Подробности встречи с экспертами про российские VPN шлюзы

Посмотрел ток-шоу о российских VPN шлюзах и привожу основные моменты.
На встрече прозвучало мнение Кода Безопасности, Солара, МТС и TSS.

Встречу прекрасно провел Руслан Иванов.

1. Все отметили всплеск запросов на VPN более высокого класса (КВ) из-за действия регулятора

2. Число российских разработчиков аппаратных платформ увеличилось. При этом российские разработчики не очень интересуются делать специализированные устройства для VPN и NGFW

3. Пришли снова к выводу, что VPN шлюзы никогда не будут совместимы друг с другом, пока регулятор или ТК26 их не заставит. Даже для доступа к СМЭВ нужно взять три разноцветных шлюза.

4. Есть понимание что будут VPN шлюзы на новый ГОСТ 34.12 с Кузнечиком и Магмой

03:58 Отметили использование VPN у облачных провайдеров и у телекомов. Им требуется высокая производительность и надежность.

05:08 Коммерческие компании переходят на российскую криптографию, чтобы получать нужные им сервисы

11:30 Наивно полагать что Suricata и nDPI позволят "выйти на рынок NGFW"

11:55 Сложно найти высокопроизводительное оборудование и трансиверы и добиться совместимости производителей

15:01 Появились запросы на объединение ЦОД по DCI мощными каналами (часто просят 100 Гбит/с). Там важна задержка

16:49 Требования по эксплуатации криптографии ГОСТ мешают добавить в устройство какую-то другую функциональность, например, IPS или NGFW

19:24 Заказчики не понимают, что VPN это высокая нагрузка на процессоры и думают что VPN + IPS + DPI можно включить сохранив производительность из datasheet

25:12 Можно у оператора арендовать канал с ГОСТ шифрованием и не мучаться с поиском своего оборудования и сотрудников

28:20 Импортное оборудование ждать полгода, российское оборудование ждать 2 недели

31:29 Большинство заказчиков стало требовать RMA замену оборудования Next Business Day

35:25 Найденные уязвимости в VPN шлюзах нельзя сразу исправить, потому что, если поставишь патч, то ты теряешь и сертификат и аттестацию.

44:47 VPN шлюз это про ИТ инфраструктуру, а не про безопасность. Важна пропускная способность и задержки, поэтому обязательно иметь мониторинг канала, задержек и фрагментации пакетов. Стоит посмотреть на класс продуктов DEM.

49:20 Есть много ограничений в формуляре, в частности на подключение к виртуализации и разрешению на вывод за границу - смотрите в него.

50:43 VPN шлюзы имеют множество юридических и таможенных проблем с ввозом в страну и с вывозом из страны. Как по российскому законодательству, так и по местному законодательству. Сломанное оборудование вообще невозможно вернуть обратно.

56:02 Организация DCI: L2 канал на MPLS, темная оптика, растягивать L2 - боль, инкапсулировать L2 в L3 - тоже боль.

58:06 TSS: аппаратная реализация шифрования дает задержку 10 мкс и это вообще незаметно для сети. Также уже есть 100 Гбит/с оборудование.

59:55 Всегда учитывайте условия измерений: размер пакетов (маленькие пакеты снижают производительность), размер фреймов (jumbo frame могут повысить производительность)

01:04:53 Для NGFW есть методология измерения производительности у NetSecOpen и RFC 9411. Паша назвал RFC 2544, но я несогласен - это документ 1999 года, когда NGFW еще не было на рынке.

01:07:28 Важно понимать, что будет разная производительность у разных ГОСТ 34.12-2018 (Кузнечик RFC 7801 и Магма RFC 8891), 34.13 и 28147-89 ведь там разные ключи 128 и 256 бит

01:15:40 Квантовая криптография просто использует криптографические ключи большой длины, допустим 760 бит. И это упирается в производительность железа.

01:19:53 Сертификаты у VPN шлюзов: СКЗИ от ФСБ, от ФСТЭК на МСЭ А и Б, и есть еще сертификат как СОВ от ФСТЭК и СОА от ФСБ и есть новый от ФСТЭК на NGFW где еще требуется защита от НСД. Вообще почему-то забыли сертификацию по уровню доверия и по ТУ.

01:23:20 Как управлять МСЭ без сертифицированного ФСБ защищенного канала? Надо ли получать сертификат СКЗИ в ФСБ в случае работы TLS расшифрования в NGFW и WAF и балансировщиках? Балансирощик, NGFW, WAF должен быть криптошлюзом.

01:30:52 В трансиверах SFP есть маленький компьютер в самом интерфейсе и его можно сертифицировать как СКЗИ в ФСБ. Но они не входят в ТОРП Минторга и шансов туда внести - нет.

01:37:00 У одного заказчика стоит 40 VPN шлюзов в двух стойках для обслуживания широкого канала.

01:39:12 Active-Active кластера хороши только на бумаге, в реальной жизни это боль. Лучше взять высокопроизводительный Active-Passive.

01:40:24 Интересный кейс: пакет роняет криптошлюз, трафик переходит на второй и этот же пакет роняет и второй критошлюз.

01:41:24 Илья Тимофеев: несовместимость криптошлюзов - доколе?

01:55:02 Для подключения к СМЭВ нужно три разноцветных шлюза

01:57:26 Пункт управления под Linux

01:58:02 TSS управляется через любой браузер. Здесь у меня конечно вопросы про сертификацию ФСБ этого браузера и операционной системы как СКЗИ для TLS.

01:58:36 Дальше слушать страшно: распределение ключей через УЦ на Windows - что?! ) По букве закона все ключи должны локально на флешке загружаться в каждый СКЗИ - это очень неудобно. КВ требует ключевого блокнота, который нужно официальным письмом заказывать! Нет официального документа описывающего как работать с ключевой информацией.

02:06:40 Результат опроса по тому что нужно улучшать в криптошлюзах.

02:08:08 Прогноз от Павла Коростелева

02:10:30 Прогноз от Ильи Шарапова

02:13:19 Прогноз от Александра Веселова

02:16:25 Прогноз от Виталия Медведева

02:17:32 Чипы для АСУТП с криптографией и защитой приборов учета

02:19:00 Мнение зрителей об отечественных VPN (опрос)

Запись

Опросы

Изучаем подходы к ZTNA или как работает доверенный удаленный доступ компаний VK

Начну с благодарности. Сотрудники обожают работать из дома со времен COVID. Спасибо этой болезни за наш новый образ жизни. Я сам удаленку люблю со времени моей работы в IBM с 2006 года.

Какие есть риски удаленного доступа и чем защищаться

Существует готовый подход предоставления доверенного удаленного доступа своих сотрудников к корпоративной сети и для последующей обработки конфиденциальной информации: написания кода, перевода денег, создание других интеллектуальных продуктов. Его называют Zero Trust Network Access (ZTNA). Он стал развитием обычного доступа по Remote VPN. И причин расширения функциональности VPN несколько, часть я напишу ниже, не ограничивая общности.

Состояние рынка VPN шлюзов в России на апрель 2022 года

Заказчики остались без подписок и поддержки для иностранных устройств и софта компаний Fortinet, Cisco, Palo Alto Networks, Juniper, внутри которых были шлюзы VPN. Часть устройств полностью перестало работать. В связи с этим на мероприятии AM Live мы обсуждали насколько быстро можно перейти на российские VPN и удовлетворяют ли они требованиям заказчиков. 

По нашему опросу больше 55% пришедших участников искали себе новые средства удаленного доступа, включая доступ по TLS и 39% site-to-site VPN. Павел Коростелев из Кода Безопасности считает, что в настоящее время повезло тем заказчикам, у которых уже был русский VPN, в частности это государственные заказчики.

Александр Веселов из Солар подсветил, что проблема еще усугубилась тем, что проблемно перейти на русские устройства VPN из-за их подорожания в 2 раза. А у большинства заказчиков бюджеты были заложены заранее. Андрей Шпаков из S-Terra объяснил, что подорожало железо, и это связано с нарушением цепочек поставок и отсутствием новых аппаратных платформ на рынке в принципе и приходится еще и возить через третьи страны аппаратные платформы. Множество платформ сегодня делается на основе тайваньского оборудования компании Lanner и его сейчас трудно привезти.

Павел Луцик указал на то, что вдобавок к тому, что перестали работать VPN шлюзы, у работающих шлюзов были отозваны TLS сертификаты и это вызвало трудности с перевыпуском и быстрым переподключением у многих заказчиков. Сейчас по идее нужно переходить на сертификаты подписанные русским центрами сертификации, но для этого русские центры сертификации должны быть прописаны в браузеры. А это еще одна трудность и кому-то нужно договориться с производителями браузеров и с компанией Microsoft, чтобы добавить еще и в Windows корневой центр сертификации.

Павел Великов из Cross Technologies поделился, что часть производителей смогли быстро предоставить виртуальные версии VPN и заказчики смогли решить задачу удаленного подключения к офису достаточно быстро. Он видит, что часть заказчиков еще пытается держаться за иностранных поставщиков, а часть уже переходит на русские решения.

Андрей Шпаков и Павел Луцик рассказали, что все заказчики привыкли уже к VPN шлюзам в составе устройств UTM/NGFW и им приходится ставить вместо одного устройства сразу несколько решений. Также заказчики привыкли к второму фактору на базе смс в мобильные устройства а таких сертифицированных решений не существует. Сейчас приходится использовать VPN отдельно и UTM отдельно, что неудобно, поскольку часто нужно знать имя пользователя не только при аутентификации на VPN шлюзе, но и при написании правил межсетевого экранирования.

Еще одной трудностью по мнению Павла Великова является требование законодательства передавать ключи шифрования из рук в руки и это по сути вызов реальности, где люди находятся все по домам и им трудно так передавать ключи технически. В итоге из-за того, что российские производители делали устройство под требования российского законодательства, то они были ограничены и не могли в принципе реализовать некоторые необходимые фичи, такие как удобную двухфакторную аутентификацию, удобное распределение ключей, удобный API для интеграции с другими устройствами, что уже сделано иностранными производителями, которые не ориентировались на русские стандартны сертификации. При этом Павел Луцик из КриптоПро поделился тем, что их решения хорошо интегрируются с решениями класса MDM и NAC.

Павел Коростелев считает, что TLS шлюзы, которые публикуют приложения через браузер приносят много достаточно функционала ZTNA, поскольку контролируют что делать пользователь. 

Павел Коростелев считает, что сертифицировать клиент VPN по требованиям ФСТЭК и ФСБ одновременно практически нереально. И в итоге общий вывод, что сделать UTM c VPN сложно потому, что сложно сертифицировать одновременно VPN+МСЭ+СОВ. И в итоге производители вынуждены делать две ветки продуктов - для сертификации, чтобы соответствовать требованиям регуляторов и для заказчиков, которым удобство важнее, чем сертификат.

Получается, что и добавить такой функционал как compliance или допустим digital experience monitoring (DEM) тоже в сертифицированные клиенты невозможно. И это удел только несертифицированных решений.

Павел Луцик подсказал, что пока что для защиты неконфиденциальной информации можно пользоваться иностранной криптографией. Также в КИИ нет требований по использованию сертифицированной криптографии, кроме тех кто подключается к ГосСОПКА.

По схеме применения производители выделили две схемы применения для удаленного доступа: с программным клиентом и с подключением через браузер к VPN шлюзу. Павел Коростелев при этом считает, что есть три подхода, где самый правильный вариант подключения - выдать ноутбук корпоративный с VPN, второй вариант - экстремальный - поставить прямо на домашний компьютер пользователя, и еще гибридный вариант, когда выдается USB флешка с загружаемой операционкой. Клиентские приложения сегодня есть у российских производителей под Linux, MacOS, iOS, Android и Windows.

Когда мы перешли к вопросу интеграции вендора с вендором, то выяснилось, что у всех разные протоколы и стандартный IPSEC даже если и реализован, то возникают вопросы с передачей ключей шифрования. Инфотекс, например, создал свой протокол IPlir, который считает удобным для использования.

Александр Веселов поделился опытом работы со всеми производителями VPN и ситуация выглядит так, что до 10 Гбит/с у большинства производителей есть решения. Есть у некоторых аппаратные реализации, которые могут выдать до 40 Гбит/с. Сложности возникают при большом числе клиентов VPN и там приходится ставить уже несколько VPN шлюзов. Попытка поставить балансировщики упирается в поддержку ГОСТ алгоритмов. Компания Ростелеком-Солар проводит внутренние тестирования для выбора VPN шлюзов на оборудовании IXIA и стоит обратиться к ним, чтобы подобрать устройство с необходимой производительностью.

На пропускную способность VPN шлюза сегодня влияет

- размер пакета и размер транзакции

- количество новых сессий

- количество одновременных сессий

- количество правил журналирования

- количество правил фильтрации, если там есть межсетевой экран

Так много факторов, что тестирование производительности не так просто осуществить, особенно если это разные производители и разные функции реализованы у каждого.

На мой взгляд самое простое - референс, то есть пойти к компании, которая уже использует оборудование VPN и посмотреть какие устройства у него стоят и какую производительность они обеспечивают.

Все сказали, что самое трудное - это сроки сертификации. Я сам тратил на сертификацию производства TippingPoint и Proventia на каждый по 3 года и такой срок конечно уменьшает пользу - ведь пользоваться устройством трехлетней давности, лишь потому что оно сертифицированное заказчик чаще всего не хочет, да и не может, потому что за это время даже оборудование уже устаревает. И на мой взгляд это стоит обсуждать на ТК26.

И еще одна трудность была отмечена коллегами: системы управления. Удобство - это то, над чем сейчас нужно работать, чтобы заказчики были довольны.

Отзывы от слушателей по итогам мероприятия и вообще по используемым ими российским криптошлюзам выглядят вот так

Запись доступна ниже

По результатам конференции я выяснил, что в будущем производители ждут
- подорожания аппаратных платформ;
- множества запросов на виртуальные решения;
- ужесточения законодательства по использованию русского оборудования и софта;
- прихода подделок на основе opensource;
- интеграции криптошлюзов и NGFW;
- появление SD-WAN как новой фичи шлюзов.

Пилот NGFW. Какие функции проверять?

Краткий обзор функций NGFW, которые нужно проверять во время пилота.

Видео было сделано для партнеров Palo Alto Networks, чтобы показать что нужно обсудить с заказчиками, чтобы показать минимальный функционал.

Также видео подходит и заказчикам, чтобы объяснить интеграторам какой функционал нужен. )

Атаки на VPN будут продолжаться

 

Откройте любой новостной портал, например, securitylab.ru и почитайте новости: хакеры и белые и черные постоянно ищут уязвимости в VPN шлюзах и что не удивительно находят. И тут есть две проблемы:

- производители сетевого оборудования оказываются уязвимы и можно взломать компанию через VPN;

- сотрудники компаний не следят за уязвимостями своего оборудования и не обновляют прошивки, даже если уязвимость уже устранена и есть обновление.

Что нужно делать? Поступать как хакер: постоянно сканировать свои внешние адреса и искать уязвимости. Как только уязвимости найдены - сразу устранять. Нужно выделить специальную группу сотрудников для этого, или хотя бы одного человека, или, наконец, нанять внешнюю компанию. Оставлять эту проблему без внимания можно, только если вам не жалко вашу внутреннюю информацию.

Если вы сетевой администратор, то сегодня же проверьте, что версии VPN шлюза или NGFW (на котором обычно работает VPN шлюз) не содержат публично известных уязвимостей. Также начните использовать двухфакторную аутентификацию и HIP.

Очередной хитрый взлом правительств и даже компании FireEye через цепочку поставок получил название Solorigate

Атака на цепочку поставок уничтожает всю выстроенную архитектуру безопасности в компании. И от нее почти невозможно защититься. Я уже упоминал выступление Александра Матросова в прошлом году на конференции Offzone, где было хорошо расписано как схема взлома работает и предлагал способы защиты политиками Zero Trust. То есть вы вроде покупаете проверенный ноутбук или сервер или софт для компании, но где-то по пути от производителя до вашего офиса есть точка, где вам встраивают закладку. И проверять поставщиков на каждом шагу почти невозможно. И неважно из какой страны ваши ИТ продукты, даже российские поставщики уязвимы.

И сегодня многие новостные каналы будут обсуждать взлом правительственных организаций, компании по безопасности FireEye и других компаний мирового уровня. Это произошло посредством встраивания троянской программы в обновления софта Orion компании SolarWinds.  К чести компании FireEye она по сути единственная, кто смог вообще обнаружить эту закладку. Они оповестили весь мир и мы теперь с этим разбираемся. Компания Микрософт уже нарисовала картинку как это работает:

По информации самой компании SolarWinds у нее более 300000+ заказчиков и кто из них получил такую троянскую программу нам еще предстоит узнать. В рекламе на сайте SolarWinds в списке заказчиков упоминается Ciscо и Apple.

На самом деле многие компании ломают через партнеров и даже собственные удаленные офисы и конечно через удаленный доступ собственных сотрудников: вы им доверяете по умолчанию и не предполагаете, что ваш старый поставщик или ваш собственный сотрудник будет вас атаковать. Считаю, что 2021 год станет годом пересмотра доверия своим старым поставщикам, перехода к схеме доверия "доверяй, но проверяй" или Zero Trust. Вот так меняется мир.

По такой же схеме в 2017 году был взломан софт популярной бухгалтерской программы M.E.Doc, и затем все пользователи этой программы были скомпроментированы и управлялись уже хакером через управляющие сервера M.E.Doc, что было почти невозможно обнаружить. 

Посмотрите этот короткий ролик про то как правильно делать удаленный доступ к своей сети и почему важно НЕ выставлять свои приложения напрямую в Интернет.

Далее я предлагаю обсудить как контролировать поведение сети продуктами класса NTA и UEBA, поскольку без них, похоже, уже не обойтись в современном мире угроз.

Как купить NGFW и получить его через 48 часов

Существует поверье, что доставка устройств занимает 6-8 недель. И это верно. Однако иногда проект не может ждать. Поэтому в дело вступают виртуальные устройства. Виртуальный NGFW - это по сути софт. Это образ виртуальной машины, который можно скачать как файл запустить почти под любым гипервизором. Поставка софта - это по сути лицензия. После размещения заказа у производителя лицензия выписывается почти сразу. Соответственно, если проект срочный, например, вам нужен срочно новый VPN шлюз перед Новым годом или нужно прикрыть сетевой защитой новый объект, то вы можете взять любой сервер, поднять на нем VMware ESXi и запустить полноценный NGFW, в котором есть 20 функций безопасности и вы можете их включить и защитить свою сеть одним из 4 способов как на картинке. Плюс, есть у производителей готовые наборы конфигураций под VPN шлюз, под защиту периметра или ЦОД, и готовый конфиг можно сразу скачать и накатить. Установка NGFW в итоге займет еще час. Это удобно и вы можете защитить сеть любого масштаба.

Более подробно можно почитать в статье "Реальная защита виртуальных сетей"

Подборка настроек для вашего VPN с MFA и HIP

Сейчас очень много настроек связано с написанием политик для пользователей, которые подключаются удаленно. Поэтому функционал VPN внутри NGFW стал востребован, пользователи подключаются не просто к VPN шлюзу, а к устройство которое еще и умеет чистить трафик от угроз.

При настройке VPN чаще всего вопросы возникают по интеграции с MFA и по настройке HIP (он более известен администраторами обучавшимися у Cisco как Posture)

Мы сделали подборку для настроек GlobalProtect в различных конфигурациях

• GlobalProtect Overview - Общий обзор настроек.
• GlobalProtect Part I - Основные настройки для portal, external gateway и для локальной аутентификации.
• GlobalProtect Part II - Расширенные настройки для аутентификации через LDAP, RADIUS, Duo и также для internal gateway
• GlobalProtect Part III - Расширенные настройки для пользователей и привязки к ним политик безопасности на основе HIP и  включения HIP notifications.
• GlobalProtect Part IV - Настройки дополнительной аутентификации с  MFA для HTTP и не-HTTP доступа к критичным ресурсам

Как защитить домашний компьютер используя GlobalProtect

Сегодня проводили вебинар, было много вопросов по настройке и я думаю, что теперь любой, кто посмотрит это видео сможет настроить шлюз VPN на Palo Alto Networks.

Также мы опубликовали готовые схемы настройки. Смотрите в соседних постах.

• GlobalProtect Overview - Общий обзор настроек.
• GlobalProtect Part I - Основные настройки для portal, external gateway и для локальной аутентификации.
• GlobalProtect Part II - Расширенные настройки для аутентификации через LDAP, RADIUS, Duo и также для internal gateway.
• GlobalProtect Part III - Расширенные настройки для пользователей и привязки к ним политик безопасности на основе HIP и  включения HIP notifications.
• GlobalProtect Part IV - Настройки дополнительной аутентификации с MFA для HTTP и не-HTTP доступа к критичным ресурсам.

Мы поговорили о рисках подключения домашних компьютеров к сети компании. По сути любой домашний компьютер - это дыра в безопасности.

И мы поговорили о том как их минимизирует GlobalProtect, USER-ID и HIP.

Также мы обсудили Host Information Profile (HIP) и как он помогает проверить состояние компьютера. Об этом я уже рассказывал подробно ранее.

Функционал HIP требует подписки GlobalProtect, поэтому мы на время коронавируса предлагает ее бесплатно на 90 дней. Остается только ее включить и настроить проверки.

И конечно же перешли к вопросу как это настраивать и ставить.

Как ставить клиентов GlobalProtect

Важный вопросы был как клиентов распространять.

Самое простое давать сотруднику URL ссылку на портал, где ваш сотрудник авторизуется со своим логином паролем домена и скачивает клиента. Например, gp.example.ru
Второй вариант распространять через MDM на мобильники.
Третий вариант ставить из магазина Apple Store и Google Play.
Сам клиент требует при запуске сказать ему IP или FQDN адрес портала и также логин и пароль.

Конфигурация GlobalProtect шлюза

В видеоролике мы записали как это сделать, и также мы подготовили документ PDF на русском языке с описанием как настраивать.

IronSkillet и PanHandler

У компании Palo Alto Networks существует набор готовых конфигураций межсетевого экрана. И в том числе для GlobalProtect. Поэтому мы также дали ссылку на пример шаблона с командами set. Можно его использовать как есть, а можно использовать утилиту PanHandler и она сама подставит ваши адреса и настройки в шаблон.

MFA

Сегодня не рассматривали двухфаторную аутентификацию. Самое простое - это второй фактор на сертификатах, поскольку портал может выступать как SCEP клиент, запрашивать сертификат и отдавать клиенту для авторизации на шлюзе.

Prisma Access

Следующая презентация 27 марта в 12 дня будет про Prisma Access и все наши бесплатные сервисы которые мы предлагаем во время эпидемии коронавируса. РЕГИСТРАЦИЯ открыта. Эту технологию сейчас пропогандируем не только мы, но еще и Gartner. Он назвал ее SASE.

Как Host Information Profile повышает безопасность компании

Контроль защищенности рабочей среды как у удаленных пользователей, так и внутренних пользователей - постоянный процесс в любой компании.  

Три компонента защиты внешних сотрудников: MDM, VPN и контроль доступа внутри сети 

1. Для контроля удаленных сотрудников, использующих ноутбуки, смартфоны, iPad и так далее используются системы Мobile Device Management (MDM), например, VMWare AirWatch. Cистемы MDM позволяют единообразно проконтролировать установленный софт, запустить его в защищенном контейнере, установить или удалить необходимый софт, например, VPN клиент. 

2. Для внешних сотрудников стандартном стало использование клиентов VPN, которые по IPSEC или SSL создают защищенное соединение с ресурсами компании. Есть варианты и доступа по VPN через стандартный браузер HTML5 без установки клиента.

3. Для собственных и даже сторонних сотрудников стало правилом проверять защищенность перед получением доступа в сеть: обновлена ли операционная система, установлен ли нужный корпоративный софт: антивирусы, бекапы, персональные firewall и т.д. И если такой сотрудник правильно следит за обновлениями, пользуется антивирусами, бекапами, шифрованием диска, то он вносит значительную лепту в рост защищенности компании. Но, чаще всего сотрудники, не следят за безопасностью. Чтобы разделить доступ сотрудников, у которых все хорошо с настройками ноутбука, и у которых есть еще что настроить в сетях вводятся различные правила доступа. Чаще всего упоминается технология Network Access Control (NAC), когда сотрудник просто не получает доступ к нужной сети, если он не соответствует требованиям компании к безопасности своего рабочего места. И сегодня мы поговорим про похожую технологию, которая работает и на сетевом уровне и на уровне приложений: HIP.

Те, коллеги, кто уже успел настроить межсетевой экран Palo Alto Networks, знают, что в нем есть поле-критерий под названием HIP Profile. Оно применимо для любого для трафика, который идет через межсетевой экран. Это поле расшифровывается как Host Information Profile (далее сокращенно HIP)

Почему оно есть в этом NGFW и нет в других?

Пример настройки HIP Profile

Приведу пример. Допустим, мы хотим разрешить работу нужного приложения только для хостов сети с установленной Apple Mac OS X. На межсетевом экране мы создаем HIP Object, в котором включена данная проверка. 

HIP Profile это набор нужных нам HIP Object, которые мы хотим добавить в проверку. Добавим туда один объект MacOSX, который мы создали выше.

И также добавляем оповещение всем, кто не прошел данную проверку. Сообщение можно сделать на разных языках.

Добавляем этот HIP Profile в нужное правило или пишем новое правило в политике NGFW с этим критерием, как дополнительную проверку доступа к данной зоне сети или приложению. Например, пусть это будет доступ к приложениям apple-update и crashplan:

Что такое HIP Profile

Объект HIP Profile является частью политики безопасности NGFW. Данный объект ставится как квалификатор в правиле NGFW позволяет проверить устройство каждого пользователя на соответствие требованиям безопасности в вашей компании и на основании критерия соответствия безопасно разрешить доступ. 

При подключении в сеть от клиента в NGFW приходит HIP Report, который выглядит как XML файл, который создает на каждом устройстве установленный агент GlobalProtect. Часть информации агент получает локально, часть от внешних источников, например, от DNS или WSUS (Windows Software Update Server) об отсутствии патчей Windows. Если сотрудник внутри сети компании, то IPSEC или SSL туннель уже не нужно устанавливать и HIP Report передается по внутренней сети. Часто проверку HIP ассоциируют с NAC, но NAC этот все-таки сетевой уровень доступа по зонам сети и портам, а HIP - это доступ еще и к приложениям сети, понятии, которое есть только в NGFW. В правилах межсетевого экрана нового поколения вы используете больше критериев в правилах. Если хост соответствует одному или нескольким критериям, то правило не пускает хост или пускает с минимальными правами. Вы можете создать несколько правил для одного и того же хоста, где каждое правило даст разные уровни доступа в зависимости от состояния защиты на хосте. 

GlobalProtect Agent - источник  HIP

Вот так выглядит информация о хосте, которую собрал GlobalProtect агент. Соответственно, этому хосту будет предоставлен доступ согласно правилу безопасности выше: это Mac OS X.

GlobalProtect агент устанавливается на ноутбуки, мобильные устройства, хосты компании чаще всего как VPN клиент, который подключается к VPN шлюзу по IPSEC или SSL. GlobalProtect - это бесплатная программа доступная в AppleStore или Google Play Market. Вы можете сгенерировать и свою версию клиента, например, с уже встроенным сертификатом для доступа в сеть компании.

GlobalProtect внутри сети для работы USER-ID

И еще одна задача клиента Global Protect - работать как USER-ID агент, то есть он рассказывает межсетевому экрану какой пользователь работает сейчас на данном хосте и также присылает HIP при подключении и периодически, чтобы проверить что ничего в состоянии безопасности не изменилось.

Итог

Поскольку мы не просто даем доступ к приложению, а даем доступ с безопасно настроенного компьютера, то это уменьшает возможности для злоумышленника использовать ноутбуки и мобильные устройства, которые находятся вне сети компании как хост для прыжка внутрь вашей сети. Вы гарантируете, что в вашу сеть попадают только мобильные сотрудники, у которых есть, настроена и правильно функционирует хостовая защита. Также HIP работает и внутри сети, дополняя другие технологии защиты.

Существует постоянная угроза, что сотрудник отключит какое-то обновление. Существуют также компьютеры в сети, которые в питание не включали полгода. И когда такие компьютеры включаются в сеть, то естественно открыты для всех угроз, которые накопились с момента последнего обновления. Чтобы предотвратить вход в сеть хостов, которые не содержат ваших требований по безопасности, вы можете заставить людей сначала провести обновление, и лишь потом дать доступ в сеть.

Например, ниже проверка, что на рабочей станции установлен антивирус Касперского, и у него базы были обновлены минимум день назад и сканирование производилось минимум день назад.  Включите эти проверки и переведите защищенность сети на новый уровень.

Краткая демонстрация настройки и работы HIP