UniFi Ubiquiti Fabric

UniFi Fabric VLANide loomine

Võrkude loomine UniFi UDM võrguseadmes, kopeerimine Fortinet VLANid kasutades UniFi Fabric Cloud liidest. VLANID: "Proxmox, DMZ, INT-WiFi, AP Management, Servers". Kõik võrgud on võimalik lisada kasutades pilvehaldus ligipääsu, millel valid sobiva asukoha võrguseadmed ning lisad vastavalt planeeritud Võrgud.

Sissetungi tõkestamise süsteem (Intrusion Prevention) lisamine kasutades UniFi Fabric. IPS süsteemi tuleb lisada kõikidesse võrkudesse vastavalt VLAN id numbritele. Või kui tegemist on gateway IP siis on võrgu nimeks "Native".

UniFi toodab tasuta üle 20k+ sissetungi tõkestamissüsteemi signatures, milles on lisatud turvanõrkused, ründevara ja lunavara. UniFi Cybersecure Proofpointi litsentsiga saab üle 60k+ signatures.

All poolel on näide Intrusion Preventioni seadmisest ning VLAN ID määramine. IPS reziimil tuleb sisselülitada "Notify and Block", IDS puhul "Notify". Active Detection's on kõik signaturi kategooriad, mida UniFi kasutab rünnakute/botneti blokeerimiseks.

Veebifilter, mille kategooriad kaatuvad Malicious & Adult blocklistiga, vajadusel on võimalik lisada domeenid blocklisti alla, võimalik ka lisada mitut domeeni. Sync staatus näitab veebifiltrii sünkroniseerimist seadme vahel. Seadme sees veebifiltriit ei saa muuta, mis on lisatud UniFi Fabric abil.

UniFi Ubiquiti SG turvalisuse tõstmiseks olen rakendanud uued tulemüüri reeglid ning "Threat Intelligence" URLhaus poolt. Tulemüüri reeglid "Block Malicious Definitions" ja "Block Malicious IP C2".

"Block Malicious Definitons" alla lähevad kõik ründevara domeenid, mida kasutatakse pahavara / lunavara levitamiseks. Antud domeenid on kõige uuemad ning uuendan neid ruutiniga igapäev.  Antud andmebaas on kõige uuem ning paljudes turvasüsteemides ei uuendada nii kiiresti kui antud teenusel. Peamine interval on iga nelja tunni jooksul ning võtab kõik veebilingid, mis on staatusega Online, seejärel Offline.

"Block Malicious IP C2" andmebaas on mõeldud IP-aadressid, mida ründajad kasutavad botneti levikuks ning "Command and Control" süsteemiks. Antud IP-aadressite blokeerimine aitab takistada võimalikud rünnakud sisevõrgus ning abistab luua IoC tuvastust.

Site Managerist saab koguda sissetungi tuvastamise ja tõkestamise süsteemi logid. Kõik logid staatusega "High" ja "Critical". Võimalik on valida asukohta "Johvi-Fabric" ning uurida süsteemi logisid.

Network Client, VPN serveri seadistamine.

Tulemüüri reeglite koostamine, kus blokeerimine ära ühendust VLANide vahel. Selleks navigeeru Network & Profiles. Loo uus Port/IP grupp, mis määrad võrgu subneti ehk 192.168.20.0/24

Neljast võrgu pordidest tehtud profiilid, mida kasutame tulemüüri reeglites, et kehtestada võrguliikuse piirangud

Edasi navigeeru Network & Security. Vali "Traffic & Firewall Rules", kus saab hakkata seadistama tulemüüri reeglid kasutades loodud võrguprofiile

vNet10 liikluse blokeerimine. 

• Protokoll = "All", 

• Action = "Drop", 

• Source Type =  "Network",

• Network = "Hariduse-vNet10"

• Network Type = "IPv4 Subnet"

• Destination Type = "Port/IP group"

• Address Group = "vNet20-Profile"

• Port Group = "Any"

• Advanced = "Manual"

• Logging (lülita sisse logimine SIEM teenuse jaoks)

Ülejäänud profiilide blokeerimine ning aktiivsuse logimine

Võrguliikuse Geo vaade.

Võrguliikluse ülevaade

Võrgupordide seadistamine. Port1:

• Native VLAN / Network = "Hariduse-vNet10"

• Tagged VLAN Management = "Block All"

• Advanced = "Auto"

Port2, Port 3 ja Port4 saab seadistada sama moodi

Jõhvi Office UDM vNet isoleerimine

Antud lahendus annab võimalust lisada rohkem turvalisust ning piirab ära lõpp kasutajatel ligipääseda UDM veebiliidesele. Selleks navigeeru Settings > Policy Engine > Create Policy

• Name: Blocking vNet10 -> vNet20

• Source Zone: Network (Hariduse-vNet10)

• Port: (Any)

• Action: Block

• Destination Zone: Internal (Network) (Hariduse-vNet20)

• Port: (Any)

• IP version: (Both)

• Enable Syslog Logging

Näide blokeerimisest vNet10 -> vNet20 ühendused, päringud ja võrgupordid

All pildil on näha ICMP U7Lite pingimine, mis näitab, et "Request timed out", mille tõttu on Unifi Stateful Firewall ära blokeerinud päringut Windows -> U7Lite

Jõhvi Office UDM Veebiliidese ligipääsu piiramine kõikides võrkudes

Kui kasutame Cloud Management siis ei näe mõttet jätta veebiliidese ligipääsu internal võrku, mis võib tuua erinevad turvariske

Selleks et blokeerida antud unifi network veebiliidest navigeeru Settings > Policy Engine > Firewall > Create Policy

• Source Zone: Internal (Network) Kõik vNet10-40

• Action: Block

• Destination Zone: Gateway

• IP: (Gateway IP aadress)

• Enable Syslog

Ubiquiti Unifi U7lite Access pointi paigaldamine Hariduse võrku

Unifi Access pointi paigaldamiseks on vaja PoE teotavat võrguseadet või Unifi PoE Injektor.

• <-> võrgupesa läheb tavaline võrgukaabel, mis tuleb Unifi Gatewaylt. 

• PoE tuleb teine võrgukaabel, mida tuleb ühendada otse U7lite access pointi.

Unifi Cloud Gateway U7Lite seadistamine

Navigeeru unifi veebiliidesele ning tee kindlaks, et U7Lite on ühendunud Cloud Gateway seadmega. Antud Hariduse võrgus on blokeeritud lokaalse veebiliidese ligipääs, seetõttu võib tekkida probleem U7lite ja Unifi Gatewayga ühendumine.

Firewall logide näidis:

Selle parandamiseks tegin uue tulemüüri reegli, kus lubasin antud seadmel ligipääsu veebiliidesele ning Gateway'le IP-aadressile

Firewall Policy:

• Name: Allowing U7Lite to Gateway

• Source Zone: Internal

• Specific: <U7Lite IP>

• Action: Allow

• Destination: Gateway

• Specific: <Gateway IP>

• Enable syslog logging

Wifi Seadistamine U7Lite Access Point

Navigeeru "Settings > Overview > WiFi > Create New"

Name: unifi.wifi.hariduse

Password: <Vali hea ja tugev parool, soovitatav genereerida Keepass'is>

Network: "Native Network"

Broadcasting APs: "All"

Advanced: "Manual"

WiFi Band: 2.4GHz ja 5GHz

Client Device Isolation: Jah

MAC Address Filter:  "Add Client" ning valin "iPhone" ning Filter Type:  "Allow"

Security Protocol: "WPA3"