Cisco CCNP Security Core (350-701 SCOR)

**把 FTD 当 ASA 一样考** — Cisco 正在从 ASA 迁移到 Firepower Threat Defense。ASA 是命令行驱动、基于 ACL 的传统 stateful firewall；FTD 是 Snort 驱动的 NGFW，由 FMC（或 FDM 单机管理、CDO 云管理）下发策略。**FTD 的配置模型是 Access Control Policy + Intrusion Policy + Network Analysis Policy 三层联动**，不是 ASA 的 ACL 思维。考题常故意把 ASA CLI 语法和 FMC UI 操作混着问，老 ASA 工程师最容易栽在这里。

**ISE personas 分不清** — ISE 高可用部署基于四种角色：**PAN (Policy Administration Node)** 负责配置管理、**MnT (Monitoring)** 负责日志/报表、**PSN (Policy Service Node)** 实际处理 RADIUS/TACACS+ 认证请求、**pxGrid** 是和第三方（SecureX、Firepower）集成的消息总线。一台 ISE 可以承担多种 personas，但生产环境通常分离。考题会给你一个故障场景问"哪个 persona 坏了"，记不住映射就送命。

**VPN 协议代际搞混（IKEv1 vs IKEv2 vs FlexVPN vs GETVPN vs DMVPN）** — IKEv1 是老协议（主模式 6 包 / 野蛮模式 3 包），基本淘汰；**IKEv2** 是现代标准，4 包 + EAP 支持 + NAT-T 内建 + anti-DoS cookie；**FlexVPN** 是 Cisco 基于 IKEv2 的统一 VPN 框架（site-to-site / hub-spoke / remote access 一套配置）；**GETVPN** 是 group-based tunnel-less VPN，用 KS (Key Server) + GM (Group Member) 模型，适合 MPLS 内部；**DMVPN** 是基于 mGRE + NHRP + IPsec 的动态 spoke-to-spoke hub-and-spoke VPN。考题经常让你从场景反推该选哪个，核心分辨点是"是否需要 spoke-to-spoke"、"是否 MPLS 内部"、"是否统一远程接入"。

**AMP 文件 disposition 四种状态** — Cisco AMP (现名 Cisco Secure Endpoint) 对文件判断有 **Clean / Malicious / Unknown / Custom** 四种处置。**Unknown** 是关键状态 — 文件未知威胁情报但可能是 0day，此时 **Threat Grid** 沙箱会做动态分析。**Retrospective Security**（回溯安全）指文件在通过边界时判为 Clean，但之后 cloud intelligence 重新判为 Malicious，AMP 会回溯追踪所有接触过该文件的终端。这是 AMP 区别于传统 AV 的核心卖点，必考。

**REST API vs NETCONF/YANG vs gNMI 用途混淆** — **REST API** 是 Cisco FMC、ISE、DNA Center 都提供的 HTTP + JSON 接口，易用但厂商私有 schema；**NETCONF** 基于 XML over SSH (port 830)，数据模型用 **YANG**，标准化跨厂商（IETF RFC 6241）；**RESTCONF** 是 NETCONF 的 HTTP/JSON 版本（RFC 8040），更易集成；**gNMI** 是 Google 推的基于 gRPC 的 telemetry 协议，主要用于 streaming telemetry。考题会给一段代码问"这用的是哪种协议"或"下面哪个协议用了 YANG 数据模型"，死记硬背 port 号和传输协议即可。

**Umbrella vs CloudLock vs Stealthwatch Cloud 职责混淆** — **Umbrella** 是 DNS 层安全 + Secure Internet Gateway (SIG) + CASB inline 模式；**CloudLock** 是 API-based CASB，通过 SaaS 厂商 API 扫描 Google Workspace / O365 / Salesforce 里的敏感数据（out-of-band）；**Stealthwatch Cloud** 是基于 NetFlow / VPC Flow Logs 的网络行为分析（NTA）。三者都挂着"云安全"标签但完全不同技术路径。

**CoPP / MACsec / TrustSec / 802.1X 层级搞错** — **802.1X** 是 port-based access control，Layer 2 认证；**MACsec (IEEE 802.1AE)** 是 Layer 2 hop-by-hop 加密；**TrustSec (SGT)** 是 Cisco 的 group-based policy，在 CMD 字段里携带 SGT 标签做微分段；**CoPP (Control Plane Policing)** 保护设备 CPU 免受控制平面流量淹没。这四个在 Secure Network Access 15% 里交叉考，每次都有题。