Pergunte ao Especialista Forúm - Mitigação de ataques em redes de computadores utilizando 802.1X, TrustSec e MacSec

[Tiago Santos da Silva]

Seja bem vido ao forúm de “Perguntas e Respostas”.

Nessa sessão, nosso especialista convidado responderá todas as perguntas relacionadas com o tema em questão.

Especialista convidado

Luis Matos é Arquiteto de Soluções da área de serviços avançados, atua há 20 anos na área de segurança. Especialista em soluções complexas de Datacenter, Backbones Internet/MPLS e Segurança para o segmento de operadorasde telecomunicações, grandes bancos e aeroportos. Possui certificações técnicas da área de redes, dentre elas: PENTA CCIE (Routing & Switching, Service Provider, Security, Voice, Data Center), CCNA, CCDA, CCNP, DCNIS, CCDP, MCP, MCP+INTERNET e MCSE. Certificado CISCO há mais de 14 anos, é um dos 30 profissionais que detém este nível de certificação CISCO no mundo.

Clique no botão “perguntar” a continuação, para fazer a sua primeira pergunta. Depois de escrever sua pergunta na caixa de texto, clique em “envio”. Sua pergunta será respondida no transcurso do dia, volte em breve para revisar a resposta.

[Tiago Santos da Silva]

Como posso utilizar vlan dinâmica para autenticação de máquina, é possível realizar de alguma forma sem ser pelo nome da máquina?

[lumatos]

Sim, para definir a vlan dinâmica você pode utilizar qualquer outro parâmetro que possa ser identificado durante o processo de autorização, como por exemplo:

-Grupo da máquina no Active Directory

-Atributo dentro de Certificado Digital

-Profiling da máquina (por exemplo, o sistema operacional)

[Tiago Santos da Silva]

Como fica a autenticação de um Access Point no switch, mas esse Access Point está configurado como FlexConnect?

[lumatos]

O access-point pode ser autenticado utilizando EAP-FAST (usuário + senha) ou EAP-TLS (certificado digital), contudo, em um ambiente FlexConnect o modo de autenticação da porta do switch (onde o AP está conectado) deve ser configurado como "multi-host".

[Tiago Santos da Silva]

Uma solução cisco ISE com HA small, em uma situação de falha preciso manualmente elevar o secundário para primário, teria alguma forma de essa correção ser automática?

[lumatos]

O ISE possui a função de Automatic Failover para os servidores de administração (PAN):

https://www.cisco.com/c/en/us/td/docs/security/ise/2-0/admin_guide/b_ise_admin_guide_20/b_ise_admin_guide_20_chapter_010.html#ID59

[Tiago Santos da Silva]

No problema acima! Como fazer com que o novo usuário consiga baixar o certificado da CA por exemplo. A mesma questão se aplica a um computador novo, onde é necessário ainda fazer o ingresso ao AD, nesse caso preciso ter uma porta sem 802.1x para fazer o Join?

[lumatos]

Deve ser criada uma política que permita com que novos usuário possam ter acesso limitado a rede, desta forma a equipe de suporte poderá inserir este dispositivo no domínio e assim a GPO realiza o deployment do certificado digital. Uma sugestão para esta politica seria a configuração de autenticação através de uma páquina web (CWA - Central Web Authentication) onde somente os usuários pertencentes ao grupo de suporte poderiam ser autenticados.

[Tiago Santos da Silva]

Qual o benefício de integrar o Cisco ISE com o ambiente Cisco ASA Firewall?

[lumatos]

O ASA poder ser integrado ao ISE atrvés do TrustSec e desta forma o ASA poderá usufruir de regras baseadas em identidades utilizando tags TrustSec.

https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/212202-configure-trustsec-sxp-between-ise-and-a.html

[Tiago Santos da Silva]

O que é considerada 1 conexão? É o ato do dispositivo se autenticar na rede?

[lumatos]

O processo é composto por autenticação e depois autorização. Na autenticação o dispositivo tem que provar quem ele é e na autorização são validados os direitos de acesso deste dispositivo (o que ele pode fazer?).

[Tiago Santos da Silva]

Como funciona HA failover para deployment small single node (PSN,PAN,MNT juntos)?

[lumatos]

Para este cenário o recomendado seria fazer um load sharing dos recursos:

Servidor 1 = PAN (Primário); MNT (Secundário); PSN

Servidor 2 = PAN (Secundário); MNT (Primário); PSN