Cisco Catalyst 3650 vége: lejárt a biztonsági támogatás, mit tegyél, ha még fut nálad

Mi történt

2026. október 31-én lejárt a Cisco Catalyst 3650 sorozat sebezhetőségi támogatása. Ettől kezdve, ha új biztonsági rés derül ki ezen a platformon, nem számíthatsz javításra, és nincs hova támogatási esetet nyitni.

Ez nem jelenti azt, hogy a switchedet ma éjjel feltörik. Azt jelenti, hogy innentől minden újonnan felfedezett hiba örökre nyitva marad. Ezért érdemes tudni, hol vannak ezek az eszközök, és mit csinálnak a hálózatodban.

A dátumok

A Cisco saját End-of-Sale és End-of-Life bejelentése szerint:

Vagyis nem érte meglepetés senkit, ezek évek óta publikusak. A 3650 azért marad bent a hálózatokban, mert működik. Egy switch, ami működik, nem kerül rá senki projektlistájára.

Hol szokott ott maradni

• iroda access rétegében, ahol senki nem nyúl hozzá
• kis telephelyeken, raktárakban, szerverszekrényekben
• gyártó üzemekben, ahol a leállás ára miatt "ami megy, azt nem bántjuk"
• kis hálózati magként, mert annak idején ez volt az olcsó, jó megoldás

Az utolsó kettő a legveszélyesebb: ott a switch gyakran olyan forgalmat visz, aminek a kompromittálása nem csak adatvesztést, hanem leállást is okozhat.

Mit tegyél a héten

1. Leltár. Nézd meg, hány 3650 van. Ha van hálózatfelügyeleti rendszered, onnan kiszedheted. Ha nincs, kérdezd le az eszközöket:

show inventory
show version | include Model|Version

Sok eszköznél ezt scripttel is megoldhatod. Netmikóval egy IP-lista végigfuttatható, a kimenetből pedig egy CSV lesz:

from netmiko import ConnectHandler
import csv

hosts = [l.strip() for l in open("switches.txt") if l.strip()]
with open("inventory.csv", "w", newline="") as f:
    w = csv.writer(f)
    w.writerow(["host", "model_line"])
    for h in hosts:
        try:
            c = ConnectHandler(device_type="cisco_xe", host=h,
                               username="USER", password="PASS")
            out = c.send_command("show version | include Model Number")
            w.writerow([h, out.strip()])
            c.disconnect()
        except Exception as e:
            w.writerow([h, f"ERROR: {e}"])

2. Sorrend kitettség szerint, nem kor szerint. Egy 3650, amely telefonokat táplál egy szekrényben, más kockázat, mint egy, amely kis magként működik, vagy rajta fut a menedzsment forgalom. A kérdések:

• Milyen szegmenseket köt össze?
• Elérhető-e a menedzsment felülete a felhasználói hálózatból?
• Mi történik a cégnél, ha leáll?

3. Csökkentsd a támadási felületet, amíg ki nem cseréled.

• A menedzsment legyen külön VLAN-ban, ACL-lel korlátozva, csak a rendszergazdai gépekről elérhető.
• SSH legyen engedélyezve, Telnet és HTTP ne. Ha nincs rá szükséged, a HTTP/HTTPS szerver is menjen ki.
• Központi hitelesítés (AAA, RADIUS/TACACS+), ne helyi jelszavak.
• SNMP csak v3-mal, vagy kapcsold ki, ha nem használod.
• Fusson naprakész konfigurációmentés, hogy csere esetén ne kézzel kelljen visszaépíteni.
• Ha eddig nem tetted: szegmentálás és 802.1X, hogy egy kompromittált végpont ne érje el az infrastruktúrát.

Ez nem helyettesíti a cserét, de jelentősen megnehezíti a kihasználást.

A csere

A Cisco a Catalyst 9300 sorozatot ajánlja utódként. A bejelentésben a legtöbb 3650 cikkszámot a 9300L család váltja, ami KKV-méretben általában a reális választás.

A hardver beszerzése a könnyű rész. A nehéz rész maga a csere, mert minden csere változtatás, és a hálózatok a változtatásoknál szoktak elromlani. Érdemes:

• előre dokumentálni a jelenlegi konfigurációt és a portkiosztást,
• előre egyeztetett karbantartási ablakban dolgozni, üzemben a termelés tervéhez igazítva,
• visszaállási tervet készíteni, mielőtt hozzányúlsz az első switchhez,
• a cserét egyesével, ellenőrzéssel végezni, nem egyszerre mindent.

Segítek átnézni. Egy hálózati audit pont erre való: feltérképezem az eszközöket, dokumentálom a hálózatot, és megmondom, mi fut lejárt támogatással, és mi viszi a legnagyobb kockázatot. Gyártó üzemben az IT/OT szétválasztás is része a vizsgálatnak. Írásos jegyzőkönyvvel és priorizált intézkedési tervvel.

Forrás: Cisco, Catalyst 3650 End-of-Sale and End-of-Life Announcement.