Cisco Connect Almaty 2014 - Security Solutions for Data Centers (russian)
•
0 likes•648 views
Summary: - Trends, threats, etc - Secure DC Architecture - Security for Virtual Containers - TrustSec overview - Security monitoring and correlation
Recommended
Recommended
More Related Content
What's hot
What's hot (20)
Viewers also liked
Viewers also liked (6)
Similar to Cisco Connect Almaty 2014 - Security Solutions for Data Centers (russian)
Similar to Cisco Connect Almaty 2014 - Security Solutions for Data Centers (russian) (20)
Cisco Connect Almaty 2014 - Security Solutions for Data Centers (russian)
- 1. Андрей Ключка Системный инженер Cisco CCIE #30274 (Security) Безопасность Центров Обработки Данных
- 2. Безопасность ЦОД Угрозы, тренды, приоритеты Архитектура защищенного ЦОД Безопасность виртуальных контейнеров Идентификация и применение политик на базе меток SGT Поиск угроз и корреляция Заключение
- 3. Основные приоритеты обеспечения безопасности ЦОД Сегментация • Установление границ: сеть, вычисления, виртуальные ресурсы • Реализация политики по функциям, устройствам, организациям • Контроль доступа к сетям, ресурсам, приложениям Защита от угроз • Блокировка внутренних и внешних атак • Контроль границ зоны и периметра • Контроль доступа к информации, ее использования и утечки Мониторинг • Обеспечение прозрачности использования • Применение бизнес-‐контекста к работе сети • Упрощение отчетности по операциям и соответствию нормативным требованиям Технологии обеспечения безопасности ДОЛЖНЫ изначально интегрироваться с технологиями и сервисами ЦОД для поддержки целостности сетевой коммутационной структуры ЦОД и безопасного предоставления информации и доступа к ней. Без наложений — безопасность должна быть максимально естественной и всеобъемлющей. Без переработок — проект сети должен оставаться оптимальным и неизменным. Без упрощения сети ЦОД! Без дополнительной потери пакетов Без компромиссов — ЦОД имеет очень важное значение!
- 4. «59% организаций не хватает лабораторных ресурсов или сред тестирования для подтверждения спецификаций поставщиков». — Институт SANS «В организациях явно недостаточно четко определенных стандартов, процедур и ресурсов для определения отказоустойчивости критически важных сетевых устройств и систем.... Необходима методичная проверка отказоустойчивости с использованием комбинации реального трафика, высокой нагрузки и атак, угрожающих безопасности сети». —SANS и TOGAG Утвержденные дизайны Cisco дают результаты ЦОД / Утвержденные дизайны защищенного ЦОД Cisco — www.cisco.com/go/ vmdc
- 5. Межсетевые экраны в ЦОД
- 6. Физические МСЭ • 2 слота (2 RU): FW, FW+IPS or FW+NGFW • Топовые 5585 обеспечивают 4 10GE порта(SFP+) • I/O карта или дополнительный IPS module добавляют 4 10GE порта • Производительность 20 Гбит/с (multiprotocol) на МСЭ • 10M соединенний на МСЭ • Результаты тестирования BreakingPoint: http://blogs.ixiacom.com/ixia-blog/cisco-asa-live-validation-with-breakingpoint-firestorm-ctm/ • Отчет Miercom : http://www.miercom.com/2011/06/cisco-asa-5585-x-vs-juniper-srx3600/
- 7. ASA Firewall и фабрика ЦОД ASA и Nexus Virtual Port Channel § vPC обеспечивает равномерную загрузку активных линков (отсутствие заблоированных STP линков) § ASA использует технологии отказоустойчивости в ЦОД § Уникальная интеграция ASA и Nexus (LACP) IPS модуль использует связность ASA – обеспечивает DPI Проверенный дизайн для сегментации, защиты от угроз и прозрачности операций Работает в режимах A/S и A/A Уровень агрегации в ЦОД Active vPC Peer-link vPC vPC Core IP1 Core IP2 Active or Standby N7K VPC 41N7K VPC 40 Nexus 1000V vPath Hypervisor Nexus 1000V vPath Hypervisor Core Layer Aggregation Layer Access Layers
- 8. Внедрение ASA Firewall Варианты применения Layer 2! ASA 5585 Nexus 1000V vPath Hypervisor Layer 3! ASA 5585 Nexus 1000V vPath Hypervisor Nexus 1000V vPath Hypervisor Clustering! ASA 5585 Aggregation Core
- 9. МСЭ & виртуальная среда ASA инспектирует трафик между VLAN Layer 2 Adjacent! Switched Locally! Direct Communication! ASA 5585 Transparent Mode Aggregation Core Hypervisor Layer 3 Gateway! VRF or SVI ! Inter-VLAN VM Inspection! Aggregation Core Physical Layout! East-West VLAN filtering!
- 10. Кластер ASA С версии ASA 9.0: • До 8 ASA в кластере • обновление ПО без остановки сервиса • Управление потоками трафика для обеспечения инспекции • Отсутствие единой точки отказа • Синхронизация состояний внутри кластера для аутентификации и высокой доступности • Централизованное управление и мониторинг • Можно начинать с двух МСЭ Производительность 100+ Гбит/c 2x10GbEDataTrafficPortChannel ClusterControlLink ASA 9.1.4: • Inter DC Clustering
- 11. Кластер ASA ASA кластер удовлетворяет требования ЦОД Cluster Control линк обеспечивает обмен информацией внутри кластера Aggregation Core Hypervisor Hypervisor Database Кластер ASA включает Context 1 & 2 в Transparent режиме ASA 5585 ASA 5585 ASA 5585 ASA 5585 Aggregation Core Физическая схема Cluster Control Link Поддерживается transparent, routed, mixed mode Кластер используется как для North-South так и для East-West инспекции и фильтрации Context1 Context2 Проверенный дизайн для FabricPath Owner! Director! IPS использует кластер ASA
- 12. ASA для Catalyst 6500 Показатель Значение Производительность шасси 64 Гбит/сек Производительность модуля 16 Гбит/сек Одновременных сессий 10M Новых соединений в секунду 350K Контекстов безопасности 250 VLANs 1K
- 13. Высокий уровень масштабируемости • Выход за рамки традиционных решений • Наращивание мощностей в соответствии с ведущими отраслевыми системными возможностями – 64 Гбит/с – 1 000 виртуальных контекстов – 4 000 сетей VLAN • Поддержка решений для ЦОД, например развертываний частных облачных инфраструктур
- 14. Nexus 7000 VDC
- 15. Создание эффективной коммутационной структуры ЦОД с возможностью масштабирования Масштабирование сетевой коммутационной структуры — виртуальный контекст (Virtual Device Context, VDC) Nexus 7000 VDC — виртуальный контекст (до 8 VDC плюс 1 VDC управления — SUP2E с NXOS 6.04/6.1) § Гибкое разделение и распределение аппаратных ресурсов и программных компонентов § Полное разделение уровня данных и уровня управления § Полная локализация программных сбоев § Безопасно определенные административные контексты § Каждый физический интерфейс может быть активен только в одном виртуальном контексте (VDC) Протоколы 2-‐го уровня Протоколы 3-‐го уровня VLAN PVLAN OSPF BGP EIGRP GLBP HSRP IGMP UDLD CDP 802.1X STP LACP PIM CTS SNMP … … VDC 1 Протоколы 3-‐го уровня OSPF BGP EIGRP GLBP HSRP IGMP PIM SNMP … VDC 2 Протоколы 2-‐го уровня VLAN PVLAN UDLD CDP 802.1X STP LACP CTS … Виртуальные контексты (VDC)
- 16. Доступ Ядро Ядро Агрегаци я Агрегаци я Ядро Агрегаци я Использование VDC для вертикальной консолидации • Возможность консолидации уровней ядра и агрегации при одновременном сохранении иерархии сети • Без сокращения количества портов или каналов, но с уменьшением числа физических коммутаторов ‒ Медные кабели Twinax (CX-1) являются недорогим вариантом осуществления межсоединений 10G Один из самых распространенных способов использования VDC
- 17. Использование VDC для интернет-периметра, ДМЗ, ядра сети § Возможность удовлетворения нескольких потребностей — VDC интернет- периметра (XL), ДМЗ и ядра сети § Поддержка модели обеспечения безопасности с логическим разделением Интернет- периметр (XL) ДМЗ Ядро Интернет- периметр (XL) ДМЗ Ядро Интернет- периметр (XL) ДМЗ Ядро Интернет
- 18. Сертификация безопасности VDC § Разделение контекстов VDC является сертифицированным отраслевым механизмом защиты от утечки информации § Лаборатории NSS для сред, соответствующих стандартам PCI — hJp://www.nsslabs.com § FIPS 140-2 hJp://csrc.nist.gov/groups/STM/cmvp/documents/140-‐1/140InProcess.pdf § Стандарт Common Criteria Evaluation and Validation Scheme — сертификат №10349 hJp://www.niap-‐ccevs.org/st/vid10349/
- 19. IPS и NGIPS
- 20. Устройства Cisco IPS серии 4500 • Специализированные высокоскоростные устройства IPS • Обработка с аппаратным ускорением Regex • Развертывания на уровне агрегации ЦОД • Один интерфейс Gigabit Ethernet, один интерфейс 10 Gigabit Ethernet и слот SFP • Масштабируемость: доступен слот для будущего наращивания мощностей • Защита АСУ ТП
- 21. Cisco IPS 4510 Производительность • Реальный средний показатель: 3 Гбит/с • Реальный диапазон показателей: 1.2-5 Гбит/с • Транзакционная передача по HTTP: 5 Гбит/с Характеристики платформы: • 2 RU (шасси) • Многоядерный ЦП корпоративного класса (8 ядер, 16 потоков) • 24 ГБ ОЗУ • Резервный источник питания • Аппаратное ускорение Regex • Открытый слот (в верхней части) для использования в будущем Места развертывания • Средние и крупные предприятия • ЦОД кампуса • Требуется 3 Гбит/с реальной пропускной способности IPS • Требуется резервный источник питания • Требуется специализированная система IPS Порт AUX и консоль Интегрированный ввод-вывод 6 GE Cu Индикаторы состояния Порты управления Отсеки для жесткого диска (пустые) Интегрированный ввод-вывод 4 слота 10 GE SFP 2 порта USB
- 22. Cisco IPS 4520 Производительность • Реальный средний показатель: 5 Гбит/с • Реальный диапазон показателей: 2.5-7.7 Гбит/с • Транзакционная передача по HTTP: 7,6 Гбит/с Характеристики платформы: • 2 RU (шасси) • Многоядерный ЦП корпоративного класса (12 ядер, 24 потоков) • 48 ГБ ОЗУ • Резервный источник питания • Аппаратное ускорение Regex (x2) • Открытый слот (в верхней части) для использования в будущем Места развертывания • Средние и крупные предприятия • Центр обработки данных • Требуется 5 Гбит/с реальной пропускной способности IPS • Требуется резервный источник питания • Требуется специализированная система IPS Порт AUX и консоль Интегрированный ввод-вывод 6 GE Cu Индикаторы состояния Порты управления Отсеки для жесткого диска (пустые) Интегрированный ввод-вывод 4 слота 10 GE SFP 2 порта USB
- 23. Sourcefire, теперь часть Cisco Знакомьтесь - Snorty Из этого… 2001 В это… 2002
- 25. 7030 8270 8260 8250 8140 8120 7120 7110 7020 7010 20 Gbps 10 Gbps 6 Gbps 4 Gbps 2 Gbps 1 Gbps 500 Mbps 250 Mbps 100 Mbps 50 Mbps IPS Throughput ModularConnectivity Stackable 8130 1.5 Gbps 40 Gbps 30 Gbps 8290 Устройства FirePOWER 7125 750 Mbps 7115 1.25 Gbps FixedConnectivity Mixed/SFP NGIPS/AppControl/NGFW/AMP Виртуальный сенсор Виртуальный центр защиты
- 26. Результаты тестов NSS Labs § высочайшая производительность § низкая цена за Мбит/с § энергоэффективность на Мбит/с Источник: NSS Labs, “Network IPS 2010 Comparative Test Results,” December 2010 and “Sourcefire 3D8260 IPS Appliance Test Report,” April 2011. Параметры Ближайший конкурент Производительность IPS 27.6 Gbps 11.5 Gbps Цена / Mbps $19 $33 3D8260 Te c h n o l o g y Лидеры квадрата Gartner
- 28. Проблемы безопасности в виртуализации • Трафик между VM • Консолидация ресурсов создает сложную среду для выявления и устранения неисправностей • vMotion и аналоги могут нарушать политики • Разделение полномочий админов серверов, сети и безопасности • Проблемы переноса политики с физических серверов на виртуальные Hypervisor Угроза распространяется через внутреннюю сетьI Initial Infection Secondary Infection Роли и Ответсвенность Изоляция и сегментация Управление и мониторинг
- 29. Управление политиками виртуальной сети Nexus 1000V § Поддерживает текущую модель работы с профилями портов § Обеспечивает работу политик безопасности через VLAN изоляцию и сегментацию, Private VLAN, списки доступа Port-based Access Lists, интегрированные функции безопасности § Обеспечивает контроль за виртуальными машинами с использованием традиционных сетевых функций таких как ERSPAN и NetFlow Network Team Server Team Управление и мониторинг Роли и ответственность Изоляция и сегментация Security Team Nexus 1000V
- 30. Профили портов port-profile vm180 vmware port-group pg180 switchport mode access switchport access vlan 180 ip flow monitor ESE-flow input ip flow monitor ESE-flow output no shutdown state enabled interface Vethernet9 inherit port-profile vm180 interface Vethernet10 inherit port-profile vm180 Port Profile –> Port Group vCenter API Nexus 1000V поддерживает: ü ACLs ü Quality of Service (QoS) ü PVLANs ü Port channels ü SPAN ports
- 31. VDC vApp vApp VDC Nexus 1000V vPath vSphere Наблюдаемость: мониторим трафик между VMs с помощью физических IDS и анализатора NetFlow Analyzer ERSPAN DST ID:1 ID:2 Aggregation Zone B Zone C Intrusion Detecqon NetFlow SPAN Для снятия трафика используем коммутатор Nexus 1000V с поддержкой • NetFlow v9 • ERSPAN/SPAN Используем для детектирования • атак между серверами • нецелевого использования ресурсов • нарушения политики безопасности Нужно быть готовым к большому объему трафика
- 32. Виртуальные МСЭ • Виртуальные МСЭ – программные МСЭ оптимизированные для работы на гипервизоре • У Cisco есть два решения: Virtual Security Gateway (VSG) и ASA1000V • Оба требуют Nexus 1000V с “Advanced” лицензией • Виртуальные МСЭ зависят от ресурсов CPU и памяти RAM Apply hypervisor-based network services Network Admin Security Admin Server Admin vCenter Nexus 1KV NSC Nexus 1000V vPath VSG ASA 1000V Hypervisor UCS
- 33. Сервисы безопасности для виртуализации • Защищает трафик между виртуальными машинами одного заказчика • Layer 2 МСЭ для защиты трафика east-to-west • Списки доступа с сетевыми атрибутами и атрибутами виртуальной машины • Фильтрация на базе первого пакета с ускорением через vPath • Защита границы сети заказчика • Шлюз по умолчанию и Layer 3 МСЭ для защиты трафика north-to-south • МСЭ функционал включает списки доступа, site-to-site VPN, NAT, DHCP, инспекцию, IP audit, VXLAN шлюз. • Все пакеты проходят через Cisco ASA 1000V Cisco® VSG Cisco ASA 1000V Безопасность Intra-Tenant Безопасность на границе Nexus 1000V vPath Hypervisor
- 34. Архитектура многоуровневых приложений По-уровневое внедрение • Архитектура многоуровневых приложений • Требования по внедрению • Может состоять из • Web (presentation) уровня • Уровень приложений • Уровень БД • Сервисы WEB и приложений обычно на разных физических серверах и иногда на одном • Обычная схема работы клиент->web- >приложение->база данных • Нет прямого обращения клиента к базе данных • Часто используются технологии кластеризации Web! Server! Web! Server! Permit Only Port 80(HTTP) of Web Servers Permit Only Port 22 (SSH) to application servers Only Permit Web servers access to Application servers Web! Client! Web-zone DB! server! DB! server! Database-zone App! Server!App" Server! Application-zone Only Permit Application servers access to Database servers Block all external access to database servers Physical Firewall! Protected VRF! Secure Container!
- 35. Виртуальный МСЭ на границе контейнеров На ASA 1000V доступны 4 интерфейса Ethernet interfaces для данных и отказоустойчивости: один для управления, 2 для трафика, 1 для failover § Management 0/0 § Data GE 0/0, 0/1 § Failover GE 0/2 ASA 1000V поддерживает только статическую маршрутизацию ASA 1000V использует и таблицы маршрутизации, и трансляций (XLATE) для пересылки пакетов Интерфейсы и обработка Layer 3! Hypervisor Protected VRF! 10.1.1.254 10.1.1.252 10.1.1.253 Nexus 1000V vPath ASA 1000V ASA1000V(config)# route outside 172.18.30.0 255.255.255.0 10.1.1.254! ASA1000V(config)# route outside 0 0 10.1.1.254! ASA1000V(config)# route outside 0 0 172.18.50.1 tunneled! 172.18.30.x 172.18.50.1
- 36. Управление политиками Cisco Prime Network Services Controller aka VNMC
- 37. Nexus 1000V Distributed Virtual Switch VM VM VM VM VM VM VM VM VM VM VM VM VM VM VMVM VM vPath Initial Packet Flow ASA Outside Inside ASA inline Enforcement 3 vPath Encap links Traffic Path VSG Traffic flow after first packet 2 4 vPath - поочередное выполнение сервисов VSG и ASA 1000v Из Inside в outside 5
- 38. Citrix NetScaler 1000V на Nexus 1110 VSM = Virtual Supervisor Module DCNM = Data Center Network Manager Nexus 1000V vPath Any Hypervisor VM VM VM • Citrix лучший в своем классе Контроллер предоставления виртуальных приложений (virtual application delivery controller - vADC) • Продается и поддерживается Cisco • Интеграция с Nexus 1110/1010, vPath Cisco Cloud Network Services (CNS) Citrix NetScaler 1000V Prime virtual NAM Imperva SecureSphere WAF Virtual Security Gateway Nexus 1110 Платформа Облачных Сервисов VSMVSM DCNM* Citrix NetScaler 1000V
- 39. NetScaler 1000V – Поддерживаемый функционал обеспечения безопасности Безопасность приложений Platinum Edition Enterprise Edition Standard Edition L7 фильтрация контента и перезапись HTTP/ URL X X X Коннектор XenMobile NetScaler X X X Поддержка SAML2 X X X Защита от DoS X AAA для Управления Трафиком X X Защита от атак 0 дня Х МСЭ приложений Citrix с поддержкой XML X https://www.citrix.com/products/netscaler-application-delivery-controller/features/editions.html Сравнение редакций:
- 40. vPath - поочередное выполнение сервисов VSG и Citrix Netscaler 1000v Cisco Nexus 1000V Distributed Virtual Switch VM VM VM VM VM VM VM VM VM VM VM VM VM VM VM VMVM Cisco vPath Cisco VSG 1 2 3 45 Use Case 2: SLB/WAF & VSG Netscaler 1000v
- 41. ASAv
- 42. Представляем новинку - Cisco ASAv Cisco® ASAv Проверенное аппаратное решение безопасности от Cisco теперь в виртуализированной среде Открытая архитектура Multi-hypervisor Multi-vswitch Открытые API Гибкая модель лицензирования
- 43. Развитие линейки ASA Кластеризация и мультиконтекст ASAvАппаратная ASA Transparent Не-vPATH Кластеризация Мультиконтекст ASA1000V
- 44. ASAv Сравнение функционала с физической ASA Функционал ASA ASAv Нет кластеризации и мультиконтестности • Соответствие функционала физической ASA • Масштабирование через виртуализацию • До 10 vNIC интерфейсов • Программная криптография • SDN и традиционные методы управления • Масштабируется до 4 vCPUs и 8 GB памяти • Возможность поддерживать 1 политику на физических и виртуальных ASA
- 45. ASAv – Гибкое лицензирование Бессрочный контракт до прекращения Сервис провайдер На основе использования (часы кол-во ядер) По факту (по-месячно / по-квартально) На основе использования Срок Заказчик Модель лицензирования Биллинг Повременное 1 год Предприятие Традиционная оплата Предоплата 3 год 5 год
- 47. Почему TrustSec ? • Упрощение политик • Снижение сложности дизайна контроля доступа и сегментации • Автоматизация управления правилами на МСЭ в средах ЦОД • Снижение нагрузки на отдел ИБ • Использование функций сетевой инфраструктуры для безопасности • Распределенные внедрения и масштабируемость • Поддержка в том числе и не виртуализированных сред 47
- 48. Работа TrustSec 1. Запрос на доступ в сеть 2. Разрешение + атрибуты доступа (VLAN, ACL, SGT, MacSec) 3. Трафик с метками SGT 4. МЭ - фильтрация трафика на основе меток групп 0. Категорирование пользователей и ресурсов Сервер БСервер A Пользователь А Пользователь Б 200 ISE Канальное шифрование 300 20 30 access-list DCin permit tcp ... SGT 30 any SGT 300 eq sql
- 49. ЦОД с подержкой TrustSec Data Center Core Layer DC Aggregation Layer DC Service Layer DC Access Layer Virtual Access SGACL enabled Device SG Firewall enabled Device Virtual Servers Physical Servers Применение политик SGA На Nexus 7000 ASA с использованием средств автоматизации Применение политик SGA На Catalyst 6500, ASASM с использованием средств автоматизации Security Group ACLs • Определение правил сегментации в таблице • Применение на Nexus 7000/5500/2000 независимо от топологии Security Group классификация • Nexus 1000V может классифицировать и присваивать метки SGT и использовать SXP для отправки на устройства фильтрации
- 50. § Защита от MitM-аттак § Шифрование по стандарту AES-GCM (AES-128) § Шифрование/Дешифрование на каждом устройстве § Проверка целостности Конфиденциальность и целостность 2/25/14 © 2013 Cisco and/or its affiliates. All rights reserved. 50 DST 802.1AE Header 802.1Q CMD ETYPE ICV CRC MISEec EtherType TCI/AN SL Packet Number SCI (optional) Encrypted Authenticated 0x88e5 SRC PAYLOAD Version LengthCMD EtherType SGT Opt Type SGT Value Other CMD Options
- 51. Централизованное управление политиками permit tcp dst eq 443 permit tcp dst eq 80 permit tcp dst eq 22 permit tcp dst eq 3389 permit tcp dst eq 135 permit tcp dst eq 136 permit tcp dst eq 137 permit tcp dst eq 138 permit tcp des eq 139 deny ip Portal_ACL Portal_ACL Определение политик – ISE
- 52. Cisco Cyber Thread Defense: Прозрачность операций и защита от угроз для ЦОД
- 53. Безопасность периметра – не панацея Устройства периметра Контроль и управление Сетевая разведка и распространение Кража данных Целевые угрозы зачастую обходят периметр Только вся сеть целиком имеет достаточный уровень наблюдаемости для выявления сложных угроз © 2013 Cisco and/or its affiliates. All rights reserved.
- 54. TrustSec Enabled Enterprise Network Identity Services Engine NetFlow: Switches, Routers, и ASA 5500 Контекст: NBAR/AVC Cisco Cyber Threat Detection - повышает эффективность и действенность анализа и обеспечивает ключевое понимание внутренней активности в сети Flow Телеметрия NetFlow Cisco Switches, Routers и ASA 5500 Данные о контексте угрозы Cisco Identity, Device, Posture, Application Cyber Threat Defense = Cisco + Lancope © 2013 Cisco and/or its affiliates. All rights reserved.
- 55. Обнаружение утечек 55 NetFlow как инструмент безопасности § Сбор и корреляция NetFlow данных § Обнаружение и идентификация канала утечки 55 ASA 5585! vPath Hypervisor Aggregation! Nexus 1000V!Virtual Security Gateway! Secure Container! Virtual Flow Sensor! Flow Collector! StealthWatc h Managemen t Console Cisco NetFlow 1. Инфицированные хосты открывают соединения и экспортируют данные 2. Ифраструктура генерирует записи события используя Netflow 3. Сбор и анализ данных Netflow 4. Сигнал тревоги о возможной утечке данных 3. Сбор и анализ данных Netflow
- 56. Компоненты решения Cyber Threat Defense Cisco Network StealthWatch FlowCollector StealthWatch Management Console NetFlow StealthWatch FlowSensor StealthWatch FlowSensor VE Users/Devices Cisco ISE NetFlow StealthWatch FlowReplicator Другие коллекторы https https NBAR NSEL © 2013 Cisco and/or its affiliates. All rights reserved.
- 57. Пример: определение утечки информации Customizable “Data Loss” Alarm Alarm Delivers Alerts Prioritized by Severity Level Глубокий анализ данных Объем переданного трафика и % исходящего трафика Опрос Cisco ISE для поиска пользователя, группы, Posture, Device Profile Query Cisco SenderBase for Host Reputation Information Опрос Cisco SenderBase для определения репутации хоста 57
- 58. Решаемые задачи • Обнаружение брешей в настройках МСЭ • Обнаружение незащищенных коммуникаций • Обнаружение P2P-трафика • Обнаружение неавторизованной установки локального Web-сервера или точки доступа • Обнаружение попыток несанкционированного доступа • Обнаружение ботнетов (командных серверов) • Обнаружение атак «отказ в обслуживании» • Обнаружение инсайдеров • Расследование инцидентов • Обнаружение неисправностей © 2013 Cisco and/or its affiliates. All rights reserved.
- 59. Ссылки на полезные материалы по теме Cisco Validated Design: http://www.cisco.com/go/cvd VMDC: http://www.cisco.com/go/vmdc Cisco Secure Data Center for Enterprise Solution: First-Look Guide: http://www.cisco.com/en/US/solutions/collateral/ns340/ns414/ns742/ns744/docs/sdc-dg.pdf Cisco Secure Data Center for Enterprise Design Guide: http://www.cisco.com/c/en/us/td/docs/solutions/Enterprise/Security/SDC/DG/SDC_DesignGuide/SDC_DG_2013-11-25_v10.html TrustSec Design Guide (текущая версия 2.1) http://www.cisco.com/en/US/solutions/ns340/ns414/ns742/ns744/landing_DesignZone_TrustSec.html Cisco Cyber Threat Defense for the Data Center Solution: First Look Guide: http://www.cisco.com/en/US/solutions/collateral/ns340/ns414/ns742/ns744/docs/ctd-first-look-design-guide.pdf ASA Clustering / Testing: http://www.cisco.com/en/US/docs/solutions/Enterprise/Data_Center/VMDC/ASA_Cluster/ASA_Cluster.html PCI Compliance Letter: http://www.cisco.com/en/US/docs/solutions/Enterprise/Data_Center/VMDC/2.2/Cisco_PCI_Compliance_Letter.pdf FISMA Compliance: http://www.cisco.com/en/US/docs/solutions/Enterprise/Data_Center/VMDC/SecureState/VMDC_SecureState.pdf
- 60. Пожалуйста, заполните анкеты. Ваше мнение очень важно для нас. Спасибо Напишите мне: Андрей Ключка aklyuchk@cisco.com +7 (727) 2442138
- 62. Физические или виртуальные серверы ДМЗ периметра Периметр ЦОД Интернет / внешняя сеть Ядро ЦОД (маршрутизация) Уровень агрегации ЦОД Уровень 2 Уровень 3 КЛАСТЕР МСЭ Вычислительная зона ДМЗ Пункт доставки Виртуальные серверы ДМЗ Ядро BGP/OSPF ASA A/S HA Уровень виртуального доступа VRF – DMZExt VRF-‐ DMZExt VRF – DMZExt VRF – DMZExt CTX1 CTX1 VL900 Выделенные блейд-‐серверы CTX CTX VL900 ДМЗ VLAN90 172.16.90.0/24 vDMZ 172.16.90.0/24 VL900 VL999 VL999 VL999 VL999 VL90VL999 Устройства ASA периметра, работающие под управлением стандартного A/S HA, —отказоустойчивые ASA периметра — наряду с vPC могут использовать избыточный интерфейс, чтобы сократить вероятность аварийного переключения при высокой доступности. ASA периметра реализуют прозрачный контекст вирт. МСЭ сети VLN для ДМЗ, соединяя VL90 (ДМЗ) с VL999 (N7000 vRF). Некоторые серверы ДМЗ могут физически находиться в коммутаторе ДМЗ, тогда как другие серверы будут предоставляться с уровня виртуального доступа. Nexus 7000 передает трафик с VL999 через vRF – DMZExt, перемещает пакеты через маршрутизируемый уровень ядра на уровень распределения. Запрос или отклик ARP из VLAN 90 передается по каналам на уровень виртуального доступа. Кластеризованные ASA на уровне распределения связывают VL999 (DMZExt vRF) с VL900, местом, где существуют виртуальные серверы ДМЗ. Здесь будет реализована политика безопасности, ограничивающая доступ только к подсетям ДМЗ по сети, сервису или приложению. Для обеспечения безопасности (соответствия требованиям) на уровне виртуального доступа рекомендуется использовать выделенное серверное оборудование. Можно создать дополнительные профили портов и использовать шлюз Virtual Security Gateway (VSG) для зонирования «восток-‐ запад» между ВМ в ДМЗ. Для дальнейшего разделения на уровне пакетов можно использовать метки групп безопасности. Пример схемы «Плавательная дорожка» для виртуальной ДМЗ DMZ Subnet(172.16.90.0/24)VLAN90 <-‐> vFW(BVI) <-‐>VLAN999<-‐>vRF DMZExt <-‐> VLAN999 <-‐> vFW(BVI)<-‐>VLAN900/ DMZ Subnet(172.16.90.0/24) Внешнее зонирование
- 63. Пример внутреннего зонирования для разработки — вариант 1 Физическое разделение Модель может использоваться для тестирования нагрузки на приложение. Если требуется выделенный путь через уровень ядра, рекомендуется использовать DEV vRF. Если требуется выделенный периметр, рекомендуется использовать контексты вирт. МСЭ на устройствах ASA периметра или отдельную (низкого уровня) пару ASA. DEV VDC, созданный в Nexus 7000, присоединенный к CORE VDC и поддерживающий собственную дочку доставки. ASA на уровне агрегации могут быть настроены несколькими способами. 1. Один кластер ASA с отдельными контекстами вирт. МСЭ для зон DEV — порты на ASA должны быть физически подключены к каждому VDC. 2. Отдельные кластеры ASA с контекстами вирт. МСЭ или без них. В вычислительной структуре создается зеркальная серверная среда для функционирования DEV в собственной точке доставки. Периметр ЦОД Интернет / внешняя сеть VDC ядра ЦОД (маршрутизация) VDC уровня агрегации производства Уровень 2 Уровень 3 КЛАСТЕР МСЭ Пункт доставки Ядро BGP/OSPF ASA A/S HA Уровень виртуального доступа Виртуальный коммутатор Гипервизор VDC уровня агрегации разработки Пункт доставки CTX CTX Виртуальный коммутатор Гипервизор DEV VRF DEV VRF DEV VRF Вычислительная зона разработки Вычислительная зона производства CTX
- 64. Периметр ЦОД Интернет / внешняя сеть VDC ядра ЦОД (маршрутизация) VDC уровня агрегации Уровень 2 Уровень 3 КЛАСТЕР МСЭ Ядро BGP/OSPF ASA A/S HA Уровень виртуального доступа Пример внутреннего зонирования для разработки — вариант 2 Виртуальное разделение В модели виртуального разделения используется общая физическая инфраструктура (Nexus) для маршрутизации и транспорта данных. ASA используются для разделения трафика разработки и производства. Виртуальные ресурсы могут использовать общее физическое серверное оборудование и точку доступа. Обеспечение безопасность осуществляется аналогично действиям в защищенной многопользовательской среде.