Identiteettitietoisen verkkoarkkitehtuurin käyttöönoton testaus Kanta-Hämeen Sairaanhoitopiirissä

Abstract

Tietoverkkojen käyttäjämäärät sekä verkkolaitteiden määrät ovat hurjassa kasvussa. Kanta-Hämeen Keskussairaalan kokoisessa laitoksessa verkkoa käyttävien ihmisten ja laitteiden määrä on päivittäin tuhansissa. Jotta verkon käyttö pysyisi tietoturvallisena ei toimintaa voida jatkaa entisellään.

Tässä opinnäytetyössä keskitytään Cisco Systemsin ratkaisuun hallita suurien käyttäjä- ja päätelaitemäärien pääsyä verkkoon hallitusti ja tietoturvallisesti. Opinnäytetyössä asennetaan KHSHP:n verkkoon Identity Services Engine joka hoitaa dynaamista 802.1X pääsynhallintaa, sertifikaattipalvelut, sekä Prime-järjestelmä verkkolaitteiden keskitettyä hallintaa varten. Tavoitteena on testata kuinka helposti tämä ratkaisu olisi otettavissa tuotantokäyttöön ja olisiko ratkaisu tarkoituksenmukainen.

Työn teoriaosuudessa keskitytään IEEE 802.1X standardiin sekä siinä käytettyihin erilaisiin protokolliin kuten EAP ja RADIUS. Työssä esitellään myös mitä identiteettitietoinen verkkoarkkitehtuuri on, sekä ne Ciscon ohjelmistot ja laitteistot joita työssä tullaan käyttämään.

Työssä ISE:lle konfiguroitiin halutut autentikointi ja autorisointi politiikat ja identiteettilähteet. 802.1X tunnistautumismenetelmiä testattiin käyttöjärjestelmillä Windows XP ja Windows 7. Molempien käyttöjärjestelmien omien supplikanttien lisäksi Ciscon Anyconnectin toimivuus testattiin läpikotaisin. ISE:llä käytettiin niin sanottua ”Monitor Modea” jolloin testaus voitiin suorittaa käyttäjiä häiritsemättä. Prime-järjestelmä käytiin läpi pintapuolisemmin, mutta toimivuus saatiin testattua ja todettua hyväksi.

Työn tuloksena saatiin vahvaa näyttöä ISE:n toimivuudesta sairaalaympäristössä. Supplikantit saatiin konfiguroitua onnistuneesti ja konfiguraatiot ovat valmiita jaeltavaksi kaikille koneille. Työ dokumentoitiin ISE:n mahdollista tuotantokäyttöä varten selkeäksi ohjeeksi.

Amount of users and devices in networks are rising rapidly. In department size of Kanta-Häme Central Hospital, there are thousands of invidual users and devices utilizing our network every day. To gurantee a safe network usage to everyone we can’t continue operating like we are doing now.

In this thesis we concentrate in Cisco Systems’ solution to handle access control and safety for large volume of network clients. During this thesis we deploy Identity Services Engine to the hospital network that manages dynamic 802.1X access control, install certificate server and setup Prime Infrastructure for centralized managing of network devices. Objective is to test how easy or not it would be to harness this solution into production network and would it be functional for our needs.

In the theory part of this thesis we focus on IEEE 802.1X standard and it’s protocols like EAP and RADIUS. Thesis also introduces what identity aware network architechture is and all the software and hardware we use to create it.

During the thesis project we configured different authentication and au-thorization politics and identity sources into Cisco ISE. 802.1X authentication methods were tested on Windows XP and Windows 7. In addition to native supplicants of both operating systems, we tested Cisco’s Anyconnect supplicant thoroughly. So called “Monitor Mode” was used in ISE to test all the configurations and politics without disturbing any of the clients. Testing of Prime Infrastructure was more or less perfunctory, but still, it’s functionality was proven to be of great worth.

As a result for this thesis we got vast amount of hard evidence that talks in behalf of ISE and its positive functionality in hospital network environment. All the supplicants were successfully configured and those configu-rations are ready to be deployed to the workstations. Thesis was also documented as a guide for future deployment of ISE in hospital environment.