Enterprise Network Security

Prezentace na téma: "Enterprise Network Security"— Transkript prezentace:

1 Enterprise Network Security
Accessing the WAN – Chapter 4

2 Objectives How to mitigate security threats
zmírnit hrozby How to mitigate security threats Configure Basic Router Security Disable unused router services and interfaces How to use Cisco SDM Manage Cisco IOS devices

3 How to Mitigate Security Threats
Jak minimalizovat ohrožení bezpečnosti How to Mitigate Security Threats Open vs. Closed Networks Otevřená síť: Povol všechno, co není přímo zakázáno Snadná konfigurace Uživatelé mají snadný přístup k síťovým prostředkům Náklady na bezpečnost: minimální

4 How to Mitigate Security Threats
Open vs. Closed Networks Uzavřená síť: Zakaž všechno, co není přímo dovoleno Obtížná konfigurace Uživatelé mají nesnadný přístup k síťovým prostředkům Náklady na bezpečnost: maximální

5 How to Mitigate Security Threats
Common security threats ZEVNITŘ – člověk, který pracuje u firmy, má přístup k HW, SW, heslům ZVENKU –firmy nebo lidé, kteří nemají přístup, ale dostanou se přes firewall a jiná opatření

6 How to Mitigate Security Threats
Common security threats NEODBORNÉ – škůdce používá primitivní prostředky, přesto se vlomí např. do webových stránek ODBORNÉ – škůdce má k dispozici techniku i znalosti na vysoké úrovni

7 How to Mitigate Security Threats
Types of network attacks Obhlídka terénu – sbírání informací, příprava na vlastní útok Neoprávněný přístup – pomocí odborných nástrojů a s využitím slabin systému

8 How to Mitigate Security Threats
Types of network attacks Odepření služeb – narušení sítí, systémů, služeb; zhroucení nebo zpomalení systému; vymazání, poničení informací Škodlivý SW, instalovaný na PC bez vědomí uživatele a proti jeho vůli. Samovolně se množí, šíří. Dělá všechno špatné, na co jen můžeme pomyslet.

9 How to Mitigate Security Threats
Common techniques against threats

10 How to Mitigate Security Threats
kolo Network Security Wheel 1. Učiň opatření pro bezpečnost 4. Na základě poznatků vylepši 2. Sleduj chod systému A tak pořád dokola ... 3. Aktivně testuj: pastičky, návnady

11 How to Mitigate Security Threats
Security policy in an organization Soubor pravidel, která musí dodržovat lidé, kteří mají přístup k podnikové technice a informacím.

12 How to Mitigate Security Threats
Security policy in an organization Chrání lidi, techniku, informace Stanoví pravidla chování pro uživatele, administrátory, vedení, bezpečnostní personál Opravňuje bezpečnostní personál sledovat, sondovat, vyšetřovat Stanoví postihy za nedodržování pravidel

13 Basic Router Security Role of routers
Advertise networks and filter who can use them. Provide access to network segments and subnetworks. Obrázek nestudovat, je to jen zbytečně složitá ilustrace. Inzerují vlastní sítě a filtrují, kdo je smí používat. Poskytují a filtrují přístup do segmentů sítě a do podsítí.

14 Basic Router Security R2 připojuje síť na internet. Proto
je hlavním terčem útoků hlavně na něm činíme opatření Basic Router Security Routers as targets = terče Útoky: Změna pravidel přístupu: odhalení tajných věcí zablokování provozu Změna směrovací tabulky: posílá jinam nebo vůbec

15 Basic Router Security Cisco IOS security on routers
1. Starej se o bezpečnost směrovače: kvalitní hesla, často je měň 2. Zabezpeč vzdálený přístup přes VTY = telnet, TTY = konzola, AUX = modem 3. Zaznamenávej činnosti směrovače 4. Zakaž, zavři ty služby a rozhraní, které přímo nepoužíváš. 5. Zabezpeč směrovací protokoly ověřováním totožnosti (authentication) 6. Řiď a filtruj provoz pomocí ACL = Access Control List

16 Basic Router Security Measures to secure Cisco routers
Založ hesla na zapamatovatelných větách Zadáme-li tento příkaz, heslo se ve výpisu konfigurace objeví zašifrované

17 Disable Unused Services and Interfaces
Services and interfaces that are vulnerable to network attack Zakaž všechno, co není nezbytně nutné.

18 Disable Unused Services and Interfaces
zranitelnost Vulnerabilities of management services SNMP = Simple Network Management Protocol v nižších verzích přenáší řídicí informace otevřeným textem. NTP = Network Time Protocol – slouží k synchronizaci hodin reálného času. Nechává po sobě otevřené porty. DNS = Domain Name Service – pomáhá útočníkům spojit si doménová jména ( s IP adresami ( ).

19 Securing Routing Protocols
Všechna rozhraní smějí aktualizace přijímat, nesmějí vysílat... ... s výjimkou s0/0/0 Pro ověření totožnosti aktualizací se bude používat klíč. Klíč sdělíme všem rozhraním, která se budou na aktualizacích podílet.

20 Disable Unused Services and Interfaces
Startuje se z privilegovaného, nikoliv konfiguračního módu. auto secure command Dialog, ve kterém si router vyžádá různá hesla a další informace, a odstaví všechny služby, které nejsou nezbytné. Změny potom zařadí do running config.

21 How to Use Cisco SDM Cisco SDM = Security Device Manager

22 How to Use Cisco SDM Cisco SDM = Security Device Manager
Security Device Manager (SDM) is a web-based tool for configuring LAN, WAN, and security Cisco routers. SDM je nástroj založený na webovém rozhraní, určený pro konfigurování LAN, WAN a bezpečnosti na routerech Cisco. Může být instalován a spuštěn v paměti routeru nebo v PC. V nových routerech je už instalován. Do některých starších se dá doinstalovat. Do nejstarších se doinstalovat nedá. Záleží také na verzi IOSu, která je v routeru instalovaná.

23 How to Use Cisco SDM Cisco SDM = Security Device Manager
SDM smart wizards vedou uživatele step-by-step a pomáhají konfigurovat LAN and WAN interfaces firewall IPS = Intrusion Prevention System VPNs = Virtual Private Networks

24 How to Use Cisco SDM Steps to configure a router to use SDM 1. 2. 3.
Enable the HTTP and HTTPS servers on the router Create a user account defined with privilege level 15 (enable privileges). Configure SSH and Telnet for local login and privilege level 15. 1. 2. 3.

25 How to Use Cisco SDM Steps to start SDM
Na PC, který je připojený k routeru, zadej do browseru IP adresu routeru.

26 How to Use Cisco SDM Cisco SDM Interface

27 How to Use Cisco SDM SDM wizards = průvodci
Příklad několika obrazovek průvodce pro konfiguraci NAT

28 How to Use Cisco SDM Security Audit = vyhodnocení bezpečnosti
Security Audit vyhodnotí bezpečnostní rizika a nabídne jejich odstranění. Uživatel zaškrtne v seznamu ta rizika, která chce odstranit. Když potom uživatel klikne na Next, SDM udělá všechny zaškrtnuté změny.

29 Manage Cisco IOS Devices
File systems used by a Cisco router Read and Write V tomto kurzu se budeme zabývat jen těmito systémy Write Only Read Only

30 Manage Cisco IOS Devices
File systems used by a Cisco router * znamená: toto je aktuální default systém # znamená: toto je bootable disk

31 Manage Cisco IOS Devices
File systems used by a Cisco router Flash měl na předchozím výpisu hvězdičku, tj. je aktuální default, proto se příkazem dir vypíše právě jeho obsah.

32 Manage Cisco IOS Devices
File systems used by a Cisco router Chceme-li zobrazit obsah nvram, musíme se do ní přepnout příkazem cd. Tím se stane aktuální default. Příkazem pwd = present working directory si ověříme, že jsme opravdu v nvram.

33 Manage Cisco IOS Devices
How to backup and upgrade a Cisco IOS image Copy the running configuration from RAM to the startup configuration in NVRAM: R2# copy running-config startup-config Nebo jen: R2# copy run start R2# copy system:running-config nvram:startup-config Copy the running configuration from RAM to a remote location: R2# copy running-config tftp: Nebo jen: R2# copy run tftp R2# copy system:running-config tftp: Copy a configuration from a remote source to the running configuration: R2# copy tftp: running-config Nebo jen: R2# copy tftp run R2# copy tftp: system:running-config Copy a configuration from a remote source to the startup configuration: R2# copy tftp: startup-config Nebo jen: R2# copy tftp start R2# copy tftp: nvram:startup-config Příklady kopírování – první zjednodušený, druhý úplnější

34 Manage Cisco IOS Devices
How to back up and upgrade Cisco IOS Příkaz copy flash: tftp: neříká přesně odkud – kam. Proto po jeho zadání jsme dotázáni na podrobnosti. Toto vyťukávám já Toto mi nabízí on

35 Manage Cisco IOS Devices
How to recover a Cisco IOS Když má router poškozený IOS, nabíhá jen s velmi primitivním operačním systémem zvaným rommon (= monitor umístěný v ROM). Kroky, které vedou k záchraně IOSu:

36 Manage Cisco IOS Devices
How to recover a Cisco IOS Krok 1 Adresu TFTP serveru a ethernetového rozhraní routeru nastavit takto. Připojit první ethernetové rozhraní routeru k TFTP serveru (to je PC, na kterém běží program „TFTP Server“). Jiné PC připojit k routeru pomocí konzoly.

37 Manage Cisco IOS Devices
How to recover a Cisco IOS Krok 2 V ROM monitoru zadat tyto parametry: Adresa a maska ethernetového rozhraní routeru Default gateway Adresa TFTP serveru Jméno souboru, do kterého jsme si na TFTP server prozíravě uložili IOS, dokud ještě fungoval.

38 Manage Cisco IOS Devices
How to recover a Cisco IOS Krok 3 V ROM monitoru zadat příkaz tftpdnld:

39 Manage Cisco IOS Devices
Show and debug commands Funguje staticky, tj. jednou po zadání a dost Málo zatěžuje router Shromažďuje fakta Funguje dynamicky, tj. pořád Zatěžuje router Sleduje procesy

40 Manage Cisco IOS Devices
How to recover passwords Příprava: Připojit PC jako konzolu.

41 Manage Cisco IOS Devices
How to recover passwords Zapíšeme si někam hodnotu konfiguračního registru, abychom nakonec byli schopni ji zase vrátit. Vypneme – zapneme router, stiskneme „Break“.

42 Manage Cisco IOS Devices
How to recover passwords Změníme hodnotu konfiguračního registru tak, aby říkala: Při startu ignoruj konfiguraci v NVRAM, tj. ignoruj hesla.

43 Manage Cisco IOS Devices
How to recover passwords Zkopírujeme si konfiguraci z NVRAM do RAM (RAM je totiž prázdná, neboť jsme zadali ignorovat konfiguraci).

44 Manage Cisco IOS Devices
How to recover passwords Změníme hesla (kvůli tomu jsme to všecko dělali). Vrátíme původní hodnotu konfiguračního registru.

45 Manage Cisco IOS Devices
How to recover passwords Shrnutí: Změnou konfiguračního registru přimějeme router, aby nevnímal konfiguraci v NVRAM, tj. ani hesla. Když router naběhne, změníme hesla. Vrátíme konfigurační registr na původní hodnotu.

46 Summary Security Threats to an Enterprise network include:
Unstructured threats Structured threats External threats Internal threats Methods to lessen security threats consist of: Device hardening Use of antivirus software Firewalls Download security updates

47 Summary Basic router security involves the following:
Physical security Update and backup IOS Backup configuration files Password configuration Logging router activity Disable unused router interfaces & services to minimize their exploitation by intruders Cisco SDM A web based management tool for configuring security on Cisco routers

48 Summary Cisco IOS Integrated File System (IFS)
Allows for the creation, navigation & manipulation of directories on a Cisco device

49