互联网行业安全部安全专员网络安全加固手册（执行版）.docxVIP

互联网行业安全部安全专员网络安全加固手册（执行版）

第1章网络设备加固

网络设备是互联网业务运行的基石，其安全状态直接决定整体防护能力。加固工作必须系统化、精细化，避免头痛医头脚痛医脚。本章将从路由器到服务器，分层次展开加固策略，结合行业常见风险与最佳实践，为安全防护打下坚实基础。

1.1路由器安全加固

路由器作为网络骨干节点，一旦存在漏洞可能造成路由信息泄露、拒绝服务攻击甚至横向移动。加固应从基础配置到高级功能全面覆盖。管理访问控制必须严格，默认口令替换是基础，但更需配置多因素认证（MFA）与堡垒机跳板。根据安全域划分管理IP段，禁止使用/0默认网段。SSH/Telnet必须强制使用加密协议，建议配置密钥认证而非密码认证，密钥长度至少2048位。

路由协议配置存在天然脆弱性。OSPF、BGP等协议的明文传输特性使其成为攻击重点。通过启用MD5或SHA-256加密，可基本杜绝中间人攻击。路由更新需要严格源验证，避免伪造路由。对于ISP连接，建议采用BGP的AS_PATHprepend技术增强路径可信度。静态路由应精简配置，避免形成攻击者的跳板路径。

访问控制列表（ACL）是路由器的最后一道防线。最佳实践是采用小而精原则，避免单一长ACL处理多项策略。状态检测功能必须开启，并配置合理的会话超时参数。针对异常流量，可结合NetFlow/sFlow进行监控并联动ACL阻断。经验