网络设备加固手册

1、CISCO网络设备安全手册二零零五年十一月目 录1IOS版本升级32关闭服务33用户名44口令45访问控制56使用SSH67使用路由协议md5认证68网络设备日志79SNMP810修改设备网络标签81 IOS版本升级Ø 确保设备操作系统软件版本及时更新，软件版本较低会带来安全性和稳定性方面的隐患，因此要求在设备的FLASH容量允许的情况下升级到较新的版本。必要情况下可升级设备的FLASH容量。Ø 确保所有的网络设备维护在本地进行。Ø 对于允许远程登陆管理的网络设备，必须设置口令保护和相应的ACL，限定可远程登录的主机IP地址范围，并使用支持加密的登陆方式，如SSL

2、等。2 关闭服务Ø 关闭设备上不需要的服务：Small services (echo, discard, chargen, etc.) Router(config)#no service tcp-small-servers Router(config)#no service udp-small-servers FingerRouter(config)#no service fingerRouter(config)#no ip finger HTTP Router(config)#no ip http server SNMP Router(config)#no snmp-server

3、CDPRouter(config)# no cdp run Remote configRouter(config)# no service config Source routingRouter(config)#no ip source-route PadRouter(config)#no service pad ICMPRouter(config)#no ip icmp redirect DNSRouter(config)#no ip name-serverØ 如果需要使用HTTP管理设备，建议采用以下认证方式：确保使用ip http access-class命令来限制只有授权的地

4、址可以访问；确保使用TACACS+或RADIUS对登录进行认证； Router(config)#ip http access-class Router(config)#ip http authentication <enable, local, tacacs> Router(config)#ip http port 11111 Router(config)#ip http server3 用户名Ø 如果没有使用用户名,增加用户名认证:Router(config)#username myname password mypass Ø 不同的路由器使用不同的方式激活，

5、可能需要使用line vty，然后设置login local，也可能需要启用AAA模式，配置aaa new-model来激活AAA模式。同样将其它的登录console、AUX等，设为需要用户名和口令认证。4 口令Ø 确保所有使用的口令必须为健壮口令，password和enable的口令都需要加密存放，对console line、auxiliary line 和virtual terminal lines访问设置密码并加密保护：Enable secret Router(config)#enable secret 0 2manyRt3s Console Line Router(confi

6、g)#line con 0 Router(config-line)#password Soda-4-jimmY Auxiliary Line Router(config)#line aux 0 Router(config-line)#password Popcorn-4-sara VTY LinesRouter(config)#line vty 0 4 Router(config-line)#password Dots-4-georg3 保护口令不以明文显示Router(config)#service password-encryptionØ 确保对console line、auxi

7、liary line 和virtual terminal lines的安全配置：Console LineRouter(config)# line con 0 Router(config-line)# exec-timeout 5 0Router(config-line)# loginRouter(config-line)# transport input telnet Auxiliary LineRouter(config)# line aux 0 Router(config-line)# exec-timeout 0 1Router(config-line)# no execRouter(c

8、onfig-line)# transport input none VTY lines Router(config)# no access-list 92 Router(config)# access-list 92 permit .1 Router(config)# access-list 92 permit .2 Router(config)# line vty 0 4 Router(config-line)# access-class 92 in Router(config-line)# exec-timeout 5 0Router(config-line)# loginRouter(c

9、onfig-line)# transport input telnetRouter(config-line)#service tcp-keepalives-in5 访问控制Ø 配置access-list,设置允许登录的IP地址和登录类型,例如允许A.B.C.D地址的ssh登录本IP(.4):Router(config)# access-list 110 permit tcp A.B.C.D .4 eq 22Ø 配置防ip spoof的access-list,假设叶子节点网的IP地址段为A.B.C.D mask /24,那么在out的端口上设置:Router(config)#

10、 access-list 110 permit ip A.B.C.D .255 anyRouter(config)# access-list 110 deny ip any any在in的端口上设置:Router(config)# access-list 110 deny ip A.B.C.D .255 anyRouter(config)# access-list 110 permit ip any anyØ 配置防CISCO漏洞的拒绝服务攻击:Router(config)# access-list 110 deny 55 any anyRouter(config)# access-

11、list 110 deny 77 any any如果有必要，可以对某些拒绝服务攻击的包进行log。其它类型的拒绝服务，都可以使用相应的访问控制列表进行过滤，但对系统性能可能会有一些影响。其中一些拒绝服务现在操作系统已基本都能防范，不需要特别设置。例如对SYN：Router(Config)# access-list 110 permit tcp any .255 establishedLAND：Router(Config)# access-list 110 deny ip host 11 host 11SMURF：Router(

12、Config)# access-list 110 deny ip any host 556 使用SSHØ IOS必需为支持IPSEC的版本。Ø 设置SSH的超时间隔和尝试登录次数Router(Config)# ip ssh timeout 90Router(Config)# ip ssh anthentication-retries 2Router(Config)# line vty 0 4Router(Config-line)# access-class 22 inRouter(Config-line)# transport input sshRou

13、ter(Config-line)# login localRouter(Config-line)# exit启用SSH服务，生成RSA密钥对。Router(Config)# crypto key generate rsaChoose the size of the key modulus in the range of 360 to 2048 for your General Purpose keys .Choosing a key modulus greater than 512 may take a few minutes. How many bits in the modulus512:

14、 2048 Generating RSA Keys. OKRouter#7 使用路由协议md5认证Ø 对于网络Router(Config)# router ospf 100Router(Config-router)# network .255 area 100启用MD5认证。area area-id authentication 启用认证，是明文密码认证。area area-id authentication message-digestRouter(Config-router)# area 100 authentication message-diges

15、tRouter(Config)# exitRouter(Config)# interface eth0/1启用MD5密钥Key为routerospfkey。ip ospf authentication-key key 启用认证密钥，但会是明文传输。ip ospf message-digest-key key-id(1-255) md5 keyRouter(Config-if)# ip ospf message-digest-key 1 md5 routerospfkey如果使用了RIP协议，也使用类似的命令进行设置Router(Config)# key chain mykeychainname

16、Router(Config-keychain)# key 1Router(Config-leychain-key)# key-string MyFirstKeyStringRouter(Config-keyschain)# key 2Router(Config-keychain-key)# key-string MySecondKeyString！注意使用version 2的RIP。Router(Config)# router ripRouter(Config-router)# version 2Router(Config)# interface eth0/1Router(Config-if)

17、# ip rip authentication mode md5Router(Config-if)# ip rip anthentication key-chain mykeychainname8 网络设备日志Ø 确保网络设备开启日志功能。若设备没有足够的空间，需要将日志传送到日志服务器上保存（可选）Ø 若边界路由器未配合防火墙、IDS、Sniffer等技术使用，必须支持详尽的日志信息；Ø 在日志文件中需要记录登录过该设备的用户名、时间和所作的命令操作等详细信息，为发现潜在攻击者的不良行为提供有力依据；Ø 确保启用控制列表的日志功能。Router(con

18、fig)# logging onRouter(config)# logging .200Router(config)# logging bufferedRouter(config)# logging console criticalRouter(config)# logging trap debuggingRouter(config)# logging facility local7Ø 确保配置日志的时间信息： （可选）Router(config)#service timestamps log datetime localtime show-timezone Router(confi

19、g)#clock timezone EST 8 Router(config)#clock summer-time EDT recurring Router(config)#ntp source Ethernet0/1 Router(config)#ntp server XXX.XXX.XXX.XXX Router(config)#ntp server XXX.XXX.XXX.XXX 9 SNMPØ 尽可能的禁用SNMP ；Ø 对于支持SNMP，提供网管功能的设备，必须确保MIB库的读写密码必须设定为非缺省值，同时，允许对MIB库进行读写操作的主机也可通过ACL设置限定在指定网段范围内；Ø 确保使用SNMP 版本2 ，因为SNMP V2使用了较强的MD5认证技术；Ø 必须确保MIB库的读写密码（Community String Password）必须设定为非缺省值（Public and Priva