华为交换机安全基线Word文件下载.docx
《华为交换机安全基线Word文件下载.docx》由会员分享，可在线阅读，更多相关《华为交换机安全基线Word文件下载.docx（14页珍藏版）》请在冰豆网上搜索。
（2）网络管理员确认用户与账号分配关系明确
6、检测操作：
使用命令discur命令查看：
…
#
aaa
authentication-schemedefault
authorization-schemedefault
accounting-schemedefault
domaindefault
domaindefault_admin
local-useradminpasswordcipher"
=LP!
6$^-IYNZPO3JBXBHA!
!
local-useradminprivilegelevel15
local-useradminservice-typessh
local-useruserpasswordcipher"
6$^-IYNZP
local-useruserprivilegelevel4
local-useruserservice-typessh
对比命令显示结果与运维人员名单，如果运维人员之间不存在共享账号，表明符合安全要求。
2.1.2删除无关的帐号*
删除无关的账号
SBL-HUAWEI-02-01-02
应删除与设备运行、维护等工作无关的账号。
[Huawei-aaa]undolocal-useruser
（1）配置文件存在多个账号
（2）网络管理员确认账号与设备运行、维护等工作无关
使用discur|includelocal-user命令查看：
[Huawei]discur|includelocal-user
若不存在无用账号则说明符合安全要求。
2.2口令
2.2.1静态口令以密文形式存放
静态口令以密文形式存放
SBL-HUAWEI-02-02-01
配置本地用户和super口令使用密文密码。
[Huawei]aaa
[Huawei-aaa]local-useradminpasswordcipheradmin123
[Huawei]superpasswordcipheradmin123
配置文件中没有明文密码字段。
查看本地用户密码：
查看super密码：
[Huawei]discur|includesuper
superpasswordlevel3ciphermPZr=2!
Z<
@u:
|l#3M^#3Icf##
2.2.2密码复杂度
密码复杂度
SBL-HUAWEI-02-02-02
对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。
且5次以内不得设置相同的口令。
密码应至少每90天进行更换。
[Huawei-aaa]local-useradminpasswordcipheradmin@xiangyun
密码强度符合要求，密码至少90天进行更换。
2.3授权
2.3.1用IP协议进行远程维护的设备使用SSH等加密协议
用IP协议进行远程维护设备
SBL-HUAWEI-02-03-01
使用IP协议进行远程维护设备，应配置使用SSH等加密协议连接。
[Huawei]rsalocal-key-paircreate
[Huawei]stelnetserverenable
[Huawei]sshuseradminservice-typestelnet
[Huawei]sshuseradminauthentication-typepassword
[Huawei]user-interfacevty04
[Huawei-ui-vty0-4]protocolinboundssh
配置文件中只允许SSH等加密协议连接。
使用discur|includessh命令：
[Huawei]discur|includessh
sshuseradmin
sshuseradminauthentication-typepassword
sshuseradminservice-typestelnet
第3章日志安全要求
3.1日志安全
3.1.1启用信息中心
启用信息中心
SBL-HUAWEI-03-01-01
启用信息中心，记录与设备相关的事件。
[HUAWEI]info-centerenable
（1）设备应配置日志功能，能对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录使用的IP地址。
（2）记录用户登录设备后所进行的所有操作。
使用disinfo-center有显示InformationCenter:
Enabled类似信息，如：
[Huawei]disinfo-center
InformationCenter:
enabled
Loghost:
Console:
channelnumber:
0,channelname:
console
Monitor:
1,channelname:
monitor
SNMPAgent:
5,channelname:
snmpagent
Logbuffer:
enabled,maxbuffersize1024,currentbuffersize512,
currentmessages56,channelnumber:
4,channelname:
logbuffer
droppedmessages0,overwrittenmessages0
Trapbuffer:
enabled,maxbuffersize1024,currentbuffersize256,
currentmessages4,channelnumber:
3,channelname:
trapbuffer
Informationtimestampsetting:
log-date,trap-date,debug-datemillisecond
Sentmessages=1227,Receivedmessages=1226
IORegmessages=0IOSentmessages=0
3.1.2开启NTP服务保证记录的时间的准确性
日志记录时间准确性
SBL-HUAWEI-03-01-02
开启NTP服务，保证日志功能记录的时间的准确性。
配置ntp客户端，服务器地址为192.168.1.1：
[Huawei]ntp-serviceauthenticationenable
[Huawei]ntp-serviceunicast-server192.168.1.1
日志记录时间准确。
[Huawei]discur|includentp
ntp-serviceauthenticationenable
ntp-serviceunicast-server192.168.1.1
3.1.3远程日志功能*
远程日志功能
SBL-HUAWEI-03-01-03
配置远程日志功能，使设备能通过远程日志功能传输到日志服务器。
[HUAWEI]info-centerloghost*.*.*.*//配置接收日志的服务器地址
[Huawei]info-centersourcedefaultchannelloghostloglevelemergencies//配置发送的日志级别
日志服务器能够正确接收网络设备发送的日志。
使用命令discur|includeinfo-center查看：
[Huawei]discur|includeinfo-center
info-centersourcedefaultchannel2loglevelemergencies
第4章IP协议安全要求
4.1IP协议
4.1.1VRRP认证
VRRP认证
SBL-HUAWEI-04-01-01
VRRP启用认证，防止非法设备加入到VRRP组中。
4、安全判定条件：
查看VRRP组，只存在正确的设备。
5、检测操作：
使用命令disvrrp
4.1.2系统远程服务只允许特定地址访问
系统远程服务只允许特定地址访问
SBL-HUAWEI-04-01-02
设备以UDP/TCP协议对外提供服务，供外部主机进行访问，如作为NTP服务器、TELNET服务器、TFTP服务器、FTP服务器、SSH服务器等，应配置设备，只允许特定主机访问。
通过配置访问控制列表ACL，只允许特定的地址访问设备的服务，如：
[HUAWEI]aclnumber3000
[HUAWEI-acl-adv-3000]rule0permittcpsource10.18.54.120destination10.1.0.500destination-porteq443
[HUAWEI-acl-adv-3000]rule65534denyip
[Huawei]trafficbehavior1
[Huawei-behavior-1]permit
[Huawei]trafficpolicy1
[Huawei-classifier-1]if-matchacl3000
[Huawei-trafficpolicy-1]classifier1behavior1
[Huawei]vlan20
[Huawei-vlan20]traffic-policy1inbound
在相关端口上绑定相应的ACL。
使用discur命令查看：
aclnumber3000
rule5permittcpsource10.18.1.10
trafficclassifier1operatorand
if-matchacl3000
trafficbehavior1
permit
trafficpolicy1
classifier1behavior1
drop-profiledefault
vlan20
traffic-policy1inbound
4.2功能配置
4.2.1SNMP的Community默认通行字口令强度
SNMP协议的community团体字
SBL-HUAWEI-04-02-01
修改SNMP的community默认团体字，字符串应符合口令强度要求。
[HUAWEI]snmp-agentcommunityread<
community团体字>
[HUAWEI]snmp-agentcommunitywrite<
community团体字>
Community非默认，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。
使用命令discur|includesnmp查看：
[HUAWEI]discur|includesnmp
snmp-agent
snmp-agentlocal-engineid800063A280A4F25325010000000001
snmp-agentcommunityreadxiangyun_read
snmp-agentcommunitywritexiangyun_write
snmp-agentsys-infoversionv3
snmp-agenttrapenablearp
snmp-agenttrapenableradius
snmp-agenttrapenablestp
7、补充：
若设备不需要使用SNMP协议应关闭SNMP功能，若需要用到应使用V2版本以上的SNMP协议。
4.2.2只与特定主机进行SNMP协议交互
只与特定主机进行SNMP协议交互
SBL-HUAWEI-04-02-02
设备只与特定主机进行SNMP协议交互
使用ACL限制只与特定主机进行SNMP交互
[HUAWEI]aclnumber2000
[HUAWEI-acl-adv-2000]rule0permitipsource10.18.54.120
[HUAWEI-acl-adv-2000]rule65534denyip
[HUAWEI]snmp-agentcommunityreadxiangyunacl2000
Snmp绑定了acl
使用discur|includesnmp命令查看：
snmp-agentcommunityreadxiangyun
snmp-agentsys-infoversion3
snmp-agentcommunityreadxiangyunacl2000
4.2.3配置SNMPV2或以上版本
配置SNMPv2或以上版本
SBL-HUAWEI-04-02-03
系统应配置SNMPv2或以上版本
[HUAWEI]snmp-agentsys-infoversionv3
系统可以成功使用snmpv2或v3版本协议。
…..
snmp-agentsys-infoversion3
4.2.4关闭未使用的SNMP协议及未使用write权限
关闭未使用的SNMP协议及未使用write权限
SBL-HUAWEI-04-02-04
系统应及时关闭未使用的SNMP协议及未使用write权限
[Huawei]undosnmp-agentcommunitywritepipaxing
Snmp权限为read。
使用discur|includesnmp命令查看，权限只有read：
snmp-agentcommunityreadxiangyun
第5章IP协议安全要求
5.1其他安全配置
5.1.1关闭未使用的接口
关闭未使用的接口
SBL-HUAWEI-05-01-01
[HUAWEI]intg1/0/10
[HUAWEI-GigabitEthernet1/0/10]shutdown
未使用接口应该管理员down。
[HUAWEI]discur
….
#
interfaceGigabitEthernet1/0/10
portlink-modebridge
comboenablefiber
shutdown
5.1.2修改设备缺省BANNER语
修改设备缺省BANNER语
SBL-HUAWEI-05-01-02
要修改设备缺省BANNER语，BANNER最好不要有系统平台或地址等有碍安全的信息。
[Huawei]headerlogininformation{需要显示的登录信息}
欢迎界面、提示符等不包含敏感信息。
通过远程登录或console口登录查看设备提示信息。
5.1.3配置定时账户自动登出
配置账号定时自动退出
SBL-HUAWEI-05-01-03
如Telnet、ssh、console登录连接超时退出
配置vty登录3分钟无操作自动退出：
[HUAWEI]user-interfacevty04
[HUAWEI-line-vty0-4]idle-timeout3
每种登录方式均设备了超时退出时间。
使用discur查看：
linevty04
authentication-modescheme
user-rolelevel-4
idle-timeout30
5.1.4配置console口密码保护功能
配置console口密码保护
SBL-HUAWEI-05-01-04
[Huawei]user-interfaceconsole0
[Huawei-ui-console0]authentication-modepassword
[Huawei-ui-console0]setauthenticationpasswordcipheradmin123
通过console口登录，确认需要密码。
使用命令discur查看：
user-interfacecon0
authentication-modepassword
setauthenticationpasswordciphert（<
'
@e^+hKEBi%T]n/.IV8e#
5.1.5端口与实际应用相符
端口与实际应用相符
SBL-HUAWEI-05-01-05
系统使用的端口默认无描述，安全事件处理及后期日志查询较为不变，出于安全考虑，应该将使用的端口添加符合实际应用的描述。
[HUAWEI-GigabitEthernet1/0/10]descriptionshangxinag
正在使用的端口配置了相应的描
升级会员 