PROFESJONALNE SYSTEMY BEZPIECZEŃSTWA

Transkrypt

1 PROFESJONALNE SYSTEMY BEZPIECZEŃSTWA Podstawowa konfiguracja i monitorowanie ConSentry LANShield Controller oraz ConSentry InSight Command Center Dostęp konsolowy do urządzenia Dostęp administracyjny do urządzenia uzyskujemy poprzez kabel szeregowy podłączony do portu konsoli na urządzeniu CS2400 oraz do portu szeregowego komputera. Parametry połączenia ustawiane na komputerze Bits per second 9600 Data bits 8 Parity None Stop bits 1 Flow control None Uwagi: Po nawiązaniu połączenia z urządzeniem wyświetlony zostaje monit o podanie użytkownika i hasła. Uzyskanie praw administracyjnych Username: admin<enter> Password: <Enter> (LANShieldOS)> enable<enter> Password: <Enter> (LANShieldOS)# Uwagi: Powyższa sekwencja komend pozwoli uzyskać dostęp do urządzenia przy ustawieniach standardowych bez uwierzytelniania. Dostęp do urządzenia poprzez dedykowany port zarządzania Dostęp administracyjny do urządzenia uzyskujemy poprzez kabel sieciowy podłączony do portu 'management' urządzenia CS2400 oraz do portu sieciowego komputera. Adres IP portu 'management' jest domyślnie pobierany z DHCP. Konfiguracja serviceport'u Wyłączenie klienta DHCP na urządzeniu: (LANShieldOS)# configure terminal (config)# serviceport protocol none Ustawienie adresu IP, maski podsieci i bramy domyślnej urządzenia: (config)# serviceport ip <ip> <maska> <brama> Wyświetlenie ustawień portu do zarządzania: (LanShieldOS)# show serviceport Uwagi: Dzięki powyższym ustawieniom możliwy będzie dostęp do CLI urządzenia poprzez telnet. CLICO Sp. z o.o., Al. 3-go Maja 7, Kraków; Tel: ; ; Fax: ; support@clico.pl, orders@clico.pl.; Ftp.clico.pl.;

2 Konfiguracja dostępu do urządzenia poprzez SNMP Konfiguracja SNMP umożliwi monitorowanie i obsługę urządzenia poprzez graficzny interfejs programu InSight. Dostęp będzie wiązał się z instalacją serwera InSight, który poprzez SNMP będzie komunikował się z urządzeniem CS2400 oraz klienta InSight, poprzez który administrator uzyska dostęp do serwera. Zarówno klient, jak i serwer mogą być zainstalowane na jednej maszynie. Ustawienie dostępu tylko do odczytu (config)# snmp-server community <nazwa> (config)# snmp-server community <nazwa_rw> Ustawienie dostępu do odczytu i zapisu (config)# snmp-server community rw <nazwa_rw> Ustawienie parametrów stacji zarządzającej (config)# snmp-server community ipaddr <ip> (config)# snmp-server community ipmask <maska> Włączenie / wyłączenie dostępu do urządzenia CS2400 przez SNMP (config)# snmp-server community mode <nazwa> (config)# no snmp-server community mode <nazwa> Wyświetlenie ustawień SNMP (LANShieldOS)# show snmpcommunity Konfiguracja interfejsów urządzenia CS2400 Włączenia interfejsów należy dokonać dla każdego interfejsu indywidualnie (config) #interface 0/1 (interface) #no shutdown (config) #interface 0/2 (interface) #no shutdown... Włączenie / wyłączenie synchronizacji par interfejsów (config) #linkpair-sync enable (config) #linkpair-sync disable Uwagi: Interfejsy urządzenia podniosą się tylko wtedy, gdy będą podłączone parami (1-2, 3-4,...) lub podłączone będą dowolnie, a synchronizacja par interfejsów zostanie wyłączona. Dolny interfejs danej pary należy podłączyć do sieci, której hosty mają być kontrolowane przez urządzenie, a górne do sieci chronionej (łącze uplink). 2

3 Instalacja oraz uruchomienie aplikacji serwera oraz klienta InSight Instalacja oprogramowania Uwagi: Instalacji oprogramowania należy dokonywać z konta użytkownika dysponującego odpowiednimi uprawnieniami najlepiej z konta administracyjnego. 3

4 4

5 5

6 Po pomyślnym ukończeniu procesu instalacji, należy przejść do uruchomienia zainstalowanych komponentów serwera oraz klienta InSight. Uruchomienie serwera oraz klienta InSight Uruchomienie serwera InSight Menu Start > Programs > ConSentry Insight > Start Windows Service. W wyniku włączenia serwisu InSight uruchomione zostaną trzy usługi: ConSentry InSight WebServer (Apache) ConSentry InSight Server ConSentry InSight Database Uruchomienie klienta InSight Menu Start > Programs > ConSentry Insight > Client, można również skorzystać ze skrótu utworzonego na Pulpicie. 6

7 Proces uruchamiania klienta przebiega następująco: Nawiązywanie połączenia: Logowanie: Uwagi: Standardowy login: admin Standardowe hasło: password 7

8 Widok standardowy po uruchomieniu i zalogowaniu się aplikacją kliencką: W pierwszej kolejności po uruchomieniu InSight należy dodać urządzenie CS2400 do urządzeń zarządzanych. Dodawanie nowego urządzenia przebiega następująco: Przełączenie się do widoku urządzeń: 8

9 Dodanie nowego urządzenia: Kliknąć prawym przyciskiem myszy w ikonę Devices, a następnie wybrać New.... Ustawienie połączenia: Należy podać wartości wprowadzone podczas konfiguracji urządzenia adresem IP urządzenia jest adres interfejsu 'serviceport'. Pozostałe ustawienia wiążą się z parametrami SNMP. 9

10 Widok podstawowej konfiguracji nowo dodanego urządzenia: Uwagi: Należy pamiętać o synchronizacji zmian wprowadzanych na urządzeniu poprze konsolę. Celem wymuszenia synchronizacji należy kliknąć na ikonie urządzenia w oknie All Devices prawym przyciskiem myszy i wybrać Device Actions, a następnie Synchronize Configuration

11 Konfiguracja serwerów uwierzytelniających CS2400 ma możliwość współpracy z zewnętrznymi serwerami uwierzytelniającymi, przechowującymi atrybuty użytkowników sieci. Administrator ma możliwość skonfigurowania połączeń z serwerami Microsoft AD oraz RADIUS. Współpraca z serwerami umożliwia zastosowanie mechanizmów Role Derivation, pozwalających nie tylko uwierzytelniać użytkowników, ale również autoryzować dostęp do zasobów. Serwer RADIUS znajduje także zastosowanie przy uwierzytelnianiu użytkowników w oparciu o Captive Portal. Konfiguracja serwera Active Directory Konfiguracja serwera AD może zostać wykonana w trybie tekstowym (konsolowym), bądź graficznym przy użyciu oprogramowania InSight. Przy pierwszej konfiguracji można wyłączyć SSL, co ułatwi zestawienie połączenia. Można skonfigurować więcej (niż jeden) serwerów AD. Konfiguracja serwera AD w trybie tekstowym: (LANShieldOS)# configure terminal (config)# aaa ldap-server domain ip [bind-dn dn] [password pwd password-encrypted pwd] [base-dn base] {timeout secs} {port num} {no-ssl} (config)# write mem Przykładowa konfiguracja dla domeny test.clico.pl oraz serwera AD tej domeny działającego pod adresem Należy zwrócić uwagę na użytkownika musi on mieć uprawnienia do czytania AD. Podane hasło jest hasłem domenowym użytkownika. W poniższym przykładzie wyłączono SSL. (config)# aaa ldap-server TEST.CLICO.PL bind-dn "cn=administrator,cn=users,dc=test,dc=clico, dc=pl" password-encrypted hasło base-dn "dc=test,dc=clico,dc=pl" port 389 timeout 1 no-ssl Konfiguracja serwera w trybie graficznym. Wprowadzone parametry są identyczne, jak w trybie tekstowym. 11

12 Konfiguracja serwera RADIUS Konfigurację połączenia z serwerem RADIUS wykonuje się w trybie tekstowym, co sprowadza się do wykonania następujących czynności. Na serwerze RADIUS należy zdefiniować klienta. W tym przypadku CS2400 za pomocą adresu IP oraz podać hasło identyczne do hasła, które za chwile zostanie zdefiniowane na CS2400. Na CS2400 należy zastosować poniższą sekwencje komend. Można zdefiniować dwa serwery RADIUS, dlatego tez parametr id może przyjąć wartość 0 lub 1. (LANShieldOS)# configure terminal (config)# aaa radius-server id ip-address ipaddr key hasło (config)# write mem Monitorowanie sieci kontrolowanej przez CS2400 Widok użytkowników Aby otworzyć widok, należy na pasku wyboru zakładek kliknąć ikonę użytkowników: Widok aktywnych oraz nieaktywnych użytkowników w zadanym przedziale czasowym: Widok użytkowników ze względu na pełnioną Rolę: Aby wyświetlić tylko użytkowników pełniących daną rolę, wystarczy zaznaczyć tę rolę w menu Roles : 12

13 Użytkownicy pełniący wybrana role pojawiają się automatycznie: 13

14 Widok użytkowników, którym nie udało się uwierzytelnić: W menu Users trzeba zaznaczyć odpowiednie kryteria wyboru: Widok użytkowników, którym nie udało się uwierzytelnić: 14

15 Widok statystyk Aby otworzyć widok, trzeba na pasku wyboru zakładek kliknąć ikonę statystyk: Uwagi: Celem odnotowania w statystykach zdarzeń powiązanych z politykami należy ustawić parametr log w definicji polityki można to zrobić zarówno z linii komend, jak i w trybie graficznym. Główny widok statystyk zebranych przez urządzenie CS2400: Aby przejść do widoku danych statystycznych, należy kliknąć na odpowiedni wykres. Automatycznie otworzy się odpowiedni widok. 15

16 Widok incydentów z politykami: Ogólny stan sieci w danym momencie: Opracowali: Konrad Ślęzak Adam Śniegórski 16