Билет 8.

Уровень доступа

Наименование работ

Назначение работ

Требования к выполнению

Конфигурирование пользователей и паролей на физических устройствах

Защита от несанкционированного доступа, взлома пароля, атак вида «отказ в обслуживании».

Пароли для служб администратора системы должны быть заданы при любом доступе к коммутаторам. Пароли должны быть длиной 10 символов, не включать сленговые слова, наиболее вероятные комбинации, слова из словарей ОС. Необходимо установить срок действия пароля 3 месяца. Пароли должны быть зашифрованы средствами SNMPV3 для разных групп администраторов.

Необходимо обеспечить уровень обеспечения безопасности аутентификация и обеспечение конфиденциальности authPriv. Необходимо шифровать пароли алгоритмом md5, настроить сбор логов в буфер коммутатора.

Ограничение доступа через программы эмуляции терминала

Защита от угроз несанкционированного доступа, захвата контроля над системой в целях атак на другие системы.

Необходимо ограничить доступ к средствам ОС коммутатора через программу эмуляции терминала . Настроить таймаут для отключения администратора при неактивности, равный 10 минутам.

Ограничение доступа к средствам ОС коммутатора с помощью уровней привилегий

Защита от угроз несанкционированного доступа, захвата контроля над системой

Необходимо разграничить функции администраторов системы, назначив уровни привилегий. Обеспечить для главного администратора уровень ManagementLevel, для остальных уровень MonitoringLevel.

Наименование работ

Назначение работ

Требования к выполнению

Обеспечение безопасности порта

Защита от угроз несанкционированного доступа, атак приложений, взломов паролей, вирусов, подделки IP-адресов, захвата контроля над системой, атак вида «отказ в обслуживании»

1)Обеспечить ограничение прав доступа к порту коммутатора. Обеспечить идентификацию пользователя и контроль доступа к порту коммутаторов методами ААА согласно стандарту 802.1x. В случае не подтверждения подлинности пользователя, должно быть обеспечено его физическое отключение. Все порты необходимо сделать контролируемыми. Применить механизм аутентификации EAP. Используемый метод шифрования – md5. Режим авто-контроля порта (автоматический способ идентификации) формирует начальное состояние интерфейса как несанкционированный. Пользователю только разрешают получить или передать пакеты EAPoL, но не получить доступ к сетевым ресурсам. Если пользователь передает опознавательный поток, интерфейс переключится на санкционированный доступ, и затем пользователю разрешают получить доступ к сетевым ресурсам. Настроить для всех авторизированных пользователей. Установить период затишья 10мин до запуска проверки подлинности снова.Максимальное число попыток – 3 раза. Установить период «рукопожатия» 200секунд. Обеспечить принудительное «выбрасывание» пользователя через 20 мин.

2) Необходимо обеспечить возможность контроля доступа по MAC-адресам. Использовать статическое назначение адресов.

Наименование работ

Назначение работ

Требования к выполнению

Настройка сети управления

Защита от несанкционированного доступа, захвата контроля над системой, атак вида «отказ в обслуживании»

Необходимо обеспечить защиту от несанкционированного доступа, предусмотрев тот факт, что при первой установке операционной системы все порты коммутаторов назначаются виртуальной сети управления VLAN1. Необходимо переместить сеть управления в другую виртуальную сеть.

Уровень распределения

Исследование сети

Разработка политики безопасности

Определение пакетов пользователей, передающимся другим виртуальным сетям. Определение маршрутов, доступных магистральным коммутаторам. Определение сетевых служб, которые будут использоваться во всей сети

Установка списков доступа

Наименование работ

Контроль ресурсов и сетевых услуг

Назначение работ

Необходимо обеспечить управление доступом к различным сегментам сети из других сегментов с помощью списков доступа(ACL). Необходимо применить расширенные списки доступа – фильтрация на основании адреса источника, адреса получателя, типа протокола, приложения или номера порта транспортного протокола с администратором. Обеспечить возможность запрета подключения к принт-серверу, к почтовому серверу отдельных пользователей и групп пользователей. Необходимо учесть, что запреты могут накладываться временно и

Требования к выполнению

определить использование, необходимых каждому пользователю, сетевых служб. Не позволять пользователям подключаться к сетям, к которым нет статических маршрутов.

Настройка журналов протоколирования

Протоколирование и аудит

В целях поиска неисправностей обеспечить возможность с помощью записи в журнал протоколировать информацию о всех пакетах, соответствующих расширенному списку доступа.

Магистральный уровень

Вся политика безопасности реализуется на нижестоящих уровнях, чтобы не уменьшать производительность сети.