客户有台3600路由忽然速度奇慢,检查线路、重启动之后发现IOS没了...不得已用Xmodem把IOS重新传上去,启动正常,并没有发现硬件有问题。仔细检查该路由器的配置,发现有这样两个配置指令:
snmp-server community public RO
snmp-server community private RW
询问网管人员,原来他们最近想用一台网络测试仪记录设备工作状态,结果就给配上了这样的snmp参数。对于一台直接连接到Internet的路由器来说,这样的配置...等于敞开大门,欢迎骇客。
Cisco 的配置文档建议通过以下手段建立一个有效的安全策略:
1.确定要重点保护的网络资源
象上面例子中的网络出口,一旦工作不正常,影响很大,需要重点保护;网络中重要的文件、数据库、应用系统等,更是保护的重点。
2.找出危险点
一般来说Internet出口、Internet服务器、拔号访问入口等等是容易发生安全问题的地方,应该重点防护。了解新发现的安全漏洞,及时采取相应的措施,比如打上补丁、升级IOS或暂时关闭有问题的服务。根据CCO “安全顾问”网页, Cisco产品今年以来发现的影响较广泛的严重安全漏洞为:
CSCdw33027 SSH扫描导致当机2002.6.27
CSCdt93866 NTP缓冲区溢出漏洞2002.5.8
CSCdw67458 SNMP拒绝服务漏洞2002.2.12
这些漏洞您了解并采取了相应的措施吗? 如果不,那么很可能您最近的一次当机事件就跟它们有关,一些客户的经历证明了这一点。除了安全问题,还有一些其它的功能设计方面的缺陷等等,值得紧跟IOS主要更新版本进行升级。
3.限制访问范围
典型的手段是访问控制列表。在上面那个例子中,把community字配成众所周知道的public/private当然万万不行,由于SNMP是一个相当不安全的协议(尤其是低版本),还应该通过访问控制列表限定能访问设备SNMP的主机: 在snmp-server community xxxx RO/RW 后,可以加上一个标准或扩展的访问控制列表。console口可以配上密码,不要设置no exec-timeout。telnet访问的限制通过在line vty指定access-class实现;CatOS的交换机用ip permit-list; 高端设备可以用SSH取代telnet。不必要的服务,如tcp/udp-small-servers、ip finger、ip http server等应予以关闭。ip http server(Web管理界面)去年就曾爆出了一个严重的安全漏洞,可以用ip http access-class作限制。tftp-server服务用完就应关闭,也可以指定ACL,或用较为安全的FTP代替。路由协议可以加上认证,常用的RIP v2、EIGRP、OSPF以及BGP等都支持明文或md5认证。在端口上应用ACL,过滤不必要的通讯,还可以利用IOS的安全功能,防止IP欺骗和一些常见的***。
4.检查安全假定
通常我们都会对网络安全状态做出一些假定,比如我们会认为公司内部不会有人熟悉网络设备/特定应用系统的人,所以***来自于内部的机会很少等等。这样的假定需要定期检查,因为环境是会改变的。比如可能会出现一些***网络的病毒,或者有一些骇客工具会被好奇的人的拿来乱用,等等。所以,经过一段时间,网络内部设备的软件也要进行必要的升级。