Cisco ISE - Ce este Identity Service Engine?

Detalii despre mecanismul de functionare al solutiei

Cisco Identity Service Engine (ISE) este o platformă de control al accesului la rețea și de aplicare a politicilor de securitate.
Dispozitivele de rețea sunt principalele căi de conectare la rețea cu fir, wireless și VPN pentru a permite utilizatorilor și endpoint-ului să se conecteze la rețea pentru a accesa diverse servicii, cu ajutorul acreditărilor precum parola, certificatele, token-urile sau cel puțin adresa MAC.

Aceste acreditări ajung la Cisco ISE printr-un proces numit autentificare.
In esență cu autentificarea îi spuneți lui ISE cine sunteți. Autentificarea se termină de obicei cu o autorizare. Deci, odată ce v-ați dezvăluit identitatea lui ISE, acesta determină nivelul dvs. de acces pe baza ID-ului de sesiune generat pe care endponint-ul la trimis la ISE odată ce s-a conectat.
Cisco ISE cunoaste care sunt toate endpoint-urile din rețea și unde sunt amplasate.

Arhitectura Cisco ISE este una complexa ce ofera capacitatea ca aceasta solutie sa poata comunica cu până la o sută de mii de dispozitive de rețea, sa poata suporta până la 1,5 milioane de endpoint-uri, 300.000 de conturi de utilizatori interni, 1 milion de conturi de utilizator guest și sa poata emite peste 1 milion de certificate pentru utilizatori.
Este destul de mult ceea ce Cisco ISE poate oferi, dar, atunci când ne uitam la companiii, acestea au o infrastructură in care rulează deja unele dintre aceste servicii de identitate, cum ar fi Microsoft Active Directory sau un server LDAP.

Practic, cand endpoint-urile vor să se conecteze la rețea, Cisco ISE determină cine ar trebui să obțină si ce nivel de acces prin rezolvarea identității din sursele de identitate externe.
Odată ce cineva se autentifică, ISE construiește un tabel de sesiune care listează toți utilizatorii și asocierea lor specifică la rețea. Fiecare endpoint care apare în rețea trimite un trafic care dezvăluie tipul endpointului final. De exemplu, identificatorul clasei DHCP ca MSFT îi spune ISE că este o stație de lucru Microsoft.

Deci, fie acest trafic ajunge cumva direct la ISE, fie puteți utiliza această caracteristică minusculă pe dispozitivele de rețea numită senzorul dispozitivului (DS) care memorează un astfel de trafic și îl transmite catre Cisco ISE prin RADIUS.
Odată ce ISE primește atributele, pe baza politicii de profilare, poate clasifica endpoint-ul în grupuri de dispozitive specifice și cu ajutorul unui serviciu de feed puteți păstra politicile de profilare la zi.
Rezultatul final este că veți vedea profilul endpoint-ului asociat cu adresa MAC, indicându-ne ce dispozitiv este. Când creați politici bazate pe timp în cadrul ISE, puteți, într-un mod simplu, să determinați locația care are o etichetă de locație atribuită dispozitivelor din rețea și apoi să urmăriți de unde vine cererea de autentificare.

Dacă vine de la un switch, care este etichetat ca o locație XYZ, atunci puteți aplica politici specifice. Într-o rețea fără fir ID-ul stației de apel al endpoint-ului poate fi definit cu numele locației, prin urmare, ne spune în ce locație se află utilizatorul sau dispozitivul wireless. În cele din urmă, dacă integrați Cisco ISE cu motorul de servicii de mobilitate (MSE), atunci puteți urmări locația fizică reală a punctului final fără fir pe măsură ce se mișcă.

Dispozitivul cu fir, fără fir sau VPN, are atributele RADIUS specifice care indică detaliile modului în care se conectează. Pentru poziția sau conformitatea punctului final, aveți nevoie de agent Cisco AnyConnect instalat pe endpoint.

Pentru aceasta, practic, puteți avea o politică de poziție pe Cisco ISE, care îi spune aplicatiei AnyConnect de la Cisco să verifice anumite lucruri de luat în considerare la endpoint pentru a fi conform.
Aceste verificări ar putea fi nivelul de patch al sistemului de operare, semnături antivirus, prezența unei stocări USB și multe altele și apoi poate fi definită politica de automatizare pentru a acționa asupra posturii rezervate. Dacă cineva este conform, atunci puteți oferi acces complet, dacă nu, puteți oferi acces la serviciile de remediere.

Cisco ISE integrare cu MDM

Conformitatea pentru dispozitivele mobile se realizează prin integrarea Cisco ISE cu soluțiile de management al dispozitivelor mobile (MDM). Puteți verifica o mulțime de lucruri precum blocarea PIN, starea de jailbreak a dispozitivelor mobile și multe altele. Funcționalitatea parțială vă permite să căutați și să enumerați toate aplicațiile instalate și care rulează pe endpoint-uri.

De asemenea, puteți iniția o funcție de inchidere sau de dezinstalare pentru anumite aplicații direct din tabloul de bord ISE.
Cisco ISE se poate integra cu scanere de vulnerabilitate precum Rapid7 și securitate sustenabilă pentru a controla accesul la rețea pe baza nucleului CBSS. Aici, CBSS reprezintă sistemul comun de codificare a vulnerabilităților, care este un număr de la unu la zece care indică starea unei singure capacități a endpoint-ului. Dacă numărul este mai mare înseamnă că punctul final este foarte vulnerabil.