コントローラーをお持ちの場合は問題ありません: ワイヤレス ネットワークを簡単に維持する方法

2019 年、コンサルティング会社 Miercom は、Cisco Catalyst 6 シリーズの Wi-Fi 9800 コントローラの独立した技術評価を実施しました。この調査のために、Cisco Wi-Fi 6 コントローラとアクセス ポイントからテストベンチが組み立てられ、技術的ソリューションは次のカテゴリーで評価されます。

• 可用性;
• セキュリティ;
• オートメーション。

研究結果を以下に示す。 2019 年以降、Cisco Catalyst 9800 シリーズ コントローラの機能が大幅に向上しました。これらの点はこの記事にも反映されています。

Wi-Fi 6 テクノロジーのその他の利点、実装例、応用分野について読むことができます。 ここで.

ソリューションの概要

Wi-Fi 6 コントローラ Cisco Catalyst 9800 シリーズ

Cisco Catalyst 9800 シリーズ ワイヤレス コントローラは、IOS-XE オペレーティング システム（Cisco スイッチおよびルータにも使用）をベースにしており、さまざまなオプションで利用できます。

9800-80 コントローラの古いモデルは、最大 80 Gbps のワイヤレス ネットワーク スループットをサポートします。 9800 つの 80-6000 コントローラは、最大 64 のアクセス ポイントと最大 000 のワイヤレス クライアントをサポートします。

ミッドレンジ モデルの 9800-40 コントローラは、最大 40 Gbps のスループット、最大 2000 のアクセス ポイント、および最大 32 のワイヤレス クライアントをサポートします。

これらのモデルに加えて、競合分析には 9800-CL ワイヤレス コントローラー (CL はクラウドの略) も含まれています。 9800-CL は VMWare ESXI および KVM ハイパーバイザー上の仮想環境で実行され、そのパフォーマンスはコントローラー仮想マシンの専用ハードウェア リソースに依存します。 Cisco 9800-CL コントローラは、最大構成では、旧モデル 9800-80 と同様に、最大 6000 のアクセス ポイントと最大 64 の無線クライアントの拡張性をサポートします。

コントローラを使用した調査を実施する際には、デュアル 4800 GHz モードに動的に切り替える機能を備え、2,4 GHz および 5 GHz の周波数での動作をサポートする Cisco Aironet AP 5 シリーズ アクセス ポイントが使用されました。

テストスタンド

テストの一環として、クラスタ内で動作する 9800 台の Cisco Catalyst 4800-CL ワイヤレス コントローラと Cisco Aironet AP XNUMX シリーズ アクセス ポイントからスタンドが組み立てられました。

Dell と Apple のラップトップ、および Apple iPhone スマートフォンがクライアント デバイスとして使用されました。

アクセシビリティテスト

可用性は、ユーザーがシステムまたはサービスにアクセスして使用できる能力として定義されます。 高可用性とは、特定のイベントに関係なく、システムまたはサービスに継続的にアクセスできることを意味します。

高可用性は XNUMX つのシナリオでテストされました。最初の XNUMX つのシナリオは、営業時間中または営業時間後に発生する可能性のある予測可能なイベントまたはスケジュールされたイベントです。 XNUMX 番目のシナリオは典型的な失敗であり、予測不可能なイベントです。

シナリオの説明:

• エラー修正 – システムのマイクロ アップデート (バグ修正またはセキュリティ パッチ)。システム ソフトウェアを完全にアップデートしなくても、特定のエラーや脆弱性を修正できます。
• 機能アップデート - 機能アップデートをインストールすることにより、システムの現在の機能を追加または拡張します。
• 完全アップデート - コントローラ ソフトウェア イメージをアップデートします。
• アクセス ポイントの追加 - ワイヤレス コントローラー ソフトウェアの再構成や更新を必要とせずに、新しいアクセス ポイント モデルをワイヤレス ネットワークに追加します。
• 障害 - ワイヤレス コントローラーの障害。

バグと脆弱性の修正

多くの競合ソリューションでは、パッチを適用するにはワイヤレス コントローラー システムの完全なソフトウェア アップデートが必要になることが多く、その結果、計画外のダウンタイムが発生する可能性があります。 シスコのソリューションの場合、製品を停止せずにパッチ適用が実行されます。 ワイヤレス インフラストラクチャが動作し続けている間、パッチは任意のコンポーネントにインストールできます。

手順自体は非常に簡単です。 パッチ ファイルは Cisco ワイヤレス コントローラの XNUMX つのブートストラップ フォルダにコピーされ、GUI またはコマンド ラインを介して動作が確認されます。 さらに、システム操作を中断することなく、GUI またはコマンド ラインを使用して修正を元に戻したり削除したりすることもできます。

機能アップデート

機能ソフトウェアのアップデートは、新しい機能を有効にするために適用されます。 これらの改善の XNUMX つは、アプリケーション署名データベースの更新です。 このパッケージは、テストとして Cisco コントローラにインストールされました。 パッチと同様に、機能更新はダウンタイムやシステムの中断なしで適用、インストール、または削除されます。

完全な更新

現時点では、コントローラー ソフトウェア イメージの完全なアップデートは、機能アップデートと同じ方法で、つまりダウンタイムなしで実行されます。 ただし、この機能は、複数のコントローラーがあるクラスター構成でのみ使用できます。 完全なアップデートは、最初に XNUMX つのコントローラーで、次に XNUMX 番目のコントローラーで順番に実行されます。

新しいアクセス ポイント モデルの追加

これまで使用されたコントローラ ソフトウェア イメージで動作したことのない新しいアクセス ポイントをワイヤレス ネットワークに接続することは、特に大規模なネットワーク (空港、ホテル、工場) では非常に一般的な操作です。 競合他社のソリューションでは、この操作でシステム ソフトウェアの更新やコントローラの再起動が必要になることがよくあります。

新しい Wi-Fi 6 アクセス ポイントを Cisco Catalyst 9800 シリーズ コントローラのクラスタに接続する場合、そのような問題は観察されません。 新しいポイントのコントローラへの接続は、コントローラ ソフトウェアを更新せずに実行され、このプロセスには再起動が必要ないため、ワイヤレス ネットワークにはまったく影響しません。

コントローラーの故障

テスト環境では 6 つの Wi-Fi XNUMX コントローラー (アクティブ/スタンバイ) を使用し、アクセス ポイントは両方のコントローラーに直接接続します。

XNUMX つのワイヤレス コントローラーがアクティブで、もう XNUMX つはバックアップです。 アクティブ コントローラに障害が発生すると、バックアップ コントローラが引き継ぎ、そのステータスがアクティブに変わります。 この手順は、アクセス ポイントとクライアントの Wi-Fi を中断することなく実行されます。

セキュリティ

このセクションでは、ワイヤレス ネットワークにおいて非常に差し迫った問題であるセキュリティの側面について説明します。 ソリューションのセキュリティは、次の特性に基づいて評価されます。

• アプリケーションの認識。
• フロー追跡。
• 暗号化されたトラフィックの分析。
• 侵入の検出と防止。
• 認証手段；
• クライアントデバイス保護ツール。

アプリケーションの認識

エンタープライズおよび産業用 Wi-Fi 市場にはさまざまな製品がありますが、アプリケーションごとに製品がトラフィックをどの程度識別するかには違いがあります。 異なるメーカーの製品では、異なる数のアプリケーションが識別される場合があります。 ただし、競合ソリューションが識別のためにリストに挙げるアプリケーションの多くは、実際には Web サイトであり、固有のアプリケーションではありません。

アプリケーション認識にはもう XNUMX つの興味深い特徴があります。それは、ソリューションの識別精度が大きく異なることです。

実行されたすべてのテストを考慮すると、シスコの Wi-Fi-6 ソリューションはアプリケーション認識を非常に正確に実行していると責任を持って言えます。Jabber、Netflix、Dropbox、YouTube、その他の人気のあるアプリケーションと Web サービスが正確に識別されました。 シスコのソリューションは、DPI（ディープ パケット インスペクション）を使用してデータ パケットをさらに詳しく調べることもできます。

交通流の追跡

システムがデータ フロー (大きなファイルの移動など) を正確に追跡および報告できるかどうかを確認するために、別のテストが実施されました。 これをテストするために、ファイル転送プロトコル (FTP) を使用して、6,5 メガバイトのファイルがネットワーク経由で送信されました。

シスコのソリューションはその任務に完全に対応しており、NetFlow とそのハードウェア機能のおかげでこのトラフィックを追跡することができました。 トラフィックは検出され、転送されたデータの正確な量によって即座に特定されました。

暗号化トラフィック分析

ユーザーデータトラフィックの暗号化はますます進んでいます。 これは、攻撃者による追跡や傍受から保護するために行われます。 しかし同時に、ハッカーはマルウェアを隠したり、中間者 (MiTM) 攻撃やキーロギング攻撃などの他の疑わしい操作を実行するために暗号化を使用することが増えています。

ほとんどの企業は、最初にファイアウォールまたは侵入防御システムを使用して暗号化されたトラフィックを復号化し、暗号化されたトラフィックの一部を検査します。 ただし、このプロセスには時間がかかり、ネットワーク全体のパフォーマンスにはメリットがありません。 さらに、このデータは復号化されると覗き見されやすくなります。

Cisco Catalyst 9800 シリーズ コントローラは、暗号化されたトラフィックを他の手段で分析する問題を解決します。 このソリューションは暗号化トラフィック分析 (ETA) と呼ばれます。 ETA は、現時点では競合ソリューションに類似する技術がなく、暗号化されたトラフィック内のマルウェアを復号化せずに検出します。 ETA は、Enhanced NetFlow を含む IOS-XE の中核機能であり、高度な動作アルゴリズムを使用して、暗号化されたトラフィックに隠れている悪意のあるトラフィック パターンを識別します。

ETA はメッセージを復号化しませんが、暗号化されたトラフィック フローのメタデータ プロファイル (パケット サイズ、パケット間の時間間隔など) を収集します。 次に、メタデータは NetFlow v9 レコードで Cisco Stealthwatch にエクスポートされます。

Stealthwatch の主な機能は、トラフィックを常に監視し、通常のネットワーク アクティビティのベースラインを作成することです。 Stealthwatch は、ETA から送信された暗号化されたストリーム メタデータを使用して、多層機械学習を適用し、不審なイベントを示す可能性のある動作トラフィックの異常を特定します。

昨年、シスコは Miercom と協力して、Cisco Encrypted Traffic Analytics ソリューションを独自に評価しました。 この評価中、Miercom は、脅威を特定するために、大規模な ETA ネットワークと非 ETA ネットワークを介して、暗号化されたトラフィックと暗号化されていないトラフィックで既知の脅威と未知の脅威 (ウイルス、トロイの木馬、ランサムウェア) を個別に送信しました。

テストのために、両方のネットワークで悪意のあるコードが起動されました。 どちらの場合も、不審な活動が徐々に発見されました。 ETA ネットワークは当初、ETA 以外のネットワークよりも 36% 早く脅威を検出しました。 同時に、作業が進むにつれて、ETA ネットワークでの検出の生産性が向上し始めました。 その結果、数時間の作業の後、アクティブな脅威の XNUMX 分の XNUMX が ETA ネットワークで検出できました。これは、ETA 以外のネットワークの XNUMX 倍です。

ETA 機能は Stealthwatch と適切に統合されています。 脅威は重大度によってランク付けされ、詳細情報と確認後の修復オプションが表示されます。 結論 – ETA は機能します!

侵入の検知と防止

シスコは現在、もう XNUMX つの効果的なセキュリティ ツールである Cisco Advanced Wireless Intrusion Prevention System (aWIPS) を導入しています。これは、ワイヤレス ネットワークに対する脅威を検出および防止するメカニズムです。 aWIPS ソリューションは、コントローラ、アクセス ポイント、および Cisco DNA Center 管理ソフトウェアのレベルで動作します。 脅威の検出、アラート、防止では、ネットワーク トラフィック分析、ネットワーク デバイスとネットワーク トポロジ情報、シグネチャ ベースの技術、異常検出を組み合わせて、高精度で防止可能なワイヤレス脅威を提供します。

aWIPS をネットワーク インフラストラクチャに完全に統合すると、有線ネットワークと無線ネットワークの両方で無線トラフィックを継続的に監視し、それを使用して複数のソースからの潜在的な攻撃を自動的に分析し、可能な限り最も包括的な検出と防止を実現できます。

認証手段

現時点では、従来の認証ツールに加えて、Cisco Catalyst 9800 シリーズ ソリューションは WPA3 をサポートしています。 WPA3 は、Wi-Fi ネットワークの認証と暗号化を提供する一連のプロトコルとテクノロジである WPA の最新バージョンです。

WPA3 は、Simultaneous Authentication of Equals (SAE) を使用して、第三者によるパスワード推測の試みからユーザーを最も強力に保護します。 クライアントがアクセス ポイントに接続すると、SAE 交換が実行されます。 成功すると、それぞれがセッション キーの導出元となる暗号的に強力なキーを作成し、確認状態に入ります。 その後、クライアントとアクセス ポイントは、セッション キーを生成する必要があるたびにハンドシェイク状態に入ることができます。 この方法では前方秘匿性が使用されており、攻撃者は XNUMX つのキーを解読できますが、他のすべてのキーは解読できません。

つまり、SAE は、トラフィックを傍受する攻撃者が XNUMX 回だけパスワードを推測するだけで、傍受したデータが役に立たなくなるように設計されています。 長いパスワードの回復を計画するには、アクセス ポイントに物理的にアクセスする必要があります。

クライアントデバイスの保護

Cisco Catalyst 9800 シリーズ ワイヤレス ソリューションは現在、Cisco Umbrella WLAN を通じて主要な顧客保護機能を提供しています。これは、DNS レベルで動作し、既知の脅威と新たな脅威の両方を自動検出するクラウドベースのネットワーク セキュリティ サービスです。

Cisco Umbrella WLAN は、クライアント デバイスにインターネットへの安全な接続を提供します。 これは、コンテンツ フィルタリング、つまり企業ポリシーに従ってインターネット上のリソースへのアクセスをブロックすることによって実現されます。 したがって、インターネット上のクライアント デバイスは、マルウェア、ランサムウェア、フィッシングから保護されます。 ポリシーの適用は、継続的に更新される 60 のコンテンツ カテゴリに基づいています。

オートメーション

今日のワイヤレス ネットワークははるかに柔軟で複雑になっているため、ワイヤレス コントローラを設定したり、ワイヤレス コントローラから情報を取得したりする従来の方法では十分ではありません。 ネットワーク管理者や情報セキュリティの専門家は自動化と分析のためのツールを必要としており、ワイヤレス ベンダーはそのようなツールを提供するようになっています。

これらの問題を解決するために、Cisco Catalyst 9800 シリーズ ワイヤレス コントローラは、従来の API とともに、YANG (Yet Another Next Generation) データ モデリング言語による RESTCONF / NETCONF ネットワーク設定プロトコルのサポートを提供します。

NETCONF は、アプリケーションが情報を照会したり、ワイヤレス コントローラーなどのネットワーク デバイスの構成を変更したりするために使用できる XML ベースのプロトコルです。

これらの方法に加えて、Cisco Catalyst 9800 シリーズ コントローラは、NetFlow および sFlow プロトコルを使用して情報フロー データをキャプチャ、取得、分析する機能を提供します。

セキュリティとトラフィックのモデリングにとって、特定のフローを追跡する機能は貴重なツールです。 この問題を解決するために、100 パケットごとに XNUMX パケットをキャプチャできる sFlow プロトコルが実装されました。 ただし、フローを分析し、適切に調査および評価するには、これでは不十分な場合があります。 したがって、代替手段として Cisco が実装した NetFlow を使用すると、指定されたフロー内のすべてのパケットを XNUMX% 収集してエクスポートし、その後の分析を行うことができます。

ただし、コントローラのハードウェア実装でのみ利用できる別の機能は、Cisco Catalyst 9800 シリーズ コントローラのワイヤレス ネットワークの動作を自動化できるもので、使用するためのアドオンとして Python 言語のサポートが組み込まれています。ワイヤレス コントローラー自体に直接スクリプトを追加します。

最後に、Cisco Catalyst 9800 シリーズ コントローラは、監視および管理操作のために実績のある SNMP バージョン 1、2、および 3 プロトコルをサポートします。

したがって、自動化という点では、Cisco Catalyst 9800 シリーズ ソリューションは現代のビジネス要件を完全に満たしており、あらゆる規模と複雑さのワイヤレス ネットワークで自動化された運用と分析のための新しいツールとユニークなツール、そして実績のあるツールを提供します。

まとめ

シスコは、Cisco Catalyst 9800 シリーズ コントローラをベースとしたソリューションにおいて、高可用性、セキュリティ、自動化のカテゴリで優れた結果を実証しました。

このソリューションは、計画外のイベント時の XNUMX 秒未満のフェイルオーバーや、スケジュールされたイベントのゼロ ダウンタイムなど、すべての高可用性要件を完全に満たしています。

Cisco Catalyst 9800 シリーズ コントローラは、アプリケーションの認識と制御のためのディープ パケット インスペクション、データ フローの完全な可視化、暗号化されたトラフィックに隠れた脅威の特定を提供する包括的なセキュリティと、クライアント デバイスの高度な認証およびセキュリティ メカニズムを提供します。

Cisco Catalyst 9800 シリーズは、自動化と分析のために、YANG、NETCONF、RESTCONF、従来の API、組み込み Python スクリプトなどの一般的な標準モデルを使用した強力な機能を提供します。

このようにして、シスコは、時代に追いつき、現代のビジネスのあらゆる課題を考慮した、ネットワーキング ソリューションの世界有数のメーカーとしての地位を改めて確認しました。

Catalyst スイッチ ファミリの詳細については、次の Web サイトを参照してください。 オンライン シスコ。

出所： habr.com

2019 年、コンサルティング会社 Miercom は、Cisco Catalyst 6 シリーズの Wi-Fi 9800 コントローラの独立した技術評価を実施しました。この調査のために、Cisco Wi-Fi 6 コントローラとアクセス ポイントからテストベンチが組み立てられ、技術的ソリューションは次のカテゴリーで評価されます。

• 可用性;
• セキュリティ;
• オートメーション。

研究結果を以下に示す。 2019 年以降、Cisco Catalyst 9800 シリーズ コントローラの機能が大幅に向上しました。これらの点はこの記事にも反映されています。

Wi-Fi 6 テクノロジーのその他の利点、実装例、応用分野について読むことができます。 ここで.

ソリューションの概要

Wi-Fi 6 コントローラ Cisco Catalyst 9800 シリーズ

Cisco Catalyst 9800 シリーズ ワイヤレス コントローラは、IOS-XE オペレーティング システム（Cisco スイッチおよびルータにも使用）をベースにしており、さまざまなオプションで利用できます。

9800-80 コントローラの古いモデルは、最大 80 Gbps のワイヤレス ネットワーク スループットをサポートします。 9800 つの 80-6000 コントローラは、最大 64 のアクセス ポイントと最大 000 のワイヤレス クライアントをサポートします。

ミッドレンジ モデルの 9800-40 コントローラは、最大 40 Gbps のスループット、最大 2000 のアクセス ポイント、および最大 32 のワイヤレス クライアントをサポートします。

これらのモデルに加えて、競合分析には 9800-CL ワイヤレス コントローラー (CL はクラウドの略) も含まれています。 9800-CL は VMWare ESXI および KVM ハイパーバイザー上の仮想環境で実行され、そのパフォーマンスはコントローラー仮想マシンの専用ハードウェア リソースに依存します。 Cisco 9800-CL コントローラは、最大構成では、旧モデル 9800-80 と同様に、最大 6000 のアクセス ポイントと最大 64 の無線クライアントの拡張性をサポートします。

コントローラを使用した調査を実施する際には、デュアル 4800 GHz モードに動的に切り替える機能を備え、2,4 GHz および 5 GHz の周波数での動作をサポートする Cisco Aironet AP 5 シリーズ アクセス ポイントが使用されました。

テストスタンド

テストの一環として、クラスタ内で動作する 9800 台の Cisco Catalyst 4800-CL ワイヤレス コントローラと Cisco Aironet AP XNUMX シリーズ アクセス ポイントからスタンドが組み立てられました。

Dell と Apple のラップトップ、および Apple iPhone スマートフォンがクライアント デバイスとして使用されました。

アクセシビリティテスト

可用性は、ユーザーがシステムまたはサービスにアクセスして使用できる能力として定義されます。 高可用性とは、特定のイベントに関係なく、システムまたはサービスに継続的にアクセスできることを意味します。

高可用性は XNUMX つのシナリオでテストされました。最初の XNUMX つのシナリオは、営業時間中または営業時間後に発生する可能性のある予測可能なイベントまたはスケジュールされたイベントです。 XNUMX 番目のシナリオは典型的な失敗であり、予測不可能なイベントです。

シナリオの説明:

• エラー修正 – システムのマイクロ アップデート (バグ修正またはセキュリティ パッチ)。システム ソフトウェアを完全にアップデートしなくても、特定のエラーや脆弱性を修正できます。
• 機能アップデート - 機能アップデートをインストールすることにより、システムの現在の機能を追加または拡張します。
• 完全アップデート - コントローラ ソフトウェア イメージをアップデートします。
• アクセス ポイントの追加 - ワイヤレス コントローラー ソフトウェアの再構成や更新を必要とせずに、新しいアクセス ポイント モデルをワイヤレス ネットワークに追加します。
• 障害 - ワイヤレス コントローラーの障害。

バグと脆弱性の修正

多くの競合ソリューションでは、パッチを適用するにはワイヤレス コントローラー システムの完全なソフトウェア アップデートが必要になることが多く、その結果、計画外のダウンタイムが発生する可能性があります。 シスコのソリューションの場合、製品を停止せずにパッチ適用が実行されます。 ワイヤレス インフラストラクチャが動作し続けている間、パッチは任意のコンポーネントにインストールできます。

手順自体は非常に簡単です。 パッチ ファイルは Cisco ワイヤレス コントローラの XNUMX つのブートストラップ フォルダにコピーされ、GUI またはコマンド ラインを介して動作が確認されます。 さらに、システム操作を中断することなく、GUI またはコマンド ラインを使用して修正を元に戻したり削除したりすることもできます。

機能アップデート

機能ソフトウェアのアップデートは、新しい機能を有効にするために適用されます。 これらの改善の XNUMX つは、アプリケーション署名データベースの更新です。 このパッケージは、テストとして Cisco コントローラにインストールされました。 パッチと同様に、機能更新はダウンタイムやシステムの中断なしで適用、インストール、または削除されます。

完全な更新

現時点では、コントローラー ソフトウェア イメージの完全なアップデートは、機能アップデートと同じ方法で、つまりダウンタイムなしで実行されます。 ただし、この機能は、複数のコントローラーがあるクラスター構成でのみ使用できます。 完全なアップデートは、最初に XNUMX つのコントローラーで、次に XNUMX 番目のコントローラーで順番に実行されます。

新しいアクセス ポイント モデルの追加

これまで使用されたコントローラ ソフトウェア イメージで動作したことのない新しいアクセス ポイントをワイヤレス ネットワークに接続することは、特に大規模なネットワーク (空港、ホテル、工場) では非常に一般的な操作です。 競合他社のソリューションでは、この操作でシステム ソフトウェアの更新やコントローラの再起動が必要になることがよくあります。

新しい Wi-Fi 6 アクセス ポイントを Cisco Catalyst 9800 シリーズ コントローラのクラスタに接続する場合、そのような問題は観察されません。 新しいポイントのコントローラへの接続は、コントローラ ソフトウェアを更新せずに実行され、このプロセスには再起動が必要ないため、ワイヤレス ネットワークにはまったく影響しません。

コントローラーの故障

テスト環境では 6 つの Wi-Fi XNUMX コントローラー (アクティブ/スタンバイ) を使用し、アクセス ポイントは両方のコントローラーに直接接続します。

XNUMX つのワイヤレス コントローラーがアクティブで、もう XNUMX つはバックアップです。 アクティブ コントローラに障害が発生すると、バックアップ コントローラが引き継ぎ、そのステータスがアクティブに変わります。 この手順は、アクセス ポイントとクライアントの Wi-Fi を中断することなく実行されます。

セキュリティ

このセクションでは、ワイヤレス ネットワークにおいて非常に差し迫った問題であるセキュリティの側面について説明します。 ソリューションのセキュリティは、次の特性に基づいて評価されます。

• アプリケーションの認識。
• フロー追跡。
• 暗号化されたトラフィックの分析。
• 侵入の検出と防止。
• 認証手段；
• クライアントデバイス保護ツール。

アプリケーションの認識

エンタープライズおよび産業用 Wi-Fi 市場にはさまざまな製品がありますが、アプリケーションごとに製品がトラフィックをどの程度識別するかには違いがあります。 異なるメーカーの製品では、異なる数のアプリケーションが識別される場合があります。 ただし、競合ソリューションが識別のためにリストに挙げるアプリケーションの多くは、実際には Web サイトであり、固有のアプリケーションではありません。

アプリケーション認識にはもう XNUMX つの興味深い特徴があります。それは、ソリューションの識別精度が大きく異なることです。

実行されたすべてのテストを考慮すると、シスコの Wi-Fi-6 ソリューションはアプリケーション認識を非常に正確に実行していると責任を持って言えます。Jabber、Netflix、Dropbox、YouTube、その他の人気のあるアプリケーションと Web サービスが正確に識別されました。 シスコのソリューションは、DPI（ディープ パケット インスペクション）を使用してデータ パケットをさらに詳しく調べることもできます。

交通流の追跡

システムがデータ フロー (大きなファイルの移動など) を正確に追跡および報告できるかどうかを確認するために、別のテストが実施されました。 これをテストするために、ファイル転送プロトコル (FTP) を使用して、6,5 メガバイトのファイルがネットワーク経由で送信されました。

シスコのソリューションはその任務に完全に対応しており、NetFlow とそのハードウェア機能のおかげでこのトラフィックを追跡することができました。 トラフィックは検出され、転送されたデータの正確な量によって即座に特定されました。

暗号化トラフィック分析

ユーザーデータトラフィックの暗号化はますます進んでいます。 これは、攻撃者による追跡や傍受から保護するために行われます。 しかし同時に、ハッカーはマルウェアを隠したり、中間者 (MiTM) 攻撃やキーロギング攻撃などの他の疑わしい操作を実行するために暗号化を使用することが増えています。

ほとんどの企業は、最初にファイアウォールまたは侵入防御システムを使用して暗号化されたトラフィックを復号化し、暗号化されたトラフィックの一部を検査します。 ただし、このプロセスには時間がかかり、ネットワーク全体のパフォーマンスにはメリットがありません。 さらに、このデータは復号化されると覗き見されやすくなります。

Cisco Catalyst 9800 シリーズ コントローラは、暗号化されたトラフィックを他の手段で分析する問題を解決します。 このソリューションは暗号化トラフィック分析 (ETA) と呼ばれます。 ETA は、現時点では競合ソリューションに類似する技術がなく、暗号化されたトラフィック内のマルウェアを復号化せずに検出します。 ETA は、Enhanced NetFlow を含む IOS-XE の中核機能であり、高度な動作アルゴリズムを使用して、暗号化されたトラフィックに隠れている悪意のあるトラフィック パターンを識別します。

ETA はメッセージを復号化しませんが、暗号化されたトラフィック フローのメタデータ プロファイル (パケット サイズ、パケット間の時間間隔など) を収集します。 次に、メタデータは NetFlow v9 レコードで Cisco Stealthwatch にエクスポートされます。

Stealthwatch の主な機能は、トラフィックを常に監視し、通常のネットワーク アクティビティのベースラインを作成することです。 Stealthwatch は、ETA から送信された暗号化されたストリーム メタデータを使用して、多層機械学習を適用し、不審なイベントを示す可能性のある動作トラフィックの異常を特定します。

昨年、シスコは Miercom と協力して、Cisco Encrypted Traffic Analytics ソリューションを独自に評価しました。 この評価中、Miercom は、脅威を特定するために、大規模な ETA ネットワークと非 ETA ネットワークを介して、暗号化されたトラフィックと暗号化されていないトラフィックで既知の脅威と未知の脅威 (ウイルス、トロイの木馬、ランサムウェア) を個別に送信しました。

テストのために、両方のネットワークで悪意のあるコードが起動されました。 どちらの場合も、不審な活動が徐々に発見されました。 ETA ネットワークは当初、ETA 以外のネットワークよりも 36% 早く脅威を検出しました。 同時に、作業が進むにつれて、ETA ネットワークでの検出の生産性が向上し始めました。 その結果、数時間の作業の後、アクティブな脅威の XNUMX 分の XNUMX が ETA ネットワークで検出できました。これは、ETA 以外のネットワークの XNUMX 倍です。

ETA 機能は Stealthwatch と適切に統合されています。 脅威は重大度によってランク付けされ、詳細情報と確認後の修復オプションが表示されます。 結論 – ETA は機能します!

侵入の検知と防止

シスコは現在、もう XNUMX つの効果的なセキュリティ ツールである Cisco Advanced Wireless Intrusion Prevention System (aWIPS) を導入しています。これは、ワイヤレス ネットワークに対する脅威を検出および防止するメカニズムです。 aWIPS ソリューションは、コントローラ、アクセス ポイント、および Cisco DNA Center 管理ソフトウェアのレベルで動作します。 脅威の検出、アラート、防止では、ネットワーク トラフィック分析、ネットワーク デバイスとネットワーク トポロジ情報、シグネチャ ベースの技術、異常検出を組み合わせて、高精度で防止可能なワイヤレス脅威を提供します。

aWIPS をネットワーク インフラストラクチャに完全に統合すると、有線ネットワークと無線ネットワークの両方で無線トラフィックを継続的に監視し、それを使用して複数のソースからの潜在的な攻撃を自動的に分析し、可能な限り最も包括的な検出と防止を実現できます。

認証手段

現時点では、従来の認証ツールに加えて、Cisco Catalyst 9800 シリーズ ソリューションは WPA3 をサポートしています。 WPA3 は、Wi-Fi ネットワークの認証と暗号化を提供する一連のプロトコルとテクノロジである WPA の最新バージョンです。

WPA3 は、Simultaneous Authentication of Equals (SAE) を使用して、第三者によるパスワード推測の試みからユーザーを最も強力に保護します。 クライアントがアクセス ポイントに接続すると、SAE 交換が実行されます。 成功すると、それぞれがセッション キーの導出元となる暗号的に強力なキーを作成し、確認状態に入ります。 その後、クライアントとアクセス ポイントは、セッション キーを生成する必要があるたびにハンドシェイク状態に入ることができます。 この方法では前方秘匿性が使用されており、攻撃者は XNUMX つのキーを解読できますが、他のすべてのキーは解読できません。

つまり、SAE は、トラフィックを傍受する攻撃者が XNUMX 回だけパスワードを推測するだけで、傍受したデータが役に立たなくなるように設計されています。 長いパスワードの回復を計画するには、アクセス ポイントに物理的にアクセスする必要があります。

クライアントデバイスの保護

Cisco Catalyst 9800 シリーズ ワイヤレス ソリューションは現在、Cisco Umbrella WLAN を通じて主要な顧客保護機能を提供しています。これは、DNS レベルで動作し、既知の脅威と新たな脅威の両方を自動検出するクラウドベースのネットワーク セキュリティ サービスです。

Cisco Umbrella WLAN は、クライアント デバイスにインターネットへの安全な接続を提供します。 これは、コンテンツ フィルタリング、つまり企業ポリシーに従ってインターネット上のリソースへのアクセスをブロックすることによって実現されます。 したがって、インターネット上のクライアント デバイスは、マルウェア、ランサムウェア、フィッシングから保護されます。 ポリシーの適用は、継続的に更新される 60 のコンテンツ カテゴリに基づいています。

オートメーション

今日のワイヤレス ネットワークははるかに柔軟で複雑になっているため、ワイヤレス コントローラを設定したり、ワイヤレス コントローラから情報を取得したりする従来の方法では十分ではありません。 ネットワーク管理者や情報セキュリティの専門家は自動化と分析のためのツールを必要としており、ワイヤレス ベンダーはそのようなツールを提供するようになっています。

これらの問題を解決するために、Cisco Catalyst 9800 シリーズ ワイヤレス コントローラは、従来の API とともに、YANG (Yet Another Next Generation) データ モデリング言語による RESTCONF / NETCONF ネットワーク設定プロトコルのサポートを提供します。

NETCONF は、アプリケーションが情報を照会したり、ワイヤレス コントローラーなどのネットワーク デバイスの構成を変更したりするために使用できる XML ベースのプロトコルです。

これらの方法に加えて、Cisco Catalyst 9800 シリーズ コントローラは、NetFlow および sFlow プロトコルを使用して情報フロー データをキャプチャ、取得、分析する機能を提供します。

セキュリティとトラフィックのモデリングにとって、特定のフローを追跡する機能は貴重なツールです。 この問題を解決するために、100 パケットごとに XNUMX パケットをキャプチャできる sFlow プロトコルが実装されました。 ただし、フローを分析し、適切に調査および評価するには、これでは不十分な場合があります。 したがって、代替手段として Cisco が実装した NetFlow を使用すると、指定されたフロー内のすべてのパケットを XNUMX% 収集してエクスポートし、その後の分析を行うことができます。

ただし、コントローラのハードウェア実装でのみ利用できる別の機能は、Cisco Catalyst 9800 シリーズ コントローラのワイヤレス ネットワークの動作を自動化できるもので、使用するためのアドオンとして Python 言語のサポートが組み込まれています。ワイヤレス コントローラー自体に直接スクリプトを追加します。

最後に、Cisco Catalyst 9800 シリーズ コントローラは、監視および管理操作のために実績のある SNMP バージョン 1、2、および 3 プロトコルをサポートします。

したがって、自動化という点では、Cisco Catalyst 9800 シリーズ ソリューションは現代のビジネス要件を完全に満たしており、あらゆる規模と複雑さのワイヤレス ネットワークで自動化された運用と分析のための新しいツールとユニークなツール、そして実績のあるツールを提供します。

まとめ

シスコは、Cisco Catalyst 9800 シリーズ コントローラをベースとしたソリューションにおいて、高可用性、セキュリティ、自動化のカテゴリで優れた結果を実証しました。

このソリューションは、計画外のイベント時の XNUMX 秒未満のフェイルオーバーや、スケジュールされたイベントのゼロ ダウンタイムなど、すべての高可用性要件を完全に満たしています。

Cisco Catalyst 9800 シリーズ コントローラは、アプリケーションの認識と制御のためのディープ パケット インスペクション、データ フローの完全な可視化、暗号化されたトラフィックに隠れた脅威の特定を提供する包括的なセキュリティと、クライアント デバイスの高度な認証およびセキュリティ メカニズムを提供します。

Cisco Catalyst 9800 シリーズは、自動化と分析のために、YANG、NETCONF、RESTCONF、従来の API、組み込み Python スクリプトなどの一般的な標準モデルを使用した強力な機能を提供します。

このようにして、シスコは、時代に追いつき、現代のビジネスのあらゆる課題を考慮した、ネットワーキング ソリューションの世界有数のメーカーとしての地位を改めて確認しました。

Catalyst スイッチ ファミリの詳細については、次の Web サイトを参照してください。 オンライン シスコ。

出所： habr.com