Protocolo simple de gestión de redes

El Protocolo simple de administración de redes ( SNMP ) es un protocolo estándar de Internet para recopilar y organizar información sobre dispositivos administrados en redes IP y para modificar dicha información para cambiar el comportamiento del dispositivo. Los dispositivos que normalmente admiten SNMP incluyen módems de cable , enrutadores , conmutadores de red , servidores, estaciones de trabajo, impresoras y más. ^[1]

El SNMP se utiliza ampliamente en la gestión de redes para la monitorización de redes . El SNMP expone datos de gestión en forma de variables en los sistemas gestionados organizados en una base de información de gestión (MIB), que describe el estado y la configuración del sistema. Estas variables pueden ser consultadas de forma remota (y, en algunas circunstancias, manipuladas) por las aplicaciones de gestión.

Se han desarrollado e implementado tres versiones importantes de SNMP. SNMPv1 es la versión original del protocolo. Las versiones más recientes, SNMPv2c y SNMPv3, presentan mejoras en el rendimiento, la flexibilidad y la seguridad.

SNMP es un componente del conjunto de protocolos de Internet según lo define el Grupo de trabajo de ingeniería de Internet (IETF). Consiste en un conjunto de estándares para la gestión de redes, que incluye un protocolo de capa de aplicación , un esquema de base de datos y un conjunto de objetos de datos . ^[2]

En los usos típicos de SNMP, una o más computadoras administrativas llamadas administradores tienen la tarea de monitorear o administrar un grupo de hosts o dispositivos en una red de computadoras . Cada sistema administrado ejecuta un componente de software llamado agente que informa información a través de SNMP al administrador.

Una red administrada por SNMP consta de tres componentes clave:

• Dispositivos administrados
• Agente  : software que se ejecuta en dispositivos administrados
• Estación de administración de red (NMS): software que se ejecuta en el administrador

Un dispositivo administrado es un nodo de red que implementa una interfaz SNMP que permite el acceso unidireccional (solo lectura) o bidireccional (lectura y escritura) a información específica del nodo. Los dispositivos administrados intercambian información específica del nodo con los NMS. A veces llamados elementos de red, los dispositivos administrados pueden ser cualquier tipo de dispositivo, incluidos, entre otros, enrutadores , servidores de acceso , conmutadores , módems de cable , puentes , concentradores , teléfonos IP , cámaras de video IP , hosts de computadora e impresoras .

Un agente es un módulo de software de administración de red que reside en un dispositivo administrado. Un agente tiene conocimiento local de la información de administración y traduce esa información hacia o desde un formato específico de SNMP.

Una estación de administración de red ejecuta aplicaciones que monitorean y controlan los dispositivos administrados. Las NMS proporcionan la mayor parte de los recursos de procesamiento y memoria necesarios para la administración de la red. En cualquier red administrada pueden existir una o más NMS.

Los agentes SNMP exponen los datos de gestión de los sistemas gestionados como variables. El protocolo también permite realizar tareas de gestión activa, como cambios de configuración, mediante la modificación remota de estas variables. Las variables a las que se puede acceder mediante SNMP están organizadas en jerarquías. SNMP en sí no define qué variables debe ofrecer un sistema gestionado. En cambio, SNMP utiliza un diseño extensible que permite a las aplicaciones definir sus propias jerarquías. Estas jerarquías se describen como una base de información de gestión (MIB). Las MIB describen la estructura de los datos de gestión de un subsistema de dispositivo; utilizan un espacio de nombres jerárquico que contiene identificadores de objetos (OID). Cada OID identifica una variable que se puede leer o configurar mediante SNMP. Las MIB utilizan la notación definida por Structure of Management Information Version 2.0 (SMIv2, RFC  2578), un subconjunto de ASN.1 .

SNMP opera en la capa de aplicación del conjunto de protocolos de Internet . Todos los mensajes SNMP se transportan a través del Protocolo de datagramas de usuario (UDP). El agente SNMP recibe solicitudes en el puerto UDP 161. El administrador puede enviar solicitudes desde cualquier puerto de origen disponible al puerto 161 en el agente. La respuesta del agente se envía de vuelta al puerto de origen en el administrador. El administrador recibe notificaciones ( Traps e InformRequests ) en el puerto 162. El agente puede generar notificaciones desde cualquier puerto disponible. Cuando se utiliza con Seguridad de la capa de transporte o Seguridad de la capa de transporte de datagramas , las solicitudes se reciben en el puerto 10161 y las notificaciones se envían al puerto 10162. ^[3]

SNMPv1 especifica cinco unidades de datos de protocolo (PDU) principales. En SNMPv2 se agregaron otras dos PDU, GetBulkRequest e InformRequest , y en SNMPv3 se agregó la PDU de informes . Todas las PDU de SNMP se construyen de la siguiente manera:

Los siete tipos de PDU SNMP identificados por el campo de tipo PDU son los siguientes:

Obtener solicitud

Solicitud de administrador a agente para recuperar el valor de una variable o una lista de variables. Las variables deseadas se especifican en los enlaces de variables (no se utiliza el campo de valor). La recuperación de los valores de las variables especificadas debe realizarse como una operación atómica por parte del agente. Se devuelve una respuesta con los valores actuales.

Establecer solicitud

Solicitud de administrador a agente para cambiar el valor de una variable o una lista de variables. Las vinculaciones de variables se especifican en el cuerpo de la solicitud. Los cambios en todas las variables especificadas se deben realizar como una operación atómica por parte del agente. Se devuelve una respuesta con los nuevos valores (actuales) para las variables.

Obtener siguiente solicitud

Una solicitud de administrador a agente para descubrir las variables disponibles y sus valores. Devuelve una respuesta con la vinculación de variables para la siguiente variable lexicográfica en la MIB. Se puede recorrer toda la MIB de un agente mediante la aplicación iterativa de GetNextRequest comenzando en el OID 0. Las filas de una tabla se pueden leer especificando los OID de columna en las vinculaciones de variables de la solicitud.

Obtener solicitud masiva

Una solicitud de administrador a agente para múltiples iteraciones de GetNextRequest . Una versión optimizada de GetNextRequest . Devuelve una respuesta con múltiples enlaces de variables extraídos del enlace o enlaces de variables en la solicitud. Los campos de no repetidores específicos de PDU y de repetición máxima se utilizan para controlar el comportamiento de la respuesta. GetBulkRequest se introdujo en SNMPv2.

Respuesta

Devuelve enlaces de variables y confirmación del agente al administrador para GetRequest , SetRequest , GetNextRequest , GetBulkRequest e InformRequest . Los campos error-status y error-index proporcionan informes de errores . Aunque se utilizó como respuesta tanto a las operaciones de obtención como de configuración, esta PDU se denominó GetResponse en SNMPv1.

Trampa

Notificación asincrónica del agente al administrador. Mientras que en otras comunicaciones SNMP, el administrador solicita activamente información del agente, estas son PDU que se envían desde el agente al administrador sin que se soliciten explícitamente. Las trampas SNMP permiten que un agente notifique a la estación de administración sobre eventos significativos mediante un mensaje SNMP no solicitado. Las PDU de trampa incluyen el valor actual de sysUpTime , un OID que identifica el tipo de trampa y enlaces de variables opcionales. La dirección de destino para las trampas se determina de una manera específica de la aplicación, generalmente a través de variables de configuración de trampa en la MIB. El formato del mensaje de trampa se modificó en SNMPv2 y la PDU se renombró como SNMPv2-Trap .

Solicitud de información

Notificación asincrónica reconocida. Esta PDU se introdujo en SNMPv2 y se definió originalmente como comunicación de administrador a administrador . ^[4] Las implementaciones posteriores han relajado la definición original para permitir comunicaciones de agente a administrador . ^{[5] [6] [7]} Las notificaciones de administrador a administrador ya eran posibles en SNMPv1 usando un Trap , pero como SNMP se ejecuta comúnmente sobre UDP donde la entrega no está asegurada y no se informan los paquetes descartados, la entrega de un Trap no estaba garantizada. InformRequest corrige esto ya que se devuelve un acuse de recibo al recibirlo. ^[6]

RFC  1157 especifica que una implementación SNMP debe aceptar un mensaje de al menos 484 bytes de longitud. En la práctica, las implementaciones SNMP aceptan mensajes más largos. ^{[8] : 1870} Si se implementa correctamente, un mensaje SNMP se descarta si la decodificación del mensaje falla y, por lo tanto, las solicitudes SNMP mal formadas se ignoran. Una solicitud SNMP decodificada correctamente se autentica luego utilizando la cadena de comunidad. Si la autenticación falla, se genera una trampa que indica un error de autenticación y el mensaje se descarta. ^{[8] : 1871}

SNMPv1 y SNMPv2c utilizan comunidades para establecer la confianza entre los administradores y los agentes. La mayoría de los agentes admiten tres nombres de comunidad, uno para cada uno de los modos de solo lectura, lectura y escritura y trap. Estas tres cadenas de comunidad controlan diferentes tipos de actividades. La cadena de comunidad de solo lectura se aplica a las solicitudes de obtención . La cadena de comunidad de lectura y escritura se aplica a las solicitudes de establecimiento . La cadena de comunidad de trap se aplica a la recepción de traps . SNMPv3 también utiliza cadenas de comunidad, pero permite la autenticación y la comunicación seguras entre el administrador y el agente de SNMP. ^[9]

En la práctica, las implementaciones de SNMP suelen admitir múltiples versiones: normalmente SNMPv1, SNMPv2c y SNMPv3. ^{[10] [11]}

La versión 1 de SNMP (SNMPv1) es la implementación inicial del protocolo SNMP. El diseño de SNMPv1 fue realizado en la década de 1980 por un grupo de colaboradores que consideraban que el esfuerzo patrocinado oficialmente por OSI/IETF/NSF (National Science Foundation) (HEMS/CMIS/CMIP) no era implementable en las plataformas informáticas de la época, y que además era potencialmente inviable. SNMP se aprobó con la creencia de que era un protocolo provisional necesario para dar pasos hacia la implementación a gran escala de Internet y su comercialización.

La primera solicitud de comentarios (RFC) para SNMP, ahora conocida como SNMPv1, apareció en 1988:

• RFC  1065 — Estructura e identificación de la información de gestión para redes basadas en TCP/IP
• RFC  1066 — Base de información de gestión para la gestión de redes basadas en TCP/IP
• RFC  1067: Un protocolo de gestión de red simple

En 1990, estos documentos fueron reemplazados por:

• RFC  1155 — Estructura e identificación de la información de gestión para redes basadas en TCP/IP
• RFC  1156 — Base de información de gestión para la gestión de redes basadas en TCP/IP
• RFC  1157: Un protocolo de gestión de red simple

En 1991, el RFC  1156 (MIB-1) fue reemplazado por el más utilizado:

• RFC  1213 — Versión 2 de la base de información de gestión (MIB-2) para la gestión de redes basadas en TCP/IP

SNMPv1 se utiliza ampliamente y es el protocolo de gestión de red de facto en la comunidad de Internet. ^[12]

SNMPv1 puede ser transportado por protocolos de capa de transporte como el Protocolo de datagramas de usuario (UDP), el Servicio de red en modo sin conexión OSI (CLNS), el Protocolo de entrega de datagramas AppleTalk (DDP) y el Intercambio de paquetes entre redes de Novell (IPX).

La versión 1 ha sido criticada por su poca seguridad. ^[13] De hecho, la especificación permite que se utilice autenticación personalizada, pero las implementaciones ampliamente utilizadas "sólo admiten un servicio de autenticación trivial que identifica todos los mensajes SNMP como mensajes SNMP auténticos". ^[14] Por lo tanto, la seguridad de los mensajes depende de la seguridad de los canales por los que se envían. Por ejemplo, una organización puede considerar que su red interna es lo suficientemente segura como para que no sea necesario ningún cifrado para sus mensajes SNMP. En tales casos, el nombre de la comunidad , que se transmite en texto sin formato , tiende a verse como una contraseña de facto, a pesar de la especificación original.

SNMPv2, definido por RFC  1441 y RFC  1452, revisa la versión 1 e incluye mejoras en las áreas de rendimiento, seguridad y comunicaciones entre administradores. Introdujo GetBulkRequest , una alternativa a GetNextRequests iterativos para recuperar grandes cantidades de datos de administración en una sola solicitud. El nuevo sistema de seguridad basado en partes introducido en SNMPv2, visto por muchos como demasiado complejo, no fue ampliamente adoptado. ^[13] Esta versión de SNMP alcanzó el nivel de madurez del Estándar Propuesto, pero las versiones posteriores lo consideraron obsoleto. ^[15]

El Protocolo de administración de red simple basado en la comunidad versión 2 , o SNMPv2c , se define en RFC  1901– RFC  1908. SNMPv2c comprende SNMPv2 sin el nuevo y controvertido modelo de seguridad SNMP v2, utilizando en su lugar el esquema de seguridad simple basado en la comunidad de SNMPv1. Esta versión es uno de los relativamente pocos estándares que cumplen con el nivel de madurez del borrador del estándar de la IETF y fue ampliamente considerado el estándar SNMPv2 de facto ^{. [15]} Más tarde se reformuló como parte de SNMPv3. ^[16]

El Protocolo de administración de red simple basado en el usuario versión 2 , o SNMPv2u , se define en RFC  1909– RFC  1910. Se trata de un compromiso que intenta ofrecer mayor seguridad que SNMPv1, pero sin incurrir en la alta complejidad de SNMPv2. Una variante de esto se comercializó como SNMP v2* , y el mecanismo finalmente se adoptó como uno de los dos marcos de seguridad en SNMP v3. ^[17]

La versión 2 de SNMP introduce la opción de contadores de datos de 64 bits. La versión 1 fue diseñada únicamente con contadores de 32 bits, que pueden almacenar valores enteros desde cero hasta 4,29 mil millones (precisamente4 294 967 295 ). Un contador de la versión 1 de 32 bits no puede almacenar la velocidad máxima de una interfaz de 10 gigabits o mayor, expresada en bits por segundo. De manera similar, un contador de 32 bits que realiza un seguimiento de las estadísticas de una interfaz de 10 gigabits o mayor puede volver a cero en menos de un minuto, lo que puede ser un intervalo de tiempo más corto que el que se tarda en sondear un contador para leer su estado actual. Esto daría como resultado datos perdidos o no válidos debido a la renovación de valores no detectados y la corrupción de los datos de seguimiento de tendencias.

El contador de la versión 2 de 64 bits puede almacenar valores desde cero hasta 18,4 trillones (precisamente 18 446 744 073 709 551 615), por lo que actualmente es poco probable que experimente una renovación del contador entre eventos de sondeo. Por ejemplo, se prevé que Ethernet de 1,6 terabits esté disponible en 2025. Un contador de 64 bits que se incremente a una velocidad de 1,6 billones de bits por segundo podría retener información para una interfaz de este tipo sin renovarse durante 133 días.

SNMPv2c es incompatible con SNMPv1 en dos áreas clave: formatos de mensajes y operaciones de protocolo. Los mensajes SNMPv2c utilizan formatos de encabezado y unidad de datos de protocolo (PDU) diferentes a los de los mensajes SNMPv1. SNMPv2c también utiliza dos operaciones de protocolo que no están especificadas en SNMPv1. Para superar la incompatibilidad, RFC  3584 define dos estrategias de coexistencia SNMPv1/v2c: agentes proxy y sistemas de administración de red bilingües.

Un agente SNMPv2 puede actuar como agente proxy en nombre de dispositivos administrados por SNMPv1. Cuando un NMS SNMPv2 emite un comando destinado a un agente SNMPv1, lo envía al agente proxy SNMPv2 en su lugar. El agente proxy reenvía los mensajes Get, GetNexty Setal agente SNMPv1 sin cambios. El agente proxy convierte los mensajes GetBulk en GetNextmensajes y luego los reenvía al agente SNMPv1. Además, el agente proxy recibe y asigna mensajes de trap SNMPv1 a mensajes de trap SNMPv2 y luego los reenvía al NMS.

Los sistemas de administración de red SNMPv2 bilingües admiten tanto SNMPv1 como SNMPv2. Para admitir este entorno de administración dual, una aplicación de administración examina la información almacenada en una base de datos local para determinar si el agente admite SNMPv1 o SNMPv2. Según la información de la base de datos, el NMS se comunica con el agente utilizando la versión adecuada de SNMP.

This section is in list format but may read better as prose. You can help by converting this section, if appropriate. Editing help is available. (September 2016)

Aunque SNMPv3 no hace cambios en el protocolo aparte de la incorporación de seguridad criptográfica, se ve muy diferente debido a las nuevas convenciones textuales, conceptos y terminología. ^[1] El cambio más visible fue definir una versión segura de SNMP, agregando mejoras de seguridad y configuración remota a SNMP. ^[18] El aspecto de seguridad se aborda ofreciendo tanto autenticación fuerte como cifrado de datos para la privacidad. Para el aspecto de administración, SNMPv3 se centra en dos partes, a saber, los originadores de notificaciones y los reenvíos de proxy. Los cambios también facilitan la configuración y administración remotas de las entidades SNMP, además de abordar problemas relacionados con la implementación a gran escala, la contabilidad y la gestión de fallas.

Características y mejoras incluidas:

• Identificación de entidades SNMP para facilitar la comunicación únicamente entre entidades SNMP conocidas: cada entidad SNMP tiene un identificador llamado SNMPEngineID y la comunicación SNMP solo es posible si una entidad SNMP conoce la identidad de su par. Las trampas y las notificaciones son excepciones a esta regla.
• Compatibilidad con modelos de seguridad: un modelo de seguridad puede definir la política de seguridad dentro de un dominio administrativo o una intranet. SNMPv3 contiene las especificaciones para un modelo de seguridad basado en el usuario (USM).
• Definición de objetivos de seguridad donde los objetivos del servicio de autenticación de mensajes incluyen protección contra lo siguiente:
  • Modificación de información: protección contra alguna entidad SNMP no autorizada que altere los mensajes en tránsito generados por un principal autorizado.
  • Mascarada – Protección contra intentos de realizar operaciones de gestión no autorizadas por algún principal asumiendo la identidad de otro principal que cuenta con las autorizaciones apropiadas.
  • Modificación del flujo de mensajes: protección contra mensajes reordenados, retrasados ​​o reproducidos de forma maliciosa para afectar operaciones de administración no autorizadas.
  • Divulgación: protección contra escuchas clandestinas en los intercambios entre motores SNMP.
• Especificación para USM – USM consiste en la definición general de los siguientes mecanismos de comunicación disponibles:
  • Comunicación sin autenticación y privacidad (NoAuthNoPriv).
  • Comunicación con autenticación y sin privacidad (AuthNoPriv).
  • Comunicación con autenticación y privacidad (AuthPriv).
• Definición de diferentes protocolos de autenticación y privacidad: los protocolos de autenticación MD5, SHA y HMAC-SHA-2 ^[19] y los protocolos de privacidad CBC_DES y CFB_AES_128 son compatibles con el USM.
• Definición de un procedimiento de descubrimiento: encontrar el SNMPEngineID de una entidad SNMP para una dirección de transporte y una dirección de punto final de transporte determinadas.
• Definición del procedimiento de sincronización horaria – Para facilitar la comunicación autenticada entre las entidades SNMP.
• Definición de la MIB del marco SNMP – Para facilitar la configuración y administración remota de la entidad SNMP.
• Definición de las MIB de USM – Para facilitar la configuración y administración remota del módulo de seguridad.
• Definición de las MIB del modelo de control de acceso basado en vista (VACM): para facilitar la configuración y administración remota del módulo de control de acceso.

La seguridad era una de las mayores debilidades de SNMP hasta la versión 3. La autenticación en las versiones 1 y 2 de SNMP no es más que una contraseña (cadena comunitaria) enviada en texto claro entre un administrador y un agente. ^[1] Cada mensaje SNMPv3 contiene parámetros de seguridad que están codificados como una cadena de octetos. El significado de estos parámetros de seguridad depende del modelo de seguridad que se utilice. ^[20] El enfoque de seguridad en la versión 3 apunta a: ^[21]

• Confidencialidad: cifrado de paquetes para evitar el espionaje por parte de una fuente no autorizada.
• Integridad: integridad del mensaje para garantizar que un paquete no haya sido alterado mientras estaba en tránsito, incluido un mecanismo opcional de protección contra reproducción de paquetes.
• Autenticación : para verificar que el mensaje proviene de una fuente válida.

La v3 también define USM y VACM, que luego fueron seguidos por un modelo de seguridad de transporte (TSM) que proporcionó soporte para SNMPv3 sobre SSH y SNMPv3 sobre TLS y DTLS.

• USM (modelo de seguridad basado en el usuario) proporciona funciones de autenticación y privacidad (cifrado) y opera a nivel de mensaje.
• VACM (modelo de control de acceso basado en vista) determina si a un principal determinado se le permite acceder a un objeto MIB particular para realizar funciones específicas y opera a nivel de PDU.
• TSM (Transport Security Model) proporciona un método para autenticar y cifrar mensajes a través de canales de seguridad externos. Se han definido dos transportes, SSH y TLS/DTLS, que utilizan la especificación TSM.

A partir de 2004, ^[update]la IETF reconoce el Protocolo simple de administración de redes versión 3 , tal como se define en RFC  3411– RFC  3418 ^[22] (también conocido como STD0062), como la versión estándar actual de SNMP. La IETF ha designado a SNMPv3 como un estándar de Internet completo , ^{[23] el} nivel de madurez más alto para un RFC. Considera que las versiones anteriores son obsoletas (las designa como históricas u obsoletas ). ^[15]

Las potentes capacidades de escritura de SNMP, que permitirían la configuración de dispositivos de red, no están siendo aprovechadas en su totalidad por muchos proveedores, en parte debido a la falta de seguridad en las versiones de SNMP anteriores a SNMPv3, y en parte porque muchos dispositivos simplemente no pueden configurarse mediante cambios individuales en los objetos MIB.

Algunos valores SNMP (especialmente valores tabulares) requieren un conocimiento específico de los esquemas de indexación de tablas, y estos valores de índice no son necesariamente consistentes en todas las plataformas. Esto puede causar problemas de correlación al obtener información de varios dispositivos que pueden no emplear el mismo esquema de indexación de tablas (por ejemplo, al obtener métricas de utilización de disco, donde un identificador de disco específico es diferente en todas las plataformas). ^[24]

Algunos de los principales proveedores de equipos tienden a extender excesivamente sus sistemas de control y configuración centrados en la interfaz de línea de comandos (CLI) patentada. ^{[25] [ verificación fallida ]}

En febrero de 2002, el Centro de coordinación del equipo de respuesta a emergencias informáticas (CERT-CC) del Instituto de ingeniería de software Carnegie Mellon (CM-SEI) emitió un aviso sobre SNMPv1, ^[26] después de que el Grupo de programación segura de la Universidad de Oulu realizara un análisis exhaustivo del manejo de mensajes SNMP. La mayoría de las implementaciones de SNMP, independientemente de la versión del protocolo que admitan, utilizan el mismo código de programa para decodificar las unidades de datos de protocolo (PDU) y se identificaron problemas en este código. Se encontraron otros problemas con la decodificación de los mensajes de trampa SNMP recibidos por la estación de administración SNMP o las solicitudes recibidas por el agente SNMP en el dispositivo de red. Muchos proveedores tuvieron que emitir parches para sus implementaciones de SNMP. ^{[8] : 1875}

Debido a que SNMP está diseñado para permitir a los administradores monitorear y configurar dispositivos de red de forma remota, también se puede utilizar para penetrar en una red. Una cantidad significativa de herramientas de software pueden escanear toda la red utilizando SNMP, por lo tanto, los errores en la configuración del modo de lectura y escritura pueden hacer que una red sea susceptible a ataques. ^{[27] : 52}

En 2001, Cisco publicó información que indicaba que, incluso en modo de solo lectura, la implementación SNMP de Cisco IOS es vulnerable a ciertos ataques de denegación de servicio . Estos problemas de seguridad se pueden solucionar mediante una actualización de IOS. ^[28]

Si no se utiliza SNMP en una red, se debe desactivar en los dispositivos de red. Al configurar el modo de solo lectura de SNMP, se debe prestar especial atención a la configuración del control de acceso y a las direcciones IP desde las que se aceptan mensajes SNMP. Si los servidores SNMP se identifican por su IP, SNMP solo puede responder a estas IP y se rechazarán los mensajes SNMP de otras direcciones IP. Sin embargo, la suplantación de direcciones IP sigue siendo un problema de seguridad. ^{[27] : 54}

SNMP está disponible en diferentes versiones, y cada versión tiene sus propios problemas de seguridad. SNMP v1 envía contraseñas en texto simple a través de la red. Por lo tanto, las contraseñas se pueden leer con rastreo de paquetes . SNMP v2 permite el hash de contraseñas con MD5 , pero esto tiene que configurarse. Prácticamente todo el software de administración de red admite SNMP v1, pero no necesariamente SNMP v2 o v3. SNMP v2 se desarrolló específicamente para proporcionar seguridad de datos , es decir, autenticación , privacidad y autorización , pero solo la versión 2c de SNMP obtuvo el respaldo del Grupo de trabajo de ingeniería de Internet (IETF), mientras que las versiones 2u y 2* no obtuvieron la aprobación de IETF debido a problemas de seguridad. SNMP v3 usa MD5, algoritmo hash seguro (SHA) y algoritmos con clave para ofrecer protección contra modificaciones de datos no autorizadas y ataques de suplantación de identidad . Si se necesita un mayor nivel de seguridad, se puede usar opcionalmente el Estándar de cifrado de datos (DES) en el modo de encadenamiento de bloques de cifrado . SNMP v3 se implementa en Cisco IOS desde la versión 12.0(3)T. ^{[27] : 52}

SNMPv3 puede estar sujeto a ataques de fuerza bruta y de diccionario para adivinar las claves de autenticación, o claves de cifrado, si estas claves se generan a partir de contraseñas cortas (débiles) o contraseñas que se pueden encontrar en un diccionario. SNMPv3 permite tanto proporcionar claves criptográficas distribuidas uniformemente aleatorias como generar claves criptográficas a partir de una contraseña proporcionada por el usuario. El riesgo de adivinar cadenas de autenticación a partir de valores hash transmitidos por la red depende de la función hash criptográfica utilizada y de la longitud del valor hash. SNMPv3 utiliza el protocolo de autenticación HMAC - SHA-2 para el modelo de seguridad basado en el usuario (USM). ^[29] SNMP no utiliza un protocolo de autenticación de desafío-intercambio más seguro . SNMPv3 (al igual que otras versiones del protocolo SNMP) es un protocolo sin estado , y ha sido diseñado con una cantidad mínima de interacciones entre el agente y el administrador. Por lo tanto, la introducción de un protocolo de desafío-respuesta para cada comando impondría una carga al agente (y posiblemente a la red misma) que los diseñadores del protocolo consideraron excesiva e inaceptable. ^{[ cita requerida ]}

Las deficiencias de seguridad de todas las versiones de SNMP se pueden mitigar mediante mecanismos de autenticación y confidencialidad de IPsec . ^{[ cita requerida ]} SNMP también se puede transmitir de forma segura a través de la seguridad de la capa de transporte de datagramas (DTLS). ^[10]

Muchas implementaciones de SNMP incluyen un tipo de descubrimiento automático donde un nuevo componente de red, como un conmutador o enrutador, se descubre y sondea automáticamente. En SNMPv1 y SNMPv2c esto se hace a través de una cadena de comunidad que se transmite en texto claro a otros dispositivos. ^[10] Las contraseñas en texto claro son un riesgo de seguridad significativo. Una vez que la cadena de comunidad se conoce fuera de la organización, podría convertirse en el objetivo de un ataque. Para alertar a los administradores de otros intentos de obtener cadenas de comunidad, SNMP se puede configurar para pasar trampas de falla de autenticación de nombre de comunidad. ^{[27] : 54} Si se utiliza SNMPv2, el problema se puede evitar habilitando el cifrado de contraseñas en los agentes SNMP de los dispositivos de red.

La configuración predeterminada común para las cadenas de comunidad es "pública" para acceso de solo lectura y "privada" para lectura y escritura. ^{[8] : 1874} Debido a los valores predeterminados bien conocidos, SNMP encabezó la lista de problemas de configuración predeterminada común del SANS Institute y fue el número diez en la lista de las 10 amenazas de seguridad de Internet más críticas de SANS para el año 2000. ^[30] Los administradores de sistemas y redes con frecuencia no cambian estas configuraciones. ^{[8] : 1874}

Ya sea que se ejecuten sobre TCP o UDP, SNMPv1 y v2 son vulnerables a ataques de suplantación de IP . Con la suplantación, los atacantes pueden eludir las listas de acceso de dispositivos en agentes que se implementan para restringir el acceso SNMP. Los mecanismos de seguridad de SNMPv3, como USM o TSM, pueden prevenir ataques de suplantación.

• Protocolo de extensibilidad de agente (AgentX): protocolo de subagente para SNMP
• Protocolo común de información de gestión (CMIP): protocolo de gestión de ISO/OSI utilizado por dispositivos de telecomunicaciones
• Servicio Común de Información de Gestión (SIG)
• Comparación de sistemas de monitorización de redes
• IEC 62379  – Protocolo de control basado en el Protocolo simple de gestión de redes
• Net-SNMP : implementación de referencia de código abierto de SNMP
• NETCONF – Protocolo que es un protocolo de configuración basado en XML para equipos de red
• Monitoreo remoto de red (RMON)
• Protocolo simple de monitoreo de puerta de enlace (SGMP): protocolo obsoleto reemplazado por SNMP
• Simulador SNMP  : software que simula dispositivos compatibles con SNMP

• Douglas Mauro; Kevin Schmidt (2005). Essential SNMP (Segunda edición). O'Reilly Media. ISBN 978-0596008406.
• William Stallings (1999). SNMP, SNMPv2, SNMPv3 y RMON 1 y 2. Addison Wesley Longman, Inc. ISBN 978-0201485349.
• Marshall T. Rose (1996). El libro sencillo . Prentice Hall. ISBN 0-13-451659-1.

• RFC  1155 (STD 16) — Estructura e identificación de la información de gestión para las redes de Internet basadas en TCP/IP
• RFC  1156 (histórico): Base de información de gestión para la gestión de redes basadas en TCP/IP
• RFC  1157 (histórico): un protocolo simple de administración de redes (SNMP)
• RFC  1213 (STD 17) — Base de información de gestión para la gestión de redes basadas en TCP/IP: MIB-II
• RFC  1452 (informativo): coexistencia entre la versión 1 y la versión 2 del marco de gestión de redes estándar de Internet (obsoleto por la RFC  1908)
• RFC  1901 (Experimental): Introducción a SNMPv2 basado en la comunidad
• RFC  1902 (borrador de norma): Estructura de la información de gestión para SNMPv2 (obsoleto por RFC  2578)
• RFC  1908 (Standards Track) — Coexistencia entre la versión 1 y la versión 2 del marco de gestión de red estándar de Internet
• RFC  2570 (informativo): Introducción a la versión 3 del marco de gestión de redes estándar de Internet (obsoleto a partir de la RFC  3410)
• RFC  2578 (STD 58) — Estructura de la información de gestión versión 2 (SMIv2)
• RFC  3410 (Informativo): Introducción y declaraciones de aplicabilidad para el marco de gestión de estándares de Internet
• El STD 62 contiene los siguientes RFC:
  • RFC  3411: una arquitectura para describir los marcos de gestión del Protocolo simple de administración de redes (SNMP)
  • RFC  3412: Procesamiento y envío de mensajes para el Protocolo simple de administración de red (SNMP)
  • RFC  3413: aplicaciones del protocolo simple de administración de redes (SNMP)
  • RFC  3414 — Modelo de seguridad basado en el usuario (USM) para la versión 3 del Protocolo simple de administración de red (SNMPv3)
  • RFC  3415 — Modelo de control de acceso basado en vistas (VACM) para el Protocolo simple de administración de redes (SNMP)
  • RFC  3416 — Versión 2 de las Operaciones de Protocolo para el Protocolo Simple de Administración de Redes (SNMP)
  • RFC  3417: asignaciones de transporte para el protocolo simple de administración de red (SNMP)
  • RFC  3418 — Base de información de gestión (MIB) para el Protocolo simple de administración de redes (SNMP)
• RFC  3430 (Experimental): Protocolo simple de administración de red (SNMP) sobre mapeo de transporte del Protocolo de control de transmisión (TCP)
• RFC  3584 (BCP 74): coexistencia entre la versión 1, la versión 2 y la versión 3 del marco de gestión de red estándar de Internet
• RFC  3826 (propuesta): Algoritmo de cifrado del estándar de cifrado avanzado (AES) en el modelo de seguridad basado en el usuario SNMP
• RFC  4789 (propuesta): Protocolo simple de administración de redes (SNMP) sobre redes IEEE 802
• RFC  5343 (STD 78): descubrimiento de identificadores de motor de contexto del protocolo simple de administración de red (SNMP)
• RFC  5590 (STD 78): Subsistema de transporte para el Protocolo simple de administración de red (SNMP)
• RFC  5591 (STD 78): Modelo de seguridad de transporte para el protocolo simple de administración de red (SNMP)
• RFC  5592 (propuesta): modelo de transporte de shell seguro para el protocolo simple de administración de red (SNMP)
• RFC  5608 (propuesto): Uso del servicio de acceso telefónico de usuario con autenticación remota (RADIUS) para modelos de transporte del Protocolo simple de administración de red (SNMP).
• RFC  6353 (STD 78): modelo de transporte de seguridad de la capa de transporte (TLS) para el protocolo simple de administración de red (SNMP)
• RFC  7630 (Propuesta | Histórico): Protocolos de autenticación HMAC-SHA-2 en el modelo de seguridad basado en el usuario (USM) para SNMPv3
• RFC  7860 (propuesta): Protocolos de autenticación HMAC-SHA-2 en el modelo de seguridad basado en el usuario (USM) para SNMPv3

Wikiversidad tiene recursos de aprendizaje sobre el Protocolo simple de administración de redes