16、网络设备上线安全手册_管理流程制度 (2)

附录15

网络设备上线安全手册

网络设备上线安全手册

1.联各硬件厂商网站，确定最新交换机上运行的操作系统的漏洞描述或风险提示，

对系统进行升级或更新，我司根据实际情况跟踪，如果厂商发布固件版本，有巨大的安全隐患时，我司应立即对系统进行升级或更新。

2.使用复杂的系统口令，确保所有使用的口令必须为复杂口令，并使用MD5加密方

法设置enable口令。

1)对console line、auxiliary line 和virtual terminal lines访

问设置密码并加密保护：

2)Enable secret

enable secret 0 2manyRt3s（口令示例）

3)Console Line

line con 0

password Soda-4-jimmY（口令示例）

4)Auxiliary Line

line aux 0

password Popcorn-4-sara （口令示例）

5)VTY Lines

line vty 0 4

password Dots-4-georg3 （口令示例）

6)Basic protection

service password-encryption

3.确保所有提供登陆服务的位置都有口令防护。确保AUX和Console口都有EXEC

口令，并使用MD5加密，建议使用支持加密的登陆方式，如SSH等；

Enable secret配置：使用enable secret来加密secret口令。

4.访问控制配置：通过配置VTY端口的Access List来增加系统访问的安全性。

5.VTY访问配置：配置VTY的访问方式，用SSH来增加系统访问的安全性。

6.指定IP到路由器的Telnet访问。

7.对于允许远程登陆管理的路由器、交换机，必须设置相应的ACL，限定可远程登

录的主机IP地址范围，VTY只接受来自可信的IP地址的连接。并且应限制只接受一位管理员工作站的访问，避免DoS攻击的威胁，配置VTY连接超时，防止管理员离开时控制台被他人使用。

8.对于支持SNMP，提供网管功能的设备，必须确保MIB库的读／写密码必须设定为

非缺省值。

9.确保所有的接口都禁用 CDP 协议，以防止设备上的关键信息的泄露。

10.锁住到路由器的SNMP访问。

11.通过使用认证来控制对路由器的访问。

12.以相应的优先权登录，使用分级用户配置管理方式。

13.路由更新的认证，路由更新的认证会增加安全，但路由更新认证也会带来路

由更新问题；我司使用的是专线网络，所以可以不考虑路由更新的认证。14.Login Banner配置：修改login banner，隐藏路由器系统真实信息，防止真

实信息的泄露。

15.用户验证配置：配置用户验证方式以增强系统访问的安全性。

16.AAA方式配置：配置AAA方式来增加用户访问安全性。

17.路由命令审计配置：配置AAA命令记账来增强系统访问安全性。

18.路由器应该开启日志功能

1)若路由器没有足够的空间，需要将日志传送到日志服务器上保存。

2)若边界路由器未配合防火墙、IDS、Sniffer等技术使用，必须支持

详尽的日志信息。

3)在日志文件中需要记录登录过该设备的用户名、时间和所作的命令操

作等详细信息，为发现潜在攻击者的不良行为提供有力依据。

4)该设备制定的维护人员必须定期查看所管设备的日志文件，发现异常

情况要及时处理和报告上级主管，尽早消除网络安全隐患。

19.接口安全配置命令

1.Unused interfaces - shutdown

2.No Smurf attacks - no ip directed-broadcast

3.Ad-hoc routing - no ip proxy-arp

20.关闭路由器、以太网交换机内不需要的服务，对于必须开放的服务要限制开

放的范围以及数据的流向；

1)使用show proc 命令，关闭确实没用的服务：

2)Small services (echo, discard, chargen, etc.)

3)no service tcp-small-servers

4)no service udp-small-servers

5)BOOTP - no ip bootp server

6)Finger - no service finger

7)HTTP - no ip http server

8)Identd - no ip identd (some IOS versions)

9)SNMP - no snmp-server

10)CDP - no cdp run

11)Remote config. - no service config

12)Source routing - no ip source-route

21.核查开放的服务是否必须，否则禁用：