Cisco Security

Cisco IOS har stöd för många säkerhetsmekanismer och protokoll.

Device Security

Login enhancements

login block-for [seconds] attempts [attempts] within [seconds]

login quiet-mode access-class TRUSTED_HOSTS
ip access-list standard TRUSTED_HOSTS
 permit host 10.0.0.10

Syslog-meddelande om det görs 8 misslyckade inloggningsförsök inom en minut.

security authentication failure rate 8 log 

Password recovery är på default men går att stänga av.

no service password-recovery

Control Plane

Det är viktigt att skydda CPU i sina enheter, man kan styra accessen (Control-Plane Policing) och man kan överbelastningsskydda (Control-Plane Protection). Man kan styra trafik till control plane med hjälp av ACL:er och QoS-filter.

control-plane
 service-policy input CONTROL-PLANE
show policy-map control-plane

Management Plane Protection

control-plane host
 management-interface GigabitEthernet 0/1 allow ssh https

SSH

ip ssh version 2
crypto key generate rsa modulus 2048
line vty 0 15
 transport input ssh

Verify

show ssh
show ip ssh
show control-plane host open-ports

AAA

The aaa new-model command causes the local username and password on the router to be used in the absence of other AAA statements.

aaa new-model
show aaa
show aaa local user lockout

Fallback user account ifall AAA-server är unreachable

username fallback privilege 15 secret SECRETS

TACACS

TACACS+ är Ciscoproperitärt och all trafik är krypterad. Tacacs kommunicerar på TCP port 49.

aaa group server tacacs+ 
 server-private 10.0.0.20 key 7 078905478...
 server-private 10.0.0.21 key 7 134272319...
 ip vrf forwarding Mgmt
 ip tacacs source-interface gi0
aaa authentication login default group tacacs+ local
aaa authorization exec default group tacacs+ local

Verify

show tacacs

Radius

Använder UDP 1645-1646 eller 1812-1813, accounting är separat från authentication och authorization. Endast lösenord är krypterat.

radius-server host 10.0.0.10 auth-port 1812 acct-port 1813 key RadiusKey
aaa authentication login default group radius local

Verify

show radius

L2 Security

Se även Private VLANs och DHCP Snooping.

Ändra beteende på en switch. Fungerar som säkerhetsmekansim om CAM går fullt för då floodas inte alla frames.

switchport block unicast
switchport block multicast

Port Security

interface [interface]
 switchport mode access
 switchport port-security
 switchport port-security maximum 1
 switchport port-security mac-address sticky
 switchport port-security violation shutdown

Verify

show port-security interface

Ska port security kombineras med HSRP bör BIA MAC användas.

VACL

VLAN ACL

access-list 100 permit ip any host 10.0.0.10
vlan access-map BLOCK-TO-SERVER 10
 match ip address 100
 action drop
vlan access-map BLOCK-TO-SERVER 20
 action forward

Apply to vlan

vlan filter BLOCK-TO-SERVER vlan-list 10

VACL funkar också med non-IP traffic.

Storm Control

Storm control är teknik för att låta administratörer dämpa unicast-, multicast- eller broadcast-trafik på L2-interface. Det kan användas för att reducera skadan vid broadcast-stormar. Man måste ange gränsvärde (rising) men falling är optional.

interface gi0/7
 storm-control broadcast level bps 1m 500k

Ange vad som ska hända när tröskelvärde överskrids, t.ex. droppa frames eller skicka syslog-trap.

 storm-control action trap

Verify

show storm-control

802.1x

802.1x är ett säkerhetsprotokoll som låter klienter autentisera sig för att få tillgång till tråd/trådlösa nätverk.

show dot1x

DAI

För att skydda sitt L2-nätverk mot MITM med hjälp av G-ARP kan man använda Dynamic ARP inspection. DAI kräver DHCP Snooping eftersom ARP valideras mot snooping-databasen. Om inte ARPen stämmer överens mot det som står i databasen kommer frames att droppas, SW_DAI-4-DHCP_SNOOPING_DENY. Man slår på DAI per VLAN man vill skydda.

ip arp inspection vlan 10
show ip arp inspection

ip arp inspection trust
ip arp inspection validate ip

Static entries behövs för hostar som inte använder DHCP.

ip arp inspection filter ARP_ACL vlan 10

Logging

ip arp inspection vlan 10 logging acl-match

L3 Security

Tillåt ej IP options och source routing är bra praktik!

ip options drop
no ip source-route

ACL

Accesslistor finns i flera olika varianter.

Reflexive ACL
För att använda reflexive ACL behövs det en ACL för inbound traffic, en för outbound och en reflexive för att hålla koll på dynamic entries. Några begränsningar är att trafik endast kan initieras från ena sidan och det går inte ge olika trafikklasser olika access. Det funkar inte heller med applikationer som jobbar med olika portnummer, t.ex. FTP.

ip access-list extended Egress
 permit ip any any reflect Mirror
ip access-list extended Ingress
 evaluate Mirror

interface gi0/1
 description Outside
 ip access-group out Egress
 ip access-group in Ingress

Timeout

ip reflexive-list timeout 30

Verify

show ip access-lists Mirror
show ip access-lists

Lock and Key (Dynamic ACLs)
Lock and key configuration starts with the application of an extended ACL to block traffic through the router. Users that want to traverse the router are blocked by the extended ACL until they Telnet to the router and are authenticated. The Telnet connection then drops and a single-entry dynamic ACL is added to the extended ACL that exists. This permits traffic for a particular time period; idle and absolute timeouts are possible.

Turbo ACL
The turbo ACL feature is designed in order to process ACLs more efficiently in order to improve router performance. Found only on high-end platforms.

show access-list compiled

CBAC

Context-Based Access Control tillhandahåller stateful packet inspection på IOS-enheter.

ip access-list extended DENY_ALL
 deny ip any any
ip inspect name Web http
ip inspect name Web https
interface gi0/0
 description Outside
 ip access-group DENY_ALL in
 ip inspect Web out

Verify

show ip inspect all
show ip inspect sessions

ZFW

Zone-based policy firewall är stateful packet inspection som är VRF-aware. Man skapar zoner som man binder ett eller flera interface till. Default tillåts trafik mellan interface i samma zon. Konfigurationssyntaxen som används kallas Cisco Policy Language.

zone security INTERNET
zone security INSIDE
interface Gi1
 zone-member security INTERNET
interface Gi2
 zone-member security INSIDE

Bind ihop zonerna och ange source zon.

zone-pair security ZONE-PAIR source INSIDE destination INTERNET
 service-policy type inspect INSIDE-TO-INTERNET

För att tillåta trafik mellan zoner måste en policy skapas.

class-map type inspect match-any ALLOW-TRAFFIC
 match protocol icmp
 match protocol dns
 match protocol http

policy-map type inspect INSIDE-TO-INTERNET
 class type inspect ALLOW-TRAFFIC
  inspect
 class class-default
  drop

Verify

show zone-pair security
show policy-map type inspect zone-pair

uRPF

Unicast Reverse Path Forwarding är en mekanism som förhindrar spoofing attacks. Source-adressen på paket som kommer in kollas och jämförs mot den egna FIB:en för att säkerställa att paketen kommer in på det interface som routern själv hade använt för att nå den adressen. CEF är därför ett prereq för uRPF. uRPF finns i två modes och tar hänsyn till equal och unequal cost load sharing. Om default-routen också ska användas vid kontrollen måste allow-default sättas efter interface-kommandot.

Strict mode, fungerar såklart inte med asymmetric routing.

ip verify unicast source reachable-via rx

Loose mode
Med Loose mode räcker det att sourcen är reachable via något interface.

ip verify unicast source reachable-via any

Vill man inte kontrollera all trafik kan man matcha RPF-checken mot en ACL.

ip verify unicast source reachable-via rx <ACL> 

Verify

Show ip traffic
show ip verify source

IPv6

RA guard

interface GigabitEthernet0/1
 ipv6 nd raguard

Verify

show ipv6 snooping features
show ipv6 nd raguard

DHCP guard, Binding table, Device tracking, ND inspection/snooping, Source guard, PACL

IPS

IOS kan sättas upp som ett Intrusion Prevention System.

mkdir ips
ip ips config location flash:/ips
ip ips name IPS
show ip ips config