reference中國移動通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－思-wenkub
2023-05-01 13:10:21 本頁面
【正文】 ccounting records for！successful authentications to our TACACS+ or RADIUS server.PIX(Config)aaa accounting any outbound tacacs+|radius snmp 協(xié)議Snmp 協(xié)議是目前數(shù)據(jù)網(wǎng)管理中普遍使用的協(xié)議，但 snmp 協(xié)議本身也存在安全問題。SNMP 界面允許14 / 22通過傳統(tǒng)網(wǎng)絡(luò)管理系統(tǒng)監(jiān)控 PIX Firewall?！居绊憽浚涸黾酉到y(tǒng)可管理的方式，方便故障的監(jiān)控處理【具體配置】：！查看 snmp 的配置狀態(tài)和 snmp 的版本信息PIX(Config)show run！關(guān)閉 snmp 服務(wù)，并刪除 snmp 的默認(rèn)配置PIX(Config) no snmpserver munity public RoPIX(Config) no snmpserver enable trapsPIX(Config) no snmpserver systemshutdownPIX(Config) no snmpserver trapanthRouter(Config) no snmpserver！設(shè)置 snmp RO 的口令，定期更改 SNMP Community（至少半年一次）PIX(Config) snmpserver munity MoreHardPublic Ro ！開啟 snmp trap 功能PIX(Config)snmpserv enable trapsPIX(Config)snmpserver host traps version 3 auth readO！對 snmp 進(jìn)行訪問限制PIX(Config) accesslist 10 permit PIX(Config) accesslist 10 deny anyPIX(Config) snmpserver munity MoreHardPublic Ro 10在條件許可的條件下，建議轉(zhuǎn)用 SNMPv3。根據(jù)設(shè)備本身具有的屬性和實(shí)際維護(hù)經(jīng)驗(yàn)，建議相關(guān)安全審計信息應(yīng)包括設(shè)備登錄信息日志和設(shè)備事件信息日志，同時提供 SYSLOG 服 務(wù)器的設(shè)置方式?！居绊憽浚鹤⒁獗镜厝罩緦υO(shè)備會有影響，建議設(shè)置時獲取支撐單位技術(shù)支持。 前期準(zhǔn)備 軟件的獲取思科公司在官方網(wǎng)站上提供最新的 PIX 軟件版本和對應(yīng)的升級包，但必須有對應(yīng)的登陸帳戶的 CCO 帳 號。若設(shè)備配有雙防火墻，可以遠(yuǎn)程執(zhí)行，但也應(yīng)安排一般的現(xiàn)場人員提供必要的配合。【適用網(wǎng)絡(luò)層次】：根據(jù)需要在所有層次實(shí)施。 升級操作 升級 IOS 或裝載補(bǔ)丁按下列步驟進(jìn)行思科 pix 防火墻的 IOS 裝載：【適用網(wǎng)絡(luò)層次】：根據(jù)需要在所有層次實(shí)施。在升級遇到問題時，由于已經(jīng)刪除了舊的操作系統(tǒng)，設(shè)備沒有操作系統(tǒng)，重啟后，進(jìn) 入 ROMMON 狀 態(tài)，此時，可以用 tftpdnld 方式導(dǎo)入舊的軟件，將計算機(jī)串口和路由器 Console 口相連，計算機(jī)網(wǎng)口與路由器以太口（一定要與第一個以太口）相連。 這個特性能夠檢查向內(nèi)傳輸?shù)陌?IP 源地址完整性，保證去往受控區(qū)域以外的主機(jī)的包擁有可以在實(shí)施實(shí)體本地路由表時由路徑驗(yàn)證的 IP 源地址。【適用網(wǎng)絡(luò)層次】：所有層次的思科 PIX 防火墻【影響】：增加系統(tǒng)的可管理性【注意事項(xiàng)】：在所有設(shè)備上實(shí)施該配置，內(nèi)容不包括與設(shè)備特征有關(guān)的信息，如層次、IP 地址、類型、歸屬網(wǎng)絡(luò)、管理 員等。PIX(Config)copy tftp runningconfig （拷貝到 RAM 中）19 / 22PIX(Config)copy tftp startupconfig （拷貝到 NVRAM 中）或者PIX(Config)copy ftp runningconfig （拷貝到 RAM 中）PIX(Config)copy ftp startupconfig （拷貝到 NVRAM 中）！重新啟動 PIX軟件裝載結(jié)束，用“reload”命令重新啟動 PIX 即可。刪除命令如下：PIX(Config) erase flashErase flash device﹖[confirm] y 注意事項(xiàng)升級 PIX 的 IOS 時，最好能使用串口接到 PIX 的 CONSOL 口上，TFTP 服務(wù)器軟件安裝在該計算機(jī)上，以利于將 IOS 文件可靠的傳送。【影響】：比 TFTP 方式更具安全性【具體配置】：PIX(Config)ip ftp username xxxxxxxPIX(Config)ip ftp password xxxxxxx 數(shù)據(jù)備份為確保升級過程的可恢復(fù)性，對原 IOS 和配置數(shù)據(jù)有必要進(jìn)行完全備份。 制定升級計劃與設(shè)備支撐單位一起制定詳細(xì)的升級計劃，充分考慮實(shí)施升級和補(bǔ)丁裝載時系統(tǒng)重啟對業(yè)務(wù)的影響，充分考慮網(wǎng)絡(luò)結(jié)構(gòu)的雙機(jī)或雙鏈路結(jié)構(gòu)對業(yè)務(wù)的保護(hù)，最大限度減少業(yè)務(wù)中斷時間。為了確保 IOS 升級的順利進(jìn)行，要求從以下幾個細(xì)節(jié)進(jìn)行考慮。建議 在這增加 AAA log 配置信息，注意本地日志對設(shè)備會有影響。它引入了除 Community 外的基于 MD5 認(rèn)證和 DES 加密來保障 SNMP 通道安15 / 22全的機(jī)制。SNMP Firewall 和 Memeory Pool MIB 增加了用于 識別 PIX Firewall 狀態(tài)的其它信息的陷阱數(shù)量。如不需要，不建議對 PIX 使用 SNMP。在 AAA 認(rèn)證設(shè) 置上，最好選用支持對用戶操作內(nèi)容日志功能的AAA 服 務(wù)器軟件，這樣可以加 強(qiáng)對用戶行為的控制?！居绊憽浚涸鰪?qiáng)系統(tǒng)安全性【具體配置】：PIX(config)enable [priv_1evel]PIX(config)disable [priv_1evel]PIX(config)enable password [pw] [level priv_1evel] [encrypted]PIX(config)no enable password [level priv_1evel]PIX(config)show enable 帳號認(rèn)證和授權(quán)帳號的認(rèn)證和授權(quán)分為設(shè)備本省的認(rèn)證和授權(quán)和 AAA 服務(wù)器的認(rèn)證和授權(quán)兩個部分。我們建議用密碼生成器軟件（如 ）來制造隨機(jī)密碼。帳號名字應(yīng)該與使用者存在對應(yīng)關(guān)系，如能反 應(yīng) 使用者的級別、從屬關(guān)系。PIX(config) sh ssh sessionSession ID Client IP Version Encryption State Username 0 DES 6 test 帳號和密碼管理要求應(yīng)在日常維護(hù)過
公司管理相關(guān)推薦
鄂ICP備17016276號-1