Cisco 350-401: Sécurité d'entreprise et services d'identité — Guide d'étude

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Fait partie du Cisco CCNP Enterprise 350-401 ENCOR — Guide d’étude. Entraînez-vous avec des réponses vérifiées dans le centre d’examens Cisco, ou passez des tests chronométrés sur ExamRoll.io.

Vue d’ensemble

Les services de sécurité et d’identité d’entreprise unifient la confiance des utilisateurs, des appareils et des charges de travail avec les contrôles réseau pour réduire la surface d’attaque et contenir les brèches. Ce domaine couvre les principes fondamentaux (Zero Trust, moindre privilège, défense en profondeur), l’accès basé sur l’identité utilisant AAA et 802.1X avec Cisco ISE, la segmentation évolutive avec TrustSec et les Security Group Tags (SGTs), le transport et la gestion sécurisés, ainsi que la télémétrie opérationnelle et les processus requis pour la détection, la réponse et l’audit. Les conceptions réussies alignent les contrôles sur les plans de données, d’identité et de contrôle ; utilisent une cryptographie forte là où elle apporte une réduction mesurable du risque ; et anticipent les modes de défaillance avec des mécanismes de repli explicites et une surveillance.

Principes et architecture

• Zero Trust : Traiter chaque requête comme non fiable, vérifier explicitement (utilisateur, appareil, posture, contexte) et présumer la compromission. Remplacer la confiance implicite liée à l’emplacement (interne vs externe) par l’identité, l’état de santé de l’appareil et la politique.
• Moindre privilège : Accorder l’accès minimal nécessaire. En pratique, préférer une politique basée sur les rôles ou les attributs plutôt qu’un placement réseau statique. Appliquer à l’entrée et à l’intérieur du réseau pour réduire le rayon d’impact.
• Défense en profondeur : Superposer les contrôles — identité, segmentation, chiffrement, protection des terminaux et surveillance — afin que la défaillance d’un seul contrôle n’entraîne pas une compromission. Valider que chaque couche apporte une valeur unique et est surveillée indépendamment.
• Stratégie de segmentation : Combiner la macro-segmentation (VRFs/VPNs, pare-feux) pour isoler les domaines avec la micro-segmentation (SGTs/SGACLs) pour contrôler le trafic est-ouest au sein des domaines. Concevoir pour une mise à l’échelle opérationnelle : définition de politique centralisée, application distribuée, état minimal par appareil.
• Protection du plan de contrôle : Réserver et réguler le trafic de contrôle pour maintenir la résilience du routage, du contrôle des commutateurs et de la gestion sous charge ou en cas d’attaque.

Arbitrages :

• Une politique plus granulaire augmente le nombre d’objets de politique et la complexité de la gestion des changements. Utiliser une politique basée sur les groupes pour découpler l’identité de l’adressage IP.
• Chiffrer tout peut être coûteux et obscurcir la télémétrie ; cibler le chiffrement sur les liaisons et les flux présentant des facteurs de risque et de conformité clairs, et utiliser les métadonnées de flux pour la visibilité.

Identité, AAA et contrôle d’accès

AAA fournit une authentification, une autorisation et une comptabilisation (accounting) centralisées pour l’administration des appareils et l’accès au réseau.

• TACACS+ vs RADIUS :

  • TACACS+ est préféré pour l’administration des appareils (autorisation exec et par commande, chiffrement complet des paquets, authentification/autorisation/comptabilisation indépendantes). Modes de défaillance : listes de méthodes mal ordonnées ou serveur TACACS+ indisponible pouvant bloquer les administrateurs ; implémenter un repli local avec des privilèges restrictifs.
  • RADIUS est préféré pour l’accès réseau (802.1X, VPN, sans-fil). Il prend en charge les attributs pour les VLAN, les ACL téléchargeables (dACLs), les SGTs et les délais d’expiration de session. Modes de défaillance : non-concordance du secret partagé, mauvais mappage des attributs RADIUS, fragmentation des ensembles d’attributs volumineux.

• Accès basé sur les rôles :

  • Administration des appareils : Utiliser les ensembles de commandes TACACS+ et les profils de shell pour mettre en œuvre le moindre privilège pour les opérateurs, les SREs et les auditeurs. Restreindre les commandes à haut risque (par ex., write, debug, tftp).
  • Accès réseau : Mapper les identités aux rôles à l’aide de Cisco ISE, appliquer les résultats d’autorisation en utilisant les VLANs, les dACLs, les SGTs et les marquages QoS.

• Haute disponibilité et résilience :

  • Utiliser plusieurs serveurs AAA avec une surveillance de l’état et des délais d’attente (timeouts) ajustés pour l’expérience utilisateur (par ex., timeouts RADIUS pour l’accès réseau < 2 s, 2–3 tentatives).
  • Préférer EAP-TLS pour le 802.1X afin d’éliminer les attaques par mot de passe et d’améliorer la confiance dans l’appareil ; automatiser le cycle de vie des certificats.

Exemples courts (administration d’appareil et 802.1X) :

• Administration d’appareil avec TACACS+ :
  • aaa new-model
  • tacacs server ISE1 address ipv4 10.10.10.10 key
  • aaa authentication login CONSOLE local
  • aaa authentication login VTY group tacacs+ local
  • aaa authorization exec VTY group tacacs+ local
  • line vty 0 4 login authentication VTY transport input ssh
• Accès réseau avec RADIUS et 802.1X/MAB :
  • radius server ISE-RAD address ipv4 10.10.20.20 auth-port 1812 acct-port 1813 key
  • aaa authentication dot1x default group radius
  • aaa authorization network default group radius
  • dot1x system-auth-control
  • interface GigabitEthernet1/0/10 switchport mode access authentication periodic authentication timer reauthenticate 3600 mab dot1x pae authenticator dot1x timeout tx-period 7 spanning-tree portfast

802.1X, MAB, ISE et posture :

• Le 802.1X fournit un contrôle d’accès basé sur les ports utilisant EAP. Préférer EAP-TLS (certificats) à PEAP/MSCHAPv2. Modes de défaillance : erreurs de configuration du supplicant, expiration des certificats, fragmentation MTU/EAP ; atténuer avec des portails d’intégration (onboarding) et l’automatisation du cycle de vie des certificats.
• MAB (MAC Authentication Bypass) est une solution de repli pour les appareils non compatibles 802.1X (imprimantes, téléphones IP). Associer au profilage et à un accès restreint (dACL ou SGT de quarantaine) en raison du risque d’usurpation d’adresse MAC (MAC spoofing).
• Cisco ISE centralise l’identité, la politique, le profilage, la posture et la gestion des invités/BYOD :
  • L’évaluation de la posture (AnyConnect/sans agent) applique dynamiquement la conformité (correctifs, état de l’antivirus) en utilisant des dACLs, des SGTs et le change of authorization (CoA) pour passer d’un accès de quarantaine à un accès de production.
  • pxGrid partage l’identité et la posture avec les pare-feux, les EDR et les SIEM pour aligner la politique réseau sur le risque des terminaux.

Segmentation et application des politiques

TrustSec et politique basée sur les groupes :

• Les SGT transportent le contexte d’identité dans le réseau. Options d’application :
  • SGACL sur les commutateurs/pare-feu pour autoriser/refuser en fonction des SGT source/destination.
  • Dans SD-Access, les SGT sont transportés dans l’en-tête VXLAN ; l’application est évolutive et découplée de l’adressage IP.
• Avantages : Évolutivité (politiques par paire de groupes vs par IP), mobilité (la politique suit l’identité) et matrices claires de moindre privilège.
• Modes de défaillance : Lacunes dans la propagation des SGT (SXP désactivé, périphérie de la fabric ne taguant pas), masquage de politique (policy shadowing), épuisement de la TCAM dû au mélange d’ACL IP et de SGACL. Atténuer avec une validation centralisée des politiques et une planification de la capacité.

ACL et contrôles classiques :

• Les ACL IP restent utiles pour le trafic externe aux équipements et le filtrage du plan de contrôle. Maintenez les ACL déterministes et agrégez-les lorsque c’est possible.
• Le Control-plane policing (CoPP) protège le routage, la gestion et HSRP/VRRP des inondations de trafic (floods). Commencez avec les modèles du fournisseur et ajustez avec prudence ; un CoPP trop agressif peut rejeter des keepalives valides et provoquer des instabilités d’adjacence (flapping).
• Pare-feu :
  • Utilisez des pare-feu stateful ou des pare-feu basés sur des zones (zone-based) aux macro-frontières ; tirez parti de l’identification des applications et du contexte d’identité (via ISE pxGrid).
  • Alignez les zones/VRF sur les frontières de confiance ; empêchez le routage asymétrique qui brise l’état des connexions.
  • Pour la segmentation est-ouest, combinez la politique basée sur les SGT avec des points d’ancrage sur pare-feu pour les flux à haut risque.

Exemple court de TrustSec (commutateur de périphérie) :

• cts role-based enforcement
• cts role-based sgt 20
• cts sxp enable

Transport sécurisé, gestion et intégrité de la plateforme

Sélection du chiffrement :

• MACsec (802.1AE) sécurise les liens L2 avec AES-GCM au débit de la ligne (line-rate) ; idéal pour l’accès campus, les liaisons montantes (uplinks) et les périphéries de fabric. Utilisez MKA avec 802.1X/EAP-TLS pour la gestion des clés ; surveillez les discordances de négociation et les transceivers non pris en charge.
• IPsec sécurise les chemins L3 (site à site, accès à distance, underlay SD-WAN). Préférez IKEv2 avec AES-GCM, les groupes PFS (par ex., 19/20) et des durées de vie modernes ; tenez compte de la surcharge MTU et du risque de fragmentation.
• TLS pour la gestion et le transport applicatif ; exigez des algorithmes de chiffrement (ciphers) robustes et une authentification mutuelle lorsque c’est possible.

Exemples courts :

• MACsec sur une interface :
  • interface TenGigabitEthernet1/0/1 mka policy CAMPUS-MKA macsec
• Proposition IPsec IKEv2 :
  • crypto ikev2 proposal SECURE encryption aes-gcm-256 prf sha256 group 20
• Gestion sécurisée :
  • ip ssh version 2
  • ip ssh server algorithm encryption aes256-ctr aes128-ctr
  • ip http secure-server
  • ip http tls-version 1.2
  • snmp-server group SEC v3 priv
• NTP avec authentification :
  • ntp authenticate
  • ntp authentication-key 1 md5
  • ntp trusted-key 1
  • ntp server 192.0.2.10 key 1

Certificats et PKI :

• Utilisez une PKI d’entreprise ou l’AC interne d’ISE pour les certificats EAP-TLS et d’équipement. Appliquez la vérification CRL/OCSP là où c’est pris en charge. Automatisez le renouvellement pour éviter les pannes massives de 802.1X.
• Pour l’administration des équipements, liez SSH à des clés d’hôte signées par une AC lorsque c’est possible ; évitez les clés par défaut et les algorithmes de chiffrement faibles.

Intégrité de la plateforme :

• Le démarrage sécurisé (Secure boot) et la signature d’image empêchent la falsification. Activez la vérification de l’image à l’installation, stockez les images de référence (golden images) hors ligne et restreignez l’accès à ROMMON. Validez les hachages de fichiers avant et après la mise à niveau. Modes de défaillance : boucles de démarrage après un échec d’intégrité — planifiez des retours en arrière par étapes (staged rollbacks) et un accès hors bande (out-of-band).

Télémétrie, détection des menaces, journalisation et réponse

Protection et détection des points de terminaison :

• Déployer un EDR/AV avec analyse comportementale ; intégrer avec ISE pour une application adaptative des politiques réseau basée sur le risque du point de terminaison.
• Sources de détection réseau : NetFlow/IPFIX, Encrypted Traffic Analytics, journaux DNS, journaux DHCP, journaux de session WLC et ISE, journaux de pare-feu et de proxy, RRM sans fil et santé RF, compteurs du plan de contrôle et profilage par capteur d’appareil.

Conception de la télémétrie :

• Diffuser la télémétrie vers un SIEM ou un lac de données avec un transport fiable. Normaliser le contexte d’identité (utilisateur, appareil, SGT, IP, VLAN, port de commutateur de l’AP) pour la corrélation.
• La synchronisation temporelle avec NTP authentifié est obligatoire pour la précision de l’analyse forensique.

Journalisation de sécurité et audit :

• Journaliser les résultats d’authentification et d’autorisation, les événements CoA, les modifications administratives, les téléchargements de politiques, les états des sessions de chiffrement et les chemins d’exception (MAB, invité).
• Préserver les preuves d’audit avec des contrôles d’intégrité, une chaîne de possession documentée et une rétention alignée sur la réglementation et les besoins de réponse aux incidents.

Réponse aux incidents :

• Préparation : playbooks pour la compromission de compte, le mouvement latéral et les appareils non autorisés ; tester les flux de travail de CoA et de mise en quarantaine.
• Détection et analyse : exploiter les lignes de base et la détection d’anomalies ; trier par identité et joignabilité de segment, pas seulement par IP.
• Confinement et éradication : utiliser les SGACL/dACL pour un isolement immédiat ; effectuer une rotation des identifiants/clés ; réimager ou appliquer des correctifs.
• Récupération : réactivation par étapes basée sur une posture saine ; surveiller la réinfection.
• Post-incident : analyse des écarts, ajustement des contrôles (par ex., couverture SGT, seuils CoPP) et formation.

Modes de défaillance courants et remédiation :

• L’expiration des certificats interrompt le 802.1X/EAP-TLS : surveiller les expirations ; activer l’enrôlement automatique ; maintenir un MAB d’urgence avec un accès restreint.
• Panne de l’ISE ou du RADIUS : utiliser des nœuds redondants, des VIPs Anycast, des délais d’attente soigneusement ajustés et un repli sur l’autorisation locale avec un privilège minimal.
• Inadéquation des politiques dACL ou SGT : mettre en œuvre une validation pré-changement et une analyse de politique fantôme ; utiliser des points de terminaison canaris.
• Surcharge MTU de MACsec/IPsec : définir le MSS clamping et les trames jumbo là où c’est pris en charge ; surveiller les rejets de bit DF.
• Sur-blocage par CoPP : commencer de manière permissive et itérer avec des incréments mesurés ; utiliser régulièrement

undefined

.

• Paramètres faibles pour SNMP/SSH : imposer uniquement SNMPv3 et des chiffrements forts pour SSHv2 ; désactiver les protocoles hérités.
• Surcharge ou lacunes de la journalisation : limiter le débit des sources bruyantes ; s’assurer que les sources critiques ont une priorité élevée et sont sans perte ; vérifier la couverture des analyseurs (parsers) dans le SIEM.

Scénario de problème pratique

Acme BioTech doit mettre en œuvre un accès basé sur l’identité et une micro-segmentation sur son campus tout en protégeant les plans de gestion et de contrôle et en se préparant aux audits, sans perturber les appareils de laboratoire qui n’ont pas de supplicants.

1. Établir les fondations de l’identité et de l’AAA

• Justification : L’identité centralisée est une condition préalable au moindre privilège. Déployer Cisco ISE avec des nœuds redondants ; intégrer avec AD et PKI. Configurer TACACS+ pour l’administration des appareils et RADIUS pour l’accès réseau avec EAP-TLS. Cela sépare les privilèges des opérateurs de l’autorisation des utilisateurs/appareils et élimine les attaques 802.1X basées sur les mots de passe.

2. Introduire progressivement le 802.1X avec repli MAB et posture

• Justification : Commencer en mode à faible impact pour observer le comportement des supplicants. Activer le 802.1X globalement ; sur les ports d’accès, configurer dot1x avec MAB. Définir des politiques ISE qui placent les appareils inconnus dans un SGT de quarantaine avec une ACL de redirection vers un portail de posture. Les points de terminaison d’entreprise connus avec un EAP-TLS valide et une posture saine reçoivent le SGT « Employé ». Les appareils de laboratoire identifiés via le profilage (OUI, empreinte DHCP) obtiennent un SGT restreint « Équipement-Labo ». Cela prend en charge les points de terminaison non-802.1X tout en appliquant le moindre privilège.

3. Mettre en œuvre la propagation des SGT TrustSec et l’application des SGACL

• Justification : Utiliser des matrices de politiques basées sur les groupes pour définir quels rôles communiquent (par ex., Employé vers Applications-Finance autoriser TCP 443 ; Équipement-Labo refuser vers RH). Activer l’application des politiques basée sur les rôles CTS sur les commutateurs de distribution et d’accès, et assurer la propagation des SGT via SXP ou la fabric. Cela découple la politique de l’adressage et s’adapte aux changements de VLAN ou à la mobilité des points de terminaison.

4. Durcir les plans de contrôle et de gestion

• Justification : Prévenir l’instabilité et la compromission du réseau. Appliquer CoPP avec des limites de débit prudentes pour les protocoles de routage, STP, HSRP et de gestion, en ajustant après observation de la ligne de base. Imposer SSHv2 avec des chiffrements forts, désactiver HTTP, activer HTTPS TLS 1.2+, et restreindre l’accès à la gestion avec une autorisation basée sur AAA et un VRF de gestion. Configurer SNMPv3 authPriv et NTP authentifié pour garantir des journaux précis.

5. Protéger les données en transit lorsque le risque le justifie

• Justification : Chiffrer les liaisons à haut risque sans surcharge inutile. Activer MACsec sur les liaisons montantes d’accès et de distribution pour empêcher l’écoute locale. Pour les interconnexions WAN ou de campus non fiables, déployer IKEv2 IPsec avec AES-GCM et PFS. Valider le MTU et activer le MSS clamping pour éviter les problèmes applicatifs induits par la fragmentation.

6. Déployer la télémétrie et l’intégrer pour la détection et l’audit

• Justification : La visibilité pilote la réponse et la preuve. Diffuser les événements NetFlow/IPFIX, syslog, les journaux en direct d’ISE et du pare-feu vers le SIEM. Activer les exportations des capteurs d’appareils et du profilage des commutateurs vers ISE. Mettre en œuvre l’EDR sur les points de terminaison et l’intégrer via pxGrid pour mettre en quarantaine automatiquement les hôtes compromis en utilisant CoA. Configurer la rétention des journaux et les contrôles d’intégrité pour répondre aux exigences d’audit.

7. Valider, surveiller et itérer

• Justification : Réduire le risque de panne et combler les lacunes. Utiliser des baies d’accès pilotes avec des points de terminaison canaris pour valider les attributions de SGT et les SGACL. Surveiller les taux de réussite d’authentification, les événements CoA et les rejets CoPP. Créer des alertes pour l’expiration des certificats et la latence AAA. Documenter les procédures de retour en arrière et maintenir un VLAN/SGT d’urgence pour un repli sécurisé en cas de panne de la posture ou de l’ISE.

En suivant ces étapes, Acme BioTech met en place un accès basé sur l’identité aligné sur le Zero Trust, avec une segmentation évolutive, des plans de contrôle et de gestion protégés, des liaisons à haut risque chiffrées, ainsi que la télémétrie et les processus nécessaires pour une réponse rapide aux incidents et une préparation à l’audit.

← Connectivité WAN · Tous les domaines · Automatisation →

Entraînez-vous sur ces questions → · Tests chronométrés sur ExamRoll.io →