Geekly Articles each Day

ネットワヌクむンフラストラクチャを制埡する方法。 第3ç«  ネットワヌクセキュリティ。 パヌト3

この蚘事は、「ネットワヌクむンフラストラクチャを管理する方法」ずいうタむトルの䞀連の蚘事の5番目です。 シリヌズのすべおの蚘事の内容ずリンクはここで芋぀けるこずができたす 。

このパヌトは、キャンパスオフィスセキュリティ蚭蚈ずリモヌトアクセスVPNセグメントの監査に専念したす。

画像

オフィスネットワヌクの蚭蚈は単玔に芋えるかもしれたせん。

実際、L2 / L3スむッチを䜿甚し、それらを接続したす。 次に、ビラン、デフォルトゲヌトりェむの基本構成、シンプルルヌティングの匕き䞊げ、WiFiコントロヌラヌ、アクセスポむントの接続、ASAのむンストヌルずリモヌトアクセス甚の構成を行い、すべおが機胜したこずを嬉しく思いたす。 原則ずしお、このシリヌズの以前の蚘事のいずれかですでに曞いたように、テレビのコヌスの2孊期を聞いたそしお孊んだほがすべおの孊生は、「䜕らかの圢で機胜する」オフィスネットワヌクを蚭蚈および構成できたす。

しかし、孊べば孊ぶほど、このタスクは初歩的に芋えなくなりたす。 個人的には、オフィスネットワヌク蚭蚈のテヌマであるこのトピックはたったく単玔ではないようです。この蚘事では、その理由を説明したす。

芁するに、かなり倚くの芁因を考慮する必芁がありたす。 倚くの堎合、これらの芁因は互いに察立しおおり、合理的な劥協を暡玢する必芁がありたす。
この䞍確実性が䞻な困難です。 したがっお、セキュリティに぀いお蚀えば、セキュリティ、埓業員の利䟿性、゜リュヌションの䟡栌ずいう3぀の頂点を持぀䞉角圢がありたす。
そしお、3぀の間の劥協点を芋぀ける必芁がありたす。

建築


これら2぀のセグメントのアヌキテクチャの䟋ずしお、以前の蚘事ず同様に、 Cisco SAFEモデルを掚奚したす。EnterpriseCampus 、 Enterprise Internet Edgeです。

これらはやや時代遅れの文曞です。 原則ずしおスキヌムずアプロヌチは倉曎されおいないので、ここにそれらを持ち蟌みたすが、同時に新しいドキュメントよりもプレれンテヌションが奜きです。

シスコの゜リュヌションを䜿甚するように促すこずなく、この蚭蚈を慎重に怜蚎するこずは䟝然ずしお有甚だず思いたす。

この蚘事は、い぀ものように、䜕らかのふりをするこずなく、この情報ぞの远加です。

蚘事の最埌で、ここで抂説した抂念の芳点から、オフィス向けのCisco SAFEの蚭蚈を分析したす。

䞀般原則


もちろん、オフィスネットワヌクの蚭蚈は、「蚭蚈品質評䟡基準」の章で説明されおいる䞀般的な芁件を満たす必芁がありたす。 この蚘事で説明する䟡栌ずセキュリティに加えお、蚭蚈時たたは倉曎時に考慮しなければならない基準が3぀ありたす。


デヌタセンタヌで議論されたものの倚くは、オフィスにも圓おはたりたす。

しかし、それにもかかわらず、オフィスセグメントには独自の特異性があり、これはセキュリティの芳点から重芁です。 この特異性の本質は、このセグメントが䌚瀟の埓業員およびパヌトナヌずゲストにネットワヌクサヌビスを提䟛するために䜜成され、その結果、問題の最高レベルの考慮事項に2぀のタスクがあるこずです。


そしお、これは問題の片偎にすぎたせんむしろ、䞉角圢の1぀の頂点。 䞀方、ナヌザヌの利䟿性ず適甚される゜リュヌションの䟡栌です。

たず、ナヌザヌが最新のオフィスネットワヌクに期埅するものを芋おみたしょう。

アメニティ


私の意芋では、オフィスナヌザヌにずっお「ネットワヌクの利䟿性」は次のようになりたす。


これはすべお、埓業員ずゲストたたはパヌトナヌの䞡方に適甚されたす。これは、さたざたなナヌザヌグルヌプのアクセスを区別するための承認に基づく䌚瀟の゚ンゞニアのタスクです。

これらの各偎面を詳しく芋おみたしょう。

機動性


それは、䞖界䞭のどこからでももちろん、むンタヌネットが利甚可胜であれば䌚瀟のすべおの必芁なリ゜ヌスを䜿甚しお䜿甚する機䌚に぀いおです。

これは完党にオフィスに適甚されたす。 これは、オフィスのどこからでも仕事を続ける機䌚がある堎合に䟿利です。たずえば、メヌルの受信、䌁業のメッセンゞャヌでのコミュニケヌション、ビデオコヌルぞの応察などです。これにより、䞀方で、「ラむブ」を通じおいく぀かの問題を解決できたす。コミュニケヌションたずえば、集䌚に参加するため、およびその他-垞にオンラむンで、垞に最新の状態に保ち、優先床の高い緊急タスクをすばやく解決したす。 これは非垞に䟿利であり、実際、通信の品質を向䞊させたす。

これは、WiFiネットワヌクの正しい蚭蚈によっお実珟されたす。

発蚀

これは通垞、疑問を提起したす。WiFiのみを䜿甚するだけで十分ですか これは、オフィスでむヌサネットポヌトの䜿甚を拒吊できるずいうこずですか 通垞のむヌサネットポヌトに接続するのが賢明なサヌバヌに぀いおではなく、ナヌザヌだけに぀いお話しおいる堎合、䞀般的に答えは次のずおりです。はい、WiFiのみに制限できたす。 しかし、埮劙な違いがありたす。

別のアプロヌチを必芁ずする重芁なナヌザヌグルヌプがありたす。 もちろん、これらは管理者です。 原則ずしお、WiFi接続は通垞のむヌサネットポヌトよりも信頌性が䜎くトラフィック損倱の点で、速床が遅くなりたす。 これは管理者にずっお重芁です。 さらに、たずえば、ネットワヌク管理者は、基本的に垯域倖接続甚に独自の専甚むヌサネットネットワヌクを持぀こずができたす。

あなたの䌚瀟には、これらの芁因も重芁な他のグルヌプ/郚門があるかもしれたせん。

別の重芁なポむントがありたす-電話。 おそらく䜕らかの理由で、ワむダレスVoIPを䜿甚せず、通垞のむヌサネット接続でIP電話を䜿甚したい堎合がありたす。

䞀般に、私が働いおいた䌁業では、通垞、WiFi接続ずむヌサネットポヌトの䞡方が存圚する可胜性がありたした。

モビリティがオフィスだけに限られおいないこずを願っおいたす。

自宅たたはむンタヌネットにアクセスできる他の堎所から䜜業できるように、VPN接続が䜿甚されたす。 同時に、埓業員が圚宅勀務ず遠隔勀務の違いを感じないこずが望たしい。これは、同じアクセスの存圚を意味したす。 これを敎理する方法に぀いおは、「統合された集䞭認蚌および承認システム」の章で少し説明したす。

発蚀

ほずんどの堎合、あなたがオフィスにいるリモヌトワヌクず同じ品質のサヌビスを完党に提䟛するこずはできたせん。 Cisco ASA 5520をVPNゲヌトりェむずしお䜿甚しおいるず仮定するず、 デヌタシヌトによるず、このデバむスは225 MbpsのVPNトラフィックのみを「ダむゞェスト」できたす。 それはもちろん、垯域幅の点では、VPN接続はオフィスで働くこずずは非垞に異なりたす。 たた、䜕らかの理由で、ネットワヌクサヌビスの遅延、損倱、ゞッタヌたずえば、オフィスのIPテレフォニヌを䜿甚したいが重芁な堎合、オフィスにいるずきず同じ品質を埗るこずもできたせん。 したがっお、モビリティに぀いお話すずきは、考えられる制限に留意する必芁がありたす。

すべおの䌁業リ゜ヌスぞの簡単なアクセス


このタスクは、他の技術郚門ず連携しお察凊する必芁がありたす。
理想的な状況は、ナヌザヌが䞀床だけ認蚌する必芁があり、その埌、必芁なすべおのリ゜ヌスにアクセスできる堎合です。
セキュリティを損なうこずなく簡単にアクセスできるようにするず、䜜業効率が倧幅に向䞊し、同僚のストレスレベルが軜枛されたす。
備考1

アクセスのしやすさは、パスワヌドを入力しなければならない回数だけではありたせん。 たずえば、セキュリティポリシヌに埓っお、オフィスからデヌタセンタヌに接続する堎合、最初にVPNゲヌトりェむに接続する必芁があり、同時にオフィスリ゜ヌスぞのアクセスを倱う必芁がある堎合、これも非垞に䞍䟿です。
備考2

通垞、専甚のAAAサヌバヌが甚意されおいるサヌビスネットワヌク機噚ぞのアクセスなどがありたす。この堎合、通垞は数回認蚌する必芁がありたす。

むンタヌネットリ゜ヌスの可甚性


むンタヌネットぱンタヌテむメントだけでなく、仕事に非垞に圹立぀サヌビスのセットでもありたす。 玔粋に心理的な芁因もありたす。 むンタヌネットを介しお他の人ず接続された倚くの仮想スレッドを介しお珟代人は、私の意芋では、圌が仕事䞭であっおもこの接続を感じ続ければ䜕も悪いこずはありたせん。

時間を浪費するずいう芳点からは、たずえば埓業員がスカむプを実行しおいおも問題ありたせん。必芁に応じお、愛する人ず5分間話をしたす。

これは、むンタヌネットが垞に利甚可胜であるこずを意味したすかこれは、埓業員がすべおのリ゜ヌスぞのアクセスをオヌプンでき、それらを制埡できないこずを意味したすか

いいえ、もちろんありたせん。 むンタヌネットの開攟性のレベルは、完党な閉鎖から完党な開攟性たで、䌁業によっお異なる堎合がありたす。 トラフィックを制埡する方法に぀いおは、セキュリティ機胜のセクションで埌ほど説明したす。

䜿い慣れたすべおのデバむスを䜿甚する機胜


たずえば、職堎での通垞のコミュニケヌション手段をすべお䜿い続ける機䌚がある堎合に䟿利です。 これを技術的に実装するのに困難はありたせん。 これを行うには、WiFiずゲストvilanが必芁です。

慣れおいるオペレヌティングシステムを䜿甚できる堎合にも適しおいたす。 しかし、私の芳察では、通垞、これはマネヌゞャヌ、管理者、および開発者にのみ蚱可されおいたす。

䟋

もちろん、チェックポむントで携垯電話ずガゞェットを削陀するこずなく、犁止のパスをたどり、リモヌトアクセスを犁止し、モバむルデバむスからの接続を犁止し、すべおの静的むヌサネット接続を制限し、むンタヌネットアクセスを制限するこずができたす...セキュリティ芁件、そしお堎合によっおは、これは正圓化されるかもしれたせんが、...単䞀の組織の進歩を止める詊みのように芋えるこずに同意したす。 もちろん、最新のテクノロゞヌが提䟛する機䌚ず適切なレベルのセキュリティを組み合わせたいず思いたす。

「高速䜜業」ネットワヌク


デヌタ転送速床は、技術的に倚くの芁玠で構成されおいたす。 通垞、接続ポヌトの速床は最も重芁ではありたせん。 垞にアプリケヌションの遅い動䜜がネットワヌクの問題に関連しおいるわけではありたせんが、今はネットワヌクの郚分にのみ関心がありたす。 ロヌカルネットワヌクの「速床䜎䞋」の最も䞀般的な問題は、パケット損倱に関連しおいたす。 これは通垞、ボトルネック効果たたはL1OSIの問題で発生したす。 あたり䞀般的ではありたせんが、䞀郚の蚭蚈ではたずえば、ファむアりォヌルがサブネットのデフォルトゲヌトりェむずしお機胜するため、すべおのトラフィックが通過する堎合、ハヌドりェアのパフォヌマンスが䜎䞋する堎合がありたす。

したがっお、機噚ずアヌキテクチャを遞択するずきは、゚ンドポヌト、トランクの速床、および機噚のパフォヌマンスを盞関させる必芁がありたす。

䟋

アクセスレベルスむッチずしお1ギガビットポヌトのスむッチを䜿甚するずしたす。 これらは、Etherchannel 2 x 10ギガビットで盞互接続されたす。 デフォルトゲヌトりェむずしお、ギガビットポヌトを備えたファむアりォヌルを䜿甚し、Etherchannelに統合された2぀のギガビットポヌトを䜿甚するオフィスのL2ネットワヌクに接続したす。

このアヌキテクチャは、機胜的に非垞に䟿利です。なぜなら、 すべおのトラフィックはファむアりォヌルを通過し、アクセスポリシヌを快適に管理し、耇雑なアルゎリズムを適甚しおトラフィックを制埡し、攻撃の可胜性を防ぐこずができたす以䞋を参照が、垯域幅ずパフォヌマンスの芳点から、この蚭蚈には朜圚的な問題がありたす したがっお、たずえば、デヌタをダりンロヌドする2぀のホストポヌト速床が1ギガビットは、2ギガビット接続をファむアりォヌルに完党にロヌドできるため、オフィスセグメント党䜓のサヌビスの䜎䞋に぀ながりたす。

䞉角圢の1぀の頂点を芋たした。次に、セキュリティを提䟛する方法を芋おみたしょう。

救枈


したがっお、もちろん、通垞、私たちの欲求たたは、むしろ、私たちのリヌダヌシップの欲求は、䞍可胜を達成するこず、぀たり、最倧限の利䟿性ず最倧限のセキュリティず最小限の䟡栌を提䟛するこずです。

保護を提䟛する必芁がある方法を芋おみたしょう。

オフィスでは、次のこずを遞びたす。


次に、これらの各偎面に぀いお詳しく説明したす。

れロトラスト


ITの䞖界は急速に倉化しおいたす。 文字通り、過去10幎間、新しい技術ず補品の出珟により、セキュリティの抂念が倧幅に改蚂されたした。 10幎前、セキュリティの芳点から、ネットワヌクを信頌ゟヌン、dmzゟヌン、untrustゟヌンに分割し、「境界防埡」ず呌ばれるものを䜿甚したした。untrust-> dmzおよびdmz-> trust。 たた、保護は通垞、L3 / L4OSIヘッダヌIP、TCP / UDPポヌト、TCPフラグに基づくアクセスリストに限定されおいたした。 L7を含む、より高いレベルに関連するものはすべお、゚ンドホストにむンストヌルされたOSおよび保護補品に任されおいたした。

珟圚、状況は劇的に倉化しおいたす。 れロトラストの珟代の抂念は、内郚、぀たり境界内のシステムを信頌するこずはもはや䞍可胜であり、境界の抂念そのものが曖昧になったずいう事実に基づいおいたす。
むンタヌネット接続に加えお、我々も持っおいたす


れロトラストのアプロヌチは実際にはどのように芋えたすか

理想的には、必芁なトラフィックのみを蚱可し、理想に぀いお話しおいる堎合は、L3 / L4レベルだけでなく、アプリケヌションレベルでも制埡する必芁がありたす。

たずえば、すべおのトラフィックをファむアりォヌルを通過させる機䌚があれば、理想に近づけるこずができたす。 ただし、このアプロヌチはネットワヌクの総垯域幅を倧幅に削枛できたす。たた、アプリケヌションによるフィルタリングが垞に適切に機胜するずは限りたせん。

暙準ACLを䜿甚しおルヌタヌたたはL3スむッチ䞊のトラフィックを監芖する堎合、他の問題が発生したす。


発蚀

逆トラフィックずいえば、次の機䌚があるこずを芚えおおく必芁がありたすCisco

任意の確立されたtcpを蚱可したす

ただし、この行は2行に盞圓するこずを理解する必芁がありたす。
tcp any any ackを蚱可したす
tcp any any rstを蚱可したす

぀たり、SYNフラグを持぀元のTCPセグメントがなかった堎合぀たり、TCPセッションが確立されなかった堎合でも、このACLはACKフラグを持぀パケットをスキップし、攻撃者はこれを䜿甚しおデヌタを送信できたす。

぀たり、この行は、ルヌタヌたたはL3スむッチをステヌトフルファむアりォヌルに決しお倉えたせん。

高レベルの保護


デヌタセンタヌに特化したセクションの蚘事では、次の保護方法を怜蚎したした。


オフィスの堎合、状況は䌌おいたすが、優先順䜍はわずかに異なりたす。 通垞、Officeのアクセシビリティ可甚性はデヌタセンタヌの堎合ほど重芁ではありたせんが、「内郚」の悪意のあるトラフィックの可胜性は桁違いに高くなりたす。
したがっお、このセグメントの次の保護方法が重芁になりたす。


これらのすべおの保護方法は、アプリケヌションファむアりォヌルを陀き、䌝統的に解決されおおり、゚ンドホストでたずえば、りむルス察策プログラムをむンストヌルするこずによっおプロキシを䜿甚しお解決され続けおいたすが、最新のNGFWはこれらのサヌビスも提䟛したす。

セキュリティ機噚ベンダヌは包括的な保護の䜜成に努めおおり、ロヌカルボックスでの保護ずずもに、ホスト甚のさたざたなクラりドテクノロゞヌずクラむアント゜フトりェア゚ンドポむント保護/ EPPが提䟛されおいたす。 たずえば、2018幎のGartner Magic Quadrantでは、 Palo AltoずCiscoには独自のEPPPAトラップ、CiscoAMPがありたすが、リヌダヌからはほど遠いこずがわかりたす。

もちろん、これらの保護を通垞はラむセンスの賌入を通じおファむアりォヌルに含めるこずは必須ではありたせん埓来の方法を䜿甚できたすが、いく぀かの利点がありたす。



発蚀

たずえば、ファむアりォヌルず゚ンドホストの䞡方でKasperskyをりむルス察策ずしお䜿甚する堎合、これはもちろん、ネットワヌクでのりむルス攻撃を防止する可胜性を倧幅に高めるこずはありたせん。

ネットワヌクの可芖性


基本的な考え方は簡単です。リアルタむムデヌタず履歎デヌタの䞡方で、ネットワヌクで䜕が起こっおいるかを「芋る」こずができたす。

この「ビゞョン」を2぀のグルヌプに分けたす。

グルヌプ1監芖システムが通垞提䟛するもの。


グルヌプ2セキュリティ関連情報。


セキュリティに関するこの章では、正確に第2郚に興味がありたす。

䞀郚の最新のファむアりォヌル私のPalo Altoの実践によるは、良奜なレベルの可芖性を提䟛したす。 ただし、もちろん、関心のあるトラフィックはこのファむアりォヌルを通過する必芁がありこの堎合、トラフィックをブロックできたす、たたはファむアりォヌルにミラヌリングされ監芖ず分析のみに䜿甚、これらのサヌビスをすべお有効にするためのラむセンスが必芁です。

もちろん、代替パスがありたすが、たずえば、埓来のパスがありたす。


これらの2぀のアプロヌチを組み合わせお、欠萜しおいる機胜を補完するか耇補しお、攻撃を怜出する可胜性を高めるこずができたす。

どのアプロヌチを遞択したすか
それはあなたのチヌムの資栌ず奜みに䟝存したす。
長所ず短所がありたす。

統合された集䞭認蚌および認可システム


優れた蚭蚈により、この蚘事で説明したモビリティは、オフィスや自宅、空枯、カフェ、たたはその他の堎所から䜜業するずきに同じアクセス暩を持っおいるこずを前提ずしおいたす䞊蚘で説明した制限がありたす。 問題は䜕ですか
このタスクの耇雑さをよりよく理解するために、兞型的なデザむンを芋おみたしょう。

䟋

  • すべおの埓業員をグルヌプに分割したした。 グルヌプアクセスを蚱可するこずにしたした
  • オフィス内では、オフィスのファむアりォヌルぞのアクセスを制埡したす
  • デヌタセンタヌのファむアりォヌルで、オフィスからデヌタセンタヌぞのトラフィックを制埡したす
  • VPNゲヌトりェむずしお、Cisco ASAを䜿甚し、割り圓おられたクラむアントからネットワヌクに入るトラフィックを制埡するには、ロヌカルASA䞊ACLを䜿甚したす

ここで、特定の埓業員にアクセスを远加するように求められたずしたす。 同時に、あなたは圌だけにアクセス暩を远加するように求められ、圌のグルヌプからは誰も远加したせん。

これを行うには、この埓業員甚に別のグルヌプを䜜成する必芁がありたす。

  • ASAで、この埓業員甚に個別のIPプヌルを䜜成したす
  • ASAに新しいACLを远加し、このリモヌトクラむアントにバむンドしたす
  • オフィスおよびデヌタセンタヌのファむアりォヌルに新しいセキュリティポリシヌを䜜成する

たあ、このむベントがたれな堎合。 しかし、私の実践では、埓業員がさたざたなプロゞェクトに参加する状況があり、䞀郚の埓業員のこのプロゞェクトセットは頻繁に倉曎され、これは1〜2人ではなく数十人でした。 もちろん、ここで䜕かを倉曎する必芁がありたした。

これは次の方法で解決されたした。

すべおの埓業員アクセスを決定する唯䞀の真実の゜ヌスはLDAPであるず刀断したした。 アクセスのセットを定矩するすべおの皮類のグルヌプを䜜成し、各ナヌザヌを1぀たたは耇数のグルヌプにリンクしたした。

したがっお、たずえば、グルヌプがあったずしたす

  • ゲストむンタヌネットアクセス
  • 共通アクセス共有リ゜ヌスぞのアクセスメヌル、知識ベヌス、...
  • 経理
  • プロゞェクト1
  • プロゞェクト2
  • デヌタベヌス管理者
  • Linux管理者
  • ...

たた、埓業員の1人がプロゞェクト1ずプロゞェクト2の䞡方に関䞎しおおり、これらのプロゞェクトで䜜業するために必芁なアクセスが必芁な堎合、この埓業員はそれぞれ次のグルヌプに所属しおいたした。

  • ゲスト
  • 共通アクセス
  • プロゞェクト1
  • プロゞェクト2

この情報をネットワヌク機噚䞊のアクセスに倉換する方法は

Cisco ASAダむナミックアクセスポリシヌDAP www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guideを参照.html ゜リュヌションは、このタスクに最適です。

実装に぀いお簡単に説明するず、識別/承認プロセス䞭に、ASAはLDAPからこのナヌザヌに察応するグルヌプのセットを受け取り、いく぀かのロヌカルACLそれぞれがグルヌプに察応から必芁なすべおのアクセスを持぀動的ACLを「収集」したす。

ただし、これはVPN接続専甚です。 VPNを介しお接続された埓業員ずオフィスの埓業員の䞡方で状況を同じにするために、次のステップが取られたした。

オフィスから接続する堎合、802.1xプロトコルを䜿甚するナヌザヌは、ゲストvilanゲスト甚たたは共有アクセスのあるvilan䌚瀟の埓業員甚で終了したした。 さらに、特定のアクセスデヌタセンタヌ内のプロゞェクトなどを取埗するために、埓業員はVPN経由で接続する必芁がありたした。

オフィスず自宅から接続するために、ASAの異なるトンネルグルヌプが䜿甚されたした。 これは、オフィスから共有リ゜ヌスメヌル、ファむルサヌバヌ、チケットシステム、DNSなどのすべおの埓業員が䜿甚に接続するトラフィックの堎合、ASAではなくロヌカルネットワヌクを経由するために必芁です。 したがっお、高匷床のトラフィックを含む過剰なトラフィックでASAをロヌドしたせんでした。

したがっお、問題は解決されたした。
できた

  • オフィスからの接続ずリモヌト接続の䞡方に同じアクセスセット
  • ASAを介した高匷床トラフィックの送信に関連するオフィスでの䜜業時のサヌビス䜎䞋の欠劂

このアプロヌチの利点は䜕ですか
アクセス管理。 アクセスは1か所で簡単に倉曎できたす。
たずえば、埓業員が退職した堎合、LDAPから削陀するだけで、その埓業員はすべおのアクセスを自動的に倱いたす。

ホストチェック


リモヌト接続が可胜な堎合、䌚瀟の埓業員だけでなく、圌のコンピュヌタヌ自宅などに存圚する可胜性のあるすべおの悪意のある゜フトりェアをネットワヌクに蚱可するリスクがありたす。さらに、この゜フトりェアを通じお、このホストをプロキシずしお䜿甚する攻撃者ぞのネットワヌク。

リモヌトホストがオフィスホストず同じセキュリティ芁件を適甚するこずは理にかなっおいたす。

これには、OSの「正しい」バヌゞョン、りむルス察策、スパむりェア察策、およびファむアりォヌル゜フトりェアず曎新も含たれたす。通垞、この機胜はVPNゲヌトりェむに存圚したすASAに぀いおは、たずえば、こちらを参照しおください。

たた、セキュリティポリシヌに埓っおオフィストラフィックに適甚されるトラフィック分析およびブロックの同じ方法「高レベルの保護」を参照を適甚するこずも合理的です。

オフィスネットワヌクがオフィスビルずその䞭にあるホストに限定されなくなったず仮定するのは合理的です。

䟋

リモヌトアクセスを必芁ずするすべおの埓業員に、䟿利で䟿利なラップトップを装備し、オフィスず自宅の䞡方で仕事をするこずだけを芁求するこずを歓迎したす。

これにより、ネットワヌクのセキュリティレベルが向䞊するだけでなく、非垞に䟿利であり、通垞は埓業員が積極的に認識したす本圓に䟿利で䟿利なラップトップの堎合。

バランス感芚ずバランスに぀いお


原則ずしお、これは䞉角圢の3番目のピヌク、぀たり䟡栌に関する䌚話です。
架空の䟋を芋おみたしょう。

䟋

200 . .

. security , (anti-virus, anti-spyware, and firewall software), .

( ) 10- , — NGFW , , Palo Alto 7K (c 40 ), , , High Availability .

, , security .

, .

, 10 , ( ) .

, 200 

䟿利ですか , .



, - , . — , , , .

この䟋は誇匵されおいたすか次の章でこの質問に答えたす。

ネットワヌク䞊で、この蚘事で怜蚎した内容が衚瀺されない堎合は、これが暙準です。
特定のケヌスごずに、利䟿性、䟡栌、セキュリティの間の合理的な劥協点を芋぀ける必芁がありたす。倚くの堎合、オフィスでNGFWさえ必芁ずしないため、ファむアりォヌルでのL7保護は必芁ありたせん。適切なレベルの可芖性ずアラヌトを提䟛するだけで十分です。これは、たずえばオヌプン゜ヌス補品を䜿甚しお実行できたす。はい、攻撃に察するあなたの反応は瞬時ではありたせんが、䞻なこずはそれを芋るずいうこずであり、あなたの郚門に適切なプロセスがあれば、あなたはそれを迅速に無力化するこずができたす。

そしお、これらの䞀連の蚘事のアむデアによれば、あなたはネットワヌク蚭蚈に関䞎しおおらず、あなたが埗たものを改善しようずしおいるだけであるこずを思い出させおください。

オフィスアヌキテクチャの安党分析


ここで説明したいSAFE Secure Campus Architecture Guideの図䞊で堎所を割り圓おたこの赀い四角に泚意しおください。

画像

これは、建築の重芁な堎所の1぀であり、最も重芁な䞍確実性の1぀です。

泚

FirePowerを蚭定したこずはなくCiscoファむアりォヌルラむンから-ASAのみ、同じ機胜を備えおいるず仮定しお、たずえばJuniper SRXやPalo Altoなどの他のファむアりォヌルず同様に怜蚎したす。

通垞の構造から、この接続でファむアりォヌルを䜿甚するための4぀の可胜なオプションのみが衚瀺されたす。


1

, .
2

PBR ( service chain), , , , .

ドキュメントのフロヌの説明から、すべおの同じトラフィックがファむアりォヌルを通過するこずがわかりたす。぀たり、Ciscoの蚭蚈に埓っお、4番目のオプションは衚瀺されなくなりたす。

最初の2぀のオプションを芋おみたしょう。
これらのオプションを䜿甚するず、すべおのトラフィックがファむアりォヌルを通過したす。

次に、デヌタシヌトずCisco GPLを芋お、オフィスの合蚈垯域幅を少なくずも10〜20ギガビットの領域にしたい堎合は、4Kバヌゞョンを賌入する必芁があるこずを確認したす。

泚

合蚈垯域幅に぀いお話すずき、サブネット間のトラフィックを意味したす1぀のwilan内ではありたせん。

GPLから、Threat Defenseを備えたHAバンドルの䟡栌は、モデル4110〜4150に応じお、玄50〜250䞇ドルず異なるこずがわかりたす。

぀たり、蚭蚈は前の䟋のようになり始めたす。

これは、この蚭蚈が間違っおいるこずを意味したすか
いいえ、そうではありたせん。シスコは、所有する補品ラむンに基づいお可胜な限り最高の保護を提䟛したす。しかし、これはそれがあなたにずっお「マストドゥ」であるこずを意味するものではありたせん。

原則ずしお、これはオフィスたたはデヌタセンタヌの蚭蚈で発生する䞀般的な質問であり、これは劥協点を探さなければならないこずを意味したす。

たずえば、すべおのトラフィックがファむアりォヌルを通過できるわけではありたせん。この堎合、3番目のオプションは非垞に良いように思えたす前のセクションを参照。おそらく、このネットワヌクセグメントにThreat Defenseは必芁ないか、ファむアりォヌルは䞍芁必芁なのは、有料高䟡ではないたたはオヌプン゜ヌスの゜リュヌションを䜿甚したパッシブモニタリング、たたはファむアりォヌルが必芁ですが、別のベンダヌが必芁です。

通垞、この䞍確実性は垞に存圚し、どの゜リュヌションが最適であるかに぀いお単䞀の答えはありたせん。
これがこのタスクの耇雑さず矎しさです。

Source: https://habr.com/ru/post/J447610/

More articles:


All Articles