Configurar Duo e endpoint seguro para responder a ameaças

Opções de download

PDF (3.4 MB)
Ver no Adobe Reader em vários dispositivos
ePub (3.2 MB)
Ver em vários aplicativos no iPhone, iPad, Android, Sony Reader ou Windows Phone
Mobi (Kindle) (2.3 MB)
Ver no dispositivo Kindle ou no aplicativo Kindle em vários dispositivos

Atualizado:20 de abril de 2023

ID do documento:220404

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

Introdução

Informações de Apoio

Pré-requisitos

Configuração e caso de uso

Configurar a integração no Duo

Configurar a integração no Cisco Secure EndPoint

Configurar políticas no Duo

Configure a política para detectar um dispositivo confiável

Testar Máquinas Confiáveis

Configurar a Política para o Cisco Secure EndPoint

Teste as máquinas confiáveis com o Cisco Secure EndPoint

Permitir o acesso a uma máquina após revisão

Introdução

DUO Login Flow

Este documento descreve como integrar o Duo Trusted EndPoints com o Cisco Secure EndPoint.

Informações de Apoio

A integração entre o Cisco Secure EndPoint e o Duo, permite uma colaboração eficaz em resposta a ameaças detectadas em dispositivos de rede confiáveis. Essa integração é obtida através de várias ferramentas de gerenciamento de dispositivos que estabelecem a confiabilidade de cada dispositivo. Algumas dessas ferramentas incluem:

Serviços de Domínio Ative Diretory
Ative Diretory com Integridade do Dispositivo
Genérico com Integridade do Dispositivo
Integridade do Intune com Dispositivo
Jamf Pro com Integridade do Dispositivo
Pacote de gerenciamento LANDESK
Ferramenta de gerenciamento de ativos corporativos Mac OS X
Manual com Integridade do Dispositivo
Ferramenta de Gerenciamento de Ativos Corporativos do Windows
Workspace ONE com integridade de dispositivo

Depois que os dispositivos são integrados a uma ferramenta de gerenciamento de dispositivos, é possível integrar o Cisco Secure EndPoint e o Duo ao API no Administration Panel. Subsequentemente, a política apropriada deve ser configurada no Duo para executar a verificação de dispositivos confiáveis e detectar dispositivos comprometidos que possam afetar aplicativos protegidos pelo Duo.

Observação: neste caso, trabalhamos com o Ative Diretory e a Integridade do Dispositivo.

Pré-requisitos

Ative Diretory para fazer a integração.
Para integrar o Duo a endpoints confiáveis, seus dispositivos devem ser registrados no domínio do Ative Diretory. Isso permite que o Duo autentique e autorize o acesso aos recursos e serviços de rede com segurança.
Duo além do plano.

Configuração e caso de uso

Configurar a integração no Duo

Efetue login no Admin Panel e vá para:

Trusted EndPoints > Add Integration
Selecionar Active Directory Domain Services

DUO Add Management Tools Integration

Depois disso, você será redirecionado para configurar o Active Directory and Device Health.

Leve em consideração que isso só funciona com máquinas no domínio.

Vá para o Ative Diretory e execute o próximo comando no PowerShell:

(Get-ADDomain | Format-Table -Property DomainSID -HideTableHeaders | Out-String).Trim() | clip

Active Directory SID string

Depois disso, certifique-se de ter copiado para a área de transferência o identificador de segurança do seu Ative Diretory.

Exemplo

S-1-5-21-2952046551-2792955545-1855548404

Isso é usado na Integração da Integridade do Ative Diretory e do Dispositivo.

DUO Active Directory SID Integration

Clique em Save e possibilitar a integração e Activate for all. Caso contrário, você não poderá integrar com o Cisco Secure EndPoint.

Integration Status Button

Ir para Trusted EndPoints > Select Endpoint Detection & Response System > Add this integration.

Trusted EndPoints Active Directory With Device Health Integration

Agora você está na página principal da integração do Cisco Secure EndPoint.

Cisco Secure Endpoints Integration

Depois disso, vá para a Admin Panel do Cisco Secure EndPoint.

Configurar a integração no Cisco Secure EndPoint

https://console.eu.amp.cisco.com/ LOGIN NO CONSOLE EMEAR
https://console.amp.cisco.com/ LOGIN NO CONSOLE AMER

E navegue até Accounts > API Credentials e selecione New API Credentials.

Cisco Secure Endpoint API Creation

API Creation - Read Only

Observação: somente Read-only é necessário para fazer essa integração porque o Duo GET consulta o Cisco Secure EndPoint para saber se o dispositivo atende aos requisitos da política.

Inserir Application Name, Scope, e Create.

API Parameters - Integration

Copie o 3rd API Party Client ID de Cisco Secure EndPoint para Duo Admin Panel in Client ID.
Copie o API Key de Cisco Secure EndPoint para Duo Admin Panel in API Key.

DUO and Secure Endpoint API Integration

Teste a integração e, se tudo funcionar bem, clique em Save para salvar a integração.

Configurar políticas no Duo

Para configurar as políticas para sua integração, você passa pelo aplicativo:

Navigate to Application > Search for your Application > Select your policy

DUO App Creation

Configure a política para detectar um dispositivo confiável

Policy Require Endpoint to be Trusted

Testar Máquinas Confiáveis

Computador com Integridade de Dispositivo Duo e ingressou no domínio

Trusted Endpoint Status

Computador fora do domínio sem Integridade de Dispositivo Duo

Unable to Communicate with Device Health

Download Device Health

Computador fora do domínio com Integridade de Dispositivo Duo

Machine Outside Domain not Trusted

Not Trusted Access not Allowed

Configurar a Política para o Cisco Secure EndPoint

Nessa configuração de política, configure o dispositivo já confiável para atender aos requisitos sobre ameaças que podem afetar seu aplicativo, caso um dispositivo seja infectado ou se alguns comportamentos marcarem essa máquina com suspicious artifacts or Indicators of Compromise, você pode bloquear o acesso da máquina aos aplicativos protegidos.

Allow Cisco Secure Endpoint to Block Compromised Endpoints

Teste as máquinas confiáveis com o Cisco Secure EndPoint

Máquina sem o Cisco Secure Agent instalado

Nesse caso, a máquina pode ser aprovada sem a verificação do AMP.

Trusted Endpoint Reporting

Se desejar ter uma política restritiva, você poderá configurá-la para ser mais restritiva se modificar a Device Health Application política de Reporting para Enforcing.

E adicionar Block Access if an EndPoint Security Agent is not running.

Trusted Endpoint Enforcing Cisco Secure Endpoint Computador sem infecção

Com uma máquina, sem infecção, você pode testar como o Duo com Cisco Secure EndPoint funciona para trocar informações sobre o status da máquina e como os eventos são mostrados nesse caso no Duo e no Cisco Secure EndPoint.

Se você verificar o status da sua máquina no Cisco Secure EndPoint:

Navigate to Management > Computers.

Quando você filtra sua máquina, pode ver o evento disso e, nesse caso, pode determinar se a sua máquina está limpa.

Cisco Secure Endpoint Computer

Você pode ver que não há detecção para o seu dispositivo, e também está em um status de limpo, o que significa que sua máquina não está em triagem para participar.

Cisco Secure Endpoint Events

É assim que o Duo classifica essa máquina:

Trusted Endpoint not in Triage

A máquina mantém o trusted rótulo.

O que acontece se a mesma máquina for infectada por um Malicious Actor, tiver tentativas repetitivas de infecção, ou Indicators of Compromise alertas sobre esta máquina?

Computador com infecção

Para tentar usar um exemplo de EICAR para testar o recurso, acesse https://www.eicar.org/ e faça download de uma amostra mal-intencionada.

Nota: Não se preocupe. Você pode fazer o download do teste EICAR, ele é seguro e é apenas um arquivo de teste.

Eicar

Role para baixo e vá até a seção e baixe o arquivo de teste.

Eicar File Download

O Cisco Secure EndPoint detecta o malware e o coloca em quarentena.

Eicar Detection

É assim que ele muda, como mostrado no painel Cisco Secure EndPoint Admin.

Event Detection as Malware

Você também tem a detecção do malware na máquina, mas isso significa que os endpoints são considerados para análise sob a triagem do Cisco Secure EndPoint no Inbox.

Observação: para enviar um endpoint para triagem, ele precisa ter várias detecções de artefatos ou comportamentos estranhos que ativam alguns Indicators of Compromise no endpoint.

Sob o comando Dashboard, clique no botão Inbox.

Cisco Secure Endpoint Inbox

Agora você tem uma máquina que requer atenção.

Cisco Secure Endpoint Triage

Agora, mude para Duo e veja qual é o status.

A autenticação é tentada primeiro para ver o comportamento depois que a máquina foi colocada no Cisco Secure EndPoint em Require Attention.

Not Trusted Endpoint in Triage

É assim que ele muda no Duo e como o evento sob eventos de autenticação é mostrado.

Denied Access Endpoint in Triage

Seu computador foi detectado como não sendo um dispositivo de segurança para sua organização.

Permitir o acesso a uma máquina após revisão

Triage Workflow

Após a verificação no Cisco Secure EndPoint e por seu especialista em segurança cibernética, você pode permitir o acesso a esta máquina para seu aplicativo no Duo.

Agora, a questão é como permitir o acesso novamente ao aplicativo protegido pelo Duo.

Você precisa entrar no Cisco Secure EndPoint e em sua Inbox, marque este dispositivo como resolved para permitir o acesso ao aplicativo protegido pelo Duo.

Triage Process