Cisco ISE, MAB ve Catalyst 9200/9300 Kullanarak Kurumsal Ağlarda 802.1X Olmayan Cihazların Güvenliğini Sağlama

İşletmeler kimlik tabanlı ağ erişimine doğru ilerlerken, IEEE 802.1X kablolu ve kablosuz bağlantıları güvence altına almak için standart haline geldi. Ağ erişimi vermeden önce uç noktaların kimlik doğrulaması yapılarak, kuruluşlar güvenlik politikalarını uygulayabilir, cihazları bölümlere ayırabilir ve yetkisiz bağlantıları engelleyebilir.

Ancak gerçek dünya kurumsal ortamlarında, 802.1X'i tüm LAN'a yaymak hızla bir zorluğu ortaya çıkarıyor: birçok cihaz kimlik doğrulama işlemini gerçekleştiremiyor.

Yazıcılar, IP kameralar, bina otomasyon kontrolörleri ve endüstriyel IoT sistemleri genellikle bir EAP istemcisine sahip olmadığından, EAPOL (Yerel Ağ Üzerinden Genişletilebilir Kimlik Doğrulama Protokolü) kimlik doğrulama isteklerine yanıt veremezler. Eğer katı 802.1X uygulaması yapılırsa, bu cihazlar kimlik doğrulamada başarısız olur ve ağ bağlantısını kaybeder.

Bu açığı kapatmak için işletmeler genellikle şu unsurları birleştiren hibrit bir kimlik doğrulama mimarisi kullanırlar:

• Yönetilen uç noktalar için 802.1X kimlik doğrulaması
• 802.1X olmayan cihazlar için MAC Kimlik Doğrulama Atlatma (MAB)
• Cisco Kimlik Hizmetleri Motoru (ISE) aracılığıyla kimlik tabanlı politika uygulaması

Cisco Catalyst 9200 ve Catalyst 9300 anahtarları gibi kurumsal erişim platformlarında uygulandığında, bu yaklaşım kuruluşların eski ve IoT cihazlarını desteklerken güçlü güvenliği korumalarına olanak tanır.

Bu kılavuz, Cisco ISE, cihaz profilleme ve politika tabanlı ağ bölümlendirmesi kullanarak 802.1X olmayan cihazlar için güvenli kablolu erişimin nasıl tasarlanacağını açıklamaktadır.

İçindekiler

• Bölüm 1: 802.1X Gerçeklik Sorunu
• Bölüm 2: Referans Mimari – MAB Yedeklemeli 802.1X
• Bölüm 3: Cisco ISE Cihaz Profillendirme
• Bölüm 4: dACL'ler ve VLAN Bölümlemesi ile Politika Uygulaması
• Bölüm 5: Güvenlik Riskleri ve Azaltma Stratejileri
• Bölüm 6: Güvenli Kablolu Erişim için Dağıtım Kılavuzu
• Bölüm 7: Sıkça Sorulan Sorular

Bölüm 1: 802.1X Gerçeklik Sorunu

IEEE 802.1X standardı, uç noktaların bir RADIUS sunucusuyla kimlik doğrulama mesajları alışverişi yapabilen bir EAP istemcisi çalıştırmasını gerektirir. Windows dizüstü bilgisayarlar, macOS sistemleri ve Linux iş istasyonları gibi yönetilen kurumsal cihazlar genellikle bunu yerel olarak destekler.

Ancak kurumsal ağlar, 802.1X kimlik doğrulamasına katılamayan birçok başsız veya gömülü cihaz içerir.

Yaygın örnekler:

• Ofis yazıcıları ve çok fonksiyonlu cihazlar
• IP gözetleme kameraları
• Akıllı TV'ler ve konferans sistemleri
• IoT sensörleri ve bina otomasyon kontrolörleri
• Tıbbi malzeme
• Endüstriyel kontrol veya OT sistemleri

Bu cihazlar genellikle sınırlı ağ yeteneklerine sahip gömülü yazılım çalıştırır. Birçoğunda sertifika yükleme veya kimlik doğrulama istemcisi çalıştırma özelliği bulunmaz.

Yöneticiler tüm switch portlarında 802.1X kapalı modunu zorunlu kılarsa, bu cihazlar EAPOL kimlik doğrulama isteklerine yanıt veremez ve ağa erişimleri engellenir.

Bu durum operasyonel bir ikilem yaratıyor:

• Limanların açık bırakılması güvenlik risklerini beraberinde getirir.
• Sıkı kimlik doğrulama uygulaması temel hizmetleri aksatıyor.

Dolayısıyla pratik bir kurumsal tasarım, güvenli yedek kimlik doğrulama olanağı sağlamalıdır.

Bölüm 2: Referans Mimari – MAB Yedeklemeli 802.1X

Hem modern hem de eski uç noktaları desteklemek için çoğu kurumsal ağ, 802.1X öncelikli kimlik doğrulama stratejisi kullanır.

Bir cihaz bir switch portuna bağlandığında, kimlik doğrulama süreci genellikle şu şekilde işler:

1. Anahtar, 802.1X kimlik doğrulamasını başlatmak için bir EAPOL meydan okuması gönderir.
2. Cihaz 802.1X'i destekliyorsa, kimlik bilgileri veya sertifikalarla yanıt verir.
3. Cihaz yanıt vermezse, anahtar yapılandırılabilir bir zaman aşımı süresi kadar bekler.
4. Ardından, geçiş işlemi MAC Kimlik Doğrulama Atlatma (MAB) yöntemine geri döner.
5. Uç noktanın MAC adresi, bir RADIUS Erişim İsteği (Access-Request) ile Cisco ISE'ye gönderilir.

RADIUS isteğinde, MAC adresi genellikle hem kullanıcı adı hem de parola olarak kullanılır ve sıklıkla şu gibi özniteliklerle etiketlenir:

MAB kimlik doğrulaması sırasında kullanılan örnek RADIUS özniteliği:

Service-Type = Call Check

Bu mimari, ağın yönetilen cihazların kimlik doğrulamasını güvenli bir şekilde yapmasını sağlarken, 802.1X olmayan cihazların da kontrollü koşullar altında bağlanmasına olanak tanır.

Cisco Catalyst 9200 ve Catalyst 9300 gibi kurumsal erişim anahtarları, aşağıdaki özellikleri destekledikleri için bu rolde yaygın olarak kullanılmaktadır:

• 802.1X kimlik doğrulaması
• MAC Kimlik Doğrulama Atlatma
• Dinamik VLAN ataması
• İndirilebilir ACL uygulama
• Ile entegrasyon Cisco resmi sitesi

Basitleştirilmiş bir anahtar yapılandırması genellikle MAB'den önce 802.1X'e öncelik verir.

802.1X'i MAB yedekleme özelliğiyle etkinleştiren örnek CLI yapılandırması:

authentication order dot1x mab
authentication priority dot1x mab
mab
dot1x pae authenticator

Bölüm 3: Cisco ISE Cihaz Profillendirme

MAB bağlantı olanağı sağlasa da, MAC adreslerine tek başına güvenilemez. Sahtekarlık yapmak kolaydır ve manuel olarak yönetmek zordur.

Statik MAC beyaz listelerine güvenmek yerine, Cisco ISE, birden fazla veri kaynağı kullanarak uç noktaları otomatik olarak tanımlayan bir cihaz profilleme motoru sağlar.

Yaygın profil oluşturma teknikleri şunlardır:

• DHCP parmak izi alma
• MAC OUI analizi
• SNMP probları
• Ağ trafiği davranış analizi

DHCP denetimi özellikle faydalıdır. Cisco ISE, aşağıdaki gibi DHCP seçeneklerini analiz edebilir:

• DHCP Seçeneği 60 (Satıcı Sınıf Tanımlayıcısı)
• DHCP Seçeneği 77 (Kullanıcı Sınıfı)

SNMP sorguları, sistem açıklamaları gibi cihaz bilgilerini de ortaya çıkarabilir.

Ağ aygıtlarından alınan örnek SNMP öznitelikleri:

sysDescr
sysObjectID

Cisco ISE, bu sinyalleri ilişkilendirerek cihazları yazıcılar, kameralar, VoIP telefonlar veya IoT uç noktaları gibi kimlik gruplarına ayırabilir.

Bölüm 4: dACL'ler ve VLAN Bölümlemesi ile Politika Uygulaması

Bir cihazı tanımladıktan sonra, Cisco ISE o cihazın erişebileceği şeylere kısıtlamalar getirmelidir.

İki yaygın mekanizma, İndirilebilir Erişim Kontrol Listeleri (dACL'ler) ve dinamik VLAN atamasıdır.

İndirilebilir ACL'ler

Yetkilendirme sırasında Cisco ISE'den anahtara dinamik olarak indirilebilir bir ACL gönderilir.

ACL, ağa tam erişim izni vermek yerine, trafiği yalnızca gerekli hizmetlerle sınırlandırır.

Yazıcının yalnızca belirli hizmetlere erişmesine izin veren örnek dACL politikası:

permit tcp any host 10.10.10.50 eq 9100
permit udp any host 10.10.10.10 eq 53
deny ip any any

En iyi uygulama, erişim anahtarlarında aşırı TCAM kullanımını önlemek için dACL politikalarını nispeten küçük tutmaktır.

Aşağıdaki tabloda basitleştirilmiş bir işletme segmentasyon örneği gösterilmektedir.

Bölüm 5: Güvenlik Riskleri ve Azaltma Stratejileri

MAB, eski cihazları desteklemek için pratik bir yol sunarken, çeşitli güvenlik endişelerini de beraberinde getiriyor.

MAC Sahtekarlığı

Saldırganlar, güvenilir cihazları taklit etmek için MAC adreslerini değiştirebilirler.

Azaltma stratejileri şunları içerir:

• Cihaz profil doğrulama
• Sıkı erişim kontrol politikaları
• Ağ segmentasyonu

Sahte Aygıt Bağlantıları

Açık anahtar portları, yetkisiz cihazların bağlanmasına izin verebilir.

Güvenlik ekipleri riski şu yollarla azaltabilir:

• Liman güvenliği
• Uç nokta izleme
• Kimlik doğrulama kaydı

Yanal Hareket

Güvenliği ihlal edilmiş IoT cihazları, dahili kaynaklara erişmeye çalışabilir.

dACL kısıtlamaları ve VLAN segmentasyonu kullanmak, saldırı yüzeyini önemli ölçüde azaltır.

Bölüm 6: Güvenli Kablolu Erişim için Dağıtım Kılavuzu

Kurumsal ağ genelinde 802.1X ve MAB'nin uygulanması dikkatli planlama gerektirir. Birçok kuruluş aşamalı bir uygulama stratejisi izler.

Aşama 1: Görünürlük ve Keşif

Uç nokta bilgilerini toplamak ve doğru profil oluşturma kuralları oluşturmak için izleme modunda kimlik doğrulama etkinleştirilmiştir.

• Cihaz türlerini belirleyin
• Kimlik doğrulama girişimlerini izleyin.
• Kimlik grupları oluşturun

Aşama 2: Kontrollü Kimlik Doğrulama

802.1X kimlik doğrulaması, yönetilen uç noktalar için zorunlu kılınırken, MAB desteklenmeyen cihazlar için kullanılabilir durumda kalır.

• Sertifika kimlik doğrulamasını doğrulayın.
• VLAN segmentasyon politikalarını onaylayın
• Yetkilendirme kurallarını test edin.

3. Aşama: Politikaların Tam Olarak Uygulanması

Politikalar istikrara kavuştuktan sonra, kuruluşlar bunların tam olarak uygulanmasını sağlayabilirler.

• Bilinmeyen cihazlar karantinaya alındı.
• Yetkisiz cihazlar engelleniyor.
• IoT cihazları kısıtlı ağ erişimine sahip oluyor.

Kurumsal erişim ağlarını yükselten kuruluşlar genellikle şu gibi tedarikçilere güvenirler: Yönlendirici-anahtar altyapıyı değiştirmek ve aşağıdaki gibi araçları kullanmak için BT-Fiyat Ağ donanımı fiyatlarını ve bulunabilirliğini karşılaştırmak için.

Bölüm 7: Sıkça Sorulan Sorular

MAC Kimlik Doğrulama Atlatma (MAB) nedir?

MAB, cihazlar 802.1X'i desteklemediğinde kullanılan yedek bir kimlik doğrulama yöntemidir. Anahtar, cihazın MAC adresini Cisco ISE'ye gönderir ve ISE, uç noktaya ağ erişimi verilip verilmeyeceğine karar verir.

MAB kurumsal ortamlar için yeterince güvenli mi?

MAC adreslerinin taklit edilebilmesi nedeniyle MAB, sertifika tabanlı kimlik doğrulamaya göre daha az güvenlidir. Bununla birlikte, cihaz profilleme, segmentasyon ve sıkı erişim politikalarıyla birleştirildiğinde, eski cihazları desteklemek için pratik bir yol sunar.

Catalyst 9200 ve 9300 switch'leri neden genellikle güvenli kablolu erişim için kullanılır?

Bu anahtarlar, 802.1X, MAB yedekleme, dinamik VLAN ataması ve indirilebilir ACL uygulama gibi gelişmiş kimlik doğrulama özelliklerini destekler. Ayrıca, kimlik tabanlı erişim kontrolü için Cisco ISE ile yakın entegrasyon sağlarlar.

IoT cihazları 802.1X olmadan güvenli hale getirilebilir mi?

Evet. Kurumsal işletmeler genellikle IoT cihazlarını MAB kimlik doğrulaması, Cisco ISE profil oluşturma, VLAN segmentasyonu ve kısıtlayıcı erişim kontrol politikalarının bir kombinasyonunu kullanarak güvence altına alırlar.