Reforzando la seguridad en los router Cisco

Reforzando la seguridad de los router Cisco

Descripción

Un router es un dispositivo de red fundamental porque es el encargado de enrutar el trafico fuera de nuestra intranet por lo tanto todo el trafico pasa por el ,por ello es indispensable realizar un hardening o aseguramiento de un router, en este caso un  router Cisco que tiene sus propios comandos. Hoy en dia se puede configurar con CCP(Cisco Configuration professional) pero lo haremos a lo manual.

Nosotros para asegurar un router Cisco vamos utilizar GNS3 y por internet hay muchos sitios donde puedes encontrar imagenes de router Cisco, en este caso yo utilizare la imagen del modelo de router 1700, tambien puedes utilizar packet tracert 7.0 que viene con muchas mejoras 

Las acciones  fundamentales para asegurar un router son:

1. Establecer una longitud  minima de password

2. Controlar el tiempo de inactividad de una linea

3. Controlar el acceso a todos los puertos 

4. Deshabitar puertos no utilizados

5. Encriptar todas las contraseñas del router

6. Crear un banner para disuadir de posibles accesos no autorizados

7. Crear usuarios 

8. Deshabitar todos los servicios que no se utilizan

9. Configurar SSH

10. Bloqueo de ataques de fuerza bruta online

11. Monitorear todos los cambios en un router y guardar los logs de manera segura 

12. Asegurar los archivos (IOS y archivo de configuración)

13. Control de acceso (por ejemplo mediante roles)

Vamos a realizar todos los pasos excepto el 4 y 9 que lo dejaremos para otro articulo.

1.Establecer un tamaño minimo de contraseña

A partir del release 12.3(1) del IOS de Cisco podemos poner un minimo tamaño para las contraseñas del router que puede ser de 0 a 16 caracteres.

El comando es:

 security password min-length longitud

Este comando se aplica sobre contraseñas ya establecidas en cuentas de usuario ,modo exec privilegiado y lineas virtuales.

2.Controlar el tiempo de inactividad de una linea

Para limitar el tiempo de inactividad de una linea de consola(la que nos permite configurar por primera vez el router).

line console 0
exec-timeout minutos segundos 

Para limitar el tiempo de inactividad de una linea virtual o de telnet 

line vty 0 4 
exec-timeout minutos segundos

Para limitar el tiempo de inactividad de una linea auxiliar(se suele utilizar para configurar de manera remota  por modem el router).

line aux 
exec-timeout minutos segundos 

Todas las lineas por defecto tienen 10 minutos

3.Controlar el acceso a todos los puertos 

Necesitamos una contraseña para controlar el acceso al modo administrativo (#).

enable secret contraseña  la encripta con MD5

para establecer una contraseña en el puerto consola

line console 0
login local
password  contraseña 

Para establecer una contraseña en las lineas virtuales

line vty 0 4 
login local
password contraseña

Para establecer una contraseña en el puerto auxiliar

line vty 0 4 
login local
password contraseña

Login local  permite permitir la conexión remota de usuarios locales.

4. Deshabilitar puertos no utilizados

Si queremos deshabilitar un puerto porque no vamos a utilizar como aux o el puerto consola 

line console 0
no exec
line aux 0
no exec

Estos puertos es bueno deshabilitarlos para evitar ataques de acceso fisico y ataques de manera remota desde internet por ejemplo.

5.Encriptar todas las contraseñas del router

service password-encription encripta todas las contraseñas del router  pero utiliza el algoritmo MD7 que es facil de crakear si acceden al archivo de configuración pero podemos utilizarlo para tener algo de seguridad.

copy running-config startup-config nos guardara la configuración de memoria RAM  a la memoria NVRAM que es donde se guardan estos archivos.

6.Crear un banner para disuadir de posibles accesos no autorizados

config t 
banner motd # mensaje#

Este mensaje debe advertir de las consecuencias de acceder de manera no autorizada a este router.

login mode-quit access-class ACL

login delay segundos 

login on-failure log  every intentos

login on-success log every 1

10. Monitorear todos los cambios en un router y guardar los logs de manera segura 

Para poder utilizar un servidor syslog que guarde los registros de un router necesitamos sincronizarnos con un servidor NTP ,podemos autenticarnos con el pero no lo haremos para simplificar todo.

config t 
ntp server direccion ip

Con ntp status podemos ver si estamos sincronizados 

Ahora vamos a conectar nuestro router con el servidor syslog 

logging host ip del syslog   
logging trap informational envia todo lo que se hace en el router 
logging source-inteface interfaz se envia por una interfaz fastetheret por ejemplo
logging on  activamos el servicio 
show logging nos muestra los mensajes que se envian 

un mensaje syslog muestra fecha, nivel de severidad y una descripción.