Cisco 350-401: Sicurezza Enterprise e Servizi di Identità — Guida allo studio
Fa parte della Cisco CCNP Enterprise 350-401 ENCOR — Guida allo studio. Esercitati con risposte verificate nel centro esami Cisco, oppure fai test cronometrati su ExamRoll.io.
Panoramica
I servizi di sicurezza e identità aziendali (Enterprise Security and Identity Services) unificano la fiducia (trust) di utenti, dispositivi e workload con i controlli di rete per ridurre la superficie di attacco e contenere le violazioni. Questo dominio copre i principi fondamentali (Zero Trust, least privilege, defense in depth), l’accesso basato sull’identità tramite AAA e 802.1X con Cisco ISE, la segmentazione scalabile con TrustSec e Security Group Tags (SGTs), il trasporto e la gestione sicuri, e la telemetria operativa e i processi necessari per il rilevamento, la risposta e l’audit. I design di successo allineano i controlli ai piani dati, identità e controllo (data, identity, and control planes); utilizzano una crittografia forte dove aggiunge una riduzione misurabile del rischio; e anticipano le modalità di guasto con fallback espliciti e monitoraggio.
Principi e Architettura
- Zero Trust: Trattare ogni richiesta come non attendibile, verificarla esplicitamente (utente, dispositivo, postura, contesto) e presupporre la violazione (assume breach). Sostituire la fiducia implicita basata sulla posizione (interno vs esterno) con l’identità, lo stato di salute del dispositivo e le policy.
- Least privilege (Minimo privilegio): Concedere l’accesso minimo necessario. In pratica, preferire policy basate su ruoli o attributi rispetto al posizionamento statico nella rete. Applicare i controlli all’ingresso (ingress) e all’interno della rete per ridurre il raggio d’impatto (blast radius).
- Defense in depth (Difesa in profondità): Stratificare i controlli — identità, segmentazione, crittografia, protezione degli endpoint e monitoraggio — in modo che il fallimento di un singolo controllo non equivalga a una compromissione. Verificare che ogni strato fornisca un valore unico e sia monitorato in modo indipendente.
- Strategia di segmentazione: Combinare la macro-segmentazione (VRF/VPN, firewall) per isolare i domini con la micro-segmentazione (SGT/SGACL) per controllare il traffico est-ovest (east-west) all’interno dei domini. Progettare per la scalabilità operativa: definizione centralizzata delle policy, applicazione distribuita, stato minimo per dispositivo.
- Protezione del control-plane: Riservare e applicare policy (policing) al traffico di controllo per mantenere il routing, il controllo degli switch e la gestione resilienti sotto carico o attacco.
Compromessi (Trade-offs):
- Policy più granulari aumentano il numero di oggetti di policy e la complessità della gestione delle modifiche (change management). Utilizzare policy basate su gruppi per disaccoppiare l’identità dall’indirizzamento IP.
- Crittografare tutto può essere costoso e offuscare la telemetria; mirare la crittografia a link e flussi con chiari driver di rischio e conformità, e utilizzare i metadati dei flussi per la visibilità.
Identità, AAA e Controllo degli Accessi
AAA fornisce autenticazione, autorizzazione e accounting centralizzati per l’amministrazione dei dispositivi e l’accesso alla rete.
TACACS+ vs RADIUS:
- TACACS+ è preferito per l’amministrazione dei dispositivi (autorizzazione exec e per-comando, crittografia dell’intero pacchetto, autenticazione/autorizzazione/accounting indipendenti). Modalità di guasto: elenchi di metodi in ordine errato o TACACS+ non disponibile possono bloccare gli amministratori; implementare un fallback locale con privilegi restrittivi.
- RADIUS è preferito per l’accesso alla rete (802.1X, VPN, wireless). Supporta attributi per VLAN, ACL scaricabili (dACLs), SGT e timeout di sessione. Modalità di guasto: mancata corrispondenza della shared secret, mappatura errata degli attributi RADIUS, frammentazione di set di attributi di grandi dimensioni.
Accesso basato sui ruoli (Role-based access):
- Amministrazione dei dispositivi: Utilizzare i command set e gli shell profile di TACACS+ per implementare il principio del minimo privilegio per operatori, SRE e auditor. Limitare i comandi ad alto rischio (es. write, debug, tftp).
- Accesso alla rete: Mappare le identità ai ruoli utilizzando Cisco ISE, applicare i risultati dell’autorizzazione tramite VLAN, dACL, SGT e marcature QoS.
Alta disponibilità e resilienza:
- Utilizzare più server AAA con monitoraggio dello stato di salute (health monitoring) e timeout ottimizzati per l’esperienza utente (es. timeout di RADIUS per l’accesso alla rete <2 s, 2–3 tentativi).
- Preferire EAP-TLS per 802.1X per eliminare gli attacchi basati su password e migliorare la fiducia nel dispositivo (device trust); automatizzare il ciclo di vita dei certificati.
Esempi brevi (amministrazione dispositivo e 802.1X):
Amministrazione dei dispositivi con TACACS+:
undefined
undefined
undefined
undefined
undefined
undefined
undefined
undefined
undefined
undefined
Accesso alla rete con RADIUS e 802.1X/MAB:
undefined
undefined
undefined
undefined
undefined
undefined
undefined
undefined
undefined
undefined
undefined
undefined
undefined
undefined
802.1X, MAB, ISE e postura:
- 802.1X fornisce un controllo degli accessi basato su porta utilizzando EAP. Preferire EAP-TLS (certificati) rispetto a PEAP/MSCHAPv2. Modalità di guasto: configurazioni errate del supplicant, scadenza dei certificati, frammentazione MTU/EAP; mitigare con portali di onboarding e automazione del ciclo di vita dei certificati.
- MAB (MAC Authentication Bypass) è un fallback per i dispositivi non-802.1X (stampanti, telefoni IP). Abbinarlo al profiling e a un accesso limitato (dACL o SGT di quarantena) a causa del rischio di MAC spoofing.
- Cisco ISE centralizza identità, policy, profiling, postura e gestione guest/BYOD:
- La valutazione della postura (posture assessment) (tramite AnyConnect/agentless) applica dinamicamente la conformità (stato delle patch, AV) utilizzando dACL, SGT e Change of Authorization (CoA) per passare dall’accesso di quarantena a quello di produzione.
- pxGrid condivide le informazioni di identità e postura con firewall, EDR e SIEM per allineare le policy di rete con il rischio degli endpoint.
Segmentazione e Applicazione delle Policy
TrustSec e policy basate su gruppi:
- Gli SGT trasportano il contesto di identità nella rete. Opzioni di applicazione:
- SGACL su switch/firewall per consentire/negare in base agli SGT di origine/destinazione.
- In SD-Access, gli SGT viaggiano nell’header VXLAN; l’applicazione è scalabile e disaccoppiata dagli indirizzi IP.
- Vantaggi: Scalabilità (policy per coppia di gruppi invece che per singolo IP), mobilità (la policy segue l’identità) e matrici di least-privilege chiare.
- Modalità di guasto: Interruzioni nella propagazione degli SGT (SXP disabilitato, fabric edge che non esegue il tagging), policy shadowing, esaurimento della TCAM a causa di IP ACL e SGACL misti. Mitigare con la validazione centralizzata delle policy e il capacity planning.
ACL e controlli classici:
- Le IP ACL rimangono preziose per il traffico esterno ai dispositivi e per il filtraggio del control-plane. Mantenere le ACL deterministiche e riepilogarle dove possibile.
- Il Control-plane policing (CoPP) protegge il routing, la gestione e HSRP/VRRP dai flood. Iniziare con i template del fornitore e ottimizzare con cautela; un CoPP troppo aggressivo può scartare keepalive validi e causare il flap delle adiacenze.
- Firewall:
- Utilizzare firewall stateful o zone-based firewall ai confini macro; sfruttare l’identificazione delle applicazioni e il contesto di identità (tramite ISE pxGrid).
- Allineare zone/VRF ai confini di trust; prevenire il routing asimmetrico che interrompe lo stato.
- Per la segmentazione east-west, combinare policy basate su SGT con punti di ancoraggio su firewall per i flussi ad alto rischio.
Breve esempio di TrustSec (switch di edge):
undefined
undefined
undefined
Trasporto Sicuro, Gestione e Integrità della Piattaforma
Selezione della crittografia:
- MACsec (802.1AE) protegge i link L2 con AES-GCM a line-rate; ideale per l’accesso campus, gli uplink e i fabric edge. Usare MKA con 802.1X/EAP-TLS per la gestione delle chiavi; prestare attenzione a mancate corrispondenze nella negoziazione e a transceiver non supportati.
- IPsec protegge i percorsi L3 (site-to-site, accesso remoto, underlay SD-WAN). Preferire IKEv2 con AES-GCM, gruppi PFS (es. 19/20) e lifetime moderni; tenere conto dell’overhead MTU e del rischio di frammentazione.
- TLS per la gestione e il trasporto delle applicazioni; richiedere cifrari robusti e autenticazione reciproca dove possibile.
Brevi esempi:
MACsec su un’interfaccia:
undefined
undefined
undefined
Proposal IKEv2 per IPsec:
undefined
undefined
undefined
undefined
Gestione sicura:
undefined
undefined
undefined
undefined
undefined
NTP con autenticazione:
undefined
undefined
undefined
undefined
Certificati e PKI:
- Utilizzare una PKI aziendale o la CA interna di ISE per EAP-TLS e i certificati dei dispositivi. Applicare CRL/OCSP dove supportato. Automatizzare il rinnovo per evitare interruzioni di massa del servizio 802.1X.
- Per l’amministrazione dei dispositivi, associare SSH a chiavi host firmate da una CA dove possibile; evitare chiavi predefinite e cifrari deboli.
Integrità della piattaforma:
- Il secure boot e la firma delle immagini prevengono la manomissione. Abilitare la verifica dell’immagine all’installazione, archiviare le golden image offline e limitare l’accesso a ROMMON. Convalidare gli hash dei file prima e dopo l’aggiornamento. Modalità di guasto: loop di avvio dopo un fallimento di integrità—pianificare rollback graduali e accesso out-of-band.
← Connettività WAN · Tutti i domini · Automazione →
Esercitati su queste domande → · Pratica cronometrata su ExamRoll.io →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
Supera l'esame →