Hardening коммутатора и маршрутизатора: базовые проверки без даташита
Проверьте каждый коммутатор и маршрутизатор как устройство: заводская учётка снята, управление только из своего сегмента, незанятые порты выключены, события уходят в журнал. Куда разрешён SSH до консоли — другой текст: сегмент администрирования. Зоны VLAN — сегментация. Команды конкретного вендора сюда не копируем.
Статья опирается на логику направления «Безопасность конечных устройств» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 12 требует активно вести сетевые устройства, не оставить их «как с монтажа»: cisecurity.org/controls. Это не российский закон. Заходите только на своё железо, с консольным кабелем под рукой.
Минимум, который видно без даташита
| Проверка | Ожидаемо |
|---|---|
| Адрес управления | В 192.0.2.0/24 (свой замените), не в пользовательском VLAN |
| Вход | SSH или HTTPS, telnet и HTTP выключены, заводская учётка сменена |
| Порты без кабеля или без устройства в реестре | Административно выключены |
| Прошивка | Не из списка снятых с поддержки на сайте вендора |
| Журнал | Сыпется на сборщик: политика журналирования |
Устройство есть в реестре и на схеме: реестр активов, схема сети. SNMP со строкой public не оставляйте.
С хоста администрирования
Со своей станции в сегменте управления к своему адресу. Подставляйте только свои.
nc -zv -w 3 192.0.2.1 22
nc -zv -w 3 192.0.2.1 23Ожидаемо: 22 открыт, 23 не отвечает. С пользовательской станции оба не отвечают — это уже правило сети, не настройка на железе. Риск: правите боевой коммутатор без консоли и отрежете себя. Сначала копия конфигурации штатным экспортом вендора, потом правка, консоль не отключайте.
Квартальный разбор отверстий на межсетевом экране не заменяет эту таблицу на каждом коммутаторе: пересмотр firewall.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Управление с любого VLAN | Нет ACL на устройстве и нет сегмента. Закройте оба слоя |
| Порт «временно» включён полгода | Нет сверки с кабельным журналом. Выключите или заведите в реестр |
| Прошивка старше снятия с поддержки | План замены, не «ещё работает» |
| Журнала нет | Syslog не настроен или не доходит. Сначала доставка, потом галочка |
Где это в модели зрелости
Материал относится к направлению «Безопасность конечных устройств» (хаб: конечные устройства, карта: карта зрелости). Сегментация рисует зоны. Без проверки самого коммутатора зона держится на устройстве с заводским паролем. Это не hardening Linux-сервера и не витрина вендора.
Как проверить
- У каждого коммутатора и маршрутизатора заполнена таблица минимума.
- С пользовательской сети адрес управления не отвечает на 22 и 23.
- Со сегмента управления 22 отвечает, 23 нет.
- Незанятые порты выключены, заводской вход не принимается.
- Статья не заменяет CLI вендора и не учит обходу защиты.
Источники
- CIS Control 12: cisecurity.org/controls.
