14-Dec-23

インフラストラクチャセキュリティ

Aruba ESP Campus Infrastructure Securityのセクションでは、Aruba ESPデバイスセキュリティ設定の実装に使用されるテクノロジについて説明します。

インフラストラクチャセキュリティ
- ネットワークインフラストラクチャセキュリティ

ネットワークインフラストラクチャセキュリティ

セキュリティで保護されたネットワークの主な責任は、許可されたユーザーとデバイスだけがアクセスできることを保証することです。セキュリティプロトコルは、他のすべてのユーザーを締め出しながら、承認されたユーザーを許可する必要があります。

一元化されたサービスを使用してユーザーとデバイスのプロファイルを維持するのが最も簡単なアプローチです。セキュリティで保護されたネットワークプロトコルを実行する集中管理サービスは、セキュリティを向上させ、メンテナンスを容易にします。ポリシーの適用と使用率の追跡を1つのポイントから実行できるため、一貫性が高く、正確で、合理化されたセキュリティ管理が実現します。

ローカルアカウント

必須の既定のアカウント以外は、ローカルアカウントを作成しないでください。すべての管理アクセスは、アカウンタビリティのためにTACACSまたはRADIUSを介して認証する必要があります。これにはサービスアカウントが含まれます。 admin/rootアカウントは、サービスアカウントやシステムの監視には使用しないでください。ローカルアカウントが必要な場合は、組織のパスワードの複雑さとローテーションの要件に準拠する必要があります。ローカルアカウントのアカウント情報は、厳密なアクセスと使用要件を備えた、できるだけ少ない人に制限する必要があります。

セッションタイムアウト

Central、ゲートウェイ、またはスイッチに接続しているユーザーは、非アクティブな状態が長時間続くことを許可しないでください。このガイドラインは、開いているセッションの数を制限し、アイドル状態の接続を持つデバイス上の情報を不正なユーザーが編集する可能性があるリスクを軽減します。

推奨タイムアウトは、セキュリティポリシーによって1～5分の範囲で異なります。タイムアウトがネットワーク全体で一貫していることを確認します。

最小パスワード

ほぼすべてのユーザーアクセスに複雑なパスワードが必要であり、ネットワークインフラストラクチャも例外ではありません。複雑なパスワードを使用すると、「クラック」が発生する可能性が大幅に低下します。

Arubaプラットフォームでは、8文字以上のパスワードとして定義され、大文字、小文字、数字、および特殊文字の組み合わせが必要な複雑なパスワードを必須とすることが、すべてのプラットフォームにおけるベストプラクティスです。

また、デバイス上にローカルアカウントがほとんどまたはまったく存在せず、admin/rootアカウントパスワードを64文字の複雑なパスワードに設定し、安全またはセキュリティで保護されたパスワード管理アプリケーションに保存することをお勧めします。この長さのパスワードを設定して安全な場所に保管すると、通常はadmin/rootアカウントを定期的にローテーションする必要がなくなります。RADIUSおよびTACACSでは、通常、パスワードの複雑度は、組織のパスワードの複雑度および有効期限の要件に準拠したディレクトリサービスによって制御されます。

SSH

Secure Shell Protocol(SSH)は、最も安全であるため、ネットワークインフラストラクチャに接続する最も一般的な方法の1つです。ネットワークデバイスへのアクセスには、最も強力な暗号を使用することが重要です。リージョンやシステムによってサポートする暗号は異なるため、選択する暗号の詳細については、Arubaハードニングガイドを参照してください。ハードニングガイドはArubaのサポートサイトにあります。

TACACS

Terminal Access Controller Access-Control System(TACACS)は、ネットワークデバイスにアクセスしようとするユーザの集中管理認証と検証を提供するセキュリティプロトコルです。TACACSサーバは、既存のディレクトリサービスと統合して、グループ権限、パスワードの複雑さ、有効期限の要件を適用する必要があります。すべてのArubaデバイスで、認証、コマンド許可、監査にTACACSを有効にすることをお勧めします。Aruba ClearPass Policy Managerは、Arubaデバイスを含む、TACACSプロトコルをサポートするハードウェアベンダーのTACACSサービスをサポートします。

証明書の置換

工場出荷時に発行された証明書の交換は、Arubaハードニングガイドの重要な推奨事項です。デバイスが運用環境に移行する前に、必ず証明書を置き換えてください。

TLS 1.2は、Webインターフェイスで有効になっている唯一の暗号です。ゲートウェイでは、ハードニングガイドで推奨されているように、暗号強度を高く設定できます。

Webインターフェイスの管理にワイルドカード証明書を使用することは、すべてのArubaプラットフォームで受け入れられます。

APIアクセス

アプリケーションプログラミングインターフェイス(API)を使用する場合は、インターフェイスを保護することが重要です。APIが有効な場合は、管理サブネットのみがAPIにアクセスできるようにACLを使用することをお勧めします。Aruba製品によっては、管理インターフェイスを有効にする必要がなくなることがあります。Aruba Centralを介して管理されているデバイスは、ローカルのWebインターフェイスを必要とせず、無効にすることができます。