Il presente documento rileva i parametri di configurazione hardening per i seguenti protocolli, su router Cisco con software IOS

Transcript

1 Il presente documento rileva i parametri di configurazione hardening per i seguenti protocolli, su router Cisco con software - CDP - DNS - NTP - AAA - Console - AUX - Telnet Sistema operativo Servizi da disabilitare Configurazione Globale : no ip source-route no ip finger no ip bootp server no service pad no ip http server Configurazione NULL0 : Interface NULL0 no ip unreachables Configurazione di Interfaccia : no ip redirects no ip proxy ARP no ip unreachables Disabilitazione del servizio di source routing Disabilitazione del servizio FINGER - per le release che precedono la 12.1 (5) Disabilitazione del Bootstrap Protocol Disabilitazione del servizio di Packet Assembler/Disassembler Disabilitazione del servizio di http server Disabilitazione del servizio di ICMP unreachables sull interfaccia NULL0 Disabilitazione del servizio di ICMP redirects Disabilitazione del servizio di proxy ARP Disabilitazione del servizio di ICMP unreachables Il software, nelle versioni presenti in rete (12.0 in poi), prevede che siano disabilitati di default i seguenti servizi di rete: tcp e udp small server identd ICMP mask reply directed broadcast gratuitous-arps Dalla versione 12.1(5), 12.1(5)T è inoltre disabilitato di default il servizio : finger Risultano invece abilitati di default, nelle release in uso, e sono quindi da disattivare con gli opportuni comandi, i servizi: IP proxy ARP IP source routing

2 ICMP redirects ICMP unreachables bootp server PAD http server NB. L ICMP unreachables deve essere disabilitato anche sull interfaccia NULL0 Il Cisco Discovery Protocol (CDP) è abilitato di default sia a livello globale che sulle singole interfacce che lo supportano. Non sono dunque necessarie righe di configurazione specifiche. Il protocollo, proprietario, si applica alle sole interfacce connesse ad apparati Cisco: così non fosse occorrerà disabilitarlo ( no cdp enable ). Analogamente, dalla release 11.3, è abilitato di default il CIDR (Classless Interdomain Routine). Non è dunque necessario attivarlo esplicitamente ( ip classless ). DNS DNS domain name-server <ip_addr_server1> domain name-server <ip_addr_server2> domain list <domain-name> Configurazione del name-server principale e di quello secondario (DNS Trusted) Configurazione gestione dei domini DNS NTP Clock timezone MET 1 Clock summer-time MET-DST recurring last SUN MAR 02:00 last SUN OCT 02:00 Definizione della Timezone per il display dell ora. Viene inoltre reso automatico nel display il passaggio ora legale/ora solare. Configurazione del servizio NTP per i Router di Edge/Core NTP ntp source Loopback<number> ntp access-group peer 1 ntp access-group serve 2 ntp peer <ip-addr-peer> Configurazione del servizio NTP access-list 1 permit <ip-addr-peer> access-list 1 permit <ip_ntp_server1> access-list 1 permit <ip_ntp_server2> access-list 2 permit <subnet_lo_accesso> Configurazione Access List verso i server di riferimento Configurazione Access List per apparati in acceso Configurazione del servizio NTP per Route Reflector, Router per accesso voce, Router di Peering, NAP

3 ntp source Loopback<number> ntp access-group peer 1 access-list 1 permit <ip_ntp_server1> access-list 1 permit <ip_ntp_server2> Configurazione del servizio NTP Configurazione Access List Configurazione del servizio NTP per Catalyst dei POP di Inner ntp source vlan<n> Configurazione del servizio NTP per i Catalyst presenti nei POP di Inner Core (Accesso e transito) Configurazione del servizio NTP per Catalyst dei POP di Outer Core ntp source vlan<n> ntp server <loopback_transito_1> ntp server <loopback_transito_2> Configurazione del servizio NTP per i Catalyst che realizzano le VLAN di Accesso (POP Outer Core). Nel caso dei Route Reflector, dei router di Edge e dei router di peering devono essere indirizzati i server NTP relativi ai POP di Centro Stella di afferenza. Analogamente i NAP indirizzeranno i server NTP presenti nei POP dove sono presenti i CS di riferimento per i Router di Peering cui sono collegati. Gli apparati hanno nell ambito dell applicazione del protocollo NTP, solo funzione di client. Non si avrà dunque sull apparato la definizione di ACL 2. Non è prevista inoltre alcuna relazione di peering. I Catalyst Infrastrutturali (CATINFR) presenti nei POP di Outer Core e che realizzano le Vlan di accesso devono avere come riferimento per la sincronizzazione i router di Transito presenti nel POP stesso. I Catalyst presenti nei POP di Inner Core invece, a prescindere dalle loro funzionalità (accesso o transito), devono utilizzare come riferimento per la sincronizzazione direttamente i server NTP presenti nella località considerata. Tali apparati, nell ambito dell applicazione del protocollo NTP, hanno solo funzione di client. Non è prevista inoltre relazione di peering.

4 AAA aaa-new model Attivazione delle funzionalità di AAA aaa authentication login default tacacs+ local aaa authentication login NOAUTHENTICATION tacacs+ local aaa authentication enable default enable Abilitazione dell autenticazione avviene di default sul server tacacs e, se quest ultimo è fuori servizio, in locale Definizione della label NOAUTHENTICATION (Applicata alla line di console) Abilitazione dell autenticazione attraverso la password di enable (default) aaa authorization config-commands L autorizzazione alla comandistica in modalità configurazione è gestita tramite tacacs. Configurazione AAA aaa authorization exec default tacacs+ none aaa authorization commands 0 default tacacs+ none aaa authorization commands 1 default tacacs+ none aaa authorization commands 15 default tacacs+ none L autorizzazione alla comandistica (in exec shell o su base livello di privilegio) è fatta di default dai server tacacs. Se il tacacs è fuori servizio l autorizzazione non viene gestita e si può fare tutto. aaa authorization exec NOAUTHORIZATION none aaa authorization commands 0 NOAUTHORIZATION none aaa authorization commands 1 NOAUTHORIZATION none aaa authorization commands 15 NOAUTHORIZATION none aaa accounting suppress null-username aaa accounting exec default start-stop tacacs+ aaa accounting commands 0 default start-stop tacacs+ aaa accounting commands 1 default start-stop tacacs+ aaa accounting commands 15 default start-stop tacacs+ aaa accounting system default start-stop tacacs+ tacacs-server host <ip_server1> single-connection tacacs-server host <ip_server2> single-connection Definizione della label NOAUTHORIZATION (Applicata alla line di console) Definizione delle modalità di accounting Definizione dei tacacs server primario e secondario Abilitazione cifratura delle credenziali tacacs-server key <secret_key> Ip tacacs source-interface Loopback<number> enable secret <password> service password-encryption Definizione della chiave di autenticazione verso i server Tacacs Definizione dell interfaccia sorgente del Router Cifratura delle credenziali per l accesso con privilegi amministrativi (enable mode). Abilitazione dell encryption per tutte le password non protette dal comando enable secret Definizione utenza locale Username <user_name> password <password> Definizione password per accesso utenza locale

5 Le password cifrate con algoritmo Type 7 non garantiscono un sufficiente livello di sicurezza. Nel caso siano presenti nelle configurazioni dell apparato, esse devono essere disabilitate. Router(config)# no enable password <password> L unica linea di configurazione presente deve essere relativa all enable secret. Deve cioè essere utilizzato un meccanismo di protezione basato sull algoritmo di hashing MD5 (Type 5). NB : Nessuna user line o password deve essere uguale a quelle protette attraverso il comando enable secret La funzionalità indicata permette, nel solo caso di visualizzazione estemporanea del file di configurazione, un livello minimo di confidenzialità delle credenziali, realizzando l encryption di tutte le password non protette dal comando enable secret. Lo <user id> definito deve, analogamente alle <password>, essere minimo di 8 caratteri e contenere almeno una maiuscola, un carattere numerico e un carattere speciale. Telnet service tcp-keepalives-in Abilitazione invio di messaggi keepalive (per individuare ed eliminare connessioni interrotte con client remoti). Governo del Telnet access-list 30 permit <proxy MIB.COM> access-list 30 permit <subnet_ip.com/noc> access-list 30 permit <punto_punto> access-list 30 permit <punto_punto>. access-list 40 permit <proxy IP.COM> line vty 0 4 access-class 30 in length 30 transport input telnet line vty 5 6 access-class 40 in length 30 transport input telnet Limitazione degli host che accedono da remoto via VTY in Telnet all apparato Configurazione delle line per il trasporto delle sessioni Telnet all apparato Configurazione delle linea di console Line con0 authorization exec NOAUTHORIZATION authorization commands 0 NOAUTHORIZATION authorization commands 1 NOAUTHORIZATION authorization commands 15 NOAUTHORIZATION login authentication NOAUTHENTICATION Configurazione delle linea di Console La porta AUX deve essere disabilitata ove presente e comunque non configurata se non strettamente necessario.