Hướng dẫn bảo mật Router Cisco bằng tính năng Cisco AutoSecure

Hướng dẫn bảo mật Router Cisco bằng tính năng Cisco AutoSecure

Để tối đa hóa tính linh hoạt, lệnh Cisco AutoSecure hỗ trợ hai chế độ khác nhau tùy thuộc vào nhu cầu và tính linh hoạt cần thiết của bạn:

AutoSecure Interactive Mode : Chế độ này nhắc người dùng các tùy chọn bật/tắt dịch vụ và các tính năng bảo mật khác được hỗ trợ bởi phiên bản iOS mà bộ định tuyến đang chạy.

AutoSecure Non-Interactive Mode : Tự động thực thi lệnh Cisco AutoSecure bằng cách sử dụng cài đặt mặc định của Cisco được đề xuất (các phương pháp bảo mật tốt nhất của Cisco).

Chế độ AutoSecure Interactive của Cisco cung cấp khả năng kiểm soát tốt hơn đối với các tính năng liên quan đến bảo mật so với non-interactive mode . Tuy nhiên, khi quản trị viên cần nhanh chóng bảo mật bộ định tuyến mà không cần nhiều sự can thiệp của con người, chế độ không tương tác sẽ phù hợp.

Chúng ta sẽ sớm kiểm tra sự khác biệt thực tế giữa hai lệnh. Hiện tại, chúng ta hãy xem các chức năng mà Cisco AutoSecure thực hiện:

Disables các dịch vụ Global sau

• Finger
• PAD
• Small Servers
• Bootp
• HTTP service
• Identification Service
• CDP
• NTP
• Source Routing

Enables các dịch vụ Global sau

• Password-encryption service
• Tuning of scheduler interval/allocation
• TCP synwait-time
• TCP-keepalives-in and tcp-kepalives-out
• SPD configuration
• No ip unreachables for null 0

Disables các dịch vụ sau trên mỗi giao diện

• ICMP
• Proxy-Arp
• Directed Broadcast
• Disables MOP service
• Disables icmp unreachables
• Disables icmp mask reply messages.

Cung cấp ghi nhật ký để bảo mật

• Enables sequence numbers & timestamp
• Provides a console log
• Sets log buffered size
• Provides an interactive dialogue to configure the logging server ip address.

Bảo vệ quyền truy cập vào Router

• Checks for a banner and provides facility to add text to automatically configure:
• Login and password
• Transport input & output
• Exec-timeout
• Local AAA
• SSH timeout and ssh authentication-retries to minimum number
• Enable only SSH and SCP for access and file transfer to/from the router
• Disables SNMP If not being used

Bảo vệ Forwarding Plane

• Enables Cisco Express Forwarding (CEF) or distributed CEF on the router, when available
• Anti-spoofing
• Blocks all IANA reserved IP address blocks
• Blocks private address blocks if customer desires
• Installs a default route to NULL 0, if a default route is not being used
• Configures TCP intercept for connection-timeout, if TCP intercept feature is available and the user is interested
• Starts interactive configuration for CBAC on interfaces facing the Internet, when using a Cisco IOS Firewall image
• Enables NetFlow on software forwarding platforms

Rõ ràng là Cisco AutoSecure làm được nhiều hơn là thực thi một vài lệnh.

Cấu Hình Chế Độ AutoSecure Interactive Của Cisco

Đây là chế độ được khuyến nghị để bảo mật Router Cisco của bạn. Khi sử dụng AutoSecure Interactive của Cisco, Router sẽ nhắc một số câu hỏi liên quan đến cấu trúc liên kết hiện tại, cách nó được liên kết với Internet, giao diện nào kết nối với Internet, v.v. Việc cung cấp thông tin này là cần thiết vì AutoSecure sẽ sử dụng thông tin này để khóa bộ định tuyến và vô hiệu hóa các dịch vụ theo yêu cầu của các phương pháp bảo mật tốt nhất của Cisco.

Dưới đây là lệnh cần thiết để bắt đầu tính năng AutoSecure Interactive. Bạn có thể hủy phiên bất kỳ lúc nào bằng cách nhấn Ctrl-C hoặc nhấn ? để được giúp đỡ

R1# auto secure            

                --- AutoSecure Configuration ---

*** AutoSecure configuration enhances the security of
the router, but it will not make it absolutely resistant
to all security attacks ***

AutoSecure will modify the configuration of your device.
All configuration changes will be shown. For a detailed
explanation of how the configuration changes enhance security
and any possible side effects, please refer to Cisco.com for
Autosecure documentation.

At any prompt you may enter '?' for help.
Use ctrl-c to abort this session at any prompt.
Gathering information about the router for AutoSecure

Is this router connected to internet? [no]: yes

Enter the number of interfaces facing the internet [1]: 1

Interface            IP-Address      OK?     Method    Status    Protocol

FastEthernet0/0      10.0.0.100      YES     NVRAM       up          up     

FastEthernet0/1      192.168.151.10  YES     NVRAM       up          up      

  NVI0               10.0.0.100      YES      unset        up          up   

Enter the interface name that is facing the internet: FastEthernet0/1

Securing Management plane services...

Disabling service finger
Disabling service pad
Disabling udp & tcp small servers
Enabling service password encryption
Enabling service tcp-keepalives-in
Enabling service tcp-keepalives-out
Disabling the cdp protocol
Disabling the bootp server
Disabling the http server
Disabling the finger service
Disabling source routing
Disabling gratuitous arp
Configure NTP Authentication? [yes]: no

Enter the new enable password: *****
% Invalid Password length - must contain 6 to 25 characters. Password configuration failed
Enter the new enable password: **********
Confirm the enable password:    **********

Configuring AAA local authentication
Configuring Console, Aux and VTY lines for
local authentication, exec-timeout, and transport
Securing device against Login Attacks
Configure the following parameters
Blocking Period when Login Attack detected: 15
Maximum Login failures with the device: 3
Maximum time period for crossing the failed login attempts: 20
Configure SSH server? [yes]: no

Configuring interface specific AutoSecure services

Disabling the following ip services on all interfaces:
 no ip redirects
 no ip proxy-arp
 no ip unreachables
 no ip directed-broadcast
 no ip mask-reply

Disabling mop on Ethernet interfaces
Securing Forwarding plane services...
Enabling unicast rpf on all interfaces connected to internet

Configure CBAC Firewall feature? [yes/no]: yes

This is the configuration generated:

no service finger
no service pad
no service udp-small-servers
no service tcp-small-servers
service password-encryption
service tcp-keepalives-in
service tcp-keepalives-out
no cdp run
no ip bootp server
no ip http server
no ip finger
no ip source-route
no ip gratuitous-arps
no ip identd
security passwords min-length 6
security authentication failure rate 10 log
enable password 7 11584B5643475D
aaa new-model
aaa authentication login local_auth local

line con 0
 login authentication local_auth
 exec-timeout 5 0
 transport output telnet

line aux 0
 login authentication local_auth
 exec-timeout 10 0
 transport output telnet

line vty 0 15
 login authentication local_auth
 transport input telnet

line tty 1
 login authentication local_auth
 exec-timeout 15 0

login block-for 15 attempts 3 within 20
service timestamps debug datetime msec localtime show-timezone
service timestamps log datetime msec localtime show-timezone
logging facility local2
logging trap debugging
service sequence-numbers
logging console critical
logging buffered

interface FastEthernet0/0
 no ip redirects
 no ip proxy-arp
 no ip unreachables
 no ip directed-broadcast
 no ip mask-reply
 no mop enabled

interface FastEthernet0/1
 no ip redirects
 no ip proxy-arp
 no ip unreachables
 no ip directed-broadcast
 no ip mask-reply
 no mop enabled
access-list 101 permit udp any any eq bootpc

interface FastEthernet0/1
ip verify unicast source reachable-via rx allow-default 101
ip inspect audit-trail
ip inspect dns-timeout 7
ip inspect tcp idle-time 14400
ip inspect udp idle-time 1800
ip inspect name autosec_inspect cuseeme timeout 3600
ip inspect name autosec_inspect ftp timeout 3600
ip inspect name autosec_inspect http timeout 3600
ip inspect name autosec_inspect rcmd timeout 3600
ip inspect name autosec_inspect realaudio timeout 3600
ip inspect name autosec_inspect smtp timeout 3600
ip inspect name autosec_inspect tftp timeout 30
ip inspect name autosec_inspect udp timeout 15
ip inspect name autosec_inspect tcp timeout 3600

ip access-list extended autosec_firewall_acl
 permit udp any any eq bootpc
 deny ip any any

interface FastEthernet0/1
 ip inspect autosec_inspect out
 ip access-group autosec_firewall_acl in
!
end

Apply this configuration to running-config? [yes]: yes

Applying the config generated to running-config

Lưu ý rằng bộ định tuyến đã từ chối mật khẩu enable, ban đầu vì nó không tuân thủ các yêu cầu bảo mật mật khẩu.

Nếu tại bất kỳ thời điểm nào bạn muốn kiểm tra các thay đổi cấu hình do tính năng Cisco AutoSecure thực hiện trước khi lưu chúng, bạn có thể sử dụng lệnh show auto secure config

R1# show auto secure config