זיהוי משתמשים
identity awareness
חלק 1

בלי כתוביותעם כתוביות

מילון מושגים:

חומת אש - מערכת שמסננת תעבורת רשת לפי כללים, ומתירה או חוסמת חיבורים כדי להגן על מחשב או רשת.

דומיין קונטרולר - שרת בדומיין של Active Directory שמאמת משתמשים ואוכף מדיניות והרשאות ברשת הארגונית.

שער - התקן או נקודה שמחברים בין רשתות ומעבירים דרכם תעבורה החוצה, למשל שער ברירת המחדל ליציאה לאינטרנט.

ראוט - הגדרה שמקשרת כתובת בקשה לקוד שמטפל בה באפליקציה. גם מסלול שדרכו עוברות חבילות ברשת.

Ping - פקודה שבודקת אם מכשיר ברשת מגיב ומודדת את זמן התגובה אליו.

LDAP - פרוטוקול לגישה ולשאילתה של שירותי מדריך כמו Active Directory, לאיתור וניהול משתמשים ומשאבים.

UDP - פרוטוקול תקשורת מהיר ללא אישור קבלה, המתאים לשידורי וידאו, קול ומשחקים שבהם מהירות חשובה מאמינות.

Kerberos - פרוטוקול אימות המבוסס על כרטיסים (tickets), המשמש ברשתות Active Directory לאימות מאובטח של משתמשים ושירותים.

זיהוי משתמשים identity awareness חלק 1

Identity Awareness נותן ל-firewall לזהות משתמשים לפי חשבון Active Directory, ולא רק לפי כתובת IP. כך חוקים ולוגים עוקבים אחרי האדם גם כשהוא עובר בין עמדות.

למה זה שימושי

1. החוק תופס בכל עמדה שהמשתמש מתיישב בה.

2. הלוגים מראים את המשתמש ולא רק את ה-IP.

3. אפשר לקבוע חוקים לפי קבוצות, למשל מי מורשה ליוטיוב או לפייסבוק.

שיטות הזיהוי

1. AD Query: הנפוצה והקלאסית. המשתמש עושה login לדומיין, וה-firewall שואל את ה-domain controller מי התחבר ולאיזה מחשב. ב-logoff הרשומה נמחקת גם ב-firewall. המשתמש לא יודע שהוא מזוהה.

2. דפדפן: המשתמש פותח את כתובת ה-firewall ומזין שם וסיסמה. מסורבל ופחות נפוץ.

3. Agent: מותקן על שרתי terminal שמשרתים הרבה משתמשים.

הגדרה

1. משתמש ייעודי: מחברים את ה-firewall לדומיין עם משתמש בעל הרשאות. במעבדה זה Administrator, אך מומלץ משתמש ייעודי שהסיסמה שלו לא משתנה, ועדיף אחד לכל firewall.

2. DNS: גם במנג'מנט וגם ב-gateway ה-DNS צריך להצביע על ה-domain controller, כדי שהדומיין ייענה.

3. ניתוב וחוק: בלי ניתוב ל-domain controller אין חיבור, ולכן מוסיפים route מהתחנה. לפני הוספת ה-blade מוסיפים חוק שמתיר ל-gateway, למנג'מנט ולתחנה לגשת לשרת הדומיין. בודקים בלוג מה נחסם: ping, DNS, LDAP (389 ו-UDP) ו-Kerberos, ובהמשך LDAP-S (636).

4. ה-blade: ב-gateway מפעילים את Identity Awareness עם AD Query, ומזינים שם דומיין, משתמש וסיסמה. המנגנון יוצר LDAP Account Unit. אפשר להוסיף עוד שרתי דומיין, ולשנות את הסיסמה או המשתמש מאותו מקום.

5. Remote Access: מסמנים תמיכה בחיבור משתמשים מרחוק.

שימו לב

- ללא רשומת host ה-firewall לא מכיר את שם השרת. אפשר לפתור זאת עם רשומת host.

- ב-LDAP-S, אם החותמת של השרת מתחלפת, צריך לעשות fetch.

- הלוג מציג חוק 0 של Implied Rule (accept outgoing packets from gateway): חוק שלא מופיע ב-policy אלא ב-global properties, והוא מתיר את פניות ה-firewall עצמו לפני החוק האחרון.

אחרי השיעור אפשר לחבר firewall לדומיין ולהכין את הניתוב והחוקים שזיהוי משתמשים דורש.

השיעור הבא בקורס: זיהוי משתמשים identity awareness חלק 2

פרקי ההרצאה: זיהוי משתמשים identity awareness חלק 1

תמלול ההרצאה: זיהוי משתמשים identity awareness חלק 1

הטקסט המלא של הדקות הראשונות בהרצאה «זיהוי משתמשים identity awareness חלק 1» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

00:02
זיהוי משתמשי Identity Awareness המטרה היא שהfirewall יוכל לזהות את המשתמשים לפי היוזר שלהם לפי השיוך בדומיין קונטרולר באקטיב דירקטורי לא רק לפי כתובת ה-IP למה זה טוב כי אנשים מחליפים עמדות עוברים ממקום למקום ואנחנו רוצים שהחוק יתפוס בכל מצב ערך המוסף שגם מאוד משמעותי זה שגם הלוגים יהיו לפי יוזרים זאת אומרת אם
00:32
אם זה עמדה שמתחלפים באנשים אז יוזר מסוים מתיישב אנחנו רואים לוגים לא רק על האיי-פי אלא גם על היוזר שלו אנחנו יכולים לקבוע חוקים לפי קבוצות של משתמשים אפשר להגדיר מי מורשה ליוטיוב מי מרשה פייסבוק אנחנו נגדיר את זה ברמת הפיירוול והוא יזהה את היוזר איך הוא עושה את זה אנחנו מוסיפים בהגדרות של הסמארט קונסול מוסיפים לו את הדומיין קונטרולר מחברים אותו לדומיין עם
01:01
יוזר וסיסמה עם הרשאות. במעבדה הזאת נשתמש באדמיניסטרטור אבל מומלץ להקים יוזר ייעודי שלא משנים לו את הסיסמה והוא רק לפיירוול הספציפי. אם יש כמה פיירוול מניסיון עדיף שלכל פיירוול יהיה את היוזר משלו.
01:16
בואו נראה איך עושים את זה. אנחנו נוסיף בלייד שנקרא identity awareness. נחבר את השרת. נוסיף תמיכה בחיבור מרחוק לפי משתמשים.
01:27
שכחתי להוסיף פה. הוספת חוק. לפי משתמשים בבדיקה בוא נוסיף את זה ויאללה לעבודה אז יש לנו סמארט קונסול אנחנו הולכים לאובייקט של הגטווי כאן אובייקט הוא קלאסטר מהמעבדה של הקלאסטרים אני מוסיף פה identity awareness יש לנו ad query יש אפשרות לזיהוי משתמשים בדפדפן זאת אומרת פותחים דפדפן ניגשים לurl
01:56
של הfirewall שמים יוזר וסיסמה מסורבל מאוד פחות פופולרי יש אפשרות להתקין איזשהו agent על שרתי טרמינל כי זה אותו טרמינל משמש הרבה יוזרים הפונקציה הכי קלאסית זה ad query היוזר לא יודע שהוא הזדעג מול הפיירוול הוא עושה לוגין לדומיין ובזמן שהוא עשה לוגין לדומיין פיירוול מתשאל את הדיסי איזה יוזר עשה לוגין ברגע שהיוזר הזה עושה לוגוף זה נמחק ממנו
02:28
הרשומה הזאת נמחקת ממנו ואז הפיירוול מוחק אותה גם. ויוזר אחר מתיישב על המחשב אז הוא רושם רשומה וככה הפיירוול יודע איזה יוזר עובד על כל מחשב.
02:39
כל זה מתבצע מאחורי הקלעים. אני אוסיף פה את הדומיין קונטרולר שלי, יניב לאב לוקאל, אדמיניסטרטור, מה שאמרתי, עדיף יוזר לכל פיירוול, יוזר ייעודי ל-identity awareness.
02:53
בכדי שזה יעבוד, ה-DNS שלנו גם במנג'מנט וגם בגייטוויי צריכים להיות השארת דומיין קונטרולר שאותו אנחנו מתשאלים.
03:02
זה הבסיס שהיניב לאב לוקאל הזה יענה לנו אם נפנה לגוגל די.אן.אס הוא לא מכיר את יניב לאב לוקאל אז זה הדומיין קונטרולר שלנו תכף נראה אם זה לא עובד נוודא שזה מה שמוגדר סמארט