सिस्को नेटवर्क में खतरे और सुरक्षा के बारे में

प्रौद्योगिकी की असीमित शक्ति की आधुनिक दुनिया में, संग्रहीत या प्रेषित डेटा की गोपनीयता , अखंडता और उपलब्धता पर अधिक से अधिक ध्यान दिया जाता है। और यह समझ में आता है, क्योंकि कौन ऐसी जानकारी चाहता है जिसे व्यक्तिगत माना जाता है या तीसरे पक्ष (या भगवान) के प्रतियोगियों या यहां तक ​​कि दुश्मनों के पास जाने के लिए गुप्त।

तो डेटा ट्रांसमिशन नेटवर्क के क्षेत्र में संरक्षित जानकारी क्या है? कोई बिल्कुल सुरक्षित नेटवर्क नहीं है और न ही हो सकता है, और इसे पूरी तरह से सुरक्षित माना जा सकता है, शायद तभी जब आप प्रत्येक डिवाइस को नेटवर्क से डिस्कनेक्ट करते हैं (या शायद, शायद, इसे पूरी तरह से बंद कर दें, विश्वसनीयता के लिए)। लेकिन कौन एक नेटवर्क की जरूरत है जिसमें डेटा संचारित न हो? सही है, कोई नहीं। इस प्रकार, यह सवाल उठता है कि इसे कैसे संभव बनाया जाए, जितना संभव हो, उन सभी संभावित कमजोरियों को ध्यान में रखते हुए जिन्हें वर्जन के निर्माताओं (सॉफ्ट / हार्ड) द्वारा बार-बार फेंका जाता है।

इस लेख में, मैं सिस्को उपकरणों को इस तरह से कॉन्फ़िगर करने की कुछ बारीकियों को बताऊंगा / दिखाऊंगा, जो कि इन डिवाइसों तक पहुंच को नियंत्रित करने में सक्षम हो, जो कि मुख्य नेटवर्क नोड्स में से एक है, और यह वास्तव में किस तरह का एक्सेस होगा।

तीन मुख्य उपप्रकार:

- "भूमिका द्वारा" पहुंच स्थापित करना

यह तथाकथित विचारों के बारे में बताया जाएगा, जो यह निर्धारित करते हैं कि किसी विशेष अधिकृत उपयोगकर्ता के लिए कौन से आदेशों का उपयोग किया जा सकता है ("उपलब्ध")

- प्राधिकरण प्रक्रिया की सुरक्षा बढ़ाने के साधन

जहां यह उपयोगकर्ता प्राधिकरण प्रक्रिया में किए जाने वाले सुधारों के बारे में बताया जाएगा, जैसे कि गलत डेटा दर्ज करने के कितने प्रयास किए जा सकते हैं, प्राधिकरण प्रक्रिया का लॉगिंग, आदि।

- iOS छवियों और मौजूदा कॉन्फ़िगरेशन फ़ाइलों की सुरक्षा

जहां इसे हटाए गए iOS और कॉन्फ़िगरेशन फ़ाइल की सुरक्षा क्षमताओं और पुनर्प्राप्ति के बारे में बताया जाएगा, हाँ, और ऐसा होता है।

---

1. "भूमिका द्वारा" पहुंच स्थापित करना।

इसलिए, सरल शब्दों में, भूमिका-आधारित पहुंच स्थापित करना आपको सीमित पहुंच और आदेशों के एक सेट के साथ कॉन्फ़िगर करने योग्य उपकरणों के लिए माध्यमिक प्रशासकों के प्रोफाइल बनाने की अनुमति देता है।

एक दृश्य (प्रोफ़ाइल टेम्पलेट) बनाने की प्रक्रिया:

- एएए सक्षम करें (प्राधिकरण, प्रमाणीकरण, लेखा)

राउटर (विन्यास) # आ नया मॉडल

- रूट दृश्य सक्षम करें (मोड विशेषाधिकार मोड की तुलना में एक कदम अधिक है, यह इसमें से है और केवल इससे आप अन्य दृश्य टेम्पलेट बना सकते हैं)

राउटर # सक्षम दृश्य
नोट: उपरोक्त कमांड को निष्पादित करने के बाद, डिवाइस रूट दृश्य में प्रवेश करने का प्रयास करते समय एक गुप्त पासवर्ड मांगेगा, जिसे कमांड का उपयोग करके पूर्व-सेट किया जा सकता है: गुप्त [पासवर्ड] सक्षम करें । निष्पादन के बाद, एक समान कंसोल संदेश दिखाई देना चाहिए:
* 17 अक्टूबर 20: 53: 57.203:% PARSER-6-VIEW_SWITCH: 'रूट' देखने के लिए सफलतापूर्वक सेट।

- नया दृश्य बनाएं

(उदाहरण के लिए, एक ST_ONLY व्यू टेम्प्लेट बनाएं, जो केवल "शो ..." और "टेलनेट ..." से शुरू होने वाले कमांड तक पहुंच के साथ-साथ SP_ONLY व्यू टेम्प्लेट को कमांड "शो ..." और "पिंग" तक पहुंच के साथ देखते हैं। ) और बनाए गए पासवर्ड देखें (उपयोगकर्ता, अर्थात् व्यू टेम्प्लेट) और उपलब्ध कमांड के सेट पर ध्यान दें
राउटर (कॉन्फ़िगरेशन) # पार्सर एसटी_ओनली देखें
* Oct 17 20: 58: 12.943:% PARSER-6-VIEW_CREATED: 'S_ONLY' को सफलतापूर्वक बनाया गया।
राउटर (कॉन्फ़िग-व्यू) # गुप्त पास 2st
राउटर (कॉन्फिग-व्यू) # कमांड्स निष्पादन में सभी शो शामिल हैं
राउटर (कॉन्फिग-व्यू) # कमांड्स निष्पादन में सभी टेलनेट शामिल हैं
राउटर (कॉन्फिग) # पार्सर SP_ONLY देखें
* Oct 17 21: 00: 12.771:% PARSER-6-VIEW_CREATED: 'SP_ONLY' को सफलतापूर्वक बनाया गया।
राउटर (कॉन्फ़िग-व्यू) # गुप्त पास 2 एसपी
राउटर (कॉन्फिग-व्यू) # कमांड एक्जीक्यूटिव में शो शामिल हैं
राउटर (कॉन्फिग-व्यू) # कमांड्स निष्पादन में पिंग शामिल हैं

अब, इस मामले में जब यह आवश्यक है, तो आप तथाकथित सुपर दृश्य बना सकते हैं, कई अन्य सरल दृश्य टेम्पलेट्स का संयोजन कर सकते हैं:
राउटर (कॉन्फ़िगरेशन) # पार्सर दृश्य SUP_VIEW पर्यवेक्षण
राउटर (कॉन्फिग-व्यू) # गुप्त पास 2sview
राउटर (कॉन्फ़िग-व्यू) # दृश्य ST_ONLY
राउटर (config-view) # दृश्य SP_ONLY

उसके बाद, आप स्थानीय डिवाइस डेटाबेस के उपयोगकर्ता बना सकते हैं। प्रत्येक बनाए गए उपयोगकर्ता को एक डिफ़ॉल्ट दृश्य सौंपा गया है, जिसके आदेश इस उपयोगकर्ता के लिए उपलब्ध होंगे:
राउटर (कॉन्फ़िगरेशन) # उपयोगकर्ता नाम st_admin देखें ST_ONLY गुप्त cisco1
राउटर (कॉन्फ़िगरेशन) # उपयोगकर्ता नाम sp_admin SP_ONLY गुप्त cisco2 देखें
राउटर (कॉन्फ़िगरेशन) # उपयोगकर्ता नाम sview_admin SUP_VIEW गुप्त सिस्को 3 देखें

कार्य विन्यास का पूर्ण उदाहरण:

राउटर> सक्षम करें
राउटर # कॉन्फ़िगर टर्मिनल
कॉन्फ़िगरेशन कमांड दर्ज करें, प्रति पंक्ति एक। CNTL / Z के साथ अंत।
राउटर (विन्यास) # आ नया मॉडल
राउटर (कॉन्फिग) # गुप्त सुपरसेक्रिटस्कॉपसवर्ड को सक्षम करें
राउटर (कॉन्फ़िगरेशन) # निकास
* 17 अक्टूबर 21: 13: 37.511:% SYS-5-CONFIG_I: कंसोल से कंसोल द्वारा कॉन्फ़िगर किया गया
राउटर # सक्षम दृश्य
पासवर्ड:
राउटर #
* 17 अक्टूबर 21: 13: 56.035:% PARSER-6-VIEW_SWITCH: 'रूट' देखने के लिए सफलतापूर्वक सेट किया गया।
राउटर # कॉन्फ़िगर टर्मिनल
कॉन्फ़िगरेशन कमांड दर्ज करें, प्रति पंक्ति एक। CNTL / Z के साथ अंत।
राउटर (कॉन्फ़िगरेशन) # पार्सर एसटी_ओनली देखें
* Oct 17 21: 14: 41.699:% PARSER-6-VIEW_CREATED: 'ST_ONLY' को सफलतापूर्वक बनाया गया।
राउटर (कॉन्फ़िग-व्यू) # गुप्त पास 2st
राउटर (कॉन्फिग-व्यू) # कमांड्स निष्पादन में सभी शो शामिल हैं
राउटर (कॉन्फिग-व्यू) # कमांड्स निष्पादन में सभी टेलनेट शामिल हैं
राउटर (कॉन्फ़िगर-व्यू) # बाहर निकलें
राउटर (कॉन्फ़िगरेशन) #
राउटर (कॉन्फिग) # पार्सर SP_ONLY देखें
* 17 अक्टूबर 21: 15: 32.279:% PARSER-6-VIEW_CREATED: 'SP_ONLY' को सफलतापूर्वक बनाया गया।
राउटर (कॉन्फ़िग-व्यू) # गुप्त पास 2 एसपी
राउटर (कॉन्फिग-व्यू) # कमांड्स निष्पादन में सभी शो शामिल हैं
राउटर (कॉन्फिग-व्यू) # कमांड्स निष्पादन में सभी पिंग शामिल हैं
राउटर (कॉन्फ़िगर-व्यू) # बाहर निकलें
राउटर (कॉन्फ़िगरेशन) #
राउटर (कॉन्फ़िगरेशन) # पार्सर दृश्य SUP_VIEW पर्यवेक्षण
* Oct 17 21: 16: 31.783:% PARSER-6-SUPER_VIEW_CREATED: सुपर व्यू 'SUP_VIEW' सफलतापूर्वक बनाया गया।
राउटर (कॉन्फिग-व्यू) # गुप्त पास 2sview
राउटर (कॉन्फ़िग-व्यू) # दृश्य ST_ONLY
* Oct 17 21: 17: 39.451:% PARSER-6-SUPER_VIEW_EDIT_ADD: ST_ONLY को पर्यवेक्षणीय SUP_VIEW में जोड़ा गया।
राउटर (config-view) # दृश्य SP_ONLY
* अक्टूबर १ PAR २१: १ 44: ४४.० :३:% PARSER-६-SUPER_VIEW_EDIT_ADD: देखिए SP_ONLY को पर्यवेक्षणीय SUP_VIEW में जोड़ा गया।
राउटर (कॉन्फ़िगर-व्यू) # बाहर निकलें
राउटर (कॉन्फ़िगरेशन) # उपयोगकर्ता नाम st_admin देखें ST_ONLY गुप्त cisco1
राउटर (कॉन्फ़िगरेशन) # उपयोगकर्ता नाम sp_admin SP_ONLY गुप्त cisco2 देखें
राउटर (कॉन्फ़िगरेशन) # उपयोगकर्ता नाम sview_admin SUP_VIEW गुप्त सिस्को 3 देखें
राउटर (कॉन्फिग) # आआ आथेंटिफिकेशन लॉगिन डिफॉल्ट लोकल
राउटर (कॉन्फिग) # आआ ऑथराइजेशन डिफॉल्ट लोकल निष्पादित करता है
राउटर (विन्यास) # आ प्राधिकरण प्रमाणीकरण कंसोल
राउटर (कॉन्फ़िगरेशन) # निकास
राउटर # रे
भवन विन्यास ...

* 17 अक्टूबर 21: 23: 19.771:% SYS-5-CONFIG_I: कंसोल द्वारा कंसोल से कॉन्फ़िगर किया गया
राउटर #

अब, प्राधिकरण के बाद, उपयोगकर्ता st_admin, sp_admin और sview_admin के पास बहुत सीमित संख्या में आदेश हैं:

---

उपयोगकर्ता पहुँच सत्यापन

उपयोगकर्ता नाम: st_admin
पासवर्ड:

राउटर> ?
आदेश निष्पादित करें:
विशेषाधिकार प्राप्त आदेशों को चालू करें
EXEC से बाहर निकलें
शो रनिंग सिस्टम जानकारी
टेलनेट एक टेलनेट कनेक्शन खोलें

---

राउटर> यूजर एक्सेस वेरिफिकेशन

उपयोगकर्ता नाम: sp_admin
पासवर्ड:

राउटर> ?
आदेश निष्पादित करें:
विशेषाधिकार प्राप्त आदेशों को चालू करें
EXEC से बाहर निकलें
पिंग इको संदेश भेजें
शो रनिंग सिस्टम जानकारी

---

राउटर> यूजर एक्सेस वेरिफिकेशन

उपयोगकर्ता नाम: sview_admin
पासवर्ड:

राउटर> ?
आदेश निष्पादित करें:
विशेषाधिकार प्राप्त आदेशों को चालू करें
EXEC से बाहर निकलें
पिंग इको संदेश भेजें
शो रनिंग सिस्टम जानकारी
टेलनेट एक टेलनेट कनेक्शन खोलें

---

2. प्राधिकरण प्रक्रिया की सुरक्षा बढ़ाने के साधन

इस भाग में, मैं एक सिस्को डिवाइस पर उपयोगकर्ता प्राधिकरण प्रक्रिया की सुरक्षा बढ़ाने के उद्देश्य से आदेशों का एक सेट प्रदान करूंगा और इसके उद्देश्य को संक्षेप में बताऊंगा।

किसी निश्चित संख्या {{}} की निश्चित अवधि के दौरान असफल प्रयासों के बाद डिवाइस पर दिए गए समय {sec1} के लिए अधिकृत करने की क्षमता को निष्क्रिय करता है {sec2}।
राउटर (कॉन्फिग) # लॉगिन ब्लॉक-फॉर {sec1} {{2}} के भीतर {num} का प्रयास करता है

राउटर सूची द्वारा निर्दिष्ट राउटर तक उपकरणों के एक समूह तक पहुंचने की अनुमति देता है, भले ही प्राधिकरण विकल्प पिछले कमांड "लॉगिन ब्लॉक-फॉर ..." द्वारा अवरुद्ध हो। यही है, दूसरे शब्दों में - मामले में जब एक हमलावर क्रूर बल द्वारा एक पासवर्ड खोजने की कोशिश करता है, ताकि हम खुद अभी भी लॉग इन करने में सक्षम हो सकें।

राउटर (कॉन्फ़िगरेशन) # एक्सेस-लिस्ट 10 परमिट 10.0.0.0
राउटर (कॉन्फ़िगरेशन) # लॉगिन काफी-मोड एक्सेस-क्लास 10

सेकंड्स {सेकंड} में प्राधिकरण प्रयासों के बीच अंतराल सेट करता है।
राउटर (कॉन्फ़िगरेशन) # लॉगिन देरी {सेकंड}

SYSLOG में असफल / सफल प्राधिकरण प्रयासों का लॉगिंग।
राउटर (कॉन्फ़िगरेशन) # लॉगिन ऑन-फेल लॉग हर {संख्या}
राउटर (कॉन्फ़िगरेशन) # लॉगिन ऑन-सक्सेस लॉग हर {संख्या}

उपयोगकर्ता द्वारा पासवर्ड बदलने पर न्यूनतम पासवर्ड लंबाई की अनुमति दी जाती है।
राउटर (कॉन्फ़िगरेशन) # सुरक्षा पासवर्ड न्यूनतम लंबाई {संख्या}

टाइमआउट जिसके बाद उपयोगकर्ता सिस्टम के "किक आउट" करता है।
राउटर (config-line) # निष्पादन-समय {min} {sec}

कॉन्फ़िगरेशन में संग्रहीत पासवर्ड का एन्क्रिप्शन।
राउटर (कॉन्फ़िगरेशन) # सेवा पासवर्ड-एन्क्रिप्शन

3. IOS छवि और मौजूदा कॉन्फ़िगरेशन फ़ाइलों की सुरक्षा करना

अगर किसी ने फिर भी डिवाइस में लॉग इन किया और IOS और कॉन्फ़िगरेशन फ़ाइल को मिटा दिया, तो यह एक लंबे समय तक डाउनटाइम (IOS डाउनलोड होने तक, जब तक बैकअप कॉन्फ़िगरेशन नहीं मिलता है, यदि कोई हो), गतिविधि के कुछ क्षेत्रों में अस्वीकार्य हो सकता है।

दो बचाव दल, मिलते हैं:

यह कमांड iOS सुरक्षा को सक्षम बनाता है (iOS की एक नायाब प्रतिलिपि बनाता है)
राउटर (कॉन्फ़िगरेशन) # सुरक्षित बूट-छवि

यह कमांड कॉन्फिगरेशन फाइल प्रोटेक्शन को सक्षम बनाता है (स्टार्टअप-कॉन्फिग की एक नायाब कॉपी बनाता है)
राउटर (विन्यास) # सुरक्षित बूट-विन्यास
नोट: आईएसओ को पुनर्स्थापित करने में सक्षम होने के लिए, PCMCIA स्लॉट के साथ एक राउटर की आवश्यकता होती है

रोमनोम मोड में, PCMCIA से बूट करने के लिए डिवाइस और छवि का नाम बताएं
rommon> बूट स्लॉट: c3745-js2-mz.bin
एक अस्थायी फ़ाइल के लिए डिवाइस कॉन्फ़िगरेशन को पुनर्स्थापित करें
राउटर (कॉन्फिग) # सुरक्षित बूट-कॉन्फिगर फ्लैश को बहाल करता है: बचाव-सीएफजी
कॉन्फ़िगरेशन फ़ाइल के लिए और उसके बाद अस्थायी फ़ाइल की प्रतिलिपि बनाएँ
राउटर # कॉपी फ्लैश: बचाव-सीएफजी स्टार्टअप-कॉन्फिग
और रिबूट।

यह लेख ज्ञान को संक्षेप और व्यवस्थित करने के लिए CCNA सुरक्षा CBT_Nuggets को देखने के साथ-साथ परीक्षाओं की तैयारी के लिए प्रेरित था।