SNMP 配置核查
SNMP 是交换机、路由器、打印机、UPS 与监控系统的标准管理协议，靠团体名作认证。v1 与 v2c 的团体名以明文形式发送，作用等同口令，而设备出厂常保留公有与私有两个默认值；只要能读，就能拉出接口表、路由表、地址表、设备型号与固件版本，为后续横向移动提供完整情报。v2c 若开放读写，还能直接改设备配置。SNMP v3 才引入用户认证与加密，因此核查围绕版本、团体名管理与来源访问控制三件事。
基本信息
| 默认端口 | UDP 161（查询）与 162（告警接收） |
|---|---|
| 认证方式 | v1/v2c 用明文团体名，v3 支持认证与加密 |
| 核查项 | 版本使用、团体名管理方式、来源访问控制列表 |
| 记录口径 | 只写结论如可读写或默认值，不写团体名取值 |
典型使用场景
- 网络监控：监控平台周期性采集设备接口流量与在线状态
- 设备纳管：运维用 SNMP 做批量信息收集与资产盘点
- 打印机与 UPS：办公设备通过 SNMP 上报耗材与电量
- 历史遗留：早期配置的团体名沿用至今且未纳入密钥管理
- 内网可达即可用：设备虽不对公网开放，但横向可达同样能读数据
核查要点
核查要点
1. 清点启用 SNMP 的设备：交换机、路由器、打印机、监控与存储
2. 核对版本与读/写权限设置，标注 v1/v2c 并确认是否只读
3. 检查来源访问控制是否限制到管理网段
4. 核对团体名是否纳入密钥台账、是否有轮换记录
5. 输出：设备清单 + 版本现状 + 权限范围 + 加固项版本与风险对照
| 版本 | 认证与加密 | 主要风险 |
|---|---|---|
| v1 | 明文团体名，无加密 | 可被旁路嗅探，默认值可被直接利用 |
| v2c | 明文团体名，无加密 | 读写权限放开时可远程改配置 |
| v3 | 支持用户认证与加密 | 配置错误或复用同组凭据仍会削弱隔离 |
团体名按密钥管理：报告中只记录是否可读写、是否为默认值等结论，绝不写入具体取值。
设备不对公网开放不等于安全：办公网或测试网任意主机可达即可读取设备信息，核查必须覆盖横向可达范围。