Cisco 350-401: Unternehmenssicherheit und Identitätsdienste — Lernleitfaden

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Teil des Cisco CCNP Enterprise 350-401 ENCOR — Lernleitfaden. Üben Sie mit verifizierten Antworten im Cisco-Prüfungscenter, oder absolvieren Sie zeitlich begrenzte Übungstests auf ExamRoll.io.

Überblick

Unternehmenssicherheit und Identitätsdienste (Enterprise Security and Identity Services) vereinen das Vertrauen in Benutzer, Geräte und Workloads mit Netzwerkkontrollen, um die Angriffsfläche zu verringern und Sicherheitsverletzungen einzudämmen. Dieser Bereich umfasst Kernprinzipien (Zero Trust, Least Privilege, Defense in Depth), identitätsbasierten Zugriff mittels AAA und 802.1X mit Cisco ISE, skalierbare Segmentierung mit TrustSec und Security Group Tags (SGTs), sicheren Transport und sicheres Management sowie die betriebliche Telemetrie und die Prozesse, die für Erkennung, Reaktion und Audit erforderlich sind. Erfolgreiche Architekturen richten die Kontrollen an der Daten-, Identitäts- und Kontrollebene aus, verwenden starke Kryptografie dort, wo sie eine messbare Risikominderung bewirkt, und antizipieren Ausfallszenarien durch explizite Fallbacks und Überwachung.

Prinzipien und Architektur

• Zero Trust: Behandeln Sie jede Anfrage als nicht vertrauenswürdig, überprüfen Sie sie explizit (Benutzer, Gerät, Haltung/Posture, Kontext) und gehen Sie von einer Kompromittierung aus (Assume Breach). Ersetzen Sie implizites Vertrauen aufgrund des Standorts (intern vs. extern) durch Identität, Gerätezustand (Device Health) und Richtlinien.
• Least Privilege (Prinzip der geringsten Rechte): Gewähren Sie nur den minimal erforderlichen Zugriff. In der Praxis sind rollen- oder attributbasierte Richtlinien einer statischen Netzwerkplatzierung vorzuziehen. Setzen Sie die Richtlinien am Eingang (Ingress) und innerhalb des Netzwerks durch, um den potenziellen Schaden (Blast Radius) zu verkleinern.
• Defense in Depth (Verteidigung in der Tiefe): Schichten Sie Kontrollen – Identität, Segmentierung, Verschlüsselung, Endpunktschutz und Überwachung – so, dass der Ausfall einer einzelnen Kontrolle nicht zu einer Kompromittierung führt. Stellen Sie sicher, dass jede Schicht einen einzigartigen Mehrwert bietet und unabhängig überwacht wird.
• Segmentierungsstrategie: Kombinieren Sie Makro-Segmentierung (VRFs/VPNs, Firewalls) zur Isolierung von Domänen mit Mikro-Segmentierung (SGTs/SGACLs) zur Steuerung des Ost-West-Verkehrs innerhalb der Domänen. Entwerfen Sie für betriebliche Skalierbarkeit: zentrale Richtliniendefinition, verteilte Durchsetzung, minimaler Zustand pro Gerät.
• Schutz der Kontrollebene (Control-Plane Protection): Reservieren und überwachen (Policing) Sie den Kontrollverkehr, um Routing, Switch-Steuerung und Management auch unter Last oder bei Angriffen widerstandsfähig zu halten.

Abwägungen:

• Granularere Richtlinien erhöhen die Anzahl der Richtlinienobjekte und die Komplexität des Change Managements. Verwenden Sie gruppenbasierte Richtlinien, um die Identität von der IP-Adressierung zu entkoppeln.
• Die Verschlüsselung von allem kann kostspielig sein und die Telemetrie verschleiern. Zielen Sie mit der Verschlüsselung auf Verbindungen (Links) und Datenflüsse (Flows) mit klaren Risiko- und Compliance-Anforderungen ab und nutzen Sie Flow-Metadaten für die Transparenz.

Identität, AAA und Zugriffskontrolle

AAA bietet zentralisierte Authentifizierung, Autorisierung und Abrechnung (Authentication, Authorization, and Accounting) für die Geräteadministration und den Netzwerkzugriff.

• TACACS+ vs. RADIUS:

  • TACACS+ wird für die Geräteadministration bevorzugt (Exec- und Pro-Befehl-Autorisierung, vollständige Paketverschlüsselung, unabhängige Authentifizierung/Autorisierung/Abrechnung). Ausfallszenarien: Falsch geordnete Methodenlisten oder nicht verfügbares TACACS+ können Administratoren aussperren; implementieren Sie einen lokalen Fallback mit eingeschränkten Rechten.
  • RADIUS wird für den Netzwerkzugriff bevorzugt (802.1X, VPN, Wireless). Es unterstützt Attribute für VLAN, herunterladbare ACLs (dACLs), SGTs und Sitzungs-Timeouts. Ausfallszenarien: Nicht übereinstimmendes Shared Secret, falsches Mapping von RADIUS-Attributen, Fragmentierung großer Attributsätze.

• Rollenbasierter Zugriff:

  • Geräteadministration: Verwenden Sie TACACS+ Command Sets und Shell-Profile, um das Prinzip der geringsten Rechte (Least Privilege) für Operatoren, SREs und Auditoren umzusetzen. Beschränken Sie risikoreiche Befehle (z. B. write, debug, tftp).
  • Netzwerkzugriff: Weisen Sie Identitäten mithilfe von Cisco ISE Rollen zu und setzen Sie Autorisierungsergebnisse mittels VLANs, dACLs, SGTs und QoS-Markierungen durch.

• Hochverfügbarkeit und Resilienz:

  • Verwenden Sie mehrere AAA-Server mit Zustandsüberwachung (Health Monitoring) und auf die Benutzererfahrung abgestimmten Timeouts (z. B. Netzwerkzugriffs-RADIUS <2 s Timeouts, 2–3 Wiederholungsversuche).
  • Bevorzugen Sie EAP-TLS für 802.1X, um Passwortangriffe zu eliminieren und das Gerätevertrauen zu verbessern; automatisieren Sie den Lebenszyklus von Zertifikaten.

Kurze Beispiele (Geräteadministration und 802.1X):

• Geräteadministration mit TACACS+:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• Netzwerkzugriff mit RADIUS und 802.1X/MAB:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

802.1X, MAB, ISE und Haltung (Posture):

• 802.1X bietet portbasierte Zugriffskontrolle mittels EAP. Bevorzugen Sie EAP-TLS (Zertifikate) gegenüber PEAP/MSCHAPv2. Ausfallszenarien: Fehlkonfigurationen des Supplicants, Ablauf von Zertifikaten, MTU/EAP-Fragmentierung; mindern Sie diese Risiken durch Onboarding-Portale und die Automatisierung des Zertifikatslebenszyklus.
• MAB (MAC Authentication Bypass) ist ein Fallback für Geräte ohne 802.1X-Unterstützung (Drucker, IP-Telefone). Kombinieren Sie es aufgrund des Risikos von MAC-Spoofing mit Profiling und eingeschränktem Zugriff (Quarantäne-dACL oder SGT).
• Cisco ISE zentralisiert Identität, Richtlinien, Profiling, Haltung (Posture) und Gast/BYOD:
  • Die Haltungsbewertung (Posture Assessment) (AnyConnect/agentenlos) setzt dynamisch die Compliance (Patch-Stand, AV-Status) mithilfe von dACLs, SGTs und Change of Authorization (CoA) durch, um einen Übergang von Quarantäne- zu Produktionszugriff zu ermöglichen.
  • pxGrid teilt Identitäts- und Haltungsinformationen (Posture) mit Firewalls, EDR und SIEM, um die Netzwerkrichtlinie an das Endpunktrisiko anzupassen.

Segmentierung und Richtliniendurchsetzung

TrustSec und gruppenbasierte Richtlinien:

• SGTs transportieren den Identitätskontext im Netzwerk. Durchsetzungsoptionen:
  • SGACLs auf Switches/Firewalls, um basierend auf Quell-/Ziel-SGTs zu erlauben/verweigern.
  • In SD-Access werden SGTs im VXLAN-Header mitgeführt; die Durchsetzung ist skalierbar und von der IP-Adressierung entkoppelt.
• Vorteile: Skalierbarkeit (Richtlinien pro Gruppenpaar vs. pro IP), Mobilität (Richtlinie folgt der Identität) und klare Least-Privilege-Matrizen.
• Fehlermodi: Lücken bei der SGT-Weitergabe (SXP deaktiviert, Fabric Edge taggt nicht), Policy Shadowing, TCAM-Erschöpfung durch gemischte IP-ACLs und SGACLs. Gegenmaßnahmen: zentralisierte Richtlinienvalidierung und Kapazitätsplanung.

ACLs und klassische Kontrollen:

• IP-ACLs bleiben wertvoll für geräteexternen Datenverkehr und das Filtern der Control-Plane. ACLs deterministisch halten und wo möglich zusammenfassen.
• Control-Plane Policing (CoPP) schützt Routing, Management und HSRP/VRRP vor Floods. Beginnen Sie mit Herstellervorlagen und passen Sie diese vorsichtig an; ein zu aggressives CoPP kann gültige Keepalives verwerfen und Adjacencies zum Flappen bringen.
• Firewalls:
  • Verwenden Sie Stateful Firewalls oder zonenbasierte Firewalls an Makro-Grenzen; nutzen Sie Anwendungserkennung und Identitätskontext (über ISE pxGrid).
  • Zonen/VRFs an Vertrauensgrenzen ausrichten; asymmetrisches Routing, das den Zustand bricht, verhindern.
  • Für die Ost-West-Segmentierung kombinieren Sie SGT-basierte Richtlinien mit Firewall-Ankerpunkten für hochriskante Datenflüsse.

Kurzes TrustSec-Beispiel (Edge-Switch):

undefined

undefined

undefined

Sicherer Transport, Management und Plattformintegrität

Auswahl der Verschlüsselung:

• MACsec (802.1AE) sichert L2-Links mit Line-Rate AES-GCM; ideal für Campus-Access, Uplinks und Fabric Edges. Verwenden Sie MKA mit 802.1X/EAP-TLS für das Schlüsselmanagement; achten Sie auf Aushandlungs-Mismatches und nicht unterstützte Transceiver.
• IPsec sichert L3-Pfade (Site-to-Site, Remote Access, SD-WAN-Underlay). Bevorzugen Sie IKEv2 mit AES-GCM, PFS-Gruppen (z. B. 19/20) und modernen Lifetimes; berücksichtigen Sie den MTU-Overhead und das Fragmentierungsrisiko.
• TLS für Management- und Anwendungs-Transport; fordern Sie starke Chiffren und, wo möglich, gegenseitige Authentifizierung (Mutual Auth).

Kurze Beispiele:

• MACsec auf einem Interface:

undefined

undefined

undefined

• IPsec IKEv2 Proposal:

undefined

undefined

undefined

undefined

• Sicheres Management:

undefined

undefined

undefined

undefined

undefined

• NTP mit Authentifizierung:

undefined

undefined

undefined

undefined

Zertifikate und PKI:

• Verwenden Sie eine Unternehmens-PKI oder die interne CA von ISE für EAP-TLS und Gerätezertifikate. Erzwingen Sie CRL/OCSP, wo unterstützt. Automatisieren Sie die Erneuerung, um massive 802.1X-Ausfälle zu vermeiden.
• Binden Sie für die Geräteadministration SSH nach Möglichkeit an Host-Keys, die von einer CA signiert sind; vermeiden Sie Standard-Keys und schwache Chiffren.

Plattformintegrität:

• Secure Boot und Image Signing verhindern Manipulationen. Aktivieren Sie die Image-Verifizierung bei der Installation, speichern Sie Golden Images offline und beschränken Sie den ROMMON-Zugriff. Validieren Sie Datei-Hashes vor und nach dem Upgrade. Fehlermodi: Boot-Schleifen nach einem Integritätsfehler – planen Sie gestaffelte Rollbacks und Out-of-Band-Zugriff.

Telemetrie, Bedrohungserkennung, Protokollierung und Reaktion

Endgeräteschutz und -erkennung:

• EDR/AV mit Verhaltensanalytik bereitstellen; mit ISE für adaptive Netzwerkdurchsetzung basierend auf dem Endgeräterisiko integrieren.
• Quellen für die Netzwerkerkennung: NetFlow/IPFIX, Encrypted Traffic Analytics, DNS-Protokolle, DHCP-Protokolle, WLC- und ISE-Sitzungsprotokolle, Firewall- und Proxy-Protokolle, Wireless RRM und RF Health, Control-Plane-Zähler und Device-Sensor-Profiling.

Telemetrie-Design:

• Telemetriedaten über einen zuverlässigen Transport an ein SIEM oder einen Data Lake streamen. Den Identitätskontext (Benutzer, Gerät, SGT, IP, VLAN, AP-Switchport) zur Korrelation normalisieren.
• Zeitsynchronisation mit authentifiziertem NTP ist für die forensische Genauigkeit zwingend erforderlich.

Sicherheitsprotokollierung und Audit:

• Authentifizierungs- und Autorisierungsergebnisse, CoA-Ereignisse, administrative Änderungen, Richtlinien-Downloads, Krypto-Sitzungszustände und Ausnahmepfade (MAB, Gast) protokollieren.
• Audit-Beweise durch Integritätskontrollen, eine dokumentierte Beweismittelkette (Chain of Custody) und eine Aufbewahrungsfrist sichern, die den Vorschriften und den Anforderungen der Incident Response entspricht.

Reaktion auf Sicherheitsvorfälle (Incident Response):

• Vorbereitung: Playbooks für Kontokompromittierung, Lateral Movement und nicht autorisierte Geräte; CoA- und Quarantäne-Workflows testen.
• Erkennung und Analyse: Baselines und Anomalieerkennung nutzen; Triage nach Identität und Segmenterreichbarkeit durchführen, nicht nur nach IP.
• Eindämmung und Beseitigung: SGACLs/dACLs zur sofortigen Isolierung verwenden; Anmeldeinformationen/Schlüssel rotieren; Geräte neu imagen oder patchen.
• Wiederherstellung: Gestaffelte Wiederinbetriebnahme basierend auf einem sauberen Posture-Status; auf Neuinfektionen überwachen.
• Nach dem Vorfall: Lückenanalyse, Anpassung der Kontrollen (z. B. SGT-Abdeckung, CoPP-Schwellenwerte) und Schulungen.

Häufige Fehlermodi und deren Behebung:

• Zertifikatsablauf stoppt 802.1X/EAP-TLS: Ablaufdaten überwachen; automatische Registrierung (Auto-Enrollment) aktivieren; Notfall-MAB mit eingeschränktem Zugriff bereithalten.
• Ausfall von ISE oder RADIUS: Redundante Knoten, Anycast-VIPs, sorgfältig abgestimmte Timeouts und lokales Autorisation-Fallback mit minimalen Rechten verwenden.
• dACL- oder SGT-Richtlinien-Mismatch: Validierung vor der Änderung und Analyse von Schattenrichtlinien implementieren; Canary-Endpunkte verwenden.
• MACsec/IPsec MTU-Overhead: MSS-Clamping und Jumbo-Frames, wo unterstützt, einstellen; Verluste durch DF-Bit überwachen.
• Übermäßiges Blockieren durch CoPP: Permissiv beginnen und in gemessenen Schritten iterieren; regelmäßig

undefined

verwenden.

• Schwache SNMP/SSH-Einstellungen: Ausschließlich SNMPv3 und starke SSHv2-Chiffren erzwingen; veraltete Protokolle deaktivieren.
• Protokollüberlastung oder -lücken: Rate-Limiting für gesprächige Facilities einsetzen; sicherstellen, dass kritische Facilities hohe Priorität haben und verlustfrei übertragen werden; Parser-Abdeckung im SIEM überprüfen.

Praktisches Problemszenario

Acme BioTech muss identitätsbasierten Zugriff und Mikrosegmentierung auf seinem Campus implementieren, dabei die Management- und Control-Planes schützen und sich auf Audits vorbereiten, ohne Laborgeräte zu stören, die keine Supplicants haben.

1. Identitäts- und AAA-Grundlage schaffen

• Begründung: Zentralisierte Identität ist die Voraussetzung für das Prinzip der geringsten Rechte (Least Privilege). Cisco ISE mit redundanten Knoten bereitstellen; mit AD und PKI integrieren. TACACS+ für die Geräteadministration und RADIUS für den Netzwerkzugriff mit EAP-TLS konfigurieren. Dies trennt Bedienerprivilegien von der Benutzer-/Geräteautorisierung und eliminiert passwortbasierte 802.1X-Angriffe.

2. Phasenweise Einführung von 802.1X mit MAB-Fallback und Posture

• Begründung: Im Modus mit geringen Auswirkungen beginnen, um das Verhalten der Supplicants zu beobachten. 802.1X global aktivieren; an Access-Ports

undefined

mit MAB konfigurieren. ISE-Richtlinien definieren, die unbekannte Geräte in eine Quarantäne-SGT mit einer Redirect-ACL zu einem Posture-Portal verschieben. Bekannte Unternehmensendpunkte mit gültigem EAP-TLS und gesundem Posture-Status erhalten die SGT „Mitarbeiter“. Laborgeräte, die über Profiling (OUI, DHCP-Fingerprint) identifiziert werden, erhalten eine eingeschränkte SGT „Labor-Geräte“. Dies unterstützt Endpunkte ohne 802.1X und erzwingt gleichzeitig das Prinzip der geringsten Rechte.

3. TrustSec SGT-Propagation und SGACL-Durchsetzung implementieren

• Begründung: Gruppenbasierte Richtlinienmatrizen verwenden, um zu definieren, welche Rollen kommunizieren dürfen (z. B. Mitarbeiter zu Finanz-Apps erlaubt TCP 443; Labor-Geräte zu HR verboten). CTS-rollenbasierte Durchsetzung auf Distribution- und Access-Switches aktivieren und die SGT-Propagation über SXP oder Fabric sicherstellen. Dies entkoppelt die Richtlinie von der Adressierung und skaliert über VLAN-Änderungen oder Endpunktmobilität hinweg.

4. Control- und Management-Planes härten

• Begründung: Netzwerkinstabilität und Kompromittierung verhindern. CoPP mit vorsichtigen Ratenbegrenzungen für Routing-, STP-, HSRP- und Management-Protokolle anwenden und nach Beobachtung der Baseline anpassen. SSHv2 mit starken Chiffren erzwingen, HTTP deaktivieren, HTTPS TLS 1.2+ aktivieren und den Management-Zugriff mit AAA-basierter Autorisierung und einer Management-VRF einschränken. SNMPv3 authPriv und authentifiziertes NTP konfigurieren, um genaue Protokolle zu gewährleisten.

5. Daten bei der Übertragung schützen, wo das Risiko es erfordert

• Begründung: Hochrisiko-Verbindungen ohne unnötigen Overhead verschlüsseln. MACsec auf Access- und Distribution-Uplinks aktivieren, um lokales Abhören zu verhindern. Für WAN- oder nicht vertrauenswürdige Campus-Verbindungen IKEv2 IPsec mit AES-GCM und PFS bereitstellen. MTU validieren und MSS-Clamping aktivieren, um durch Fragmentierung verursachte Anwendungsprobleme zu vermeiden.

6. Telemetrie bereitstellen und für Erkennung und Audit integrieren

• Begründung: Sichtbarkeit ist die Grundlage für Reaktion und Nachweis. NetFlow/IPFIX, Syslog, ISE Live Logs und Firewall-Ereignisse an das SIEM streamen. Device-Sensor- und Profiling-Exporte von Switches zu ISE aktivieren. EDR auf Endpunkten implementieren und über pxGrid integrieren, um kompromittierte Hosts automatisch mittels CoA unter Quarantäne zu stellen. Protokollaufbewahrung und Integritätsprüfungen konfigurieren, um Audit-Anforderungen zu erfüllen.

7. Validieren, überwachen und iterieren

• Begründung: Ausfallrisiko reduzieren und Lücken schließen. Pilot-Access-Closets mit Canary-Endpunkten verwenden, um SGT-Zuweisungen und SGACLs zu validieren. Authentifizierungserfolgsraten, CoA-Ereignisse und CoPP-Drops überwachen. Warnungen für Zertifikatsablauf und AAA-Latenz erstellen. Rollback-Verfahren dokumentieren und ein Notfall-VLAN/SGT für einen sicheren Fallback bei einem Posture- oder ISE-Ausfall bereithalten.

Durch Befolgen dieser Schritte erreicht Acme BioTech einen an Zero Trust ausgerichteten, identitätsbasierten Zugriff mit skalierbarer Segmentierung, geschützten Control- und Management-Planes, verschlüsselten Hochrisiko-Verbindungen sowie der Telemetrie und den Prozessen, die für eine schnelle Reaktion auf Vorfälle und Audit-Bereitschaft erforderlich sind.

← WAN- · Alle Domänen · Automatisierung →

Diese Fragen üben → · Zeitlich begrenzte Übung auf ExamRoll.io →