[index] CentreCOM AR550S コマンドリファレンス 2.9

# 運用・管理/セキュリティー

      - セキュリティーモード/ノーマルモード
       - モードの変更
      - Remote Security Officer（RSO）
      - Managerレベルでのセキュリティータイマー

セキュリティーモード/ノーマルモード

本製品には、次の2つの動作モードがあります。

表 1
モード | 動作
ノーマルモード | デフォルトの動作モードです
セキュリティーモード | より高いセキュリティーレベルを実現するためのモードです。ログインセキュリティーや管理コマンドの実行権が厳しく制限されます。ルーターの管理に関するセキュリティーを高めたい場合や、IPsecなどのセキュリティー機能を利用するときに使います

動作モードによってアクセスレベルの権限が変わります。ノーマルモード時、ManagerレベルとSecurity Officerレベルは同等の権限を持ちますが、セキュリティーモードでは多くの操作にSecurity Officer権限が必要となります。

表 2
レベル | デフォルトアカウント | ノーマルモード時の権限 | セキュリティーモード時の権限
User | なし | ユーザー自身に関する設定などごく一部のコマンドのみ実行可能 | ユーザー自身に関する設定などごく一部のコマンドのみ実行可能
Manager | ユーザー名 manager/パスワード friend | すべてのコマンドを実行可能 | セキュリティーコマンドを除くすべてのコマンドを実行可能
Security Officer | なし | すべてのコマンドを実行可能 | すべてのコマンドを実行可能

セキュリティーモード時には、以下のコマンドの実行にSecurity Officerの権限が必要となります。

- ACTIVATE SCRIPTコマンド
- ADD FRAMERELAY DLCコマンドのENCRYPTIONパラメーター
- ADD IP INTERFACEコマンド
- ADD PKI CERTIFICATEコマンド
- ADD PKI CRLコマンド
- ADD PKI LDAPREPOSITORYコマンド
- ADD SCRIPTコマンド
- ADD SSH USERコマンド
- ADD USERコマンド
- ADD USER RSOコマンド
- CREATE CONFIGコマンド
- CREATE ENCO KEYコマンド
- CREATE FRAMERELAYコマンドのDEFENCRYPTIONパラメーター
- CREATE IPSEC BUNDLESPECIFICATIONコマンド
- CREATE IPSEC POLICYコマンド
- CREATE IPSEC SASPECIFICATIONコマンド
- CREATE ISAKMP POLICYコマンド
- CREATE PKI ENROLLMENTREQUESTコマンド
- CREATE PKI KEYUPDATEREQUESTコマンド
- CREATE PPPコマンド
- CREATE PPP TEMPLATEコマンド
- CREATE SNMP COMMUNITYコマンド
- CREATE STARコマンド
- DEACTIVATE SCRIPTコマンド
- DELETE FILEコマンド
- DELETE PKI CERTIFICATEコマンド
- DELETE PKI CRLコマンド
- DELETE PKI LDAPREPOSITORYコマンド
- DELETE SCRIPTコマンド
- DELETE SSH USERコマンド
- DELETE USERコマンド
- DELETE USER RSOコマンド
- DESTROY ENCO KEYコマンド
- DESTROY IPSEC BUNDLESPECIFICATIONコマンド
- DESTROY IPSEC POLICYコマンド
- DESTROY IPSEC SASPECIFICATIONコマンド
- DESTROY ISAKMP POLICYコマンド
- DESTROY PKI ENROLLMENTREQUESTコマンド
- DESTROY PKI KEYUPDATEREQUESTコマンド
- DESTROY STARコマンド
- DISABLE FEATUREコマンド
- DISABLE IPSECコマンド
- DISABLE IPSEC POLICY DEBUGコマンド
- DISABLE ISAKMPコマンド
- DISABLE ISAKMP DEBUGコマンド
- DISABLE PKI DEBUGコマンド
- DISABLE SSH SERVERコマンド
- DISABLE SSH USERコマンド
- DISABLE USERコマンド
- DISABLE USER RSOコマンド
- DUMPコマンド
- EDITコマンド
- ENABLE FEATUREコマンド
- ENABLE IPSECコマンド
- ENABLE IPSEC POLICY DEBUGコマンド
- ENABLE ISAKMPコマンド
- ENABLE ISAKMP DEBUGコマンド
- ENABLE PKI DEBUGコマンド
- ENABLE PPP DEBUGコマンド
- ENABLE PPP TEMPLATE DEBUGコマンド
- ENABLE SNMPコマンド
- ENABLE SSH SERVERコマンド
- ENABLE SSH USERコマンド
- ENABLE STAR DEBUGGINGコマンド
- ENABLE STAR MKTTRANSFERコマンド
- ENABLE USERコマンド
- ENABLE USER RSOコマンド
- LOADコマンド
- MAILコマンド
- MODIFYコマンド
- PURGE IPSECコマンド
- PURGE PKIコマンド
- PURGE USERコマンド
- RENAMEコマンド
- RESET ENCO COUNTERSコマンド
- RESET IPSEC COUNTERコマンド
- RESET IPSEC POLICY COUNTERコマンド
- RESET IPSEC SA COUNTERコマンド
- RESET USERコマンド
- SET CONFIGコマンド
- SET ENCO KEYコマンド
- SET FRAMERELAYコマンドのDEFENCRYPTIONパラメーター
- SET FRAMERELAY DLCコマンドのENCRYPTIONパラメーター
- SET INSTALLコマンド
- SET IP INTERFACEコマンド
- SET IPSEC BUNDLESPECIFICATIONコマンド
- SET IPSEC POLICYコマンド
- SET IPSEC SASPECIFICATIONコマンド
- SET IPSEC UDPPORTコマンド
- SET PKIコマンド
- SET PKI CERTIFICATEコマンド
- SET PKI CRLコマンド
- SET PKI LDAPREPOSITORYコマンド
- SET PPPコマンド
- SET PPP TEMPLATEコマンド
- SET SCRIPTコマンド
- SET SNMP COMMUNITYコマンド
- SET SSH SERVERコマンド
- SET SSH USERコマンド
- SET STARコマンド
- SET USERコマンド
- SHOW CONFIGコマンド
- SHOW ENCO KEYコマンド
- SHOW FEATUREコマンド
- SHOW FILEコマンド
- SHOW PPP CONFIGコマンド
- SHOW STARコマンド
- SHOW STAR MKTTRANSFER LOGコマンド
- SHOW STAR NETKEYコマンド
- UPLOADコマンド

モードの変更

セキュリティーモードに移行するためには、あらかじめSecurity Officerレベルのユーザーを作成しておく必要があります。セキュリティーモードに移行すると、Managerレベルは第2位の権限レベルに降格され、セキュリティーに関するコマンドを実行できなくなります。

1. Security Officerレベルのユーザーを作成します。

   `ADD USER=secoff PRIVILEGE=SECURITYOFFICER PASSWORD="top secret" ↓`
2. セキュリティーモードに移行すると、Telnet接続ではSecurity Officerレベルでログインできなくなる（他のレベルならログイン可）ので、必要に応じて後述するRSO（Remote Security Officer）の設定をしておきます。RSOは、あらかじめ指定したアドレスからのみセキュリティーモード時でもSecurity Officerレベルでのログインを許可する機能です。

   `ENABLE USER RSO ↓
   ADD USER RSO IP=192.168.10.5 ↓
   `
3. セキュリティーモードに移行するにはENABLE SYSTEM SECURITY_MODEコマンドを実行します。このコマンドを実行すると、ファイルシステム上に「enabled.sec」ファイルが作成されます。システム起動時に本ファイルが存在すればセキュリティーモードとなります。このファイルを削除したり、修正、編集、コピー、リネーム等を行わないでください。

   `ENABLE SYSTEM SECURITY_MODE ↓`

■ 現在の動作モードを確認するにはSHOW SYSTEMコマンドを実行します。「Security Mode」がEnabledならセキュリティーモード、Disabledならノーマルモードです。
■ Security Officerレベルでログインしなおすと、コマンドプロンプトが「SecOff >」に変わります。
■ Security Officerレベルでログインすると、セキュリティータイマーがスタートします。このタイマーはセキュリティー関連コマンドを実行するたびにリセットされます。一定時間セキュリティーコマンドを実行しないとタイマーがタイムアウトし、ログインユーザーの権限はManagerレベルに格下げされます。格下げされた状態でセキュリティーコマンドを実行しようとすると、あらためてSecurity Officerレベルのパスワードを要求されます。
■ セキュリティータイマーのデフォルト値は60秒です。この値を変更するには、SET USERコマンドのSECUREDELAYパラメーターを使用します。

`SET USER SECUREDELAY=90 ↓`

■ セキュリティーモード時にSET CONFIGコマンドで起動スクリプトを変更するときは注意が必要です。たとえば、SET CONFIG=NONEを実行すると、起動スクリプトは空になりますが、動作モードはセキュリティーモードのままになります。この状態でシステムを再起動すると、Security Officerレベルのユーザーが存在しないことになるため、多くのコマンドが実行できなくなります。このような状態になった場合は、DISABLE SYSTEM SECURITY_MODEコマンドを実行するしかありません。
■ ノーマルモードに戻るにはDISABLE SYSTEM SECURITY_MODEコマンドを実行します。このコマンドを実行すると、「enabled.sec」ファイルが削除されます。

Remote Security Officer（RSO）

セキュリティーモードでは、Security OfficerレベルでのTelnetログインが原則として禁止されています。Remote Security Officer（RSO）は、信頼できる特定のIPアドレスに限ってSecurity OfficerレベルでのTelnetログインを許可する機能です。

1. RSOアクセス（Security OfficerレベルでのTelnetログイン）を有効にするには、ENABLE USER RSOコマンドを使います。

   `ENABLE USER RSO ↓`
2. Security OfficerレベルでのTelnetログインを許可するアドレス（RSOアドレス）を追加するには、ADD USER RSOコマンドを使います。

   `ADD USER RSO IP=192.168.10.5 ↓`
   MASKパラメーターを使えば、許可するアドレスを範囲指定することもできます（サブネットなど）。省略時は32ビットマスク（単一ホストの指定）となります。

   `ADD USER RSO IP=172.16.10.0 MASK=255.255.255.0 ↓`

■ RSOアドレスを削除するにはDELETE USER RSOコマンドを使います。

`DELETE USER RSO=172.16.10.0 ↓`

■ RSOアドレスの一覧を見るにはSHOW USER RSOコマンドを使います。

`SHOW USER RSO ↓`

■ RSOアクセスを無効にするにはDISABLE USER RSOコマンドを使います。

`DISABLE USER RSO ↓`

Managerレベルでのセキュリティータイマー

Managerレベルでログインしているときは、以下のコマンドがセキュリティーコマンドと見なされ、セキュリティーモード時と同様のセキュリティータイマーが適用されます。

- ADD USERコマンド
- DELETE USERコマンド
- PURGE USERコマンド
- SET MANAGER ASYNコマンド
- SET USERコマンド

これらのコマンドを実行するとセキュリティータイマーはリセットされます。これらのコマンドを一定時間（SET USERコマンドのSECUREDELAYパラメーター）実行しないとタイマーがタイムアウトし、次にこれらのコマンドを実行したときにパスワードの入力が求められます。規定回数（SET USERコマンドのMANPWDFAILパラメーター）ログインに失敗すると、強制的にログアウトさせられます（Telnetの場合はセッションが切断されます）。

(C) 2005-2012 アライドテレシスホールディングス株式会社

PN: J613-M0710-03 Rev.H