思科交換機(jī)安全配置基線

思科交換機(jī)安全配置基線》目錄TOC\o"1-5"\h\z\o"CurrentDocument"1 概述 1\o"CurrentDocument"1.1 適用范圍 1\o"CurrentDocument"1.2 術(shù)語(yǔ)和定義 1\o"CurrentDocument"1.3 符號(hào)和縮略語(yǔ) 1\o"CurrentDocument"2 思科交換機(jī)設(shè)備安全配置要求 2\o"CurrentDocument"賬號(hào)管理、認(rèn)證授權(quán) 2\o"CurrentDocument"2.1.1 賬戶 2\o"CurrentDocument"2.1.2 口令 3\o"CurrentDocument"2.1.3 認(rèn)證 4\o"CurrentDocument"日志安全要求 5\o"CurrentDocument"IP協(xié)議安全要求 7\o"CurrentDocument"2.3.1基本協(xié)議安全 7\o"CurrentDocument"2.3.2SNMP協(xié)議安全 9\o"CurrentDocument"訪問控制安全要求 10\o"CurrentDocument"VlaN安全要求 14\o"CurrentDocument"其他安全要求 161概述1.1適用范圍本規(guī)范適用于思科交換機(jī)。本規(guī)范明確了思科交換機(jī)安全配置方面的基本要求?；€配置項(xiàng)中的“可選”項(xiàng)，可以根據(jù)具體系統(tǒng)和應(yīng)用環(huán)境，選擇是否遵守。1.2術(shù)語(yǔ)和定義BGPRouteflapdamping:由RFC2439定義，當(dāng)BGP接口翻轉(zhuǎn)后，其他BGP系統(tǒng)就會(huì)在一段可配置的時(shí)間內(nèi)不接受從這個(gè)問題網(wǎng)絡(luò)發(fā)出的路由信息。1.3符號(hào)和縮略語(yǔ)縮寫英文描述中文描述2思科交換機(jī)設(shè)備安全配置要求賬號(hào)管理、認(rèn)證授權(quán)2.1.1賬戶編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-1-可選要求內(nèi)容限制具備管理員權(quán)限的用戶遠(yuǎn)程登錄。遠(yuǎn)程執(zhí)行管理員權(quán)限操作，應(yīng)先以普通權(quán)限用戶遠(yuǎn)程登錄后，再切換到管理員權(quán)限賬號(hào)后執(zhí)行相應(yīng)操作。操作指南參考配置操作privilegeexeclevel15connectprivilegeexeclevel15telnetprivilegeexeclevel15rloginprivilegeexeclevel7showipaccess-listsprivilegeexeclevel15showaccess-listsprivilegeexeclevel15showloggingprivilegeexeclevel1showipusernameuser1privilege7passwordpasswordlusernameswitchadminprivilege15passwordpassword2補(bǔ)充操作說明檢測(cè)方法判定條件所有賬號(hào)權(quán)限分配合理，不存在權(quán)限過大賬號(hào)。檢測(cè)操作無(wú)現(xiàn)狀說明IT也可以通過VPN遠(yuǎn)程登錄交換機(jī)，符合要求，網(wǎng)絡(luò)管理員和基礎(chǔ)架構(gòu)主管知道賬號(hào)編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-2要求內(nèi)容應(yīng)按照用戶分配賬號(hào)。避免不同用戶間共享賬號(hào)。避免用戶賬號(hào)和設(shè)備間通信使用的賬號(hào)共享。刪除與設(shè)備運(yùn)行、維護(hù)等工作無(wú)關(guān)的賬號(hào)。要求內(nèi)容應(yīng)按照用戶分配賬號(hào)。避免不同用戶間共享賬號(hào)。避免用戶賬號(hào)和設(shè)備

間通信使用的賬號(hào)共享。刪除與設(shè)備運(yùn)行、維護(hù)等工作無(wú)關(guān)的賬號(hào)。要求內(nèi)容應(yīng)按照用戶分配賬號(hào)。避免不同用戶間共享賬號(hào)。避免用戶賬號(hào)和設(shè)備間通信使用的賬號(hào)共享。刪除與設(shè)備運(yùn)行、維護(hù)等工作無(wú)關(guān)的賬號(hào)。操作指南參考配置操作usernamersmithpassword3d-zirc0niausernamersmithprivilege1usernamebjonespassword2B-or-3Busernamebjonesprivilege1nousernamebrian補(bǔ)充操作說明檢測(cè)方法1?判定條件配置文件中，存在不冋的帳號(hào)分配網(wǎng)絡(luò)管理員確認(rèn)用戶與帳號(hào)分配關(guān)系明確2?檢測(cè)操作無(wú)現(xiàn)狀說明都是公用賬號(hào)，沒有根據(jù)每個(gè)人設(shè)置一個(gè)賬號(hào)2.1.2口令編號(hào):安全要求-設(shè)備-思科交換機(jī)-配置-3要求內(nèi)容對(duì)于米用靜態(tài)口令認(rèn)證技術(shù)的設(shè)備，口令長(zhǎng)度至少6位，并包括數(shù)字、小寫字母、大寫字母和特殊符號(hào)4類中至少2類。操作指南參考配置操作此項(xiàng)無(wú)法通過配置實(shí)現(xiàn)，建議通過管理實(shí)現(xiàn)補(bǔ)充操作說明檢測(cè)方法1?判定條件無(wú)2?檢測(cè)操作無(wú)現(xiàn)狀說明口令8位以上，數(shù)字字母，與路由器密碼內(nèi)容一致

編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-4要求內(nèi)容靜態(tài)口令必須使用不可逆加密算法加密，以密文形式存放。操作指南參考配置操作servicepassword-encryption補(bǔ)充操作說明檢測(cè)方法1?判定條件配置文件無(wú)明文密碼字段2?檢測(cè)操作使用showrunning-config命令，如下例：Switch#showrunning-configBuildingconfiguration...Currentconfiguration:!servicepassword—encryptionenablesecret5$loxphetTb$rTsF$EdvjtWbi0qA2gusernameciscoadminpassword7WbiOqAl$rTsF$Edvjt2gpvyhetTb現(xiàn)狀說明是加密的2.1.3認(rèn)證編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-5-可選要求內(nèi)容設(shè)備通過相關(guān)參數(shù)配置，與認(rèn)證系統(tǒng)聯(lián)動(dòng)，滿足帳號(hào)、口令和授權(quán)的強(qiáng)制要求。操作指南1?參考配置操作settacacsserver8settacacskeyxxxxxx!telnet認(rèn)證setauthenticationlogintacacsenabletelnet2.補(bǔ)充操作說明與外部TACACS+server8聯(lián)動(dòng)，遠(yuǎn)稈登錄使用TACACS+serverya驗(yàn)證檢測(cè)方法1?判定條件帳號(hào)、口令配置，扌日定了認(rèn)證系統(tǒng)2?檢測(cè)操作使用showrunning-config命令，如下例：Switch#showrunning-config

現(xiàn)狀說明沒有其他的認(rèn)證方式日志安全要求編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-6-可選要求內(nèi)容設(shè)備應(yīng)支持遠(yuǎn)程日志功能。所有設(shè)備日志均能通過遠(yuǎn)程日志功能傳輸?shù)饺罩痉?wù)器。設(shè)備應(yīng)支持至少一種通用的遠(yuǎn)程標(biāo)準(zhǔn)日志接口，如SYSLOG、FTP等。至少0-4級(jí)別的日志應(yīng)傳送至日志服務(wù)器，條件允許的情況下所有日志應(yīng)發(fā)送到日志服務(wù)器操作指南參考配置操作交換機(jī)側(cè)配置：Switch#configtEnterconfigurationcommands,oneperline.EndwithCNTL/ZSwitch(config)#loggingonSwitch(config)#loggingtrapinformationSwitch(config)#logging00Switch(config)#loggingfacilitylocal6Switch(config)#loggingsource-interfaceloopback。Switch(config)#exitSwitch#showloggingSysloglogging:enabled(0messagesdropped,11flushes,0overruns)Consolelogging:levelnotifications,35messagesloggedMonitorlogging:leveldebugging,35messagesloggedBufferlogging:levelinformational,31messagesloggedLoggingto00,28messagelinesloggedSwitch#補(bǔ)充操作說明I.假設(shè)把Switch日志存儲(chǔ)在00的syslog服務(wù)器上交換機(jī)側(cè)配置描述如下：?jiǎn)⒂萌罩居涗浫罩炯?jí)別設(shè)定“information”記錄日志類型設(shè)定“l(fā)ocal6”日志發(fā)送到00日志發(fā)送源是loopback0配置完成可以使用“showlogging”驗(yàn)證服務(wù)器側(cè)配置參考如下：Syslog服務(wù)器配置參考：在Syslog.conf上增加一行#SaveSwitchmessagestoSwitchs.log

local6.debug/var/log/Switchs.log創(chuàng)建日志文件#touch/var/log/Switchs.logII.如果使用snmp存儲(chǔ)日志參考配置如下：Switch#configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#loggingtrapinformationSwitch(config)#snmp-serverhost00trapspublicSwitch(config)#snmp-servertrap-sourceloopback。Switch(config)#snmp-serverenabletrapssyslogSwitch(config)#exitSwitch#檢測(cè)方法1?判定條件Sysloglogging和SNMPlogging至少有一個(gè)為“enabled”Loggingto后面的主機(jī)名或IP指向日志服務(wù)器通常記錄日志數(shù)不為02?檢測(cè)操作使用showlogging命令，如下例：Switch#showloggingSysloglogging:enabledConsolelogging:disabledMonitorlogging:leveldebugging,266messageslogged.Traplogging:levelinformational,266messageslogged.Loggingto38SNMPlogging:disabled,retransmissionafter30seconds0messagesloggedSwitch#現(xiàn)狀說明沒有日志服務(wù)器，保存在交換機(jī)本機(jī)上，保存時(shí)間取決于設(shè)備的空間編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-7-可選要求內(nèi)容開啟NTP服務(wù)，保證日志功能記錄的時(shí)間的準(zhǔn)確性。操作指南1?參考配置操作配置命令如下：Switch#configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#interfaceeth0/0

Switch(config-if)#nontpdisableSwitch(config-if)#exitSwitch(config)#ntpserversourceloopbackOSwitch(config)#exit2.補(bǔ)充操作說明檢測(cè)方法1?判定條件存在ntpserver配置條目日志記錄時(shí)間準(zhǔn)確2?檢測(cè)操作使用showrunning-config命令，如下例：Switch#showrunning-configBuildingconfiguration...Currentconfiguration:!???nontpdisablentpupdate—calendarntpserverntpservershowlogging|includeNTP000019:Jan2910:57:52.633EST:%NTP-5-PEERSYNC:NTPsyncedtopeer000020:Jan2910:57:52.637EST:%NTP—6—PEERREACH:Peerisreachable現(xiàn)狀說明沒有啟動(dòng)NTP服務(wù)，使用默認(rèn)的時(shí)間，交換機(jī)沒有做時(shí)間設(shè)置，當(dāng)前時(shí)間是，有一些樓層交換機(jī)時(shí)間不對(duì)，1993年時(shí)間，部分設(shè)置了正確的時(shí)間，大部分都沒有設(shè)置IP協(xié)議安全要求2.3.1基本協(xié)議安全編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-8-可選要求內(nèi)容對(duì)于使用IP協(xié)議進(jìn)行遠(yuǎn)程維護(hù)的設(shè)備，設(shè)備應(yīng)配置使用SSH等加密協(xié)議。

操作指南參考配置操作配置僅允許ssh遠(yuǎn)稈登錄Switch(config)#linevty04Switch(config-line)#transportinputsshSwitch(config-line)#exitSwitch(config)#補(bǔ)充操作說明I.檢測(cè)方法1?判定條件I.遠(yuǎn)程登錄指定ssh協(xié)議2?檢測(cè)操作使用showrunning-config命令，如下例：Switch#showrunning-configBuildingconfiguration...Currentconfiguration:!linevty04transportinputssh現(xiàn)狀說明使用telnet編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-9-可選要求內(nèi)容啟用協(xié)議的認(rèn)證，加密功能設(shè)備與TACACS服務(wù)器、NTP服務(wù)器、SNMPV3主機(jī)等支持認(rèn)證加密功能的主機(jī)進(jìn)行通信時(shí)，盡可能啟用協(xié)議的認(rèn)證加密功能，保證通信安全。操作指南參考配置操作TACACS服務(wù)器：Switch#configureterminalEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#tacacs-serverhost8Switch(config)#tacacs-serverkeyIr3@1yh8n#w9@swDSwitch(config)#endSwitch#補(bǔ)充操作說明啟用TACACS服務(wù)器、RADIUS服務(wù)器認(rèn)證檢測(cè)方法1?判定條件I.指定了服務(wù)器

IL設(shè)定了認(rèn)證key2?檢測(cè)操作使用showrunning-config命令，如下例：Switch#showrunning-config???！TACACS服務(wù)器：tacacs-serverhost8acacs—serverkeyIr3@1yh8n#w9@swD???現(xiàn)狀說明未米取相關(guān)措施2.3.2SNMP協(xié)議安全編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-10-可選要求內(nèi)容交換機(jī)可以配置成SNMP客戶端接受SNMP服務(wù)器管理，該服務(wù)啟用，網(wǎng)絡(luò)管理工具可以通過獲得交換機(jī)配置信息，路由表，交換機(jī)流量負(fù)載等等信息，SNMP應(yīng)該只用在內(nèi)部接口，如果可能盡量使用SNMPV3以提供最高的安全性,建議禁止SNMP協(xié)議服務(wù)。啟用時(shí)必須刪除一些SNMP服務(wù)的默認(rèn)配置?；蛘咝枰L問列表來(lái)過濾。操作指南1.參考配置操作!禁用snmp服務(wù)nosnmp-servercommunitynosnmp-serverenabletrapsnosnmp-serversystem-shutdownnosnmp-server!啟用的配置SNMPV3首先定義用來(lái)管理的SNMP服務(wù)器訪問列表，然后定義一個(gè)組，對(duì)客戶機(jī)具有讀和寫的權(quán)利，然后添加用戶，用戶的密碼通過MD5加密，并且受訪問表12的限制。然后添加被管理組引用的VIEWnoaccess-list12access-list12permitaccess-list12permitsnmp-servergroupadminsv3authreadadminviewwriteadminviewsnmp-serveruserrootadminsv3authmd55ecret-5TR1Naccess12snmp-serverviewadminviewinternetincludedsnmp-serverviewadminviewipAddrEntryexcludedsnmp-serverviewadminviewipRouteEntryexcluded如果只支持SNMP

!eraseoldcommunitystringsnosnmp-servercommunitypublicROnosnmp-servercommunityprivateRW!useaccess-listaccess-list3permithostaccess-list3denyanylogsnmp-servercommunityMoreHardPublicRo3!disableSNMPtrapandsystem-shutdownfeaturesnosnmp-serverenabletrapsnosnmp-serversystem-shutdownnosnmp-servertrap-auth2.補(bǔ)充操作說明檢測(cè)方法1?判定條件無(wú)2?檢測(cè)操作無(wú)現(xiàn)狀說明啟用了，因?yàn)橐霰O(jiān)控，有一個(gè)簡(jiǎn)單監(jiān)控networkmonitor，另外有一個(gè)交換機(jī)通斷檢查工具訪問控制安全要求編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-11要求內(nèi)容關(guān)閉未使用的接口，如交換機(jī)的AUX口。操作指南參考配置操作關(guān)閉AUX命令如下：Switch#configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#lineaux0Switch(config-line)#transportinputnoneSwitch(config-line)#loginlocalSwitch(config-line)#exec-timeout01Switch(config-line)#noexecSwitch(config-line)#exit補(bǔ)充操作說明檢測(cè)方法1?判定條件Lineaux應(yīng)該設(shè)置為transportinputnone2?檢測(cè)操作

使用showrunning-config命令，如下例：Switch#showrunning-config現(xiàn)狀說明未米取相關(guān)措施編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-12-可選要求內(nèi)容要修改交換機(jī)缺省器缺省BANNER語(yǔ)，BANNER最好不要有系統(tǒng)平臺(tái)或地址等有礙安全的信息。操作指南1?參考配置操作修改banner命令如下：Switch#configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#bannermotdATLegalNotice:Accesstothisdeviceisrestricted.AT2.補(bǔ)充操作說明檢測(cè)方法1?判定條件歡迎界面、提示符等不包含敏感信息2?檢測(cè)操作通過vty,consol登錄到父換機(jī)現(xiàn)狀說明Ft-core-4506編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-13要求內(nèi)容配置定時(shí)賬戶自動(dòng)登出。如TELNET、SSH、HTTP等管理連接和CONSOLE口登錄連接等。操作指南1?參考配置操作Console登錄連接超時(shí)：Switch#configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#linecon0Switch(config-line)#exec-timeout50遠(yuǎn)稈登錄連接超時(shí)：Switch#configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#linevty04Switch(config-line)#exec-timeout502.補(bǔ)充操作說明本例配置連接超時(shí)時(shí)間為5分鐘檢測(cè)方法1?判定條件

每種登錄方式均設(shè)置了timeout值2?檢測(cè)操作使用showrunning-config命令，如下例：Switch#showrunning-config現(xiàn)狀說明已采取相關(guān)措施編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-14要求內(nèi)容配置consol口密碼保護(hù)功能，且口令應(yīng)符合一定長(zhǎng)度和復(fù)雜度要求，遵循口令規(guī)范。操作指南1?參考配置操作啟用密碼保護(hù)命令如下：Switch#configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.Switch(config)#usernamebrianprivilege1passwordg00d+pa55w0rdSwitch(config)#linecon0Switch(config-line)#loginlocalSwitch(config-line)#endSwitch#2.補(bǔ)充操作說明檢測(cè)方法1?判定條件通過consol登錄，需要密碼2?檢測(cè)操作使用showrunning-config命令，如下例：Switch#showrunning-config現(xiàn)狀說明插上console口，必須admin的密碼才能操作編號(hào)：安全要求-設(shè)備-思科交換機(jī)-配置-15-可選要求內(nèi)容接口安全配置，要求不能在SPAN（SPAN技術(shù)主要是用來(lái)監(jiān)控交換機(jī)上的數(shù)據(jù)流）目標(biāo)端口配置端口安全端，也不能將已經(jīng)配置端口安全的端口配置成SPAN目標(biāo)端口，不能在安全端口上配置任何動(dòng)態(tài)，靜態(tài)和永久的CAM條目操作指南1?參考配置操作PORTSECURITY手動(dòng)輸入MAC地址端口模式下switchportport-securityswitchportport-securityviolationshutdownswitchportport-securitymaxmium1switchportport-securitymac-address0000.0000.0900

switchportport-securityagingtime10switchportport-securityagingtypeinactivityPORTSECURITY動(dòng)態(tài)學(xué)習(xí)MAC地址端口模式下switchportport-securityswitchportport-securityviolationshutdownswitchportport-securitymaxmium1switchportport-securitymac-addressstricky2.補(bǔ)充操作說明檢測(cè)方法1?判定條件無(wú)2?檢測(cè)操作無(wú)現(xiàn)狀說明不適用安全要求-設(shè)備-思科交換機(jī)-配置-16-可選要求內(nèi)容開啟Cisco交換機(jī)IPSourceGuard功能，進(jìn)行IP源防護(hù)，防止局域網(wǎng)內(nèi)的IP地址欺騙攻擊.操作指南1?參考配置操作IPSourceGuard的配置(IPSG配置前必須先配置ipdhcpsnooping)Switch(config-if)#ipverifysourceSwitch(config-if)#ipverifysourcevlandhcp-snooping/接口級(jí)命令；在該接口下開啟IP源防護(hù)功能說明：I、 這兩條語(yǔ)句的作用是一樣的，不同的是：ipverifysource是35系列交換機(jī)的命令ipverifysourcevlandhcp-snooping是45/65系列交換機(jī)以及76系列路由器的命令I(lǐng)I、 這兩條命令后還有個(gè)參數(shù)port-security，即命令：Switch(config-if)#ipverifysourceport-securitySwitch(config-if)#ipverifysourcevlandhcp-snoopingport-security不加port-security參數(shù)，表示IP源防護(hù)功能只執(zhí)行源IP地址過濾”模式加上port-security參數(shù)以后，就表示IP源防護(hù)功能執(zhí)行源IP和源MAC地址過濾”模式另外，在執(zhí)行這兩條命令之前需要先執(zhí)行switchportport-security命令。III、 當(dāng)執(zhí)行“源IP和源MAC地址過濾”模式時(shí)，還可以通過以下命令限制非法MAC包的速度Switch(config-if)#switchportport-securitylimitrateinvalid-source-mac50〃接口級(jí)命令；限制非法二層報(bào)文的速度為每秒50個(gè)；可以用參數(shù)none

表示不限制〃只在“源IP和源MAC地址過濾”模式下有效，并且只有45系列及以上才支持該命令；IV、另外，在發(fā)生IP地址欺騙時(shí)，35/45系列交換機(jī)不會(huì)提供任何報(bào)錯(cuò)信息，只是丟棄數(shù)據(jù)報(bào)文；而65系列交換機(jī)會(huì)發(fā)出IP地址違背的報(bào)錯(cuò)信息。添加一條靜態(tài)IP源綁定條目：Switch(config)#ipsourcebinding000f.lfc5.1008vlan1031interfacefa0/2〃全局命令；對(duì)應(yīng)關(guān)系為：vlan10-000f.1f05.1008-31-fa0/22.補(bǔ)充操作說明檢測(cè)方法1?判定條件無(wú)2?檢測(cè)操作無(wú)現(xiàn)狀說明未米取相關(guān)措施Vlan安全要求安全要求-設(shè)備-思科交換機(jī)-配置-17-可選要求內(nèi)容禁止用默認(rèn)的VLAN1做帶內(nèi)管理VLAN,設(shè)置專門的VLAN做帶內(nèi)管理，不要將管理VLAN配置到中繼端口，同時(shí)不要在管理VLAN內(nèi)連接實(shí)際用戶；所有訪問端口，要禁用TRUNK配置。TRUNK端口，必須配置專用的NATIVE端口，要禁用不用的VLAN,同時(shí)對(duì)于不需要的VLAN要進(jìn)行修剪。操作指南1?參考配置操作interfaceVLAN1noipaddressshutdowninterfaceVLAN10ipaddress0noshutdownInterfaceFastEthernet0/2descriptionAccessPortswitchportmodeaccessswitchaccessvlan2noshutdown

InterfaceFastEthernetO/23descriptionTrunkPortnoipaddressnocdpenableswitchporttrunkencapsulationdotlqswitchportmodetrunkswitchporttrunknativevlan55switchporttrunkallowedvlanremove10switchporttrunkallowedvlan6,7,9,10switchporttrunknoneginoshutdowninterfaceFastEthernetO/5switchportmodeaccessswitchportaccessvlan999shutdown2.補(bǔ)充操作說明端口VLAN配置兩種形式，TRUNK模式和訪問模式，VLAN主要關(guān)注的有管理VLAN配置訪問VLAN配置VLANTRUNK端口配置檢測(cè)方法1?判定條件禁止用默認(rèn)的VLAN1做帶內(nèi)管理VLAN所有訪問端口，要禁用TRUNK配置2.檢測(cè)操作現(xiàn)狀說明