Настройка Проверки Уровня Риска CrowdStrike для Состояния Устройства

Обзор.

Проверки состояния устройства позволяют оценить состояние безопасности устройства перед предоставлением доступа к сетевым ресурсам или приложениям. Вы можете использовать эти проверки в политике доступа для применения условного доступа на основе таких атрибутов, как статус клиента, операционная система или настройка безопасности.

Cato получает оценку CrowdStrike Zero Trust Assessment (ZTA) для каждого устройства и позволяет вам создавать проверки состояния вокруг нее, чтобы решения о доступе отражали уровень риска, который CrowdStrike уже рассчитал для устройства. Это означает, что вы можете применять контроль доступа, основанный на риске, без необходимости поддерживать второй набор логики состояния в Приложении Управления Cato (CMA).

Эта возможность доступна как часть лицензии на ZTNA от Cato. Дополнительная лицензия не требуется.

Необходимые условия

• Интеграция управления устройствами CrowdStrike настроена в вашей учетной записи и показывает статус Подключено.

• Начальная синхронизация между Cato и CrowdStrike завершена, поэтому устройства имеют оценку уровня риска в Cato.

• Агент CrowdStrike Falcon установлен на устройстве и сообщает ZTA ускорение.

• У вас есть соответствующие разрешения в CMA для настройки Состояния устройства.

Поддерживаемые Операционные системы

Проверки уровня риска устройства CrowdStrike поддерживаются для устройств под управлением следующих операционных систем:

• Windows:

  • Полностью поддерживается для всех устройств с клиентом Cato и без него

  • Для устройств, использующих или подключенных через несколько сетевых интерфейсных карт (NICs) одновременно, требуется клиент Cato версии 6.8 или выше.

• macOS:

  • Полностью поддерживается для всех устройств с клиентом Cato и без него

  • Не поддерживается на устройствах, использующих или подключенных через несколько NICs одновременно

Устройства под управлением iOS, Android и Linux не оцениваются этой проверкой. Для этих устройств результат определяется настройкой Пройти проверку, когда оценка уровня риска устройства недоступна (см. Обработка устройств без оценки риска).

Вариант использовать

В Компании Пример есть администратор, который отвечает за контроль доступа к внутренним приложениям, таким как системы финансов и HR. Компания уже использует CrowdStrike Falcon на своих конечных точках, и команда безопасности считает, что оценка уровня риска CrowdStrike является авторитетным измерением уровня риска устройства. До настоящего времени этот сигнал существовал только в CrowdStrike: решения о доступе в Cato основывались на проверках состояния, которые администратор должен был определять и поддерживать отдельно, и устройство, помеченное CrowdStrike как рискованное, все еще могло иметь доступ к защищенным приложениям.

Проверка оценки уровня риска устройства устраняет этот разрыв. Cato получает оценку уровня риска для каждого устройства через коннектор CrowdStrike, поэтому администратор может создавать правила доступа непосредственно на основе оценки, которую команда безопасности уже доверяет, без необходимости воссоздавать ту же логику риска второй раз в Cato.

Администратор создает проверку оценки уровня риска устройства в разделе Ресурсы > Состояние устройства > Проверки устройства с критерием Оценка риска выше (включительно) 76 (низкий) и добавляет проверку в профиль Состояния устройства. Применение этого профиля в политиках доступа компании приводит к следующему поведению:

• Устройства с оценкой 76 или выше (низкий риск) проходят проверку, и профиль позволяет им получить доступ к защищенным приложениям через политики ZTNA.

• Устройства с более низкой оценкой не проходят проверку, и доступ не разрешается, если не применяются другие правила.

• Устройства без распознанной оценки уровня риска не проходят проверку, поэтому неменеджируемые или неотчетные устройства не получают доступ по умолчанию.

Компания Пример также может построить градиентную модель, создав более одной проверки и используя каждую в отдельном профиле: например, проверка низкого риска в профиле, предоставляющем полный доступ, и проверка среднего риска в профиле, предоставляющем ограниченный доступ.

О оценке уровня риска CrowdStrike

CrowdStrike непрерывно вычисляет оценку ZTA для каждого устройства с агентом Falcon, и Cato получает эту оценку через коннектор CrowdStrike. Оценки уровня риска CrowdStrike варьируются от 1 до 100, где 1 является наиболее рискованным, а 100 означает отсутствие риска.

Cato группирует оценки на четыре уровня риска:

При настройке проверки вы устанавливаете критерий как Оценка уровня риска является [оператор] [порог]:

• выше (включительно) – устройство проходит проверку, если его оценка равна или выше порога, другими словами, если оно соответствует выбранному уровню риска или безопаснее. Доступные пороги: 1 (критический), 26 (высокий), 51 (средний), и 76 (низкий). Например, выше (включительно) + 76 (низкий) позволяет устройствам с оценкой 76 или выше пройти проверку.

• ниже (включительно) – устройство проходит проверку, если его оценка равна или ниже порога, другими словами, если оно соответствует выбранному уровню риска или рискованней. Доступные пороги: 100 (низкий), 75 (средний), 50 (высокий), и 25 (критический). Например, ниже (включительно) + 25 (критический) позволяет только устройствам с оценкой 25 или ниже пройти проверку.

В каждом случае порог является граничной оценкой уровня риска в направлении оператора, поэтому вы выбираете уровень риска, а не вводите число. Это значит, что список порогов меняется при изменении оператора: выше (включительно) предлагает самый низкий балл в каждом уровне риска, и ниже (включительно) предлагает самый высокий.

Создание новой проверки состояния устройства для оценки уровня риска устройства CrowdStrike

Обработка устройств без оценки уровня риска

Устройство может не иметь распознанную оценку риска по нескольким причинам: агент Falcon не установлен, устройство еще не синхронизировано с Cato или операционная система не поддерживается этой проверкой.

Настройка Пройти проверку, когда оценка риска устройства недоступна контролирует, что происходит в этих случаях:

• Очищено (по умолчанию) – проверка не пройдена. Доступ запрещен, если только другая проверка в политике не позволяет это. Используйте это для строгой позиции 'отказ по умолчанию'.

• Выбрано – проверка пройдена. Используйте это, если вы постепенно вводите проверку, или если в вашу учетную запись входят устройства, которые CrowdStrike не охватывает и которые вы не хотите блокировать.

Создайте проверку состояния устройства на основе оценки уровня риска устройства CrowdStrike. После создания проверки вы можете применить ее к новым или существующим профилям состояния.

Настройка проверки оценки уровня риска устройства CrowdStrike

1. В CMA перейдите в Ресурсы > Состояние устройства и на вкладке Проверки устройства нажмите Новый.

2. В разделе Общие настройки предоставьте Имя и Описание этой проверки.

   1. Установите Источник в положение 3-й сторонний продавец.

   2. Установите Тип в положение Оценка уровня риска устройства.

3. В разделе Производитель установите Имя производителя в положение CrowdStrike (ZTA). Чтобы подтвердить, что коннектор для этого производителя настроен, нажмите Просмотр интеграций.

4. В разделе Критерии и Дополнительные Настройки используйте поля Оценка уровня риска является для выбора оператора и порога оценки уровня риска, который устройство должно удовлетворить, чтобы пройти эту проверку.

   • В поле оператора выберите выше (включительно) или ниже (включительно).

   • В поле порога выберите уровень риска. Предлагаемые значения зависят от оператора: 1 (критический), 26 (высокий), 51 (средний), и 76 (низкий) для выше (включительно), или 100 (низкий), 75 (средний), 50 (высокий), и 25 (критический) для ниже (включительно).

   • Например, выберите выше (включительно) и 76 (низкий), чтобы только устройства с оценкой 76 или выше прошли проверку.

5. Если вы хотите, чтобы проверка проходила, когда у Cato нет оценки уровня риска для устройства, выберите настройку Пройти проверку, когда оценка уровня риска устройства недоступна из Дополнительных Настроек.

6. Нажмите Применить.

Новая проверка добавляется в таблицу Проверки устройства, где в колонке Категория отображается Оценка уровня риска устройства, в колонке Производитель отображается CrowdStrike (ZTA), а в колонке Критерии отображается оператор и порог, которые вы выбрали.

Следующие шаги

После создания проверки добавьте ее в профиль состояния устройства и используйте этот профиль в своих политиках:

1. Добавьте проверку в новый или существующий профиль на вкладке Профили состояния устройства. Для получения дополнительной информации см. Создание профилей состояния устройства и проверок устройства.

2. Используйте профиль в своих политиках доступа, таких как Политика Подключения Клиента, Межсетевой экран для Интернета, или Правила Брандмауэра WAN.