Ist Ihr Netzwerk sicher genug für ein mobiles Unternehmen?

Transkript

1 Ist Ihr Netzwerk sicher genug für ein mobiles Unternehmen?

2 Agenda Uhr Begrüssung Die Gefahren und Risiken in einer vernetzten Welt (Max Klaus, stv. Leiter, MELANI) Uhr Mobile-First: Aruba s sichere Netzwerkarchitektur für die #GenMobile (Jörg Hofmann, HPE Aruba) Uhr Kurze Pause Uhr Aruba ClearPass Die Lösung für einen sicheren Netzwerkzugang (Manuel Bitzi, SOFTEC) Uhr Aruba ClearPass Live (Manuel Bitzi, SOFTEC) Uhr Apéro und Networking 2

3 Informatiksteuerungsorgan des Bundes ISB Nachrichtendienst des Bundes NDB Melde- und Analysestelle Informationssicherung MELANI Die Gefahren und Risiken in einer vernetzten Welt Max Klaus, stv. Leiter MELANI

4 Inhalt Die Melde- und Analysestelle Informationssicherung MELANI Aktuelle Bedrohungslage ISB / NDB Melde- und Analysestelle Informationssicherung MELANI Titel / Datum / AutorIn 4

5 BR-Auftrag / PPP Schutz kritischer Infrastrukturen in der Schweiz nur in enger Zusammenarbeit mit der Wirtschaft möglich Public Private Partnership Quelle: ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

6 Rahmenbedingungen für MELANI Keine Meldepflicht für Cybervorfälle Subsidiarität Keine Weisungsbefugnis ausserhalb der Bundesverwaltung ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

7 Informatiksteuerungsorgan des Bundes ISB Nachrichtendienst des Bundes NDB Melde- und Analysestelle Informationssicherung MELANI EFD / ISB Leitung und Strategie GovCERT.ch Technische Analysen VBS / NDB OIC MELANI Nachrichtendienstliche Analysen MELANI Geschlossener Kundenkreis Chemie und Pharma Energie Finanz Gesundheitswesen Industrie Medien Rüstung Telekommunikation Transport/Logistik Versicherungen Verwaltung Öffentlicher Teil KMU und Bürger Wissenschaft und Forschung -Universitäten - Fachhochschulen Software und Antivirenhersteller -Microsoft - Google -Avira - F-Secure. Swiss Cyber Experts Internationale Beziehungen - Interpol - Europol EGC European Gov. CERTs FIRST Forum of Incident Response and Security Teams Andere Regierungen - CPNI - BSI - A-SIT -...

8 Aufgaben von MELANI Beobachtung und Darstellung der nationalen Lage: Prävention/Alarmierung ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

9 Aufgaben von MELANI Geschlossener Kundenkreis (KI-Betreiber) Prävention dank Informationen aus öffentlich nicht zugänglichen Quellen Unterstützung bei der Behebung von Cyber-Vorfällen Offener Kundenkreis (KUM, NPO, Privatpersonen) Sensibilisierung Prävention ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

10 Öffentliche Produkte von MELANI (1/4) ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

14 Phishing DB ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

15 Inhalt Die Melde- und Analysestelle Informationssicherung MELANI Aktuelle Bedrohungslage ISB / NDB Melde- und Analysestelle Informationssicherung MELANI Titel / Datum / AutorIn 15

16 Veränderung der Bedrohungslage 19. Jahrhundert Vor 10 Jahren heute morgen? derstandard..at augsburgerallgemeine..de jdpower..com infosecisland.com Modernere Mittel Vernetzte Bevölkerung Zu geringes Sicherheitsbewusstsein ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

17 Am Anfang (fast) allen Übels: Social Engineering Social Engineering ist die Kunst, eine Person zu einer Tat zu bewegen, die in ihrem Interesse sein kann oder die ihr Schaden zufügen kann Quelle: ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

18 Öffentliche WLAN und Gastzugänge ISB / NDB Melde- und Analysestelle Informationssicherung MELANI Titel / Datum / AutorIn 18

19 Botnetze webreaders.de/wp-content/uploads/2008/01/botnetz.jpg ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

20 Botnetze als DAS Mittel zum Zweck Botnetze liegen praktisch allen kriminellen Aktivitäten im Bereich des Internets zu Grunde. Kontrollserver Botnetzbetreiber DDoS Bots Spam Malware ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

21 So billig sind Botnetze zu mieten Produkt Einfacher Windows Bot Bot mit guter Bandbreite Spezialanfertigung Preis 10 Cents / Bot&Tag 1$ / Bot&Tag 40$ / Bot Quelle: SWITCH-CERT ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

22 Denial of Service ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

23 Protonmail Kontrollserver Armada Collective Bots ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

24 Protonmail ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

25 Der schwarze Montag 2016 ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

26 Mirai Botnet by «New World Hackers» Angriffswelle vom (ca Bots) Source Code geleakt Trittbrettfahrer! Konkurrenz zu «Bashlight» gegenseitiges Kapern! ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

27 DDos: Empfehlungen Prävention: Businesskritische Systeme identifizieren Schutzmassnahmen mit Provider definieren Reaktion: «Aussitzen» Keinesfalls Lösegeld bezahlen! Meldung an MELANI/KOBIK, allenfalls Anzeige gegen Unbekannt bei KaPo ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

28 CEO Fraud ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

29 CEO Fraud ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

30 Betrug: Empfehlungen Klare Weisungen bezüglich Zahlungen erteilen Keine internen Informationen weitergeben Im Zweifelsfall bei der GL nachfragen Vorsicht auch bei Mails von vermeintlich bekannten Personen Information an MELANI / KOBIK, allenfalls Strafanzeige gegen Unbekannt bei KaPo ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

31 Spionage ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

32 Spionageangriff auf BV ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

33 Spionage: Beispiel aus der Schweiz ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

34 Spionage: Empfehlungen Klassifizierung von Dokumenten Regeln für die verschiedenen Klassfizierungen durchsetzen Netzwerkmonitoring betr. verdächtigem Datenverkehr Information an MELANI / KOBIK, allenfalls Strafanzeige gegen Unbekannt bei KaPo ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

35 Erpressung ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

36 Verschlüsselungstrojaner «Locky» (1/2) ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

37 Verschlüsselungstrojaner «Locky» (2/2) ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

38 Verschlüsselungstrojaner: Empfehlungen Regelmässige Datensicherung Datenträger nach Backup vom PC / Netz trennen Qualität der Backups sporadisch überprüfen Keinesfalls Lösegeld bezahlen! Information an MELANI / KOBIK, allenfalls Strafanzeige gegen Unbekannt bei KaPo ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

39 Herzlichen Dank für Ihre Aufmerksamkeit Max Klaus Stv. Leiter Melde- und Analysestelle Informationssicherung MELANI Schwarztorstrasse Bern ISB / NDB Melde- und Analysestelle Informationssicherung MELANI

40 Mobile-First: Aruba s sichere Netzwerkarchitektur für die #GenMobile Jörg Hofmann, HPE Aruba

41 MOBILE-FIRST: Sichere Netzwerkarchitektur für die #GenMobile People Move. Networks Must Follow.

42 WHO ARE WE? Founded: 2002, IPO: 2007 HPE s IT Edge portfolio since June 2015 $2.4B+ annual revenue run rate Biggest Small Company High touch business model Customer First, Customer Last Home of 45K+ Mobility Airheads Community Clients globally should consider Aruba for all wired and wireless access layer opportunities. Gartner MQ for Wired and Wireless LAN Access Infrastructure, August 2016 Source: Gartner Magic Quadrant for the Wired and Wireless LAN Access Infrastructure September Tim Zimmerman, Bill Menezes, Andrew Lerner, ID Number: G This Magic Quadrant graphic was published by Gartner Inc. as part of a larger research note and should be evaluated in the context of the entire report. The Gartner report is available upon request from HP. The Magic Quadrant is a graphical representation of a marketplace at and for a specific time period. It depicts Gartner's analysis of how certain vendors measure against criteria for that marketplace, as defined by Gartner. Gartner does not endorse any vendor, product or service depicted in the Magic Quadrant, and does not advise technology users to select only those vendors placed in the "Leaders" quadrant. The Magic Quadrant is intended solely as a research tool, and is not meant to be a specific guide to action. Gartner disclaims all warranties, express or implied, with respect to this research, including any warranties of merchantability or fitness for a particular purpose.

43 ENABLING GREAT DIGITAL EXPERIENCES FOR GENMOBILE

44 70% SAY A MOBILE DEVICE MAKES THEM MORE PRODUCTIVE AT WORK By % of users in mature markets will own and use more than 3 personal devices 50% of enterprises will allow employees to supply their own devices by 2017 Forrester CIOs Must Empower the Digital Workplace Forrester The State of Enterprise Worker Mobility Gartner The Role of the Desktop in Our Multi-Device World

45 BY 2020, 50% OF THE GLOBAL WORKFORCE WILL BE MILLENNIALS Millennials believe their personal technology is more effective at work 63% of millennials work for a company that offers a flexible work environment Trends 2016 Code Conference, Mary Meeker Annual Presentation Gartner Millennial Digital Workers Really Are Different From Their Elders

46 LESS THAN 50% OF EMPLOYEES ARE SATISFIED WITH TECH THEY HAVE AT WORK Employees want an environment where they can access and use the technology hey need to do their best work Enterprises need to think how untethered employees can move easily and seamlessly from personal workspace to huddle area to open areas Trends 2016 Code Conference, Mary Meeker Annual Presentation Gartner Millennial Digital Workers Really Are Different From Their Elders

47 80%+ NEW IOT PROJECTS TO BE DEPLOYED WITH WIRELESS NETWORK ARCHITECTURE Installed base of IoT endpoints will grow from 12.1B in 15 to 30B+ in 20 WLAN will become IoT connectivity method of choice for many organizations and choosing the wrong wireless tech can hinder the value of IoT IDC Planscape Optimizing the WLAN for IoT IDC Worldwide, Internet of Things Forecast Update,

48 THE PERFECT STORM: MOBILE, IoT and CLOUD

49 OLD STYLE IT INFRASTRUCTURE Gen Y

50 NEW STYLE IT INFRASTRUCTURE GenMobile

51 OUR APPROACH Legacy Separate architectures Port, VLAN aware Proprietary systems Mobile First Single set of infrastructure Insightful, context-rich Developer ready

52 REQUIREMENTS FOR IT ORGANIZATIONS Scale network ops across wireless and wired infrastructure Enable high quality experience on mobile UC Stay compliant, while embracing BYOD and IoT Deliver apps to remote locations in a heartbeat Improve workplace productivity and influence revenue growth

53 EASY TO CONSUME, DEVELOPER READY INFRASTRUCTURE INNOVATION AT THE SPEED OF THE ECOSYSTEM NOT A SINGLE VENDOR x IT services Network controls Network management Policy management Business and user facing applications Aruba infrastructure: Wi-Fi, BLE, Wired, WAN Cloud networking Location analytics Micro-location services Aruba Mobile First Platform

54 EMPLOYEE EXPERIENCE

55 09:00 ENROLL MOBILE DEVICE

56 11:00 PRIVILEGED ACCESS WITH MULTI-FACTOR AUTHENTICATION

57 13:00 BOOK MEETING ROOM

58 OPERATIONAL EXPERIENCE

59 09:30 UNDERSTAND APP USAGE Aruba AppRF

60 15:30 MONITOR HEALTH OF THE SMART BUILDING

61 IT EXPERIENCE

62 11:00 PREDICT, DON T JUST TROUBLESHOOT Aruba Clarity

63 13:30 UNDERSTAND, DON T JUST MONITOR

64 ONCE BYOD AND IoT ARE ON YOUR NETWORK SECURING THE PERIMETER IS NO LONGER ENOUGH

65 STAY COMPLIANT, WHILE EMBRACING BYOD AND IOT Auto-classify unknown devices, on any network with Aruba ClearPass Automate onboarding of each device to the network and enforce policy Detect & eliminate threats with ClearPass Exchange partners

66 SOFTWARE CONTROLS FOR NETWORK ACCESS SECURITY Internet of Things (IoT) Multi-vendor switching REST API Security monitoring and threat prevention Device management and multi-factor authentication BYOD and corporate owned Multi-vendor WLANs Aruba ClearPass with Exchange Ecosystem Helpdesk and voice/sms service in the cloud

67 SOFTWARE CONTROLS FOR COLORLESS PORTS Device and user identity stores IoT devices on the wired network connecting to any port Aruba switches Ports assigned to new VLANs through ClearPass based on device type Prevention against malware and insider threats Secure per device tunneling to Aruba Mobility Controller

68 LEADING SWISS BRANDS TRUST US

69

70 Pause

71 Aruba ClearPass Die Lösung für einen sicheren Netzwerkzugang Manuel Bitzi, SOFTEC AG

72 Evolution of Access Management and Control YESTERDAY TODAY Desktops & Wired Basic AAA with User/Port Control High touch IT model Windows Vulnerabilities Perimeter security via platform silos Mobile Devices, BYOD & Wireless Multi-factor policy control with visibility Self Service, automated process Multiple Attack Vectors Cooperative trust via context sharing

73 Time For A New Mobility Defense Model Static Perimeter Defense Adaptive Trust Defense Anti/Virus IDS/IPS Firewalls Physical Components Web gateways Perimeter Defense Security and Policy for each user or group

74 Was sind die Hauptgründe für ein NAC? Authentifizierung, Zugriffsschutz Automatische Konfiguration, Workflows Visibilität, Nachvollziehbarkeit

75 Top IT NAC Business Drivers Authentication and Authorization NAC Services Deployment Architecture and Coverage Deployment Services Provide secure wired and wireless access Enhance mobile and cloud app access Use of certificates Offer differentiated access (IT-owned, BYOD, IoT) Deliver managed and reliable guest access Provide consistent privileges regardless of location Leverage 3rd-party security solutions IT-controlled access Automate workflows Simplicity Possible Userintervention

76 ClearPass Policy Manager and NAC Solution Built-in: Policy Engine RADIUS/CoA/TACACS Profiling Accounting/reports Identity store Expandable Applications Remote Location BYOD onboarding Simple guest access Health assessments Onboard Guest OnGuard

77 What s Inside? VISIBILITY Device Profiling Troubleshooting Per Session Tracking WORKFLOW Onboarding and Self-Registration Guest Management MDM/EMM Integration RULES Context based Device Posture Checks Built-in Certificate Authority

78 Authentication based on Device Context EMM/MDM/OnGuard Device Profiling Samsung SM-G900 Android Jons-Galaxy Personal owned Registered OS up-to-date Hansen, Jon [Sales] MDM enabled = true In-compliance = true Hansen, Jon [Sales] Title COO Dept Executive office City London Network Devices Identity Stores Location Bldg 10 Floor 3 Bandwidth 10Mbps

79 Value of a Policy Engine Remove SSID Overload OLD WAY: Separate access & traffic by SSIDs NEW WAY: Simplify, separate traffic dynamically by context

80 ClearPass Exchange End-to-End Control, Information and Visibility Multi-Vendor Infrastructure Combine Identity Information Traffic control & threat prevention Device management and multi-factor authentication Standard Protocols for custom extensions REST API XML SQL HTTP LDAP TACACS RADIUS Helpdesk and voice/sms service in the cloud

81 ClearPass Exchange Example Extensions for Intel Security - McAfee epo Corporate owned and IoT 2 Devices profiled 3 ClearPass checks McAfee epo for endpoint status 1 Devices establish connections Multi-vendor switching 4 ClearPass enforces access privileges McAfee epo BYOD and corporate owned Multi-vendor WLAN

82 ClearPass Exchange Example Bi-directional Exchange Firewall/IPS Event user connects and 1 2 uploads threat detects and blocks event 5 isolates user 4 informs infrastructure Firewall/IPS/SIEM/etc sends event to 3 ClearPass 6 notifies user, opens service ticket, notify third-party devices

83 ClearPass Profiler Engine DHCP SNMP TCP SSH NMAP CDP, LLDP WMI OnGuard Mac OUI HTTP ClearPass sammelt so viele Informationen wie möglich um einen Gerätetyp zu bestimmen. Category, Family, Product Name Fingerprint-Datenbank wird regelmässig aktualisiert Eigene Fingerprints erstellen Credentials für SMNP, SSH, etc hinterlegen Profiling bei Authentifizierung oder nach Bedarf Erkennen von IoT Devices

84 ClearPass Profiler Engine Profiling on authentication, discover IoT Before After unknown Lighting Sensor unknown send to quarantine profiling Temperature Sensor assign new policy discover IoT, assign appropriated policy

85 ClearPass Profiler Engine Custom Fingerprints Rules OLD WAY: Wait for new Fingerprints to be made and/or manually override devices 1:1 NEW WAY: Create your own Fingerprints!

86 ClearPass Universal Profiler Standalone Profiling Engine ClearPass Universal Profiler Standalone profiling engine Wired and wireless networks Easily distributed for coverage and scalability New device visibility dashboard Reports Gain Visibility of your Network GA February 2017

87 DEMO Profiling

88 Clearpass Modules / Workflows OnGuard Client Health Check Automated Healthcheck before Access Wired/Wireless: Ensures posture compliance for laptops/computers Security: Forces use of Anti-Virus, Anti-Spyware, firewalls, disk encryption Remediation: Manual or auto Visibility: Identifies poor behavior User Notification: Tells User about failed checks Type: Service or dissolvable Web Checker

89 DEMO OnGuard

90 Clearpass Modules / Workflows Secure Guest Login Flexible Guest Logins for Any Visitor Customizable Splash Pages Self-Service Workflows SMS Authentication Sponsoring Social Login Vouchers Predefined User/Password MAC Caching for repeat visitors Suitable for Mobile Devices

91 Clearpass Modules / Workflows Secure Guest Login, Look and Feel

92 Clearpass Modules / Workflows OnBoard Employee Device BYOD: Employees Login with Personal Devices User and IT friendly: One time user registration / no IT intervention Security: IT managed, 802.1X and Certificates Context: Data added to profile for adaptive policy and troubleshooting Selfmanaged: User can manage, delete and block devices by their own

93 Clearpass Modules / Workflows Certificate Distribution for BYOD VA CA RA AD CA Validation Authority Certificate Authority Registration Authority Active Directory Certificate Authority IT-Managed Devices Domain Key & Certificate Personal Devices Domain User Device Key & Unique Certificate Enterprise PKI and CA Built-in ClearPass CA

94 Clearpass Modules / Workflows Multi-Factor Authentication Additional Authentication for Guest and Onboard Workflows Multiple Support SMS Verification Code RSA Security Duo Zoom Facial Network Kasada More to come

95 DEMO OnBoard BYOD

96 Mögliches Zugriffskonzept Wireless Internet Gäste SSID: open Captive-Portal Internet only BYOD SSID: secure Dot1x Corp-PC Corp LAN others SSID: IoT PSK/MAC/Profiling

97 Mögliches Zugriffskonzept Wired Internet Gäste Captive-Portal Internet only Cert Corp-PC Dot1x Corp LAN others MAC-Auth, Profiling

98 Wie geht man ein NAC Projekt an? Best Practice und Erfahrungen Die Geräte im Netzwerk kennen Was gibt es? Wo sind diese? Neue? Inventar, Profiling Use Cases definieren Was für Anspruchsgruppen gibt es? Abläufe? Prozesse? Zugriffe? Einfach und Wenige, Keep it Simple Genug Zeit für einen Proof of Concept einplanen Erfahrungen aus PoC einbringen und anpassen Implementierung Schritt für Schritt Nicht alles auf ein Mal Aber schlussendlich flächendeckend

99 Herzlichen Dank für Ihre Aufmerksamkeit. Manuel Bitzi Projektleiter Network Engineering

100 Apéro und Networking

101 Herzlichen Dank für Ihren Besuch SOFTEC AG Industriestrasse 51 CH-6312 Steinhausen