この機能をイネーブルにすると（auto secure コマンドを介して）、次のグローバルサービスは、ユーザーにプロンプトを表示することなくルータで自動的にディセーブルになります。

• Finger：攻撃の前にシステムの情報を収集（探査）します。イネーブルになっている場合、この情報により、デバイスが攻撃に対して脆弱なままになることがあります。

• PAD：すべてのパケット アセンブラ/逆アセンブラ（PAD）コマンドと、PAD デバイスとアクセス サーバとの接続をイネーブルにします。イネーブルになっている場合、このサービスにより、デバイスが攻撃に対して脆弱なままになることがあります。

• スモール サーバ：TCP およびユーザ データグラム プロトコル（UDP）の診断ポート攻撃の原因となります。この攻撃では、送信者がルータの UDP 診断サービスに偽の要求を大量に送信し、すべての CPU リソースを使い果たします。

• BOOTP サーバ：BOOTP はセキュアではないプロトコルです。攻撃で悪用されます。

• HTTP サーバ：Secure HTTP サーバが使用されていないか、ACL を関連付けて HTTP サーバに組み込まれる認証が使用されていない場合、HTTP サーバは安全ではなく、攻撃に悪用されることがあります。（HTTP サーバをイネーブルにする必要がある場合は、適切な認証またはアクセス リストの指定を求めるメッセージが表示されます）。

Note	Cisco Configuration Professional（CCP）を使用している場合は、ip http server コマンドを介して手動で HTTP サーバーをイネーブルにする必要があります。

• 識別サービス：RFC 1413 で定義されている安全ではないプロトコルです。TCP ポートで ID を照会することが可能です。攻撃者は、ID サーバでユーザに関する個人的な情報にアクセスできます。

• CDP：大量の Cisco Discovery Protocol（CDP）パケットがルータに送信されると、ルータの使用可能なメモリが消費され、ルータがクラッシュすることがあります。

Caution

CDP を使用してネットワーク トポロジを検出する NM アプリケーションは、検出を実行できなくなります。

• NTP：認証またはアクセス コントロールが行われないと、ネットワーク タイム プロトコル（NTP）は安全ではありません。攻撃者はこのプロトコルを使用して NTP パケットを送信し、ルータをクラッシュさせたり、過負荷状態にしたりすることが可能です。（NTP を有効にする場合は、Message Digest 5（MD5）および ntp access-group コマンドを使用して NTP 認証を設定する必要があります。NTP がグローバルにイネーブルになっている場合は、NTP が不要なすべてのインターフェイスでディセーブルにしてください）。

• 送信元ルーティング：デバッグ作業でのみ使用するため、それ以外のすべての場合でルーティングをディセーブルにする必要があります。そうしないと、アクセス コントロール メカニズムを通過すべきパケットが、一部のアクセス コントロール メカニズムを回避する可能性があります。

この機能をイネーブルにすると、次のインターフェイス単位のサービスが自動的にルータでディセーブルになります。

• ICMP リダイレクト：すべてのインターフェイスでディセーブルになります。このサービスは、正しく設定されたネットワークにとっては有益な機能ではなく、セキュリティ ホールを悪用するために攻撃者によって使用される可能性があります。

• ICMP 到達不能：すべてのインターフェイスでディセーブルになります。インターネット制御マネジメント プロトコル（ICMP）到達不能は、ICMP ベースのサービス拒否攻撃（DoS）の原因として知られています。

• ICMP マスク応答メッセージ：すべてのインターフェイスでディセーブルになります。ICMP マスク応答メッセージにより、攻撃者はインターネットワークの特定のサブネットワークのサブネットマスクを入手できます。

• プロキシ Arp：すべてのインターフェイスでディセーブルになります。プロキシ Arp 要求は、DoS 攻撃の原因として知られています。これは、攻撃者が何度も送信した要求に応答しようとしてルータの使用可能な帯域幅とリソースが消費されることがあるためです。

• ダイレクト ブロードキャスト：すべてのインターフェイスでディセーブルになります。DoS を生じさせるための SMURF 攻撃の原因となる可能性があります。

• メンテナンス オペレーション プロトコル（MOP）サービス：すべてのインターフェイスでディセーブルになります。

AutoSecure 機能をイネーブルにすると、次のグローバル サービスが自動的にルータでイネーブルになります。

• service password-encryption コマンド：設定でパスワードが表示されなくなります。

• service tcp-keepalives-in および service tcp-keepalives-out コマンド：異常終了した TCP セッションが確実に削除されます。

Caution

デバイスが NM アプリケーションによって管理されている場合に、ルータへのアクセスをセキュリティ保護すると、重要なサービスが無効化されたり、NM アプリケーションのサポートが妨げられたりすることがあります。

AutoSecure 機能をイネーブルにすると、ルータへのアクセスをセキュリティ保護する次のオプションをユーザが使用できるようになります。

• テキスト バナーがない場合は、バナーの追加を求めるメッセージが表示されます。AutoSecure 機能には次のサンプル バナーが用意されています。

Authorized access only
This system is the property of ABC Enterprise
Disconnect IMMEDIATELY if you are not an authorized user!
Contact abc@xyz.com +99 876 543210 for help.

• ログインおよびパスワード（サポートされている場合はシークレット パスワードを推奨）は、コンソール、AUX、TTY の各回線で設定されます。 transport input コマンドと transport output コマンド も、これらの回線のすべてで設定されます。（Telnet およびセキュア シェル（SSH）のみが有効な転送方式です。）exec-timeout コマンドは、コンソールと AUX の各回線で 10 に設定されます。

• デバイスのイメージが暗号化イメージである場合、AutoSecure はルータに対するアクセスとファイル転送に SSH とセキュア コピー（SCP）をイネーブルにします。 ip ssh コマンドの timeout seconds および authentication-retries integer オプションは最小数に設定されます。（Telnet および FTP は、この操作の影響を受けず、引き続き動作します）。

• AutoSecure ユーザが、デバイスで簡易ネットワーク管理プロトコル（SNMP）を使用しないと指定した場合は、次のいずれかの状態になります。

  • インタラクティブ モードでは、コミュニティ ストリングの値に関係なく SNMP をディセーブルにするかどうかを尋ねるメッセージがユーザに表示されます。コミュニティ ストリングは、パスワードと同じように機能し、ルータのエージェントへのアクセスを規制します。
  • 非インタラクティブ モードでは、コミュニティ ストリングが "public" または "private" である場合に SNMP がディセーブルになります。

Note	AutoSecure がイネーブルになると、装置のモニタおよび設定のために SNMP を使用するツールは、SNMP を使用する装置との通信を行うことができなくなります。

• 認証、許可、アカウンティング（AAA）が設定されていない場合は、ローカル AAA を設定します。ユーザは、ローカルのユーザ名とそのパスワードをルータで設定するように AutoSecure から要求されます。

次のロギング オプションは、AutoSecure をイネーブルにした後で使用できます。これらのオプションは、セキュリティ インシデントを特定し、顧客に対応する方法を提供します。

• すべてのデバッグ メッセージおよびログ メッセージのシーケンス番号とタイム スタンプ。このオプションは、ロギング メッセージを監査するときに役立ちます。

• ロギング メッセージはログ関連のイベントに対して生成されます。たとえば、ログイン攻撃が検出されルータが「待機モード」に入ると、「Blocking Period when Login Attack Detected」のメッセージが表示されます。（待機モードでは、ルータは Telnet、HTTP、または SSH を使用したログイン試行を許可しません）。

ログイン関連のシステム メッセージの詳細については、『Cisco IOS Release 12.3(4)T feature module Cisco IOS Login Enhancements』を参照してください。

• logging console critical コマンド。これにより、システムロギング（Syslog）メッセージがすべての使用可能な TTY 回線に送信され、シビラティ（重大度）に応じてメッセージが制限されます。

• logging buffered コマンド。これにより、ロギングメッセージが内部バッファにコピーされ、バッファに記録されるメッセージがシビラティ（重大度）に応じて制限されます。

• logging trap debugging コマンド。これにより、デバッグよりもシビラティ（重大度）の高いコマンドをすべてロギングサーバーに送信できます。