使用Qualys配置ISE 2.1以威脅為中心的NAC (TC-NAC)

簡介

本文檔介紹如何在身份服務引擎(ISE) 2.1上使用隊列配置以威脅為中心的NAC。威脅中心網路訪問控制(TC-NAC)功能使您能夠根據從威脅和漏洞介面卡接收的威脅和漏洞屬性建立授權策略。

必要條件

需求

思科建議您瞭解以下主題的基本知識：

• 思科身分辨識服務引擎

• Qualys ScanGuard

採用元件

本文中的資訊係根據以下軟體和硬體版本：

• 思科身分辨識服務引擎版本2.1
• 無線LAN控制器(WLC) 8.0.121.0
• Qualys防護掃描器8.3.36-1，簽名2.3.364-2
• Windows 7 Service Pack 1

設定

高級流程圖

流程如下：

1. 客戶端連線到網路，有限訪問被指定，並且配置檔案被指定並啟用Assess Vulnerabilities覈取方塊
2. PSN節點向MNT節點傳送系統日誌消息，確認身份驗證已發生，並且VA掃描是授權策略的結果
3. MNT節點使用以下資料向TC-NAC節點（使用管理WebApp）提交SCAN：
   -MAC 地址
   -IP 位址
   - 掃描間隔
   - 定期掃描已啟用
   - 來源PSN
4. Qualys TC-NAC（封裝在Docker容器中）與Qualys Cloud（透過REST API）通訊，以觸發掃描（如果需要）
5. Qualys Cloud指示Qualys Scanner掃描終端
6. Qualys Scanner將掃描結果傳送到Qualys Cloud
7. 掃描結果將傳送回TC-NAC：
   -MAC 地址
   - 所有CVSS評分
   - 所有漏洞（QID、標題、CVEID）
8. TC-NAC使用步驟7中的所有資料更新PAN。
9. 如果需要，將根據配置的授權策略觸發CoA。

配置Qualys Cloud和掃描器

注意：本文檔中的Qualys配置出於實驗目的，請諮詢Qualys工程師以瞭解設計注意事項

步驟 1.部署Qualys掃描器

Qualys掃描程式可以從OVA檔案部署。登入到Qualys cloud，導航至Scans > Appliances，然後選擇New > Virtual Scanner Appliance

選擇Download Image Only並選擇適當的分發

要獲取啟用代碼，您可以轉到Scans > Appliances，然後選擇New > Virtual Scanner Appliance並選擇I Have My Image

輸入掃描器名稱後，您將獲得授權碼，稍後將使用該授權碼。

步驟 2.設定Qualys掃描器

在您選擇的虛擬化平台上部署OVA。完成後，請配置這些設定：

• 設定網路(LAN)
• WAN介面設定（如果使用兩個介面）
• 代理主機設定（如果您使用代理主機）
• 個人化此掃描器

之後，掃描器會連線至Qualys並下載最新的軟體與簽名。

要驗證掃描器是否已連線，您可以導航到Scans > Appliances。

左邊的綠色連線符號表示掃描器已就緒，您也可以看到LAN IP、WAN IP、掃描器和簽章版本。

配置ISE

雖然您已配置Qualys掃描程式和雲，但仍需調整雲設定以確保與ISE的整合正常工作。注意，應在透過GUI配置介面卡之前完成此操作，因為包含CVSS評分的知識庫是在首次配置介面卡之後下載的。

步驟 1.調整Qualys雲設定以便與ISE整合

• 在漏洞管理>報告>設定> CVSS >啟用CVSS評分時啟用CVSS評分

• 確定在配接器組態中使用的使用者身份證明具有管理員許可權。從左上角選擇使用者，然後按一下User Profile。您應該具有使用者角色中的管理員許可權。

• 確保需要漏洞評估的終端的IP地址/子網增加到漏洞管理(Vulnerability Management) >資產(Assets) >主機資產(Host Assets) >新建(New) > IP跟蹤主機(IP Tracked Hosts)的隊列中

步驟 2.啟用TC-NAC服務

在Administration > Deployment > Edit Node下啟用TC-NAC Services。檢查 啟用以威脅為中心的NAC服務 覈取方塊。

註：每個部署只能有一個TC-NAC節點。

步驟 3.配置ISE VA架構的Qualys介面卡連線

導航到Administration > Threat Centric NAC > Third Party Vendors > Add。按一下Save。

當Qualys例項轉換為準備配置狀態時，按一下「狀態」中的「準備配置」選項。

REST API主機應該是您用於您的帳戶所在的Qualys Cloud的主機。在本示例中- qualysguard.qg2.apps.qualys.com

帳戶應該是具有管理器許可權的帳戶，請按一下Next。

ISE下載有關連線到Qualys雲的掃描程式的資訊，您可以在此頁面上配置PSN到掃描程式對映。它確保根據授權終端的PSN選擇選定的掃描器。

高級設定在《ISE 2.1管理指南》中有詳細記錄，可在本文檔的「參考」部分找到連結。按一下下一步和完成。Qualys例項轉換為活動狀態並開始下載知識庫。

注意：每個部署只能有一個Qualys執行處理。

步驟 4.配置授權配置檔案以觸發VA掃描

導航到Policy > Policy Elements > Results > Authorization > Authorization Profiles。新增設定檔。在Common Tasks下，選中Vulnerability Assessment覈取方塊。
應根據您的網路設計選擇按需掃描間隔。

授權配置檔案包含這些av對：

cisco-av-pair = on-demand-scan-interval=48
cisco-av-pair = periodic-scan-enabled=0
cisco-av-pair = va-adapter-instance=796440b7-09b5-4f3b-b611-199fb81a4b99

它們被傳送到Access-Accept資料包中的網路裝置，儘管它們的真正目的是告知MNT節點應該觸發掃描。MNT指示TC-NAC節點與Qualys Cloud通訊。

步驟 5.配置授權策略

• 配置授權策略以使用步驟4中配置的新授權配置檔案。導航到Policy > Authorization > Authorization Policy，找到Basic_Authenticated_Access規則，然後按一下Edit。將許可權從PermitAccess更改為新建立的標準VA_Scan。這會導致對所有使用者進行漏洞掃描。按一下Save。

• 為隔離的電腦建立授權策略。導航到Policy > Authorization > Authorization Policy > Exceptions並建立例外規則。點選Conditions > Create New Condition (Advanced Option) >選擇Attribute，向下滾動並選擇Threat。展開Threat屬性並選擇Qualys-CVSS_Base_Score。將運算子更改為大於，並根據您的安全策略輸入一個值。隔離授權配置檔案應該為易受攻擊的電腦提供有限的訪問許可權。

驗證

身分辨識服務引擎

第一個連線觸發VA掃描。掃描完成後，如果新策略匹配，將觸發CoA重新身份驗證以應用新策略。

要驗證檢測到哪些漏洞，請導航到情景可視性>終端。使用Qualys為其提供的分數檢查每個終端的漏洞。

選擇特定端點時，會顯示有關每個漏洞的更多詳細資訊，包括標題和CVEID's。

在操作(Operations) > TC-NAC即時日誌中，您可以檢視應用的舊授權策略與新授權策略以及CVSS_Base_Score的詳細資訊。

注意：授權條件基於CVSS_Base_Score完成，它等於終端上檢測到的最高漏洞得分。

Qualys Cloud

當VA掃描由TC-NAC Qualys隊列觸發時，可以在掃描>掃描中檢視

 然後，它轉換到Running，這意味著Qualys cloud已指示Qualys Scanner執行實際掃描

 當掃描器執行掃描時，您應該會看到Qualys Guard右上角的「Scanning...」符號

完成掃描後，掃描將轉換為「已完成」狀態。您可以透過「掃描」>「掃描」檢視結果，選擇所需的掃描並按一下檢視摘要或檢視結果。

在報告本身中，您可以看到詳細結果，其中顯示了檢測到的漏洞。

疑難排解

ISE上的調試

要在ISE上啟用調試，請導航到Administration > System > Logging > Debug Log Configuration，選擇TC-NAC Node，並將Log Level va-runtime和va-service元件更改為DEBUG

要檢查的日誌- varuntime.log。您可以直接從ISE CLI跟蹤它：

ISE21-3ek/admin# show logging application varuntime.log tail

TC-NAC Docker收到針對特定終端執行掃描的指令。

2016-06-28 19:06:30,823 DEBUG [Thread-70][] va.runtime.admin.mnt.EndpointFileReader -：：：：- VA：讀取va運行時。[{"operationType"：1，"macAddress"："C0:4A：00:14:8D：4B"，"ondemandScanInterval"："48"，"isPeriodicScanEnabled"：false，"periodicScanEnabledString"："0"，"vendorInstance"："796440b7-09b5-4f3b-b611-199fb81a4b99"，"psnHostName"："ise 21-3ek"，"heartBeatTime"：0，"lastScanTime"：0}]
2016-06-28 19:06:30,824 DEBUG [Thread-70][] va.runtime.admin.vaservice.VaServiceRemotingHandler -：：：：- VA：已收到來自Mnt的資料： {"operationType"：1，"macAddress"："C0:4A：00:14:8D：4B"，"ondemandScanInterval"："48"，"isPeriodicScanEnabled"， false" periodicScanEnabledString"："0"，"vendorInstance"："796440b7-09b5-4f3b-b611-199fb81a4b99"，"psnHostName"："ISE21-3ek"，"heartBeatTime"：0，"lastScanTime"：0}

收到結果後，它會將所有漏洞資料儲存在上下文目錄中。

2016-06-28 19:25:02,020 DEBUG [pool-311-thread-8][] va.runtime.admin.vaservice.VaServiceMessageListener -：：：：-收到來自VaService的消息： [{"macAddress"："C0:4A：00:14:8D：4B"，"ipAddress"："10.62.148.63"，"lastScanTime" 1467134394000，"vulnerabilities"：["{\"vulnerabilityId\"：\"QID-90783\"，\"cveIds\"：\"CVE-2012-0002，CVE-2012-0152，\"，\"cvssBaseScore\"：\"9.3\"，\"cvssTemporalScore\"：\"7.7\"，\"vulnerabilityTitle\"：\"Microsoft Windows遠端案頭協定遠端代碼執行漏洞12-020)\"，\"vulnerabilityVendor\"：\"Qualys\"}"，"{\"vulnerabilityId\"：\"QID-38173\"，\"cveIds\"：\"\"，\"cvssBaseScore\"：\"9.4\"，\"cvssTemporalScore\"：\"6.9\"，\"vulnerabilityTitle\"：\"SSL證書-簽名驗證失敗的漏洞\"，\"vulnerabilityVendor\"：\"Qualys\" "，"{\"vulnerabilityId\"：\"QID-90882\"，\"cveIds\"：\"\"，\"cvssBaseScore\"：\"4.7\"，\"cvssTemporalScore\"：\"4\"，\"VulnerabilityTitle\"：\"Windows遠端案頭協定允許的弱加密方法\"，\"vulnerabilityVendor\"：\"Qualys\"}"，"{\"漏洞Id\"：\"QID-90043\"，\"cveIds ：\"\"，\"cvssBaseScore\"：\"7.3\"，\"cvssTemporalScore\"：\"6.3\"，\"vulnerabilityTitle\"：\"SMB Signing Disabled or SMB Signing Not Required\"，\"vulnerabilityVendor\"：\"Qualys\"}"，{\"vulnerabilityId\"：\"QID-38601\"，\"cveIds\"CVE-2013-2566-26 015-2808，\"，\"cvssBaseScore\"：\"4.3\"，\"cvssTemporalScore\"：\"3.7\"，\"vulnerabilityTitle\"：\"SSL/TLS使用弱RC4密碼\"，\"vulnerabilityVendor\"：\"Qualys\"}]}]
2016-06-28 19:25:02,127 DEBUG [pool-311-thread-8][] va.runtime.admin.vaservice.VaServiceMessageListener -：：：- VA：儲存到上下文資料庫，lastscantime： 1467134394000，mac： C0:4A：00:14:8D：4B
2016-06-28 19:25:02,268 DEBUG [pool-311-thread-8][] va.runtime.admin.vaservice.VaAdminServiceContext -：：：：- VA：將彈性搜尋json傳送到pri-lan
2016-06-28 19:25:02,272 DEBUG [pool-311-thread-8][] va.runtime.admin.vaservice.VaPanRemotingHandler -：：：- VA：已儲存到彈性搜尋： {C0:4A：00:14:8D：4B=[{"vulnerabilityId"："QID-90783"，"cveIds"："CVE-2012-00000 2，CVE-2012-0152，"，"cvssBaseScore"："9.3"，"cvssTemporalScore"："7.7"，"vulnerabilityTitle"："Microsoft Windows遠端案頭協定遠端代碼執行漏洞(MS12-020)"，"vulnerabilityVendor"："Qualys"}，{"vulnerabilityId"："QID-38173"，"cveIds"："，"cvssBaseScore4"："9.9 "，"cvssTemporalScore"："6.9"，"vulnerabilityTitle"："SSL Certificate - Signature Verification Failed Vulnerability"，"vulnerabilityVendor"："Qualys"}，{"vulnerabilityId"："QID-90882"，"cveIds"："，"cvssBaseScore"："4.7"，"cvssTemporalScore"："4"，"vulnerabilityTitle"："Windows遠端案頭協定弱加密方法允許"，"vulnerabilityVulnerabilityVendor""："Qualys"："Qualys"} "vulnerabilityId"："QID-90043"，"cveIds"："，"cvssBaseScore"："7.3"，"cvssTemporalScore"："6.3"，"vulnerabilityTitle"："SMB Signing Disabled or SMB Signing Not Required"，"vulnerabilityVendor"："Qualys"}，{"vulnerabilityId"："QID-38601"，"cveIds"："CVE-2013-256666、CVE-21 5-2808，"，"cvssBaseScore"："4.3"，"cvssTemporalScore"："3.7"，"vulnerabilityTitle"："SSL/TLS使用弱RC4密碼"，"vulnerabilityVendor"："Qualys"}]

要檢查的日誌- vaservice.log。您可以直接從ISE CLI跟蹤它：

ISE21-3ek/admin# show logging application vaservice.log tail

漏洞評估請求已提交到介面卡

2016-06-28 17:07:13,200 DEBUG [endpointPollerScheduler-3][] cpm.va.service.util.VaServiceUtil -：：：- VA SendSyslog systemMsg ： [{"systemMsg"："91019"，"isAutoInsertSelfAcsInstance"：true，"attributes"：["TC-NAC.ServiceName"，"Vulnerability AssessmentService"，"TC-MSG Status」、「VA request submitted to adapter」、「TC-NAC.Details」、「VA request submitted to adapter for processing」、「TC-NAC.MACAddress」、「C0:4A：00:14:8D：4B」、「TC-NAC.IpAddress」、「10.62.148.63」、「TC-NAC.AdapterInstanceUid」、「796440b7-09b5-4f3b 611-199fb81a4b99"、"TC-NAC.VendorName"、"Qualys"、"TC-NAC.AdapterInstanceName"、"QUALYS_VA"]}]

AdapterMessageListener每隔5分鐘檢查一次掃描的狀態，直到掃描完成。

2016-06-28 17:09:43,459 DEBUG [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -：：：-來自介面卡的消息： {"AdapterInstanceName"："QUALYS_VA"，"AdapterInstanceUid"："a70031d6-6e3b-484a-adb0-627f30248ad0"，"Vendor"，"Vendor"：" Qualys"，"OperationMessageText"："排隊以檢查掃描結果的端點數： 1，排隊以掃描的端點數： 0，正在進行掃描的端點數： 0"}
2016-06-28 17:14:43,760 DEBUG [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -：：：-來自介面卡的消息： {"AdapterInstanceName"："QUALYS_VA"，"AdapterInstanceUid"："a70031d6-6e3b-484a-adb0-627f30248ad0"，"Vendor"，"Vendor"：" 「Qualys」、「OperationMessageText」：「排隊以檢查掃描結果的端點數： 0，排隊以掃描的端點數： 0，正在進行掃描的端點數： 1」}
2016-06-28 17:19:43,837 DEBUG [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -：：：-來自介面卡的消息： {"AdapterInstanceName"："QUALYS_VA"，"AdapterInstanceUid"："a70031d6-6e3b-484a-adb0-627f30248ad0"，"Vendor"，"Vendor"：" 「Qualys」、「OperationMessageText」：「排隊以檢查掃描結果的端點數： 0，排隊以掃描的端點數： 0，正在進行掃描的端點數： 1」}
2016-06-28 17:24:43,867 DEBUG [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -：：：-來自介面卡的消息： {"AdapterInstanceName"："QUALYS_VA"，"AdapterInstanceUid"："a70031d6-6e3b-484a-adb0-627f30248ad0"，"Vendor"，"Vendor"：" 「Qualys」、「OperationMessageText」：「排隊以檢查掃描結果的端點數： 0，排隊以掃描的端點數： 0，正在進行掃描的端點數： 1」}

介面卡會取得QID、CVE以及CVSS評分

2016-06-28 17:24:57,556 DEBUG [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -：：：：-來自介面卡的消息： {"requestedMacAddress"："C0:4A：00:14:8D：4B"，"scanStatus"："ASSESSMENT_SUCESS"，"lastScanTimeLong"：1467134394000，"ipAddress"："1 0.62.148.63"，"vulnerabilities"：[{"vulnerabilityId"："QID-38173"，"cveIds"："，"cvssBaseScore"："9.4"，"cvssTemporalScore"："6.9"，"vulnerabilityTitle"："SSL Certificate - Signature Verification Failed Vulnerability"，"vulnerabilityVendor"："Qualys"}，{"vulnerabilityId"："QID-90043"，"cveIds"："，"cscoreBase"："7.3"，"cvssTemporalScore"："6.3"，"vulnerabilityTitle"："SMB Signing Disabled or SMB Signing Not Required"，"vulnerabilityVendor"："Qualys"}，{"vulnerabilityId"："QID-90783"，"cveIds"："CVE-2012-0002，CVE-2012-0152"，"，"cvssBaseScore"："Score"："9.3"，"，"temporal0ScoreScore Score"："7.7"，"vulnerabilityTitle"："Microsoft Windows遠端案頭協定遠端代碼執行漏洞(MS12-020)"，"vulnerabilityVendor"："Qualys"}，{"vulnerabilityId"："QID-38601"，"cveIds"："CVE-2013-2566，CVE-2015-2808"，"，"cvssBaseScore"："4.3"，"cvss TemporalScore"："3.7"，"vulnerabilityTitle"："SSL/TLS使用弱RC4密碼"，"vulnerabilityVendor"："Qualys"}，{"vulnerabilityId"："QID-90882"，"cveIds"："，"cvssBaseScore"："4.7"，"cvssTemporalScore"："4"，"vulnerabilityTitle"："Windows遠端案頭協定弱加密方法允許"，"vulnerabilityVendor"："Qualys"}]
2016-06-28 17:25:01,282 INFO [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -：：：：-傳送到IRF的終端詳細資訊為{"C0:0 4A：00:14:8D：4B"：[{「漏洞」：{「CVSS_Base_Score」：9.4，「CVSS_Temporal_Score」：7.7}，「時間戳」：1467134394000，「標題」：「漏洞」，「供應商」：「Qualys」}]}
2016-06-28 17:25:01,853 DEBUG [endpointPollerScheduler-2][] cpm.va.service.util.VaServiceUtil -：：：- VA SendSyslog systemMsg ： [{"systemMsg"："91019"，"isAutoInsertSelfAcsInstance"：true，"attributes"：["TC-NAC.ServiceName"，"Vulnerability AssessmentService"，"TC-MSG Status」、「VA已成功完成」、「TC-NAC.Details」、「VA已完成；找到的漏洞數量：5」、「TC-NAC.MACAddress」、「C0:4A：00:14:8D：4B」、「TC-NAC.IpAddress」、「10.62.148.63」、「TC-NAC.AdapterInstanceUid」、「796440b7-09b5-4f3b-b611-199fb81a4b99」、「TC .VendorName"、"Qualys"、"TC-NAC.AdapterInstanceName"、"QUALYS_VA"]}]

典型問題

問題1.ISE獲取CVSS_Base_Score為0.0且CVSS_Temporal_Score為0.0的漏洞報告，而Qualys Cloud報告包含檢測到的漏洞。

問題:

在Qualys Cloud檢查報告時，您可以看到檢測到的漏洞，但在ISE上您看不到這些漏洞。

在vaservice.log中看到的調試：

2016-06-02 08:30:10,323 INFO [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -：：：：-傳送到IRF的終端詳細資訊為{"C0:0 4A：00:15:75：C8"：[{"vulnerability"：{"CVSS_Base_Score"：0.0，"CVSS_Temporal_Score"：0.0}，"time-stamp"：1464855905000，"title"："Vulnerability"，"vendor"："Qualys"}]}

解決方案：

cvss分數為零的原因可能是，在您透過UI設定介面卡之前，沒有發生任何漏洞，或者在Qualys Cloud中未啟用cvss評分。包含已啟用cvss計分功能的知識庫會在初次設定介面卡後下載。您必須確保以前啟用了CVSS評分，介面卡例項是在ISE上建立的。此操作可在Vulnerability Management > Reports > Setup > CVSS > Enable CVSS Scoring下完成

問題2.ISE不會從Qualys雲獲取結果，即使已命中的授權策略正確。

問題:

已匹配正確的授權策略，應觸發VA掃描。儘管如此，仍沒有進行掃描。

在vaservice.log中看到的調試：

2016-06-28 16:19:15,401 DEBUG [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -：：：-來自介面卡的消息： (Body：'[B@6da5e620(byte[311])'MessageProperties [headers={}， timestamp=null， messageId=null， userId=null， appId=null， type=null， correlationId=null， null contentType=application/octet-stream， contentEncoding=null， contentLength=0， deliveryMode=PERSISTENT， expiration=null， priority=0， redelivered=false， receivedExchange=irf.topic.va-reports， receivedRoutingKey=， deliveryTag=9830， messageCount=0])
2016-06-28 16:19:15,401 DEBUG [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -：：：：-來自介面卡的消息： {"requestedMacAddress"："24:77:03:3D：CF：20"，"scanStatus"："SCAN_ERROR"，"scanStatusMessage"："錯誤觸發掃描：錯誤如下所示的按需掃描代碼和錯誤1904：指定IP均不符合漏洞管理掃描條件。"，"lastScanTimeLong"：0，"ipAddress"："10.201.228.102"}
2016-06-28 16:19:15,771 DEBUG [SimpleAsyncTaskExecutor-2][] cpm.va.service.processor.AdapterMessageListener -：：：- Macaddress：24:77:03:3D：CF：20，IP地址(DB)：10.201.228.102的介面卡掃描結果失敗，設定狀態為失敗
2016-06-28 16:19:16,336 DEBUG [endpointPollerScheduler-2][] cpm.va.service.util.VaServiceUtil -：：：- VA SendSyslog systemMsg ： [{"systemMsg"："91008"，"isAutoInsertSelfAcsInstance"：true，"attributes"：["TC-NAC.ServiceName"，"Vulnerability AssessmentService"，"TC-MSG Status」、「VA Failure」、「TC-NAC.Details」、「Error triggering scan： Error while triggering on-demand scan code and error following 1904： none the specified IPs are eligible for Vulnerability Management scanning」、「TC-NAC.MACAddress」、「24:77:03:3D：CF：20」、「TC-NAC.IpAddress」、「10.22228.1028.102」、「1222222222228」 「TC-NAC.AdapterInstanceUuid」、「796440b7-09b5-4f3b-b611-199fb81a4b99」、「TC-NAC.VendorName」、「Qualys」、「TC-NAC.AdapterInstanceName」、「QUALYS_VA」]}]

解決方案：

Qualys Cloud表示終端的IP地址不符合掃描條件，請確保已將終端的IP地址增加到Vulnerability Management > Assets > Host Assets > New > IP Tracked Hosts

參考資料

• 思科身份服務引擎管理員指南2.1版
• 技術支援與文件 - Cisco Systems
• 影片：ISE 2.1與Qualys
• Qualys檔案