Запись вебинара: https://www.youtube.com/watch?v=kIRlMxnVKdo

1. Александр Стрельцов
Инструктор, Сетевая Академия ЛАНИТ
astreltsov@academy.ru
Декабрь 22, 2015
Cisco Support Community
Expert Series Webcast
Cisco ISE
в управлении доступом к сети

2. Вебинар на русском языке
Январь 19, 2015
В рамках вебинара мы рассмотрим новый стандарт
передачи данных в беспроводных сетях – 802.11ac.
Вначале мы вспомним о наиболее важных деталях
стандарта 802.11n. Далее мы обсудим различия 802.11ac и
802.11n, предыдущего стандарта. Рассмотрим детали
реализации некоторых новых возможностей стандарта,
таких, как MU-MIMO (многопользовательский режим
MIMO). Поговорим о вызовах индустрии, которые
привносит 802.11ac.
Различия стандартов 802.11n и 802.11ac
Ирина
Ильина-Сидорова

3. Как стать активным участником? Легко!
• Создавайте документы, пишите блоги, загружайте
видео, отвечайте на вопросы пользователей.
• Вклад оценивается на основе таблицы лидеров
• Также оценивается количество документов, блогов
и видео, созданных пользователем.
• Вклад оценивается только по русскоязычному
сообществу, не включая рейтинг, набранный в
глобальном Cisco Support Community.
Премия "Самый активный участник
Сообщества Поддержки Cisco"

4. Оцени контент
Ваши оценки контента дают
возможность авторам получать баллы.
Хотите чтобы поиск был удобным и
простым? Помогите нам распознать
качественный контент в Сообществе.
Оценивайте документы, видео и
блоги.
Пожалуйста, не забывайте оценивать
ответы пользователей, которые щедро
делятся своим опытом и временем.
https://supportforums.cisco.com/ru/community/4926/pomoshch-help

5. 22 декабря – 31 декабря 2015
Сессия «Спросить Эксперта»
с Александром Стрельцовым
Получить дополнительную информацию, а
также задать вопросы эксперту в рамках данной
темы Вы можете на странице, доступной по
ссылке:
https://supportforums.cisco.com/community/russian/ex
pert-corner
Вы можете получить видеозапись данного
семинара и текст сессии Q&A в течении
ближайших 5 дней по следующей ссылке
https://supportforums.cisco.com/community/russian/ex
pert-corner/webcast
Александр
Стрельцов

6. Конкурс “Cisco ISE в управлении доступом к
сети”
22 декабря в 13:00 мск
Мы предлагаем Вам принять участие в конкурсе после
проведения вебкаста, который так и будет называться
«Cisco ISE в управлении доступом к сети»
• Первые три победителя получат фирменный куб Cisco-TAC
• Ответы присылайте на csc-russian@external.cisco.com
• Задание конкурса будет размещено сегодня после проведения
вебкаста (13-00мск)

7. Скачать презентацию Вы можете по ссылке:
https://supportforums.cisco.com/ru/document/12732196
Спасибо, что присоединились к нам сегодня!

8. Присылайте Ваши вопросы!
Используйте панель Q&A, чтобы задать вопрос.
Александр ответит на некоторые ваши вопросы
после презентации в режиме он-лайн
Сегодняшняя
презентация включает
опросы аудитории
Пожалуйста, примите
участие в опросах!

9. Александр Стрельцов
Инструктор, Сетевая Академия ЛАНИТ
astreltsov@academy.ru
Декабрь 22, 2015
Cisco Support Community Expert Series Webcast
Cisco ISE
в управлении доступом к сети

10. Содержание
• Cisco ISE в управлении доступом к сети
• Способы внедрения Cisco ISE
• Элементы политики
• Сервисы аутентификации и авторизации, поддерживаемые
Cisco ISE
• Заключение

11. Управление доступом
Необходима технология ориентированная на целостный
подход к защите доступа к сети и, позволяющая:
• Простую интеграцию и обеспечение безопасности всех устройств
• Точную идентификацию всех пользователей и устройств
подключённых к сети
• Централизованное, зависимое от контекста управление
политикой, позволяющее контролировать доступ любых
пользователей из любого места и с любых устройств

12. Безопасный контроль доступа
Cisco ISE – высокопроизводительное и гибкое решение для
контроля доступа с учётом контекста

13. Безопасный контроль доступа
Компоненты решения по защите доступа

14. Вопрос 1
Какие два компонента относятся к
решению по защите доступа,
разработанному компанией Cisco?
1. Фильтрация пакетов
2. Сервис posture
3. TLS шифрование
4. SGA

15. Cisco ISE
• Cisco ISE реализует гибкие централизованные сервисы
управления доступом к сети

16. Cisco ISE

17. Cisco ISE как политическая платформа
Процесс принятия решений

18. Способы внедрения Cisco ISE
Персона Описание Символ
Администрирования Интерфейс для настройки политики, которые
автоматически передаются другим
компонентам
Сервиса политики Механизм принятия политических решений.
Мониторинга Интерфейс для регистрации событий и
составления отчётов.

19. Способы внедрения Cisco ISE
• .

20. Элементы политики в Cisco ISE
Политика – это набор условий и результат
Условия состоят из:
• Атрибута
• Оператора
• Значения
Два типа политики:
• Простая
• Опирающаяся на правила

21. Cisco ISE аутентификация

22. Условия аутентификации в Cisco ISE

23. Разрешённые протоколы в Cisco ISE
• Разрешённые протоколы – это результат выполнения
политики аутентификации

24. Настройка или создание правил
аутентификации

25. Авторизация в Cisco ISE

26. Политика авторизации в Cisco ISE

27. Профиль авторизации в Cisco ISE
• Профиль авторизации состоит из разрешений

28. Политика авторизации в Cisco ISE
• Политика авторизации состоит из одного или более
правил
• Правило имеет имя, параметры условий контента и
ссылку на профиль авторизации

29. Настройка профиля авторизации в Cisco
ISE
• Профиль авторизации объединяет элементы политики, которые
будут применены к сеансу клиента

30. Настройка правил политики авторизации
в Cisco ISE
• Правило авторизации с именем Default - последнее в политике
авторизации. Управляет запросами клиентов, которые не
соответствуют ни одному существующему правилу политики

31. Какие два элемента политики
используются в авторизации?
1. Разрешения
2. Разрешенные протоколы
3. dACL
4. Профиль авторизации
Вопрос 2

32. Cisco TrustSec
Cisco TrustSec включает SGT и MACsec
Функции SGT можно разбить на три категории:
• Классификация назначает SGT пользователю или серверу
• Транспортировка связывает группу безопасности с трафиком
проходящим через сеть
• Применение реализует политику запрета или разрешения по SGT
источника и назначения.

33. Классификация SGT
Таг – это идентификатор привилегий источника (пользователя,
устройства или объекта)
ISE поддерживает динамическое и статическое тагирование

34. SGT транспорт
• SGT распространяется в заголовке Cisco Meta Data (CMD)
Ethernet фрейма
• Оборудование должно поддерживать inline SGT
• Дополнительное шифрование MACsec

35. MACsec

36. Применение политики с помощью SGACL

37. Определение группы безопасности
• Группа безопасности – это набор устройств, которые используют
общую политику защиты
• ISE автоматически назначает 16-битовый SGT

38. Гостевые сервисы в Cisco ISE
• Гостевые сервисы в Cisco ISE охватывают полный жизненный цикл
учётных данных гостей
• Гостевые сервисы ISE предоставляют настраиваемые порталы для
гостей и спонсоров

39. Гостевые сервисы и WebAuth
• Cisco ISE включает гостевые сервисы с помощью функции
WebAuth

40. Приложения гостевых сервисов в Cisco
ISE
Приложение Описание
Портал администратора основной интерфейс для управления. Облегчает настройку
глобальной политики для спонсоров и гостей.
Портал спонсоров облегчает настройку и поддержку учётных записей гостей.
Портал гостевых пользователей облегчает регистрацию гостевых пользователей. Включает экран
для входа, экран с допустимой политикой использования, экран
для изменения пароля, экран само-регистрации.

41. Сервис posture в Cisco ISE
• Проверяет конечное устройство на соответствие
требованиям политики безопасности организации
Функциональная область Описание
Предоставление клиента Автоматизирует установку и обновление NAC агента.
Политика posture Определяет термины соответствия и несоответствия
политике безопасности организации.
Политика авторизации Определяет разрешения в зависимости от состояния
конечного устройства: unknown; compliant; noncompliant.

42. Сервис posture в Cisco ISE

43. Сервис posture в Cisco ISE
• Есть два типа NAC агентов, постоянный агент и Web агент

44. Сервис posture в Cisco ISE
• Условия posture используются для проверки определённых
атрибутов в системе клиента
• Обычные условия включают:
Проверку windows updates
Проверку антивирусов
Проверку наличия пароля для screen sever
Проверку ключей регистра

45. Сервис posture в Cisco ISE
Строительные блоки политики Posture
• Политика posture определяет технические требования, которые
описывают требования в терминах соответствия
• Политика состоит из правил. Каждое правило имеет уникальное
имя и одно или несколько условий
• Условия могут быт простыми или составными и относятся к
нескольким категориям: файлы, регистры, сервисы, приложения,
сложные регулярные условия, антивирусы и антишпионы

46. Настройка условий Posture
• Условия Posture используются для проверки состояния ПО на
конечном устройстве клиента

47. Настройка исправлений
• Исправление необходимо для защиты устройства
• Запускается если система не соответствует требованиям
• Восстановление может быть выполнено вручную или
автоматически

48. Настройка требований posture
• Требования определяют жизненный статус конечного устройства
• Cisco ISE имеет восемь встроенных требований
• Эти требования предоставляют стартовую точку для определения
политики

49. Настройка политики авторизации для
posture
• Состояние может быть установлено в процессе исследования
атрибута PostureStatus
• Атрибут может иметь одно из трех значений: Compliant,
NonCompliant или Unknown

50. Сервис профилирования в Cisco ISE
• Основная цель сервиса профилирования – это классификация
конечных устройств
• Профиль определяет группу идентичности устройства, которая
является атрибутом, используемым при определении условий в
политике аутентификации и авторизации

51. Сервис профилирования в Cisco ISE

52. Сервис профилирования в Cisco ISE
• Сенсор – это метод, используемый для сбора атрибутов конечных
устройств, находящихся в сети. Сенсоры позволяют создавать и
модернизировать профили конечных устройств

53. Политика профилирования
• Сервис профилирования исследует атрибуты конечных устройств и
назначает устройства в группы идентичности. Логика исследования и
назначения определяется в политике профилирования. Эта политика
использует комбинацию условий для идентификации устройств

54. Настройка политики авторизации для
использования профайлера
• Сервис профилирования используют для дифференциации
доступа к сети опираясь на профиль устройства

55. Заключение
• Cisco ISE снижает риски связанных с безопасностью информации:
В корпоративной сети только доверенные устройства
Упрощение и централизация политики сетевого доступа
Внедрение средств автоматизации сетевых политик доступа
• Снижение операционных затрат:
Политики привязаны к пользователю, а не к месту и способу доступа
Повышение наблюдаемости и простоты управления сетевым доступом
Внедрение качественно новых средств автоматизации и контроля
Интеграция понятия контекст в широкий набор сетевых решений и решений
информационной безопасности

56. Вопрос 3
Используете ли вы технологии,
рассмотренные в презентации?
1. Да
2. Нет, но планируем
3. Нет, и в ближайшее время
внедрение не планируем

57. Отправьте свой вопрос сейчас!
Используйте панель Q&A, чтобы задать вопрос.
Эксперты ответят на Ваши вопросы.

58. Приглашаем
Вас активно
участвовать в
Сообществе и
социальных
сетях
Vkontakte http://vk.com/cisco
Facebook http://www.facebook.com/CiscoSupportCommunity
Twitter https://twitter.com/CiscoRussia
You Tube http://www.youtube.com/user/CiscoRussiaMedia
Google+ https://plus.google.com/106603907471961036146
LinkedIn http://www.linkedin.com/groups/Cisco-Russia-CIS-3798
Instgram https://instagram.com/ciscoru
Подписаться на рассылку
csc-russian@external.cisco.com

59. Мы также
предоставляем
Вашему вниманию
Сообщества на
других языках!
Если Вы говорите на Испанском, Португальском или
Японском, мы приглашаем Вас принять участие в
Сообществах:
Русское
http://russiansupportforum.cisco.com
Испанское
https://supportforums.cisco.com/community/spanish
Португальское
https://supportforums.cisco.com/community/portuguese
Японское
https://supportforums.cisco.com/community/csc-japan
Китайское
http://www.csc-china.com.cn
Если Вы говорите на Испанском,
Португальском или Японском, мы
приглашаем Вас принять участие и вести
общение на Вашем родном языке

60. Технические семинары в клубе Cisco Expo Learning Club
http://ciscoclub.ru/events

61. Пожалуйста, участвуйте в опросе
Спасибо за Ваше внимание!