Hardening de equipamentos Cisco: um checklist para a gestão, o controle e as portas da sua rede

Os ajustes de configuração que deixam roteadores e switches Cisco mais difíceis de invadir e de derrubar, organizados como a própria Cisco organiza: plano de gestão, plano de controle e plano de dados.

8 min de leitura

Um switch ou roteador Cisco tirado da caixa funciona, mas foi pensado para facilitar a instalação, não para resistir a um ataque. Uma porta de acesso sem configuração aceita qualquer dispositivo que alguém plugar. Uma linha de acesso remoto sem restrição aceita tentativas de login de qualquer endereço. E um serviço que ninguém usa continua ouvindo na rede.

Este checklist reúne os ajustes que mais reduzem risco, organizados como a Cisco organiza o seu guia de hardening: plano de gestão (como você administra o equipamento), plano de controle (o que mantém a rede funcionando) e plano de dados (o tráfego dos usuários). Os comandos são de Cisco IOS e IOS XE; antes de aplicar, confira a sintaxe na documentação da versão que roda nos seus equipamentos e teste fora do horário crítico.

Resumo rápido

Proteja primeiro o acesso administrativo: senhas com hash forte (tipo 9, scrypt), somente SSH versão 2, AAA centralizado e bloqueio após tentativas de login falhas.
Desligue os serviços que não usa, envie logs com horário confiável para um servidor central e autentique o NTP.
Proteja o plano de controle com CoPP e com ACLs de infraestrutura, para que a CPU do equipamento continue disponível mesmo sob tráfego hostil.
Nas portas de acesso, combine modo access fixo, port security ou 802.1X, BPDU guard, storm control e DHCP snooping.

Antes de mudar a configuração

Dois cuidados evitam a maior parte dos problemas:

Versão e avisos de segurança. Acompanhe os Cisco Security Advisories dos modelos e versões que você usa. Hardening de configuração não substitui a atualização de software.
Inventário e cópia de segurança. Saiba exatamente quais equipamentos existem, qual versão cada um roda e guarde a configuração atual antes de mexer. Uma mudança de AAA ou de ACL de gestão mal testada pode tirar o seu próprio acesso.

Plano de gestão: quem administra e como

Senhas com hash forte

enable algorithm-type scrypt secret <senha>: grava a senha de enable com hash tipo 9 (scrypt), o mais forte disponível. A alternativa sha256 gera o tipo 8.
username admin privilege 15 algorithm-type scrypt secret <senha>: cria o usuário local com o mesmo tipo de hash. É o formato que a Cisco recomenda sempre que possível.
service password-encryption: esconde as senhas que ainda estão em texto claro, mas usa o tipo 7, que é reversível. A própria Cisco avisa que ele não protege o arquivo de configuração contra análise. Use-o como camada extra contra quem espia a tela, e trate qualquer cópia da configuração como informação sensível.

Acesso remoto somente por SSH versão 2

hostname SW-CORE-01 e ip domain-name empresa.local: pré-requisitos para gerar a chave.
crypto key generate rsa modulus 2048: gera o par de chaves RSA.
ip ssh version 2: aceita somente SSH versão 2.
Em line vty 0 4 (e nas demais linhas vty do equipamento): transport input ssh para recusar Telnet, access-class GERENCIA in para aceitar conexões só da rede de gestão, definida numa ACL chamada GERENCIA, e exec-timeout 10 0 para encerrar sessões paradas após 10 minutos.

Bloqueio após tentativas falhas

login block-for 120 attempts 3 within 60: depois de 3 falhas em 60 segundos, o equipamento recusa novos logins por 120 segundos. Combine com login quiet-mode access-class GERENCIA para que a rede de gestão continue entrando durante o bloqueio.
aaa local authentication attempts max-fail 5: bloqueia o usuário local após 5 falhas seguidas, para quem usa AAA com base local.

AAA centralizado

Com um servidor TACACS+ (como o Cisco ISE), cada administrador entra com a própria conta, e cada comando pode ser autorizado e registrado.

aaa new-model: ativa o AAA.
aaa authentication login default group tacacs+ local: autentica no TACACS+ e usa a base local só se o servidor estiver inalcançável.
aaa authorization exec default group tacacs+ local: autoriza a abertura da sessão.
aaa accounting commands 15 default start-stop group tacacs+: registra os comandos de nível 15.

A forma de declarar o servidor varia com a versão: as versões recentes de IOS XE usam o bloco tacacs server <nome> com address ipv4 e key, e versões antigas usam tacacs-server host. Mantenha sempre um usuário local com hash forte como contingência.

Serviços que não precisam estar ligados

Desligue o que não tem uso no seu ambiente. Os mais comuns:

no ip http server e no ip http secure-server, se ninguém administra o equipamento pela interface web.
no vstack, para desligar o Smart Install em switches que o suportam.
no service pad, no ip bootp server e no service config.
no cdp run no equipamento todo, ou no cdp enable nas interfaces voltadas para redes não confiáveis. Atenção: telefones IP e outros equipamentos podem depender de CDP ou LLDP nas portas de acesso.

Logs com horário confiável

service timestamps log datetime msec localtime show-timezone: cada log com data, hora e fuso.
logging buffered 16384 informational: guarda os logs recentes na memória do equipamento.
logging host 10.0.0.50 e logging trap informational: envia os logs para o servidor central.
logging source-interface Loopback0: origem fixa, que facilita filtros e correlação.

NTP com autenticação

Sem horário confiável, os logs de equipamentos diferentes não se encaixam numa investigação. Com autenticação, o equipamento só aceita horário de servidores que conhecem a chave:

ntp authentication-key 1 md5 <chave>
ntp authenticate
ntp trusted-key 1
ntp server 10.0.0.10 key 1

O MD5 é o algoritmo suportado de forma mais ampla; algumas versões aceitam algoritmos mais fortes, então vale conferir a documentação da sua versão. Complete com SNMPv3 no modo authPriv em vez de communities SNMPv1 e v2c.

Plano de controle: manter a CPU disponível

O plano de controle é a parte do equipamento que roda os protocolos de roteamento, o spanning tree, o ARP e o próprio acesso de gestão. Se a CPU for inundada, a rede inteira sofre.

Control Plane Policing (CoPP). Limita a taxa do tráfego destinado à CPU, por classe. Nos switches Catalyst 9000, uma política do sistema (system-cpp-policy) já vem aplicada por padrão, e as taxas podem ser ajustadas, com o alerta da Cisco de que mudar o padrão aumenta o risco de impacto inesperado. Em roteadores, a política é montada com class-map e policy-map e aplicada com control-plane e service-policy input <nome>.
ACLs de infraestrutura. Permitem que só os endereços esperados falem com os endereços do próprio equipamento, como os pares BGP e as estações de gestão.
Interfaces voltadas para redes não confiáveis. no ip redirects, no ip unreachables (ou limitação com ip icmp rate-limit unreachable) e no ip proxy-arp. No modo global, no ip source-route.
Protocolos de roteamento. Autentique os vizinhos de OSPF, EIGRP e BGP para que ninguém injete rotas falsas.

Plano de dados: as portas de acesso

É aqui que alguém pluga um notebook, um roteador doméstico ou um servidor DHCP por engano. Uma configuração típica de porta de usuário em Catalyst, interface por interface:

switchport mode access e switchport access vlan 20: a porta fica fixa como acesso, na VLAN certa.
switchport nonegotiate: desliga a negociação de trunk por DTP.
switchport port-security, switchport port-security maximum 2 e switchport port-security violation restrict: aceita no máximo dois endereços MAC e descarta o excedente com log e trap SNMP. Ajuste o máximo ao que cada porta atende; com telefone IP e voice VLAN, confira no guia da sua plataforma como o telefone é contado. O modo padrão de violação é shutdown, que desativa a porta.
spanning-tree portfast e spanning-tree bpduguard enable: a porta sobe rápido e, se receber um BPDU de um switch plugado sem autorização, entra em err-disabled, evitando loops.
storm-control broadcast level 10.00: limita o broadcast a 10% da banda da porta.
ip dhcp snooping limit rate 10: limita a 10 pacotes DHCP por segundo naquela porta.

O DHCP snooping também precisa ser ligado no modo global, com ip dhcp snooping e ip dhcp snooping vlan 20, e as portas que levam ao servidor DHCP legítimo são marcadas com ip dhcp snooping trust. As demais ficam como não confiáveis, e um servidor DHCP clandestino deixa de entregar endereços. Sobre essa base é possível ativar Dynamic ARP Inspection e IP Source Guard, contra falsificação de ARP e de IP.

Três complementos fecham o plano de dados:

Portas sem uso desligadas com shutdown e colocadas numa VLAN sem roteamento.
VLAN nativa dos trunks diferente da VLAN 1 e sem usuários.
802.1X, quando a exigência é saber quem está conectado e não só qual MAC. O port security filtra endereços MAC, que podem ser falsificados; o 802.1X autentica o dispositivo ou o usuário num servidor RADIUS antes de liberar a porta.

Depois do hardening: manter o padrão de pé

Hardening não é um evento único. Equipamento novo entra na rede, alguém abre uma exceção para resolver um problema urgente, uma troca de modelo traz padrões diferentes. O que mantém o resultado é ter um padrão de configuração escrito, comparar periodicamente cada equipamento com esse padrão e guardar o histórico das configurações para saber o que mudou e quando.

A Lavineda é revenda Cisco, e você encontra mais sobre a plataforma na página da Cisco. Se preferir que a revisão periódica das configurações e o monitoramento fiquem com a nossa equipe, trabalhando junto com o seu time, veja como funciona o Network Care.

Fontes

O próximo passo

Cada rede tem a sua história, e um checklist só faz sentido aplicado a ela. Numa conversa de diagnóstico gratuita, você conta como a sua rede Cisco está montada, olhamos juntos os pontos de hardening que mais pesam no seu cenário e você sai com um retorno honesto e os próximos passos, sem compromisso.