Видеозапись: https://youtu.be/Eo6fl3nv6zY

1. 1© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Архитектура безопасности Cisco SAFE

2. 2© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Что лучше – зоопарк или целостная
система?

3. 3© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Сложность системы увеличивает
вероятность ошибки!

4. 4© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Точечные продукты не умеют «говорить» друг
с другом

5. 5© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Излишняя фокусировка на
предотвращении

6. 6© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Вендоры продают решения для борьбы с
сегодняшними угрозами…

7. 7© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco

8. 8© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Cisco SAFE -­ это решение
названных задач

9. 9© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Как защитить ваш центр обработки
данных?

10. 10© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Что нужно для защиты
данных, циркулирующих
между сегментами с
высокими и низкими
требованиями по
безопасности?

11. 11© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Как защитить данные платежных карт в
местах снятия наличных?

12. 12© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Каковы лучшие практики по защите
данных платежных карт, передаваемых по
беспроводной сети?

13. 13© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Cisco SAFE

14. 14© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Это действия и
противодействия
Это теория игр
Упрощенная, но действенная
модель
SAFE – это модель

15. 15© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Мы стартуем с
определения
актуальных угроз…

16. 16© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
…и защищаемся от них.

17. 17© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
• SAFE снижает сложность
• Игровая модель позволяет
упростить общение на одном
языке
• Достоверные и проверенные
архитектуры и дизайны с базовым
уровнем безопасности
Что такое SAFE?

18. 18© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
• SAFE позволяет решить операционные проблемы на всем жизненном
цикле атаки «До — Во время — После» (Before – During – After)
• SAFE обеспечивает компаниям согласованность, необходимую для
обеспечения безопасности, защиты и проверки их сетей на ежедневной
основе
SAFE накладывается на жизненный цикл
атаки BDA
ДО
Обнаружение
Блокировка
Защита
ВО ВРЕМЯ ПОСЛЕ
Контроль
Применение
политик
Сдерживание
Охват
Изоляция
Устранение
Жизненный цикл атаки
Сеть Оконечные
устройства
Мобильные
устройства
Виртуальные
решения
Облако
Момент времени Непрерывно

19. 19© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
• Снижение сложности
• Предоставление эталонной модели
• Целостный взгляд на защиту всего предприятия, а не только
отдельных его компонентов
• Интеграция всех компонентов между собой
• Возможность поэтапной реализации
Преимущества Cisco SAFE

20. 20© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
С чего начать?

21. 21© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Ключ к Cisco SAFE

22. 22© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Мы должны защитить ключевые сегменты
Взгляд со стороны
инфраструктуры
Это буква «В»
в модели BDA
(выстраивание
системы отражения
вторжений)
ДО
Контроль
Применение
политик
Сдерживание

23. 23© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Взгляд со стороны
эксплуатации
Не забывать про непрерывность защиты
Это буквы «D» и «А»
модели BDA
(выстраивание системы
реагирования на
инциденты)
Обнаружение
Блокировка
Защита
ВО ВРЕМЯ ПОСЛЕ
Охват
Изоляция
Устранение

24. 24© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Ключевые сегменты
Защищенный
ЦОД
Защищенный
филиал
Защищенная WAN
Защищенное облако
Защищенный
комплекс зданий
Защищенный
периметр

25. 25© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Обеспечение непрерывной безопасности

26. 26© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Защищенное управление
Управление устройствами и системами
с использованиемцентрализованных сервисов —
критически важно для согласованного внедрения
политик, управления изменением потокомопераций
и возможности обеспечения исправления систем.
Управление координирует политики,
объекты и изменения

27. 27© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Аналитика угроз
Обеспечивает глобальное определение и агрегацию
появляющегося вредоносного ПО и угроз.
Предоставляет инфраструктуру для динамического
применения политик, так как репутация согласуется с
учетом контекста новых угроз. Таким образом
обеспечивается комплексная и своевременная защита.

28. 28© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Соответствие требованиям
Регулирует политики, как внутренние, так и
внешние.
Показывает, как несколько средств
управления можно реализовать в одном
решении. Примеры соответствия
внешним требованиям — PCI DSS, СТО БР
ИББС, 382-П, ФЗ-152 и другие

29. 29© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Сегментация
Устанавливает границы для данных,
пользователей и устройств. В традиционной
ручной сегментации для применения политик
используется сочетание сетевой адресации, сетей
VLAN и возможностей межсетевого экрана. В
усовершенствованной сегментации
используется инфраструктура на основе
контекстной идентификации для применения
политик автоматически и с возможностью
масштабирования, что значительно снижает
трудности при эксплуатации

30. 30© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Защита от угроз
Обеспечивает мониторингнаиболее трудно выявляемых
и опасных угроз (например, целенаправленных атак).
Для этого используются такие возможности, как анализ
телеметрии и репутации сетевого трафика, а также учет
контекста. Обеспечивает возможности оценки характера и
потенциального риска подозрительной деятельности в сети с
целью принятия соответствующих мер для предотвращения
кибератаки

31. 31© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Защищенные сервисы
Включает такие технологии, как управление
доступом, виртуальные частные сети (VPN)
и шифрование. Также обеспечивает защиту
небезопасных сервисов, например,
приложений, инструментовсовместной
работы и беспроводного доступа

32. 32© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Ключ к Cisco SAFE

33. 33© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Архитектура Cisco SAFE

34. 34© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
С чем мы боремся:
угрозы
Перенаправление
Добавление услуг
Черви
Вирусы
Пользователи,
выдающие себя за других
Шпионское ПО
Утечки
Трояны
Шпионские программы
Зомби
Команда
и управление
DDoS
Атаки нулевого дня
Разрушение
Просачивание наружу
Проникновение

35. 35© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Поэтапное упрощение вопроса
обеспечения безопасности
Фаза возможностей Фаза архитектуры Фаза дизайна

36. 36© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
1. Этап «Возможности»

37. 37© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
ЦОД
Банкомат
WAN
Дочернее
предприятие
Электронная
коммерция
Центральный офис
Банк
Интернет-­
периметр
Соответствие
требованиям
Разбейте сеть на элементы и области

38. 38© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Говоря о возможностях, мы упрощаем
принятие решения, так как внимание
фокусируется на функциях продукта, а не на
самом продукте
Нам не нужен межсетевой экран, нам нужно
решение для разграничения сетевого трафика
У Cisco это может быть решено с помощью
многофункциональных устройств ASA,
маршрутизатора ISR с IOS Firewall,
виртуального устройства ASAv, маршутизатора
ASR с IOS Firewall, облачного МСЭ Meraki,
коммутаторов Catalyst 6000 с модулем МСЭ…
Возможности

39. 39© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Отдельные элементы

40. 40© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
С помощью чего мы боремся: возможности
Управление
доступом
с использованием
TrustSec
Анализ/корреляция Обнаружение
аномалий
Анти-
вредоносное ПО
Анти-спам Мониторинг
и контроль
приложений (AVC)
Безопасность
клиента
Cisco Cloud Web
Security
Предотвращение
утечки данных
База данных Защита
от DDoS-атак
Шифрование
электронной
почты
Защита
электронной
почты
Коммутация
фабрики
Межсетевой
экран
Межсетевой
экран
Анализ потока Идентификация
Авторизация
Идентификация
Авторизация
Обнаружение
вторжений
Предотвращение
вторжений
Коммутация L2 Виртуальная
коммутация L2
Сеть L2/L3
Сеть L2/L3 Коммутация L3 Балансировщик
нагрузки
Регистрация
в журнале/
отчетность
Песочница
для вредоносного ПО
Управление
мобильными
устройствами
Мониторинг Политики/
конфигурация

41. 41© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Место в сети ДоверенныеНедоверенные
Межсетевой экран
Сеть L2/L3Оценка состояния
МСЭ веб-приложений
Балансировщик
нагрузки
Защита от DDoS-атакДоступ
Управление
уязвимостями
Политики/
конфигурация
МониторингРегистрация
в журнале/
отчетность
Мониторинг
и контроль
приложений (AVC)
Анализ/
корреляция
Безопасность веб-трафика
Совместно используемые
База данных
Сервер
Хранение
Приложение
Угрозы
Проникновение наружу
Трояны
Черви
Шпионское ПО
Сервисы
Предотвращение
вторжений
Стратегия возможностей

42. 42© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Видео
Управление
уязвимостями
Аналитика угроз
Голос
Клиент
Хранение
Сервер
МСЭ
веб-приложений
Разгрузка
TLS
Синхронизация
времени
VPN-
концентратор
Оценка
состояния
Безопасность
веб-трафика
Репутация/
фильтрация
веб-трафика
Обнаружение
вторжений
в беспроводной
сети
Беспроводное
подключение
Виртуальная
частная сеть
Политики/
Конфигурация
Анализ/
Корреляция
Обнаружение
аномалий
Анти-
вредоносное ПО
Мониторинг
и контроль
приложений
Безопасность
клиента
Cisco Cloud Web
Security
Отказ
в обслуживании
(DDoS)
Мониторинг
Управление
мобильными
устройствами
Защита
электронной
почты
МСЭ
Анализ потока
Обнаружение
вторжений
Предотвращение
вторжений
Сетевая
инфраструктура
Песочница
для вредоносного
ПО
Предотвращение
вторжений
в беспроводной
сети
ОблакоОбщ. доступ
СЕТЬКЛИЕНТ
СРЕДА
БЕЗОПАСНОСТЬ
ОБЩИЕ
Возможности SAFE
Доступ
ПРИЛОЖЕНИЕ
Балансировка
нагрузки
ПОЛЬЗОВАТЕЛЬ
Динамика развития возможностей
ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИПОВЕРХНОСТЬ АТАКИ
ПРОВОДНАЯ
СЕТЬ
АНАЛИЗ WAN ОБЛАКО СЕРВИСПОЛЬЗОВАТЕЛЬ УСТРОЙСТВО
БЕСПРОВОДНАЯ
СЕТЬ
Безопасность
сервера
Регистрация
в журнале/отчетность
Мост
конференции

43. 43© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Управление
уязвимостями
Аналитика угроз
Хранение
Сервер
МСЭ
веб-приложений
Разгрузка
TLS
Синхронизация
времени
VPN-
концентратор
Безопасность
веб-трафика
Репутация/
фильтрация
веб-трафика
Политики/
Конфигурация
Анализ/
Корреляция
Обнаружение
аномалий
Анти-
вредоносное ПО
Мониторинг
и контроль
приложений
Отказ
в обслуживании
(DDoS)
Мониторинг
Защита
электронной
почты
МСЭ
Анализ потока
Обнаружение
вторжений
Предотвращение
вторжений
Сетевая
инфраструктура
Песочница
для вредоносного
ПО
Общ. доступ
СЕТЬКЛИЕНТ
СРЕДА
БЕЗОПАСНОСТЬ
ОБЩИЕ
Периметр
Доступ
ПРИЛОЖЕНИЕ
Балансировка
нагрузки
ПОЛЬЗОВАТЕЛЬ
Динамика развития возможностей
ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИПОВЕРХНОСТЬ АТАКИ
ПРОВОДНАЯ
СЕТЬ
АНАЛИЗ WAN ОБЛАКО СЕРВИСПОЛЬЗОВАТЕЛЬ УСТРОЙСТВО
БЕСПРОВОДНАЯ
СЕТЬ
Безопасность
сервера
Регистрация
в журнале/отчетность

44. 44© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Видео
Управление
уязвимостями
Аналитика угроз
Голос
Клиент
Синхронизация
времени
Оценка
состояния
Обнаружение
вторжений
в беспроводной
сети
Беспроводное
подключение
Виртуальная
частная сеть
Политики/
Конфигурация
Анализ/
Корреляция
Обнаружение
аномалий
Анти-
вредоносное ПО
Безопасность
клиента
Мониторинг
Управление
мобильными
устройствами
МСЭ
Анализ потока
Обнаружение
вторжений
Предотвращение
вторжений
Сетевая
инфраструктура
Предотвращение
вторжений
в беспроводной
сети
СЕТЬКЛИЕНТ
СРЕДА
БЕЗОПАСНОСТЬ
ОБЩИЕ
Кампусная сеть
Доступ
ПРИЛОЖЕНИЕПОЛЬЗОВАТЕЛЬ
Динамика развития возможностей
ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИПОВЕРХНОСТЬ АТАКИ
ПРОВОДНАЯ
СЕТЬ
АНАЛИЗ WAN ОБЛАКО СЕРВИСПОЛЬЗОВАТЕЛЬ УСТРОЙСТВО
БЕСПРОВОДНАЯ
СЕТЬ
Регистрация
в журнале/отчетность
Мост
конференции

45. 45© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Видео
Управление
уязвимостями
Аналитика угроз
Голос
Клиент
Синхронизация
времени
Оценка
состояния
Обнаружение
вторжений
в беспроводной
сети
Беспроводное
подключение
Виртуальная
частная сеть
Политики/
Конфигурация
Анализ/
Корреляция
Обнаружение
аномалий
Анти-
вредоносное ПО
Безопасность
клиента
Cisco Cloud Web
Security
Мониторинг
Управление
мобильными
устройствами
МСЭ
Анализ потока
Обнаружение
вторжений
Предотвращение
вторжений
Сетевая
инфраструктура
Предотвращение
вторжений
в беспроводной
сети
ОблакоОбщ. доступ
СЕТЬКЛИЕНТ
СРЕДА
БЕЗОПАСНОСТЬ
ОБЩИЕ
Филиал
Доступ
ПРИЛОЖЕНИЕПОЛЬЗОВАТЕЛЬ
Динамика развития возможностей
ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИПОВЕРХНОСТЬ АТАКИ
ПРОВОДНАЯ
СЕТЬ АНАЛИЗ WAN ОБЛАКО СЕРВИСПОЛЬЗОВАТЕЛЬ УСТРОЙСТВО
БЕСПРОВОДНАЯ
СЕТЬ
Регистрация
в журнале/отчетность

46. 46© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
=
Управление
уязвимостями
Аналитика угроз
Хранение
Сервер
МСЭ
веб-приложений
Разгрузка
TLS
Синхронизация
времени
Политики/
Конфигурация
Анализ/
Корреляция
Обнаружение
аномалий
Анти-
вредоносное ПО
Мониторинг
и контроль
приложений
Мониторинг
Защита
электронной
почты
МСЭ
Анализ потока
Обнаружение
вторжений
Предотвращение
вторжений
Сетевая
инфраструктура
Песочница
для вредоносного ПО
СЕТЬКЛИЕНТ
СРЕДА
БЕЗОПАСНОСТЬ
ОБЩИЕ
ЦОД
Доступ
ПРИЛОЖЕНИЕ
Балансировка
нагрузки
ПОЛЬЗОВАТЕЛЬ
Динамика развития возможностей
ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИПОВЕРХНОСТЬ АТАКИ
ПРОВОДНАЯ
СЕТЬ
АНАЛИЗ WAN ОБЛАКО СЕРВИСПОЛЬЗОВАТЕЛЬ УСТРОЙСТВО
БЕСПРОВОДНАЯ
СЕТЬ
Безопасность
сервера
Регистрация
в журнале/отчетность
Мост
конференции

47. 47© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Управление
уязвимостями
Аналитика угроз
Хранение
Сервер
Синхронизация
времени
Репутация/
фильтрация
веб-трафика
Политики/
Конфигурация
Анализ/
Корреляция
Обнаружение
аномалий
Анти-
вредоносное ПО
Мониторинг
и контроль
приложений
Cisco Cloud Web
Security
Мониторинг
Сетевая
инфраструктура
ОблакоОбщ. доступ
СЕТЬКЛИЕНТ
СРЕДА
БЕЗОПАСНОСТЬ
ОБЩИЕ
Облако
Доступ
ПРИЛОЖЕНИЕПОЛЬЗОВАТЕЛЬ
Динамика развития возможностей
ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИПОВЕРХНОСТЬ АТАКИ
ПРОВОДНАЯ
СЕТЬ
АНАЛИЗ WAN ОБЛАКО СЕРВИСПОЛЬЗОВАТЕЛЬ УСТРОЙСТВО
БЕСПРОВОДНАЯ
СЕТЬ
Безопасность
сервера
Регистрация
в журнале/отчетность

48. 48© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Управление
уязвимостями
Аналитика угроз
Синхронизация
времени
Виртуальная
частная сеть
Политики/
Конфигурация
Анализ/
Корреляция
Обнаружение
аномалий
Анти-
вредоносное ПО
Мониторинг
МСЭ
Анализ потока
Обнаружение
вторжений
Предотвращение
вторжений
Сетевая
инфраструктура
СЕТЬКЛИЕНТ
СРЕДА
БЕЗОПАСНОСТЬ
ОБЩИЕ
WAN
Доступ
ПРИЛОЖЕНИЕПОЛЬЗОВАТЕЛЬ
Динамика развития возможностей
ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИ ПОВЕРХНОСТЬ АТАКИПОВЕРХНОСТЬ АТАКИ
ПРОВОДНАЯ
СЕТЬ
АНАЛИЗ WAN ОБЛАКО СЕРВИС
ПОЛЬЗОВАТЕЛЬ УСТРОЙСТВО
БЕСПРОВОДНАЯ
СЕТЬ
Регистрация
в журнале/отчетность

49. 49© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
• Думайте как хакер и попробуйте взломать себя
• Думайте как аудитор и попробуйте пройти аудит
Моделирование возможностей
Это не страшно!

50. 50© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
• Маппируйте риски,
угрозы и политики
• Найдите и
нейтрализуйте все
пробелы
• Оцените каждую
возможность;; если
вы не можете ее
реализовать -­
уберите
Описание возможностейФилиал
—
Сопоставление
функций
безопасности
и
угроз
Политика:
минимизация
масштаба
PCI
Политика:
обеспечение
доступа
с
меньшими
привилегиями
Угроза:
индивидуальное
вредоносное
ПО
для
PoS
Безопасность
хоста Да
Антивирусное
ПО
Антивредоносное
ПО Да
Привилегии
ОС Да
VPN Да
МСЭ
хоста Да
Беспроводная
ТД
WPA
Контроллер
беспроводной
сети Да Да
WIPS
Идентификация/авторизация
Оценка
состояния Да
Управление
доступом
+
TrustSec Да Да
Анализ
потока Да
Сеть
L2/L3 Да
NGFW/маршрутизатор Да Да
МСЭ
Да Да
NGIPS
+
AVC Да Да
Управление
доступом
+
TrustSec Да Да
Усовершенствованное
антивредоносное
ПО Да
Анализ
потока Да
VPN
Аналитика
угроз Да
Cloud
Web
Security
+
TLS
Усовершенствованное
антивредоносное
ПО Да
Репутация/фильтрация/динамический
анализ
контента
веб-­‐трафика
AVC
Обнаружение
аномалий

51. 51© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
2. Этап «Архитектура»

52. 52© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
• Создание традиционного представления архитектуры
• Сопоставление возможностей с архитектурой
• Создание архитектуры, которая будет лучше всего отражать
идентифицированные угрозы
Создание архитектуры безопасности

53. 53© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Примерные компоненты архитектуры
Коммутатор L3
Балансировщик нагрузки
Nexus 1Kv
Маршрутизатор
Защищенный сервер Хранение
МСЭ Контроллер
беспроводной сети
Обнаружение вторжений
Защита электронной почты

54. 54© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
• Какие возможности нужны?
• Какие компоненты архитектуры их могут реализовать?
Компоненты архитектуры и возможности
Коммутатор L3МСЭ

55. 55© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Коммутатор
уровня доступа
Место в сети ДоверенныеНедоверенные
Управление
уязвимостями
Политики/
конфигурация
МониторингРегистрация
в журнале/отчетность
Мониторинг
и контроль
приложений (AVC)
Анализ/
корреляция
Совместно используемыеУгрозы
Проникновение наружу
Трояны
Черви
Шпионское ПО
Сервисы
Устройство
Хранение
Защищенный серверКоммутатор
с агрегацией сервисов
Устройство обеспечения
безопасности
Стратегия архитектуры

56. 56© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Анализ потока
Сеть
L2/L3
МСЭАнтивре-
доносное ПО
Аналитика
угроз
к внешним зонам
Управление
доступом +
TrustSec
к комплексу
зданий
к облаку
Межсетевой экран нового поколения
Зоны
обще-­
доступ-­
ных
серверов Сеть
L2/L3
Мониторинг
и контроль
приложений
(AVC)
Безопасность
веб-трафика
Защита
электронной
почты
Система
предотвра-
щения
вторжений
нового
поколения
Отказ
в обслужи-
вании
(DDoS)VPN-
концентратор
Безопасность
хоста
МСЭ
веб-приложений
Баланси-
ровщик
нагрузки
Транспорти-
ровка
Разгрузка
функций
безопасности
транспортного
уровня
Интернет
SAFE упрощает обеспечение ИБ:
периметр

57. 57© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Безопасность
хоста
Беспроводная
сеть
Беспроводная сеть
Предотвращение
вторжений
в беспроводной
сети
Оценка
состояния
Управление
доступом +
TrustSec
Анализ потока
Сеть
L2/L3
Сеть L2/L3Безопасность
хоста
Оценка
состояния
Управление
доступом +
TrustSec
Анализ
потока
Сервисы
безопасности
веб-трафика
МСЭ Система
предотвращения
вторжений нового
поколения
Анти-
вредоносное
ПО
Анализ
потока
Мониторинг
и контроль
приложений
(AVC)
Аналитика угроз
VPN
Менеджер,
анализирующий информацию о продукте
Оператор, обрабатывающий
транзакции по кредитным картам
Контроллер беспроводной сети
Коммутатор Межсетевой экран нового поколения/маршрутизатор
к ЦОД
к облаку
WAN
SAFE упрощает обеспечение ИБ: филиал

58. 58© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Безопасность
хоста
Беспроводная
сеть
Предотвра-
щение
вторжений
в беспроводной
сети
Оценка
состояния
Управление
доступом +
TrustSec
Анализ потока
Сеть
L2/L3
Сеть L2/L3Безопасностьхоста Идентификация Оценка
состояния
МСЭ Система
предотвра-щения
вторжений нового
поколения
Антивре-
доносное ПО
Анализ потокаАналитика
угроз
VPN
Председатель правления,
отправляющий электронные сообщения акционерам
Менеджер по работе с
клиентами,
анализирующий базу
данных клиентов
Контроллер беспроводной сети
Коммутатор Межсетевой экран нового поколения
к ЦОД
WAN
Иденти-
фикация
Управление
мобильными
устройствами
Анализ потокаУправление
доступом +
TrustSec
Управление
доступом +
TrustSec
Управление
доступом +
TrustSec
Маршрутизатор
SAFE упрощает обеспечение ИБ:
комплекс зданий

59. 59© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Сеть
L2/L3
Управление
доступом +
TrustSec
к комплексу
зданий
Зона общих
сервисов
Система
предотвра-
щения
вторжений
нового
поколения
Зона сервера
приложений
Зона
соответствия
стандартам PCI
Зона базы
данных
Анализ
потока
Безопасность
хоста
Баланси-
ровщик
нагрузки
Анализ
потока
МСЭ
Антивре-
доносное ПО
Анали-
тика угроз
Управление
доступом +
TrustSec
Система
предотвра-
щения
вторжений
нового
поколения
Межсетевой экран нового поколения Маршрутизатор
Сеть
L2/L3МСЭ VPN
Коммута-
тор
МСЭ веб-
приложений
Централизованное управление
Политики/
Конфигурация
Мониторинг/
контекст
Анализ/
корреляция
Аналитика
Регистрация
в журнале/
отчетность
Аналитика
угроз
Управление
уязвимостями
Мониторинг
к периметру
Виртуализированные функции
WAN
SAFE упрощает обеспечение ИБ: ЦОД

60. 60© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
к периметру
Зона
общих
сервисов
Cisco Cloud Web Security
Облачный
сервис CRM
Интернет
Интернет
Сервис поиска
в Интернете
Аналитика
угроз
Безопасность
хоста
Мониторинг
и контроль
приложений
(AVC)
Анти-­
вредоносное
ПО
Обнаружение
аномалий
Репутация/
фильтрация
веб-­трафика
к филиалу
SAFE упрощает обеспечение ИБ: облако

61. 61© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
к периметру
Интернет
Инженер
по эксплуатации,
размещающий
заказ
на выполнение
работ
Технический
специалист,
удаленно
проверяющий
журналы
Заказчик,
обновляющий
профиль
Безопасность
хоста
Иденти-­
фикация
Оценка
состояния
МСЭ Антивре-­
доносное
ПО
Репутация/
фильтрация
веб-­трафика
Система
предотвращения
вторжений
нового поколения
VPN
VPN
Безопасность
хоста
Безопасность
хоста
Межсетевой экран нового поколения
ВНЕШНИЕ ЗОНЫ
SAFE упрощает обеспечение ИБ:
внешние зоны

62. 62© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
3. Этап «Дизайн»

63. 63© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
• Создание традиционного представления дизайна
• Выбор продуктов, содержащих функциональные возможности,
определенные в архитектуре
• Создание дизайна, наиболее подходящего для отражения ранее
определенных угроз, и учитывающего дополнительные
потребности инфраструктуры, например, высокую доступность,
производительность и затраты
Создание дизайнов для обеспечения
безопасности

64. 64© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Примеры компонентов дизайна
Блейд-сервер
Коммутатор
Catalyst для ЦОД
Защита
электронной почты
FirePOWER
Устройство
МСЭ
Обнаружение
вторжений
Коммутатор L3
Балансировщик
нагрузки
Nexus 1Kv
Коммутатор
Nexus для ЦОД
Коммутатор
Nexus для фабрики
Коммутатор
Nexus

65. 65© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Место в сети ДоверенныеНедоверенные
Управление
уязвимостями
Политики/
конфигурация
МониторингРегистрация
в журнале/
отчетность
Мониторинг
и контроль
приложений (AVC)
Анализ/
корреляция
Совместно используемыеУгрозы
Проникновение наружу
Трояны
Черви
Шпионское ПО
Сервисы
G0/0
G0/1
G0/2
E1/2
E1/1
E1/1
E1/2
G0/0
G0/1
E2/1-­4
E2/1-­4
E2/5-­8
E2/5-­8
G0/3
E1/1
E1/2
E2/1-­4
E2/1-­4
G0/2
G0/3
E1/1
E1/2
E1/3
E1/4
P1
P2
P3
P4
P1
P2
P3
P4
E1/3
E1/4
E1/1
E1/2
E1/1
E1/2
E2/1-­4
E2/1-­4
E2/5-­8
E1/5-­8
E2/5-­8
E1/5-­8
E1/5-­8
E1/1-­4
E1/1-­4
E1/5-­8
P1
P2
E1/3
E1/3
SAN/NAS
UCS 5108
UCS 5108
ASA5555-­x
ASA5555-­x
N77-­C7706
N77-­C7706
WAF-­BBX UCS-­FI-­6248UP
WAF-­BBX UCS-­FI-­6248UP
WS-­C3850-­48U
Стратегия дизайна

66. 66© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Почему SAFE — это просто?

67. 67© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Таким образом, вы сможете начать диалог очень просто, с описания возможностей

68. 68© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Затем переходите к архитектурам, по которым вы можете быть доверенным
консультантом

69. 69© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Прежде чем перейти к обсуждению более сложных дизайнов и функций
продуктов

70. 70© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Manager researching product information
Clerk processing credit card transaction
Vendor remotely checking logs

71. 71© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco

72. 72© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco

73. 73© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco

74. 74© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco

75. 75© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco

76. 76© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Где взять Cisco SAFE?

77. 77© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Где найти?
www.cisco.com/go/cvd www.cisco.com/go/safe

78. 78© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Структура справочных материалов
по архитектуре SAFE
Возможности
создания общей
картины
Архитектуры
компонентов/
областей
Утвержденные
дизайны (CVD)
Обзор SAFE
Руководство
по архитектуре
Инструкции
Краткий обзор
DIG
Возможности
создания общей
картины
Руководство
по архитектуре
Дизайны CVD
Руководство «Обзор Safe»
Руководство по архитектуре
для защищенного ЦОД
Как развертывать кластер ASA
Краткое руководство по созданию
защищенного ЦОД
Создание кластера ASA с сервисами
FirePOWER

79. 79© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
На сайте Cisco документы уже есть!

80. 80© Cisco и (или) дочерние компании, 2015. Все права защищены. Конфиденциальная информация Cisco
Пишите на security-­request@cisco.com
Быть в курсе всех последних новостей вам помогут:
Где вы можете узнать больше?
http://www.facebook.com/CiscoRu
http://twitter.com/CiscoRussia
http://www.youtube.com/CiscoRussiaMedia
http://www.flickr.com/photos/CiscoRussia
http://vkontakte.ru/Cisco
http://blogs.cisco.ru/
http://habrahabr.ru/company/cisco
http://linkedin.com/groups/Cisco-­Russia-­3798428
http://slideshare.net/CiscoRu
https://plus.google.com/106603907471961036146/posts
http://www.cisco.ru/