目錄

簡介

必要條件

需求

採用元件

設定

網路圖表

詳細流程

配置AMP雲

步驟1.從AMP雲下載聯結器

配置ISE

步驟1.配置狀態策略和條件

步驟2.配置狀態配置檔案

步驟3.配置AMP配置檔案

步驟2.將應用和XML配置檔案上傳到ISE

步驟3.下載AnyConnect合規性模組

步驟4.新增AnyConnect配置

步驟5.配置客戶端調配規則

步驟6.配置授權策略

步驟7.啟用TC-NAC服務

步驟8.配置AMP介面卡

驗證

終端

AMP雲端

ISE

疑難排解

簡介

本文描述如何在身份服務引擎(ISE)2.1上配置具有高級惡意軟體防護(AMP)的以威脅為中心的NAC。威脅嚴重性級別和漏洞評估結果可用於動態控制終端或使用者的訪問級別。安全評估服務也將在本文檔中介紹。

附註：本文檔的目的是描述ISE 2.1與AMP的整合，說明我們從ISE調配AMP時需要安全評估服務。

必要條件

需求

思科建議您瞭解以下主題的基本知識：

- 思科身分識別服務引擎

- 高級惡意軟體防護

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- 思科身分識別服務引擎版本2.1

- 無線區域網路控制器(WLC)8.0.121.0

- AnyConnect VPN客戶端4.2.02075

- Windows 7 Service Pack 1

設定

網路圖表

詳細流程

1.客戶端連線到網路，分配AMP_Profile並將使用者重定向到Anyconnect調配門戶。如果在電腦上未檢測到Anyconnect，則安裝所有配置的模組（VPN、AMP、安全狀態）。每個模組的配置與該配置檔案一起推送

2.安裝Anyconnect後，運行狀態評估

3. AMP Enabler模組安裝FireAMP聯結器

4.當客戶端嘗試下載惡意軟體時，AMP聯結器會拋出警告消息並將其報告給AMP雲

5. AMP雲將此資訊傳送到ISE

配置AMP雲

步驟1.從AMP雲下載聯結器

若要下載聯結器，請導覽至Management > Download Connector。然後選擇type和Download FireAMP(Windows、Android、Mac、Linux)。 在這種情況下，選擇了Audit，並且選擇了FireAMP for Windows的安裝檔案。

附註：下載此檔案會生成一個在示例中名為Audit_FireAMPSetup.exe的.exe檔案。在使用者要求配置AMP後，此檔案被傳送到Web伺服器以供使用。

配置ISE

步驟1.配置狀態策略和條件

導航到Policy > Policy Elements > Conditions > Posture > File Condition。您可以看到已建立了一個簡單的檔案存在條件。如果端點要符合狀態模組驗證的策略，則檔案必須存在：

此條件用於需求：

此要求用於Microsoft Windows系統的終端安全評估策略：

步驟2.配置狀態配置檔案

- 導航到Policy > Policy Elements > Results > Client Provisioning > Resources並新增網路准入控制(NAC)代理或AnyConnect代理狀態配置檔案

- 選擇Anyconnect

- 在Posture Protocol部分新增*以允許代理連線到所有伺服器

步驟3.配置AMP配置檔案

AMP配置檔案包含Windows Installer所在位置的資訊。Windows Installer先前從AMP雲下載。它應該可以從客戶端電腦訪問。安裝程式所在的HTTPS伺服器的證書也應受客戶端電腦信任。

步驟2.將應用和XML配置檔案上傳到ISE

- 從思科官方網站手動下載該應用：anyconnect-win-4.2.02075-k9.pkg

- 在ISE上，導航到Policy > Policy Elements > Results > Client Provisioning > Resources，並從本地磁盤新增代理資源

- 選擇Cisco Provided Packages，然後選擇anyconnect-win-4.2.02075-k9.pkg

- 導航到Policy > Policy Elements > Results > Client Provisioning > Resources，並從本地磁盤新增代理資源

- 選擇Customer Created Packages，然後鍵入AnyConnect Profile。選擇VPNDisable_ServiceProfile.xml

附註：VPNDisable_ServiceProfile.xml用於隱藏VPN標題，因為此示例不使用VPN模組。以下是VPNDisable_ServiceProfile.xml的內容：

<AnyConnectProfile xmlns="http://schemas.xmlsoap.org/encoding/" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:schemaLocation="http://schemas.xmlsoap.org/encoding/ AnyConnectProfile.xsd">

<客戶端初始化>

<ServiceDisable>true</ServiceDisable>

</ClientInitialization>

</AnyConnectProfile>

步驟3.下載AnyConnect合規性模組

- 導航到Policy > Policy Elements > Results > Client Provisioning > Resources，然後從Cisco站點新增代理資源

- 選擇AnyConnect Windows Compliance Module 3.6.10591.2，然後按一下Save

步驟4.新增AnyConnect配置

- 導航到Policy > Policy Elements > Results > Client Provisioning > Resources，然後新增AnyConnect Configuration

- 配置名稱並選擇合規性模組和所有所需的AnyConnect模組（VPN、AMP和安全狀態）

- 在設定檔選擇中，選擇之前為每個模組設定的設定檔

步驟5.配置客戶端調配規則

在客戶端調配規則中引用之前建立的AnyConnect配置

步驟6.配置授權策略

首先，重定向到客戶端調配門戶。使用安全狀態的標準授權策略。

之後，一旦符合要求，就會分配完全訪問許可權

步驟7.啟用TC-NAC服務

在管理>部署>編輯節點下啟用TC-NAC服務。選中啟用以威脅為中心的NAC服務覈取方塊。

步驟8.配置AMP介面卡

導航到Administration > Threat Centric NAC > Third Party Vendors > Add。按一下Save

它應過渡到Ready to Configure狀態。按一下Ready to Configure

選擇Cloud，然後按一下Next

按一下FireAMP連結並在FireAMP中以admin身份登入。

在Applications面板中按一下Allow以授權流事件匯出請求。執行此操作後，您將重定向回思科ISE

選擇要監控的事件（例如，可疑下載、與可疑域的連線、執行的惡意軟體、Java危害）。介面卡例項配置的摘要顯示在配置摘要頁面中。介面卡例項轉變為「已連線/活動」狀態。

驗證

終端

通過PEAP(MSCHAPv2)連線到無線網路。

連線到客戶端調配門戶之後。

由於客戶端電腦上未安裝任何內容，因此ISE會提示AnyConnect客戶端安裝。

應從客戶端電腦下載並運行網路設定助理(NSA)應用程式。

NSA負責安裝所需的元件和配置檔案。

安裝完成後，AnyConnect狀態模組將執行合規性檢查。

當提供完全訪問許可權時，如果終端符合要求，則從AMP配置檔案中前面指定的Web伺服器下載並安裝AMP。

AMP聯結器顯示。

要測試AMP的實際應用，需要下載zip檔案中包含的Eicar字串。檢測到威脅並將其報告給AMP雲。

AMP雲端

驗證可以使用AMP雲威脅控制面板的詳細資訊。

要獲取有關威脅、檔案路徑和指紋的詳細資訊，可以按一下檢測到惡意軟體的主機。

要檢視或註銷ISE例項，您可以導航到Accounts > Applications

ISE

在ISE本身上看到常規狀態流程，首先進行重定向以檢查網路合規性。只要終端符合要求，就會傳送CoA Reauth並分配具有PermitAccess的新配置檔案。

要檢視檢測到的威脅，您可以導航到Context Visibility > Endpoints > Compressed Endpoints

如果選擇終端並導航到Threat頁籤，將顯示更多詳細資訊。

當檢測到終端的威脅事件時，您可以在「受危害的終端」頁面上選擇終端的MAC地址並應用ANC策略（如果已配置，例如隔離）。 或者，您可以發出「更改授權」以終止會話。

如果選擇了CoA Session Terminate，ISE會傳送CoA Disconnect，客戶端將失去對網路的訪問許可權。

疑難排解

若要在ISE上啟用調試，請導航到Administration > System > Logging > Debug Log Configuration，選擇TC-NAC Node，並將Log Level of TC-NAC元件更改為DEBUG

要檢查的日誌 — irf.log。您可以直接從ISE CLI對其進行跟蹤：

ISE21-3ek/admin# show logging application irf.log tail

威脅甚至從AMP雲接收

2016-06-30 18:27:48,617 DEBUG [IRF-AMQP-Dispatcher-Notification-0][] cisco.cpm.irf.amqp.NotificationDispatcher:processDelivery:53 -::: — 正在呼叫通知處理程式com.cisco.cpm.irf.service.IrfNotificationHandler$MyNotificationHandler@3fac8043 Message{messageType=NOTIFICATION， messageId=THREAT， content='{:c0:4a 00:14:8d:4b」：[{"事件":{"Impact_Qualification":"痛苦"},"時間戳":1467304068599，「vendor」："AMP"、"標題":"Threat Detected"}]}', priority=0, timestamp=Thu Jun 30 18:27:48 CEST 2016, amqpEnvelope=Envelope(deliveryTag=79, redeliver=false， exchange=irf.topic.events， routingKey=irf.events.threat), amqpProperties=#contentHeader<basic>(content-type=application/json， content-encoding=null， headts=null， headts=null， rement-mode=null， priority=0, correlation-id=null EVENT， timestamp=null， type=NOTIFICATION， user-id=null， app-id=fe80e16e-cde8-4d7f-a836-545416ae56f4, cluster-id=null)}

2016-06-30 18:27:48,617 DEBUG [IRF-AMQP-Dispatcher-Notification-0][] cisco.cpm.irf.service.IrfNotificationHandler:handle:140 -::::: — 已新增到掛起隊列：Message{messageType=NOTIFICATION， messageId=THREAT_EVENT， content='{"c0:4a:00:14:8d:4b":[{"事件":{"Impact_Qualification":"Paulse"},"時間戳":1467304068599，「vendor」："AMP", "標題":「Threat Detected"}]}', priority=0, timestamp=Thu Jun 30 18:27:48 CEST 2016, amqpEnvelope=Envelope(deliveryTag=79, redeliver=false， exchange=irf.topic.events， routingKey=irf.events.threat), amqpProperties=#contentHeader<basic>(content-type=application/json， content-encoding=null， headts=null， delivery-mode=null， priority=0, correlation-id=null， reply，回覆 — to=null， timestamp=null， type=NOTIFICATION， user-id=null， app-id=fe80e16e-cde8-4d7f-a836-545416ae56f4, cluster-id=null)}

2016-06-30 18:27:48,617 DEBUG [IRF-AMQP-Dispatcher-Notification-0][] cisco.cpm.irf.amqp.NotificationDispatcher:processDelivery:59 -::::: — 處理通知：545416 Envelope(deliveryTag=79, redeliver=false， exchange=irf.topic.events， routingKey=irf.events.threat)#contentHeader<basic>（content-type=application/json， content-encoding=null， headers=null， delivery-mode=null， priority=0, correlation-id=null， reply-to=null， expiration=null， message-id=THREAT_EVENT， timestamp=null， type=NOTIFICATION， user-id=null， app-id=fe80e16e-cde8-4d7f-a88836-a556, id=空）

2016-06-30 18:27:48,706 DEBUG [IRF-EventProcessor-0][] cisco.cpm.irf.service.IrfEventProcessor:parseNotification:221 -:::: — 分析通知：Message{messageType=NOTIFICATION， messageId=THREAT_EVENT， content='{"c0:4a:00:14:8d:4b":[{"事件":{"Impact_Qualification":"痛苦"},"時間戳":1467304068599，「vendor」："AMP"、"標題":「Threat Detected"}]}', priority=0, timestamp=Thu Jun 30 18:27:48 CEST 2016, amqpEnvelope=Envelope(deliveryTag=79, redeliver=false， exchange=irf.topic.events， routingKey=irf.events.threat), amqpProperties=#contentHeader<basic>(content-type=application/json， content-encoding=null， headts=null， delivery-mode=null， priority=0, correlation-id=null， reply，回覆 — to=null， timestamp=null， type=NOTIFICATION， user-id=null， app-id=fe80e16e-cde8-4d7f-a836-545416ae56f4, cluster-id=null)}

有關威脅的資訊將傳送到PAN

2016-06-30 18:27:48,724 DEBUG [IRF-EventProcessor-0][] cisco.cpm.irf.service.IrfEventProcessor:storeEventsInES:366 -:::: — 新增威脅事件資訊以傳送到PAN - c0:4a:00:14:8d:4b {incident={Impact_Qualification=Pain},time-amp=1467304068599，供應商=PAN Title=檢測到的威脅}