Ако имате контролер, нема проблем: како лесно да ја одржувате вашата безжична мрежа

Во 2019 година, консултантската компанија Miercom спроведе независна технолошка проценка на контролорите Wi-Fi 6 од серијата Cisco Catalyst 9800. За оваа студија беше составена тест клупа од контролорите и пристапните точки на Cisco Wi-Fi 6, а техничкото решение беше оценети во следните категории:

• Достапност;
• Безбедност;
• Автоматизација.

Резултатите од студијата се прикажани подолу. Од 2019 година, функционалноста на контролерите од серијата Cisco Catalyst 9800 е значително подобрена - овие точки се рефлектираат и во овој напис.

Можете да прочитате за други предности на технологијата Wi-Fi 6, примери за имплементација и области на примена тука.

Преглед на решенија

Wi-Fi 6 контролери Cisco Catalyst 9800 series

Безжичните контролери на Cisco Catalyst 9800 Series, базирани на оперативниот систем IOS-XE (исто така се користат за Cisco прекинувачи и рутери), се достапни во различни опции.

Постариот модел на контролерот 9800-80 поддржува проток на безжична мрежа до 80 Gbps. Еден контролер 9800-80 поддржува до 6000 пристапни точки и до 64 безжични клиенти.

Моделот со среден опсег, контролерот 9800-40, поддржува проток до 40 Gbps, до 2000 пристапни точки и до 32 безжични клиенти.

Покрај овие модели, конкурентската анализа го вклучи и безжичниот контролер 9800-CL (CL е кратенка за Cloud). 9800-CL работи во виртуелни средини на хипервизори VMWare ESXI и KVM, а неговите перформанси зависат од посветените хардверски ресурси за виртуелната машина на контролорот. Во својата максимална конфигурација, контролерот Cisco 9800-CL, како и постариот модел 9800-80, поддржува приспособливост до 6000 пристапни точки и до 64 безжични клиенти.

При спроведување на истражување со контролери, се користеа пристапни точки од серијата Cisco Aironet AP 4800, кои поддржуваат работа на фреквенции од 2,4 и 5 GHz со можност за динамичко префрлување на двоен режим од 5 GHz.

Тест штанд

Како дел од тестирањето, беше составен држач од два безжични контролери Cisco Catalyst 9800-CL кои работат во кластер и пристапни точки од серијата Cisco Aironet AP 4800.

Лаптопите од Dell и Apple, како и паметен телефон на Apple iPhone, се користеа како клиентски уреди.

Тестирање на пристапност

Достапноста се дефинира како способност на корисниците да пристапат и користат систем или услуга. Високата достапност подразбира континуиран пристап до систем или услуга, независно од одредени настани.

Високата достапност беше тестирана во четири сценарија, а првите три сценарија се предвидливи или закажани настани што може да се случат за време или по работното време. Петтото сценарио е класичен неуспех, што е непредвидлив настан.

Опис на сценарија:

• Корекција на грешка – микро-ажурирање на системот (поправка на грешки или безбедносна лепенка), која ви овозможува да поправите одредена грешка или ранливост без целосно ажурирање на системскиот софтвер;
• Функционално ажурирање – додавање или проширување на моменталната функционалност на системот преку инсталирање функционални ажурирања;
• Целосно ажурирање – ажурирајте ја сликата на софтверот на контролорот;
• Додавање пристапна точка – додавање нов модел на пристапна точка на безжична мрежа без потреба од реконфигурирање или ажурирање на софтверот на безжичниот контролер;
• Failure — дефект на безжичниот контролер.

Поправање на грешки и пропусти

Често, со многу конкурентни решенија, залепувањето бара целосно ажурирање на софтверот на системот за безжичен контролер, што може да резултира со непланирано прекинување. Во случајот со растворот Cisco, крпењето се врши без запирање на производот. Закрпи може да се инсталираат на која било од компонентите додека безжичната инфраструктура продолжува да работи.

Самата процедура е прилично едноставна. Датотеката за закрпи се копира во папката bootstrap на еден од безжичните контролери на Cisco, а операцијата потоа се потврдува преку GUI или командната линија. Дополнително, можете исто така да ја вратите и отстраните поправката преку GUI или командната линија, исто така без да ја прекинувате работата на системот.

Функционално ажурирање

Се применуваат функционални софтверски ажурирања за да се овозможат нови функции. Едно од овие подобрувања е ажурирањето на базата на податоци за потпис на апликацијата. Овој пакет беше инсталиран на контролерите на Cisco како тест. Исто како и со закрпи, ажурирањата на функциите се применуваат, инсталираат или отстрануваат без никаков прекин или прекин на системот.

Целосно ажурирање

Во моментов, целосно ажурирање на сликата на софтверот на контролорот се врши на ист начин како и функционалното ажурирање, односно без прекини. Сепак, оваа функција е достапна само во конфигурација на кластер кога има повеќе од еден контролер. Целосното ажурирање се врши последователно: прво на еден контролер, а потоа на вториот.

Додавање нов модел на пристапна точка

Поврзувањето на нови пристапни точки, кои претходно не биле управувани со користената слика на софтверот на контролорот, со безжична мрежа е прилично честа операција, особено во големите мрежи (аеродроми, хотели, фабрики). Доста често кај конкурентските решенија, оваа операција бара ажурирање на системскиот софтвер или рестартирање на контролорите.

При поврзување на нови точки за пристап Wi-Fi 6 со кластер од контролери од серијата Cisco Catalyst 9800, не се забележуваат такви проблеми. Поврзувањето на нови точки со контролорот се врши без ажурирање на софтверот на контролорот и овој процес не бара рестартирање, со што нема да влијае на безжичната мрежа на кој било начин.

Неуспех на контролорот

Тестната средина користи два контролери за Wi-Fi 6 (Active/StandBy) и точката за пристап има директно поврзување со двата контролери.

Еден безжичен контролер е активен, а другиот, соодветно, е резервна копија. Ако активниот контролер не успее, резервниот контролер го презема и неговиот статус се менува во активен. Оваа постапка се случува без прекин за пристапната точка и Wi-Fi за клиентите.

безбедност

Овој дел ги разгледува аспектите на безбедноста, што е исклучително актуелно прашање во безжичните мрежи. Безбедноста на решението се проценува врз основа на следните карактеристики:

• Препознавање на апликации;
• Следење на проток;
• Анализа на шифриран сообраќај;
• Откривање и спречување на упади;
• Средства за автентикација;
• Алатки за заштита на уредот на клиентот.

Препознавање на апликација

Помеѓу разновидноста на производи на деловниот и индустрискиот пазар за Wi-Fi, постојат разлики во тоа колку добро производите го идентификуваат сообраќајот по апликација. Производите од различни производители може да идентификуваат различен број на апликации. Сепак, многу од апликациите што конкурентните решенија ги наведуваат како можни за идентификација се, всушност, веб-страници, а не единствени апликации.

Постои уште една интересна карактеристика на препознавање апликации: решенијата се разликуваат многу во точноста на идентификацијата.

Земајќи ги предвид сите извршени тестови, одговорно можеме да констатираме дека решението за Wi-Fi-6 на Cisco врши препознавање на апликациите многу прецизно: Jabber, Netflix, Dropbox, YouTube и други популарни апликации, како и веб-услуги, беа прецизно идентификувани. Решенијата на Cisco исто така можат да се нурнат подлабоко во пакетите со податоци користејќи DPI (Длабока проверка на пакети).

Следење на протокот на сообраќај

Беше спроведен уште еден тест за да се види дали системот може точно да ги следи и пријави тековите на податоци (како што се движењата на големи датотеки). За да се тестира ова, датотека од 6,5 мегабајти беше испратена преку мрежата користејќи протокол за пренос на датотеки (FTP).

Решението на Cisco беше целосно на ниво на задачата и беше во можност да го следи овој сообраќај благодарение на NetFlow и неговите хардверски способности. Сообраќајот беше откриен и идентификуван веднаш со точната количина на пренесени податоци.

Шифрирана анализа на сообраќајот

Сообраќајот на кориснички податоци се повеќе се шифрира. Ова е направено со цел да се заштити од следење или пресретнување од напаѓачи. Но, во исто време, хакерите се повеќе користат шифрирање за да го сокријат својот малициозен софтвер и да вршат други сомнителни операции како што се Man-in-the-Middle (MiTM) или напади со тастатура.

Повеќето бизниси проверуваат дел од нивниот шифриран сообраќај така што прво ќе го дешифрираат користејќи заштитни ѕидови или системи за спречување на упад. Но, овој процес трае многу време и не е од корист за перформансите на мрежата како целина. Покрај тоа, откако ќе се дешифрираат, овие податоци стануваат ранливи на љубопитните очи.

Контролерите на Cisco Catalyst 9800 Series успешно го решаваат проблемот со анализа на шифриран сообраќај со други средства. Решението се вика Шифрирана сообраќајна анализа (ETA). ETA е технологија која моментално нема аналози во конкурентните решенија и која открива малициозен софтвер во шифриран сообраќај без потреба од дешифрирање. ETA е основна карактеристика на IOS-XE која вклучува Подобрен NetFlow и користи напредни алгоритми за однесување за да ги идентификува злонамерните сообраќајни обрасци кои се кријат во шифриран сообраќај.

ETA не ги дешифрира пораките, туку собира метаподатоци за шифрирани текови на сообраќај - големина на пакети, временски интервали помеѓу пакетите и многу повеќе. Метаподатоците потоа се извезуваат во записите NetFlow v9 во Cisco Stealthwatch.

Клучната функција на Stealthwatch е постојано да го следи сообраќајот, како и да создава основна линија за нормална мрежна активност. Користејќи шифрирани метаподатоци за пренос што му ги испраќа ETA, Stealthwatch применува повеќеслојно машинско учење за да ги идентификува аномалиите во однесувањето во сообраќајот што може да укажуваат на сомнителни настани.

Минатата година, Cisco го ангажираше Miercom самостојно да го процени неговото решение за шифрирана сообраќајна анализа на Cisco. За време на оваа проценка, Miercom одделно испраќаше познати и непознати закани (вируси, тројанци, ransomware) во шифриран и нешифриран сообраќај низ големи ETA и не-ETA мрежи за да ги идентификува заканите.

За тестирање, злонамерен код беше лансиран на двете мрежи. И во двата случаи, постепено беше откриена сомнителна активност. Мрежата ЕТА првично откри закани 36% побрзо од мрежата што не е ЕТА. Во исто време, како што работата напредуваше, продуктивноста на откривање во мрежата ЕТА почна да се зголемува. Како резултат на тоа, по неколку часа работа, две третини од активните закани беа успешно откриени во мрежата ЕТА, што е двојно повеќе отколку во мрежата што не е ЕТА.

Функционалноста на ETA е добро интегрирана со Stealthwatch. Заканите се рангирани според сериозноста и се прикажуваат со детални информации, како и опциите за санација откако ќе се потврдат. Заклучок – ЕТА функционира!

Откривање и спречување на упади

Cisco сега има уште една ефикасна безбедносна алатка - Cisco Advanced Wireless Intrusion Prevention System (aWIPS): механизам за откривање и спречување закани за безжичните мрежи. Решението aWIPS работи на ниво на контролери, пристапни точки и софтвер за управување со Cisco DNA Center. Откривањето, предупредувањето и спречувањето на закани комбинира анализа на мрежниот сообраќај, мрежни уреди и информации за мрежна топологија, техники засновани на потпис и откривање аномалии за да се испорача многу прецизни и спречени безжични закани.

Целосно интегрирајќи го aWIPS во вашата мрежна инфраструктура, можете континуирано да го следите безжичниот сообраќај и на жичната и на безжичната мрежа и да го користите за автоматска анализа на потенцијалните напади од повеќе извори за да обезбедите најсеопфатно можно откривање и спречување.

Автентикација значи

Во моментов, покрај класичните алатки за автентикација, решенијата од серијата Cisco Catalyst 9800 поддржуваат WPA3. WPA3 е најновата верзија на WPA, која е збир на протоколи и технологии кои обезбедуваат автентикација и шифрирање за Wi-Fi мрежите.

WPA3 користи Симултана автентикација на еднакви (SAE) за да обезбеди најсилна заштита за корисниците од обиди за погодување лозинки од трети страни. Кога клиентот се поврзува со пристапна точка, тој врши SAE размена. Доколку е успешна, секој од нив ќе создаде криптографски силен клуч од кој ќе се изведе клучот за сесија, а потоа ќе влезат во состојба на потврда. Клиентот и пристапната точка можат потоа да внесуваат состојби на ракување секој пат кога треба да се генерира клуч за сесија. Методот користи напредна тајност, во која напаѓачот може да пробие еден клуч, но не и сите други клучеви.

Односно, SAE е дизајниран на таков начин што напаѓачот кој го пресретнува сообраќајот има само еден обид да ја погоди лозинката пред пресретнатите податоци да станат бескорисни. За да организирате долго враќање на лозинката, ќе ви треба физички пристап до пристапната точка.

Заштита на уредот на клиентот

Безжичните решенија од серијата Cisco Catalyst 9800 моментално ја обезбедуваат основната карактеристика за заштита на клиентите преку Cisco Umbrella WLAN, мрежна безбедносна услуга базирана на облак која работи на ниво на DNS со автоматско откривање и на познати и на новите закани.

Cisco Umbrella WLAN им обезбедува на клиентите уреди безбедно поврзување на Интернет. Ова се постигнува преку филтрирање на содржината, односно со блокирање на пристапот до ресурсите на Интернет во согласност со политиката на претпријатието. Така, клиентските уреди на Интернет се заштитени од малициозен софтвер, ransomware и фишинг. Спроведувањето на политиките се заснова на 60 континуирано ажурирани категории на содржини.

Автоматизација

Денешните безжични мрежи се многу пофлексибилни и покомплексни, така што традиционалните методи за конфигурирање и преземање информации од безжични контролери не се доволни. Мрежните администратори и професионалците за безбедност на информации бараат алатки за автоматизација и аналитика, што ги натера продавачите на безжична мрежа да понудат такви алатки.

За да се решат овие проблеми, безжичните контролери од серијата Cisco Catalyst 9800, заедно со традиционалниот API, обезбедуваат поддршка за протоколот за конфигурација на мрежата RESTCONF / NETCONF со јазикот за моделирање податоци YANG (уште една следна генерација).

NETCONF е протокол базиран на XML што апликациите можат да го користат за да бараат информации и да ја менуваат конфигурацијата на мрежните уреди како што се безжични контролери.

Покрај овие методи, контролорите на Cisco Catalyst 9800 Series обезбедуваат можност за снимање, преземање и анализа на податоците за протокот на информации со помош на протоколите NetFlow и sFlow.

За безбедносно и сообраќајно моделирање, способноста за следење специфични текови е важна алатка. За да се реши овој проблем, имплементиран е протоколот sFlow, кој ви овозможува да фатите два пакети од секои сто. Сепак, понекогаш ова може да не е доволно за да се анализира и адекватно да се проучи и процени протокот. Затоа, алтернатива е NetFlow, имплементиран од Cisco, кој ви овозможува 100% да ги собирате и извезувате сите пакети во одреден проток за последователна анализа.

Друга карактеристика, сепак, достапна само во хардверската имплементација на контролорите, која ви овозможува да ја автоматизирате работата на безжичната мрежа во контролерите од серијата Cisco Catalyst 9800, е вградената поддршка за јазикот Python како додаток за користење. скрипти директно на самиот безжичен контролер.

Конечно, контролорите на Cisco Catalyst 9800 Series го поддржуваат докажаниот протокол SNMP верзија 1, 2 и 3 за операции за следење и управување.

Така, во однос на автоматизацијата, решенијата од серијата Cisco Catalyst 9800 целосно ги задоволуваат современите деловни барања, нудејќи и нови и уникатни, како и временски тестирани алатки за автоматизирани операции и аналитика во безжични мрежи од која било големина и сложеност.

Заклучок

Во решенијата базирани на контролорите на Cisco Catalyst 9800 Series, Cisco покажа одлични резултати во категориите висока достапност, безбедност и автоматизација.

Решението целосно ги задоволува сите барања за висока достапност, како што се под-второ откажување за време на непланирани настани и нула прекини за закажани настани.

Контролерите од серијата Cisco Catalyst 9800 обезбедуваат сеопфатна безбедност што обезбедува длабока проверка на пакетите за препознавање и контрола на апликациите, целосна видливост во тековите на податоци и идентификација на заканите скриени во шифрираниот сообраќај, како и напредни механизми за автентикација и безбедност за клиентите уреди.

За автоматизација и аналитика, серијата Cisco Catalyst 9800 нуди моќни способности користејќи популарни стандардни модели: YANG, NETCONF, RESTCONF, традиционални API и вградени Python скрипти.

Така, Cisco уште еднаш го потврдува својот статус на водечки светски производител на мрежни решенија, држејќи се во чекор со времето и земајќи ги предвид сите предизвици на современиот бизнис.

За повеќе информации за семејството на прекинувачи на Catalyst, посетете Онлајн циско.

Извор: www.habr.com

Во 2019 година, консултантската компанија Miercom спроведе независна технолошка проценка на контролорите Wi-Fi 6 од серијата Cisco Catalyst 9800. За оваа студија беше составена тест клупа од контролорите и пристапните точки на Cisco Wi-Fi 6, а техничкото решение беше оценети во следните категории:

• Достапност;
• Безбедност;
• Автоматизација.

Резултатите од студијата се прикажани подолу. Од 2019 година, функционалноста на контролерите од серијата Cisco Catalyst 9800 е значително подобрена - овие точки се рефлектираат и во овој напис.

Можете да прочитате за други предности на технологијата Wi-Fi 6, примери за имплементација и области на примена тука.

Преглед на решенија

Wi-Fi 6 контролери Cisco Catalyst 9800 series

Безжичните контролери на Cisco Catalyst 9800 Series, базирани на оперативниот систем IOS-XE (исто така се користат за Cisco прекинувачи и рутери), се достапни во различни опции.

Постариот модел на контролерот 9800-80 поддржува проток на безжична мрежа до 80 Gbps. Еден контролер 9800-80 поддржува до 6000 пристапни точки и до 64 безжични клиенти.

Моделот со среден опсег, контролерот 9800-40, поддржува проток до 40 Gbps, до 2000 пристапни точки и до 32 безжични клиенти.

Покрај овие модели, конкурентската анализа го вклучи и безжичниот контролер 9800-CL (CL е кратенка за Cloud). 9800-CL работи во виртуелни средини на хипервизори VMWare ESXI и KVM, а неговите перформанси зависат од посветените хардверски ресурси за виртуелната машина на контролорот. Во својата максимална конфигурација, контролерот Cisco 9800-CL, како и постариот модел 9800-80, поддржува приспособливост до 6000 пристапни точки и до 64 безжични клиенти.

При спроведување на истражување со контролери, се користеа пристапни точки од серијата Cisco Aironet AP 4800, кои поддржуваат работа на фреквенции од 2,4 и 5 GHz со можност за динамичко префрлување на двоен режим од 5 GHz.

Тест штанд

Како дел од тестирањето, беше составен држач од два безжични контролери Cisco Catalyst 9800-CL кои работат во кластер и пристапни точки од серијата Cisco Aironet AP 4800.

Лаптопите од Dell и Apple, како и паметен телефон на Apple iPhone, се користеа како клиентски уреди.

Тестирање на пристапност

Достапноста се дефинира како способност на корисниците да пристапат и користат систем или услуга. Високата достапност подразбира континуиран пристап до систем или услуга, независно од одредени настани.

Високата достапност беше тестирана во четири сценарија, а првите три сценарија се предвидливи или закажани настани што може да се случат за време или по работното време. Петтото сценарио е класичен неуспех, што е непредвидлив настан.

Опис на сценарија:

• Корекција на грешка – микро-ажурирање на системот (поправка на грешки или безбедносна лепенка), која ви овозможува да поправите одредена грешка или ранливост без целосно ажурирање на системскиот софтвер;
• Функционално ажурирање – додавање или проширување на моменталната функционалност на системот преку инсталирање функционални ажурирања;
• Целосно ажурирање – ажурирајте ја сликата на софтверот на контролорот;
• Додавање пристапна точка – додавање нов модел на пристапна точка на безжична мрежа без потреба од реконфигурирање или ажурирање на софтверот на безжичниот контролер;
• Failure — дефект на безжичниот контролер.

Поправање на грешки и пропусти

Често, со многу конкурентни решенија, залепувањето бара целосно ажурирање на софтверот на системот за безжичен контролер, што може да резултира со непланирано прекинување. Во случајот со растворот Cisco, крпењето се врши без запирање на производот. Закрпи може да се инсталираат на која било од компонентите додека безжичната инфраструктура продолжува да работи.

Самата процедура е прилично едноставна. Датотеката за закрпи се копира во папката bootstrap на еден од безжичните контролери на Cisco, а операцијата потоа се потврдува преку GUI или командната линија. Дополнително, можете исто така да ја вратите и отстраните поправката преку GUI или командната линија, исто така без да ја прекинувате работата на системот.

Функционално ажурирање

Се применуваат функционални софтверски ажурирања за да се овозможат нови функции. Едно од овие подобрувања е ажурирањето на базата на податоци за потпис на апликацијата. Овој пакет беше инсталиран на контролерите на Cisco како тест. Исто како и со закрпи, ажурирањата на функциите се применуваат, инсталираат или отстрануваат без никаков прекин или прекин на системот.

Целосно ажурирање

Во моментов, целосно ажурирање на сликата на софтверот на контролорот се врши на ист начин како и функционалното ажурирање, односно без прекини. Сепак, оваа функција е достапна само во конфигурација на кластер кога има повеќе од еден контролер. Целосното ажурирање се врши последователно: прво на еден контролер, а потоа на вториот.

Додавање нов модел на пристапна точка

Поврзувањето на нови пристапни точки, кои претходно не биле управувани со користената слика на софтверот на контролорот, со безжична мрежа е прилично честа операција, особено во големите мрежи (аеродроми, хотели, фабрики). Доста често кај конкурентските решенија, оваа операција бара ажурирање на системскиот софтвер или рестартирање на контролорите.

При поврзување на нови точки за пристап Wi-Fi 6 со кластер од контролери од серијата Cisco Catalyst 9800, не се забележуваат такви проблеми. Поврзувањето на нови точки со контролорот се врши без ажурирање на софтверот на контролорот и овој процес не бара рестартирање, со што нема да влијае на безжичната мрежа на кој било начин.

Неуспех на контролорот

Тестната средина користи два контролери за Wi-Fi 6 (Active/StandBy) и точката за пристап има директно поврзување со двата контролери.

Еден безжичен контролер е активен, а другиот, соодветно, е резервна копија. Ако активниот контролер не успее, резервниот контролер го презема и неговиот статус се менува во активен. Оваа постапка се случува без прекин за пристапната точка и Wi-Fi за клиентите.

безбедност

Овој дел ги разгледува аспектите на безбедноста, што е исклучително актуелно прашање во безжичните мрежи. Безбедноста на решението се проценува врз основа на следните карактеристики:

• Препознавање на апликации;
• Следење на проток;
• Анализа на шифриран сообраќај;
• Откривање и спречување на упади;
• Средства за автентикација;
• Алатки за заштита на уредот на клиентот.

Препознавање на апликација

Помеѓу разновидноста на производи на деловниот и индустрискиот пазар за Wi-Fi, постојат разлики во тоа колку добро производите го идентификуваат сообраќајот по апликација. Производите од различни производители може да идентификуваат различен број на апликации. Сепак, многу од апликациите што конкурентните решенија ги наведуваат како можни за идентификација се, всушност, веб-страници, а не единствени апликации.

Постои уште една интересна карактеристика на препознавање апликации: решенијата се разликуваат многу во точноста на идентификацијата.

Земајќи ги предвид сите извршени тестови, одговорно можеме да констатираме дека решението за Wi-Fi-6 на Cisco врши препознавање на апликациите многу прецизно: Jabber, Netflix, Dropbox, YouTube и други популарни апликации, како и веб-услуги, беа прецизно идентификувани. Решенијата на Cisco исто така можат да се нурнат подлабоко во пакетите со податоци користејќи DPI (Длабока проверка на пакети).

Следење на протокот на сообраќај

Беше спроведен уште еден тест за да се види дали системот може точно да ги следи и пријави тековите на податоци (како што се движењата на големи датотеки). За да се тестира ова, датотека од 6,5 мегабајти беше испратена преку мрежата користејќи протокол за пренос на датотеки (FTP).

Решението на Cisco беше целосно на ниво на задачата и беше во можност да го следи овој сообраќај благодарение на NetFlow и неговите хардверски способности. Сообраќајот беше откриен и идентификуван веднаш со точната количина на пренесени податоци.

Шифрирана анализа на сообраќајот

Сообраќајот на кориснички податоци се повеќе се шифрира. Ова е направено со цел да се заштити од следење или пресретнување од напаѓачи. Но, во исто време, хакерите се повеќе користат шифрирање за да го сокријат својот малициозен софтвер и да вршат други сомнителни операции како што се Man-in-the-Middle (MiTM) или напади со тастатура.

Повеќето бизниси проверуваат дел од нивниот шифриран сообраќај така што прво ќе го дешифрираат користејќи заштитни ѕидови или системи за спречување на упад. Но, овој процес трае многу време и не е од корист за перформансите на мрежата како целина. Покрај тоа, откако ќе се дешифрираат, овие податоци стануваат ранливи на љубопитните очи.

Контролерите на Cisco Catalyst 9800 Series успешно го решаваат проблемот со анализа на шифриран сообраќај со други средства. Решението се вика Шифрирана сообраќајна анализа (ETA). ETA е технологија која моментално нема аналози во конкурентните решенија и која открива малициозен софтвер во шифриран сообраќај без потреба од дешифрирање. ETA е основна карактеристика на IOS-XE која вклучува Подобрен NetFlow и користи напредни алгоритми за однесување за да ги идентификува злонамерните сообраќајни обрасци кои се кријат во шифриран сообраќај.

ETA не ги дешифрира пораките, туку собира метаподатоци за шифрирани текови на сообраќај - големина на пакети, временски интервали помеѓу пакетите и многу повеќе. Метаподатоците потоа се извезуваат во записите NetFlow v9 во Cisco Stealthwatch.

Клучната функција на Stealthwatch е постојано да го следи сообраќајот, како и да создава основна линија за нормална мрежна активност. Користејќи шифрирани метаподатоци за пренос што му ги испраќа ETA, Stealthwatch применува повеќеслојно машинско учење за да ги идентификува аномалиите во однесувањето во сообраќајот што може да укажуваат на сомнителни настани.

Минатата година, Cisco го ангажираше Miercom самостојно да го процени неговото решение за шифрирана сообраќајна анализа на Cisco. За време на оваа проценка, Miercom одделно испраќаше познати и непознати закани (вируси, тројанци, ransomware) во шифриран и нешифриран сообраќај низ големи ETA и не-ETA мрежи за да ги идентификува заканите.

За тестирање, злонамерен код беше лансиран на двете мрежи. И во двата случаи, постепено беше откриена сомнителна активност. Мрежата ЕТА првично откри закани 36% побрзо од мрежата што не е ЕТА. Во исто време, како што работата напредуваше, продуктивноста на откривање во мрежата ЕТА почна да се зголемува. Како резултат на тоа, по неколку часа работа, две третини од активните закани беа успешно откриени во мрежата ЕТА, што е двојно повеќе отколку во мрежата што не е ЕТА.

Функционалноста на ETA е добро интегрирана со Stealthwatch. Заканите се рангирани според сериозноста и се прикажуваат со детални информации, како и опциите за санација откако ќе се потврдат. Заклучок – ЕТА функционира!

Откривање и спречување на упади

Cisco сега има уште една ефикасна безбедносна алатка - Cisco Advanced Wireless Intrusion Prevention System (aWIPS): механизам за откривање и спречување закани за безжичните мрежи. Решението aWIPS работи на ниво на контролери, пристапни точки и софтвер за управување со Cisco DNA Center. Откривањето, предупредувањето и спречувањето на закани комбинира анализа на мрежниот сообраќај, мрежни уреди и информации за мрежна топологија, техники засновани на потпис и откривање аномалии за да се испорача многу прецизни и спречени безжични закани.

Целосно интегрирајќи го aWIPS во вашата мрежна инфраструктура, можете континуирано да го следите безжичниот сообраќај и на жичната и на безжичната мрежа и да го користите за автоматска анализа на потенцијалните напади од повеќе извори за да обезбедите најсеопфатно можно откривање и спречување.

Автентикација значи

Во моментов, покрај класичните алатки за автентикација, решенијата од серијата Cisco Catalyst 9800 поддржуваат WPA3. WPA3 е најновата верзија на WPA, која е збир на протоколи и технологии кои обезбедуваат автентикација и шифрирање за Wi-Fi мрежите.

WPA3 користи Симултана автентикација на еднакви (SAE) за да обезбеди најсилна заштита за корисниците од обиди за погодување лозинки од трети страни. Кога клиентот се поврзува со пристапна точка, тој врши SAE размена. Доколку е успешна, секој од нив ќе создаде криптографски силен клуч од кој ќе се изведе клучот за сесија, а потоа ќе влезат во состојба на потврда. Клиентот и пристапната точка можат потоа да внесуваат состојби на ракување секој пат кога треба да се генерира клуч за сесија. Методот користи напредна тајност, во која напаѓачот може да пробие еден клуч, но не и сите други клучеви.

Односно, SAE е дизајниран на таков начин што напаѓачот кој го пресретнува сообраќајот има само еден обид да ја погоди лозинката пред пресретнатите податоци да станат бескорисни. За да организирате долго враќање на лозинката, ќе ви треба физички пристап до пристапната точка.

Заштита на уредот на клиентот

Безжичните решенија од серијата Cisco Catalyst 9800 моментално ја обезбедуваат основната карактеристика за заштита на клиентите преку Cisco Umbrella WLAN, мрежна безбедносна услуга базирана на облак која работи на ниво на DNS со автоматско откривање и на познати и на новите закани.

Cisco Umbrella WLAN им обезбедува на клиентите уреди безбедно поврзување на Интернет. Ова се постигнува преку филтрирање на содржината, односно со блокирање на пристапот до ресурсите на Интернет во согласност со политиката на претпријатието. Така, клиентските уреди на Интернет се заштитени од малициозен софтвер, ransomware и фишинг. Спроведувањето на политиките се заснова на 60 континуирано ажурирани категории на содржини.

Автоматизација

Денешните безжични мрежи се многу пофлексибилни и покомплексни, така што традиционалните методи за конфигурирање и преземање информации од безжични контролери не се доволни. Мрежните администратори и професионалците за безбедност на информации бараат алатки за автоматизација и аналитика, што ги натера продавачите на безжична мрежа да понудат такви алатки.

За да се решат овие проблеми, безжичните контролери од серијата Cisco Catalyst 9800, заедно со традиционалниот API, обезбедуваат поддршка за протоколот за конфигурација на мрежата RESTCONF / NETCONF со јазикот за моделирање податоци YANG (уште една следна генерација).

NETCONF е протокол базиран на XML што апликациите можат да го користат за да бараат информации и да ја менуваат конфигурацијата на мрежните уреди како што се безжични контролери.

Покрај овие методи, контролорите на Cisco Catalyst 9800 Series обезбедуваат можност за снимање, преземање и анализа на податоците за протокот на информации со помош на протоколите NetFlow и sFlow.

За безбедносно и сообраќајно моделирање, способноста за следење специфични текови е важна алатка. За да се реши овој проблем, имплементиран е протоколот sFlow, кој ви овозможува да фатите два пакети од секои сто. Сепак, понекогаш ова може да не е доволно за да се анализира и адекватно да се проучи и процени протокот. Затоа, алтернатива е NetFlow, имплементиран од Cisco, кој ви овозможува 100% да ги собирате и извезувате сите пакети во одреден проток за последователна анализа.

Друга карактеристика, сепак, достапна само во хардверската имплементација на контролорите, која ви овозможува да ја автоматизирате работата на безжичната мрежа во контролерите од серијата Cisco Catalyst 9800, е вградената поддршка за јазикот Python како додаток за користење. скрипти директно на самиот безжичен контролер.

Конечно, контролорите на Cisco Catalyst 9800 Series го поддржуваат докажаниот протокол SNMP верзија 1, 2 и 3 за операции за следење и управување.

Така, во однос на автоматизацијата, решенијата од серијата Cisco Catalyst 9800 целосно ги задоволуваат современите деловни барања, нудејќи и нови и уникатни, како и временски тестирани алатки за автоматизирани операции и аналитика во безжични мрежи од која било големина и сложеност.

Заклучок

Во решенијата базирани на контролорите на Cisco Catalyst 9800 Series, Cisco покажа одлични резултати во категориите висока достапност, безбедност и автоматизација.

Решението целосно ги задоволува сите барања за висока достапност, како што се под-второ откажување за време на непланирани настани и нула прекини за закажани настани.

Контролерите од серијата Cisco Catalyst 9800 обезбедуваат сеопфатна безбедност што обезбедува длабока проверка на пакетите за препознавање и контрола на апликациите, целосна видливост во тековите на податоци и идентификација на заканите скриени во шифрираниот сообраќај, како и напредни механизми за автентикација и безбедност за клиентите уреди.

За автоматизација и аналитика, серијата Cisco Catalyst 9800 нуди моќни способности користејќи популарни стандардни модели: YANG, NETCONF, RESTCONF, традиционални API и вградени Python скрипти.

Така, Cisco уште еднаш го потврдува својот статус на водечки светски производител на мрежни решенија, држејќи се во чекор со времето и земајќи ги предвид сите предизвици на современиот бизнис.

За повеќе информации за семејството на прекинувачи на Catalyst, посетете Онлајн циско.

Извор: www.habr.com