如何提高SecureCRT的安全性

提升 SecureCRT 安全性的实用清单

协议与加密配置

• 仅使用SSH2，禁用SSH1；在会话属性的SSH2页将加密套件调整为仅保留强算法（如AES-256、AES-128、必要时3DES），去除过时或不安全的算法与哈希。
• 在“身份验证”中优先启用公钥认证，必要时与密码组合；生成至少2048位的RSA密钥对，私钥妥善保护并设置强口令；如需更高安全可启用MFA。
• 首次连接务必核对并保存主机密钥指纹，防止中间人攻击。
• 文件传输统一使用SFTP（基于SSH的加密传输），避免明文协议。

认证与访问控制

• 服务器端建议：在确认公钥登录稳定后，将PasswordAuthentication no，仅保留密钥登录；通过防火墙或sshd_config的AllowUsers/AllowGroups限制来源IP与可登录用户，减少暴露面。
• 客户端侧：为 SecureCRT 配置会话超时（空闲自动断开）与必要的Anti‑Idle，降低被复用会话的风险。
• 组织环境可通过Windows 高级安全防火墙对 SecureCRT 可执行文件设置出站规则，仅允许连接堡垒机IP:端口，防止绕行到未授权主机。

会话与操作安全

• 启用自动保存会话日志，并按每日或每次会话分割日志，便于审计与追溯。
• 启用“显示连接关闭/断开确认对话框”，避免误关闭导致会话中断或信息遗漏。
• 在“终端”设置中取消“右键粘贴”，启用“选择复制”，减少误粘贴敏感命令的风险。
• 适度限制“回滚缓冲区”（如约5000行），既满足排障又降低内存与信息泄露面。

运维与合规实践

• 通过堡垒机集中接入与跳板，会话在堡垒机审计；在复杂网络中使用 SecureCRT 的Firewall功能简化跳转配置。
• 保持 SecureCRT 与组件及时更新，获取最新安全补丁与算法改进。
• 避免使用未授权注册码与来历不明的配置包，确保授权合规与软件完整性。
• 建立基线配置与定期核查机制（协议/算法、密钥长度、日志策略、超时与访问控制等），并纳入变更管理流程。