当前位置：文档之家 › Cisco路由器安全配置基线

Cisco路由器安全配置基线

  • 格式：doc
  • 大小：764.50 KB
  • 文档页数：44

Cisco路由器安全配置基线中国移动通信有限公司管理信息系统部2012年 04月版本版本控制信息更新日期更新人审批人V1.0 创建2009年1月V2.0 更新2012年4月备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。

目录第1章概述 (1)1.1目的 (1)1.2适用范围 (1)1.3适用版本 (1)1.4实施 (1)1.5例外条款 (1)第2章帐号管理、认证授权安全要求 (2)2.1帐号管理 (2)2.1.1用户帐号分配* (2)2.1.2删除无关的帐号* (3)2.1.3限制具备管理员权限的用户远程登录* (4)2.2口令 (5)2.2.1静态口令以密文形式存放 (5)2.2.2帐号、口令和授权 (6)2.2.3密码复杂度 (7)2.3授权 (8)2.3.1用IP协议进行远程维护的设备使用SSH等加密协议 (8)第3章日志安全要求 (11)3.1日志安全 (11)3.1.1对用户登录进行记录 (11)3.1.2记录用户对设备的操作 (12)3.1.3开启NTP服务保证记录的时间的准确性 (13)3.1.4远程日志功能* (14)第4章IP协议安全要求 (17)4.1IP协议 (17)4.1.1配置路由器防止地址欺骗 (17)4.1.2系统远程服务只允许特定地址访问 (18)4.1.3过滤已知攻击 (20)4.2功能配置 (21)4.2.1功能禁用* (21)4.2.2启用协议的认证加密功能* (23)4.2.3启用路由协议认证功能* (24)4.2.4防止路由风暴 (26)4.2.5防止非法路由注入 (27)4.2.6SNMP的Community默认通行字口令强度 (28)4.2.7只与特定主机进行SNMP协议交互 (29)4.2.8配置SNMPV2或以上版本 (30)4.2.9关闭未使用的SNMP协议及未使用RW权限 (31)4.2.10LDP协议认证功能 (31)第5章其他安全要求 (33)5.1其他安全配置 (33)5.1.1关闭未使用的接口 (33)5.1.2修改路由缺省器缺省BANNER语 (34)5.1.3配置定时账户自动登出 (34)5.1.4配置consol口密码保护功能 (36)5.1.5关闭不必要的网络服务或功能 (37)5.1.6端口与实际应用相符 (38)第6章评审与修订 (40)第1章概述1.1 目的本文档规定了中国移动管理信息系统部所维护管理的Cisco路由器应当遵循的设备安全性设置标准，本文档旨在指导系统管理人员进行Cisco路由器的安全配置。

1.2 适用范围本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。

本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的Cisco路由器。

1.3 适用版本Cisco路由器。

1.4 实施本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。

本标准发布之日起生效。

1.5 例外条款欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。

第2章帐号管理、认证授权安全要求2.1 帐号管理2.1.1用户帐号分配*安全基线项目名称用户帐号分配安全基线要求项安全基线编号SBL-CiscoRouter-02-01-01安全基线项说明应按照用户分配帐号。

避免不同用户间共享帐号。

避免用户帐号和设备间通信使用的帐号共享。

检测操作步骤1.参考配置操作Router# config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)# service password-encryptionRouter(config)# username ruser1 password 3d-zirc0niaRouter(config)# username ruser1 privilege 1Router(config)# username ruser2 password 2B-or-3BRouter(config)# username ruser2 privilege 1Router(config)# endRouter#2.补充操作说明基线符合性判定依据1.判定条件I.配置文件中，存在不同的帐号分配II.网络管理员确认用户与帐号分配关系明确2.检测操作使用show running-config命令，如下例：router#show running-configBuilding configuration...Current configuration:!service password-encryptionusername ruser1 password 3d-zirc0niausername ruser1 privilege 1username ruser2 password 2B-or-3Busername ruser2 privilege 13.补充说明使用共享帐号容易造成职责不清备注需要手工检查，由管理员确认帐号分配关系。

2.1.2删除无关的帐号*安全基线项目名称无关的帐号安全基线要求项安全基线编号SBL-CiscoRouter-02-01-02安全基线项说明应删除与设备运行、维护等工作无关的帐号。

检测操作步骤1．参考配置操作Router# config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)# no username ruser32．补充操作说明基线符合性判定依据1.判定条件I.配置文件存在多帐号II.网络管理员确认所有帐号与设备运行、维护等工作有关2.检测操作使用show running-config命令，如下例：router#show running-configBuilding configuration...Current configuration:!username user1 privilege 1 password password1 username nobodyuse privilege 1 password password13.补充说明删除不用的帐号，避免被利用备注需要手工检查，由管理员判断是否存在无关帐号2.1.3限制具备管理员权限的用户远程登录*安全基线项限制具备管理员权限的用户远程登录安全基线要求项目名称安全基线编SBL-CiscoRouter-02-01-03号安全基线项限制具备管理员权限的用户远程登录。

远程执行管理员权限操作，应先以普说明通权限用户远程登录后，再通过enable命令进入相应级别再后执行相应操作。

检测操作步骤1．参考配置操作Router# config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)# service password-encryptionRouter(config)# username normaluser password 3d-zirc0niaRouter(config)# username normaluser privilege 1Router(config)# line vty 0 4Router(config-line)# login localRouter(config-line)# exec-timeout 5 0Router(config-line)# end2．补充操作说明设定帐号密码加密保存创建normaluser帐号并指定权限级别为1；设定远程登录启用路由器帐号验证；设定超时时间为5分钟；基线符合性判定依据1.判定条件I.VTY使用用户名和密码的方式进行连接验证II.2、帐号权限级别较低，例如：I2.检测操作使用show running-config命令，如下例：router#show running-configBuilding configuration...Current configuration:!service password-encryptionusername normaluser password 3d-zirc0niausername normaluser privilege 1line vty 0 4login local3．补充说明会导致远程攻击者通过黑客工具猜解帐号口令备注根据业务场景，自动化系统如果无法实现可不选此项，人工登录操作需要遵守此项规范。

2.2 口令2.2.1静态口令以密文形式存放安全基线项目名称静态口令安全基线要求项安全基线编号SBL-CiscoRouter-02-02-01安全基线项说明静态口令必须使用不可逆加密算法加密，以密文形式存放。

如使用enablesecret配置Enable密码，不使用enable password配置Enable密码。

检测操作步骤1.参考配置操作Router# config tEnter configuration commands, one per line. End with CNTL/Z.Router(config)#service password-encryptionRouter(config)# enable secret 2-mAny-rOUtEsRouter(config)# no enable passwordRouter(config)# end2．补充操作说明基线符合性判定依据1.判定条件配置文件无明文密码字段2.检测操作使用show running-config命令，如下例：router#show running-configBuilding configuration...Current configuration:!service password-encryptionenable secret 5 $1oxphetTb$rTsF$EdvjtWbi0qA2gusername ciscoadmin password 7 Wbi0qA1$rTsF$Edvjt2gpvyhetTb3.补充说明如果不加密,使用show running-config命令,可以看到未加密的密码备注2.2.2帐号、口令和授权安全基线项帐号、口令和授权安全基线要求项目名称安全基线编SBL-CiscoRouter-02-02-02号安全基线项设备通过相关参数配置，与认证系统联动，满足帐号、口令和授权的强制要说明求。

合集下载

网络设备安全基线技术规范

网络设备安全基线技术规范


等保一、二级
□等保三级 □涉普通商秘（工作秘密） □涉核心商秘
应修改 SNMP 协议 RO 和 RW 的默认 Community 字符串， 并设置复杂的字符 串作为 SNMP 的 Community。
备注
5
基线名称 基线编号 适用范围 基线要求 备注
SNMP 配置-禁用有写权限的 SNMP Community IB-WLSB-01-23 基线类型 强制要求
备注
基线名称 基线编号 适用范围 基线要求
配置流量控制 IB-WLSB-02-02 基线类型 可选要求
等保一、二级
□等保三级 □涉普通商秘（工作秘密） □涉核心商秘
使用合理的 ACL 或其它分组过滤技术， 对设备控制流量、 管理流量及其它由 路由器引擎直接处理的流量（如 traceroute、ICMP 流量）进行控制，实现对 路由器引擎的保护。
安全基线技术要求
1.1 网络设备
1.1.1 网络通用安全基线技术要求 1.1.1.1 网络设备防护 基线名称 基线编号 适用范围 基线要求 安全设备的用户进行身份鉴别。 IB-WLSB-01-01 基线类型 强制要求
等保一、二级
□等保三级 □涉普通商秘（工作秘密） □涉核心商秘
设备通过相关参数配置，通过与认证服务器（RADIUS 或 TACACS 服务器） 联动的方式实现对用户的认证，满足账号、口令和授权的要求，对登录设备 的用户进行身份鉴别。
基线名称 基线编号 适用范围 基线要求
按照用户分配账号 IB-WLSB-01-07 基线类型 强制要求
等保一、二级
□等保三级 □涉普通商秘（工作秘密） □涉核心商秘
应按照用户分配账号。 避免不同用户间共享账号。 避免用户账号和设备间通信使用的账号共享。
cisco交换机安全配置设定方法

cisco交换机安全配置设定方法

cisco交换机安全配置设定方法你还在为不知道cisco交换机安全配置设定方法而烦恼么?接下来是小编为大家收集的cisco交换机安全配置设定方法教程，希望能帮到大家。

cisco交换机安全配置设定方法一、交换机访问控制安全配置1、对交换机特权模式设置密码尽量采用加密和md5 hash方式switch(config)#enable secret 5 pass_string其中 0 Specifies an UNENCRYPTED password will follow5 Specifies an ENCRYPTED secret will follow建议不要采用enable password pass_sting密码，破解及其容易!2、设置对交换机明文密码自动进行加密隐藏switch(config)#service password-encryption3、为提高交换机管理的灵活性，建议权限分级管理并建立多用户switch(config)#enable secret level 7 5 pass_string7 /7级用户进入特权模式的密码switch(config)#enable secret 5 pass_string15 /15级用户进入特权模式的密码switch(config)#username userA privilege 7 secret 5 pass_userAswitch(config)#username userB privilege 15 secret 5 pass_userB/为7级，15级用户设置用户名和密码，Cisco privilege level分为0-15级，级别越高权限越大switch(config)#privilege exec level 7 commands /为7级用户设置可执行的命令,其中commands可以根据分配给用户的权限自行定义4、本地console口访问安全配置switch(config)#line console 0switch(config-line)#exec-timeout 5 0 /设置不执行命令操作的超时时间，单位为分钟和秒switch(config-line)#logging synchronous /强制对弹出的干扰日志信息进行回车换行，使用户输入的命令连续可见设置登录console口进行密码验证方式(1):本地认证switch(config-line)#password 7 pass_sting /设置加密密码switch(config-line)#login /启用登录验证方式(2):本地AAA认证switch(config)#aaa new-model /启用AAA认证switch(config)#aaa authentication login console-in group acsserver local enable/设置认证列表console-in优先依次为ACS Server，local用户名和密码，enable特权密码switch(config)#line console 0switch(config-line)# login authentication console-in /调用authentication设置的console-in列表5、远程vty访问控制安全配置switch(config)#access-list 18 permit host x.x.x.x /设置标准访问控制列表定义可远程访问的PC主机switch(config)#aaa authentication login vty-in group acsserver local enable/设置认证列表vty-in, 优先依次为ACS Server，local用户名和密码，enable特权密码switch(config)#aaa authorization commands 7 vty-in group acsserver local if-authenticated/为7级用户定义vty-in授权列表，优先依次为ACS Server,local 授权switch(config)#aaa authorization commands 15 vty-in group acsserver local if-authenticated/为15级用户定义vty-in授权列表，优先依次为ACS Server,local 授权switch(config)#line vty 0 15switch(config-line)#access-class 18 in /在线路模式下调用前面定义的标准ACL 18switch(config-line)#exec-timeout 5 0 /设置不执行命令操作的超时时间，单位为分钟和秒switch(config-line)#authorization commands 7 vty-in /调用设置的授权列表vty-inswitch(config-line)#authorization commands 15 vty-inswitch(config-line)#logging synchronous /强制对弹出的干扰日志信息进行回车换行，使用户输入的命令连续可见switch(config-line)#login authentication vty-in /调用authentication设置的vty-in列表switch(config-line)#transport input ssh /有Telnet协议不安全，仅允许通过ssh协议进行远程登录管理6、AAA安全配置switch(config)#aaa group server tacacs+ acsserver /设置AAA 服务器组名switch(config-sg-tacacs+)#server x.x.x.x /设置AAA服务器组成员服务器ipswitch(config-sg-tacacs+)#server x.x.x.xswitch(config-sg-tacacs+)#exitswitch(config)# tacacs-server key paa_string /设置同tacacs-server服务器通信的密钥二、交换机网络服务安全配置禁用不需要的各种服务协议switch(config)#no service padswitch(config)#no service fingerswitch(config)#no service tcp-small-serversswitch(config)#no service udp-small-serversswitch(config)#no service configswitch(config)#no service ftpswitch(config)#no ip http serverswitch(config)#no ip http secure-server/关闭http,https远程web管理服务，默认cisco交换机是启用的三、交换机防攻击安全加固配置MAC Flooding(泛洪)和Spoofing(欺骗)攻击预防方法：有效配置交换机port-securitySTP攻击预防方法：有效配置root guard,bpduguard,bpdufilterVLAN，DTP攻击预防方法：设置专用的native vlan;不要的接口shut或将端口模式改为accessDHCP攻击预防方法：设置dhcp snoopingARP攻击预防方法：在启用dhcp snooping功能下配置DAI和port-security在级联上层交换机的trunk下switch(config)#int gi x/x/xswitch(config-if)#sw mode trunkswitch(config-if)#sw trunk encaps dot1qswitch(config-if)#sw trunk allowed vlan x-xswitch(config-if)#spanning-tree guard loop/启用环路保护功能，启用loop guard时自动关闭root guard 接终端用户的端口上设定switch(config)#int gi x/x/xswitch(config-if)#spanning-tree portfast/在STP中交换机端口有5个状态：disable、blocking、listening、learning、forwarding，只有处于forwarding状态的端口才可以发送数据。

思科路由器安全配置规范

思科路由器安全配置规范

思科路由器安全配置规范1. 前言路由器是网络安全的重要组成部分。

随着技术的不断进步，路由器的功能越来越多，但同时也给网络安全带来了更多的威胁。

为了保证网络的安全性，我们需要对路由器进行安全配置。

本文将介绍如何对思科路由器进行安全配置。

2. 密码设置2.1 登录密码登录密码是路由器安全性的第一道防线。

默认的密码较为简单，容易被入侵者破解。

建议初始化路由器时立即修改密码，并定期更改以提高安全性。

密码应该具有一定的复杂性，包含字母、数字和特殊符号，长度不少于8位。

2.2 特权密码特权密码用于进入特权模式，对路由器进行更改。

特权密码的复杂性等级应该和登录密码相同，长度不少于8位。

2.3 SNMP密码SNMP（简单网络管理协议）是一种用于管理网络设备的协议。

如果SNMP未加密传输，则其他人有可能获取到SNMP密码。

因此，建议将SNMP密码加密，并定期更改。

3. 端口安全路由器提供了很多端口，每个端口都具有一定的安全风险。

因此，对端口进行安全配置至关重要。

3.1 关闭不必要的端口有些端口由于功能不需要或者安全风险较大，建议关闭。

比如，路由器的Telnet端口，建议关闭，使用SSH代替。

3.2 使用ACL过滤ACL（访问控制列表）是一种机制，用于限制流入路由器的数据。

路由器的ACL功能非常强大，可以使用多种方式限制数据流，以保护网络安全。

4. 协议安全4.1 SSH代替TelnetSSH是一个安全的协议，可以取代不安全的Telnet。

使用SSH代替Telnet可以保护路由器的安全。

4.2 HTTPS代替HTTPHTTPS（超文本传输安全协议）是HTTP的安全版本。

使用HTTPS可以确保数据传输的安全性。

5. 系统安全5.1 定期备份定期备份路由器配置文件可以保证在路由器出现问题时，数据不会全部丢失。

建议至少每周备份一次。

5.2 版本管理定期检查路由器的固件版本，并根据需要进行更新。

更新路由器固件可以解决一些已知漏洞，提高安全性。

终端安全配置基线名词解释

终端安全配置基线名词解释

终端安全配置基线名词解释
安全配置基线是操作系统，DB，中间件，网络设备（交换机，路由器，防火墙），终端PC设备上设置的基本配置项。

除了软件系统最基本最重要的安全配置，还需要符合国家信息安全政策法规及监管要求。

人行，四部委，国家标准化管理委员会，质量监督检验检疫总局等都发布过相关指引文件。

一般都要新建基线，然后持续维护修订。

系统复杂的，基线规范和手册需要进行分离编写。

规范类似宪法，手册类似各种普通法律法规。

规范指导手册。

里面应该明确每年什么时间，对什么配置进行哪些项目的检查。

上线前后，开发环境，生产环境都需要按照基线规范进行检查。

比如中间件：Apache,Tomcat,Nginx,Weblogic,IBM MQ,Tuexdo,Kafka 等需要确认日志配置（符合监管，设置日志门卫，不能所有信息都打出来），账号口令设置定期修改策略，账号登录系统多久超时强制下线，端口设置，目录权限（主目录一般小于775），配置文件权限（一般小于775）。