Secure Baseline vs. „Default Config“: 30-Tage-Hardening-Roadmap fürs Enterprise

Der Unterschied zwischen einer Secure Baseline und der Default Config ist entscheidend für die Sicherheit von Enterprise-Routern. Während die Default Config nur minimale Funktionen aktiviert, stellt eine Secure Baseline sicher, dass Management, AAA, Logging, SNMP und Control Plane geschützt sind. Eine 30-Tage-Hardening-Roadmap zeigt, wie IT-Teams Schritt für Schritt von einer Default Config zu einem Production-Grade…

Password Spraying mitigieren: AAA-Policies und Event-Monitoring

Password Spraying ist eine weit verbreitete Angriffsstrategie, bei der Angreifer versuchen, eine kleine Anzahl häufig genutzter Passwörter gegen viele Benutzerkonten gleichzeitig einzusetzen. Im Gegensatz zu klassischen Brute-Force-Angriffen bleibt der Angriff oft unentdeckt, da die Anzahl der Fehlversuche pro Benutzer gering ist. Auf Cisco-Routern und in Enterprise-Netzwerken können gezielte AAA-Policies, Monitoring und Event-Logging helfen, solche Angriffe…

Cisco-Router-Hardening: Definition of Done (Acceptance Criteria & Evidence Pack)

Die Definition of Done (DoD) für Cisco-Router-Hardening legt fest, wann ein Hardening-Projekt als abgeschlossen gilt und welche Kriterien erfüllt sein müssen. Sie umfasst technische Akzeptanzkriterien sowie ein Evidence Pack, das alle durchgeführten Maßnahmen dokumentiert und prüfbar macht. Dies stellt sicher, dass die Hardening-Maßnahmen Production-Grade sind und auditierbar bleiben. Akzeptanzkriterien für Hardening Die Acceptance Criteria definieren…

DoS gegen die Control Plane mitigieren: CoPP und Rate-Limit-Strategie

Die Control Plane eines Routers ist für die Verarbeitung von Routing-Protokollen, Management-Traffic und Paketverarbeitung verantwortlich. Ein Denial-of-Service (DoS) auf die Control Plane kann die gesamte Netzwerkinfrastruktur destabilisieren, selbst wenn die Forwarding Plane weiterhin funktioniert. Um solche Angriffe zu mitigieren, bietet Cisco Mechanismen wie Control Plane Policing (CoPP) und gezielte Rate-Limits für verschiedene Traffic-Typen. Dieses Tutorial…

Service-Modell für Cisco-Router-Hardening: Projektbasiert vs. Retainer (SLA & Scope)

Für Cisco-Router-Hardening können Unternehmen zwischen einem projektbasierten Service-Modell und einem Retainer-Modell auf SLA-Basis wählen. Die Entscheidung hängt von der Netzwerkgröße, der Anzahl der Standorte, der benötigten Kontinuität und den Compliance-Anforderungen ab. Dieses Tutorial erklärt die Unterschiede, Scope, SLA-Definitionen und typische Inhalte beider Service-Modelle. Projektbasiertes Hardening Ein projektbasiertes Modell eignet sich für einmalige oder zeitlich begrenzte…

Hardening gegen Reconnaissance: Banner/Service-Exposure minimieren

Netzwerkscanner und Angreifer führen häufig Reconnaissance-Aktivitäten durch, um Informationen über Netzwerkgeräte, offene Dienste und Versionen zu sammeln. Dies kann später für gezielte Angriffe wie Exploits, Brute-Force oder DoS genutzt werden. Hardening-Maßnahmen auf Cisco-Routern helfen, die Angriffsfläche zu reduzieren, indem Banner, Service-Exposures und unnötige Protokolle minimiert werden. Grundlagen der Reconnaissance Reconnaissance bezeichnet das Sammeln von Informationen…

Hardening gegen SNMP-Misuse: Device Enumeration verhindern

Simple Network Management Protocol (SNMP) wird in Unternehmensnetzwerken häufig für Monitoring, Performance-Management und Automatisierung eingesetzt. Allerdings kann SNMP auch für Device Enumeration missbraucht werden, bei der Angreifer Informationen über Netzwerkgeräte sammeln, z. B. Hostnamen, IP-Adressen, Interfaces oder Konfigurationsdetails. Ein gezieltes Hardening von SNMP reduziert die Angriffsfläche und schützt sensible Netzwerkinformationen. Grundlagen von SNMP und Risiken SNMP…

Hardening gegen Lateral Movement: Segmentierung, ACLs und VRF-Strategie

Lateral Movement bezeichnet die Ausbreitung eines Angreifers innerhalb eines Netzwerks, nachdem erste Zugänge kompromittiert wurden. Durch geschicktes Bewegen von einem Segment ins nächste kann ein Angreifer sensible Systeme erreichen, auch wenn einzelne Geräte ausreichend gesichert sind. Netzwerk-Hardening durch Segmentierung, Access Control Lists (ACLs) und Virtual Routing and Forwarding (VRF) kann diese Bewegung wirksam unterbinden und…

Security Testing: „No Open Management“ vom Internet aus validieren

Die Absicherung von Netzwerkgeräten gegen unautorisierte Internetzugriffe ist ein zentraler Bestandteil der Netzwerksicherheit. Besonders kritisch sind Management-Dienste wie SSH, Telnet, SNMP oder Web-GUI, die aus dem Internet erreichbar sind. Security-Testing hilft, die Konfiguration zu validieren und sicherzustellen, dass keine offenen Management-Ports exponiert sind. Dies schützt vor Angreifern, die Reconnaissance durchführen oder direkte Kompromittierungsversuche starten. Grundlagen…

Hardening-Checkliste fürs Procurement: Security-Anforderungen in SoW/RFP für Router

Beim Procurement von Netzwerkhardware ist es entscheidend, bereits in der Ausschreibung (SoW – Statement of Work, RFP – Request for Proposal) klare Security-Anforderungen zu definieren. Dies gewährleistet, dass beschaffte Router den Sicherheitsstandards des Unternehmens entsprechen und ein konsistentes Hardening möglich ist. Eine strukturierte Checkliste unterstützt dabei, alle relevanten Aspekte abzudecken, von AAA-Integration bis zu Logging,…