目錄

簡介

必要條件

需求

採用元件

設定

高級流程圖

部署和配置下一掃描程式

步驟1.部署Nexpose Scanner。

步驟2.配置Nexpose Scanner。

配置ISE

步驟1.啟用TC-NAC服務。

步驟2.匯入附屬掃描器證書。

步驟3.配置Nexpresence Scanner TC-NAC例項。

步驟4.配置授權配置檔案以觸發VA掃描。

步驟5.配置授權策略。

驗證

身分識別服務引擎

附件掃描器

疑難排解

ISE上的調試

相關資訊

簡介

本文檔介紹如何使用Identity Service Engine(ISE)2.2上的Rapid7配置以威脅為中心的NAC並對其進行故障排除。威脅中心網路訪問控制(TC-NAC)功能使您能夠根據從威脅和漏洞介面卡接收的威脅和漏洞屬性建立授權策略。

必要條件

需求

思科建議您瞭解以下主題的基本知識：

- 思科身分識別服務引擎

- Nexpose漏洞掃描器

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- 思科身分識別服務引擎版本2.2

- Cisco Catalyst 2960S交換器15.2(2a)E1

- Rapid7 Nexpose漏洞掃描器企業版

- Windows 7 Service Pack 1

- Windows Server 2012 R2

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

設定

高級流程圖

以下是流程：

1. 客戶端連線到網路，提供有限的訪問並分配啟用了Assess Vulnerabilities覈取方塊的配置檔案。

2. PSN節點向MNT節點傳送系統日誌消息，確認發生了身份驗證，並且VA掃描是授權策略的結果。

3. MNT節點使用以下資料向TC-NAC節點（使用管理WebApp）提交SCAN:

-MAC 地址

-IP 位址

— 掃描間隔

— 定期掃描已啟用

— 始發PSN

4. Nexpose TC-NAC（封裝在Docker容器中）與Nexpose Scanner通訊以觸發掃描（如果需要）。

5. Nexpose Scanner掃描ISE請求的端點。

6. Nexpose Scanner將掃描結果傳送到ISE。

7. 掃描結果將傳送回TC-NAC:

-MAC 地址

— 所有CVSS分數

— 所有漏洞（標題、CVEID）

8. TC-NAC使用步驟7中的所有資料更新PAN。

9. 如果需要，將根據配置的授權策略觸發CoA。

部署和配置下一掃描程式

注意：本文檔中的附件配置用於實驗目的，請諮詢Rapid7工程師以瞭解設計注意事項

步驟1.部署Nexpose Scanner。

Nexpose掃描器可以從OVA檔案部署，安裝在Linux和Windows作業系統之上。在本文檔中，安裝在Windows Server 2012 R2上完成。從Rapid7網站下載映像並開始安裝。配置Type and destination時，請選擇Nexpose Security Console with local Scan Engine

安裝完成後，伺服器將重新啟動。啟動後，Nexpose掃描器應可通過3780埠訪問，如下圖所示：

如圖所示，scanner將經歷安全控制檯啟動過程：

之後，要訪問GUI，應提供許可證金鑰。請注意，需要Enterprise Edition of Nexpose Scanner，如果安裝了Community Edition，則不會觸發掃描。

步驟2.配置Nexpose Scanner。

第一步是在Nexpose掃描器上安裝證書。本文檔中的證書由與ISE（實驗室CA）管理證書相同的CA頒發。 導航到Administration > Global and Console Settings。在Console下選擇管理，如下圖所示。

按一下「Manage Certificate」，如下圖所示：

如圖所示，在建立新證書中按一下。輸入Common Name以及您希望在Nexpose Scanner的身份證書中包含的任何其他資料。確保ISE能夠使用DNS解析附屬掃描器FQDN。

將憑證簽署請求(CSR)匯出到終端。

此時，您需要與憑證授權單位(CA)簽署CSR。

按一下Import Certificate，匯入CA頒發的證書。

配置站點。站點包含您應該能夠掃描的資產，並且用於將ISE與附屬掃描器整合的帳戶應具有管理站點和建立報告的許可權。導覽至Create > Site，如下圖所示。

如圖所示，在「Info & Security」索引標籤上輸入Name。Assets頁籤應包含有效資產的IP地址，即符合漏洞掃描條件的端點。

將簽署ISE證書的CA證書匯入到受信任的儲存中。導航到管理>根證書>管理>匯入證書。

配置ISE

步驟1.啟用TC-NAC服務。

在ISE節點上啟用TC-NAC服務。請注意以下事項：

- 以威脅為中心的NAC服務需要Apex許可證。

- 對於以威脅為中心的NAC服務，您需要單獨的策略服務節點(PSN)。

- 只能在部署中的一個節點上啟用以威脅為中心的NAC服務。

- 對於漏洞評估服務，每個供應商只能新增一個介面卡例項。

步驟2.匯入附屬掃描器證書。

將Nexpose Scanner CA證書匯入思科ISE中的受信任證書庫(Administration > Certificates > Certificate Management > Trusted Certificates > Import)。 確保在思科ISE受信任證書儲存中匯入（或存在）相應的根證書和中間證書

步驟3.配置Nexpresence Scanner TC-NAC例項。

在Administration > Threat Centric NAC > Third Party Vendors處新增Rapid7例項。

新增例項後，例項將轉至Ready to Configure狀態。按一下此連結。配置Nexpose Host(Scanner)和Port，預設情況下為3780。指定Username和Password，以便訪問正確的站點。

高級設定在ISE 2.2管理指南中有詳細記錄，可以在本文檔的參考部分找到連結。按一下Next和Finish。Nexpose例項轉換為Active狀態並開始下載知識庫。

步驟4.配置授權配置檔案以觸發VA掃描。

導航到Policy > Policy Elements > Results > Authorization > Authorization Profiles。新增新配置檔案。在Common Tasks下，選中Vulnerability Assessment覈取方塊。應根據網路設計選擇按需掃描間隔。

授權配置檔案包含這些av對：

cisco-av-pair = on-demand-scan-interval=48

cisco-av-pair = periodic-scan-enabled=0

cisco-av-pair = va-adapter-instance=c2175761-0e2b-4753-b2d6-9a9526d85c0c

它們被傳送到訪問接受資料包中的網路裝置，儘管它們的真正目的是告訴監控(MNT)節點應該觸發掃描。MNT指示TC-NAC節點與附件掃描程式通訊。

步驟5.配置授權策略。

- 配置授權策略以使用步驟4中配置的新授權配置檔案。導航到Policy > Authorization > Authorization Policy，找到Basic_Authenticated_Access規則，然後按一下Edit。將許可權從PermitAccess更改為新建立的Standard Rapid7。這將導致對所有使用者的漏洞掃描。在Save中按一下。

- 為隔離的電腦建立授權策略。導航到Policy > Authorization > Authorization Policy > Exceptions並建立例外規則。現在，導航到條件>建立新條件（高級選項）>選擇屬性，向下滾動並選擇威脅。展開Threat屬性並選擇Nexpose-CVSS_Base_Score。將運算子更改為大於，然後根據您的安全策略輸入一個值。隔離授權配置檔案應授予對易受攻擊的電腦的有限訪問許可權。

驗證

身分識別服務引擎

第一個連線觸發VA掃描。掃描完成後，如果匹配了CoA Reauthentication，將觸發CoA Reauthentication應用新策略。

若要驗證檢測到哪些漏洞，請導覽至Context Visibility > Endpoints。使用Nexpose Scanner為其提供的分數檢查每個終端的漏洞。

在Operations > TC-NAC Live Logs中，您可以檢視應用的授權策略以及CVSS_Base_Score的詳細資訊。

附件掃描器

當TC-NAC附件掃描觸發VA掃描轉變為In-Progress狀態，並且掃描器開始探測端點時，如果您在端點上運行wireshark捕獲，此時您會看到端點與掃描器之間的資料包交換。掃描程式完成後，結果可在首頁下找到。

在Assets頁面下，您可以看到有新的終端可用於掃描結果，已標識作業系統，並且檢測到10個漏洞。

當您按一下終端的IP地址時，Nexpose Scanner將帶您進入新的選單，您可以在其中看到包括主機名、Risc評分和漏洞詳細清單在內的詳細資訊

按一下Vulnerability本身時，圖中顯示完整的說明。

疑難排解

ISE上的調試

要在ISE上啟用調試，請導航到管理>系統>記錄>調試日誌配置，選擇TC-NAC節點，並將日誌級別va-runtime和va-service元件更改為DEBUG。

要檢查的日誌 — varuntime.log。您可以直接從ISE CLI對其進行跟蹤：

ISE21-3ek/admin# show logging application varuntime.log tail

TC-NAC Docker收到對特定端點執行掃描的指令。

2016-11-24 13:32:04,436 DEBUG [Thread-94][] va.runtime.admin.mnt.EndpointFileReader -:::::- VA: Read va runtime. [{"operationType":1,"macAddress":"3C:97:0E:52:3F:D9","ipAddress":"10.229.20.32","ondemandScanInterval":"48","isPeriodicScanEnabled":false,"periodicScanEnabledString":"0","vendorInstance":"c2175761-0e2b-4753-b2d6-9a9526d85c0c","psnHostName":"ISE22-1ek","heartBeatTime":0,"lastScanTime":0}, {"operationType":1,"macAddress":"3C:97:0E:52:3F:D9","ipAddress":"10.229.20.32","isPeriodicScanEnabled":false,"heartBeatTime":0,"lastScanTime":0}]

2016-11-24 13:32:04,437 DEBUG [Thread-94][] va.runtime.admin.vaservice.VaServiceRemotingHandler -:::::- VA: received data from Mnt: {"operationType":1,"macAddress":"3C:97:0E:52:3F:D9","ipAddress":"10.229.20.32","ondemandScanInterval":"48","isPeriodicScanEnabled":false,"periodicScanEnabledString":"0","vendorInstance":"c2175761-0e2b-4753-b2d6-9a9526d85c0c","psnHostName":"ISE22-1ek","heartBeatTime":0,"lastScanTime":0}

2016-11-24 13:32:04,439 DEBUG [Thread-94][] va.runtime.admin.vaservice.VaServiceRemotingHandler -:::::- VA: received data from Mnt: {"operationType":1,"macAddress":"3C:97:0E:52:3F:D9","ipAddress":"10.229.20.32","isPeriodicScanEnabled":false,"heartBeatTime":0,"lastScanTime":0}

收到結果後，它會將所有漏洞資料儲存在上下文目錄中。

2016-11-24 13:45:28,378 DEBUG [Thread-94][] va.runtime.admin.vaservice.VaServiceRemotingHandler -:::::- VA: received data from Mnt: {"operationType":2,"isPeriodicScanEnabled":false,"heartBeatTime":1479991526437,"lastScanTime":0}

2016-11-24 13:45:33,642 DEBUG [pool-115-thread-19][] va.runtime.admin.vaservice.VaServiceMessageListener -:::::- Got message from VaService: [{"macAddress":"3C:97:0E:52:3F:D9","ipAddress":"10.229.20.32","lastScanTime":1479962572758,"vulnerabilities":["{\"vulnerabilityId\":\"ssl-cve-2016-2183-sweet32\",\"cveIds\":\"CVE-2016-2183\",\"cvssBaseScore\":\"5\",\"vulnerabilityTitle\":\"TLS/SSL Birthday attacks on 64-bit block ciphers (SWEET32)\",\"vulnerabilityVendor\":\"Rapid7 Nexpose\"}","{\"vulnerabilityId\":\"ssl-static-key-ciphers\",\"cveIds\":\"\",\"cvssBaseScore\":\"2.5999999\",\"vulnerabilityTitle\":\"TLS/SSL Server Supports The Use of Static Key Ciphers\",\"vulnerabilityVendor\":\"Rapid7 Nexpose\"}","{\"vulnerabilityId\":\"rc4-cve-2013-2566\",\"cveIds\":\"CVE-2013-2566\",\"cvssBaseScore\":\"4.30000019\",\"vulnerabilityTitle\":\"TLS/SSL Server Supports RC4 Cipher Algorithms (CVE-2013-2566)\",\"vulnerabilityVendor\":\"Rapid7 Nexpose\"}","{\"vulnerabilityId\":\"tls-dh-prime-under-2048-bits\",\"cveIds\":\"\",\"cvssBaseScore\":\"2.5999999\",\"vulnerabilityTitle\":\"Diffie-Hellman group smaller than 2048 bits\",\"vulnerabilityVendor\":\"Rapid7 Nexpose\"}","{\"vulnerabilityId\":\"tls-dh-primes\",\"cveIds\":\"\",\"cvssBaseScore\":\"2.5999999\",\"vulnerabilityTitle\":\"TLS/SSL Server Is Using Commonly Used Prime Numbers\",\"vulnerabilityVendor\":\"Rapid7 Nexpose\"}","{\"vulnerabilityId\":\"ssl-cve-2011-3389-beast\",\"cveIds\":\"CVE-2011-3389\",\"cvssBaseScore\":\"4.30000019\",\"vulnerabilityTitle\":\"TLS/SSL Server is enabling the BEAST attack\",\"vulnerabilityVendor\":\"Rapid7 Nexpose\"}","{\"vulnerabilityId\":\"tlsv1_0-enabled\",\"cveIds\":\"\",\"cvssBaseScore\":\"4.30000019\",\"vulnerabilityTitle\":\"TLS Server Supports TLS version 1.0\",\"vulnerabilityVendor\":\"Rapid7 Nexpose\"}"]}]

2016-11-24 13:45:33,643 DEBUG [pool-115-thread-19][] va.runtime.admin.vaservice.VaServiceMessageListener -:::::- VA: Save to context db, lastscantime: 1479962572758, mac: 3C:97:0E:52:3F:D9

2016-11-24 13:45:33,675 DEBUG [pool-115-thread-19][] va.runtime.admin.vaservice.VaPanRemotingHandler -:::::- VA: Saved to elastic search: {3C:97:0E:52:3F:D9=[{"vulnerabilityId":"ssl-cve-2016-2183-sweet32","cveIds":"CVE-2016-2183","cvssBaseScore":"5","vulnerabilityTitle":"TLS/SSL Birthday attacks on 64-bit block ciphers (SWEET32)","vulnerabilityVendor":"Rapid7 Nexpose"}, {"vulnerabilityId":"ssl-static-key-ciphers","cveIds":"","cvssBaseScore":"2.5999999","vulnerabilityTitle":"TLS/SSL Server Supports The Use of Static Key Ciphers","vulnerabilityVendor":"Rapid7 Nexpose"}, {"vulnerabilityId":"rc4-cve-2013-2566","cveIds":"CVE-2013-2566","cvssBaseScore":"4.30000019","vulnerabilityTitle":"TLS/SSL Server Supports RC4 Cipher Algorithms (CVE-2013-2566)","vulnerabilityVendor":"Rapid7 Nexpose"}, {"vulnerabilityId":"tls-dh-prime-under-2048-bits","cveIds":"","cvssBaseScore":"2.5999999","vulnerabilityTitle":"Diffie-Hellman group smaller than 2048 bits","vulnerabilityVendor":"Rapid7 Nexpose"}, {"vulnerabilityId":"tls-dh-primes","cveIds":"","cvssBaseScore":"2.5999999","vulnerabilityTitle":"TLS/SSL Server Is Using Commonly Used Prime Numbers","vulnerabilityVendor":"Rapid7 Nexpose"}, {"vulnerabilityId":"ssl-cve-2011-3389-beast","cveIds":"CVE-2011-3389","cvssBaseScore":"4.30000019","vulnerabilityTitle":"TLS/SSL Server is enabling the BEAST attack","vulnerabilityVendor":"Rapid7 Nexpose"}, {"vulnerabilityId":"tlsv1_0-enabled","cveIds":"","cvssBaseScore":"4.30000019","vulnerabilityTitle":"TLS Server Supports TLS version 1.0","vulnerabilityVendor":"Rapid7 Nexpose"}]}

要檢查的日誌 — vaservice.log。您可以直接從ISE CLI對其進行跟蹤：

ISE21-3ek/admin# show logging application vaservice.log tail

漏洞評估請求已提交至介面卡。

2016-11-24 12:32:05,783 DEBUG [endpointPollerScheduler-7][] cpm.va.service.util.VaServiceUtil -:::::- VA SendSyslog systemMsg : [{"systemMsg":"91019","isAutoInsertSelfAcsInstance":true,"attributes":["TC-NAC.ServiceName","Vulnerability Assessment Service","TC-NAC.Status","VA request submitted to adapter","TC-NAC.Details","VA request submitted to adapter for processing","TC-NAC.MACAddress","3C:97:0E:52:3F:D9","TC-NAC.IpAddress","10.229.20.32","TC-NAC.AdapterInstanceUuid","c2175761-0e2b-4753-b2d6-9a9526d85c0c","TC-NAC.VendorName","Rapid7 Nexpose","TC-NAC.AdapterInstanceName","Rapid7"]}]

2016-11-24 12:32:05,810 DEBUG [endpointPollerScheduler-7][] cpm.va.service.util.VaServiceUtil -:::::- VA SendSyslog systemMsg res: {"status":"SUCCESS","statusMessages":["SUCCESS"]}

AdapterMessageListener每隔5分鐘檢查一次掃描的狀態，直到掃描完成。

2016-11-24 12:36:28,143 DEBUG [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -:::::- Message from adapter : {"AdapterInstanceName":"Rapid7","AdapterInstanceUid":"7a2415e7-980d-4c0c-b5ed-fe4e9fadadbd","VendorName":"Rapid7 Nexpose","OperationMessageText":"Number of endpoints queued for checking scan results: 0, Number of endpoints queued for scan: 0, Number of endpoints for which the scan is in progress: 1"}

2016-11-24 12:36:28,880 DEBUG [endpointPollerScheduler-5][] cpm.va.service.util.VaServiceUtil -:::::- VA SendSyslog systemMsg : [{"systemMsg":"91019","isAutoInsertSelfAcsInstance":true,"attributes":["TC-NAC.ServiceName","Vulnerability Assessment Service","TC-NAC.Status","Adapter Statistics","TC-NAC.Details","Number of endpoints queued for checking scan results: 0, Number of endpoints queued for scan: 0, Number of endpoints for which the scan is in progress: 1","TC-NAC.AdapterInstanceUuid","7a2415e7-980d-4c0c-b5ed-fe4e9fadadbd","TC-NAC.VendorName","Rapid7 Nexpose","TC-NAC.AdapterInstanceName","Rapid7"]}]

介面卡獲得CVE以及CVSS分數。

2016-11-24 12:45:33,132 DEBUG [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -:::::- Message from adapter : {"returnedMacAddress":"","requestedMacAddress":"3C:97:0E:52:3F:D9","scanStatus":"ASSESSMENT_SUCCESS","lastScanTimeLong":1479962572758,"ipAddress":"10.229.20.32","vulnerabilities":[{"vulnerabilityId":"tlsv1_0-enabled","cveIds":"","cvssBaseScore":"4.30000019","vulnerabilityTitle":"TLS Server Supports TLS version 1.0","vulnerabilityVendor":"Rapid7 Nexpose"},{"vulnerabilityId":"rc4-cve-2013-2566","cveIds":"CVE-2013-2566","cvssBaseScore":"4.30000019","vulnerabilityTitle":"TLS/SSL Server Supports RC4 Cipher Algorithms (CVE-2013-2566)","vulnerabilityVendor":"Rapid7 Nexpose"},{"vulnerabilityId":"ssl-cve-2016-2183-sweet32","cveIds":"CVE-2016-2183","cvssBaseScore":"5","vulnerabilityTitle":"TLS/SSL Birthday attacks on 64-bit block ciphers (SWEET32)","vulnerabilityVendor":"Rapid7 Nexpose"},{"vulnerabilityId":"ssl-static-key-ciphers","cveIds":"","cvssBaseScore":"2.5999999","vulnerabilityTitle":"TLS/SSL Server Supports The Use of Static Key Ciphers","vulnerabilityVendor":"Rapid7 Nexpose"},{"vulnerabilityId":"tls-dh-primes","cveIds":"","cvssBaseScore":"2.5999999","vulnerabilityTitle":"TLS/SSL Server Is Using Commonly Used Prime Numbers","vulnerabilityVendor":"Rapid7 Nexpose"},{"vulnerabilityId":"tls-dh-prime-under-2048-bits","cveIds":"","cvssBaseScore":"2.5999999","vulnerabilityTitle":"Diffie-Hellman group smaller than 2048 bits","vulnerabilityVendor":"Rapid7 Nexpose"},{"vulnerabilityId":"ssl-cve-2011-3389-beast","cveIds":"CVE-2011-3389","cvssBaseScore":"4.30000019","vulnerabilityTitle":"TLS/SSL Server is enabling the BEAST attack","vulnerabilityVendor":"Rapid7 Nexpose"}]}

2016-11-24 12:45:33,137 INFO [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -:::::- Endpoint Details sent to IRF is {"3C:97:0E:52:3F:D9":[{"vulnerability":{"CVSS_Base_Score":5.0,"CVSS_Temporal_Score":0.0},"time-stamp":1479962572758,"title":"Vulnerability","vendor":"Rapid7 Nexpose"}]}

2016-11-24 12:45:33,221 DEBUG [endpointPollerScheduler-7][] cpm.va.service.util.VaServiceUtil -:::::- VA SendSyslog systemMsg : [{"systemMsg":"91019","isAutoInsertSelfAcsInstance":true,"attributes":["TC-NAC.ServiceName","Vulnerability Assessment Service","TC-NAC.Status","VA successfully completed","TC-NAC.Details","VA completed; number of vulnerabilities found: 7","TC-NAC.MACAddress","3C:97:0E:52:3F:D9","TC-NAC.IpAddress","10.229.20.32","TC-NAC.AdapterInstanceUuid","c2175761-0e2b-4753-b2d6-9a9526d85c0c","TC-NAC.VendorName","Rapid7 Nexpose","TC-NAC.AdapterInstanceName","Rapid7"]}]

2016-11-24 12:45:33,299 DEBUG [endpointPollerScheduler-7][] cpm.va.service.util.VaServiceUtil -:::::- VA SendSyslog systemMsg res: {"status":"SUCCESS","statusMessages":["SUCCESS"]}

相關資訊

- 技術支援與文件 - Cisco Systems

- ISE 2.2版本說明

- ISE 2.2硬體安裝指南

- ISE 2.2升級指南

- ISE 2.2引擎管理員指南