이 주제에서는 사용자 ID 및 사용자 제어와 관련해 자주 사용하는 용어를 설명합니다.

사용자 인식

ID 소스( 또는 TS 에이전트 등)를 이용해 네트워크 상의 사용자를 식별합니다. 사용자 인식을 이용하면 신뢰할 수 있는(Active Directory 등) 소스와 신뢰할 수 없는(애플리케이션 기반) 소스의 사용자를 모두 식별할 수 있습니다. Active Directory를 ID 소스로 사용하려면 영역과 디렉터리를 설정해야 합니다. 자세한 내용은 사용자 ID 소스 정보를 참고하십시오.

사용자 제어

액세스 컨트롤 정책과 연결한 ID 정책을 설정합니다. (이후 ID 정책은 액세스 컨트롤 하위 정책으로 참조됩니다.) ID 정책은 ID 소스를 지정하면, 경우에 따라 해당 소스에 속하는 사용자와 그룹도 지정합니다.

ID 정책을 액세스 컨트롤 정책과 연결하면, 네트워크 트래픽에서의 사용자나 사용자 활동 모니터링, 신뢰, 차단 또는 허용 여부를 결정하게 됩니다. 자세한 내용은 액세스 제어 정책를 참고하십시오.

권한 있는 ID 소스

사용자 로그인(예: Active Directory)을 검증한 신뢰할 수 있는 서버입니다. 권한 있는 로그인에서 가져온 데이터를 사용하여 사용자 인식 및 사용자 제어를 수행할 수 있습니다. 권한 있는 사용자 로그인은 수동 및 활성 인증에서 가져옵니다.

• 패시브 인증은 외부 소스를 통해 사용자를 인증할 때 수행됩니다. ISE/ISE-PIC 및 TS 에이전트는 Firepower System에서 지원하는 패시브 인증 방법입니다.

• 액티브 인증은 사전 구성된 매니지드 디바이스를 통해 사용자를 인증할 때 수행됩니다. 캡티브 포털(captive portal) 및 원격 액세스 VPN은 Firepower System에서 지원하는 액티브 인증 방법입니다.

권한 없는 ID 소스

사용자 로그인이 검증된 알 수 없거나 신뢰할 수 없는 서버입니다. 트래픽 기반 탐지는 Firepower System에서 지원하는 유일한 권한 없는 ID 소스입니다. 권한 없는 로그인에서 가져온 데이터를 사용하여 사용자 인식을 수행할 수 있습니다.

다음 표에는 시스템에서 지원되는 사용자 ID 소스에 대한 간략한 개요가 나와 있습니다. 각 ID 소스는 사용자 인식을 위한 사용자의 저장소를 제공합니다. 이러한 사용자는 ID 및 액세스 컨트롤 정책으로 제어할 수 있습니다.

구축할 ID 소스를 선택할 경우 다음 사항을 고려하십시오.

• 비 LDAP 사용자 로그인에는 트래픽 기반 탐지를 사용해야 합니다.

• 트래픽 기반 탐지 또는 캡티브 포털(captive portal)을 사용하여 실패한 로그인 또는 인증 활동을 기록해야 합니다. 실패한 로그인 또는 인증 시도는 데이터베이스의 사용자 목록에 새 사용자를 추가하지 않습니다.

• 캡티브 포털 ID 소스는 라우팅 인터페이스를 이용하는 매니지드 디바이스를 요구합니다. 캡티브 포털은 인라인(탭 모드라고도 함) 인터페이스로는 사용할 수 없습니다.

이러한 ID 소스의 데이터는 Secure Firewall Management Center의 사용자 데이터베이스 및 사용자 활동 데이터베이스에 저장됩니다. 새로운 사용자 데이터를 데이터베이스에 자동으로 정기적으로 다운로드하도록 management center-서버의 사용자 다운로드를 구성할 수 있습니다.

원하는 ID 소스를 이용해 ID 규칙을 설정한 후에는, 각 규칙을 액세스 컨트롤 정책에 연결하고 정책이 효력을 발휘할 매니지드 디바이스에 해당 정책을 구측합니다. 액세스 컨트롤 정책과 구축에 관한 자세한 내용은 액세스 제어에 다른 정책 연결 섹션을 참조하십시오.

사용자 ID에 대한 일반 정보는 사용자 ID 정보의 내용을 참조하십시오.

시스템이 사용자 로그인, ID 소스로부터 사용자 데이터를 탐지하면 해당 로그인의 사용자는 management center 사용자 데이터베이스의 사용자 목록과 비교하여 확인됩니다. 로그인 사용자가 기존 사용자와 일치하면 로그인의 데이터가 사용자에게 할당됩니다. 로그인이 기존 사용자와 일치하지 않으면 SMTP 트래픽의 로그인이 아닌 경우 새 사용자가 생성됩니다. SMTP 트래픽의 일치하지 않는 로그인은 삭제됩니다.

사용자가 속하는 그룹은 management center가 사용자를 확인하고 사용자와 연결됩니다.

샘플 ID 구축

이 섹션에서 설명하는 샘플 구축은 다음 그림에 나와 있는 시스템을 기반으로 합니다.

위의 그림에서는 CDO 및 하나의 매니지드 디바이스가 AWS에 구축되고 다른 디바이스는 온프레미스에 있습니다. 이러한 디바이스는 물리적 또는 가상일 수 있습니다. 서로 통신할 수만 있으면 됩니다.

두 개의 온프레미스 매니지드 디바이스는 프록시 시퀀스로 사용됩니다. 이러한 디바이스도 CDO에 추가해야 합니다.

프록시 시퀀스는 LDAP, Active Directory 또는 ISE/ISE-PIC 서버와 통신하는 데 사용할 수 있는 하나 이상의 매니지드 디바이스입니다. 이는 Cisco Defense Orchestrator(CDO)가 Active Directory 또는 ISE/ISE-PIC 서버와 통신할 수 없는 경우에만 필요합니다. (예를 들어 CDO는 퍼블릭 클라우드에 있지만 Active Directory 또는 ISE/ISE-PIC는 프라이빗 클라우드에 있을 수 있습니다.)

LDAP 또는 Active Directory는 다음 단락에서 설명하는 것처럼 TS 에이전트 및 캡티브 포털에만 필요합니다.

이와 같은 시스템 설정에 대한 자세한 내용은 ID 정책 설정 방법의 내용을 참조하십시오.

ISE/ISE-PIC ID 소스

ISE/ISE-PIC ID 소스를 구축할 때 CDO는 CDO에서 ISE/ISE-PIC 서버에 직접 연결할 수 없는 경우 프록시 시퀀스에 연결합니다. 사용자, 그룹 및 구독은 ISE/ISE-PIC 서버에서 AWS의 매니지드 디바이스로 전송됩니다.

선택적으로 ISE/ISE-PIC 구축에 LDAP 서버를 포함할 수 있지만 선택 사항이므로 다음 그림에는 표시되지 않습니다.

ISE/ISE-PIC에 대한 자세한 내용은 ISE/ISE-PIC ID 소스의 내용을 참조하십시오.

TS 에이전트 ID 소스

TS(Terminal Services) 에이전트 소프트웨어는 Microsoft Server에서 실행되며 사용자가 서버에 로그인하는 데 사용하는 포트 범위를 기반으로 CDO 사용자 정보를 전송합니다. TS 에이전트는 LDAP 또는 Active Directory에서 사용자 ID 정보를 가져와서 CDO로 전송합니다.

TS 에이전트 ID 소스에 대한 자세한 내용은 TS(Terminal Services) 에이전트 ID 소스의 내용을 참조하십시오.

캡티브 포털 ID 소스

캡티브 포털은 Active Directory 외에 LDAP를 지원하는 유일한 ID 소스입니다. 캡티브 포털 ID 소스는 사용자가 IP 주소 또는 호스트 이름을 사용하여 AWS에서 매니지드 디바이스를 사용하여 네트워크 리소스에 액세스하려고 할 때 트리거됩니다. 캡티브 포털은 프록시 시퀀스를 사용하여 LDAP 또는 Active Directory에서 사용자 정보를 가져와서 CDO에 사용자 정보를 전송합니다.

캡티브 포털 ID 소스에 대한 자세한 내용은 캡티브 포털 ID 소스의 내용을 참조하십시오.

트래픽 기반 탐지

트래픽 기반 탐지는 네트워크의 애플리케이션만 탐지하도록 설계되었으므로 Active Directory와 같은 사용자 저장소 또는 프록시 시퀀스가 필요하지 않습니다. 자세한 내용은 호스트, 애플리케이션 및 사용자 데이터 탐지 정보의 내용을 참조하십시오.

Secure Firewall Management Center의 사용자 활동 데이터베이스에는 구성된 모든 ID 소스에서 탐지하거나 보고하는 네트워크의 사용자 활동 기록이 포함됩니다. 시스템에서는 다음과 같은 상황에서 이벤트를 기록합니다.

• 개별 로그인 또는 로그오프를 탐지한 경우

• 새 사용자를 탐지한 경우

• 시스템 관리자가 사용자를 수동으로 삭제하는 경우

• 데이터베이스에 없는 사용자를 탐지했으나 사용자 제한에 도달하여 사용자를 추가할 수 없는 경우

• 사용자와 관련된 침해 지표를 해결하거나, 사용자에 대한 침해 규칙 침해 지표를 활성화 또는 비활성화하는 경우

참고	TS 에이전트가 동일한 사용자를 다른 패시브 인증 ID 소스(ISE/ISE-PIC 등)로 모니터링할 경우, management center는 TS 에이전트 데이터에 우선순위를 둡니다. TS 에이전트 및 다른 패시브 소스가 동일한 IP 주소에서 동일한 활동을 보고할 경우, TS 에이전트 데이터만 management center에 로깅됩니다.

시스템이 탐지한 사용자 활동은 Secure Firewall Management Center로 확인할 수 있습니다. (Analysis(분석) > Users(사용자) > User Activity(사용자의 활동).)

Secure Firewall Management Center의 사용자 데이터베이스에는 구성된 모든 ID 소스에서 탐지하거나 보고한 기록이 포함됩니다. 사용자 제어에 대한 신뢰할 수 있는 소스에서 얻은 데이터를 사용할 수 있습니다.

지원되는 신뢰할 수 있거나 신뢰할 수 없는 ID 소스에 대한 자세한 내용은 사용자 ID 소스 정보 섹션을 참조하십시오.

에서도 설명하지만, Secure Firewall Management Center가 저장할 수 있는 총 사용자 수는 Secure Firewall Management Center 모델에 따라 다릅니다. 사용자 한도에 도달하면, 시스템은 이전에 탐지하지 않은 사용자 데이터의 다음과 같은 ID 소스를 바탕으로 우선순위를 지정합니다.

• 새 사용자가 신뢰할 수 없는 ID 소스에서 왔다면, 시스템은 사용자를 데이터베이스에 추가하지 않습니다. 새 사용자를 추가하려면, 사용자를 수동으로 삭제하거나 데이터베이스 비우기를 이용해 삭제해야 합니다.

• 새 사용자가 신뢰할 수 있는 ID 소스에서 왔다면, 시스템은 가장 오랫동안 비활성 상태인 신뢰할 수 없는 사용자를 삭제하고 새 사용자를 데이터베이스에 추가합니다.

특정 사용자 이름을 제외하도록 ID 소스를 구성한 경우 해당 사용자 이름의 사용자 활동 데이터는 Secure Firewall Management Center에 보고되지 않습니다. 이러한 제외된 사용자 이름은 데이터베이스에 남아 있지만 IP 주소와는 연결되지 않습니다.

management center 고가용성을 설정한 상태이고 기본 디바이스가 실패할 경우, 페일오버 다운타임 동안에는 캡티브 포털, ISE/ISE-PIC, TS 에이전트 또는 원격 액세스 VPN 디바이스에서 보고된 로그인을 식별할 수 없습니다. 사용자가 이전에 확인된 적이 있고 management center에 다운로드된 적이 있더라도 마찬가지입니다. 식별되지 않은 사용자는 management center에서 알 수 없는 사용자로 로깅됩니다. 다운타임이 끝나면 ID 정책의 규칙에 따라 알 수 없는 사용자가 다시 식별되고 처리됩니다.

참고	TS 에이전트가 동일한 사용자를 다른 패시브 인증 ID 소스(ISE/ISE-PIC)로 모니터링할 경우, management center는 TS 에이전트 데이터에 우선순위를 둡니다. TS 에이전트 및 다른 패시브 소스가 동일한 IP 주소에서 동일한 활동을 보고할 경우, TS 에이전트 데이터만 management center에 로깅됩니다.

시스템이 새로운 사용자 세션을 탐지하면, 사용자 세션 데이터는 다음 중 하나가 발생할 때까지 사용자 데이터베이스 보관됩니다.

• management center의 사용자가 사용자 세션을 수동으로 삭제합니다.

• ID 소스가 해당 사용자 세션의 로그오프를 보고합니다.

• 영역의 User Session Timeout: Authenticated Users(사용자 세션 시간 초과: 인증된 사용자), User Session Timeout: Failed Authentication Users(사용자 세션 시간 초과: 실패한 인증 사용자) 또는 User Session Timeout: Guest Users(사용자 세션 시간 초과: 게스트 사용자) 설정에서 지정된 대로 영역의 사용자 세션이 종료됩니다.

클라우드 사용 Firewall Management Center은 모니터링 중인 네트워크의 IP 주소와 관련된 활동을 감지하는 경우 (네트워크 검색 정책에 정의된 대로) 네트워크 맵에 호스트를 추가합니다.

클라우드 사용 Firewall Management Center는 호스트 데이터베이스에 최대 600,000명의 호스트를 저장할 수 있지만 다음을 권장합니다.

네트워크 맵에 없는 호스트에 대한 상황 데이터를 볼 수 없습니다. 그러나 액세스 제어를 수행할 수 있습니다. 예를 들어, 호스트의 네트워크 규정준수 상황을 모니터하기 위한 규정준수 허용리스트를 사용할 수 없는 경우에도 네트워크 맵에 없는 호스트를 오가는 트래픽에 대한 애플리케이션 제어를 수행할 수 있습니다.

참고	시스템은 MAC 전용 호스트를 IP 주소와 MAC 주소 모두로 식별하는 호스트와 별도로 계산합니다. 호스트와 연결된 모든 IP 주소는 하나의 호스트로 계산됩니다.

다음과 같은 경우 사용자가 클라우드 사용 Firewall Management Center 사용자 데이터베이스에 추가됩니다.

• 사용자가 영역에서 다운로드됩니다.

• 캡티브 포털 또는 RA-VPN 사용자가 로그인합니다.

• 모든 ID 소스(예: TS Agent)에서 사용자가 탐지됩니다.

클라우드 사용 Firewall Management Center는 호스트 데이터베이스에 최대 600,000명의 사용자를 저장할 수 있지만 다음을 권장합니다.

액세스 컨트롤 정책을 이용한 사용자 제어는 신뢰할 수 있는 사용자에만 적용됩니다.

클라우드 사용 Firewall Management Center는 사용자 데이터베이스에 600,000개의 세션을 저장할 수 있습니다.

사용자 한도 도달 후 이전에 탐지하지 않은 새 사용자를 탐지하면, 시스템은 사용자 데이터의 ID 소스를 바탕으로 해당 데이터의 우선순위를 정합니다.

• 새 사용자를 신뢰할 수 없는 소스의 경우, 시스템은 권한 없는 사용자 데이터베이스에 추가 되지 않습니다. 새 사용자를 추가하려면, 사용자를 수동으로 삭제하거나 데이터베이스를 비워야 합니다.

• 새 사용자가 신뢰할 수 있는 ID 소스에서 왔다면, 시스템은 가장 오랫동안 비활성 상태인 신뢰할 수 없는 사용자를 삭제하고 신뢰할 수 있는 새 사용자를 데이터베이스에 추가합니다.

  모든 사용자가 신뢰할 수 있는 사용자라면, 시스템은 가장 오랫동안 비활성 상태인 신뢰할 수 있는 사용자를 삭제하고 새 사용자를 데이터베이스에 추가합니다.

사용자 제어 문제 해결에서 문제 해결 정보를 확인할 수 있습니다.

팁	트래픽 기반 탐지를 사용한다면, 프로토콜별로 사용자 기록을 제한해 불필요한 사용자 이름을 최소화하고 데이터베이스의 공간을 확보할 수 있습니다. 예를 들어 시스템이 AIM, POP3 및 IMAP 트래픽에서 발견한 사용자를 추가하지 못하게 할 수도 있습니다. 모니터링 대상이 아닌 계약자나 방문자가 보내는 트래픽임이 확실하기 때문입니다.