Cisco Duo Security: Protecție avansată pentru datele companiei în era muncii hibride

Silviu Sîrbu

Security System Engineer
silviu.sirbu@alef.com

Despre Cisco DUO Security

Cu Cisco Duo, securizarea întregii organizații nu a fost niciodată mai ușoară. Directorul de utilizatori Cisco Duo, opțiunile flexibile de autentificare, inclusiv autentificarea fără parolă, single sign-on (SSO), motorul de politici granular, capabilitățile de automatizare a identității și analizele de identitate bazate pe AI se implementează rapid în orice mediu. Duo ajută companiile să fie mai sigure ca niciodată, cu timp de nefuncționare minim și productivitate optimizată.

Deja deții o soluție Active Directory local?

Dacă răspunsul este da, atunci poți folosi funcționalitatea de Active Directory Sync (numită și directory synchronization), cu rol de a ține identitățile în sync:

  • Copiază utilizatori, grupuri și atribute din AD-ul tău local către Duo Cloud.
  • Se asigură corespunderea conturile de utilizator din Duo cu cele din AD → nu este nevoie să creezi manual conturi în Duo.
  • Modificările din AD (de ex. angajări noi, schimbări de rol, încetări de contract) sunt reflectate automat în Duo.

Cu sincronizarea AD, Cisco Duo știe ce conturi există și poate aplica MFA (multi-factor authentication) pentru acei utilizatori.

De ce este atât de important Cisco DUO Authentication Proxy?

Pentru că face legătura între cloud-ul Duo și sistemele traditionale care nu suportă nativ SAML / OIDC (ex. RADIUS, LDAP, Active Directory, VPN-uri). Nu există motive de îngrijorare privind confidențialitatea, deoarece comunicarea dintre cele două sisteme este criptată.

Studiu de caz:

Compania dumneavoastră a angajat doi contractori externi pentru a desfășura activități de dezvoltare software alături de echipa internă, prin conectarea la resursele interne folosind serviciul de VPN de acces la distanță. Compania dorește să protejeze resursele și identitățile împotriva vectorilor de atac precum furtul de credențiale și phishing, utilizând Duo MFA și SSO.

  • Contractorul la distanță a fost creat și înscris cu cea mai sigură metodă de autentificare disponibilă în Duo: autentificarea fără parolă (WebAuthn).
  • Contractorul on-site (deja sincronizat din Active Directory) a fost înscris prin crearea unei parole și a unui dispozitiv secundar (aplicația Duo Mobile).

Un sumar al pașilor următori:

  • Protejarea aplicației (VPN remote access cu Cisco Firepower Threat Defense)
  • Stabilirea unei comunicări securizate cu Duo Cloud, având noul rol de IdP (Identity Provider), prin intermediul cheilor API.
  • Înrolarea utilizatorilor pentru ambele metode de autentificare: passkeys și 2FA Duo verified push.

Protejarea aplicației – Cisco Firepower Threat Defense VPN

1. În panoul de administrare Duo Admin, în stânga meniului, click pe Applications > Application Catalog . Click +Add sub titlul aplicației Cisco Firepower Threat Defense VPN (SSO).

Protect an application – Cisco Firepower Threat Defense VPN -1

2. Localizați secțiunea Service Provider. În câmpul Cisco Firepower Base URL, introduceți vpn.dcloud.local (URL-ul pentru capătul existent al Firewall Threat Defense VPN). În câmpul Connection Profile Name, introduceți TG-RAVPN (grupul de tunel existent pentru VPN pe Firewall Threat Defense).

Protect an application – Cisco Firepower Threat Defense VPN - 2

3. Autentificați-vă în Secure Firewall Management Center (FMC) folosind contul de administrator. În Firewall Management Center, faceți click pe Devices > Certificates.

Protect an application – Cisco Firepower Threat Defense VPN - 3

4. Creați o relație de încredere între Service Provider (Secure Firepower Management Center) și IdP Duo Cloud prin adăugarea Certificate Enrollment ca IdP CA.

Protect an application – Cisco Firepower Threat Defense VPN - 4

5. Din secțiunea Objects -> Single Sign-on Server -> Add Single Sign-on Server.

Adaugă parametrii oferiți de DUO cloud pentru a te putea conecta cu succes prin intermediul cheilor API.

Protect an application – Cisco Firepower Threat Defense VPN - 5

6. Din secțiunea Devices -> Remote Access -> Advanced selectează Default-External-Browser Package.

Protect an application – Cisco Firepower Threat Defense VPN - 6

7. Editează profilul de conexiune TG-RAVPN  pentru a schimba cu noua metodă de autentificare SAML, dar și serverul de autentificare Duo_SSO.

Protect an application – Cisco Firepower Threat Defense VPN - 7

 

Înrolarea utilizatorului

În peisajul digital de astăzi, organizațiile caută în mod constant modalități de a îmbunătăți securitatea, simplificând în același timp experiența utilizatorilor. O decizie cheie în această direcție este modul în care utilizatorii se înscriu în serviciile de autentificare — fie prin solicitarea unei parole, fie prin adoptarea unei abordări fără parolă.

Înscrierea cu parolă rămâne o metodă tradițională, oferind un nivel familiar de securitate. Totuși, metoda fără parolă câștigă din ce în ce mai mult teren, deoarece reduce fricțiunile și îmbunătățește confortul utilizatorilor, eliminând nevoia de a gestiona parole.

O experiență completă fără parolă utilizează metode robuste de autentificare pentru a asigura accesul securizat fără parola tradițională. Această abordare nu doar că întărește securitatea prin reducerea suprafeței de atac a organizației, dar și simplifică experiența utilizatorului, eliminând barierele de acces.

Opțiunile flexibile de înscriere oferite de Duo, atât pentru autentificarea primară, cât și pentru cea secundară, permit organizațiilor să își adapteze strategiile de management al identității, echilibrând cerințele de securitate cu o autentificare prietenoasă pentru utilizatori.

Creează o politică de înscriere personalizată în Duo, cu constrângeri de solicitare a parolei pentru Duo SSO

1. Din meniul Policies -> User Enrollment and Account Management ->  selectează Add Policy.

Create a Custom Enrollment Policy in Duo to require passwords for Duo SSO - 1

Create a Custom Enrollment Policy in Duo to require passwords for Duo SSO - 2

2. Aplică politica de grup a utilizatorului.

Create a Custom Enrollment Policy in Duo to require passwords for Duo SSO - 3

3. Politica personalizată este aplicată grupului Contractori.

Create a Custom Enrollment Policy in Duo to require passwords for Duo SSO - 4

 

Creează și înscrie utilizatorul contractor la distanță cu o autentificare exclusiv fără parolă (WebAuth) în Duo

1. Creează un utilizator manual.

Create and enroll the remote contractor user with complete passwordless (WebAuthn) in Duo - 1

2. Urmărește link-ul de înrolare și generează un cod.

Create and enroll the remote contractor user with complete passwordless (WebAuthn) in Duo - 2

3. Folosește o cheie fizică de securitate pentru verificarea identității

Create and enroll the remote contractor user with complete passwordless (WebAuthn) in Duo - 3

4. Generează un passkey stocat pe cheia fizică de securitate.

Create and enroll the remote contractor user with complete passwordless (WebAuthn) in Duo - 4

5. Adaugă un PIN și ai terminat!

Create and enroll the remote contractor user with complete passwordless (WebAuthn) in Duo - 5

6. Verifică înrolarea pentru user-ul de tip contractor la distanță.

Create and enroll the remote contractor user with complete passwordless (WebAuthn) in Duo - 6

7. Deschide aplicația Cisco Secure Client și urmează procesul normal de logare vpn:

Create and enroll the remote contractor user with complete passwordless (WebAuthn) in Duo - 7

8. Vei întâmpina o redirecționare către pagina de logare al Duo IdP:

Create and enroll the remote contractor user with complete passwordless (WebAuthn) in Duo - 8

9. Autentifică utilizatorul folosind cheia fizică de securitate.

Create and enroll the remote contractor user with complete passwordless (WebAuthn) in Duo - 9 

10. Utilizatorul este autentificat cu succes.

Create and enroll the remote contractor user with complete passwordless (WebAuthn) in Duo - 10

 

Înscrie contractorul on-site prin crearea unei parole și înregistrarea unui dispozitiv secundar de autentificare

1. Urmează link-ul de înrolare și genereză codul pentru utilizatorul deja sincronizat în AD și anume bob.

Enroll the on-site contractor by creating a password and enrolling a secondary authentication device - 1

2. Adaugă codul de înrolare pentru contractorul din câmpul de e-mail:

Enroll the on-site contractor by creating a password and enrolling a secondary authentication device - 2

3. Adaugă parola ca prim factor în procesul de autentificare.

Enroll the on-site contractor by creating a password and enrolling a secondary authentication device - 3

4. Adaugă al doilea factor cu Duo Mobile printr-un cod de verificare.

Enroll the on-site contractor by creating a password and enrolling a secondary authentication device - 4

5. Scanează codul QR pentru înrolarea prin intermediul aplicației Duo Mobile.

Enroll the on-site contractor by creating a password and enrolling a secondary authentication device - 5

6.  Setup-ul este gata!

Enroll the on-site contractor by creating a password and enrolling a secondary authentication device - 6 Enroll the on-site contractor by creating a password and enrolling a secondary authentication device - 7

7. Verifică autentificarea pentru utilizatorul contractor on-site „bob”. Conectează-te la VPN prin Cisco Secure Client. Duo IdP o sa îți solicite introducerea numelui de utilizator pentru a putea începe procesul de autentificare.

Enroll the on-site contractor by creating a password and enrolling a secondary authentication device - 8

8. Primul factor de autentificare oferit.

Enroll the on-site contractor by creating a password and enrolling a secondary authentication device - 9

9. Introdu codul în Duo Mobile.

Enroll the on-site contractor by creating a password and enrolling a secondary authentication device - 10

10. Logare cu success!

 

Câteva puncte cheie legate de peisajul amenințărilor pe care Duo Security le poate aborda:

  • Furt de credențiale & Phishing (numele de utilizator/parolele furate rămân vectorul de atac nr. 1 – phishing, baze de date compromise de pe dark web, atacuri de tip credential stuffing).
  • Deturnarea sesiunilor & Furtul cookie-urilor.
  • Dispozitive compromise / nesupravegheate (unmanaged).
  • Amenințări interne & Mișcare laterală.
  • Lanțul de aprovizionare & accesul terților.
  • Ransomware & livrarea de malware.
  • Configurare greșită în cloud & Shadow IT.
  • Atacuri alimentate de AI (phishing cu deepfake, atacuri de tip MFA fatigue).
Pentru detalii suplimentare, completează formularul de mai jos:

Află mai multe despre Cisco Duo Security

Sunt de acord ca ALEF Group să prelucreze datele mele cu caracter personal conform politicilor GDPR

 

This site is protected by reCAPTCHA and the Google Privacy Policy and Terms of Service apply.