Андрей Ключка Системный инженер Cisco CCIE #30274 (Security)

Безопасность Центров Обработки Данных

Безопасность ЦОД

Угрозы, тренды, приоритеты

Архитектура защищенного ЦОД

Безопасность виртуальных контейнеров

Идентификация и применение политик на базе меток SGT

Поиск угроз и корреляция

Заключение

Основные приоритеты обеспечения безопасности ЦОД

Сегментация •  Установление+границ:!сеть,!вычисления,!виртуальные!ресурсы!•  Реализация+политики+по!функциям,!устройствам,!организациям!•  Контроль+доступа+к!сетям,!ресурсам,!приложениям!

Защита+от+угроз+•  Блокировка!внутренних!и!внешних!атак+•  Контроль+границ!зоны!и!периметра!•  Контроль+доступа!к!информации,!ее!использования!и!утечки!

Мониторинг

•  Обеспечение!прозрачности!использования!•  Применение!бизнес>контекста+к!работе!сети!!•  Упрощение!отчетности!по!операциям!и!соответствию!

нормативным!требованиям!

Технологии обеспечения безопасности ДОЛЖНЫ изначально интегрироваться с

технологиями и сервисами ЦОД для поддержки целостности сетевой

коммутационной структуры ЦОД и безопасного предоставления информации и

доступа к ней. Без наложений — безопасность должна быть максимально естественной и всеобъемлющей.

Без перерабо

ток — проект сети должен оставаться оптимальным и неизменным.

Без упр

ощения сети ЦОД!

Бе

з дополнительной потери пакетов

Без компромиссов — ЦОД имеет очень важное значение!

«59% организаций не хватает лабораторных ресурсов или сред тестирования для подтверждения спецификаций поставщиков».

—"Институт"SANS"

«В организациях явно недостаточно четко определенных стандартов, процедур и ресурсов для определения отказоустойчивости критически

важных сетевых устройств и систем.... Необходима методичная проверка отказоустойчивости с использованием комбинации реального трафика,

высокой нагрузки и атак, угрожающих безопасности сети». —SANS"и"TOGAG"

Утвержденные дизайны Cisco дают результаты ЦОД / Утвержденные дизайны защищенного ЦОД Cisco — www.cisco.com/go/vmdc

Межсетевые экраны в ЦОД

Физические МСЭ

•  2 слота (2 RU): FW, FW+IPS or FW+NGFW •  Топовые 5585 обеспечивают 4 10GE порта(SFP+) •  I/O карта или дополнительный IPS module добавляют 4 10GE порта •  Производительность 20 Гбит/с (multiprotocol) на МСЭ •  10M соединенний на МСЭ •  Результаты тестирования BreakingPoint:

http://blogs.ixiacom.com/ixia-blog/cisco-asa-live-validation-with-breakingpoint-firestorm-ctm/

•  Отчет Miercom : http://www.miercom.com/2011/06/cisco-asa-5585-x-vs-juniper-srx3600/

ASA Firewall и фабрика ЦОД

ASA и Nexus Virtual Port Channel !  vPC обеспечивает равномерную загрузку активных

линков (отсутствие заблоированных STP линков) !  ASA использует технологии отказоустойчивости в

ЦОД !  Уникальная интеграция ASA и Nexus (LACP)

IPS модуль использует связность ASA – обеспечивает DPI Проверенный дизайн для сегментации, защиты от угроз и прозрачности операций Работает в режимах A/S и A/A

Уровень агрегации в ЦОД

Active vPC Peer-link

vPC vPC

Core IP1

Core IP2

Active or Standby

N7K VPC 41 N7K VPC 40

Nexus 1000V vPath

Hypervisor Nexus 1000V

vPath

Hypervisor

Core Layer

Aggregation Layer

Access Layers

Внедрение ASA Firewall

Варианты применения

Layer 2!

ASA 5585

Nexus 1000V vPath

Hypervisor

Layer 3!

ASA 5585

Nexus 1000V vPath

Hypervisor Nexus 1000V

vPath

Hypervisor

Clustering!

ASA 5585

Aggregation

Core

МСЭ & виртуальная среда

ASA инспектирует трафик между VLAN

Layer 2 Adjacent!Switched Locally!

Direct Communication!

ASA 5585 Transparent Mode

Aggregation

Core

Hypervisor

Layer 3 Gateway!VRF or SVI !

Inter-VLAN VM Inspection!

Aggregation

Core

Physical Layout!

East-West VLAN filtering!

Кластер ASA

С версии ASA 9.0: •  До 8 ASA в кластере •  обновление ПО без остановки сервиса •  Управление потоками трафика для обеспечения

инспекции •  Отсутствие единой точки отказа •  Синхронизация состояний внутри кластера для

аутентификации и высокой доступности •  Централизованное управление и мониторинг •  Можно начинать с двух МСЭ

Производительность 100+ Гбит/c

2 x

10G

bE D

ata

Traf

fic P

ort C

hann

el

Cluster C

ontrol Link

ASA 9.1.4: •  Inter DC Clustering

Кластер ASA ASA кластер удовлетворяет требования ЦОД

Cluster Control линк обеспечивает обмен информацией внутри

кластера

Aggregation

Core

Hypervisor Hypervisor

Database

Кластер ASA включает Context 1 & 2 в

Transparent режиме

ASA 5585 ASA 5585 ASA 5585 ASA 5585

Aggregation

Core

Физическая схема

Cluster Control Link

Поддерживается transparent, routed, mixed mode

Кластер используется как для North-South так и для

East-West инспекции и фильтрации

Context1 Context2

Проверенный дизайн для FabricPath

Owner! Director!

IPS использует кластер ASA

ASA для Catalyst 6500

Показатель Значение

Производительность шасси 64 Гбит/сек

Производительность модуля 16 Гбит/сек

Одновременных сессий 10M

Новых соединений в секунду 350K

Контекстов безопасности 250

VLANs 1K

Высокий уровень масштабируемости •  Выход за рамки традиционных

решений

•  Наращивание мощностей в соответствии с ведущими отраслевыми системными возможностями

–  64 Гбит/с

–  1 000 виртуальных контекстов

–  4 000 сетей VLAN

•  Поддержка решений для ЦОД, например развертываний частных облачных инфраструктур

Nexus 7000 VDC

Создание эффективной коммутационной структуры ЦОД с возможностью масштабирования Масштабирование сетевой коммутационной структуры — виртуальный контекст (Virtual Device Context, VDC)

Nexus 7000 VDC — виртуальный контекст (до 8 VDC плюс 1 VDC управления — SUP2E с NXOS 6.04/6.1) !  Гибкое разделение и распределение аппаратных ресурсов и программных компонентов !  Полное разделение уровня данных и уровня управления !  Полная локализация программных сбоев !  Безопасно определенные административные контексты !  Каждый физический интерфейс может быть активен только в одном виртуальном контексте (VDC)

Протоколы+2>го+уровня+ Протоколы+3>го+уровня+VLAN+PVLAN+

OSPF+BGP+EIGRP+

GLBP+HSRP+IGMP+

UDLD+CDP+

802.1X+STP+LACP+ PIM+CTS+ SNMP+

…+…+

VDC+1+

Протоколы+3>го+уровня+OSPF+BGP+EIGRP+

GLBP+HSRP+IGMP+

PIM+ SNMP+…+

VDC+2+Протоколы+2>го+уровня+VLAN+PVLAN+

UDLD+CDP+

802.1X+STP+LACP+ CTS+

…+

Виртуальные!

контексты!

(VDC)!

Доступ+

Ядро Ядро

Агрегация

Агрегация

Ядро

Агрегация

Использование VDC для вертикальной консолидации

•  Возможность консолидации уровней ядра и агрегации при одновременном сохранении иерархии сети

•  Без сокращения количества портов или каналов, но с уменьшением числа физических коммутаторов ‒  Медные кабели Twinax (CX-1) являются недорогим вариантом осуществления межсоединений 10G

Один из самых распространенных способов использования VDC

Использование VDC для интернет-периметра, ДМЗ, ядра сети

!  Возможность удовлетворения нескольких потребностей — VDC интернет-периметра (XL), ДМЗ и ядра сети

!  Поддержка модели обеспечения безопасности с логическим разделением

Интернет-периметр (XL)

ДМЗ

Ядро

Интернет-периметр (XL)

ДМЗ

Ядро

Интернет-периметр (XL)

ДМЗ

Ядро

Интернет!

Сертификация безопасности VDC !  Разделение контекстов VDC является сертифицированным отраслевым механизмом защиты от утечки информации

!  Лаборатории NSS для сред, соответствующих стандартам PCI — hJp://www.nsslabs.com!!

!  FIPS 140-2 hJp://csrc.nist.gov/groups/STM/cmvp/documents/140f1/140InProcess.pdf!

!  Стандарт Common Criteria Evaluation and Validation Scheme — сертификат №10349 hJp://www.niapfccevs.org/st/vid10349/!

IPS и NGIPS

Устройства Cisco IPS серии 4500 •  Специализированные высокоскоростные

устройства IPS

•  Обработка с аппаратным ускорением Regex

•  Развертывания на уровне агрегации ЦОД

•  Один интерфейс Gigabit Ethernet, один интерфейс 10 Gigabit Ethernet и слот SFP

•  Масштабируемость: доступен слот для будущего наращивания мощностей

•  Защита АСУ ТП

Cisco IPS 4510

Производительность •  Реальный средний показатель: 3 Гбит/с •  Реальный диапазон показателей: 1.2-5 Гбит/с •  Транзакционная передача по HTTP: 5 Гбит/с Характеристики платформы: •  2 RU (шасси) •  Многоядерный ЦП корпоративного класса (8

ядер, 16 потоков) •  24 ГБ ОЗУ •  Резервный источник питания •  Аппаратное ускорение Regex •  Открытый слот (в верхней части) для

использования в будущем Места развертывания •  Средние и крупные предприятия •  ЦОД кампуса •  Требуется 3 Гбит/с реальной пропускной

способности IPS •  Требуется резервный источник питания •  Требуется специализированная система IPS

Порт AUX и консоль

Интегрированный ввод-вывод

6 GE Cu

Индикаторы состояния

Порты управления

Отсеки для жесткого диска (пустые)

Интегрированный ввод-вывод

4 слота 10 GE SFP

2 порта USB

Cisco IPS 4520

Производительность •  Реальный средний показатель: 5 Гбит/с •  Реальный диапазон показателей: 2.5-7.7 Гбит/с •  Транзакционная передача по HTTP: 7,6 Гбит/с Характеристики платформы: •  2 RU (шасси) •  Многоядерный ЦП корпоративного класса (12

ядер, 24 потоков) •  48 ГБ ОЗУ •  Резервный источник питания •  Аппаратное ускорение Regex (x2) •  Открытый слот (в верхней части) для

использования в будущем Места развертывания •  Средние и крупные предприятия •  Центр обработки данных •  Требуется 5 Гбит/с реальной пропускной

способности IPS •  Требуется резервный источник питания •  Требуется специализированная система IPS

Порт AUX и консоль

Интегрированный ввод-вывод

6 GE Cu

Индикаторы состояния

Порты управления

Отсеки для жесткого диска (пустые)

Интегрированный ввод-вывод

4 слота 10 GE SFP

2 порта USB

Sourcefire, теперь часть Cisco Знакомьтесь - Snorty

Из этого…

2001

В это…

2002

7030

8270

8260

8250

8140

8120

7120

7110

7020 7010

20 Gbps

10 Gbps

6 Gbps

4 Gbps

2 Gbps

1 Gbps

500 Mbps

250 Mbps

100 Mbps

50 Mbps

IPS Throughput

Mod

ular

Con

nect

ivity

Sta

ckab

le

8130

1.5 Gbps

40 Gbps

30 Gbps

8290

Устройства FirePOWER

7125

750 Mbps 7115

1.25 Gbps

Fixe

d C

onne

ctiv

ity

Mix

ed /

SFP

NG

IPS

/ A

pp C

ontr

ol /

NG

FW /

AM

P

Виртуальный сенсор

Виртуальный центр защиты

Результаты тестов NSS Labs !  высочайшая производительность !  низкая цена за Мбит/с !  энергоэффективность на Мбит/с

Источник: NSS Labs, “Network IPS 2010 Comparative Test Results,” December 2010 and “Sourcefire 3D8260 IPS Appliance Test Report,” April 2011.

Параметры

Ближайший конкурент

Производительность IPS

27.6 Gbps 11.5 Gbps

Цена / Mbps $19 $33

3D8260

Te c h n o l o g y Лидеры квадрата Gartner

Безопасность виртуализации: Сетевые сервисы

Проблемы безопасности в виртуализации

•  Трафик между VM •  Консолидация ресурсов создает сложную среду для выявления и устранения неисправностей

•  vMotion и аналоги могут нарушать политики

•  Разделение полномочий админов серверов, сети и безопасности

•  Проблемы переноса политики с физических серверов на виртуальные

Hypervisor

Угроза распространяется через внутреннюю сетьI

Initial Infection

Secondary Infection

Роли и Ответсвенность

Изоляция и сегментация

Управление и мониторинг

Управление политиками виртуальной сети

Nexus 1000V !  Поддерживает текущую модель работы с профилями портов

!  Обеспечивает работу политик безопасности через VLAN изоляцию и сегментацию, Private VLAN, списки доступа Port-based Access Lists, интегрированные функции безопасности

!  Обеспечивает контроль за виртуальными машинами с использованием традиционных сетевых функций таких как ERSPAN и NetFlow

Network Team

Server Team

Управление и мониторинг

Роли и ответственность

Изоляция и сегментация

Security Team

Nexus 1000V

Профили портов

port-profile vm180 vmware port-group pg180 switchport mode access switchport access vlan 180 ip flow monitor ESE-flow input ip flow monitor ESE-flow output no shutdown state enabled interface Vethernet9 inherit port-profile vm180 interface Vethernet10 inherit port-profile vm180

Port Profile –> Port Group vCenter API

Nexus 1000V поддерживает:

"  ACLs

"  Quality of Service (QoS)

"  PVLANs

"  Port channels

"  SPAN ports

VDC vApp

vApp

VDC

Nexus 1000V vPath

vSphere

Наблюдаемость: мониторим трафик между VMs с помощью физических IDS и анализатора

NetFlow!Analyzer!

ERSPAN"DST"

ID:1+

ID:2+Aggregation

Zone B Zone C

Intrusion!Detecqon!

NetFlow SPAN

Для+снятия+трафика+используем+коммутатор+Nexus+1000V+с+поддержкой++•  NetFlow!v9!

•  ERSPAN/SPAN!

Используем+для+детектирования++•  атак!между!серверами!

•  нецелевого!использования!ресурсов!

•  нарушения!политики!безопасности!

Нужно+быть+готовым+к+большому+объему+трафика!

Виртуальные МСЭ

•  Виртуальные МСЭ – программные МСЭ оптимизированные для работы на гипервизоре

•  У Cisco есть два решения: Virtual Security Gateway (VSG) и ASA1000V

•  Оба требуют Nexus 1000V с “Advanced” лицензией

•  Виртуальные МСЭ зависят от ресурсов CPU и памяти RAM

Apply hypervisor-based network services

Network Admin

Security Admin

Server Admin

vCenter Nexus 1KV NSC

Nexus 1000V vPath

VSG

ASA 1000V

Hypervisor

UCS

Сервисы безопасности для виртуализации

•  Защищает трафик между виртуальными машинами одного заказчика

•  Layer 2 МСЭ для защиты трафика east-to-west

•  Списки доступа с сетевыми атрибутами и атрибутами виртуальной машины

•  Фильтрация на базе первого пакета с ускорением через vPath

•  Защита границы сети заказчика •  Шлюз по умолчанию и Layer 3 МСЭ для защиты трафика north-to-south

•  МСЭ функционал включает списки доступа, site-to-site VPN, NAT, DHCP, инспекцию, IP audit, VXLAN шлюз.

•  Все пакеты проходят через Cisco ASA 1000V

Cisco® VSG Cisco ASA 1000V

Безопасность Intra-Tenant

Безопасность на границе

Nexus 1000V vPath

Hypervisor

Архитектура многоуровневых приложений

По-уровневое внедрение •  Архитектура многоуровневых приложений •  Требования по внедрению •  Может состоять из

•  Web (presentation) уровня •  Уровень приложений •  Уровень БД

•  Сервисы WEB и приложений обычно на разных физических серверах и иногда на одном

•  Обычная схема работы клиент->web->приложение->база данных

•  Нет прямого обращения клиента к базе данных •  Часто используются технологии кластеризации

Web!Server!Web!Server!

Permit Only Port 80(HTTP) of Web

Servers

Permit Only Port 22 (SSH) to application

servers

Only Permit Web servers access to Application servers

Web!Client!

Web-zone

DB!server!DB!server!

Database-zone

App!Server!App"Server!

Application-zone

Only Permit Application servers access to Database servers

Block all external access to database

servers

Physical Firewall!

Protected VRF!

Secure Container!

Виртуальный МСЭ на границе контейнеров

На ASA 1000V доступны 4 интерфейса Ethernet interfaces для данных и отказоустойчивости: один для управления, 2 для трафика, 1 для failover

!  Management 0/0 !  Data GE 0/0, 0/1 !  Failover GE 0/2

ASA 1000V поддерживает только статическую маршрутизацию ASA 1000V использует и таблицы маршрутизации, и трансляций (XLATE) для пересылки пакетов

Интерфейсы и обработка

Layer 3!

Hypervisor

Protected VRF!10.1.1.254

10.1.1.252 10.1.1.253

Nexus 1000V vPath

ASA 1000V

ASA1000V(config)# route outside 172.18.30.0 255.255.255.0 10.1.1.254!ASA1000V(config)# route outside 0 0 10.1.1.254!ASA1000V(config)# route outside 0 0 172.18.50.1 tunneled!

172.18.30.x

172.18.50.1

Управление политиками Cisco Prime Network Services Controller aka VNMC

Nexus 1000V Distributed Virtual Switch

VM VM VM

VM VM

VM

VM VM VM

VM

VM

VM VM

VM VM VM

VM

vPath

Initial Packet Flow

ASA Outside

Inside

ASA inline Enforcement

3

vPath Encap links Traffic Path

VSG

Traffic flow after first packet

2

4

vPath - поочередное выполнение сервисов VSG и ASA 1000v Из Inside в outside

1

5

Citrix NetScaler 1000V на Nexus 1110

VSM = Virtual Supervisor Module DCNM = Data Center Network Manager

Nexus 1000V

vPath

Any Hypervisor

VM VM VM

•  Citrix лучший в своем классе Контроллер предоставления виртуальных приложений (virtual application delivery controller - vADC)

•  Продается и поддерживается Cisco •  Интеграция с Nexus 1110/1010, vPath

Cisco Cloud Network Services (CNS) Citrix

NetScaler 1000V

Prime virtual NAM

Imperva SecureSphere

WAF

Virtual Security Gateway

Nexus 1110 Платформа Облачных Сервисов

VSM VSM DCNM*

Citrix NetScaler

1000V

NetScaler 1000V – Поддерживаемый функционал обеспечения безопасности

Безопасность приложений Platinum Edition

Enterprise Edition

Standard Edition

L7 фильтрация контента и перезапись HTTP/URL

X X X

Коннектор XenMobile NetScaler X X X

Поддержка SAML2 X X X Защита от DoS X AAA для Управления Трафиком X X Защита от атак 0 дня Х МСЭ приложений Citrix с поддержкой XML X

https://www.citrix.com/products/netscaler-application-delivery-controller/features/editions.html Сравнение редакций:

vPath - поочередное выполнение сервисов VSG и Citrix Netscaler 1000v

Cisco Nexus 1000V Distributed Virtual Switch

VM VM VM

VM VM

VM

VM VM VM

VM

VM VM VM

VM VM VM VM

Cisco vPath

Cisco VSG

1 2

3

45

Use Case 2: SLB/WAF & VSG

Netscaler 1000v

ASAv

Представляем новинку - Cisco ASAv

Cisco® ASAv

Проверенное аппаратное решение безопасности от Cisco теперь в виртуализированной среде

Открытая архитектура Multi-hypervisor

Multi-vswitch

Открытые API

Гибкая модель лицензирования

Развитие линейки ASA

Кластеризация и мультиконтекст

ASAv Аппаратная ASA

Transparent Не-vPATH

Кластеризация Мультиконтекст

ASA1000V

ASAv Сравнение функционала с физической ASA

Функционал ASA

ASAv

Нет кластеризации и мультиконтестности

•  Соответствие функционала физической ASA •  Масштабирование через виртуализацию •  До 10 vNIC интерфейсов •  Программная криптография

•  SDN и традиционные методы управления •  Масштабируется до 4 vCPUs и 8 GB памяти •  Возможность поддерживать 1 политику на физических и виртуальных ASA

ASAv – Гибкое лицензирование

Бессрочный контракт до прекращения

Сервис провайдер

На основе использования (часы кол-во ядер)

По факту (по-месячно / по-квартально)

На основе использования

Срок

Заказчик

Модель лицензирования

Биллинг

Повременное

1 год

Предприятие

Традиционная оплата

Предоплата

3 год 5 год

Сегментация для ЦОД: TrustSec

Почему TrustSec ?

•  Упрощение политик

•  Снижение сложности дизайна контроля доступа и сегментации

•  Автоматизация управления правилами на МСЭ в средах ЦОД

•  Снижение нагрузки на отдел ИБ

•  Использование функций сетевой инфраструктуры для безопасности

•  Распределенные внедрения и масштабируемость

•  Поддержка в том числе и не виртуализированных сред

47

Работа TrustSec

1.  Запрос на доступ в сеть

2.  Разрешение + атрибуты доступа (VLAN, ACL,

SGT, MacSec)

3.  Трафик с метками SGT

4.  МЭ - фильтрация трафика на основе меток

групп

0. Категорирование пользователей и ресурсов

Сервер Б Сервер A

Пользователь А Пользователь Б

200

ISE

Канальное шифрование

300

20 30

access-list DCin permit tcp ... SGT 30 any SGT 300 eq sql

ЦОД с подержкой TrustSec

Data Center Core Layer

DC Aggregation Layer

DC Service Layer

DC Access Layer

Virtual Access

SGACL enabled Device

SG Firewall enabled Device

Virtual Servers

Physical Servers

Применение политик SGA На Nexus 7000 ASA с использованием средств автоматизации

Применение политик SGA На Catalyst 6500, ASASM с использованием средств автоматизации

Security Group ACLs • Определение правил сегментации в таблице • Применение на Nexus 7000/5500/2000 независимо от топологии

Security Group классификация • Nexus 1000V может классифицировать и присваивать метки SGT и использовать SXP для отправки на устройства фильтрации

! Защита от MitM-аттак

! Шифрование по стандарту AES-GCM (AES-128)

! Шифрование/Дешифрование на каждом устройстве

! Проверка целостности

Конфиденциальность и целостность

2/25/14 © 2013 Cisco and/or its affiliates. All rights reserved. 50

DST 802.1AE Header

802.1Q

CMD ETYPE

ICV

CRC

MISEec EtherType

TCI/AN SL

Packet Number

SCI (optional)

Encrypted Authenticated

0x88e5

SRC PAYLOAD

Version

Length

CMD EtherType

SGT Opt Type

SGT Value

Other CMD Options

Централизованное управление политиками

permit tcp dst eq 443 permit tcp dst eq 80 permit tcp dst eq 22 permit tcp dst eq 3389 permit tcp dst eq 135 permit tcp dst eq 136 permit tcp dst eq 137 permit tcp dst eq 138 permit tcp des eq 139 deny ip

Portal_ACL Portal_ACL

Определение политик – ISE

Cisco Cyber Thread Defense: Прозрачность операций и защита от угроз для ЦОД

Безопасность периметра – не панацея

Устройства периметра

Контроль и управление

Сетевая разведка и распространение

Кража данных

Целевые угрозы зачастую обходят

периметр

Только вся сеть целиком имеет достаточный уровень наблюдаемости для

выявления сложных угроз

© 2013 Cisco and/or its affiliates. All rights reserved.

TrustSec Enabled

Enterprise Network

Identity Services Engine

NetFlow: Switches, Routers, и ASA 5500

Контекст: NBAR/AVC

Cisco Cyber Threat Detection - повышает эффективность и действенность анализа и обеспечивает ключевое понимание внутренней активности в сети

Flow

Телеметрия NetFlow Cisco Switches, Routers и ASA 5500

Данные о контексте угрозы Cisco Identity, Device, Posture, Application

Cyber Threat Defense = Cisco + Lancope

© 2013 Cisco and/or its affiliates. All rights reserved.

Обнаружение утечек

55

NetFlow как инструмент безопасности

!  Сбор и корреляция NetFlow данных

!  Обнаружение и идентификация канала утечки

55

ASA 5585!

vPath

Hypervisor

Aggregation!

Nexus 1000V!Virtual Security Gateway!

Secure Container!

Virtual Flow Sensor!

Flow Collector!

StealthWatch

Management Console

Cisco NetFlow

1. Инфицированные хосты открывают соединения и экспортируют данные

2. Ифраструктура генерирует записи события используя Netflow

3. Сбор и анализ данных Netflow

4. Сигнал тревоги о возможной утечке данных

3. Сбор и анализ данных Netflow

Компоненты решения Cyber Threat Defense

Cisco Network

StealthWatch FlowCollector

StealthWatch Management

Console

NetFlow

StealthWatch FlowSensor

StealthWatch FlowSensor

VE Users/Devices

Cisco ISE

NetFlow

StealthWatch FlowReplicator

Другие коллекторы

https

https

NBAR NSEL

© 2013 Cisco and/or its affiliates. All rights reserved.

Пример: определение утечки информации

Customizable “Data Loss” Alarm Alarm Delivers Alerts Prioritized by Severity Level

Глубокий анализ данных Объем переданного трафика и % исходящего трафика

Опрос Cisco ISE для поиска пользователя, группы, Posture, Device Profile

Query Cisco SenderBase for Host Reputation Information

Опрос Cisco SenderBase для определения репутации хоста

57

Решаемые задачи

•  Обнаружение брешей в настройках МСЭ •  Обнаружение незащищенных коммуникаций •  Обнаружение P2P-трафика •  Обнаружение неавторизованной установки локального Web-сервера или точки доступа

•  Обнаружение попыток несанкционированного доступа •  Обнаружение ботнетов (командных серверов) •  Обнаружение атак «отказ в обслуживании» •  Обнаружение инсайдеров •  Расследование инцидентов •  Обнаружение неисправностей

© 2013 Cisco and/or its affiliates. All rights reserved.

Ссылки на полезные материалы по теме

Cisco Validated Design: http://www.cisco.com/go/cvd VMDC: http://www.cisco.com/go/vmdc Cisco Secure Data Center for Enterprise Solution: First-Look Guide: http://www.cisco.com/en/US/solutions/collateral/ns340/ns414/ns742/ns744/docs/sdc-dg.pdf Cisco Secure Data Center for Enterprise Design Guide: http://www.cisco.com/c/en/us/td/docs/solutions/Enterprise/Security/SDC/DG/SDC_DesignGuide/SDC_DG_2013-11-25_v10.html TrustSec Design Guide (текущая версия 2.1) http://www.cisco.com/en/US/solutions/ns340/ns414/ns742/ns744/landing_DesignZone_TrustSec.html Cisco Cyber Threat Defense for the Data Center Solution: First Look Guide: http://www.cisco.com/en/US/solutions/collateral/ns340/ns414/ns742/ns744/docs/ctd-first-look-design-guide.pdf ASA Clustering / Testing: http://www.cisco.com/en/US/docs/solutions/Enterprise/Data_Center/VMDC/ASA_Cluster/ASA_Cluster.html PCI Compliance Letter: http://www.cisco.com/en/US/docs/solutions/Enterprise/Data_Center/VMDC/2.2/Cisco_PCI_Compliance_Letter.pdf FISMA Compliance: http://www.cisco.com/en/US/docs/solutions/Enterprise/Data_Center/VMDC/SecureState/VMDC_SecureState.pdf

Пожалуйста, заполните анкеты. Ваше мнение очень важно для нас.

Спасибо

Напишите мне: Андрей Ключка aklyuchk@cisco.com +7 (727) 2442138

Дополнительные материалы

Физические!или!виртуальные!

серверы!ДМЗ!периметра!

Периметр!ЦОД!

Интернет!/!

внешняя!сеть!

Ядро!ЦОД!

(маршрутизация)!

Уровень!агрегации!ЦОД!Уровень!2!

Уровень!3!

КЛАСТЕР!МСЭ!

Вычислительная!

зона!ДМЗ!

Пункт!доставки!

Виртуальные+серверы+ДМЗ+

Ядро!BGP/OSPF!

!

ASA!A/S!HA!

Уровень!виртуального!

доступа!

VRF+–+DMZExt+++

VRF>+DMZExt++

VRF+–+DMZExt+++

VRF+–+DMZExt+++

CTX1+ CTX1+

VL900

Выделенные+блейд>серверы+

CTX+CTX+

VL900

ДМЗ+VLAN90+172.16.90.0/24+

vDMZ+172.16.90.0/24+

VL900

VL999 VL999

VL999 VL999

VL90 VL999

Устройства+ASA+периметра,+работающие+под+управлением++стандартного+A/S+HA,+—отказоустойчивые+ASA+периметра+—+наряду+с+vPC+могут+использовать+избыточный+интерфейс,+чтобы+сократить+вероятность+аварийного+переключения+при+высокой+доступности.+ ASA+периметра+реализуют+прозрачный+контекст+вирт.+МСЭ+сети+VLN+для+ДМЗ,+соединяя+VL90+(ДМЗ)+с+VL999+(N7000+vRF).+ Некоторые+серверы+ДМЗ+могут+физически+находиться+в+коммутаторе+ДМЗ,+тогда+как+другие+серверы+будут+предоставляться+с+уровня+виртуального+доступа. Nexus+7000+передает+трафик+с+VL999+через+vRF+–+DMZExt,+перемещает+пакеты+через+маршрутизируемый+уровень+ядра+на+уровень+распределения.+ Запрос+или+отклик+ARP+из+VLAN+90+передается+по+каналам+на+уровень+виртуального+доступа.++ Кластеризованные+ASA+на+уровне+распределения+связывают+VL999+(DMZExt+vRF)+с+VL900,+местом,+где+существуют+виртуальные+серверы+ДМЗ.+Здесь+будет+реализована+политика+безопасности,+ограничивающая+доступ+только+к+подсетям+ДМЗ+по+сети,+сервису+или+приложению.+ Для+обеспечения+безопасности+(соответствия+требованиям)+на+уровне+виртуального+доступа+рекомендуется+использовать+выделенное+серверное+оборудование.+ Можно+создать+дополнительные+профили+портов+и+использовать+шлюз+Virtual+Security+Gateway+(VSG)+для+зонирования+«восток>запад»+между+ВМ+в+ДМЗ.+ Для+дальнейшего+разделения+на+уровне+пакетов+можно+использовать+метки+групп+безопасности.+

Пример схемы «Плавательная дорожка» для виртуальной ДМЗ

DMZ+Subnet(172.16.90.0/24)VLAN90+<>>+vFW(BVI)+<>>VLAN999<>>vRF+DMZExt+<>>+VLAN999+<>>+vFW(BVI)<>>VLAN900/+DMZ+Subnet(172.16.90.0/24)++

Внешнее!зонирование!

Пример внутреннего зонирования для разработки — вариант 1 Физическое разделение Модель может использоваться для тестирования нагрузки на приложение. Если требуется выделенный путь через уровень ядра, рекомендуется использовать DEV vRF. Если требуется выделенный периметр, рекомендуется использовать контексты вирт. МСЭ на устройствах ASA периметра или отдельную (низкого уровня) пару ASA. DEV VDC, созданный в Nexus 7000, присоединенный к CORE VDC и поддерживающий собственную дочку доставки. ASA на уровне агрегации могут быть настроены несколькими способами. 1. Один кластер ASA с отдельными контекстами вирт. МСЭ для зон DEV — порты на ASA должны быть физически подключены к каждому VDC. 2. Отдельные кластеры ASA с контекстами вирт. МСЭ или без них. В вычислительной структуре создается зеркальная серверная среда для функционирования DEV в собственной точке доставки.

Периметр ЦОД

Интернет / внешняя сеть

VDC ядра ЦОД (маршрутизация)

VDC уровня агрегации производства

Уровень 2

Уровень 3

КЛАСТЕР МСЭ

Пункт доставки

Ядро BGP/OSPF

ASA A/S HA

Уровень виртуального

доступа

Виртуальный коммутатор

Гипервизор

VDC уровня агрегации разработки

Пункт доставки

CTX CTX

Виртуальный коммутатор

Гипервизор

DEV VRF

DEV VRF

DEV VRF

Вычислительная зона разработки

Вычислительная зона производства

CTX+

Периметр!ЦОД!

Интернет!/!

внешняя!сеть!

VDC!ядра!ЦОД!

(маршрутизация)!

VDC!уровня!агрегации!Уровень!2!

Уровень!3!

КЛАСТЕР!МСЭ!

Ядро!!

BGP/OSPF!

ASA!A/S!HA!

Уровень!!

виртуального!доступа!

Пример внутреннего зонирования для разработки — вариант 2 Виртуальное разделение

В модели виртуального разделения используется общая физическая инфраструктура (Nexus) для маршрутизации и транспорта данных. ASA используются для разделения трафика разработки и производства. Виртуальные ресурсы могут использовать общее физическое серверное оборудование и точку доступа. Обеспечение безопасность осуществляется аналогично действиям в защищенной многопользовательской среде.