10. September 2009 Mit High-Speed Switching in die Netzwerk-Zukunft! Netzwerksicherheit. Zentrale Steuerung, dezentrale Kontrolle

Transkript

1 Technologie Seminarreihe 10. September 2009 Mit High-Speed Switching in die Netzwerk-Zukunft! Vortrag: Netzwerksicherheit Zentrale Steuerung, dezentrale Kontrolle Dirk Schneider, HP ProCurve Network Consultant, informiert Sie über die wichtigsten Entwicklungen im Bereich geswitchter Netzwerke. Natürlich werden in diesem Rahmen auch die neuesten Produkte und Entwicklungen des Herstellers HP ProCurve vorgestellt Alle Seminarunterlagen finden Sie unter im Bereich Aktuelles/Seminare Netzwerksicherheit, Juni 2009 Seite 1

2 Netzwerksicherheit Ständig steigende Bedeutung wachsende Vernetzung im IT- und Nicht-IT Bereich steigende Mobilitätsansprüche (ex- und interne Ressourcen) Flexibilisierung der Arbeitsprozesse über alle Unternehmensbereiche Netzwerksicherheit, Juni 2009 Seite 2

3 Netzwerksicherheit Ein umfassender Schutz ist nur durch einen vielschichtigen Ansatz erreichbar. Zwiebelmodell network access control intrusion prevention Zugriffskontrolle Einbruchschutz und Meldesysteme identity and access management Identitäts- und Zugriffsmanagement vulnerability management Gefahren und Risikomanagement Netzwerksicherheit, Juni 2009 Seite 3

4 Netzwerksicherheit 2007 hätten 80% der Schadensursachen in Netzwerken durch den Einsatz verfügbarer Technologien verhindert werden können: network access control, intrusion prevention, identity and access management, vulnerability management. Netzwerksicherheit, Juni 2009 Seite 4

5 ProCurve Security ProActive Defense Wer möchte wann, von wo auf welche Ressourcen zugreifen? Erkennung und Abblockung von verschiedensten Attacken und Angriffen auf das Netzwerk. Zugriffskontrolle Netzwerksicherheit Sichere Infrastruktur Sichere Bereitstellung einer gemanagten Netzwerkinfrastruktur. Regulatory Compliance Adaptive Edge Architecture Netzwerksicherheit, Juni 2009 Seite 5

6 Adaptive Edge Architecture s Die Zugangspunkte im Netzwerk bieten den optimalen Ansatz um Anomalien und Gefahren zu erkennen. Intelligent EDGE Internet Sich abzeichnende Probleme werden am Ort der Entstehung behoben/gelöst/bekämpft. Clients COMMAND FROM THE CENTER Clients Command from the center, control to the edge the ProCurve Adaptive Edge Architecture Wireless Clients Per-Port Distributed Processors Netzwerksicherheit, Juni 2009 Seite 6

7 Adaptive EDGE Architecture Kontrolle im Edge-Bereich Der erste Zugangspunkt bietet die optimale Möglichkeit Probleme zu beheben Intelligent Edge s Wireless Clients Sicherheit 802.1X Web authentication MAC authentication Virus Throttling ACLs DHCP Snooping ARP protection BPDU protection & filtering MAC lockout / lockdown Source port filtering Multiple Threat Detection Clients Intelligent Switches Wireless Clients Wireless Access Points Interconnect Fabric Edge Network Command from the Center Intelligent Switches Edge Portal Internet Clients Netzwerksicherheit, Juni 2009 Seite 7

8 IDM Identity Driven Manager IDM add-on for PCM+ dynamically applies security, access and performance settings to network infrastructure devices Provides edge-enforced access control based on user, device, time, location, and client system state Users receive appropriate access and rights wherever and whenever they connect based upon pre-configured access rights and policies Can apply VLAN, ACL, QoS, and bandwidth limit settings on a per user basis Management effort is reduced since policies are defined using PCM+ client VLANs can be used for primary purpose of limiting communication between users instead of controlling access to core resources Based on these attributes: User ID Device ID Time Location Client integrity status Set these parameters: VLAN Bandwidth limit QoS ACLs Rev Netzwerksicherheit, Juni 2009 Seite 8 8

9 Using identity-driven access controls Identity-driven solution provides a means of enforcing per-user access rights based on: Who the user is Where the access is occurring When the access is occurring What resources are allowed Internet Business Network when 9:00 what where Guest & Employee Conference Room 8:55 R&D LAN who Parking lot Lobby Campus Rev Netzwerksicherheit, Juni 2009 Seite 9 9

10 IDM in operation 1. User plugs in to network 2. User is challenged for credentials by switch Edge device with IDM feature support 4. Switch forwards credentials to RADIUS server resulting in request for identity / authentication from database IDM Agent is aware of transaction 7. Userspecific resources are made available 3. User sends credentials (username/password or smartcard) 6. If valid user, IDM checks Username / password Time of day Location System (MAC address) Client Integrity Status - Query to third-party And applies access profile - VLAN, QoS, Bandwidth, ACLs IDM Agent RADIUS server 5. Database responds with user validity Per user network parameter database IDM Agent adds authorization parameters to the RADIUS reply sent to the switch where the access rights of the client are enforced Edge device must support MAC, Web, or 802.1X authentication Rev Netzwerksicherheit, Juni 2009 Seite 10 10

11 Network Access Security Conference Room Network Administrator Internet Zgriff nur auf das Internet Zugriff auf Interund Intranet Zugriff nur auf Anti-Virus- Service- Guest Employee Non-Compliant Employee Edge Switch Enterprise LAN Access Policy Corporate Anti-Virus remediation 1. Sets up role based access policy groups & assigns rules and access profiles: Set rules Time Location Device ID Client integrity status To trigger each policy profile ACL VLAN QoS BW limit 2. Put users in appropriate access policy group Conference Room Netzwerksicherheit, Juni 2009 Seite 11

12 Network Access Security Conference Room Network Administrator Internet Zgriff nur auf das Internet Zugriff auf Interund Intranet Zugriff auf Interund Intranet Guest Employee Compliant Employee Edge Switch Enterprise LAN Anti-Virus Access Policy Corporate 1. Sets up role based access policy groups & assigns rules and access profiles: Set rules Time Location Device ID Client integrity status To trigger each policy profile ACL VLAN QoS BW limit 2. Put users in appropriate access policy group Conference Room Netzwerksicherheit, Juni 2009 Seite 12

13 Client Authentication Possibilities Am Edge-Switch stehen 3 Authentifizierungsmethoden zur Verfügung: IEEE 802.1X Web Authentication MAC Authentication RADIUS ProCurve IDM 0008A2-1C99C6 no client software required sends MAC address using 802.1X client software Netzwerksicherheit, Juni 2009 Seite 13 using web browser only

14 802.1X, Web and MAC authentication 802.1X standard based and widely-used no IP communication until authentication successful port based access control user based access control (up to 32 per port) Web-Authentication port communication is redirected to the switch temporary IP address is assigned by the switch login screen is presented for the client MAC-Authentication the device MAC address is used as username/password Netzwerksicherheit, Juni 2009 Seite 14

15 Zugriffskontrolle Identity Driven Manager (IDM) Allows easy creation and management of user policy groups for optimizing network performance and increasing user productivity Dynamically apply security, access and performance settings at port level based on policies IDM adds network reports and logs based on users for audit Set => ACLs VLAN Bandwidth Limit QoS Based on => User/Group Time Location Device ID Client Integrity Status Netzwerksicherheit, Juni 2009 Seite 15 15

16 Adaptive Zugriffskontrolle mit IDM Authentication HTTP Request MAC Address 802.1X 802.1X Supplicant nt Web-Auth MAC-Auth 802.1X Authenticator RADIUS IDM Agent Authentication Directory Active Directory LDAP Policy Enforcement Point (PEP) ProCurve Switches and Access-Points PCM / IDM ProCurve owned 3 rd Party Software Network Mgmt Netzwerksicherheit, Juni 2009 Seite 16 16

17 Adaptive Zugriffkontrolle mit IDM und ProCurve NAC 800 Überprüfung der Endgeräte Betriebssystemversion und Patch-Stand Stand der Anti-Virus und Anti-Spyware-Software Geforderte oder verbotene Anwendungssoftware. Und mehr. Endpoint Integrity Agent Any 802.1X Client MAC Address HTTP Request On-demand MAC-Auth Web-Auth 802.1X Authenticator Policy Enforcement Point (PEP) Network Access Controller 800 EI Policy Definitions Endpoint Integrity Agent RADIUS IDM Agent PCM / IDM Authentication Directory Active Directory edirectory LDAP ProCurve Switches and Access-Points ProCurve owned Netzwerksicherheit, Juni 2009 Seite 17 Network Mgmt 17

18 Access Control Endpoint Integrity with ProCurve NAC 800 Authenticated systems protects the network from harmful systems and enforces system software requirements Endpoint integrity checks Antivirus, spyware, firewalls, peer-to-peer, allowed and prohibited programs and services OS versions, services packs, hotfixes Security settings for browsers and applications Netzwerksicherheit, Juni 2009 Seite 18 18

19 Endpoint Integrity Tests Operating systems Service Packs Rogue WAP Connection Windows 2000 hotfixes Windows 2003 SP1 hotfixes Windows 2003 hotfixes Windows XP SP2 hotfixes Windows XP hotfixes Windows automatic updates Browser security policy IE internet security zone IE local intranet security zone IE restricted site security zone IE trusted site security zone IE version Security settings MS Excel macros MS Outlook macros MS Word macros Services not allowed Services required Windows Bridge Network Connection Windows security policy Windows startup registry entries allowed Personal firewalls AOL Security Edition Black ICE Firewall Computer Associates EZ Firewall Internet Connection Firewall (Pre XP SP2) McAfee Personal Firewall Panda Internet Security F-Secure Personal Firewall Norton Personal Firewall / Internet Security Sygate Personal Firewall Symantec Client Firewall Tiny Personal Firewall Trend Micro Personal Firewall ZoneAlarm Personal Firewall Senforce Advanced Firewall Windows Firewall MS Office version check Microsoft Office XP Microsoft Office 2003 Microsoft Office 2000 prohibited Software Administrator defined Required software Administrator defined P2P and instant messaging Altnet AOL instant messenger BitTorrent Chainsaw Chatbot DICE dirc Gator Hotline Connect Client IceChat IRC client ICQ Pro IRCXpro Kazaa Kazaa Lite K++ leafchat Metasquarer mlrc Morpheus MyNapster MyWay NetIRC NexIRC Not Only Two P2PNet.net PerfectNav savirc Trillian Turbo IRC Visual IRC XFire Yahoo! Messenger 19 Netzwerksicherheit, Juni 2009 Seite 19

20 Endpoint Integrity Checks Anti-virus NOD32 AntiVirus AVG AntiVirus Free Ed Computer Associates etrust AntiVirus Computer Associates etrust EZ AntiVirus F-Secure AntiVirus Kaspersky AntiVirus for Files Kaspersky AntiVirus for Workstations McAfee VirusScan McAfee Managed VirusScan McAfee Enterprise VirusScan McAfee Internet Security Suite 8.0 Norton Internet Security Trend Micro AntiVirus Trend Micro OfficeScan Corporate Edition Sophos AntiVirus Panda Internet Security Symantec Corporate AntiVirus Anti-spyware Ad-Aware SE Personal Ad-Aware Plus Ad-Aware Professional CounterSpy McAfee AntiSpyware Pest Patrol Spyware Eliminator Webroot Spy Sweeper Windows Defender Netzwerksicherheit, Juni 2009 Seite 20 Spyware, Worms, viruses, and Trojans CME-24 W32.HLLW.Lovgate Keylogger.Stawin W32 Hiton Trojan.Mitglieder.C W32.IRCBot.C VBS.Shania W32.Kifer W32.Beagle.A W32.Klez.H W32.Beagle.AB W32.Klez.gen W32.Beagle.AG W32.Korgo.G W32.Beagle.AO W32.Mimail.Q W32.Beagle.AZ W32.Mimail.S W32.Beagle.B W32.Mimail.T W32.Beagle.E W32.Mydoom.A W32.Beagle.J W32.Mydoom.AX-1 W32.Beagle.K W32.Mydoom.AX W32.Beagle.M W32.Mydoom.B W32.Beagle.U W32.Mydoom.M W32.Blaster.K.Worm W32.Mydoom.Q W32.Blaster.Worm W32.Netsky.B W32.Doomhunter W32.Netsky.C W32.Dumaru.AD W32.Netsky.D W32.Dumaru.AH W32.Netsky.K W32.Esbot.A.1 W32.Netsky.P W32.Esbot.A.2 W32.Esbot.A.3 W32.Sasser.B W32.Galil.F W32.Sasser.E W32.HLLW.Anig W32.Sasser.Worm W32.HLLW.Cult.M W32.Sircam.Worm W32.HLLW.Deadhat W32.Sober.O W32.HLLW.Deadhat.B W32.Sober.Z W32.HLLW.Doomjuice W32.Welchia.Worm W32.HLLW.Doomjuice.B 20 W32.Zotob.E

21 Gastzugänge im WLAN anlegen The WebUser administrator can access only this window. 1 Manually set a username and password 2 Automatically create a username and password 3 4 Rev 1.0 Netzwerksicherheit, Juni 2009 Seite

22 Zusammenfassung ProCurve bietet eine umfassende und handhabbare Zugangskontrolle um Ihre Netzwerkinfrastruktur zu schützen: Eine erweiterbare und handhabbare Lösung. Flexibel für gegenwärtige und zukünftige Anforderungen. Schützt das Netzwerk vor gefährlichen oder infizierten Endgeräten. Erzwingt die Einhaltung der internen Unternehmenspolitik im Umgang mit der IT Infrastruktur. Vereinheitlichte Zugangskontrolle für LAN, WLAN und WAN. The ProCurve Access Control solution helps administrators deploy secured network access based on business policy More Security with Less Complexity Netzwerksicherheit, Juni 2009 Seite 22 22