企业官网建设流程全解析

本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。

一、网络设备安全概述

1.1 交换机安全威胁

交换机面临的网络安全威胁主要有以下几个方面：

MAC地址泛洪攻击原理：

• 攻击原理：伪造大量虚假MAC地址发往交换机，耗尽交换机MAC地址表资源
• 本质：属于DoS攻击，通过耗尽交换机MAC地址表资源实现
• MAC地址表结构：包含三个字段——MAC地址、对应端口号（如f0/0）、所属VLAN（如VLAN 10）
• 转发机制：二层交换机基于MAC地址表转发数据，三层设备可基于IP地址转发

ARP欺骗攻击原理：

• ARP表作用：存储IP与MAC地址映射关系，用于数据链路层封装时的目的MAC地址查询
• 攻击方式：发送虚假ARP报文更新目标主机ARP缓存，导致封装错误的目的MAC地址
• 查看命令：在Windows使用arp -a，显示内容包括IP地址、物理地址和类型（动态/静态）
• 动态与静态区别：动态通过ARP协议学习，静态为手工绑定

口令威胁：

• 攻击方式：通过暴力破解或猜测方式获取设备管理密码
• 典型场景：使用弱密码或默认密码的设备容易被攻破

漏洞利用来源：

• 交换机底层基于Linux内核，上层运行厂商系统（如华为VRP），软件层可能存在漏洞
• 攻击后果：可导致拒绝服务、非授权访问、信息泄露、会话劫持等安全问题

1.2 路由器安全威胁

路由器面临的网络安全威胁主要有以下几个方面：

路由协议安全威胁：

• 协议本质：路由协议（如OSPF、BGP）实质是选路软件，用于确定去往目标网络的最佳路径
• 攻击方式：接收恶意路由协议报文，导致路由服务混乱或错误路由学习

DoS/DDoS威胁：

• 两种攻击方式：
  • 发送恶意数据包到路由器，致使路由器处理数据不当，导致路由器停止运行或干扰正常运行
  • 利用僵尸网络制造大的网络流量传送到目标网络，导致路由器处理瘫痪
• 实际难度：相比攻击服务器，使路由器瘫痪的难度更大

依赖性威胁：

• 攻击原理：破坏路由器依赖的服务或环境（如认证服务器、网管系统）
• 攻击效果：导致管理员无法正常登录管理设备

1.3 网络基础三张表

路由表核心字段：目标网络、子网掩码、下一跳、出接口。
跃点数：表示到达目标网络的开销值。

二、网络设备安全机制与实现技术

2.1 认证机制

网络设备对用户身份进行认证，用户需要提供正确口令才能使用网络设备资源。市场上的网络设备提供Console口令、AUX口令、VTY口令、user口令、privilege-level口令等多种形式的口令认证。

以思科路由器为例，Console口令配置过程：

Router#config terminal Router (config) #line console 0 Router (config-line) #login Router (config-line) #password console-password

华为对应命令：华为设备使用user-interface命令替代思科的line命令。

基础认证方式的问题：

• 管理痛点：当网络中存在大量设备（如1000台交换机）时，需要在每台设备单独配置用户名密码，管理维护成本高
• 安全隐患：基础认证方式将密码直接存储在设备本地，存在密码泄露风险

TACACS+和RADIUS认证：

• 集中认证优势：将用户名密码统一存储在后台认证服务器，只需管理服务器即可实现全网设备认证更新
• 协议区别：

典型架构：PC通过交换机/路由器访问时，认证请求被转发至TACACS+或RADIUS服务器进行验证。

2.2 访问控制

2.2.1 CON端口访问

安全配置：

• 限制特定IP访问：Router(Config-line)#access-class 10 in
• 关闭远程登录：Router(Config-line)#transport input none
• 应用场景：数据中心推荐采用带外管理，避免业务流量占满带宽导致无法管理

2.2.2 VTY访问控制

VTY（虚拟终端）访问允许通过网络远程登录网络设备。

安全措施：

• IP限制：通过ACL只允许特定IP（如X.Y.Z.12、X.Y.Z.5）访问
• 超时设置：exec-timeout 5 0表示5分钟无操作自动断开
• 华为对应命令：user-interface vty 0 4替代思科的line vty 0 4

2.2.3 HTTP访问控制

限制指定IP地址可以访问网络设备。例如，只允许X.Y.Z.15路由器，可配置如下：

Router (config) #access-list 20 permit X.Y.Z.15 Router (config) #access-list 20 deny any Router (config) #ip http access-class 20

强化HTTP认证配置：Router (config) #ip http authentication type
其中，type可以设为enable、local、tacacs或aaa。

安全风险：

• 弱密码易被暴力破解
• Web界面可能暴露设备配置信息（包括telnet密码）
• 密码未加密存储

防护措施：

• IP限制：ip http access-class 10
• 强化认证：ip http authentication local
• 关闭非必要服务

2.2.4 SNMP访问控制

为避免攻击者利用Read-only SNMP或Read/Write SNMP对网络设备进行危害操作，网络设备提供了SNMP访问安全控制措施。

一是SNMP访问认证：当通过SNMP访问网络设备时，网络设备要求访问者提供社区字符串认证，类似口令密码。如下所示，路由器设置SNMP社区字符串：

• 设置只读SNMP访问模式的社区字符串：
  Router (config) #snmp-server community UnGuesableStringReadOnly RO
• 设置读/写SNMP访问模式的社区字符串：
  Router (config) #snmp-server community UnGuesableStringWriteable RW

二是限制SNMP访问的IP地址：如只有X.Y.Z.8和X.Y.Z.7的IP地址对路由器进行SNMP只读访问：

Router (config) #access-list 6 permit X.Y.Z.8 Router (config) #access-list 6 permit X.Y.Z.7 Router (config) #access-list 6 deny any Router (config) #snmp-server community UnGuesableStringReadOnly RO 6

三是关闭SNMP访问：如下所示，网络设备配置no snmp-server community命令关闭SNMP访问：
Router (config) #no snmp-server community UnGuesableStringReadOnly RO

认证机制：

• 团体字（community）相当于密码
• 权限分级：RO（只读）和RW（读写）

安全配置：

• IP限制：只允许网管服务器IP访问
• 关闭服务：no snmp-server community

典型漏洞：默认团体字public/private常被利用。

2.2.5 设置管理专网

建立专用的网络用于管理设备，配置支持SSH访问，并且指定管理机器的IP地址才可以访问网络设备，从而降低网络设备的管理风险。具体方法如下：

1. 将管理主机和路由器之间的全部通信进行加密，使用SSH替代Telnet
2. 在路由器设置包过滤规则，只允许管理主机远程访问路由器

最佳实践：

• 建立独立管理网络，与业务网络隔离
• 使用SSH替代Telnet进行加密通信
• 配置ACL只允许管理主机访问

2.2.6 特权分级

针对交换机、路由器潜在的操作安全风险，交换机、路由器提供权限分级机制，每种权限级别对应不同的操作能力。

在Cisco网络设备中，将权限分为0~15共16个等级，0为最低等级，15为最高等级。等级越高，操作权限就越多。具体配置如下：

Router> show priv level Current privi lege level is 1 Router> enable 5 Password: level-5-password Router#show privilege Current privi lege level is 5 Router#

命令级别与用户级别对应关系：

等级划分：

• 思科/华为设备均支持0~15共16个权限等级
• 0级最低（如ping、tracert），15级最高（全部权限）

命令级别：

• 0级（参观级）：基础诊断命令
• 1级（监控级）：display类命令
• 2级（配置级）：业务配置命令
• 3级（管理级）：系统管理命令

权限原则：用户等级必须≥命令等级才能执行相应命令。

2.3 信息加密

网络设备配置文件中有敏感口令信息，一旦泄露，将导致网络设备失去控制。为保护配置文件的敏感信息，网络设备提供安全加密功能，保存敏感口令数据。未启用加密保护的时候，配置文件中的口令信息是明文，任何人都可以读懂。启用service password-encryption配置后，对口令明文信息进行加密保护。

进入console配置模式：

[*CE6800]user-interface console 0 [*CE6800-ui-console0]authentication-mode password [*CE6800-ui-console0]set authentication password cipher huawei@123 [*CE6800-ui-console0]quit

敏感信息保护：网络设备配置文件中包含敏感口令信息，若以明文形式存储，通过80端口查看配置时可能泄露密码，导致设备被非法控制（如通过23端口Telnet登录）。

加密配置命令：

• 思科设备：使用service password-encryption命令对明文口令加密
• 华为设备配置示例：set authentication password cipher huawei@123

加密效果验证：通过display this命令查看时，密码显示为密文形式（如ic*05OJfix=*$;"Y;B)++WUpQ3^:K)cQFk*6n$81^AG9#nFY!40R$），无法直接获取原始密码。

2.4 安全通信

网络设备和管理工作站之间的安全通信有两种方式：一是使用SSH；二是使用VPN。

1. SSH：为了远程访问安全，网络设备提供SSH服务以替换非安全的Telnet。
如下所示，是在路由器RouterOne上设置SSH访问，VTY配置成只允许SSH访问：

Router (config) #hos tname RouterOne RouterOne (config) #ip domain-name mydomain.com.in RouterOne (config) #crypto key generate rsa RouterOne (config) #ip ssh time-out 60 RouterOne (config) #ip ssh authentication-retries 2 RouterOne (config) #line vty 0 4 RouterOne (config-line) #transport input ssh

2. IPSec VPN：网络设备若支持IPSec，则可以保证管理工作站和网络设备的网络通信内容是加密传输的。

SSH替代Telnet：

• Telnet采用明文传输，存在安全风险
• SSH配置示例（思科设备）：需将VTY线路配置为仅允许SSH访问

IPSec VPN应用：

• 支持IPSec的设备可加密管理工作站与设备间的通信内容
• 典型应用场景：远程管理时建立加密隧道

2.5 日志审计

网络运行中会发生很多突发情况，通过对网络设备进行审计，有利于管理员分析安全事件。

网络设备提供控制台日志审计、缓冲区日志审计、终端审计、SNMP traps、AAA审计、Syslog审计等多种方式。

由于网络设备的存储信息有限，一般是建立专用的日志服务器，并开启网络设备的Syslog服务，接收网络设备发送出的报警信息。

审计方式：

• 控制台日志审计（记录操作命令）
• 缓冲区日志审计
• SNMP traps审计
• AAA审计（认证、授权、计费）
• Syslog标准协议审计

日志服务器部署：

• 因设备存储空间有限，需建立专用日志服务器
• 实现方案：服务器安装Syslog软件、专业审计设备（如上网行为管理设备）
• 关键配置：开启设备Syslog服务指向服务器地址

2.6 安全增强

1. 关闭非安全的网络服务及功能。
2. 信息过滤。
3. 协议认证。为保证路由协议的正常运行，用户在配置路由器时要使用协议认证。如果不是这样，路由器就会来者不拒，接收任意的路由信息，从而可能被恶意利用。

非安全服务关闭：如关闭不必要的Web服务（80端口），防止配置泄露。
信息过滤：通过ACL限制登录源IP。
协议认证：

• 路由协议（如BGP）需配置邻居认证
• 防止接收恶意路由信息
• 典型场景：BGP邻居建立时需交换认证信息

2.7 强物理安全

物理安全是网络设备安全的基础，物理访问必须得到严格控制。物理安全的策略主要如下：

• 指定授权人安装、卸载和移动网络设备
• 指定授权人进行维护以及改变网络设备的物理配置
• 指定授权人进行网络设备的物理连接
• 指定授权人进行网络设备的控制台使用以及其他的直接访问端口连接
• 明确网络设备受到物理损坏时的恢复过程或者出现网络设备被篡改配置后的恢复过程

访问控制：

• 设备安装/移动需授权
• 物理配置变更需审批
• 控制台端口使用权限管控

环境安全：

• 机房需配置门禁系统（人脸识别/指纹识别）
• 防火防雷设施

灾备恢复：

• 制定设备物理损坏恢复流程
• 配置篡改后的回退方案

本章小结

本章节系统梳理了网络设备安全基础与安全机制：

• 交换机四大威胁：MAC地址泛洪（伪造虚假MAC耗尽16k表容量，属DoS）、ARP欺骗（发送虚假ARP包更新缓存）、口令威胁（暴力破解）、漏洞利用（底层Linux内核+厂商系统如VRP）
• 路由器五大威胁：漏洞利用、口令安全、路由协议安全（OSPF/BGP实质是选路软件）、DoS/DDoS（两种方式：恶意包/僵尸网络流量）、依赖性威胁（破坏认证服务器/网管系统）
• 网络基础三张表：MAC地址表（转发依据，display mac-address）、ARP表（封装依据，arp -a/display arp）、路由表（选路依据，route print/display ip routing-table）
• 认证机制：多种口令形式（Console/AUX/VTY/user/privilege-level），集中认证TACACS+（思科私有，加密整个会话）vs RADIUS（开放标准，仅加密密码）
• 访问控制六类：CON端口（带外/带内）、VTY（ACL限制IP+超时）、HTTP（access-class限制+认证强化）、SNMP（团体字RO/RW+IP限制+关闭服务）、管理专网（独立网络+SSH）、特权分级（0-15级，用户等级≥命令等级）
• 命令四级：0级参观（ping/tracert）、1级监控（display）、2级配置（业务配置）、3级管理（系统管理）
• 信息加密：service password-encryption（思科）/cipher（华为），防止明文密码泄露
• 安全通信：SSH替代Telnet（配置crypto key generate rsa+transport input ssh）、IPSec VPN加密隧道
• 日志审计：六种方式（控制台/缓冲区/SNMP traps/AAA/Syslog），专用日志服务器集中存储
• 安全增强：关闭非安全服务、ACL信息过滤、路由协议认证（BGP邻居认证）
• 物理安全：授权安装/维护/连接、门禁系统、灾备恢复流程

上述内容中，MAC地址泛洪与ARP欺骗原理、TACACS+与RADIUS区别、特权分级0-15级与命令四级对应关系、SSH替代Telnet配置、SNMP团体字安全为高频考点，访问控制配置和特权分级可能出现在下午案例分析题中。

本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。