Cisco 350-401: Segurança Corporativa e Serviços de Identidade — Guia de estudos

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Faz parte do Cisco CCNP Enterprise 350-401 ENCOR — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

Os Serviços de Segurança e Identidade Corporativos (Enterprise Security and Identity Services) unificam a confiança de usuários, dispositivos e workloads com controles de rede para reduzir a superfície de ataque e conter violações. Este domínio abrange princípios fundamentais (Confiança Zero, menor privilégio, defesa em profundidade), acesso baseado em identidade usando AAA e 802.1X com o Cisco ISE, segmentação escalável com TrustSec e Security Group Tags (SGTs), transporte e gerenciamento seguros, e a telemetria e processos operacionais necessários para detecção, resposta e auditoria. Projetos bem-sucedidos alinham os controles aos planos de dados, identidade e controle; usam criptografia forte onde ela adiciona uma redução de risco mensurável; e antecipam modos de falha com mecanismos de fallback explícitos e monitoramento.

Princípios e Arquitetura

• Confiança Zero (Zero Trust): Trate toda solicitação como não confiável, verifique explicitamente (usuário, dispositivo, postura, contexto) e presuma a violação. Substitua a confiança implícita baseada na localização (interna vs. externa) por identidade, saúde do dispositivo e política.
• Menor privilégio (Least privilege): Conceda o acesso mínimo necessário. Na prática, prefira políticas baseadas em função ou atributo em vez de posicionamento estático na rede. Aplique na entrada (ingress) e dentro da rede para diminuir o raio de impacto (blast radius).
• Defesa em profundidade (Defense in depth): Crie camadas de controles — identidade, segmentação, criptografia, proteção de endpoint e monitoramento — para que a falha de um único controle não resulte em comprometimento. Valide que cada camada oferece valor único e é monitorada de forma independente.
• Estratégia de segmentação: Combine macrossegmentação (VRFs/VPNs, firewalls) para isolar domínios com microssegmentação (SGTs/SGACLs) para controlar o tráfego leste-oeste dentro dos domínios. Projete para escala operacional: definição de política centralizada, aplicação distribuída, estado mínimo por dispositivo.
• Proteção do plano de controle: Reserve e aplique policiamento (police) ao tráfego de controle para manter o roteamento, o controle de switches e o gerenciamento resilientes sob carga ou ataque.

Trade-offs:

• Políticas mais granulares aumentam o número de objetos de política e a complexidade do gerenciamento de mudanças. Use políticas baseadas em grupo para desacoplar a identidade do endereçamento IP.
• Criptografar tudo pode ser caro e ofusca a telemetria; direcione a criptografia para links e fluxos com direcionadores claros de risco e conformidade, e use metadados de fluxo para visibilidade.

Identidade, AAA e Controle de Acesso

O AAA fornece autenticação, autorização e contabilização (accounting) centralizadas para administração de dispositivos e acesso à rede.

• TACACS+ vs RADIUS:

  • O TACACS+ é preferível para administração de dispositivos (autorização de execução e por comando, criptografia do pacote completo, autenticação/autorização/contabilização independentes). Modos de falha: listas de métodos em ordem incorreta ou indisponibilidade do TACACS+ podem bloquear o acesso de administradores; implemente um fallback local com privilégios restritivos.
  • O RADIUS é preferível para acesso à rede (802.1X, VPN, wireless). Ele suporta atributos para VLAN, ACLs para download (dACLs), SGTs e timeouts de sessão. Modos de falha: incompatibilidade de segredo compartilhado (shared secret), mapeamento incorreto de atributos RADIUS, fragmentação de conjuntos grandes de atributos.

• Acesso baseado em função (Role-based access):

  • Administração de dispositivos: Use conjuntos de comandos (command sets) e perfis de shell (shell profiles) do TACACS+ para implementar o menor privilégio para operadores, SREs e auditores. Restrinja comandos de alto risco (ex: write, debug, tftp).
  • Acesso à rede: Mapeie identidades para funções usando o Cisco ISE, aplique os resultados da autorização usando VLANs, dACLs, SGTs e marcações de QoS.

• Alta disponibilidade e resiliência:

  • Use múltiplos servidores AAA com monitoramento de saúde (health monitoring) e timeouts ajustados para a experiência do usuário (ex: RADIUS para acesso à rede com timeouts <2 s, 2–3 tentativas).
  • Prefira EAP-TLS para 802.1X para eliminar ataques de senha e melhorar a confiança do dispositivo; automatize o ciclo de vida dos certificados.

Exemplos curtos (administração de dispositivo e 802.1X):

• Administração de dispositivos com TACACS+:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• Acesso à rede com RADIUS e 802.1X/MAB:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

802.1X, MAB, ISE e postura:

• O 802.1X fornece controle de acesso baseado em porta usando EAP. Prefira EAP-TLS (certificados) em vez de PEAP/MSCHAPv2. Modos de falha: configurações incorretas do supplicant, expiração de certificados, fragmentação de MTU/EAP; mitigue com portais de onboarding e automação do ciclo de vida dos certificados.
• O MAB (MAC Authentication Bypass) é um fallback para dispositivos que não suportam 802.1X (impressoras, telefones IP). Combine com profiling e acesso restrito (dACL ou SGT de quarentena) devido ao risco de MAC spoofing.
• O Cisco ISE centraliza identidade, política, profiling, postura e acesso de convidados/BYOD:
  • A avaliação de postura (Posture assessment) (com AnyConnect/sem agente) aplica dinamicamente a conformidade (status de patches, antivírus) usando dACLs, SGTs e Change of Authorization (CoA) para fazer a transição do acesso de quarentena para o de produção.
  • O pxGrid compartilha identidade e postura com firewalls, EDR e SIEM para alinhar a política de rede com o risco do endpoint.

Segmentação e Aplicação de Políticas

TrustSec e política baseada em grupos:

• SGTs transportam o contexto de identidade na rede. Opções de aplicação (enforcement):
  • SGACLs em switches/firewalls para permitir/negar com base nos SGTs de origem/destino.
  • No SD-Access, os SGTs são transportados no cabeçalho VXLAN; a aplicação é escalável e desacoplada do endereçamento IP.
• Benefícios: Escalabilidade (políticas por par de grupos vs. por IP), mobilidade (a política segue a identidade) e matrizes claras de privilégio mínimo.
• Modos de falha: Lacunas na propagação de SGT (SXP desabilitado, borda do fabric não aplicando a tag), sombreamento de políticas (policy shadowing), exaustão da TCAM por ACLs de IP e SGACLs misturadas. Mitigue com validação centralizada de políticas e planejamento de capacidade.

ACLs e controles clássicos:

• ACLs de IP continuam valiosas para tráfego externo ao dispositivo e filtragem do plano de controle. Mantenha as ACLs determinísticas e sumarize sempre que possível.
• O policiamento do plano de controle (CoPP) protege o roteamento, o gerenciamento e o HSRP/VRRP contra inundações de tráfego (floods). Comece com os modelos do fornecedor e ajuste com cautela; um CoPP superagressivo pode descartar keepalives válidos e causar instabilidade nas adjacências (flaps).
• Firewalls:
  • Use firewalls stateful ou baseados em zona (zone-based) em macrofronteiras; aproveite a identificação de aplicações e o contexto de identidade (via ISE pxGrid).
  • Alinhe as zonas/VRFs às fronteiras de confiança; evite roteamento assimétrico que quebra o estado das conexões.
  • Para segmentação leste-oeste, combine políticas baseadas em SGT com pontos de ancoragem em firewall para fluxos de alto risco.

Exemplo rápido de TrustSec (switch de borda):

• cts role-based enforcement
• cts role-based sgt 20
• cts sxp enable

Transporte Seguro, Gerenciamento e Integridade da Plataforma

Seleção de criptografia:

• O MACsec (802.1AE) protege links L2 com AES-GCM em velocidade de linha (line-rate); ideal para acesso de campus, uplinks e bordas de fabric. Use MKA com 802.1X/EAP-TLS para gerenciamento de chaves; fique atento a incompatibilidades de negociação e transceivers não suportados.
• O IPsec protege caminhos L3 (site-to-site, acesso remoto, underlay de SD-WAN). Prefira IKEv2 com AES-GCM, grupos PFS (ex: 19/20) e tempos de vida modernos; leve em conta o overhead de MTU e o risco de fragmentação.
• TLS para gerenciamento e transporte de aplicações; exija cifras fortes e autenticação mútua sempre que viável.

Exemplos rápidos:

• MACsec em uma interface:
  • interface TenGigabitEthernet1/0/1 mka policy CAMPUS-MKA macsec
• Proposta IPsec IKEv2:
  • crypto ikev2 proposal SECURE encryption aes-gcm-256 prf sha256 group 20
• Gerenciamento seguro:
  • ip ssh version 2
  • ip ssh server algorithm encryption aes256-ctr aes128-ctr
  • ip http secure-server
  • ip http tls-version 1.2
  • snmp-server group SEC v3 priv
• NTP com autenticação:
  • ntp authenticate
  • ntp authentication-key 1 md5
  • ntp trusted-key 1
  • ntp server 192.0.2.10 key 1

Certificados e PKI:

• Use uma PKI corporativa ou a CA interna do ISE para EAP-TLS e certificados de dispositivo. Aplique CRL/OCSP onde for suportado. Automatize a renovação para evitar interrupções em massa do 802.1X.
• Para administração de dispositivos, vincule o SSH a chaves de host (host keys) assinadas por uma CA sempre que possível; evite chaves padrão e cifras fracas.

Integridade da plataforma:

• Secure boot e a assinatura de imagem previnem adulteração. Habilite a verificação da imagem na instalação, armazene imagens de referência (golden images) offline e restrinja o acesso ao ROMMON. Valide os hashes dos arquivos antes e depois do upgrade.
• Modos de falha: loops de inicialização (boot loops) após falha de integridade — planeje rollbacks em fases e acesso fora de banda (out-of-band).

Telemetria, Detecção de Ameaças, Logging e Resposta

Proteção e detecção de endpoints:

• Implante EDR/AV com análise de comportamento; integre com o ISE para aplicação adaptativa da rede com base no risco do endpoint.
• Fontes de detecção de rede: NetFlow/IPFIX, Encrypted Traffic Analytics, logs de DNS, logs de DHCP, logs de sessão do WLC e do ISE, logs de firewall e proxy, saúde de RRM e RF sem fio, contadores do plano de controle e perfil de sensores de dispositivos.

Design de telemetria:

• Transmita a telemetria para um SIEM ou data lake com transporte confiável. Normalize o contexto de identidade (usuário, dispositivo, SGT, IP, VLAN, porta do switch do AP) para correlação.
• A sincronização de tempo com NTP autenticado é obrigatória para a precisão forense.

Logging e auditoria de segurança:

• Registre os resultados de autenticação e autorização, eventos de CoA, alterações administrativas, downloads de políticas, estados de sessão criptográfica e caminhos de exceção (MAB, convidado).
• Preserve as evidências de auditoria com controles de integridade, cadeia de custódia documentada e retenção alinhada às regulamentações e necessidades de resposta a incidentes.

Resposta a incidentes:

• Preparação: playbooks para comprometimento de contas, movimento lateral e dispositivos não autorizados (rogue); teste os fluxos de trabalho de CoA e quarentena.
• Detecção e análise: utilize baselines e detecção de anomalias; faça a triagem por identidade e alcançabilidade de segmento, não apenas por IP.
• Contenção e erradicação: use SGACLs/dACLs para isolamento imediato; rotacione credenciais/chaves; reinstale a imagem ou aplique patches.
• Recuperação: reativação em fases com base em uma postura limpa (clean posture); monitore para evitar reinfecção.
• Pós-incidente: análise de lacunas (gap analysis), ajuste de controles (ex: cobertura de SGT, limites de CoPP) e treinamento.

Modos de falha comuns e remediação:

• A expiração de certificados interrompe o 802.1X/EAP-TLS: monitore as expirações; habilite o registro automático (auto-enrollment); mantenha um MAB de emergência com acesso restrito.
• Interrupção do ISE ou RADIUS: use nós redundantes, VIPs Anycast, timeouts cuidadosamente ajustados e fallback de autorização local com privilégio mínimo.
• Incompatibilidade de política de dACL ou SGT: implemente validação pré-mudança e análise de política sombra (shadow policy); use endpoints canário (canary endpoints).
• Overhead de MTU do MACsec/IPsec: defina o MSS clamping e jumbo frames onde for suportado; monitore as quedas de bit DF.
• Bloqueio excessivo do CoPP (overblocking): comece de forma permissiva e itere com incrementos medidos; use show control-plane counters regularmente.
• Configurações fracas de SNMP/SSH: exija apenas SNMPv3 e cifras fortes de SSHv2; desabilite protocolos legados.
• Sobrecarga ou lacunas de logging: aplique limite de taxa (rate-limit) a facilities ruidosas; garanta que as facilities críticas tenham alta prioridade e não haja perda de dados (lossless); verifique a cobertura do parser no SIEM.

Cenário de Problema Prático

A Acme BioTech precisa implementar acesso baseado em identidade e microssegmentação em seu campus, protegendo os planos de gerenciamento e controle e se preparando para auditorias, sem interromper os dispositivos de laboratório que não possuem suplicantes.

1. Estabelecer a base de identidade e AAA

• Racional: A identidade centralizada é um pré-requisito para o princípio do menor privilégio. Implante o Cisco ISE com nós redundantes; integre com o AD e a PKI. Configure o TACACS+ para administração de dispositivos e o RADIUS para acesso à rede com EAP-TLS. Isso separa os privilégios do operador da autorização de usuário/dispositivo e elimina ataques baseados em senha ao 802.1X.

2. Implementar 802.1X em fases com fallback para MAB e posture

• Racional: Comece no modo de baixo impacto para observar o comportamento do suplicante. Habilite o 802.1X globalmente; nas portas de acesso, configure dot1x com MAB. Defina políticas no ISE que coloquem dispositivos desconhecidos em um SGT de quarentena com uma ACL de redirecionamento para um portal de posture. Endpoints corporativos conhecidos com EAP-TLS válido e posture saudável recebem o SGT “Employee”. Dispositivos de laboratório identificados por meio de profiling (OUI, impressão digital de DHCP) recebem um SGT restrito “Lab-Equip”. Isso oferece suporte a endpoints que não são 802.1X, ao mesmo tempo que impõe o princípio do menor privilégio.

3. Implementar a propagação de SGT do TrustSec e a aplicação de SGACL

• Racional: Use matrizes de políticas baseadas em grupo para definir quais papéis se comunicam (ex: Employee para Finance-Apps permite TCP 443; Lab-Equip nega para HR). Habilite a aplicação baseada em papéis (role-based enforcement) do CTS nos switches de distribuição e acesso e garanta a propagação de SGT via SXP ou fabric. Isso desacopla a política do endereçamento e escala através de mudanças de VLAN ou mobilidade de endpoints.

4. Fortalecer os planos de controle e gerenciamento

• Racional: Evite a instabilidade e o comprometimento da rede. Aplique o CoPP com limites de taxa cautelosos para protocolos de roteamento, STP, HSRP e gerenciamento, ajustando após a observação do baseline. Exija SSHv2 com cifras fortes, desabilite HTTP, habilite HTTPS TLS 1.2+ e restrinja o acesso de gerenciamento com autorização baseada em AAA e uma VRF de gerenciamento. Configure SNMPv3 authPriv e NTP autenticado para garantir logs precisos.

5. Proteger dados em trânsito onde o risco justificar

• Racional: Criptografe links de alto risco sem sobrecarga desnecessária. Habilite o MACsec nos uplinks de acesso e distribuição para evitar interceptação local (tapping). Para interconexões de WAN ou de campus não confiáveis, implante IKEv2 IPsec com AES-GCM e PFS. Valide o MTU e habilite o MSS clamping para evitar problemas de aplicação induzidos por fragmentação.

6. Implantar telemetria e integrar para detecção e auditoria

• Racional: A visibilidade impulsiona a resposta e a comprovação. Transmita NetFlow/IPFIX, syslog, ISE Live Logs e eventos de firewall para o SIEM. Habilite as exportações de sensores de dispositivos e de profiling dos switches para o ISE. Implemente EDR nos endpoints e integre via pxGrid para colocar em quarentena hosts comprometidos automaticamente usando CoA. Configure a retenção de logs e as verificações de integridade para atender aos requisitos de auditoria.

7. Validar, monitorar e iterar

• Racional: Reduza o risco de interrupções e feche as lacunas. Use armários de acesso piloto (pilot access closets) com endpoints canário para validar as atribuições de SGT e as SGACLs. Monitore as taxas de sucesso de autenticação, eventos de CoA e quedas de CoPP. Crie alertas para expiração de certificados e latência de AAA. Documente os procedimentos de rollback e mantenha uma VLAN/SGT de emergência para fallback seguro em caso de interrupção do posture ou do ISE.

Seguindo esses passos, a Acme BioTech alcança um acesso baseado em identidade e alinhado ao Zero Trust, com segmentação escalável, planos de controle e gerenciamento protegidos, links de alto risco criptografados e a telemetria e os processos necessários para uma resposta rápida a incidentes e prontidão para auditorias.

← Conectividade WAN · Todos os domínios · Automação →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →