доступа → Механизмы фильтра → RADIUS Filters и нажмите Новый фильтр.
На открывшейся странице вы найдете следующие параметры:
Шаг 1. В разделе Конфигурация → Расширенные настройки доступа → Механизмы фильтра → RADIUS Filters нажмите Новый фильтр.
Шаг 2. Заполните Имя и Описание фильтра.
Шаг 3. В строке Условие выберите оператор ALL (AND), нажмите на шестеренку справа от поля выбора и во всплывающем окне выберите Добавить значение.
Шаг 4. В колонке Поле выберите radius_request.User-Name, в качестве оператора укажите содержит и добавьте в значение свой домен.
Шаг 5. В строке Ответы нажмите Добавить ответ, выберите вид ответа — Запрос, тип — Cisco-AVPair и добавьте в качестве значения какой-либо ACL.
Шаг 6. Активируйте переключатель Объединить ответ.
Шаг 7. В строке Область выберите значение returnRadiusAccessAccept, в строке Статус RADIUS выберите RLM_MODULE_OK и нажмите Создать.
Для проверки работы данного фильтра, переподключитесь к сети с конечного устройства и проверьте доступ к любому из адресов, которые перечислены в whitelist указанного ACL. При правильной настройке, адрес должен быть доступен.
Затем попробуйте перейти по любому из адресов, которые перечислены в blacklist указанного ACL. При правильной настройке, адрес должен быть недоступен.
Для закрепления полученных знаний мы предлагаем выполнить два задания: