释然IT杂谈 193篇原创内容 公众号 加群交流在后台回复“加群”,添加小编微信,小编拉你进去 后台回复“724”获取入门资料 本建议用于Cisco路由器和基于Cisco IOS的交换机及其三层处理模块,其软件版本为CISCO IOS 12.0及以上版本。加固前应该先备份系统配置文件。 1.1.本机认证和授权 初始模式下,设备内一般建有没有密码的管理员账号,该账号只能用于 Console连接,不能用于远程登录。强烈建议用户应在初始化配置时为它们加添密码。一般而言,设备允许用户自行创建本机登录账号,并为其设定密码和权限。同时,为了AAA服务器出现问题时,对设备的维护工作仍可正常进行,建议保留必要的维护用户。 配置本地用户ShiRan,密码ShiRanIT.com,权限为10 Router(config)#username ShiRan privilege 10 password ShiRanIT.com Router(config)#privilege exec level 10 telnet Router(config)#privilege exec level 10 show ip access-list 不要采用enable password设置密码,而采用enable secret命令设置,enable secret命令用于设定具有管理员权限的口令,而enable password采用的加密算法比较弱。而要采用enable secret命令设置。并且要启用Service password-encryption,这条命令用于对存储在配置文件中的所有口令和类似数据进行加密。避免当配置文件被不怀好意者看见,从而获得这些数据的明文。
1.3登陆要求 控制CON端口的访问,给CON口设置高强度的登录密码,修改默认参数,配置认证策略。 操作方式: Router(Config)#line con 0 Router(config-line)#password ShiRanIT.com Router(config-line)#exec-timeout 300 Router(config-line)#session-limit 5 操作方式:
如非要采用HTTP服务,要求对HTTP服务进行严格的控制,如果必须选择使用HTTP进行管理,最好用ip http access-class命令限定访问地址且用ip http authentication命令配置认证,修改HTTP的默认端口。 操作方式: 修改默认端口 Router(Config)# ip http port 50000 Router(Config)# access-list 10 permit 192.168.0.1 Router(Config)# access-list 10 deny any 启用ACL严格控制可以登陆的维护地址 Router(Config)# ip http access-class 10 配置本地数据库 Router(Config)# username ShiRan privilege 10 password ShiRanIT.com 启用本地认证 Router(config)#ip http authentication local Router(Config)# ip http server启用HTTP服务 2.1开启日志功能 为了实现对设备安全的管理,要求对设备的安全审计进行有效管理。根据设备本身具有的属性和实际维护经验,建议相关安全审计信息应包括设备登录信息日志和设备事件信息日志,同时提供SYSLOG服务器的设置方式。 Cisco设备将LOG信息分成八个级别,由低到高分别为debugging、informational、notifications、warnings、errors、critical、alerts、emergencies。考虑到日志信息的种类和详细程度,并且日志开启对设备的负荷有一定影响,在这建议获取有意义的日志信息,并将其发送到网管主机或日志服务器并进行分析,建议将notifications及以上的LOG信息送到日志服务器。 操作方式:
3.1SNMP服务配置 如不需要提供SNMP服务的,要求禁止SNMP协议服务,注意在禁止时删除一些SNMP服务的默认配置。 操作方式: Router(Config)# no snmp-server community public Ro Router(Config)# no snmp-server community private RW Router(Config)# no snmp-server enable traps Router(Config)# no snmp-server system-shutdown Router(Config)# no snmp-server 关闭,网管系统无法采集到相关管理数据,不能进行告警监控 如开启SNMP协议,要求更改SNMP trap协议的标准端口号,以增强其安全性。 操作方式:
如开启SNMP协议,要求更改SNMP连接的源地址,以增强其安全性。 操作方式: Router(Config)# access-list 10 permit 192.168.0.1 Router(Config)# access-list 10 deny any Router(Config)# SNMP-server community MoreHardPublic Ro 10 【影响】:只有指定的网管网段才能使用SNMP维护 如开启SNMP协议,要求设置并定期更改SNMP Community(至少半年一次),以增强其安全性,不建议开启SNMP rw特性。
为了防止利用IP Spoofing手段假冒源地址进行的攻击对整个网络造成的冲击,要求在所有的边缘路由设备(即直接与终端用户网络互连的路由设备)上,根据用户网段规划添加源路由检查。Cisco路由器提供全局模式下启用URPF(Unicast Reverse Path Forwarding单播反向路径转发)的功能。 启用CEF,要使用VRVF功能必须启用CEF(Cisco Express Forwarding) Router(config)#ip cef 启用Unicast Reverse-Path Verification Router(config)#interface g0/0 Router(config-if)#ip verify unicast reverse-path
由于CDP服务可能被攻击者利用获得路由器的版本等信息,从而进行攻击,所以如果没有必要使用CDP服务,则应关闭CDP服务。 全局CDP的关闭 Router(Config)#no cdp run 特定端口CDP的关闭 Router(Config)#interface g0/0 Router(Config-if)# no cdp enable 【影响】:无法发现网络邻居的详细信息,造成维护不便。 Cisco路由器提供一些基于TCP和UDP协议的小服务如:echo、chargen和discard。这些小服务很少被使用,而且容易被攻击者利用来越过包过滤机制。要求关闭这些服务。
4.3禁止Finger、NTP服务 Finger服务可能被攻击者利用查找用户和口令攻击。NTP不是十分危险的,但是如果没有一个很好的认证,则会影响路由器正确时间,导致日志和其他任务出错。要求关闭这些服务。 操作方式: Router(config)#no ip finger Router(config)#no service finger Router(config)#no ntp 4.4禁止IP Source Routing 操作方式:
4.5禁止IP Classless 操作方式: Router(Config)# no ip classless 4.6WINS和DNS服务加固 操作方式:
1.1.无效帐户清理 删除与设备运行、维护等工作无关的账号 [Huawei]aaa [Huawei-aaa]undo local-user test 设备通过相关参数配置,与认证系统联动,满足账号、口令和授权的强制要求。
2.1开启日志功能 操作方式: [Huawei]info-center enable ;默认已启动 [Huawei]info-center console channel 0;向控制台输出日志 [Huawei]info-center logbuffer ;向路由器内部缓冲器输出日志 [Huawei]info-center loghost 192.168.0.254;向日志主机输出日志 [Huawei]info-center monitor channel monitor ; 向telnet终端或哑终端输出日志 3.1限定特定主机访问 操作方式:
3.2过滤高危端口 过滤已知攻击:在网络边界,设置安全访问控制,过滤掉已知安全攻击数据包,例如udp 1434端口(防止SQL slammer蠕虫)、tcp445,5800,5900(防止Della蠕虫)。 操作方式: 全局模式下是否启用如下命令: acl number 3001 rule 1 deny tcp destination-port eq 135 rule 2 deny udp destination-port eq 135 rule 5 deny tcp destination-port eq 139 rule 7 deny tcp destination-port eq 445 rule 8 deny udp destination-port eq 445 rule 9 deny tcp destination-port eq 539 rule 10 deny udp destination-port eq 539 rule 11 deny udp destination-port eq 593 rule 12 deny tcp destination-port eq 593 rule 13 deny udp destination-port eq 1434 rule 14 deny tcp destination-port eq 4444 rule 15 deny tcp destination-port eq 9996 rule 16 deny tcp destination-port eq 5554 rule 17 deny udp destination-port eq 9996 [Quidway-接口] firewall packet-filter 3001 inbound(outbound) 4.1禁用端口 操作方式:
4.2启用源地址检查 操作方式: 不用端口模式下是否启用如下命令: # urpf enable
|
|
来自: 新用户16501297 > 《网络知识》