Cisco路由器加固方案1.0.docVIP

AIX安全加固手册 2011年6月29日操作系统加固方案 启动一致性 编号： Cisco-01004 名称： 启动一致性 系统默认状态： Cisco#show running-config Cisco#show startup-config 实施方案 Cisco#copy running-config startup-config 实施目的 可以确保系统重启后配置和现有配置相同 实施风险 如果在现有配置下网络运行正常，则无实施风险 设备信息 编号： Cisco-03001 名称： 去除设备关键信息 系统默认状态： Cisco#banner motd 实施方案 Cisco#banner motd delimiter message delimiter 实施目的 确保远程用户无法得到设备关键信息如设备名称 实施风险 如果在现有配置下网络运行正常，则无实施风险 aux配置加固 编号： Cisco-03003 名称： aux配置加固 系统默认状态： Cisco#show running-config | begin aux 实施方案 Cisco# config t Cisco(config)# line aux 0 Cisco(config-line)# transport input none Cisco(config-line)# login local Cisco(config-line)# exec-timeout 0 1 Cisco(config-line)# no exec Cisco(config-line)# end Cisco# 备注：如确有需要aux端口，请参照如下配置 Cisco# config t Cisco(config)# line aux 0 Cisco(config-line)# exec-timeout 5 0 Cisco(config-line)# login local Cisco(config-line)# transport input none Cisco(config-line)# exec Cisco(config-line)# end Cisco# 实施目的 确保非授权用户不能远程登陆aux口修改路由器信息 实施风险 用户将不能通过aux远程登陆进行控制 console配置加固 编号： Cisco-03004 名称： console配置加固 系统默认状态： Cisco#show running-config | begin line 实施方案 Cisco# config t Cisco (config)# line con 0 Cisco (config-line)# transport input none Cisco (config-line)# login local Cisco (config-line)# exec-timeout 5 0 Cisco (config-line)# end 实施目的 确保非授权用户不能远程登陆配置口修改路由器信息 实施风险 用户将不能远程登陆进行控制 vty线路配置加固 编号： Cisco-03005 名称： Vty线路配置加固 系统默认状态： Cisco#show line vty 0 935 实施方案 Cisco#config t Cisco(config)#no line vty 5 Cisco(config)#end Cisco# 实施目的 确保设备不存在过多虚拟终端线路 实施风险 用户可能不能多于5个用户同时操作设备 帐号、口令策略修改 编号： Cisco-03006，Cisco-03014 名称： 路由器帐户、口令策略修改 系统默认状态： Cisco#show running-config 实施方案 Cisco(config)#enable secret 3rRsd$y Cisco(config)#username liadmin password d$oyTld1 Cisco(config)#username wangadmin password hs0o3TaG Cisco(config)#username zhangadmin password an0!h3r( Cisco(config)#service password-encryption Cisco(config)#banner motd ^T . . ^T Cisco(config)#radius-server host 88 Cisco(config)#radius-server key i*Ma5in@u9p#s5wD Cisco(config)#aaa new-