सिस्को कैसे अवशोषित कंपनियों की सूचना सुरक्षा की निगरानी करता है और अपने संसाधनों तक उनकी पहुंच प्रदान करता है?

सिस्को की बाज़ार में कंपनियों को अवशोषित करने की एक आक्रामक रणनीति है, जो न केवल हमें हमारे व्यवसाय के प्रमुख क्षेत्रों में आय लाती है, बल्कि यह भी बनाती है कि विदेशी लोग किस तरह की चुनौती शब्द को कॉल करना पसंद करते हैं, जिसे अक्सर रूसी में "चुनौती" के रूप में अनुवादित किया जाता है। शायद यह एक बार हमारी सूचना सुरक्षा सेवा के लिए एक चुनौती थी, लेकिन अब हमने इस समस्या को सफलतापूर्वक हल कर लिया है और मैं इस लेख में इसका समाधान साझा करना चाहूंगा। मूल समस्या का सार सरल था - किसी भी कंपनी के अधिग्रहण की घोषणा के बाद, व्यापार के दृष्टिकोण से और आईटी बुनियादी ढांचे के दृष्टिकोण से, इसे पूरी तरह से एकीकृत करने में लगभग एक वर्ष का समय लगता है। लेकिन एक वर्ष एक लंबी अवधि है, जिसके दौरान हमें न केवल कॉर्पोरेट संसाधनों तक अपनी टीम के नए सदस्यों तक पहुंच प्रदान करनी चाहिए, बल्कि सूचना सुरक्षा के दृष्टिकोण से अवशोषित कंपनी की निगरानी भी सुनिश्चित करनी चाहिए। इस समस्या को हमने कैसे हल किया, इसके बारे में मैं बात करना चाहता हूं।

एकीकरण प्रक्रिया के दौरान, अधिग्रहीत कंपनियों के सभी कर्मचारियों को सभी आंतरिक संसाधनों का उपयोग करने के लिए सिस्को AnyConnect वीपीएन क्लाइंट का उपयोग करने की आवश्यकता होती है, क्योंकि उनके नेटवर्क शुरू में अविश्वसनीय नहीं माने जाते हैं और हमारी सूचना सुरक्षा आवश्यकताओं का अनुपालन नहीं करते हैं। इसी समय, सिस्को की सुरक्षा नीति विभाजित टनलिंग को प्रतिबंधित करती है, जिसका अर्थ है कि नए कर्मचारी एक साथ कॉर्पोरेट नेटवर्क और सीधे इंटरनेट पर दोनों काम नहीं कर सकते हैं, जो उनके लिए असामान्य कठिनाइयों और कम उत्पादकता (विशेष रूप से डेवलपर्स के लिए) बनाता है। वैसे, बड़ी अमेरिकी कंपनियों में हमारी आईएस सेवा द्वारा अनौपचारिक रूप से किए गए एक सर्वेक्षण के अनुसार, विभाजित टनलिंग पर प्रतिबंध एक सामान्य अभ्यास है जो कॉर्पोरेट नेटवर्क की सुरक्षा को बढ़ाता है।



लेकिन अधिग्रहित कंपनियों के कर्मचारियों को वापस। उनके अविश्वसनीय कंप्यूटर कॉर्पोरेट नेटवर्क में प्रवेश का एक बिंदु बन सकते हैं, लेकिन हम इसकी अनुमति नहीं दे सकते। लेकिन साथ ही उन्हें नए कर्मचारियों को पूर्ण एकीकरण के पूरा होने तक हमारे सभी आंतरिक प्रणालियों के साथ काम करने का अवसर प्रदान करना चाहिए। हम साइट-टू-साइट वीपीएन के साथ योजना को लागू कर सकते हैं, लेकिन यह मूल समस्या को हल नहीं करता है, क्योंकि हम विभाजन सुरंग बनाने की अनुमति नहीं देते हैं, जुड़ा हुआ कार्यालय अभी भी अविश्वसनीय है और आईटीयू के माध्यम से पहुंच बहुत सीमित होगी। सिस्को कॉर्पोरेट संसाधनों से जुड़ना स्थानीय संसाधनों या बाहरी सेवाओं (AWS, GitHub, आदि) तक पहुंचना असंभव बनाता है। तदनुसार सिस्को संसाधनों तक पहुंच में कटौती करता है। दुविधा :-( वेब प्रमाणीकरण को लागू करने के मामले में भी, दोनों तकनीकी (उदाहरण के लिए, आईपीवी 6 के साथ) और संगठनात्मक कठिनाइयों - उपयोगकर्ता अनुभव की कमी और एक्सेस प्रदान करने से पहले उपकरणों को सत्यापित करने में असमर्थता (जो कॉरपोरेट नेटवर्क में सिस्को आईएसई करता है) के अलावा भी रहा। इसके अलावा, अविश्वासित साइटों की निगरानी नहीं की जा सकती है, क्योंकि उनके पास सिस्को में एक मानक के रूप में स्वीकार किए जाने वाले आवश्यक उपकरण नहीं हैं।

यह तब था कि C-Bridge का विचार, सिस्को राउटर, स्विच और सुरक्षा उपकरणों का उपयोग कर एक नेटवर्क समाधान, का जन्म तेजी से, सुरक्षित कनेक्शन प्रदान करने और नए, अविश्वसनीय, पुराने या गैर-अनुपालन वाले सिस्को साइटों की सुरक्षा की निगरानी करने के लिए हुआ था। थोड़ा विचलित, यह ध्यान देने योग्य है कि एसओसी निर्माण परियोजनाओं में हमारे द्वारा बिल्कुल उसी विचार का उपयोग किया जाता है, जिसमें औद्योगिक क्षेत्रों और यहां तक ​​कि बाहरी दुनिया से पृथक साइटों की सुरक्षा की निगरानी करना आवश्यक है।



सी-ब्रिज एक पूरी तरह से स्वायत्त और मोबाइल समाधान है जो हमारे उद्यम की सुरक्षा से समझौता किए बिना सिस्को कॉर्पोरेट संसाधनों और अन्य नेटवर्क (उदाहरण के लिए, क्लाउड) तक पहुंच प्रदान करने के लिए उपयोगकर्ता उपकरणों की पहचान प्रबंधन और सत्यापन का उपयोग करता है। साइड से, सी-ब्रिज एक साधारण रैक की तरह दिखता है, जो उपयुक्त उपकरणों से भरा होता है। अब इसकी ऊंचाई 20RU है, लेकिन यह केवल 16RU पर भरी जाती है (4RU भविष्य में उपयोग के लिए आरक्षित है)। इन 16RU में से, एक चौथाई आईटी कार्यों के लिए समर्पित है, और शेष तीन तिमाहियां सुरक्षा और निगरानी के उद्देश्य से हैं।



सिस्को CSIRT हमारे आंतरिक संसाधनों तक पहुंच सहित, इंटरनेट के माध्यम से / सभी तक सी-ब्रिज के साथ निगरानी और हादसा प्रतिक्रिया सेवा की निगरानी करता है। इस रैक का हार्डवेयर इस प्रकार है:



फ़ायरवॉल और वीपीएन कार्यक्षमता के अलावा, निम्नलिखित सूचना सुरक्षा समाधान भी उपयोग किए जाते हैं:

• नेटवर्क के लिए AMP के साथ सिस्को NGIPS
• VWSA के लिए AMP के साथ सामग्री ThreatGrid के साथ एकीकृत
• Unsampled Netflow Generation और Cisco Stealthwatch vFlowCollector में स्थानांतरण
• CSIRT PDNS और सिस्को छाता
• Qualys भेद्यता स्कैनर (आभासी)
• बीजीपी ब्लैक होल / संगरोध
• DLP कार्यक्षमता
• Syslog संग्रह।

अविश्वसनीय स्थानों से सभी ट्रैफ़िक अब सी-ब्रिज से होकर गुजरते हैं, जो मुख्य नियंत्रण बिंदु है। AnyConnect का उपयोग करने वाले दूरस्थ उपयोगकर्ता C-Bridge में Cisco ASA से भी जुड़ते हैं और फिर हमारे कॉर्पोरेट संसाधनों या इंटरनेट से भी जुड़ सकते हैं। सिस्को नेटवर्क के माध्यम से जाने की आवश्यकता के बिना, सिस्को नेटवर्क तक पहुंच DMVPN सुरंग के माध्यम से है, और क्लाउड सेवाओं या इंटरनेट संसाधनों पर यातायात सीधे जाता है। इसी समय, C-Bridge में Cisco NGIPS नेक्स्ट-जेनेरेशन अटैक डिटेक्शन सिस्टम की मौजूदगी, Cisco वेब सिक्योरिटी इंटरनेट एक्सेस कंट्रोल सिस्टम, Cisco AMP एंटी-मालवेयर सिस्टम, Cisco अम्ब्रेला DNS मॉनिटरिंग सिस्टम और Cisco Stealthwatch विसंगति का पता लगाने वाला सिस्टम अविश्वसनीय नेटवर्क को हिट होने से बचाता है। इसमें दुर्भावनापूर्ण कोड और सूचना सुरक्षा के अन्य उल्लंघन शामिल हैं।

चूंकि सी-ब्रिज एक अविश्वसनीय वातावरण में उपयोग किया जाता है, स्वयं सुरक्षा उपकरणों में अंतर्निहित सुरक्षा और अभिगम नियंत्रण तंत्र के अलावा, हम अधिग्रहित कंपनी के किनारे स्थित मोबाइल रैक की भौतिक रूप से रक्षा करते हैं। सी-ब्रिज के आंतरिक और बाहरी "दरवाजे" पर दो सेट ताले का उपयोग (अंदर + बाहर) किया जाता है। उसी समय, बंद दरवाजे नेटवर्क और बिजली की आपूर्ति से उन्हें जोड़ने के लिए तारों के साथ काम करने में हस्तक्षेप नहीं करते हैं। कार्यान्वयन के बाद, वेंटिलेशन के लिए बाहरी दरवाजा खुला छोड़ा जा सकता है।



लेकिन यह फैसला अभी भी कायम नहीं है। अब जब हमारे पास सिस्को नेटवर्क के लिए अविश्वसनीय साइटों का एक सुरक्षित कनेक्शन है, तो सी-ब्रिज से लैस नई सुविधाएँ उपलब्ध हो गई हैं। उदाहरण के लिए, Telepresence कनेक्ट करने के लिए 802.1x समर्थन या सिस्को कॉर्पोरेट लैपटॉप के लिए OS छवियां और सॉफ़्टवेयर डाउनलोड करना। इसके अलावा, अधिग्रहित कंपनी के परिसर में वीडियो निगरानी और एक्सेस कंट्रोल सिस्टम के शीघ्र कार्यान्वयन के लिए सी-ब्रिज और सेफ्टी एंड सिक्योरिटी टीम (शारीरिक सुरक्षा) समाधानों के बीच एकीकरण भी संभव है।

सी-ब्रिज के साथ कई वर्षों का अनुभव बहुत सफल रहा, लेकिन 20-टूनाइट रैक के आकार से जुड़ी कई कठिनाइयां थीं। मुख्य एक इस तथ्य से संबंधित था कि छोटी साइटों पर:

• सी-ब्रिज के लिए कोई अलग कमरा नहीं था
• रैक अच्छी एयर कंडीशनिंग और वेंटिलेशन के बिना ज़्यादा गरम कर सकता है
• कार्यक्षेत्रों में रखा जा रहा है, रैक बहुत शोर था।

हमने स्थापना क्षेत्र, पर्यावरणीय प्रभाव और लागत के लिए न्यूनतम आवश्यकताओं के साथ एक छोटे पैकेज में आईटी और सूचना सुरक्षा कार्यों को समेकित करने के लिए एक हल्के सी-ब्रिज लाइट गेटवे की अवधारणा पेश की है। रैक को कम करने से सी-ब्रिज की बैंडविड्थ और प्रदर्शन में कमी आई, लेकिन छोटी साइटों के लिए यह महत्वपूर्ण नहीं था। नतीजतन, बहुस्तरीय सुरक्षा द्वार की अवधारणा विकसित की गई थी, जिसका उपयोग विभिन्न आकारों के कार्यालयों में किया जाता है:

• छोटा : 2RU = इदरविच के साथ ISR4451, ISR के लिए FTD (UCS-E) और CSIRT VMs के लिए UCS-E, 300Mbps तक
• मध्यम : 3RU = ISR4451 स्विचिंग मॉड्यूल और 2x UCS-E के साथ CSIRT VMs + ASA5555X-FTD, 600Mbps तक
• बड़े : 1 रैक सी-ब्रिज, 1Gbps + पर मानक समाधान।

सी-ब्रिज समाधान के लाभों में शामिल हैं:

• गति । 10 महीने तेजी से कॉर्पोरेट संसाधनों और अविश्वसनीय नेटवर्क तक समवर्ती पहुंच प्रदान करना।
• स्केलेबिलिटी । समाधान एक या अधिक साइटों पर लागू किया जा सकता है।
• पुन: उपयोग । नई परियोजनाओं में एक रैक का पुन: उपयोग किया जा सकता है।
• नेटवर्क सुरक्षा । संभावित खतरों का पता लगाने के लिए एक अविश्वसनीय नेटवर्क में इंटरनेट और आंतरिक यातायात की निगरानी करने की क्षमता।
• कर्मचारियों की उत्पादकता । स्थानीय संसाधनों तक पहुँचने के लिए AnyConnect का उपयोग करने की आवश्यकता को समाप्त करता है।

एकीकरण प्रक्रिया के अंत में, सी-ब्रिज गेटवे को अधिग्रहित कंपनी से हटा दिया जाता है, जो सिस्को नेटवर्क के साथ विलय हो जाता है और अब इसकी निगरानी के लिए अतिरिक्त सुरक्षात्मक तंत्र और उपकरणों की आवश्यकता नहीं होती है - यह हमारे बुनियादी ढांचे का एक अभिन्न अंग बन जाता है।