PiWSC - Część 5: Bezpieczeństwo i zarządzanie siecią kampusową

Cel slajdu: Wprowadzenie do inżynierii cyberbezpieczeństwa oraz zarządzania infrastrukturą sieci kampusowej, uzasadnienie konieczności obrony wielowarstwowej.

Część 5: Bezpieczeństwo i zarządzanie siecią kampusową

Piąta, zamykająca część cyklu poświęcona jest inżynierii bezpieczeństwa oraz utrzymaniu i zarządzaniu infrastrukturą kampusową:

Wektory zagrożeń i model Zero Trust: odejście od zaufania obwodowego na rzecz ciągłej weryfikacji tożsamości urządzeń i użytkowników.
Kontrola dostępu do sieci: standard IEEE 802.1X, architektura serwerów AAA (RADIUS/TACACS+) oraz dynamiczne przypisywanie VLAN i dACL.
Sprzętowa ochrona warstwy 2: mechanizmy Port Security, DHCP Snooping, Dynamic ARP Inspection (DAI) oraz IP Source Guard (IPSG).
Bezpieczeństwo sieci bezprzewodowej: standardy WPA3-Enterprise, ochrona ramek zarządzających 802.11w (PMF) oraz detekcja Rogue AP.
Ochrona płaszczyzn sieciowych: mechanizmy CoPP i MPP zabezpieczające procesor przełącznika.
Nadzór i audyt: wdrożenie bezpiecznego protokołu SNMPv3, centralnego serwera Syslog, analizy przepływów NetFlow oraz synchronizacji czasu NTP.

Paradygmat inżynierski: Bezpieczeństwo sieci nie jest produktem, lecz ciągłym procesem inżynierskim. Prawidłowo zaprojektowana sieć kampusowa zakłada, że atakujący może uzyskać fizyczny dostęp do gniazda ściennego, i neutralizuje zagrożenie na pierwszym porcie dostępowym.

Cyberbezpieczeństwo sieci kampusowej: Zintegrowany zespół rozwiązań technicznych, organizacyjnych i kryptograficznych zabezpieczających zasoby sieciowe, stacje użytkowników oraz urządzenia aktywne przed nieautoryzowanym dostępem, przerwami w działaniu i wyciekiem danych poufnych.

Projektowanie i wymiarowanie sieci klasy „campus”

Tradycyjne podejście do bezpieczeństwa oparte wyłącznie na zaporze brzegowej (Castle-and-Moat Architecture) jest całkowicie bezużyteczne w środowisku kampusowym. W kampusie uniwersyteckim lub korporacyjnym tysiące osób (studenci, pracownicy, goście, podwykonawcy) wpinają prywatne laptopy bezpośrednio do wewnętrznych gniazd sieciowych.

Wymusza to przeniesienie pierwszej linii obrony bezpośrednio na port dostępowy przełącznika w szafie teletechnicznej oraz wdrożenie rygorystycznej kontroli tożsamości.

Skróty użyte w tym slajdzie:
AAA – Authentication, Authorization, Accounting – uwierzytelnianie, autoryzacja i rozliczanie.
CoPP – Control Plane Policing – ochrona płaszczyzny sterowania procesora routera.
MPP – Management Plane Protection – ochrona płaszczyzny zarządzania.
DAI – Dynamic ARP Inspection – dynamiczna inspekcja pakietów protokołu ARP.
IPSG – IP Source Guard – sprzętowa ochrona adresu źródłowego IP w warstwie 2.

Cel slajdu: Przedstawienie międzynarodowych norm IEEE, IETF RFC oraz wytycznych NIST i CIS regulujących cyberbezpieczeństwo i zarządzanie infrastrukturą.

Standardy branżowe i wytyczne bezpieczeństwa teleinformatycznego

Podstawę merytoryczną w zakresie bezpieczeństwa i zarządzania siecią stanowią dokumenty standaryzacyjne i normy:

Jason Andress, Podstawy bezpieczeństwa informacji. Praktyczne wprowadzenie, Helion 2021 – kanon bezpieczeństwa teleinformatycznego, kontrola dostępu i architektura obronna.
Krzysztof Godzisz, Etyczny hacking i testy penetracyjne. Zadbaj o bezpieczeństwo sieci LAN i WLAN, Helion 2026 – podatności warstwy 2, ataki na przełączniki i zabezpieczanie sieci bezprzewodowych.
Adam Józefiok, CCNP 300-410 ENARSI. Zaawansowane administrowanie sieciami przedsiębiorstwa i bezpieczeństwo sieci, Helion 2025 – konfiguracja list ACL, CoPP, AAA i utwardzanie urządzeń Cisco IOS.
Standard IEEE 802.1X-2020: Port-Based Network Access Control – specyfikacja architektury uwierzytelniania w sieciach LAN/WLAN.
IETF RFC 3414: User-based Security Model (USM) for SNMPv3 – bezpieczne i szyfrowane zarządzanie urządzeniami sieciowymi.
IETF RFC 5424: The Syslog Protocol – ustandaryzowany protokół rejestracji i korelacji zdarzeń systemowych.
NIST SP 800-61 Rev. 2: Computer Security Incident Handling Guide – globalna metodyka obsługi incydentów cyberbezpieczeństwa.

Standard IEEE 802.1X: Międzynarodowy standard bezpieczeństwa warstwy 2 definiujący mechanizm uwierzytelniania stacji roboczej na poziomie portu fizycznego przed przyznaniem jej jakiegokolwiek dostępu do zasobów sieci LAN lub WLAN.

Normy komitetu IEEE oraz dokumenty IETF RFC tworzą precyzyjne ramy techniczne dla implementacji bezpiecznej sieci. Wdrożenie mechanizmów takich jak IEEE 802.1X czy SNMPv3 eliminuje podatności wynikające ze stosowania przestarzałych protokołów nieszyfrowanych (np. Telnet, SNMPv1/v2c).

Z kolei wytyczne Center for Internet Security (CIS Benchmarks) stanowią uznany w audytach zbiór gotowych zaleceń utwardzania systemów operacyjnych urządzeń sieciowych.

Skróty użyte w tym slajdzie:
IEEE – Institute of Electrical and Electronics Engineers – instytut inżynierów elektryków i elektroników.
NIST – National Institute of Standards and Technology – amerykański Narodowy Instytut Standardów i Technologii.
CIS – Center for Internet Security – organizacja opracowująca wytyczne utwardzania systemów.
PMF – Protected Management Frames – chronione ramki zarządzające w sieci Wi-Fi (IEEE 802.11w).
USM – User-based Security Model – model bezpieczeństwa w protokole SNMPv3.

Cel slajdu: Przedstawienie struktury tematycznej wykładu: profilu zagrożeń, obrony warstwy 2, kontroli 802.1X, utwardzania płaszczyzn sieciowych oraz monitoringu.

Plan zagadnień bezpieczeństwa i zarządzania siecią

W ramach niniejszej części omówimy następujące bloki tematyczne:

Profil zagrożeń i model Zero Trust: specyfika otwartości kampusu i wektory ataków wewnętrznych.
Uwierzytelnianie i autoryzacja dostępu: standard IEEE 802.1X, metody EAP, serwery RADIUS/TACACS+, dynamiczne VLAN-y i dACL.
Sprzętowa ochrona warstwy 2: Port Security, mitygacja ataków na pamięć CAM, DHCP Snooping, Dynamic ARP Inspection i IP Source Guard.
Bezpieczeństwo sieci bezprzewodowej WLAN: standard WPA3-Enterprise, ochrona ramek PMF (802.11w) oraz wykrywanie Rogue AP.
Utwardzanie płaszczyzn sieciowych: ochrona Control Plane (CoPP) oraz Management Plane (MPP, SSHv2, NTPv4).
Monitorowanie, audyt i utrzymanie: SNMPv3, Syslog RFC 5424, NetFlow/IPFIX, procedury ISSU oraz obsługa incydentów wg NIST SP 800-61.

Architektura bezpieczeństwa kampusu: Wielopłaszczyznowy układ mechanizmów ochronnych obejmujący weryfikację tożsamości, sprzętową filtrację ruchu, szyfrowanie komunikacji zarządczej oraz telemetryczny nadzór nad przepływami pakietów w infrastrukturze.

Struktura tego wykładu odzwierciedla drogę intruza próbującego zaatakować infrastrukturę. Rozpoczynamy od próby wpięcia obcego komputera do gniazda ściennego (standard 802.1X i Port Security), następnie analizujemy ataki na protokoły infrastrukturalne (DHCP, ARP, STP), by wreszcie przejść do zabezpieczenia samych przełączników i centralnego monitoringu.

Daje to inżynierowi pełen obraz spójnego systemu obrony odpornego na ataki z wewnątrz organizacji.

Skróty użyte w tym slajdzie:
EAP – Extensible Authentication Protocol – uniwersalny protokół uwierzytelniania.
dACL – Downloadable Access Control List – dynamicznie pobierana lista kontroli dostępu.
CoPP – Control Plane Policing – sprzętowa ochrona procesora sterującego przełącznika.
MPP – Management Plane Protection – filtrowanie interfejsów zarządzających.
ISSU – In-Service Software Upgrade – bezprzerwowa aktualizacja oprogramowania.

Cel slajdu: Przedstawienie unikalnych uwarunkowań bezpieczeństwa środowiska kampusowego wynikających z otwartości fizycznej obiektów, zjawiska BYOD oraz heterogeniczności urządzeń.

Profil środowiska i uwarunkowania organizacyjne

Sieć kampusowa charakteryzuje się cechami utrudniającymi jej zabezpieczenie w porównaniu z siecią korporacyjną:

Otwarty dostęp fizyczny: sale wykładowe, biblioteki, aule i korytarze są ogólnodostępne dla osób z zewnątrz; setki niezabezpieczonych gniazd RJ-45 na ścianach i biurkach.
Zjawisko BYOD (Bring Your Own Device): tysiące prywatnych laptopów i smartfonów o nieznanym poziomie załatania i potencjalnie zainfekowanych złośliwym oprogramowaniem.
Heterogeniczność systemów: równoległe funkcjonowanie stacji roboczych, zaawansowanych klastrów obliczeniowych, serwerów badawczych, systemów automatyki budynkowej BMS oraz tanich czujników IoT.
Wysokie wymagania wolności akademickiej: konieczność zapewnienia otwartego dostępu do światowych zasobów wiedzy przy jednoczesnej ochronie baz danych dziekanatu i systemów finansowych.

Wniosek inżynierski: W kampusie nie da się zabezpieczyć urządzeń końcowych, ponieważ administratorzy nie mają nad nimi kontroli. Cały ciężar bezpieczeństwa musi spoczywać na samej sieci teleinformatycznej!

Środowisko BYOD (Bring Your Own Device): Model organizacyjny, w którym użytkownicy (studenci, wykładowcy, goście) podłączają do sieci instytucjonalnej własne, prywatne urządzenia elektroniczne, niezarządzane centralnie przez dział IT.

Specyfika bezpieczeństwa w sieci kampusowej

W tradycyjnej korporacji dział IT instaluje na każdym komputerze jednolity obraz systemu operacyjnego z oprogramowaniem antywirusowym, agentem EDR i zablokowanymi uprawnieniami administratora. W środowisku akademickim takie podejście jest niemożliwe do wdrożenia.

Z tego względu sieć kampusowa musi traktować każdą stację roboczą jako urządzenie potencjalnie wrogie i w sposób dynamiczny przypisywać uprawnienia sieciowe na podstawie uwierzytelnienia tożsamości użytkownika.

Skróty użyte w tym slajdzie:
BYOD – Bring Your Own Device – wykorzystywanie prywatnych urządzeń w sieci instytucjonalnej.
EDR – Endpoint Detection and Response – zaawansowane systemy wykrywania zagrożeń na stacjach końcowych.
BMS – Building Management System – zintegrowany system automatyki budynkowej.
IoT – Internet of Things – internet rzeczy.
RJ-45 – znormalizowane gniazdo abonenckie sieci Ethernet.

Cel slajdu: Przedstawienie katalogu typowych ataków wewnętrznych realizowanych w warstwie 2 i 3 sieci lokalnej oraz ich potencjalnych skutków.

Katalog typowych ataków wewnętrznych w sieci lokalnej

Większość groźnych incydentów w kampusie ma swoje źródło wewnątrz sieci lokalnej:

Ataki na warstwę 2 (Data Link):
- Zalewanie pamięci przełącznika (MAC Flooding) w celu podsłuchu całego segmentu.
- Fałszowanie odpowiedzi ARP (ARP Spoofing / Man-in-the-Middle) w celu przejęcia sesji i haseł.
- Nieautoryzowane serwery DHCP (Rogue DHCP) i wyczerpywanie puli adresowej (DHCP Starvation).
- Przeskakiwanie między sieciami VLAN (VLAN Hopping).
Ataki na infrastrukturę sieciową: próby podsłuchu nieszyfrowanego ruchu SNMP, ataki brute-force na porty zarządzające SSH, fałszowanie czasu NTP oraz wstrzykiwanie obcych tras OSPF.
Rozprzestrzenianie złośliwego oprogramowania: samoczynna propagacja robaków sieciowych i ransomware pomiędzy komputerami studentów w akademiku lub laboratoriach.

Atak typu Man-in-the-Middle (MitM): Atak kryptograficzny lub sieciowy polegający na potajemnym wtrąceniu się napastnika w kanał komunikacyjny pomiędzy dwiema komunikującymi się stacjami w celu przechwytywania, modyfikowania lub wstrzykiwania pakietów.

W warstwie 2 model OSI zakładał pierwotnie pełne zaufanie pomiędzy podłączonymi węzłami. W rezultacie protokoły takie jak ARP czy DHCP nie posiadają żadnych wbudowanych mechanizmów kryptograficznej weryfikacji tożsamości nadawcy.

Zainstalowanie darmowego oprogramowania hakerskiego (np. Ettercap, Yersinia) pozwala studentowi pierwszego roku w kilka sekund przejąć cały ruch w sali laboratoryjnej, jeśli przełącznik nie posiada włączonych mechanizmów DHCP Snooping i DAI.

Skróty użyte w tym slajdzie:
MitM – Man in the Middle – atak typu człowiek w środku.
ARP – Address Resolution Protocol – protokół mapowania adresów IP na adresy MAC.
DHCP – Dynamic Host Configuration Protocol – protokół automatycznej konfiguracji sieci.
SNMP – Simple Network Management Protocol – protokół zarządzania urządzeniami.
OSPF – Open Shortest Path First – protokół dynamicznego routingu.

Cel slajdu: Przedstawienie wielowarstwowej strategii Defense in Depth w sieci kampusowej, eliminacji pojedynczego obwodu obronnego i integracji mechanizmów bezpieczeństwa.

Wielowarstwowy pancerz sieciowy chroniący zasoby kampusu

Koncepcja obrony w głąb zakłada rozmieszczenie wielu niezależnych barier ochronnych:

Warstwa 1 (Fizyczna): kontrola dostępu do szaf RACK, zamki elektroniczne, monitoring CCTV w węzłach dystrybucyjnych.
Warstwa 2 (Dostępowa): uwierzytelnianie 802.1X, mechanizmy Port Security, DHCP Snooping, Dynamic ARP Inspection oraz IP Source Guard na przełącznikach.
Warstwa 3 (Sieciowa): izolacja domen rozgłoszeniowych VLAN, filtrowanie ruchu listami kontroli dostępu ACL na interfejsach SVI oraz zapory ogniowe NGFW.
Warstwa Płaszczyzny Sterowania (Control Plane): ochrona procesora przełącznika przed przeciążeniem za pomocą mechanizmu CoPP.
Warstwa Aplikacyjna i Zarządzania: szyfrowanie sesji (SSHv2, SNMPv3, HTTPS) oraz centralny system korelacji zdarzeń SIEM.

Zasada redundancji obronnej: Przełamanie lub obejście jednej linii obrony (np. sfałszowanie adresu MAC) nie otwiera drogi do wnętrza sieci – atakujący natychmiast natrafia na kolejną barierę (np. inspekcję 802.1X lub filtr DAI).

Obrona w głąb (Defense in Depth): Strategia bezpieczeństwa teleinformatycznego polegająca na zastosowaniu wielu komplementarnych, niezależnych warstw zabezpieczeń technicznych i organizacyjnych, tak aby awaria jednego mechanizmu nie skutkowała przerwaniem ochrony całego systemu.

Strategia obrony w głąb (Defense in Depth)

Wzorcowy model obrony w głąb eliminuje pojęcie „zaufanego wnętrza”. W przeszłości zakładano, że wszystko, co znajduje się za zaporą brzegową, jest bezpieczne. W nowoczesnym kampusie każdy segment sieciowy, każdy przełącznik dostępowy i każde gniazdko ścienne jest traktowane jako punkt potencjalnego zagrożenia.

Zastosowanie filtracji na poziomie portu fizycznego przełącznika uniemożliwia intruzowi nawet wykonanie skanowania sąsiednich komputerów w tej samej sali.

Skróty użyte w tym slajdzie:
NGFW – Next-Generation Firewall – zapora ogniowa nowej generacji z inspekcją aplikacyjną.
CoPP – Control Plane Policing – sprzętowe ograniczanie pasma do procesora przełącznika.
SIEM – Security Information and Event Management – centralny system zarządzania zdarzeniami bezpieczeństwa.
CCTV – Closed-Circuit Television – telewizyjny monitoring wizyjny.
SVI – Switched Virtual Interface – wirtualny interfejs sieci VLAN w przełączniku L3.

Cel slajdu: Przedstawienie założeń paradygmatu Zero Trust Network Architecture (ZTNA), zasady Never Trust, Always Verify oraz mikrosegmentacji sieci.

Zasada ograniczonego zaufania: nigdy nie ufaj, zawsze weryfikuj

Model Zero Trust (NIST SP 800-207) odrzuca założenie, że urządzenia wewnątrz sieci lokalnej są bezpieczne:

Weryfikacja tożsamości przed przyznaniem dostępu: brak automatycznego zaufania na podstawie adresu IP czy numeru portu fizycznego; każde połączenie wymaga uwierzytelnienia.
Zasada najniższych uprawnień (Least Privilege): użytkownik otrzymuje dostęp wyłącznie do tych zasobów i portów TCP/UDP, które są mu bezwzględnie niezbędne do pracy.
Mikrosegmentacja: podział zasobów na małe, odizolowane strefy bezpieczeństwa; brak możliwości bocznego rozprzestrzeniania się ataków (Lateral Movement).
Ciągły monitoring i telemetria: stała analiza zachowania stacji roboczych pod kątem anomalii i natychmiastowa automatyczna kwarantanna.

Architektura Zero Trust (Zero Trust Architecture - ZTA): Model cyberbezpieczeństwa zakładający brak domyślnego zaufania do jakiegokolwiek użytkownika, urządzenia czy aplikacji (niezależnie od ich fizycznej lokalizacji wewnątrz sieci), wymagający ciągłego uwierzytelniania i autoryzacji każdego żądania dostępu.

Przejście na model Zero Trust w kampusie oznacza koniec ery płaskich sieci z prawem dostępu „każdy z każdym”. Nawet wewnątrz jednego laboratorium dydaktycznego stacje studenckie nie powinny mieć możliwości bezpośredniej komunikacji między sobą (izolacja portów w technologii Private VLAN).

Komunikacja dozwolona jest wyłącznie w stronę serwera prowadzącego zajęcia oraz wyjścia do Internetu, co całkowicie blokuje rozprzestrzenianie się infekcji pomiędzy laptopami studentów.

Skróty użyte w tym slajdzie:
ZTNA – Zero Trust Network Access – architektura bezpiecznego dostępu w modelu Zero Trust.
NIST – National Institute of Standards and Technology – instytut standaryzacyjny USA.
Lateral Movement – technika bocznego przemieszczania się intruza pomiędzy stacjami w sieci LAN.
TCP / UDP – Transmission Control Protocol / User Datagram Protocol – protokoły warstwy transportowej.
PVLAN – Private Virtual Local Area Network – prywatne sieci wirtualne.

Cel slajdu: Przedstawienie architektury kontroli dostępu IEEE 802.1X, trzech ról podmiotów (Supplicant, Authenticator, Authentication Server) oraz protokołu EAPOL.

Architektura kontroli dostępu na podstawie portów fizycznych i logicznych

Standard IEEE 802.1X-2020: Port-Based Network Access Control definiuje mechanizm kontroli dostępu do medium przed przyznaniem uprawnień transmisyjnych:

Trzy role w architekturze 802.1X:
1. Supplicant (Żądający dostępu): oprogramowanie klienckie na stacji roboczej lub telefonie VoIP wysyłające poświadczenia (login/hasło, certyfikat cyfrowy X.509).
2. Authenticator (Uwierzytelniający): przełącznik warstwy dostępu lub kontroler sieci Wi-Fi; blokuje port dla całego normalnego ruchu danych, przepuszczając wyłącznie ramki EAPOL do serwera AAA.
3. Authentication Server (Serwer Uwierzytelniający): centralny serwer RADIUS (np. Cisco ISE, FreeRADIUS, Microsoft NPS) weryfikujący tożsamość w bazie LDAP/AD.
Protokół EAPOL (EAP over LAN): enkapsulacja ramek protokołu EAP bezpośrednio w ramkach Ethernet warstwy 2.

Stan portu: Dopóki serwer RADIUS nie odeśle komunikatu RADIUS-Access-Accept, port przełącznika pozostaje w stanie Unauthorized – stacja nie otrzyma adresu IP ani nie wyśle ani jednego pakietu do sieci!

Standard IEEE 802.1X (Port-Based Network Access Control): Protokół kontroli dostępu do sieci na poziomie portu fizycznego przełącznika przewodowego lub logicznego punktu dostępowego Wi-Fi, wstrzymujący forwardowanie ruchu danych stacji roboczej do momentu pomyślnego uwierzytelnienia jej tożsamości przez centralny serwer AAA.

Kontrola dostępu do sieci: standard IEEE 802.1X

Standard IEEE 802.1X rozwiązuje problem nieautoryzowanego wpinania obcych urządzeń do gniazd ściennych w salach wykładowych. Gdy intruz wegnie swój laptop do gniazda RJ-45, przełącznik natychmiast wysyła żądanie EAP-Request/Identity.

Jeśli urządzenie nie przedstawi ważnych poświadczeń domenowych lub certyfikatu wystawionego przez uczelniany urząd certyfikacji CA, port może zostać trwale zablokowany lub przełączony do odizolowanego VLAN-u kwarantanny z prawem dostępu wyłącznie do strony rejestracji gości.

Skróty użyte w tym slajdzie:
EAPOL – Extensible Authentication Protocol over LAN – ramka protokołu EAP przesyłana w sieci Ethernet.
AAA – Authentication, Authorization, Accounting – serwer zarządzania dostępem.
RADIUS – Remote Authentication Dial-In User Service – sieciowy protokół serwera uwierzytelniania.
ISE – Cisco Identity Services Engine – korporacyjny serwer polityk bezpieczeństwa i AAA.
LDAP / AD – Lightweight Directory Access Protocol / Microsoft Active Directory – bazy danych kont użytkowników.

Cel slajdu: Przedstawienie wariantów protokołu Extensible Authentication Protocol (EAP-TLS, PEAP-MSCHAPv2), analizy bezpieczeństwa i doboru pod kątem stacji studenckich i pracowniczych.

Warianty protokołu Extensible Authentication Protocol (RFC 3748)

Protokół EAP (RFC 3748) to uniwersalny szkielet negocjacji metod uwierzytelniania w sieci:

PEAP-MSCHAPv2 (Protected EAP):
- Metoda oparta na haśle: serwer RADIUS przedstawia swój certyfikat SSL, tworząc szyfrowany tunel TLS; wewnątrz tunelu przesyłany jest login i hasło użytkownika z domeny Active Directory.
- Zaleta: brak konieczności instalowania certyfikatów na urządzeniach studentów; łatwe wdrożenie na smartfonach i laptopach osobistych (np. sieć eduroam).
EAP-TLS (Transport Layer Security – RFC 5216):
- Uwierzytelnianie wzajemne (Mutual Authentication) za pomocą certyfikatów cyfrowych X.509 zainstalowanych zarówno na serwerze, jak i na karcie kryptograficznej stacji roboczej pracownika.
- Złoty standard bezpieczeństwa: stuprocentowa odporność na ataki phishingowe i podsłuch haseł!

Protokół EAP-TLS (RFC 5216): Najbezpieczniejszy wariant protokołu EAP wykorzystujący obustronne uwierzytelnienie za pomocą certyfikatów klucza publicznego X.509, eliminujący konieczność przesyłania haseł tekstowych przez sieć teleinformatyczną.

Wzorcowy projekt sieci kampusowej zakłada wdrożenie metody EAP-TLS dla wszystkich urządzeń instytucjonalnych (laptopy pracowników, komputery w laboratoriach, telefony VoIP) za pośrednictwem uczelnianego urzędu certyfikacji (Microsoft CA / OpenSSL PKI).

Z kolei dla sieci bezprzewodowej studentów i gości (w tym międzynarodowego systemu eduroam) standardem jest PEAP-MSCHAPv2 lub EAP-TTLS, co pozwala na autoryzację z wykorzystaniem kont w uniwersyteckim systemie USOS bez konieczności generowania certyfikatów dla dziesiątek tysięcy studentów.

Skróty użyte w tym slajdzie:
EAP – Extensible Authentication Protocol – elastyczna platforma uwierzytelniania w warstwie łącza danych definiowana w RFC 3748.
TLS – Transport Layer Security – protokół kryptograficzny zapewniający poufność i integralność przesyłanych danych.
PEAP – Protected EAP – protokół enkapsulujący komunikaty uwierzytelniające w bezpiecznym, zaszyfrowanym tunelu TLS.
MS-CHAPv2 – Microsoft Challenge Handshake Authentication Protocol v2 – protokół uwierzytelniania hasłowego oparty na mechanizmie wyzwanie-odpowiedź.

Cel slajdu: Przedstawienie funkcji serwerów AAA (Authentication, Authorization, Accounting) w kampusie, porównanie protokołów RADIUS i TACACS+ oraz centralizacji kontroli.

Architektura Authentication, Authorization, Accounting

Serwer AAA stanowi centralny mózg decyzyjny polityki bezpieczeństwa w kampusie, realizując trzy funkcje:

Authentication (Uwierzytelnianie): potwierdzenie tożsamości: „Czy ten użytkownik to rzeczywiście Jan Kowalski i czy zna właściwe poświadczenia?”.
Authorization (Autoryzacja): określenie uprawnień: „Do jakiego VLAN-u ma trafić Jan Kowalski i jakie listy ACL mogą filtrować jego ruch?”.
Accounting (Rozliczanie / Rejestracja): ewidencja sesji: „O której godzinie Jan Kowalski wpiął się do sieci, przez jaki port, ile danych przesłał i kiedy się odłączył?”.
Protokoły komunikacji AAA:
- RADIUS (IETF RFC 2865: Remote Authentication Dial In User Service (RADIUS) / RFC 2866): protokół UDP; łączy uwierzytelnianie i autoryzację; powszechny standard dla dostępu stacji roboczych i sieci Wi-Fi.
- TACACS+ (Cisco / RFC 8907): protokół TCP (port 49); całkowicie szyfruje cały pakiet; dedykowany do zarządzania dostępem administratorów do przełączników i routerów (kontrola komend CLI).

Serwer AAA: Centralny serwer sieciowy realizujący funkcje uwierzytelniania tożsamości, przydzielania uprawnień autoryzacyjnych oraz ewidencji i rozliczania aktywności użytkowników w systemie teleinformatycznym.

Rozdzielenie funkcji w protokole TACACS+ ma fundamentalne znaczenie dla bezpieczeństwa administracyjnego. Umożliwia precyzyjną autoryzację każdej pojedynczej komendy wpisywanej przez operatora w konsoli CLI przełącznika (tzw. Command Authorization).

Dzięki temu inżynier pierwszej linii wsparcia może mieć uprawnienia do wydawania poleceń show, natomiast próba wydania polecenia reload lub interface shutdown zostanie natychmiast zablokowana przez serwer TACACS+ z zarejestrowaniem alertu w logach.

Skróty użyte w tym slajdzie:
AAA – Authentication, Authorization, Accounting – architektura kontroli dostępu i rozliczeń.
RADIUS – Remote Authentication Dial-In User Service – protokół dostępu sieciowego stacji (RFC 2865).
TACACS+ – Terminal Access Controller Access-Control System Plus – protokół kontroli dostępu administracyjnego.
UDP / TCP – User Datagram Protocol / Transmission Control Protocol – protokoły warstwy transportowej.
CLI – Command Line Interface – interfejs linii poleceń urządzeń sieciowych.

Cel slajdu: Przedstawienie technologii Dynamic VLAN Assignment (DVA) na podstawie atrybutów serwera RADIUS, uniezależnienia segmentacji od gniazda fizycznego i obsługi gości.

Dynamic VLAN Assignment (DVA) na podstawie atrybutów serwera RADIUS

Dynamiczne przypisywanie VLAN uniezależnia przynależność stacji do podsieci od fizycznego gniazda ściennego:

Tradycyjne ograniczenie: port fizyczny w sali laboratoryjnej jest na stałe przypisany do VLAN 10 (Studenci). Gdy wykładowca wpiął tam swój komputer, nie miał dostępu do zasobów pracowniczych.
Zasada działania Dynamic VLAN:
1. Port fizyczny przełącznika ma domyślnie wyłączony przesył danych i oczekuje na ramki 802.1X.
2. Użytkownik podłącza laptopa i podaje poświadczenia domenowe.
3. Serwer RADIUS weryfikuje użytkownika w bazie Active Directory i w pakiecie Access-Accept odsyła zestaw trzech ustandaryzowanych atrybutów IETF (RFC 2868, RFC 3580):
  - Tunnel-Type (atrybut 64): wartość 13 (VLAN).
  - Tunnel-Medium-Type (atrybut 65): wartość 6 (802 – w tym Ethernet).
  - Tunnel-Private-Group-ID (atrybut 81): ciąg tekstowy lub liczba określająca docelowy numer VLAN (np. "20" lub "STUDENCI").
4. Przełącznik dostępowy w locie dynamicznie przypisuje port fizyczny do wskazanego segmentu (np. VLAN 20 – Pracownicy), izolując użytkownika w dedykowanej strefie bezpieczeństwa!

Dynamiczne przypisywanie VLAN (Dynamic VLAN Assignment): Mechanizm bezpieczeństwa, w którym numer sieci VLAN przypisany do portu przełącznika jest dynamicznie określany w czasie rzeczywistym przez serwer RADIUS na podstawie tożsamości i uprawnień uwierzytelnionego użytkownika.

Wdrożenie technologii Dynamic VLAN Assignment całkowicie eliminuje potrzebę fizycznego przepinania kabli krosowych przy zmianach organizacyjnych w kampusie. Tożsamość użytkownika podąża za nim bez względu na to, do której szafy dostępowej i którego budynku został wpięty kabel.

W przypadku nieudanego uwierzytelnienia serwer RADIUS może zwrócić atrybut kierujący użytkownika do tzw. Guest VLAN lub Restricted VLAN, gdzie ma on dostęp wyłącznie do Internetu przez portal uwierzytelniający (Captive Portal).

Skróty użyte w tym slajdzie:
DVA – Dynamic VLAN Assignment – dynamiczne przypisywanie sieci VLAN.
RADIUS – Remote Authentication Dial-In User Service – serwer polityk dostępowych.
IETF – Internet Engineering Task Force – organizacja tworząca specyfikacje internetowe.
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
Captive Portal – strona WWW wymuszająca logowanie przed udostępnieniem łącza.

Cel slajdu: Przedstawienie koncepcji Downloadable ACL (dACL) na brzegu sieci kampusowej oraz precyzyjnego ograniczania uprawnień użytkownika per sesja.

Downloadable ACL (dACL) na brzegu sieci kampusowej

Technologia dACL pozwala na dynamiczne narzucenie indywidualnych reguł filtrowania ruchu per sesja użytkownika:

Ograniczenie statycznych list ACL: ręczne konfigurowanie setek list ACL na każdym przełączniku dostępowym w kampusie jest podatne na błędy i nieskalowalne.
Zasada działania dACL:
1. Po pomyślnym uwierzytelnieniu 802.1X serwer RADIUS (np. Cisco ISE) przesyła bezpośrednio w atrybucie autoryzacji gotowy zestaw reguł filtrujących.
2. Przełącznik warstwy dostępu natychmiast kompiluje otrzymaną listę reguł do sprzętowej pamięci TCAM danego portu fizycznego.
3. Przykładowa reguła dACL dla studenta:
  permit udp any any eq domain (zezwól na DNS)
  permit udp any any eq bootps (zezwól na DHCP)
  permit ip any 10.10.0.0 0.0.255.255 (zezwól na serwery wydziałowe)
  deny ip any 10.0.0.0 0.255.255.255 (zablokuj resztę kampusu!)
  permit ip any any (zezwól na Internet)

Pobieralna lista kontroli dostępu (Downloadable ACL - dACL): Lista reguł filtrowania pakietów dynamicznie przesyłana z centralnego serwera RADIUS do przełącznika dostępowego w momencie uwierzytelnienia użytkownika i aplikowana wyłącznie do jego indywidualnej sesji na porcie.

Pobieralne listy dACL realizują w praktyce postulat mikrosegmentacji sieciowej. Dwóch studentów wpiętych do sąsiednich portów tego samego przełącznika może posiadać całkowicie odmienne uprawnienia: student koła naukowego może mieć dostęp do klastra obliczeniowego GPU, podczas gdy student z innego kierunku będzie miał dostęp wyłącznie do stron WWW.

Co istotne, po wylogowaniu użytkownika lub wyciągnięciu kabla przełącznik natychmiast usuwa tymczasową listę dACL z pamięci TCAM, przywracając stan domyślnej blokady portu.

Skróty użyte w tym slajdzie:
dACL – Downloadable Access Control List – pobieralna lista kontroli dostępu.
TCAM – Ternary Content-Addressable Memory – ultraszybka pamięć sprzętowa przełącznika do filtracji pakietów.
ISE – Cisco Identity Services Engine – centralny serwer zarządzania tożsamością i politykami.
RADIUS – Remote Authentication Dial-In User Service – protokół AAA.
DNS / DHCP – podstawowe protokoły usług sieciowych.

Cel slajdu: Przedstawienie mechanizmu Port Security na przełącznikach dostępowych, ograniczenia liczby dozwolonych adresów MAC oraz typów adresów (Static, Dynamic, Sticky).

Kontrola fizycznego wpięcia na poziomie adresów MAC

Mechanizm Port Security ogranicza liczbę i określa tożsamość stacji roboczych uprawnionych do transmisji przez dany port:

Podstawowy cel: uniemożliwienie podłączenia nieautoryzowanych przełączników biurkowych lub punktów dostępowych oraz ochrona przed klonowaniem adresów MAC.
Trzy typy adresów MAC w Port Security:
- Statyczne (Static): ręcznie wpisane przez administratora na stałe w konfiguracji portu.
- Dynamiczne (Dynamic): przełącznik uczy się adresu w locie z pierwszego odebranego pakietu i przechowuje go tylko w pamięci RAM do czasu restartu.
- Trwałe z automatycznym zapisem (Sticky MAC): przełącznik uczy się adresu dynamicznie z ruchu i automatycznie dopisuje go do pliku running-config! Po restarcie adres jest pamiętany.

Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 2
Switch(config-if)# switchport port-security mac-address sticky

Port Security (Zabezpieczenie portu): Funkcja bezpieczeństwa warstwy 2 w przełącznikach sieciowych pozwalająca na ograniczenie liczby dozwolonych adresów MAC na porcie fizycznym oraz zdefiniowanie reakcji na pojawienie się nieuprawnionego adresu sprzętowego.

Zastosowanie trybu sticky jest wysoce ergonomiczne w środowiskach biurowych. Administrator nie musi żmudnie spisywać fizycznych adresów MAC ze spodu obudowy komputerów i telefonów pracowników.

Wystarczy włączyć Port Security z parametrem mac-address sticky i ograniczeniem do 2 adresów (jeden dla telefonu VoIP, drugi dla komputera PC). Przełącznik po podłączeniu urządzeń sam nauczy się ich adresów i zablokuje port przy próbie wpięcia jakiegokolwiek innego sprzętu.

Skróty użyte w tym slajdzie:
MAC – Media Access Control – unikalny adres sprzętowy karty sieciowej w warstwie 2.
RAM – Random Access Memory – pamięć operacyjna przełącznika.
Sticky MAC – funkcja trwałego zapisu dynamicznie nauczonego adresu MAC w konfiguracji urządzenia.
VoIP – Voice over IP – telefonia cyfrowa w sieci lokalnej.
CLI – Command Line Interface – interfejs linii poleceń.

Cel slajdu: Przedstawienie trzech trybów reakcji przełącznika na naruszenie polityki Port Security (Protect, Restrict, Shutdown) oraz procedury odzyskiwania portu err-disabled.

Reakcja przełącznika na naruszenie polityki bezpieczeństwa

W przypadku wykrycia nieuprawnionego adresu MAC przełącznik realizuje jeden z trzech trybów naruszenia (Violation Modes):

Tryb (Mode)	Odrzucanie pakietów	Generowanie logu Syslog / SNMP	Status portu fizycznego
Protect	Cicho odrzuca pakiety intruza	Nie	Nadal w stanie Up
Restrict	Odrzuca pakiety intruza	Tak (alerty Syslog + SNMP)	Nadal w stanie Up
Shutdown (Domyślny)	Całkowicie blokuje port	Tak (alerty Syslog + SNMP)	Natychmiast err-disabled!

Procedura odzyskiwania portu: Aby przywrócić port ze stanu err-disabled po usunięciu intruza, administrator musi wydać kolejno komendy: shutdown, a następnie no shutdown, lub włączyć automatyczne wznawianie: errdisable recovery cause psecure-violation.

Stan err-disabled w Port Security: Awaryjny stan zablokowania portu przełącznika wywołany wykryciem naruszenia polityki bezpieczeństwa, w którym port zostaje wyłączony programowo, dioda LED świeci na pomarańczowo, a ruch zostaje całkowicie wstrzymany.

Tryby i reakcje w mechanizmie Port Security

Tryb Shutdown jest najbardziej rygorystycznym, ale i najbezpieczniejszym wariantem. Odłączenie całego portu natychmiast zwraca uwagę użytkownika i uniemożliwia intruzowi próby manipulacji innymi protokołami.

Domyślnie port wyłączony w trybie Shutdown przechodzi w stan err-disable i wymaga ręcznej interwencji administratora (wydania w trybie konfiguracji interfejsu poleceń shutdown i no shutdown). W dużych sieciach kampusowych dobrą praktyką jest włączenie automatycznego przywracania portu po określonym czasie kwarantanny:

errdisable recovery cause psecure-violation
errdisable recovery interval 300

Powyższa konfiguracja powoduje automatyczną próbę ponownego otwarcia portu po upływie 300 sekund.

Z kolei tryb Restrict bywa stosowany na portach z telefonami VoIP: pozwala zachować ciągłość działania telefonu pracownika, odrzucając wyłącznie pakiety pochodzące z nieautoryzowanego laptopa podłączonego do dodatkowego gniazda w telefonie.

Skróty użyte w tym slajdzie:
Violation Mode – tryb reakcji przełącznika na naruszenie bezpieczeństwa portu.
Syslog – protokół rejestracji komunikatów zdarzeń systemowych (RFC 5424).
SNMP Trap – asynchroniczny pakiet alarmowy wysyłany przez przełącznik do stacji monitoringu NMS.
err-disabled – stan awaryjnego wyłączenia portu w systemie Cisco IOS.
LED – Light Emitting Diode – kontrolka stanu portu na obudowie przełącznika.

Cel slajdu: Przedstawienie mechanizmu ataku MAC Flooding na pamięć CAM przełącznika, zjawiska Fail-Open (Hub Mode) oraz mitygacji za pomocą Port Security.

Zagrożenie przepełnieniem pamięci CAM przełącznika

Atak MAC Flooding polega na zalewaniu przełącznika tysiącami fałszywych ramek Ethernet z losowymi adresami źródłowymi MAC:

Fizyczne ograniczenie pamięci CAM: przełącznik posiada ograniczony bufor sprzętowy na tablicę adresów MAC (zazwyczaj od 8 000 do 32 000 wpisów).
Przebieg ataku (narzędzia macof / Yersinia): atakujący generuje do 150 000 unikalnych ramek na sekundę; w ułamku sekundy pamięć CAM zostaje w 100% wyczerpana.
Skutek ataku – Tryb Fail-Open (Hub Mode): gdy przełącznik nie ma miejsca na nowe adresy, zaczyna traktować każdy przychodzący pakiet jako Unknown Unicast i rozsyła go na wszystkie porty w VLAN-ie (Flooding)!
Cel atakującego: przełącznik zaczyna zachowywać się jak prymitywny koncentrator (Hub), umożliwiając intruzowi bezinwazyjny podsłuch transmisji wszystkich sąsiadów za pomocą programu Wireshark!

Skuteczna mitygacja: Włączenie mechanizmu Port Security z limitem dozwolonych adresów (np. maximum 2) całkowicie neutralizuje ten atak – przełącznik po prostu zablokuje port po odebraniu trzeciego unikalnego adresu MAC!

Atak MAC Flooding: Atak na warstwę 2 polegający na celowym wyczerpaniu pamięci CAM przełącznika poprzez zalanie jej fałszywymi adresami MAC w celu wymuszenia przejścia urządzenia w stan ciągłego rozsyłania całego ruchu na wszystkie porty (Flooding).

Ataki wyczerpania tablicy MAC (MAC Flooding)

Atak MAC Flooding jest jednym z najstarszych i najbardziej podstępnych ataków na sieci z przełączaniem pakietów. Bez zabezpieczeń intruz nie musi ingerować w konfigurację sąsiednich komputerów – wystarczy, że uruchomi skrypt generujący losowe nagłówki Ethernet.

Oprócz podsłuchu danych atak ten wywołuje potężny narzut na magistralę przełącznika i drastyczny spadek przepustowości dla wszystkich użytkowników w danej domenie rozgłoszeniowej.

Skróty użyte w tym slajdzie:
CAM – Content-Addressable Memory – pamięć asocjacyjna przechowująca tablicę adresów MAC.
MAC Flooding – atak polegający na zalewaniu tablicy przełącznika fałszywymi adresami MAC.
Unknown Unicast – ramka jednostkowa, której adresu docelowego nie odnaleziono w tablicy CAM.
Flooding – rozsyłanie pakietu na wszystkie aktywne porty w danym segmencie.
Wireshark – analizator protokołów sieciowych.

Cel slajdu: Przedstawienie wektorów ataków na protokół DHCP: ataku wyczerpania puli (DHCP Starvation) oraz instalacji fałszywego serwera (Rogue DHCP Server).

Ataki na infrastrukturę automatycznej konfiguracji IP

Protokół DHCP (RFC 2131) jest z natury bezbronny wobec manipulacji w warstwie 2:

Atak DHCP Starvation (Wyczerpanie puli adresowej):
- Atakujący wysyła tysiące zapytań DHCP Discover z losowymi adresami MAC i identyfikatorami klienta.
- Centralny serwer DHCP przydziela wszystkie dostępne adresy z puli IP (np. 250 adresów w podsieci).
- Skutek: żaden prawowity użytkownik, student ani pracownik nie jest w stanie pobrać adresu IP i uzyskać łączności z siecią (Denial of Service).
Atak Rogue DHCP Server (Fałszywy serwer DHCP):
- Atakujący uruchamia na swoim laptopie prywatny serwer DHCP.
- W odpowiedzi na zapytania klientów przesyła fałszywe parametry sieci: własny adres IP jako bramę domyślną oraz własny serwer DNS!
- Skutek: cały ruch internetowy użytkowników zostaje przekierowany przez komputer intruza (atak Man-in-the-Middle) w celu kradzieży haseł i ciasteczek sesyjnych.

Fałszywy serwer DHCP (Rogue DHCP Server): Nieautoryzowany serwer DHCP uruchomiony w sieci lokalnej przez intruza lub przypadkowo przez użytkownika (np. źle podłączony domowy router Wi-Fi), rozsyłający błędne parametry adresowe i przechwytujący ruch sieciowy stacji roboczych.

W kampusach uniwersyteckich zjawisko Rogue DHCP bardzo często nie wynika ze złej woli, lecz z ignorancji użytkowników. Student przynosi do akademika prywatny tani router Wi-Fi z marketu i wpina kabel ze ściany do portu LAN zamiast WAN.

Wbudowany w domowy router serwer DHCP natychmiast zaczyna rozsyłać adresy z puli 192.168.1.0/24 na całe piętro akademika, skutecznie paraliżując dostęp do sieci uniwersyteckiej dla dziesiątek osób.

Skróty użyte w tym slajdzie:
DHCP – Dynamic Host Configuration Protocol – protokół automatycznej konfiguracji stacji.
DoS – Denial of Service – atak uniemożliwiający legalnym użytkownikom korzystanie z usługi.
Rogue DHCP – nieautoryzowany, fałszywy serwer DHCP w sieci lokalnej.
MitM – Man in the Middle – atak przechwytywania i modyfikacji ruchu.
DNS – Domain Name System – sieciowy system nazw domenowych.

Cel slajdu: Przedstawienie zasady działania technologii DHCP Snooping, podziału portów na zaufane (Trusted) i niezaufane (Untrusted) oraz budowy bazy DHCP Snooping Binding Database.

Sprzętowa ochrona wymiany pakietów konfiguracyjnych DHCP

DHCP Snooping to funkcja przełącznika L2, która monitoruje komunikację DHCP i buduje zaufaną bazę powiązań:

Podział portów na zaufane i niezaufane:
- Porty zaufane (Trusted Ports): łącza magistralne (Uplinks) prowadzące do autoryzowanego serwera DHCP; pakiety odpowiedzi serwera (DHCP Offer, ACK) mogą płynąć wyłącznie przez te porty!
- Porty niezaufane (Untrusted Ports): wszystkie porty podłączone do stacji roboczych użytkowników; jeśli na porcie niezaufanym pojawi się pakiet odpowiedzi DHCP (Offer/ACK), przełącznik natychmiast go odrzuca i blokuje port! Całkowita eliminacja Rogue DHCP!
Baza powiązań DHCP Snooping (Binding Database): przełącznik podsłuchuje pomyślnie zakończone transakcje DORA i zapisuje w pamięci: [Adres MAC ↔ Przydzielony IP ↔ Czas dzierżawy ↔ Numer VLAN ↔ Port fizyczny].

Switch(config)# ip dhcp snooping
Switch(config)# ip dhcp snooping vlan 10,20
Switch(config-if)# interface TenGigabitEthernet 1/1/1
Switch(config-if)# ip dhcp snooping trust

DHCP Snooping: Funkcja bezpieczeństwa warstwy 2 w przełącznikach sieciowych filtrująca nieautoryzowane komunikaty serwerów DHCP na portach niezaufanych oraz tworząca dynamiczną bazę powiązań adresów IP i MAC ze strukturą portów fizycznych.

Baza danych powiązań DHCP Snooping (Binding Database) jest fundamentem bezpieczeństwa całej warstwy 2 w nowoczesnym kampusie. Stanowi ona „źródło prawdy”, na którym bazują dwa kolejne kluczowe mechanizmy obronne: Dynamic ARP Inspection (DAI) oraz IP Source Guard (IPSG).

Dodatkowo DHCP Snooping posiada funkcję ograniczania liczby zapytań na sekundę (Rate Limiting: polecenie ip dhcp snooping limit rate 15), co całkowicie eliminuje ataki wyczerpania puli DHCP Starvation.

Skróty użyte w tym slajdzie:
DHCP Snooping – funkcja inspekcji i filtrowania pakietów protokołu DHCP.
Trusted Port – port zaufany dopuszczający pakiety odpowiedzi od serwera DHCP.
Untrusted Port – port niezaufany blokujący fałszywe serwery DHCP.
DORA – Discover, Offer, Request, Acknowledge – cykl komunikatów protokołu DHCP.
Rate Limiting – sprzętowe ograniczanie natężenia pakietów na sekundę.

Cel slajdu: Przedstawienie mechaniki ataku ARP Spoofing / ARP Poisoning, zatruwania pamięci podręcznej stacji roboczych i routera oraz przechwytywania ruchu w domenie L2.

Zatruwanie pamięci podręcznej i przejmowanie ruchu w domenie L2

Protokół ARP nie posiada weryfikacji tożsamości – stacje bezkrytycznie aktualizują swoją tablicę na podstawie nadesłanych pakietów:

Mechanizm zatruwania pamięci ARP (ARP Poisoning):
1. Atakujący wysyła do ofiary niezamówioną fałszywą odpowiedź ARP: „Adres IP bramy domyślnej 192.168.10.1 znajduje się pod moim adresem MAC (MAC atakującego)”.
2. Jednocześnie wysyła do routera (bramy) pakiet: „Adres IP ofiary 192.168.10.50 znajduje się pod moim adresem MAC”.
Skutek przechwycenia:
- Ofiara wysyła cały ruch do Internetu na adres fizyczny karty atakującego.
- Atakujący analizuje pakiety, wyciąga hasła i forwarduje ruch do prawdziwej bramy, aby ofiara nie zorientowała się o trwającym podsłuchu.
Brak ochrony w standardowym Ethernet: przełącznik warstwy 2 bez dodatkowych funkcji nie wnika w treść nagłówków ARP i bezwolnie forwarduje zatrute pakiety.

Zatruwanie tablicy ARP (ARP Spoofing / ARP Poisoning): Technika ataku w sieciach lokalnych Ethernet polegająca na rozsyłaniu fałszywych komunikatów protokołu ARP w celu skojarzenia adresu MAC atakującego z adresem IP innego legalnego węzła (najczęściej bramy domyślnej) w celu podsłuchu lub modyfikacji transmisji.

Atak ARP Spoofing jest jednym z najbardziej niszczących ataków w sieciach kampusowych. Umożliwia nie tylko pasywny podsłuch nieszyfrowanych protokołów (HTTP, FTP, Telnet), ale także przeprowadzanie ataków SSL Stripping, podmianę pobieranych plików binarnych w locie oraz selektywne odcinanie wybranych użytkowników od sieci (Denial of Service).

Jedyną skuteczną metodą eliminacji tego zagrożenia na poziomie sprzętowym jest wdrożenie technologii Dynamic ARP Inspection na przełącznikach dostępowych.

Skróty użyte w tym slajdzie:
ARP – Address Resolution Protocol – protokół mapowania adresów IP na adresy fizyczne MAC.
ARP Poisoning – zatruwanie pamięci podręcznej ARP fałszywymi rekordami.
MitM – Man in the Middle – atak pośredniczący w transmisji danych.
L2 – Layer 2 – warstwa łącza danych modelu OSI.
SSL Stripping – atak wymuszający obniżenie bezpieczeństwa sesji z HTTPS do nieszyfrowanego HTTP.

Cel slajdu: Wyjaśnienie zasady działania mechanizmu DAI w ochronie przed zatruwaniem pamięci podręcznej ARP (ARP Cache Poisoning) oraz atakami Man-in-the-Middle.

Walidacja pakietów protokołu rozwiązywania adresów (DAI)

Dynamic ARP Inspection (DAI) to mechanizm przełącznika uniemożliwiający ataki typu ARP Spoofing:

Zasada działania: przełącznik przechwytuje wszystkie pakiety ARP (zapytania i odpowiedzi) pojawiające się na portach niezaufanych (Untrusted).
Weryfikacja w bazie DHCP Snooping: sprzętowa walidacja pary adresów [Adres IP, Adres MAC] w nagłówku ARP względem zaufanej bazy powiązań (Binding Database).
Reakcja na anomalie: natychmiastowe odrzucenie fałszywych pakietów ARP w układzie ASIC i generowanie powiadomień Syslog oraz pułapek SNMP Trap.
Ochrona urządzeń statycznych (ARP ACL): definiowanie statycznych reguł mapowania adresów IP i MAC dla serwerów, drukarek i bram domyślnych niekorzystających z DHCP.
Ograniczanie częstotliwości (Rate Limiting): limitowanie liczby pakietów ARP na sekundę (np. 15 pps), zabezpieczające procesor przełącznika przed zalaniem DoS.

Fundament działania: Sprzętowa walidacja pakietów ARP w mechanizmie DAI oraz filtracja adresów IP w IP Source Guard (IPSG) opierają się całkowicie na bazie powiązań budowanej dynamicznie przez mechanizm DHCP Snooping (DHCP Snooping Binding Database). Aktywacja DAI bez wcześniejszego i poprawnego skonfigurowania DHCP Snooping (lub statycznych list ARP ACL dla urządzeń o stałej adresacji IP) spowoduje natychmiastowe zablokowanie całego ruchu w sieci, gdyż wszystkie pakiety ARP zostaną uznane za fałszywe.

Dynamic ARP Inspection (DAI): Funkcja bezpieczeństwa przełącznika warstwy 2, która przechwytuje i weryfikuje poprawność wszystkich pakietów protokołu ARP na podstawie bazy powiązań DHCP Snooping lub statycznych list ARP ACL, chroniąc sieć przed atakami typu ARP Poisoning i Man-in-the-Middle.

Mechanizm DAI jest bezpośrednio uzależniony od poprawnego działania DHCP Snooping. Bez aktywnej bazy DHCP Snooping przełącznik nie posiadałby wzorca prawdy do weryfikacji pakietów ARP. Wdrożenie DAI w połączeniu z DHCP Snooping całkowicie eliminuje możliwość wykonania ataków Man-in-the-Middle w warstwie 2.

Warto pamiętać o włączeniu ograniczenia częstotliwości zapytań (DAI Rate Limiting, np. do 15 pakietów ARP na sekundę na porcie), co chroni procesor przełącznika przed celowym zalaniem fałszywymi pakietami ARP (atak DoS na CPU przełącznika).

Skróty użyte w tym slajdzie:
DAI – Dynamic ARP Inspection – dynamiczna inspekcja pakietów protokołu ARP.
ARP – Address Resolution Protocol – protokół odwzorowania adresów IP na adresy MAC.
MitM – Man-in-the-Middle – atak polegający na potajemnym przechwytywaniu i modyfikowaniu komunikacji.
PPS – Packets Per Second – liczba pakietów przesyłanych w ciągu jednej sekundy.
ASIC – Application-Specific Integrated Circuit – dedykowany układ scalony realizujący przełączanie sprzętowe.

Cel slajdu: Przedstawienie mechanizmu sprzętowej filtracji pakietów IPSG zapobiegającego podszywaniu się pod cudze adresy IP w warstwie dostępowej.

Sprzętowa filtracja adresów źródłowych (IPSG)

IP Source Guard uniemożliwia użytkownikowi ręczną zmianę lub podszywanie się pod cudzy adres IP:

Zagrożenie podszywania się (IP Spoofing): ręczne konfigurowanie na stacji cudzego adresu IP (serwera lub bramy) w celu ominięcia zabezpieczeń, podsłuchu lub kradzieży tożsamości.
Mechanizm IPSG: przełącznik na porcie niezaufanym dynamicznie instaluje sprzętowy filtr pakietów (Port ACL) w pamięci TCAM.
Kryterium filtracji: dozwolony jest wyłącznie ruch IP, którego adres źródłowy IP i adres źródłowy MAC idealnie zgadzają się z wpisem w bazie DHCP Snooping Binding Database.
Złota triada warstwy 2: synergia trzech powiązanych mechanizmów: DHCP Snooping (rejestracja) + DAI (ochrona ARP) + IPSG (ochrona pakietów IP).

Rekomendacja projektowa: Implementacja pełnej triady bezpieczeństwa L2 (DHCP Snooping, DAI, IPSG) na poziomie każdego przełącznika dostępowego tworzy nieprzepuszczalną barierę dla ataków tożsamościowych w sieci lokalnej.

IP Source Guard (IPSG): Mechanizm bezpieczeństwa warstwy 2 instalujący dynamiczne reguły filtracji pakietów (Port ACL) na portach przełącznika, odrzucający na poziomie sprzętowym pakiety IP o adresach źródłowych niezgodnych z bazą powiązań DHCP Snooping.

Połączenie trzech technologii: DHCP Snooping + DAI + IP Source Guard tworzy tzw. „złotą triadę bezpieczeństwa warstwy 2” (L2 Security Triad). DHCP Snooping kontroluje przydział adresów IP, DAI weryfikuje translację IP-do-MAC w warstwie 2, a IPSG pilnuje, aby stacja nadawała pakiety wyłącznie z przypisanego jej adresu IP w warstwie 3.

Zastosowanie tej triady na wszystkich przełącznikach dostępowych całkowicie unieszkodliwia próby kradzieży tożsamości sieciowej i ataki MitM wewnątrz kampusu.

Skróty użyte w tym slajdzie:
IPSG – IP Source Guard – sprzętowy mechanizm filtracji pakietów IP na portach dostępowych uniemożliwiający podszywanie się pod cudze adresy.
DAI – Dynamic ARP Inspection – mechanizm weryfikacji poprawności pakietów ARP na podstawie bazy powiązań DHCP Snooping.
ACL – Access Control List – lista kontroli dostępu definiująca reguły dopuszczania lub blokowania pakietów w urządzeniu sieciowym.
ASIC – Application-Specific Integrated Circuit – wyspecjalizowany układ scalony realizujący filtrowanie i przełączanie z pełną prędkością łącza.

Cel slajdu: Analiza podatności magistrali 802.1Q na ataki VLAN Hopping oraz technik ich przeprowadzania (Switch Spoofing i Double Tagging).

Mechanizmy przeskakiwania między wirtualnymi sieciami (VLAN Hopping)

Ataki VLAN Hopping umożliwiają stacji w jednym VLAN-ie wstrzyknięcie ruchu do innego, odizolowanego VLAN-u bez przechodzenia przez router:

Istota zagrożenia VLAN Hopping: wysyłanie spreparowanych ramek pozwalających na ominięcie zapór ogniowych i naruszenie separacji logicznej segmentów sieci.
Atak Switch Spoofing: stacja wysyła fałszywe ramki protokołu DTP (Dynamic Trunking Protocol), udając przełącznik. Jeśli port pracował w trybie dynamicznym (Auto/Desirable), stacja zestawia łącze trunk i uzyskuje dostęp do wszystkich VLAN-ów.
Atak Double Tagging: atakujący wysyła ramkę z dwoma znacznikami 802.1Q. Znacznik zewnętrzny odpowiada natywnemu VLAN-owi magistrali (np. VLAN 1). Pierwszy przełącznik zdejmuje znacznik natywny, a drugi przełącznik odczytuje znacznik wewnętrzny i przekazuje ramkę do VLAN-u ofiary.
Asymetria ataku podwójnego tagowania: atak ma charakter jednokierunkowy, lecz pozwala na bezkarne przesyłanie exploitów UDP/ICMP lub złośliwych zapytań do stref chronionych.

Uwaga architektoniczna: Zagrożenie atakiem Double Tagging wynika bezpośrednio ze specyfikacji standardu 802.1Q, w którym ramki natywnego VLAN-u są transmitowane przez magistralę trunk w postaci nietagowanej.

VLAN Hopping: Metoda ataku sieciowego pozwalająca intruzowi na obejście izolacji wirtualnych sieci LAN (VLAN) i przekazanie nieuprawnionych pakietów do innych segmentów sieciowych bez pośrednictwa routera lub zapory ogniowej.

Atak Double Tagging jest atakiem jednokierunkowym (atakujący nie widzi ruchu powrotnego), lecz pozwala na wysyłanie złośliwych zapytań (np. SNMP, exploitów sieciowych) do stref teoretycznie odizolowanych zaporami ogniowymi.

Zrozumienie mechanizmu tego ataku ma kluczowe znaczenie inżynierskie: wynika on z faktu, że ramki należące do Native VLAN są przesyłane przez magistralę trunk 802.1Q bez żadnego znacznika (nietagowane). Pozwala to na manipulację strukturą nagłówka ramki Ethernet.

Skróty użyte w tym slajdzie:
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
DTP – Dynamic Trunking Protocol – protokół automatycznej negocjacji magistrali trunk.
802.1Q – IEEE 802.1Q – międzynarodowy standard znakowania (tagowania) ramek w sieciach VLAN.
DoS – Denial of Service – odmowa usługi.

Cel slajdu: Przedstawienie inżynierskich zasad konfiguracji i utwardzania portów magistralnych w celu neutralizacji podatności VLAN Hopping.

Inżynierskie zasady zabezpieczania łączy 802.1Q

Skuteczna ochrona przed atakami na strukturę VLAN wymaga wdrożenia czterech reguł konfiguracyjnych:

Wyłączenie protokołu DTP: bezwzględne wyłączenie automatycznej negocjacji na wszystkich portach. Porty dostępowe konfiguruje się jawnie jako switchport mode access, a magistrale jako switchport mode trunk wraz z dyrektywą switchport nonegotiate.
Dedykowany, nieużywany Native VLAN: przeniesienie Native VLAN z domyślnego VLAN 1 na dedykowany, nieużywany identyfikator (np. VLAN 999), do którego nie ma przypisanych żadnych portów dostępowych.
Wymuszenie tagowania Native VLAN: aktywacja globalnego polecenia vlan dot1q tag native, które wymusza znakowanie nawet ramek należących do VLAN-u natywnego, całkowicie unieszkodliwiając atak Double Tagging.
Precyzyjna lista dozwolonych VLAN-ów (VLAN Pruning): ograniczenie przesyłania ruchu wyłącznie do niezbędnych sieci za pomocą switchport trunk allowed vlan.

Błąd krytyczny: Pozostawienie domyślnej konfiguracji fabrycznej z aktywnym protokołem DTP w trybie dynamic auto oraz natywnym VLAN 1 na portach dostępowych stanowi rażące zaniedbanie i otwiera drogę do natychmiastowej kompromitacji segmentacji sieci.

Utwardzanie magistrali trunk (Trunk Hardening): Zbiór najlepszych praktyk inżynierskich i dyrektyw konfiguracyjnych mających na celu uniemożliwienie nieautoryzowanej negocjacji magistrali trunk oraz wyeliminowanie podatności związanych z obsługą nietagowanego ruchu natywnego.

Pozostawienie domyślnej konfiguracji fabrycznej przełączników (gdzie porty znajdują się w trybie dynamic auto, a Native VLAN to VLAN 1) jest poważnym błędem sztuki inżynierskiej. Umożliwia to każdemu użytkownikowi z laptopem i oprogramowaniem do testów penetracyjnych (np. Yersinia) przejęcie kontroli nad magistralą w kilka sekund.

Wszystkie nieużywane porty przełącznika muszą być wyłączone administracyjnie (shutdown) i przypisane do martwego VLAN-u (tzw. Blackhole VLAN).

Skróty użyte w tym slajdzie:
DTP – Dynamic Trunking Protocol – protokół automatycznej negocjacji trybu magistrali.
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
SVI – Switch Virtual Interface – wirtualny interfejs warstwy 3 przełącznika.
CLI – Command Line Interface – interfejs wiersza poleceń.

Cel slajdu: Omówienie koncepcji PVLAN jako metody mikrosegmentacji warstwy 2 w obrębie wspólnej podsieci IP.

Izolacja ruchu stacji roboczych w obrębie jednej podsieci

Private VLANs (PVLAN) dzielą pojedynczą domenę rozgłoszeniową na izolowane subdomeny w warstwie 2 bez konieczności tworzenia nowych podsieci IP:

VLAN podstawowy (Primary VLAN): przenosi ruch od bramy domyślnej (routera) do wszystkich portów podrzędnych w strukturze logicznej.
Porty Promiscuous (Mieszane): porty podłączone do bram domyślnych, zapór sieciowych i serwerów centralnych; mogą komunikować się ze wszystkimi portami w PVLAN.
Porty Isolated (Izolowane): stacje podłączone do tych portów są całkowicie odizolowane od siebie nawzajem – mogą wymieniać ruch wyłącznie z portem Promiscuous.
Porty Community (Grupowe): stacje w ramach tej samej grupy Community mogą komunikować się ze sobą nawzajem oraz z portem Promiscuous, lecz nie widzą innych grup.

Efektywność adresowa: Zastosowanie PVLAN pozwala na pełną izolację tysięcy stacji studenckich w akademikach lub gości w sieci Wi-Fi bez marnowania przestrzeni adresowej na tworzenie setek małych podsieci z prefiksem /30 czy /29.

Private VLAN (PVLAN): Technologia wirtualizacji warstwy 2 dzieląca domenę rozgłoszeniową na poziomie portów przełącznika na porty izolowane, grupowe i nadrzędne, uniemożliwiająca bezpośrednią komunikację między urządzeniami w tej samej podsieci.

PVLAN stanowi idealne rozwiązanie dla sieci akademików, otwartych laboratoriów studenckich oraz sieci gościnnych. W tradycyjnym VLAN-ie wszyscy studenci w akademiku znajdują się w jednej podsieci i mogą bezpośrednio atakować lub skanować swoje komputery.

Dzięki skonfigurowaniu portów studenckich jako Isolated, żaden student nie może wysłać pakietu bezpośrednio do sąsiada z pokoju obok – cały ruch musi przejść przez router/firewall na porcie Promiscuous, gdzie podlega inspekcji.

Skróty użyte w tym slajdzie:
PVLAN – Private Virtual Local Area Network – prywatna wirtualna sieć lokalna.
DMZ – Demilitarized Zone – strefa zdemilitaryzowana.
IP – Internet Protocol – protokół internetowy.
MAC – Media Access Control – fizyczny adres karty sieciowej.

Cel slajdu: Porównanie protokołów bezpieczeństwa sieci bezprzewodowych WPA2 i WPA3 ze szczególnym uwzględnieniem trybu Enterprise oraz wymiany kluczy SAE.

Szyfrowanie i ochrona dostępu radiowego w kampusie

Dostęp bezprzewodowy wymaga silnych mechanizmów szyfrowania medium transmisyjnego:

WPA2-Enterprise: standard de facto oparty na protokole IEEE 802.1X/EAP oraz szyfrowaniu AES-CCMP (128-bitowy klucz). Każdy użytkownik otrzymuje unikalny klucz sesyjny generowany dynamicznie podczas logowania.
Podatności WPA2: podatność mechanizmu 4-Way Handshake na ataki KRACK (Key Reinstallation Attack) oraz podatność trybu Personal (PSK) na ataki słownikowe offline.
WPA3-Enterprise: wprowadzenie 192-bitowego pakietu kryptograficznego CNSA / Suite-B (GCMP-256, SHA-384, ECDH), gwarantującego najwyższą poufność danych wrażliwych.
WPA3-Personal (SAE): zastąpienie podatnego mechanizmu klucza współdzielonego (PSK) protokołem SAE (Simultaneous Authentication of Equals bazującym na algorytmie wymiany klucza Dragonfly). Protokół ten uniemożliwia przeprowadzenie ataków słownikowych offline na przechwycony 4-etapowy proces uwierzytelniania oraz zapewnia właściwość Forward Secrecy – nawet w przypadku późniejszego ujawnienia hasła sieciowego napastnik nie jest w stanie odszyfrować wcześniej zarejestrowanej komunikacji radiowej.

Standard kampusowy: W środowisku kampusowym bezwzględnym wymogiem jest stosowanie trybu WPA2/WPA3-Enterprise powiązanego z centralnym serwerem RADIUS (np. sieć eduroam). Stosowanie haseł współdzielonych PSK jest krytycznym błędem projektowym.

WPA3-Enterprise: Zaawansowany standard bezpieczeństwa sieci bezprzewodowych Wi-Fi definiujący 192-bitowy tryb kryptograficzny z uwierzytelnianiem EAP, chroniący transmisję radiową przed zaawansowaną kryptoanalizą i atakami podsłuchowymi.

Bezpieczeństwo sieci bezprzewodowej: WPA2 i WPA3

W sieciach kampusowych kategorycznie odradza się stosowanie trybów ze wspólnym kluczem (WPA2/WPA3-Personal PSK). Wpisanie jednego hasła na setkach urządzeń studenckich uniemożliwia jakąkolwiek rozliczalność i skutkuje natychmiastowym wyciekiem hasła poza instytucję.

Jedynym poprawnym rozwiązaniem w kampusie jest WPA2/WPA3-Enterprise powiązany z centralnym katalogiem tożsamości LDAP/Active Directory poprzez serwer RADIUS.

Skróty użyte w tym slajdzie:
WPA – Wi-Fi Protected Access – standard zabezpieczeń sieci bezprzewodowych Wi-Fi.
SAE – Simultaneous Authentication of Equals – odporna na podsłuch metoda wymiany kluczy w WPA3.
AES – Advanced Encryption Standard – zaawansowany standard szyfrowania symetrycznego.
CCMP – Counter Mode CBC-MAC Protocol – protokół szyfrowania stosowany w WPA2.
GCMP – Galois/Counter Mode Protocol – szyfrowanie z uwierzytelnianiem stosowane w WPA3.
EAP – Extensible Authentication Protocol – rozszerzalny protokół uwierzytelniania.

Cel slajdu: Wyjaśnienie znaczenia standardu IEEE 802.11w (PMF) w zabezpieczaniu transmisji radiowej przed atakami deautentykacji i odmowy usługi.

Protected Management Frames – odporność na ataki deautentykacji

W klasycznym standardzie 802.11 ramki zarządzające sieci bezprzewodowej były przesyłane całkowicie w postaci jawnej:

Podatność na ataki Deauthentication DoS: atakujący wysyła sfałszowaną ramkę deautentykacji z adresem MAC punktu dostępowego, natychmiast zrywając połączenie stacji ofiary lub całej auli wykładowej.
Mechanizm IEEE 802.11w (PMF): kryptograficzne podpisywanie i opcjonalne szyfrowanie ramek zarządzających wg Standard IEEE 802.11w: Protected Management Frames (deautentykacja, rozłączenie, zmiana kanału) za pomocą algorytmu BIP (BIP-CMAC-128).
Ochrona integralności: klient odrzuca niepodpisane ramki deautentykacyjne, uniemożliwiając wstrzyknięcie fałszywych pakietów przez intruza.
Obligatoryjność w WPA3: standard WPA3 bezwzględnie wymaga włączenia PMF (tryb Required), co całkowicie eliminuje historyczną plagę ataków deautentykacji.

Inżynieria odporności: Aktywacja PMF (Protected Management Frames) w sieci bezprzewodowej kampusu całkowicie uniemożliwia zakłócanie egzaminów elektronicznych i wideokonferencji za pomocą popularnych skryptów deautentykacyjnych.

Protected Management Frames (IEEE 802.11w): Rozszerzenie standardu IEEE 802.11 zapewniające integralność, uwierzytelnienie źródła i opcjonalną poufność bezprzewodowych ramek zarządzających, uniemożliwiające ataki podszywania się i wymuszonej deautentykacji klientów.

Ochrona ramek zarządzających Wi-Fi: IEEE 802.11w PMF

Atak deautentykacji (Deauth Attack) był przez lata najprostszą i najbardziej niszczycielską metodą paraliżowania zajęć i egzaminów elektronicznych. Uruchomienie darmowego skryptu na miniaturowym module ESP8266 pozwalało odciąć setki studentów od sieci Wi-Fi w promieniu 50 metrów.

Standard IEEE 802.11w (PMF) definitywnie likwiduje ten wektor ataku, wprowadzając kryptograficzne podpisywanie ramek zarządzających za pomocą protokołu BIP (Broadcast Integrity Protocol).

Skróty użyte w tym slajdzie:
PMF – Protected Management Frames – chronione ramki zarządzające standardu 802.11w.
BIP – Broadcast Integrity Protocol – protokół ochrony integralności ramek rozgłoszeniowych.
CMAC – Cipher-based Message Authentication Code – kod uwierzytelniania wiadomości oparty na szyfrze blokowym.
DoS – Denial of Service – odmowa usługi.
AP – Access Point – punkt dostępu bezprzewodowego.

Cel slajdu: Przedstawienie procedur detekcji urządzeń typu Rogue AP oraz zasad funkcjonowania systemów bezprzewodowego zapobiegania włamaniom WIPS.

Rogue AP Detection i systemy WIPS w kampusie

Nieautoryzowane punkty dostępowe stanowią poważną lukę w obwodzie bezpieczeństwa kampusu:

Zagrożenie Rogue AP: pracownik lub student podłącza prywatny router Wi-Fi do gniazda ściennego w akademiku lub biurze, omijając centralne zapory i uwierzytelnianie 802.1X.
Atak Evil Twin: intruz uruchamia własny punkt dostępowy rozgłaszający identyczny SSID jak sieć uczelniana (np. „eduroam”), nakłaniając stacje do połączenia i kradnąc poświadczenia.
Skanowanie w tle (Off-Channel Scanning): legalne punkty dostępowe w kampusie periodycznie przełączają swoje radia w tryb nasłuchu obcych transmisji i fałszywych sygnałów.
Systemy WIPS (Wireless IPS): automatyczna korelacja adresów MAC w warstwie radiowej i przewodowej przełącznika oraz automatyczne blokowanie portu na przełączniku dostępowym.

Integracja systemowa: Skuteczny system WIPS nie ogranicza się do wykrycia obcego sygnału radiowego, lecz automatycznie lokalizuje fizyczny port przełącznika, do którego wpięto nielegalne urządzenie, i izoluje go w ciągu sekund.

Wireless Intrusion Prevention System (WIPS): Zintegrowany system bezpieczeństwa monitorujący widmo radiowe w czasie rzeczywistym, służący do automatycznej detekcji, lokalizacji i neutralizacji nieautoryzowanych urządzeń nadawczych, ataków radiowych oraz fałszywych punktów dostępu (Rogue AP).

Wykrywanie nieautoryzowanych punktów dostępowych

Nowoczesne kontrolery sieci bezprzewodowych (WLC) posiadają wbudowane mechanizmy WIPS (Wireless Intrusion Prevention System). Punkty dostępowe mogą pracować w dedykowanym trybie Monitor Mode, gdzie 100% czasu poświęcają na analizę spektrum radiowego i wykrywanie anomalii.

W przypadku wykrycia Rogue AP podłączonego do sieci uczelnianej, kontroler wysyła polecenie do przełącznika dostępowego (poprzez SNMP lub API) w celu natychmiastowego wyłączenia portu fizycznego, do którego wpięto nielegalny punkt.

Skróty użyte w tym slajdzie:
WIPS – Wireless Intrusion Prevention System – system zapobiegania włamaniom w sieciach bezprzewodowych.
SSID – Service Set Identifier – identyfikator sieci bezprzewodowej.
WLC – Wireless LAN Controller – kontroler sieci bezprzewodowej.
MAC – Media Access Control – unikalny adres fizyczny karty sieciowej.

Cel slajdu: Projektowanie odizolowanych stref sieciowych dla gości i prywatnych urządzeń pracowników (BYOD) z wykorzystaniem portali przechwytujących.

Projektowanie bezpiecznych stref dla gości i urządzeń prywatnych

Dostęp gościnny i obsługa urządzeń prywatnych wymagają rygorystycznej separacji od zasobów produkcyjnych:

Koncepcja BYOD (Bring Your Own Device): obsługa niezarządzanych, prywatnych smartfonów i laptopów przy zachowaniu całkowitego bezpieczeństwa sieci uczelnianej.
Dedykowany VLAN gościnny: ruch gości jest całkowicie odizolowany od sieci wewnętrznej za pomocą dedykowanych VLAN-ów i tunelowania bezpośrednio do strefy DMZ.
Portal przechwytujący (Captive Portal): mechanizm przekierowania ruchu HTTP/HTTPS na stronę logowania, akceptacji regulaminu lub rejestracji przez kod SMS.
Izolacja klientów (Client Isolation): sprzętowa blokada komunikacji między użytkownikami sieci gościnnej w warstwie 2, uniemożliwiająca wzajemne infekcje i skanowanie portów.
Limitowanie pasma (Rate Limiting QoS): przydział maksymalnej przepustowości na gościa (np. 10/2 Mb/s) zapobiega wysyceniu łącza kampusowego.

Architektura izolacji: Ruch z sieci gościnnej i strefy BYOD powinien być tunelowany bezpośrednio do strefy DMZ lub rutowany prosto do łącza internetowego, bez prawa wglądu w sieć wewnętrzną kampusu.

Captive Portal: Mechanizm sieciowy wymuszający przekierowanie sesji przeglądarki użytkownika na dedykowaną stronę internetową w celu uwierzytelnienia, akceptacji warunków korzystania z sieci lub weryfikacji tożsamości przed przyznaniem dostępu do zasobów zewnętrznych.

W dużych kampusach stosuje się tzw. architekturę Foreign-Anchor Controller dla ruchu gościnnego. Ruch z punktów dostępowych w całym kampusie trafia do kontrolera wewnętrznego (Foreign), lecz stamtąd jest bezpośrednio tunelowany (np. tunelem CAPWAP lub EoIP) do dedykowanego kontrolera kotwiczącego (Anchor) umieszczonego w strefie DMZ.

Dzięki temu żaden pakiet z sieci gościnnej nie ma fizycznej możliwości przedostania się do sieci wewnętrznej uczelni.

Skróty użyte w tym slajdzie:
BYOD – Bring Your Own Device – model korzystania z prywatnych urządzeń w sieci organizacji.
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
DMZ – Demilitarized Zone – strefa zdemilitaryzowana.
CAPWAP – Control and Provisioning of Wireless Access Points – protokół sterowania i tunelowania AP.
QoS – Quality of Service – jakość usługi i kształtowanie pasma.

Cel slajdu: Omówienie roli list kontroli dostępu (ACL) jako podstawowego mechanizmu filtracji i sterowania ruchem na przełącznikach warstwy 3 i routerach.

Sieciowy filtr kategoryczny w warstwie dystrybucji

Listy kontroli dostępu (ACL) stanowią podstawowy instrument sterowania przepływem pakietów w kampusie:

Istota działania ACL: sekwencyjny zbiór reguł zezwalających (permit) lub odrzucających (deny) pakiety na podstawie kryteriów warstw 2, 3 i 4.
Sprzętowa ewaluacja w TCAM: na przełącznikach dystrybucyjnych listy ACL są kompilowane i wykonywane bezpośrednio w pamięci TCAM w pełnym tempie łączy (Wire-Speed), bez angażowania procesora CPU.
Niejawne odrzucenie (Implicit Deny Any): każda lista ACL kończy się niewidoczną regułą odrzucającą cały ruch niespełniający wcześniejszych warunków.
Zastosowanie wieloobszarowe: bezpieczeństwo (filtrowanie ruchu między VLAN-ami), polityki QoS (klasyfikacja pakietów) oraz sterowanie trasowaniem (Route Maps, NAT).

Zasada kolejności: Reguły w liście ACL przetwarzane są od góry do dołu. Pierwsze dopasowanie (First-Match) decyduje o losie pakietu, dlatego reguły najbardziej szczegółowe muszą znajdować się przed regułami ogólnymi.

Access Control List (ACL): Sekwencyjna lista reguł filtracyjnych stosowana na routerach i przełącznikach wielowarstwowych w celu dopuszczenia lub zablokowania przepływu pakietów na podstawie adresów źródłowych, docelowych oraz parametrów protokołów transportowych.

Filtrowanie ruchu: listy kontroli dostępu (ACL) w kampusie

Listy ACL w sieci kampusowej pełnią rolę filtrów pierwszej linii na poziomie warstwy dystrybucyjnej. Choć nie zastępują one wyspecjalizowanych zapór nowej generacji (NGFW) wykonujących inspekcję warstwy 7 (aplikacyjnej), to odciążają szkielet sieci od zbędnego i nielegalnego ruchu.

Dzięki realizacji w pamięci TCAM, filtrowanie milionów pakietów na sekundę odbywa się bez wprowadzania jakichkolwiek opóźnień (Zero-Latency Impact).

Skróty użyte w tym slajdzie:
ACL – Access Control List – lista kontroli dostępu.
TCAM – Ternary Content-Addressable Memory – pamięć trójstanowa do sprzętowej ewaluacji reguł.
SVI – Switch Virtual Interface – wirtualny interfejs warstwy 3 przełącznika.
NGFW – Next-Generation Firewall – zapora sieciowa nowej generacji.
CPU – Central Processing Unit – procesor główny urządzenia sieciowego.

Cel slajdu: Porównanie list ACL standardowych i rozszerzonych, kryteria filtracji oraz zasady ich numerowania i nazywania.

Kryteria filtracji i porównanie funkcjonalne

W zależności od wymaganej precyzji filtracji stosuje się dwa główne typy list ACL:

Cecha	Standardowa ACL	Rozszerzona ACL
Kryteria filtracji	Wyłącznie źródłowy adres IP	Adres źródłowy, docelowy, protokół (TCP/UDP/ICMP), porty aplikacji, flagi stanu
Zakres numeracji	1-99 oraz 1300-1999	100-199 oraz 2000-2699
Umiejscowienie	Najbliżej celu ruchu	Najbliżej źródła ruchu
Format nazwany	`ip access-list standard NAZWA`	`ip access-list extended NAZWA`

Rekomendacja inżynierska: W nowoczesnym projektowaniu sieci kampusowej należy bezwzględnie stosować nazwane listy ACL (Named ACL). Pozwalają one na wstawianie poprawek między istniejące reguły za pomocą numerów sekwencyjnych bez konieczności przepisywania całej listy.

Rozszerzona lista ACL (Extended ACL): Zaawansowana reguła filtracji pakietów umożliwiająca precyzyjną kontrolę transmisji na podstawie adresów źródłowych i docelowych IP, typu protokołu transportowego oraz numerów portów aplikacji.

Typologia list ACL: standardowe vs rozszerzone

Standardowe listy ACL ze względu na analizę wyłącznie adresu źródłowego są bardzo niebezpieczne w użyciu: jeśli umieścimy standardową ACL blokującą studenta zbyt blisko jego komputera, odetniemy go od całej sieci, a nie tylko od serwera ocen!

Dlatego standardowe ACL stosuje się wyłącznie najbliżej celu (np. na interfejsie serwera) lub do zabezpieczania linii terminalowych VTY, natomiast w całej sieci kampusowej stosuje się wyłącznie rozszerzone listy ACL.

Skróty użyte w tym slajdzie:
ACL – Access Control List – lista kontroli dostępu.
TCP – Transmission Control Protocol – połączeniowy protokół sterowania transmisją.
UDP – User Datagram Protocol – bezpołączeniowy protokół pakietów użytkownika.
ICMP – Internet Control Message Protocol – protokół komunikatów kontrolnych w sieci Internet.

Cel slajdu: Wyłożenie inżynierskich reguł rozmieszczania i hierarchizacji list ACL w celu optymalizacji przepustowości i obciążenia pamięci TCAM.

Reguły rozmieszczania filtrów w modelu hierarchicznym

Właściwe umiejscowienie listy ACL ma kluczowe znaczenie dla optymalizacji ruchu w szkieletowej części kampusu:

Rozszerzone listy ACL umieszczaj najbliżej źródła: zablokowanie nielegalnego pakietu już na poziomie przełącznika dystrybucyjnego (lub dostępowego) zapobiega marnowaniu pasma w łączach szkieletowych Core.
Standardowe listy ACL umieszczaj najbliżej celu: ze względu na brak możliwości zdefiniowania adresu docelowego, zbyt wczesne zastosowanie standardowej ACL odetnie stację od wszystkich usług.
Kolejność reguł od szczegółu do ogółu: pakiety dopasowywane są sekwencyjnie. Najczęściej wywoływane i najbardziej specyficzne reguły muszą znajdować się na początku listy, co redukuje liczbę operacji odczytu.
Optymalizacja pamięci TCAM: stosowanie grup obiektów (Object Groups) zamiast dziesiątek pojedynczych wpisów pozwala radykalnie zredukować zużycie drogiej pamięci TCAM w przełącznikach.

Złota reguła rozmieszczania: „Rozszerzone listy ACL umieszczaj najbliżej źródła ruchu, standardowe listy ACL najbliżej celu”. Złamanie tej zasady prowadzi do przeciążenia rdzenia lub przypadkowego odcięcia dostępu do innych usług.

Optymalizacja TCAM dla ACL: Proces inżynierski polegający na logicznym upraszczaniu, agregacji i porządkowaniu reguł kontroli dostępu w celu zminimalizowania liczby wpisów w pamięci sprzętowej przełącznika bez zmiany założeń polityki bezpieczeństwa.

Zasady projektowania i optymalizacji list ACL w kampusie

W dużych instytucjach dobrą praktyką inżynierską jest stosowanie schematów modułowych (Template ACL). Reguły wspólne dla wszystkich podsieci (np. zezwolenie na ruch do serwerów DNS, DHCP, NTP oraz blokada protokołów niebezpiecznych) umieszcza się w szablonie, do którego dopisuje się tylko specyficzne reguły dla danego VLAN-u.

Należy unikać nadmiernego rozbudowywania list powyżej kilkuset linii na jeden interfejs, gdyż może to doprowadzić do wyczerpania zasobów TCAM i przejścia przełącznika w tryb powolnego przełączania programowego przez CPU (Software Forwarding Drop).

Skróty użyte w tym slajdzie:
ACL – Access Control List – lista kontroli dostępu.
TCAM – Ternary Content-Addressable Memory – pamięć trójstanowa przełącznika.
QoS – Quality of Service – mechanizmy jakości usługi.
Core – Warstwa rdzeniowa sieci kampusowej.

Cel slajdu: Analiza praktycznego scenariusza konfiguracji nazwanej rozszerzonej listy ACL zabezpieczającej strefę serwerów przed nieautoryzowanym dostępem.

Izolacja podsieci administracyjnej i kontrola ruchu powrotnego

Praktyczny przykład reguły chroniącej serwery dziekanatowe przed bezpośrednim dostępem z podsieci studenckiej przy jednoczesnym zezwoleniu na przeglądanie stron WWW:

! Tworzenie rozszerzonej listy nazwanej
Switch(config)# ip access-list extended ACL_STUDENT_RESTRICT
Switch(config-ext-nacl)# 10 permit udp 10.10.20.0 0.0.0.255 host 10.10.100.5 eq domain
Switch(config-ext-nacl)# 20 permit tcp 10.10.20.0 0.0.0.255 host 10.10.100.10 eq 443
Switch(config-ext-nacl)# 30 deny ip 10.10.20.0 0.0.0.255 10.10.100.0 0.0.0.255 log
Switch(config-ext-nacl)# 40 permit ip 10.10.20.0 0.0.0.255 any
Switch(config-ext-nacl)# exit
! Aplikacja na interfejsie SVI VLAN-u studenckiego w kierunku wejściowym
Switch(config)# interface vlan 20
Switch(config-if)# ip access-group ACL_STUDENT_RESTRICT in

Dobra praktyka CLI: Zastosowanie dyrektywy ip access-group ACL_STUDENT_RESTRICT in na interfejsie SVI VLAN studenckiego eliminuje nieuprawnione pakiety w momencie ich wejścia do modułu routingu, zanim dotrą do szkieletu sieci.

Kierunkowość filtracji ACL (Inbound vs Outbound): Określenie punktu kontrolnego w potoku przetwarzania pakietów przez przełącznik warstwy 3; filtracja wejściowa (inbound) bada pakiet przed podjęciem decyzji o routingu, a wyjściowa (outbound) tuż przed jego wysłaniem do interfejsu docelowego.

Przykład konfiguracji rozszerzonej listy ACL

W powyższej konfiguracji reguły permit wpuszczają ruch zapytań DNS oraz bezpieczny ruch HTTPS do serwera uczelnianego 10.10.100.10 i ogólny ruch internetowy. Kluczowa linia deny ip 10.10.20.0 0.0.0.255 10.10.100.0 0.0.0.255 log blokuje każdy inny dostęp do całej podsieci serwerowej 10.10.100.0/24.

Słowo kluczowe log na końcu linii deny wymusza generowanie komunikatów Syslog o każdej próbie nieuprawnionego połączenia, co pozwala administratorowi natychmiast wykryć aktywność skanera podatności w sieci studenckiej.

Skróty użyte w tym slajdzie:
ACL – Access Control List – lista kontroli dostępu.
SVI – Switch Virtual Interface – wirtualny interfejs warstwy 3 przełącznika.
DNS – Domain Name System – system nazw domenowych.
HTTP / HTTPS – Hypertext Transfer Protocol (Secure) – protokół przesyłania dokumentów hipertekstowych.

Cel slajdu: Omówienie podziału funkcjonalnego urządzeń sieciowych na płaszczyznę danych, sterowania i zarządzania oraz wynikających z tego implikacji dla bezpieczeństwa.

Separacja zadań przetwarzania w przełącznikach i routerach

W architekturze urządzeń sieciowych wyróżnia się trzy niezależne płaszczyzny funkcjonalne:

Płaszczyzna danych (Data Plane / Forwarding Plane): odpowiada za bezpośrednie przesyłanie pakietów od portu wejściowego do wyjściowego. Realizowana w 100% sprzętowo w układach ASIC/TCAM w tempie łącz fizycznych (Wire-Speed).
Płaszczyzna sterowania (Control Plane): odpowiada za protokoły routingu (OSPF, BGP), protokoły STP, LACP, ARP oraz budowę tablic FIB i RIB. Przetwarzana programowo przez procesor główny (CPU) przełącznika.
Płaszczyzna zarządzania (Management Plane): odpowiada za dostęp administracyjny i monitorowanie urządzenia (SSH, HTTPS, SNMP, Syslog, NTP). Obsługiwana bezpośrednio przez procesor CPU.
Wektor zagrożenia: przeciążenie procesora CPU pakietami płaszczyzny sterowania lub zarządzania paraliżuje całe urządzenie, mimo sprawnej płaszczyzny danych.

Izolacja zasobów: Odporność nowoczesnych urządzeń sieciowych wynika ze ścisłego odseparowania sprzętowej płaszczyzny danych od programowych płaszczyzn sterowania i zarządzania. Przeciążenie procesora CPU nie powinno przerywać przełączania ruchu tranzytowego.

Płaszczyzna sterowania (Control Plane): Warstwa funkcjonalna routera lub przełącznika odpowiedzialna za wymianę informacji topologicznych, uruchamianie protokołów trasowania i sygnalizacji oraz wyznaczanie ścieżek przesyłania pakietów.

Podział na trzy płaszczyzny jest fundamentem bezpieczeństwa urządzeń sieciowych. Płaszczyzna danych jest odporna na ataki wolumetryczne, ponieważ układy ASIC przetwarzają miliony pakietów na sekundę bez udziału procesora.

Jednakże procesor przełącznika (CPU) posiada ograniczone zasoby obliczeniowe. Jeżeli intruz skieruje złośliwy strumień danych bezpośrednio do procesora (np. zalew pakietów z opcjami IP lub fałszywych pakietów OSPF), dojdzie do zawieszenia urządzenia i zerwania sąsiedztwa routingu. Z tego powodu ochrona Control Plane jest kluczowa.

Skróty użyte w tym slajdzie:
ASIC – Application-Specific Integrated Circuit – wyspecjalizowany układ scalony.
FIB – Forwarding Information Base – sprzętowa baza przekazywania pakietów.
RIB – Routing Information Base – tablica trasowania w pamięci procesora.
OSPF – Open Shortest Path First – protokół routingu stanu łącza.
BGP – Border Gateway Protocol – protokół trasowania bramy brzegowej.

Cel slajdu: Wyjaśnienie zasady działania mechanizmu CoPP w ochronie procesora CPU urządzenia sieciowego przed atakami Denial of Service.

Mechanizm CoPP – pancerz procesora przełącznika

Control Plane Policing (CoPP) chroni procesor urządzenia sieciowego przed atakami typu Denial of Service (DoS):

Podatność procesora urządzenia: każdy pakiet skierowany do adresu IP przełącznika lub wymagający zaawansowanej obsługi (błędy TTL, opcje IP) trafia do CPU.
Filtracja i kolejkowanie przed procesorem CPU: pakiety zmierzające do procesora są klasyfikowane w układach ASIC za pomocą dedykowanych polityk QoS (Quality of Service).
Priorytetyzacja protokołów krytycznych: pakiety protokołów STP, OSPF, BGP, LACP oraz sesji SSH administratora trafiają do kolejek o najwyższym priorytecie i gwarantowanej przepustowości.
Tłumienie ruchu niepożądanego (Rate Limiting): ruch diagnostyczny (ICMP Echo), zapytania o nieistniejące porty i pakiety z przekroczonym TTL są drastycznie przycinane do bezpiecznego poziomu (np. 100 pps), a nadmiar jest natychmiast odrzucany w sprzęcie.

Polityka defensywna: Control Plane Policing jest obowiązkowym elementem utwardzania każdego przełącznika dystrybucyjnego i rdzeniowego. Bez CoPP wystarczy prosty atak zalewowy pingiem lub sfałszowanymi pakietami routingu, by całkowicie sparaliżować urządzenie. Szczegóły implementacji opisuje Cisco Guide: Control Plane Policing Implementation Best Practices.

Control Plane Policing (CoPP): Sprzętowy mechanizm filtracji i kształtowania ruchu stosowany na urządzeniach sieciowych, który ogranicza przepływność i kolejkuje pakiety zmierzające do procesora CPU, chroniąc go przed przeciążeniem i atakami DoS.

Wdrożenie polityki CoPP jest obowiązkowym elementem utwardzania (hardeningu) każdego przełącznika dystrybucyjnego i rdzeniowego w kampusie. Typowym wektorem ataku DoS na procesor przełącznika jest wygenerowanie lawiny pakietów IP z czasem życia TTL=1 – każdy taki pakiet zmusza procesor do wygenerowania komunikatu ICMP Time Exceeded.

Dzięki CoPP procesor przełącznika nigdy nie zostanie wysycony powyżej założonego progu (np. maksymalnie 5-10% mocy CPU dla procesów sieciowych), co gwarantuje stabilność routingu nawet w trakcie trwającego ataku.

Skróty użyte w tym slajdzie:
CoPP – Control Plane Policing – ochrona płaszczyzny sterowania za pomocą polityk QoS.
QoS – Quality of Service – jakość usługi i priorytetyzacja pakietów.
CPU – Central Processing Unit – procesor główny routera/przełącznika.
TTL – Time to Live – czas życia pakietu w nagłówku IP.
ICMP – Internet Control Message Protocol – protokół komunikatów diagnostycznych.

Cel slajdu: Przedstawienie strategii zabezpieczania interfejsów administracyjnych poprzez mechanizm Management Plane Protection oraz dedykowany Out-of-Band VLAN.

Management Plane Protection i dedykowany Out-of-Band VLAN

Płaszczyzna zarządzania decyduje o możliwości konfiguracji i kontroli nad całą infrastrukturą sieciową:

Dedykowany VLAN zarządzający (OOB Management): interfejsy administracyjne urządzeń (SVI) muszą znajdować się w całkowicie wyodrębnionym VLAN-ie (np. VLAN 99), niedostępnym dla stacji roboczych użytkowników.
Fizyczne zarządzanie Out-of-Band (OOB): podłączenie dedykowanych portów GigabitEthernet (MGMT) na przełącznikach rdzeniowych do całkowicie odrębnej, fizycznej sieci zarządzającej.
Mechanizm MPP (Management Plane Protection): restrykcyjne określenie, na których fizycznych interfejsach urządzenie w ogóle nasłuchuje protokołów zarządzających (np. zezwolenie na SSH wyłącznie na interfejsie mgmt0).
Kontrola dostępu ACL na liniach VTY: ograniczenie adresów IP uprawnionych do nawiązywania sesji SSH wyłącznie do stacji administratorów i serwerów automatyzacji (Bastion Hosts).

Kardynalna zasada administracji: Interfejsy zarządzające urządzeń sieciowych nigdy nie mogą znajdować się w ogólnych podsieciach użytkowników ani być osiągalne z poziomu stacji studenckich czy sieci gościnnej.

Management Plane Protection (MPP): Funkcja bezpieczeństwa umożliwiająca precyzyjne wskazanie, na których fizycznych lub wirtualnych interfejsach routera mogą być inicjowane sesje protokołów zarządzających, uniemożliwiając próby połączeń z nieuprawnionych portów.

Niedopuszczalną praktyką jest pozostawianie adresów zarządzających urządzeń sieciowych w ogólnych podsieciach użytkowników (np. przełącznik z adresem 192.168.1.2 w tej samej puli co komputery w pracowni). Pozwala to na nieustanne próby ataków Brute-Force na hasła dostępowe.

W prawidłowo zaprojektowanym kampusie cały ruch zarządzający jest zamykany w dedykowanej instancji routingu VRF (Virtual Routing and Forwarding), co uniemożliwia wyciek pakietów między ruchem użytkowników a płaszczyzną kontrolną.

Skróty użyte w tym slajdzie:
MPP – Management Plane Protection – ochrona płaszczyzny zarządzania.
OOB – Out-of-Band – zarządzanie poza pasmem produkcyjnym.
VTY – Virtual Teletype – wirtualne linie terminalowe sesji administracyjnych.
VRF – Virtual Routing and Forwarding – wirtualne tablice trasowania i przekazywania.
SSH – Secure Shell – bezpieczny protokół zdalnego terminala.

Cel slajdu: Wskazanie konieczności bezwzględnego wyeliminowania protokołów nieszyfrowanych na rzecz bezpiecznych standardów kryptograficznych w zarządzaniu kampusem.

Eliminacja protokołów nieszyfrowanych w zarządzaniu siecią

Wszystkie sesje konfiguracyjne i transfery plików w kampusie muszą być szyfrowane silnymi algorytmami:

Przestarzały protokół jawnotekstowy	Zastąpiony przez	Zastosowanie i korzyści
Telnet (port TCP 23)	SSHv2 (port TCP 22)	Szyfrowane logowanie CLI, uwierzytelnianie kluczem RSA/Ed25519
HTTP (port TCP 80)	HTTPS (TLS 1.3, TCP 443)	Bezpieczny panel graficzny przełączników i kontrolerów
TFTP (port UDP 69)	SCP / SFTP (port TCP 22)	Bezpieczny transfer obrazów systemowych i konfiguracji
SNMPv1 / SNMPv2c	SNMPv3 authPriv	Szyfrowanie AES i integralność SHA-256 dla monitoringu

Twarda polityka: Porty Telnet (TCP 23), nieszyfrowane HTTP (TCP 80) oraz TFTP (UDP 69) muszą być całkowicie zablokowane na urządzeniach sieciowych. Wszelka komunikacja administracyjna musi być szyfrowana w standardzie SSHv2 lub TLS 1.3.

SSHv2 (Secure Shell version 2): Kryptograficzny protokół sieciowy warstwy aplikacji służący do bezpiecznego zdalnego logowania i wykonywania poleceń na urządzeniach sieciowych, zapewniający poufność, integralność oraz silne uwierzytelnianie kluczem asymetrycznym.

Stosowanie protokołu Telnet lub nieszyfrowanego SNMPv1/v2c w sieci kampusowej oznacza, że każde hasło administratora oraz ciąg społecznościowy (Community String) wędrują po kablach w postaci jawnego tekstu. Dowolny student z programem Wireshark może przechwycić poświadczenia dostępowe w kilka sekund.

Zalecaną praktyką jest całkowite wyłączenie demonów Telnet i HTTP (no ip http server), wymuszenie SSH w wersji 2 (ip ssh version 2) z kluczem RSA o długości minimum 2048 bitów oraz wdrożenie certyfikatów SSL z uczelnianego centrum certyfikacji (PKI).

Skróty użyte w tym slajdzie:
SSH – Secure Shell – bezpieczny protokół komunikacji terminalowej.
TLS – Transport Layer Security – protokół kryptograficzny zapewniający poufność i integralność transmisji.
SCP – Secure Copy Protocol – protokół bezpiecznego kopiowania plików.
SFTP – SSH File Transfer Protocol – bezpieczny protokół przesyłania plików.
PKI – Public Key Infrastructure – infrastruktura klucza publicznego.

Cel slajdu: Podkreślenie krytycznej roli synchronizacji czasu za pomocą protokołu NTP w analizie logów, audycie bezpieczeństwa i działaniu protokołów kryptograficznych.

Kluczowa rola Network Time Protocol (RFC 5905)

Precyzyjna synchronizacja czasu na wszystkich urządzeniach jest fundamentem bezpieczeństwa i audytu:

Korelacja zdarzeń w logach: badanie incydentu bezpieczeństwa wymaga powiązania wpisów z zapory sieciowej, przełącznika, serwera DHCP i kontrolera domeny. Rozbieżność zegarów uniemożliwia odtworzenie osi czasu ataku.
Ważność certyfikatów cyfrowych (X.509): niepoprawny czas systemowy powoduje odrzucenie ważnych certyfikatów TLS i załamanie uwierzytelniania 802.1X/EAP.
Hierarchia źródeł czasu (Stratum): przełączniki kampusowe synchronizują się z wewnętrznymi serwerami Stratum 2/3, które z kolei pobierają wzorcowy czas z zegarów atomowych lub GPS (Stratum 1).
Uwierzytelnianie pakietów NTP: zabezpieczenie przed atakami typu Time-Shifting poprzez kryptograficzną weryfikację pakietów NTP za pomocą kluczy symetrycznych SHA-256.

Fundament audytu: Zegar sieciowy bez synchronizacji NTP dryfuje o kilka sekund lub minut w skali miesiąca. Analiza śledcza jakiegokolwiek incydentu w niesynchronizowanej sieci jest prawnie i technicznie bezwartościowa.

Network Time Protocol (NTP): Protokół sieciowy służący do precyzyjnej synchronizacji zegarów komputerów i urządzeń infrastruktury teleinformatycznej z wzorcowymi źródłami czasu za pośrednictwem sieci o zmiennym opóźnieniu pakietów.

Brak synchronizacji czasu potrafi całkowicie zablokować pracę systemów uwierzytelniania Kerberos (w środowisku Microsoft Active Directory dopuszczalny rozrzut czasu wynosi maksymalnie 5 minut). Przełącznik z błędną datą odrzuci również połączenia SSH/HTTPS z powodu rzekomo nieważnych certyfikatów.

W kampusie należy uruchomić parę nadmiarowych serwerów NTP w strefie DMZ i skonfigurować wszystkie urządzenia dostępowe do synchronizacji z oboma serwerami, z włączoną opcją ntp authenticate.

Skróty użyte w tym slajdzie:
NTP – Network Time Protocol – protokół synchronizacji czasu w sieciach komputerowych.
GPS – Global Positioning System – globalny system pozycjonowania satelitarnego.
UTC – Universal Time Coordinated – uniwersalny czas koordynowany.
TOTP – Time-based One-Time Password – hasło jednorazowe zależne od czasu.
RFC – Request for Comments – dokument techniczny standaryzujący protokoły internetowe.

Cel slajdu: Omówienie architektury protokołu SNMP, ról agenta i stacji zarządzającej NMS oraz mechanizmów odpytywania i powiadomień asynchronicznych.

Język diagnostyki i telemetryki urządzeń sieciowych

Simple Network Management Protocol (SNMP) umożliwia centralnym stacjom zarządzającym (NMS) odpytywanie i nadzór nad tysiącami urządzeń:

Architektura klient-serwer: agent SNMP (proces działający na przełączniku) udostępnia parametry pracy urządzenia stacji zarządzającej (NMS – np. Zabbix, PRTG, Cisco DNA Center).
Baza informacji MIB i identyfikatory OID: hierarchiczne drzewo obiektów (np. 1.3.6.1.2.1.2.2.1.10 – liczniki bajtów wejściowych na porcie), opisujące każdy parametr sprzętowy.
Podstawowe operacje: SNMP Get / GetNext / GetBulk (pobieranie danych telemetrycznych) oraz SNMP Set (zdalna modyfikacja parametrów pracy urządzenia).
Powiadomienia asynchroniczne: SNMP Trap (jednokierunkowy alert o awarii zasilacza, podniesieniu/zgaszeniu portu) oraz SNMP Inform (alert wymagający potwierdzenia odbioru przez NMS).

Niezawodność Inform: Komunikaty SNMP Inform wymagają potwierdzenia odbioru przez stację NMS, w przeciwieństwie do tradycyjnych komunikatów Trap, co zapobiega bezpowrotnej utracie krytycznych alertów w bezpołączeniowym środowisku UDP.

Simple Network Management Protocol (SNMP): Standardowy protokół warstwy aplikacji służący do monitorowania stanu, zbierania danych telemetrycznych oraz zarządzania urządzeniami aktywnymi w sieciach IP.

Monitorowanie stanu sieci: protokół SNMP

Bazy MIB dzielą się na standardowe (RFC 1213 MIB-II – wspólne dla wszystkich producentów, opisujące interfejsy i podstawowy stan urządzenia) oraz bazy producenckie (Enterprise MIB), opisujące specyficzne moduły, czujniki temperatury, stan zasilaczy PoE czy pamięć TCAM.

Kluczem do wydajnego monitoringu w rozległym kampusie jest optymalizacja interwałów odpytywania (Polling Interval) – zbyt częste odpytywanie tysięcy portów potrafi nadmiernie obciążyć procesor CPU starszych przełączników dostępowych.

Skróty użyte w tym slajdzie:
SNMP – Simple Network Management Protocol – prosty protokół zarządzania siecią.
NMS – Network Management Station – centralna stacja zarządzania siecią.
MIB – Management Information Base – baza informacji zarządczej.
OID – Object Identifier – numeryczny identyfikator obiektu w strukturze drzewa MIB.
UDP – User Datagram Protocol – bezpołączeniowy protokół pakietów użytkownika.

Cel slajdu: Przedstawienie modelu bezpieczeństwa USM w protokole SNMPv3 oraz wdrożenia poziomu authPriv gwarantującego uwierzytelnianie i szyfrowanie.

Model bezpieczeństwa USM i poziom authPriv (IETF RFC 3414: User-based Security Model (USM) for SNMPv3)

SNMPv3 wprowadza zaawansowany model bezpieczeństwa oparty na użytkownikach (User-based Security Model – USM) oraz kontrolę widoków (VACM):

Dyskwalifikacja SNMPv1/v2c: starsze wersje przesyłały hasło społecznościowe (Community String, np. „public” lub „private”) jawnym tekstem, narażając sieć na podsłuch i nieautoryzowaną rekonfigurację.
Trzy poziomy bezpieczeństwa:
- noAuthNoPriv – brak uwierzytelniania i brak szyfrowania (identyfikacja nazwą użytkownika).
- authNoPriv – kryptograficzne uwierzytelnianie integralności (HMAC-SHA-256), brak szyfrowania.
- authPriv – kryptograficzne uwierzytelnianie (SHA-256/SHA-512) oraz pełne szyfrowanie ładunku protokołem AES (AES-128 / AES-256).
Model VACM (View-based Access Control): precyzyjne ograniczenie dostępu do wybranych gałęzi drzewa OID dla konkretnych grup administratorów.

Wymóg bezpieczeństwa: W nowoczesnej sieci kampusowej dozwolone jest wyłącznie stosowanie SNMPv3 na poziomie authPriv. Starsze wersje v1/v2c muszą zostać bezwzględnie zablokowane ze względu na ryzyko wycieku konfiguracji i kradzieży tożsamości.

SNMPv3 authPriv: Najwyższy poziom bezpieczeństwa protokołu SNMPv3 zapewniający kryptograficzne uwierzytelnianie tożsamości użytkownika (np. SHA-256) oraz symetryczne szyfrowanie całej przesyłanej zawartości pakietu (np. AES-256).

Wdrożenie SNMPv3 w środowisku kampusowym

Konfiguracja SNMPv3 wymaga wygenerowania unikalnego identyfikatora silnika urządzenia (Engine ID). Zapobiega to atakom powtórzeniowym (Replay Attacks) dzięki synchronizacji okna czasowego (Time Window) i liczników restartu między agentem a stacją NMS.

Dzięki modelowi VACM administratorzy systemów serwerowych mogą otrzymać wgląd wyłącznie w parametry interfejsów swoich serwerów, bez wglądu w konfigurację VLAN-ów czy tablic routingu rdzenia kampusu.

Skróty użyte w tym slajdzie:
SNMP – Simple Network Management Protocol – standardowy protokół monitorowania i zarządzania urządzeniami teleinformatycznymi.
USM – User-based Security Model – model bezpieczeństwa w SNMPv3 definiujący uwierzytelnianie użytkowników i szyfrowanie pakietów wg RFC 3414.
VACM – View-based Access Control Model – model kontroli dostępu w SNMPv3 ograniczający dostęp do wybranych gałęzi drzewa MIB.
MIB – Management Information Base – hierarchiczna baza danych zawierająca parametry i statystyki pracy urządzenia sieciowego.

Cel slajdu: Omówienie standardu RFC 5424 dla protokołu Syslog, poziomów ważności zdarzeń (Severity Levels 0-7) oraz centralizacji logów w kampusie.

Chronologiczny ślad zdarzeń w standardzie IETF RFC 5424: The Syslog Protocol

Protokół Syslog odpowiada za natychmiastowe przesyłanie komunikatów o zdarzeniach systemowych do centralnego repozytorium:

Format komunikatu (RFC 5424): sygnatura czasowa o wysokiej precyzji, nazwa hosta, moduł generujący (Facility – np. LINK, OSPF, SEC) oraz poziom ważności (Severity 0–7).
Skala poziomów ważności zdarzeń (Severity Levels 0–7):
- 0 (Emergency): system niezdatny do użytku (panika jądra).
- 1 (Alert): wymagana natychmiastowa interwencja administratora.
- 2 (Critical): awaria sprzętowa krytycznego komponentu (np. zasilacza lub silnika chłodzącego).
- 3 (Error): błąd uniemożliwiający realizację określonej funkcji (np. błąd alokacji pamięci).
- 4 (Warning): ostrzeżenie o możliwości wystąpienia błędu (np. wysokie użycie procesora).
- 5 (Notice): normalne, ale istotne zdarzenie konfiguracyjne (np. zmiana stanu łącza Up/Down).
- 6 (Informational): standardowe komunikaty informacyjne (np. pomyślne logowanie użytkownika).
- 7 (Debugging): szczegółowe zrzuty diagnostyczne procesów i pakietów.
Scentralizowany serwer Syslog: natychmiastowy zrzut logów przez sieć chroni dowody przed usunięciem w przypadku włamania lub fizycznego uszkodzenia urządzenia.

Zasada trwałości śladu: Logi w lokalnej pamięci RAM urządzenia znikają po jego zrestartowaniu lub wyłączeniu zasilania. Centralizacja logów Syslog na zewnętrznym, utwardzonym serwerze jest warunkiem koniecznym rzetelnej analizy powłamaniowej.

Protokół Syslog (RFC 5424): Standardowy protokół sieciowy służący do przesyłania i agregacji komunikatów diagnostycznych i rejestracyjnych generowanych przez systemy operacyjne oraz urządzenia infrastruktury teleinformatycznej.

Rejestracja zdarzeń systemowych: protokół Syslog

Domyślnie Syslog przesyła dane nieszyfrowanym protokołem UDP na port 514. W nowoczesnych sieciach kampusowych zaleca się wdrożenie bezpiecznego przesyłania logów przy użyciu protokołu TLS przez port TCP 6514 (Syslog over TLS), co gwarantuje poufność komunikatów i zapobiega podsłuchiwaniu danych o topologii.

Zalecanym poziomem rejestracji dla środowiska produkcyjnego jest poziom 5 (logging trap notifications) lub poziom 6 (informational). Poziom 7 (debugging) włącza się wyłącznie doraźnie podczas rozwiązywania problemów ze względu na ogromny narzut danych.

Skróty użyte w tym slajdzie:
Syslog – System Logging Protocol – protokół rejestracji zdarzeń systemowych.
RAM – Random Access Memory – pamięć o dostępie swobodnym.
TLS – Transport Layer Security – protokół bezpieczeństwa warstwy transportowej.
RFC – Request for Comments – dokument standaryzacyjny IETF.
TCP / UDP – Transmission Control Protocol / User Datagram Protocol – protokoły transportowe internetu.

Cel slajdu: Przedstawienie roli platform SIEM w agregacji, normalizacji i korelacji logów sieciowych w celu wykrywania zaawansowanych zagrożeń teleinformatycznych.

Centralne oko bezpieczeństwa i korelacja anomalii

Systemy SIEM (Security Information and Event Management) agregują i analizują miliony zdarzeń generowanych na sekundę w kampusie:

Wieloźródłowa agregacja danych: zbieranie logów z przełączników, routerów, kontrolerów Wi-Fi, zapór NGFW, serwerów DHCP, DNS oraz kontrolerów domen Active Directory.
Normalizacja i parsowanie: ujednolicenie różnorodnych formatów wpisów od wielu dostawców sprzętu do wspólnego modelu danych (Common Event Format / CIM).
Reguły korelacji w czasie rzeczywistym: wykrywanie zaawansowanych sekwencji ataków (np. 15 nieudanych prób logowania SSH na przełączniku + skanowanie portów w VLAN serwerowym + pobranie dużego wolumenu danych na zewnątrz).
Wsparcie dla centrum operacji (SOC): automatyczne priorytetyzowanie incydentów, generowanie alertów dla analityków i integracja z systemami SOAR do automatycznej reakcji.

Od szumu do wiedzy: Samodzielny serwer Syslog to jedynie pasywne archiwum tekstu. Dopiero wdrożenie systemu SIEM pozwala na przekształcenie milionów surowych linii logów w czytelne, wykrywalne incydenty bezpieczeństwa w czasie rzeczywistym.

SIEM (Security Information and Event Management): Zintegrowane środowisko informatyczne łączące zbieranie danych o bezpieczeństwie (SIM) oraz zarządzanie zdarzeniami (SEM) w celu wieloźródłowej analizy, korelacji i alarmowania o zagrożeniach w czasie zbliżonym do rzeczywistego.

Systemy zarządzania zdarzeniami SIEM w kampusie

Wdrożenie SIEM (np. Splunk, IBM QRadar, Microsoft Sentinel, Wazuh) pozwala na drastyczne skrócenie dwóch kluczowych wskaźników inżynierii bezpieczeństwa: MTTD (Mean Time to Detect – średni czas do wykrycia ataku) oraz MTTR (Mean Time to Respond – średni czas neutralizacji).

Bez systemu SIEM włamanie do sieci kampusowej może pozostać niezauważone przez setki dni, podczas gdy intruz dokonuje powolnego ruchu bocznego (Lateral Movement).

Skróty użyte w tym slajdzie:
SIEM – Security Information and Event Management – zarządzanie informacjami i zdarzeniami bezpieczeństwa.
SOC – Security Operations Center – centrum operacji bezpieczeństwa.
SOAR – Security Orchestration, Automation and Response – automatyzacja reakcji na incydenty.
MTTD – Mean Time to Detect – średni czas wykrycia incydentu.
MTTR – Mean Time to Respond – średni czas reakcji na incydent.

Cel slajdu: Wyjaśnienie koncepcji telemetrii przepływów sieciowych na podstawie standardów NetFlow v9 i IPFIX (RFC 7011) oraz ich przewagi nad klasycznym SNMP.

Telemetria ruchu sieciowego w standardzie RFC 7011

Protokół IPFIX (oraz NetFlow v9) zbiera statystyki o przepływach pakietów bez konieczności badania ich pełnej zawartości:

Definicja przepływu (Flow): jednokierunkowy ciąg pakietów dzielących 7 identycznych cech kluczowych: [IP źródłowe, IP docelowe, Port źródłowy, Port docelowy, Protokół L4, Klasa CoS/ToS, Interfejs wejściowy].
Struktura systemu telemetrii: eksporter (przełącznik/router agregujący statystyki w pamięci podręcznej Flow Cache) oraz kolektor (serwer magazynujący i wizualizujący trendy).
IPFIX jako standard IETF (RFC 7011): uniwersalne rozszerzenie protokołu NetFlow v9 oparte na elastycznych szablonach, obsługujące pola IPv6, identyfikatory VLAN, MPLS oraz metryki wydajnościowe aplikacji.
Wykrywanie anomalii: identyfikacja zakażeń botnetami, komunikacji C&C, wycieku danych (Data Exfiltration) oraz aplikacji wysycających pasmo w kampusie.

SNMP a NetFlow: Protokół SNMP informuje inżyniera, ile danych przepłynęło przez port (np. 950 Mb/s na łączu 1 Gb/s). NetFlow odpowiada na pytanie, kto, dokąd i w jakiej aplikacji wygenerował ten ruch.

IPFIX (IP Flow Information Export): Standard IETF (RFC 7011) bazujący na protokole NetFlow v9, definiujący format wymiany informacji telemetrycznych o przepływach pakietów IP z urządzeń sieciowych do systemów analizy danych.

Podczas gdy SNMP przekazuje jedynie zagregowane liczniki bajtów i błędów na interfejsie fizycznym, analiza przepływów IPFIX pozwala zobaczyć dokładny rozkład ruchu: którzy studenci pobierają pliki torrent, jakie serwery generują najwięcej zapytań bazodanowych oraz czy ze stacji roboczych nie wychodzi ruch do znanych złośliwych adresów IP w Internecie.

W łączach o bardzo wysokiej przepustowości (40G/100G) stosuje się próbkowanie (Sampled NetFlow / sFlow), analizujące np. co setny pakiet w celu odciążenia pamięci podręcznej przełącznika.

Skróty użyte w tym slajdzie:
IPFIX – IP Flow Information Export – eksport informacji o przepływach IP.
RFC – Request for Comments – standard techniczny IETF.
MPLS – Multiprotocol Label Switching – wieloprotokołowe przełączanie etykiet.
CoS / ToS – Class/Type of Service – pola klasyfikacji jakości usługi w nagłówkach pakietów.
NMS – Network Management Station – stacja zarządzania siecią.

Cel slajdu: Analiza mechanizmów obrony infrastruktury kampusowej przed atakami wolumetrycznymi i wyczerpaniem zasobów (RTBH, Flowspec, Scrubbing).

Ochrona infrastruktury przed zalewem wolumetrycznym

Ataki DoS/DDoS w kampusie mogą paraliżować łącza internetowe lub zasoby serwerowe uczelni:

Typy ataków:
- Wolumetryczne: zalew pakietami UDP/ICMP lub wzmocnienie DNS/NTP Amplification wysycające łącze brzegowe ISP.
- Wyczerpania stanu (State Exhaustion): ataki SYN Flood i SSL/TLS Handshake wyczerpujące tablice połączeń zapór ogniowych.
- Warstwy aplikacji (Layer 7): powolne zapytania HTTP (Slowloris) paraliżujące serwery webowe dziekanatu.
Mitygacja RTBH (Remotely Triggered Black Hole): dynamiczne rozgłaszanie za pomocą BGP tras typu Blackhole (z adresem docelowym skierowanym do Null0), odrzucające ruch u operatora ISP, zanim dotrze do kampusu.
BGP Flowspec (RFC 5575): precyzyjne reguły filtracji przesyłane do routerów nadrzędnych, blokujące wyłącznie konkretny złośliwy port lub protokół bez odcinania całego serwera.

Granica obrony własnej: Jeśli atak wolumetryczny DDoS przewyższa fizyczną przepustowość łącza dostępowego kampusu do Internetu, żadne zabezpieczenia wewnątrz kampusu nie pomogą. Jedynym skutecznym ratunkiem jest współpraca z operatorem nadrzędnym (ISP Scrubbing / RTBH).

Remotely Triggered Black Hole (RTBH): Technika mitygacji ataków DDoS wykorzystująca protokół routingu BGP do dynamicznego rozgłaszania tras ze specjalnym adresem następnego skoku (Next-Hop kierujący do interfejsu Null0), zmuszająca routery do natychmiastowego odrzucania atakującego lub atakowanego ruchu.

W przypadku zaatakowania uczelnianego serwera rekrutacji atakiem 100 Gb/s na łączu 10 Gb/s, jedynym ratunkiem jest uruchomienie RTBH. Router brzegowy kampusu wysyła do operatora nadrzędnego (np. PIONIER) aktualizację BGP z atrybutem Community wyzwalającym Blackhole.

Operator zaczyna niszczyć pakiety zmierzające do atakowanego serwera na swoich routerach brzegowych. Choć sam serwer rekrutacji przestaje być widoczny w sieci, reszta kampusu (dostęp do Internetu dla setek innych serwerów i tysięcy studentów) zostaje natychmiast przywrócona do życia.

Skróty użyte w tym slajdzie:
DoS / DDoS – Denial of Service / Distributed Denial of Service – odmowa usługi / rozproszona odmowa usługi.
RTBH – Remotely Triggered Black Hole – zdalnie wyzwalana czarna dziura routingu.
BGP – Border Gateway Protocol – protokół bramy brzegowej.
ISP – Internet Service Provider – dostawca usług internetowych.
GRE – Generic Routing Encapsulation – ogólna enkapsulacja trasowania.

Cel slajdu: Omówienie procesu paszportyzacji sieci, tworzenia bazy CMDB oraz ciągłego skanowania podatności urządzeń infrastruktury.

Paszportyzacja logiczna i audyt stanu bezpieczeństwa

Nie można chronić zasobów, o których istnieniu administrator nie ma wiedzy:

Złota zasada inżynierii bezpieczeństwa: precyzyjna, automatycznie aktualizowana inwentaryzacja wszystkich węzłów, portów i podsieci jest fundamentem obrony sieci kampusowej.
Baza CMDB (Configuration Management Database): ewidencja każdego przełącznika, routera, kontrolera, zasilacza UPS, numeru seryjnego, wersji systemu operacyjnego oraz lokalizacji w szafie teletechnicznej.
Paszportyzacja fizyczna i logiczna: integracja systemów DCIM/IPAM (np. NetBox, Nautobot) z systemami zarządzania adresacją IP i trasowaniem kablowym.
Cykliczne skanowanie podatności: automatyczne badanie urządzeń skanerami podatności (np. Nessus, OpenVAS, Qualys) w celu wykrycia znanych luk CVE (Common Vulnerabilities and Exposures).
Wskaźnik ryzyka CVSS: priorytetyzacja prac naprawczych na podstawie oceny Common Vulnerability Scoring System (skala 0.0 do 10.0).

Kluczowy proces: Paszportyzacja infrastruktury musi być prowadzona w sposób zautomatyzowany. Ręcznie prowadzone arkusze kalkulacyjne stają się nieaktualne już po kilku tygodniach eksploatacji rozległego kampusu.

CMDB (Configuration Management Database): Centralna baza danych gromadząca i utrzymująca szczegółowe informacje o wszystkich elementach konfiguracji infrastruktury teleinformatycznej (CI) oraz relacjach zachodzących między nimi.

Niezarządzane i zapomniane urządzenia (tzw. Shadow IT) stanowią najłatwiejszy punkt wejścia dla intruza. Stary punkt dostępowy Wi-Fi z nieaktualizowanym oprogramowaniem od 5 lat może posłużyć jako idealny przyczółek do przejęcia kontroli nad całą siecią.

Współczesne systemy typu IPAM/DCIM (np. NetBox) stają się tzw. „jedynym źródłem prawdy” (Single Source of Truth) dla sieci kampusowej, integrując się bezpośrednio ze skryptami automatyzacji Ansible i Python.

Skróty użyte w tym slajdzie:
CMDB – Configuration Management Database – baza danych zarządzania konfiguracją.
CVE – Common Vulnerabilities and Exposures – powszechne luki i podatności.
CVSS – Common Vulnerability Scoring System – powszechny system punktacji podatności.
IPAM – IP Address Management – zarządzanie przestrzenią adresową IP.
DCIM – Data Center Infrastructure Management – zarządzanie infrastrukturą centrum danych.

Cel slajdu: Przedstawienie metodyki automatycznego tworzenia kopii zapasowych, kontroli wersji (Git) oraz wykrywania nieautoryzowanych zmian w konfiguracji urządzeń.

Automatyzacja kopii zapasowych i wykrywanie nieautoryzowanych zmian

Ręczne wprowadzanie i brak archiwizacji konfiguracji to najczęstsza przyczyna długotrwałych awarii sieciowych:

Dryf konfiguracyjny (Configuration Drift): stopniowe oddalanie się konfiguracji urządzeń od stanu wzorcowego na skutek doraźnych, niescentralizowanych poprawek manualnych.
Automatyczny backup konfiguracji: cykliczne pobieranie plików konfiguracyjnych (running-config) przez protokoły SCP/SFTP/Ansible i archiwizacja w centralnym repozytorium.
Wersjonowanie w systemie Git: każda modyfikacja konfiguracji zapisywana jest jako zatwierdzony commit w repozytorium Git, co pozwala na natychmiastowy podgląd zmian (git diff) oraz identyfikację autora modyfikacji.
Mechanizm bezpiecznego zatwierdzania: funkcje commit confirmed lub reload in 10 cofające niepoprawną zmianę konfiguracji w przypadku utraty łączności z administratorem.

Złota zasada inżynierska: Każda modyfikacja konfiguracji w sieci produkcyjnej musi być zarchiwizowana w systemie kontroli wersji. Wdrożenie mechanizmu automatycznego wycofywania zmian (Rollback) eliminuje ryzyko odcięcia się administratora od zdalnego przełącznika.

Configuration Drift: Zjawisko stopniowego rozchodzenia się rzeczywistej konfiguracji urządzeń sieciowych z konfiguracją wzorcową lub dokumentacją na skutek doraźnych, niescentralizowanych i nieudokumentowanych modyfikacji manualnych.

Nowoczesne zarządzanie infrastrukturą przechodzi na model Infrastructure as Code (IaC). Zamiast logować się pojedynczo do 50 przełączników przez terminal SSH, inżynier definiuje pożądany stan sieci w plikach YAML/JSON, a narzędzia automatyzacji (np. Ansible, Terraform) samodzielnie aplikują konfigurację i weryfikują jej poprawność.

Dzięki temu czas wdrożenia nowego VLAN-u we wszystkich 30 budynkach kampusu skraca się z kilku godzin do kilkunastu sekund.

Skróty użyte w tym slajdzie:
IaC – Infrastructure as Code – infrastruktura jako kod.
Git – rozproszony system kontroli wersji.
SSH – Secure Shell – bezpieczny protokół zdalnego dostępu.
SCP – Secure Copy Protocol – bezpieczny protokół kopiowania plików.
OS – Operating System – system operacyjny.

Cel slajdu: Wyłożenie zasad tworzenia bezpiecznych i niezawodnych kopii zapasowych konfiguracji oraz obrazów systemowych wg reguły 3-2-1.

Zasada 3-2-1 dla infrastruktury teleinformatycznej

Procedury Disaster Recovery wymagają rygorystycznego podejścia do kopii zapasowych:

Zakres archiwizacji: pliki konfiguracyjne (startup-config), obrazy systemów operacyjnych urządzeń (firmware/IOS), certyfikaty cyfrowe i klucze prywatne, bazy danych serwerów DHCP/RADIUS oraz licencje sprzętowe.
Reguła 3-2-1 w architekturze sieci:
- 3 kopie danych (konfiguracja produkcyjna, lokalny serwer backupu, zdalna replika).
- 2 różne nośniki danych (macierz dyskowa serwerowni, zaszyfrowana chmura / taśma).
- 1 kopia w innej lokalizacji fizycznej (Off-site – np. serwerownia w odległym budynku kampusu lub chmura).
Szyfrowanie kopii zapasowych: pliki konfiguracyjne zawierają skróty haseł, klucze RADIUS i certyfikaty – ich archiwizacja musi odbywać się z użyciem silnego szyfrowania AES-256.
Cykliczne testy odzyskiwania: regularna weryfikacja procedury odtworzenia awaryjnego (Disaster Recovery) na sprzęcie zapasowym w celu potwierdzenia wskaźników RTO i RPO.

Prawda o kopiach: W inżynierii sieciowej liczy się nie fakt utworzenia kopii zapasowej, lecz zdolność do natychmiastowego przywrócenia urządzenia do pracy po całkowitej awarii sprzętowej (RTO poniżej 15 minut).

Reguła tworzenia kopii 3-2-1: Powszechnie przyjęty standard bezpieczeństwa danych zakładający przechowywanie minimum 3 egzemplarzy danych, na co najmniej 2 różnych typach nośników, z czego minimum 1 kopia musi znajdować się w fizycznie odrębnej lokalizacji.

Kluczowe wskaźniki gotowości awaryjnej to RTO (Recovery Time Objective) – maksymalny dopuszczalny czas przywrócenia urządzenia do działania, oraz RPO (Recovery Point Objective) – maksymalny akceptowalny wiek przywracanej konfiguracji.

W środowisku kampusowym RTO dla węzła dystrybucyjnego nie powinno przekraczać 30 minut, co wymaga utrzymywania w magazynie tzw. części zamiennych na zimno (Cold Standby) o identycznej konfiguracji sprzętowej.

Skróty użyte w tym slajdzie:
RTO – Recovery Time Objective – docelowy czas przywrócenia działania systemu.
RPO – Recovery Point Objective – maksymalny akceptowalny czas utraty danych.
AES – Advanced Encryption Standard – zaawansowany standard szyfrowania.
RADIUS – Remote Authentication Dial-In User Service – protokół uwierzytelniania sieciowego.
IOS – Internetwork Operating System – system operacyjny urządzeń sieciowych.

Cel slajdu: Omówienie strategii doboru wersji systemów operacyjnych urządzeń sieciowych, procedury Patch Management oraz terminów EoL i EoS.

Strategia wyboru wersji stabilnej i procedury Patch Management

Utrzymanie stabilności wymaga zdyscyplinowanego podejścia do aktualizacji oprogramowania układowego urządzeń:

Śledzenie cyklu życia urządzeń (Lifecycle Management):
- End of Sale (EoS) – data zakończenia sprzedaży danego modelu przez producenta.
- End of Software Maintenance (EoSM) – zakończenie wydawania nowych wersji funkcjonalnych.
- End of Vulnerability Support (EoVS) – zakończenie publikacji łatek bezpieczeństwa.
- End of Life (EoL) – ostateczne wycofanie wszelkiego wsparcia technicznego i serwisowego.
Wybór wersji oprogramowania: zasada stosowania dojrzałych wydań stabilnych o przedłużonym wsparciu (Long-Term Support – LTS / Maintenance Deployment – MD) zamiast najnowszych wydań eksperymentalnych (Early Deployment).
Procedura Staging Lab: testowanie nowych obrazów systemowych w odizolowanym laboratorium przed wdrożeniem produkcyjnym na kampusie.

Zasada stabilności: W sieciach szkieletowych kampusu inżynierowie kierują się zasadą: „Uruchamiaj wersję najbardziej stabilną i sprawdzoną, a nie najnowszą”. Aktualizacje przeprowadza się w celu usunięcia krytycznych podatności CVE lub błędów funkcjonalnych.

Patch Management w sieci: Systematyczny proces identyfikacji, testowania, dystrybucji i instalacji poprawek oprogramowania oraz aktualizacji systemów operacyjnych na urządzeniach sieciowych w celu eliminacji podatności i błędów.

Urządzenia po dacie EoL (End of Life) nie otrzymują poprawek dla nowo odkrywanych podatności zero-day. Pozostawienie przełączników wycofanych ze wsparcia w sieci kampusowej jest krytycznym naruszeniem norm cyberbezpieczeństwa (np. ISO/IEC 27001).

Audyt cyklu życia sprzętu musi być przeprowadzany co roku w celu zaplanowania budżetu modernizacyjnego z minimum dwuletnim wyprzedzeniem.

Skróty użyte w tym slajdzie:
EoL – End of Life – koniec cyklu życia produktu.
EoS – End of Sale – zakończenie sprzedaży urządzenia.
EoSM – End of Software Maintenance – koniec wsparcia programistycznego.
LTS – Long-Term Support – wersja o długoterminowym wsparciu.
CVE – Common Vulnerabilities and Exposures – powszechne podatności i luki.

Cel slajdu: Przedstawienie technologii In-Service Software Upgrade (ISSU) umożliwiającej aktualizację systemów operacyjnych przełączników rdzeniowych bez przestoju usług.

In-Service Software Upgrade w węzłach o wysokiej dostępności

Przełączniki modułowe warstwy rdzenia i dystrybucji z redundantnymi procesorami (Dual Supervisor) obsługują aktualizację w trakcie pracy:

Wymóg bezprzerwowości (Zero Downtime): węzły szkieletowe kampusu obsługujące szpitale kliniczne, data center czy rekrutację nie mogą być wyłączone nawet na czas aktualizacji oprogramowania.
Mechanizmy bazowe ISSU:
- Stateful Switchover (SSO) – lustrzana synchronizacja stanu sesji i sprzętu między aktywnym a rezerwowym procesorem sterującym.
- Non-Stop Forwarding (NSF / NSR) – podtrzymanie routingu i ciągłości przełączania pakietów w płaszczyźnie danych podczas restartu procesora sterującego.
Sekwencja procesu ISSU: aktualizacja oprogramowania rezerwowego procesora → przełączenie ról procesorów (Switchover) bez utraty pakietów → aktualizacja oprogramowania drugiego procesora.

Architektura bez przerw: Połączenie ISSU, Non-Stop Forwarding (NSF) oraz Stateful Switchover (SSO) pozwala na kompletną wymianę systemu operacyjnego w przełączniku rdzeniowym bez utraty ani jednego pakietu tranzytowego.

In-Service Software Upgrade (ISSU): Zaawansowany mechanizm aktualizacji oprogramowania układowego przełączników i routerów o wysokiej dostępności, umożliwiający wgranie i uruchomienie nowego systemu operacyjnego bez przerywania przekazywania ruchu w płaszczyźnie danych.

Zastosowanie technologii ISSU wymaga pełnej zgodności wersji oprogramowania na etapie przejściowym (tzw. Intersite Compatibility). Jeśli zmiana wersji niesie za sobą modyfikację formatu bazy danych sesji, mechanizm SSO może nie być w stanie utrzymać stanów.

W architekturze kampusowej z redundantną parą urządzeń Core (VSS / StackWise-Virtual / MLAG) stosuje się również aktualizację krokową węzłów (Rolling Upgrade), gdzie jeden przełącznik z pary jest aktualizowany, podczas gdy drugi obsługuje 100% ruchu.

Skróty użyte w tym slajdzie:
ISSU – In-Service Software Upgrade – bezprzerwowa aktualizacja oprogramowania w trakcie pracy urządzenia.
SSO – Stateful Switchover – stanowe przełączenie modułów sterujących.
NSF – Non-Stop Forwarding – bezprzerwowe przekazywanie pakietów w płaszczyźnie danych.
NSR – Non-Stop Routing – bezprzerwowe utrzymanie sesji protokołów routingu.
MLAG – Multi-Chassis Link Aggregation Group – wieloszafowa agregacja łączy.

Cel slajdu: Omówienie zasad zarządzania zmianą na podstawie ram ITIL oraz organizacji okien serwisowych minimalizujących ryzyko operacyjne.

Zasady ITIL i minimalizacja ryzyka operacyjnego w kampusie

Wszelkie prace modyfikacyjne w sieci kampusowej muszą podlegać sformalizowanym procedurom zarządzania zmianą (Change Management):

Ramy ITIL: każda zmiana konfiguracji, wymiana sprzętu czy aktualizacja oprogramowania wymaga zgłoszenia wniosku RFC (Request for Change) zawierającego uzasadnienie, ocenę ryzyka i plan testów.
Komitet Zarządzania Zmianami (CAB): cykliczne spotkania zespołu technicznego i interesariuszy uczelni w celu autoryzacji planowanych prac i wyeliminowania konfliktów terminowych.
Okna serwisowe (Maintenance Windows): wyznaczone ramy czasowe o minimalnym natężeniu ruchu (np. niedziela 01:00–05:00), w trakcie których dopuszczalne są krótkie przestoje technologiczne.
Plan wycofania zmian (Rollback Plan): bezwzględny wymóg przygotowania procedury powrotu do stanu początkowego oraz zdefiniowania sztywnej godziny decyzyjnej (tzw. Go/No-Go Point).

Zasada inżynierska: Ponad 70% poważnych awarii w sieciach korporacyjnych wynika z błędów ludzkich popełnionych podczas nieautoryzowanych, doraźnych zmian konfiguracyjnych. Dyscyplina procedury zarządzania zmianą jest najskuteczniejszą tarczą ochronną kampusu.

Zarządzanie zmianą (Change Management): Ustrukturyzowany proces organizacyjno-techniczny wg metodyki ITIL, którego celem jest kontrolowane i bezpieczne wprowadzanie modyfikacji w infrastrukturze teleinformatycznej przy minimalizacji ryzyka przestojów operacyjnych.

Kluczową rolę odgrywa tzw. punkt graniczny wycofania (Point of No Return). Jeżeli w oknie serwisowym zaplanowanym do godziny 05:00 prace nie zakończą się pomyślnie do godziny 03:30, inżynier ma bezwzględny obowiązek wdrożenia procedury Rollback, tak aby przywrócić sprawność sieci przed rozpoczęciem dnia pracy kampusu o godzinie 06:00.

Wszelkie incydenty zaistniałe podczas okna podlegają analizie powdrożeniowej (PIR – Post-Implementation Review).

Skróty użyte w tym slajdzie:
ITIL – Information Technology Infrastructure Library – biblioteka dobrych praktyk zarządzania usługami IT.
CAB – Change Advisory Board – komitet doradczy ds. zmian.
RFC – Request for Change – wniosek o wprowadzenie zmiany (w kontekście ITIL).
PIR – Post-Implementation Review – przegląd powdrożeniowy.
SLA – Service Level Agreement – umowa o gwarantowanym poziomie świadczenia usług.

Cel slajdu: Projektowanie stref izolacji i mikrosegmentacji dla urządzeń Internetu Rzeczy (IoT), systemów BMS oraz aparatury laboratoryjnej.

Izolacja systemów Smart Campus i aparatury pomiarowej

Urządzenia IoT (kamery CCTV, czytniki RFID, kontrolery klimatyzacji HVAC, czujniki BMS) są podatne na przejęcie i wymagają szczególnej architektury:

Podatności urządzeń IoT: rzadkie aktualizacje firmware, brak mechanizmów uwierzytelniania 802.1X, podatność na ataki typu Botnet (np. Mirai) i komunikacja jawnym tekstem.
Rygorystyczna mikrosegmentacja: całkowite odseparowanie ruchu IoT w dedykowanych VLAN-ach z zamknięciem komunikacji bocznej (brak możliwości komunikacji między kamerami a czujnikami temperatury).
Profilowanie urządzeń (MAB + Profiling): automatyczne rozpoznawanie typu urządzenia na podstawie adresu OUI, sygnatur DHCP i atrybutów LLDP/CDP, a następnie dynamiczne przydzielanie restrykcyjnego VLAN-u i polityki dACL.
Koncepcja MUD (Manufacturer Usage Description – RFC 8520): automatyczne generowanie list ACL na podstawie oficjalnej deklaracji producenta urządzenia o wymaganym ruchu sieciowym.

Rygor izolacji: Zainfekowana kamera dozorowa nie może mieć technicznej możliwości zeskanowania serwera dziekanatowego ani wysłania pakietu do stacji pracownika. Każda klasa urządzeń IoT musi funkcjonować w szczelnie zamkniętej enklawie sieciowej.

Mikrosegmentacja IoT: Praktyka bezpieczeństwa sieciowego polegająca na dzieleniu środowiska sieciowego na precyzyjne, odizolowane strefy logiczne dla poszczególnych klas urządzeń IoT, w celu ograniczenia powierzchni ataku i zapobiegania ruchowi poprzecznemu (Lateral Movement).

Urządzenia IoT w kampusie nigdy nie powinny mieć nieograniczonego dostępu do Internetu. Kamera IP potrzebuje wyłącznie łączności z lokalnym rejestratorem NVR (wideo) oraz serwerem NTP (czas).

Wszelki ruch wychodzący z segmentu kamer do Internetu lub do sieci studenckiej musi być zablokowany sprzętowo listą ACL na poziomie przełącznika dystrybucyjnego.

Skróty użyte w tym slajdzie:
IoT – Internet of Things – Internet Rzeczy.
BMS – Building Management System – system zarządzania automatyką budynkową.
HVAC – Heating, Ventilation, and Air Conditioning – ogrzewanie, wentylacja i klimatyzacja.
CCTV – Closed-Circuit Television – telewizja dozorowa.
MUD – Manufacturer Usage Description – specyfikacja zachowania sieciowego urządzeń wg RFC 8520.
MAB – MAC Authentication Bypass – obejście uwierzytelniania na podstawie adresu MAC.

Cel slajdu: Przedstawienie czterofazowego cyklu życia obsługi incydentu komputerowego wg standardu NIST SP 800-61 w środowisku kampusowym.

Cztery fazy cyklu życia obsługi incydentu w kampusie

Metodyka publikacji NIST Special Publication 800-61 Rev. 2: Computer Security Incident Handling Guide porządkuje działania zespołu bezpieczeństwa w sytuacji kryzysowej:

Faza 1: Przygotowanie (Preparation): wdrożenie narzędzi telemetrii (SIEM, NetFlow, Syslog), utwardzenie konfiguracji przełączników (CoPP, DAI, IPSG) oraz sformułowanie procedur reagowania dla uczelnianego zespołu CSIRT/CERT.
Faza 2: Wykrywanie i analiza (Detection & Analysis): identyfikacja anomalii przez systemy IDS/IPS/SIEM, potwierdzenie naruszenia i określenie zakresu kompromitacji (Scope Assessment).
Faza 3: Powstrzymywanie, usuwanie i odzyskiwanie (Containment, Eradication & Recovery): natychmiastowa izolacja zaatakowanych segmentów sieciowych, usunięcie złośliwego oprogramowania oraz bezpieczne przywrócenie usług z czystych kopii zapasowych.
Faza 4: Działania poincydentalne (Post-Incident Activity / Lessons Learned): analiza przebiegu ataku, wyciągnięcie wniosków, uszczelnienie reguł firewall/ACL i aktualizacja dokumentacji technicznej.

Klucz do odporności: Reagowanie na incydenty nie jest improwizacją. Gotowość do odcięcia zainfekowanego węzła w ciągu kilkudziesięciu sekund (Containment) decyduje o tym, czy atak ransomware ograniczy się do jednego komputera, czy zablokuje całą uczelnię.

Cykl życia obsługi incydentu (NIST SP 800-61): Ustandaryzowany przez Narodowy Instytut Standardów i Technologii (NIST) proces postępowania z incydentami cyberbezpieczeństwa, obejmujący fazy przygotowania, detekcji, powstrzymywania, usuwania skutków oraz wyciągania wniosków.

Najtrudniejszym etapem jest powstrzymywanie ataku (Containment). Zamiast biegać do szafy krosowej i ręcznie wyciągać kable, zespół bezpieczeństwa powinien dysponować zautomatyzowanymi mechanizmami kwarantanny sieciowej (np. integracja EDR/SIEM z serwerem RADIUS przez mechanizm CoA).

Zabezpieczenie materiału dowodowego (Forensic Readiness) wymaga zachowania nienaruszonego stanu logów Syslog, zrzutów pamięci RAM oraz konfiguracji przełączników w chronionym cyfrowo łańcuchu dowodowym (Chain of Custody).

Skróty użyte w tym slajdzie:
NIST – National Institute of Standards and Technology – amerykański Narodowy Instytut Standardów i Technologii.
CSIRT / CERT – Computer Security Incident Response Team – zespół reagowania na incydenty bezpieczeństwa komputerowego.
SIEM – Security Information and Event Management – zarządzanie informacjami o bezpieczeństwie.
SP – Special Publication – seria publikacji specjalnych NIST.
EDR – Endpoint Detection and Response – system wykrywania i reagowania na zagrożenia na stacjach roboczych.

Cel slajdu: Wyjaśnienie mechanizmu dynamicznej zmiany autoryzacji RADIUS CoA (RFC 5176) w celu natychmiastowej izolacji lub kwarantanny zainfekowanego hosta.

Automatyczna zmiana autoryzacji (RADIUS CoA wg RFC 5176)

W przypadku wykrycia zainfekowanej stacji roboczej sieć musi zareagować natychmiast i automatycznie:

Ograniczenia tradycyjnych metod: ręczne wypinanie kabli w szafie teletechnicznej lub czekanie na restart stacji jest zbyt wolne w obliczu szybko rozprzestrzeniającego się robaka sieciowego lub ransomware.
Mechanizm RADIUS Change of Authorization (CoA – RFC 5176): pakiet Change of Authorization (CoA) przesyłany jest z serwera AAA do przełącznika na port UDP 3799, wymuszając natychmiastowe rozłączenie sesji użytkownika (Disconnect-Request) lub wstrzyknięcie izolującej listy dACL bez konieczności restartu portu fizycznego.
Przełączenie do VLAN Kwarantanny: zmiana atrybutu VLAN portu w locie; stacja traci dostęp do zasobów produkcyjnych i otrzymuje nową adresację z odizolowanej puli.
Dynamiczne dACL (Downloadable ACL): alternatywnie nałożenie restrykcyjnej listy ACL na port, zezwalającej wyłącznie na kontakt z serwerem antywirusowym lub portalem remediacyjnym.

Automatyzacja obrony: Integracja systemu SIEM/EDR z serwerem NAC przez mechanizm RADIUS CoA pozwala na odcięcie zainfekowanego komputera w czasie rzeczywistym, bez konieczności oczekiwania na fizyczną interwencję administratora w budynku.

RADIUS CoA (Change of Authorization): Rozszerzenie protokołu RADIUS (RFC 5176) umożliwiające serwerowi uwierzytelniającemu dynamiczną modyfikację atrybutów aktywnej sesji użytkownika (lub jej natychmiastowe zakończenie) na przełączniku dostępowym w czasie rzeczywistym.

Procedura kwarantanny z użyciem portalu remediacyjnego polega na tym, że użytkownik zainfekowanego laptopa widzi w przeglądarce komunikat: „Twój komputer wykazuje objawy infekcji i został odizolowany. Pobierz skaner antywirusowy lub skontaktuj się z helpdeskiem IT”.

Dopiero po zweryfikowaniu usunięcia zagrożenia serwer NAC wysyła ponowny pakiet RADIUS CoA Disconnect, co wymusza reautentykację i przywraca komputer do normalnego VLAN-u.

Skróty użyte w tym slajdzie:
CoA – Change of Authorization – ustandaryzowane w RFC 5176 polecenie serwera AAA zmieniające uprawnienia aktywnej sesji użytkownika na przełączniku.
AAA – Authentication, Authorization, Accounting – architektura bezpieczeństwa obejmująca uwierzytelnianie, autoryzację i rozliczanie użytkowników.
ISE – Identity Services Engine – centralna platforma zarządzania tożsamością i politykami dostępu do sieci firmy Cisco.
SIEM – Security Information and Event Management – centralny system zbierania, korelacji i analizy zdarzeń bezpieczeństwa w czasie rzeczywistym.

Cel slajdu: Przedstawienie metodyki prowadzenia audytów bezpieczeństwa sieci kampusowej na podstawie benchmarków CIS oraz testów penetracyjnych.

Cykliczna walidacja mechanizmów obronnych

Utrzymanie bezpieczeństwa wymaga ciągłego sprawdzania odporności infrastruktury:

Standardy CIS Benchmarks (Center for Internet Security (CIS) Cisco Benchmark Guidelines): precyzyjne, powszechnie uznane zestawy reguł konfiguracyjnych dla urządzeń sieciowych (np. CIS Cisco IOS Benchmark), weryfikujące setki parametrów.
Automatyczny audyt zgodności (Compliance Audit): automatyczne skrypty skanujące pliki konfiguracyjne pod kątem wymogów (np. czy włączono BPDU Guard, czy wyłączono protokoły CDP/LLDP na portach brzegowych, czy hasła są szyfrowane algorytmem Type 8/9).
Kontrolowane testy penetracyjne (Pentesty): praktyczne próby przełamania zabezpieczeń w warstwie 2 (VLAN Hopping, DHCP Exhaustion, ARP Spoofing) wykonywane w celach weryfikacyjnych.
Pętla ciągłego doskonalenia (Deming PDCA): Plan (projekt) → Do (wdrożenie) → Check (audyt i testy) → Act (poprawki i utwardzanie).

Praktyka weryfikacji: Niesprawdzony mechanizm bezpieczeństwa nie działa. Regularne testowanie skuteczności DHCP Snooping, DAI czy list ACL w warunkach kontrolowanych jest jedynym dowodem na realną odporność sieci.

CIS Benchmarks: Opracowane przez Center for Internet Security zbiory najlepszych praktyk inżynierskich i wytycznych konfiguracyjnych służących do utwardzania systemów operacyjnych i urządzeń sieciowych przed cyberzagrożeniami.

Profile CIS dzielą się na dwa poziomy: Level 1 (podstawowe utwardzenie o minimalnym wpływie na funkcjonalność, zalecane dla każdego urządzenia) oraz Level 2 (rygorystyczne bezpieczeństwo dla stref podwyższonego ryzyka, np. sieci szkieletowej i serwerów centralnych).

Raporty z audytu CIS stanowią niepodważalny dowód należytej staranności inżynierskiej wymaganej przez regulacje prawne (np. RODO, dyrektywa NIS 2).

Skróty użyte w tym slajdzie:
CIS – Center for Internet Security – Centrum Bezpieczeństwa Internetowego.
BPDU – Bridge Protocol Data Unit – ramka danych protokołu drzewa rozpinającego STP.
CDP – Cisco Discovery Protocol – protokół wykrywania urządzeń Cisco.
DAI – Dynamic ARP Inspection – dynamiczna inspekcja pakietów ARP.
IOS – Internetwork Operating System – system operacyjny urządzeń sieciowych Cisco.

Cel slajdu: Syntetyczne zebranie kluczowych wniosków inżynierskich z zakresu cyberbezpieczeństwa i eksploatacji sieci kampusowej.

Kluczowe filary bezpiecznej eksploatacji kampusu

Syntetyczne podsumowanie zagadnień bezpieczeństwa i zarządzania:

Zasada Zero Trust i kontrola tożsamości: odejście od ślepego zaufania do portów fizycznych; wdrożenie uwierzytelniania IEEE 802.1X/EAP powiązanego z centralnym serwerem RADIUS i dynamicznym przydziałem VLAN.
Złota triada bezpieczeństwa warstwy 2: równoległe wdrożenie mechanizmów DHCP Snooping, Dynamic ARP Inspection (DAI) oraz IP Source Guard (IPSG) na wszystkich przełącznikach dostępowych.
Odporność płaszczyzn urządzenia: ochrona procesora CPU za pomocą Control Plane Policing (CoPP) oraz izolacja administracyjna w dedykowanej sieci Out-of-Band (MPP).
Szyfrowanie i ochrona bezprzewodowa: standard WPA3-Enterprise, obligatoryjne ramki chronione 802.11w (PMF) oraz stały nadzór WIPS nad nieautoryzowanymi punktami dostępu.
Telemetria i nadzór telemetryczny: precyzyjny czas NTP, bezpieczny protokół SNMPv3 authPriv, centralny serwer Syslog over TLS oraz analityka przepływów IPFIX i korelacja w systemie SIEM.

Synteza części 5: Prawdziwe bezpieczeństwo sieci kampusowej osiąga się nie przez pojedyncze drogie urządzenia brzegowe, lecz poprzez systematyczne, inżynierskie utwardzenie każdego przełącznika dostępowego i każdego portu w szafach teletechnicznych.

Obrona w głąb (Defense-in-Depth): Strategia cyberbezpieczeństwa polegająca na zastosowaniu wielu warstw wzajemnie uzupełniających się mechanizmów ochronnych, tak aby awaria lub przełamanie jednej linii obrony nie skutkowało kompromitacją całego systemu.

Podsumowanie części 5: bezpieczeństwo i zarządzanie

Wdrożenie wszystkich omówionych mechanizmów sprawia, że sieć kampusowa staje się środowiskiem odpornym na błędy użytkowników, złośliwe oprogramowanie oraz celowe próby sabotażu.

Bezpieczeństwo nie jest stanem statycznym – to ciągły proces obejmujący automatyzację konfiguracji, cykliczne testy podatności oraz ciągłe monitorowanie anomalii przez systemy SIEM.

Skróty użyte w tym slajdzie:
CoPP – Control Plane Policing – ochrona płaszczyzny sterowania.
MPP – Management Plane Protection – ochrona płaszczyzny zarządzania.
DAI – Dynamic ARP Inspection – dynamiczna inspekcja ARP.
IPSG – IP Source Guard – sprzętowa ochrona adresu źródłowego IP.
SIEM – Security Information and Event Management – zarządzanie zdarzeniami bezpieczeństwa.

Cel slajdu: Końcowa synteza wiedzy inżynierskiej ze wszystkich pięciu części wykładu: od okablowania strukturalnego po zarządzanie i bezpieczeństwo.

Kompleksowy proces inżynierski: od medium do bezpiecznych usług

Zakończenie pięcioczęściowego cyklu projektowania i wymiarowania sieci klasy Campus:

Część 1 – Podstawy i media: hierarchiczny model 3-warstwowy (Core, Distribution, Access), okablowanie strukturalne miedziane (kat. 6A/7) i światłowodowe (OM4/OS2), standardy zasilania PoE/PoE+/PoE++ oraz bilansowanie budżetu mocy.
Część 2 – Architektura warstwy 2: podział na sieci VLAN, magistrale 802.1Q, ewolucja drzewa rozpinającego (od STP do MSTP), mechanizmy BPDU Guard, Root Guard oraz agregacja łączy LACP/M-LAG eliminująca blokowanie portów.
Część 3 – Wi-Fi i wysoka dostępność: planowanie radiowe Wi-Fi 6/6E/7, kontrolery WLC (Centralized vs FlexConnect), szybki roaming 802.11r/k/v oraz redundancja bramy domyślnej FHRP (HSRP, VRRP).
Część 4 – Warstwa 3, routing i QoS: projektowanie adresacji IPv4/IPv6, hierarchiczny routing dynamiczny OSPFv2/OSPFv3, optymalizacja kosztów łączy oraz mechanizmy klasyfikacji i kolejkowania jakości usług (DiffServ, DSCP, LLQ).
Część 5 – Bezpieczeństwo i zarządzanie: architektura Zero Trust, uwierzytelnianie 802.1X, triada L2 (DHCP Snooping/DAI/IPSG), ochrona CoPP, telemetria SNMPv3/IPFIX, rejestracja SIEM oraz procedury ITIL.

Inżynierskie przesłanie końcowe: Projektowanie nowoczesnej sieci kampusowej to sztuka harmonijnego łączenia fizycznej niezawodności medium, logicznej skalowalności routingu i przełączania oraz bezkompromisowego rygoru cyberbezpieczeństwa. Dobry projekt broni się sam bezawaryjną pracą przez długie lata.

Sieć kampusowa klasy Enterprise: Zintegrowana, skalowalna i wysoce dostępna infrastruktura teleinformatyczna łącząca wiele budynków i tysiące użytkowników, zaprojektowana w modelu hierarchicznym z zachowaniem rygorystycznych standardów wydajnościowych, redundancji i cyberbezpieczeństwa.

Podsumowanie całego kursu projektowania sieci kampusowych

Ukończenie kursu daje kompletny fundament inżynierski niezbędny do projektowania, wdrażania, audytowania i zarządzania nowoczesnymi sieciami korporacyjnymi, uniwersyteckimi oraz przemysłowymi zgodnie z najwyższymi światowymi standardami IEEE, IETF, ISO oraz wytycznymi CIS i NIST.

Dziękujemy za uwagę i życzymy sukcesów w samodzielnym projektowaniu niezawodnych i bezpiecznych sieci teleinformatycznych!

Skróty użyte w tym slajdzie:
PoE – Power over Ethernet – zasilanie urządzeń przez skrętkę komputerową.
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
RSTP / MSTP – protokoły szybkiego i wieloinstancyjnego drzewa rozpinającego.
LACP – Link Aggregation Control Protocol – protokół agregacji łączy.
WLC – Wireless LAN Controller – kontroler sieci bezprzewodowej.
OSPF – Open Shortest Path First – hierarchiczny protokół routingu wewnętrznego.
QoS – Quality of Service – mechanizmy gwarantowania jakości usług.
SIEM – Security Information and Event Management – zarządzanie informacjami i zdarzeniami bezpieczeństwa.