تكوين Duo ونقطة النهاية الآمنة للاستجابة للتهديدات

المقدمة

يوضح هذا المستند كيفية دمج نقاط النهاية الثنائية الموثوقة مع Cisco Secure EndPoint.

معلومات أساسية

يسمح التكامل بين Cisco Secure EndPoint و Duo بالتعاون الفعال في الاستجابة للتهديدات التي تم الكشف عنها على أجهزة الشبكة الموثوق بها. ويتم تحقيق هذا الدمج من خلال أدوات متعددة لإدارة الأجهزة التي تحدد الموثوقية التامة لكل جهاز. وتتضمن بعض هذه الأدوات ما يلي:

• خدمات مجال خدمة Active Directory
• خدمة Active Directory مع حماية الجهاز
• عام مع صحة الجهاز
• Intune مع صحة الجهاز
• JAMF Pro مع حماية الجهاز
• مجموعة إدارة LANDESK
• Mac OS X أداة إدارة أصول المؤسسة
• دليل مع حماية الجهاز
• أداة Windows Enterprise Asset Management
• مساحة العمل الأولى مع حماية الجهاز

بمجرد دمج الأجهزة باستخدام أداة إدارة الأجهزة، من الممكن دمج Cisco Secure EndPoint و Duo بواسطة API في Administration Panel. وبعد ذلك، يجب تكوين السياسة المناسبة بشكل ثنائي لتنفيذ عملية التحقق من الأجهزة الموثوق بها واكتشاف الأجهزة التي قد تتعرض للتلف والتي يمكن أن تؤثر على التطبيقات المحمية بواسطة Duo.

ملاحظة: في هذه الحالة، نعمل مع Active Directory و Device Health.

المتطلبات الأساسية

• خدمة Active Directory لإجراء التكامل.
• لدمج Duo مع نقاط النهاية الموثوق بها، يجب تسجيل أجهزتك في مجال Active Directory. وهذا يسمح ل Duo بمصادقة الوصول إلى موارد الشبكة وخدماتها وتخويله بشكل آمن.
• الثنائي خارج الخطة.

حالة التكوين والاستخدام

تكوين التكامل في الثنائي

تسجيل الدخول إلى Admin Panel انتقل إلى:

• Trusted EndPoints > Add Integration
• تحديد Active Directory Domain Services

بعد ذلك، تتم إعادة توجيهك لتكوين Active Directory and Device Health.

خذ بعين الإعتبار أن هذا يعمل فقط مع الآلات في المجال.

انتقل إلى خدمة Active Directory وقم بتشغيل الأمر التالي في PowerShell:

(Get-ADDomain | Format-Table -Property DomainSID -HideTableHeaders | Out-String).Trim() | clip

بعد ذلك، تأكد من أنك قمت بنسخ معرف الأمان الخاص ب Active Directory إلى الحافظة.

مثال 

S-1-5-21-2952046551-2792955545-1855548404

يستخدم هذا في Active Directory ودمج صحة الجهاز.

انقر Save وتمكين التكامل Activate for all.  وإلا، فلن يمكنك التكامل مع Cisco Secure EndPoint.

الانتقال إلى Trusted EndPoints > Select Endpoint Detection & Response System > Add this integration.

الآن أنت في الصفحة الرئيسية من التكامل ل Cisco Secure EndPoint.

بعد ذلك، انتقل إلى Admin Panel من Cisco Secure EndPoint.

تكوين التكامل في Cisco Secure EndPoint

• https://console.eu.amp.cisco.com/ تسجيل الدخول إلى وحدة تحكم Emear
• https://console.amp.cisco.com/ تسجيل الدخول إلى وحدة تحكم AMER

انتقل إلى Accounts > API Credentials وحدد New API Credentials.

ملاحظة: فقط Read-only مطلوب لتحقيق هذا التكامل لأن Duo يقوم GET لاستعلامات إلى Cisco Secure EndPoint لمعرفة ما إذا كان الجهاز يفي بمتطلبات السياسة.

إدراج Application Name، Scope, و Create.

• انسخ 3rd API Party Client ID من Cisco Secure EndPoint إلى الثنائي Admin Panel في Client ID.
• انسخ API Key من Cisco Secure EndPoint إلى الثنائي Admin Panel في API Key.

اختبر التكامل، وإذا كان كل شيء يعمل بشكل جيد، انقر فوق Save لحفظ التكامل.

تكوين السياسات في Duo

لتكوين سياسات التكامل الخاصة بك، يتم المرور عبر التطبيق الخاص بك:

Navigate to Application > Search for your Application > Select your policy

تكوين النهج لاكتشاف جهاز موثوق به

إختبار الأجهزة الموثوق بها

جهاز به "صحة الجهاز الثنائي" وانضم إلى المجال

جهاز خارج المجال بدون "صحة الجهاز الثنائي"

جهاز خارج المجال مع صحة الجهاز الثنائي

تكوين نهج Cisco Secure EndPoint

في إعداد النهج هذا، قم بتكوين الجهاز الموثوق به بالفعل لتلبية متطلبات التهديدات التي يمكن أن تؤثر على التطبيق، وذلك إذا تعرض أحد الأجهزة للإصابة، أو إذا تم وضع علامة على ذلك الجهاز من خلال بعض السلوكيات suspicious artifacts  أو Indicators of Compromise، يمكنك حظر وصول الجهاز إلى التطبيقات المؤمنة.

إختبار الأجهزة الموثوق بها باستخدام Cisco Secure EndPoint

جهاز بدون تثبيت Cisco Secure Agent

في هذه الحالة، يمكن أن تمر الآلة دون التحقق من AMP.

إذا أردت أن يكون لديك نهج تقييدي، يمكنك إعداد النهج ليكون أكثر تقييدا إذا قمت بتعديل Device Health Application نهج من Reporting               إلى Enforcing.

وأضف Block Access if an EndPoint Security Agent is not running.

كمبيوتر دون عدوى

باستخدام جهاز، دون إصابة، يمكنك إختبار كيفية عمل Duo مع Cisco Secure EndPoint لتبادل المعلومات حول حالة الجهاز وكيفية عرض الأحداث في هذه الحالة في Duo و Cisco Secure EndPoint.

إذا قمت بالتحقق من حالة الجهاز الخاص بك في Cisco Secure EndPoint:

Navigate to Management > Computers.

عندما تقوم بالتصفية للجهاز، يمكنك مشاهدة حدث ذلك، وفي هذه الحالة، يمكنك تحديد أن الجهاز نظيف.

يمكنك ملاحظة عدم اكتشاف الجهاز، وهو أيضا في حالة "نظيف"، مما يعني أن الجهاز ليس في حالة فرز للحضور.

هذه هي الطريقة التي يصنف بها Duo هذه الآلة:

يحافظ الجهاز على trusted تسمية.

ماذا يحدث إذا أصيبت نفس الآلة بفيروس Malicious Actor، أو لديها محاولات متكررة للإصابة، أو Indicators of Compromise تنبيهات حول هذا الجهاز؟

حاسوب مصاب بالعدوى

لمحاولة إستخدام مثال على EICAR لاختبار الميزة، يمكنك الوصول إلى https://www.eicar.org/، وتنزيل عينة ضارة.

ملاحظة: لا تقلق. يمكنك تنزيل إختبار EICAR هذا، إنه آمن، وهو فقط ملف إختبار.

قم بالتمرير لأسفل وانتقل إلى القسم وقم بتنزيل ملف الاختبار.

تقوم Cisco Secure EndPoint باكتشاف البرامج الضارة ونقلها إلى العزل.

هذه هي الطريقة التي تتغير بها، كما هو موضح في لوحة إدارة Cisco Secure EndPoint.

لديك أيضا اكتشاف البرامج الضارة في الجهاز، ولكن هذا يعني أنه يتم إعتبار نقاط النهاية ليتم تحليلها أسفل فرز Cisco Secure EndPoint على Inbox.

ملاحظة: لإرسال نقطة نهاية إلى الفرز، يلزم أن يكون لديه عدة اكتشافات للنتائج أو سلوك غريب يقوم بتنشيط بعض Indicators of Compromise في نقطة النهاية.

تحت Dashboard، انقر في Inbox.

الآن لديك آلة تتطلب الانتباه.

الآن، انتقل إلى Duo وانظر ما هي الحالة.

يتم تجربة المصادقة أولا للاطلاع على السلوك بعد وضع الجهاز على نقطة النهاية الآمنة من Cisco الموجودة أسفل Require Attention.

هذه هي الطريقة التي تتغير بها في Duo وكيف يتم عرض الحدث ضمن أحداث المصادقة.

تم اكتشاف أن الجهاز ليس جهاز أمان لمؤسستك.

السماح بالوصول إلى الجهاز بعد المراجعة

بعد التحقق من الصحة بموجب Cisco Secure EndPoint ومن قبل متخصص أمان الإنترنت لديك، يمكنك السماح بالوصول إلى هذا الجهاز إلى تطبيقك في Duo.

والسؤال الآن هو كيفية السماح بالوصول مرة أخرى إلى التطبيق المحمي بواسطة Duo.

أنت تحتاج أن يذهب تحت cisco يأمن نقطة نهاية وفي Inboxوضع علامة على هذا الجهاز resolved للسماح بالوصول إلى التطبيق المحمي من قبل Duo.

بعد ذلك، ليس لديك الجهاز بالحالة attention required. تغير هذا إلى resolved الحالة.

بعد بضع كلمات، أصبحت الآن مستعدا لاختبار إمكانية الوصول إلى تطبيقنا التي تتم حمايتها بواسطة Duo مرة أخرى.

الآن لديك الإذن لإرسال الدفع إلى Duo، ويتم تسجيل دخولك إلى التطبيق.

سير عمل الفرز