2011CCNP学习笔记一CISCO设备安全.docVIP

1、防范网络攻击 ? cisco自防御系统 安全连接 威胁的防御：防火墙 PIX、ASA，IDS和IPS 认证：AAA认证 ? 2、攻击类型 ①扫描探测 抓包：认证、加密 端口扫描：IDS/IPS ping扫描：IDS/IPS IIQ：（域名与IP的映射） ? ②访问攻击 破解密码：（木马，暴力破解）、在多个设备上尽量不用同一密码、加密、指定最短密码的长度 信任被利用：防止内部成为跳板，最好设置隔离区 端口重定向：（） 中间人攻击：（截获数据，篡改，再发出）加密，认证 ? ③Dos攻击（拒绝服务攻击） 死亡之ping： SYN洪水：（TCP建立连接时要发起SYN、SYN+ACK、ACK三次握手，但最后的ACK却不发出，让对端浪费资源一直保存大量TCP空链接，并同时存在IP欺骗） smurf攻击：（利用ICMP的广播特性，攻击者发送ICMP流量，但同时把源地址改为某个服务器的IP，此时，所有的广播回应流量都回到该服务器上，消耗资源） fraggle攻击：类似smurf攻击，但用的是UDP，而不是ICMP ? 解决：针对攻击流量做限速、ACL拒绝攻击流量（如SYN） ? ④蠕虫、病毒、木马 防毒软件，升级病毒库 ? ⑤应用层攻击 ? ? ? ⑥针对网管协议的攻击 SNMP：使用v3版本 syslog：用IPsec裹包头 TFTP：用IPsec裹包头 NTP：用v3版本，支持加密 ? ? 3、关掉不必要的协议端口，防止入侵 ? CISCO设备内置有Autosecure，自动帮你把不需要的服务关掉（12.3之后的版本支持） ? ? 4、其他安全命令 交换机命令：不允许密码恢复（以防别人破解密码） ? 设置登录要求：20秒内如果登录3次密码错误，就10秒内不能再登录 ? 设置等级：0~15（越高级越多命令可用） Enable 1：进入1级权限 默认就是最高级15 ? 把高级命令注入到低级中、给低级设置密码 ? 基于角色的命令行： ? 进入root中，定义用户A，给他加入命令conf t ? Enable　A　登录 ? ? 设置banner栏（警告、欢迎语） Banner ……………… ? Show line：查看所有连接线和线程 ? 5、ACL 里面有小编号，进入可删除某一条，也可加入某一条，前加小编号 ? TCP intercept拦截：攻击者想要跟服务器建立TCP连接的时候，要先跟网关建立，如果攻击者不回应ACK，那么就不能和服务器建立。网关被攻击，取代了服务器被攻击 ? 可在网关设置：当攻击者在与网关建立TCP的时候，N秒内不回应，就断掉连接，网关的安全也得以保证 ? ? ? 6、网管协议 ? ①Syslog system：把log信息存放在服务器，保存管理 数值越低，等级越高，重要性越高，0~7，默认是6级 修改等级 ? 服务端： Show logging 查看缓存内容 把log内容发送到该地址 ? ? ②SNMP：简单网络管理协议、基于UDP161、162 利用一些工具（如SNMP tools，安装在host），对设备管理，查看信息，复制内容、报警等 ? 把设备的信息发送到host 标识路由器的位置和描述 ? 定义host和设备的key和权限 ? 设置追踪，把设备上的即时信息发到host ? ? ?