Configurar a correção do Firepower 6.1 pxGrid com ISE

Opções de download

  • PDF     (1.4 MB)
    Ver no Adobe Reader em vários dispositivos
  • ePub     (1.5 MB)
    Ver em vários aplicativos no iPhone, iPad, Android, Sony Reader ou Windows Phone
  • Mobi (Kindle)     (1.0 MB)
    Ver no dispositivo Kindle ou no aplicativo Kindle em vários dispositivos
Atualizado:8 de novembro de 2017
ID do documento:210524

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

    Introdução

    Este documento descreve como configurar a correção pxGrid do Firepower 6.1 com o Identity Services Engine (ISE). O módulo de correção do Firepower 6.1+ ISE pode ser usado com o ISE Endpoint Protection Service (EPS) para automatizar a quarentena/lista negra de invasores na camada de acesso à rede.

    Pré-requisitos

    Requisitos

    A Cisco recomenda que você tenha conhecimento básico destes tópicos:

    • Cisco ISE
    • Cisco Firepower

    Componentes Utilizados

    As informações neste documento são baseadas nestas versões de software e hardware:

    • Patch 4 do Cisco ISE versão 2.0
    • Cisco Firepower 6.1.0
    • Controlador de LAN sem fio virtual (vWLC) 8.3.102.0

    As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a sua rede estiver ativa, certifique-se de que entende o impacto potencial de qualquer comando.

    Configurar

    Este artigo não aborda a configuração inicial da integração do ISE com o Firepower, a integração do ISE com o Ative Diretory (AD) e a integração do Firepower com o AD. Para obter essas informações, navegue até a seção de referências. O módulo de correção do Firepower 6.1 permite que o sistema Firepower use os recursos EPS do ISE (quarentena, não quarentena, desligamento de porta) como uma correção quando a regra de correlação é correspondida.

    Observação: o desligamento de porta não está disponível para implantações sem fio.

    Diagrama de Rede

    210524-configure-firepower-6-1-pxgrid-remediati-00.png

    A descrição do fluxo:

    1. Um cliente se conecta a uma rede, autentica com o ISE e atinge uma regra de autorização com um perfil de autorização que concede acesso irrestrito à rede.
    2. O tráfego do cliente flui por um dispositivo Firepower.
    3. O usuário começa a executar uma atividade mal-intencionada e atinge uma regra de correlação que, por sua vez, aciona o Firepower Management Center (FMC) para fazer a correção do ISE por meio do pxGrid.
    4. O ISE atribui uma quarentena EPSStatus ao endpoint e aciona a alteração de autorização RADIUS para um dispositivo de acesso à rede (WLC ou switch).
    5. O cliente acessa outra política de autorização que atribui um acesso restrito (altera o SGT ou redireciona para o portal ou nega o acesso).

    Observação: o Network Access Device (NAD) deve ser configurado para enviar a Contabilização RADIUS para o ISE a fim de fornecer a ele informações de endereço IP que são usadas para mapear o endereço IP para um endpoint.

    Configurar o Firepower

    Etapa 1. Configure uma instância de mitigação do pxGrid.

    Navegue para Policies > Actions > Instances e adicione pxGrid Mitigation Instance como mostrado na imagem.

    210524-configure-firepower-6-1-pxgrid-remediati-01.png

    Etapa 2. Configure uma correção.

    Existem dois tipos disponíveis: Mitigar Destino e Mitigar Origem. Neste exemplo, a mitigação de origem é usada. Escolha o tipo de correção e clique em Adicionar como mostrado na imagem:

    210524-configure-firepower-6-1-pxgrid-remediati-02.jpeg

    Atribua uma ação de mitigação à correção, como mostrado na imagem:

    210524-configure-firepower-6-1-pxgrid-remediati-03.png

    Etapa 3. Configurar uma regra de correlação.

    Navegue para Políticas > Correlação > Gerenciamento de regras e clique em Criar regra A regra de correlação é o disparador para que a correção ocorra. A regra de correlação pode conter várias condições. Neste exemplo, a regra de correlação PingDC é atingida se ocorrer um evento de intrusão e o endereço ip de destino for 192.168.0.121. A regra de intrusão personalizada que corresponde à resposta de eco ICMP é configurada para o propósito do teste, como mostrado na imagem:

    210524-configure-firepower-6-1-pxgrid-remediati-04.png

    Etapa 4. Configurar uma política de Correlação.

    Navegue para Policies > Correlation > Policy Management e clique em Create Policy, adicione a regra à política e atribua a resposta como mostrado na imagem:

    210524-configure-firepower-6-1-pxgrid-remediati-05.png

    Ative a política de correlação como mostrado na imagem:

    210524-configure-firepower-6-1-pxgrid-remediati-06.png

    Configurar o ISE

    Etapa 1. Configure a Diretiva de Autorização.

    Navegue para Política > Autorização e adicione uma nova política de autorização que será atingida após a Correção ocorrer. Use Session: EPSStatus EQUALS Quarantine como a condição. Há várias opções que podem ser usadas como resultado:

    • Permitir acesso e atribuir SGT diferentes (aplicar restrição de controle de acesso em dispositivos de rede)
    • Negar Acesso (o usuário deve ser removido da rede e não deve poder se conectar novamente)
    • Redirecionar para um portal de lista negra (neste cenário, o portal de hotspot personalizado está configurado para esta finalidade)

    210524-configure-firepower-6-1-pxgrid-remediati-07.png

    Configuração personalizada do portal

    Neste exemplo, o portal do hotspot está configurado como uma lista negra. Há apenas uma página Política de uso aceitável (AUP) com texto personalizado e não há possibilidade de aceitar a AUP (isso é feito com JavaScript). Para conseguir isso, você primeiro precisa habilitar o JavaScript e, em seguida, colar um código que oculte o botão AUP e os controles na configuração de personalização do portal.

    Etapa 1. Ative o JavaScript.

    Navegue até Administration > System > Admin Access > Settings > Portal Customization. Escolha Enable Portal Customization with HTML and JavaScript e clique em Save.

    210524-configure-firepower-6-1-pxgrid-remediati-08.png

    Etapa 2. Crie um Portal de Ponto de Acesso.

    Navegue até Guest Access > Configure > Guest Portals e clique em Create. Em seguida, escolha o tipo de ponto de acesso.

    210524-configure-firepower-6-1-pxgrid-remediati-09.png

    Etapa 3. Configurar a personalização do portal.

    Navegue até Portal Page Customization e altere títulos e conteúdo para fornecer um aviso apropriado ao usuário.

    210524-configure-firepower-6-1-pxgrid-remediati-10.png

    Role até Option Content 2, clique em Toggle HTML Source e cole o script em:

     Clique em Desativar Código-fonte HTML.

    210524-configure-firepower-6-1-pxgrid-remediati-11.png

    Verificar

    Use as informações fornecidas nesta seção para verificar se a configuração funciona corretamente.

    Firepower

    O disparador para que a remediação ocorra é um acerto de política/regra de correlação. Navegue até Análise > Correlação > Eventos de correlação e verifique se o evento de correlação aconteceu.

    210524-configure-firepower-6-1-pxgrid-remediati-12.png

    ISE

    O ISE deve acionar Radius: CoA e autenticar novamente o usuário. Esses eventos podem ser verificados em Operation > RADIUS Livelog.

    210524-configure-firepower-6-1-pxgrid-remediati-13.png

    Neste exemplo, o ISE atribuiu SGT MaliciousUser diferente ao endpoint. No caso do perfil de autorização Negar Acesso, o usuário perde a conexão sem fio e não consegue se conectar novamente.

    A correção com o portal de lista negra. Se a regra de autorização de remediação estiver configurada para redirecionar para o portal, ela deverá se parecer com esta da perspectiva do invasor:

    210524-configure-firepower-6-1-pxgrid-remediati-14.png

    Troubleshooting

    Esta seção disponibiliza informações para a solução de problemas de configuração.

    Navegue até Análise > Correlação > Status como mostrado nesta imagem.

    210524-configure-firepower-6-1-pxgrid-remediati-15.pngA mensagem de resultado deve retornar Conclusão bem-sucedida da correção ou uma mensagem de erro específica. Verifique o syslog: System > Monitoring > Syslog e filtre a saída com pxgrid. Os mesmos registros podem ser verificados em /var/log/messages.

    Informações Relacionadas

    Histórico de revisões

    Revisão Data de publicação Comentários
    1.0
    07-Nov-2017
    Versão inicial
    TAC Authored

    Colaborado por engenheiros da Cisco

    • Valerii Palkin
      Engenheiro do Cisco TAC

    Este documento lhe foi útil?

    FeedbackFeedback

    Contate a Cisco

    Este documento se refere a estes produtos