Network Access Management bei der HUK in Coburg

Transkript

1 Network Access Management bei der HUK in Coburg

2 Inhalt Die HUK-Coburg im Überblick Netzwerk-Infrastruktur bei der HUK-Coburg Network Access Control mit PAM PAM in Spectrum PAM Standalone Network Access Controll bei der HUK-Coburg Seite 2

3 1. Die HUK-Coburg im Überblick Die HUK-COBURG Versicherungsgruppe ist der große deutsche Versicherer mit einem umfassenden Versicherungs- und Bausparangebot für alle privaten Haushalte. Über acht Millionen Kunden haben ihr Vertrauen geschenkt. Fünf Schaden- und Unfallversicherer einer davon ausschließlich online tätig, zwei Lebensversicherer, zwei Krankenversicherer, eine Bausparkasse und eine Servicegesellschaft gehören zur Unternehmensgruppe. An der Spitze der Versicherungsgruppe steht die Muttergesellschaft HUK-COBURG, die bereits seit 1933 das Versicherungsgeschäft nach dem Grundsatz der Gegenseitigkeit betreibt Network Access Controll bei der HUK-Coburg Seite 3

4 1. Die HUK-Coburg im Überblick Die Muttergesellschaft HUK-COBURG Versicherungsverein auf Gegenseitigkeit Nur für Angehörige des Öffentlichen Dienstes 3,5 Millionen Mitglieder Größter deutscher Beamtenversicherer: Die HUK-COBURG ist in 50% der Beamtenhaushalte mit mindestens einem Vertrag vertreten. Hält alle Anteile an der HUK-COBURG Holding AG, unter deren Dach die Tochtergesellschaften der HUK-COBURG Versicherungsgruppe angesiedelt sind. Drei Versicherer im Raum der Kirchen (VRK) sind die speziellen Partner für Mitarbeiter in Kirche, Diakonie, Caritas und freier Wohlfahrtspflege. Die anderen Gesellschaften stehen allen interessierten Privatpersonen offen Network Access Controll bei der HUK-Coburg Seite 4

5 1. Die HUK-Coburg im Überblick Die Unternehmensstruktur der HUK-Coburg HUK-COBURG Haftpflicht-Unterstützungs-Kasse kraftfahrender Beamter Deutschlands a.g. HUK-COBURG-Allgemeine Vers. AG HUK24 AG HUK-COBURG-Holding AG VRK Holding GmbH 65% HUK-COBURG-Rechtsschutzvers. AG HUK-COBURG-Lebensversicherung AG HUK-COBURG-Krankenversicherung AG HUK-COBURG-Bausparkasse AG Bruderhilfe Sachversicherung AG Familienfürsorge Lebensvers. AG PAX-Familienfürsorge Krankenvers. AG HUK-COBURG-Assistance AG Network Access Controll bei der HUK-Coburg Seite 5

6 2. Netzwerk-Infrastruktur bei der HUK-Coburg Einige wichtige Zahlen zum Netzwerk der HUK-Coburg: ca Switche und Router in LAN und WAN weit über Endgeräte (PC, Drucker) über 400 Server-Maschinen (fast) aller Größen. WAN-Anbindung für 45 Außenstellen und Kunden-Betreuungs-Center sowie die VRK. WAN-Anbindung für über 400 Kundendienstbüros Management mit: Spectrum ehealth/livehealth Cisco Works Network Access Controll bei der HUK-Coburg Seite 6

7 2. Netzwerk-Infrastruktur bei der HUK-Coburg Netzwerk Übersicht Client-Access Bereiche Server Bereiche WAN VISII SAZ Firewall Internet Server Server Server Mainfra me RAS WAN AS Client-Access Bereiche Server Bereiche Network Access Controll bei der HUK-Coburg Seite 7

8 3. Network Access Control mit PAM Warum überhaupt? Das unerlaubte Einbringen von (Fremd-) Hardware in unser Netz soll verhindert werden. Schutz vor Angriffen aus dem internen Netz heraus (Ergänzung zum Schutz nach außen durch Firewalls, VPN und Proxies) Managen des Netzzugangs für Hardware von externen Mitarbeitern, bei Bedarf mit Befristung Erkennen geplanter und ungeplanter Umzüge Bei Bedarf Fixierung von Endgeräten auf bestimmte Switchports Ablösung bzw. Ergänzung CiscoWorks Usertracking, da: nicht immer zuverlässig keine Unterstützung von Nicht-Cisco-Hardware und rel. neuer Cisco Hardware Network Access Controll bei der HUK-Coburg Seite 8

9 3. Network Access Control mit PAM Warum soll das Network Access Management an Spectrum angeschlossen sein? Spectrum ist das Hauptarbeitsmittel der Netzwerk-Operatoren und - Administratoren. Nutzung der Spectrum Datenbank und Global Collections => Somit keine doppelte Pflege notwendig. Die berechtigten User sind bereits im Spectrum definiert. Integriert in Benutzerschnittstelle (OneClick) Alarmierung Konfiguration Übernahme der Benutzerrechte und -rollen Network Access Controll bei der HUK-Coburg Seite 9

10 3. Network Access Control mit PAM Welche Anforderungen stellen wir an die Software? Schnelles Auffinden neuer Endgeräte. Je nach Konfiguration automatisches Sperren der jeweiligen Ports oder nur Alarmierung. Verhinderung von MAC-Flooding. Ermittlung der kompletten Portbelegung, auch bei Verwendung von VLANs. Auslesen der ARP-Informationen an Routern mit angeschlossenen nicht managebaren Switchen. Ggf. auch Sperren der Router-Ports, an die nicht managebaren Switche angeschlossen sind. Unterstützung unserer Hardware (Cisco Router und Switche, aber z.b. auch mehrere Generationen von HP Switchen in den Blade-Enclosures oder auch managebare 4-Port-Switche) Schnelle Unterstützung neuer Geräte-Typen, unabhängig vom Grad der Einbindung in Spectrum Network Access Controll bei der HUK-Coburg Seite 10

11 3. Network Access Control mit PAM Welche Anforderungen stellen wir an die Software? (Fortsetzung) DNS-Unterstützung Anwendung soll auch nach Beendigung von Spectrum weiterlaufen können. Kurze Pollzyklen, auch wenn viele Geräte überwacht werden. (Gerätezahl: ca. 1500) Datenablage in High Availability Datenbank (automatischer) Versand ausgewählter Alarme per Syslog. Möglichst schnelle Reaktion, wenn ein neues Endgerät aktiv wird. Toleranz gegenüber Administrator-Aktionen außerhalb des Tools. (Kein unnötiges Ping-Pong -Spiel mit den Ports aber erneutes Sperren, wenn weiterhin unerlaubte Adressen gesehen werden.) Network Access Controll bei der HUK-Coburg Seite 11

12 3. Network Access Control mit PAM Welche Anforderungen stellen wir an die Software? (Fortsetzung) Komfortable und intuitive Bedienung. Views sollten an unsere Wünsche angepasst werden können. Nutzung der Frontend-Funktionalitäten auch für Anwender, die nicht mit Spectrum arbeiten. (Aber Benutzerverwaltung im Spectrum) Unterstützung unterschiedlicher Benutzer-Rollen. Daten- Export- und Print- Funktion Network Access Controll bei der HUK-Coburg Seite 12

13 3. Network Access Control mit PAM Welche Wünsche haben wir an die Software in Bezug auf Spectrum? Wenig CPU- und Speicherbelastung des Spectrum-Servers. Unterstützung von Spectrum Umgebungen mit Fault Toleranz. Zuverlässigkeit Start- und Lauffähigkeit auch bei Nichtverfügbarkeit von Spectrum. Unterstützung von Windows-Servern Unterstützung aktueller Versionen (z.z. 8.0 und 8.1) Network Access Controll bei der HUK-Coburg Seite 13

14 3. Network Access Control mit PAM Warum PAM? DcsPAM ist die Software, die unsere Anforderungen erfüllt. Ausblick: Die Entwicklung der Software läuft weiter. Der HUK-Coburg bringt das u.a.: Anpassung der Views an Wünsche, die in der Pilotphase entstehen. Scheduler- geeignete Export-Funktion Geprüft wird noch, in welcher Weise das read only Attribut Port Description beim Sperren und Entsperren geändert werden kann. Machbar ist auf jeden Fall der Aufruf eines Skriptes, dass mit SSH bzw. Telnet das CLI der Cisco-Switche nutzt Network Access Controll bei der HUK-Coburg Seite 14

15 3. Network Access Control mit PAM Wie arbeitet PAM? Die Portbelegung (MAC-Adresse) wird ermittelt und in der HA-DB abgelegt. Verfolgung der Portbelegung (User Tracking) Aufbau Device Port Mac History Ermittlung der MAC IP Zuordnung, DNS-Auflösung der IP-Adressen Klassifizierung der MAC-Adressen trusted (uneingeschränkt erlaubt) trusted mit Ablaufdatum (zeitlich begrenzt erlaubt ) trusted on Port (erlaubt nur an einem Port) untrusted (verboten) Alarmierung und ggf. Sperrung von Ports bei MAC-Adressen die nicht bekannt sind verboten sind unerlaubt umgezogen sind Network Access Controll bei der HUK-Coburg Seite 15

16 4. PAM in Spectrum DcsPAM ist eine selbständige Applikation, die in Spectrum als PAM Modell repräsentiert wird Network Access Controll bei der HUK-Coburg Seite 16

17 4. PAM in Spectrum Konfiguration über Oneclick möglich Benutzerrechte und Rollenübernahme in die dbview Network Access Controll bei der HUK-Coburg Seite 17

18 4. PAM in Spectrum Warnung Warnung nach Ermittlung einer untrusted MAC Adresse Network Access Controll bei der HUK-Coburg Seite 18

19 4. PAM in Spectrum Sperrung Sperrung eines Ports nach Ermittlung einer untrusted MAC Adresse Network Access Controll bei der HUK-Coburg Seite 19

20 5. PAM Standalone Index Views (Startseite) Network Access Controll bei der HUK-Coburg Seite 20

21 5. PAM Standalone Devices View (Überwachte Geräte) Network Access Controll bei der HUK-Coburg Seite 21

22 5. PAM Standalone Port View (Überwachte Ports) Network Access Controll bei der HUK-Coburg Seite 22

23 5. PAM Standalone Host View (überwachte MAC-Adressen) Network Access Controll bei der HUK-Coburg Seite 23

24 5. PAM Standalone Tracking View und Extended Tracking View (MAC-Access-History) Network Access Controll bei der HUK-Coburg Seite 24

25 5. PAM Standalone Tracking View Network Access Controll bei der HUK-Coburg Seite 25

26 5. PAM Standalone Extended Tracking View (MAC-Access-History) Network Access Controll bei der HUK-Coburg Seite 26

27 5. PAM Standalone Blocked Ports+ Hosts Network Access Controll bei der HUK-Coburg Seite 27

28 5. PAM Standalone Alarm View Network Access Controll bei der HUK-Coburg Seite 28

29 Danke für Ihre Aufmerksamkeit! Noch Fragen? Dann stellen Sie sie doch jetzt heute oder oder irgendwann an: Frank Elliger HUK-Coburg Abteilung Informatik Bahnhofsplatz Coburg Tel.: Network Access Controll bei der HUK-Coburg Seite 29