Nel 2019, la società di consulenza Miercom ha condotto una valutazione tecnologica indipendente dei controller Wi-Fi 6 della serie Cisco Catalyst 9800. Per questo studio, è stato assemblato un banco di prova composto da controller e punti di accesso Wi-Fi 6 di Cisco, ed è stata effettuata una valutazione della soluzione tecnica nelle seguenti categorie:
- Disponibilità;
- Sicurezza;
- Automazione.
I risultati dello studio sono presentati di seguito. Dalla loro introduzione nel 2019, le funzionalità dei controller Cisco Catalyst della serie 9800 sono state notevolmente migliorate – questi aspetti sono stati riflessi anche in questo articolo.
Per ulteriori vantaggi della tecnologia Wi-Fi 6, esempi di implementazione e ambiti di applicazione, è possibile leggere.
Panoramica della soluzione
Controller Wi-Fi 6 Cisco Catalyst serie 9800
La serie di controller wireless Cisco Catalyst serie 9800, basata sul sistema operativo IOS-XE (utilizzato anche per gli switch e i router Cisco), è disponibile in diverse varianti.
Il modello superiore, il controller 9800-80, supporta una capacità di rete wireless fino a 80 Gbps. Un singolo controller 9800-80 può gestire fino a 6000 punti di accesso e fino a 64.000 client wireless.
Il modello di fascia media – controller 9800-40 – supporta una capacità fino a 40 Gbps, fino a 2000 punti di accesso e fino a 32.000 client wireless.
Oltre a questi modelli, nell'analisi competitiva è stato incluso anche il controller wireless 9800-CL (CL sta per Cloud). Il modello 9800-CL opera in ambienti virtuali su hypervisor VMWare ESXI e KVM, e le sue caratteristiche dipendono dalle risorse hardware allocate per la macchina virtuale del controller. Nella configurazione massima, il controller Cisco 9800-CL supporta, come il modello superiore 9800-80, la scalabilità fino a 6000 punti di accesso e fino a 64.000 client wireless.
Durante la ricerca, sono stati utilizzati punti di accesso Cisco Aironet AP della serie 4800, che supportano operazioni sulle frequenze 2.4 e 5 GHz, con la possibilità di commutazione dinamica in modalità dual 5-GHz.
Banchina di test
Nel corso del testing, è stato assemblato un banco di prova composto da due controller wireless Cisco Catalyst 9800-CL operanti in cluster e punti di accesso Cisco Aironet AP della serie 4800.
Sono stati utilizzati laptop delle aziende Dell e Apple, così come lo smartphone Apple iPhone.
Testing della disponibilità
L'accessibilità è definita come la capacità degli utenti di accedere a un sistema o a un servizio e di utilizzarli. Alta disponibilità implica un accesso continuo al sistema o al servizio, indipendentemente da determinati eventi.
L'alta disponibilità è stata testata in quattro scenari, i primi tre scenari sono eventi prevedibili o pianificati che possono avvenire durante il tempo di lavoro o fuori orario. Il quinto scenario è un guasto classico, che è un evento imprevedibile.
Descrizione degli scenari:
- Correzione di bug – un microaggiornamento del sistema (bugfix o security patch) che consente di correggere un determinato errore o vulnerabilità senza un aggiornamento completo del software di sistema;
- Aggiornamento funzionale – aggiunta o ampliamento delle attuali funzionalità del sistema tramite l'installazione di aggiornamenti funzionali;
- Aggiornamento completo – aggiornamento dell'immagine del software del controllore;
- Aggiunta di un punto di accesso – aggiunta di un nuovo modello di punto di accesso alla rete wireless senza la necessità di riconfigurare o aggiornare il software del controllore wireless;
- Guasto – malfunzionamento del controllore wireless.
Correzioni di errori e vulnerabilità
Spesso, in molte soluzioni concorrenti, l'installazione di correzioni richiede un aggiornamento completo del software del controllore wireless, il che può comportare inattività non pianificate. Nel caso della soluzione di Cisco, le correzioni possono essere applicate senza interrompere la produttività. Le correzioni possono essere installate su uno qualsiasi dei componenti, mentre l'infrastruttura wireless continua a funzionare.
La procedura in sé è piuttosto semplice. Il file della correzione viene copiato nella cartella di avvio su uno dei controllori wireless Cisco, e poi tramite l'interfaccia grafica o linea di comando viene effettuata la conferma dell'operazione. Inoltre, tramite l'interfaccia grafica o linea di comando è possibile anche annullare ed eliminare la correzione, sempre senza interrompere il funzionamento del sistema.
Aggiornamento funzionale
Gli aggiornamenti funzionali del software vengono utilizzati per attivare nuove funzionalità. Una di queste migliorie è l'aggiornamento del database delle firme delle applicazioni. Questo pacchetto è stato installato nei controller Cisco come test. Come nel caso delle correzioni, l'aggiornamento delle funzionalità è applicato, installato o rimosso senza interruzioni o interruzioni del lavoro del sistema.
Aggiornamento completo
Attualmente, l'aggiornamento completo dell'immagine del software del controller viene eseguito come l'aggiornamento funzionale, cioè senza interruzioni. Tuttavia, questa possibilità è disponibile solo nella configurazione cluster, quando ci sono più di un controller. L'aggiornamento completo viene eseguito in modo sequenziale: prima su un controller, poi sull'altro.
Aggiunta di un nuovo modello di punto di accesso
Collegare nuovi punti di accesso, che non sono stati precedentemente utilizzati con l'immagine software del controller in uso, alla rete wireless è un'operazione piuttosto comune, specialmente nelle grandi reti (aeroporti, hotel, industrie). Spesso, nelle soluzioni dei concorrenti, quest'operazione richiede di aggiornare il software di sistema o riavviare i controller.
Nel processo di collegamento di nuovi punti di accesso Wi-Fi 6 al cluster di controller Cisco Catalyst della serie 9800, non si osservano problemi simili. Il collegamento di nuovi punti al controller avviene senza aggiornamenti del software del controller e questo processo non richiede riavvii, influenzando così in alcun modo la rete wireless.
Guasto del controller
Nell'ambiente di test vengono utilizzati due controller (Attivo / Standby) Wi-Fi 6 e il punto di accesso ha una connessione diretta a entrambi i controller.
Un controller wireless è attivo, mentre l'altro è di riserva. In caso di guasto del controller attivo, il controllo viene preso dal controller di riserva, e il suo stato cambia in attivo. Questa procedura avviene senza interruzioni per il punto di accesso e il Wi-Fi per i clienti.
Sicurezza
In questa sezione vengono esaminati gli aspetti della sicurezza, che nelle reti wireless sono un compito estremamente rilevante. La sicurezza della soluzione viene valutata secondo le seguenti caratteristiche:
- Riconoscimento delle applicazioni;
- Monitoraggio del flusso di traffico;
- Analisi del traffico criptato;
- Rilevamento e prevenzione delle intrusioni;
- Mezzi di autenticazione;
- Strumenti di protezione per dispositivi client.
Riconoscimento delle applicazioni
Tra la varietà di prodotti sul mercato del Wi-Fi aziendale e industriale, ci sono differenze nella capacità dei prodotti di identificare il traffico in base alle applicazioni. Prodotti di diversi produttori possono riconoscere un numero diverso di applicazioni. Inoltre, molte delle applicazioni indicate da soluzioni concorrenti come possibili da identificare sono, di fatto, siti web piuttosto che applicazioni uniche.
C'è un'altra interessante caratteristica del riconoscimento delle applicazioni: le soluzioni variano molto nella precisione dell'identificazione.
Tenendo conto di tutti i test effettuati, si può affermare con certezza che la soluzione Cisco Wi-Fi 6 esegue il riconoscimento delle applicazioni con grande precisione: sono state correttamente identificate Jabber, Netflix, Dropbox, YouTube e altre applicazioni popolari, così come i servizi web. Inoltre, le soluzioni Cisco possono approfondire i pacchetti di dati mediante DPI (Deep Packet Inspection).
Monitoraggio del traffico
È stato condotto un ulteriore test per determinare se il sistema possa monitorare e segnalare con precisione i flussi di dati (ad esempio, i trasferimenti di grandi file). Per verificarlo, è stato inviato attraverso la rete un file di 6,5 megabyte tramite il protocollo di trasferimento file (FTP).
La soluzione Cisco ha gestito completamente il compito e ha potuto monitorare quel traffico grazie a NetFlow e alle sue capacità hardware. Il traffico è stato rilevato e identificato immediatamente con il volume esatto dei dati trasferiti.
Analisi del traffico crittografato
Il traffico dei dati degli utenti è sempre più crittografato. Questo viene fatto per proteggere i dati da tracciamento o intercettazione da parte di malintenzionati. Tuttavia, i hacker sempre più spesso utilizzano la crittografia per nascondere i loro malware e svolgere altre operazioni dubbie come attacchi Man-in-the-Middle (MiTM) o, ad esempio, attacchi di keylogging.
La maggior parte delle imprese controlla una parte del traffico crittografato, decrittografandolo inizialmente tramite firewall o sistemi di prevenzione delle intrusioni. Tuttavia, questo processo richiede molto tempo e non giova alle prestazioni complessive della rete. Inoltre, dopo la decrittazione, questi dati diventano vulnerabili agli sguardi indiscreti.
I controller Cisco Catalyst della serie 9800 risolvono con successo la questione dell'analisi del traffico crittografato con altri strumenti. La soluzione si chiama Encrypted Traffic Analytics (ETA). ETA è una tecnologia per la quale al momento non esistono soluzioni concorrenti e che rileva malware nel traffico crittografato senza la necessità di decrittografarlo. ETA è una funzione di base di IOS-XE, che include Enhanced NetFlow e utilizza algoritmi comportamentali avanzati per identificare modelli di traffico dannosi nascosti nel traffico crittografato.
ETA non decrittografa i messaggi, ma raccoglie profili di metadati dei flussi di traffico crittografato: dimensioni dei pacchetti, intervalli di tempo tra i pacchetti e molto altro. Successivamente, i metadati vengono esportati nei registri NetFlow v9 in Cisco Stealthwatch.
Una funzionalità chiave di Stealthwatch è il monitoraggio costante del traffico, oltre alla creazione di indicatori di base delle attività di rete normali. Grazie ai metadati del flusso crittografato inviati a Stealthwatch da ETA, si applicano modelli di machine learning multilivello per rilevare anomalie comportamentali del traffico, che possono indicare eventi sospetti.
Lo scorso anno, Cisco ha coinvolto Miercom per una valutazione indipendente della soluzione Cisco Encrypted Traffic Analytics. Durante questa valutazione, Miercom ha inviato separatamente minacce note e sconosciute (virus, trojan, ransomware) nel traffico crittografato e non crittografato attraverso reti di grandi dimensioni ETA e non ETA per identificare le minacce.
Per il test, è stato eseguito del codice dannoso in entrambe le reti. In entrambi i casi, l'attività sospetta è stata rilevata progressivamente. Nella rete ETA, nelle fasi iniziali, le minacce sono state rilevate il 36% più rapidamente rispetto alla rete non ETA. Durante il funzionamento, la produttività del rilevamento nella rete ETA è aumentata. Alla fine, dopo alcune ore di funzionamento nella rete ETA, due terzi delle minacce attive sono state rilevate con successo, il che è il doppio del tasso corrispondente nella rete non ETA.
La funzionalità di ETA è ben integrata con Stealthwatch. Le minacce sono classificate in base alla gravità, visualizzate con informazioni dettagliate e opzioni di remediation dopo la conferma. Conclusione: ETA funziona!
Rilevamento e prevenzione delle intrusioni
Attualmente Cisco dispone di un ulteriore strumento efficace per garantire la sicurezza: il Cisco Advanced Wireless Intrusion Prevention System (aWIPS): un meccanismo di rilevamento e prevenzione delle minacce per le reti wireless. La soluzione aWIPS opera a livello di controller, punti di accesso e software di gestione Cisco DNA Center. Il processo di rilevamento, allerta e prevenzione delle minacce combina l'analisi del traffico di rete, informazioni sui dispositivi di rete e sulla topologia di rete, metodi basati su firme e rilevamento delle anomalie, garantendo così elevata precisione e prevenzione delle minacce alle reti wireless.
L'integrazione completa di aWIPS nell'infrastruttura di rete consente di monitorare continuamente il traffico wireless sia nelle reti cablate che in quelle wireless e di utilizzarlo per analizzare automaticamente potenziali attacchi provenienti da vari fonti, al fine di identificare e prevenire nel modo più completo possibile eventuali attacchi.
Strumenti di autenticazione
Attualmente, oltre ai tradizionali strumenti di autenticazione, nelle soluzioni Cisco Catalyst della serie 9800 è disponibile il supporto per WPA3. WPA3 è l'ultima versione di WPA che rappresenta un insieme di protocolli e tecnologie che forniscono autenticazione e crittografia per le reti Wi-Fi.
WPA3 utilizza un metodo di autenticazione simultanea di elementi uguali (SAE - Simultaneous Authentication of Equals) per garantire la più robusta protezione degli utenti contro tentativi di accesso non autorizzato. Quando un client si connette a un punto di accesso, esegue uno scambio SAE. In caso di successo, ciascuno di essi genererà una chiave crittograficamente sicura, dalla quale verrà ottenuta una chiave di sessione, e successivamente passeranno a uno stato di conferma. Dopo di ciò, il client e il punto di accesso possono passare a stati di conferma ogni volta che è necessario generare una chiave di sessione. Questo metodo utilizza la segretezza diretta, in cui un attaccante può compromettere una chiave, ma non tutte le altre chiavi.
In altre parole, il SAE è progettato in modo tale che un attaccante che intercetta il traffico ha solo un'opportunità per indovinare la password, prima che i dati intercettati diventino inutilizzabili. Per organizzare un attacco prolungato sulla password, è necessario un accesso fisico al punto di accesso.
Strumenti di protezione per i dispositivi client
Il principale strumento di protezione dei clienti nelle soluzioni wireless Cisco Catalyst serie 9800 è attualmente Cisco Umbrella WLAN, un servizio di sicurezza di rete basato su cloud che opera a livello DNS con rilevamento automatico sia delle minacce conosciute che di quelle nuove.
Cisco Umbrella WLAN fornisce ai dispositivi dei clienti una connessione sicura a Internet. Questo viene realizzato tramite il filtraggio dei contenuti, ovvero bloccando l'accesso a risorse su Internet in base alla politica aziendale. In questo modo, si protegge i dispositivi dei clienti su Internet da malware, ransomware e phishing. L'applicazione delle politiche si basa su 60 categorie di contenuto continuamente aggiornate.
Automazione
Le reti wireless moderne sono molto più flessibili e complesse, quindi i metodi tradizionali per la configurazione e l'estrazione di informazioni dai controller wireless non sono sufficienti. Gli amministratori di rete e gli esperti di sicurezza informatica necessitano di strumenti per l'automazione e l'analisi, spingendo i produttori di soluzioni per reti wireless a offrire tali strumenti.
Per affrontare queste esigenze, nei controller wireless Cisco Catalyst serie 9800, oltre all'API tradizionale, è prevista la supporto del protocollo di configurazione di rete RESTCONF / NETCONF con il linguaggio di modellazione dei dati YANG (Yet Another Next Generation).
NETCONF è un protocollo basato su XML che le applicazioni possono utilizzare per richiedere informazioni e modificare la configurazione dei dispositivi di rete, come i controller wireless.
In aggiunta a questi metodi, nei controller Cisco Catalyst serie 9800 è implementata la possibilità di acquisire, selezionare e analizzare i dati sui flussi di informazioni utilizzando i protocolli NetFlow e sFlow.
Per garantire la sicurezza e per la modellazione del traffico, la possibilità di monitorare flussi specifici è uno strumento prezioso. Per affrontare questo compito è stato implementato il protocollo sFlow, che consente di catturare due pacchetti ogni cento. Tuttavia, a volte questo potrebbe non essere sufficiente per l'analisi e lo studio adeguato del flusso. Pertanto, l'alternativa è DataFlow, implementato da Cisco, che consente di raccogliere ed esportare il 100% di tutti i pacchetti in un flusso specificato per successive analisi.
Un'altra funzione, disponibile però solo nella realizzazione hardware dei controller, che consente di automatizzare il funzionamento della rete wireless nei controller Cisco Catalyst della serie 9800, è il supporto integrato del linguaggio Python come plug-in per l'utilizzo di script direttamente sul controller wireless stesso.
Infine, per le operazioni di monitoraggio e gestione nei controller Cisco Catalyst della serie 9800, è supportato un protocollo SNMP collaudato nel tempo, nelle versioni 1, 2 e 3.
Pertanto, nel settore dell'automazione, le soluzioni Cisco Catalyst della serie 9800 rispondono appieno alle esigenze moderne delle aziende, offrendo strumenti sia nuovi e unici che collaudati nel tempo per l'esecuzione automatizzata di operazioni e analisi in reti wireless di qualsiasi dimensione e complessità.
Conclusione
Nelle soluzioni basate su controller Cisco Catalyst della serie 9800, Cisco ha dimostrato risultati eccellenti nelle categorie: alta disponibilità, sicurezza e automazione.
La soluzione soddisfa completamente tutti i requisiti di alta disponibilità, come il failover in meno di un secondo durante eventi non pianificati e tempo di inattività nullo per eventi pianificati.
Nei controller Cisco Catalyst della serie 9800 è implementata una protezione complessiva, che fornisce un'analisi approfondita dei pacchetti per il riconoscimento e la gestione delle applicazioni, completa trasparenza dei flussi dati e identificazione delle minacce nascoste nel traffico crittografato, oltre all'uso di meccanismi avanzati di autenticazione e protezione dei dispositivi degli utenti.
Per l'automazione delle operazioni e l'analisi, le soluzioni Cisco Catalyst della serie 9800 possiedono ampie funzionalità, utilizzando modelli standard popolari: YANG, NETCONF, RESTCONF, API tradizionali e script Python integrati.
In questo modo, Cisco conferma ancora una volta il suo status di leader mondiale nella produzione di soluzioni di rete, sempre al passo con i tempi e attenta a tutte le sfide del business moderno.
Per ulteriori informazioni sulla famiglia di switch Catalyst, puoi visitare Cisco.
Fonte: habr.com
