Comunidade Ask Me Anything- Segurança para Trabalhadores Remotos

[Cisco Moderador]

Aqui está sua chance de discutir as tecnologias de seguranca remota da Cisco, como AnyConnect, ASA, FTD, Duo e Umbrella. Nesta sessão, os especialistas responderão á perguntas sobre licenças de emergência, design, configuração e solução de problemas. Nossos especialistas abrangem mais de 12 fusos horários. Além disso, traduziremos a sessão em vários idiomas para fornecer a melhor experiência possível.

Este fórum funciona bem como uma introdução para aqueles que não estão familiarizados com essas soluções de segurança e/ou começaram a usá-las recentemente.

Faça suas perguntas a partir de 20 de março até sexta-feira 03 de abril de 2020.

Especialista convidado

Divya Nair é engenheira técnica de marketing do Security Business Group em Raleigh, Carolina do Norte. Ela tem mais de 10 anos de experiência em tecnologias de segurança de rede da Cisco, incluindo firewalls, IPS, VPN e AAA; e atualmente se concentra nas plataformas de gerenciamento de VPN e firewall. Divya é bacharel em Ciência da Computação e Engenharia.

Aditya Ganjoo é engenheiro técnico de marketing em Bangalore, Índia. Ele trabalha com a Cisco há sete anos em domínios de segurança como Firewall, VPN e AAA. Aditya ministrou treinamentos em tecnologias ASA e VPN. Ele é bacharel em Tecnologia da Informação. Além disso, ele é um CCIE em segurança (CCIE # 58938). Ele tem contribuído de forma consistente na Comunidade de suporte da Cisco e já realizou várias sessões no Cisco Live.

Jonny Noble lidera a equipe de Marketing Técnico de Segurança em Nuvem da Cisco, com experiência em Cisco Umbrella e tecnologias vizinhas. Por mais de 20 anos, Jonny obteve experiência em disciplinas voltadas para clientes deorganizações globais de alta tecnologia. Ele também tem uma rica experiência na apresentação de sessões de acompanhamento e laboratórios de controle nos eventos Cisco Live, além de representar a Cisco em vários eventos de clientes e parceiros, feiras e exposições. Jonny é formado em Eletrônica, Sociologia, MBA em Negócios e é certificado pela CISSP.

Devido ao volume previsto para esse evento de alta demanda, Divya, Aditya, Jonny podem não conseguir responder a todas perguntas. Portanto, lembre-se de que você pode continuar a conversa diretamente na comunidade de Segurança.

Ao postar uma pergunta neste evento, você está dando permissão para ser traduzido em todos os idiomas que temos na comunidade.

Encontre mais eventos em: https://community.cisco.com/t5/custom/page/page-id/Events?categoryId=comunidade-portugues

** Incentivamos a participação com votos úteis! **
Certifique-se de classificar as respostas às perguntas

[Cisco Moderador]

Oi,

Temos opções no Cisco Anyconnect usando o firewall FTD para bloquear máquinas não associadas ao Windows e permitir que apenas computadores de domínio se conectem ao Anyconnect?

Obrigado, Basavaraj

Nota: Esta pergunta é uma tradução de uma postagem criada originalmente em inglês por BasavarajNingappa6558. Foi traduzido pela Comunidade Cisco para compartilhar a consulta e sua solução em diferentes idiomas.

[Divya Nair]

Olá Basavaraj,

Você pode usar a autenticação de certificado de máquina para usuários do AnyConnect para garantir que apenas máquinas de domínio possam ingressar. Guia de configuração -

https://www.cisco.com/c/en/us/td/docs/security/firepower/650/configuration/guide/fpmc-config-guide-v65/firepower_threat_defense_remote_access_vpns.html#id_login_via_clientcert

[Cisco Moderador]

Olá Divya,

Obrigado pela resposta.

Basicamente, o que estou procurando são computadores de domínio. Já estou aplicando o DLP e eles não podem copiar nada dos computadores, por exemplo, se meus funcionários se conectam a uma rede corporativa usando seus computadores pessoais, como posso evitar que eles não irão copiar alguma coisa, exceto trabalhar nos aplicativos necessários e tudo mais, basicamente que eles nao copiem nenhum dado da rede quando eles se conectam à ela.

Como posso conseguir isso? Posso criar um tunnel group para máquinas ingressadas no domínio e outro tunnel group para máquinas que não ingressaram no domínio e aplicar a política?

Obrigado!

Basavaraj

Nota: Esta pergunta é uma tradução de uma postagem criada originalmente em inglês por BasavarajNingappa6558. Foi traduzido pela Comunidade Cisco para compartilhar a consulta e sua solução em diferentes idiomas.

[Aditya Ganjoo]

Olá Basavaraj,

Sim, você precisaria criar connection profiles diferentes e aplicar as políticas.

Isso pode ser feito de diferentes maneiras, como fornecer aos usuários group-URLs, por meio de atributos Radius ou pelo recurso de group-lock no ASA.

Atenciosamente,

Aditya

[Cisco Moderador]

Olá Aditya,

Você pode fornecer um exemplo de guia de configuração para eu seguir e aplicar?

Obrigado!

Basavaraj

Nota: Esta pergunta é uma tradução de uma postagem criada originalmente em inglês por BasavarajNingappa6558. Foi traduzido pela Comunidade Cisco para compartilhar a consulta e sua solução em diferentes idiomas

[Aditya Ganjoo]

Vocêpode encontrar aqui:

https://community.cisco.com/t5/security-documents/steps-to-configure-group-lock-for-vpn-users-on-microsoft-radius/ta-p/3151643

https://community.cisco.com/t5/security-documents/asa-ssl-vpn-tunnel-group-group-url-and-group-alias-selection/ta-p/3111990

[Cisco Moderador]

Olá Aditya,

Esses links estão configurando diferentes tunnel-groups e  group alias, mas estou procurando aplicar políticas do tipo DLP em cada group policy para que eles não possam copiar nenhum dado no túnel do Anyconnect.

Basicamente, eles não devem copiar nenhum dado pelo túnel da VPN do Anyconnect. Como posso aplicar esse tipo de política na VPN do Anyconnect?

Nota: Esta pergunta é uma tradução de uma postagem criada originalmente em inglês por BasavarajNingappa6558. Foi traduzido pela Comunidade Cisco para compartilhar a consulta e sua solução em diferentes idiomas.

[Divya Nair]

Oi,

Se bem entendi, você busca aplicar o DLP para usuários BYOD. A melhor maneira de fazer isso no FTD seria fazer com que os usuários BYOD se conectem a um diferente profile/group-policy. Eu daria a esta conexão um pool de endereços diferente dos usuários do domínio. Em seguida, você pode usar application filters na access policy do FTD para bloquear protocolos de transferência de arquivos para o pool de BYOD VPN. Lembre-se de que o FTD não é um aplicativo DLP verdadeiro, mas o application filter ajudará a realizar o que você precisa fazer - https://www.cisco.com/c/en/us/td/docs/security/firepower/650/configuration/guide/fpmc-config-guide-v65/rule_management_common_characteristics.html#id_16281

[Aditya Ganjoo]

Além do que Divya disse, você também pode fazer scripts sob demanda usando o Anyconnect:

https://www.cisco.com/c/en/us/td/docs/security/vpn_client/anyconnect/anyconnect40/administration/guide/b_AnyConnect_Administrator_Guide_4-0/customize-localize-anyconnect.html#ID-1408-00000396

Atenciosamente,

Aditya

[Cisco Moderador]

Olá a todos, tenho várias perguntas:

1. Estou certo ao entender que a personalização do webvpn (ou seja, a página inicial do webvpn) e a personalização do AnyConnect (mensagens, idiomas etc.) não são suportadas atualmente ao usar o dispositivo FTD (Firepower Threat Defense) como headend? (gerenciado pelo FMC ou gerenciado pelo FDM / CDO)
2. A verificação básica de postura como somos capazes de fazer com o ASA e o DAP / Hostscan atualmente não é uma opção apenas com o FTD (ou seja, devemos nos referir a uma solução externa como o ISE) - correto?
3. Para DAP / Hostscan com ASA, requer o AnyConnect Premium e é suportado nos modelos de plataforma ASAv?

Nota: Esta pergunta é uma tradução de uma postagem criada originalmente em inglês por Marvin Rhoads. Foi traduzido pela Comunidade Cisco para compartilhar a consulta e sua solução em diferentes idiomas.

[Divya Nair]

Olá Marvin,

1. Isso está correto. A personalização WebVPN sem cliente e AnyConnect não é suportada hoje no FTD.
2. Você precisará usar a ISE Posture hoje para avaliar a postura do cliente no FTD.
3. O ASA com DAP requer a licença Apex (anteriormente a licença Premium) e é suportado nos modelos ASAv.

[Cisco Moderador]

Obrigado Divya,

Um acompanhamento - alguns de nós tentamos colocar o DAP em ASAv e tivemos problemas. Por favor, veja este tópico:

https://community.cisco.com/t5/vpn/asa-virtual-unable-to-activate-hostscan/td-p/4044100

É algo que você pode responder aqui ou devemos abrir um caso de TAC?

Nota: Esta pergunta é uma tradução de uma postagem criada originalmente em inglês por Marvin Rhoads. Foi traduzido pela Comunidade Cisco para compartilhar a consulta e sua solução em diferentes idiomas.

[Aditya Ganjoo]

Olá, Marvin:

Dá uma olhada neste link abaixo:

https://bst.cloudapps.cisco.com/bugsearch/bug/CSCvs84158/?rfs=iqvred

[Divya Nair]

Fizemos algumas atualizações no post que menciou também.

[Cisco Moderador]

Obrigada Divya Nair e Aditya Ganjoo!

Para fornecer dados aos os leitores aqui, aumentar a memória para executar o modelo ASAv e ASAv10 (vs. ASAv5) corrige a incapacidade de adicionar hostscan, o que é necessário para usar o DAP.

Nota: Este comentário é uma tradução de uma postagem criada originalmente em inglês por Marvin Rhoads. Foi traduzido pela Comunidade Cisco para compartilhar a consulta e sua solução em diferentes idiomas.