Какво е Sophos Clientless SSO Authentication?
Еднократната автентикация на Sophos Възможността за еднократно удостоверяване в Sophos XG е под формата на Sophos Transparent Authentication Suite (STAS).
STA комплекта се състои от:
STA агент: получава Наблюдава заявките , които подават на потребителите за удостоверяване пред защитната стена на Sophos и изпраща получената информация до STA колекторав AD и ги изпраща към STA Collector-а за удостоверяване;
STA колектор: събира заявките от STA агента, обработва ги и ги изпраща за удостоверяване към Sophos XG Firewall.
...
(кликнете върху изображението за пълен размер)
Потребителя дава заявка (автентикира се ) удостоверява пред домейн контролера на активната директория, от която и да е работна машина във вътрешната мрежа. Домейн контролера удостоверява креденшълите на потребителяпотребителя на базата на неговите креденшали (потребителско име и парола).
Активната директория получава информация за сесията и създава спъсък с логове за одит на сигурността. След успешна автентикация успешно удостоверяване на потребителя, активната директория създава събитие с ID 672 (Windows 2003) или 4768 (Windows 2008 и по-нови версии, включително Windows Server 2019).
Агентът, наблюдавайки сървъра на активната директория, извлича информацията за сесията за влизане от потребителя, с помощта на гореспоменатите събития.
Агентът, изпраща едновременно потребителското име и IP адреса на колектора към порт 5566 TCP.
Колектора изпраща към XG защитната стена успешни ъпдейти за автентикация удостоверяване към порт 6060 UDP.
Ако XG защитната стена види трафик от IP адрес, за който няма информация, може се обърне към колектора за информация чрез порт 6677.
Потребителя прави заявка за достъпване на Интернет.
Защитната стена на XG търси съвпадение с информацията на потребителя и неговата локална потребителска “карта”(групова политика), за да приложи политиките за сигурност.
На база информацията, дадена от STA агента, XG защитната стена се обръща към сървъра на активната директория, за да определи какъв достъп да бъде предоставен или да бъде отказан. Потребителите, които вече имат директен(или локален) достъп до работната станция, но не са се автентикирали удостоверили пред домейна, няма да бъдат удобрени одобрени за автентикация удостоверяване и ще се считат за неоторизирани потребители. За потребители които не са достъпили домейна, каптивния портал ще покаже страница за автентикация удостоверяване “логин”.
Конфигурации
Конфигурации на сървъра на активната директория (ADS)
...
Отворете Security Settings > Local Policies > Audit Policy и кликнете двукратно и кликнете два пъти върху Audit account logon, за да се отвори прозореца Audit account logon events Properties.
...
Докато все още сте в прозореца Local Security Policy, отворете Security Settings > Local Policies > User Rights Assignment и кликнете двукратно два пъти върху Log on as a service, за да видите Log on as a service Properties.
Ако администратора, който е инсталирал и стартирал STAS не е посочен в списъка, изберете Add User or Group и добавете потребителя. Изберете OK, за да затворите прозореца.
...
(кликнете върху изображението за пълен размер)
Конфигурирайте защитната стена на Windows и/или друг софтуер на защитна стена, за да се разрешикомуникацията разреши комуникацията през следните портове:
AD сървъри: Inbound UDP 6677, Outbound UDP 6060, Outbound TCP 135 & 445 (if using Workstation Polling Method WMI or Registry Read Access), Outbound ICMP (if using Logoff Detection Ping), Inbound/Outbound UDP 50001 (collector test), Inbound/Outbound TCP 27015 (config sync).
Работни машини: Inbound TCP 135 & 445 (if using Workstation Polling Method WMI or Registry Read Access), Inbound ICMP (if using Logoff Detection Ping).
...
Когато защитната стена на XG засече неавтентикиран неудостоверен трафик от IP адрес, STAS ще приложи този IP адрес към режим на обучение и ще изпрати заявка към колекторите за потребителска информация от този IP адрес. Докато е в режим на обучение, защитната стена блокира трафика, генериран от този IP адрес.
От версия 17.05 GA на SFOS, има нова функция, наречена Забрани клиентски трафик по време на проучване (Restrict client traffic during identity probe). Тази настройка е нагласена на Yes по подразбиране, което е следствие на поведението на XG защитната стена, както е обяснено по-горе. Ако правилото (Restrict client traffic during identity probe) е нагласено на No, защитната стена XG ще позволи неавтентикиран неудостоверен трафик да премине (по време на зададеното зададения период от време за проучване) и съответно ще обработи този неавтентикиран неудостоверен трафик, като използва правилата на защитната стена за неавтентикиран неудостоверен трафик.
...
(кликнете върху изображението за пълен размер)
...
По подразбиране, времето за преминаване на неавтентикиран неудостоверен трафик (Identity probe time-out) е зададено за 120 секунди. За да потвърдите тази стойност, влезте в WebAdmin и отидете на Authentication > STAS, както е показано на изображението отгоре, или влезте в интерфейса на командния ред (Command Line Interface(CLI)) и изберете опция 4. Device Console и напишете следната команда:
...
| Note |
|---|
Забележки:
|
...
Препоръчва се на администраторите да изключат IP адреси, които влизат в активната директория от името на потребители, като например Microsoft Exchange, от секцията на вход/изход списъка за изключения, както и да направите изключение на потребителски услуги, като например системи за дистрибуция на софтуер, колектори на логове и т.н. , от секцията в STAS за изключения на влезнали потребители. В противен случай, когато един акаунт за потребителски услуги извърши автентикация удостоверяване с различен потребител, STAS ще го регистрира и ще излезе от действителния (реален) потребителски акаунт. Същото поведение важи и за другите услуги, които се автентикират удостоверяват пред домейн контролера на от името на потребителя.
...