Архитектура защищенного мобильного доступа
•
0 likes•666 views
Организации часто сталкиваются с задачами обеспечения мобильного доступа к ресурсам. При чем доступ требуется обеспечить как с корпоративных так и персональных мобильных устройств. В большинстве случаев такой доступ предоставляется с использованием имеющихся технических средств. Зачастую при этом не обеспечивается комплексный подход и задачи безопасности уходят на второй план. В данной презентации будет представлена архитектура Cisco для предоставления безопасного мобильного доступа. Будут рассмотрены основные сценарии использования мобильных устройств в организации. В докладе будут освещено использование таких решений как Cisco ISE, AnyConnect, ASA, Web Security Appliance для защиты мобильного доступа от угроз безопасности. Также будут рассмотрена интеграция решений Cisco с продуктами эко-партнеров в области безопасности.
Report
Share
Архитектура защищенного мобильного доступа
- 2. • Сценарии(использования( мобильных(устройств( • Фазы(развития((мобильного( доступа(на(примере(Cisco • Архитектура(Cisco(для( мобильного(доступа • Продукты(и(решения(для( безопасного(мобильного( доступа • Сервисы(и(приложения
- 3. Изменение*ландшафта*IT Более*15*миллиардов устройств*в*2015* с*3*устройствами*на*сотрудника У*75% опрошенных* мобильные* устройства*поражались* вредоносным* кодом* хотя*бы*1*раз*за*последние* 12*месяцев 63% загружали* на*мобильные* устройства*чувствительную информацию 2003 2007 2012 2014+ Поколение*1 Удаленный*и* гостевой*доступ Корпоративная* мобильность Мобильные* приложения* в* бизнесе Управляемые*IT устройства Простой*доступ Корпоративные*и* персональные*устройства PostkPC*эра
- 7. Гаджет*и*BYOD* k это только*верхушка*айсберга BYOD(требует(анализа(процессов внутри(компании BYOD Я*хочу*читать*почту*со* своего*Androidkпланшета Конечный( пользователь Рост* производительности* труда CEO Уменьшение* затрат Есть(ли(решение( удаленного( доступа Справится( ли( WiFi ? Как(поддерживать( разнородные( устройства( ? IT Как(обеспечить( compliance( с( регуляторными( требованиями Что(делать(при(краже( устройства( или( увольнении( сотрудника( ? Новые(риски( безопасности( (утечка(информации,( вирусы…)( ? Security
- 9. Пример*Cisco IT.*Стратегия AnyDevice Other16,450 36,104 13,901 1663,979 82,794 34,5458,225 71,325 Personally* Owned* Mobile* Devices* (BYOD) 125,564 Corporate* Laptops* (CYOD) 725
- 12. 1. Несанкционированное*подключение* устройств 2. Утечка*данных,*кража*или*потеря 3. Вредоносное*ПО (источник*–Веб) 4. Отсутствие*на*устройстве*корпорат. механизмов*безопасности 5. Нарушение*правил*использования* устройства*на*работе*и*вне*офиса УГРОЗЫ Риски безопасности*для*мобильных*устройств* Персональное(устройство(– “форточка” для(атаки(на(сеть(в(целом(( Source:*2011*ISACA*IT*Risk/Reward*Barometer,*US*Edition*(www.isaca.org/riskkrewardkbarometer)
- 13. Решение*Cisco*для*безопасного*подключения* мобильных*устройств Mobile* Device*ManagementУправление рабочим*местом AnyConnect,*ASA,* ScanSafe,*WSA,*AMP ISE Функции*коммутаторов,*WiFi и*маршрутизаторов Управление—Cisco* Prime Безопасная* мобильность Инфраструктура* управления* политиками Сетевая* инфраструктура Проводный и( беспроводный доступ Политики(для( безопасного( доступа Безопасность( мобильного(и( удаленного(доступа Управление( персональными( устройствами Сервисы(и(приложения
- 16. Политика* безопасного*доступа*в*организации Устройства Приложения Соединение УправлениеБезопасность Internal Apps Web Apps 2G/3G WiFi VPN ОС Голос Видео Сообщения Конференции Форм Фактор Защищенное( соединение Контроль( приложений Защита(Web Защита( устройства Шифрование( данных Управление( устройством Слежение(за(( устройством Внедрение( приложений Производите льность(&( Диагностика Управление( затратами( на( связь
- 17. Cisco*Identity*Services*Engine*(ISE) Корпоративная*система*управления*политиками Кто Что Где Когда Как Сотрудник,*гость*,*клиент.* Корпоративное*или*личное*устройство Wired Wireless VPN Бизнес*политики Атрибуты*политики*безопасности Идентификация* пользователей*и* устройств
- 19. ISE*получает*интеграцию(с(MSE 8.0( или CMX.((Это*обеспечивает*: • Возможность*использовать* атрибуты*местоположения*в* политике • Определять*зоны(безопасности • Периодически*проверять* местоположение*в*случае* изменений • Проводить*переавторизацию в* случае*изменения*локации Интеграция*информации*о*местоположении ! NEW ISE(2.0
- 20. Что*предлагает*ISE*для*управления*персональными* устройствами Поддержка* множества*типов* устройств: ̶ iOS (post*4.x) ̶ MAC*OSX ̶ Android*(2.2*and** later) ̶ Windows*(XP,*Vista,* Win7,*Win8,*Win10) Безопасность* на*основе* сертификата Поддержка* всех*сетевых* подключений Занесение* устройств*в* “черный” список и* удаленная*очистка Саморегистрация
- 22. Распространение( корпоративного( ПО Инвентаризация Управление (Backup,(Remote( Wipe,(etc.) AUP Классификация/ Профилирование Регистрация Безопасный( сетевой(доступ (Wireless,( Wired,(VPN) Управление( сетевым( доступом(на(основе( контекста Настройка( профилей( безопасности( устройства User(<h>(Device( Ownership Mobile(+(PC Соответствие( политике( (Jailbreak,( Pin(Lock,(etc.) Шифрование( данных СЕТЕВАЯ(БЕЗОПАСНОСТЬ( (ISE) УПРАВЛЕНИЕ( УСТРОЙСТВОМ( (MDM) Позиционирование*ISE*и*MDM Пользователи и*IT*совместно* управляют*устройством*и*доступом Пользователь* управляет*устройством IT*управляет*доступом*в*сеть Управление затратами
- 23. Интеграция*ISE*и*MDM ISEMDM* Manager Регистрация устройств*при*включении*в*сеть*– незарегистрированные*клиенты*направляются*на*страницу* регистрации*MDM Ограничение(доступа(k неkсоответствующие*клиенты*будут* иметь*ограниченный*доступ*в*сеть,*исходя*из*информации* полученной*от*систем*MDM Инициация(действий через*интерфейс*ISE*– например* устройство*украденоk>*очистить*данные*на*устройстве Сбор(дополнительной(информации про*устройство* дополняет*функции*классификации*и*профилирования*ISE Экопартнеры Cisco http://www.cisco.com/c/dam/en/us/products/collateral/security/identityhserviceshengine/at_a_glance_c45h726284.pdf
- 24. Облачное*MDM*решение* • Централизованное* управления • Настройка* сетевых*параметров • Определение* местоположения • Удаленное* внедрение* приложений • Внедрение* политики* ограничений* для*приложений* и* данных • Интеграция* *с*AD/ISE
- 28. Управление*и*защита*webkдоступа Нейтрализация*основного*канала*угроз*мобильных*устройств Тонкое*управление*работой*с*приложениями Мобильный* сотрудник Политика(контроля( доступа Нарушение(политики • Мгновенные*сообщения • Facebook:**с* ограничениями • Видео:*не*более*512* кбит/с • Передача*файлов*по*IM •P2P •Защита*от*вирусов*и*вредоносного* кода* •Блокировка* «взрослого»* контента* • Ограничение* пропускной* способности
- 29. Защита*Интернетkдоступа*мобильного* устройства*в*пределах*офиса Новости Электронная почта Социальные*сети Корпоративная SaaSkсистема Фильтрация* контента Corporate*AD Маршрутизатор /коммутатор Защита Интернетkдоступа* в*сети*предприятия Cloud* Web* Security Cisco(WSA ASA(c(FirePOWER
- 30. Объединяем*ISE*с*WSA Доступ*через*WSA*с*авторизацией*через*ISE Cisco® ISE* получает*информацию* контекст*и*идентификацию*мобильного* устройства WSA*применяет*гранулированную* политику*доступа**в*зависимости*от* прав*и*состояния*устройства Consistent(Secure( Access(Policy Who:*Doctor What:*Laptop Where:*Office Who:*Doctor What:*iPad Where:*Office Who:*Guest What:*iPad Where:*Office Cisco® Identity( Service(Engine WSA Confidential( Patient(Records Internal( Employee(Intranet Internet
- 31. Cisco*Web*Security*Virtual*Appliance Преимущества: • Выбор*формkфактора • Гибкость*развертывания • Ценовая*модель*– подписка Варианты*использования • Бюджетный*вариант*для*ЦО • Региональный*офис • В*случае*повышенной*нагрузки Cisco*UCS + + WSAV
- 32. Защита(мобильного( устройства AnyConnect VPN А*как*защищать*Интернетkдоступ*на*мобильных* устройствах*вне*офиса? Интернетhтрафик Cisco( Cloud(Web(Security Cisco(ASAвнутренний( трафик Интернет
- 33. Решение*Cisco*AnyConnect*Secure*Mobility*Solution Широкая*поддержка*платформ • Apple*IOS,**Android,*Blackberry,*Windows* Phone,*Windows*7/8/10,*MAC,*Linux,* • Работа*через*клиента*и*через*браузер Постоянное*подключение • постоянно*активное*подключение,* • выбор*оптимального*шлюза,* • автоматическое*восстановление*подключения Унифицированная* безопасность*и*модульность • Идентификация*пользователей*и*устройств • Проверка*соответствия • Интегрированная*вебkбезопасность • Интеграция*с*защитой*от*вредоносного*кода • Поддержка*VDI Корпоративный офис Безопасный,* Постоянный Доступ ASA Wired WikFi мобильная или WikFi Мобильный* сотрудник Домашний офис Филиал
- 34. Поддерживаемые*платформы Устройства(пользователей(и(инфраструктура Инфраструктура Клиенты Microsoft( Windows Mac(OS(X Linux Настольное( устройство Мобильные( средства( связи Apple iOS iPhone и*iPad • HTC • Motorola • Samsung • Версия* 4.0*и* более* поздние • HTC • Lenovo • Motorola • Samsung • Версия* 4.0*и* более* поздние Бесклиентские подключения BlackBerry + Android Смартфоны*****Планшетные* компьютеры***** Управление ASDM CSMCLI Защищенные( соединения Cisco(ISR* Cisco® ASA Cisco( ASR* Коммутаторы(IEEE( 802.1x Интернетh безопасность Cisco(WSA Cisco(ISE Идентификация( и(политика+ Cisco( NAC Cisco(AnyConnect для(webhзащиты на(основе(облака Windows( Phone IPSec,(SSL(VPN 802.1X MACSec
- 35. Cisco Network Access Manager – управление* проводным*и*беспроводным*подключением • Управление*корпоративными*подключениями • Проводное*(802.3)*и*беспроводное*(802.11)*подключение* с*помощью*одной*структуры*аутентификации • Аутентификация*пользователей*и*устройств*уровня*2: –802.1X,*802.1XkREV* (установка*проводного*ключа) –802.1AE* (MACsec:*проводное*шифрование) –Поддержка*нескольких*типов*EAP –802.11i*(сеть*с*повышенной*безопасностью) • Поддержка*конфигураций*сети*для*администратора* (офис)* и*пользователя*(дом)
- 36. Постоянное*подключение*(Always*On) Автоматическое* переподключение между* сетями**WikFi,*3G*и*разрывах* связи Повторная* аутентификация* не*требуется Таймер* максимальной* * продолжительности* сеанса Off*Premises
- 37. Выбор*оптимального*шлюза Подключение*к*наиболее*оптимальному*головному* устройству Время( =(25(мс Время( =(23(мс Время( =(24(мс Время( =(110( мс Время( =(127( мс Время( =(125( мс Время( =(33(мс Время( =(35(мс Время( =(26(мс МоскваАстана Алматы Пороговое(значение(времени( приостановки((часы)( Пороговое(значение(повышения( производительности((%) Параметры(профиля: Семипалатинск
- 38. Что*нового*в Cisco*AnyConnect*4.0? Подключает*только*разрешенные*приложения*через*VPN Избранное* туннелирование через*VPN VPN Обеспечивает*безопасный*удаленный* доступ*для*выбранных*приложений* для*определенного* пользователя,* устройства*и*роли (perkapp*VPN) Уменьшает* риски*неразрешенных* приложений,*связанные*с* компрометацией* данных Поддерживает*большое*количество* типов**устройств*и*удаленных* пользователей*(сотрудники,*партнеры,* контрактники),* WWW
- 39. Что нового*в*Cisco*AnyConnect*4.0? Оценка*состояния*и*безопасный* VPN*доступ*с*унифицированным* агентом*и Cisco*ISE Поддерживает* оценку*состояния* для*разных*способов*доступа Упрощает*управление*с*единым* агентом Предотвращает* подключение* несоответствующих*устройств* (проверка* патчей,*ключей* реестра,*антивирусов….)
- 40. Пример*сценария • Идентификация*пользователя: • Логин/пароль* • Пользовательский* сертификат* (802.1X) • “Идентичность” устройства: • номер BIOS,*MACkадрес,* UDID*для моб,* • Тип*устройства • Машинный* сертификат* (802.1X) • Наличие* корпоративного* ПО,*ключей*реестра* и* секретных* “меток”…. • Политика*доступа*с*множеством*проверок Пользо ватель Устройство+ = Политика( доступа Корпоративное* устройство*? 00:11:22:AA:B B:CC ID Корпоративный* пользователь Привет,*я*Маша,* мой*пароль ******* ID
- 41. Что*нового*в*AnyConnect 4.1 AMP*активатор*расширяет*защиту*от*malware Обеспечивает* быстрый*и*удобный*путь* включения* функционала* Advanced* Malware* Protection*(AMP)* Обеспечивает* защиту*конечного* устройства*до*туннелирования трафика* в* сеть Минимизирует* потенциальное* влияние* путем*обеспечения* проактивной защиты*и* быстрого*устранения* заражения Больше* защиты Windows/MAC Mobile Мобильное*устройство NEW
- 42. AnyConnect*– больше*чем*просто*VPN SSL(/(DTLS( VPN IPsec VPN HostScan /ISE(Agent Cloud(Web( Security L2( Supplicant( (Win(Only) Switches*and Wireless* controllers ASA WSAISE/ACS Cloud*Web* Security**+*AMP Центральные(устройства ASR/ CSR ISR Базовый(VPN Расширенный VPN Другие(сервисы Модуль( сетевой( видимости AMP((( Enabler Планируется, к, выходу,в,2015, году
- 43. Новое*лицензирование*в Cisco*AnyConnect 4.x Упрощение*и*большая*гибкость 01.10.15 Новые*лицензии* переносимы* между* любыми*аппаратными* платформами,* что*упрощает* модернизацию* и*замену* аппаратных* платформ Новая*двухуровневая* модель* лицензирования* позволяет* клиентам* расти*с*учетом*актуальных* потребностей* в*мобильности Программа* миграции: • Essentials*to*Plus • Premium* to*Apex Лицензия* по*пользователям (с*любым*колkвом*устройств) Лицензия* Plus Лицензия* Apex ! VPN ! Мобильный*VPN* по*приложениям* (новое) ! Вебk безопасность ! Менеджер* сетевого* подключения* (NAM) ! Функции*Plus ! Соответствие* устройств* (новое) ! Безклиентский доступ ! Криптография* Suite*B
- 44. Модули*AnyConnect Клиент*Cisco*AnyConnect® Secure*Mobility*может*состоять*из* следующих*модулей: Windows OS*X Linux Apple*iOS Android VPN Да Да Да Да Да NAM Да x x x x WebSec Да Да x x x Оценка* состояния Да x x x x Телеметрия Да x x x x DART Да Да x x x
- 45. Терминация VPNkподключений*на**Cisco*ASA*5500kX Производиткльность Data(CenterCampusBranch(Office( Internet(Edge ASA*5585kX*SSPk20 (10*Gbps,*125K*cps) ASA*5585kX*SSPk60 (40*Gbps,*350K*cps) ASA*5585kX*SSPk40 (20*Gbps,*200K*cps) ASA*5585kX*SSPk10 (4*Gbps,*50K*cps)ASA*5555kX* (4*Gbps,50K*cps) ASA*5545kX* (3 Gbps,30K*cps) ASA*5525kX* (2*Gbps,20K*cps) NEW SOHO ASA*5506* (150*Mbps,*5K*cps) <50 750 2500 5000 10000 ASA*5508kX* (250 Mbps,*10K* cps) 50k100 250 ASA*5516kX* (500 Mbbps 10K*cps) NEW NEW
- 47. Реализация*передовых*возможностей Пример*Cisco*IT в*Cisco*IT Basics Mobile Mail eStore*Apps Collaboration Tools Connectivity Content(and( Collateral Learning News(&( Events Sales BetaEmployee Services
- 50. Выводы 1. Мобильные*устройства*влияют*на*бизнесkпроцессы,* стратегию*IT и*оценку*рисков*безопасности 2. На*сегодня*мобильный*доступ*есть*фактически*в*каждой* организации*– отличается*лишь*степень*проникновения* 3. Cisco*предлагает* законченную*интегрированную* архитектуру*для*защищенного*мобильного*доступа ISEASAAnyConnect Cisco*PrimeSec*Group Access Cloud* Web* Security ESA/WSA Wireless Wired Решение*Cisco для* безопасного*мобильного*доступа