Ако имате контролер, няма проблем: как лесно да поддържате вашата безжична мрежа

През 2019 г. консултантската компания Miercom проведе независима технологична оценка на Wi-Fi 6 контролерите от серията Cisco Catalyst 9800. За това изследване беше сглобен тестов стенд от Cisco Wi-Fi 6 контролери и точки за достъп, а техническото решение беше оценявани в следните категории:

• Наличност;
• сигурност;
• Автоматизация.

Резултатите от изследването са показани по-долу. От 2019 г. функционалността на контролерите от серията Cisco Catalyst 9800 е значително подобрена - тези точки също са отразени в тази статия.

Можете да прочетете за други предимства на технологията Wi-Fi 6, примери за изпълнение и области на приложение тук.

Преглед на решението

Wi-Fi 6 контролери Cisco Catalyst 9800 серия

Безжичните контролери от серия Cisco Catalyst 9800, базирани на операционната система IOS-XE (използвана също за комутатори и рутери на Cisco), се предлагат в различни опции.

По-старият модел на контролера 9800-80 поддържа пропускателна способност на безжичната мрежа до 80 Gbps. Един контролер 9800-80 поддържа до 6000 точки за достъп и до 64 000 безжични клиента.

Моделът от среден клас, контролерът 9800-40, поддържа пропускателна способност до 40 Gbps, до 2000 точки за достъп и до 32 000 безжични клиента.

В допълнение към тези модели конкурентният анализ включва и безжичния контролер 9800-CL (CL означава Cloud). 9800-CL работи във виртуални среди на VMWare ESXI и KVM хипервайзори и неговата производителност зависи от специалните хардуерни ресурси за виртуалната машина на контролера. В максималната си конфигурация контролерът Cisco 9800-CL, подобно на по-стария модел 9800-80, поддържа мащабируемост до 6000 точки за достъп и до 64 000 безжични клиента.

При провеждане на изследвания с контролери са използвани точки за достъп от серия Cisco Aironet AP 4800, поддържащи работа на честоти от 2,4 и 5 GHz с възможност за динамично превключване към двоен 5-GHz режим.

изпитателен стенд

Като част от тестването беше сглобен стенд от два безжични контролера Cisco Catalyst 9800-CL, работещи в клъстер и точки за достъп от серия Cisco Aironet AP 4800.

Като клиентски устройства са използвани лаптопи на Dell и Apple, както и смартфон Apple iPhone.

Тестване на достъпността

Наличността се определя като способността на потребителите да имат достъп и да използват система или услуга. Високата достъпност предполага непрекъснат достъп до система или услуга, независимо от определени събития.

Високата достъпност беше тествана в четири сценария, като първите три сценария бяха предвидими или планирани събития, които биха могли да се случат по време на или след работно време. Петият сценарий е класически провал, който е непредвидимо събитие.

Описание на сценариите:

• Корекция на грешки – микро-актуализация на системата (корекция на грешка или корекция за сигурност), която ви позволява да коригирате определена грешка или уязвимост без пълно актуализиране на системния софтуер;
• Функционална актуализация – добавяне или разширяване на текущата функционалност на системата чрез инсталиране на функционални актуализации;
• Пълна актуализация – актуализиране на софтуерния образ на контролера;
• Добавяне на точка за достъп – добавяне на нов модел точка за достъп към безжична мрежа без необходимост от преконфигуриране или актуализиране на софтуера на безжичния контролер;
• Повреда—повреда на безжичния контролер.

Коригиране на грешки и уязвимости

Често, при много конкурентни решения, корекцията изисква пълна актуализация на софтуера на системата за безжичен контролер, което може да доведе до непланиран престой. В случая на решението на Cisco, корекцията се извършва без спиране на продукта. Пачовете могат да бъдат инсталирани на всеки от компонентите, докато безжичната инфраструктура продължава да работи.

Самата процедура е доста проста. Файлът с корекцията се копира в папката за зареждане на един от безжичните контролери на Cisco и след това операцията се потвърждава чрез GUI или командния ред. Освен това можете също да отмените и премахнете корекцията чрез GUI или командния ред, също без да прекъсвате работата на системата.

Функционална актуализация

Прилагат се функционални софтуерни актуализации, за да се активират нови функции. Едно от тези подобрения е актуализирането на базата данни със сигнатури на приложението. Този пакет беше инсталиран на контролери на Cisco като тест. Точно както при пачовете, актуализациите на функции се прилагат, инсталират или премахват без престой или прекъсване на системата.

Пълна актуализация

В момента пълната актуализация на изображението на софтуера на контролера се извършва по същия начин като функционална актуализация, тоест без престой. Тази функция обаче е налична само в конфигурация на клъстер, когато има повече от един контролер. Пълната актуализация се извършва последователно: първо на единия контролер, след това на втория.

Добавяне на нов модел на точка за достъп

Свързването на нови точки за достъп, които преди това не са били управлявани с използвания софтуерен образ на контролера, към безжична мрежа е доста обичайна операция, особено в големи мрежи (летища, хотели, фабрики). Доста често в решенията на конкурентите тази операция изисква актуализиране на системния софтуер или рестартиране на контролерите.

При свързване на нови Wi-Fi 6 точки за достъп към клъстер от контролери от серия Cisco Catalyst 9800 не се наблюдават подобни проблеми. Свързването на нови точки към контролера се извършва без актуализиране на софтуера на контролера и този процес не изисква рестартиране, като по този начин не засяга безжичната мрежа по никакъв начин.

Повреда на контролера

Тестовата среда използва два Wi-Fi 6 контролера (Active/StandBy) и точката за достъп има директна връзка с двата контролера.

Единият безжичен контролер е активен, а другият съответно е резервен. Ако активният контролер се повреди, резервният контролер поема и състоянието му се променя на активно. Тази процедура се извършва без прекъсване за точката за достъп и Wi-Fi за клиентите.

сигурност

Този раздел обсъжда аспекти на сигурността, което е изключително належащ проблем в безжичните мрежи. Сигурността на решението се оценява въз основа на следните характеристики:

• Разпознаване на приложения;
• Проследяване на потока;
• Анализ на криптиран трафик;
• Откриване и предотвратяване на проникване;
• Средства за удостоверяване;
• Инструменти за защита на клиентските устройства.

Разпознаване на приложения

Сред разнообразието от продукти на корпоративния и индустриалния Wi-Fi пазар има разлики в това колко добре продуктите идентифицират трафика по приложение. Продукти от различни производители може да идентифицират различен брой приложения. Въпреки това, много от приложенията, които конкурентните решения изброяват като възможни за идентифициране, всъщност са уебсайтове, а не уникални приложения.

Има още една интересна характеристика на разпознаването на приложения: решенията се различават значително по отношение на точността на идентификация.

Като вземем предвид всички проведени тестове, можем отговорно да заявим, че Wi-Fi-6 решението на Cisco извършва много точно разпознаване на приложения: Jabber, Netflix, Dropbox, YouTube и други популярни приложения, както и уеб услуги, бяха точно идентифицирани. Решенията на Cisco могат също да се гмурнат по-дълбоко в пакетите с данни, използвайки DPI (Deep Packet Inspection).

Проследяване на трафик потока

Друг тест беше проведен, за да се види дали системата може точно да проследява и докладва потоци от данни (като големи движения на файлове). За да се тества това, файл от 6,5 мегабайта беше изпратен по мрежата с помощта на протокол за прехвърляне на файлове (FTP).

Решението на Cisco се справи напълно със задачата и успя да проследи този трафик благодарение на NetFlow и неговите хардуерни възможности. Трафикът беше открит и идентифициран незабавно с точното количество прехвърлени данни.

Криптиран анализ на трафика

Трафикът на потребителски данни все повече се криптира. Това се прави, за да се предпази от проследяване или прихващане от нападатели. Но в същото време хакерите все повече използват криптиране, за да скрият своя злонамерен софтуер и да извършват други съмнителни операции като Man-in-the-Middle (MiTM) или атаки за записване на клавиатури.

Повечето фирми проверяват част от своя криптиран трафик, като първо го дешифрират с помощта на защитни стени или системи за предотвратяване на проникване. Но този процес отнема много време и не е от полза за работата на мрежата като цяло. Освен това, веднъж дешифрирани, тези данни стават уязвими за любопитни очи.

Контролерите от серия Cisco Catalyst 9800 успешно решават проблема с анализирането на криптиран трафик с други средства. Решението се нарича Encrypted Traffic Analytics (ETA). ETA е технология, която към момента няма аналози в конкурентни решения и която открива зловреден софтуер в криптиран трафик, без да е необходимо да го дешифрира. ETA е основна функция на IOS-XE, която включва Enhanced NetFlow и използва усъвършенствани поведенчески алгоритми за идентифициране на модели на злонамерен трафик, криещи се в криптиран трафик.

ETA не декриптира съобщения, но събира профили с метаданни на криптирани потоци от трафик - размер на пакета, времеви интервали между пакетите и много други. След това метаданните се експортират в записи на NetFlow v9 към Cisco Stealthwatch.

Ключовата функция на Stealthwatch е постоянно да следи трафика, както и да създава базова линия за нормална мрежова активност. Използвайки криптирани метаданни на потока, изпратени му от ETA, Stealthwatch прилага многопластово машинно обучение, за да идентифицира поведенческите аномалии в трафика, които могат да показват подозрителни събития.

Миналата година Cisco ангажира Miercom да направи независима оценка на решението си Cisco Encrypted Traffic Analytics. По време на тази оценка Miercom отделно изпрати известни и неизвестни заплахи (вируси, троянски коне, рансъмуер) в криптиран и некриптиран трафик през големи ETA и не-ETA мрежи, за да идентифицира заплахи.

За тестване беше пуснат зловреден код и в двете мрежи. И в двата случая подозрителната дейност е била разкрита постепенно. Мрежата ETA първоначално открива заплахи с 36% по-бързо от мрежата без ETA. В същото време, с напредването на работата, производителността на откриване в мрежата ETA започна да се увеличава. В резултат на това, след няколко часа работа, две трети от активните заплахи бяха успешно открити в мрежата ETA, което е два пъти повече, отколкото в мрежата без ETA.

ETA функционалността е добре интегрирана със Stealthwatch. Заплахите се класират по тежест и се показват с подробна информация, както и опции за коригиране, след като бъдат потвърдени. Заключение – ETA работи!

Откриване и предотвратяване на проникване

Cisco вече разполага с друг ефективен инструмент за сигурност - Cisco Advanced Wireless Intrusion Prevention System (aWIPS): механизъм за откриване и предотвратяване на заплахи за безжичните мрежи. Решението aWIPS работи на ниво контролери, точки за достъп и софтуер за управление на Cisco DNA Center. Откриването, предупреждаването и предотвратяването на заплахи съчетава анализ на мрежовия трафик, мрежово устройство и информация за топологията на мрежата, техники, базирани на сигнатури, и откриване на аномалии, за да предостави изключително точни и предотвратими безжични заплахи.

Напълно интегрирайки aWIPS във вашата мрежова инфраструктура, можете непрекъснато да наблюдавате безжичния трафик както в кабелни, така и в безжични мрежи и да го използвате за автоматично анализиране на потенциални атаки от множество източници, за да осигурите възможно най-цялостното откриване и предотвратяване.

Средства за удостоверяване

В момента, в допълнение към класическите инструменти за удостоверяване, решенията от серията Cisco Catalyst 9800 поддържат WPA3. WPA3 е най-новата версия на WPA, която е набор от протоколи и технологии, които осигуряват удостоверяване и криптиране за Wi-Fi мрежи.

WPA3 използва едновременна автентификация на равни (SAE), за да осигури най-силната защита на потребителите срещу опити за отгатване на парола от трети страни. Когато клиент се свърже с точка за достъп, той извършва SAE обмен. Ако успее, всеки от тях ще създаде криптографски силен ключ, от който ще бъде извлечен ключът на сесията, след което ще влезе в състояние на потвърждение. След това клиентът и точката за достъп могат да въвеждат състояния на ръкостискане всеки път, когато трябва да се генерира сесиен ключ. Методът използва предна секретност, при която нападателят може да разбие един ключ, но не и всички останали ключове.

Това означава, че SAE е проектиран по такъв начин, че нападателят, прихващащ трафик, има само един опит да отгатне паролата, преди прихванатите данни да станат безполезни. За да организирате дълго възстановяване на паролата, ще ви е необходим физически достъп до точката за достъп.

Защита на клиентското устройство

Безжичните решения от серията Cisco Catalyst 9800 понастоящем осигуряват основната функция за защита на клиентите чрез Cisco Umbrella WLAN, базирана на облак услуга за мрежова сигурност, която работи на ниво DNS с автоматично откриване както на известни, така и на нововъзникващи заплахи.

Cisco Umbrella WLAN осигурява на клиентските устройства сигурна връзка с интернет. Това се постига чрез филтриране на съдържанието, тоест чрез блокиране на достъпа до ресурси в Интернет в съответствие с корпоративната политика. По този начин клиентските устройства в Интернет са защитени от зловреден софтуер, ransomware и фишинг. Прилагането на правилата се основава на 60 непрекъснато актуализирани категории съдържание.

Автоматизация

Днешните безжични мрежи са много по-гъвкави и сложни, така че традиционните методи за конфигуриране и извличане на информация от безжичните контролери не са достатъчни. Мрежовите администратори и специалистите по информационна сигурност се нуждаят от инструменти за автоматизация и анализи, което подтиква доставчиците на безжични устройства да предлагат такива инструменти.

За да решат тези проблеми, безжичните контролери от серията Cisco Catalyst 9800, заедно с традиционния API, осигуряват поддръжка за протокола за мрежова конфигурация RESTCONF / NETCONF с езика за моделиране на данни YANG (Yet Another Next Generation).

NETCONF е базиран на XML протокол, който приложенията могат да използват, за да заявяват информация и да променят конфигурацията на мрежови устройства като безжични контролери.

В допълнение към тези методи, контролерите от серия Cisco Catalyst 9800 предоставят възможност за улавяне, извличане и анализ на данни от информационния поток, използвайки протоколите NetFlow и sFlow.

За моделиране на сигурността и трафика способността за проследяване на конкретни потоци е ценен инструмент. За да се реши този проблем, беше внедрен протоколът sFlow, който ви позволява да улавяте два пакета от всеки сто. Понякога обаче това може да не е достатъчно, за да се анализира и адекватно проучи и оцени потока. Следователно алтернатива е NetFlow, внедрен от Cisco, който ви позволява 100% да събирате и експортирате всички пакети в определен поток за последващ анализ.

Друга функция, налична само в хардуерната реализация на контролерите, която ви позволява да автоматизирате работата на безжичната мрежа в контролерите от серия Cisco Catalyst 9800, е вградената поддръжка на езика Python като добавка за използване скриптове директно на самия безжичен контролер.

И накрая, контролерите от серия Cisco Catalyst 9800 поддържат доказания SNMP версия 1, 2 и 3 протокол за операции по наблюдение и управление.

По този начин, по отношение на автоматизацията, решенията от серия Cisco Catalyst 9800 напълно отговарят на съвременните бизнес изисквания, предлагайки както нови и уникални, така и изпитани във времето инструменти за автоматизирани операции и анализи в безжични мрежи от всякакъв размер и сложност.

Заключение

В решенията, базирани на контролерите от серия Cisco Catalyst 9800, Cisco демонстрира отлични резултати в категориите висока достъпност, сигурност и автоматизация.

Решението напълно отговаря на всички изисквания за висока наличност, като например прекъсване на срив за под секунди по време на непланирани събития и нулев престой за планирани събития.

Контролерите от серия Cisco Catalyst 9800 осигуряват цялостна сигурност, която осигурява задълбочена проверка на пакети за разпознаване и контрол на приложенията, пълна видимост на потоците от данни и идентифициране на заплахи, скрити в криптиран трафик, както и усъвършенствани механизми за удостоверяване и сигурност за клиентски устройства.

За автоматизация и анализ, серията Cisco Catalyst 9800 предлага мощни възможности, използвайки популярни стандартни модели: YANG, NETCONF, RESTCONF, традиционни API и вградени Python скриптове.

Така Cisco за пореден път потвърждава статута си на водещ световен производител на мрежови решения, в крак с времето и отчитайки всички предизвикателства на съвременния бизнес.

За повече информация относно фамилията превключватели Catalyst посетете уебсайт циско.

Източник: www.habr.com

През 2019 г. консултантската компания Miercom проведе независима технологична оценка на Wi-Fi 6 контролерите от серията Cisco Catalyst 9800. За това изследване беше сглобен тестов стенд от Cisco Wi-Fi 6 контролери и точки за достъп, а техническото решение беше оценявани в следните категории:

• Наличност;
• сигурност;
• Автоматизация.

Резултатите от изследването са показани по-долу. От 2019 г. функционалността на контролерите от серията Cisco Catalyst 9800 е значително подобрена - тези точки също са отразени в тази статия.

Можете да прочетете за други предимства на технологията Wi-Fi 6, примери за изпълнение и области на приложение тук.

Преглед на решението

Wi-Fi 6 контролери Cisco Catalyst 9800 серия

Безжичните контролери от серия Cisco Catalyst 9800, базирани на операционната система IOS-XE (използвана също за комутатори и рутери на Cisco), се предлагат в различни опции.

По-старият модел на контролера 9800-80 поддържа пропускателна способност на безжичната мрежа до 80 Gbps. Един контролер 9800-80 поддържа до 6000 точки за достъп и до 64 000 безжични клиента.

Моделът от среден клас, контролерът 9800-40, поддържа пропускателна способност до 40 Gbps, до 2000 точки за достъп и до 32 000 безжични клиента.

В допълнение към тези модели конкурентният анализ включва и безжичния контролер 9800-CL (CL означава Cloud). 9800-CL работи във виртуални среди на VMWare ESXI и KVM хипервайзори и неговата производителност зависи от специалните хардуерни ресурси за виртуалната машина на контролера. В максималната си конфигурация контролерът Cisco 9800-CL, подобно на по-стария модел 9800-80, поддържа мащабируемост до 6000 точки за достъп и до 64 000 безжични клиента.

При провеждане на изследвания с контролери са използвани точки за достъп от серия Cisco Aironet AP 4800, поддържащи работа на честоти от 2,4 и 5 GHz с възможност за динамично превключване към двоен 5-GHz режим.

изпитателен стенд

Като част от тестването беше сглобен стенд от два безжични контролера Cisco Catalyst 9800-CL, работещи в клъстер и точки за достъп от серия Cisco Aironet AP 4800.

Като клиентски устройства са използвани лаптопи на Dell и Apple, както и смартфон Apple iPhone.

Тестване на достъпността

Наличността се определя като способността на потребителите да имат достъп и да използват система или услуга. Високата достъпност предполага непрекъснат достъп до система или услуга, независимо от определени събития.

Високата достъпност беше тествана в четири сценария, като първите три сценария бяха предвидими или планирани събития, които биха могли да се случат по време на или след работно време. Петият сценарий е класически провал, който е непредвидимо събитие.

Описание на сценариите:

• Корекция на грешки – микро-актуализация на системата (корекция на грешка или корекция за сигурност), която ви позволява да коригирате определена грешка или уязвимост без пълно актуализиране на системния софтуер;
• Функционална актуализация – добавяне или разширяване на текущата функционалност на системата чрез инсталиране на функционални актуализации;
• Пълна актуализация – актуализиране на софтуерния образ на контролера;
• Добавяне на точка за достъп – добавяне на нов модел точка за достъп към безжична мрежа без необходимост от преконфигуриране или актуализиране на софтуера на безжичния контролер;
• Повреда—повреда на безжичния контролер.

Коригиране на грешки и уязвимости

Често, при много конкурентни решения, корекцията изисква пълна актуализация на софтуера на системата за безжичен контролер, което може да доведе до непланиран престой. В случая на решението на Cisco, корекцията се извършва без спиране на продукта. Пачовете могат да бъдат инсталирани на всеки от компонентите, докато безжичната инфраструктура продължава да работи.

Самата процедура е доста проста. Файлът с корекцията се копира в папката за зареждане на един от безжичните контролери на Cisco и след това операцията се потвърждава чрез GUI или командния ред. Освен това можете също да отмените и премахнете корекцията чрез GUI или командния ред, също без да прекъсвате работата на системата.

Функционална актуализация

Прилагат се функционални софтуерни актуализации, за да се активират нови функции. Едно от тези подобрения е актуализирането на базата данни със сигнатури на приложението. Този пакет беше инсталиран на контролери на Cisco като тест. Точно както при пачовете, актуализациите на функции се прилагат, инсталират или премахват без престой или прекъсване на системата.

Пълна актуализация

В момента пълната актуализация на изображението на софтуера на контролера се извършва по същия начин като функционална актуализация, тоест без престой. Тази функция обаче е налична само в конфигурация на клъстер, когато има повече от един контролер. Пълната актуализация се извършва последователно: първо на единия контролер, след това на втория.

Добавяне на нов модел на точка за достъп

Свързването на нови точки за достъп, които преди това не са били управлявани с използвания софтуерен образ на контролера, към безжична мрежа е доста обичайна операция, особено в големи мрежи (летища, хотели, фабрики). Доста често в решенията на конкурентите тази операция изисква актуализиране на системния софтуер или рестартиране на контролерите.

При свързване на нови Wi-Fi 6 точки за достъп към клъстер от контролери от серия Cisco Catalyst 9800 не се наблюдават подобни проблеми. Свързването на нови точки към контролера се извършва без актуализиране на софтуера на контролера и този процес не изисква рестартиране, като по този начин не засяга безжичната мрежа по никакъв начин.

Повреда на контролера

Тестовата среда използва два Wi-Fi 6 контролера (Active/StandBy) и точката за достъп има директна връзка с двата контролера.

Единият безжичен контролер е активен, а другият съответно е резервен. Ако активният контролер се повреди, резервният контролер поема и състоянието му се променя на активно. Тази процедура се извършва без прекъсване за точката за достъп и Wi-Fi за клиентите.

сигурност

Този раздел обсъжда аспекти на сигурността, което е изключително належащ проблем в безжичните мрежи. Сигурността на решението се оценява въз основа на следните характеристики:

• Разпознаване на приложения;
• Проследяване на потока;
• Анализ на криптиран трафик;
• Откриване и предотвратяване на проникване;
• Средства за удостоверяване;
• Инструменти за защита на клиентските устройства.

Разпознаване на приложения

Сред разнообразието от продукти на корпоративния и индустриалния Wi-Fi пазар има разлики в това колко добре продуктите идентифицират трафика по приложение. Продукти от различни производители може да идентифицират различен брой приложения. Въпреки това, много от приложенията, които конкурентните решения изброяват като възможни за идентифициране, всъщност са уебсайтове, а не уникални приложения.

Има още една интересна характеристика на разпознаването на приложения: решенията се различават значително по отношение на точността на идентификация.

Като вземем предвид всички проведени тестове, можем отговорно да заявим, че Wi-Fi-6 решението на Cisco извършва много точно разпознаване на приложения: Jabber, Netflix, Dropbox, YouTube и други популярни приложения, както и уеб услуги, бяха точно идентифицирани. Решенията на Cisco могат също да се гмурнат по-дълбоко в пакетите с данни, използвайки DPI (Deep Packet Inspection).

Проследяване на трафик потока

Друг тест беше проведен, за да се види дали системата може точно да проследява и докладва потоци от данни (като големи движения на файлове). За да се тества това, файл от 6,5 мегабайта беше изпратен по мрежата с помощта на протокол за прехвърляне на файлове (FTP).

Решението на Cisco се справи напълно със задачата и успя да проследи този трафик благодарение на NetFlow и неговите хардуерни възможности. Трафикът беше открит и идентифициран незабавно с точното количество прехвърлени данни.

Криптиран анализ на трафика

Трафикът на потребителски данни все повече се криптира. Това се прави, за да се предпази от проследяване или прихващане от нападатели. Но в същото време хакерите все повече използват криптиране, за да скрият своя злонамерен софтуер и да извършват други съмнителни операции като Man-in-the-Middle (MiTM) или атаки за записване на клавиатури.

Повечето фирми проверяват част от своя криптиран трафик, като първо го дешифрират с помощта на защитни стени или системи за предотвратяване на проникване. Но този процес отнема много време и не е от полза за работата на мрежата като цяло. Освен това, веднъж дешифрирани, тези данни стават уязвими за любопитни очи.

Контролерите от серия Cisco Catalyst 9800 успешно решават проблема с анализирането на криптиран трафик с други средства. Решението се нарича Encrypted Traffic Analytics (ETA). ETA е технология, която към момента няма аналози в конкурентни решения и която открива зловреден софтуер в криптиран трафик, без да е необходимо да го дешифрира. ETA е основна функция на IOS-XE, която включва Enhanced NetFlow и използва усъвършенствани поведенчески алгоритми за идентифициране на модели на злонамерен трафик, криещи се в криптиран трафик.

ETA не декриптира съобщения, но събира профили с метаданни на криптирани потоци от трафик - размер на пакета, времеви интервали между пакетите и много други. След това метаданните се експортират в записи на NetFlow v9 към Cisco Stealthwatch.

Ключовата функция на Stealthwatch е постоянно да следи трафика, както и да създава базова линия за нормална мрежова активност. Използвайки криптирани метаданни на потока, изпратени му от ETA, Stealthwatch прилага многопластово машинно обучение, за да идентифицира поведенческите аномалии в трафика, които могат да показват подозрителни събития.

Миналата година Cisco ангажира Miercom да направи независима оценка на решението си Cisco Encrypted Traffic Analytics. По време на тази оценка Miercom отделно изпрати известни и неизвестни заплахи (вируси, троянски коне, рансъмуер) в криптиран и некриптиран трафик през големи ETA и не-ETA мрежи, за да идентифицира заплахи.

За тестване беше пуснат зловреден код и в двете мрежи. И в двата случая подозрителната дейност е била разкрита постепенно. Мрежата ETA първоначално открива заплахи с 36% по-бързо от мрежата без ETA. В същото време, с напредването на работата, производителността на откриване в мрежата ETA започна да се увеличава. В резултат на това, след няколко часа работа, две трети от активните заплахи бяха успешно открити в мрежата ETA, което е два пъти повече, отколкото в мрежата без ETA.

ETA функционалността е добре интегрирана със Stealthwatch. Заплахите се класират по тежест и се показват с подробна информация, както и опции за коригиране, след като бъдат потвърдени. Заключение – ETA работи!

Откриване и предотвратяване на проникване

Cisco вече разполага с друг ефективен инструмент за сигурност - Cisco Advanced Wireless Intrusion Prevention System (aWIPS): механизъм за откриване и предотвратяване на заплахи за безжичните мрежи. Решението aWIPS работи на ниво контролери, точки за достъп и софтуер за управление на Cisco DNA Center. Откриването, предупреждаването и предотвратяването на заплахи съчетава анализ на мрежовия трафик, мрежово устройство и информация за топологията на мрежата, техники, базирани на сигнатури, и откриване на аномалии, за да предостави изключително точни и предотвратими безжични заплахи.

Напълно интегрирайки aWIPS във вашата мрежова инфраструктура, можете непрекъснато да наблюдавате безжичния трафик както в кабелни, така и в безжични мрежи и да го използвате за автоматично анализиране на потенциални атаки от множество източници, за да осигурите възможно най-цялостното откриване и предотвратяване.

Средства за удостоверяване

В момента, в допълнение към класическите инструменти за удостоверяване, решенията от серията Cisco Catalyst 9800 поддържат WPA3. WPA3 е най-новата версия на WPA, която е набор от протоколи и технологии, които осигуряват удостоверяване и криптиране за Wi-Fi мрежи.

WPA3 използва едновременна автентификация на равни (SAE), за да осигури най-силната защита на потребителите срещу опити за отгатване на парола от трети страни. Когато клиент се свърже с точка за достъп, той извършва SAE обмен. Ако успее, всеки от тях ще създаде криптографски силен ключ, от който ще бъде извлечен ключът на сесията, след което ще влезе в състояние на потвърждение. След това клиентът и точката за достъп могат да въвеждат състояния на ръкостискане всеки път, когато трябва да се генерира сесиен ключ. Методът използва предна секретност, при която нападателят може да разбие един ключ, но не и всички останали ключове.

Това означава, че SAE е проектиран по такъв начин, че нападателят, прихващащ трафик, има само един опит да отгатне паролата, преди прихванатите данни да станат безполезни. За да организирате дълго възстановяване на паролата, ще ви е необходим физически достъп до точката за достъп.

Защита на клиентското устройство

Безжичните решения от серията Cisco Catalyst 9800 понастоящем осигуряват основната функция за защита на клиентите чрез Cisco Umbrella WLAN, базирана на облак услуга за мрежова сигурност, която работи на ниво DNS с автоматично откриване както на известни, така и на нововъзникващи заплахи.

Cisco Umbrella WLAN осигурява на клиентските устройства сигурна връзка с интернет. Това се постига чрез филтриране на съдържанието, тоест чрез блокиране на достъпа до ресурси в Интернет в съответствие с корпоративната политика. По този начин клиентските устройства в Интернет са защитени от зловреден софтуер, ransomware и фишинг. Прилагането на правилата се основава на 60 непрекъснато актуализирани категории съдържание.

Автоматизация

Днешните безжични мрежи са много по-гъвкави и сложни, така че традиционните методи за конфигуриране и извличане на информация от безжичните контролери не са достатъчни. Мрежовите администратори и специалистите по информационна сигурност се нуждаят от инструменти за автоматизация и анализи, което подтиква доставчиците на безжични устройства да предлагат такива инструменти.

За да решат тези проблеми, безжичните контролери от серията Cisco Catalyst 9800, заедно с традиционния API, осигуряват поддръжка за протокола за мрежова конфигурация RESTCONF / NETCONF с езика за моделиране на данни YANG (Yet Another Next Generation).

NETCONF е базиран на XML протокол, който приложенията могат да използват, за да заявяват информация и да променят конфигурацията на мрежови устройства като безжични контролери.

В допълнение към тези методи, контролерите от серия Cisco Catalyst 9800 предоставят възможност за улавяне, извличане и анализ на данни от информационния поток, използвайки протоколите NetFlow и sFlow.

За моделиране на сигурността и трафика способността за проследяване на конкретни потоци е ценен инструмент. За да се реши този проблем, беше внедрен протоколът sFlow, който ви позволява да улавяте два пакета от всеки сто. Понякога обаче това може да не е достатъчно, за да се анализира и адекватно проучи и оцени потока. Следователно алтернатива е NetFlow, внедрен от Cisco, който ви позволява 100% да събирате и експортирате всички пакети в определен поток за последващ анализ.

Друга функция, налична само в хардуерната реализация на контролерите, която ви позволява да автоматизирате работата на безжичната мрежа в контролерите от серия Cisco Catalyst 9800, е вградената поддръжка на езика Python като добавка за използване скриптове директно на самия безжичен контролер.

И накрая, контролерите от серия Cisco Catalyst 9800 поддържат доказания SNMP версия 1, 2 и 3 протокол за операции по наблюдение и управление.

По този начин, по отношение на автоматизацията, решенията от серия Cisco Catalyst 9800 напълно отговарят на съвременните бизнес изисквания, предлагайки както нови и уникални, така и изпитани във времето инструменти за автоматизирани операции и анализи в безжични мрежи от всякакъв размер и сложност.

Заключение

В решенията, базирани на контролерите от серия Cisco Catalyst 9800, Cisco демонстрира отлични резултати в категориите висока достъпност, сигурност и автоматизация.

Решението напълно отговаря на всички изисквания за висока наличност, като например прекъсване на срив за под секунди по време на непланирани събития и нулев престой за планирани събития.

Контролерите от серия Cisco Catalyst 9800 осигуряват цялостна сигурност, която осигурява задълбочена проверка на пакети за разпознаване и контрол на приложенията, пълна видимост на потоците от данни и идентифициране на заплахи, скрити в криптиран трафик, както и усъвършенствани механизми за удостоверяване и сигурност за клиентски устройства.

За автоматизация и анализ, серията Cisco Catalyst 9800 предлага мощни възможности, използвайки популярни стандартни модели: YANG, NETCONF, RESTCONF, традиционни API и вградени Python скриптове.

Така Cisco за пореден път потвърждава статута си на водещ световен производител на мрежови решения, в крак с времето и отчитайки всички предизвикателства на съвременния бизнес.

За повече информация относно фамилията превключватели Catalyst посетете уебсайт циско.

Източник: www.habr.com