信息安全知識競賽培訓(xùn)-網(wǎng)絡(luò)設(shè)備-資料下載頁
2025-01-21 22:19本頁面
【正文】 ing單播反向路徑轉(zhuǎn)發(fā)）的功能。 ? 注意源路由檢查功能更適用于網(wǎng)絡(luò)接入層設(shè)備。匯聚層和核心層設(shè)備不建議使用。匯聚層和核心層設(shè)備出現(xiàn)不均衡路由的機(jī)會較高（即輸出流量與返回流量分別承載在不同鏈路上。這是正?，F(xiàn)象）。如果啟用源路由檢查后，容易造成正常返回流量的無端被棄。 JUNIPER設(shè)備安全設(shè)置 網(wǎng)管安全 ?Juniper設(shè)備提供標(biāo)準(zhǔn)的 Tel接口，開放 TCP 23端口。Tel在連接建立初期也需要核查帳號和密碼，但是此過程中，以及后續(xù)會話中，都是明文方式傳送所有數(shù)據(jù)，容易造竊聽而泄密。 Tel并不是一個安全的協(xié)議。 ? 建議采用 SSH協(xié)議來取代 Tel進(jìn)行 Juniper設(shè)備的遠(yuǎn)程登錄。 SSH與 Tel一樣準(zhǔn)門提供遠(yuǎn)程連接手段。但是 SSH傳送的數(shù)據(jù)（包括帳號和密碼）都會被加密，且密鑰會自動更新，極大提高了連接的安全性。 SSH可以非常有效地防止竊聽、防止使用地址欺騙手段實(shí)施的連接嘗試。 ? 建議啟用 SSH V2，并禁止 root直接登陸。 JUNIPER設(shè)備網(wǎng)管安全 遠(yuǎn)程登錄 ? 登錄空閑時間：設(shè)定登錄連接空閑時間限制，讓系統(tǒng)自動檢查當(dāng)前連接是否長時間處于空閑狀態(tài)，若是則自動將其拆除。 ? 登錄嘗試次數(shù)：設(shè)置登錄嘗試次數(shù)限制。當(dāng)系統(tǒng)收到一個連接請求，若提供的帳號或密碼連續(xù)不能通過驗(yàn)證的的次數(shù)超過設(shè)定值，就自動中斷該連接。 JUNOS允許一次登錄中連續(xù)進(jìn)行 4次快速認(rèn)證。若 4次都未能通過驗(yàn)證，系統(tǒng)將自動延時一段時間后才接受下一次認(rèn)證。若仍未能通過認(rèn)證，系統(tǒng)會自動加大延時后再接受認(rèn)證。相關(guān)參數(shù)不能調(diào)整。 ? 登錄并發(fā)個數(shù)：為了防止窮舉式密碼試探，建議設(shè)置并發(fā)登錄個數(shù)限制。該限制必須與上述的空閑時間限制一并使用，否則當(dāng)收到此類攻擊時，將導(dǎo)致無法遠(yuǎn)程登錄設(shè)備。 JUNOS有很寬的限制。 ? SSH防護(hù)：為了防護(hù)通過 SSH端口的 DoS攻擊，應(yīng)限制 Juniper路由器的 SSH并發(fā)連接數(shù)和 1分鐘內(nèi)的嘗試連接數(shù) JUNIPER設(shè)備網(wǎng)管安全 SSH協(xié)議設(shè)置 Juniper路由器在配置 SSH訪問時應(yīng)注意如下細(xì)節(jié)： ?建立允許訪問的 SSHADDRESSES過濾器 ?確保只允許來自內(nèi)部接口的授權(quán)用戶訪問 ?針對 SSH進(jìn)行限速以保護(hù)路由引擎 ?過濾器應(yīng)用在 loopback接口 JUNIPER設(shè)備網(wǎng)管安全 帳號、密碼安全 ? 建議應(yīng)在日常維護(hù)過程中周期性地（至少按季度）更改登錄密碼，甚至登錄帳號。 ? 當(dāng)外方人員需要登錄設(shè)備時，應(yīng)創(chuàng)建臨時帳號，并指定合適的權(quán)限。臨時帳號使用完后應(yīng)及時刪除。 ? 登錄帳號及密碼的保管和更新應(yīng)由專人負(fù)責(zé)，并注意保密。帳號名字應(yīng)該與使用者存在對應(yīng)關(guān)系，如能反應(yīng)使用者的級別、從屬關(guān)系。 ? 為了提高安全性，在方便記憶的前提下，帳號名字應(yīng)盡量混用字符的大小寫、數(shù)字和符號，提高猜度的難度。同樣的，密碼必須至少使用四種可用字符類型中的三種：小寫字母、大寫字母、數(shù)字和符號，而且密碼不得包含用戶名或用戶全名的一部分。一般情況下密碼至少包含 8 個字符。 JUNIPER設(shè)備安全設(shè)置 SNMP安全 ? SNMP自身也提供了一定的安全手段，即 Community。 Community相當(dāng)于網(wǎng)管系統(tǒng)與設(shè)備之間建立 SNMP連接合法性的識別字串。它們兩者之間的 SNMP交互都需要先做 Community檢查后，再執(zhí)行。有 2種 Community： ReadOnly（簡稱 RO）和 ReadWrite（簡稱 RW）。RO提供給 SNMP GET、 SNMP MGET、 SNMP TRAP指令使用； RW還提供給 SNMP SET指令使用。 ? SNMP自身也提供了一定的安全手段，即 Community。 Community相當(dāng)于網(wǎng)管系統(tǒng)與設(shè)備之間建立 SNMP連接合法性的識別字串。它們兩者之間的 SNMP交互都需要先做 Community檢查后，再執(zhí)行。有 2種 Community： ReadOnly（簡稱 RO）和 ReadWrite（簡稱 RW）。RO提供給 SNMP GET、 SNMP MGET、 SNMP TRAP指令使用； RW還提供給 SNMP SET指令使用。 JUNOS沒有內(nèi)建的 Community，需要用戶自行創(chuàng)建。 JUNIPER設(shè)備安全設(shè)置 SNMP安全 建議采取以下方法保護(hù) JUNIPER設(shè)備的 SNMP： ?更改 SNMP TRAP協(xié)議端口； ?限制發(fā)起 SNMP連接的源地址； ?設(shè)置并定期更改 SNMP Community（至少半年一次）； ?除特殊情況，否則不設(shè)置 SNMP RW Community； ?條件許可的話，使用 SNMPv3。 JUNIPER設(shè)備安全設(shè)置 日志 ?Juniper設(shè)備能發(fā)送 SYSLOG日志信息。 ?建議設(shè)置專用的日志服務(wù)器，配置 Juniper設(shè)備發(fā)送的 SYSLOG級別至 information，使其能接收用戶登錄記錄。 JUNOS能對用戶登錄作出 SYSLOG記錄，包括登錄時間、退出時間、帳號名、發(fā)起地址等信息。 ?Juniper設(shè)備能記錄該用戶執(zhí)行過的所有 CLI指令，并發(fā)往日志服務(wù)器。 JUNIPER設(shè)備安全設(shè)置 特定安全配置 ?Juniper設(shè)備初始化時，所有網(wǎng)管協(xié)議，如 Tel、 HTTP、SNMP TRAP等，都是運(yùn)作在標(biāo)準(zhǔn)端口上。建議更改部分此類端口到不用端口上，如 “ 49152 至 65535” 。 ?Juniper設(shè)備對網(wǎng)管端口的開放做了嚴(yán)格的限制。只開放必要的端口，如 Tel、 HTTP等。其他的如 SNMP、 SNMP TRAP、NTP、 SYSLOG、 SSH等端口只會根據(jù)用戶配置來啟用。當(dāng)用戶刪除相應(yīng)配置后，系統(tǒng)將自動關(guān)閉端口。 ? 由于 Juniper路由器的日常維護(hù)中經(jīng)常要使用 FTP服務(wù)。如果沒有在使用完成后及時關(guān)閉 FTP服務(wù)，將會造成安全隱患。我們建議當(dāng)使用完 FTP服務(wù)后，應(yīng)立即將其關(guān)閉，或設(shè)置嚴(yán)格的訪問策略來保證 FTP連接的安全。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1