信息安全知識(shí)競(jìng)賽培訓(xùn)-網(wǎng)絡(luò)設(shè)備(參考版)
2025-01-24 22:19本頁面
【正文】 我們建議當(dāng)使用完 FTP服務(wù)后，應(yīng)立即將其關(guān)閉，或設(shè)置嚴(yán)格的訪問策略來保證 FTP連接的安全。 ? 由于 Juniper路由器的日常維護(hù)中經(jīng)常要使用 FTP服務(wù)。其他的如 SNMP、 SNMP TRAP、NTP、 SYSLOG、 SSH等端口只會(huì)根據(jù)用戶配置來啟用。 ?Juniper設(shè)備對(duì)網(wǎng)管端口的開放做了嚴(yán)格的限制。 JUNIPER設(shè)備安全設(shè)置 特定安全配置 ?Juniper設(shè)備初始化時(shí)，所有網(wǎng)管協(xié)議，如 Tel、 HTTP、SNMP TRAP等，都是運(yùn)作在標(biāo)準(zhǔn)端口上。 JUNOS能對(duì)用戶登錄作出 SYSLOG記錄，包括登錄時(shí)間、退出時(shí)間、帳號(hào)名、發(fā)起地址等信息。 JUNIPER設(shè)備安全設(shè)置 日志 ?Juniper設(shè)備能發(fā)送 SYSLOG日志信息。 JUNOS沒有內(nèi)建的 Community，需要用戶自行創(chuàng)建。有 2種 Community： ReadOnly（簡(jiǎn)稱 RO）和 ReadWrite（簡(jiǎn)稱 RW）。 Community相當(dāng)于網(wǎng)管系統(tǒng)與設(shè)備之間建立 SNMP連接合法性的識(shí)別字串。RO提供給 SNMP GET、 SNMP MGET、 SNMP TRAP指令使用； RW還提供給 SNMP SET指令使用。它們兩者之間的 SNMP交互都需要先做 Community檢查后，再執(zhí)行。 JUNIPER設(shè)備安全設(shè)置 SNMP安全 ? SNMP自身也提供了一定的安全手段，即 Community。同樣的，密碼必須至少使用四種可用字符類型中的三種：小寫字母、大寫字母、數(shù)字和符號(hào)，而且密碼不得包含用戶名或用戶全名的一部分。帳號(hào)名字應(yīng)該與使用者存在對(duì)應(yīng)關(guān)系，如能反應(yīng)使用者的級(jí)別、從屬關(guān)系。臨時(shí)帳號(hào)使用完后應(yīng)及時(shí)刪除。 ? SSH防護(hù)：為了防護(hù)通過 SSH端口的 DoS攻擊，應(yīng)限制 Juniper路由器的 SSH并發(fā)連接數(shù)和 1分鐘內(nèi)的嘗試連接數(shù) JUNIPER設(shè)備網(wǎng)管安全 SSH協(xié)議設(shè)置 Juniper路由器在配置 SSH訪問時(shí)應(yīng)注意如下細(xì)節(jié)： ?建立允許訪問的 SSHADDRESSES過濾器 ?確保只允許來自內(nèi)部接口的授權(quán)用戶訪問 ?針對(duì) SSH進(jìn)行限速以保護(hù)路由引擎 ?過濾器應(yīng)用在 loopback接口 JUNIPER設(shè)備網(wǎng)管安全 帳號(hào)、密碼安全 ? 建議應(yīng)在日常維護(hù)過程中周期性地（至少按季度）更改登錄密碼，甚至登錄帳號(hào)。該限制必須與上述的空閑時(shí)間限制一并使用，否則當(dāng)收到此類攻擊時(shí)，將導(dǎo)致無法遠(yuǎn)程登錄設(shè)備。相關(guān)參數(shù)不能調(diào)整。若 4次都未能通過驗(yàn)證，系統(tǒng)將自動(dòng)延時(shí)一段時(shí)間后才接受下一次認(rèn)證。當(dāng)系統(tǒng)收到一個(gè)連接請(qǐng)求，若提供的帳號(hào)或密碼連續(xù)不能通過驗(yàn)證的的次數(shù)超過設(shè)定值，就自動(dòng)中斷該連接。 JUNIPER設(shè)備網(wǎng)管安全 遠(yuǎn)程登錄 ? 登錄空閑時(shí)間：設(shè)定登錄連接空閑時(shí)間限制，讓系統(tǒng)自動(dòng)檢查當(dāng)前連接是否長(zhǎng)時(shí)間處于空閑狀態(tài)，若是則自動(dòng)將其拆除。 SSH可以非常有效地防止竊聽、防止使用地址欺騙手段實(shí)施的連接嘗試。 SSH與 Tel一樣準(zhǔn)門提供遠(yuǎn)程連接手段。 Tel并不是一個(gè)安全的協(xié)議。 JUNIPER設(shè)備安全設(shè)置 網(wǎng)管安全 ?Juniper設(shè)備提供標(biāo)準(zhǔn)的 Tel接口，開放 TCP 23端口。這是正?，F(xiàn)象）。匯聚層和核心層設(shè)備不建議使用。 ?Juniper設(shè)備提供全局模式下啟用 URPF（ UnicastReversePathForwarding單播反向路徑轉(zhuǎn)發(fā)）的功能。建議在此情況下應(yīng)該將該端口設(shè)為 Passive模式來滿足需要。 ? 雙方配置的認(rèn)證字段與解密 id必須完全一致，否則將會(huì)中斷路由協(xié)議運(yùn)行，建議雙方路由器的配置最好同時(shí)進(jìn)行，保證路由中斷最少時(shí)間。建議應(yīng)根據(jù)需要來啟用 IP端口對(duì) OSPF或 ISIS的支持。將路由協(xié)議的交互工作置于受控狀態(tài)。建議啟用該項(xiàng)功能。 JUNIPER設(shè)備路由協(xié)議安全 協(xié)議認(rèn)證 ? JUNIPER設(shè)備的路由協(xié)議 OSPF、 ISIS和 BGP都具有 MD5認(rèn)證功能。一旦路由協(xié)議 PDU被竊聽或冒充后，不對(duì)的或被惡意篡改的路由信息將直接導(dǎo)致網(wǎng)絡(luò)故障，甚至網(wǎng)絡(luò)癱瘓。大部分的路由協(xié)議都會(huì)周期發(fā)送組播或廣播 PDU來維持協(xié)議運(yùn)作。 ? 服務(wù)端口屏蔽：屏蔽不應(yīng)在 Inter上出現(xiàn)的服務(wù)端口。 ? 非法地址屏蔽：屏蔽不應(yīng)在 Inter上出現(xiàn)的 IP地址 回環(huán)地址()； RFC1918私有地址； DHCP自定義地址()；科學(xué)文檔作者測(cè)試用地址 ()；不用的組播地址 ()； SUN公司的古老的測(cè)試地址(。 JUNIPER設(shè)備訪問控制列表 自身防護(hù)功能 ? ICMP數(shù)據(jù)包：目前網(wǎng)絡(luò)上泛濫著大量的使用 ICMP數(shù)據(jù)包的 DoS攻擊，建議創(chuàng)建 ACL來屏蔽所有的 ICMP數(shù)據(jù)流，再加添高優(yōu)先級(jí)的ACL來允許特殊類型或具體源 /目地址的 ICMP包通過。 ?只允許需要的協(xié)議端口能進(jìn)入（如 OSPF、 BGP等） 。這樣能起到更好的防范效果，也包證了網(wǎng)絡(luò)的整體轉(zhuǎn)發(fā)效能不受影響。 Juniper路由器采用 ASIC芯片來執(zhí)行 ACL的，而且 ACL檢查都先于轉(zhuǎn)發(fā)處理，不會(huì)影響設(shè)備的轉(zhuǎn)發(fā)效能和路由處理。 ? 日志： JUIPER路由器具有強(qiáng)大的日志功能，可以通過日志記錄各種路由器的相關(guān)信息，內(nèi)容包括登陸日志、系統(tǒng)操作命令、異常事件日志、系統(tǒng)故障信息等，并具有通過SYSLOG或 snmp trap進(jìn)行通信的能力。 ? 數(shù)據(jù)加密： JUNOS除了普通的明文 tel連接之外，能提供標(biāo)準(zhǔn)的 SSH連接。 ?充分的利用 JUNIPER設(shè)備自身的安全特性，合理的使用 JUNIPER設(shè)備的安全配置，可保證運(yùn)營(yíng)商網(wǎng)絡(luò)JUNIPER設(shè)備的運(yùn)行安全。 ?路由器的快照需要保存兩個(gè)信息： ? 當(dāng)前的配置 running config ? 當(dāng)前的開放端口列表 CISCO設(shè)備安全維護(hù) 常用命令 ?Terminal monitor ?Show users ?Show version ?Show clock ?Show logging ?Show arp ?Clear line vty
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1