信息安全知識競賽培訓-網(wǎng)絡設備-文庫吧資料
2025-01-27 22:19本頁面
【正文】 ? … JUNIPER設備安全設置 ?JUNIPER設備通用安全知識 ?JUNIPER設備安全設置 訪問控制列表 ?JUNIPER設備安全設置 路由協(xié)議安全 ?JUNIPER設備安全設置 網(wǎng)管安全 ?JUNIPER設備安全設置 SNMP協(xié)議安全 ?JUNIPER設備安全設置 日志 ?JUNIPER設備安全設置 特定安全配置 JUNIPER設備通用安全知識 ?作為電信行業(yè)常見的路由設備， JUNIPER設備除了能提供強大的數(shù)據(jù)交換功能外，還可以提供最基礎的網(wǎng)絡安全防護功能。 ? Cisco路由器禁止從網(wǎng)絡啟動和自動從網(wǎng)絡下載初始配置文件。 ? 空閑物理端口的安全：如確認端口（ Interface）不使用，使用shutdown命令關閉。 CISCO設備特定安全配置 服務關閉 ?Cisco路由器默認的對 IPv4協(xié)議報進行處理，但會導致網(wǎng)絡接口拒絕服務，為確保不受到次類型的攻擊，可以在接口上禁止 ? 53 (SWIPE) ? 55 (IP Mobility) ? 77 (Sun ND) ? 103 (Protocol Independent Multicast PIM) CISCO設備安全設置 其他 ? COM端口的安全：建議控制 CONSOLE端口的訪問 ,給 CONSOLE口設置高強度的密碼，設置超時退出時間等。 ?禁止 IP Source Routing。 CISCO設備特定安全配置 服務關閉 ?禁止 ICMP協(xié)議的 IP Unreachables,Redirects,Mask－ Replies功能。 ?NTP不是十分危險的，但是如果沒有一個很好的認證，則會影響路由器正確時間，導致日志和其他任務出錯，建議關閉。 ? 一些基于 TCP和 UDP協(xié)議的小服務如： echo、 chargen等，容易被攻擊者利用來越過包過濾機制，建議關閉。 CISCO設備特定安全配置 服務關閉 ?Cisco設備本省提供了許多比較危險的服務如 CDP、TCP和 UDP Small、 Finger、 NTP、 BOOTp、 IP sourcerouting、 IP Unreachables,Redirects, Mask－ Replies、 ARPProxy、 IP Directed Broadcast、 IP Classless、 WINS和 DNS等等，對該類服務的建議是，如果不需要服務，關閉這些服務。 ? 為確保日志時間戳的準確，需要配置正確的時間戳，有助于故障排除，取得安全事件的證物和與其他路由器進行時間同步?？紤]到日志信息的種類和詳細程度，并且日志開啟對設備的負荷有一定影響，建議獲取有意義的日志信息進行分析。 ? Router(Config) ip port 50000 ? Router(Config) accesslist 10 permit ? Router(Config) accesslist 10 deny any ? Router(Config) ip accessclass 10 CISCO設備安全設置 日志 ?建議對 Cisco設備的安全審計進行有效管理，根據(jù)設備本身具有的屬性和實際維護經(jīng)驗，建議相關安全審計信息應包括設備登錄信息日志和設備事件信息日志，同時提供 SYSLOG服務器的設置方式。 CISCO設備 HTTP安全 關閉 HTTP服務 ?如需要使用 HTTP服務，要求更改標準的端口號，將協(xié)議運行在其他不用端口上，如 “ 49152 至 65535”，而不是標準端口上。且對于 HTTP沒有有效的基于挑戰(zhàn)或一次性的口令保護，這使得用 HTTP進行管理相當危險。 CISCO設備安全設置 HTTP安全 ?Cisco設備的 IOS支持 HTTP協(xié)議進行遠端配置和監(jiān)視。 ? 如開啟 SNMP協(xié)議，并且條件許可的話，建議轉用 SNMPv3。 ? 如不需要提供 SNMP服務的，要求禁止 SNMP協(xié)議服務，注意在禁止時刪除一些 SNMP服務的默認配置。RW相當危險，要求關閉 snmp rw功能。它們兩者之間的 SNMP交互都需要先做 Community檢查后，再執(zhí)行。 ? SNMP自身也提供了一定的安全手段，即 Community。懷有惡意的人可以通過竊取 SNMP數(shù)據(jù)來獲得網(wǎng)絡的基本情況，并以此發(fā)起惡意攻擊，甚至通過修改 MIB Object賦值來進行破壞。網(wǎng)管系統(tǒng)通過 SNMP GET或 MGET指令采集這些信息作為原始數(shù)據(jù)，經(jīng)分析和處理后實現(xiàn)各種網(wǎng)管功能。通過 AAA服務器還可以彌補設備本身對執(zhí)行權限管理的不足。 CISCO設備網(wǎng)管安全 AAA ?Cisco設備支持 RADIUS或 TACACS＋的 AAA（認證、授權、計費）客戶端功能，通過 AAA認證可以方便實現(xiàn)對大量設備的登錄帳號和密碼的管理。 ?一般而言，設備允許用戶自行創(chuàng)建本機登錄帳號，并為其設定密碼和權限。 CISCO設備網(wǎng)管安全 本地認證和授權 ?初始模式下， Cisco設備內一般建有沒有密碼的管理員帳號，該帳號只能用于 Console連接，不能用于遠程登錄。一般情況下密碼至少包含 8 個字符。帳號名字應該與使用者存在對應關系，應做到一人對應單獨帳號。臨時帳號使用完后應及時刪除。 ? Cisco設備可以為不同的管理員提供權限分級。 CISCO設備網(wǎng)管安全 TELNET配置 ? 密碼設置：長度 8位以上，含大、小寫，數(shù)字及特寫字符 ? 超時設置：設置超時自動斷開遠程連接（ 180秒） ? 訪問控制：設置針對遠程 Tel的專用 ACL ? 并發(fā)數(shù)目：控制遠程 Tel的并發(fā)連接數(shù)（ 5個） ? 定期變更：定期變更遠程登錄密碼（最長 3個月） ? 傳播控制：嚴格控制密碼的傳播范圍和傳播方式，如遇網(wǎng)管人員離職或職位變動應立即更改密碼，禁止使用明文郵件方式傳遞密碼，可使用 PGP加密方式。但是 SSH傳送的數(shù)據(jù)（包括
教學課件相關推薦
鄂ICP備17016276號-1