H3C交换机安全配置基线.docx

1、H3C交换机安全配置基线H3C交换机安全配置基线版本版本控制信息更新日期更新人审批人V2.0创建2012年4月备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。第1章概述1.1目的本文档旨在指导系统管理人员进行H3C交换机的安全配置。1.2适用范围本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。1.3适用版本H3C交换机。1.4实施1.5例外条款第2章帐号管理、认证授权安全要求2.12.1.1配置默认级别*安全基线项目名称配置默认级别安全基线要求项安全基线编号SBL-H3CSwitch-02-01-01 安全基线项说明 交换机命令级别共分为访问、

2、监控、系统、管理4 个级别，分别对应标识0、1、2、3。配置登录默认级别为访问级（0-VISIT）检测操作步骤1、参考配置操作user-interface aux 0 8authentication-mode password user privilege level 0 set authentication password cipher xxxuser-interface vty 0 4authentication-mode password user privilege level 0 set authentication password cipher xxx2、补充说明无。基线符合性

3、判定依据1、判定条件用配置中没有的用户名去登录，结果是不能登录2、参考检测操作display current-configuration3、补充说明无。备注手工检查2.2口令2.2.1密码认证登录安全基线项目名称密码认证登录安全基线要求项安全基线编号SBL-H3CSwitch-02-02-01 安全基线项说明 通过控制台和远程终端，需要密码才能登录. 口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。检测操作步骤1、参考配置操作user-interface aux 0 8authentication-mode p

4、assworduser privilege level 0 set authentication password cipher xxxuser-interface vty 0 4authentication-mode password /或authentication-mode scheme user privilege level 0 set authentication password cipher xxx2、补充说明无。基线符合性判定依据1、判定条件用配置中没有的用户名去登录，结果是不能登录2、参考检测操作display current-configuration3、补充说明无。备注

5、2.2.2设置访问级密码安全基线项目名称设置访问级密码安全基线要求项安全基线编号SBL-H3CSwitch-02-02-02 安全基线项说明 用户可以无条件切换到比当前低的用户级别，但是当使用AUX 或VTY 用户界面登录，并且从低级别往高级别切换时，需要输入级别切换密码（级别切换密码可以通过 super password 命令设置）。如果输入的密码错误或者没有配置级别切换密码，切换操作失败。因此，在进行切换操作前，请先配置级别切换密码。检测操作步骤1、参考配置操作 system-view Sysname super password level 1 cipher password1Sysna

6、me super password level 2 cipher password2Sysname super password level 3 cipher password32、补充说明无。基线符合性判定依据1、判定条件Sysname display current-configuration 备注2.2.3加密口令安全基线项目名称加密口令安全基线要求项安全基线编号SBL-H3CSwitch-02-02-03 安全基线项说明 静态口令必须使用不可逆加密算法加密后保存于配置文件中。检测操作步骤1、参考配置操作user-interface aux 0 8 user privilege leve

7、l 0 set authentication password cipher xxxuser-interface vty 0 4 user privilege level 0 set authentication password cipher xxxsuper password level 1 cipher password1super password level 2 cipher password2super password level 3 cipher password3基线符合性判定依据1.判定条件用户的加密口令在config文件中显示的密文。2.参考检测操作display cur

8、rent-configuration 备注第3章日志安全要求3.1日志安全3.1.1配置远程日志服务器安全基线项目名称配置远程日志服务器安全基线要求项安全基线编号SBL-H3CSwitch-03-01-01 安全基线项说明 设备应支持远程日志功能。所有设备日志均能通过远程日志功能传输到日志服务器。设备应支持至少一种通用的远程标准日志接口，如SYSLOG、FTP等。检测操作步骤1、参考配置操作h3c info-center enableh3c info-center loghost xxxxx channel loghost2、补充说明在系统模式下进行操作。基线符合性判定依据1.判定条件是否正确

9、配置了相应的日志服务器地址，日志服务器正确记录了日志信息。2.参考检测操作display current-configuration3.补充说明无。备注根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。建议核心设备必选，其它根据实际情况启用第4章IP协议安全要求4.1IP协议4.1.1使用SSH加密管理安全基线项目名称使用SSH加密管理安全基线要求项安全基线编号SBL-H3CSwitch-04-01-01 安全基线项说明 对于使用IP协议进行远程维护的设备，设备应配置使用SSH等加密协议，关闭TELNET协议。检测操作步骤1、参考配置操作 # 设置用户界面VTY 0 到VTY 4 支

10、持SSH 协议。 system-view Sysname user-interface vty 0 4 Sysname-ui-vty0-4 authentication-mode scheme Sysname-ui-vty0-4 protocol inbound ssh2、补充说明无。基线符合性判定依据1.参考检测操作2.补充说明无。备注4.1.2系统远程管理服务只允许特定地址访问安全基线项目名称系统远程管理服务只允许特定地址访问安全基线要求项安全基线编号SBL-H3CSwitch-04-01-02 安全基线项说明 系统远程管理服务TELNET、SSH默认可以接受任何地址的连接，出于安全考虑，

11、应该只允许特定地址访问。检测操作步骤1、参考配置操作Acl number 2000rule 1 permit source 192.168.0.0 0.0.255.255User-interface vty 0 4acl 2000 inbound2、补充说明无。基线符合性判定依据1.判定条件通过设定acl，成功过滤非法的访问。2.参考检测操作display current-configuration 3.补充说明无。备注第5章SNMP安全要求5.1SNMP安全5.1.1修改SNMP默认通行字安全基线项目名称修改SNMP默认通行字安全基线要求项安全基线编号SBL-H3CSwitch-05-01-

12、01 安全基线项说明 系统应修改SNMP的Community默认通行字，通行字应符合口令强度要求。检测操作步骤1、参考配置操作snmp-agent community read xxxsnmp-agent community write xxxx2、补充说明无。基线符合性判定依据1.判定条件系统成功修改SNMP的Community为用户定义口令，非常规private或者public，并且符合口令强度要求。2.参考检测操作display current-configuration3.补充说明无。备注5.1.2使用SNMPV2或以上版本安全基线项目名称SNMP版本安全基线要求项安全基线编号SBL-

13、H3CSwitch-05-01-02 安全基线项说明 系统应配置为SNMPV2或以上版本。检测操作步骤1、参考配置操作snmp-agent sys-info version v32、补充说明 无。基线符合性判定依据1.判定条件成功使能snmpv2c、和v3版本。2.参考检测操作display current-configuration3.补充说明无。备注5.1.3SNMP访问控制安全基线项目名称SNMP访问控制安全基线要求项安全基线编号SBL-H3CSwitch-05-01-03 安全基线项说明 设置SNMP访问安全限制，只允许特定主机通过SNMP访问网络设备。检测操作步骤1、参考配置操作sn

14、mp-agent community read XXXX01 acl 20002、补充说明无。基线符合性判定依据1.判定条件通过设定acl来成功过滤特定的源才能进行访问。2.参考检测操作display current-configuration3.补充说明无。备注第6章其他安全要求6.1其他安全配置6.1.1关闭未使用的端口安全基线项目名称关闭未使用的端口安全基线要求项安全基线编号SBL-H3CSwitch-06-01-01 安全基线项说明 关闭未使用的端口。检测操作步骤1、参考配置操作HW-Ethernet3/0/0shutdown2、补充说明无。基线符合性判定依据1.判定条件未使用端口状态

15、为admin down。2.参考检测操作Display interface3.补充说明无。备注6.1.2帐号登录超时安全基线项目名称帐号登录超时安全基线要求项安全基线编号SBL-H3CSwitch-06-01-02 安全基线项说明 配置定时帐号自动登出，登出后用户需再次登录才能进入系统。设置超时时间为5分钟.检测操作步骤1、参考配置操作设置超时时间为5分钟 system-view Sysname user-interface console 0 /Or user-interface aux 0 8Sysname-ui-console0 idle-timeout 5 02、补充说明无。基线符合性

16、判定依据1.判定条件在超出设定时间后，用户自动登出设备。2.参考检测操作display current-configuration configuration user-interface3.补充说明无。备注6.1.3关闭不需要的服务*安全基线项目名称关闭不需要的服务安全基线要求项安全基线编号SBL-H3CSwitch-06-01-03 安全基线项说明 关闭网络设备不必要的服务，比如FTP、TFTP服务等。检测操作步骤1、参考配置操作undo ftp server2、补充说明无。基线符合性判定依据1.判定条件不能访问设备的ftp等服务。2.参考检测操作display current-configuration 3.补充说明无。备注根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。第7章评审与修订