路由器已成為企業(yè)內(nèi)部局域網(wǎng)正在利用當中的最首要的安然設備之一。在以下指南中，我們將研究一下你可以用來呵護收集安然的9個便利的步調(diào)。這些步調(diào)可以或許包管你具有一道呵護你的收集的磚墻，而不是一個敞開的大年夜門。
1、點竄默許的口令
據(jù)國外查詢拜訪顯示，80%的安然沖破事務是由虧弱的口令引發(fā)的。收集上有大年夜大都路由器的遍及的默許口令列表。你可以必定在某些處所的某小我會知道你的生日。SecurityStats.com網(wǎng)站保護一個詳實的可用/不成用口令列表，和一個口令的靠得住性測試。
2、封鎖IP直接廣播(IP Directed Broadcast)
你的辦事器是很聽話的。讓它做甚么它就做甚么，并且非論是誰發(fā)出的指令。Smurf報復打擊是一種拒盡辦事報復打擊。在這類報復打擊中，報復打擊者利用假充的源地址向你的收集廣播地址發(fā)送一個“ICMP echo”要求。這要求所有的主機對這個廣播要求做出回應。這類環(huán)境起碼會降落你的收集機能。
參考你的路由器信息文件，體味若何封鎖IP直接廣播。例如，“Central(config)#no ip source-route”這個指令將封鎖思科路由器的IP直接廣播地址。
3、假定可能，封鎖路由器的HTTP設置
正如思科的手藝申明中簡要申明的那樣，HTTP利用的身份辨認和談相當于向全部收集發(fā)送一個未加密的口令。但是，遺憾的是，HTTP和談中沒有一個用于驗證口令或一次性口令的有效劃定。
當然這類未加密的口令對你從長途位置(例如家里)設置你的路由器或許是很是便利的，可是，你可以或許做到的工作其他人也照樣可以做到。出格是假定你仍在利用默許的口令!假定你必需長途治理路由器，你必然要確保利用SNMPv3以上版本的和談，因為它撐持更嚴格的口令。
4、封鎖ICMP ping要求
ping的首要目標是辨認今朝正在利用的主機。是以，ping凡是常利用于更大年夜范圍的協(xié)同性報復打擊之前的窺伺勾當。經(jīng)由過程打消長途用戶領受ping要求的應對能力，你就更等閑避開那些無人寄望的掃描勾當或防御那些尋覓等閑報復打擊的方針的“腳本小子”(script kiddies)。
請寄望，如許做實際上其實不克不及呵護你的收集不受報復打擊，可是，這將使你不太可能成為一個報復打擊方針。
5、封鎖IP源路由
IP和談承諾一臺主機指定命據(jù)包經(jīng)由過程你的收集的路由，而不是承諾收集組件肯定最好的路徑。這個功能的合法的利用是用于診斷連接故障。可是，這類用處很少利用。這項功能最常常利用的用處是為了窺伺目標對你的收集進行鏡像，或用于報復打擊者在你的專用收集中尋覓一個后門。除非指定這項功能只能用于診斷故障，不然應當封鎖這個功能。
6、肯定你的數(shù)據(jù)包過濾的需求
封鎖端口有兩項來由。此中之一按照你對安然程度的要求對你的收集是合適的。
對高度安然的收集來講，出格是在存儲或保持奧秘數(shù)據(jù)的時辰，凡是要求顛末承諾才可以過濾。在這類劃定中，除網(wǎng)路功能需要的以外，所有的端口和 IP地址都需要要封鎖。例如，用于web通信的端口80和用于SMTP的110/25端口承諾來自指定地址的拜候，而所有其它端口和地址都可以封鎖。
大年夜大都收集將經(jīng)由過程利用“按拒盡要求實施過濾”的方案享受可以接管的安然程度。當利用這類過濾政策時，可以封鎖你的收集沒有益用的端口和特洛伊木馬或窺伺勾當常常利用的端口來加強你的收集的安然性。例如，封鎖139端口和445(TCP和UDP)端口將使黑客更難對你的收集實施窮舉報復打擊。封鎖 31337(TCP和UDP)端口將使Back Orifice木馬法度更難報復打擊你的收集。
這項工作應當在收集打算階段肯定，這時候辰安然程度的要求應當合適收集用戶的需求。查看這些端口的列表，體味這些端口正常的用處。
7、成立準予進進和外出的地址過濾政策
在你的鴻溝路由器上成立政策以便按照IP地址過濾進出收集的背反安然劃定的行動。除特別的不合泛泛的案例以外，所有試圖從你的收集內(nèi)部拜候互聯(lián)網(wǎng)的IP地址都應當有一個分派給你的局域網(wǎng)的地址。例如，192.168.0.1這個地址或許經(jīng)由過程這個路由器拜候互聯(lián)網(wǎng)是合法的。可是，216.239.55.99這個地址很多是棍騙性的，并且是一場報復打擊的一部門。
相反，來自互聯(lián)網(wǎng)外部的通信的源地址應當不是你的內(nèi)部收集的一部門。是以，應當封鎖進網(wǎng)的192.168.X.X、172.16.X.X和10.X.X.X等地址。
最后，具有源地址的通信或保留的和沒法路由的方針地址的所有的通信都應當承諾經(jīng)由過程這臺路由器。這包含回送地址127.0.0.1或E類(class E)地址段240.0.0.0-254.255.255.255。
8、保持路由器的物理安然
從收集嗅探的角度看，路由器比集線器更安然。這是因為路由器按照IP地址智能化地路由數(shù)據(jù)包，而集線器相所有的節(jié)點播出數(shù)據(jù)。假定連接到那臺集線器的一個系統(tǒng)將其收集適配器置于混亂的模式，它們就可以夠領受和看到所有的廣播，包含口令、POP3通信和Web通信。
然后，首要的是確保物理拜候你的收集設備是安然的，以避免未經(jīng)承諾的筆記本電腦等嗅探設備放在你的本地子網(wǎng)中。
9、花時候核閱安然記實
核閱你的路由器記實(經(jīng)由過程其內(nèi)置的防火墻功能)是查出安然事務的最有效的編制，不管是查出正在實施的報復打擊仍是將來報復打擊的征候都很是有效。操縱出網(wǎng)的記實，你還可以或許查出試圖成立外部連接的特洛伊木馬法度和間諜軟件法度。專心的安然治理員在病毒傳播者作出反應之前可以或許查出“紅色代碼”和“Nimda”病毒的報復打擊。
別的，一般來講，路由器位于你的收集的邊緣，并且承諾你看到進出你的收集全數(shù)通信的狀況。