이 주제에서는 사용자 ID 및 사용자 제어와 관련해 자주 사용하는 용어를 설명합니다.

사용자 인식

ID 소스( 또는 TS 에이전트 등)를 이용해 네트워크 상의 사용자를 식별합니다. 사용자 인식을 이용하면 신뢰할 수 있는(Active Directory 등) 소스와 신뢰할 수 없는(애플리케이션 기반) 소스의 사용자를 모두 식별할 수 있습니다. Active Directory를 ID 소스로 사용하려면 영역과 디렉터리를 설정해야 합니다. 자세한 내용은 사용자 ID 소스 정보를 참고하십시오.

사용자 제어

액세스 컨트롤 정책과 연결한 ID 정책을 설정합니다. (이후 ID 정책은 액세스 컨트롤 하위 정책으로 참조됩니다.) ID 정책은 ID 소스를 지정하면, 경우에 따라 해당 소스에 속하는 사용자와 그룹도 지정합니다.

ID 정책을 액세스 컨트롤 정책과 연결하면, 네트워크 트래픽에서의 사용자나 사용자 활동 모니터링, 신뢰, 차단 또는 허용 여부를 결정하게 됩니다. 자세한 내용은 액세스 제어 정책를 참고하십시오.

권한 있는 ID 소스

사용자 로그인(예: Active Directory)을 검증한 신뢰할 수 있는 서버입니다. 권한 있는 로그인에서 가져온 데이터를 사용하여 사용자 인식 및 사용자 제어를 수행할 수 있습니다. 권한 있는 사용자 로그인은 수동 및 활성 인증에서 가져옵니다.

• 패시브 인증은 외부 소스를 통해 사용자를 인증할 때 수행됩니다. ISE/ISE-PIC 및 TS 에이전트는 Firepower System에서 지원하는 패시브 인증 방법입니다.

• 액티브 인증은 사전 구성된 매니지드 디바이스를 통해 사용자를 인증할 때 수행됩니다. 캡티브 포털(captive portal) 및 원격 액세스 VPN은 Firepower System에서 지원하는 액티브 인증 방법입니다.

권한 없는 ID 소스

사용자 로그인이 검증된 알 수 없거나 신뢰할 수 없는 서버입니다. 트래픽 기반 탐지는 Firepower System에서 지원하는 유일한 권한 없는 ID 소스입니다. 권한 없는 로그인에서 가져온 데이터를 사용하여 사용자 인식을 수행할 수 있습니다.

다음 표에는 시스템에서 지원되는 사용자 ID 소스에 대한 간략한 개요가 나와 있습니다. 각 ID 소스는 사용자 인식을 위한 사용자의 저장소를 제공합니다. 이러한 사용자는 ID 및 액세스 컨트롤 정책으로 제어할 수 있습니다.

구축할 ID 소스를 선택할 경우 다음 사항을 고려하십시오.

• 비 LDAP 사용자 로그인에는 트래픽 기반 탐지를 사용해야 합니다.

• 트래픽 기반 탐지 또는 캡티브 포털(captive portal)을 사용하여 실패한 로그인 또는 인증 활동을 기록해야 합니다. 실패한 로그인 또는 인증 시도는 데이터베이스의 사용자 목록에 새 사용자를 추가하지 않습니다.

• 캡티브 포털 ID 소스는 라우팅 인터페이스를 이용하는 매니지드 디바이스를 요구합니다. 캡티브 포털은 인라인(탭 모드라고도 함) 인터페이스로는 사용할 수 없습니다.

이러한 ID 소스의 데이터는 Secure Firewall Management Center의 사용자 데이터베이스 및 사용자 활동 데이터베이스에 저장됩니다. 새로운 사용자 데이터를 데이터베이스에 자동으로 정기적으로 다운로드하도록 management center-서버의 사용자 다운로드를 구성할 수 있습니다.

원하는 ID 소스를 이용해 ID 규칙을 설정한 후에는, 각 규칙을 액세스 컨트롤 정책에 연결하고 정책이 효력을 발휘할 매니지드 디바이스에 해당 정책을 구측합니다. 액세스 컨트롤 정책과 구축에 관한 자세한 내용은 액세스 제어에 다른 정책 연결 섹션을 참조하십시오.

사용자 ID에 대한 일반 정보는 사용자 ID 정보의 내용을 참조하십시오.

시스템이 사용자 로그인, ID 소스로부터 사용자 데이터를 탐지하면 해당 로그인의 사용자는 management center 사용자 데이터베이스의 사용자 목록과 비교하여 확인됩니다. 로그인 사용자가 기존 사용자와 일치하면 로그인의 데이터가 사용자에게 할당됩니다. 로그인이 기존 사용자와 일치하지 않으면 SMTP 트래픽의 로그인이 아닌 경우 새 사용자가 생성됩니다. SMTP 트래픽의 일치하지 않는 로그인은 삭제됩니다.

사용자가 속하는 그룹은 management center가 사용자를 확인하고 사용자와 연결됩니다.

다음 다이어그램은 시스템이 사용자 데이터를 수집 및 저장하는 방법을 보여줍니다.

Secure Firewall Management Center의 사용자 활동 데이터베이스에는 구성된 모든 ID 소스에서 탐지하거나 보고하는 네트워크의 사용자 활동 기록이 포함됩니다. 시스템에서는 다음과 같은 상황에서 이벤트를 기록합니다.

• 개별 로그인 또는 로그오프를 탐지한 경우

• 새 사용자를 탐지한 경우

• 시스템 관리자가 사용자를 수동으로 삭제하는 경우

• 데이터베이스에 없는 사용자를 탐지했으나 사용자 제한에 도달하여 사용자를 추가할 수 없는 경우

• 사용자와 관련된 침해 지표를 해결하거나, 사용자에 대한 침해 규칙 침해 지표를 활성화 또는 비활성화하는 경우

참고	TS 에이전트가 동일한 사용자를 다른 패시브 인증 ID 소스(ISE/ISE-PIC 등)로 모니터링할 경우, management center는 TS 에이전트 데이터에 우선순위를 둡니다. TS 에이전트 및 다른 패시브 소스가 동일한 IP 주소에서 동일한 활동을 보고할 경우, TS 에이전트 데이터만 management center에 로깅됩니다.

시스템이 탐지한 사용자 활동은 Secure Firewall Management Center로 확인할 수 있습니다. (Analysis(분석) > Users(사용자) > User Activity(사용자의 활동).)

Secure Firewall Management Center의 사용자 데이터베이스에는 구성된 모든 ID 소스에서 탐지하거나 보고한 기록이 포함됩니다. 사용자 제어에 대한 신뢰할 수 있는 소스에서 얻은 데이터를 사용할 수 있습니다.

지원되는 신뢰할 수 있거나 신뢰할 수 없는 ID 소스에 대한 자세한 내용은 사용자 ID 소스 정보 섹션을 참조하십시오.

Microsoft Active Directory에 대한 사용자 제한에서도 설명하지만, Secure Firewall Management Center가 저장할 수 있는 총 사용자 수는 Secure Firewall Management Center 모델에 따라 다릅니다. 사용자 한도에 도달하면, 시스템은 이전에 탐지하지 않은 사용자 데이터의 다음과 같은 ID 소스를 바탕으로 우선순위를 지정합니다.

• 새 사용자가 신뢰할 수 없는 ID 소스에서 왔다면, 시스템은 사용자를 데이터베이스에 추가하지 않습니다. 새 사용자를 추가하려면, 사용자를 수동으로 삭제하거나 데이터베이스 비우기를 이용해 삭제해야 합니다.

• 새 사용자가 신뢰할 수 있는 ID 소스에서 왔다면, 시스템은 가장 오랫동안 비활성 상태인 신뢰할 수 없는 사용자를 삭제하고 새 사용자를 데이터베이스에 추가합니다.

특정 사용자 이름을 제외하도록 ID 소스를 구성한 경우 해당 사용자 이름의 사용자 활동 데이터는 Secure Firewall Management Center에 보고되지 않습니다. 이러한 제외된 사용자 이름은 데이터베이스에 남아 있지만 IP 주소와는 연결되지 않습니다. 시스템이 저장하는 데이터 유형에 대한 자세한 내용은 Cisco Secure Firewall Management Center 관리 가이드의 사용자 데이터를 참조하십시오.

management center 고가용성을 설정한 상태이고 기본 디바이스가 실패할 경우, 페일오버 다운타임 동안에는 캡티브 포털, ISE/ISE-PIC, TS 에이전트 또는 원격 액세스 VPN 디바이스에서 보고된 로그인을 식별할 수 없습니다. 사용자가 이전에 확인된 적이 있고 management center에 다운로드된 적이 있더라도 마찬가지입니다. 식별되지 않은 사용자는 management center에서 알 수 없는 사용자로 로깅됩니다. 다운타임이 끝나면 ID 정책의 규칙에 따라 알 수 없는 사용자가 다시 식별되고 처리됩니다.

참고	TS 에이전트가 동일한 사용자를 다른 패시브 인증 ID 소스(ISE/ISE-PIC)로 모니터링할 경우, management center는 TS 에이전트 데이터에 우선순위를 둡니다. TS 에이전트 및 다른 패시브 소스가 동일한 IP 주소에서 동일한 활동을 보고할 경우, TS 에이전트 데이터만 management center에 로깅됩니다.

시스템이 새로운 사용자 세션을 탐지하면, 사용자 세션 데이터는 다음 중 하나가 발생할 때까지 사용자 데이터베이스 보관됩니다.

• management center의 사용자가 사용자 세션을 수동으로 삭제합니다.

• ID 소스가 해당 사용자 세션의 로그오프를 보고합니다.

• 영역의 User Session Timeout: Authenticated Users(사용자 세션 시간 초과: 인증된 사용자), User Session Timeout: Failed Authentication Users(사용자 세션 시간 초과: 실패한 인증 사용자) 또는 User Session Timeout: Guest Users(사용자 세션 시간 초과: 게스트 사용자) 설정에서 지정된 대로 영역의 사용자 세션이 종료됩니다.

시스템은 모니터링 중인 네트워크의 IP 주소와 관련된 활동을 감지하는 경우 (네트워크 검색 정책에 정의된 대로) 네트워크 맵에 호스트를 추가합니다. Secure Firewall Management Center가 모니터링할 수 있는 호스트, 즉 네트워크 맵에 저장할 수 있는 호스트 수는 모델에 따라 다릅니다.

네트워크 맵에 없는 호스트에 대한 상황 데이터를 볼 수 없습니다. 그러나 액세스 제어를 수행할 수 있습니다. 예를 들어, 호스트의 네트워크 규정준수 상황을 모니터하기 위한 규정준수 허용리스트를 사용할 수 없는 경우에도 네트워크 맵에 없는 호스트를 오가는 트래픽에 대한 애플리케이션 제어를 수행할 수 있습니다.

참고	시스템은 MAC 전용 호스트를 IP 주소와 MAC 주소 모두로 식별하는 호스트와 별도로 계산합니다. 호스트와 연결된 모든 IP 주소는 하나의 호스트로 계산됩니다.