CiscoIOS安全检查标准

《CiscoIOS安全检查标准》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、1目的22范围23配置标准23.1关闭不必要的服务23.1.1禁.止CDP（CiscoDiscoveryProtocol）23.1.2禁止TCP、UDPSmall服务.33・1・3禁止Finger服务33.1A禁」I：NTP月艮务.41.禁止BOOTp服务（路山器适用）43・1.6禁止IPSourceRouting43.^ll：IPDirectedBroadcast（路由器和三层交换机适用）54.启用servicepassword-encryption55.关闭WINS和DNS服务66.关闭ARP-Proxy服务63.2登录耍求和帐号管理73・2・1采用enablesecret设

2、置密码7采用认证.7exec-timeout（5分钟以内）8采用访问控制措施,限制可登录的源地址8关闭HTTP服务9远程登录采用加密传输（SSH）9327采用多用户分权管理.io3.3SNMP协议设置和日志审计113.3.1设逻SNMP读写密码.113.3.2更改snmp协议端口.113.3.3限制SNMP发起连接源地址.123.3.4开启I丨志审计功能.123.4其它安全要求13341禁止从网络启动和口动从网络下载初始配置文件。13禁止未使用或空闲的端口13符合banner的设置耍求.14符合设备提示符的设置要求14启用源地址路山检查（路山器适用）15346VTP设置密码（交换

3、机适用）161目的本标准是为了规范网络设备的安全检查，提高网络设备的安全性而提出的。2范围本标准适用于Cisco路由器和基于CiscoIOS的交换机及其三层处理模块，其软件版本为CISCOIOS12.0及以上版本。3配置标准3.1关闭不必要的服务3.1.1禁止CDP(CiscoDiscoveryProtocol)◊默认状态：默认打开。◊正确配置：方法一：全局关闭CDP。全局模式配置如下命令：Router(Config)#nocdprun方法二：所有端口关闭CDP。接口模式下配置如下命令:Router(Config)#interfaceinterface_tzameRouter(C

4、onfig-if)#nocdpenable◊检查条件：方法：查看配置文件。◊判定条件：“不符合”条件：默认配置；存在一个或多个激活端口未关闭。“符合”条件：全局关闭CDP；所有接口关闭CDP。◊弱点概述：会造成网络设备信息失密。3.1.2禁止TCP、UDPSmall服务◊默认状态：默认关闭。◊正确配置：全局模式下启用如下命令：Router(Config)#noservicetcp-small-serversRouter(Config)#noserviceudp-samll-servers◊检查条件：方法：查看配置文件。◊判定条件："不符合”条件：已经配置“servicetcp-s

5、mall-servers”“serviceudp-small-servers"。“符合”条件：默认配置◊弱点概述：会造成为网络服务不安全。3.1.3禁止Finger服务◊默认状态：默认关闭。◊正确配置：全局模式下启用如下命令：Router(Config)#noipfinger◊检查条件：方法：查看配置文件。◊判定条件：“不符合”条件:配置文件中存在“ipfinger”“符合”条件：默认配置。◊弱点概述：该服务会造成网络设备信息和数据信息失密。3.1.4禁止NTP服务◊默认状态：默认关闭。◊正确配置：Router(Config)#nontp◊检查条件：方法：查看配置文件。◊判定条件

6、：“不符合”条件：含有如下命令Z-ONtpserverx.x.x.xNtppeerx.x.x.xntpdisable"o“符合”条件：默认配置；所有端口端口模式下启用◊弱点概述：该服务会对网络设备时间造成影响。3.1.5禁止BOOTp服务(路由器适用)◊默认状态：默认打开。◊正确配置：全局模式下启用如下命令：Router(Config)#noipbootpserver◊检查条件：方法：查看配置文件◊判定条件：“不符合”条件：默认配置。"符合”条件：全局模式下使用“noipbootpserver”“不适用”条件：Cisco4000系列交换机以下不适用。◊弱点概述：该服务会造成网络不

7、稳定。3.1.6禁止IPSourceRouting◊默认状态：默认打开。◊正确配置：Router(Config)#noipsource-route◊检查条件：方法：查看配置文件◊判定条件：“不符合”条件：默认配置。"符合”条件：全局模式卜使用"noipsource-routen◊弱点概述：会造成网络不稳定。3.1.7禁止IPDirectedBroadcast(路由器和三层交换机适用)◊默认状态：默认关闭。◊正确配置：接口配置模式下：Router(Config-if)#noipdi