PracticU

זיהוי משתמשים
identity awareness
חלק 2

בלי כתוביותעם כתוביות
PracticU › קורס צ'ק פוינט - Check Point Gaia R81 › זיהוי משתמשים identity awareness חלק 2
מילון מושגים:
RDP - פרוטוקול של מיקרוסופט לחיבור לשולחן עבודה מרוחק של מחשב Windows והפעלתו מרחוק.
תת-רשת - חלוקה של רשת גדולה לרשתות משנה קטנות יותר, לשם ארגון, ביצועים ואבטחה.
לוג - רישום מתועד של אירועים ופעולות שמתרחשים במערכת או בתוכנה, המשמש למעקב ולאיתור תקלות.
Kerberos - פרוטוקול אימות המבוסס על כרטיסים (tickets), המשמש ברשתות Active Directory לאימות מאובטח של משתמשים ושירותים.
TCP - פרוטוקול תקשורת אמין שמוודא שכל חבילות המידע מגיעות ליעד בשלמות ובסדר הנכון.
LDAP - פרוטוקול לגישה ולשאילתה של שירותי מדריך כמו Active Directory, לאיתור וניהול משתמשים ומשאבים.
שער - התקן או נקודה שמחברים בין רשתות ומעבירים דרכם תעבורה החוצה, למשל שער ברירת המחדל ליציאה לאינטרנט.
חומת אש - מערכת שמסננת תעבורת רשת לפי כללים, ומתירה או חוסמת חיבורים כדי להגן על מחשב או רשת.
זיהוי משתמשים identity awareness חלק 2
בחלק הזה מנצלים את Identity Awareness כדי לאפשר RDP רק למשתמש מסוים, באמצעות access role וחוק לפי משתמשים.
השלבים העיקריים
1. יצירת access role: יוצרים אותו בשם users-rdp-to-srv. במקום להגביל רק לפי subnet או IP כמו vm1, בוחרים Specific User or Group. מסירים OUs וקבוצות, ומשאירים רק את המשתמש lab1.
2. פתיחת הפורטים הנדרשים: מסתכלים בלוג רק על מה שנחסם, בלי accept, ומוסיפים מה שחסר, כמו Kerberos (TCP) ו-LDAP. אפשר גם לקרוא SK של Check Point שמסביר מה לפתוח.
3. החוק: המקור הוא ה-access role, היעד הוא השרת והשירות הוא RDP (3389). אפשר להוסיף גם IP ספציפי של vm1.
4. install: ה-policy הותקן, אף על פי שהחוק שנשאר עם none היה אמור להיכשל. אחרי תיקון ההגדרה הוא אכן לא עובר.
5. בדיקה: מ-vm1 עושים RDP כמשתמש אחר (shift + קליק ימני, run as different user) כ-lab/lab1. בלוג אין זיהוי, ולכן צריך להגדיר Identity Awareness גם במכונת הניהול, שהיא גם gateway.
6. הרשאות RDP בשרת: הכניסה נחסמת עד שמוסיפים את lab1 לרשימת המורשים ל-Remote Desktop, וזו בעיית הרשאות של השרת ולא של ה-firewall.
7. תוצאה: בלוג רואים lab1 כ-source user, החוק החדש ו-3389 מול השרת.
אחרי השיעור אפשר לכתוב חוק firewall שמתיר שירות רק למשתמש מזוהה ולוודא בלוג שהוא עובד.
השיעור הבא בקורס: הסבר על HTTPS צ'ק פוינט

פרקי ההרצאה: זיהוי משתמשים identity awareness חלק 2

  1. 00:00

    יצירת Access Role ליוזר

  2. 00:42

    זיהוי הפורטים הנחסמים

  3. 01:21

    ניתוח כשל הפוליסי

  4. 02:01

    הוספת חוק לפי משתמש

  5. 02:43

    בדיקה עם Run As

  6. 03:19

    הפעלת Identity Logging

תמלול ההרצאה: זיהוי משתמשים identity awareness חלק 2

הטקסט המלא של הדקות הראשונות בהרצאה «זיהוי משתמשים identity awareness חלק 2» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

  1. 00:03

    אני רוצה עכשיו במקום שפה יהיה vm1 אני רוצה שיוזר מאוד ספציפי יוכל לעשות rdp אז אני יוצר בשביל זה access role וה access role אני אומר לו נגיד users rdp to srv אני יכול להגביל את החוק כמו בשיטה הישנה מאיזשהו subnet או אפילו מאיזשהו IP כמו vm1 אני יכול להגיד לו any וכרגע אני אומר לו Specific User or Group, תכף נראה פה יוזרים,

  2. 00:37

    לא מוצא. אז אני רואה פה קרברוס, קופי סל טו קליבורד, איפה החוק הזה? פלוס, קונטרול וי, אני מסמן אותו פלוס, הוספתי את הפורט הזה, אז אני אומר לו, תראה לי מה עוד נחסם חוץ מקרברוס, אז יש לנו גם קרברוס TCP,

  3. 00:54

    קופי סל, אני מוסיף גם אותו. יש האופציה גם לקרוא איזשהו SK של צ'קפוינט, שמסביר מה לפתוח, כרגע אני רואה שהכל תקין, אני יכול להגיד לו אל תראה לי את האקספטים, אני רוצה רק לראות מה נחסם כדי לדעת אם להוסיף עוד, אז יש לנו פה ICMP LWDP בוא נוסיף, אני מאמין ששמתי אולי איזה פנייה מלפני 1839

  4. 01:21

    זה מלפני, אוקיי אז אפשר לנסות, זה רמז לשינויים שעשינו, הפוליסי סיים באופן מוזר אגב, היה אמור להיכשל אין פה שום התראה זר שהוא סיים כי אנחנו פה על none היה אמור להיכשל אני יכול להתעכב על זה רגע לראות מה ההגדרה הנה rules with none will generate warning אנחנו אמורים לעשות ככה אבל גם לא ראינו warning עכשיו זה כבר

  5. 01:51

    לא יעבור install עכשיו בוא ננסה להוסיף את האקססרות שלנו access wall חוק לפי זיהוי משתמשים אמרנו Users/RDP/2SRV רק מי שמורשה יוכל לעשות ה-RDP הזה עכשיו אנחנו כבר רואים משתמשים אני מעיף את ה-OUים ואת הקבוצות אני רוצה רק Lab אחד אני יכול כמו שאמרנו קודם להגביל אותו גם ל-IP הספציפי של VM-One אבל כרגע רק Lab אחד יוכל

  6. 02:24

    לעשות ה-RDP יוזר אחר לא יוכל לעשות אז קודם כל ננסה install lab1-user rdp-to-srv אז בוא ננסה אני הולך ל-vm-1 שלי אז אני יכול פשוט לעשות לוגוף או שאני יכול לנסות עם run as run as different user genיב-lab/lab1 בוא נראה אם זה יעבוד לנו בוא נראה אם אנחנו רואים פה lab1 וכבר סיימנו עם זה אני עכשיו הולך על tcp

  7. 03:05

    3389 שזה ה-RDP שלנו ואיפה היוזר שלנו אין פה זיהוי אוקיי אין זיהוי זאת אומרת שצריך לעשות את אותו תהליך גם על MNG2 כאילו על המכונת ניהול אידנטיטי לוגינג כבר הדומיין קיים הוא מזהה אותו כבר יש לנו חוק

לקורס המלא: קורס צ'ק פוינט – Check Point

ההרצאה הקודמת: זיהוי משתמשים - identity awareness - חלק 1

ההרצאה הבאה: הסבר על HTTPS - צ'ק פוינט

הרצאות קשורות מקורסים אחרים

  • Identity
  • משתמשים מקומיים - חלק 1
  • יצירת משתמשים ב-AD
  • ניהול משתמשים בענן

קורסים נוספים במסלול

  • קורס CCNA - הסמכה בינלאומית של סיסקו - מבחן 200-301
  • קורס CCNP
  • קורס פורטיגייט - FortiGate