Hardening-Checkliste fürs Procurement: Security-Anforderungen in SoW/RFP für Router

Beim Procurement von Netzwerkhardware ist es entscheidend, bereits in der Ausschreibung (SoW – Statement of Work, RFP – Request for Proposal) klare Security-Anforderungen zu definieren. Dies gewährleistet, dass beschaffte Router den Sicherheitsstandards des Unternehmens entsprechen und ein konsistentes Hardening möglich ist. Eine strukturierte Checkliste unterstützt dabei, alle relevanten Aspekte abzudecken, von AAA-Integration bis zu Logging, VLAN- und VRF-Unterstützung sowie Compliance-relevanten Features.

Allgemeine Sicherheitsanforderungen

Zu Beginn sollten grundlegende Sicherheitskriterien festgelegt werden, die der Router erfüllen muss:

• Unterstützung aktueller IOS-/Firmware-Versionen mit Sicherheitsupdates
• Hardware-basiertes Management und Secure Boot
• Unterstützung für Verschlüsselung von Management- und Datenverkehr (SSH, HTTPS, SNMPv3, IPSec)
• Compliance mit gängigen Sicherheitsstandards (ISO 27001, BSI IT-Grundschutz)
• Unterstützung für AAA (TACACS+, RADIUS) und lokale Fallback-Konten

AAA- und Benutzerverwaltung

Router sollten umfassende Authentifizierungs- und Autorisierungsmechanismen unterstützen:

• AAA-Integration für Login und Command Authorization
• Lokale Benutzerkonten mit Privileg-Level-Unterstützung
• Passwort-Hardening (enable secret, komplexe lokale Passwörter)
• Unterstützung für Multi-Faktor-Authentifizierung

Router(config)# aaa new-model
Router(config)# aaa authentication login VTY-LOGIN group tacacs+ local
Router(config)# aaa authorization exec default group tacacs+ local

Management-Schnittstellen

Management-Interfaces müssen sicher implementiert werden:

• SSH statt Telnet, HTTPS statt HTTP
• SNMPv3 mit Authentifizierung und Verschlüsselung
• Separate Management-Subnetze oder VRFs
• Optionaler VPN-Zugang für Remote-Administration

Router(config)# ip vrf MGMT
Router(config-vrf)# rd 100:1
Router(config)# interface GigabitEthernet0/0
Router(config-if)# vrf forwarding MGMT
Router(config-if)# ip address 10.10.10.1 255.255.255.0
Router(config-if)# no shutdown

Network Segmentation und ACL-Unterstützung

Für Lateral-Movement-Schutz und DoS-Mitigierung sollten Router folgende Features unterstützen:

• Unterstützung für ACLs auf Interfaces, VTY-Linien und Management-Subnetzen
• VLAN- und Subnet-Trennung von Management, Produktion und Gastnetz
• CoPP (Control Plane Policing) und Rate-Limits
• VRF für isolierte Routing-Instanzen

Router(config)# ip access-list extended MGMT-ACL
permit tcp 10.10.10.0 0.0.0.255 any eq 22
deny ip any any

Logging und Monitoring

Router müssen Audit- und Monitoring-Funktionen unterstützen:

• Syslog mit Remote-Host-Unterstützung
• AAA Accounting für Login- und Command-Events
• Timestamping von Logs
• Integration in SIEM oder zentrale Monitoring-Systeme

Router(config)# logging host 10.10.10.200
Router(config)# logging trap informational
Router(config)# service timestamps log datetime msec localtime
Router(config)# aaa accounting exec default start-stop group tacacs+

Security Features und Hardening-Möglichkeiten

Die Hardware sollte Hardening-Möglichkeiten bereitstellen:

• Secure Boot und Integritätsprüfung der Firmware
• Unterstützung von SSH-Key-Management und Rotation
• Banner und Legal Notice für Audits
• DoS- und Reconnaissance-Mitigierung (ICMP-Rate-Limits, CoPP, ACLs)
• Mitigation von Password-Spraying (Account-Lockout, AAA-Policies)

Vendor- und Compliance-Anforderungen

Zusätzlich sollten im SoW/RFP folgende Punkte definiert werden:

• Support für zentrale AAA-Lösungen und Fallbacks
• Redundante Management- und AAA-Serverfähigkeit
• Regelmäßige Sicherheitsupdates und Patch-Management
• Dokumentation aller Sicherheitsfeatures und Best-Practice-Konfigurationen
• Compliance-konforme Logging- und Audit-Funktionen

Testing und Validation

Der Lieferant sollte Security-Tests nachweisen:

• „No Open Management“ aus dem Internet
• SSH-Key- und Passwort-Policies
• SNMP-Hardening und Device-Enumeration-Tests
• CoPP- und Rate-Limit-Funktionalität
• VRF- und Segmentierungsfähigkeit

show access-lists
show ip route vrf MGMT
show logging
show users
show control-plane host open-ports

Zusammenfassung der Checkliste

• AAA-Integration mit TACACS+/RADIUS und lokalen Fallbacks
• Management über VRF/Subnetz isoliert
• SSH, HTTPS, SNMPv3 für Management-Dienste
• ACLs zur Segmentierung und Traffic-Kontrolle
• CoPP, Rate-Limits und DoS-Mitigation
• Logging, AAA Accounting und SIEM-Integration
• Banner, Legal Notice und Hardening-Maßnahmen
• Patch-Management und Secure Boot
• Testing: No Open Management, Device-Enumeration, Key-Rotation

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

• Professionelle Konfiguration von Routern und Switches

• Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen

• Erstellung von Topologien und Simulationen in Cisco Packet Tracer

• Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG

• Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible

• Erstellung von Skripten für wiederkehrende Netzwerkaufgaben

• Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege

• Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.