信息安全知識(shí)競(jìng)賽培訓(xùn)-網(wǎng)絡(luò)設(shè)備-資料下載頁(yè)
2025-01-21 22:19本頁(yè)面
【正文】 ing單播反向路徑轉(zhuǎn)發(fā)）的功能。 ? 注意源路由檢查功能更適用于網(wǎng)絡(luò)接入層設(shè)備。匯聚層和核心層設(shè)備不建議使用。匯聚層和核心層設(shè)備出現(xiàn)不均衡路由的機(jī)會(huì)較高（即輸出流量與返回流量分別承載在不同鏈路上。這是正?，F(xiàn)象）。如果啟用源路由檢查后，容易造成正常返回流量的無(wú)端被棄。 JUNIPER設(shè)備安全設(shè)置 網(wǎng)管安全 ?Juniper設(shè)備提供標(biāo)準(zhǔn)的 Tel接口，開(kāi)放 TCP 23端口。Tel在連接建立初期也需要核查帳號(hào)和密碼，但是此過(guò)程中，以及后續(xù)會(huì)話(huà)中，都是明文方式傳送所有數(shù)據(jù)，容易造竊聽(tīng)而泄密。 Tel并不是一個(gè)安全的協(xié)議。 ? 建議采用 SSH協(xié)議來(lái)取代 Tel進(jìn)行 Juniper設(shè)備的遠(yuǎn)程登錄。 SSH與 Tel一樣準(zhǔn)門(mén)提供遠(yuǎn)程連接手段。但是 SSH傳送的數(shù)據(jù)（包括帳號(hào)和密碼）都會(huì)被加密，且密鑰會(huì)自動(dòng)更新，極大提高了連接的安全性。 SSH可以非常有效地防止竊聽(tīng)、防止使用地址欺騙手段實(shí)施的連接嘗試。 ? 建議啟用 SSH V2，并禁止 root直接登陸。 JUNIPER設(shè)備網(wǎng)管安全 遠(yuǎn)程登錄 ? 登錄空閑時(shí)間：設(shè)定登錄連接空閑時(shí)間限制，讓系統(tǒng)自動(dòng)檢查當(dāng)前連接是否長(zhǎng)時(shí)間處于空閑狀態(tài)，若是則自動(dòng)將其拆除。 ? 登錄嘗試次數(shù)：設(shè)置登錄嘗試次數(shù)限制。當(dāng)系統(tǒng)收到一個(gè)連接請(qǐng)求，若提供的帳號(hào)或密碼連續(xù)不能通過(guò)驗(yàn)證的的次數(shù)超過(guò)設(shè)定值，就自動(dòng)中斷該連接。 JUNOS允許一次登錄中連續(xù)進(jìn)行 4次快速認(rèn)證。若 4次都未能通過(guò)驗(yàn)證，系統(tǒng)將自動(dòng)延時(shí)一段時(shí)間后才接受下一次認(rèn)證。若仍未能通過(guò)認(rèn)證，系統(tǒng)會(huì)自動(dòng)加大延時(shí)后再接受認(rèn)證。相關(guān)參數(shù)不能調(diào)整。 ? 登錄并發(fā)個(gè)數(shù)：為了防止窮舉式密碼試探，建議設(shè)置并發(fā)登錄個(gè)數(shù)限制。該限制必須與上述的空閑時(shí)間限制一并使用，否則當(dāng)收到此類(lèi)攻擊時(shí)，將導(dǎo)致無(wú)法遠(yuǎn)程登錄設(shè)備。 JUNOS有很寬的限制。 ? SSH防護(hù)：為了防護(hù)通過(guò) SSH端口的 DoS攻擊，應(yīng)限制 Juniper路由器的 SSH并發(fā)連接數(shù)和 1分鐘內(nèi)的嘗試連接數(shù) JUNIPER設(shè)備網(wǎng)管安全 SSH協(xié)議設(shè)置 Juniper路由器在配置 SSH訪問(wèn)時(shí)應(yīng)注意如下細(xì)節(jié)： ?建立允許訪問(wèn)的 SSHADDRESSES過(guò)濾器 ?確保只允許來(lái)自?xún)?nèi)部接口的授權(quán)用戶(hù)訪問(wèn) ?針對(duì) SSH進(jìn)行限速以保護(hù)路由引擎 ?過(guò)濾器應(yīng)用在 loopback接口 JUNIPER設(shè)備網(wǎng)管安全 帳號(hào)、密碼安全 ? 建議應(yīng)在日常維護(hù)過(guò)程中周期性地（至少按季度）更改登錄密碼，甚至登錄帳號(hào)。 ? 當(dāng)外方人員需要登錄設(shè)備時(shí)，應(yīng)創(chuàng)建臨時(shí)帳號(hào)，并指定合適的權(quán)限。臨時(shí)帳號(hào)使用完后應(yīng)及時(shí)刪除。 ? 登錄帳號(hào)及密碼的保管和更新應(yīng)由專(zhuān)人負(fù)責(zé)，并注意保密。帳號(hào)名字應(yīng)該與使用者存在對(duì)應(yīng)關(guān)系，如能反應(yīng)使用者的級(jí)別、從屬關(guān)系。 ? 為了提高安全性，在方便記憶的前提下，帳號(hào)名字應(yīng)盡量混用字符的大小寫(xiě)、數(shù)字和符號(hào)，提高猜度的難度。同樣的，密碼必須至少使用四種可用字符類(lèi)型中的三種：小寫(xiě)字母、大寫(xiě)字母、數(shù)字和符號(hào)，而且密碼不得包含用戶(hù)名或用戶(hù)全名的一部分。一般情況下密碼至少包含 8 個(gè)字符。 JUNIPER設(shè)備安全設(shè)置 SNMP安全 ? SNMP自身也提供了一定的安全手段，即 Community。 Community相當(dāng)于網(wǎng)管系統(tǒng)與設(shè)備之間建立 SNMP連接合法性的識(shí)別字串。它們兩者之間的 SNMP交互都需要先做 Community檢查后，再執(zhí)行。有 2種 Community： ReadOnly（簡(jiǎn)稱(chēng) RO）和 ReadWrite（簡(jiǎn)稱(chēng) RW）。RO提供給 SNMP GET、 SNMP MGET、 SNMP TRAP指令使用； RW還提供給 SNMP SET指令使用。 ? SNMP自身也提供了一定的安全手段，即 Community。 Community相當(dāng)于網(wǎng)管系統(tǒng)與設(shè)備之間建立 SNMP連接合法性的識(shí)別字串。它們兩者之間的 SNMP交互都需要先做 Community檢查后，再執(zhí)行。有 2種 Community： ReadOnly（簡(jiǎn)稱(chēng) RO）和 ReadWrite（簡(jiǎn)稱(chēng) RW）。RO提供給 SNMP GET、 SNMP MGET、 SNMP TRAP指令使用； RW還提供給 SNMP SET指令使用。 JUNOS沒(méi)有內(nèi)建的 Community，需要用戶(hù)自行創(chuàng)建。 JUNIPER設(shè)備安全設(shè)置 SNMP安全 建議采取以下方法保護(hù) JUNIPER設(shè)備的 SNMP： ?更改 SNMP TRAP協(xié)議端口； ?限制發(fā)起 SNMP連接的源地址； ?設(shè)置并定期更改 SNMP Community（至少半年一次）； ?除特殊情況，否則不設(shè)置 SNMP RW Community； ?條件許可的話(huà)，使用 SNMPv3。 JUNIPER設(shè)備安全設(shè)置 日志 ?Juniper設(shè)備能發(fā)送 SYSLOG日志信息。 ?建議設(shè)置專(zhuān)用的日志服務(wù)器，配置 Juniper設(shè)備發(fā)送的 SYSLOG級(jí)別至 information，使其能接收用戶(hù)登錄記錄。 JUNOS能對(duì)用戶(hù)登錄作出 SYSLOG記錄，包括登錄時(shí)間、退出時(shí)間、帳號(hào)名、發(fā)起地址等信息。 ?Juniper設(shè)備能記錄該用戶(hù)執(zhí)行過(guò)的所有 CLI指令，并發(fā)往日志服務(wù)器。 JUNIPER設(shè)備安全設(shè)置 特定安全配置 ?Juniper設(shè)備初始化時(shí)，所有網(wǎng)管協(xié)議，如 Tel、 HTTP、SNMP TRAP等，都是運(yùn)作在標(biāo)準(zhǔn)端口上。建議更改部分此類(lèi)端口到不用端口上，如 “ 49152 至 65535” 。 ?Juniper設(shè)備對(duì)網(wǎng)管端口的開(kāi)放做了嚴(yán)格的限制。只開(kāi)放必要的端口，如 Tel、 HTTP等。其他的如 SNMP、 SNMP TRAP、NTP、 SYSLOG、 SSH等端口只會(huì)根據(jù)用戶(hù)配置來(lái)啟用。當(dāng)用戶(hù)刪除相應(yīng)配置后，系統(tǒng)將自動(dòng)關(guān)閉端口。 ? 由于 Juniper路由器的日常維護(hù)中經(jīng)常要使用 FTP服務(wù)。如果沒(méi)有在使用完成后及時(shí)關(guān)閉 FTP服務(wù)，將會(huì)造成安全隱患。我們建議當(dāng)使用完 FTP服務(wù)后，應(yīng)立即將其關(guān)閉，或設(shè)置嚴(yán)格的訪問(wèn)策略來(lái)保證 FTP連接的安全。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1