团体字为什么会泄露
SNMP v1 与 v2c 用团体字做认证，而团体字在网络中是明文传输的。保留 public、private 这类默认值时，网络设备与主机的系统描述、接口列表、路由表、ARP 表都能被读取；读写团体字还能直接修改设备配置。这类弱配置同时涉及主机与网络设备，是最容易跨资产扩散的一项。
基本信息
| 涉及版本 | SNMPv1 与 v2c 使用明文团体字，SNMPv3 支持认证与加密 |
|---|---|
| 默认端口 | 161 UDP 用于查询，162 用于 Trap |
| 常见默认团体字 | public、private，以及厂商名或组织名 |
| 可读取内容 | 系统信息、接口与路由表、ARP 表、进程与磁盘信息 |
| 加固方向 | 迁移 v3 authPriv、更换强随机团体字、来源限制、无需求则关闭服务 |
| 检查方式 | 授权范围内用 snmpwalk 验证是否可读 |
| 涉及资产 | 交换机、路由器、防火墙、打印机、开启 SNMP 的服务器 |
加固动作与说明
| 动作 | 说明 | 注意 |
|---|---|---|
| 迁移 SNMPv3 | 使用 authPriv 同时认证与加密 | 先在测试环境确认监控系统支持 |
| 更换团体字 | 强随机，不要使用厂商或组织名 | 只读与读写团体字都要换 |
| 来源限制 | 设备 ACL 只放行监控服务器地址 | 变更前先核对监控地址清单 |
| 关闭服务 | 无监控需求的服务器直接停用 | 注意网管平台的依赖关系 |
可达性测试（防御视角）
可达性测试（防御视角）
# 授权范围内验证团体字是否已收敛，期望超时或无响应
snmpwalk -v2c -c public 192.0.2.10 sysDescr
# 查看系统与接口信息，判断实际泄露面
snmpwalk -v2c -c public 192.0.2.10 1.3.6.1.2.1.1
# 读写团体字确认（仅授权环境）：能写入说明风险最高
snmpset -v2c -c private 192.0.2.10 sysContact.0 s "test"加固要点
加固要点
1. 迁移到 SNMPv3 的 authPriv 模式（认证加加密）
2. 无法迁移时更换强随机团体字并限制来源网段
3. 设备 ACL 仅放行监控服务器地址，变更前先核对清单
4. 无监控需求的主机直接关闭 SNMP 服务
5. 排查配置备份与文档中的团体字残留，统一轮换并登记典型使用场景
- 网络设备上线时的安全基线核查
- 季度巡检中的弱口令类专项排查
- 渗透测试报告中信息泄露问题的整改
- 主机侧无监控需求时关闭服务
- 监控系统迁移后统一轮换团体字
- 审计举证：设备 ACL 与团体字管理记录
团体字在 v2c 中明文传输，抓包即可获得。来源限制与 v3 迁移同等重要，不能只依赖「换了口令」这一件事。
只改只读团体字等于没改：读写团体字仍为默认值时，攻击者可以直接修改设备配置，影响面远大于信息泄露。