Comprensión de la infraestructura flexible en los dispositivos IOS XE

Introducción

En este documento se describe el enfoque de Cisco sobre la infraestructura flexible, que se basa en la seguridad por defecto y la seguridad por diseño.

Prerequisites

Requirements

Aunque no hay requisitos específicos para este documento, es útil tener conocimientos básicos del software Cisco IOS® XE.

Componentes Utilizados

La información de este documento se aplica a todos los dispositivos que pueden ejecutar el software Cisco IOS XE 17.18.2 y versiones posteriores. Esto incluye routers, switches y WLC Cisco IOS XE.

La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.

Objetivo

Este documento describe cómo Cisco reduce la superficie de ataque a los productos de red de Cisco y minimiza las vulnerabilidades de seguridad a través de la configuración predeterminada segura, la eliminación de tecnologías y funciones antiguas inseguras y la seguridad mejorada del producto.

Consulte la documentación Resilient Infrastructure y la Guía de Refuerzo del Software Cisco IOS XE para obtener información adicional. El presente documento se centra en los aspectos técnicos y las consideraciones que se derivan de la implementación gradual de estos cambios en la seguridad.

Enfoque por fases

Cisco utiliza un enfoque por fases para eliminar las funciones y protocolos menos seguros con el fin de reducir la superficie de ataque y respaldar la adopción de prácticas recomendadas de seguridad críticas. La fase de estas configuraciones es específica de cada función o protocolo. Una función puede permanecer en la fase Advertencia mientras otra función entra en la fase Restricción.

Fase uno: Advertencia

La CLI muestra advertencias cuando se configuran funciones clave inseguras. Este documento describe esas configuraciones inseguras para que pueda comenzar la migración a opciones más seguras. Abordar inmediatamente los mensajes de advertencia inseguros. Las configuraciones inseguras en la fase de advertencia no se activan ni requieren el modo inseguro.

Fase dos: Restricción

Las funciones clave no seguras están desactivadas de forma predeterminada y requieren una acción explícita para activarlas a través del modo no seguro. Las implementaciones existentes siguen funcionando, pero las nuevas instalaciones requieren la habilitación intencionada de esas configuraciones inseguras. Algunas funciones de las plataformas Cisco IOS XE no pueden tener una fase de restricción. Simplemente muestran advertencias para varias versiones antes de la eliminación posterior.

Fase tres: Retiro

Las funciones obsoletas e inseguras se eliminan por completo. El momento de la eliminación de la función varía en función del impacto y la adopción. Por ejemplo, las funciones ampliamente adoptadas, como SNMPv2, se eliminan gradualmente más lentamente que las funciones menos utilizadas.

Comandos clave

Estos comandos son útiles a la hora de implementar infraestructuras más resistentes. En este documento se hace referencia a estos comandos.

• show system insecure configuration

  Este comando se utiliza para mostrar las configuraciones no seguras aplicadas actualmente que se encuentran en la fase Restricción.  No muestra las configuraciones inseguras que se encuentran en la fase de advertencia o de eliminación.  Este comando también muestra el tiempo restante para el siguiente análisis de configuración insegura (detallado en la sección Temporizadores y análisis de configuración insegura).

• show system security mode

  Este comando proporciona un breve resultado que muestra si el dispositivo está en modo seguro o en modo inseguro.

• show running-config all | include system mode insecure

   Este comando muestra la configuración en ejecución (incluidas las configuraciones predeterminadas), filtrada en el modo del sistema mediante palabras clave inseguras. Consulte Cambiar modo de seguridad para obtener más información.

• test system secure all

  Este comando inmediatamente ejecuta un escaneo de configuraciones inseguras y muestra el resultado de show system insecure configuration.  Esto resulta útil para actualizar las configuraciones marcadas como no seguras después de un cambio sin esperar a que caduque el temporizador de análisis.

• show system insecure profile

  Este comando muestra las configuraciones inseguras de la fase de restricción que el sistema está diseñado para detectar en esa versión de software.  La lista de configuraciones inseguras del perfil se actualiza con el tiempo a medida que las prácticas recomendadas de seguridad siguen evolucionando.  Esto no refleja las características inseguras configuradas actualmente en el dispositivo.  Se trata simplemente de una lista de todas las configuraciones inseguras de fase de restricción con las que el sistema realiza búsquedas.  Consulte las guías de refuerzo en la sección de recursos adicionales para obtener información sobre las prácticas de seguridad recomendadas.  

Advertencias y consideraciones

Temporizadores y análisis de configuración inseguros

Las comprobaciones de configuración inseguras y los mensajes de advertencia detallados en este documento se programan en temporizadores para limitar la frecuencia con la que se ejecutan.  Cuando se corrige una configuración insegura, no desaparece inmediatamente del resultado de show system insecure configuration.  Se produce un retraso de hasta 30 minutos cuando el analizador de configuración funciona en un ciclo de 30 minutos.  Del mismo modo, puede haber un retraso de hasta dos minutos entre la aplicación de una configuración insegura y su syslog SYS-4-INSECURE_CONFIG correspondiente.

El tiempo restante hasta la próxima ejecución del análisis se puede ver con el comando show system insecure configuration. El temporizador se muestra en la primera sección del resultado.

Este primer ejemplo muestra que se han realizado cambios en la configuración y que la siguiente búsqueda de configuraciones no seguras puede realizarse en 8 minutos:

Device# show system insecure configuration

=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 8 min 0 sec <<<----------
Database State: Update Scheduled
=============================================================
<snip>

El siguiente ejemplo muestra que no se han detectado cambios de configuración desde el último análisis, por lo que no se necesitan comprobaciones adicionales para las configuraciones no seguras:

Device# show system insecure configuration

=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates <<<----------
Database State: Stable
=============================================================
<snip>

Se puede forzar un nuevo escaneo inmediato con el comando test system secure all. Además de solicitar un nuevo escaneo inmediato, este comando muestra el resultado de show system insecure configuration. Esto ayuda a actualizar las configuraciones marcadas como no seguras después de un cambio sin esperar a que caduque el temporizador de análisis.

Advertencias de configuración inseguras

A partir de 17.18.2 con la introducción de la fase de advertencia, el dispositivo puede generar mensajes de syslog con esta sintaxis:

%SYS-4-INSECURE_CONFIG: Module: <MODULE> - Command: <COMMAND> - Reason: <REASON> - Remediation: <REMEDIATION>
%SYS-4-INSECURE_DYNAMIC_WARNING: Module: <MODULE> - Command: <COMMAND> - Reason: <REASON> - Remediation: <REMEDIATION>

Estos mensajes incluyen:

• Módulo: Componente que ha generado el mensaje de registro (como LOGGING, HTTP o LINE)
• Comando: La configuración específica que activó el mensaje de advertencia
• Motivo: La razón por la que esta configuración se marca como insegura
• Solución: Acción necesaria para migrar a una alternativa más segura 

Estos mensajes de advertencia no afectan al servicio ni a la funcionalidad del dispositivo. La intención es llamar la atención sobre estas configuraciones inseguras para que puedan mitigarse de forma proactiva.

Estos registros se ven durante el arranque o después de que se aplica una configuración insegura. Además, pueden volver a aparecer en el dispositivo periódicamente. Puede encontrar más información sobre estos mensajes y su sintaxis en la Referencia de Advertencias de Seguridad de Cisco IOS XE para Infraestructura Resistente.

Syslog de ejemplo visto poco después de la configuración

Estos son ejemplos de mensajes de syslog que se ven poco después de aplicar una configuración insegura.  Como se indicó en la sección Temporizadores y análisis de configuración insegura, estos mensajes pueden tardar hasta dos minutos en aparecer después de aplicar la configuración insegura: 

! Feature in the Warning phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_DYNAMIC_WARNING: Module: HTTP - Command: ip http server - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Use http secure server to ensure secure web access - Submode: configure - Parent CLI: Not Applicable

! Feature in the Restriction phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Ejemplo de Syslog visto al arrancar

Estos son mensajes de ejemplo que se muestran durante el inicio.  Se muestra un mensaje para cada configuración insegura que el sistema detecta:

! Feature in the Warning phase:
    INSECURE DYNAMIC WARNING - Module: HTTP, Command: ip http server , Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication, Remediation: Use http secure server to ensure secure web access, Submode: configure, Parent CLI: Not Applicable

! Feature in the Restriction phase:
    SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Modo inseguro

El modo inseguro se introduce en la versión 26.1.1 de Cisco IOS XE. Este modo ayuda a salvar la distancia entre las implementaciones existentes menos seguras y las redes reforzadas futuras. La configuración del modo no seguro permite el funcionamiento continuo con las funciones no seguras existentes, al tiempo que marca qué configuraciones suponen un riesgo para la seguridad y se deben mitigar. También actúa como un reconocimiento de las funciones inseguras antes de que se apliquen en un dispositivo predeterminado de fábrica. El modo inseguro también permite planificar el fin del ciclo de vida de las funciones obsoletas antes de la fase tres, en la que se eliminan por completo. El objetivo del modo inseguro es permitir la migración a redes seguras por diseño a la vez que se minimizan las posibles interrupciones en la funcionalidad.

Para las nuevas implementaciones y las instalaciones predeterminadas de fábrica, el modo seguro se establece de forma predeterminada (sin modo del sistema inseguro), lo que significa que el dispositivo no permite aplicar configuraciones inseguras en fase de restricción. El modo no seguro debe habilitarse explícitamente con el modo del sistema insecure global configuration para aplicar las funciones y protocolos inseguros de la fase de restricción. Las funciones y protocolos inseguros de la fase de advertencia se pueden seguir aplicando en el modo seguro, pero generan mensajes de advertencia.

Comprobar el modo de seguridad actual

El modo de dispositivo se puede verificar con el comando show system security mode. show running-config all | include system mode también refleja si el dispositivo está en modo seguro o en modo inseguro. La palabra clave all indica al dispositivo que incluya configuraciones predeterminadas en la salida, ya que el modo seguro es la configuración predeterminada en las nuevas implementaciones.

Estas salidas reflejan un dispositivo en modo seguro:

Device# show system security mode

System Security Mode : Secure

Device# show running-config all | include system mode

no system mode insecure

Los mismos comandos se pueden utilizar para verificar si el dispositivo está en modo inseguro:

Device# show system security mode

System Security Mode : Insecure

Device# show running-config all | include system mode

system mode insecure

Cambiar modo de seguridad

Activar modo inseguro

Para activar el modo no seguro:

1. Ingrese al modo de configuración global.
2. Ejecute el modo de sistema inseguro.

Device# configure terminal

Device(config)# system mode insecure

Activar el modo seguro

Para activar el modo seguro:

1. Ingrese al modo de configuración global.
2. Ejecute no system mode insecure.

Device# configure terminal

Device(config)# no system mode insecure

Requisitos para habilitar el modo seguro

Para pasar al modo seguro, deben cumplirse los siguientes requisitos:

• Cualquier análisis de configuración inseguro debe estar completo.
• Todas las configuraciones inseguras deben eliminarse del dispositivo.

Si el análisis de la configuración insegura no está completo, el sistema le pide que vuelva a intentarlo cuando caduque el temporizador de análisis:

Device# configure terminal

Device(config)# no system mode insecure

System secure mode cannot be changed to secure as insecure configuration scanning is in progress. Try after 4 min 0 sec.

Se puede forzar un nuevo escaneo inmediato con el comando test system secure all.

Si el temporizador caduca, la exploración de la configuración finaliza y el sistema detecta configuraciones inseguras, el sistema no entra en el modo seguro. Estas configuraciones inseguras deben eliminarse antes de que el sistema pueda entrar en el modo seguro:

Device(config)# no system mode insecure

System secure mode cannot be changed to secure as insecure cli(s) are present in system.

Una vez cumplidos ambos requisitos, se puede activar el modo seguro:

Device# configure terminal

Device(config)# no system mode insecure

%SYS-4-SYSTEM_SECURITY_MODE_CHANGE: System Security Mode Changed from INSECURE to SECURE

Aplicar configuraciones no seguras

En el modo seguro, si se aplica una configuración no segura de fase de restricción, se muestra un mensaje de error y no se aplica la configuración. Por ejemplo:

Device# configure terminal

Device(config)# ip ftp source-interface Gi0/0/0

%Error:Insecure configurations are not permitted in secure mode. To proceed, set the system mode to insecure using the command system mode insecure, and then try again.
Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%ERROR: Security policy check failed, configuration cannot be applied
Device(config)#end

Los mensajes que se muestran inmediatamente después del intento de configuración indican que el dispositivo está en modo seguro, por lo que no se pueden aplicar las configuraciones inseguras, lo que se verifica con:

Device# show running-config | include ip ftp source-interface
Device#

Para aplicar las configuraciones inseguras de la fase de restricción, habilite primero el modo inseguro con la configuración global insegura del modo del sistema:

Device# configure terminal

Device(config)# system mode insecure

Device(config)# end

Device#show running-config all | include system mode

system mode insecure

Una vez que el dispositivo está en modo inseguro, se pueden aplicar configuraciones inseguras en fase de restricción. Se muestra un mensaje de advertencia de seguridad similar durante la configuración; sin embargo, se aplica la configuración insegura:

Device# configure terminal

Device(config)# ip ftp source-interface Gi0/0/0

SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Device(config)# end

Device# show running-config | include ip ftp source-interface
ip ftp source-interface GigabitEthernet0/0/0
Device#

Un mensaje de advertencia también llama la atención sobre la configuración insegura. Debido a que los temporizadores ponen en cola estos mensajes para limitarlos de velocidad, este syslog puede tardar hasta dos minutos en aparecer después de la configuración:

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Solo las funciones y protocolos de la fase de restricción requieren o activan el modo inseguro. Las funciones y los protocolos de la fase de advertencia se pueden seguir aplicando en el modo seguro.

Transición automática al modo no seguro

Cuando un dispositivo Cisco IOS XE se actualiza a la versión 26.1.1 o posterior, el sistema detecta cualquier configuración insegura de fase de restricción durante el arranque y cambia automáticamente el dispositivo al modo inseguro. No es necesario agregar manualmente el modo del sistema a la configuración global insegura, y las funciones inseguras no se ven afectadas al pasar a la fase de restricción.

Este ejemplo recorre la transición automática al modo inseguro durante la actualización de 17.18.2 (donde no hay contexto de modo inseguro) a 26.1.1 (que tiene un contexto explícito de modo inseguro). El dispositivo comienza con la configuración menos segura ip ftp source-interface GigabitEthernet0/0/0 aplicada.

Inicialmente, este dispositivo se inicia en la versión 17.18.2 de Cisco IOS XE:

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 17.18.02

Se ha detectado una configuración no segura:

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------
<snip>

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
<snip>

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1
<snip>

Además, no existe el concepto de modo seguro o modo inseguro en esta versión:

Device# show running-config all | include system mode
Device#

A continuación, el dispositivo se actualiza a la versión 26.1.1, que introduce los modos seguro e inseguro.

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 26.01.01

Sigue habiendo la misma configuración no segura aplicada:

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------
<snip>

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
<snip>

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1
<snip>

Debido a la presencia de esta (o cualquier) configuración insegura de fase de restricción, el sistema la detecta y pasa automáticamente al modo inseguro:

Device# show system security mode 
System Security Mode : Insecure

Y la configuración insegura del modo del sistema se aplica automáticamente:

Device# show running-config all | include system mode
system mode insecure <<<----------
system mode warning periodicity 24
Device#

Refuerzo de dispositivos

Migre de funciones y protocolos inseguros a métodos más seguros antes de la fase de eliminación (fase tres). Cisco ha integrado mejoras en la facilidad de mantenimiento para facilitar la identificación y corrección de las configuraciones inseguras.

Identificación de configuraciones no seguras aplicadas

Las configuraciones inseguras de fase de restricción que se aplican actualmente se pueden ver con el comando EXEC show system insecure configuration. Este comando se incluye automáticamente en el resultado de show tech-support en las versiones 26.1.1 y posteriores. Este ejemplo de resultado proviene de un dispositivo con tres configuraciones inseguras de fase de restricción aplicadas:

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3 <<<---------- Number of insecure configurations identified
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 10 min 0 sec <<<------- Time remaining until this output refreshes to reflect
Database State: Update Scheduled                any configuration changes applied.
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0
<snipped other insecure configurations>

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3
<snip>

Este resultado incluye información clave sobre el módulo que contiene la función insegura, el comando primario o la configuración si se trata de una configuración anidada, el comando específico de CLI marcado, la razón por la que se marcó como inseguro y la acción de remediación necesaria para corregirlo.

También se puede ver una lista completa de todos los patrones de CLI inseguros con el comando show system insecure profile. Mientras que show system insecure configuration muestra las configuraciones inseguras de la fase de restricción que se aplican actualmente, show system insecure profile muestra todas las configuraciones inseguras de la fase de restricción que el sistema está diseñado para detectar. La lista de configuraciones inseguras del perfil se actualiza con el tiempo a medida que las prácticas recomendadas de seguridad siguen evolucionando.

Remediaciones de ejemplo para configuraciones comunes no seguras

Estos ejemplos muestran cómo detectar, identificar y remediar varias configuraciones inseguras con frecuencia encontradas. Cisco ha implementado software para ayudar a que la identificación y mitigación sean lo más directas posible, ya sea que se utilicen los mensajes de syslog INSECURE_CONFIG o el resultado de show system insecure configuration.

Método de transferencia de archivos no seguro

Estos son los mensajes de advertencia que se ven en el dispositivo:

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp username <USERNAME> - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp password <PASSWORD> - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Puede ejecutar show system insecure configuration para ver información adicional sobre estas configuraciones inseguras:

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [2/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp username <USERNAME>
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 2: ip ftp username <USERNAME>

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [3/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp password <PASSWORD>
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 3: ip ftp password <PASSWORD>

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3
<snip>
Device#

Estos registros se asignan directamente a estas configuraciones:

Device# show running-config | include ip ftp
ip ftp source-interface GigabitEthernet0/0/0
ip ftp username <USERNAME>
ip ftp password <PASSWORD>

Para mitigar estas configuraciones inseguras:

1. Ingrese al modo de configuración global.
2. Elimine las configuraciones de FTP inseguras.

Device# configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Device(config)# no ip ftp source-interface GigabitEthernet0/0/0
Device(config)# no ip ftp username <USERNAME>
Device(config)# no ip ftp password <PASSWORD>

Protocolos SNMP heredados e inseguros

Este es el mensaje de advertencia que se ve en el dispositivo:

%SYS-4-INSECURE_CONFIG: Module: SNMP - Command: snmp-server community * ro - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Configure SNMP v3 User

Ejecute show system insecure configuration para ver información adicional sobre la configuración insegura:

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 1 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: SNMP
|       Parent Command: NA
|          CLI Command: snmp-server community <STRING> RO
|          Description: SNMP Community string configured - uses insecure SNMPv1/v2c protocol vulnerable to eavesdropping
|               Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication
|          Remediation: Configure SNMP v3 User
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: snmp-server community cisco RO

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1
<snip>

Device#

Estos registros se asignan directamente a esta configuración:

Device# show running-config | include snmp-server
snmp-server community <STRING> RO

Los clientes pueden solucionar este problema mediante SNMPv3 con autenticación y cifrado (authPriv).

Preguntas frecuentes

A: ¿Por qué está realizando Cisco estos cambios? 

R.: Cisco está realizando estos cambios para mejorar la seguridad y la flexibilidad de su infraestructura de red mediante la desactivación de funciones antiguas e inseguras, la introducción de una supervisión y una protección más robustas y la simplificación de las operaciones seguras. Estos esfuerzos ayudan a proteger a los clientes frente a las amenazas cibernéticas en constante evolución, reducen el tiempo de inactividad y preparan las redes para futuros retos, como la informática cuántica. En general, la iniciativa tiene como objetivo construir una base moderna, segura y confiable para las tecnologías actuales y futuras.

A: ¿Qué sucede cuando un dispositivo con una configuración insegura se actualiza a una versión en la fase Restricción para esa función?

R: Cuando un dispositivo se actualiza a una versión de restricción (fase dos) para una función determinada, el sistema detecta las configuraciones inseguras durante el proceso de arranque y cambia automáticamente el dispositivo al modo inseguro.

A: ¿Qué sucede cuando un dispositivo con una configuración insegura se actualiza a una versión en la fase de eliminación para esa función? 

R: Cuando un dispositivo se actualiza a una versión de eliminación (fase tres) para una función determinada, las configuraciones eliminadas ya no están disponibles. Siga los procedimientos de migración estándar para administrar comandos obsoletos.

A: ¿Se eliminan todas las funciones inseguras en la misma versión? 

R: No todas las funciones inseguras se eliminan en la misma versión. Cisco se adhiere a un enfoque por fases para anular el uso de funciones inseguras en tres fases: primero se emiten advertencias cuando se configuran o detectan funciones inseguras, después se restringe su uso desactivándolas de forma predeterminada o requiriendo una acción explícita del administrador (mediante la introducción del modo inseguro) y, finalmente, se eliminan las funciones por completo en futuras versiones. Algunas funciones pueden omitir la fase Restricción y pasar directamente de Advertencias a Eliminación. El tiempo de eliminación varía según la función y la plataforma, y los números de versión de advertencias, restricciones y eliminaciones difieren entre los sistemas operativos, como Cisco IOS XE, Cisco IOS XR, Cisco NXOS, Cisco ISE y Cisco ASA/FTD. Este proceso por fases garantiza una interrupción mínima y deja tiempo a los clientes para realizar la transición a alternativas seguras.

A: ¿Cuándo pasa mi función insegura a la fase de restricción o eliminación? 

R: El tiempo para cuando una función insegura entra en la fase de Restricción o Remoción varía según la función y el sistema operativo. Para obtener información detallada, consulte la documentación Detalles de eliminación y desaprobación de funciones. 

A: ¿Qué alternativas existen para mi función insegura en particular? 

R: Consulte la documentación Eliminación de funciones y alternativas sugeridas para identificar las alternativas recomendadas para varias funciones y protocolos inseguros. 

A: ¿Cómo puedo ver qué configuraciones inseguras he aplicado actualmente? 

R: Para ver qué configuraciones inseguras de fase de restricción se aplican actualmente, utilice el comando show system insecure configuration en Cisco IOS XE 26.1.1 y versiones posteriores. Este comando proporciona una lista completa de las funciones inseguras de la fase de restricción configuradas en el dispositivo. Además, en Cisco SD-WAN Manager, utilice Monitor > Advisories y seleccione la pestaña Insecure Configurations para ver las configuraciones inseguras en los dispositivos, grupos de configuración y plantillas, con enlaces a los pasos de remediación. Esta vista se actualiza aproximadamente cada 30 minutos para garantizar que la información esté actualizada.

A: ¿Cómo puedo ver una lista de todas las posibles configuraciones inseguras en una versión de software determinada? 

R: Utilice el comando show system insecure profile para ver una lista completa de todos los patrones de CLI inseguros de fase de restricción para los que el sistema está diseñado para detectar. A diferencia de show system insecure configuration, que muestra solo las configuraciones inseguras aplicadas actualmente, el resultado del perfil incluye todas las configuraciones inseguras conocidas en la fase Restricción y se actualiza con el tiempo a medida que evolucionan las prácticas recomendadas de seguridad.

A: He corregido una configuración insegura.  ¿Por qué sigue apareciendo en el resultado de show system insecure configuration? 

R.: El análisis de configuraciones no seguras sólo se ejecuta periódicamente en el modo no seguro. Esto significa que después de corregir una configuración insegura, el sistema no refleja inmediatamente el cambio hasta que se produce el siguiente análisis programado, que ocurre en un intervalo de 30 minutos. Esta programación garantiza que los últimos detalles de configuración inseguros se actualicen y se muestren con regularidad, a la vez que se minimiza la sobrecarga necesaria para realizar el análisis.  Utilice el comando test system secure all para forzar un nuevo escaneo inmediato y así evitar esperar a que caduque el temporizador de escaneo. 

A: ¿Cómo puedo comprobar de forma proactiva qué configuraciones inseguras he aplicado antes de actualizar? 

R: Para comprobar de forma proactiva qué configuraciones inseguras se aplican antes de la actualización, antes de Cisco IOS XE 17.18.2, utilice el bot Cisco AI Assistant for Support disponible en la página Cisco Resilient Infrastructure, que permite cargar configuraciones para identificar funciones inseguras. Una herramienta similar, el Cisco Config Resilient Infrastructure Tester, es otra opción.  A partir de Cisco IOS XE 17.18.2 y versiones posteriores, estas herramientas siguen estando disponibles, pero también existe la opción de ejecutar el comando show system insecure configuration en el dispositivo para ver las configuraciones inseguras aplicadas actualmente. Sin embargo, el uso de la API Assistant para Support bot y Resilient Infrastructure Tester proporciona un aumento adicional impulsado por la IA más allá del comando directo de la CLI.

Recursos adicionales

Lea esta documentación para conocer mejor las prácticas recomendadas y alternativas de seguridad para cualquier configuración existente que no sea segura.

Cisco Resilient Infrastructure: proporciona información básica esencial sobre la transición a una condición de seguridad mejorada en los dispositivos de Cisco. Los usuarios pueden aprovechar Cisco AI Assistant for Support Bot en la esquina inferior derecha de esta página para realizar un flujo de trabajo guiado a fin de identificar configuraciones inseguras a partir de varias salidas. 

Cisco Config Resilient Infrastructure Tester: herramienta que se puede utilizar para comprobar si hay configuraciones inseguras basadas en una configuración en ejecución proporcionada.

Guía de refuerzo del software Cisco IOS XE: detalla las prácticas recomendadas para reforzar los dispositivos Cisco IOS XE y aumentar la seguridad general de la red.

Eliminación de características y alternativas sugeridas: documenta la lista de características y protocolos inseguros que se planean para una eventual eliminación, así como las alternativas recomendadas.

Detalles de eliminación y desaprobación de funciones: documenta cuándo determinadas funciones y protocolos inseguros entran en las fases de advertencia o restricción basadas en la versión de software Cisco IOS XE.

Guía de supervisión y mantenimiento de SD-WAN - Capítulo Gestión de configuración insegura - Cubre la visibilidad centralizada y la remediación procesable para configuraciones de funciones inseguras en Cisco Catalyst SD-WAN, ayudando a los administradores a identificar y corregir vulnerabilidades para reforzar la seguridad de la red y mantener el cumplimiento.

Infraestructura flexible: Cisco Catalyst SD-WAN and Routing Technical Reference: cuaderno de campaña de resistencia y refuerzo de la seguridad para Cisco Catalyst SD-WAN y routing. Proporciona directrices prescriptivas para identificar, remediar y sustituir las configuraciones poco seguras en los modelos de gestión basados en la interfaz de usuario y la CLI. Su objetivo es reforzar la seguridad, reducir la superficie de ataque y proteger los datos mediante la transición de alternativas inseguras a alternativas seguras y resistentes, a la vez que se garantiza la coherencia entre los modelos operativos.

Cisco C9000 Switching Cisco IOS XE - Resilient Infrastructure Playbook - Se centra en la identificación de configuraciones inseguras y su sustitución por alternativas seguras y resistentes para reforzar la condición en materia de seguridad, reducir la superficie de ataque y proteger los datos. El objetivo del cuaderno es garantizar la uniformidad entre los modelos operativos de interfaz de usuario y CLI, a la vez que se mejora la resistencia de la red y la simplicidad operativa de la familia Catalyst 9000.

Cisco 9800 Wireless Resilient Infrastructure: describe la estrategia por fases de Cisco para desaprobar funciones y protocolos no seguros, proporcionando rutas de migración completas para proteger alternativas que eviten interrupciones del servicio durante las actualizaciones de software. Incluye tablas de referencia detalladas para las configuraciones afectadas a través del transporte de línea, transferencias de archivos y protocolos de gestión, junto con orientación sobre los posibles impactos operativos de no migrar

Historial de revisiones

Revisión	Fecha de publicación	Comentarios
2.0	07-Aug-2026	Recertificación: formato actualizado y renuncia de responsabilidad legal.
1.0	27-May-2026	Versión inicial