Data center seguro

Cisco Confidential 1 © 2013-2014 Cisco and/or its affiliates. All rights reserved.

Data Center Seguro

Gustavo Santana CCIEx3# 8806 (DC, SAN, R&Sw) Technical Solutions Architect

Fernando Zamai Consulting Systems Engineer


Arquitetura do Data Center

Físico Virtual Industrial


Data Center Físico (Antes de 2006)


Data Center Físico: Ataques Mais Comuns

Viruses 1990–2000

Worms 2000–2005

•  Phishing

•  Baixa sofisticação

•  Fama

•  Destrutivos

•  Impacto na Rede

•  Ex: CodeRed


IDS

DC Físico: Rede com Topo-de-Rack Internet/WAN

Conexão L3 Conexão L2

Nor

te-s

ul

Leste-oeste

ACLs

Firewall Contexts


DC Físico: VLANs São Seguras?

DMZ

Produção

DMZ

Produção

OU

Ferramentas que ajudaram: VRFs, CoPP, RBAC, Storm Control


DC Físico: Contextos

VLAN1 VLAN2

VLAN3 Aplicação 3

Aplicação 2

Aplicação 1

Server Load Balancer Firewall


Data Center Virtual (2007-2012)


Limitação de PODs ou Racks

DC

POD POD

DC

POD POD

Data Center Virtualizado

DC Virtual: Mobilidade de VMs


DC Virtual: Tipos de Ataques

Spyware and Rootkits 2005–2013

•  Nascimento da industria Hacking

•  Tecnicas de obfuscação


Host 1

Host 3

Host 2

Hos

t 4

Hos

t 5

Hos

t 7

Hos

t 6

Fabric = Grande Switch Non-Blocking

Host 1

Host 3

Host 4

Host 5

Host 7

Host 2

Host 6


Host 1

Host 3

Host 2

Hos

t 4

Hos

t 5

Hos

t 7

Hos

t 6

LC

LC

LC

LC

LC

LC

LC

LC

LC

LC

FM

FM

FM

Fabric ≅ Grande Switch Non-Blocking


DC Virtual: FabricPath

Internet/WAN

Edge

Border Leaves

Rack Blade Server UCS

Spines

Conexão L3 Conexão L2 Fabric Path

Leaves


Desafios de Redes Virtuais

NIC

Host

App OS

VM App OS

VM vSwitch

NIC

Perímetro de Rede

VMs em VLANs erradas

Sem Visibilidade

Comunicação ilícita entre VMs

Políticas diferentes

DMZ Virtual?

STP para HA???


Virtual Ethernet Module

vPath

WS2012 Hyper-V VXLAN


vPath

KVM/OpenStack VXLAN


vPath

ESX VXLAN

Cisco Nexus 1000V para Ambientes Multi-Hypervisor

Appliances Virtuais Virtual

Supervisor Modules vWAAS VSG ASAv NS1000V

Appliance Físico: Cloud Service Platform

vNAM VSG

Primary VSM NS1000V

vNAM VSG

Secondary VSM NS1000V

Rede DC


Data Center Industrial (Depois de 2013)



Tipos de Ataques

APTs Cyberware 2013-Hoje

•  Códigos sofisticados

•  Evasão de Defesas

•  Multiplas técnicas

•  Espalhamento Horizontal


Perguntas Válidas dos Clientes

Como ter a mesma política de segurança para máquinas físicas e virtuais?

Como provisionar redes de forma automática com segurança?

Como ter visibilidade sobre o tráfego de aplicações?


Componentes do ACI

APPLICATION CENTRIC INFRASTRUCTURE

APPLICATION POLICY INFRASTRUCTURE

CONTROLLER

APIC

s SWITCHES NEXUS

9000 ECOSSISTEMA


P P P

App DB Web

Clientes Externos

QoS

Filtro

QoS

Serviço

QoS

Filtro

Podem ser várias VMs

Misto de máquinas físicas e virtuais

Maioria recursos físicos

App Network Profile

P = Política de Conectividade

“A Aplicação”

ACI e Aplicações de 3 Camadas

21


Web Server

EPG A

Web Server

Web Server

EPG B

App Server

“Cadeia 5”

Redirecionamento

Admin Aplicações

Admin Serviços

Ser

vice

G

raph

Início Fim Passo 1 …..

Passo N

Pro

vide

rs inst

inst

…

Firewall

inst

inst

…

Load Balancer

……..

Ser

vice

Pro

file

Virtuais e Físicos


DB Tier

Storage Storage

Cliente

Web Tier App Tier

Modelagem da Política

Instanciação da Política

VM VM VM

10.2.4.7

VM

10.9.3.37

VM

10.32.3.7

VM VM

APIC


Admin de Rede

Admin de Virtualização

SERVIDOR FÍSICO

VLAN VXLAN

VLAN NVGRE

VLAN VXLAN

VLAN

ESXi Hyper-V KVM

Gerenciamento de Hypervisor

ACI Fabric APIC

VMware Microsoft

Red Hat XenServer

VMware Microsoft Red Hat


Application Virtual Switch (AVS)

AVS AVS

Fabric ACI Estendido

AVS DVS

Gerenciado via APIC

Encapsulamentos: VLAN, VXLAN

Microsegmentação: Port

Group, MAC, IP, Guest OS, nome da VM, hypervisor, …


FirePOWER + ACI

ANTES Descubra Proteja

DEPOIS Registre

Contenha Remedie

Detete Bloqueie Defenda

DURANTE

Segmentação e isolamento via EPGs

Visibilidade e controle granular de aplicação

Inserção automática de segurança (NGIPS, NGFW)

Visibilidade & Deteção

Micro-segmentação para quarentena (AVS)

Proteção avançada de Malware

Servidor Máquina Virtual

Containers


Capítulo 1: Definição de virtualização e conceitos de Data Center Capítulo 2: Evolução do Ethernet, topologias comuns de rede e norma ANSI/TIA-942 Capítulo 3: VLANs e VRFs Capítulo 4: Balanceamento de servidores e contextos virtuais Capítulo 5: VDCs Capítulo 6: vPC e FabricPath Capítulo 7: FEX Capítulo 8: EoMPLS, VPLS e OTV Capítulo 9: Conceitos de armazenamento, SCSI e virtualização Capítulo 10: Conceitos de Fibre Channel e VSANs Capítulo 11: FCIP, IVR e NPV Capítulo 12: DCB e FCoE Capítulo 13: Evolução de servidores (x86, virtualização e UCS) Capítulo 14: Service Profiles do UCS Capítulo 15: Nexus 1000V, VXLAN e VM-FEX Capítulo 16: vPath, VSG, ASA 1000V, vWAAS e CSR 1000V Capítulo 17: Conceitos de Cloud computing, automação, SDN

Referência

Date post:	11-Jan-2017
Category:	Technology
Upload:	cisco-do-brasil
View:	400 times
Download:	0 times

Data center seguro

Technology