安全策略的检查

客户有台3600路由忽然速度奇慢，检查线路、重启动之后发现IOS没了...不得已用Xmodem把IOS重新传上去，启动正常，并没有发现硬件有问题。仔细检查该路由器的配置，发现有这样两个配置指令：
snmp-server community public RO
snmp-server community private RW

询问网管人员，原来他们最近想用一台网络测试仪记录设备工作状态，结果就给配上了这样的snmp参数。对于一台直接连接到Internet的路由器来说，这样的配置...等于敞开大门，欢迎骇客。

Cisco 的配置文档建议通过以下手段建立一个有效的 安全策略：

1.确定要重点保护的网络资源

象上面例子中的网络出口，一旦工作不正常，影响很大，需要重点保护；网络中重要的文件、数据库、应用系统等，更是保护的重点。

2.找出危险点

一般来说Internet出口、Internet服务器、拔号访问入口等等是容易发生 安全问题的地方，应该重点防护。了解新发现的 安全漏洞，及时采取相应的措施，比如打上补丁、升级IOS或暂时关闭有问题的服务。根据CCO “ 安全顾问”网页, Cisco产品今年以来发现的影响较广泛的严重 安全漏洞为：

CSCdw33027 SSH扫描导致当机2002.6.27
CSCdt93866 NTP缓冲区溢出漏洞2002.5.8
CSCdw67458 SNMP拒绝服务漏洞2002.2.12

这些漏洞您了解并采取了相应的措施吗？ 如果不，那么很可能您最近的一次当机事件就跟它们有关，一些客户的经历证明了这一点。除了 安全问题，还有一些其它的功能设计方面的缺陷等等，值得紧跟IOS主要更新版本进行升级。

3.限制访问范围

典型的手段是访问控制列表。在上面那个例子中，把community字配成众所周知道的public/private当然万万不行，由于SNMP是一个相当不 安全的协议(尤其是低版本)，还应该通过访问控制列表限定能访问设备SNMP的主机: 在snmp-server community xxxx RO/RW 后，可以加上一个标准或扩展的访问控制列表。console口可以配上密码，不要设置no exec-timeout。telnet访问的限制通过在line vty指定access-class实现;CatOS的交换机用ip permit-list; 高端设备可以用SSH取代telnet。不必要的服务，如tcp/udp-small-servers、ip finger、ip http server等应予以关闭。ip http server(Web管理界面)去年就曾爆出了一个严重的 安全漏洞，可以用ip http access-class作限制。tftp-server服务用完就应关闭，也可以指定ACL，或用较为 安全的FTP代替。路由协议可以加上认证，常用的RIP v2、EIGRP、OSPF以及BGP等都支持明文或md5认证。在端口上应用ACL，过滤不必要的通讯，还可以利用IOS的 安全功能，防止IP欺骗和一些常见的***。

4.检查安全假定

通常我们都会对网络 安全状态做出一些假定，比如我们会认为公司内部不会有人熟悉网络设备/特定应用系统的人，所以***来自于内部的机会很少等等。这样的假定需要定期检查，因为环境是会改变的。比如可能会出现一些***网络的病毒，或者有一些骇客工具会被好奇的人的拿来乱用，等等。所以，经过一段时间，网络内部设备的软件也要进行必要的升级。