Comment auditer le durcissement de ses switchs : la liste de contrôle
Pour auditer le durcissement de ses switchs, il faut comparer la configuration active de chaque switch à une liste de contrôle organisée par plan : accès d'administration (AAA, SSH, délais d'inactivité, bannières), journalisation et heure, SNMP, services à désactiver, et plan de données. Cisco publie une telle liste pour IOS dans son guide de durcissement. NacTrack évalue la configuration collectée de chaque équipement par rapport à un référentiel propre à sa plateforme et garde, pour chaque contrôle, la preuve trouvée et les commandes qui le corrigeraient.
Ce qu'il vous faut
- Module requis : compliance.
- Permission requise : view_audit.
- Dix-sept référentiels : Cisco IOS 12, IOS 15, IOS XE 16 et 17, IOS XR 7, NX-OS, ASA et Cisco Business, Huawei VRP, Aruba AOS-CX, Dell OS10, Arista EOS, Junos, FortiOS, PAN-OS, F5 TMOS, Nokia SR OS.
Dans NacTrack
- 1
Ouvrir Sécurité, puis Conformité
Le rapport s'ouvre sur le score du parc, les contrôles réussis et les constats ouverts, puis la posture par plateforme et les principales remédiations. Chaque équipement figure avec sa plateforme, le référentiel utilisé, un score, la tendance et le nombre de contrôles.
Écran : app.nactrack.com/compliance/report
- 2
Ouvrir un switch
La page de l'équipement liste tous les contrôles exécutés : code, titre, gravité, statut (réussi, échec ou dérogé), la preuve trouvée dans la configuration, la recommandation et le correctif. Cette ligne est votre ligne de liste de contrôle, avec sa preuve.
Écran : app.nactrack.com/compliance/report
- 3
Exporter le résultat
Les boutons PDF, XLSX et CSV exportent le résultat du parc ; chaque équipement a aussi son propre PDF. Un échec accepté peut faire l'objet d'une dérogation, et un contrôle dérogé sort du score.
Écran : app.nactrack.com/compliance/report
La liste de contrôle, pour un switch Cisco IOS
Accès d'administration : AAA new-model avec authentification et autorisation, « enable secret » plutôt que « enable password », aucun utilisateur local avec un mot de passe en clair, SSH version 2 seul sur les lignes VTY avec une access-class en entrée, et un exec-timeout sur les lignes console et VTY.
Journalisation et heure : un serveur syslog distant, un journal en mémoire tampon, des horodatages cohérents, et NTP depuis une source de confiance avec authentification. SNMP : pas de communauté « public » ni « private », aucune communauté en écriture, SNMPv3 avec chiffrement si possible, et une ACL sur ce qui reste.
Services : serveur HTTP, petits serveurs TCP et UDP et Finger désactivés ; CDP et LLDP coupés sur les interfaces tournées vers des réseaux non sûrs ; Smart Install désactivé là où la plateforme le permet. Chaque point est une ligne à chercher dans « show running-config ». Les communautés SNMP par défaut et les utilisateurs locaux en clair viennent des référentiels NacTrack ; le reste suit le guide Cisco.
Ce que cette vue ne dit pas
- L'évaluation lit la configuration, pas le comportement de l'équipement. Un service actif dans la configuration peut rester injoignable derrière une ACL, et le contrôle échouera quand même.
- Les référentiels Cisco IOS ne contrôlent ni BPDU guard, ni l'arrêt des ports inutilisés, ni Smart Install. BPDU guard n'est contrôlé que sur NX-OS, Aruba AOS-CX et Dell OS10. Ces points restent sur votre liste manuelle pour IOS.
- Le résultat n'est pas plus récent que la dernière évaluation. Run All met en file une évaluation par équipement en arrière-plan, et les passages hebdomadaires programmés sont désactivés sauf activation. Un équipement sans configuration collectée est ignoré.
Pour aller plus loin
Audit de configuration réseau par règles nommées
Des règles nommées évaluées sur la configuration réelle de chaque équipement, avec l'extrait qui déclenche chaque échec et la correction associée.
Guide pratiqueComment vérifier si un équipement autorise encore Telnet
Telnet transporte les mots de passe en clair. Les équipements qui répondent encore sur le port 23 sont ceux que personne ne surveille, donc on les oublie.
Guide pratiqueComment repérer les équipements utilisant des communautés SNMP par défaut ou en version 1 et 2c
Une communauté SNMP est un mot de passe en clair, et v1 et v2c n'ont rien d'autre. Trouvez les équipements qui portent encore public, private ou pire.