Comprendere l'infrastruttura resiliente sui dispositivi IOS XE

Introduzione

Questo documento descrive l'approccio di Cisco all'infrastruttura resiliente, basata su tecnologie sicure per impostazione predefinita e sicure per progettazione.

Prerequisiti

Requisiti

Sebbene non vi siano requisiti specifici per questo documento, è utile una conoscenza di base del software Cisco IOS® XE.

Componenti usati

Le informazioni discusse in questo documento sono valide per tutti i dispositivi con software Cisco IOS XE 17.18.2 e versioni successive. Tra questi sono inclusi router, switch e WLC Cisco IOS XE.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Obiettivo

Questo documento descrive come Cisco riduce la superficie di attacco sui prodotti di rete Cisco e riduce al minimo le vulnerabilità della sicurezza tramite impostazioni predefinite sicure, la rimozione di tecnologie e funzionalità legacy non sicure e una sicurezza avanzata dei prodotti.

Per ulteriori informazioni, vedere la documentazione di Resilient Infrastructure e la guida alla protezione avanzata del software Cisco IOS XE. Il documento corrente si concentra sugli aspetti tecnici e sulle considerazioni che risultano dall'implementazione graduale di queste modifiche alla sicurezza.

Approccio a fasi

Cisco utilizza un approccio in più fasi per rimuovere le funzionalità e i protocolli meno sicuri in modo da ridurre la superficie di attacco e supportare l'adozione di best practice critiche per la sicurezza. La fase di queste configurazioni è specifica per ogni funzione o protocollo. Una feature può rimanere nella fase di avvertenza mentre un'altra entra nella fase di restrizione.

Fase 1: Avviso

La CLI visualizza avvisi quando vengono configurate funzioni non sicure chiave. Questo documento descrive le configurazioni non sicure da cui può partire la migrazione a opzioni più sicure. Risolvere immediatamente i messaggi di avviso non sicuri. Le configurazioni non sicure in fase di avviso non attivano o richiedono la modalità non protetta.

Fase 2: Restrizione

Le funzionalità non sicure con chiave sono disabilitate per impostazione predefinita e richiedono un'azione esplicita per essere abilitate in modalità non sicura. Le installazioni esistenti continuano a funzionare, ma le nuove installazioni richiedono l'abilitazione intenzionale di tali configurazioni non sicure. Alcune funzionalità delle piattaforme Cisco IOS XE non possono avere una fase Restriction. Vengono semplicemente visualizzati avvisi per diverse release prima della successiva rimozione.

Fase 3: Rimozione

Le feature non sicure obsolete vengono completamente rimosse. I tempi di rimozione delle funzionalità variano a seconda dell'impatto e dell'adozione. Ad esempio, le funzionalità ampiamente adottate come l'SNMPv2 vengono eliminate più lentamente delle funzionalità meno utilizzate.

Comandi principali

Questi comandi sono utili quando si implementano infrastrutture più resilienti. In questo documento viene fatto riferimento a questi comandi.

• mostra configurazione sistema non sicuro

  Questo comando è usato per visualizzare le configurazioni non sicure attualmente applicate che si trovano nella fase Restriction.  Non vengono visualizzate le configurazioni non sicure che si trovano nella fase di avviso o di rimozione.  Questo comando visualizza anche il tempo rimanente per la successiva analisi della configurazione non protetta (descritta nella sezione Timer e analisi della configurazione non protetta).

• show system security mode

  Questo comando fornisce un breve output che mostra se il dispositivo è in modalità protetta o non protetta.

• show running-config all | includi modalità di sistema non protetta

   Con questo comando viene visualizzata la configurazione in esecuzione (incluse le configurazioni predefinite), filtrata in base alle parole chiave non sicure della modalità di sistema. Per ulteriori informazioni, consultare Modifica modalità di protezione.

• sistema di test protetto

  Questo comando esegue immediatamente una ricerca di configurazioni non sicure e visualizza l'output show system insecure configuration.  Ciò è utile per aggiornare le configurazioni contrassegnate come non sicure dopo una modifica senza attendere la scadenza del timer di digitalizzazione.

• mostra profilo non sicuro del sistema

  Questo comando visualizza le configurazioni non sicure con fase di restrizione che il sistema è progettato per rilevare su quella versione del software.  L'elenco delle configurazioni non sicure nel profilo viene aggiornato nel tempo con l'evoluzione continua delle procedure ottimali per la sicurezza.  Ciò non riflette le funzionalità non sicure attualmente configurate sul dispositivo.  Si tratta semplicemente di un elenco di tutte le configurazioni non sicure con fase di restrizione che il sistema cerca.  Consultare le Guide alla protezione avanzata nella sezione Ulteriori risorse per tutte le best practice di sicurezza.  

Avvertenze e considerazioni

Timer e analisi di configurazione non sicure

I controlli della configurazione non sicura e i messaggi di avviso dettagliati in questo documento sono pianificati sui timer per limitare la frequenza con cui vengono eseguiti.  La correzione di una configurazione non protetta non comporta la sua scomparsa immediata dall'output show system insecure configuration.  Poiché lo scanner di configurazione funziona in un ciclo di 30 minuti, si verifica un ritardo fino a 30 minuti.  Analogamente, tra l'applicazione di una configurazione non protetta e il corrispondente syslog SYS-4-INSECURE_CONFIG possono trascorrere fino a due minuti.

Il tempo rimanente prima dell'esecuzione della scansione successiva può essere visualizzato con il comando show system insecure configuration. Il timer viene visualizzato nella prima sezione dell'output.

Nel primo esempio viene mostrato che sono state apportate modifiche alla configurazione e che la prossima analisi per rilevare eventuali configurazioni non sicure può essere eseguita in 8 minuti:

Device# show system insecure configuration

=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 8 min 0 sec <<<----------
Database State: Update Scheduled
=============================================================
<snip>

L'esempio seguente mostra che non sono state rilevate modifiche alla configurazione dall'ultima analisi, quindi non sono necessari controlli aggiuntivi per le configurazioni non sicure:

Device# show system insecure configuration

=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates <<<----------
Database State: Stable
=============================================================
<snip>

È possibile forzare una nuova analisi immediata con il comando test system secure all. Oltre a richiedere una nuova analisi immediata, questo comando visualizza l'output show system insecure configuration. In questo modo è possibile aggiornare le configurazioni contrassegnate come non sicure dopo una modifica senza attendere la scadenza del timer di digitalizzazione.

Avvisi di configurazione non protetta

A partire dalla versione 17.18.2, con l'introduzione della fase Warning, il dispositivo può generare messaggi syslog con questa sintassi:

%SYS-4-INSECURE_CONFIG: Module: <MODULE> - Command: <COMMAND> - Reason: <REASON> - Remediation: <REMEDIATION>
%SYS-4-INSECURE_DYNAMIC_WARNING: Module: <MODULE> - Command: <COMMAND> - Reason: <REASON> - Remediation: <REMEDIATION>

Questi messaggi includono:

• Modulo: Il componente che ha generato il messaggio di log (ad esempio LOGGING, HTTP o LINE)
• Comando: Configurazione specifica che ha attivato il messaggio di avviso
• Motivo: Motivo per cui la configurazione è contrassegnata come non sicura
• Correzione: Necessità di intraprendere un'azione per passare a un'alternativa più sicura 

Questi messaggi di avviso non influiscono sul servizio o sulla funzionalità del dispositivo. Lo scopo è quello di attirare l'attenzione su queste configurazioni non sicure in modo che possano essere risolte proattivamente.

Questi registri vengono visualizzati durante l'avvio o dopo l'applicazione di una configurazione non protetta. Inoltre, possono essere rivisualizzati periodicamente sul dispositivo. Ulteriori dettagli su questi messaggi e sulla relativa sintassi sono disponibili nella guida di riferimento degli avvisi di sicurezza di Cisco IOS XE per l'infrastruttura resiliente.

Esempio di syslog visualizzato subito dopo la configurazione

Questi sono messaggi di syslog di esempio che vengono visualizzati poco dopo l'applicazione di una configurazione non protetta.  Come indicato nella sezione Timer e analisi della configurazione non protetta, la visualizzazione di questi messaggi può impiegare fino a due minuti dopo l'applicazione della configurazione non protetta: 

! Feature in the Warning phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_DYNAMIC_WARNING: Module: HTTP - Command: ip http server - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Use http secure server to ensure secure web access - Submode: configure - Parent CLI: Not Applicable

! Feature in the Restriction phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Esempio di syslog visualizzato all'avvio

Questi sono messaggi di esempio visualizzati all'avvio.  Viene visualizzato un messaggio per ogni configurazione non protetta rilevata dal sistema:

! Feature in the Warning phase:
    INSECURE DYNAMIC WARNING - Module: HTTP, Command: ip http server , Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication, Remediation: Use http secure server to ensure secure web access, Submode: configure, Parent CLI: Not Applicable

! Feature in the Restriction phase:
    SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Modalità non protetta

La modalità non protetta è stata introdotta in Cisco IOS XE versione 26.1.1. La modalità non protetta consente di colmare il divario tra le implementazioni esistenti meno sicure e le reti future con protezione avanzata. La configurazione in modalità non protetta consente di continuare a utilizzare le funzionalità non sicure esistenti contrassegnando al contempo le configurazioni che comportano un rischio per la sicurezza e che devono essere ridotte. Funge anche da riconoscimento delle funzionalità non sicure prima che vengano applicate a un dispositivo predefinito. La modalità non protetta consente inoltre di pianificare la fine del ciclo di vita delle feature obsolete prima della terza fase, in cui vengono completamente rimosse. L'obiettivo della modalità non protetta è supportare la migrazione a reti sicure in base alla progettazione riducendo al minimo le potenziali interruzioni delle funzionalità.

Per le nuove distribuzioni e le installazioni predefinite in fabbrica, la modalità protetta è impostata per impostazione predefinita (nessuna modalità di sistema non protetta), ovvero il dispositivo non consente l'applicazione di configurazioni non sicure con fase di restrizione. Per applicare funzionalità e protocolli non sicuri in fase di restrizione, la modalità non protetta deve essere attivata in modo esplicito con la configurazione globale non protetta in modalità di sistema. Le funzionalità e i protocolli non sicuri nella fase di avviso possono comunque essere applicati in modalità protetta, ma generano messaggi di avviso.

Verifica modalità di protezione corrente

Per controllare la modalità periferica, usare il comando show system security mode. Il comando show running-config all | include system mode indica anche se il dispositivo è in modalità protetta o non protetta. La parola chiave all indica al dispositivo di includere nell'output le configurazioni predefinite, in quanto la modalità protetta è l'impostazione predefinita nelle nuove distribuzioni.

Questi output riflettono un dispositivo in modalità protetta:

Device# show system security mode

System Security Mode : Secure

Device# show running-config all | include system mode

no system mode insecure

Gli stessi comandi possono essere utilizzati per verificare se il dispositivo è in modalità non protetta:

Device# show system security mode

System Security Mode : Insecure

Device# show running-config all | include system mode

system mode insecure

Cambia modalità di protezione

Abilita modalità non protetta

Per attivare la modalità non protetta:

1. Accedere alla modalità di configurazione globale.
2. Esecuzione modalità di sistema non protetta.

Device# configure terminal

Device(config)# system mode insecure

Abilita modalità protetta

Per abilitare la modalità protetta:

1. Accedere alla modalità di configurazione globale.
2. Esegui in modalità sistema non protetta.

Device# configure terminal

Device(config)# no system mode insecure

Requisiti per abilitare la modalità protetta

Per passare alla modalità protetta, è necessario che siano soddisfatti i seguenti requisiti:

• Qualsiasi analisi di configurazione non protetta deve essere completata.
• Tutte le configurazioni non sicure devono essere rimosse dal dispositivo.

Se l'analisi con configurazione non protetta non è completa, il sistema chiede di riprovare dopo la scadenza del timer di analisi:

Device# configure terminal

Device(config)# no system mode insecure

System secure mode cannot be changed to secure as insecure configuration scanning is in progress. Try after 4 min 0 sec.

È possibile forzare una nuova analisi immediata con il comando test system secure all.

Se il timer scade, l'analisi della configurazione viene completata e il sistema continua a rilevare configurazioni non sicure, il sistema non entra in modalità protetta. Prima che il sistema possa entrare in modalità protetta, è necessario rimuovere le configurazioni non sicure:

Device(config)# no system mode insecure

System secure mode cannot be changed to secure as insecure cli(s) are present in system.

Una volta soddisfatti entrambi i requisiti, è possibile abilitare la modalità protetta:

Device# configure terminal

Device(config)# no system mode insecure

%SYS-4-SYSTEM_SECURITY_MODE_CHANGE: System Security Mode Changed from INSECURE to SECURE

Applica configurazioni non sicure

In modalità protetta, se viene applicata una configurazione non protetta con fase Restriction, viene visualizzato un messaggio di errore e la configurazione non viene applicata. Ad esempio:

Device# configure terminal

Device(config)# ip ftp source-interface Gi0/0/0

%Error:Insecure configurations are not permitted in secure mode. To proceed, set the system mode to insecure using the command system mode insecure, and then try again.
Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%ERROR: Security policy check failed, configuration cannot be applied
Device(config)#end

I messaggi visualizzati immediatamente dopo il tentativo di configurazione indicano che il dispositivo è in modalità protetta, pertanto non è possibile applicare le configurazioni non protette, operazione verificata con:

Device# show running-config | include ip ftp source-interface
Device#

Per applicare configurazioni non sicure con fase di restrizione, abilitare prima la modalità non sicura con la configurazione globale non sicura della modalità di sistema:

Device# configure terminal

Device(config)# system mode insecure

Device(config)# end

Device#show running-config all | include system mode

system mode insecure

Quando il dispositivo è in modalità non protetta, è possibile applicare configurazioni non protette in fase di restrizione. Durante la configurazione, viene visualizzato un messaggio di avviso di sicurezza simile; tuttavia, viene applicata la configurazione non sicura:

Device# configure terminal

Device(config)# ip ftp source-interface Gi0/0/0

SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Device(config)# end

Device# show running-config | include ip ftp source-interface
ip ftp source-interface GigabitEthernet0/0/0
Device#

Un messaggio di avviso richiama inoltre l'attenzione sulla configurazione non sicura. Poiché i timer accodano questi messaggi per limitarne la velocità, la visualizzazione di questo syslog può impiegare fino a due minuti dopo la configurazione:

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Solo le funzionalità e i protocolli nella fase Restriction richiedono o attivano la modalità non protetta. Le funzionalità e i protocolli nella fase di avviso possono ancora essere applicati in modalità protetta.

Transizione automatica in modalità non protetta

Quando un dispositivo Cisco IOS XE viene aggiornato alla versione 26.1.1 o successive, il sistema rileva eventuali configurazioni non sicure in fase di restrizione durante l'avvio e passa automaticamente il dispositivo alla modalità non protetta. Non è necessario aggiungere manualmente la configurazione globale non protetta della modalità di sistema e le funzionalità non protette non hanno alcun impatto sul passaggio alla fase Restrizione.

In questo esempio viene esaminata la transizione automatica alla modalità non protetta durante l'aggiornamento da 17.18.2 (in cui non è presente alcun contesto di modalità non protetta) a 26.1.1 (in cui è presente un contesto di modalità non protetta esplicito). Il dispositivo inizia con la configurazione ip ftp meno sicura dell'interfaccia di origine Gigabit Ethernet0/0/0 applicata.

Inizialmente, il dispositivo viene avviato su Cisco IOS XE versione 17.18.2:

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 17.18.02

È stata rilevata una configurazione non protetta:

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------
<snip>

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
<snip>

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1
<snip>

Inoltre, in questa versione non esiste il concetto di modalità protetta o modalità non protetta:

Device# show running-config all | include system mode
Device#

Il dispositivo viene quindi aggiornato alla versione 26.1.1, che introduce le modalità protetta e non protetta.

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 26.01.01

È ancora presente la stessa configurazione non sicura applicata:

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------
<snip>

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
<snip>

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1
<snip>

A causa della presenza di questa (o di qualsiasi) configurazione non sicura in fase di restrizione, il sistema la rileva e passa automaticamente alla modalità non protetta:

Device# show system security mode 
System Security Mode : Insecure

Inoltre, la configurazione non protetta in modalità sistema viene applicata automaticamente:

Device# show running-config all | include system mode
system mode insecure <<<----------
system mode warning periodicity 24
Device#

Dispositivi di protezione avanzata

Passare da funzionalità e protocolli non sicuri a metodi più sicuri prima della fase di rimozione (fase tre). Cisco ha integrato i miglioramenti apportati ai livelli di servizio per semplificare l'identificazione e la correzione delle configurazioni non sicure.

Individuazione configurazioni non sicure applicate

Le configurazioni non sicure con fase di restrizione applicate possono essere visualizzate con il comando show system insecure configuration EXEC. Questo comando viene incluso automaticamente nell'output show tech-support nelle versioni 26.1.1 e successive. L'output di questo esempio viene generato da un dispositivo a cui sono state applicate tre configurazioni non sicure con fase di restrizione:

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3 <<<---------- Number of insecure configurations identified
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 10 min 0 sec <<<------- Time remaining until this output refreshes to reflect
Database State: Update Scheduled                any configuration changes applied.
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0
<snipped other insecure configurations>

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3
<snip>

Questo output include le informazioni chiave relative al modulo contenente la funzionalità non protetta, il comando o la configurazione padre se si tratta di una configurazione nidificata, il comando CLI specifico contrassegnato, il motivo per cui è stato contrassegnato come non sicuro e l'azione correttiva necessaria per correggerlo.

È possibile visualizzare un elenco completo di tutti i modelli CLI non protetti anche con il comando show system insecure profile. Mentre show system insecure configuration mostra le configurazioni non sicure con fase di restrizione attualmente applicate, show system insecure profile visualizza tutte le configurazioni non sicure con fase di restrizione che il sistema è progettato per rilevare. L'elenco delle configurazioni non sicure nel profilo viene aggiornato nel tempo con l'evoluzione continua delle procedure ottimali per la sicurezza.

Esempi di correzioni per le configurazioni non sicure comuni

In questi esempi viene illustrato come rilevare, identificare e correggere diverse configurazioni non sicure comuni. Cisco ha implementato un software per facilitare l'identificazione e la mitigazione nel modo più semplice possibile, sia con i messaggi syslog INSECURE_CONFIG che con l'output show system insecure configuration.

Metodo di trasferimento file non protetto

Di seguito sono riportati i messaggi di avviso visualizzati sul dispositivo:

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp username <USERNAME> - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp password <PASSWORD> - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

È possibile eseguire il comando show system insecure configuration per visualizzare ulteriori informazioni su queste configurazioni non sicure:

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [2/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp username <USERNAME>
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 2: ip ftp username <USERNAME>

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [3/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp password <PASSWORD>
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 3: ip ftp password <PASSWORD>

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3
<snip>
Device#

Questi log eseguono il mapping direttamente a queste configurazioni:

Device# show running-config | include ip ftp
ip ftp source-interface GigabitEthernet0/0/0
ip ftp username <USERNAME>
ip ftp password <PASSWORD>

Per ridurre il rischio di configurazioni non sicure:

1. Accedere alla modalità di configurazione globale.
2. Rimuovere le configurazioni FTP non sicure.

Device# configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Device(config)# no ip ftp source-interface GigabitEthernet0/0/0
Device(config)# no ip ftp username <USERNAME>
Device(config)# no ip ftp password <PASSWORD>

Protocolli SNMP legacy non sicuri

Questo è il messaggio di avviso visualizzato sul dispositivo:

%SYS-4-INSECURE_CONFIG: Module: SNMP - Command: snmp-server community * ro - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Configure SNMP v3 User

Eseguire il comando show system insecure configuration per visualizzare ulteriori informazioni sulla configurazione non protetta:

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 1 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: SNMP
|       Parent Command: NA
|          CLI Command: snmp-server community <STRING> RO
|          Description: SNMP Community string configured - uses insecure SNMPv1/v2c protocol vulnerable to eavesdropping
|               Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication
|          Remediation: Configure SNMP v3 User
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: snmp-server community cisco RO

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1
<snip>

Device#

Questi log eseguono il mapping direttamente a questa configurazione:

Device# show running-config | include snmp-server
snmp-server community <STRING> RO

I clienti possono risolvere questo problema utilizzando il protocollo SNMPv3 con autenticazione e crittografia (authPriv).

Domande frequenti (FAQ)

Q: Perché Cisco sta apportando queste modifiche? 

R: Cisco sta apportando queste modifiche per migliorare la sicurezza e la resilienza dell'infrastruttura di rete disabilitando le funzionalità legacy non sicure, introducendo protezione e monitoraggio più avanzati e semplificando le operazioni sicure. Questi sforzi aiutano a proteggere i clienti dall'evoluzione delle minacce informatiche, a ridurre i tempi di inattività e a preparare le reti per le sfide future come l'elaborazione quantistica. Nel complesso, l'iniziativa mira a costruire una base moderna, sicura e affidabile per le tecnologie attuali e future.

Q: Cosa succede quando un dispositivo con una configurazione non sicura viene aggiornato a una versione nella fase Restriction per tale funzionalità?

A: Quando un dispositivo viene aggiornato a una versione Restriction (Phase Two) per una determinata funzionalità, il sistema rileva le configurazioni non sicure durante il processo di avvio e passa automaticamente il dispositivo alla modalità non protetta.

Q: Cosa succede quando un dispositivo con una configurazione non sicura viene aggiornato a una versione nella fase di rimozione di tale funzionalità? 

A: Quando un dispositivo viene aggiornato a una versione di rimozione (fase tre) per una determinata funzionalità, le configurazioni rimosse non sono più disponibili. Attenersi alle procedure di migrazione standard per la gestione dei comandi obsoleti.

Q: Tutte le funzionalità non sicure sono state rimosse nella stessa release? 

R: Non tutte le funzioni non sicure sono state rimosse nella stessa release. Cisco adotta un approccio in tre fasi per eliminare le funzionalità non sicure: emettere prima avvisi quando vengono configurate o rilevate funzionalità non sicure, quindi limitarne l'uso disabilitandole per impostazione predefinita o richiedendo un'azione esplicita da parte dell'amministratore (tramite l'introduzione della modalità non sicura) e infine rimuovere tutte le funzionalità nelle versioni future. Alcune funzionalità possono ignorare la fase Restriction e passare direttamente da Warnings a Removal. I tempi di rimozione variano a seconda della funzionalità e della piattaforma, con numeri di versione diversi per avvisi, restrizioni e rimozioni nei diversi sistemi operativi, ad esempio Cisco IOS XE, Cisco IOS XR, Cisco NXOS, Cisco ISE e Cisco ASA/FTD. Questo processo in più fasi garantisce un'interruzione minima delle attività e consente ai clienti di passare rapidamente ad alternative sicure.

Q: Quando la funzionalità non protetta passa alla fase Restrizione o Rimozione? 

R. I tempi per il passaggio di una funzione non sicura nella fase Restrizione o Rimozione variano in base alla funzione e al sistema operativo. Per informazioni dettagliate, consultare la documentazione Dettagli rimozione e deprecazione funzionalità. 

Q: Quali sono le alternative disponibili per una particolare feature non protetta? 

A: Fare riferimento alla documentazione sulla rimozione delle funzionalità e sulle alternative suggerite per identificare le alternative consigliate a varie funzionalità e protocolli non sicuri. 

Q: Come posso vedere quali configurazioni non sicure ho applicato? 

R: Per vedere quali configurazioni non sicure con fase di restrizione sono attualmente applicate, usare il comando show system insecure configuration su Cisco IOS XE 26.1.1 e versioni successive. Questo comando fornisce un elenco completo delle funzionalità non sicure con fase di restrizione configurate nel dispositivo. Inoltre, in Cisco SD-WAN Manager, usare Monitor > Advisories e selezionare la scheda Configurazioni non sicure per visualizzare le configurazioni non sicure tra dispositivi, gruppi di configurazione e modelli, con collegamenti alle fasi di risoluzione dei problemi. Questa visualizzazione viene aggiornata ogni 30 minuti circa per garantire l'aggiornamento delle informazioni.

Q: Come è possibile visualizzare un elenco di tutte le possibili configurazioni non sicure per una determinata versione del software? 

A: Usare il comando show system insecure profile per visualizzare un elenco completo di tutti i modelli CLI non sicuri in fase di restrizione che il sistema è progettato per rilevare. A differenza di show system insecure configuration, che mostra solo le configurazioni non sicure attualmente applicate, l'output del profilo include tutte le configurazioni non sicure note nella fase Restrizione e viene aggiornato nel tempo con l'evoluzione delle best practice di sicurezza.

Q: Ho corretto una configurazione non sicura.  Perché appare ancora nell'output show system insecure configuration? 

R: La ricerca di configurazioni non sicure viene eseguita periodicamente in modalità non protetta. Ciò significa che, dopo aver corretto una configurazione non sicura, il sistema non riflette immediatamente la modifica fino alla successiva analisi pianificata, che avviene con un intervallo di 30 minuti. Questa pianificazione assicura che i dettagli della configurazione non protetta più recente vengano aggiornati e visualizzati regolarmente, riducendo al minimo il sovraccarico necessario per eseguire la scansione.  Utilizzare il comando test system secure all per forzare una nuova analisi immediata in modo da evitare l'attesa della scadenza del timer di scansione. 

Q: Come verificare in modo proattivo quali configurazioni non sicure sono state applicate prima dell'aggiornamento? 

R: Per verificare in modo proattivo quali configurazioni non sicure vengono applicate prima dell'aggiornamento, prima di Cisco IOS XE 17.18.2, usare il bot Cisco AI Assistant for Support disponibile nella pagina Cisco Resilient Infrastructure, in cui è possibile caricare le configurazioni per identificare le funzionalità non sicure. Uno strumento simile, il Cisco Config Resilient Infrastructure Tester, è un'altra opzione.  A partire da Cisco IOS XE 17.18.2 e versioni successive, questi strumenti sono ancora disponibili, ma è possibile anche eseguire il comando show system insecure configuration sul dispositivo per visualizzare le configurazioni non sicure applicate al momento. Tuttavia, l'utilizzo dell'Assistente AI per Support Boot e Resilient Infrastructure Tester offre un'ulteriore espansione basata sull'IA oltre al comando CLI diretto.

Ulteriori risorse

Leggere la presente documentazione per approfondire la comprensione delle best practice e delle alternative relative alla sicurezza rispetto alle configurazioni non sicure esistenti.

Cisco Resilient Infrastructure: fornisce informazioni essenziali sulla transizione verso una postura di sicurezza avanzata sui dispositivi Cisco e gli utenti possono usare Cisco AI Assistant for Support Bot nell'angolo in basso a destra della pagina per eseguire un flusso di lavoro guidato e identificare configurazioni non sicure da vari output. 

Cisco Config Resilient Infrastructure Tester: strumento che può essere utilizzato per verificare la presenza di configurazioni non sicure in base a una configurazione in esecuzione fornita.

Guida alla protezione avanzata del software Cisco IOS XE - Dettagli sulle best practice per fortificare i dispositivi Cisco IOS XE e aumentare la sicurezza complessiva della rete.

Rimozione di funzionalità e alternative suggerite: documenta l'elenco di funzionalità e protocolli non sicuri pianificati per la rimozione finale, nonché le alternative consigliate.

Dettagli rimozione e deprecazione funzionalità: documenta quando alcune funzionalità e protocolli non sicuri entrano nelle fasi di avviso e/o restrizione basate sulla versione del software Cisco IOS XE.

Guida alla manutenzione e al monitoraggio di SD-WAN - Capitolo sulla gestione della configurazione non sicura - Copre la visibilità centralizzata e la risoluzione dei problemi praticabili per configurazioni di funzionalità non sicure in Cisco Catalyst SD-WAN, aiutando gli amministratori a identificare e risolvere le vulnerabilità per rafforzare la sicurezza della rete e mantenere la conformità.

Infrastruttura resiliente Documentazione tecnica su routing e SD-WAN di Cisco Catalyst - Protezione avanzata e playbook sulla resilienza per Cisco Catalyst SD-WAN e routing. Fornisce una guida prescrittiva per identificare, correggere e sostituire le configurazioni non sicure tra i modelli di gestione basati su interfaccia CLI e UI, allo scopo di rafforzare la sicurezza, ridurre la superficie di attacco e proteggere i dati passando da alternative non sicure a alternative sicure e resilienti, garantendo al contempo la coerenza tra i modelli operativi.

Cisco C9000 Switching Cisco IOS XE - Resilient Infrastructure Playbook - Si concentra sull'identificazione delle configurazioni non sicure e sulla loro sostituzione con alternative sicure e resilienti per rafforzare la postura di sicurezza, ridurre la superficie di attacco e proteggere i dati. L'obiettivo del playbook è garantire la coerenza tra i modelli operativi CLI e UI migliorando la resilienza della rete e la semplicità operativa per la famiglia Catalyst 9000.

Cisco 9800 Wireless Resilient Infrastructure: illustra la strategia in più fasi adottata da Cisco per eliminare le funzionalità e i protocolli non sicuri, fornendo percorsi di migrazione completi per proteggere le alternative e prevenire interruzioni del servizio durante gli aggiornamenti del software. Include tabelle di riferimento dettagliate per le configurazioni interessate su trasporto di linea, trasferimenti di file e protocolli di gestione, oltre a linee guida sui potenziali impatti operativi della mancata migrazione

Cronologia delle revisioni

Revisione	Data di pubblicazione	Commenti
2.0	07-Aug-2026	Nuova certificazione - Formattazione aggiornata e dichiarazione di non responsabilità legale.
1.0	27-May-2026	Versione iniziale