信息安全知識競賽培訓-網(wǎng)絡設備(編輯修改稿)
2025-02-17 22:19 本頁面
【文章內(nèi)容簡介】 P配置是及其危險的。 ? 如不需要提供 SNMP服務的，要求禁止 SNMP協(xié)議服務，注意在禁止時刪除一些 SNMP服務的默認配置。 ? 如開啟 SNMP協(xié)議，建議更改 SNMP trap協(xié)議的標準端口號，并使用訪問控制列表控制未授權(quán)的 SNMP讀寫，定期更改SNMP Community,以增強其安全性。 ? 如開啟 SNMP協(xié)議，并且條件許可的話，建議轉(zhuǎn)用 SNMPv3。它引入了除 Community外的基于 MD5認證和 DES加密來保障SNMP通道安全的機制。 CISCO設備安全設置 HTTP安全 ?Cisco設備的 IOS支持 HTTP協(xié)議進行遠端配置和監(jiān)視。由于 HTTP服務本身具有諸多安全漏洞，如 CGI漏洞等，針對 HTTP的認證就相當于在網(wǎng)絡上發(fā)送明文。且對于 HTTP沒有有效的基于挑戰(zhàn)或一次性的口令保護，這使得用 HTTP進行管理相當危險。建議關(guān)閉HTTP服務。 CISCO設備 HTTP安全 關(guān)閉 HTTP服務 ?如需要使用 HTTP服務，要求更改標準的端口號，將協(xié)議運行在其他不用端口上，如 “ 49152 至 65535”，而不是標準端口上。 ? Router(Config) no ip server CISCO設備 HTTP安全 HTTP安全配置 ?如果必須選擇使用 Http進行管理，最好用 ip accessclass命令限定訪問地址，并用 ip authentication命令配置認證，修改 HTTP的默認端口。 ? Router(Config) ip port 50000 ? Router(Config) accesslist 10 permit ? Router(Config) accesslist 10 deny any ? Router(Config) ip accessclass 10 CISCO設備安全設置 日志 ?建議對 Cisco設備的安全審計進行有效管理，根據(jù)設備本身具有的屬性和實際維護經(jīng)驗，建議相關(guān)安全審計信息應包括設備登錄信息日志和設備事件信息日志，同時提供 SYSLOG服務器的設置方式。 ?Cisco設備將 LOG信息分成八個級別，由低到高分別為 debugging、 informational、 notifications、warnings、 errors、 critical、 alerts、emergencies。考慮到日志信息的種類和詳細程度，并且日志開啟對設備的負荷有一定影響，建議獲取有意義的日志信息進行分析。 CISCO設備安全設置 日志 ? 日志除在本機保存外，還應異地存儲到專用的 LOG服務器，建議將 notifications及以上的 LOG信息送到 LOG服務器。 ? 為確保日志時間戳的準確，需要配置正確的時間戳，有助于故障排除，取得安全事件的證物和與其他路由器進行時間同步。 ? Router(Config)service timestamps log datetime localtime CISCO設備安全設置 特定安全配置 ?除上述安全設置外， Cisco設備還應該關(guān)閉一些默認的服務，并進行一些特定的安全配置，盡可能確保 Cisco設備的安全運行。 CISCO設備特定安全配置 服務關(guān)閉 ?Cisco設備本省提供了許多比較危險的服務如 CDP、TCP和 UDP Small、 Finger、 NTP、 BOOTp、 IP sourcerouting、 IP Unreachables,Redirects, Mask－ Replies、 ARPProxy、 IP Directed Broadcast、 IP Classless、 WINS和 DNS等等，對該類服務的建議是，如果不需要服務，關(guān)閉這些服務。 CISCO設備特定安全配置 服務關(guān)閉 ?CDP服務可能被攻擊者利用獲得路由器的版本等信息，從而進行攻擊，所有邊界的 Cisco設備需要關(guān)閉 CDP服務。 ? 一些基于 TCP和 UDP協(xié)議的小服務如： echo、 chargen等，容易被攻擊者利用來越過包過濾機制，建議關(guān)閉。 ?Finger服務可能被攻擊者利用查找用戶和口令攻擊，建議關(guān)閉。 ?NTP不是十分危險的，但是如果沒有一個很好的認證，則會影響路由器正確時間，導致日志和其他任務出錯，建議關(guān)閉。 ?ARPProxy服務默認是開啟的，容易引起路由表的混亂 , 建議關(guān)閉。 CISCO設備特定安全配置 服務關(guān)閉 ?禁止 ICMP協(xié)議的 IP Unreachables,Redirects,Mask－ Replies功能。 ?明確的禁止 IP Directed Broadcast。 ?禁止 IP Source Routing。 ?禁止 BOOTp服務。 CISCO設備特定安全配置 服務關(guān)閉 ?Cisco路由器默認的對 IPv4協(xié)議報進行處理，但會導致網(wǎng)絡接口拒絕服務，為確保不受到次類型的攻擊，可以在接口上禁止 ? 53 (SWIPE) ? 55 (IP Mobility) ? 77 (Sun ND) ? 103 (Protocol Independent Multicast PIM) CISCO設備安全設置 其他 ? COM端口的安全：建議控制 CONSOLE端口的訪問 ,給 CONSOLE口設置高強度的密碼，設置超時退出時間等。 ? AUX端口的安全：由于 默認打開 ，在不使用 AUX端口時，則禁止這個端口。 ? 空閑物理端口的安全：如確認端口（ Interface）不使用，使用shutdown命令關(guān)閉。 ? Banner的設置：對遠程登陸的 banner的設置要求必須包含非授權(quán)用戶禁止登錄的字樣， banner不能包含 設備名、設備型號、設備所有者及設備運行軟件信息。 ? Cisco路由器禁止從網(wǎng)絡啟動和自動從網(wǎng)絡下載初始配置文件。 ? no boot work ?
教學課件相關(guān)推薦
鄂ICP備17016276號-1