چک لیست Hardening تجهیزات و شبکه های سیسکو و شبکه های کامپیوتری
- تغییر رمز عبور پیشفرض تمامی حسابها
- غیرفعال کردن سرویسهای غیرضروری (Telnet, HTTP, etc)
- فعالسازی SSH نسخه 2
- استفاده از AAA با سرور RADIUS یا TACACS+
- فعالسازی logging و ارسال به سرور Syslog
- تنظیم banner امنیتی برای دسترسیهای غیرمجاز
- استفاده از Access-class برای محدود کردن دسترسیهای VTY
- غیرفعالسازی CDP در رابطهای خارجی
- استفاده از SNMPv3 به جای SNMPv2/v1
- تغییر community string پیشفرض SNMP
- تنظیم زمان (NTP) با احراز هویت
- استفاده از Role-Based CLI (RBAC)
- غیرفعالسازی HTTP و HTTPS در صورت عدم نیاز
- استفاده از Secure Copy (SCP) به جای TFTP/FTP
- محدود کردن دسترسی مدیریتی فقط به آدرسهای IP مشخص
- استفاده از دستور service password-encryption
- استفاده از secret به جای password در line و enable
- پیکربندی login block-for و login delay
- استفاده از دستور exec-timeout برای خروج خودکار
- نصب و استفاده از IOS جدید و مطمئن
- بررسی صحت hash فایلهای IOS
- غیرفعال کردن unused ports
- استفاده از port security در سوئیچها
- استفاده از DHCP snooping
- فعالسازی Dynamic ARP Inspection
- فعالسازی IP Source Guard
- استفاده از storm control در پورتهای access
- فعالسازی BPDU Guard
- فعالسازی Root Guard
- فعالسازی Loop Guard
- محدود کردن VLANs مجاز روی trunk ها
- استفاده از Native VLAN امن
- غیرفعال کردن auto trunking (DTP)
- استفاده از VLAN جداگانه برای مدیریت
- محدود کردن دسترسی به VLAN مدیریت از طریق ACL
- پیکربندی ACL برای ترافیک مدیریتی
- استفاده از IPv6 RA Guard
- استفاده از IPv6 ND Inspection
- بررسی منظم تنظیمات پشتیبان (Backup Config)
- پیکربندی archiving و versioning برای پیکربندی
- پیکربندی کنترل Session Timeout برای کاربران
- ثبت لاگ فعالیتهای مدیریتی (Command Logging)
- استفاده از NetFlow برای تحلیل ترافیک
- نظارت بر تغییرات فایل startup-config
- پیکربندی Secure Boot
- استفاده از TrustSec برای ایزوله کردن ترافیک
- استفاده از MACsec برای رمزنگاری در لایه ۲
- ایمنسازی پروتکلهای روتینگ (OSPF, EIGRP, BGP)
- استفاده از authentication در پروتکلهای روتینگ
- پیکربندی static route برای مدیریت ترافیک حساس
- تنظیم دقیق SNMP views برای محدودسازی دسترسی
- استفاده از Control Plane Policing (CoPP)
- پیکربندی uRPF برای جلوگیری از spoofing
- استفاده از ACL در سطح ورودی و خروجی
- غیرفعال کردن Proxy ARP
- محدود کردن سرویس های Multicast
- نصب گواهینامه SSL برای دسترسی HTTPS
- تنظیم DHCP relay فقط برای سرورهای مجاز
- بررسی و مستندسازی دقیق تمامی تنظیمات
- اجرای دورهای تست آسیبپذیری
- تنظیم درست privilege levels
- غیرفعالسازی تنظیمات قدیمی VTP
- استفاده از VTP Version 3 و domain password
- پیکربندی VLAN pruning بهصورت دستی
- غیرفعال کردن توابع لایه دوم غیرضروری (UDLD)
- تنظیم Hostname معنادار برای شناسایی آسان
- تنظیم contact و location در SNMP
- استفاده از نگهداری log در حافظه خارجی
- استفاده از port descriptions برای مستندسازی
- پیکربندی امنیت لایه Transport در IPv6
- استفاده از IP SLA برای مانیتورینگ پیشرفته
- استفاده از EEM برای پاسخ خودکار به رویدادها
- اجرای اسکریپتهای مانیتورینگ امنیتی سفارشی
- بررسی حسابهای غیر فعال و حذف آنها
- محدودسازی دسترسی SNMP به رابطهای داخلی
- ایزوله کردن شبکه مهم در VRF جداگانه
- محدود کردن مقدار TTL برای جلوگیری از traceroute
- نصب فایل IOS از منابع معتبر
- پیکربندی secure boot-image و secure boot-config
- محدودسازی rate برای ICMP traffic
- اجرای ابزارهای تشخیص حملات brute force
- استفاده از ابزارهای third-party برای نظارت
- استفاده از VPN برای دسترسی ریموت
- رمزگذاری backup configurationها
- بررسی دورهای لاگها برای رفتار غیرعادی
- تست بازیابی پیکربندی از backup
- مستندسازی کامل تنظیمات امنیتی
- بررسی و بروز رسانی policyهای امنیتی شبکه
- استفاده از سیستم مدیریت پچ و بهروزرسانی
- اجرای penetration test داخلی برای تست Hardening
- اجرای کنترلهای امنیت فیزیکی
- نظارت بر تنظیمات امنیتی با ابزارهای SIEM
- تنظیم حداقل سطح دسترسی برای کاربران
- پیادهسازی سیاستهای قفلسازی پورت بعد از چند تلاش ورود ناموفق
- تنظیم هش قوی برای رمزهای عبور
- پیادهسازی syslog با timestamps دقیق
- استفاده از Cisco ISE برای کنترل دسترسی
- پیادهسازی شبکههای segment شده با فایروال داخلی
- پیکربندی ZBF (Zone-Based Firewall) در روترها
- بررسی پورتهای باز در تجهیزات با ابزار Nmap
- آموزش تیم عملیات شبکه درباره سیاستهای hardening
- استفاده از NetConf/YANG فقط در صورت نیاز و با احراز هویت
- استفاده از Secure Boot برای محافظت از بوتلودر
- پیکربندی سیستم هش SHA-256 برای رمزهای عبور
- غیرفعال کردن تنظیمات خودکار IPv6 SLAAC در صورت عدم نیاز
- جلوگیری از ارسال Packetهای تبلیغاتی بدون احراز هویت در OSPFv3
- استفاده از Explicit Null Label در MPLS برای جلوگیری از حمله label spoofing
- اعمال محدودیت sessionهای همزمان برای کاربران
- ایزولهسازی مدیریت و دیتا با استفاده از VRF
- پیکربندی logging buffered برای ثبت محلی رویدادها
- محدود کردن حجم لاگها با استفاده از log rotate
- بررسی CRC error ها جهت شناسایی حملات فیزیکی
- استفاده از DNSSEC در صورت استفاده از DNS محلی
- حذف و غیرفعالسازی ماژولهای IOS غیرضروری
- تنظیم watchdog timer برای شناسایی hung state
- فعالسازی IP Event Dampening برای کاهش false alarm
- پیکربندی EIGRP authentication با استفاده از HMAC-SHA
- تنظیم session-limit در پورتهای حساس
- مانیتورینگ real-time با ابزار SPAN/RSPAN
- ایمنسازی ارتباطات با سرورهای مدیریتی با IPsec Tunnel
- استفاده از ابزار Embedded Packet Capture برای بررسی ترافیک مشکوک
- استفاده از DHCP Option Filtering برای کنترل کلاینتها
- تنظیم Logging Discriminator برای فیلتر کردن لاگها
- استفاده از secure routing protocols مثل IS-IS با authentication
- بررسی کارایی سیستم با ابزار CPU/Memory Monitor
- استفاده از RFC1918 IP برای شبکههای داخلی
- بستن پورتهای TCP/UDP غیرضروری با ACL
- جلوگیری از MAC address flooding با port security
- پیکربندی SNMP Traps فقط برای رویدادهای حیاتی
- بررسی و حذف تنظیمات پیشفرض غیرضروری IOS
- فعالسازی DHCP rate-limit در اینترفیسها
- استفاده از دستور `no service pad` برای حذف سرویس قدیمی X.29
- استفاده از دستور `no ip finger` برای غیرفعال کردن finger
- غیرفعالسازی small TCP servers (echo, chargen, discard)
- جلوگیری از حملات IP spoofing با دستورات antispoofing
- استفاده از زمانبندی تغییر رمزها در سیستم AAA
- پیکربندی event-history commands برای auditing دقیق
- استفاده از log keyword در ACL برای نظارت بیشتر
- اجرای syslog over TLS برای رمزنگاری لاگها
- تنظیم syslog facility برای جداسازی دستهبندی لاگها
- محدودسازی دستورات CLI در سطح privilege پایینتر
- پیکربندی Audit Trail برای رهگیری تغییرات پیکربندی
- تنظیم SNMP logging فقط برای interface status
- استفاده از مجوزهای سفارشی در TACACS+ برای دستورات خاص
- پیکربندی فیلتر خاص برای OSPF type 5 LSA
- استفاده از EIGRP stub در لبه شبکه
- محدود کردن root bridge به سوئیچ مشخص
- جلوگیری از STP manipulation با استفاده از BPDU Filtering
- بررسی اینکه سوئیچ در وضعیت transparent در VTP باشد
- استفاده از MST برای تقسیم بار و کنترل بهتر STP
- پیکربندی static MAC binding در پورتهای حساس
- استفاده از storm control برای Multicast/Broadcast/Unicast
- تنظیم rate-limit برای پورتهای uplink
- پیکربندی queueing برای جلوگیری از DoS بر مدیریت
- تنظیم threshold های هشدار دما و مصرف CPU
- پیکربندی تلههای SNMP برای power supply failure
- تنظیم security level های متفاوت برای zoneهای مختلف
- تنظیم دقیق packet inspection در zone firewall
- فعالسازی TCP intercept برای جلوگیری از SYN Flood
- فعالسازی IP NAT logging برای بررسی ارتباطات
- استفاده از Access Control Context در IOS XE
- پیکربندی Security Advisory Notification از Cisco
- بررسی لاگها برای brute-force login attempts
- تنظیم domain lookup فقط برای DNS مشخصشده
- غیرفعالسازی IP unreachables برای کاهش اطلاعات خروجی
- استفاده از Flexible NetFlow برای دید بهتر ترافیکی
- تنظیم time zone صحیح برای تطابق لاگها
- بررسی و تنظیم پورتهای AUX و Console با رمز قوی
- پیکربندی زمانبندی تغییر گواهینامه SSL
- استفاده از Policy Map برای اعمال محدودیت ترافیک
- پیکربندی Dynamic VLAN assignment با RADIUS
- استفاده از NAC برای شناسایی کلاینتها قبل از اتصال
- تنظیم ACL برای کنترل route redistribution
- تنظیم Trust Boundary در سوئیچهای لایه دسترسی
- استفاده از QoS برای محافظت از ترافیک کنترلی
- تنظیم دقیق priority queue برای ترافیک مدیریتی
- پیکربندی FQDN ACL به جای آدرس IP متغیر
- استفاده از inspection برای FTP و سایر پروتکلهای ناامن
- تنظیم watchdog threshold در پورتهای حیاتی
- پیکربندی security audit logs روی حافظه خارجی
- استفاده از Boot Integrity Protection (BIP) در سختافزارهای جدید
- تنظیم دقیق DHCP lease برای جلوگیری از exhaustion
- بررسی دورهای فضای ذخیرهسازی و پاکسازی لاگهای قدیمی
- تنظیم AAA fail-safe access برای مواقعی که سرور AAA در دسترس نیست
- فعالسازی DHCP Option 82 برای کنترل درخواستها
- پیکربندی fail2ban معادل با EEM برای بلاک IPهای مخرب
- استفاده از محدودسازی session در Web UI سیسکو
- پیکربندی IPv6 Access List برای تمام رابطها
- پیکربندی دکمه سختافزاری برای reset factory در وضعیت غیرفعال
- استفاده از IPv6 Prefix List برای کنترل روتها
- استفاده از route-map برای فیلتر مسیرهای ورودی
- بررسی رمزنگاری فایلهای config ذخیرهشده در حافظه داخلی
- اعمال سیاستهای سفتوسخت در مورد backupها (رمزگذاری + نگهداری محدود)
- مستندسازی کامل ACLهای استفادهشده در تمامی لایهها
- آزمایش دقیق failover در HA/HSRP/VRRP
- استفاده از سرویس CLI Analyzer برای کشف باگها
- پیکربندی نرخ مجاز ارسال ARP برای جلوگیری از حملات ARP Flooding
- استفاده از IP Device Tracking برای ردیابی دستگاههای متصل
- استفاده از TrustSec برای تفکیک امنیتی در سطح پورت
- غیرفعالسازی CDP بر روی پورتهایی که به تجهیزات سیسکو متصل نیستند
- فعالسازی IP Source Guard برای جلوگیری از spoofing
- پیکربندی Secure Shell version 2 برای ارتباط ایمن CLI
- تنظیم پارامترهای زمانبندی SNMP polling برای کاهش بار
- تنظیم Context-Based Access Control (CBAC) در روترها
- غیرفعالسازی auto-negotiation در پورتهایی که به دستگاههای ثابت متصل هستند
- پیکربندی AAA local fallback برای شرایط قطع ارتباط با سرور RADIUS
- تنظیم پالیسیهای سرکوب broadcast با storm-control
- استفاده از NetFlow برای مانیتورینگ جریانهای شبکه
- تنظیم الگوی قوی برای نام کاربری جهت جلوگیری از حدس زدن
- تنظیم لیست سفید آدرسهای IP برای دسترسی به SSH
- بررسی و حذف سیستمعاملهای قدیمی IOS از حافظه فلش
- استفاده از Dynamic ARP Inspection در VLAN های حساس
- پیکربندی VACL (VLAN Access Control List) برای کنترل ترافیک داخلی VLAN
- ایمنسازی پروتکل HSRP با استفاده از authentication
- استفاده از DHCP snooping برای جلوگیری از سرورهای DHCP مخرب
- بررسی وضعیت پورتها با استفاده از دستور show interface status
- تنظیم SNMPv3 با authentication و encryption
- ایجاد zone-based firewall در روترهای لبه
- پیکربندی نرخ دریافت ICMP با استفاده از CoPP
- استفاده از Private VLAN برای جداسازی منطقی سیستمها
- تنظیم سیاستهای دسترسی بر اساس زمان (Time-Based ACL)
- فعالسازی NetFlow نسخه 9 برای تجزیهوتحلیل امنیتی پیشرفته
- استفاده از Prefix Guard برای جلوگیری از مسیرهای جعلی
- پیکربندی Logging Synchronous برای بررسی بهتر رویدادها در CLI
- غیرفعالسازی سرویسهای وب مدیریتی بدون SSL
- پیکربندی خطمشیهای دسترسی بر اساس مکان (Location-based policies)
- تنظیم syslog server در شبکه داخلی با سطح امنیتی بالا
- جلوگیری از عبور ترافیک مدیریت از شبکههای اشتراکی
- پیکربندی DHCP Option 61 برای احراز هویت کلاینت
- محدود کردن ترافیک غیرضروری به پورتهای trunk
- فعالسازی EEM برای انجام اقدامات امنیتی خودکار
- پیکربندی استانداردهای زمانبندی رمزها (مثلاً هر 90 روز)
- بررسی لاگهای امنیتی برای تشخیص رفتار غیرعادی کاربران
- استفاده از IPsec site-to-site VPN برای ترافیک بین دفاتر
- تنظیم NAT کنترلشده برای جلوگیری از آدرسهای جعلی داخلی
- تنظیم Idle Timeout در دسترسیهای مدیریتی
- استفاده از Logging rate-limit برای جلوگیری از log flooding
- فعالسازی اعلانات ورود و خروج کاربران (login/logout alert)
- محدود کردن دسترسی Telnet و توصیه به عدم استفاده از آن
- تنظیم آدرس MAC مجاز در پورتهای حساس
- پیکربندی سیاستهای طبقهبندی ترافیک با Class Map
- استفاده از دستگاههای چندلایه (L3 Switch) با قابلیت ACL داخلی
- تنظیم threshold حافظه برای هشدار قبل از بروز مشکل
- ایجاد مستندات برای همه تنظیمات امنیتی پیادهسازی شده
- پیکربندی Routing Loop Protection در پروتکلهای مسیریابی
- تنظیم QoS برای جلوگیری از اشباع لینکهای حیاتی
- محدودسازی HTTP redirects در تجهیزات مدیریتی
- پیکربندی SNMP Trap برای اطلاعرسانی رویدادهای حیاتی
- بررسی دورهای فایلهای startup-config برای تغییرات مشکوک
- استفاده از الگوریتمهای رمزنگاری قوی در ارتباطات SSL
- بررسی پورتهای باز با استفاده از ابزارهای خارجی مانند Nmap
- پیکربندی AAA accounting برای مانیتور کامل فعالیت کاربران
- پیکربندی دستور banner login برای هشدار قانونی
- بررسی وضعیت سلامت ماژولهای سختافزاری با دستور show environment
- فعالسازی Input Rate Limit برای محافظت در برابر DDoS
- ایجاد Alarm برای دمای بیش از حد تجهیزات
- غیرفعالسازی پاسخ به ICMP unreachable در رابطهای خارجی
- تنظیم Load Interval مناسب برای بررسی دقیقتر ترافیک
- استفاده از Authentication proxy برای کنترل کاربران غیرمجاز
- پیکربندی IP ACL بر اساس Fully Qualified Domain Name (FQDN)
- پیکربندی منظم Backup خودکار configها روی سرور امن
- ایجاد جدول مشخص برای سیاستهای hardening
- اعمال محدودیت در دستورات EXEC برای کاربران غیر privileged
- استفاده از Dual Authentication (مثلاً RADIUS + Local)
- پیکربندی کنترل دسترسی برای NTP Server
- پیکربندی log severity مناسب برای کاهش لاگهای غیرضروری
- بررسی زمان پاسخگویی به SNMP و کاهش بازههای زمانی
- فعالسازی UplinkFast در STP برای پورتهای بالادست
- تنظیم Alert زمانی که interface به وضعیت err-disabled میرود
- غیرفعالسازی گزینه Auto MDIX در پورتهای ثابت
- فعالسازی Root Guard در سوئیچهای توزیعی
- پیکربندی محدودیت در تعداد MAC آدرسهای یادگرفته شده
- استفاده از CLI parser view برای تعیین سطح دسترسی جزئی
- تنظیم پشتیبان گیری config از طریق ابزار TFTP امن داخلی
- پیکربندی سیستم هشدار تغییر IP در سوئیچ مدیریتی
- فعالسازی Port ACL برای پورتهای edge
- استفاده از MACSec برای رمزنگاری در سطح لایه ۲
- پیکربندی سیستم هشدار لینک failure برای پورتهای حیاتی
- پیکربندی پورتهای unused در VLAN جداگانه و در حالت shut
- پیکربندی دستور `service password-encryption` برای رمزنگاری ابتدایی رمزها
- استفاده از الگوریتمهای رمزنگاری AES در VPN
- پیکربندی Failover stateful inspection در فایروالها
- تنظیم تعیین مکان فیزیکی دقیق هر سوئیچ در مستندات
- استفاده از شبکه مجزا برای ابزارهای monitoring
- پیکربندی دسترسی فیزیکی محدود برای پورتهای مدیریتی
- استفاده از سیستم هشدار صوتی برای شرایط بحرانی سختافزاری
- پیکربندی مدت زمان معتبر بودن کلیدهای رمزنگاری
- بررسی لاگهای دیباگ بعد از بروزرسانی سیستمعامل