Ask me Anything Fórum- Trabalho remoto: Melhores práticas de segurança

[Cisco Moderador]

Baixe a apresentaçãoPerguntas e respostasAssista à gravação

Aqui é possível publicar novas perguntas sobre o tema em questão até sexta-feira, 22 de Maio de 2020.
Seja bem-vindo ao fórum de “Perguntas e Respostas”!

Especialista convidado

Luis Mateus Matos é Arquiteto de Soluções da área de serviços avançados, atua há 20 anos na área de segurança (sendo 15 anos também como professor universitário em diversas instituições nacionais).
Especialista em soluções complexas de Datacenter, Backbones Internet/MPLS e Segurança para o segmento de operadoras de telecomunicações, grandes bancos e aeroportos.
Atuou como líder técnico da equipe de segurança dos jogos olímpicos Rio 2016 e como consultor de segurança nos jogos Pan americanos em Toronto 2015.
Possui certificações técnicas da área de redes, dentre elas: PENTA CCIE (Routing & Switching, Service Provider, Security, Voice, Data Center), CCNA, CCDA, CCNP, DCNIS, CCDP, MCP, MCP+INTERNET e MCSE.

Question Manager

Daniel Dobrioglo é Engenheiro com 14 anos de experiência na área de Telecomunicações, especialista em projetos de Segurança (Firepower, ASA, ISE, AMP, ESA, WSA) com grande conhecimentos em Routing & Switching. Daniel possui as certificaçõe CCIE R&S 52341, CCNP Security, além de certificações de outros fabricantes.

Encontre outros eventos em:https://community.cisco.com/t5/custom/page/page-id/Events?categoryId=comunidade-portugues.

** Incentivamos a participação com votos úteis! **
Certifique-se de classificar as respostas às perguntas

[Cisco Moderador]

Olá Luis e Daniel, tenho algumas perguntas para vocês: 

*Quanto ao licenciamento do AnyConnect, ele é calculo pela quantidade de utilizadores que acessam a VPN? 

[Daniel Dobrioglo, CCIE 52341]

As licenças de AnyConnect são limitadas em acesso simultâneo, exemplificando se você possuir uma licença de 100 usuários mas o seu ambiente possui 300 usuários de VPN, apenas 100 usuários poderão acessar a VPN ao mesmo tempo.

O dimensionamento do ambiente deve levar em consideração esse fator mais uma margem de transbordo (geralmente uns 10% a 15%). Claro que você está livre para licenciar a todos os usuários caso não queira nenhum problema com relação a isso.

Lembrando que é importante levar em consideração o limite do Firewall que está com a funcionalidade de VPNRA, conforme o datasheet.

[Cisco Moderador]

*Para uma empresa com mais de um link de internet que nao tenha BGP, a Cisco possui alguma solução de Global Site Load Balance para DNS ?

[Daniel Dobrioglo, CCIE 52341]

Olá! Antigamente tínhamos disponível no ACE, mas hoje o equipamento está em End-of-Life. Atualmente não temos nenhuma solução de GSLB disponível.

[Cisco Moderador]

*Qual é a melhor forma de garantir automaticamente que um determinado FDQN seja automaticamente atualizado nos servidores DNS em caso de queda de um dos links externos?

[Daniel Dobrioglo, CCIE 52341]

Você pode fazer isso de duas formas:

1. Usar uma solução de GSLB
2. Usar um serviço de DynDNS (ou DDNS) e atualizar as entradas FQDN usando a configuração de DynDNS disponíveis nos roteadores e firewalls Cisco (IOS, ASA e FTD)

Ambas as soluções lhe permitem uma alta gama de personalizações como métricas, triggers, etc. Porém cada uma apresenta custos, complexidades e desafios diferentes que devem ser escolhidas de acordo com a arquitetura da sua rede. Por isso não existe uma melhor forma neste caso.

[Cisco Moderador]

*Qual a diferença do Cisco Umbrella para o serviço do OPEN DNS (https://www.opendns.com/home-internet-security/). Consigo usar em minhas máquinas pessoais? Quais features teria? Preciso instalar algum client?

[Daniel Dobrioglo, CCIE 52341]

Olá! O OpenDNS é um serviço de segurança de DNS voltado para utilização doméstica, enquanto o Cisco Umbrella é voltado para o seguimento corporativo. Além da diferença de custo, várias funcionalidades avançadas estão disponíveis somente para o Umbrella.

Sim você pode usar o OpenDNS em suas máquinas pessoais, existem diferenças entre a versão paga e gratuita que estão esclarecidas neste mesmo link que você enviou: https://www.opendns.com/home-internet-security/

Complementando essa opção doméstica, você pode usar também o Immunet: https://www.immunet.com que é a versão do gratuita do Cisco AMP for Endpoints.

Com essas duas soluções aplicadas em seu ambiente doméstico, você garante um alto nível de segurança usando as soluções Cisco!

[Cisco Moderador]

*Alguma solução MDM para dispositivo corporativo?

[Daniel Dobrioglo, CCIE 52341]

Olá! Você pode usar o Cisco DUO como uma alternativa aos MDMs atuais disponíveis no mercado. Este possui uma abordagem menos invasiva nos dispositivos, sendo muito útil principalmente em ambiente BYOD.

Dê uma olhada nos links abaixo:

https://duo.com/blog/secure-byod-without-an-mdm

https://duo.com/resources/ebooks/ten-things-to-consider-before-buying-an-mdm-solution 

[Cisco Moderador]

*É posivel fazer 3 fatores de autenticação utilizando certificado de máquina, certificado de usuário e credendiais no AnyConnect e firepower como RAVPN?

[Daniel Dobrioglo, CCIE 52341]

Olá! Infelizmente você não pode utilizar certificados de máquina no FTD como Remote Access VPN.

Somente os três métodos abaixo de autenticação estão disponíveis:

1. AAA Only
2. Client Certificate Only
3. Client Certificate & AAA

Essas informações estão disponíveis em https://www.cisco.com/c/en/us/td/docs/security/firepower/640/configuration/guide/fpmc-config-guide-v64/firepower_threat_defense_remote_access_vpns.html#task_ngy_zcd_5gb 

Se você deseja restringir acesso de RA VPN baseado em atributos de máquina, você deve integrar o Cisco ISE na sua rede e realizar postura no AnyConnect, assim você consegue bloquear acesso VPN à uma máquina não autorizada que contenha o certificado e credenciais válidos da sua infraestrutura.

[Cisco Moderador]

*Por favor, poderiam falar um pouco dos cuidados mais atuais a respeito de firewall para funcionalidade corporativo e firewall para o data center? Em um ambinte ondemos isso segmentado em caixas distintas e F5 BIG IP como ADC e proteção DDOS, GSLB, e nat?