Configuración de ANC en ISE 3.3 y StealthWatch 7.5.1

ANC está desactivado de forma predeterminada. ANC se habilita solo cuando pxGrid está habilitado y permanece habilitado hasta que inhabilita manualmente el servicio en el portal de administración.

Seleccione Operaciones > Control de red adaptable > Lista de políticas > Agregar, luego ingrese Cuarentena para el nombre de política y Cuarentena para la acción.

3. Configure Secure Network Analytics para Event Trigger and Response Management para una contención rápida de las amenazas.

Paso 1: Inicie sesión en la GUI de SMC y vaya a Configure > Detection > Host Group Management > Click on the (...) (ellipsis) icon junto a Inside Hosts, luego seleccione Add Host Group.

En este ejemplo, se crea un nuevo grupo de hosts con el nombre Mis redes de confianza bajo el grupo de hosts internos principal. 

Esta red se puede asignar normalmente al equipo del usuario final para supervisar el uso de DNS.

Nota: En este ejemplo, la subred IP 10.197.179.0/24 se utiliza como subred de la red de área local (LAN). Esta subred puede variar en el entorno de red real en función de la arquitectura de red.

Paso 2: Inicie sesión en la GUI de SMC y navegue hasta Configurar > Detección > Administración de grupos de hosts > Haga clic en (...) además de Hosts externos y seleccione Agregar grupo de hosts.

En este ejemplo, se crea un nuevo grupo de hosts con el nombre My Corporate DNS bajo el grupo de hosts externos principal. 

Nota: Para este ejemplo, las IP 10.127.197.132 y 10.127.197.134 se utilizan como los servidores DNS deseados que deben utilizar los usuarios finales. Esto puede diferir en el entorno de red real dependiendo de la arquitectura de red.

El equipo del laboratorio de pruebas utilizado para la demostración está configurado con IP estática 10.197.179.136 (pertenece al grupo de hosts Mis redes de confianza creado ) y DNS 10.127.197.132 y 10.127.197.134 (pertenece al grupo de hosts Mi DNS corporativo creado).

Paso 3: Configure un sistema de alerta personalizado para detectar cuándo los usuarios internos se conectan a servidores DNS externos, activando una alarma para bloquear las conexiones a servidores DNS no autorizados que podrían potencialmente redirigir el tráfico a sitios externos maliciosos. Una vez activada la alarma, Cisco Secure Network Analytics se coordina con Cisco ISE para aislar el host que utiliza estos servidores DNS no autorizados mediante una política de control de red adaptable a través de PxGrid.

Navegue hasta Configurar > Administración de políticas.

Cree un evento personalizado con la siguiente información:

• Nombre:Evento de violación de DNS.
• Grupos de hosts de asunto:Mis redes de confianza.
• Grupos host de peer: (No) Mi DNS corporativo.
• Puerto/Protocolos de Peer: 53/UDP 53/TCP

Esto significa que cuando cualquier host dentro de Mis redes de confianza (grupo de hosts) se comunica con cualquier host excepto aquellos dentro de Mi DNS corporativo (grupo de hosts) a través de 53/up o 53/tcp, se activa una alarma. 

Paso 4: Configure la acción de administración de respuestas que se va a realizar y que se puede aplicar posteriormente a la regla de administración de respuestas una vez creada.

Vaya a Configure > Response Management > Actions, haga clic en Add New Action y seleccione ISE ANC Policy (Alarm).

Asigne un nombre y elija el clúster de Cisco ISE específico al que se notificará para implementar una política de cuarentena para cualquier infracción o conexión a servidores no autorizados. 

4. Configure Cisco ISE para que responda a las acciones iniciadas por StealthWatch al desencadenar el evento.

Inicie sesión en la GUI de Cisco ISE y vaya a Policy > Policy Sets > Choose the Policy set > under Authorization Policy - Local Exceptions > Create new Policy.

• Nombre: Excepción de violación de DNS
• Condiciones: Sesión: ANCPolicy EQUALS Quarantine
• Perfiles de autorización: DenegarAcceso

Nota: En este ejemplo, una vez que se desencadena el evento de violación de DNS, se deniega el acceso al usuario en función de la configuración

Verificación

Para demostrar el caso práctico, la entrada DNS en el punto final se ha cambiado a 8.8.8.8, que activa el evento de violación de DNS configurado . Dado que el servidor DNS no pertenece al grupo host de Mis servidores DNS corporativos, desencadena el evento que da lugar a una denegación de acceso al extremo. 

En el switch C9300, verifique usando la memoria caché show flow monitor IPv4_NETFLOW | en el comando 8.8.8.8 con el resultado para ver que los flujos se capturan y se envían al Flow Collector. IPv4_NETFLOW se configura en la configuración del switch.

IPV4 SOURCE ADDRESS:       10.197.179.136
IPV4 DESTINATION ADDRESS:  8.8.8.8
TRNS SOURCE PORT:          62734
TRNS DESTINATION PORT:     53
INTERFACE INPUT:           Te1/0/46
IP TOS:                    0x00
IP PROTOCOL:               17
tcp flags:                 0x00
interface output:          Null
counter bytes long:        55
counter packets long:      1
timestamp abs first:       10:21:41.000
timestamp abs last:        10:21:41.000

Una vez que el evento se active en StealthWatch, navegue hasta Monitor > Security Insight Dashboard,.

Vaya a Monitor > Integration > ISE ANC Policy Assignments (Supervisión > Integración > Asignaciones de políticas ISE ANC).

Asegúrese de que Cisco Secure Network Analytics haya implementado correctamente la política de control de red adaptable a través de PxGrid y Cisco ISE para poner en cuarentena el host.

Del mismo modo, en Cisco ISE, navegue hasta Operaciones > RADIUS > Livelogs y aplique un filtro para el terminal.

Según la política de excepciones local Excepción de violación de DNS, ISE emite el cambio de autorización (CoA) y se deniega el acceso a ISE al terminal.

Una vez realizadas las acciones de remediación en el terminal, elimine el MAC de Operations > Adaptive Network Control > Endpoint Assignments > Delete para quitar la dirección MAC del terminal.

Referencia de registro en Cisco ISE.

Los atributos establecidos en el nivel TRACE para el componente pxgrid (pxgrid-server.log) en Cisco ISE, los registros se ven en el archivo pxgrid-server.log.

DEBUG [pxgrid-http-pool5][[]] cpm.pxgrid.ws.client.WsIseClientConnection -::::::617fffb27858402d9ff9658b89a29f23:- Queue for publish. topic=/topic/com.cisco.ise.config.anc.status message={"operationId":"ise33.lab.local:3","macAddress":"B4:96:91:F9:63:AF","status":"RUNNING","policyName":"Quarantine"}
TRACE [WsIseClientConnection-1162][[]] cpm.pxgrid.ws.client.WsEndpoint -::::::617fffb27858402d9ff9658b89a29f23:- Send. session=[id=af52725d-d8c3-4294-bf2a-902c0de8f899,client=~ise-admin-ise33,server=wss://ise33.lab.local:8910/pxgrid/ise/pubsub] frame=[command=SEND,headers=[content-length=123, trace-id=617fffb27858402d9ff9658b89a29f23, destination=/topic/com.cisco.ise.config.anc.status],content-len=123] content={"operationId":"ise33.lab.local:3","macAddress":"B4:96:91:F9:63:AF","status":"RUNNING","policyName":"Quarantine"}
TRACE [pxgrid-http-pool2][[]] cpm.pxgridwebapp.ws.pubsub.StompPubsubEndpoint -::::::617fffb27858402d9ff9658b89a29f23:- Received frame=[command=SEND,headers=[content-length=123, trace-id=617fffb27858402d9ff9658b89a29f23, destination=/topic/com.cisco.ise.config.anc.status],content-len=123], content={"operationId":"ise33.lab.local:3","macAddress":"B4:96:91:F9:63:AF","status":"RUNNING","policyName":"Quarantine"}
TRACE [pxgrid-http-pool2][[]] cpm.pxgridwebapp.ws.pubsub.SubscriptionDistributor -::::::617fffb27858402d9ff9658b89a29f23:- Distribute from=[id=2,client=~ise-admin-ise33,server=wss://ise33.lab.local:8910/pxgrid/ise/pubsub] topic=/topic/com.cisco.ise.config.anc.status content={"operationId":"ise33.lab.local:3","macAddress":"B4:96:91:F9:63:AF","status":"RUNNING","policyName":"Quarantine"}
TRACE [sub-sender-0][[]] cpm.pxgridwebapp.ws.pubsub.SubscriptionSender -::::::617fffb27858402d9ff9658b89a29f23:- Complete stompframe published : {"operationId":"ise33.lab.local:3","macAddress":"B4:96:91:F9:63:AF","status":"RUNNING","policyName":"Quarantine"}
DEBUG [RMI TCP Connection(1440)-10.127.197.128][[]] cpm.pxgrid.ws.client.WsIseClientConnection -::::::ef9ad261537846ae906d637d6dc1e597:- Queue for publish. topic=/topic/com.cisco.ise.config.anc.status message={"operationId":"ise33.lab.local:3","macAddress":"B4:96:91:F9:63:AF","status":"SUCCESS","policyName":"Quarantine"}
TRACE [WsIseClientConnection-1162][[]] cpm.pxgrid.ws.client.WsEndpoint -::::::ef9ad261537846ae906d637d6dc1e597:- Send. session=[id=af52725d-d8c3-4294-bf2a-902c0de8f899,client=~ise-admin-ise33,server=wss://ise33.lab.local:8910/pxgrid/ise/pubsub] frame=[command=SEND,headers=[content-length=123, trace-id=ef9ad261537846ae906d637d6dc1e597, destination=/topic/com.cisco.ise.config.anc.status],content-len=123] content={"operationId":"ise33.lab.local:3","macAddress":"B4:96:91:F9:63:AF","status":"SUCCESS","policyName":"Quarantine"}
TRACE [pxgrid-http-pool5][[]] cpm.pxgridwebapp.ws.pubsub.StompPubsubEndpoint -::::::ef9ad261537846ae906d637d6dc1e597:- Received frame=[command=SEND,headers=[content-length=123, trace-id=ef9ad261537846ae906d637d6dc1e597, destination=/topic/com.cisco.ise.config.anc.status],content-len=123], content={"operationId":"ise33.lab.local:3","macAddress":"B4:96:91:F9:63:AF","status":"SUCCESS","policyName":"Quarantine"}
TRACE [pxgrid-http-pool5][[]] cpm.pxgridwebapp.ws.pubsub.SubscriptionDistributor -::::::ef9ad261537846ae906d637d6dc1e597:- Distribute from=[id=2,client=~ise-admin-ise33,server=wss://ise33.lab.local:8910/pxgrid/ise/pubsub] topic=/topic/com.cisco.ise.config.anc.status content={"operationId":"ise33.lab.local:3","macAddress":"B4:96:91:F9:63:AF","status":"SUCCESS","policyName":"Quarantine"}
TRACE [sub-sender-0][[]] cpm.pxgridwebapp.ws.pubsub.SubscriptionSender -::::::ef9ad261537846ae906d637d6dc1e597:- Complete stompframe published : {"operationId":"ise33.lab.local:3","macAddress":"B4:96:91:F9:63:AF","status":"SUCCESS","policyName":"Quarantine"}

Resolución de problemas

Los extremos en cuarentena no renuevan la autenticación Cambio de política posterior

Solución

Hay varias posibles soluciones para este problema:

1. Verifique el informe de resumen de estado de sesión en Cisco ISE para el NAD o el switch especificado y asegúrese de que la interfaz tenga configurado el intervalo de autenticación apropiado.

2. Ingrese show running configuration en el switch/NAD y asegúrese de que la interfaz esté configurada con una configuración adecuada de reinicio del temporizador de autenticación. (Por ejemplo, el temporizador de autenticación reinicia 15, y el temporizador de autenticación reautentica 15).

3. Ingrese interface shutdown y no shutdown para hacer rebotar el puerto en el switch/NAD y forzar la reautenticación y el posible cambio de configuración en Cisco ISE.

Nota: Debido a que CoA requiere una dirección MAC o un ID de sesión, se recomienda que no rechace el puerto que se muestra en el informe SNMP del dispositivo de red.

Las operaciones ANC fallan cuando no se encuentra la dirección IP o MAC

Una operación ANC que se realiza en un extremo falla cuando una sesión activa para ese extremo no contiene información sobre la dirección IP. Esto también se aplica a la dirección MAC y al ID de sesión de ese terminal.

Nota: Cuando desee cambiar el estado de autorización de un terminal a través de ANC, debe proporcionar la dirección IP o la dirección MAC para el terminal. Si la dirección IP o la dirección MAC no se encuentra en la sesión activa para el terminal, puede ver el mensaje de error: "No se ha encontrado ninguna sesión activa para esta dirección MAC, dirección IP o ID de sesión".