交换机加固经验总结 – 作者:雷石安全实验室

一、加固之前的准备事项

1、梳理资产，确定拓扑与上一次风评之后有无改动，确认增加了什么设备，有必要的话需要重新画拓扑。

2、确定拓扑中以及资产列表清单中设备的型号，是否在用，是否需要剔除，相关设备型号还有设备的数量是否和实际环境有出入。

3、确定甲方那边加固时需要着重注意的事项，比如ssh是否需要开启或者关闭，acl策略是否运用等等。

二、交换机的加固

对于如果第一次接触交换机加固的小伙伴，那么需要准备一根console线，还有建议安装SecureCRT这个软件。

当console线连接好后，你可以看到设备管理器中会出现一个外接设备，

有的小伙伴如果第一次做需要安装驱动，驱动装好，就可以看到给你分配的口。

然后打开 SecureCRT，点击 file-quick connect

protocol选择serial，port选择前面设备管理器中给你分配的口，

baud rate视情况而定，一般选择9600。点击connect进行连接。

进入设备后首先输入system-view，进入系统视图模式，

然后输入diaplay current就可以看到完整的交换机配置了。

在进行加固的过程中，同时需要对交换机的品牌、型号、机柜位置、版本、IP地址等进行记录。

版本查询：display version

一般来说大多数的交换机都是已经进行过加固的，一般什么都要改的情况还是比较少出现的。

首先就是用户的三权，也就是实现用户的三权分立，需要有三个账户具有不同的权限。

H3C：

华为：

由于本次的加固在华为设备中只碰到了三权分离的问题，

因此我这边也就写明了华为设备中三权分离如何做的命令，亲测是有效果的。

因此很多时候，如果又不知道的命令，那么就需要赶紧百度然后去尝试一下是否可以执行。

关闭不必要的服务：

关闭不使用的端口：

根据需求查看有无启用syslog，有无使用ssh，有无将acl运用在vty上等等

当然还有可能甲方会让你帮忙做一下不在加固范围内的事情，

这次就帮忙做了一下snmp添加地址，这边用到的命令主要是snmp-agent，这个也需要和客户确认一下读写权限，是否需要加密密码等，

如果甲方没有要求的话，当然尽可能的保证和之前的一致就可以，这样总不会出错。

Snmp的命令其实会在你display current后，如果之前已经有过snmp地址的话，那个命令其实已经是显示给你了，是可以直接照搬的。

三、总结

遇到不知道或者没有记录的命令，学会百度，同时在事后进行记录，防止以后遇到相同的问题。

学会使用，这个命令会告知你在当前情况下有什么命令可以使用。

比如snmp-agent ，就会出现snmp-agent后面你可以使用的命令，如果不确定应该使用什么，那么依旧是找度娘帮忙。

来源：freebuf.com 2020-09-15 15:43:05 by: 雷石安全实验室