Site icon bintorosoft.com

Security Baseline für Cisco IOS/IOS-XE: Mindestkontrollen, die vorhanden sein müssen

Red Snapper

Computer technology 3D illustration. Computation of big data center. Cloud computing. Online devices upload and download information. Modern 3D illustration. 3D rendering

Eine Security Baseline für Cisco IOS und IOS-XE stellt sicher, dass Router und Switches in Unternehmensnetzwerken einheitlich abgesichert sind. Sie definiert die Mindestkontrollen, die in jeder Produktionsumgebung vorhanden sein müssen, um unautorisierten Zugriff, Fehlkonfigurationen und Angriffe zu verhindern. Dieser Leitfaden richtet sich an Einsteiger, Studierende und Junior Network Engineers, bietet aber auch für erfahrene Profis praxisorientierte Umsetzungsbeispiele.

Zugriffskontrolle und Authentifizierung

Der Schutz des Gerätezugriffs ist die Grundlage jeder Security Baseline.

Lokale Benutzerkonten

Router(config)# username admin privilege 15 secret 
Router(config)# username operator privilege 5 secret 
Router(config)# service password-encryption
  • Console-Zugriff absichern:
    • Router(config)# line console 0
Router(config-line)# login local
Router(config-line)# exec-timeout 5 0
  • VTY-Zugriff nur über SSH erlauben:
    • Router(config)# line vty 0 4
Router(config-line)# login local
Router(config-line)# transport input ssh
Router(config-line)# exec-timeout 10 0

    SSH und Key Management

    Router(config)# ip domain-name company.local
Router(config)# crypto key generate rsa modulus 2048
  • Nur vertrauenswürdige Subnetze für Management zulassen:
    • Router(config)# access-list 10 permit 192.168.1.0 0.0.0.255
Router(config)# line vty 0 4
Router(config-line)# access-class 10 in

    Interface- und Netzwerk-Härtung

    Offene oder ungenutzte Interfaces stellen ein Sicherheitsrisiko dar. Eine Baseline sollte die Deaktivierung unnötiger Ports und gezielte Zugriffskontrollen umfassen.

    Unbenutzte Interfaces deaktivieren

    Router(config)# interface FastEthernet0/1
Router(config-if)# shutdown

    ACLs zur Zugriffskontrolle

    Router(config)# access-list 100 permit ip 192.168.1.0 0.0.0.255 any
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip access-group 100 in
  • Nur notwendige Dienste aktivieren

    • Routing- und Protokollsicherheit

    Routing-Protokolle müssen vor Manipulationen geschützt werden. Dazu gehören Authentifizierung und Einschränkungen auf vertrauenswürdige Interfaces.

    OSPF absichern

    Router(config)# router ospf 1
Router(config-router)# area 0 authentication message-digest
Router(config-router)# ip ospf message-digest-key 1 md5

    EIGRP und RIP absichern

    Logging, Monitoring und AAA

    Transparenz über Geräteaktivität ist essenziell für Sicherheits- und Audit-Zwecke.

    Syslog konfigurieren

    Router(config)# logging 192.168.1.10
Router(config)# logging trap informational
Router(config)# logging on

    AAA einrichten

    Router(config)# aaa new-model
Router(config)# aaa authentication login default group radius local
Router(config)# aaa authorization exec default group radius local

    Service- und Protokollhärtung

    Router(config)# no ip http server
Router(config)# no cdp run
Router(config)# no ip finger
Router(config)# no ip bootp server
  • SNMP nur über Version 3 mit Authentifizierung und Verschlüsselung:
    • Router(config)# snmp-server group SECURE v3 priv
Router(config)# snmp-server user netadmin SECURE v3 auth sha  priv aes 128
  • NTP nur von vertrauenswürdigen Servern:
    • Router(config)# ntp server 192.168.1.20 prefer
Router(config)# ntp authenticate
Router(config)# ntp authentication-key 1 md5 
Router(config)# ntp trusted-key 1

    Backup und Wiederherstellung

    Regelmäßige Sicherung von Konfigurationen und IOS-Images stellt sicher, dass Geräte nach Ausfällen oder Sicherheitsvorfällen schnell wiederhergestellt werden können.

    Konfigurations-Backup

    Router# copy running-config tftp
Address or name of remote host []? 192.168.1.50
Destination filename [running-config]? router_backup.cfg

    IOS-Backup

    Netzwerksegmentierung und IP-Management

    Eine saubere IP-Planung erleichtert Security Controls und reduziert Angriffsflächen.

    Subnetzplanung

    Beispiel: Netzwerk 172.16.0.0/16 in 8 Subnetze aufteilen:

    NeueSubnetzmaske: 16 + 3 = 19
    Subnetze: 172.16.0.0/19, 172.16.32.0/19, 172.16.64.0/19, 172.16.96.0/19, 172.16.128.0/19, 172.16.160.0/19, 172.16.192.0/19, 172.16.224.0/19

    Physische Sicherheit und weitere Maßnahmen

    Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

    Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

    Meine Leistungen umfassen:

    Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.

    Exit mobile version