cisco网络设备安全加固手册.docVIP

1.帐号权限加固 对网络设备的管理权限进行划分和限制，将登录口令密文保存在配置文件中，确保系统帐号口令长度和复杂度满足安全要求,避免使用弱口令 1、加强用户认证，对网络设备的管理权限进行划分和限制 2、修改帐号存在的弱口令（包括SNMP社区串），设置网络系统的口令长度8位3、禁用不需要的用户4、对口令进行加密存储 1、Central(config)# username brian privilege 5 password g00d+pa55w0rd Central(config)# line con 0 Central(config-line)# login local Central(config-line)# end enable secret level 5 privilege exec level 15 show logging 2、password passwd Enable sec passwd Snmp-server community passwd 3、no username 4. service password-encryption;例外：SNMP community strings、RADIUS keys、TACACS+ keys 2.网络服务加固 关闭网络设备中不安全的服务，确保网络设备只开启承载业务所必需的网络服务 禁用httpserver，或者对httpserver进行访问控制 关闭不必要的SNMP服务，若必须使用，应采用SNMPv3以上版本并启用身份验证、更改默认社区串 3、禁用与承载业务无关的服务（例如dhcp-relay、IGMP、CDPRUN、bootp服务等） Central(config)# no ip http server Set up usernames and passwords Create and apply an IP access list to limit access to the web server. Configure and enable syslog logging Sample: Central(config)# ! Add web admin users, then turn on http auth Central(config)# username nzWeb priv 15 password 0 C5-A1rCarg0 Central(config)# ip http auth local Central(config)# ! Create an IP access list for web access Central(config)# no access-list 29 Central(config)# access-list 29 permit host 8 log Central(config)# access-list 29 permit 55 log Central(config)# access-list 29 deny any log Central(config)# ! Apply the access list then start the server Central(config)# ip http access-class 29 Central(config)# ip http server Central(config)# exit ? Explicitly unset (erase) all existing community strings. ? Disable SNMP system shutdown and trap features. ? Disable SNMP system processing. Central(config)# ! erase old community strings Central(config)# no snmp-server community public RO Central(config)# no snmp-server community admin RW Central(config)# Central(config)# ! disable SNMP trap and system-shutdown features Central(config)# no snmp-server enable traps Central(config)# no snmp-server system-shutdown Central(config)# no snmp-server trap-auth Central(config)# Central(c