אם יש לך בקר, אין בעיה: איך לתחזק בקלות את הרשת האלחוטית שלך

בשנת 2019 ערכה חברת הייעוץ Miercom הערכה טכנולוגית עצמאית של בקרי Wi-Fi 6 מסדרת Cisco Catalyst 9800. לצורך מחקר זה הורכב ספסל בדיקה מבקרי ונקודות גישה של Cisco Wi-Fi 6, והפתרון הטכני היה מוערך בקטגוריות הבאות:

• זמינות;
• אבטחה;
• אוטומציה.

תוצאות המחקר מוצגות להלן. מאז 2019, הפונקציונליות של בקרי סדרת Cisco Catalyst 9800 שופרה משמעותית - נקודות אלו באות לידי ביטוי גם במאמר זה.

תוכלו לקרוא על יתרונות נוספים של טכנולוגיית Wi-Fi 6, דוגמאות ליישום ותחומי יישום כאן.

סקירת פתרונות

Wi-Fi 6 בקרי סדרת Cisco Catalyst 9800

הבקרים האלחוטיים מסדרת Cisco Catalyst 9800, המבוססים על מערכת ההפעלה IOS-XE (המשמשים גם למתגים ונתבים של Cisco), זמינים במגוון אפשרויות.

הדגם הישן יותר של בקר 9800-80 תומך בתפוקת רשת אלחוטית של עד 80 Gbps. בקר 9800-80 אחד תומך בעד 6000 נקודות גישה ועד 64 לקוחות אלחוטיים.

דגם הביניים, בקר ה-9800-40, תומך בתפוקה של עד 40 Gbps, עד 2000 נקודות גישה ועד 32 לקוחות אלחוטיים.

בנוסף לדגמים אלו, הניתוח התחרותי כלל גם את הבקר האלחוטי 9800-CL (CL מייצג ענן). ה-9800-CL פועל בסביבות וירטואליות ב-VMWare ESXI ו-KVM hypervisors, והביצועים שלו תלויים במשאבי החומרה הייעודיים עבור המכונה הוירטואלית של הבקר. בתצורתו המקסימלית, בקר Cisco 9800-CL, כמו הדגם הישן יותר 9800-80, תומך במדרגיות של עד 6000 נקודות גישה ועד 64 לקוחות אלחוטיים.

בעת ביצוע מחקר עם בקרים, נעשה שימוש בנקודות גישה מסדרת Cisco Aironet AP 4800, שתומכות בפעולה בתדרים של 2,4 ו-5 GHz עם יכולת לעבור באופן דינמי למצב כפול של 5GHz.

עמדת מבחן

כחלק מהבדיקה הורכב מעמד משני בקרים אלחוטיים של Cisco Catalyst 9800-CL הפועלים במקבץ ונקודות גישה מסדרת Cisco Aironet AP 4800.

מחשבים ניידים של Dell ואפל, כמו גם סמארטפון של אפל אייפון, שימשו כמכשירי לקוח.

בדיקת נגישות

זמינות מוגדרת כיכולת של משתמשים לגשת למערכת או שירות ולהשתמש בו. זמינות גבוהה מרמזת על גישה רציפה למערכת או שירות, ללא תלות באירועים מסוימים.

זמינות גבוהה נבדקה בארבעה תרחישים, כאשר שלושת התרחישים הראשונים היו אירועים צפויים או מתוכננים שיכולים להתרחש במהלך שעות העבודה או אחריהן. התרחיש החמישי הוא כישלון קלאסי, שהוא אירוע בלתי צפוי.

תיאור התרחישים:

• תיקון שגיאות – מיקרו-עדכון של המערכת (תיקון באגים או תיקון אבטחה), המאפשר לתקן שגיאה או פגיעות מסוימת ללא עדכון מלא של תוכנת המערכת;
• עדכון פונקציונלי - הוספה או הרחבה של הפונקציונליות הנוכחית של המערכת על ידי התקנת עדכונים פונקציונליים;
• עדכון מלא - עדכן את תמונת תוכנת הבקר;
• הוספת נקודת גישה - הוספת דגם נקודת גישה חדש לרשת אלחוטית ללא צורך בהגדרה מחדש או עדכון של תוכנת הבקר האלחוטי;
• כשל - כשל בבקר האלחוטי.

תיקון באגים ופגיעויות

לעתים קרובות, עם פתרונות תחרותיים רבים, תיקון דורש עדכון תוכנה מלא של מערכת הבקר האלחוטי, מה שעלול לגרום להשבתה לא מתוכננת. במקרה של פתרון Cisco, התיקון מתבצע מבלי לעצור את המוצר. ניתן להתקין טלאים על כל אחד מהרכיבים בזמן שהתשתית האלחוטית ממשיכה לפעול.

ההליך עצמו הוא די פשוט. קובץ התיקון מועתק לתיקיית ה-bootstrap באחד מהבקרים האלחוטיים של סיסקו, ואז הפעולה מאושרת באמצעות ה-GUI או שורת הפקודה. בנוסף, ניתן גם לבטל ולהסיר את התיקון דרך ה-GUI או שורת הפקודה, גם מבלי להפריע לפעולת המערכת.

עדכון פונקציונלי

עדכוני תוכנה פונקציונליים מוחלים כדי לאפשר תכונות חדשות. אחד השיפורים הללו הוא עדכון מסד הנתונים של חתימות האפליקציה. חבילה זו הותקנה על בקרי סיסקו כמבחן. בדיוק כמו עם תיקונים, עדכוני תכונות מוחלים, מותקנים או מוסרים ללא כל השבתה או הפרעה במערכת.

עדכון מלא

נכון לעכשיו, עדכון מלא של תמונת תוכנת הבקר מתבצע באותו אופן כמו עדכון פונקציונלי, כלומר ללא השבתה. עם זאת, תכונה זו זמינה רק בתצורת אשכול כאשר יש יותר מבקר אחד. עדכון מלא מבוצע ברצף: תחילה על בקר אחד, ולאחר מכן על השני.

הוספת דגם נקודת גישה חדש

חיבור נקודות גישה חדשות, שלא הופעלו בעבר עם תמונת תוכנת הבקר בשימוש, לרשת אלחוטית היא פעולה נפוצה למדי, במיוחד ברשתות גדולות (שדות תעופה, בתי מלון, מפעלים). לעתים קרובות בפתרונות מתחרים, פעולה זו דורשת עדכון תוכנת המערכת או אתחול מחדש של הבקרים.

בעת חיבור נקודות גישה חדשות של Wi-Fi 6 לאשכול של בקרי סדרת Cisco Catalyst 9800, לא נצפו בעיות כאלה. חיבור נקודות חדשות לבקר מתבצע ללא עדכון תוכנת הבקר, ותהליך זה אינו מצריך אתחול מחדש, ובכך אינו משפיע על הרשת האלחוטית בשום צורה.

כשל בבקר

סביבת הבדיקה משתמשת בשני בקרי Wi-Fi 6 (Active/StandBy) ולנקודת הגישה יש חיבור ישיר לשני הבקרים.

בקר אלחוטי אחד פעיל, והשני, בהתאמה, הוא גיבוי. אם הבקר הפעיל נכשל, בקר הגיבוי משתלט והסטטוס שלו משתנה לפעיל. הליך זה מתרחש ללא הפרעה עבור נקודת הגישה ו-Wi-Fi עבור לקוחות.

אבטחה

סעיף זה דן בהיבטים של אבטחה, שהיא נושא דחוף ביותר ברשתות אלחוטיות. אבטחת הפתרון מוערכת על סמך המאפיינים הבאים:

• זיהוי יישומים;
• מעקב אחר זרימה;
• ניתוח תעבורה מוצפנת;
• זיהוי ומניעת חדירות;
• אמצעי אימות;
• כלים להגנה על מכשירי לקוח.

זיהוי אפליקציה

בין מגוון המוצרים בשוק ה-Wi-Fi הארגוני והתעשייה, ישנם הבדלים במידת הזיהוי של המוצרים לפי אפליקציה. מוצרים מיצרנים שונים עשויים לזהות מספרים שונים של יישומים. עם זאת, רבים מהיישומים שהפתרונות התחרותיים מציגים כאפשריים לזיהוי הם, למעשה, אתרי אינטרנט, ולא יישומים ייחודיים.

יש עוד תכונה מעניינת של זיהוי יישומים: הפתרונות משתנים מאוד בדייקנות הזיהוי.

בהתחשב בכל הבדיקות שבוצעו, אנו יכולים לקבוע באחריות שפתרון ה-Wi-Fi-6 של סיסקו מבצע זיהוי יישומים בצורה מדויקת מאוד: Jabber, Netflix, Dropbox, YouTube ויישומים פופולריים אחרים, כמו גם שירותי אינטרנט, זוהו במדויק. פתרונות סיסקו יכולים גם לצלול עמוק יותר לתוך מנות נתונים באמצעות DPI (Deep Packet Inspection).

מעקב אחר זרימת התנועה

בדיקה נוספת נערכה כדי לראות אם המערכת יכולה לעקוב ולדווח במדויק על זרימות נתונים (כגון תנועות קבצים גדולות). כדי לבדוק זאת, קובץ בגודל 6,5 מגה-בייט נשלח דרך הרשת באמצעות פרוטוקול העברת קבצים (FTP).

הפתרון של סיסקו עמד במלואו במשימה והצליח לעקוב אחר התעבורה הזו בזכות NetFlow ויכולות החומרה שלה. תנועה זוהתה וזוהתה מיד עם כמות הנתונים המדויקת שהועברה.

ניתוח תעבורה מוצפן

תעבורת נתונים של משתמשים מוצפנת יותר ויותר. זה נעשה על מנת להגן עליו מפני מעקב או יירוט על ידי תוקפים. אבל במקביל, האקרים משתמשים יותר ויותר בהצפנה כדי להסתיר את התוכנה הזדונית שלהם ולבצע פעולות מפוקפקות אחרות כמו Man-in-the-Middle (MiTM) או התקפות מפתחות.

רוב העסקים בודקים חלק מהתנועה המוצפנת שלהם על ידי פענוחה תחילה באמצעות חומות אש או מערכות למניעת חדירה. אך תהליך זה לוקח זמן רב ואינו מועיל לביצועי הרשת כולה. בנוסף, לאחר פענוח הנתונים הללו הופכים לפגיעים לעיניים סקרניות.

בקרי Cisco Catalyst 9800 Series פותרים בהצלחה את הבעיה של ניתוח תעבורה מוצפנת באמצעים אחרים. הפתרון נקרא Encrypted Traffic Analytics (ETA). ETA היא טכנולוגיה שאין לה כיום אנלוגים בפתרונות תחרותיים ואשר מזהה תוכנות זדוניות בתעבורה מוצפנת ללא צורך בפענוחה. ETA היא תכונת ליבה של IOS-XE הכוללת את NetFlow משופרת ומשתמשת באלגוריתמים התנהגותיים מתקדמים כדי לזהות דפוסי תעבורה זדוניים המסתתרים בתעבורה מוצפנת.

ETA לא מפענח הודעות, אלא אוסף פרופילי מטא נתונים של זרימות תעבורה מוצפנות - גודל מנות, מרווחי זמן בין מנות ועוד הרבה יותר. לאחר מכן המטא נתונים מיוצאים ברשומות NetFlow v9 אל Cisco Stealthwatch.

תפקיד המפתח של Stealthwatch הוא לנטר כל הזמן את התעבורה, כמו גם ליצור קו בסיס של פעילות רשת רגילה. באמצעות מטא נתונים מוצפנים של זרמים שנשלחו אליו על ידי ה-ETA, Stealthwatch מיישמת למידת מכונה רב-שכבתית כדי לזהות חריגות תעבורה התנהגותיות שעלולות להצביע על אירועים חשודים.

בשנה שעברה, סיסקו העסיקה את Miercom כדי להעריך באופן עצמאי את פתרון Cisco Encrypted Traffic Analytics שלה. במהלך הערכה זו, Miercom שלחה בנפרד איומים ידועים ולא ידועים (וירוסים, סוסים טרויאניים, תוכנות כופר) בתעבורה מוצפנת ולא מוצפנת על פני רשתות ETA גדולות ושאינן ETA כדי לזהות איומים.

לצורך בדיקה, הושק קוד זדוני בשתי הרשתות. בשני המקרים התגלתה פעילות חשודה בהדרגה. רשת ETA זיהתה בתחילה איומים ב-36% מהר יותר מרשת שאינה ETA. במקביל, ככל שהתקדמה העבודה, החלה לעלות פרודוקטיביות הגילוי ברשת ETA. כתוצאה מכך, לאחר מספר שעות של עבודה, זוהו בהצלחה שני שליש מהאיומים הפעילים ברשת ETA, פי שניים מאשר ברשת שאינה ETA.

פונקציונליות ETA משולבת היטב עם Stealthwatch. האיומים מדורגים לפי חומרה ומוצגים עם מידע מפורט, כמו גם אפשרויות תיקון לאחר אישורם. מסקנה - ETA עובד!

זיהוי ומניעת חדירה

לסיסקו יש כעת כלי אבטחה יעיל נוסף - Cisco Advanced Wireless Intrusion Prevention System (aWIPS): מנגנון לאיתור ומניעה של איומים על רשתות אלחוטיות. פתרון aWIPS פועל ברמת הבקרים, נקודות הגישה ותוכנת הניהול של Cisco DNA Center. זיהוי, התראה ומניעה של איומים משלבים ניתוח תעבורת רשת, מידע על התקני רשת וטופולוגיה של הרשת, טכניקות מבוססות חתימות וזיהוי חריגות כדי לספק איומים אלחוטיים מדויקים ביותר וניתנים למניעה.

שילוב מלא של aWIPS בתשתית הרשת שלך, אתה יכול לנטר ברציפות את התעבורה האלחוטית ברשתות קוויות ואלחוטיות ולהשתמש בה כדי לנתח באופן אוטומטי התקפות פוטנציאליות ממקורות מרובים כדי לספק את הזיהוי והמניעה המקיפים ביותר האפשריים.

אימות פירושו

נכון לעכשיו, בנוסף לכלי אימות קלאסיים, פתרונות מסדרת Cisco Catalyst 9800 תומכים ב-WPA3. WPA3 היא הגרסה העדכנית ביותר של WPA, שהיא קבוצה של פרוטוקולים וטכנולוגיות המספקות אימות והצפנה עבור רשתות Wi-Fi.

WPA3 משתמש באימות סימולטני של שווה (SAE) כדי לספק את ההגנה החזקה ביותר למשתמשים מפני ניסיונות ניחוש סיסמאות של צדדים שלישיים. כאשר לקוח מתחבר לנקודת גישה, הוא מבצע החלפת SAE. אם יצליח, כל אחד מהם יצור מפתח חזק מבחינה קריפטוגרפית שממנו ייגזר מפתח הפגישה, ולאחר מכן הם ייכנסו למצב האישור. לאחר מכן הלקוח ונקודת הגישה יכולים להיכנס למצבי לחיצת יד בכל פעם שיש צורך ליצור מפתח הפעלה. השיטה משתמשת בסודיות קדימה, שבה תוקף יכול לפצח מפתח אחד, אך לא את כל המפתחות האחרים.

כלומר, SAE מתוכנן בצורה כזו שלתוקף שיירט תעבורה יש רק ניסיון אחד לנחש את הסיסמה לפני שהנתונים המיירטים הופכים חסרי תועלת. כדי לארגן שחזור סיסמה ארוך, תזדקק לגישה פיזית לנקודת הגישה.

הגנת מכשיר הלקוח

הפתרונות האלחוטיים מסדרת Cisco Catalyst 9800 מספקים כיום את תכונת הגנת הלקוחות העיקרית באמצעות Cisco Umbrella WLAN, שירות אבטחת רשת מבוסס ענן הפועל ברמת ה-DNS עם זיהוי אוטומטי של איומים ידועים ומתעוררים כאחד.

Cisco Umbrella WLAN מספקת למכשירי הלקוח חיבור מאובטח לאינטרנט. זה מושג באמצעות סינון תוכן, כלומר על ידי חסימת גישה למשאבים באינטרנט בהתאם למדיניות הארגונית. לפיכך, מכשירי לקוח באינטרנט מוגנים מפני תוכנות זדוניות, תוכנות כופר והתחזות. אכיפת המדיניות מבוססת על 60 קטגוריות תוכן המתעדכנות ברציפות.

אוטומציה

הרשתות האלחוטיות של היום הן הרבה יותר גמישות ומורכבות, כך ששיטות מסורתיות של קביעת תצורה ושליפה של מידע מבקרים אלחוטיים אינן מספיקות. מנהלי רשת ואנשי מקצוע בתחום אבטחת המידע דורשים כלים לאוטומציה וניתוח, מה שמניע ספקים אלחוטיים להציע כלים כאלה.

כדי לפתור בעיות אלו, הבקרים האלחוטיים מסדרת Cisco Catalyst 9800, יחד עם ה-API המסורתי, מספקים תמיכה בפרוטוקול תצורת הרשת RESTCONF / NETCONF עם שפת המודלים YANG (Yet Another Next Generation).

NETCONF הוא פרוטוקול מבוסס XML שבו יישומים יכולים להשתמש כדי לבצע שאילתות מידע ולשנות את התצורה של התקני רשת כגון בקרים אלחוטיים.

בנוסף לשיטות אלו, בקרי Cisco Catalyst 9800 Series מספקים את היכולת ללכוד, לאחזר ולנתח נתוני זרימת מידע באמצעות פרוטוקולי NetFlow ו-sFlow.

עבור מודלים של אבטחה ותנועה, היכולת לעקוב אחר זרימות ספציפיות היא כלי רב ערך. כדי לפתור בעיה זו, הוטמע פרוטוקול sFlow, המאפשר ללכוד שתי מנות מכל מאה. עם זאת, לפעמים זה לא יספיק כדי לנתח וללמוד ולהעריך כראוי את הזרימה. לכן, חלופה היא NetFlow, המיושמת על ידי Cisco, המאפשרת לך ב-100% לאסוף ולייצא את כל החבילות בזרימה מוגדרת לצורך ניתוח אחר.

תכונה נוספת, עם זאת, זמינה רק בהטמעת החומרה של הבקרים, המאפשרת להפוך את פעולת הרשת האלחוטית בבקרים מסדרת Cisco Catalyst 9800, היא תמיכה מובנית בשפת Python כתוספת לשימוש סקריפטים ישירות על הבקר האלחוטי עצמו.

לבסוף, בקרי סדרת Cisco Catalyst 9800 תומכים בפרוטוקול SNMP המוכח בגרסה 1, 2 ו-3 לפעולות ניטור וניהול.

לפיכך, במונחים של אוטומציה, פתרונות Cisco Catalyst 9800 Series עומדים במלואם בדרישות העסקיות המודרניות, ומציעים גם כלים חדשים וייחודיים, כמו גם כלים שנבדקו בזמן לפעולות אוטומטיות וניתוחים ברשתות אלחוטיות בכל גודל ומורכבות.

מסקנה

בפתרונות המבוססים על בקרי סדרת Cisco Catalyst 9800, סיסקו הפגינה תוצאות מצוינות בקטגוריות של זמינות גבוהה, אבטחה ואוטומציה.

הפתרון עונה במלואו על כל דרישות הזמינות הגבוהות כגון מעבר לכשל בתת-שנייה במהלך אירועים לא מתוכננים ואפס השבתה עבור אירועים מתוכננים.

בקרי סדרת Cisco Catalyst 9800 מספקים אבטחה מקיפה המספקת בדיקת מנות עמוקה לזיהוי וניהול יישומים, נראות מלאה של זרימות נתונים וזיהוי איומים החבויים בתעבורה מוצפנת, כמו גם מנגנוני אימות ואבטחה מתקדמים עבור התקני הלקוח.

לאוטומציה וניתוח, סדרת Cisco Catalyst 9800 מציעה יכולות עוצמתיות תוך שימוש בדגמים סטנדרטיים פופולריים: YANG, NETCONF, RESTCONF, ממשקי API מסורתיים וסקריפטים מובנים של Python.

לפיכך, סיסקו מאשרת שוב את מעמדה כיצרנית המובילה בעולם של פתרונות רשת, כשהיא עומדת בזמנים ולוקחת בחשבון את כל האתגרים של עסקים מודרניים.

למידע נוסף על משפחת מתגי Catalyst, בקר מקוון סיסקו.

מקור: www.habr.com

בשנת 2019 ערכה חברת הייעוץ Miercom הערכה טכנולוגית עצמאית של בקרי Wi-Fi 6 מסדרת Cisco Catalyst 9800. לצורך מחקר זה הורכב ספסל בדיקה מבקרי ונקודות גישה של Cisco Wi-Fi 6, והפתרון הטכני היה מוערך בקטגוריות הבאות:

• זמינות;
• אבטחה;
• אוטומציה.

תוצאות המחקר מוצגות להלן. מאז 2019, הפונקציונליות של בקרי סדרת Cisco Catalyst 9800 שופרה משמעותית - נקודות אלו באות לידי ביטוי גם במאמר זה.

תוכלו לקרוא על יתרונות נוספים של טכנולוגיית Wi-Fi 6, דוגמאות ליישום ותחומי יישום כאן.

סקירת פתרונות

Wi-Fi 6 בקרי סדרת Cisco Catalyst 9800

הבקרים האלחוטיים מסדרת Cisco Catalyst 9800, המבוססים על מערכת ההפעלה IOS-XE (המשמשים גם למתגים ונתבים של Cisco), זמינים במגוון אפשרויות.

הדגם הישן יותר של בקר 9800-80 תומך בתפוקת רשת אלחוטית של עד 80 Gbps. בקר 9800-80 אחד תומך בעד 6000 נקודות גישה ועד 64 לקוחות אלחוטיים.

דגם הביניים, בקר ה-9800-40, תומך בתפוקה של עד 40 Gbps, עד 2000 נקודות גישה ועד 32 לקוחות אלחוטיים.

בנוסף לדגמים אלו, הניתוח התחרותי כלל גם את הבקר האלחוטי 9800-CL (CL מייצג ענן). ה-9800-CL פועל בסביבות וירטואליות ב-VMWare ESXI ו-KVM hypervisors, והביצועים שלו תלויים במשאבי החומרה הייעודיים עבור המכונה הוירטואלית של הבקר. בתצורתו המקסימלית, בקר Cisco 9800-CL, כמו הדגם הישן יותר 9800-80, תומך במדרגיות של עד 6000 נקודות גישה ועד 64 לקוחות אלחוטיים.

בעת ביצוע מחקר עם בקרים, נעשה שימוש בנקודות גישה מסדרת Cisco Aironet AP 4800, שתומכות בפעולה בתדרים של 2,4 ו-5 GHz עם יכולת לעבור באופן דינמי למצב כפול של 5GHz.

עמדת מבחן

כחלק מהבדיקה הורכב מעמד משני בקרים אלחוטיים של Cisco Catalyst 9800-CL הפועלים במקבץ ונקודות גישה מסדרת Cisco Aironet AP 4800.

מחשבים ניידים של Dell ואפל, כמו גם סמארטפון של אפל אייפון, שימשו כמכשירי לקוח.

בדיקת נגישות

זמינות מוגדרת כיכולת של משתמשים לגשת למערכת או שירות ולהשתמש בו. זמינות גבוהה מרמזת על גישה רציפה למערכת או שירות, ללא תלות באירועים מסוימים.

זמינות גבוהה נבדקה בארבעה תרחישים, כאשר שלושת התרחישים הראשונים היו אירועים צפויים או מתוכננים שיכולים להתרחש במהלך שעות העבודה או אחריהן. התרחיש החמישי הוא כישלון קלאסי, שהוא אירוע בלתי צפוי.

תיאור התרחישים:

• תיקון שגיאות – מיקרו-עדכון של המערכת (תיקון באגים או תיקון אבטחה), המאפשר לתקן שגיאה או פגיעות מסוימת ללא עדכון מלא של תוכנת המערכת;
• עדכון פונקציונלי - הוספה או הרחבה של הפונקציונליות הנוכחית של המערכת על ידי התקנת עדכונים פונקציונליים;
• עדכון מלא - עדכן את תמונת תוכנת הבקר;
• הוספת נקודת גישה - הוספת דגם נקודת גישה חדש לרשת אלחוטית ללא צורך בהגדרה מחדש או עדכון של תוכנת הבקר האלחוטי;
• כשל - כשל בבקר האלחוטי.

תיקון באגים ופגיעויות

לעתים קרובות, עם פתרונות תחרותיים רבים, תיקון דורש עדכון תוכנה מלא של מערכת הבקר האלחוטי, מה שעלול לגרום להשבתה לא מתוכננת. במקרה של פתרון Cisco, התיקון מתבצע מבלי לעצור את המוצר. ניתן להתקין טלאים על כל אחד מהרכיבים בזמן שהתשתית האלחוטית ממשיכה לפעול.

ההליך עצמו הוא די פשוט. קובץ התיקון מועתק לתיקיית ה-bootstrap באחד מהבקרים האלחוטיים של סיסקו, ואז הפעולה מאושרת באמצעות ה-GUI או שורת הפקודה. בנוסף, ניתן גם לבטל ולהסיר את התיקון דרך ה-GUI או שורת הפקודה, גם מבלי להפריע לפעולת המערכת.

עדכון פונקציונלי

עדכוני תוכנה פונקציונליים מוחלים כדי לאפשר תכונות חדשות. אחד השיפורים הללו הוא עדכון מסד הנתונים של חתימות האפליקציה. חבילה זו הותקנה על בקרי סיסקו כמבחן. בדיוק כמו עם תיקונים, עדכוני תכונות מוחלים, מותקנים או מוסרים ללא כל השבתה או הפרעה במערכת.

עדכון מלא

נכון לעכשיו, עדכון מלא של תמונת תוכנת הבקר מתבצע באותו אופן כמו עדכון פונקציונלי, כלומר ללא השבתה. עם זאת, תכונה זו זמינה רק בתצורת אשכול כאשר יש יותר מבקר אחד. עדכון מלא מבוצע ברצף: תחילה על בקר אחד, ולאחר מכן על השני.

הוספת דגם נקודת גישה חדש

חיבור נקודות גישה חדשות, שלא הופעלו בעבר עם תמונת תוכנת הבקר בשימוש, לרשת אלחוטית היא פעולה נפוצה למדי, במיוחד ברשתות גדולות (שדות תעופה, בתי מלון, מפעלים). לעתים קרובות בפתרונות מתחרים, פעולה זו דורשת עדכון תוכנת המערכת או אתחול מחדש של הבקרים.

בעת חיבור נקודות גישה חדשות של Wi-Fi 6 לאשכול של בקרי סדרת Cisco Catalyst 9800, לא נצפו בעיות כאלה. חיבור נקודות חדשות לבקר מתבצע ללא עדכון תוכנת הבקר, ותהליך זה אינו מצריך אתחול מחדש, ובכך אינו משפיע על הרשת האלחוטית בשום צורה.

כשל בבקר

סביבת הבדיקה משתמשת בשני בקרי Wi-Fi 6 (Active/StandBy) ולנקודת הגישה יש חיבור ישיר לשני הבקרים.

בקר אלחוטי אחד פעיל, והשני, בהתאמה, הוא גיבוי. אם הבקר הפעיל נכשל, בקר הגיבוי משתלט והסטטוס שלו משתנה לפעיל. הליך זה מתרחש ללא הפרעה עבור נקודת הגישה ו-Wi-Fi עבור לקוחות.

אבטחה

סעיף זה דן בהיבטים של אבטחה, שהיא נושא דחוף ביותר ברשתות אלחוטיות. אבטחת הפתרון מוערכת על סמך המאפיינים הבאים:

• זיהוי יישומים;
• מעקב אחר זרימה;
• ניתוח תעבורה מוצפנת;
• זיהוי ומניעת חדירות;
• אמצעי אימות;
• כלים להגנה על מכשירי לקוח.

זיהוי אפליקציה

בין מגוון המוצרים בשוק ה-Wi-Fi הארגוני והתעשייה, ישנם הבדלים במידת הזיהוי של המוצרים לפי אפליקציה. מוצרים מיצרנים שונים עשויים לזהות מספרים שונים של יישומים. עם זאת, רבים מהיישומים שהפתרונות התחרותיים מציגים כאפשריים לזיהוי הם, למעשה, אתרי אינטרנט, ולא יישומים ייחודיים.

יש עוד תכונה מעניינת של זיהוי יישומים: הפתרונות משתנים מאוד בדייקנות הזיהוי.

בהתחשב בכל הבדיקות שבוצעו, אנו יכולים לקבוע באחריות שפתרון ה-Wi-Fi-6 של סיסקו מבצע זיהוי יישומים בצורה מדויקת מאוד: Jabber, Netflix, Dropbox, YouTube ויישומים פופולריים אחרים, כמו גם שירותי אינטרנט, זוהו במדויק. פתרונות סיסקו יכולים גם לצלול עמוק יותר לתוך מנות נתונים באמצעות DPI (Deep Packet Inspection).

מעקב אחר זרימת התנועה

בדיקה נוספת נערכה כדי לראות אם המערכת יכולה לעקוב ולדווח במדויק על זרימות נתונים (כגון תנועות קבצים גדולות). כדי לבדוק זאת, קובץ בגודל 6,5 מגה-בייט נשלח דרך הרשת באמצעות פרוטוקול העברת קבצים (FTP).

הפתרון של סיסקו עמד במלואו במשימה והצליח לעקוב אחר התעבורה הזו בזכות NetFlow ויכולות החומרה שלה. תנועה זוהתה וזוהתה מיד עם כמות הנתונים המדויקת שהועברה.

ניתוח תעבורה מוצפן

תעבורת נתונים של משתמשים מוצפנת יותר ויותר. זה נעשה על מנת להגן עליו מפני מעקב או יירוט על ידי תוקפים. אבל במקביל, האקרים משתמשים יותר ויותר בהצפנה כדי להסתיר את התוכנה הזדונית שלהם ולבצע פעולות מפוקפקות אחרות כמו Man-in-the-Middle (MiTM) או התקפות מפתחות.

רוב העסקים בודקים חלק מהתנועה המוצפנת שלהם על ידי פענוחה תחילה באמצעות חומות אש או מערכות למניעת חדירה. אך תהליך זה לוקח זמן רב ואינו מועיל לביצועי הרשת כולה. בנוסף, לאחר פענוח הנתונים הללו הופכים לפגיעים לעיניים סקרניות.

בקרי Cisco Catalyst 9800 Series פותרים בהצלחה את הבעיה של ניתוח תעבורה מוצפנת באמצעים אחרים. הפתרון נקרא Encrypted Traffic Analytics (ETA). ETA היא טכנולוגיה שאין לה כיום אנלוגים בפתרונות תחרותיים ואשר מזהה תוכנות זדוניות בתעבורה מוצפנת ללא צורך בפענוחה. ETA היא תכונת ליבה של IOS-XE הכוללת את NetFlow משופרת ומשתמשת באלגוריתמים התנהגותיים מתקדמים כדי לזהות דפוסי תעבורה זדוניים המסתתרים בתעבורה מוצפנת.

ETA לא מפענח הודעות, אלא אוסף פרופילי מטא נתונים של זרימות תעבורה מוצפנות - גודל מנות, מרווחי זמן בין מנות ועוד הרבה יותר. לאחר מכן המטא נתונים מיוצאים ברשומות NetFlow v9 אל Cisco Stealthwatch.

תפקיד המפתח של Stealthwatch הוא לנטר כל הזמן את התעבורה, כמו גם ליצור קו בסיס של פעילות רשת רגילה. באמצעות מטא נתונים מוצפנים של זרמים שנשלחו אליו על ידי ה-ETA, Stealthwatch מיישמת למידת מכונה רב-שכבתית כדי לזהות חריגות תעבורה התנהגותיות שעלולות להצביע על אירועים חשודים.

בשנה שעברה, סיסקו העסיקה את Miercom כדי להעריך באופן עצמאי את פתרון Cisco Encrypted Traffic Analytics שלה. במהלך הערכה זו, Miercom שלחה בנפרד איומים ידועים ולא ידועים (וירוסים, סוסים טרויאניים, תוכנות כופר) בתעבורה מוצפנת ולא מוצפנת על פני רשתות ETA גדולות ושאינן ETA כדי לזהות איומים.

לצורך בדיקה, הושק קוד זדוני בשתי הרשתות. בשני המקרים התגלתה פעילות חשודה בהדרגה. רשת ETA זיהתה בתחילה איומים ב-36% מהר יותר מרשת שאינה ETA. במקביל, ככל שהתקדמה העבודה, החלה לעלות פרודוקטיביות הגילוי ברשת ETA. כתוצאה מכך, לאחר מספר שעות של עבודה, זוהו בהצלחה שני שליש מהאיומים הפעילים ברשת ETA, פי שניים מאשר ברשת שאינה ETA.

פונקציונליות ETA משולבת היטב עם Stealthwatch. האיומים מדורגים לפי חומרה ומוצגים עם מידע מפורט, כמו גם אפשרויות תיקון לאחר אישורם. מסקנה - ETA עובד!

זיהוי ומניעת חדירה

לסיסקו יש כעת כלי אבטחה יעיל נוסף - Cisco Advanced Wireless Intrusion Prevention System (aWIPS): מנגנון לאיתור ומניעה של איומים על רשתות אלחוטיות. פתרון aWIPS פועל ברמת הבקרים, נקודות הגישה ותוכנת הניהול של Cisco DNA Center. זיהוי, התראה ומניעה של איומים משלבים ניתוח תעבורת רשת, מידע על התקני רשת וטופולוגיה של הרשת, טכניקות מבוססות חתימות וזיהוי חריגות כדי לספק איומים אלחוטיים מדויקים ביותר וניתנים למניעה.

שילוב מלא של aWIPS בתשתית הרשת שלך, אתה יכול לנטר ברציפות את התעבורה האלחוטית ברשתות קוויות ואלחוטיות ולהשתמש בה כדי לנתח באופן אוטומטי התקפות פוטנציאליות ממקורות מרובים כדי לספק את הזיהוי והמניעה המקיפים ביותר האפשריים.

אימות פירושו

נכון לעכשיו, בנוסף לכלי אימות קלאסיים, פתרונות מסדרת Cisco Catalyst 9800 תומכים ב-WPA3. WPA3 היא הגרסה העדכנית ביותר של WPA, שהיא קבוצה של פרוטוקולים וטכנולוגיות המספקות אימות והצפנה עבור רשתות Wi-Fi.

WPA3 משתמש באימות סימולטני של שווה (SAE) כדי לספק את ההגנה החזקה ביותר למשתמשים מפני ניסיונות ניחוש סיסמאות של צדדים שלישיים. כאשר לקוח מתחבר לנקודת גישה, הוא מבצע החלפת SAE. אם יצליח, כל אחד מהם יצור מפתח חזק מבחינה קריפטוגרפית שממנו ייגזר מפתח הפגישה, ולאחר מכן הם ייכנסו למצב האישור. לאחר מכן הלקוח ונקודת הגישה יכולים להיכנס למצבי לחיצת יד בכל פעם שיש צורך ליצור מפתח הפעלה. השיטה משתמשת בסודיות קדימה, שבה תוקף יכול לפצח מפתח אחד, אך לא את כל המפתחות האחרים.

כלומר, SAE מתוכנן בצורה כזו שלתוקף שיירט תעבורה יש רק ניסיון אחד לנחש את הסיסמה לפני שהנתונים המיירטים הופכים חסרי תועלת. כדי לארגן שחזור סיסמה ארוך, תזדקק לגישה פיזית לנקודת הגישה.

הגנת מכשיר הלקוח

הפתרונות האלחוטיים מסדרת Cisco Catalyst 9800 מספקים כיום את תכונת הגנת הלקוחות העיקרית באמצעות Cisco Umbrella WLAN, שירות אבטחת רשת מבוסס ענן הפועל ברמת ה-DNS עם זיהוי אוטומטי של איומים ידועים ומתעוררים כאחד.

Cisco Umbrella WLAN מספקת למכשירי הלקוח חיבור מאובטח לאינטרנט. זה מושג באמצעות סינון תוכן, כלומר על ידי חסימת גישה למשאבים באינטרנט בהתאם למדיניות הארגונית. לפיכך, מכשירי לקוח באינטרנט מוגנים מפני תוכנות זדוניות, תוכנות כופר והתחזות. אכיפת המדיניות מבוססת על 60 קטגוריות תוכן המתעדכנות ברציפות.

אוטומציה

הרשתות האלחוטיות של היום הן הרבה יותר גמישות ומורכבות, כך ששיטות מסורתיות של קביעת תצורה ושליפה של מידע מבקרים אלחוטיים אינן מספיקות. מנהלי רשת ואנשי מקצוע בתחום אבטחת המידע דורשים כלים לאוטומציה וניתוח, מה שמניע ספקים אלחוטיים להציע כלים כאלה.

כדי לפתור בעיות אלו, הבקרים האלחוטיים מסדרת Cisco Catalyst 9800, יחד עם ה-API המסורתי, מספקים תמיכה בפרוטוקול תצורת הרשת RESTCONF / NETCONF עם שפת המודלים YANG (Yet Another Next Generation).

NETCONF הוא פרוטוקול מבוסס XML שבו יישומים יכולים להשתמש כדי לבצע שאילתות מידע ולשנות את התצורה של התקני רשת כגון בקרים אלחוטיים.

בנוסף לשיטות אלו, בקרי Cisco Catalyst 9800 Series מספקים את היכולת ללכוד, לאחזר ולנתח נתוני זרימת מידע באמצעות פרוטוקולי NetFlow ו-sFlow.

עבור מודלים של אבטחה ותנועה, היכולת לעקוב אחר זרימות ספציפיות היא כלי רב ערך. כדי לפתור בעיה זו, הוטמע פרוטוקול sFlow, המאפשר ללכוד שתי מנות מכל מאה. עם זאת, לפעמים זה לא יספיק כדי לנתח וללמוד ולהעריך כראוי את הזרימה. לכן, חלופה היא NetFlow, המיושמת על ידי Cisco, המאפשרת לך ב-100% לאסוף ולייצא את כל החבילות בזרימה מוגדרת לצורך ניתוח אחר.

תכונה נוספת, עם זאת, זמינה רק בהטמעת החומרה של הבקרים, המאפשרת להפוך את פעולת הרשת האלחוטית בבקרים מסדרת Cisco Catalyst 9800, היא תמיכה מובנית בשפת Python כתוספת לשימוש סקריפטים ישירות על הבקר האלחוטי עצמו.

לבסוף, בקרי סדרת Cisco Catalyst 9800 תומכים בפרוטוקול SNMP המוכח בגרסה 1, 2 ו-3 לפעולות ניטור וניהול.

לפיכך, במונחים של אוטומציה, פתרונות Cisco Catalyst 9800 Series עומדים במלואם בדרישות העסקיות המודרניות, ומציעים גם כלים חדשים וייחודיים, כמו גם כלים שנבדקו בזמן לפעולות אוטומטיות וניתוחים ברשתות אלחוטיות בכל גודל ומורכבות.

מסקנה

בפתרונות המבוססים על בקרי סדרת Cisco Catalyst 9800, סיסקו הפגינה תוצאות מצוינות בקטגוריות של זמינות גבוהה, אבטחה ואוטומציה.

הפתרון עונה במלואו על כל דרישות הזמינות הגבוהות כגון מעבר לכשל בתת-שנייה במהלך אירועים לא מתוכננים ואפס השבתה עבור אירועים מתוכננים.

בקרי סדרת Cisco Catalyst 9800 מספקים אבטחה מקיפה המספקת בדיקת מנות עמוקה לזיהוי וניהול יישומים, נראות מלאה של זרימות נתונים וזיהוי איומים החבויים בתעבורה מוצפנת, כמו גם מנגנוני אימות ואבטחה מתקדמים עבור התקני הלקוח.

לאוטומציה וניתוח, סדרת Cisco Catalyst 9800 מציעה יכולות עוצמתיות תוך שימוש בדגמים סטנדרטיים פופולריים: YANG, NETCONF, RESTCONF, ממשקי API מסורתיים וסקריפטים מובנים של Python.

לפיכך, סיסקו מאשרת שוב את מעמדה כיצרנית המובילה בעולם של פתרונות רשת, כשהיא עומדת בזמנים ולוקחת בחשבון את כל האתגרים של עסקים מודרניים.

למידע נוסף על משפחת מתגי Catalyst, בקר מקוון סיסקו.

מקור: www.habr.com