Безопасность маршрутизаторов Cisco - руководство по настройке

Улучшение безопасности на маршрутизаторах Cisco Интерактивный документ. В данном документе содержится анализ конкретного устройства Cisco.

Содержание Введение Предварительные условия Требования Используемые компоненты Условные обозначения Общие сведения Управление паролями enable secret Команда service password-encryption и ее ограничения Управление интерактивным доступом Порты консоли Общий интерактивный доступ Предупреждающие сообщения Стандартно настраиваемые службы управления SNMP HTTP Управление и интерактивный доступ через Интернет (и другие ненадежные сети) Анализаторы пакетов Другие риски, связанные с доступом через Интернет Регистрация в системе Сохранение сведений, содержащихся в журнале Регистрация нарушений списка доступа Настройка безопасной IP-маршрутизации Борьба со спуфингом Осуществление контроля за прямыми широковещательными рассылками Целостность пути Управление лавинной маршрутизацией Транзитная лавинная пересылка Самозащита маршрутизатора Возможно, излишние службы Малые службы TCP и UDP Служба "Finger" Протокол NTP Протокол CDP Установка обновлений Список команд Смежные темы Введение Этот документ представляет собой неформальное обсуждение некоторых настроек Cisco, изменение которых сетевые администраторы должны рассмотреть на своих маршрутизаторах, особенно на граничных маршрутизаторах, чтобы повысить безопасность.

Данный документ содержит сведения о базовых, "шаблонных" элементах конфигурации, которые довольно широко используются в IP-сетях, а также о некоторых непредвиденных ситуациях, о которых также следует помнить. Если выходные данные команды show running-configuration получены с устройства Cisco, то в этом случае для интерпретации результатов можно воспользоваться программой , которая помогает обнаружить потенциальные проблемы и найти способы их решения. Этой программой могут пользоваться только зарегистрированные пользователи, которые должны находиться в системе и у

Стр. 1

которых должен быть включен JavaScript . Служебная программа Output Interpreter отображает потенциальные проблемы, а также предлагает способы их решения. Данная программа доступна только для зарегистрированных пользователей, которые должны находиться в системе и у которых должен быть включен JavaScript. Предварительные условия Требования Настоящий документ не содержит каких-либо специфических требований. Используемые компоненты Область применения настоящего документа не ограничивается какими-либо конкретными версиями аппаратного и программного обеспечения. Условные обозначения Дополнительные сведения об условных обозначениях см. в разделе Технические советы Cisco. Условные обозначения.

Общие сведения Настоящий документ не предоставляет исчерпывающей информации. Кроме того, ознакомление с данным документом не отменяет необходимости разбираться в вопросах сетевой безопасности. Настоящий документ служит своего рода памяткой по вопросам, которые иногда могут остаться незамеченными. В нем рассматриваются команды, которые являются важными для IP-сетей. Большая часть функций, включенных на маршрутизаторах Cisco, требуют тщательного подхода к настройке безопасности. В данном документе рассматриваются функции, включенные по умолчанию, а также функции, которые обычно включаются пользователями, и функции, которые может понадобиться отключить или повторно настроить.

Эти действия имеют особую важность, поскольку некоторые из стандартных настроек, используемых в программном обеспечении Cisco IOS®, являются результатом требований, оставшихся в прошлом. Выбор этих настроек был обоснован требованиями прошлого. Однако может потребоваться, чтобы стандартные настройки сообразовывались с требованиями сегодняшнего дня. Другие настройки по умолчанию остаются справедливыми для большинства систем, хотя при этом, если они применены для устройств, которые являются частью защиты по периметру сети, они могут создать угрозу безопасности. Некоторые настройки могут быть необходимы в силу требований, предъявляемых различными стандартами.

Однако использование таких настроек не всегда желательно с точки зрения безопасности. Программное обеспечение Cisco IOS предлагает множество специальных функций по обеспечению безопасности (например списки доступа фильтрации пакетов, набор функций брандмауэра Cisco IOS, TCP Intercept, AAA, шифрование). Другие функции, такие как учет пакетов и качество обслуживания (QoS), могут использоваться для усиления безопасности на случай различных сетевых атак. Однако в данном документе эти функции не рассматриваются подробно. Здесь также не обсуждается настройка брандмауэра.

В целом этот документ посвящен обеспечению безопасности самого маршрутизатора и не затрагивает проблемы (не менее важные), которые связаны с защитой других устройств. Управление паролями Пароли и аналогичные средства обеспечения безопасности (например строка сообществ протокола SNMP) являются основными средствами защиты от неавторизованного доступа к вашему маршрутизатору). Лучший способ управления паролями — хранить их в TACACS+ или на сервере аутентификации RADIUS. Однако практически у каждого маршрутизатора по-прежнему останется локально настроенный пароль для привилегированного доступа, а также другие данные о пароле, хранящиеся в файле конфигурации. enable secret

Стр. 2

Команда enable secret используется для установки пароля, предоставляющего привилегированный административный доступ к системе IOS. Для команды enable secret всегда должен устанавливаться пароль. Используйте команду enable secret (но не старую команду enable password ). Команда enable password использует слабый алгоритм шифрования. Более подробно см. раздел "Команда service password-encryption" данного документа. Если задан параметр no enable secret и настроен пароль для консольной линии TTY, консольный пароль может использоваться для получения привилегированного доступа, даже с удаленного сеанса VTY.

Можно почти с полной уверенностью сказать, что это не то, что требуется, и это будет еще один довод в пользу того, чтобы настроить функцию enable secret. Команда service password-encryption и ее ограничения Команда service password-encryption дает программному обеспечению IOS указание зашифровать пароли, секреты CHAP и другие, аналогичные данные, которые хранятся в файле конфигурации. Также необходимо следить за тем, чтобы рядом с системным администратором не находились посторонние лица, которые могут увидеть пароль, заглянув через плечо администратора. При этом команда service password-encryption использует для шифрования алгоритм Виженера (Vigenere cipher).

Любой опытный криптограф-любитель может с легкостью выполнить обратное преобразование, потратив несколько часов. Алгоритм не был предназначен для защиты файлов конфигурации от серьезного анализа даже более-менее опытными взломщиками, поэтому его не следует использовать для этих целей. К любому файлу конфигурации Cisco, содержащему зашифрованные пароли, следует относиться с такой же степенью осторожности, как и к незашифрованному списку этих паролей. Предупреждение о слабости шифровального алгоритма не относится к паролям, установленным с помощью команды enable secret , но при этом оно остается справедливым для паролей, установленных с помощью команды enable password .

Для хэширования пароля команда enable secret использует алгоритм MD5. Алгоритм получил высокую общественную оценку и, по сведениям Cisco, для него невозможно выполнить обратное преобразование. Однако он может быть уязвим для "словарных" атак. Словарная атака – это процесс автоматической подстановки слов из словаря или списка возможных паролей. В связи с этим представляется целесообразным хранение файла конфигурации в надежном месте, особенно если надежность выбранных паролей вызывает сомнения. Управление интерактивным доступом Каждый, кто может зарегистрироваться на маршрутизаторе Cisco, может получить информацию, доступ к которой должен быть ограничен.

Пользователь, который может подключиться к маршрутизатору, может использовать его в качестве промежуточного звена для организации дальнейших сетевых атак. Любой, кто может получить привилегированный доступ к маршрутизатору, может перенастроить его. Чтобы предотвратить несанкционированный доступ, интерактивные подключения к маршрутизатору должны находиться под контролем. Хотя в большинстве случаев интерактивный доступ отключен по умолчанию, некоторые возможности все-таки сохраняются.

Наиболее очевидное исключение представляют собой интерактивные сеансы, которые осуществляются с подключенных напрямую асинхронных терминалов (например, консольный терминал), а также подключения по линиям встроенных модемов. Порты консоли Важно помнить, что порт консоли устройства IOS имеет особые привилегии. Так, например, если сигнал BREAK посылается порту консоли в течение нескольких первых секунд после перезагрузки, то для перехвата управления системой можно легко использовать процедуру восстановления пароля.

Это означает, что злоумышленники, которые могут вызвать сбой в электросети или аварийный отказ системы и которые имеют доступ к порту консоли через аппаратный терминал, модем, сервер терминала или другое сетевое устройство, могут получить контроль над системой, даже в том случае, если они не имеют физического доступа к ней или возможности обычного входа. Следовательно, любой модем или сетевое устройство, обеспечивающее доступ к консольному порту, должно быть надежно защищено по стандарту, сравнимому с требованиями к безопасности привилегированного доступа к маршрутизатору.

В случае подключения по телефонной линии любой консольный модем, как минимум, должен запрашивать у подключающегося пользователя пароль для доступа (при этом модемные пароли должны находиться под строгим контролем). Общий интерактивный доступ

Стр. 3

Существует огромное количество способов подключиться к маршрутизатору, о которых пользователи могут не подозревать. Программное обеспечение Cisco IOS может поддерживать следующие способы подключения (зависит от настройки и версии ПО): посредством Telnet rlogin SSH сетевые протоколы, не использующие IP (LAT, MOP, X.29, V.120 и др.) некоторые другие протоколы посредством местных асинхронных подключений и модемного доступа по телефонной линии Продолжают появляться все новые и новые протоколы интерактивного доступа. Интерактивный доступ посредством Telnet возможен не только для стандартного порта TCP Telnet (порт 23), но также и для ряда других портов с номерами выше 23.

Все механизмы интерактивного доступа используют абстракцию IOS TTY. Другими словами, они используют сеансы связи посредством линий того или иного вида. Локальные асинхронные терминалы и коммутируемые модемы используют стандартные линии, известные как TTY. Для удаленных сетевых соединений (независимо от вида протокола) используются виртуальные терминалы – VTY. Самый лучший способ защиты системы – принять все необходимые меры по контролю в отношении всех линий, в том числе и в отношении линий VTY и TTY.

Поскольку никогда нельзя быть полностью уверенным в том, что все способы доступа были заблокированы, администраторам следует использовать тот или иной механизм аутентификации для того, чтобы обеспечить контроль за подключениями по всем линиям, даже на компьютерах, которые считаются недоступными со стороны ненадежных сетей. Это особенно важно как в случае линий VTY, так и в случае линий, подключенных к модемам или другим устройствам удаленного доступа. Для того чтобы полностью блокировать интерактивные подключения, можно воспользоваться командами login и no password . Такой способ задан по умолчанию для терминалов VTY, но не для TTY.

В случае линий TTY и VTY существует много способов настройки паролей и других видов аутентификации пользователя. Дополнительные сведения можно найти в документации, прилагающейся к программному обеспечению Cisco IOS. Контроль за линиями TTY Сегодня локальные асинхронные терминалы используются значительно реже, чем раньше. Однако они все еще имеются в некоторых устройствах. Если терминалы не защищены физически (и даже в случаях, когда такая защита есть), то маршрутизатор следует настраивать таким образом, чтобы для входя в систему пользователи локальных асинхронных терминалов должны были вводить имя и пароль.

Большая часть портов TTY, имеющихся в современных маршрутизаторах, либо подключены к внешним модемам, либо реализуются посредством встроенных модемов. Очевидно, что обеспечение безопасности для таких портов значительно важнее, чем обеспечение безопасности для портов локальных терминалов. По умолчанию удаленный пользователь может установить соединение с линией TTY через сеть. Это называется "обратным соединением Telnet" (reverse Telnet). Таким образом подключившийся пользователь может взаимодействовать с терминалом или модемом, которые подключены к линии TTY. Такие соединения можно защищать паролем.

Зачастую бывает необходимо сделать так, чтобы пользователи, которым требуется совершить исходящий вызов, могли подключаться к модемным линиям. Однако при таком способе удаленный пользователь может подключиться к порту локального асинхронного терминала (или даже к порту телефонного модема) и сымитировать запрос на ввод логина маршрутизатора, чтобы выкрасть пароли. Такой способ позволяет проделывать и другие манипуляции, которые могут обмануть локальных пользователей или нарушить их работу.

Чтобы отключить поддержку обратных сеансов Telnet, ко всем асинхронным и модемным линиям, на которых следует запретить прием соединений от пользователей сети, необходимо применить команду конфигурации transport input none . Если это возможно, избегайте использовать один и тот же модем для внешнего и внутреннего доступа, а также установите запрет на установление обратных Telnet- соединений с линиями, которые используются для подключения извне. Контроль и обеспечение бесперебойной работы терминалов VTY Любой терминал VTY должен быть настроен только на прием подключений с использованием фактически необходимых протоколов.

Стр. 4