Что мы узнали, пока делали SAMURAI: причуды API вендоров, дизайн фабрик ACI, обнаружение изменений без ложных тревог и тысячи эндпоинтов в одной таблице.
Что NIST SC-7(5) и AC-4 на самом деле требуют от набора правил, шесть способов, которыми deny by default незаметно размывается, и как это проверить с раскрытыми объектами и NAT.
В NIST базовая конфигурация означает проверенную и согласованную спецификацию. Разбираем, чего CM-2, CM-3 и CM-3(7) требуют от сетевых команд и с какой частью реально помогает инструмент обнаружения изменений.
SP 800-53 относит настройки журналирования к информации аудита. Что это значит для строк syslog, NTP и учёта AAA на файрволах и маршрутизаторах и как ловить изменения в них.
Что SP 800-53 Rev. 5 говорит об администраторском доступе к коммутаторам, маршрутизаторам и файрволам: AC-6(3), MA-4 и IA-2(1), аварийные учётные записи и чеклист для плоскости управления.
Что PS-4, PS-5 и PS-7 из SP 800-53 значат для локальных учётных записей, общих секретов и инженеров подрядчика на сетевом оборудовании и какими доказательствами подтвердить, что уход сотрудника отработан.
В NIST непрерывный мониторинг означает частоту, которую вы выбираете и обосновываете сами. Чего CA-7 и PM-31 ждут от сетевых команд, как заполнить параметры и что данные конфигурации могут и не могут показать.
Что уезжает вместе с вышедшим из строя файрволом, что SP 800-53 велит проверить, когда возвращается отремонтированное устройство или замена, и почему важнее всего первый дифф снимков.
SP 800-53 Rev. 5 отозвал десятки контролей, ничего не перенумеровав. Карта тех, на которые сетевые команды до сих пор ссылаются, и как почистить устаревший маппинг.
Чеклист проверки конфигурации файрвола, не привязанный к вендору: мёртвые и затенённые правила, что реально доступно, открытость через NAT, контроль изменений и доказательства, которые просят аудиторы.
SolarWinds, PRTG, Zabbix, LibreNMS и Nagios: что каждый умеет хорошо и где рядом с ними уместен инструмент уровня конфигурации вроде SAMURAI.
Уберите поля, которые меняются сами, захешируйте остальное и сравните. Так пропадают ложные диффы и находятся изменения, которых журналы аудита не записали.
Чтобы провести пакет через IOS, NX-OS и PAN-OS, нужно примирить три синтаксиса ACL и три формата таблиц маршрутизации, которые почти ни в чём не согласны.
Таблицы MAC, ARP, DHCP snooping, CDP/LLDP, 802.1X и хосты APIC, сведённые в правильном порядке, скажут больше, чем таблица, которую никто не открывал месяцами.
Как пороги и окна cooldown сохраняют мониторинг фабрики ACI, когда падает APIC, и не дают прыгать между контроллерами каждые несколько секунд.
Ночные дежурства, с которых начался SAMURAI, и решения, благодаря которым один read-only инструмент заменяет APIC, Panorama, FMC, ISE и пачку SSH-сессий.
Один docker load, офлайн-база IEEE OUI и TLS, рассчитанный на самоподписанные сертификаты. Больше ничего не нужно, чтобы работать совсем без интернета.
Пишем, когда узнали что-то, чем стоит поделиться: причуды мультивендорных сетей, дизайн фабрик и как SAMURAI устроен внутри.