Construyendo una LAN segura Francisco J. Irala Construyendo una LAN segura

¿Porque es la Seguridad de la LAN tan vital ahora? Históricamente no nos hemos preocupado por la seguridad de la LAN. ¿Qué ha cambiado? Las nuevas tecnologías y la movilidad de los usuarios han hecho que la seguridad física que tenía nuestra LAN, tenían que entrar en nuestra oficina, haya desaparecido: - Redes wireless - Portatiles conectandose en direfentes redes - Colaboradores externos accediendo a los servidores internos - Invitados necesitan acceso a internet Además las nuevas normativas nos obligan a controlar y registrar los accesos a nuestra LAN. Necesitamos saber que esta sucediendo en nuestra LAN.QUIEN.

¿Dónde estamos? Equipamiento antiguo, redes multivendor Legislación – auditorías / necesidad de informes/ control Necesidad de segmentar la LAN Necesidad de controlar dispositivos no basados en usuario Caracteristicas de aplicación – PoE para VoIP, wireless 802.1X y otras funciones de seguridad Rendimiento– Gigabit hasta el puesto (en el futuro)

¿Que se necesita para securizar la LAN? Control Quien puede acceder a la LAN Que pueden hacer los usuarios en la LAN Protección Disponibilidad de la LAN Información corporativa sensible Documentación Actividad del usuario en la LAN Quién ha accedido a recursos clave Autenticación de Usuarios Autenticación Dispositivos IPS Interno Acceso Invitados Segmentación LAN NAC

Pre-Admisión - NAC Instalación de software en los ordenadores Internet Actualización de las conmutadoras (“switches”) con 802.1x Firewall Router Agregado de servidor ACS IDS/IDP Core Switch Access Switch 802.1x Switch $$$ A/D Server $$$ Radius Finanzas ACS Server Base de Datos $$ WLAN Switch Operaciones Ventas

Realidad de NAC y 802.1x La realidad de lo que todo el mundo llama NAC, al igual que la tecnología 802.1x, es que solo nos permiten verificar que un usuario registrado pueda acceder a nuestra LAN, pero no cubre tdos estos puntos: Controlar donde acceden un usuarios despues de validarse Registrar que es lo que han hecho Validar y controlar dispositivos que no soportan 802.1x Validar y controlar colaboradores y/o invitados

Post-Admisión Agregado de cortafuegos a los segmentos de la LAN Configuración de políticas de grupos Internet Agregado de servidor de análisis Firewall Router Agregado de IDS/IDP a los segmentos LAN IDS/IDP Core Switch $$$ 802.1x Switch $$$ Radius A/D Server ACS Server Radius Finanzas Base de Datos WLAN Switch Operaciones Ventas

¿Gestión?¿Mantenimiento? ¿Cómo? Mantenimiento de firmas Internet Agregado de monitores en el puerto de mirror del switch Firewall Router IDS/IDP Core Switch 802.1x Switch $$ Radius A/D Server ACS Server Radius Finanzas Base de Datos WLAN Switch Operaciones Ventas

¿Porqué es el Tema de Seguridad tan Dificil? Security Performance Simplicity Para la empresa es inadmisible sacrificar simplicidad y rendimiento en aras de un modelo abarcador de seguridad en la LAN

ConSentry – Construyendo una LAN Segura ConSentry Networks March 24, 2017 ConSentry – Construyendo una LAN Segura Alto rendimiento (“performance”) Simple Efectivo en términos de coste Internet Firewall Router IDS/IDP Core Switch Access Switch 802.1x Switch Radius A/D Server ACS Server Radius Finanzas Database Servers WLAN Switch Operaciones Ventas ©2005 ConSentry Networks, Inc.

¿Qué es necesario para tener una LAN segura? ConSentry Networks March 24, 2017 ¿Qué es necesario para tener una LAN segura? Opción por omisión: negar Opción por omisión: permitir LAN DMZ Requerimientos ConSentry Networks Visibilidad y control explícito Procesador propio para 10 Gbps Dispositivo único, de instalación transparente Seguridad Rendimiento Simplicidad ©2005 ConSentry Networks, Inc.

ConSentry – La Alternativa Simple ConSentry Networks March 24, 2017 ConSentry – La Alternativa Simple De fácil instalación Caja única (doble en configuración HA) Transparente para los usuarios y Tecnología de Internet (TI) Plena visibilidad y control (L7) Instalada próximo al usuario Mantiene rendimiento y confiabilidad Opciones de alta disponibilidad (HA) ©2005 ConSentry Networks, Inc.

Lo que ConSentry Provee ConSentry Networks March 24, 2017 Lo que ConSentry Provee Sólo personas y sistemas validos son admitidos en la LAN Verificación del estado de seguridad a través de un agente disoluble provisto por una tercera empresa (Cisco, MS, TCG) Autenticación por tercera empresa (AD, RADIUS) Contención de amenazas en tiempo real Protección frente a lo conocido y lo desconocido Cuarentena del trafico malicioso, no del anfitrión (“host”) Prevención de que otros nodos se conviertan en base de lanzamiento de ataques Total visibilidad en la capa L7 Tráfico asociado al usuario Respuesta eficiente a incidentes Visualización de la información según los parámetros de interés Control de acceso a los recursos – asignación de derecho en base a roles Por usuario, grupo de usuario, aplicación , protocolo, recurso Políticas globales, acceso universal (cableado/inalámbrico, local/VPN) ©2005 ConSentry Networks, Inc.

Satisfaga Muchas Necesidades con una Solución ConSentry Networks March 24, 2017 Satisfaga Muchas Necesidades con una Solución Beneficios Protección de información Reducción de gastos operativos de TI Mejoramiento de la continuidad operacional Reducción de la exposición a riesgo NAC/802.1x/autenticación de usuarios Acceso de invitados/contratistas/pacientes Acceso inalámbrico Conectores de Ethernet abiertos Control de código malicioso de hora cero Prevención de intrusiones internas (IPS) Completa visibilidad de la LAN Captura de sesión inducida por política Cumplimiento de regulaciones Imposición de políticas Conexión basada en la identidad Segmentación de la LAN Control de aplicaciones Filtrado de URL ©2005 ConSentry Networks, Inc.

ConSentry: Focalizado en la Identidad ConSentry Networks March 24, 2017 ConSentry: Focalizado en la Identidad Potencia las redes existentes, información de identidad Transparente a los usuarios Cableado/inalámbrico Internet IBM server IBM server guest finance server finance server no login finance server guest “djones” = IBM contractor “jsmith” = finance Active Directory employee jsmith Windows login finance server ConSentry LANShield ConSentry InSight Command Center ConSentry InSight Command Center IBM contractor djones Windows login Windows login wireless employee ©2005 ConSentry Networks, Inc.

Autenticación – Active Directory ConSentry Networks March 24, 2017 Autenticación – Active Directory Internet Active Directory Server 4 ConSentry “snoops” the Kerberos return packet and grants network access based on AD server response core switch ConSentry CS2400 2 ConSentry “snoops” the Kerberos login by capturing the username 3 Active Directory validates and approves user credentials and responds to host ConSentry InSight Command Center edge switch 1 user logs into the Active Directory domain with username and password 5 ConSentry tracks and decodes all traffic up to L7 and sends data to InSight © 2006 ConSentry Networks CONFIDENTIAL 16 ©2005 ConSentry Networks, Inc.

Capacidades Unicas de ConSentry ConSentry Networks March 24, 2017 Capacidades Unicas de ConSentry LANShield CPU Procesador programable de diseño exclusivo Masivo procesamiento en paralelo (CPU con 128 núcleos) Control granular a velocidades de multi-gigabits Flexibilidad de adaptación Exclusivo software de seguridad Protección contra amenazas cambiantes Aplicaciones especificas de clientes Protocolos cambiantes Control explícito LANShield Accelerator LANShield Visualizer Quiénes son admitidos Dónde pueden ir Qué pueden hacer Cuándo bloquear ©2005 ConSentry Networks, Inc.

No se Fíen Solamente de Nuestra Palabra ConSentry Networks March 24, 2017 No se Fíen Solamente de Nuestra Palabra “Necesitamos controlar adónde van, y qué hacen, nuestros usuarios en la LAN. Antes de ConSentry Networks, no podíamos visualizarlos – y mucho menos controlarlos. También debemos evitar que código malicioso impacte la disponibilidad de nuestra red.” “Hemos tenido que abrir nuestra LAN más allá de nuestros empleados, y ConSentry nos provee una forma simple, de bajo costo, de garantizar que sólo las personas adecuadas ingresen a LAN y que sólo realicen operaciones permitidas” Andre Gold Director of Information Security Lloyd Hession Chief Security Officer ©2005 ConSentry Networks, Inc.