服務器安全方案-wenkub.com

　 　

【正文】 否 設置用戶權限分離（管理帳號和查看帳號分離）（可以實施，建議不要實施，因為我們限制了特定 IP 登錄，不再需要分權限了） 24 動態路由協議是否啟用認證功能 否 啟用認證功能（可以實施，可以啟用鏈路上 OSPF 的明文或密文驗證，有效的控制3 層設備的接入，但實施時要所有網絡設備同時一起啟用認證） 25 使用 SSH 代替TELNET 否 使用 SSH 代替TELNET （不支持SSH 登錄） 26 是否設置 Syslog 日志 否 接收 SYSLOG 日志（網管平臺實施后，可以收集日志） 27 VLAN 設置是否合理 否 按部門劃分 VLAN， 按 訪 問 需 求 設 置VLAN 訪問權限（可以實施，重新劃分VLAN，通過 ACL 控制 VLAN 之間的訪問，但工作量較大，需商量） 28 ACL 設置是否合理 否 控制 VLAN 訪問 /可以使用防火墻代理部分 ACL 功能（通過 ACL 控制 VLAN之間的訪問） 圖表 43 交換機加固建議 編號 生產廠商 /型號 CISCO 7606 物理位置 人行上海中心機房 內部 IP 地址 操作系統 CISCO IOS 版本號 2XJ 檢查細目 編號 檢查項目 檢查內容 結果 檢查記錄 1 系統安全 是否定期更新操作系統的版本 否 定義升級操作系統版本（沒必要定期升級，升級后的版本可能不穩定） 2 口令管理 是否修改網絡設備的默認口令 否 修改默認密碼（可以實施，如修改SNMP 的默認密碼） 3 是否設置口令強度和有效期 否 設置口令強度和有效期（可以定期修改口令） 4 是否使用 enable secret 是 無 5 是 否 使 用 service passwordencryption 是 無 6 服務安全 是否關閉 IP 直接廣播 是 無 7 是否關閉 HTTP 設置 是 無 8 是否封鎖 ICMP PING請求 否 無（可以實施，通過ACL 禁止 PING，建議不這樣做，經常要用PING 檢查網絡） 9 是否控制 Tel 訪問 否 控制 TELNET 訪問（限制訪問 IP）（可以通過 ACL限制訪問 IP） 10 是否禁止 CDP 否 無（可以禁止 CDP 協議，但不建議這樣做，檢查網絡時經常 CDP協議找到鄰居端口） 11 是否關閉 IP 源路由 否 無 （不清 楚關閉源路由會不會影響其他服務） 12 是否禁用了不必要的服務 否 禁用不必要服務（可以禁用HTTP,IP 直接廣播，其它的服務要視情況而定） 13 是否限制遠程終端會話 否 限制遠程終端會話（可以通過 ACL實施了特定 IP 登陸） 14 策略安全 是否建立準入、準出地址過濾策略 否 設置 ACL 或在防火墻上實現該功能（實施了 ACL限制遠程登陸） 15 是否制定數據包過濾策略 否 可以在防火墻上實現該功能（可以在天融信防火墻上實施） 16 是否配置了強加密和密碼加密 是 設置強加密和密碼加密（可以enable secret 實施密碼加密） 17 是否應用 Controlplane police 預防 DDOS 攻擊 否 可以在防火墻上實現該功能（可以在天融信防火墻上實施） 18 是否有完整的系統日志記錄功能，包括 AAA、SNMP Trap Syslog、本地日志緩存 否 使用部分日志功能（接受 SYSLOG日志）（實施網管平臺后可以將網絡設備的日志轉移到網管服務器上） 19 是否實施了配置管理，必要時可將路由配置恢復到原先狀態 是 無 20 OSPF 協議使用LOOPBACK 是 否 做ROUTEID 的標識 否 無（接入層交換機為 2層， OSPF 為 3 層路由協議） 21 接入層和匯聚層之間是否采用靜態路由 是 無 22 是否存在黑洞路由即孤立的路由 否 無 23 其它 設備特權用戶的權限分離，例如將管理與審計的權限分配給不同的網絡設備用戶。 在 console口通過靜態口令和密碼來進行登錄，如果無法使用 ACS方式登錄到網絡設備， 則在緊急情況下，可以通過進入機房，登錄 Console 口，使用靜態口令和密碼進行配置 ,在路由器界面下需要做額外的配置。該權限分配的設想是在 level15 的用戶權限中，除去以下 的配置模式權限： aaa Authentication, Authorization and Accounting enable Modify enable password parameters line Configure a terminal line radiusserver Modify RADIUS query parameters router Enable a routing process tacacsserver Modify TACACS query parameters ? 在網絡核心設備組上，另外設置 level5 的用戶，其管理權限的分配是在level1 用戶權限的基礎上，增加進行日常網絡運行維護所需要的基本權限： configure terminal 進入全局配置模式，才能進入需要的子配置模式；需要在全局配置模式下的一些常用配置命令，如“ ip route”等 controller Controller configuration mode exec Exec mode(能查看系統配置參數、 進行網絡故障診斷等，對應于level15 的 exec 命令集，但除去所有的 debug 命令 ) interface Interface configuration mode interfacedlci Frame Relay dlci configuration mode 相關的網管用戶，命令級別和設備組的排列見下表： 用戶類型 關鍵設備組一 關鍵設備組二 超級用戶 Level 15 Level 15 用戶組 1 Level 5 Level 10 用戶組 2 deny Level 5 圖表 41 ACS 用戶等級分配表 應急步驟 在 console口通過靜態口令和密碼來進行登錄，如果無法使用 ACS方式登錄到網絡設備，則在緊急情況下，可以通過進入機房，登錄 Console 口，使用靜態口令和密碼進行配置 ,在路由器界面下需要做額外的配置。 Acs 將進行用戶等級分類、設備等級分類、權限分配等設置，構建一個十分嚴格、安全的訪問體系。 AAA 服務器在通過用戶的認證請求后，按照該用戶的權限來決定用戶是否可以享受申請的服務內容 ，并對其行為進行審計。 中國人行銀行清算上海備份中心針對網絡設備，網絡安全設備和遠程接入服務器設備的 AAA 建設思路是： ? 所有的設備的正常登錄都需要通過 ACS 進行； ? 從安全性及可擴展性來考慮，本次建設采用 tacacs+/hwtacas 協議，實現于 ACS 平臺，充分保障各個節點設備的用戶訪問合法性。 聯 接入 區 安全策略在防火墻上實現 內聯接入區 安全策略 在 互聯 路由器上實現 。 在 生產 區的出口交換機（匯聚交換機）連接核心區核心交換機端口上，部署防惡意代碼 ACL，方向為 out，單向部署。 預防惡意代碼 服務器區不做惡意代碼防范，防惡意代碼工作實施在其他邊緣區域，保證惡意代碼不會侵犯到服務器區。 ? 業務 管理類和基礎設施能相互訪問。 ? 管理類客戶端能訪問 Inter。 ? 業務 1 類客戶端能訪問網管安管類服務器。 分區安全策略的部署