1、2、安全基线编号:SBL-HUAWEI-02-01-013、安全基线说明:应按照用户分配帐号,避免不同用户间共享帐号,避免用户帐号和设备间通信使用的帐号共享。4、参考配置操作:HuaweiaaaHuawei-aaa local-user admin password cipher admin123Huawei-aaa local-user admin privilege level 15Huawei-aaa local-user admin service-type sshHuawei-aaa local-user user password cipher user123Huawei-aaa
2、local-user user privilege level 4Huawei-aaa local-user user service-type ssh5、安全判定条件:(1)配置文件中,存在不同的账号分配(2)网络管理员确认用户与账号分配关系明确6、检测操作:使用命令dis cur命令查看:#aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user admin password c
3、ipher =LP!6$-IYNZPO3JBXBHA! local-user admin privilege level 15 local-user admin service-type sshlocal-user user password cipher 6$-IYNZPlocal-user user privilege level 4local-user user service-type ssh对比命令显示结果与运维人员名单,如果运维人员之间不存在共享账号,表明符合安全要求。2.1.2 删除无关的帐号*删除无关的账号SBL-HUAWEI-02-01-02应删除与设备运行、维护等工作无关的
4、账号。Huawei-aaaundo local-user user(1)配置文件存在多个账号(2)网络管理员确认账号与设备运行、维护等工作无关使用dis cur | include local-user命令查看:Huaweidis cur | include local-user若不存在无用账号则说明符合安全要求。2.2 口令2.2.1 静态口令以密文形式存放静态口令以密文形式存放SBL-HUAWEI-02-02-01配置本地用户和super口令使用密文密码。Huaweiaaa Huawei-aaalocal-user admin password cipher admin123Huaweis
5、uper password cipher admin123配置文件中没有明文密码字段。查看本地用户密码:查看super密码:Huaweidis cur | include supersuper password level 3 cipher mPZr=2!Zu:|l#3M#3Icf# #2.2.2 密码复杂度密码复杂度SBL-HUAWEI-02-02-02对于采用静态口令认证技术的设备,口令长度至少8位,并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。Huawei-aaalocal-user admin password cip
6、her adminxiangyun密码强度符合要求,密码至少90天进行更换。2.3 授权2.3.1 用IP协议进行远程维护的设备使用SSH等加密协议用IP协议进行远程维护设备SBL-HUAWEI-02-03-01使用IP协议进行远程维护设备,应配置使用SSH等加密协议连接。Huaweirsa local-key-pair createHuaweistelnet server enable Huaweissh user admin service-type stelnet Huaweissh user admin authentication-type passwordHuaweiuser-in
7、terface vty 0 4Huawei-ui-vty0-4protocol inbound ssh配置文件中只允许SSH等加密协议连接。使用dis cur | include ssh命令:Huaweidis cur | include sshssh user adminssh user admin authentication-type passwordssh user admin service-type stelnet第3章 日志安全要求3.1 日志安全3.1.1 启用信息中心启用信息中心SBL-HUAWEI-03-01-01启用信息中心,记录与设备相关的事件。HUAWEIinfo-c
8、enter enable(1)设备应配置日志功能,能对用户登录进行记录,记录内容包括用户登录使用的账号,登录是否成功,登录时间,以及远程登录使用的IP地址。(2)记录用户登录设备后所进行的所有操作。使用dis info-center有显示Information Center: Enabled类似信息,如:Huaweidis info-center Information Center:enabledLog host:Console: channel number : 0, channel name : console Monitor: 1, channel name : monitor SNM
9、P Agent: 5, channel name : snmpagent Log buffer: enabled,max buffer size 1024, current buffer size 512,current messages 56, channel number : 4, channel name : logbufferdropped messages 0, overwritten messages 0 Trap buffer: enabled,max buffer size 1024, current buffer size 256,current messages 4, ch
10、annel number:3, channel name:trapbufferInformation timestamp setting: log - date, trap - date, debug - date millisecond Sent messages = 1227, Received messages = 1226 IO Reg messages = 0 IO Sent messages = 03.1.2 开启NTP服务保证记录的时间的准确性日志记录时间准确性SBL-HUAWEI-03-01-02开启NTP服务,保证日志功能记录的时间的准确性。配置ntp客户端,服务器地址为19
11、2.168.1.1:Huaweintp-service authentication enable Huaweintp-service unicast-server 192.168.1.1日志记录时间准确。Huaweidis cur | include ntpntp-service authentication enablentp-service unicast-server 192.168.1.13.1.3 远程日志功能*远程日志功能SBL-HUAWEI-03-01-03配置远程日志功能,使设备能通过远程日志功能传输到日志服务器。HUAWEIinfo-center loghost *.*.*.* /配置接收日志的服务器地址Huaweiinfo-center source default channel loghost log level emergencies /配置发送的日志级别日志服务器能够正确接收网络设备发送的日志。使用命令dis cur | include info-center查看:
copyright@ 2008-2022 冰豆网网站版权所有
经营许可证编号:鄂ICP备2022015515号-1