Cisco tiene una estrategia bastante agresiva de absorber empresas en el mercado, que no solo nos brinda ingresos en 谩reas clave de nuestro negocio, sino que tambi茅n crea lo que a los extranjeros les gusta llamar la palabra desaf铆o, que a menudo se traduce al ruso como "desaf铆o". Quiz谩s esto alguna vez fue un desaf铆o para nuestro servicio de seguridad de la informaci贸n, pero ahora hemos resuelto con 茅xito este problema y me gustar铆a compartir su soluci贸n en este art铆culo. La esencia del problema inicial era simple: despu茅s del anuncio de la adquisici贸n de cualquier empresa, en promedio se tarda aproximadamente un a帽o en integrarse por completo, tanto desde el punto de vista empresarial como desde el punto de vista de la infraestructura de TI. Pero un a帽o es un per铆odo bastante largo durante el cual no solo debemos brindar acceso a los nuevos miembros de nuestro equipo a recursos corporativos, sino tambi茅n garantizar el monitoreo de la empresa absorbida desde el punto de vista de la seguridad de la informaci贸n. Sobre c贸mo resolvimos este problema, quiero hablar.
Durante el proceso de integraci贸n, todos los empleados de las compa帽铆as adquiridas deben usar el cliente Cisco AnyConnect VPN para acceder a todos los recursos internos, ya que sus redes se consideran inicialmente no confiables y no cumplen con nuestros requisitos de seguridad de la informaci贸n. Al mismo tiempo, la pol铆tica de seguridad de Cisco proh铆be el t煤nel dividido, lo que significa que los nuevos empleados no pueden trabajar simult谩neamente tanto en la red corporativa como directamente en Internet, lo que crea dificultades inusuales para ellos y reduce la productividad (especialmente para los desarrolladores). Por cierto, de acuerdo con una encuesta realizada informalmente por nuestro servicio de SI en grandes empresas estadounidenses, la prohibici贸n del t煤nel dividido es una pr谩ctica com煤n que aumenta la seguridad de las redes corporativas.
Pero volvamos a los empleados de las empresas adquiridas. Sus computadoras no confiables pueden convertirse en un punto de entrada a la red corporativa, pero no podemos permitirlo. Pero al mismo tiempo, deber铆an brindar la oportunidad a los nuevos empleados de trabajar con todos nuestros sistemas internos hasta que se complete la integraci贸n total. Podr铆amos implementar el esquema con VPN de sitio a sitio, pero no resuelve el problema original, ya que no permitimos el t煤nel dividido, la oficina conectada permanece sin confianza y el acceso a trav茅s de la UIT ser谩 muy limitado. La conexi贸n a los recursos corporativos de Cisco hace que sea imposible acceder a recursos locales o servicios externos (AWS, GitHub, etc.). El acceso a ellos en consecuencia corta el acceso a los recursos de Cisco. Dilema :-( Incluso en el caso de implementar la autenticaci贸n web, segu铆a habiendo dificultades t茅cnicas (por ejemplo, con IPv6) y organizativas: falta de experiencia del usuario y la incapacidad de verificar dispositivos antes de proporcionar acceso (que
Cisco ISE hace en la red corporativa). Adem谩s de Adem谩s, los sitios no confiables no pueden ser monitoreados, ya que carecen de las herramientas necesarias aceptadas como est谩ndar en Cisco.
Fue entonces cuando la idea de C-Bridge, una soluci贸n de red que utiliza enrutadores, conmutadores y herramientas de seguridad de Cisco, naci贸 para proporcionar conexiones r谩pidas y seguras y monitorear la seguridad de sitios nuevos, no confiables, obsoletos o no conformes de Cisco. Un poco distra铆do, vale la pena se帽alar que usamos exactamente la misma idea en los proyectos de construcci贸n de SOC, en los que es necesario monitorear la seguridad de segmentos industriales e incluso sitios aislados del mundo exterior.
C-Bridge es una soluci贸n totalmente aut贸noma y m贸vil que utiliza la gesti贸n de identidad y la verificaci贸n de dispositivos de usuario para proporcionar acceso a los recursos corporativos de Cisco y otras redes (por ejemplo, nubes) sin comprometer la seguridad de nuestra empresa. Desde un lado, el C-Bridge parece un estante ordinario, relleno con el equipo apropiado. Ahora su altura es de 20RU, pero se llena solo a 16RU (4RU sigue siendo una reserva para uso futuro). De estas 16RU, una cuarta parte se dedica a tareas de TI, y las tres cuartas partes restantes son para fines de seguridad y monitoreo.
El servicio Cisco CSIRT IS Monitoring and Incident Response supervisa con C-Bridge todo el acceso a / a trav茅s de Internet, incluido el acceso a nuestros recursos internos. El hardware de este bastidor es el siguiente:
Adem谩s de la funcionalidad de firewall y VPN, tambi茅n se utilizan las siguientes soluciones de seguridad de la informaci贸n:
- Cisco NGIPS con AMP para redes
- vWSA con AMP para contenido que se integra con ThreatGrid
- Generaci贸n y transferencia de Netflow sin muestrear a Cisco Stealthwatch vFlowCollector
- CSIRT PDNS y Cisco Umbrella
- Qualys Vulnerability Scanner (virtual)
- BGP Agujero negro / Cuarentena
- Funcionalidad DLP
- Colecci贸n Syslog.
Todo el tr谩fico de sitios no confiables ahora pasa a trav茅s del Puente C, que es el punto de control principal. Los usuarios remotos que usan AnyConnect tambi茅n se conectan a Cisco ASA en C-Bridge y luego pueden conectarse a nuestros recursos corporativos o a Internet. El acceso a la red de Cisco es a trav茅s del t煤nel DMVPN, y el tr谩fico a los servicios en la nube o los recursos de Internet va directamente, sin la necesidad de pasar por la red de Cisco. Al mismo tiempo, la presencia del sistema de detecci贸n de ataques de pr贸xima generaci贸n Cisco NGIPS en el C-Bridge, el sistema de control de acceso a Internet Cisco Web Security, el sistema antimalware Cisco AMP, el sistema de monitoreo DNS Umbrella de Cisco y el sistema de detecci贸n de anomal铆as
Cisco Stealthwatch protegen la red no confiable de ser golpeada. contiene c贸digo malicioso y otras violaciones de la seguridad de la informaci贸n.
Dado que C-Bridge se utiliza en un entorno no confiable, adem谩s de los mecanismos de seguridad y control de acceso integrados en las herramientas de seguridad, protegemos f铆sicamente el bastidor m贸vil ubicado al costado de la empresa adquirida. Se utilizan dos juegos de cerraduras (interior + exterior) en las "puertas" internas y externas del C-Bridge. Al mismo tiempo, las puertas cerradas no interfieren con el trabajo con cables para conectarlos a la red y la fuente de alimentaci贸n. Despu茅s de la implementaci贸n, la puerta exterior puede dejarse abierta para ventilaci贸n.
Pero esta decisi贸n no se detiene. Ahora que tenemos una conexi贸n segura de sitios no confiables a la red de Cisco, las nuevas funciones con las que est谩 equipado C-Bridge est谩n disponibles. Por ejemplo, soporte 802.1x para conectar Telepresence o descargar im谩genes de SO y software para laptops corporativas Cisco. Adem谩s, tambi茅n es posible la integraci贸n entre C-Bridge y las soluciones del equipo de seguridad y protecci贸n (seguridad f铆sica) para la implementaci贸n temprana de sistemas de videovigilancia y control de acceso en las instalaciones de la empresa adquirida.
Muchos a帽os de experiencia con el C-Bridge tuvieron mucho 茅xito, pero hubo una serie de dificultades asociadas con el tama帽o del bastidor de 20 tyunitas. El principal estaba relacionado con el hecho de que en sitios peque帽os:
- no hab铆a espacio separado para el puente C
- el estante podr铆a sobrecalentarse sin un buen aire acondicionado y ventilaci贸n
- colocado en espacios de trabajo, el estante era muy ruidoso.
Hemos introducido el concepto de una puerta de enlace ligera C-Bridge Lite para consolidar las funciones de seguridad inform谩tica y de informaci贸n en un paquete peque帽o con requisitos m铆nimos para el 谩rea de instalaci贸n, el impacto ambiental y el costo. La reducci贸n del rack condujo a una disminuci贸n en el ancho de banda y el rendimiento del C-Bridge, pero para sitios peque帽os esto no fue cr铆tico. Como resultado, se desarroll贸 el concepto de puertas de enlace de seguridad multinivel, que se utilizan en oficinas de varios tama帽os:
- Peque帽o : 2RU = ISR4451 con m贸dulo Etherswitch, FTD para ISR (UCS-E) y UCS-E para VM CSIRT, hasta 300Mbps
- Medio : 3RU = ISR4451 con m贸dulo de conmutaci贸n y 2x UCS-E para m谩quinas virtuales CSIRT + ASA5555X-FTD, hasta 600Mbps
- Grande : soluci贸n est谩ndar en 陆 rack C-Bridge, 1 Gbps +.
Las ventajas de la soluci贸n C-Bridge incluyen:
- Velocidad . Proporciona acceso concurrente a recursos corporativos y redes no confiables 10 meses m谩s r谩pido.
- Escalabilidad . La soluci贸n se puede implementar en uno o m谩s sitios.
- Reutilizar Un bastidor se puede reutilizar en nuevos proyectos.
- Seguridad de red . La capacidad de monitorear Internet y el tr谩fico interno en una red no confiable para detectar posibles amenazas.
- Productividad de los empleados . Elimina la necesidad de usar AnyConnect para acceder a los recursos locales.
Al final del proceso de integraci贸n, la puerta de enlace C-Bridge se elimina de la compa帽铆a adquirida, que se fusiona con la red de Cisco y ya no requiere mecanismos y herramientas de protecci贸n adicionales para monitorearla; se convierte en una parte integral de nuestra infraestructura.