Techerest
EN

Cisco Device Hardening: AAA, SSH, ACL, SNMP, NTP และ Syslog Security

16 ต.ค. 2569 AAA ACL Cisco Cisco Security Device Hardening Networking Network Security NTP SNMP SSH Syslog

การติดตั้ง Cisco Router หรือ Switch ให้สามารถ Forward Traffic ได้ ยังไม่ถือว่างานเสร็จสำหรับ Production Network เพราะตัวอุปกรณ์เอง เป็น Infrastructure สำคัญที่ต้องได้รับการป้องกันจาก Unauthorized Access, Configuration Change, Management Plane Attack และ Service ที่ไม่จำเป็น

Cisco Device Hardening คือกระบวนการลด Attack Surface และเพิ่ม Security Control ให้กับ Router และ Switch ตั้งแต่ Management Plane, AAA, SSH, ACL, SNMP, NTP, Syslog, Unused Services, Interface Security และ Configuration Protection

บทความนี้รวบรวมแนวคิดจากบทก่อนหน้า ให้กลายเป็น Security Baseline ที่ Network Engineer สามารถนำไปประยุกต์กับ Cisco IOS/IOS XE โดยต้องปรับตาม Platform, Software Release และ Security Policy ของแต่ละองค์กร

สารบัญ

ภาค 1: พื้นฐาน Cisco Device Hardening

Cisco Device Hardening คืออะไร?

Device Hardening คือกระบวนการปรับ Configuration และ Operational Control เพื่อลดช่องทางที่อาจถูกโจมตี และจำกัดสิทธิ์ให้เหลือเท่าที่จำเป็น 

Default / Basic Device
        |
        v
Review Services
        |
        v
Secure Management
        |
        v
Restrict Access
        |
        v
Logging / Monitoring
        |
        v
Configuration Protection
        |
        v
Hardened Device

Hardening ไม่ใช่ Command เดียว แต่เป็นการใช้ Security Control หลายชั้นร่วมกัน

Attack Surface ของ Network Device

Router และ Switch สามารถมี Attack Surface ได้หลายส่วน เช่น:

  • SSH และ Remote Management
  • Console Port
  • SNMP
  • Web Management Interface
  • Routing Protocol
  • Layer 2 Protocol
  • Unused Interface
  • Management Services
  • AAA Infrastructure
  • Software Vulnerability
  • Physical Access

แนวคิดของ Hardening คือ:

Required Service
=
Keep + Secure


Unnecessary Service
=
Disable


Required Access
=
Permit


Unnecessary Access
=
Deny

ภาค 2: Management, Control และ Data Plane

Network Device มี Security Plane อะไรบ้าง?

เพื่อวิเคราะห์ Security ได้เป็นระบบ สามารถแบ่งหน้าที่ของอุปกรณ์ ออกเป็นสามส่วนหลัก

Management Plane

ใช้สำหรับบริหาร Device 

SSH

AAA

SNMP

Syslog

NTP

Management API

Web Management

Management Plane เป็นเป้าหมายสำคัญของ Device Hardening เพราะเกี่ยวข้องกับการควบคุมอุปกรณ์โดยตรง

Control Plane

เกี่ยวข้องกับ Protocol และข้อมูลที่อุปกรณ์ใช้สร้าง Network Intelligence

ตัวอย่าง:

OSPF

BGP

ARP / NDP

STP

HSRP / VRRP

ICMP to Device

Data Plane

รับผิดชอบ Forward User Traffic ผ่านอุปกรณ์ 

Client
   |
   v
Switch / Router
   |
   v
Server / Internet

Security Design ที่ดี ต้องพิจารณาทั้งสาม Plane ไม่ใช่ป้องกันเพียง SSH

ภาค 3: Security Baseline

Security Baseline คืออะไร?

Security Baseline คือชุด Configuration และ Policy ขั้นต่ำ ที่อุปกรณ์ในองค์กรควรมี

ตัวอย่าง:

Hostname

Secure Accounts

AAA

SSH Only

Management ACL

SNMP Security

NTP

Syslog

Unused Port Shutdown

Login Protection

Configuration Backup

Software Management

แทนที่จะ Harden Device ตามความจำของ Engineer แต่ละคน องค์กรควรมี Standard ที่สามารถตรวจสอบซ้ำได้

ภาค 4: Physical Security

ทำไม Physical Security จึงสำคัญ?

Configuration Security ที่ดี อาจสูญเสียประสิทธิภาพ หากผู้ไม่ได้รับอนุญาต สามารถเข้าถึง Device ทางกายภาพได้โดยตรง 

Network Rack
    |
    +---- Router
    |
    +---- Switch
    |
    +---- Firewall
    |
    +---- Console Access

ควรพิจารณา:

  • ล็อก Network Rack หรือ Server Room
  • จำกัดผู้มีสิทธิ์เข้า
  • ควบคุม Console Access
  • บันทึก Physical Access ตามความเหมาะสม
  • ป้องกัน Unauthorized USB หรือ Console Connection

ภาค 5: Local Account และ Password Security

ใช้ Individual Account

หลีกเลี่ยง:

username admin
shared by everyone

ควรใช้:

netadmin01

netadmin02

noc01

เพื่อให้สามารถระบุ ผู้ใช้งานแต่ละคน ผ่าน Accounting และ Log ได้ชัดเจนขึ้น

ใช้ Secret แทน Password เมื่อเหมาะสม

ตัวอย่าง:

username netadmin privilege 15 secret STRONG_SECRET

Cisco Platform รุ่นใหม่อาจรองรับ Password Hash Algorithm หลายรูปแบบ จึงควรใช้รูปแบบที่แข็งแรงที่สุด ที่ Platform และ Policy รองรับ

อย่าพึ่งเพียงการ Obfuscate Password ใน Configuration การป้องกัน Credential ต้องรวมถึง AAA, Access Control, Configuration Protection และ Secret Management

Enable Secret

ถ้ายังใช้ Privileged EXEC Password:

enable secret STRONG_ENABLE_SECRET

ควรหลีกเลี่ยง Configuration ที่ใช้ Password Storage แบบอ่อนแอกว่า เมื่อมีทางเลือกที่ปลอดภัยกว่า

ภาค 6: AAA และ Centralized Authentication

ใช้ AAA ใน Enterprise Network

Administrator
      |
      | SSH
      v
Network Device
      |
      | AAA
      v
AAA Server

AAA ช่วยควบคุม: 

Authentication
=
Who are you?


Authorization
=
What can you do?


Accounting
=
What did you do?

ตัวอย่าง AAA Authentication

aaa new-model

aaa authentication login default group tacacs+ local

สามารถใช้ Local Account เป็น Recovery Method เมื่อออกแบบอย่างเหมาะสม

ต้องทดสอบ AAA Fallback ก่อนใช้งานจริง Server Unavailable และ Authentication Reject ไม่ใช่เหตุการณ์เดียวกัน และไม่ได้ทำให้ Method List เปลี่ยนไปใช้ Local Account ทุกกรณี

ภาค 7: SSH และ Secure Remote Management

ใช้ SSH แทน Telnet

Telnet
=
Unencrypted Remote Management


SSH
=
Cryptographically Protected Remote Management

ตัวอย่างพื้นฐาน:

hostname CORE-R1

ip domain-name techerest.example

crypto key generate rsa modulus 2048

ip ssh version 2

จำกัด VTY ให้รับเฉพาะ SSH

line vty 0 4
 transport input ssh
จำนวน VTY Line แตกต่างกันได้ตาม Platform ควรตรวจ Configuration ของอุปกรณ์จริง และ Apply Security Policy ให้ครอบคลุม VTY ที่ใช้งาน

ภาค 8: ป้องกัน VTY ด้วย ACL

ไม่ควรเปิด SSH จากทุก Network

ตัวอย่าง Design:

Management VLAN
10.99.0.0/24
      |
      | SSH Allowed
      v
Router / Switch


User VLAN
      |
      X


Guest VLAN
      |
      X

สร้าง Management ACL

ip access-list standard SSH-MANAGEMENT
 permit 10.99.0.0 0.0.0.255

Apply กับ VTY

line vty 0 4
 access-class SSH-MANAGEMENT in
 transport input ssh
ตรวจ Source IP ก่อน Apply VTY ACL Configuration ที่ผิดสามารถตัด Remote Management Session ใหม่ทั้งหมดได้ ควรเก็บ Existing Session ไว้จนกว่าจะทดสอบสำเร็จ

ภาค 9: Console Security

Console ไม่ควรถูกมองข้าม

แม้ SSH จะถูก Harden แต่ Physical Console ยังเป็น Management Path อีกช่องทางหนึ่ง 

Physical Access
      |
      v
Console Port
      |
      v
Network Device

ควรควบคุม Physical Access และกำหนด Authentication ตาม Security Architecture ขององค์กร

Console Timeout

ตัวอย่าง:

line console 0
 exec-timeout 10 0

ช่วยลดความเสี่ยงจาก Session ที่ถูกเปิดทิ้งไว้ โดยไม่มีการใช้งาน

ภาค 10: SNMP Hardening

หลีกเลี่ยง SNMP Community ที่คาดเดาง่าย

ไม่ควรใช้:

public

private

cisco

จำกัด SNMP Source

ip access-list standard SNMP-MANAGERS
 permit 10.99.0.50

snmp-server community MONITORING RO SNMP-MANAGERS

ใช้ Read-Only เมื่อไม่ต้องการ Write

Monitoring
=
Read Only


Configuration Management
=
Separate Controlled Process

พิจารณา SNMPv3

SNMPv3 มี Security Capability ด้าน Authentication และ Privacy ที่เหนือกว่า Community-Based SNMPv1/v2c เมื่อ Configure อย่างเหมาะสม 

SNMPv3
 |
 +---- Username
 |
 +---- Authentication
 |
 +---- Privacy
 |
 +---- Access Control

ควรเลือก Algorithm ตาม Platform Support และ Security Standard ขององค์กร

ภาค 11: NTP Hardening

เวลาที่ถูกต้องเป็น Security Requirement

NTP Server
    |
    v
Router / Switch
    |
    +---- Syslog Timestamp
    |
    +---- AAA Accounting
    |
    +---- Security Events

ถ้า Clock ของ Device ไม่ตรงกัน Incident Timeline อาจวิเคราะห์ได้ยาก

ใช้ NTP Source ที่เชื่อถือได้

Production Network ควรมี NTP Architecture ที่กำหนด Source และ Redundancy อย่างชัดเจน

ตัวอย่าง:

ntp server 10.99.0.20

ntp server 10.99.0.21

Authentication และ Security Feature ของ NTP แตกต่างกันตาม Platform และ Software Release จึงควรตรวจ Documentation ก่อนกำหนด Production Standard

ภาค 12: Centralized Syslog

ส่ง Log ออกจาก Device

Local Buffer มีประโยชน์สำหรับ Troubleshooting แต่ไม่ควรเป็น Log Storage เพียงแห่งเดียว 

Router
   \
Switch ----> Syslog Server
   /
Firewall

ตัวอย่าง

service timestamps log datetime msec localtime show-timezone

logging buffered 16384 informational

logging host 10.99.0.30

logging trap informational

ใช้ NTP ก่อน Syslog

NTP
 |
 v
Correct Clock
 |
 v
Timestamp
 |
 v
Syslog
 |
 v
Incident Timeline

ภาค 13: ปิด Service ที่ไม่จำเป็น

หลักการ Reduce Attack Surface

ทุก Service ที่เปิด ควรมี Business หรือ Operational Requirement ที่ชัดเจน 

Service Required?
      |
   +--+--+
   |     |
  Yes    No
   |     |
Secure Disable
   |
Monitor

ตรวจ Service ก่อนปิด

ไม่ควรนำชุดคำสั่ง "No Service Everything" ไป Apply โดยไม่วิเคราะห์ เพราะ Feature บางอย่าง อาจถูกใช้งานโดยระบบจริง

ควรตรวจ:

  • HTTP/HTTPS Management
  • Legacy Management Protocol
  • Discovery Protocol
  • Unused API Service
  • Legacy Compatibility Feature
  • Unnecessary Management Listener

HTTP Server

ถ้าองค์กรไม่ใช้ Web-Based Management และ Platform ไม่ต้องพึ่ง Service นี้ อาจพิจารณาปิด: 

no ip http server

สำหรับ HTTPS: 

no ip http secure-server
อย่าปิด HTTP/HTTPS แบบอัตโนมัติบนทุก Platform Cisco Solution บางประเภทอาจต้องใช้ Web/API Service สำหรับ Management หรือ Automation จึงต้องตรวจ Dependency ก่อน

ภาค 14: Unused Interface Hardening

ทำไม Port ที่ไม่ได้ใช้ต้องปิด?

Unused Access Port ที่ยังเปิดอยู่ อาจเปิดโอกาสให้อุปกรณ์ ที่ไม่ได้รับอนุญาต เชื่อมต่อ Network 

Unused Port
    |
    v
Unauthorized Device
    |
    v
Internal Network

Shutdown Unused Port

ตัวอย่าง:

interface GigabitEthernet1/0/20
 description UNUSED
 shutdown

จัด Unused Port ไปยัง Unused VLAN

องค์กรบางแห่งใช้ Dedicated Unused VLAN ร่วมกับ Shutdown เพื่อให้ Configuration Intent ชัดเจนขึ้น 

vlan 999
 name UNUSED

interface GigabitEthernet1/0/20
 switchport mode access
 switchport access vlan 999
 shutdown
VLAN ID เป็นเพียงตัวอย่าง ควรใช้ VLAN Plan ขององค์กรจริง

ภาค 15: Login Banner

Login Banner สามารถใช้แสดงข้อความ เกี่ยวกับ Authorized Use ตาม Policy ขององค์กร

ตัวอย่าง:

banner motd #
AUTHORIZED ACCESS ONLY
Activity may be monitored and logged.
#
ข้อความ Banner ควรผ่าน Security, Legal หรือ Organizational Policy ไม่ควรคัดลอกข้อความกฎหมาย จากองค์กรอื่นมาใช้โดยไม่ตรวจสอบ

ภาค 16: Control Plane Protection

Control Plane คือเป้าหมายสำคัญ

Traffic ที่ส่งถึง CPU ของ Router หรือ Switch แตกต่างจาก Transit Traffic ที่ถูก Forward ผ่าน Data Plane 

Traffic
   |
   +---- Transit Traffic
   |        |
   |        v
   |     Data Plane
   |
   +---- To Device
            |
            v
       Control Plane

ถ้า Control Plane ได้รับ Traffic ปริมาณมากผิดปกติ อาจกระทบ Routing Protocol, Management และ Device Stability

Control Plane Policing

Cisco Platform หลายรุ่น รองรับแนวคิด Control Plane Policing หรือ CoPP เพื่อควบคุม Traffic ที่เข้าสู่ Control Plane 

Network Traffic
      |
      v
Classification
      |
      v
Policy
      |
      v
Control Plane
CoPP เป็น Advanced Security Feature Policy ที่ผิดสามารถ Block Routing, SSH, SNMP หรือ Control Protocol สำคัญได้ จึงไม่ควร Copy Configuration ระหว่าง Platform โดยไม่วิเคราะห์ Traffic Class

ภาค 17: Configuration Protection

Configuration คือทรัพย์สินสำคัญ

Configuration สามารถเปิดเผย:

  • IP Address
  • Network Topology
  • Routing Design
  • ACL
  • AAA Server
  • SNMP Configuration
  • Management Address
  • Security Policy

Backup Configuration

Running Configuration
        |
        v
Controlled Backup
        |
        v
Protected Storage

ควรมี Configuration Backup และ Version History ตาม Operational Policy

ป้องกัน Backup File

อย่าเก็บ Configuration Backup ไว้ใน Location ที่ทุกคนเข้าถึงได้ 

Configuration Backup
       |
       +---- Access Control
       |
       +---- Encryption
       |
       +---- Versioning
       |
       +---- Audit

ตรวจ Configuration Change

ใช้ AAA Accounting, Syslog และ Configuration Management ร่วมกัน 

User
 |
 v
AAA
 |
 v
Configuration Change
 |
 +---- Accounting
 |
 +---- Syslog
 |
 +---- Config Backup / Diff

ภาค 18: IOS/IOS XE และ Vulnerability Management

Hardening ไม่ใช่แค่ Configuration

อุปกรณ์ที่ Configure ดี แต่ใช้ Software ที่มี Known Vulnerability ก็ยังมีความเสี่ยง 

Asset Inventory
      |
      v
Software Version
      |
      v
Security Advisory
      |
      v
Risk Assessment
      |
      v
Upgrade Plan
      |
      v
Validation

ไม่ควร Upgrade Production โดยไม่มีแผน

ต้องพิจารณา:

  • Hardware Compatibility
  • Feature Compatibility
  • License
  • Memory / Storage Requirement
  • Known Bugs
  • Security Fixes
  • Rollback Plan
  • Maintenance Window

ภาค 19: Cisco Device Hardening Lab

Lab Topology

                   AAA Server
                  10.99.0.10
                       |
                   NTP Server
                  10.99.0.20
                       |
                 Syslog Server
                  10.99.0.30
                       |
                     NMS
                  10.99.0.50
                       |
                       |
                Management VLAN 99
                       |
                  +----+----+
                  |         |
               CORE-R1     SW1
                  |
              Production
                Network

เป้าหมายของ Lab

ต้องการให้:

SSH Only

Management ACL

AAA + Local Recovery

SNMP Restricted

NTP Configured

Syslog Enabled

Unused Ports Shutdown

Session Timeout

Login Protection

Step 1 — Basic Identity

hostname CORE-R1

ip domain-name techerest.example

Step 2 — Emergency Local Account

username emergency-admin privilege 15 secret STRONG_LOCAL_SECRET

Step 3 — Enable AAA

aaa new-model

aaa authentication login default group tacacs+ local

Step 4 — SSH

crypto key generate rsa modulus 2048

ip ssh version 2

Step 5 — Management ACL

ip access-list standard SSH-MANAGEMENT
 permit 10.99.0.0 0.0.0.255

Step 6 — VTY Hardening

line vty 0 4
 access-class SSH-MANAGEMENT in
 exec-timeout 10 0
 transport input ssh

Step 7 — Login Protection

login block-for 120 attempts 3 within 60

Step 8 — Configure NTP

clock timezone ICT 7 0

ntp server 10.99.0.20

Step 9 — Configure Syslog

service timestamps log datetime msec localtime show-timezone

logging buffered 16384 informational

logging host 10.99.0.30

logging trap informational

Step 10 — Restrict SNMPv2c สำหรับ Lab

ip access-list standard SNMP-MANAGERS
 permit 10.99.0.50

snmp-server community LAB-MONITOR RO SNMP-MANAGERS
Production Network ควรประเมิน SNMPv3 และ Security Requirement แทนการใช้ SNMPv2c เป็นค่าเริ่มต้น

Step 11 — Shutdown Unused Switch Port

ตัวอย่างบน Switch:

interface GigabitEthernet1/0/20
 description UNUSED
 switchport mode access
 switchport access vlan 999
 shutdown

Step 12 — Configure Banner

banner motd #
AUTHORIZED ACCESS ONLY
Activity may be monitored and logged.
#

ภาค 20: Verification Checklist

ตรวจ SSH

show ip ssh

show ssh

ตรวจ AAA

show running-config | section aaa

ตรวจ VTY

show running-config | section line vty

ตรวจ Management ACL

show access-lists SSH-MANAGEMENT

ตรวจ SNMP

show snmp

show running-config | include snmp

ตรวจ NTP

show ntp status

show ntp associations

ตรวจ Syslog

show logging

ตรวจ Interface

show interfaces status

show ip interface brief

คำสั่งบางรายการ ขึ้นอยู่กับ Router, Switch, IOS/IOS XE และ Platform ที่ใช้งาน

ทดสอบ Security Policy จริง

Test Expected Result
SSH จาก Management VLAN อนุญาต
SSH จาก Guest VLAN ปฏิเสธ
Telnet ปฏิเสธ
AAA Server Online Central Authentication ทำงาน
AAA Server Unavailable Recovery Method ทำงานตาม Design
SNMP จาก NMS อนุญาต
SNMP จาก User VLAN ปฏิเสธ
NTP Clock Synchronize
Syslog Test Event Central Server ได้รับ Log
Unused Port Administratively Down

ภาค 21: Hardening Troubleshooting

หลัง Harden แล้ว SSH เข้าไม่ได้

ตรวจตามลำดับ:

Physical
   |
   v
IP
   |
   v
Routing
   |
   v
TCP 22
   |
   v
SSH
   |
   v
VTY ACL
   |
   v
AAA
   |
   v
Authorization

AAA Login ไม่ได้

ตรวจ:

AAA Server Reachability

Routing

Firewall

Shared Secret

Source IP

Username

Method List

Authorization Policy

SNMP Monitoring หายหลัง Harden

ตรวจ:

SNMP ACL

NMS Source IP

SNMP Version

Credential

UDP 161

Routing

Syslog ไม่ถึง Server

ตรวจ:

Logging Host

Severity

Source Interface

Routing

ACL / Firewall

Transport

Syslog Server

NTP ไม่ Synchronize

ตรวจ:

NTP Server

Routing

ACL / Firewall

Clock

Source Interface

NTP Status

Hardening แล้วระบบบางอย่างหยุดทำงาน

นี่เป็นเหตุผลว่าทำไม Hardening ต้องทำแบบ Test → Verify → Monitor ไม่ใช่ Apply Checklist โดยไม่เข้าใจ Dependency 

Change
 |
 v
Test
 |
 v
Verify
 |
 v
Monitor
 |
 +---- Success
 |
 +---- Problem
         |
         v
      Rollback

ภาค 22: Production Hardening Checklist

Management Access

  • ใช้ SSH แทน Telnet
  • ใช้ SSH Version 2
  • จำกัด Source ด้วย ACL
  • ใช้ Management VLAN หรือ Management Network
  • กำหนด Idle Timeout
  • ตรวจ Cryptographic Policy

Identity และ Access Control

  • ใช้ Individual Account
  • ใช้ AAA เมื่อเหมาะสม
  • ใช้ Least Privilege
  • มี Recovery Account ตาม Policy
  • ใช้ Accounting

Monitoring

  • ใช้ Central Syslog
  • ใช้ SNMPv3 เมื่อเหมาะสม
  • จำกัด SNMP Source
  • ใช้ NTP
  • Monitor Device Health

Interface Security

  • Shutdown Unused Port
  • กำหนด Access VLAN ชัดเจน
  • ตรวจ Trunk ที่จำเป็น
  • ใช้ Layer 2 Security Feature ตามความเหมาะสม

System Security

  • ปิด Service ที่ไม่จำเป็น
  • ตรวจ IOS/IOS XE Version
  • ติดตาม Security Advisory
  • Backup Configuration
  • มี Rollback Plan

ภาค 23: Cisco Defense in Depth

อย่าพึ่ง Security Feature เพียงตัวเดียว

Security ที่ดีเกิดจาก หลาย Layer ทำงานร่วมกัน 

Physical Security
       |
       v
Management Network
       |
       v
ACL / Firewall
       |
       v
SSH
       |
       v
AAA
       |
       v
Authorization
       |
       v
Accounting
       |
       v
NTP
       |
       v
Syslog
       |
       v
SNMP Monitoring
       |
       v
Software Maintenance

จาก Secure Device ไปสู่ Secure Network

Device Hardening ป้องกันตัว Router และ Switch แต่ยังไม่ครอบคลุม Attack ทั้งหมดใน LAN

ตัวอย่าง Layer 2 Threat:

Rogue Switch

Rogue BPDU

STP Manipulation

Layer 2 Loop

Unidirectional Link

VLAN Attack

ดังนั้นขั้นต่อไป ต้อง Harden Layer 2 Infrastructure เพิ่มเติม

ภาค 24: คำถามที่พบบ่อย

Cisco Device Hardening คืออะไร?

คือกระบวนการลด Attack Surface และเพิ่ม Security Control ให้ Router, Switch และ Network Infrastructure

เปิด SSH อย่างเดียวถือว่า Harden แล้วหรือไม่?

ไม่ SSH ป้องกัน Management Transport เพียงส่วนหนึ่ง

ยังต้องพิจารณา:

AAA

ACL

SNMP

Syslog

NTP

Unused Services

Interfaces

Software Security

ควรปิด Telnet หรือไม่?

สำหรับ Production Remote Management ควรใช้ SSH และหลีกเลี่ยง Telnet

SNMPv2c ใช้ได้หรือไม่?

ยังพบใช้งานในหลายระบบ แต่ Production Design ควรประเมิน SNMPv3 เมื่อ Platform และ Monitoring System รองรับ

ต้องใช้ AAA Server เสมอหรือไม่?

ไม่จำเป็นสำหรับทุก Environment แต่ Centralized AAA มีประโยชน์มากใน Enterprise Network ที่มี Device และ Administrator จำนวนมาก

Unused Switch Port ควร Shutdown หรือไม่?

โดยทั่วไปควรปิด Port ที่ไม่ได้ใช้งาน ตาม Operational Policy เพื่อลดช่องทางเชื่อมต่อ ที่ไม่จำเป็น

ควรปิด HTTP Server ทุก Cisco Device หรือไม่?

ไม่ควรทำแบบอัตโนมัติ ต้องตรวจว่า Device, Controller, API หรือ Management Tool ต้องใช้ HTTP/HTTPS Service หรือไม่ ก่อนปิด

Hardening ทำครั้งเดียวแล้วจบหรือไม่?

ไม่ Hardening เป็น Continuous Process เพราะ Software, Threat, Network Architecture และ Security Requirement เปลี่ยนแปลงได้ 

Baseline
   |
   v
Deploy
   |
   v
Monitor
   |
   v
Audit
   |
   v
Update
   |
   +----> Repeat

บทสรุป

Cisco Device Hardening ไม่ใช่การเปิด Security Feature เพียงตัวเดียว แต่เป็นการสร้าง Security Baseline หลายชั้นสำหรับ Router และ Switch

Management Plane ควรมี:

SSH

AAA

Management ACL

SNMP Security

NTP

Syslog

Device Security ควรเพิ่ม:

Strong Credentials

Least Privilege

Unused Service Reduction

Unused Port Shutdown

Configuration Protection

Software Maintenance

Physical Security

ทั้งหมดรวมกันเป็นแนวคิด: 

Reduce Attack Surface
          +
Restrict Access
          +
Protect Management
          +
Monitor Events
          +
Maintain Software
          |
          v
   Device Hardening

เมื่อรวมบทที่ผ่านมา: 

DNS
 |
 v
Name Resolution


NTP
 |
 v
Time Synchronization


Syslog
 |
 v
Event Logging


SNMP
 |
 v
Network Monitoring


AAA
 |
 v
Identity & Access Control


SSH
 |
 v
Secure Remote Management


Device Hardening
 |
 v
Secure Network Infrastructure

ขั้นต่อไปคือการป้องกัน Layer 2 Infrastructure จาก Rogue BPDU, STP Manipulation, Loop และ Unidirectional Link

บทความถัดไป: STP Security บน Cisco: BPDU Guard, Root Guard, BPDU Filter, Loop Guard และ UDLD

Share this
Facebook Share X
TECHEREST COMMUNITY

Share your thoughts here

Join the conversation and share your perspective on this article.

Comments will load when you reach this section.
← Newer Older →