Ask Me Anything- Proteja su fuerza laboral remota con las soluciones de Cisco

[Cisco Moderador]

-Este tipo de evento era formalmente conocido como Pregunte al Experto-

Aclare todas sus dudas acerca de cómo proteger a los trabajadores remotos a gran escala de forma eficaz y rápida. Con la demanda inmediata de un gran número de trabajadores para operar repentinamente de forma remota, Cisco está brindando soporte adicional para ayudar a empresas, escuelas, organizaciones sin fines de lucro, ¡lo que sea! - escalar sus necesidades de seguridad inmediatas a las computadoras portátiles que han abandonado el edificio.

Haga sus preguntas del 21 al 30 de Abril del 2020.

Detalles del Especialista

Gustavo Medina trabaja actualmente como Systems Sales Engineer en el equipo de Enterprise Networking. Cuenta con más de 10 años de experiencia en seguridad y tecnologías empresariales, desde que se unió a Cisco en el 2009 ha trabajado con diversas tecnologías de seguridad en distintas ubicaciones como; Research Triangle Park, Carolina del Norte y Ciudad de México. Se especializa en toda la gama de tecnologías de seguridad y a lo largo de su carrera se ha enfocado en distintas tareas como: escalaciones técnicas, la habilitación de Partners a nuevas tecnologías, la revisión de exámenes de oficiales de las certificaciones de Cisco, la creación de contenido técnico para cisco.com y la ponencia de temas en eventos de Cisco Live. Gustavo cuenta diversas certificaciones como, CCNA, CCSI, CCNP y un CCIE en Seguridad (# 51487).

Visite nuestra categoría de Seguridad para más información del tema.

** ¡Los puntos de utilidad fomentan la participación! **
Por favor asegúrese de dar uno a las respuestas a sus preguntas.

[Cisco Moderador]

Hola @Gustavo Medina 

Muchas gracias por proporcionar tan valiosa presentación, el contenido nos ayuda mucho a entender mejore qué opciones tenemos para estar seguros. Así de cómo hacerlo de la forma adeuda.

Compartimos las de dudas pendientes de la sesión en vivo, para que nos ayudes a contestarlas:

• ¿Cuándo un cliente nuevo llena el registro para licencias de AMP4E, en cuánto tiempo se habilita el dashboard?
• ¿AnyConnect solo funciona con ASA o puede funcionar con otros tipos de firewall?

[Gustavo Medina]

• Por lo general entre 24 y 48 horas.
• Los headends soportados por Anyconnect son ASA 5500/5500-X, ASAv, equipos Firepower (con codigo ASA o FTD), FTDv, Cisco ISR/ASR/CSR 1000V y próximamente Meraxi MX.

[Cisco Moderador]

¿Ya está liberado AnyConnect para utilizar con Meraki MX?

[Gustavo Medina]

Ya está disponible en Beta pero aún no hay fecha para GA.

[Cisco Moderador]

Hay muchas empresas que no tuvieron tiempo de asignar equipos para trabajo remoto y se están usando equipos personales ¿se puede asignar Umbrella para equipos personales?

[Gustavo Medina]

Si claro. Es una práctica que muchas compañias están utilizando para la protección de los dispositivos personales de sus empleados. Tanto Umbrella como AMP4E.

[Cisco Moderador]

En el módulo de Umbrella para agentes que ya utilizan AnyConnect ¿hay alguna restricción si el sofware del fw es FTD, y no ASA?

[Gustavo Medina]

No hay ninguna restricción en cuanto al código pero si una diferencia en como se realiza el despliegue:

En codigo ASA, se soporta el despliegue de modulos por lo que es muy sencillo habilitar el roaming module. Te dejo la documentación y un video con las indicaciones.

https://docs.umbrella.com/deployment-umbrella/docs/the-anyconnect-plugin-umbrella-roaming-security-client-administrator-guide
https://www.youtube.com/watch?v=aq9eZ0t7sJc&t=4s

En codigo FTD, el despliegue de modulos probablemente va a estar disponible hasta 6.8 por lo que la forma de hacer el despliegue sería manualmente en las computadoras, GPO, un programa de distribucion de software o desde el FTD utilizando Flexconfig. Te dejo un ejemplo de Flexconfig:
https://www.cisco.com/c/en/us/td/docs/security/firepower/config_examples/advanced-anyconnect-ftd-fmc/advanced-anyconnect-vpn-ftd-fmc.html#Cisco_Task_in_List_GUI.dita_12b746da-3ace-4ba0-91b0-a56e78e36ac3

[Cisco Moderador]

• ¿Qué pasa o qué se ofrece a clientes nuevos no tienen 2x en licencias de AMP?
• AMP4e permite habilitar el TETRA en los endpoints ¿es recomendable reemplazar el windows defender por el TETRA de CISCO? Considerando que el endpoint no tienen ningun otro antivirus, solo Windows defender.

[Gustavo Medina]

• La promoción para AMP es solo para clientes existentes. Clientes que no cuentan con AMP pueden solicitar un trial en el siguiente link: https://engage2demand.cisco.com/LP=4691
• Dependiendo de la plataforma de Windows de hecho el Defender se va a deshabilitar al instalar AMP4E:
  https://docs.microsoft.com/en-us/windows/security/threat-protection/windows-defender-antivirus/windows-defender-antivirus-compatibility
  AMP4E aparte de capacidades avanzadas contra Malware cuenta con motor de AV con eficacia comprobada como puedes ver en la siguiente comparativa:
  https://www.av-comparatives.org/tests/business-security-test-march-april-2019-factsheet/

[Cisco Moderador]

• ¿Esas políticas para filtrar categorías tienes mayor jerarquía que las políticas del WSA?
• ¿Existe alguna guía de configuración por flexc config para la habilitación del provisionamiento de los módulos AnyConnect en FMC?

[Gustavo Medina]

• Son tecnologías diferentes que operan en capas diferentes (hablando de WSA y el paquete de Umbrella DNS), en compañias que combinan ambas se puede utilizar WSA para los usuarios dentro de la compañia y Umbrella para los usuarios remotos sin embargo ahora hay compañias migrando al servicio SASE de Umbrella SIG: https://umbrella.cisco.com/trends-threats/secure-internet-gateway
• Si:
  https://www.cisco.com/c/en/us/td/docs/security/firepower/config_examples/advanced-anyconnect-ftd-fmc/advanced-anyconnect-vpn-ftd-fmc.html#Cisco_Task_in_List_GUI.dita_12b746da-3ace-4ba0-91b0-a56e78e36ac3

[Cisco Moderador]

• Hablando de Umbrella ¿cada usuario debe apuntar a un DNS definido por la empresa, qué pasa si el usuario decide cambiar manualmente esta IP?
• Si tengo actualmente Anyconnect con el Cisco ASA ¿se requieren instalar los módulos de Umbrella y DUO en el ASA, se hace directamente a través de un portal de Cisco en internet o mediante hardware adicional?

[Gustavo Medina]

• Hay diferentes maneras de redireccionar el trafico DNS de los usuarios hacia umbrella: que el DHCP les asigne los DNS de Umbrella automaticamente, que el DHCP les asigne el DNS interno como lo hace normalmente pero el DNS va a tener las IPs Anycast de Umbrella en los Forwarder Settings, Utilizar el Umbrella connector en los dispositivos de Cisco (Routers, Firewalls, Merakis) que van a redireccionar todo el trafico DNS hacia la nube de umbrella, uso del Roaming Client.
  Para prevenir que los usuarios cambien manualmente sus DNS hay varias maneras.
  1- Permisos del OS.
  2- Con el uso del connector, incluso si ellos cambian el DNS manualmente el connector en los equipos Cisco va a modificar el paquete para que siempre vaya a Umbrella.
  3- Si no cuentan con equipos Cisco para el uso del connecto, pueden aplicar reglas de FW y permitir el trafico saliente de DNS unicamente a las IPs Anycast de Umbrella.
• Tanto umbrella como Duo son soluciones entregadas desde la nube que no necesitan HW adicional, sin embargo necesitas activar las consolas. Puedes solicitar acceso en signup.umbrella.com y signup.duo.com