网络安全防护与攻击防范手册（执行版）.docxVIP

网络安全防护与攻击防范手册（执行版）

第1章网络架构安全与访问控制

1.1核心网络设备配置与加固

在核心交换机上启用基于IP地址的端口安全（PortSecurity）功能，并限制最大端口数（如5个）和MAC地址数量（如3个），同时设置防MAC地址欺骗（D）和防VLAN打标签（PVST）策略，确保只有预定义的合法设备接入。配置802.1X端口访问控制，将非授权终端连接到受控端口时，强制要求客户端通过RADIUS服务器进行身份认证，一旦认证失败，立即关闭该端口并阻断流量，防止未授权设备接入核心层。

对核心路由器进行IOS版本升级至已知安全补丁版本（如17.4.1或更高），关闭不必要的接口（如Vlan-interface0），并禁用SNMPv2和v3的Trap功能，仅保留v3并配置强密码以防范网络层探测攻击。在核心交换机上部署SNMPv3监控代理，设置认证密码和加密算法（SHA-256），配置仅允许特定子网（如/24）的SNMP请求，防止通过非法端口扫描获取设备敏感配置信息。开启IPS（入侵防御系统）在核心层进行深度包检测，配置针对已知恶意载荷的特征库（如SQL注入、RCE漏洞），并启用基于行为分析的实时告警机制，对异常流量（如大量DNS查询）进行阻断。

定期执行核心网络设备的安全基线