Cisco 网络设备安全配置与管理

培训名称 Cisco 网络设备安全配置与管理（代号：T03）

培训目的 本课程主要讨论在CISCO 设备安装和维护过程中可能遇到的实际安全问题，给出相应的配置、修改建议，帮助网络管理者和操作者优化网络设备的配置，建立合理有效的访问策略和安全过滤规则，进行恰当的网络管理和带宽优化，并深入探讨CISCO IOS 的系统漏洞及解决方案、网络攻防实
战技巧、完善的日志管理和配置审核，以及安全相关的其它高级设置和管理。

课程目标 路由器和交换机占据着网络世界的绝对位置，而CISCO的网络设备在关键网络中几乎占有90％的份额，目前网络攻击点的攻击逐渐集中在网络设备。若路由器等网络核心设备遭到破坏，将使得您的网络系统将成为一个信息孤岛。CISCO的IOS是一个健壮的操作系统，但它同其他的操作系统一样也存在各种安全漏洞, 其中某些漏洞已经为攻击者所熟知和利用，其中某些漏洞完全是因为网络维护人员缺乏必要的配置经验所造成，那你就为攻击者洞开了方便之门,你的网络和系统不再有安全可言。该课程不同与CISCO公司“安全产品”的培训课程，课程焦点集中在CISCO设备安装和维护过程中可能遇到的实际安全问题，给出相应的配置、修改建议。通过这个课程的培训，帮助网络管理者和操作者，优化网络设备的配置，建立合理有效的访问策略和安全过滤，网络管理和带宽优化，深入探讨CISCO IOS的系统漏洞及解决方案，网络攻防实战技巧，完善的日志管理和配置审核，以及相关安全的其它高级设置和管理。使得学员具备防患于未然的能力，即使面临不期的网络攻击，可以做到胸有成竹，轻松处理。

适合对象 信息系统管理员和网络管理员，安全专职技术人员，以及想了解相关信息安全知识的人员。该课程针对电信、ISP、IDC、大型企业用户网络管理人员，需要具备一定的设备维护经验，熟悉网
络构架和CISCO设备配置命令，具备CCNA、CCNP、CCIE等资质为佳。具体适合对象包括：

• 信息系统管理员或网络管理员
• 网络或安全系统集成商
• 电信、ISP、ICP等服务提供商
• 金融、证券等服务提供商
• 有志于从事信息安全行业的高校学生
• 对网络信息安全感兴趣的IT人员

培训资料

1）专用的Cisco 网络设备安全配置与管理培训教材；
2）相关学习材料汇编（光盘）；
3）《Cisco 网络安全管理》（经典著作）。

主要课程内容

第一章: 基本的CISCO 安全设置

基本原则

不必要的IOS 服务或潜在的安全问题

-Service
-IP service
-Interface
-CDP

管理接口的安全

-Telnet/SSH
-SNMP
-HTTP

CLI 新特征

第二章: 使用AAA

• 使用AAA 来保护路由器
• TACACS+ Overview
• AAA Configuration
• NAS 配置实例
• Tacacs+
• Tac_plus 配置和使用

第三章: Syslog & NTP

• 日志管理
• Syslogd 及其配置
• 日志的检索、分类和分析
• NTP 时钟同步
• NTP 时钟同步配置
• 工作站时钟同步

第四章: 路由安全

认证路由更新

路由过滤

-路由出口、入口过滤
-不能发布到Internet 的网络
-过滤IXP 网络
-RFC1918 路由过滤
-CIDR 影响
-Net Police Filters

第五章: 包过滤

• 包过滤
• 标准ACLs、扩展ACLs、 Turbo ACLs
• 出口过滤
• 入口过滤
• 黑洞路由
• Unicast RPF
• Committed Access Rate (CAR)
• 起初的决策

第六章: IOS 常见漏洞和缺陷及解决方法

• IOS 简介
• 已知缺陷
• 相关SNMP 的漏洞
• 相关HTTP 的漏洞
• IOS TELNET 选项处理漏洞
• IOS 扫描导致重启漏洞
• IOS ARP 表重写漏洞
• 绕过Cat 设备Enable 密码的漏洞
• 减轻 MS SQL Worm 的影响
• SSH 不规则包漏洞
• TFTP 长文件名漏洞
• CatOS Telnet 缓存溢出漏洞
• 12000 系列ICMP 不可达漏洞
• 12000 系列在ACL 应用中的漏洞
• Catalyst 5000 系列802.1x 漏洞
• Cisco IOS Syslog 漏洞
• 基本原则

第七章: 资源消耗网络攻击和流量控制

• 资源消耗型网络攻击
• 来自内部网络
• 来自外部网络
• 交换机端口镜像
• 在路由器上分析流量
• NetFlow
• CAR/DCAR 与区分服务
• 流量监控
• SNMP
• MRTG 及示例

第八章: 基于以太网的运营网络的安全问题

• FTTB 网络架构
• 主要的安全问题
• Port VLAN
• 802.1Q VLAN
• 交换机端口安全
• 利用静态MAC 表控制用户
• 利用静态ARP 表控制用户
• 交换机端口镜像
• 广播限制
• 以太网交换机的访问安全

第十章: Tools

• RAT－ Router Audit Tool
• SSS
• Nessus
• nmap
• Solarwinds 工具集
• sniffer
• Snort 安装
• 其他工具

第十一章: 一次演练

• 踩点
• 端口扫描
• SNMP 扫描
• 下载config 文件
• 上传config 文件
• 其它行为