Данный чек-лист подобран на примере оборудования Cisco. Но "дополнив" некоторые пункты в соответствии с производителем - получите отличный список важных аспектов по безопасности вашего сетевого оборудования и не только.
- Ограничьте физический доступ к вашему сетевому оборудованию, а также кабельной системе. Это снизит риски как случайных, так и целенаправленных вторжений.
- Закрывайте доступ к консольному порту даже для пользовательского режима.
- Не используйте enable password даже в связке с service password-encryption. Используйте сложные пароли и enable secret.
- НИКОГДА не используйте стандартные учетные записи. Придумывайте уникальные имена пользователей.
- Не создавайте учетные записи с уровнем привилегий 15. Пароль учетной записи и пароль на enable должны быть разными!
- Для настройки аутентификации используйте aaa new-model.
- Запретите сброс пароля (no service password-recovery)на коммутаторах уровня доступа к которым возможен физический доступ.
- Для настройки удаленного доступа используйте aaa new-model
- Не используйте Telnet в качестве протокола удаленного подключения
- Используйте защищенные протоколы удаленного подключения (например SSHv2)
- При необходимости организации web-доступа к оборудованию, используйте HTTPS вместо HTTP. Помните об огромном количестве уязвимостей, связанных с HTTP/S.
- Ограничьте удаленный доступ. Лишь несколько компьютеров должны иметь возможность подключения к оборудованию.
- Для защиты от подбора паролей (Brute Force) настройте временную блокировку повторной аутентификации.
- Задавайте имя устройства (hostname) и сообщение после аутентификации
(banner exec), чтобы в будущем не “перепутать” оборудование. - Если в вашей сети более 10-и устройств, то вы просто обязаны использовать AAA-server
- Для аутентификации VPN-пользователей и WiFi-клиентов используйте RADIUS. Для аутентификации и авторизации администраторов на сетевом оборудовании - TACACS+.
- Никогда не настраивайте вход ТОЛЬКО через ААА-server. Вы не сможете зайти на устройство, если сервер станет недоступен. Используйте локальную учетную запись, как резервный вариант входа.
- Для централизованной смены паролей локальных учетных записей используйте менеджеры конфигураций (network configuration manager)
- Пароли необходимо периодически менять вне зависимости от их сложности.
- Соблюдайте парольную политику! Если ее нет - разработайте.
- Не используйте клавиатурные комбинации при создании пароля.
- НИ В КОЕМ СЛУЧАЕ не оставляйте пароли по умолчанию.
Придерживаясь этих советов, при организации доступа к оборудованию, вы существенно повысите безопасность вашей сети. При этом от вас не требуются какие-либо глубокие познания в области информационной безопасности.
