【文章內(nèi)容簡(jiǎn)介】 V. 生成 rsa 密鑰對(duì)Router(config) crypto key generate rsaThe name for the keys will be: Choose the size of the key modulus in the range of 360 to2048 for your General Purpose Keys. Choosing a key modulusgreater than 512 may take a few minutes.How many bits in the modulus [512]: 2048Generating RSA Keys ...[OK]V. 配置僅允許 ssh 遠(yuǎn)程登錄Router(config) line vty 0 4Router(configline) transport input ssh Router(configline) exitRouter(config)2. 補(bǔ)充操作說(shuō)明配置描述：I. 配置 ssh 要求路由器已經(jīng)存在主機(jī)名和域名II. 配置訪(fǎng)問(wèn)控制列表，僅授權(quán) 訪(fǎng)問(wèn) sshIII. 配置遠(yuǎn)程訪(fǎng)問(wèn)里連接超時(shí)IV. 生成 rsa 密鑰對(duì)，如果已經(jīng)存在可以使用以前的。默認(rèn)存在 rsa密鑰對(duì) sshd 就啟用，不存在 rsa 密鑰對(duì) sshd 就停用。V. 配置遠(yuǎn)程訪(fǎng)問(wèn)協(xié)議為 ssh檢測(cè)方法 1. 判定條件10 / 37I. 存在 rsa 密鑰對(duì)II. 遠(yuǎn)程登錄指定 ssh 協(xié)議2. 檢測(cè)操作I. 使用 show crypto key mypubkey rsa 命令，如下例：Router(config) show crypto key mypubkey rsa% Key pair was generated at: 06:07:49 UTC Jan 13 1996Key name: Usage: Signature Key Key Data: 005C300D 06092A86 4886F70D 01010105 00034B00 30480241 00C5E23B 55D6AB2204AEF1BA A54028A6 9ACC01C5 129D99E4 64CAB820 847EDAD9 DF0B4E4C 73A05DD2BD62A8A9 FA603DD2 E2A8A6F8 98F76E28 D58AD221 B583D7A4 71020301 0001% Key pair was generated at: 06:07:50 UTC Jan 13 1996Key name: Usage: Encryption Key Key Data: 00302022 4A7D385B 1234EF29 335FC973 2DD50A37 C4F4B0FD 9DADE748 429618D5 18242BA3 2EDFBDD3 4296142A DDF7D3D8 08407685 2F2190A0 0B43F1BD 9A8A26DB 07953829 791FCDE9 A98420F0 6A82045B 90288A26 DBC64468 7789F76E EE21II. 使用 show runningconfig 命令，如下例：routershow runningconfigBuilding configuration...Current configuration:!line vty 0 4transport input ssh3. 補(bǔ)充說(shuō)明使用非加密協(xié)議在傳輸過(guò)程中容易被截獲口令11 / 37 賬號(hào)管理、認(rèn)證授權(quán) 賬戶(hù)要求編號(hào) 安全要求設(shè)備思科路由器 配置1適用版本 Cisco IOS Release 以上要求內(nèi)容 應(yīng)按照用戶(hù)分配賬號(hào)。避免不同用戶(hù)間共享賬號(hào)。避免用戶(hù)賬號(hào)和設(shè)備間通信使用的賬號(hào)共享。操作指南1. 參考配置操作Router config tEnter configuration mands, one per line. End with CNTL/Z.Router(config) service passwordencryptionRouter(config) username ruser1 password 3dzirc0niaRouter(config) username ruser1 privilege 1Router(config) username ruser2 password 2Bor3BRouter(config) username ruser2 privilege 1Router(config) end Router2. 補(bǔ)充操作說(shuō)明檢測(cè)方法1. 判定條件I. 配置文件中，存在不同的帳號(hào)分配II. 網(wǎng)絡(luò)管理員確認(rèn)用戶(hù)與帳號(hào)分配關(guān)系明確2. 檢測(cè)操作使用 show runningconfig 命令，如下例：routershow runningconfigBuilding configuration...Current configuration:!service passwordencryption username ruser1 password 3dzirc0niausername ruser1 privilege 1username ruser2 password 2Bor3Busername ruser2 privilege 13. 補(bǔ)充說(shuō)明使用共享賬號(hào)容易造成職責(zé)不清12 / 37要求編號(hào) 安全要求設(shè)備思科路由器 配置2適用版本 Cisco IOS Release 以上要求內(nèi)容 應(yīng)刪除與設(shè)備運(yùn)行、維護(hù)等工作無(wú)關(guān)的賬號(hào)。操作指南1．參考配置操作Router config tEnter configuration mands, one per line. End with CNTL/Z.Router(config) no username ruser32．補(bǔ)充操作說(shuō)明檢測(cè)方法1. 判定條件I. 配置文件存在多帳號(hào)II. 網(wǎng)絡(luò)管理員確認(rèn)所有帳號(hào)與設(shè)備運(yùn)行、維護(hù)等工作有關(guān)2. 檢測(cè)操作使用 show runningconfig 命令，如下例：routershow runningconfigBuilding configuration...Current configuration:!username user1 privilege 1 password password1username nobodyuse privilege 1 password password13. 補(bǔ)充說(shuō)明刪除不用的賬號(hào)，避免被利用 口令要求編號(hào) 安全要求設(shè)備思科路由器 配置3適用版本 Cisco IOS Release 以上要求內(nèi)容 靜態(tài)口令必須使用不可逆加密算法加密，以密文形式存放。如使用enable secret 配置 Enable 密碼，不使用 enable password 配置 Enable 密碼。13 / 37操作指南1. 參考配置操作Router config tEnter configuration mands, one per line. End with CNTL/Z.Router(config) enable secret 2mAnyrOUtEsRouter(config) no enable passwordRouter(config) end2． 補(bǔ)充操作說(shuō)明檢測(cè)方法1. 判定條件配置文件無(wú)明文密碼字段2. 檢測(cè)操作使用 show runningconfig 命令，如下例：routershow runningconfigBuilding configuration...Current configuration:!service passwordencryptionenable secret 5 $1oxphetTb$rTsF$EdvjtWbi0qA2gusername ciscoadmin password 7 Wbi0qA1$rTsF$Edvjt2gpvyhetTb3. 補(bǔ)充說(shuō)明如果不加密,使用 show runningconfig 命令,可以看到未加密的密碼 授權(quán) 認(rèn)證 要求編號(hào) 安全要求設(shè)備思科路由器 配置7可選適用版本 Cisco IOS Release 以上要求內(nèi)容 設(shè)備通過(guò)相關(guān)參數(shù)配置，與認(rèn)證系統(tǒng)聯(lián)動(dòng)，滿(mǎn)足帳號(hào)、口令和授權(quán)的強(qiáng)制要求。操作指南1. 參考配置操作Routerconfigure terminal Enter configuration mands, one per line. End with CNTL/Z.Router(config)aaa newmodelRouter(config)aaa authentication login default group tacacs+Router(config)aaa authentication enable default group tacacs+Router(config)tacacsserver host Router(config)tacacsserver key Ir3@1yh8nw9@swD14 / 37Router(config)endRouter2. 補(bǔ)充操作說(shuō)明與外部 TACACS+ server 聯(lián)動(dòng)，遠(yuǎn)程登錄使用 TACACS+ serverya 驗(yàn)證檢測(cè)方法1. 判定條件帳號(hào)、口令配置，指定了認(rèn)證系統(tǒng)2. 檢測(cè)操作使用 show runningconfig 命令，如下例：routershow runningconfigBuilding configuration...Current configuration:!aaa newmodelaaa authentication login default group tacacs+aaa authentication enable default group tacacs+tacacsserver host tacacsserver key Ir3@1yh8nw9@swD3. 補(bǔ)充說(shuō)明 日志安全要求要求編號(hào) 安全要求設(shè)備思科路由器 配置4可選適用版本 Cisco IOS Release 以上要求內(nèi)容 與記賬服務(wù)器(如 RADIUS 服務(wù)器或 TACACS 服務(wù)器)配合，設(shè)備應(yīng)配置日志功能，對(duì)用戶(hù)登錄進(jìn)行記錄，記錄內(nèi)容包括用戶(hù)登錄使用的賬號(hào)，登錄是否成功，登錄時(shí)間，以及遠(yuǎn)程登錄時(shí)，用戶(hù)使用的 IP 地址。操作指南1. 參考配置操作Routerconfigure terminal Enter configuration mands, one per line. End with CNTL/Z.Router(config)aaa newmodel Router(config)aaa accounting connection default startstop group tacacs+Router(config)aaa accounting exec default startstop group tacacs+ Router(config)endRouter12. 補(bǔ)充操作說(shuō)明使用 TACACS+ server檢測(cè)方法 1. 判定條件配置了 AAA 模板的上述具體條目15 / 372. 檢測(cè)操作使用 show runningconfig 命令，如下例：router1show runn | include aaa Building configuration...Current configuration:!aaa newmodelaaa authentication login default group tacacs+aaa authorization exec default group tacacs+ aaa sessionid mon3. 補(bǔ)充說(shuō)明要求編號(hào) 安全要求設(shè)備思科路由器 配置5可選適用版本 Cisco IOS Release 以上要求內(nèi)容 與記賬服務(wù)器(如 TACACS 服務(wù)器)配合，設(shè)備應(yīng)配置日志功能，記錄用戶(hù)對(duì)設(shè)備的操作，如賬號(hào)創(chuàng)建、刪除和權(quán)限修改，口令修改，讀取和修改設(shè)備配置，讀取和修改業(yè)務(wù)用戶(hù)的話(huà)費(fèi)數(shù)據(jù)、身份數(shù)據(jù)、涉及通信隱私數(shù)據(jù)。記錄需要包含用戶(hù)賬號(hào)，操作時(shí)間，操作內(nèi)容以及操作結(jié)果。操作指南1. 參考配置操作Routerconfigure terminal Enter configuration mands, one per line. End with CNTL/Z.Router(config)aaa newmodel Router(config)aaa accounting mands 1 default startstop group tacacs+Router(config)aaa accounting mands 15 default startstop group tacacs+Router(config)endR