अपने नेटवर्क के बुनियादी ढांचे को कैसे नियंत्रित किया जाए। अध्याय तीन नेटवर्क सुरक्षा। भाग तीन

यह लेख "कैसे अपने नियंत्रण में नेटवर्क बुनियादी ढांचे को लेने के लिए" लेख की एक श्रृंखला में पांचवां है। श्रृंखला और लिंक के सभी लेखों की सामग्री यहां पाई जा सकती है ।

यह हिस्सा कैंपस सिक्योरिटी डिजाइन (ऑफिस) और रिमोट एक्सेस वीपीएन सेगमेंट के ऑडिट पर केंद्रित होगा।



ऐसा लग सकता है कि कार्यालय नेटवर्क का डिज़ाइन सरल है।

दरअसल, हम एल 2 / एल 3 स्विच लेते हैं, उन्हें एक साथ जोड़ते हैं। इसके बाद, हम वाइलान्स, डिफॉल्ट गेटवे का प्राथमिक कॉन्फ़िगरेशन करते हैं, सिंपल राउटिंग बढ़ाते हैं, वाईफाई कंट्रोलर कनेक्ट करते हैं, एक्सेस प्वाइंट्स इंस्टॉल करते हैं और रिमोट एक्सेस के लिए एएसए को कॉन्फ़िगर करते हैं, हमें खुशी है कि सब कुछ काम किया। सिद्धांत रूप में, जैसा कि मैंने पहले ही इस श्रृंखला के पिछले लेखों में से एक में लिखा था, लगभग हर छात्र जो टीवी पर एक पाठ्यक्रम के दो सेमेस्टर सुनता है (और सीखा है) एक कार्यालय नेटवर्क को "किसी तरह काम" करने के लिए डिज़ाइन और कॉन्फ़िगर कर सकता है।

लेकिन जितना अधिक आप सीखते हैं, यह कार्य उतना ही कम होने लगता है। मेरे लिए व्यक्तिगत रूप से, यह विषय, कार्यालय नेटवर्क डिजाइन का विषय, बिल्कुल सरल नहीं लगता है, और इस लेख में मैं यह समझाने की कोशिश करूंगा कि क्यों।

संक्षेप में, बहुत सारे कारकों पर विचार करने की आवश्यकता है। अक्सर ये कारक एक दूसरे के साथ संघर्ष में होते हैं और एक उचित समझौता करना पड़ता है।
यह अनिश्चितता मुख्य कठिनाई है। इसलिए, सुरक्षा की बात करें, तो हमारे पास एक त्रिभुज है जिसमें तीन कोने हैं: सुरक्षा, कर्मचारियों के लिए सुविधा और समाधान की कीमत।
और हर बार आपको तीनों के बीच समझौता करना होगा।

आर्किटेक्चर

इन दो खंडों के लिए वास्तुकला के उदाहरण के रूप में, मैं, पिछले लेखों में, सिस्को सेफ मॉडल की सिफारिश करता हूं: एंटरप्राइज कैंपस , एंटरप्राइज इंटरनेट एज ।

ये कुछ पुराने दस्तावेज हैं। मैं उन्हें यहां लाता हूं, क्योंकि सिद्धांत रूप में योजनाएं और दृष्टिकोण नहीं बदले हैं, लेकिन एक ही समय में मुझे नए प्रलेखन की तुलना में प्रस्तुति अधिक पसंद है।

सिस्को समाधानों का उपयोग करने का आग्रह किए बिना, मैं अभी भी इस डिजाइन का सावधानीपूर्वक अध्ययन करने के लिए उपयोगी हूं।

यह लेख, हमेशा की तरह, किसी भी तरह से दिखावा किए बिना, इस जानकारी के अतिरिक्त है।

लेख के अंत में, हम यहां उल्लिखित अवधारणाओं के संदर्भ में कार्यालय के लिए सिस्को सेफ के डिजाइन का विश्लेषण करेंगे।

सामान्य सिद्धांत

बेशक, एक कार्यालय नेटवर्क के डिजाइन को "डिजाइन गुणवत्ता मूल्यांकन मानदंड" अध्याय में यहां चर्चा की गई सामान्य आवश्यकताओं को पूरा करना चाहिए। इस आलेख में चर्चा करने के लिए हम जिस मूल्य और सुरक्षा के अलावा इरादा रखते हैं, उसके तीन और मापदंड हैं जिन्हें हमें डिजाइन करते समय (या बदलाव करते समय) विचार करना चाहिए:

• अनुमापकता (scalability)
• प्रबंधन में सुविधा (प्रबंधनीयता)
• उपलब्धता (उपलब्धता)

डेटा केंद्रों के लिए जो चर्चा की गई थी, उसमें से अधिकांश कार्यालय के लिए भी सही है।

लेकिन, फिर भी, कार्यालय खंड की अपनी विशिष्टता है, जो सुरक्षा के दृष्टिकोण से महत्वपूर्ण है। इस विशिष्टता का सार यह है कि यह खंड कंपनी के कर्मचारियों (साथ ही भागीदारों और मेहमानों) को नेटवर्क सेवाएं प्रदान करने के लिए बनाया गया है, और, परिणामस्वरूप, हमारे पास समस्या के उच्चतम स्तर पर दो कार्य हैं:

• दुर्भावनापूर्ण कार्यों से कंपनी के संसाधनों की रक्षा करें जो कर्मचारियों (मेहमानों, भागीदारों) और उनके द्वारा उपयोग किए जाने वाले सॉफ़्टवेयर से हो सकते हैं। इसमें अनधिकृत नेटवर्क कनेक्शन के खिलाफ सुरक्षा भी शामिल है।
• सिस्टम और उपयोगकर्ता डेटा को सुरक्षित रखें

और यह समस्या का केवल एक पक्ष है (या बल्कि, त्रिकोण का एक शीर्ष)। दूसरी तरफ उपयोगकर्ता की सुविधा और लागू समाधानों की कीमत है।

आइए यह देखकर शुरू करें कि उपयोगकर्ता आधुनिक कार्यालय नेटवर्क से क्या अपेक्षा करता है।

सुविधा

यहाँ मेरी राय में एक कार्यालय उपयोगकर्ता के लिए "नेटवर्क की उपयुक्तता" दिखती है:

• गतिशीलता
• परिचित उपकरणों और ऑपरेटिंग सिस्टम की पूरी श्रृंखला का उपयोग करने की क्षमता
• सभी आवश्यक कंपनी संसाधनों तक आसान पहुंच
• विभिन्न क्लाउड सेवाओं सहित इंटरनेट संसाधनों की उपलब्धता
• "फास्ट वर्क" नेटवर्क

यह सब कर्मचारियों और मेहमानों (या साझेदारों) दोनों पर लागू होता है, और यह पहले से ही कंपनी के इंजीनियरों का कार्य है जो अलग-अलग उपयोगकर्ता समूहों के लिए अलग-अलग पहुंच के लिए प्राधिकरण के आधार पर काम करते हैं।

आइए इन पहलुओं में से प्रत्येक पर एक करीब से नज़र डालें।

गतिशीलता

यह दुनिया में कहीं भी (निश्चित रूप से, जहां इंटरनेट उपलब्ध है) कंपनी के सभी आवश्यक संसाधनों के काम करने और उपयोग करने की क्षमता के बारे में है।

यह पूरी तरह से कार्यालय पर लागू होता है। यह सुविधाजनक है जब आपके पास कार्यालय में कहीं से भी काम जारी रखने का अवसर होता है, उदाहरण के लिए, मेल प्राप्त करें, कॉर्पोरेट संदेशवाहक में संवाद करें, वीडियो कॉल के लिए उपलब्ध रहें ... इस प्रकार, यह आपको एक तरफ, "लाइव" के माध्यम से कुछ मुद्दों को हल करने की अनुमति देता है। संचार (उदाहरण के लिए, रैलियों में भाग लेने के लिए), और दूसरे पर - हमेशा ऑनलाइन रहें, संयम रखें और जल्दी से कुछ जरूरी उच्च प्राथमिकता वाले कार्यों को हल करें। यह बहुत सुविधाजनक है और, वास्तव में, संचार की गुणवत्ता में सुधार करता है।

यह वाईफाई नेटवर्क के सही डिजाइन द्वारा हासिल किया गया है।

टिप्पणी

यह आमतौर पर सवाल उठाता है, क्या यह केवल वाईफाई का उपयोग करने के लिए पर्याप्त है? क्या इसका मतलब यह है कि आप कार्यालय में ईथरनेट पोर्ट का उपयोग करने से इनकार कर सकते हैं? यदि हम केवल उपयोगकर्ताओं के बारे में बात कर रहे हैं, और उन सर्वरों के बारे में नहीं जो साधारण ईथरनेट पोर्ट से जुड़ने में बुद्धिमान हैं, तो सामान्य तौर पर इसका उत्तर है: हाँ, आप अपने आप को केवल वाईफाई तक सीमित कर सकते हैं। लेकिन बारीकियां हैं।

महत्वपूर्ण उपयोगकर्ता समूह हैं जिनके लिए एक अलग दृष्टिकोण की आवश्यकता होती है। ये, बेशक, प्रशासक हैं। सिद्धांत रूप में, एक वाईफाई कनेक्शन कम विश्वसनीय है (यातायात हानि के संदर्भ में) और एक नियमित ईथरनेट पोर्ट की तुलना में कम तेज है। यह व्यवस्थापकों के लिए महत्वपूर्ण हो सकता है। इसके अलावा, नेटवर्क प्रशासक, उदाहरण के लिए, मूल रूप से आउट-ऑफ-बैंड कनेक्शन के लिए अपने स्वयं के समर्पित ईथरनेट नेटवर्क हो सकते हैं।

आपकी कंपनी में अन्य समूह / विभाग हो सकते हैं जिनके लिए ये कारक भी महत्वपूर्ण हैं।

एक और महत्वपूर्ण बिंदु है - टेलीफोनी। शायद किसी कारण से आप वायरलेस वीओआईपी का उपयोग नहीं करना चाहते हैं और सामान्य ईथरनेट कनेक्शन के साथ आईपी फोन का उपयोग करना चाहते हैं।

सामान्य तौर पर, उन कंपनियों में जिनमें मैंने काम किया था, आमतौर पर वाईफाई कनेक्शन और ईथरनेट पोर्ट दोनों की संभावना थी।

काश गतिशीलता केवल कार्यालय तक ही सीमित न हो।

घर से काम करने की क्षमता (या सुलभ इंटरनेट के साथ कोई अन्य स्थान) सुनिश्चित करने के लिए, वीपीएन कनेक्शन का उपयोग किया जाता है। इसी समय, यह वांछनीय है कि कर्मचारियों को घर और दूरदराज के काम से काम के बीच अंतर महसूस नहीं होता है, जो एक ही पहुंच की उपस्थिति का अर्थ है। हम इस बात पर चर्चा करेंगे कि इसे बाद में "एकीकृत केंद्रीकृत प्रमाणीकरण और प्राधिकरण प्रणाली" अध्याय में कैसे व्यवस्थित किया जाए।

टिप्पणी

सबसे अधिक संभावना है, आप दूरस्थ कार्य के लिए सेवाओं की पूरी गुणवत्ता प्रदान करने में सक्षम नहीं होंगे जो आपके पास कार्यालय में हैं। मान लें कि आप वीपीएन गेटवे के रूप में सिस्को एएसए 5520 का उपयोग कर रहे हैं। डेटा शीट के अनुसार , यह डिवाइस केवल 225 एमबीपीएस वीपीएन ट्रैफ़िक को "डाइजेस्ट" करने में सक्षम है। यह निश्चित रूप से, बैंडविड्थ के संदर्भ में, एक वीपीएन कनेक्शन एक कार्यालय से काम करने से बहुत अलग है। इसके अलावा, अगर, किसी कारण से, देरी, हानि, घबराना (उदाहरण के लिए, आप कार्यालय आईपी टेलीफोनी का उपयोग करना चाहते हैं) आपकी नेटवर्क सेवाओं के लिए महत्वपूर्ण हैं, तो आपको भी वैसी गुणवत्ता नहीं मिलेगी जैसी कि आप कार्यालय में थे। इसलिए, जब गतिशीलता के बारे में बात करते हैं, तो हमें संभावित सीमाओं को ध्यान में रखना चाहिए।

सभी कंपनी संसाधनों तक आसान पहुँच

इस कार्य को अन्य तकनीकी विभागों के साथ मिलकर संबोधित किया जाना चाहिए।
आदर्श स्थिति वह है जब उपयोगकर्ता को केवल एक बार प्रमाणित करने की आवश्यकता होती है, और उसके बाद उसे सभी आवश्यक संसाधनों तक पहुँच प्राप्त होती है।
सुरक्षा से समझौता किए बिना आसान पहुंच प्रदान करना कार्य कुशलता को बढ़ा सकता है और अपने सहयोगियों के तनाव के स्तर को कम कर सकता है।

टिप्पणी 1

उपयोग में आसानी केवल एक पासवर्ड दर्ज करने के लिए आपको कितनी बार करना है। यदि, उदाहरण के लिए, आपकी सुरक्षा नीति के अनुसार, कार्यालय से डेटा केंद्र से कनेक्ट करने के लिए, आपको पहले वीपीएन गेटवे से कनेक्ट करना होगा, और साथ ही साथ आप कार्यालय संसाधनों तक पहुंच खो देते हैं, तो यह भी, बहुत असुविधाजनक है।

टिप्पणी 2

ऐसी सेवाएं हैं (उदाहरण के लिए, नेटवर्क उपकरण तक पहुंच) जहां हमारे पास आमतौर पर हमारे अपने समर्पित एएए सर्वर होते हैं और यह आदर्श है जब इस मामले में आपको कई बार प्रमाणित करना होगा।

इंटरनेट संसाधनों की उपलब्धता

इंटरनेट केवल मनोरंजन नहीं है, बल्कि सेवाओं का एक सेट भी है जो काम के लिए बहुत उपयोगी हो सकता है। विशुद्ध रूप से मनोवैज्ञानिक कारक भी हैं। एक आधुनिक व्यक्ति इंटरनेट के माध्यम से कई आभासी धागे के माध्यम से अन्य लोगों के साथ जुड़ा हुआ है, और, मेरी राय में, कुछ गलत नहीं है अगर वह काम करते हुए भी इस संबंध को महसूस करता रहे।

समय खोने के दृष्टिकोण से, इस बारे में चिंता करने की कोई बात नहीं है कि क्या एक कर्मचारी, उदाहरण के लिए, स्काइप चल रहा है, और यदि आवश्यक हो तो वह किसी प्रिय व्यक्ति के साथ बात करने में 5 मिनट खर्च करेगा।

क्या इसका मतलब यह है कि इंटरनेट हमेशा उपलब्ध होना चाहिए, क्या इसका मतलब यह है कि कर्मचारी सभी संसाधनों तक पहुंच खोल सकते हैं और उन पर कोई नियंत्रण नहीं है?

नहीं, बिल्कुल नहीं। इंटरनेट के खुलेपन का स्तर अलग-अलग कंपनियों के लिए अलग-अलग हो सकता है - पूर्ण बंद होने से लेकर पूर्ण खुलापन तक। हम बाद में सुरक्षा सुविधाओं पर वर्गों में यातायात को नियंत्रित करने के तरीकों पर चर्चा करेंगे।

परिचित उपकरणों की पूरी श्रृंखला का उपयोग करने की क्षमता

यह सुविधाजनक है जब, उदाहरण के लिए, आपके पास काम पर संचार के अपने सभी सामान्य साधनों का उपयोग करना जारी रखने का अवसर है। तकनीकी रूप से इसे लागू करने में कोई कठिनाई नहीं है। ऐसा करने के लिए, आपको वाईफाई और एक अतिथि विलेन की आवश्यकता है।

यह भी अच्छा है यदि आप उस ऑपरेटिंग सिस्टम का उपयोग कर सकते हैं जिसका आप उपयोग कर रहे हैं। लेकिन, मेरे अवलोकन में, आमतौर पर, यह केवल प्रबंधकों, प्रशासकों और डेवलपर्स को अनुमति है।

उदाहरण

आप निश्चित रूप से, निषेध के मार्ग का अनुसरण कर सकते हैं, रिमोट एक्सेस पर रोक लगा सकते हैं, मोबाइल उपकरणों से कनेक्ट करने पर रोक लगा सकते हैं, सभी स्थिर ईथरनेट कनेक्शन को प्रतिबंधित कर सकते हैं, इंटरनेट एक्सेस को प्रतिबंधित कर सकते हैं, चेकपॉइंट पर सेल फोन और गैजेट्स को हटाने में विफल हो सकते हैं ... और इस तरह से कुछ संगठनों के साथ वृद्धि हुई है सुरक्षा आवश्यकताओं, और, शायद, कुछ मामलों में, यह उचित हो सकता है, लेकिन ... सहमत हैं कि यह एक एकल संगठन में प्रगति को रोकने के प्रयास की तरह दिखता है। बेशक, मैं उन अवसरों को संयोजित करना चाहूंगा जो आधुनिक प्रौद्योगिकियां पर्याप्त स्तर की सुरक्षा प्रदान करती हैं।

"फास्ट वर्क" नेटवर्क

तकनीकी रूप से डेटा ट्रांसफर दर में कई कारक होते हैं। और आपके कनेक्शन पोर्ट की गति आमतौर पर उनमें से सबसे महत्वपूर्ण नहीं है। हमेशा एप्लिकेशन का धीमा संचालन नेटवर्क की समस्याओं से जुड़ा नहीं होता है, लेकिन अब हम केवल नेटवर्क भाग में रुचि रखते हैं। एक स्थानीय नेटवर्क "धीमा" होने की सबसे आम समस्या पैकेट के नुकसान से संबंधित है। यह आमतौर पर एक अड़चन प्रभाव या L1 (OSI) समस्याओं के साथ होता है। कम सामान्यतः, कुछ डिज़ाइनों के साथ (उदाहरण के लिए, जब कोई फ़ायरवॉल आपके सबनेट में डिफ़ॉल्ट गेटवे के रूप में कार्य करता है और, इस प्रकार, सभी ट्रैफ़िक इसके माध्यम से जाते हैं), हार्डवेयर प्रदर्शन में कमी हो सकती है।

इसलिए, जब उपकरण और वास्तुकला चुनते हैं, तो आपको अंतिम बंदरगाहों, चड्डी और उपकरणों के प्रदर्शन की गति को सहसंबंधित करने की आवश्यकता होती है।

उदाहरण

मान लीजिए कि आप एक्सेस स्तर स्विच के रूप में 1 गीगाबिट पोर्ट के साथ स्विच का उपयोग करते हैं। वे एक एथरचैनल 2 x 10 गीगाबिट्स के माध्यम से जुड़े हुए हैं। डिफ़ॉल्ट गेटवे के रूप में, आप गीगाबिट पोर्ट के साथ एक फ़ायरवॉल का उपयोग करते हैं, जिससे कनेक्ट करने के लिए कार्यालय के L2 नेटवर्क से आप एथरचैनल में संयुक्त 2 गीगाबिट पोर्ट का उपयोग करते हैं।

यह वास्तुकला कार्यक्षमता के मामले में काफी सुविधाजनक है, क्योंकि सभी ट्रैफ़िक फ़ायरवॉल से गुजरते हैं, और आप ट्रैफ़िक को नियंत्रित करने और संभावित हमलों (नीचे देखें) को रोकने के लिए आराम से नीतियों का उपयोग कर सकते हैं और जटिल एल्गोरिदम लागू कर सकते हैं, लेकिन बैंडविड्थ और इस डिज़ाइन के प्रदर्शन के दृष्टिकोण से, ज़ाहिर है, संभावित समस्याएं हैं। इसलिए, उदाहरण के लिए, 2 होस्ट्स डाउनलोड करने वाले डेटा (1 गीगाबिट की पोर्ट स्पीड के साथ) पूरी तरह से फ़ायरवॉल के लिए 2 गीगाबिट कनेक्शन को लोड कर सकते हैं, और इस तरह पूरे कार्यालय खंड के लिए सेवा का ह्रास हो सकता है।

हमने त्रिकोण के एक शीर्ष पर देखा, अब आइए देखें कि हम सुरक्षा कैसे प्रदान कर सकते हैं।

सुरक्षा के साधन

तो, ज़ाहिर है, आमतौर पर, हमारी इच्छा (या बल्कि, हमारे नेतृत्व की इच्छा) असंभव को प्राप्त करना है, अर्थात्, अधिकतम सुरक्षा और न्यूनतम मूल्य के साथ अधिकतम सुविधा प्रदान करना।

आइए देखें कि हमें किन तरीकों से सुरक्षा प्रदान करनी है।

कार्यालय के लिए, मैं निम्नलिखित कार्य करना चाहूंगा:

• शून्य विश्वास डिजाइन दृष्टिकोण
• उच्च स्तर की सुरक्षा
• नेटवर्क दृश्यता
• एकल केंद्रीकृत प्रमाणीकरण और प्राधिकरण प्रणाली
• होस्ट की जाँच

इसके बाद, हम इनमें से प्रत्येक पहलू पर अधिक विस्तार से ध्यान केन्द्रित करते हैं।

शून्य का भरोसा

आईटी की दुनिया बहुत तेजी से बदल रही है। पिछले 10 वर्षों में, नई प्रौद्योगिकियों और उत्पादों के आगमन से सुरक्षा अवधारणाओं का एक बड़ा संशोधन हुआ है। दस साल पहले, सुरक्षा के दृष्टिकोण से, हमने नेटवर्क को विश्वास, डीएमजी और अविश्वास क्षेत्रों में विभाजित किया, और तथाकथित "परिधि रक्षा" लागू किया गया, जहां रक्षा की 2 लाइनें थीं: अविश्वास -> डीएमजी और डीएमजी -> विश्वास। इसके अलावा, सुरक्षा आमतौर पर एल 3 / एल 4 (ओएसआई) हेडर (आईपी, टीसीपी / यूडीपी पोर्ट, टीसीपी झंडे) के आधार पर पहुंच सूची तक सीमित थी। एल 7 सहित उच्च स्तर से संबंधित सब कुछ ओएस पर छोड़ दिया गया था और अंत मेजबान पर स्थापित सुरक्षा उत्पाद।

अब स्थिति नाटकीय रूप से बदल गई है। शून्य विश्वास की आधुनिक अवधारणा इस तथ्य से आगे बढ़ती है कि आंतरिक पर विचार करना संभव नहीं है, अर्थात्, परिधि के अंदर की प्रणालियां विश्वसनीय हैं, और परिधि की बहुत अवधारणा धुंधली हो गई है।
इंटरनेट कनेक्शन के अलावा, हमारे पास भी है

• रिमोट एक्सेस वीपीएन उपयोगकर्ता
• कार्यालय वाईफाई के माध्यम से जुड़े लैपटॉप द्वारा लाए गए विभिन्न व्यक्तिगत गैजेट
• अन्य (शाखा) कार्यालय
• क्लाउड इंफ्रास्ट्रक्चर के साथ एकीकरण

व्यवहार में शून्य ट्रस्ट दृष्टिकोण कैसा दिखता है?

आदर्श रूप से, केवल आवश्यक ट्रैफ़िक को अनुमति दी जानी चाहिए, और यदि हम आदर्श के बारे में बात कर रहे हैं, तो नियंत्रण केवल एल 3 / एल 4 स्तर पर नहीं होना चाहिए, बल्कि आवेदन स्तर पर भी होना चाहिए।

यदि, उदाहरण के लिए, आपके पास फ़ायरवॉल के माध्यम से सभी ट्रैफ़िक पास करने का अवसर है, तो आप आदर्श के करीब जाने की कोशिश कर सकते हैं। लेकिन यह दृष्टिकोण आपके नेटवर्क की कुल बैंडविड्थ को काफी कम कर सकता है, और इसके अलावा, एप्लिकेशन द्वारा फ़िल्टर करना हमेशा अच्छी तरह से काम नहीं करता है।

राउटर या L3 स्विच (मानक ACLs का उपयोग करके) पर ट्रैफिक की निगरानी करते समय, आप अन्य समस्याओं का सामना करते हैं:

• यह केवल L3 / L4 फ़िल्टरिंग है। कुछ भी हमलावर को अपने आवेदन के लिए अनुमत बंदरगाहों (जैसे टीसीपी 80) का उपयोग करने से रोकता है (http नहीं)
• जटिल ACL प्रबंधन (ACL का विश्लेषण करना मुश्किल)
• यह एक स्टेटफुल फ़ायरवॉल नहीं है, अर्थात, आपको स्पष्ट रूप से रिवर्स ट्रैफ़िक की अनुमति देने की आवश्यकता है
• स्विच के मामले में, आप आमतौर पर टीसीएएम के आकार द्वारा काफी कसकर सीमित होते हैं, जो यदि आप "केवल वही चीज जिसकी आपको आवश्यकता है" का उपयोग करते हैं, तो यह जल्दी से एक समस्या बन सकती है।

टिप्पणी

रिवर्स ट्रैफ़िक की बात करते हुए, हमें याद रखना चाहिए कि हमारे पास अगला अवसर है (सिस्को)

परमिट किसी भी स्थापित tcp

लेकिन आपको यह समझना चाहिए कि यह लाइन दो लाइनों के बराबर है:
परमिट किसी भी ack tcp
परमिट किसी भी rst tcp

जिसका अर्थ है कि भले ही SYN ध्वज के साथ प्रारंभिक टीसीपी खंड नहीं था (यानी, टीसीपी सत्र भी स्थापित होना शुरू नहीं हुआ था), यह एसीएल एसीके ध्वज के साथ पैकेट को छोड़ देगा, जिसका उपयोग हमलावर डेटा प्रसारित करने के लिए कर सकता है।

यही है, यह रेखा किसी भी तरह से आपके राउटर या एल 3 स्विच को स्टेटफुल फ़ायरवॉल में बदल नहीं सकती है।

उच्च स्तर की सुरक्षा

डेटा केंद्रों को समर्पित अनुभाग में लेख में, हमने सुरक्षा के निम्नलिखित तरीकों पर विचार किया।

• स्टेटफुल फ़ायरवॉलिंग (डिफ़ॉल्ट)
• ddos / dos सुरक्षा
• आवेदन फ़ायरवॉल
• खतरे की रोकथाम (एंटीवायरस, एंटी-स्पाइवेयर और भेद्यता)
• URL फ़िल्टरिंग
• डेटा फ़िल्टरिंग (सामग्री फ़िल्टरिंग)
• फ़ाइल अवरुद्ध (फ़ाइल प्रकार अवरुद्ध)

कार्यालय के मामले में, स्थिति समान है, लेकिन प्राथमिकताएं थोड़ी अलग हैं। ऑफिस एक्सेसिबिलिटी (उपलब्ध करने योग्य) आमतौर पर डेटा सेंटर के मामले में उतनी महत्वपूर्ण नहीं है, जबकि "आंतरिक" दुर्भावनापूर्ण ट्रैफ़िक की संभावना अधिक परिमाण के आदेश है।
इसलिए, इस सेगमेंट के लिए निम्नलिखित सुरक्षा विधियां महत्वपूर्ण हो जाती हैं:

• आवेदन फ़ायरवॉल
• खतरे की रोकथाम (एंटी-वायरस, एंटी-स्पाइवेयर और भेद्यता)
• URL फ़िल्टरिंग
• डेटा फ़िल्टरिंग (सामग्री फ़िल्टरिंग)
• फ़ाइल अवरुद्ध (फ़ाइल प्रकार अवरुद्ध)

हालाँकि ये सभी सुरक्षा विधियाँ, अनुप्रयोग फ़ायरवॉलिंग के अपवाद के साथ, परंपरागत रूप से हल हो गई हैं और अंत में मेजबानों पर हल की जा रही हैं (उदाहरण के लिए, एंटी-वायरस प्रोग्राम स्थापित करके) और परदे के पीछे का उपयोग करते हुए, आधुनिक NGFWs भी इन सेवाओं को प्रदान करते हैं।

सुरक्षा उपकरण विक्रेता व्यापक सुरक्षा बनाने का प्रयास करते हैं, इसलिए, स्थानीय बॉक्स पर सुरक्षा के साथ, मेजबानों के लिए विभिन्न क्लाउड प्रौद्योगिकियों और क्लाइंट सॉफ़्टवेयर (अंत बिंदु सुरक्षा / ईपीपी) की पेशकश की जाती है। उदाहरण के लिए, 2018 के लिए गार्टनर मैजिक क्वाड्रंट से, हम देखते हैं कि पालो ऑल्टो और सिस्को के पास अपने ईपीपी (पीए: ट्रैप, सिस्को: एएमपी) हैं, लेकिन वे नेताओं से बहुत दूर हैं।

फायरवॉल पर इन सुरक्षा (आमतौर पर लाइसेंस की खरीद के माध्यम से) को शामिल करना, अनिवार्य नहीं है (आप पारंपरिक तरीके से जा सकते हैं), लेकिन यह कुछ फायदे प्रदान करता है:

• इस मामले में, सुरक्षा विधियों के आवेदन का एक एकल बिंदु दिखाई देता है, जो दृश्यता में सुधार करता है (अगला विषय देखें)।
• यदि आपके नेटवर्क में एक असुरक्षित डिवाइस है, तो यह अभी भी फ़ायरवॉल सुरक्षा के "छाता" के अंतर्गत आता है
• अंत मेजबान पर सुरक्षा के साथ-साथ फ़ायरवॉल पर सुरक्षा का उपयोग करना, हम दुर्भावनापूर्ण ट्रैफ़िक का पता लगाने की संभावना बढ़ाते हैं। उदाहरण के लिए, स्थानीय मेजबानों और फ़ायरवॉल पर खतरे की रोकथाम का उपयोग करके पता लगाने की संभावना बढ़ जाती है (बशर्ते, कि ये समाधान विभिन्न सॉफ़्टवेयर उत्पादों पर आधारित हों)

सूचना

यदि, उदाहरण के लिए, आप फायरवॉल और एंड मेजबानों दोनों पर कैसपर्सकी को एक एंटी-वायरस के रूप में उपयोग करते हैं, तो निश्चित रूप से, यह आपके नेटवर्क पर वायरस के हमले को रोकने के अवसरों को बहुत अधिक नहीं बढ़ाएगा।

नेटवर्क दृश्यता

मूल विचार सरल है - वास्तविक समय और ऐतिहासिक डेटा दोनों में, आपके नेटवर्क पर क्या हो रहा है, इसे देखने के लिए।

मैं इस "विज़न" को दो समूहों में बाँटूँगा:

समूह एक: आपका मॉनिटरिंग सिस्टम आमतौर पर आपको क्या प्रदान करता है।

• उपकरण लोड हो रहा है
• लोड हो रहा है चैनल
• स्मृति उपयोग
• डिस्क का उपयोग
• रूटिंग टेबल बदल रहा है
• लिंक राज्य
• उपकरणों की उपलब्धता (या मेजबान)
• ...

समूह दो: सुरक्षा संबंधित जानकारी।

• विभिन्न प्रकार के आँकड़े (उदाहरण के लिए, एप्लिकेशन द्वारा, ट्रैफ़िक URL द्वारा, किस प्रकार के डेटा डाउनलोड किए गए, उपयोगकर्ताओं द्वारा डेटा)
• क्या सुरक्षा नीतियों और किस कारण से अवरुद्ध किया गया था, अर्थात्
  
  • निषिद्ध आवेदन
  • IP / प्रोटोकॉल / पोर्ट / झंडे / ज़ोन के आधार पर निषिद्ध
  • खतरे की रोकथाम
  • यूआरएल फ़िल्टरिंग
  • डेटा फ़िल्टरिंग
  • फ़ाइल अवरुद्ध
  • ...
• डॉस / डीडीओएस हमलों पर आंकड़े
• असफल प्रमाणीकरण और प्राधिकरण के प्रयास
• उपरोक्त सभी सुरक्षा नीति उल्लंघनों के आँकड़े
• ...

सुरक्षा पर इस अध्याय में, हम ठीक दूसरे भाग में रुचि रखते हैं।

कुछ आधुनिक फायरवॉल (मेरे पालो अल्टो अभ्यास से) दृश्यता का एक अच्छा स्तर प्रदान करते हैं। लेकिन, निश्चित रूप से, ट्रैफ़िक जो आपके हितों को इस फ़ायरवॉल के माध्यम से जाना चाहिए (इस मामले में, आप ट्रैफ़िक को रोक सकते हैं) या फ़ायरवॉल को प्रतिबिंबित किया जा सकता है (केवल निगरानी और विश्लेषण के लिए उपयोग किया जाता है), और आपके पास इन सभी सेवाओं को सक्षम करने के लिए लाइसेंस होना चाहिए। ।

बेशक, एक वैकल्पिक मार्ग है, बल्कि एक पारंपरिक मार्ग है, उदाहरण के लिए,

• सत्रों के आंकड़े नेटफ्लो के माध्यम से एकत्र किए जा सकते हैं और फिर जानकारी का विश्लेषण करने और डेटा की कल्पना करने के लिए विशेष उपयोगिताओं का उपयोग कर सकते हैं
• खतरे की रोकथाम - अंतिम मेजबानों पर विशेष कार्यक्रम (एंटी-वायरस, एंटी-स्पाइवेयर, फ़ायरवॉल)
• प्रॉक्सी पर URL फ़िल्टरिंग, डेटा फ़िल्टरिंग, फ़ाइल ब्लॉकिंग -
• भी, का उपयोग कर उदाहरण के लिए tcpdump विश्लेषण कर सकते हैं, नाक से शब्द निकालना

आप इन दो दृष्टिकोणों को जोड़ सकते हैं, लापता सुविधाओं को पूरक कर सकते हैं या हमले का पता लगाने की संभावना को बढ़ाने के लिए उनकी नकल कर सकते हैं।

कौन सा दृष्टिकोण चुनना है?
यह आपकी टीम की योग्यता और पसंद पर निर्भर करता है।
वहाँ और वहाँ दोनों पेशेवरों और विपक्ष हैं।

एकीकृत केंद्रीय प्रमाणीकरण और प्राधिकरण प्रणाली

एक अच्छे डिजाइन के साथ, हमने इस लेख में जिस गतिशीलता पर चर्चा की है, वह मानती है कि कार्यालय से या घर से, हवाई अड्डे से, किसी कैफे या किसी अन्य बिंदु से (जिस सीमाओं के बारे में हमने ऊपर चर्चा की है) काम करते समय आपके पास समान पहुंच है। ऐसा लगता है, क्या समस्या है?
इस कार्य की जटिलता को बेहतर ढंग से समझने के लिए, आइए एक विशिष्ट डिज़ाइन देखें।

उदाहरण

• आपने सभी कर्मचारियों को समूहों में विभाजित किया है। आपने समूह पहुंच प्रदान करने का निर्णय लिया है
• कार्यालय के अंदर, आप कार्यालय फ़ायरवॉल तक पहुंच को नियंत्रित करते हैं
• आप डेटा केंद्र के फ़ायरवॉल पर कार्यालय से डेटा केंद्र तक ट्रैफ़िक नियंत्रित करते हैं
• वीपीएन गेटवे के रूप में, आप सिस्को एएसए का उपयोग करते हैं और आवंटित क्लाइंट से अपने नेटवर्क में प्रवेश करने वाले ट्रैफ़िक को नियंत्रित करने के लिए, आप स्थानीय (एएसए पर) एसीएल का उपयोग करते हैं

, , . .

,

• ASA IP
• ACL ASA
• security policy -

, . , , , 1 -2 , . , - .

.

, , LDAP. , .

, , ,

• guest ( )
• common access ( : , , …)
• accounting
• project 1
• project 2
• data base administrator
• linux administrator
• ...

- , 1, 2, , :

• guest
• common access
• project 1
• project 2

?

Cisco ASA Dynamic Access Policy (DAP) (. www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/108000-dap-deploy-guide.html ) .

, / ASA LDAP , «» ACL ( ) ACL , .

VPN . , VPN, .

, 802.1x ( ), ( ). , (, -) VPN.

ASA. , ( , , , , dns, ...) ASA, . , ASA , .

, .

• , ,
• , ASA

?
. , .
, , LDAP, .

(host checking)

यदि एक दूरस्थ कनेक्शन संभव है, तो हमें न केवल कंपनी के एक कर्मचारी को अनुमति देने का जोखिम है, बल्कि सभी दुर्भावनापूर्ण सॉफ़्टवेयर भी हैं जो संभवतः अपने कंप्यूटर (उदाहरण के लिए, घर) पर नेटवर्क में मौजूद हैं, और इसके अलावा, इस सॉफ़्टवेयर के माध्यम से, हम इस तक पहुंच खोल सकते हैं एक हमलावर के लिए हमारा नेटवर्क जो प्रॉक्सी के रूप में इस होस्ट का उपयोग करता है।

यह दूरस्थ होस्ट के लिए उसी सुरक्षा आवश्यकताओं को लागू करने के लिए समझ में आता है जैसा कि वह कार्यालय होस्ट के लिए करता है।

इसमें OS का "सही" संस्करण, एंटी-वायरस, एंटी-स्पाइवेयर और फ़ायरवॉल सॉफ़्टवेयर और अपडेट शामिल हैं। आमतौर पर, यह सुविधा वीपीएन गेटवे (एएसए के लिए, उदाहरण के लिए, यहां ) पर मौजूद है।

ट्रैफ़िक विश्लेषण और अवरोधन ("उच्च स्तर की सुरक्षा" देखें) के समान तरीकों को लागू करना भी उचित है, जो आपकी सुरक्षा नीति के अनुसार, कार्यालय ट्रैफ़िक पर लागू होता है।

यह मान लेना उचित है कि आपका कार्यालय नेटवर्क अब केवल कार्यालय भवन और उसमें स्थित मेजबानों तक सीमित नहीं है।

उदाहरण

एक अच्छा रिसेप्शन प्रत्येक कर्मचारी को लैस करना है जिसे एक अच्छे, सुविधाजनक लैपटॉप के साथ रिमोट एक्सेस की आवश्यकता होती है और उन्हें कार्यालय और घर दोनों में ही उससे काम करने की आवश्यकता होती है।

यह न केवल आपके नेटवर्क के सुरक्षा स्तर को बढ़ाता है, बल्कि कर्मचारियों द्वारा वास्तव में सुविधाजनक और आमतौर पर सकारात्मक माना जाता है (यदि यह वास्तव में अच्छा और सुविधाजनक लैपटॉप है)।

अनुपात और संतुलन की भावना के बारे में

सिद्धांत रूप में, यह हमारे त्रिकोण के तीसरे शिखर के बारे में बातचीत है - कीमत के बारे में।
आइए एक काल्पनिक उदाहरण देखें।

200 . .

. security , (anti-virus, anti-spyware, and firewall software), .

( ) 10- , — NGFW , , Palo Alto 7K (c 40 ), , , High Availability .

, , security .

, .

, 10 , ( ) .

, 200 …
? , .

…
, - , . — , , , .

क्या यह उदाहरण अतिरंजित है? अगला अध्याय इस प्रश्न का उत्तर देगा।

यदि आपके नेटवर्क पर, आपको इस आलेख में कुछ भी नहीं दिखाई देता है, तो यह आदर्श है।
प्रत्येक विशिष्ट मामले के लिए, आपको सुविधा, मूल्य और सुरक्षा के बीच अपना उचित समझौता करने की आवश्यकता है। अक्सर आपको अपने कार्यालय में NGFW की आवश्यकता नहीं होती है, फ़ायरवॉल पर L7 सुरक्षा की आवश्यकता नहीं होती है। यह दृश्यता और अलर्ट का एक अच्छा स्तर प्रदान करने के लिए पर्याप्त है, और यह खुले स्रोत उत्पादों का उपयोग करके किया जा सकता है, उदाहरण के लिए। हां, हमले पर आपकी प्रतिक्रिया तात्कालिक नहीं होगी, लेकिन मुख्य बात यह है कि आप इसे देखेंगे, और यदि आपके पास अपने विभाग में सही प्रक्रियाएं हैं, तो आप इसे जल्दी से बेअसर कर पाएंगे।

और, मैं आपको याद दिलाता हूं कि इन लेखों की श्रृंखला की योजना के अनुसार, आप नेटवर्क डिज़ाइन में शामिल नहीं हैं, आप केवल वही सुधारने की कोशिश कर रहे हैं जो आपको मिला था।

ऑफिस आर्किटेक्चर का सेफ विश्लेषण

इस लाल वर्ग पर ध्यान दें जिसके साथ मैंने सेफ सेफ कैंपस आर्किटेक्चर गाइड से आरेख पर एक जगह आवंटित की है , जिसके बारे में मैं यहां चर्चा करना चाहूंगा।



यह वास्तुकला के प्रमुख स्थानों में से एक है और सबसे महत्वपूर्ण अनिश्चितताओं में से एक है।

नोट:

मैंने कभी सेट अप नहीं किया और फायरपावर (सिस्को फ़ायरवॉल लाइन से - केवल एएसए के साथ) के साथ काम नहीं किया, इसलिए मैं इसे किसी भी अन्य फ़ायरवॉल की तरह मानूंगा, उदाहरण के लिए, जुनिपर SRX या पालो ऑल्टो की तरह, यह मानते हुए कि इसमें समान विशेषताएं हैं ।

सामान्य निर्माण से, मुझे इस कनेक्शन के साथ फ़ायरवॉल का उपयोग करने के लिए केवल 4 संभावित विकल्प दिखाई देते हैं:

• , transparent ( , L3 )
• - ( SVI ), L2
• VRF, VRF , VRF ACL
• ,

1

, .

2

PBR ( service chain), , , , .

दस्तावेज़ में प्रवाह के विवरण से, हम देखते हैं कि सभी समान ट्रैफ़िक फ़ायरवॉल से होकर जाते हैं, अर्थात, सिस्को के डिज़ाइन के अनुसार, चौथा विकल्प गायब हो जाता है।

आइए पहले दो विकल्पों को देखें।
इन विकल्पों के साथ, सभी ट्रैफ़िक फ़ायरवॉल के माध्यम से जाते हैं।

अब हम डेटा शीट को देखते हैं, सिस्को जीपीएल को देखते हैं और देखते हैं कि यदि हम चाहते हैं कि हमारे कार्यालय के लिए कुल बैंडविड्थ कम से कम 10 - 20 गीगाबिट के क्षेत्र में हो, तो हमें 4K संस्करण खरीदना चाहिए।

नोट

जब मैं कुल बैंडविड्थ के बारे में बात करता हूं, तो मेरा मतलब है कि सबनेट के बीच ट्रैफ़िक (और एक विलेन के अंदर नहीं)।

जीपीएल से हम देखते हैं कि खतरा रक्षा के साथ हा बंडल के लिए, मॉडल (4110 - 4150) के आधार पर कीमत ~ 0.5 - 2.5 मिलियन डॉलर से भिन्न होती है।

यही है, हमारा डिज़ाइन पिछले उदाहरण से मिलता जुलता है।

क्या इसका मतलब यह है कि यह डिज़ाइन गलत है?
नहीं, यह नहीं है। सिस्को आपको उस उत्पाद लाइन के आधार पर सर्वोत्तम संभव सुरक्षा प्रदान करता है जो उसके पास है। लेकिन इसका मतलब यह नहीं है कि यह आपके लिए "मास्ट-डू" है।

सिद्धांत रूप में, यह एक सामान्य प्रश्न है जो किसी कार्यालय या डेटा केंद्र के डिज़ाइन में उत्पन्न होता है, और इसका केवल यही अर्थ है कि एक समझौता आवश्यक है।

उदाहरण के लिए, फ़ायरवॉल के माध्यम से सभी ट्रैफ़िक की अनुमति नहीं है, और इस मामले में 3 विकल्प मुझे बहुत अच्छा लगता है, या (पिछले अनुभाग को देखें), आपको शायद Threat Defence की ज़रूरत नहीं है या आपको इस नेटवर्क सेगमेंट में फ़ायरवॉल की आवश्यकता नहीं है, और आपको बस भुगतान (महंगा नहीं) या ओपन सोर्स समाधानों का उपयोग करके निष्क्रिय निगरानी करना है, या आपको एक फ़ायरवॉल की आवश्यकता है, लेकिन किसी अन्य विक्रेता की।

आमतौर पर हमेशा यह अनिश्चितता रहती है और इसका कोई एक जवाब नहीं है कि कौन सा समाधान आपके लिए सबसे अच्छा है।
यह इस कार्य की जटिलता और सुंदरता है।