码迷,mamicode.com
首页 > 系统相关 > 详细

安全基线规范之Cisco核心交换机

时间:2016-11-30 17:39:50      阅读:298      评论:0      收藏:0      [点我收藏+]

标签:服务器   互联网   信息安全   核心交换机   启明星辰   

  当前已经进入了互联网+的时代,几乎绝大部分商家、企业、甚至国企央企都在拓展互联网业务,经济的飞速发展,人民生活水平提高,人们都忙于工作没有时间和精力去享受经济带来的福利,而网络业务能够给大众提供更加方便快捷的服务,所以引得互联网更加的火热。但是快捷背后时候存在着诸多的安全隐患,在巨大利益的引诱下许多商家大量的投入人力、财力去发展互联网业务,却极少重视它的安全稳定,千里之堤毁于蚁穴,信息安全的建设不是一朝一夕,而是循序渐进,防微杜渐。

  那么本篇文章主要介绍的就是从最基本的安全角度出发,来规范和完善系统的安全问题,主要针对的是Cisco交换机、Juniper防火墙、mysql数据库、linux服务器,本篇文章主要介绍的Cisco核心交换机、写的不好,后续还会继续更新,请大家多多指导。

安全基线(BaseLine):是保持信息系统安全的机密性、完整性、可用性的最小安全控制,是系统的最小安全保证,最基本的安全要求。安全基线 的根本目的是保障业务系统的安全,使业务系统的风险维持在可控范围内,为了避免人为疏忽或错误,或使用默认的安全配置,给业务系统安全造成风险,而制定安全检查标准,并且采取必要的安全检查措施,使业务系统达到相对的安全指标要求。安全基线检查工具是采用技术手段,自动完成安全配置检查的产品,并提供详尽的解决方案。

第一、思科核心交换机安全基线整改建议

一、口令策略

总结:用户登录是否启用AAA认证,本地用户是否有lever,snmp是否有ip访问限制,远程登录限制ip

1.使用认证服务器认证

#show running-config | include aaa

判定依据

    1、已配置aaa认证服务器,实现用户认证。

    2、已配置aaa认证服务器,实现enable认证。

    以上条件需同时满足。

参考配置操作

1、Cisco(config)#aaa new-model 

2、Cisco(config)#aaa authentication login default group   <server> local  #<server>为认证服务器名称(首先通过认证服务器认证,认证服务器认证失败的情况下通过本地认证。)

3、Cisco(config)#aaa authentication enable default group  <server> enable

4、Cisco(config)#end

5、Cisco#write


2.VTY端口访问的认证

检测方法

    执行如下命令检测远程登陆认证

    #show running-config | include aaa

判定依据

    登陆认证未设置为none则合规,否则不合规

3.远程主机IP地址段限制

检测方法

    执行如下命令检测vty口配置信息

    #show running-config | begin line vty

判定依据

    vty端口已绑定ACL则合规,否则不合规。

参考配置操作

1、Cisco(config)#access-list <tag> <access-list>   #<tag>表示access-list标号,<access-list>表示ACL规则内容。

2、Cisco(config)#line vty <num1> [<num2>]  #<num1>、<num2>(可选)表示要配置的vty起止序号。

3、Cisco(config-line)#access-class <tag> <in/out>  #<in/out>表示要过滤的连接的类型。

4、Cisco(config-line)#end

5、Cisco#write 


4.限制可发起SNMP的源IP

检测方法

    执行如下命令检测snmp团体名配置信息

    #show running-config | include snmp-server community

判定依据

    所有SNMP community均已绑定ACL则合规,否则不合规。

参考配置操作

1、Cisco(config)#access-list <tag> <access-list>    #<tag>表示access-list标号,<access-list>表示acl规则内容。

2、Cisco(config)#snmp-server community <name> <ro/rw> <tag>   #<name>表示community名称,<ro/rw>表示分配的权限。

3、Cisco(config)#end

4、Cisco#write


5.对用户设置授权等级

 #show running-config | include username

 参考配置操作

1、Switch(config)#username <username> privilege  <level>    #<username>用户名,<level>权限级别。

2、Switch(config)#end

3、Switch#write


6.已对命令设置授权等级

检测方法

    执行如下命令,检测命令授权信息

    #show running-config | include ^privilege

判定依据

    1、对命令"snmp-server"设置了授权等级

    2、对命令"ping"设置了授权等级

    3、对命令"configure"设置了授权等级

    以上三个条件均满足则合规,否则不合规。

参考配置操作

1、Cisco(config)#privilege configure level 7 snmp-server    #对snmp-server命令设置授权等级

2、Cisco(config)#privilege exec level 7 ping     #对ping命令设置授权等级

3、Cisco(config)#privilege exec level 7 configure    #对configure命令设置授权等级

4、Cisco(config)#end

5、Cisco#write

二、认证授权

总结:禁止ip-mask-reply不返回ping值,log日志服务器,log发送的source-interface,log缓冲区禁止向控制台溢出,启用aaa审计功能

1.关闭不必要的功能-禁用IP mask-reply(掩码应答)

 #show running-config interface <interface_name>

判定依据

    已禁用IP mask-reply则合规,否则不合规。

参考配置操作 

1、Cisco(config)#interface <InterfaceName>     # <InterfaceName> 表示接口名称。

2、Ciscoconfig-if)#no ip mask-reply

3、Cisco(config-if)#end

4、Cisco#write


2.日志存储位置

检测方法

    执行如下命令检测系统日志配置

    #show running-config | include logging

判定依据

    已禁止系统日志向控制台输出则合规,否则不合规。

参考配置操作

1、Cisco(config)#logging host <ip地址>   #<ip地址>为远程日志服务器地址。

2、Cisco(config)#end

3、Cisco#write


3.调整系统日志的缓冲区大小

检测方法

    执行如下命令检测日志缓冲区大小配置

    #show running-config | include logging buffered

判定依据

    系统日志缓冲区大小,不小于2048000则合规,否则不合规。

参考配置操作

1、Cisco(config)#logging buffered <size>   #其中<size>表示缓冲区大小。

2、Cisco(config)#end

3、Cisco#write


4.配置发送系统日志的源地址

检测方法

    执行如下命令检测系统日志中的源地址配置

    #show running-config | include logging source-interface

判定依据

    系统日志中的源地址配置为loopback地址则合规,否则不合规。

参考配置操作

1、Cisco(config)#logging source-interface loopback0

2、Cisco(config)#end

3、Cisco#write


5.禁止系统日志向控制台输出

检测方法

    执行如下命令检测系统日志设置

    #show running-config | include logging console

判定依据

    禁止系统日志向控制台输出则合规,否则不合规。

参考配置操作

1、Cisco(config)#no logging console

2、Cisco(config)#end

3、Cisco#write


6.使用认证服务器审计系统行为

检测方法

    执行如下命令检测认证服务器审计行为

    #show running-config | include aaa accounting

判定依据

    已配置使用认证服务器对系统行为进行审计则合规,否则不合规。

参考配置操作

1、Cisco(config)#aaa accounting system default start-stop group <server>   #<server>为认证服务器名称。

2、Cisco(config)#end

3、Cisco#write

三、文件权限

总结:启用ntp服务,ntp做acl,关闭TCP Small,UDP Small服务,配置对SQL slammer蠕虫的防护,配置对Della蠕虫的防护,配置对震荡波端口及Blaster端口的防护,关闭的端口禁用cdp协议,PROXYARP,

全局禁用HTTP Server,禁用DNS查询服务,会话超时配置(console和vty),禁用Finger服务(默认关闭),IPUnreachables(不显示不可达,显示超时,损!!!),禁用IP Redirects(必须经过网关)

禁用IP source-route(默认关闭),关闭IP直接广播(默认关闭),开启的端口配置报文速率限制,开启STP功能,未关闭的端口指定 switchport 模式,配置为trunk口的VLAN都有允许列表

配置预防源地址伪造攻击(默认关闭,否启用uRPF),对设备引擎直接处理的流量进行控制(contro-plane下是否配置service-policy,ip receive access-list比较复杂),关闭LACP,pagp

关闭flowcontrol,配置ARP攻击防护(mac 认证),典型协议报文防护(hsrp,vrry认证有秘钥)



1.配置启用NTP服务

检测方法

    执行如下命令检测ntp配置

    #show running-config | include ntp

判定依据

    已配置NTP同步时钟则合规,否则不合规。

参考配置操作

1、Cisco(config)#ntp server <ip>     #<ip>表示NTP服务器IP

2、Cisco(config)#end

3、Cisco#write


2.关闭不必要的服务-禁用TCP Small服务

检测方法

    执行如下命令检测UDP Small服务状态

    #show running-config | include tcp-small-servers

判定依据

    TCP Small服务被关闭则合规,否则不合规。

参考配置操作

1、Cisco(config)#no service tcp-small-servers

2、Cisco(Config-if)#end

3、Cisco#write


3.已知典型攻击防护

检测方法

    1、执行如下命令检测ACL规则配置信息

        (1)、#show access-lists

    2、执行如下命令检测 vlan 和物理接口配置信息

        (1)、#show running-config | begin interface

判定依据

    1、已配置对SQL slammer蠕虫的防护

    2、已配置对Della蠕虫的防护

    3、已配置对震荡波端口及Blaster端口的防护

    以上三个条件同时满足时则合规,否则不合规。

参考配置操作

1、配置对SQL slammer蠕虫的防护

    (1)、Cisco(config)#access-list <tag> deny udp any any eq 1434  #<tag>表示access-list标号

2、应配置对Della蠕虫的防护 

    (1)、Cisco(config)#access-list <tag> deny tcp any any eq 445     #<tag>表示access-list标号

    (2)、Cisco(config)#access-list <tag> deny tcp any any eq 5800

    (3)、Cisco(config)#access-list <tag> deny tcp any any eq 5900

3、应配置对震荡波端口及Blaster端口的防护

    (1)、Cisco(config)#access-list <tag> deny tcp any any eq 5554   #<tag>表示access-list标号

    (2)、Cisco(config)#access-list <tag> deny tcp any any eq 9996

    (3)、Cisco(config)#access-list <tag> deny tcp any any eq 4444

4、配置指定接口的ACL

    (1)、Cisco(config)#interface <InterfaceName>   #接口名称

    (2)、Cisco(config-if)#ip access-group <tag> in

    (3)、Cisco(config-if)#end

    (4)、Cisco#write

5.应关闭所有接口的CDP协议

检测方法

    1、执行如下命令检测全局配置下是否关闭cdp协议

        (1)、#show running-config | include cdp

    2、执行如下命令接口检测配置信息

        (1)#show running-config | begin interface

判定依据

    1、全局配置下关闭cdp协议

    2、所有未关闭的接口均已关闭cdp协议

    以上两个条件满足其一则合规,否则不合规。

参考配置操作

1、Cisco(Config)#no cdp run

2、Cisco(Config)#interface <interface>    #<interface>表示接口名称。

3、Cisco(Config-if)# no cdp enable

4、Cisco(Config-if)#end

5、Cisco#write


6.关闭不必要的功能禁用-PROXYARP

检测方法

    执行如下命令检测arp 代理状态

    #show running-config interface <interface_name>

判定依据

    arp 代理被禁用则合规,否则不合规。

参考配置操作

1、Cisco(config)#interface <InterfaceName>     #<InterfaceName>  表示接口名称

2、Cisco(config-if)#no ip proxy-arp

3、Ciscoh(Config-if)#end

4、Cisco#write


7.关闭不必要的服务-禁用HTTP Server

检测方法

    执行如下命令检测http server状态

    #show running-config | include http

判定依据

    已关闭http server则合规,否则不合规。

参考配置操作 

1、Cisco(config)#no ip http server

2、Cisco(Config)#end

3、Cisco#write


8.关闭不必要的服务-禁用DNS查询服务

检测方法

    执行如下命令检测是否禁用DNS查询服务

    #show running-config | include domain-lookup

判定依据

    已禁用DNS查询服务则合规,否则不合规。

参考配置操作

1、Cisco(config)#no ip domain-lookup

2、Cisco(Config-if)#end

3、Cisco#write


9.会话超时配置

检测方法

    执行如下命令检测console口和所有vty端口的会话超时配置信息

    #show running-config | begin line

判定依据

    cisco交换机默认会话超时配置为10分钟

    1、console口不存在如下配置         exec-timeout 0 0

    2、所有vty端口不存在如下配置    exec-timeout 0 0

    条件1和条件2均满足则合规,否则不合规。

参考配置操作

1、console口会话超时配置

    (1)、Cisco(config)#line console 0

    (2)、Cisco(config-line)#exec-timeout <mins> [<seconds>]    #<mins>单位为分,<seconds>单位为秒。

2、vty口会话超时配置

    (1)、Cisco(config)#line vty <num1> [<num2>]     #<num1>,<num2>(可选)表示要配置的vty起止序号。

    (2)、Cisco(config-line)#exec-timeout    <mins>    [<seconds>]

    (3)、Cisco(config-line)#end

    (4)、Cisco#write

10.关闭不必要的服务-禁用UDP Small服务

检测方法

    执行如下命令检测UDP Small服务状态

    #show running-config | include udp-small-servers

判定依据

    已关闭UDP Small服务则合规,否则不合规。

参考配置操作

1、Cisco(config)#no service udp-small-servers

2、Cisco(Config-if)#end

3、Cisco#write


11.关闭不必要的服务-禁用Finger服务

检测方法

    执行如下命令检测Finger服务状态

    #show running-config | include finger

判定依据

    已关闭Finger服务则合规,否则不合规。

参考配置操作

1、Cisco(config)#no ip finger

2、Cisco(Config)#end

3、Cisco#write


12.关闭不必要的功能-禁用IPUnreachables

检测方法

    执行如下命令检测ip unreachable功能是否禁用

    #show running-config | include unreachables

判定依据

    接口已禁用unreachables功能则合规,否则不合规。

参考配置操作 

1、Cisco(config)#interface <InterfaceName> 

2、Cisco(config-if)#no ip unreachables

3、Cisco(Config-if)#end

4、Cisco#write


13.关闭不必要的功能-禁用IP Redirects

检测方法

    执行如下命令检测ICMP重定向功能

    #show running-config interface <interface_name>

判定依据

    ICMP重定向功能被禁用则合规,否则不合规。

参考配置操作

1、Cisco(config)#interface <InterfaceName>   #<InterfaceName> 表示接口名称。

2、Cisco(config-if)#no ip redirects

3、Cisco(Config-if)#end

4、Cisco#write


14关闭不必要的功能-禁用IP source-route

检测方法

    执行如下命令检测是否开启source-route服务

    #show running-config | include source-route

判定依据

    已关闭source-route服务则合规,否则不合规

参考配置操作

1、Cisco(config)#no ip source-route   #关闭source-route服务。

2、Cisco(config)#end

3、Cisco#write


15.关闭IP直接广播

检测方法

    执行如下命令检测ip directed-broadcast配置

    #show running-config | include directed-broadcast

判定依据

    所有接口均关闭ip directed-broadcast则合规,否则不合规。

参考配置操作

1、Cisco(config)#interface <InterfaceName>   关闭指定接口的ip directed-broadcast

2、Cisco(config-if)#no ip directed-broadcast

3、Cisco(config-if)#end

4、Cisco#write


16.限制NTP通信地址范围

检测方法

    执行如下命令检测ntp配置

    #show running-config | include ntp access-group

判定依据

    已配置通过ACL限制NTP服务器和设备之间的通信则合规,否则不合规。

参考配置操作

1、Cisco(config)#ntp access-group peer <tag>   #<tag>表示access-list标号。

2、Ciscoh(config)#end

3、Cisco#write


17报文速率限制

检测方法

    执行如下命令检测物理接口配置

    #show running-config | begin interface

判定依据

    所有处于未关闭状态的物理接口均配置广播/组播/未知单播报文速率限制则合规,否则不合规。


参考配置操作

1、Cisco(config)#interface <InterfaceName>   #配置指定接口

2、Cisco(config-if)#storm-control broadcast level <threshold> #配置广播报文限制

3、Cisco(config)#interface <InterfaceName>   #配置指定接口

4、Ciscoh(config-if)#storm-control multicast level <threshold>  #配置组播报文限制 

5、Cisco(config)#interface <InterfaceName>   # 配置指定接口

6、Cisco(config-if)#storm-control unicast level <threshold>     #配置单播报文限制

7、Cisco(config-if)#end

8、Cisco#write


18.开启STP功能

检测方法

    执行如下命令检测STP模式

    #show spanning-tree summary

判定依据

    STP模式为pvst则合规,否则不合规。

1、Cisco(config)#spanning-tree mode pvst

2、Cisco(config-if)#end

3、Cisco#write


19.关闭未使用的管理口

检测方法

    执行如下命令检测接口状态

    #show interfaces | include protocol

判定依据

    没有使用的接口都被关闭则合规,否则不合规。

参考配置操作 

1、Cisco(config)#interface <接口>

2、Cisco(config-if)#shutdown    #关闭未使用的接口。

3、Cisco(config-if)#end

4、Cisco#write  


20.配置端口安全防护

执行如下命令检测物理接口配置

    #show running-config | begin interface

判定依据

    所有处于未关闭状态的物理接口都指定 switchport 模式则合规,否则不合规。

参考配置操作

1、Cisco(config)#interface <InterfaceName>    #配置指定物理接口的switchport模式

2、Cisco(config-if)#switchport mode <mode>  #<mode>接口类型为Access或者trunk

3、Cisco(config-if)#end

4、Cisco#write


21.配置MAC攻击防护

测方法

    执行如下命令检测物理接口配置

    #show running-config | begin interface

判定依据

    所有处于未关闭状态且类型为access的物理接口都已配置允许最大的地址数目则合规,否则不合规。

参考配置操作

1、Cisco(config)#interface <InterfaceName>     #配置指定接口允许的最大地址数。

2、Cisco(config-if)#switchport port-security maximum <num>  #<num>表示最大地址数。 

3、Cisco(config-if)#end

4、Cisco#write


22.配置VLAN攻击防护

检测方法

    执行如下命令检测物理接口配置

    #show running-config | begin interface

判定依据

    所有处于未关闭状态的 trunk 模式的物理接口都已配置允许的 VLAN id 则合规,否则不合规。

参考配置操作 

1、Cisco(config)#interface <InterfaceName>   #进入指定接口

2、Cisco(config-if)#switchport trunk allowed vlan <vlanid>   #配置trunk模式的接口允许的VLAN。

3、Cisco(config-if)#end

4、Cisco#write


23.限制非法数据流

检测方法

    1、执行如下命令查看ACL配置信息

        (1)、#show access-lists

    2、执行如下命令检测 vlan 和物理接口配置信息

        (1)、#show running-config | begin interface

判定依据

    1、配置acl规则过滤非法流量数据

    2、所有未关闭的物理接口均已下发ACL规则

    以上两个条件同时满足时合规,否则不合规。

24.配置预防源地址伪造攻击(默认关闭)

检测方法

    执行如下命令检测接口下是否启用uRPF

    #show running-config | include ip verify

判定依据

    所有未关闭的物理接口都已启用uRPF则合规,否则不合规。

参考配置操作

Cisco(config)#interface <InterfaceName>    #<InterfaceName>表示接口名称。

Cisco(config-if)#ip verify unicast source reachable-via any

Cisco(config-if)#end

Cisco#write 

   

25.对设备引擎直接处理的流量进行控制

检测方法

    1、执行如下命令检测 contro-plane下是否配置service-policy

        (1)、#show running-config | include ^(control-plane|service-policy)

    2、执行如下命令检测是否配置 ip receive access-list

        (1)、#show running-config | include ip receive access-list

判定依据

    1、contro-plane下已配置service-policy

    2、已配置ip receive access-list

    以上两个条件均满足则合规,否则不合规。

26.关闭不必要的协议-LACP

检测方法

    执行如下命令检测接口配置信息

    #show running-config | begin interface

判定依据

    所有接口均已关闭 LACP 协议则合规,否则不合规。

参考配置操作

1、Cisco(config)#interface <interface>   接口名称

2、Cisco(config-if)# no lacp port-priority

3、Cisco(config-if)#end

4、Cisco#write


27.关闭不必要的协议-PAgP

检测方法

    执行如下命令检测接口配置信息

    #show running-config | begin interface

判定依据

    所有接口均已关闭 PAGP 协议则合规,否则不合规。

参考配置操作

1、Cisco(config)#interface <interface>       #<interface>表示接口名称。

2、Cisco(config-if)#no pagp learn-method

3、Cisco(config-if)#end

4、Cisco#write


28.关闭不必要的协议-flowcontrol

检测方法

    执行如下命令检测接口配置信息

    #show running-config | begin interface

判定依据

    所有接口均已关闭 flowcontrol 协议则合规,否则不合规。

参考配置操作

1、Cisco(Config)#interface <interface>     #<interface>表示接口名称。

2、Cisco(Config-if)#flowcontrol receive off

3、Cisco(Config-if)#end

4、Cisco#write


29.配置ARP攻击防护

检测方法

    执行如下命令检测接口配置信息

    #show running-config | begin interface

判定依据

    所有类型为 access 的未关闭的物理接口都配置ARP攻击防护则合规,否则不合规。

参考配置操作

1、Cisco(config)#interface <InterfaceName>    #<InterfaceName> 表示接口名称

2、Cisco(config-if)#switchport port-security violation restrict

3、Cisco(Config-if)#end

4、Cisco#write


30.典型协议报文防护

             检测方法

、执行如下命令查看是否配置HSRP报文防护

#show running-config | include standby

二、执行如下命令查看是否配置VRRP报文防护

#show running-config | include vrrp

判定依据:

1)配置了HSRP报文防护

2)配置了VRRP报文防护

以上两个条件同时满足则合规,否则不合规.

参考配置操作

1、配置HSRP报文防护 

    (1)、Cisco(config)#interface <InterfaceName> 

    (2)、Cisco(config-if)#standby 1 authentication md5 key-string <key>

2、配置VRRP报文防护

    (1)、Cisco(config)#interface <InterfaceName> 

    (2)、Cisco(config-if)#vrrp 1 authentication md5 key-string <key>

    (3)、Cisco(config-if)#end

    (4)、Cisco#write

四、系统服务

总结:远程登录只能使用ssh,snmp的community在监控时不能为默认需要修改为public或者private,snmpv3开启(如果支持),snmp需要aaa认证审计


1.SNMP配置-修改SNMP的默认Community

检测方法

    执行如下命令检测snmp团体名配置信息

    #show running-config | include snmp-server community

判定依据

    不存在名称为public、private的SNMP community,则合规,否则不合规。

参考配置操作

1、Cisco(config)#no snmp-server community public   删除名称为public的SNMP commnity

2、Cisco(config)#end

3、Cisco#write


2.远程管理通信安全-SSH

检测方法

    1、执行如下命令检测ssh协议配置信息

        (1)、#show ip ssh

    2、执行如下命令查看vty接口配置信息

        (1)、#show running-config | begin line vty

判定依据

    1、已启用ssh加密协议

    2、只允许使用ssh协议访问vty接口

    3、以上条件需同时满足。

参考配置操作

1、Cisco(config)#ip domain-name <domain_name>    #配置域名 <domain_name>域名名称可自定义

2、Cisco(config)#aaa new-model

3、Cisco(config)#crypto key generate rsa

4、Cisco(config)#line vty 0 4

5、Cisco(config-line)#transport input ssh  #配置仅允许ssh远程登录

6、Cisco(config-line)#end

7、Cisco#write


3.SNMP服务读写权限管理

检测方法

    执行如下命令检测snmp团体名配置信息

    #show running-config | include snmp-server community

判定依据

    所有SNMP community的权限均为ro,则合规,否则不合规。

参考配置操作

1、Cisco(config)#snmp-server community <name> <RO> [<tag>]   #<name>表示community名称,<RO/RW>表示分配的权限,<tag>表示access-list标号。

2、Cisco(config)#end

3、Cisco#write


4.VTY端口防护策略

检测方法

    执行如下命令检测vty端口配置信息

    #show running-config | begin line vty

判定依据

    vty接口数量小于等于 15 则合规,否则不合规。


5.使用SNMP V3版本

检测方法

    执行如下命令检测SNMP协议配置信息

    #show running-config | include snmp-server host

判定依据

    对于支持SNMP V3版本的设备,必须使用V3版本SNMP协议,对于不支持v3版本协议的设备建议通过自定义参数的方式修改其标准值为1或者2c。

参考配置操作

1、Cisco(config)#snmp-server host <ip> version 3 auth <username>  #其中<ip>表示IP,<username>表示用户名。

2、Cisco(config-line)#end

3、Cisco#write


6.使用认证服务器审计设备操作

检测方法

    执行如下命令检测认证服务器审计行为

    #show running-config | include aaa accounting

判定依据

    已配置使用认证服务器对设备操作进行审计则合规,否则不合规。

参考配置操作

1、Cisco(config)#aaa accounting exec default start-stop group <server>  #<server>为认证服务器名称。

2、Cisco(config)#end

3、Cisco#write

四、账号管理

总结:远程登录有提示信息,两个以上用户名密码,密码加密存放,不存在平常不用的账号,console密码最好有

1.修改缺省BANNER,未配置banner login则合规,否则不合规。

#show running-config | include banner

参考配置操作

1、Cisco(config)#banner <options>  #<options>表示banner命令的参数

2、Cisco(config)#end

3、Cisco#write


2.配置console口密码保护,console口已配置密码则合规,否则不合规。

 #show running-config | begin line con

 参考配置操作

1、Cisco(config)#line console 0 

2、Cisco(config-line)#login local

3、Cisco(config-line)#password  <password>  #<password>为console口密码

4、Cisco(config-line)#end

5、Cisco#write


3.避免共享账号

#show running-config | include username

参考配置操作

1、Cisco(config)# username <username> privilege <level> password <password>      #<username>用户名、<level>权限级别、<password>用户口令。

2、Cisco(config)# end 

3、Cisco#write


4.禁止无关账号(人工确认)


5.管理默认账号与口令,不存在cisco默认账号则合规,否则不合规。

#show running-config | include username


6.口令加密

 1、执行如下命令检测enable和用户口令是否加密存放

        (1)、#show running-config | include ^(enable|username.*)

 2、执行如下命令检测是否启用密码加密服务

#show running-config | include password-encryption

判定依据

    1、启用密码加密服务

    2、enable密码加密存放

    3、用户口令加密存放

    条件1必须满足,条件2和3满足其一则合规,否则不合规

后续将更新juniper防火墙、mysql数据库、linux服务器,请大家多多关注。


本文出自 “小资” 博客,请务必保留此出处http://tianzhen910.blog.51cto.com/5889820/1878164

安全基线规范之Cisco核心交换机

标签:服务器   互联网   信息安全   核心交换机   启明星辰   

原文地址:http://tianzhen910.blog.51cto.com/5889820/1878164

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!