Модуль

CCNA Security: Implementing Network Security

Зміст

1

Сучасні загрози для мереж

В цьому модулі розглядається розвиток мережної безпеки впродовж 40 років. Пояснюється роль організацій з мережної безпеки в боротьбі з атаками та розвитку професіоналізму фахівців у галузі безпеки комп’ютерних мереж.

Приділяється увага таким типам загроз, як віруси, хробаки, троянські коні. Додатково розглядаються три категорії атак з прикладами їх реалізації: атаки-розвідки, атаки доступу, атаки відмови в обслуговуванні.

Показано, як Cisco Network Foundation Protection (NFP) фреймворк забезпечує всеохоплюючі керівні принципи для захисту мережної інфраструктури від атак.

2

Безпека мережних пристроїв

У цьому модулі розглядаєються засоби безпеки периметра мережі, безпека адміністративного доступу до пристроїв інфраструктури, підвищення безпеки віртуальної входу в систему з використанням безпечного протоколу SSH.

Вивчається обмеження адміністративного доступу, яке базується на рівнях привілеїв та ролях, що дозволяє забезпечити ієрархічний адміністративний доступ.

Показані практики захисту образу ОС IOS і файлів конфігурації пристрою. Розглядається налаштування засобів моніторингу мережі: Syslog, SNMP і NTP.

3

Аутентифікація, авторизація та облік

Протокол Аутентифікації, авторизації та обліку (AAA) забезпечує контроль над тим, кому дозволено підключатися до мережі, що вони мають право робити, і ведення записів про цю діяльність в мережі.

Розглядається реалізація ААА у невеликих мережах з використанням локальної бази даних.

Для більших або складних мереж пропонуються серверні рішення AAA на базі RADIUS або TACACS + протоколів для зв’язку з клієнтами.

4

Впровадження Firewall технологій

Брандмауери відокремлюють області, які охороняються від тих, які не охороняються. Це запобігає несанкціонованому доступу користувачів до захищених мережних ресурсів.

Розглядаються основні методи реалізації брандмауерів.

Показано, як стандартні і розширені списки ACL IP можуть бути використані для забезпечення фільтрації пакетів і створення брандмауера.

На практиці показано реалізацію брандмауера фільтрації трафіку, класичного Cisco IOS Firewall, та брандмауера зонних політик ZPF.

5

Впровадження систем попередження вторгнень

Необхідно, щоб мережа була в змозі миттєво розпізнавати і пом’якшувати атаки хробаків і вірусів, в тому числі зовсім нових.

Порівнюються можливості захисту, які надаються системами визначення вторгнень IDS та системами попередження вторгнень IPS.

Окрема увага приділяється типам сигнатур, їх оновленню та налаштуванню.

6

Безпека локальної мережі

Розглядається безпека пристроїв мережної інфраструктури в локальній мережі і кінцевих систем, таких як робочі станції, сервери, IP-телефони, точки доступу та SAN пристрої.

Детально описані техніки запобігання атакам, які можуть використовувати вразливості другого рівня моделі OSI.:

7

Криптографічні системи

Безпечні комунікації використовують криптографічні методи для захисту цілісності, аутентифікації і конфіденційності мережного трафіку при проходженні через публічну мережу інтернет.

Розглядається криптологія як комбінація криптографії та криптоаналізу та історія їх розвитку.

Шифрування може бути реалізовано за допомогою двох типів алгоритмів.

Симетричні алгоритми розглядаються на прикладах DES, 3DES, AES, та SEAL.

Асиметричні алгоритми розглядаються на прикладі використання цифрового підпису. Розглядаються RSA, DH..

8

Реалізація віртуальних приватних мереж (VPN)

Віртуальна приватна мережа створюється за допомогою тунелювання через мережу загального користування Інтернет.

Розглядаються різні типи VPN та особливості їх використання.

Віртуальні приватні мережі вимагають використання сучасних методів шифрування для забезпечення безпечного транспортування інформації. IPsec є системою відкритих стандартів, яка встановлює правила для безпечного зв’язку. IPsec використовує існуючі алгоритми для досягнення шифрування, аутентифікації і обміну ключами.

9

Використання Cisco Adaptive Security Appliance

ASA є автономним firewall пристроєм, який захищає внутрішні мережі від несанкціонованого доступу ззовні шляхом об’єднання брандмауера, VPN-концентратора і IPS в одному пристрої. ASA також підтримує додаткові функції.

Розглядаються режими налаштування ASA, використання рівнів безпеки.

Описані налаштування моделі ASA 5505.

10

Розширене використання Cisco Adaptive Security Appliance

Підтримка ASA об’єктів та груп об’єктив для полегшення створення конфігурацій. Фільтрація трафіку за допомогою списків контролю доступу, підтримка NAT та PAT.

Розглядається підтримка ASA різних типів VPN.

11

Керування безпекою мережі

В цьому модулі розглядаються питання створення та підтримки політики безпеки на основі вимог організації до безпеки. Приділяється увага виявленню ймовірних загроз і методам виконання аналізу ризиків. Процедури реагування на порушення безпеки викладаються в політиці безпеки.

Розглядаються корисні інструменти тестування мережної безпеки, та типи тестів.

Окремо описані етичні норми, яких має притримуватися фахівець з мережної безпеки. Програми навчання персоналу мають стати одним з важливіших факторів підвищення безпеки мережі організації.