Введение 1.2 Рекомендации по обеспечению безопасности • Обратите внимание на любые протоколы канального уровня, которые не обеспечивают внутреннюю аутентификацию между конечными точками, такими как ARP в IPv4, обнаружение соседних устройств/DAD в IPv6 и Wi-Fi в беспроводных сетях. Злоумышленники могут использовать слабые места в этих протоколах для атаки на хосты, коммутаторы и маршрутизаторы, подключенные к сети 2-го уровня, путем порчи ARP-кэша систем в подсети, и путем последовательного перехвата трафика.
Необходимо предусмотреть подходящие средства защиты от небезопасных протоколов 2-го уровня, такие как защита физического доступа к локальной сети и использование защищенных протоколов более высокого уровня, чтобы предотвратить неавторизованный доступ к сети. Физический/удаленный доступ • Не подключайте устройство к сети Интернет. Развертывание устройства должно осуществляться только в пределах защищенного сетевого периметра. • Физический доступ к устройству должен иметь только авторизованный персонал. Злоумышленники могут извлечь критически важную информацию, такую как сертификаты, ключи и т. д. (пароли пользователей защищены хэш-кодами) или перепрограммировать устройство.
• Если он не требуется, автоматический доступ к съемным запоминающим устройствам должен быть отключен, чтобы предотвратить неавторизованный доступ. Для получения дополнительной информации об отключении доступа к съемному запоминающему устройству см. "Включение/отключение автоматического доступа к съемному запоминающему устройству (Страница 48)" . • Ограничьте доступ к последовательной консоли также как и любой физический доступ к устройству.
Доступ к последовательной консоли потенциально позволяет получить неавторизованный доступ к загрузчику операционной системы RUGGEDCOM ROS, включающему в себя инструментальные средства, которые могут быть использованы для получения полного доступа к устройству. Для получения дополнительной информации об ограничении доступа к интерфейсу загрузчика операционной системы см. "Управление доступом к интерфейсу загрузчика операционной системы (Страница 45)" . • Включайте только службы, которые будут использоваться на устройстве, включая физические порты. Неиспользуемые физические порты потенциально могут служить для получения доступа к сети за устройством.
• Зеркальные порты допускают двунаправленный трафик (т. е. устройство не будет блокировать трафик, входящий через зеркальные порты). Для повышения безопасности сконфигурируйте входную фильтрацию для управления потоком трафика, когда зеркалирование портов включено. Для получения дополнительной информации о включении зеркалирования портов см. "Конфигурирование зеркалирования портов (Страница 80)" . Для получения дополнительной информации о включении входной 6 RUGGEDCOM ROS версия5.5 Руководство по настройке, 01/2021, C79000-G8956-1486-02