Введение 1.2 Рекомендации по обеспечению безопасности подсети, и путем последовательного перехвата трафика. Необходимо предусмотреть подходящие средства защиты от небезопасных протоколов 2-го уровня, такие как защита физического доступа к локальной сети и использование защищенных протоколов более высокого уровня, чтобы предотвратить неавторизованный доступ к сети. Физический/удаленный доступ • Не подключайте устройство к сети Интернет. Развертывание устройства должно осуществляться только в пределах защищенного сетевого периметра. • Физический доступ к устройству должен иметь только авторизованный персонал.
Злоумышленники могут извлечь критически важную информацию, такую как сертификаты, ключи и т. д. (пароли пользователей защищены хэш-кодами) или перепрограммировать устройство. • Ограничьте доступ к последовательной консоли также как и любой физический доступ к устройству. Доступ к последовательной консоли потенциально позволяет получить неавторизованный доступ к загрузчику операционной системы RUGGEDCOM ROS, включающему в себя инструментальные средства, которые могут быть использованы для получения полного доступа к устройству. Для получения дополнительной информации об ограничении доступа к интерфейсу загрузчика операционной системы см.
"Управление доступом к интерфейсу загрузчика операционной системы (Страница 42)" . • Включайте только службы, которые будут использоваться на устройстве, включая физические порты. Неиспользуемые физические порты потенциально могут служить для получения доступа к сети за устройством. • Зеркальные порты допускают двунаправленный трафик (т. е. устройство не будет блокировать трафик, входящий через зеркальные порты). Для повышения безопасности сконфигурируйте входную фильтрацию для управления потоком трафика, когда зеркалирование портов включено. Для получения дополнительной информации о включении зеркалирования портов см. "Конфигурирование зеркалирования портов (Страница 77)" .
Для получения дополнительной информации о включении входной фильтрации см. "Глобальное конфигурирование сетей VLAN (Страница 170)" . • Для повышенной безопасности включите входную фильтрацию на всех портах по умолчанию. Для получения дополнительной информации о включении входной фильтрации см. "Глобальное конфигурирование сетей VLAN (Страница 170)" . • Если разрешен протокол SNMP, то ограничьте число IP-адресов, которые могут подключаться к устройству, а также измените имена строк-ключей. Кроме того, сконфигурируйте SNMP для выдачи trap-уведомления при ошибках аутентификации. Для получения дополнительной информации см. "Управление SNMP (Страница 307)" .
6 RUGGEDCOM ROS версия5.5 Руководство по настройке, 01/2021, C79000-G8956-1466-02