Construyendo una Red Local (LAN) Segura

Presentación del tema: "Construyendo una Red Local (LAN) Segura"— Transcripción de la presentación:

1 Construyendo una Red Local (LAN) Segura
ConSentry Networks March 24, 2017 Construyendo una Red Local (LAN) Segura Un nuevo modelo de protección para su empresa 1 © 2006 ConSentry Networks CONFIDENTIAL ©2005 ConSentry Networks, Inc.

2 Por que es la Seguridad de la LAN tan vital ahora?
ConSentry Networks March 24, 2017 se propagan más rápidamente cumplimiento de regulaciones anfitriones deshonestos El Problema: La LAN es la nueva zona de-militarizada (DMZ) contratistas y asociados Historically we haven’t secured the LAN. What’s changed? ¿Históricamente, no seguro el LAN, qué nos cambiamos? Históricamente no nos preocupamos por la seguridad de la LAN. Qué ha cambiado? facilidad para montar ataques migración de ordenadores portátiles (laptops) lucro como motivación 2 © 2006 ConSentry Networks CONFIDENTIAL Históricamente no nos preocupamos por la seguridad de la LAN. Qué ha cambiado? Solíamos no preocuparnos por garantizar la seguridad de la red local (LAN) – veamos qué ha cambiado Varios factores contribuyen a que las LANs sean más abiertas: Anfitriones (hosts) deshonestos con acceso inalámbrico o a través de conectores abiertos Contratistas y asociados que requieren acceso a la red Migración de ordenadores portátiles entre la LAN y la Internet Simultáneamente, el escenario de amenazas ha ganado en complejidad: Es mas fácil montar ataques – las vulnerabilidades están expuestas a los piratas de la computación (“hackers”) Mayor velocidad de propagación – predominio de banda ancha, conexiones permanentes Mayor daño a las empresas – la motivación ha cambiado de búsqueda de notoriedad a lucro, e involucra al crimen organizado Sumemos a esto el ambiente de regulaciones legales – aunque usted considere que su empresa no es un blanco probable, aun así debe demostrar que tiene instalados los controles adecuados para cumplir tanto con requerimientos legales (SOX o HIPPA, por ejemplo), como regulaciones de la industria (PCI) La mejor forma de resumir? La LAN es la nueva zona de-militarizada (DMZ) – es necesario brindar acceso externo a sus bienes y recursos pero sin comprometer la seguridad de los mismos ©2005 ConSentry Networks, Inc.

3 Por que es la Seguridad de la LAN tan vital ahora?
ConSentry Networks March 24, 2017 Históricamente no nos preocupamos por la seguridad de la LAN. Qué ha cambiado? 3 © 2006 ConSentry Networks CONFIDENTIAL Históricamente no nos preocupamos por la seguridad de la LAN. Qué ha cambiado? Solíamos no preocuparnos por garantizar la seguridad de la red local (LAN) – veamos qué ha cambiado Varios factores contribuyen a que las LANs sean más abiertas: Anfitriones (hosts) deshonestos con acceso inalámbrico o a través de conectores abiertos Contratistas y asociados que requieren acceso a la red Migración de ordenadores portátiles entre la LAN y la Internet Simultáneamente, el escenario de amenazas ha ganado en complejidad: Es mas fácil montar ataques – las vulnerabilidades están expuestas a los piratas de la computación (“hackers”) Mayor velocidad de propagación – predominio de banda ancha, conexiones permanentes Mayor daño a las empresas – la motivación ha cambiado de búsqueda de notoriedad a lucro, e involucra al crimen organizado Sumemos a esto el ambiente de regulaciones legales – aunque usted considere que su empresa no es un blanco probable, aun así debe demostrar que tiene instalados los controles adecuados para cumplir tanto con requerimientos legales (SOX o HIPPA, por ejemplo), como regulaciones de la industria (PCI) La mejor forma de resumir? La LAN es la nueva zona de-militarizada (DMZ) – es necesario brindar acceso externo a sus bienes y recursos pero sin comprometer la seguridad de los mismos ©2005 ConSentry Networks, Inc.

4 Por que es el Tema de Seguridad tan Duro?
ConSentry Networks March 24, 2017 Security  Seguridad  Rendimiento  Simplicidad Performance Simplicity Para la empresa es inadmisible sacrificar simplicidad y rendimiento en aras de un modelo abarcador de seguridad en la LAN 4 © 2006 ConSentry Networks CONFIDENTIAL La seguridad es intrínsicamente un juego de suma cero. En la medida en que se incrementa la seguridad, la red pierde rendimiento (“performance”) o simplicidad, o con frecuencia ambos. Consideremos los cortafuegos (“firewalls”) – hacen más seguro el acceso a la red, pero no proveen rendimiento a alta velocidad (probablemente usted no lo haya notado, o no le importe porque están ubicados en el borde entre la LAN y la WAN), y su instalación y calibración es complicada – lleva tiempo, y probablemente una persona totalmente dedicada. En la LAN, estos compromisos son simplemente inaceptables ©2005 ConSentry Networks, Inc.

5 El Desafío de las Opciones Actuales
ConSentry Networks March 24, 2017 Lentas, intrusas, caras Inefectivas Internet Firewall Router Mantenimiento de firmas Agregado de servidor de análisis Actualización de las conmutadoras (“switches”) con 802.1x IDS/IDP $$$ Core Switch Agregado de monitores en el puerto de reflejo de la conmutadora $$$ Instalación de software en los ordenadores Access Switch 802.1x Switch Agregado de IDS/IDP a los segmentos LAN $$$ $$ $$$ Radius Agregado de servidor ACS Agregado de cortafuegos a los segmentos de la LAN A/D Server ACS Server Radius Finanzas Configuración de políticas de grupos $$ Base de Datos WLAN Switch Operaciones Ventas usuario infectado 5 © 2006 ConSentry Networks CONFIDENTIAL El proceso de lograr una red local (LAN) segura es no solamente complicado, sino inefectivo La instalación de 802.1x aparece como el primer paso lógico – pero esto requiere la instalación de nuevo equipo. La parte peor? Con esto se logra solamente la autenticación de usuarios, no su control. Para lograr ese control, es necesario recurrir a cortafuegos (“firewalls”) internos – mas equipo aun, con el añadido de personal para mantener las base de datos de firmas (“signatures”) y equipos. Después de todos estos cambios y gastos usted termina teniendo una solución inadecuada – tan pronto como un usuario aparece con una nueva infección es necesario reflejar el trafico a las máquinas de análisis. La mayor parte de las empresas ni siquiera consideran hacer todo esto, pero usted puede entender el costo y complejidad – y limitaciones – de estas opciones. Lo mismo sucede con otras opciones que no hemos mostrado aquí, tales como la segmentación de la LAN con VLANs y ACLs. El resultado final es una solución lenta, invasiva y cara que no provee el control y la protección que usted necesita. ©2005 ConSentry Networks, Inc.

6 Qué es necesario para tener una LAN segura?
ConSentry Networks March 24, 2017 Opción por omisión: negar Opción por omisión: permitir LAN DMZ Requerimientos ConSentry Networks Visibilidad y control explícito Procesador propio para 10 Gbps Dispositivo único, de instalación transparente Seguridad Rendimiento Simplicidad 6 © 2006 ConSentry Networks CONFIDENTIAL Hay dos modelos tradicionales de seguridad – admitir todo lo que no está específicamente prohibido (opción por omisión: permitir); y negar todo lo que no está específicamente permitido (opción por omisión: negar). Negar por omisión es sin duda la opción más segura – pero normalmente se reserva para el perímetro, porque se considera muy difícil de lograr en la LAN. Pero siendo la LAN la nueva DMZ, es necesario tomar el tema con mas fuerza – ConSentry proporciona las herramientas para migrar la seguridad de la LAN hacia el modelo de negación por omisión. La LAN requiere control, simplicidad y transparencia – a alta velocidad (Gbps) La plataforma de ConSentry brinda todo eso – esta transparencia ayuda a recorrer estas ideas. ©2005 ConSentry Networks, Inc.

7 ConSentry – La Alternativa Simple
ConSentry Networks March 24, 2017 De fácil instalación Caja única (doble en configuración HA) Transparente para los usuarios y Tecnología de Internet (IT) Plena visibilidad y control (L7) Instalada próximo al usuario Mantiene rendimiento y confiabilidad Opciones de alta disponibilidad (HA) 7 © 2006 ConSentry Networks CONFIDENTIAL Este diagrama simple muestra donde se ubica la plataforma de ConSentry – entre los conmutadores (“switches”) de acceso y los conmutadores centrales. El diagrama muestra una configuración de alta disponibilidad (HA). Los puntos principales del sistema incluyen: Facilidad de instalación Visibilidad completa, a nivel de la capa 7 (L7) Con el rendimiento (“performance”) y confiabilidad que se requiere en la LAN ©2005 ConSentry Networks, Inc.

8 Lo que ConSentry Provee
ConSentry Networks March 24, 2017 Sólo personas y sistemas validos son admitidos en la LAN Verificación de la posición de seguridad a través de un agente disoluble provisto por una tercera empresa (Cisco, MS, TCG) Autenticación por tercera empresa (AD, RADIUS) Contención de amenazas en tiempo real Protección frente a lo conocido y lo desconocido Cuarentena del trafico malicioso, no del anfitrión (“host”) Prevención de que otros nodos se conviertan en base de lanzamiento de ataques Total visibilidad en la capa L7 Tráfico asociado al usuario Respuesta eficiente a incidentes Visualización de la información según los parámetros de interés Control de acceso a los recursos – asignación de derecho en base a roles Por usuario, grupo de usuario, aplicación , protocolo, recurso Políticas globales, acceso universal (cableado/inalámbrico, local/VPN) 8 © 2006 ConSentry Networks CONFIDENTIAL Examinemos las amplias funcionalidades de la plataforma de ConSentry: NAC – control de admisión a la red – aprovechamos lo que ya esta instalado – no reinventamos ni la rueda ni el paraguas – constituimos una parte esencial de NAC porque proveemos el dispositivo de ejecución, pero no es aquí donde se muestra la innovación de ConSentry Visibilidad – es aquí donde las capacidades esenciales de ConSentry emergen – total visibilidad en la capa L7, con todo vinculado al usuario – la visibilidad es esencial para migrar desde el modelo de admisión por omisión al modelo de negación por omisión. Visibilidad a nivel de Usuario Aplicación Protocolo Puerto Fichero accedido Transacción La visibilidad es poderosa en sí misma, esencial para el acatamiento a las regulaciones, y útil para solucionar problemas (“troubleshooting”); pero una vez que tenemos esta rica visibilidad, podemos ejercer control sobre todos los parámetros que vemos – podemos controlar quienes acceden a que recursos, y que hacen una vez allí. Es esencial que toda esta información este ligada al usuario – de tal manera que las mismas políticas (“policies”) se apliquen independientemente de cómo el usuario llego a la LAN – de esta manera se pueden construir políticas que se apliquen a todos los sistemas de transporte. Si bien es necesario proteger con respecto al uso indebido, también es necesario proteger contra ataques. ConSentry agrega valor con la protección con respecto a ataques DESCONOCIDOS – podemos bloquear solo el trafico malicioso, en lugar de todo el trafico proveniente del usuario infectado – que un usuario tenga un gusano (“worm”) no significa necesariamente que se le debe negar el acceso a su correo. También protegemos la red contra ataques lanzados desde dispositivos como impresores y teléfonos IP. ©2005 ConSentry Networks, Inc.

9 Beneficios para la Empresa
ConSentry Networks March 24, 2017 Asegura que sólo máquinas en regla accedan la LAN Asegura que sólo usuarios aprobados ingresen a la LAN Incrementa la disponibilidad de la red Mejora la continuidad operacional del negocio Visibilidad y control en un único dispositivo en línea Reportes por usuario Clara trazas de usuario para auditoria Controla el acceso a información por el usuario Conforma muchos requerimientos de entidades reguladoras 9 © 2006 ConSentry Networks CONFIDENTIAL [es preferible verbalizar este contenido en la transparencia anterior – esta transparencia sirve para recordar los puntos, pero una vez que los haya aprendido es mejor verbalizarlos en la transparencia anterior y omitir esta] Cada una de las áreas funcionales provee importantes beneficios a la empresa. ©2005 ConSentry Networks, Inc.

10 La Integración es la Clave
ConSentry Networks March 24, 2017 La asociación de la dirección (IP/MAC) con el nombre y el rol del usuario posibilita la visibilidad La visibilidad revela anomalías en el tráfico que posibilitan el bloqueo de gusanos (“worms”) y otros tipos de ataques La visibilidad posibilita la ejecución de políticas de control de acceso 10 © 2006 ConSentry Networks CONFIDENTIAL ConSentry es fundamentalmente una compañía de control. Si bien NAC (control de acceso a la red) es importante, lo esencial es obtener la información necesaria para tener plena visibilidad. Y si bien visibilidad es valiosa en si misma, para ConSentry es un medio para lograr control. Control del usuario, a través de la restricción de acceso a recursos claves, y control de amenazas a través del bloque de gusanos (“worms”) y otros ataques. ©2005 ConSentry Networks, Inc.

11 Capacidades Unicas de ConSentry
ConSentry Networks March 24, 2017 LANShield CPU Procesador programable de diseño exclusivo Masivo procesamiento en paralelo (CPU con 128 núcleos) Control granular a velocidades de multi-gigabits Flexibilidad de adaptación Exclusivo software de seguridad Protección contra amenazas cambiantes Aplicaciones especificas de clientes Protocolos cambiantes Control explícito LANShield Accelerator LANShield Visualizer Quiénes son admitidos Dónde pueden ir Qué pueden hacer Cuándo bloquear 11 © 2006 ConSentry Networks CONFIDENTIAL Nuestro exclusivo hardware (procesador y otros chips desarrollados por ConSentry) es nuestra salsa secreta – esencial para proveer control manteniendo la velocidad requerida por la LAN. Nuestro innovador procesador posibilita el alto nivel de procesamiento y acceso a memoria requerido por estas aplicaciones. ©2005 ConSentry Networks, Inc.

12 Satisfaga Muchas Iniciativas con una Solución
ConSentry Networks March 24, 2017 Beneficios Protección de información Reducción de gastos operativos de IT Mejoramiento de la continuidad operacional Reducción de la exposición a riesgo NAC/802.1x/autenticación de usuarios Acceso de invitados/contratistas/pacientes Acceso inalámbrico Conectores de Ethernet abiertos Control de código malicioso de hora cero Prevención de intrusiones internas (IPS) Completa visibilidad de la LAN Captura de sesión inducida por política Cumplimiento de regulaciones Imposición de políticas Conexión basada en la identidad Segmentación de la LAN Control de aplicaciones Filtrado de URL 12 © 2006 ConSentry Networks CONFIDENTIAL Cada una de estas áreas funcionales posibilita al departamento de tecnología de Internet (IT) satisfacer las necesidades de diversos proyectos. El despliegue de funcionalidades que muestra esta transparencia es un indicador del número de plataformas distintas que hemos consolidado en un único dispositivo. ©2005 ConSentry Networks, Inc.

13 ConSentry – Construyendo una LAN Segura
ConSentry Networks March 24, 2017 Alto rendimiento (“performance”) Simple Efectivo en términos de costo Internet Firewall Router IDS/IDP Core Switch Access Switch 802.1x Switch Radius A/D Server ACS Server Radius Finanzas Database Servers WLAN Switch Operaciones Ventas 13 © 2006 ConSentry Networks CONFIDENTIAL Recuerda la transparencia inicial, aquella que provocaba un dolor de cabeza? [[“click” para mostrar el cambio]] Hemos simplificado y consolidado todos esos productos en una plataforma única con las siguientes características: Funcionalidad de seguridad de la red local (LAN) atractiva Easy to deploy Provee todas las funcionalidades en una sola plataforma Aprovecha sistemas de identificación ya instalados Retiene la configuración de la red existente Fácil de operar Transparente para los usuarios No requiere entrenamiento de IT ni sintonización Efectiva en términos de costo Elimina la necesidad de plataformas múltiples Ahorra tiempo y costo en la prevención de amenazas ©2005 ConSentry Networks, Inc.

14 No se Fíen Solamente de Nuestra Palabra
ConSentry Networks March 24, 2017 “Necesitamos controlar adónde van, y qué hacen, nuestros usuarios en la LAN. Antes de ConSentry Networks, no podíamos visualizarlos – y mucho menos controlarlos. También debemos evitar que código malicioso impacte la disponibilidad de nuestra red.” “Hemos tenido que abrir nuestra LAN más allá de nuestros empleados, y ConSentry nos provee una forma simple, de bajo costo, de garantizar que sólo las personas adecuadas ingresen a LAN y que sólo realicen operaciones permitidas” Andre Gold Director of Information Security Lloyd Hession Chief Security Officer 14 © 2006 ConSentry Networks CONFIDENTIAL Es más interesante escuchar a nuestros clientes que a nosotros. ©2005 ConSentry Networks, Inc.

15 © 2006 ConSentry Networks CONFIDENTIAL
Reconocimiento por parte de la Industria ConSentry Networks March 24, 2017 El Puntaje de ConSentry – 9.3 en escala 1-10 “Me impresionó lo bien que el sistema olfateó tráfico malicioso, y lo rápidamente que lo bloqueó” InfoWorld, 14 de noviembre, 2005 El Puntaje de ConSentry – 8 en escala 1-10 “Raramente se ve un dispositivo de seguridad tan fácil de usar como el Controlador de Seguridad de la LAN” CRN, 19 de septiembre, 2005 Finalista del EE Times – Compañía Incipiente (“start-up”) del año Finalista CODiE – A la Mejor Solución de Seguridad para Empresas 15 © 2006 ConSentry Networks CONFIDENTIAL Aquí va una instantánea de cómo nos ven laboratorios de prueba independientes; así como prestigiosos premios de la industria que hemos recibido. ©2005 ConSentry Networks, Inc.