Cisco 350-401: Enterprise Security en Identiteitsservices — Studiegids

By Laurynas Brazys · 15 August 2026 · #cisco #350-401 #certification #exam-prep #study-guide

Onderdeel van de Cisco CCNP Enterprise 350-401 ENCOR — Studiegids. Oefen met geverifieerde antwoorden in het Cisco-examencentrum, of doe getimede oefentests op ExamRoll.io.

Overzicht

Enterprise Security en Identity Services verenigen het vertrouwen in gebruikers, apparaten en workloads met netwerkcontroles om het aanvalsoppervlak te verkleinen en inbreuken in te dammen. Dit domein omvat kernprincipes (Zero Trust, least privilege, defense in depth), op identiteit gebaseerde toegang via AAA en 802.1X met Cisco ISE, schaalbare segmentatie met TrustSec en Security Group Tags (SGT’s), veilig transport en beheer, en de operationele telemetrie en processen die nodig zijn voor detectie, respons en audit. Succesvolle ontwerpen stemmen controles af op de data-, identity- en control planes; gebruiken sterke cryptografie waar dit een meetbare risicoreductie oplevert; en anticiperen op faalscenario’s met expliciete fallbacks en monitoring.

Principes en Architectuur

• Zero Trust: Behandel elk verzoek als onbetrouwbaar, verifieer expliciet (gebruiker, apparaat, posture, context) en ga uit van een inbreuk. Vervang impliciet vertrouwen op basis van locatie (binnen vs. buiten) door identiteit, apparaatstatus en beleid.
• Least privilege: Verleen de minimaal benodigde toegang. Geef in de praktijk de voorkeur aan rol- of attribuutgebaseerd beleid boven statische netwerkplaatsing. Dwing dit af bij ingress en binnen het netwerk om de ‘blast radius’ te verkleinen.
• Defense in depth: Gebruik gelaagde controles—identiteit, segmentatie, encryptie, endpoint-bescherming en monitoring—zodat het falen van één enkele controle niet leidt tot een compromittering. Valideer dat elke laag unieke waarde toevoegt en onafhankelijk wordt gemonitord.
• Segmentatiestrategie: Combineer macro-segmentatie (VRF’s/VPN’s, firewalls) om domeinen te isoleren met micro-segmentatie (SGT’s/SGACL’s) om oost-west verkeer binnen domeinen te controleren. Ontwerp voor operationele schaalbaarheid: centrale beleidsdefinitie, gedistribueerde handhaving, minimale state per apparaat.
• Control-plane-bescherming: Reserveer en beheer controleverkeer (police) om routing, switch control en beheer veerkrachtig te houden onder belasting of bij een aanval.

Afwegingen:

• Een meer granulair beleid verhoogt het aantal beleidsobjecten en de complexiteit van change management. Gebruik groepsgebaseerd beleid om identiteit los te koppelen van IP-adressering.
• Alles versleutelen kan kostbaar zijn en telemetrie verbergen; richt encryptie op links en flows met duidelijke risico- en compliancedrivers, en gebruik flow-metadata voor zichtbaarheid.

Identiteit, AAA en Toegangscontrole

AAA biedt gecentraliseerde authenticatie, autorisatie en accounting voor apparaatbeheer en netwerktoegang.

• TACACS+ vs RADIUS:

  • TACACS+ heeft de voorkeur voor apparaatbeheer (exec en per-commando autorisatie, volledige pakketversleuteling, onafhankelijke authenticatie/autorisatie/accounting). Faalscenario’s: verkeerd geordende methodelijsten of een onbeschikbare TACACS+-server kunnen beheerders buitensluiten; implementeer een lokale fallback met beperkte privileges.
  • RADIUS heeft de voorkeur voor netwerktoegang (802.1X, VPN, draadloos). Het ondersteunt attributen voor VLAN, downloadable ACL’s (dACL’s), SGT’s en sessietime-outs. Faalscenario’s: mismatch van het shared secret, verkeerde mapping van RADIUS-attributen, fragmentatie van grote attribuutsets.

• Rolgebaseerde toegang:

  • Apparaatbeheer: Gebruik TACACS+ command sets en shell profiles om least privilege te implementeren voor operators, SRE’s en auditors. Beperk commando’s met een hoog risico (bijv. write, debug, tftp).
  • Netwerktoegang: Koppel identiteiten aan rollen met Cisco ISE, en dwing autorisatieresultaten af met VLAN’s, dACL’s, SGT’s en QoS-markeringen.

• Hoge beschikbaarheid en veerkracht:

  • Gebruik meerdere AAA-servers met health monitoring en time-outs die zijn afgestemd op de gebruikerservaring (bijv. netwerktoegang RADIUS <2 s time-outs, 2–3 retries).
  • Geef de voorkeur aan EAP-TLS voor 802.1X om wachtwoordaanvallen te elimineren en het vertrouwen in apparaten te verbeteren; automatiseer de levenscyclus van certificaten.

Korte voorbeelden (apparaatbeheer en 802.1X):

• Apparaatbeheer met TACACS+:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

• Netwerktoegang met RADIUS en 802.1X/MAB:

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

undefined

802.1X, MAB, ISE en posture:

• 802.1X biedt poortgebaseerde toegangscontrole met EAP. Geef de voorkeur aan EAP-TLS (certificaten) boven PEAP/MSCHAPv2. Faalscenario’s: misconfiguraties van de supplicant, verlopen certificaten, MTU/EAP-fragmentatie; beperk dit risico met onboarding-portals en automatisering van de certificaatlevenscyclus.
• MAB (MAC Authentication Bypass) is een fallback voor apparaten zonder 802.1X-ondersteuning (printers, IP-telefoons). Combineer dit met profiling en beperkte toegang (quarantaine dACL of SGT) vanwege het risico op MAC-spoofing.
• Cisco ISE centraliseert identiteit, beleid, profiling, posture en gast/BYOD:
  • Posture assessment (AnyConnect/agentless) dwingt dynamisch compliance af (patch, AV-status) met behulp van dACL’s, SGT’s en Change of Authorization (CoA) om over te gaan van quarantaine naar productietoegang.
  • pxGrid deelt identiteits- en posture-informatie met firewalls, EDR en SIEM om het netwerkbeleid af te stemmen op het risico van het endpoint.

Segmentatie en Beleidshandhaving

TrustSec en groepsgebaseerd beleid:

• SGT’s dragen identiteitscontext binnen het netwerk. Handhavingsopties:
  • SGACL’s op switches/firewalls om verkeer toe te staan/te weigeren op basis van bron- en bestemmings-SGT’s.
  • In SD-Access worden SGT’s meegestuurd in de VXLAN-header; handhaving is schaalbaar en losgekoppeld van IP-adressering.
• Voordelen: Schaalbaarheid (beleid per groepspaar i.p.v. per IP), mobiliteit (beleid volgt de identiteit), en duidelijke ’least-privilege’-matrices.
• Faalscenario’s: Gaten in SGT-propagatie (SXP uitgeschakeld, fabric edge tagt niet), ‘policy shadowing’, uitputting van TCAM door een mix van IP ACL’s en SGACL’s. Mitigeren met gecentraliseerde beleidsvalidatie en capaciteitsplanning.

ACL’s en klassieke controles:

• IP ACL’s blijven waardevol voor verkeer buiten het apparaat en voor filtering van het control plane. Houd ACL’s deterministisch en vat ze samen waar mogelijk.
• Control-plane policing (CoPP) beschermt routing, beheer en HSRP/VRRP tegen floods. Begin met templates van de leverancier en pas deze voorzichtig aan; een te agressieve CoPP kan geldige keepalives weggooien en ‘adjacencies’ laten flappen.
• Firewalls:
  • Gebruik stateful firewalls of zone-based firewalls op macrogrenzen; maak gebruik van applicatie-identificatie en identiteitscontext (via ISE pxGrid).
  • Lijn zones/VRF’s uit met vertrouwensgrenzen; voorkom asymmetrische routing die de ‘state’ verbreekt.
  • Combineer voor oost-west segmentatie SGT-gebaseerd beleid met ‘firewall anchor points’ voor risicovolle verkeersstromen.

Kort TrustSec-voorbeeld (edge switch):

undefined

undefined

undefined

Veilig Transport, Beheer en Platformintegriteit

Selectie van encryptie:

• MACsec (802.1AE) beveiligt L2-links met line-rate AES-GCM; ideaal voor campus access, uplinks en fabric edges. Gebruik MKA met 802.1X/EAP-TLS voor sleutelbeheer; let op mismatches bij de onderhandeling en niet-ondersteunde transceivers.
• IPsec beveiligt L3-paden (site-to-site, remote access, SD-WAN underlay). Geef de voorkeur aan IKEv2 met AES-GCM, PFS-groepen (bijv. 19/20) en moderne ’lifetimes’; houd rekening met MTU-overhead en het risico op fragmentatie.
• TLS voor beheer- en applicatietransport; vereis sterke ciphers en ‘mutual auth’ waar mogelijk.

Korte voorbeelden:

• MACsec op een interface:

undefined

undefined

undefined

• IPsec IKEv2 proposal:

undefined

undefined

undefined

undefined

• Veilig beheer:

undefined

undefined

undefined

undefined

undefined

• NTP met authenticatie:

undefined

undefined

undefined

undefined

Certificaten en PKI:

• Gebruik een enterprise PKI of de interne CA van ISE voor EAP-TLS en apparaatcertificaten. Dwing CRL/OCSP af waar ondersteund. Automatiseer de vernieuwing om massale 802.1X-storingen te voorkomen.
• Bind voor apparaatbeheer SSH aan ‘host keys’ die door een CA zijn ondertekend waar mogelijk; vermijd standaard sleutels en zwakke ciphers.

Platformintegriteit:

• Secure boot en ‘image signing’ voorkomen manipulatie. Schakel imageverificatie in bij installatie, bewaar ‘golden images’ offline en beperk de toegang tot ROMMON. Valideer file hashes voor en na een upgrade. Faalscenario’s: boot loops na een integriteitsfout—plan gefaseerde rollbacks en out-of-band toegang.

Telemetrie, dreigingsdetectie, logging en respons

Endpointbeveiliging en -detectie:

• Implementeer EDR/AV met gedragsanalyse; integreer met ISE voor adaptieve netwerkhandhaving op basis van endpointrisico.
• Bronnen voor netwerkdetectie: NetFlow/IPFIX, Encrypted Traffic Analytics, DNS-logs, DHCP-logs, sessielogs van WLC en ISE, firewall- en proxylogs, draadloze RRM en RF-status, control-plane-tellers en profilering van apparaatsensoren.

Telemetrieontwerp:

• Stream telemetrie naar een SIEM of data lake met betrouwbaar transport. Normaliseer identiteitscontext (gebruiker, apparaat, SGT, IP, VLAN, AP-switchpoort) voor correlatie.
• Tijdsynchronisatie met geauthenticeerde NTP is verplicht voor forensische nauwkeurigheid.

Beveiligingslogging en audit:

• Log authenticatie, autorisatieresultaten, CoA-events, administratieve wijzigingen, beleidsdownloads, crypto-sessiestatussen en uitzonderingspaden (MAB, gast).
• Bewaar auditbewijs met integriteitscontroles, een gedocumenteerde chain of custody en een bewaartermijn die is afgestemd op regelgeving en de behoeften van incidentrespons.

Incidentrespons:

• Voorbereiding: playbooks voor gecompromitteerde accounts, laterale verplaatsing en ongeautoriseerde apparaten; test CoA- en quarantaineworkflows.
• Detectie en analyse: maak gebruik van baselines en anomaliedetectie; voer triage uit op basis van identiteit en segmentbereikbaarheid, niet alleen op IP.
• Inperking en uitroeiing: gebruik SGACL’s/dACL’s voor onmiddellijke isolatie; roteer credentials/sleutels; reimage of patch.
• Herstel: gefaseerde heractivering op basis van een schone posture; monitor op herinfectie.
• Na het incident: gap-analyse, afstemming van controles (bijv. SGT-dekking, CoPP-drempels) en training.

Veelvoorkomende faalmodi en herstelmaatregelen:

• Verlopen certificaat stopt 802.1X/EAP-TLS: monitor vervaldatums; schakel auto-enrollment in; onderhoud een nood-MAB met beperkte toegang.
• Storing van ISE of RADIUS: gebruik redundante nodes, Anycast VIP’s, zorgvuldig afgestelde timeouts en een lokale autorisatie-fallback met minimale privileges.
• Mismatch in dACL- of SGT-beleid: implementeer validatie vóór wijziging en analyse van schaduwbeleid; gebruik canary-endpoints.
• MACsec/IPsec MTU-overhead: stel MSS clamping en jumbo in waar ondersteund; monitor DF bit drops.
• Overmatig blokkeren door CoPP: begin permissief en itereer met afgemeten stappen; gebruik show control-plane counters regelmatig.
• Zwakke instellingen voor SNMP/SSH: dwing alleen SNMPv3 en sterke ciphers voor SSHv2 af; schakel verouderde protocollen uit.
• Overbelasting of hiaten in logging: pas rate-limiting toe op ’noisy’ facilities; zorg ervoor dat kritieke facilities een hoge prioriteit hebben en lossless zijn; verifieer de dekking van de parser in de SIEM.

Praktisch probleemscenario

Acme BioTech moet op identiteit gebaseerde toegang en microsegmentatie implementeren op zijn campus, de management- en control-planes beschermen en zich voorbereiden op audits, zonder de laboratoriumapparatuur die geen supplicants heeft te verstoren.

1. Een fundament voor identiteit en AAA opzetten

• Rationale: Gecentraliseerde identiteit is een voorwaarde voor ’least privilege’. Implementeer Cisco ISE met redundante nodes; integreer met AD en PKI. Configureer TACACS+ voor apparaatbeheer en RADIUS voor netwerktoegang met EAP-TLS. Dit scheidt beheerdersprivileges van gebruikers-/apparaatautorisatie en elimineert op wachtwoorden gebaseerde 802.1X-aanvallen.

2. Gefaseerd 802.1X invoeren met MAB-fallback en posture

• Rationale: Begin in een modus met lage impact om het gedrag van supplicants te observeren. Schakel 802.1X globaal in; configureer op toegangspoorten dot1x met MAB. Definieer ISE-beleid dat onbekende apparaten in een quarantaine-SGT plaatst met een redirect-ACL naar een posture-portal. Bekende bedrijfsendpoints met geldige EAP-TLS en een gezonde posture ontvangen de ‘Employee’-SGT. Laboratoriumapparatuur die wordt geïdentificeerd via profilering (OUI, DHCP-fingerprint) krijgt een beperkte ‘Lab-Equip’-SGT. Dit ondersteunt non-802.1X-endpoints terwijl ’least privilege’ wordt gehandhaafd.

3. TrustSec SGT-propagatie en SGACL-handhaving implementeren

• Rationale: Gebruik op groepen gebaseerde beleidsmatrices om te definiëren welke rollen met elkaar communiceren (bijv. Employee naar Finance-Apps staat TCP 443 toe; Lab-Equip weigert toegang tot HR). Schakel op rollen gebaseerde CTS-handhaving in op distributie- en toegangsswitches en zorg voor SGT-propagatie via SXP of de fabric. Dit ontkoppelt beleid van adressering en schaalt mee met VLAN-wijzigingen of endpointmobiliteit.

4. Control- en management-planes versterken

• Rationale: Voorkom netwerkinstabiliteit en compromittering. Pas CoPP toe met voorzichtige rate limits voor routing-, STP-, HSRP- en managementprotocollen, en pas deze aan na observatie van de baseline. Dwing SSHv2 met sterke ciphers af, schakel HTTP uit, schakel HTTPS TLS 1.2+ in en beperk de beheerstoegang met op AAA gebaseerde autorisatie en een management-VRF. Configureer SNMPv3 authPriv en geauthenticeerde NTP om nauwkeurige logs te garanderen.

5. Data-in-transit beschermen waar het risico dit rechtvaardigt

• Rationale: Versleutel links met een hoog risico zonder onnodige overhead. Schakel MACsec in op uplinks van access- en distributielagen om lokaal afluisteren te voorkomen. Implementeer voor WAN- of niet-vertrouwde campusverbindingen IKEv2 IPsec met AES-GCM en PFS. Valideer de MTU en schakel MSS clamping in om applicatieproblemen door fragmentatie te voorkomen.

6. Telemetrie implementeren en integreren voor detectie en audit

• Rationale: Zichtbaarheid stuurt de respons en levert bewijs. Stream NetFlow/IPFIX, syslog, ISE Live Logs en firewall-events naar de SIEM. Schakel exports van apparaatsensoren en profilering van switches naar ISE in. Implementeer EDR op endpoints en integreer via pxGrid om gecompromitteerde hosts automatisch in quarantaine te plaatsen met behulp van CoA. Configureer logretentie en integriteitscontroles om aan auditvereisten te voldoen.

7. Valideren, monitoren en itereren

• Rationale: Verminder het risico op storingen en dicht hiaten. Gebruik pilot-access-closets met canary-endpoints om SGT-toewijzingen en SGACL’s te valideren. Monitor de succespercentages van authenticatie, CoA-events en CoPP-drops. Maak alerts aan voor het verlopen van certificaten en AAA-latentie. Documenteer rollback-procedures en onderhoud een nood-VLAN/SGT voor een veilige fallback in geval van een posture- of ISE-storing.

Door deze stappen te volgen, bereikt Acme BioTech een op Zero Trust afgestemde, op identiteit gebaseerde toegang met schaalbare segmentatie, beschermde control- en management-planes, versleutelde links met een hoog risico, en de telemetrie en processen die nodig zijn voor een snelle incidentrespons en auditgereedheid.

← WAN- · Alle domeinen · Automatisering →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →