Para esta tarea hay colecciones de best practices y checklists a completar: aplicar procesos de autenticación, autorización y registro sólidos para los accesos de gestión, utilizar protocolos de gestión seguros (SSH o HTTPS), suprimir servicios que no se utilizan y asegurar aquellos que son necesarios, asegurar vulnerabilidades, etc.
Un recurso de IOS diseñado para facilitar esta tarea es Autosecure.
Se trata de un feature que permite asegurar un router utilizando un único comando. Algunos de los efectos de la ejecución del comando son los siguientes:
Deshabilita los siguientes servicios globales sin necesidad de intervención del operador:
- Finger.
- PAD.
- Small Servers.
- BOOTP Server.
- HTTP Server.
- Identification Service (RFC 1413).
- CDP.
- NTP.
- Source Routing.
- ICMP redirects
- ICMP unreachables.
- ICMP mask reply messages.
- Proxy ARP.
- Directed Broadcast.
- MOP (Maintenance Operations Protocol).
- Service passowrd-encryption
- Service tcp-keepalives-in
- Service tcp-keepalives-out
- Si no hay un banner, se solicita al operador que redacte uno.
- Se configura secret password en los acceso por consola, auxiliar y vty.
- Se implementa transport input y transport output.
- En puerto consola y auxiliar se configura un exec-timeout de 10 minutos.
- Siempre que sea posible se implementa SSH y SCP.
- Si el operador indica que no utiliza SNMP se deshabilita el protocolo si las comunidades están definidas como "public" y "private".
- Configura AAA local y pregunta para que el operador defina un usuario y una clave.
- Implementa número de secuencia y regristo de tiempo para todos los mensajes.
- Se generan registros en cada intento de acceso.
- Se envían mensajes de syslog de severidad crítica a todas las líneas de acceso.
- Se habilita un buffer de memoria RAM para almacenar localmente mensajes de syslog.
- Envía todos los mensajes de syslog de severidad mayor a debugging a un servidor.
- Habilita CEF (Cisco Express Forwarding).
- Habilita TCP intercept.
- Habilita uRPF (unicast Reverse Path Forwarding).
- Habilita la configuración del firewall CBAC (Context-Based Access Control).
Configuración
Router>enable
Router#auto secure
De esta manera se inicia un diálogo semi-interactivo que permite asegurar los planos de management y de datos (o forwarding).
Si no se desea utilizar el díálogo interactivo (hay que utilizarlo con mucho cuidado), el comando es entonces:
Router#auto secure no-interact
Si en cambio se desea que el sistema solicite confirmación antes de realizar cada uno de los cambios, el comando es:
Router#auto secure full
Es posible asegurar solamente el plano de management:
Router#auto secure management
O solamente el plano de datos:
Router#auto secure forwarding
Para verificar los comandos de configuración que se ejecutaron eon este macro:
Router#show auto secure config
Este feature está disponible a partir de IOS 12.3(1)S.
