交换机安全威胁安全威胁核心原理危害MAC 地址泛洪伪造大量虚假 MAC 地址发送给交换机填满交换机 MAC 地址表表满后交换机不再学习新 MAC报文向所有端口泛洪转发攻击者可嗅探内网流量获取其他主机数据包ARP 欺骗发送伪造 ARP 报文篡改主机 / 交换机 ARP 缓存伪造 IP-MAC 映射流量劫持、中间人攻击窃听、篡改通信数据口令威胁弱口令、口令明文传输 / 存储通过猜解、抓包、爆破获取交换机账号密码非授权登录交换机篡改配置、中断网络漏洞利用利用交换机系统软件漏洞拒绝服务、越权访问、敏感配置泄露、会话劫持路由器安全威胁安全威胁核心原理危害漏洞利用利用路由器固件、系统漏洞拒绝服务、非授权访问、配置信息泄露、会话劫持、安全旁路口令安全威胁存在弱口令、口令明文传输 / 存储攻击者通过猜解、抓包、破解获取账号密码非法登录路由器篡改路由策略、中断全网通信路由协议安全威胁伪造恶意路由协议报文篡改路由表典型如 BGP 前缀劫持、BGP AS 路径欺骗路由混乱流量被劫持、转发至恶意节点造成中间人攻击DoS/DDoS 威胁方式 1发送畸形恶意数据包造成设备异常方式 2僵尸网络产生海量流量压垮路由器路由器资源耗尽整机瘫痪全网不可用依赖性威胁攻击路由器依赖的外部支撑服务如认证服务器管理员无法登录管理路由器设备管理失效网络设备安全机制与实现技术安全机制核心说明关键知识点 / 配置要点认证机制对登录网络设备的用户身份校验支持本地口令认证与 AAA 集中认证1. 本地口令Console、AUX、VTY、user、privilege-level 口令2. AAAaaa new-model开启• TACACS认证、授权、审计分离・RADIUS认证 授权绑定审计独立UDP 传输访问控制区分带外访问不依赖业务网络Console/AUX、带内访问依托业务网络VTY/HTTP/SNMP/TFTP限制可访问源 IP、会话超时、权限分级1. VTY0~4 共 5 条虚拟终端优先 SSH禁用 Telnetaccess-class限制源 IPexec-timeout会话超时2. SNMP社区字符串RO 只读 / RW 读写绑定 ACL 限制访问 IP不用则关闭3. 特权分级Cisco 0~15 级15 最高权限4. 管理专网独立管理网隔离业务流量信息加密保护设备配置内敏感口令防止配置文件泄露导致口令明文外泄service password-encryption对口令加密存储type7 加密安全通信管理机与网络设备之间加密传输管理流量替代明文 Telnet1. SSH生成 RSA 密钥VTY transport input ssh2. IPSec VPNISAKMP 预共享密钥、ACL、transform-set、crypto map绑定接口日志审计记录设备操作与安全事件用于事后追溯分析日志类型Console、Buffer、Terminal、SNMP Trap、AAA 审计、Syslog推荐外置 Syslog 日志服务器集中存储安全增强缩减攻击面、过滤恶意路由、路由协议安全校验1. 关闭不必要服务Telnet、Finger、HTTP2. 路由信息过滤distribute-list过滤路由更新no ip proxy-arp3. 路由协议认证OSPF MD5 认证RIP v2 支持 MD5RIP v1 无认证4. uRPF单播反向路径校验防 IP 欺骗依赖 CEF物理安全设备机房物理管控是所有安全的基础仅授权人员安装、维护、Console 本地接入制定设备损坏 / 配置篡改恢复预案网络设备安全增强技术方法设备类型安全增强方法核心说明 关键配置交换机1. 配置访问口令 ACL 限制登录两级控制①ACL 预先过滤非法连接②账号口令认证。Console/AUX/VTY/SNMP/Telnet/SSH/HTTP 均需要管控2. 端口镜像技术复制端口流量至监控端口用于流量监测、故障排查、安全审计3. MAC 地址控制端口安全 port-security①限制端口最大学习 MAC 数量抵御 MAC 地址泛洪攻击②MAC 老化时间推荐默认 300s时间过长耗尽 MAC 表过短误删有效条目4. 缩减攻击面关闭无用服务no ip http server、no cdp run、no ip domain-lookup、no ip source-route5. 账号与 AAA 安全本地账号、enable secret、service password-encryption开启 AAA登录失败次数限制6. SSH 安全加固生成 RSA 密钥使用 SSH v2限制 SSH 源 IP、会话超时、认证重试次数禁用 Telnet7. 控制台与 VTY 保护exec-timeout会话超时登录保护login block-for失败日志记录8. SNMP 安全配置复杂社区字串ACL 限制访问源 IP按需关闭 SNMP9. IOS 镜像与配置安全secure boot-image、secure boot-config保护固件与配置SCP 备份镜像10. 闲置端口管理关闭不用端口端口安全绑定 MAC限制最大 MAC 数量11. 日志审计Syslog 发送日志到远端日志服务器关闭 console/monitor 日志输出12. 登录警示 Bannerbanner login、banner motd提示未授权访问禁止登录路由器1. IOS 升级与补丁更新及时升级固件修补系统漏洞2. 关闭不必要网络服务CDP、TCP/UDP 小服务、Finger、HTTP、BOOTP、源路由、proxy-arp、ICMP 重定向、SNMP、DNS 查询等3. 关闭未使用接口shutdown闲置接口减少攻击入口4. 禁止 IP 直接广播、源路由no ip directed-broadcast防范 Smurf 攻击no ip source-route5. VTY 虚拟终端加固口令认证、ACL 限定可访问源网段优先 SSH尽量禁用 Telnet6. ACL 阻断恶意数据包过滤伪造内网源 IP、127 环回地址、广播包、ICMP 重定向、组播等非法报文7. 口令安全enable secret密文存储特权口令不要使用明文 password8. 传输加密IPSec VPN加密设备间通信流量9. SNMP 安全加固修改默认 public/private 团体字ACL 限制访问关闭不必要 SNMP trap网络设备常见漏洞与解决方法类别内容说明 / 考点常见漏洞拒绝服务漏洞恶意数据包发送造成设备停止服务破坏可用性思科交换机 HTTP 服务示例CSRF 跨站请求伪造CVE-2018-0255 思科 IE2000 交换机诱导用户执行非预期操作格式化字符串漏洞CVE-2018-0175Cisco IOS/IOS XE/IOS XR输入未校验引发XSS 跨站脚本CVE-2016-6404IOS IOx Local Manager Web 框架注入恶意脚本旁路Bypass漏洞绕过安全策略例思科流量限制绕过、华为 WiMAX 路由器认证绕过代码执行漏洞高危攻击者无需认证远程执行命令完全接管设备溢出漏洞整数 / 缓冲区CVE-2006-4650 GRE 整数溢出可 DoS、旁路 ACL、提权内存破坏漏洞CVE-2010-0576 MPLS 包处理异常远程恶意包触发设备 DoS漏洞解决方法1. 获取漏洞情报核对设备固件版本查询 CVE 库、厂商安全公告思科官网安全公告华为 PSIRT是华为漏洞唯一披露出口2. 漏洞扫描①端口扫描Nmap②通用漏洞扫描器Shadow Scanner、OpenVAS、Metasploit③思科专用Cisco Torch、CATCisco Auditing Tool3. 漏洞修补手段①修改配置改默认口令、关闭多余服务、开启加密②漏洞利用条件限制ACL 限制访问源 IP③服务替换SSH 替代 Telnet部署 IPSec④固件 / 软件包升级下载厂商 IOS / 固件升级修复底层代码漏洞
