Cisco Unified Access Roadshow One Policy

Transcript

1 Cisco Unified Access Roadshow One Policy 12 Marzo Cisco e/o i relativi affiliati. Tutti i diritti sono riservati.

2 Policy di Controllo degli Accessi: sfide e architettura Unified Access con Cisco ISE per il BYOD Esperienza Utente per il BYOD Come si differenzia Cisco 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 2

3 Sfida: supportare il BYOD senza incrementare i costi operativi dell'it BYOD Il portale zero-touch automatizza la registrazione dei dispositivi, la containerizzazione delle Migliorata produttività, costo inferiore, maggiore sicurezza applicazioni e lo stato di sicurezza dei dispositivi Sfida: Controllo identificare degli accessi cosa è presente sicuro: connessione nella rete degli oggetti Identificazione Visibilità del tramite dispositivo impronta (profili), del dispositivo stato di (identificazione sicurezza, controllo degli oggetti), contestuale, analisi dello AAA stato di sicurezza Controllo delle policy coerente in tutta la rete Sfida: garantire una policy E2E coerente indipendente dalla topologia Cisco Controllo TrustSec degli e la accessi gestione differenziato delle policy Tecnologia UTILITY ENERGIA SANITÀ ISTRUZIONE SUPERIORE ISTRUZIONE SECONDARIA 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 3

4 Gestione delle policy ISE (Identity Services Engine) Prime Infrastructure Informazioni sulle policy Directory degli utenti Profili dall'infrastruttura Cisco, Condizioni di sicurezza garantite da NAC o agente AnyConnect Applicazione delle policy Infrastruttura Cisco: switch, controller wireless, firewall, router Contesto delle policy Identità utente Dispositivi Personali Asset aziendali Dispositivi non utente 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 4

5 Quadrante magico di Gartner 2013 sul NAC Soluzione per la gestione delle policy Controllo degli accessi alla rete unificato Soluzione BYOD chiavi in mano Prima soluzione a livello di sistema Eccellente integrazione nella rete Controllo delle policy a livello di sistema da un'unica schermata Prodotto pluripremiato Cisco insignito del premio Pioneer Award 2012 Oltre 400 partner ATP addestrati e affidabili Oltre successi il primo anno 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 5

6 One Network One Policy Desidero che alla mia rete abbiano accesso solo gli utenti e i dispositivi appropriati Desidero che l'utente e i dispositivi ricevano servizi di rete adeguati Desidero consentire l'accesso alla rete agli utenti guest controllandone il comportamento Intendo consentire o rifiutare l'uso di ipad nella mia rete (BYOD) Desidero accertarmi che i dispositivi nella mia rete siano incontaminati Servizi di autenticazione Servizi di autorizzazione Gestione del ciclo di vita degli utenti guest Profili e servizi BYOD Servizi di postura One Management Mi serve un metodo scalabile per applicare la policy agli accessi su tutta la rete TrustSec SGA 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 6

7 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 7

8 Il nuovo modo Best practice oggi Disponibile a breve Best practice (2 trimestre 2013) ISE Controllo degli accessi dei dispositivi Profilatura dei dispositivi Integrazione BYOD Controllo degli accessi dei dispositivi MDM Controllo della sicurezza dei dispositivi mobili Conformità dei dispositivi Gestione delle applicazioni mobili Protezione dei dati archiviati ISE e MDM Conformità dei dispositivi mobili forzata Forza l'integrazione in MDM dei dispositivi personali utilizzati per lavoro Registra ma limita l'accesso in caso di dispositivi personali non gestiti da MDM Mette in quarantena i dispositivi non conformi in base alla policy MDM MDM non può percepire i dispositivi non registrati per applicare la sicurezza dei dispositivi, ma la rete può farlo! MDM: Mobile Device Management 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 8

9 Registrazione del dispositivo in MDM tramite ISE o I client non registrati vengono reindirizzati alla pagina di registrazione MDM Accesso limitato o Ai client non conformi verrà concesso accesso limitato basato su policy Agente MDM endpoint o Conformità o Applicazioni dei dispositivi Azione del dispositivo mediante ISE Dispositivo rubato -> cancellazione dei dati sul client 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 9

10 L'utente si connette al SSID sicuro PEAP: nome utente o password Reindirizzamento al portale di provisioning L'utente registra il dispositivo Scarica il certificato Scarica la configurazione del supplicant Asset personale BYOD sicuro Access point Controller LAN wireless L'utente si riconnette utilizzando EAP-TLS ISE AD o LDAP 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 10

11 L'utente si connette al SSID aperto Reindirizzamento al portale di autenticazione Web L'utente immette le credenziali dipendente o guest L'ospite sottoscrive AUP e ottiene l'accesso guest Il dipendente registra il dispositivo Asset personale BYOD sicuro BYOD aperto Access point Controller LAN wireless Scarica il certificato Scarica la configurazione del supplicant Il dipendente si riconnette utilizzando EAP-TLS ISE AD o LDAP 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 11

12 Prime NCS per la Architettura UA per policy unificate con il BYOD reportistica Integrazione di MDM per la conformità e la visibilità delle applicazioni Cisco Prime NCS Cisco ISE MDM Manager RADIUS Appliance MDM di terze parti Switch Cisco Catalyst Cisco WLAN Controller Cisco ASA Firewall Dispositivi di rete cablati Rete cablata Wireless Accesso remoto 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 12

13 Esempio: reportistica ISE con MDM 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 13

17 Qualsiasi dispositivo Dispositivo registrato Dispositivo aziendale Ruolo utente e dispositivo Server Web generale Portale notizie dipendenti Portale manager Applicazion e cartellino dipendente Server carte di credito Dispositivo non registrato Dipendenti Gestione Scanner per carte di credito 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 19

19 Accesso SSID: wi-fi aziendale Dipendente registrato Gruppo AD: "Gestione" 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 22

20 Assegnazione del profilo iphone Certificato richiesto Accesso SSID: cc-secure-wifi Gruppo AD: "Scanner per carte di credito" 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 23

21 Architettura VLAN Problemi di scalabilità Altamente dipendente dalla topologia Architettura ACL Manutenzione difficile Centinaia migliaia di ACE 802.1X Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 24

22 TAG dipendente TAG manager TAG scanner per carte di credito 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 26

23 TAG manager TAG scanner per carte di credito 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 27

25 ORIG./DEST. Cartellino Carta di credito Manager (100) Accesso Nessun accesso Manager Dispositivo registrato SGT = 100 SGACL Cartellino (SGT=4) Scanner per carte di credito (SGT=10) Manager SGT = 100 Cisco ISE Controllo degli accessi basato su gruppi di sicurezza ISE mappa i tag (SGT) con l'identità utente La policy di autorizzazione ISE invia SGT al NAD di ingresso (switch o WLC) La policy di autorizzazione ISE invia ACL (SGACL) al NAD di uscita (ASA o Nexus) 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 29

26 Cisco Innov azione Manager Dispositivo registrato Indirizzo IP SGT 10,1.100,3 100 SXP ORIG./DEST. Cartellino Carta di credito Manager (100) Accesso Nessun accesso SGACL Cartellino (SGT=4) 10,1.100,3 Scanner per carte di credito (SGT=10) Manager SGT = 100 Cisco ISE Protocollo Security Group Access Per il trasporto tramite non SGT core 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 30

27 Innov azione Cisco Assegnazione di SGT a utenti o dispositivi Catalyst 2K-S Catalyst 3K Catalyst 4K Catalyst 6K WLC 7.2 Nexus 7 K Nexus 55xx Nexus 1Kv Transporto SGT in rete (in linea/sxp) Cat 2K-S (SXP) Cat 6K Sup720 (SXP) Cat 3K (SXP) N7K (SXP/SGT) Cat 3K-X (SXP/SGT) N55xx (SGT) Cat 4K (SXP) N1Kv (SXP) Cat 6K Sup2T (SXP/SGT) ASR1K (SXP/SGT) ISR G2 (SXP) WLC 7.2 (SXP) ASA (SXP) Applicazione della policy in base a SGT (SGACL o SGFW) N7K /N55xx (SGACL) Cat6K (SGACL) Cat3K-X (SGACL) ASA (SGFW) - CY12 2H ASR1K/ISRG2 (SGFW) 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 31

29 Innov azione Cisco Elementi distintivi in materia di identità Modalità monitor Accesso libero Nessun impatto sulla produttività Conseguimento di visibilità Sequenza di autenticazione flessibile Consente un'unica configurazione per la maggior parte dei casi d'uso Policy e meccanismo di fallback flessibili Funzionalità di autenticazione Switch Cisco Catalyst 802.1X Potente e robusto Supporto della telefonia IP per ambienti desktop virtuali Modalità host singolo Modalità multihost Modalità multiautenticazione Autenticazione multidominio Autenticazione voce o dati cruciali Continuità aziendale in caso di guasto Utenti autorizzati 802.1X. Tablet Telefoni IP MAB Dispositivo di rete Guest Autenticaz ione Web 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 33

30 Innov azione Cisco CDP LLDP DHCP MAC PROFILATURA DEI DISPOSITIVI Per reti cablate e wireless POLICY Piattaforme supportate: IOS 15.0(1)SE1 per Cat 3K IOS 15.1(1)SG per Cat 4K WLC 7.2 MR1: solo dati DHCP ISE Stampante ISE ipad personale Policy stampanti [place on VLAN X] CDP LLDP DHCP MAC CDP LLDP DHCP MAC Policy ipad personale policy ipad personale [accesso limitato] Access Point La soluzione Classificazione efficiente dei dispositivi sfruttando l'infrastruttura Scenario di distribuzione con sensori dei dispositivi Cisco RACCOLTA Lo switch raccoglie i dati relativi al dispositivo e invia il report a ISE CLASSIFICAZIONE ISE classifica il dispositivo, raccoglie le informazioni sul flusso e fornisce un report sull'utilizzo del dispositivo AUTORIZZAZIONE ISE esegue la policy in base all'utente e al dispositivo 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 34

31 Tipo di sonda Informazioni fornite RADIUS (Calling-Station-ID) DHCP (host-name) (dhcp-class-identifier) DNS (ricerca IP inversa) HTTP (Utente-Agente) Scansione NMAP (SNMPPortsAndOS-scan) Trap o query SNMP (notifica MAC, CDP o raccolta LLDP) Netflow (acquisizione flussi) Indirizzo MAC (OUI) Esempio: 0A:1B:2C = fornitore X Nome host (quello predefinito può includere il tipo di dispositivo) Esempio: jsmith-ipad Classe o tipo di dispositivo Esempi: BlackBerry, Cisco wireless IP Phone FQDN (il nome host predefinito può includere il tipo di dispositivo) Esempio: jsmith-ipad.company.com Dettagli sul tipo di dispositivo mobile specifico Esempi: ipad, iphone, ipod, Android, Win7 Attivazione della scansione endpoint per OS Esempio: OS= Apple ios Indirizzo MAC/dati interfaccia, dati sessione e query sistema Esempi: 0A:1B:2C/tabella ARP Acquisizione di flussi per la corrispondenza con il traffico endpoint a cinque componenti Esempi: IP ORIG./DEST./Porta/Protocollo RADIUS Accounting fornisce l'associazione IP a MAC per supportare altre sonde che fanno affidamento sull'indirizzo IP (DNS, NetFlow, NMAP e HTTP) 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 35

32 User Tipo di dispositivo Posizione Stato sicurezza Ora Metodo di accesso Personalizzato 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 38

33 BYOD Integrazione self-service dell'utente Partnership con fornitori MDM Controllo degli accessi Contesto: chi, cosa, come, dove Visibilità: profili SGA: indipendente dalla topologia, linguaggio aziendale Soluzione olistica Applicazione: funzionalità router, switch, controller Endpoint: stato di sicurezza, VPN Info store: AD, LDAP, DHCP, MDM 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 39

34 Informazioni su ISE: Cisco TrustSec (SGA e soluzioni certificate): Note applicative e guide pratiche: anding_designzone_trustsec.html Area progettazione - Progettazione di riferimento BYOD: ns1050/own_device.html#~overview 2010 Cisco e/o i relativi affiliati. Tutti i diritti sono riservati. Documento riservato Cisco 40

35