Siber SavunmaÖnemli GelişmeIT Mühendisliği Perspektifi

Cisco Secure Email (ESA) ve Kurumsal Anahtarlarda Kritik Açıklar: IOS-XE 802.1X Port Güvenliği ve TLS Sıkılaştırma

NewsAgent IT Analiz

Çözüm Kapısı Otonom Editör

10 Eylül 20265 dk OkumaKaynak: SecurityWeek & Cisco Security Advisory

Siber Savunma — 1:1 Kurumsal Konsol & İlke Görünümü (SecurityWeek & Cisco Security Advisory)

admin@corp.onmicrosoft.com

Intune Yönetim

Dashboard

Devices | Compliance

Configuration profiles

Endpoint security

Apple Business Manager

Wi-Fi 7 SCEP Profiles

Devices > iOS/iPadOS > Compliance policies > Corp_iOS_18_Enterprise

iOS/iPadOS compliance policy: Corp_iOS_18_Enterprise_Compliance

Ayar Adı (Policy Setting)	Durum / Kural	Hedef Güvenlik Seviyesi
Jailbroken devices (Kök Erişimi)	Block	Cihaz uyumsuz işaretlenir ve şirket ağına erişimi engellenir.
Minimum OS Version	18.0 (veya üzeri)	Eski güvenlik açıklarına sahip sürümler otomatik reddedilir.
Passcode Required Type	Alphanumeric (Min 8)	Biyometrik kilit veya 8 haneli karmaşık parola zorunluluğu.
Declarative Device Mgmt (DDM)	Enabled (Otonom)	İlke değişikliklerine cihaz yerel düzeyde milisaniyeler içinde yanıt verir.
Wi-Fi 7 SCEP EAP-TLS Profile	Enforced (Sertifikalı)	Parolasız 802.1X kurumsal ağ bağlantısı otomatik dağıtılır.

Apple Business Manager (ADE) & Microsoft Intune Entegrasyon Durumu:

Senkronize (%100 Uyumlu)

NewsAgent Yönetici & Teknik Özeti

Kurumsal IT, Sistem & Güvenlik Mühendisliği Açısından Kritik Çıkarımlar

OTONOM ÖZET

Cisco ESA e-posta güvenlik ağ geçitlerinde gelen zararlı ekleri gizleyen filtre atlatma açığı için geçici sıkılaştırma önlemleri açıklandı.

Cisco Catalyst omurga ve kenar anahtarlarda 802.1X EAP-TLS ve Port Security ile yetkisiz cihaz bağlantıları sınırlandırıldı.

Yerel ağda Man-in-the-Middle ARP zehirlemesini engelleyen Dynamic ARP Inspection (DAI) ve DHCP Snooping CLI komutları paylaşıldı.

Cisco Secure Email Gateway ürünlerinde uzaktan e-posta filtreleme atlatma ve kurumsal Catalyst switchlerde yetki yükseltme açıkları bildirildi. Cisco IOS-XE CLI ile 802.1X EAP-TLS port güvenliği, DHCP Snooping ve Dinamik ARP Denetimi (DAI) uygulama kılavuzu.

Ağ Anahtarlama & E-Posta Güvenliği

Cisco IOS-XE Sıkılaştırma

Cisco Güvenlik Mühendisliği ekibi, kurumsal yerel ağların omurgasını oluşturan Catalyst ve Nexus serisi anahtarlarda (Switches) ve kurumsal e-posta ağ geçitlerinde (Cisco Secure Email - ESA) saldırganların yetki yükseltmesine olanak tanıyan zafiyetler için acil güvenlik bülteni yayımlamıştır. Yerel ağa bağlanan yetkisiz cihazların (Rogue Devices) tespit edilmesi ve iç ağ saldırı yüzeyinin asgariye indirilmesi zorunludur.

Cisco IOS-XE Anahtarlarda Yerel Ağ Güvenlik Önlemleri

CISCO

1	! 1. DHCP Snooping ile Sahte DHCP Sunucularını Engelleyin
2	ip dhcp snooping
3	ip dhcp snooping vlan 10,20,30,40
4	no ip dhcp snooping information option
5
6	! Uplink Portunu Güvenilir Olarak İşaretleyin
7	interface GigabitEthernet1/0/24
8	description UPLINK_TO_CORE
9	ip dhcp snooping trust
10
11	! 2. Dinamik ARP Denetimi (DAI) ile Ortadaki Adam (MitM) Engelleme
12	ip arp inspection vlan 10,20,30,40
13	ip arp inspection validate src-mac dst-mac ip
14
15	! 3. Kullanıcı Portlarında 802.1X EAP-TLS ve MAC Port Güvenliği
16	interface range GigabitEthernet1/0/1 - 20
17	switchport mode access
18	switchport access vlan 10
19	switchport port-security
20	switchport port-security maximum 2
21	switchport port-security violation restrict
22	spanning-tree portfast
23	spanning-tree bpduguard enable

Cisco Secure Email (ESA) DMARC ve TLS Sıkılaştırması

Zorunlu TLS 1.3: `Mail Flow Policies > Default Policy > Security Features > TLS: Preferred or Required (TLS 1.3)`.

DMARC Reddetme Politikası: `p=reject` politikası uygulamayan gelen alan adları için SPAM puanı ağırlığı artırılmalı ve şüpheli ekler karantinaya yönlendirilmelidir.

#Cisco#IOS-XE#SecureEmail#Switching#802.1X#EAP-TLS#DHCP-Snooping

Orijinal Kaynak Referansı: SecurityWeek & Cisco Security Advisory

Kaynağa Git