Политики безопасности компании при работе в Интернет
Шрифт:
Определяем IP-адрес сервера TACACS+ и пароль для аутентификации:
tacacs-server 172.16.6.21
tacacs-server key F$!19Ty
tacacs-server attempts 3
ip tacacs source-interface Fa0/0
Далее настраивается аутентификация, авторизация и журналирование. TACACS+ будет использоваться в качестве главного средства аутентификации, а локальная база пользователей маршрутизатора будет использоваться в случае, если сервер TACACS+ станет недоступным. Для этого обязательно должны быть созданы локальные учетные записи на маршрутизаторе.
ааа new-model
ааа authentication login default group tacacs+ local
aaa authentication enable default group tacacs+ enable
aaa authorization exec default group tacacs + local
aaa authorization commands 15 default group tacacs+ local
aaa accounting exec default start-stop group tacacs+
aaa accounting commands 15 default start-stop group tacacs+
Используемый метод аутентификации применяется для консольного доступа:
line console 0
login authentication default exec-timeout 5 0
logging synchronous
Предупреждающий баннер:
banner login «This is a private computer system for authorized use only.
All access is logged and monitored. Violators could be prosecuted».
«Ежедневное» сообщение, выводимое в первую очередь при попытке получения доступа к маршрутизатору:
banner motd «This is a private computer system for authorized use only.
All access is logged and monitored. Violators could be prosecuted».
Сообщение, выводимое при входе в непривилегированный (EXEC) режим:
banner exec «Any unauthorized access will be vigorously prosecuted».
Маршрутизация «от источника». Отключение маршрутизации «от источника». Маршрутизация от источника дает пакетам возможность переносить информацию о «верном» или более удобном маршруте и позволяет пренебречь правилами, которые предписаны в таблице маршрутизации для данного пакета, то есть модифицирует маршрут пакета. Это позволяет злоумышленнику управлять трафиком по своему желанию. Необходимо отключить маршрутизацию «от источника»:
no ip source-route
4.3.2. Сервисы маршрутизатора
Необходимо отключить все неиспользуемые и опасные сервисы на маршрутизаторе и сконфигурировать нужные сервисы для обеспечения безопасности. Некоторые из них уже отключены по умолчанию в версии IOS 12.3, поэтому здесь они приводятся для дополнительной проверки.
«Малые» сервисы. Отключение редко используемых UDP-и ТСР-сервисов диагностики:
no service tcp-small-servers
no service tcp-small-servers
Чтобы уменьшить для злоумышленника возможности получения дополнительной информации о маршрутизации, надо отключить сервисы finger и identd. Также требуется отключить HTTP-, DNS-, DHCP-, bootp-сервисы:
no ip finger
no service finger
no ip identd
no ip http server
no ip bootp service
no ip domain-lookup
no service pad
no service dhcp
no call rsvp-sync
Определяется
максимальное количество получателей для SMTP-соединений для встроенной в IOS функции поддержки факсов. Установка максимального количества, равного 0, означает отключение сервиса:mta receive maximum-recipients 0
Отключение протокола CDP (Cisco Discovery Protocol), который позволяет обмениваться информацией канального уровня с другими устройствами от компании Cisco:
no cdp running
Отключение функций proxy arp на маршрутизаторе. Proxy arp позволяет распространяться ARP-запросам по смежным сетям, что дает злоумышленнику дополнительную возможность узнать о структуре сети:
no ip proxy-arp
Для того чтобы в сообщениях, отправляемых по syslog, присутствовала временная метка, необходимо выполнить команды:
service timestamps debug datetime msec localtime showtimezone
service timestamps log datetime msec localtime showtimezone
Конфигурирование SNMP. Так как мониторинг сетевых устройств осуществляется из сети управления и является критичным аспектом обеспечения высокой доступности, решено использовать SNMP, несмотря на проблемы безопасности, связанные с ним. Для минимизации риска предприняты следующие шаги:
• запрещен SNMP-трафик в Интернет и из Интернета;
• ограничено количество используемых счетчиков.
Используемые команды:
snmp-server view NNM-Only internet included
snmp-server view NNM-Only ipRouteTable excluded
snmp-server view NNM-Only ipNetToMediaTable excluded
snmp-server view NNM-Only at excluded
Списки контроля доступа сконфигурированы для ограничения доступа только с HP OpenView NNM:
access-list 5 permit host 172.16.6.33
и SNMP используется только для чтения:
snmp-server community ThaaMasdf view NNM-Only RO 5
Маршрутизатор также сконфигурирован для отправки trap только к SNMP-серверу:
snmp-server host 172.16.6.33 Thaa!!asdf
snmp-server enable traps config
snmp-server enable traps envmon
snmp-server enable traps bgp
snmp-server trap-authentication
snmp-server trap-source Fa0/0