8 مرحله برای محافظت از روتر های سیسکو در شبکه

از روتر سیسکو خود محافظت نمایید امنیت شبکه یک منطقه کاملاً در حال تغییر می باشد. دستگاه‌های جدیدی مثل IDS (سیستم‌های تشخیص نفوذ)، IPS (سیستم‌های پیشگیری از نفوذ)، و Honeypots طرز فکر مردم را به لحاظ امنیت تغییر می‌دهند. شرکت‌ها هزاران دلار برای دستگاه‌های امنیتی جدید هزینه می کنند، اما خط اولیه، اولین خط دفاعی را از یاد می برند: روتر مرزی.اگرچه بسیاری از مردم ممکن است گمان کنند که روترها نیازی به محافظت ندارند، اما کاملاً در اشتباه می باشند. اکثر مشکلات امنیتی همیشه در برابر این نوع دستگاه ظاهر می شوند و بیشتر آنها آسیب پذیر هستند.برای به حداقل رساندن قرار گرفتن در معرض روتر سیسکو با خاموش نمودن برخی از سرویس های استفاده نشده، اعمال کنترل دسترسی و اعمال برخی از گزینه های امنیتی موجود بر روی آن، 8 مرحله وجود دارد که به راحتی قابل پیگیری می باشد.برای شناخت انواع روتر های سیسکو آگاهی از قیمت و خرید روتر سیسکو می توانید به سایت نیتا شبکه مراجعه نمایید و از خدمات مشاوره آن ها در حوزه امنیت استفاده نمایید.1- دسترسی به روتر خود را کنترل نماییداولین کاری که باید انجام دهید این است که قوانینی را برای محدود کردن تمام دسترسی های خارجی به برخی از پورت های روتر اعمال نمایید. شما می توانید همه پورت ها را مسدود کنید، اما همه اوقات لازم نیست. این دستورات زیر از روتر شما در برابر برخی حملات شناسایی محافظت می کند و بدیهی است که دسترسی به این پورت ها را محدود می نماید:Access-list 110 هر میزبانی را از tcp رد کند $yourRouterIPمعادله 7Access-list 110 هر میزبانی از tcp را رد کند $yourRouterIP معادله 9access-list 110 هر میزبانی از tcp را رد کند $yourRouterIP معادله 13access-list 110 هر میزبانی از tcp را رد کند $yourRouterIP معادله 19access-list 110 هر میزبانی را از tcp رد کند $yourRouterIPمعادله 23access-list 110 هر میزبانی از tcp را رد کند $yourRouterIP معادله 79int x0/0گروه دسترسی در 110جایی که $your IP router IP روتر شما و x0/0رابط خارجی شما می باشد. ما همیشه از این قرارداد در این مقاله استفاده خواهیم کرد.2- دسترسی تلنت به آن را محدود نماییدTelnet یک پروتکل بسیار امن برای استفاده نیست، اما اگر واقعاً نیاز به استفاده از آن دارید (همیشه باید از sshاستفاده نمایید) ممکن است بخواهید تمام دسترسی به آن را محدود کنید (به یاد داشته باشید که تمام ترافیک شما رمزگذاری نشده خواهد بود). بهترین راه برای انجام این کار استفاده از یک لیست دسترسی استاندارد و دستور دسترسی کلاس می باشد.دسترسی لیست 50 مجوز 192.168.1.1لیست دسترسی 50 هر گونه گزارش را رد می کندخط vty 0 4کلاس دسترسی 50 اینچیexec-timeout 5 0جایی که 192.168.1.1 آدرس IP مجاز به telnetروتر می باشد3- بسته های کلاهبرداری / مخرب را مسدود نماییدهیچ وقت نباید اجازه دهید که آدرس IP رزرو شده از اینترنت به بیرون شما برسدرابط و شما می توانید آدرس های پخش و چندپخشی را نیز رد کنید.لیست دسترسی 111 رد ip 127.0.0.0 0.255.255.255 هرAccess-list 111 رد ip 192.168.0.0 0.0.0.255 anyAccess-list 111 deny ip 172.16.0.0 0.0.255.255 aAccess-list 111 deny ip 10.0.0.0 0.255.255.255 aaccess-list 111 هر میزبان IP 0.0.0.0 را رد کندAccess-list 111 رد ip 224.0.0.0 31.255.255.255Access-list 111 هر گونه تغییر مسیری را از icmp رد می نمایدint x0/0گروه دسترسی در 1114- SNMPرا محدود نماییدSNMP باید همیشه محدود باشد، جز در مواردی که بخواهید یک فرد مخرب اطلاعات زیادی از شبکه شما دریافت کندaccess-list 112 هر گونه eq snmp udp را رد کندAccess-list 112اجازه IP any anyرابط x0/0گروه دسترسی 112 اینچو اگر اصلاً نمی‌خواهید از SNMP استفاده کنید، آن را غیرفعال نمایید:بدون سرور snmp5- تمامی رمزهای عبور را رمزگذاری نماییدیک کار بسیار مهم این است که از تمام رمزهای عبور خود با استفاده از الگوریتم قدرتمند تا حد امکان محافظت نمایید. رمز عبور از حالت exec، که دسترسی ممتاز به سیستم IOS را می دهد، می تواند با استفاده از هش MD5تنظیم شود که قوی ترین گزینه موجود در Cisco IOS می باشد.رمز عبور $Yourرا فعال کنیدتمام رمزهای عبور دیگر، می توانید با استفاده از رمز Vigenere که خیلی قوی نیست، رمزگذاری کنید، اما می تواند کمک کند. برای انجام این فرایند، می توانید از دستور سرویس رمز عبور رمزگذاری استفاده کنید که همه رمزهای عبور موجود در سیستم شما را رمزگذاری می نماید.رمزگذاری سرویس6- تمام سرویس های استفاده نشده را غیرفعال نمایید6.1 - Echo، Chargen را غیرفعال نموده و دور بیندازیدبدون سرویس tcp-small-serversبدون سرویس udp-small-servers6.2 - انگشت را غیرفعال نماییدبدون انگشت سرویس6.3 - رابط httpdرا غیرفعال کنیدبدون سرور ip http6.4 - ntpرا غیرفعال کنید (اگر از آن استفاده نمی کنید)ntp را غیر فعال کنید7- چند گزینه امنیتی اضافه شود7.1 - مسیریابی منبع را غیرفعال کنیدبدون منبع آی پی مسیر7.2 - Proxy Arpرا غیرفعال کنیدبدون ip proxy-arp7.3 - تغییر مسیرهای ICMP را غیرفعال کنیدرابط s0/0(رابط خارجی شما)بدون تغییر مسیر آی پی7.4 - غیرفعال کردن حافظه پنهان مسیر چندپخشیرابط s0/0(رابط خارجی شما)بدون mroute-cacheآی پی7.5 - CDPرا غیرفعال کنیدسی دی پی اجرا نمی شود7.6 - پخش مستقیم را غیرفعال کنید (محافظت در برابر حملات اسمورف)بدون ip Directed-Badcast8- همه چیز را ثبت نماییدبرای اتمام، باید همه چیز را در یک Log Server خارجی وارد نمایید. شما باید همه چیز را از تمام سیستم های خود انجام دهید و همیشه گزارش ها را تجزیه و تحلیل کنید.اشکال زدایی تله ورودورود به سیستم 192.168.1.10که در آن 192.168.1.10 آی پی سرور لاگ شما است (پیکربندی شده به عنوان سرور Syslog)نتیجهبا این مراحل ساده می توانید امنیت زیادی به روتر خود اضافه کنید، از آن در برابر بسیاری از حملات احتمالی محافظت کنید و امنیت شبکه خود را بیشتر کنید.فقط به عنوان نمونه، می توانید نتیجه nmap را قبل و بعد از اعمال این گزینه ها مشاهده کنید:قبل از:Bash-2.05b# nmap -O 192.168.1.1شروع nmap V. 3.00 (www.insecure.org/nmap/)پورت های جالب در (192.168.1.1):خدمات دولتی بندر7/tcpاکو باز کنید9/tcp باز کردن دور انداختن13/tcp در طول روز باز استشارژ باز 19/tcpشبکه راه دور باز 23/tcp79/tcp انگشت باز80/tcp http را باز کنیدحدس های سیستم عامل از راه دور: AS5200، سرور ترمینال Cisco 2501/5260/5300 IOS 11.3.6 (T1)، Cisco IOS 11.3 - 12.0 (11)بعد از:Bash-2.05b# nmap -P0 -O 192.168.1.1شروع nmap V. 3.00 (www.insecure.org/nmap/)هشدار: تشخیص سیستم عامل بسیار کمتر قابل اعتماد است زیرا ما حداقل 1 پورت TCPباز و 1 بسته TCP پیدا نکردیمهمه 1601 پورت اسکن شده در (192.168.1.1) عبارتند از: فیلتر شدهتعداد زیادی اثر انگشت با این میزبان مطابقت دارد تا بتوانم یک حدس دقیق سیستم عامل را ارائه دهماجرای Nmapتکمیل شد - 1 آدرس IP (1 میزبان بالا) در 403 ثانیه اسکن شدروترهای سیسکو برندی از تجهیزات شبکه می باشند که به کاربران امکان ایجاد شبکه های محلی را می دهند. روترهای سیسکو معمولاً در محیط های شرکتی استفاده می شوند و برای مدیریت صحیح نیاز به آموزش و گواهینامه های تخصصی دارند. اگر یک روتر سیسکو دارید و می خواهید به سرعت پورت های استفاده شده توسط Microsoft Exchange Server را باز نمایید تا بتواند به درستی کار کند، کدام پورت ها را باز می کنید بستگی به نحوه تنظیم سرور صرافی شما دارد، اما به طور کلی، رایج ترین پورت ها پورت ها هستند. 110 و 25، پورت های سرور ایمیل ورودی و خروجی.دستورالعمل باز کردن پورت‌ها در روتر سیسکو برای اجازه دادن به Exchange Serverبرای فعالیت1. از طریق telnet به روتر سیسکو خود وصل شوید. این فرآیند بسته به مدل روتر شما و پیکربندی شبکه خاص شما بسیار متفاوت است، بنابراین اگر مطمئن نیستید که چگونه به روتر خود متصل شوید، با سرپرست شبکه خود مشورت نمایید.2. "access-list port_number allow tcp any host $router_IP_Address" را در خط فرمان بنویسید، جایی که "port_number" پورت سرور Exchangeاست که می خواهید از طریق روتر اجازه دهید و "router_IP_Address" آدرس IP روتر سیسکو است.3. "Enter" را فشار دهید تا قانون پورت را به روتر خود اضافه نمایید. مراحل 2 و 3 را در صورت نیاز تکرار کنید تا هر تعداد پورت را که توسط راه اندازی Exchange Serverخاص شما لازم است باز کنید.4. پس از اتمام باز کردن پورت ها در روتر سیسکو، جلسه تلنت خود را با نوشتن "exit" ببندید.در صورتی که مشکلات شما در این بحث هنوز حل نشده است می توانید از کارشناسان مجموعه نیتا شبکه راهنمایی دریافت کنید.منبع: router switch