Cisco Guide to Harden Cisco IOS Devices

Esta guía nos da información sobre como asegurar nuestros dispositivos Cisco para incrementar la seguridad de toda la red, y nos basaremos en los 3 planos en los que un dispositivo se puede clasificar.

Los 3 planos funcionales de una red son:

• Management Plane, que administra tráfico enviado al dispositivo Cisco con IOS; y está hecho de aplicaciones tales como SSH y SNMP. 
• Control Plane, parte de un dispositivo de red que procesa el tráfico que es la base para mantener el funcionamiento de una red. Los protocolos que se manejan aquí incluyen BGP, protocolos de gateway interior (IGPs) como EIGRP y OSPF. 
• Data Plane, que reenvía el tráfico de datos a través del dispositivo de red.

Más claramente, pensando en un router, cuando establecemos una sesión de Telnet, o de SSH hacia el router para cambiar la configuración estamos haciendo uso del management plane; y entonces un protocolo de ruteo y quizás una ruta por default para todo el tráfico que no tenga un destino expresamente conocido en el router; esas rutas forman parte de la operación y finalidad de tener un router, son la función del control plane, y por último, es tráfico interesante que el router debe procesar, es decir, lo que se debe llevar de una red a otra es procesado en el data plane.

Ahora, para asegurar los dispositivos debemos seguir una serie de recomendaciones que Cisco nos da:

Asegurar las operaciones, aunque podemos agregar configuraciones para aumentar la seguridad, éstas no pueden funcionar solas; para asegurar la red completamente debemos seguir procedimientos operacionales junto con las configuraciones. Por ejemplo:

Revisar las advertencias de seguridad y respuestas dadas en el Cisco Product Security Incident Response Team (PSIRT)

Leer las políticas en el Cisco Security Vulnerability Policy.

También debemos recurrir al Risk Triage para revisar los anuncios de vulnerabilidad y poder hacer un proceso de evaluación de nuestra seguridad.

Usar AAA en nuestra red (Authentication, Authorization and Accounting), esto es muy importante para dar seguridad al manejo de sesiones hacia nuestros dispositivos.

Centralizar la recolección de logs y su monitoreo; ya que en caso de un incidente, debemos tener toda la información de la red para su análisis; y algunos programas pueden ayudarnos a hacer una correlación entre los logs de los distintos dispositivos para facilitar el análisis y detectar vulnerabilidades.

Usar protocolos seguros cuando sea posible, por ejemplo, en lugar de TFTP o FTP, usar SCP (Secure Copy Protocol); o usar SSH en lugar de telnet, y limitar el uso de dichos protocolos por origen, por ejemplo, permitir sólo sesiones de SSH desde la LAN, bloquear el SNMP desde la WAN (SNMPv3 puede usar autenticación).

Usar Netflow para tener una mejor idea del tráfico en la red, poder identificarlo y rastrearlo hacia su origen en caso necesario.

Asegurando el Management Plane.