Контроль пользовательского доступа на основе технологии 802.1х и цифровых сертификатов

Защита от неавторизованного подключения и контроль пользовательского доступа
Предоставление доступа пользователей
к внутренним ресурсам
Контроль п/о рабочих станций (OS service pack, HotFixes)
Наличие последних обновлений антивирусных баз данных на рабочих станциях
Контроль техно-парка оборудования (серверы, ноутбуки, рабочие станции, персональные устройства КПК, принтеры, терминалы и т.д)
Контроль пользователей и привилегий доступа

Защита от неавторизованного подключения и контроль пользовательского доступа
Протокол 802.1х
Контроль подключений персональных устройств к сети

Защита от неавторизованного подключения и контроль пользовательского доступа
Практические аспекты внедрения решения для территориально-распределенной организации
LAN, WAN топология
Задачи и пути решения
Дизайн Active Directory
Пример контроля доступа
Сценарии

Защита от неавторизованного подключения и контроль пользовательского доступа
LAN топология

Защита от неавторизованного подключения и контроль пользовательского доступа
WAN топология

Защита от неавторизованного подключения и контроль пользовательского доступа
Дизайн Active Directory

Защита от неавторизованного подключения и контроль пользовательского доступа
Задачи и пути решения
Задачи
Сетевой дизайн
Достигаемый результат

Защита от неавторизованного подключения и контроль пользовательского доступа
Сценарии
Переезды пользователей. Концепция свободного рабочего места.
Посменная работа операторов, кассиров и т.д. Многопользовательская среда.
Удаленный доступ к ресурсам (из гостиницы, дома). Установление VPN, авторизация на уровне сети и на уровне приложений
Предоставление гостевого входа (доступ в интернет для заказчика, партнера)
Подключение принтеров, терминалов и других устройств, не поддерживающих 802.1x

Защита от неавторизованного подключения и контроль пользовательского доступа
Пример контроля доступа
1 EAPOL-Start frame (802.1x)
2 Switch communicates with ACSv4.0 (Radius (EAPOL))
EAP-TLS Start (Client-Server)
RSA signature verification
Check CRL
3 Check in the local database, then check the external Active Directory
Certificate CN Comparison
Certificate SAN Comparison
Certificate Binary Comparison
4 Response from AD. Group mapping. Rules assignment (VLAN, timerange, etc) (Radius (EAPOL))
Radius AV-pairs
[64] Tunnel Type – “VLAN” (13)
[65] Tunnel-Medium-Type – “802” (6)
[81] Tunnel-Private-Group-ID – “vlan number”
Возможно ACL download!
[009/001] cisco-av-pair
5 Switch assign VLAN to the user's port. User start DHCP request. (DHCP, BOOTP)
6 Server assign IP address from a pool of this VLAN

Защита от неавторизованного подключения и контроль пользовательского доступа
AD. Users and Computers. Групповые политики
Remote access permission (Dial-up or VPN)
Autoenrollment settings (Enroll certificate automatically)
Smart card removal behavior (Lock Workstation)
Users
Computers
Groups membership (Domain administrators, Domain users, Telecom)
Control local devices (USB, COM, IrDA,Bluetooth, Wi-Fi т.д.)

Защита от неавторизованного подключения и контроль пользовательского доступа
Развитие. Комплексное решение на основе агентского П/О

Защита от неавторизованного подключения и контроль пользовательского доступа
Решения на основе 802.1х инфраструктуры
Сервер AntiVirus
Сервер Обновления
Сервер Аудита
Агентское П/О

Защита от неавторизованного подключения и контроль пользовательского доступа
Решения независимые от 802.1х инфраструктуры
Сервер Управления
Сервер AntiVirus
Серверы Доступа
Сервер Обновления
Агентское П/О

Защита от неавторизованного подключения и контроль пользовательского доступа
Архитектура решения

Защита от неавторизованного подключения и контроль пользовательского доступа
Решения на основе 802.1х инфраструктуры

Защита от неавторизованного подключения и контроль пользовательского доступа
Решения на основе агентского п/о

Защита от неавторизованного подключения и контроль пользовательского доступа
ТЕХНОЛОГИИ ОТКРЫТИЙ
Россия, 117997, Москва, ул. Обручева, 30, стр. 2
Тел.: [phone]
Факс: [phone]
E-mail: [e-mail]
www.ot.ru