華為設(shè)備(交換機(jī))安全配置基線

華為設(shè)備（交換機(jī)）安全配置基線目錄TOC\o"1-5"\h\z\o"CurrentDocument"第1章概述 4\o"CurrentDocument"目的 4適用范圍 4適用版本 4\o"CurrentDocument"第2章帳號(hào)管理、認(rèn)證授權(quán)安全要求 5帳號(hào)管理 5\o"CurrentDocument"2.1.1用戶帳號(hào)分配* 5\o"CurrentDocument"2.1.2刪除無關(guān)的帳號(hào)* 6\o"CurrentDocument"口令 7\o"CurrentDocument"2.2.1靜態(tài)口令以密文形式存放 72.2.2帳號(hào)、口令和授權(quán) 錯(cuò)誤！未定義書簽。\o"CurrentDocument"密碼復(fù)雜度 8\o"CurrentDocument"授權(quán) 8\o"CurrentDocument"2.3.1用IP協(xié)議進(jìn)行遠(yuǎn)程維護(hù)的設(shè)備使用SSH等加密協(xié)議 8\o"CurrentDocument"第3章日志安全要求 10\o"CurrentDocument"日志安全 10\o"CurrentDocument"啟用信息中心 10\o"CurrentDocument"3.1.2開啟NTP服務(wù)保證記錄的時(shí)間的準(zhǔn)確性 11\o"CurrentDocument"3.1.3遠(yuǎn)程日志功能* 12\o"CurrentDocument"第4章IP協(xié)議安全要求 13\o"CurrentDocument"IP協(xié)議 13\o"CurrentDocument"VRRP認(rèn)證 13\o"CurrentDocument"系統(tǒng)遠(yuǎn)程服務(wù)只允許特定地址訪問 13\o"CurrentDocument"功能配置 15\o"CurrentDocument"SNMP的Community默認(rèn)通行字口令強(qiáng)度 15\o"CurrentDocument"只與特定主機(jī)進(jìn)行SNMP協(xié)議交互 16\o"CurrentDocument"4.2.3配置SNMPV2或以上版本 17\o"CurrentDocument"4.2.4關(guān)閉未使用的SNMP協(xié)議及未使用write權(quán)限 18\o"CurrentDocument"第5章IP協(xié)議安全要求 19\o"CurrentDocument"其他安全配置 19\o"CurrentDocument"關(guān)閉未使用的接口 19\o"CurrentDocument"5.1.2修改設(shè)備缺省BANNER語 20\o"CurrentDocument"配置定時(shí)賬戶自動(dòng)登出 20\o"CurrentDocument"配置console口密碼保護(hù)功能 21\o"CurrentDocument"端口與實(shí)際應(yīng)用相符 22第1章概述1.1目的規(guī)范配置華為路由器、交換機(jī)設(shè)備，保證設(shè)備基本安全1.2適用范圍本配置標(biāo)準(zhǔn)的使用者包括：網(wǎng)絡(luò)管理員、網(wǎng)絡(luò)安全管理員、網(wǎng)絡(luò)監(jiān)控人員。1.3適用版本華為交換機(jī)、路由器第2章帳號(hào)管理、認(rèn)證授權(quán)安全要求2.1帳號(hào)管理2.1.1用戶帳號(hào)分配*1、安全基線名稱：用戶帳號(hào)分配安全2、 安全基線編號(hào)：SBL-HUAWEI-02-01-013、 安全基線說明：應(yīng)按照用戶分配帳號(hào)，避免不同用戶間共享帳號(hào)，避免用戶帳號(hào)和設(shè)備間通信使用的帳號(hào)共享。4、 參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin123[Huawei-aaa]local-useradminprivilegelevel15[Huawei-aaa]local-useradminservice-typessh[Huawei-aaa]local-useruserpasswordcipheruser123[Huawei-aaa]local-useruserprivilegelevel4[Huawei-aaa]local-useruserservice-typessh5、安全判定條件：（1） 配置文件中，存在不同的賬號(hào)分配（2） 網(wǎng)絡(luò)管理員確認(rèn)用戶與賬號(hào)分配關(guān)系明確6、檢測(cè)操作：使用命令discur命令查看：

#aaaauthentication-schemedefaultauthorization-schemedefaultaccounting-schemedefaultdomaindefaultdomaindefault_adminlocal-useradminpasswordcipher=LP!6$^-IYNZPO3JBXBHA!!local-useradminprivilegelevel15local-useradminservice-typesshlocal-useruserpasswordcipher=LP!6$A-IYNZPlocal-useruserprivilegelevel4local-useruserservice-typessh#對(duì)比命令顯示結(jié)果與運(yùn)維人員名單，如果運(yùn)維人員之間不存在共享賬號(hào)，表明符合安全要求。2.1.2刪除無關(guān)的帳號(hào)2.1.2刪除無關(guān)的帳號(hào)III1、安全基線名稱：刪除無關(guān)的賬號(hào)2、 安全基線編號(hào)：SBL-HUAWEI-02-01-023、 安全基線說明：應(yīng)刪除與設(shè)備運(yùn)行、維護(hù)等工作無關(guān)的賬號(hào)。4、 參考配置操作：[Huawei]aaa[Huawei-aaa]undolocal-useruser5、 安全判定條件：（1） 配置文件存在多個(gè)賬號(hào)（2） 網(wǎng)絡(luò)管理員確認(rèn)賬號(hào)與設(shè)備運(yùn)行、維護(hù)等工作無關(guān)6、 檢測(cè)操作：使用discur|includelocal-user命令查看：[Huawei]discur|includelocal-userlocal-useradminpasswordcipher=LP!6$A-IYNZPO3JBXBHA!!local-useradminprivilegelevel15local-useradminservice-typessh若不存在無用賬號(hào)則說明符合安全要求。2.2口令2.2.1靜態(tài)口令以密文形式存放1、安全基線名稱：靜態(tài)口令以密文形式存放2、安全基線編號(hào)：SBL-HUAWEI-02-02-013、 安全基線說明：配置本地用戶和super口令使用密文密碼。4、 參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin123[Huawei]superpasswordcipheradmin1235、安全判定條件：配置文件中沒有明文密碼字段。6、檢測(cè)操作：查看本地用戶密碼：[Huawei]discur|includelocal-userlocal-useradminpasswordcipher=LP!6$^-IYNZPO3JBXBHA!!local-useradminprivilegelevel15local-useradminservice-typessh查看super密碼：[Huawei]discur|includesupersuperpasswordlevel3ciphermPZr=2!Z<@u:|l#3MA#3Icf##2.2.2密碼復(fù)雜度1、安全基線名稱：密碼復(fù)雜度2、 安全基線編號(hào)：SBL-HUAWEI-02-02-023、 安全基線說明：對(duì)于采用靜態(tài)口令認(rèn)證技術(shù)的設(shè)備，口令長度至少8位，并包括數(shù)字、小寫字母、大寫字母和特殊符號(hào)四類中至少兩類。且5次以內(nèi)不得設(shè)置相同的口令。密碼應(yīng)至少每90天進(jìn)行更換。4、 參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin@xiangyun5、安全判定條件：密碼強(qiáng)度符合要求，密碼至少90天進(jìn)行更換。2.3授權(quán)2.3.1用IP協(xié)議進(jìn)行遠(yuǎn)程維護(hù)的設(shè)備使用SSH等加密協(xié)議1、安全基線名稱：用IP協(xié)議進(jìn)行遠(yuǎn)程維護(hù)設(shè)備2、 安全基線編號(hào)：SBL-HUAWEI-02-03-013、 安全基線說明：使用IP協(xié)議進(jìn)行遠(yuǎn)程維護(hù)設(shè)備，應(yīng)配置使用SSH等加密協(xié)議連接。4、 參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin123[Huawei-aaa]local-useradminprivilegelevel15[Huawei-aaa]local-useradminservice-typessh[Huawei]rsalocal-key-paircreate[Huawei]stelnetserverenable[Huawei]sshuseradminservice-typestelnet[Huawei]sshuseradminauthentication-typepassword[Huawei]user-interfacevty04[Huawei-ui-vty0-4]protocolinboundssh5、安全判定條件：配置文件中只允許SSH等加密協(xié)議連接。6、檢測(cè)操作：使用discur|includessh命令：[Huawei]discur|includesshlocal-useradminservice-typesshsshuseradminsshuseradminauthentication-typepasswordsshuseradminservice-typestelnet第3章日志安全要求日志安全3.1.1啟用信息中心1、 安全基線名稱：啟用信息中心2、 安全基線編號(hào)：SBL-HUAWEI-03-01-013、 安全基線說明：啟用信息中心，記錄與設(shè)備相關(guān)的事件。4、參考配置操作：[HUAWEI]info-centerenable5、安全判定條件：（1）設(shè)備應(yīng)配置日志功能，能對(duì)用戶登錄進(jìn)行記錄，記錄內(nèi)容包括用戶登錄使用的賬號(hào)，登錄是否成功，登錄時(shí)間，以及遠(yuǎn)程登錄使用的IP地址。（2）記錄用戶登錄設(shè)備后所進(jìn)行的所有操作。6、檢測(cè)操作：使用disinfo-center有顯示InformationCenter:Enabled類似信息，如：[Huawei]disinfo-centerInformationCenter:enabledLoghost:Console:channelnumber:0,channelname:consoleMonitor:channelnumber:1,channelname:monitorSNMPAgent:channelnumber:5,channelname:snmpagentLogbuffer:enabled,maxbuffersize1024,currentbuffersize512,currentmessages56,channelnumber:4,channelname:logbufferdroppedmessages0,overwrittenmessages0Trapbuffer:enabled,maxbuffersize1024,currentbuffersize256,currentmessages4,channelnumber:3,channelname:trapbufferdroppedmessages0,overwrittenmessages0Informationtimestampsetting:log-date,trap-date,debug-datemillisecondSentmessages=1227,Receivedmessages=1226IORegmessages=0IOSentmessages=03.1.2開啟NTP服務(wù)保證記錄的時(shí)間的準(zhǔn)確性1、 安全基線名稱：日志記錄時(shí)間準(zhǔn)確性2、 安全基線編號(hào)：SBL-HUAWEI-03-01-023、 安全基線說明：開啟NTP服務(wù)，保證日志功能記錄的時(shí)間的準(zhǔn)確性。4、 參考配置操作：配置ntp客戶端，服務(wù)器地址為：[Huawei]ntp-serviceauthenticationenable[Huawei]ntp-serviceunicast-server5、安全判定條件：日志記錄時(shí)間準(zhǔn)確。6、檢測(cè)操作：[Huawei]discur|includentpntp-serviceauthenticationenablentp-serviceunicast-server3.1.3遠(yuǎn)程日志功能*1、安全基線名稱：遠(yuǎn)程日志功能2、 安全基線編號(hào)：SBL-HUAWEI-03-01-033、 安全基線說明：配置遠(yuǎn)程日志功能，使設(shè)備能通過遠(yuǎn)程日志功能傳輸?shù)饺罩痉?wù)庚器。4、 參考配置操作：[HUAWEI]info-centerloghost*.*.*.* //配置接收日志的服務(wù)器地址[Huawei]info-centersourcedefaultchannelloghostloglevelemergencies //配置發(fā)送的日志級(jí)別5、 安全判定條件：日志服務(wù)器能夠正確接收網(wǎng)絡(luò)設(shè)備發(fā)送的日志。6、 檢測(cè)操作：使用命令discur|includeinfo-center查看：[Huawei]discur|includeinfo-centerinfo-centersourcedefaultchannel2loglevelemergencies第4章IP協(xié)議安全要求IP協(xié)議VRRP認(rèn)證1、安全基線名稱：VRRP認(rèn)證2、安全基線編號(hào)：SBL-HUAWEI-04-01-013、安全基線說明：VRRP啟用認(rèn)證，防止非法設(shè)備加入到VRRP組中。4、 安全判定條件：查看VRRP組，只存在正確的設(shè)備。5、 檢測(cè)操作：使用命令disvrrp4.1.2系統(tǒng)遠(yuǎn)程服務(wù)只允許特定地址訪問1、 安全基線名稱：系統(tǒng)遠(yuǎn)程服務(wù)只允許特定地址訪問2、 安全基線編號(hào)：SBL-HUAWEI-04-01-023、 安全基線說明：設(shè)備以UDP/TCP協(xié)議對(duì)外提供服務(wù)，供外部主機(jī)進(jìn)行訪問，如作為NTP服務(wù)器、TELNET服務(wù)器、TFTP服務(wù)器、FTP服務(wù)器、SSH服務(wù)器等，應(yīng)配置設(shè)備，只允許特定主機(jī)訪問。4、 參考配置操作：通過配置訪問控制列表ACL,只允許特定的地址訪問設(shè)備的服務(wù)，如：[HUAWEI]aclnumber3000[HUAWEI-acl-adv-3000]rule0permittcpsource20destination00destination-porteq443[HUAWEI-acl-adv-3000]rule65534denyip[Huawei]trafficbehavior1[Huawei-behavior-1]permit[Huawei]trafficpolicy1[Huawei-classifier-1]if-matchacl3000[Huawei]trafficpolicy1[Huawei-trafficpolicy-1]classifier1behavior1[Huawei]vlan20[Huawei-vlan20]traffic-policy1inbound5、安全判定條件：在相關(guān)端口上綁定相應(yīng)的ACL。6、檢測(cè)操作：使用discur命令查看：#aclnumber3000rule5permittcpsource0#trafficclassifier1operatorandif-matchacl3000#trafficbehavior1permit#trafficpolicy1classifier1behavior1#drop-profiledefault#vlan20traffic-policy1inbound#4.2功能配置4.2.1SNMP的Community默認(rèn)通行字口令強(qiáng)度1、 安全基線名稱：SNMP協(xié)議的community團(tuán)體字2、 安全基線編號(hào)：SBL-HUAWEI-04-02-013、 安全基線說明：修改SNMP的community默認(rèn)團(tuán)體字，字符串應(yīng)符合口令強(qiáng)度要求。4、 參考配置操作：[HUAWEI]snmp-agentcommunityread<community團(tuán)體字>[HUAWEI]snmp-agentcommunitywrite<community團(tuán)體字>5、安全判定條件：Community非默認(rèn)，口令長度至少8位，并包括數(shù)字、小寫字母、大寫字母和特殊符號(hào)4類中至少2類。6、檢測(cè)操作：使用命令discur|includesnmp查看：[HUAWEI]discur|includesnmpsnmp-agentsnmp-agentlocal-engineid800063A280A4F25325010000000001snmp-agentcommunityreadxiangyun_readsnmp-agentcommunitywritexiangyun_writesnmp-agentsys-infoversionv3snmp-agenttrapenablearpsnmp-agenttrapenableradiussnmp-agenttrapenablestp7、補(bǔ)充：若設(shè)備不需要使用SNMP協(xié)議應(yīng)關(guān)閉SNMP功能，若需要用到應(yīng)使用V2版本以上的SNMP協(xié)議。4.2.2只與特定主機(jī)進(jìn)行SNMP協(xié)議交互1、 安全基線名稱：只與特定主機(jī)進(jìn)行SNMP協(xié)議交互2、 安全基線編號(hào)：SBL-HUAWEI-04-02-023、 安全基線說明：設(shè)備只與特定主機(jī)進(jìn)行SNMP協(xié)議交互4、 參考配置操作：使用ACL限制只與特定主機(jī)進(jìn)行SNMP交互[HUAWEI]aclnumber2000[HUAWEI-acl-adv-2000]rule0permitipsource20[HUAWEI-acl-adv-2000]rule65534denyip[HUAWEI]snmp-agentcommunityreadxiangyunacl20005、安全判定條件：Snmp綁定了acl6、檢測(cè)操作：使用discur|includesnmp命令查看：[HUAWEI]discur|includesnmpsnmp-agentsnmp-agentlocal-engineid800063A280A4F25325010000000001snmp-agentcommunityreadxiangyunsnmp-agentsys-infoversion3snmp-agenttrapenablearpsnmp-agenttrapenableradiussnmp-agenttrapenablestpsnmp-agentcommunityreadxiangyunacl20004.2.3配置SNMPV2或以上版本1、 安全基線名稱：配置SNMPv2或以上版本2、 安全基線編號(hào)：SBL-HUAWEI-04-02-033、安全基線說明：系統(tǒng)應(yīng)配置SNMPv2或以上版本4、參考配置操作：[HUAWEI]snmp-agentsys-infoversionv35、安全判定條件：系統(tǒng)可以成功使用snmpv2或v3版本協(xié)議。6、檢測(cè)操作：使用discur|includesnmp命令查看：[HUAWEI]discur|includesnmp…..snmp-agentsys-infoversion3…..4.2.4關(guān)閉未使用的SNMP協(xié)議及未使用write權(quán)限1、 安全基線名稱：關(guān)閉未使用的SNMP協(xié)議及未使用write權(quán)限2、 安全基線編號(hào)：SBL-HUAWEI-04-02-043、 安全基線說明：系統(tǒng)應(yīng)及時(shí)關(guān)閉未使用的SNMP協(xié)議及未使用write權(quán)限4、 參考配置操作：[Huawei]undosnmp-agentcommunitywritepipaxing5、安全判定條件：Snmp權(quán)限為read。6、檢測(cè)操作：使用discur|includesnmp命令查看，權(quán)限只有read：[HUAWEI]discur|includesnmp…..snmp-agentcommunityreadxiangyun…..第5章IP協(xié)議安全要求其他安全配置5.1.1關(guān)閉未使用的接口1、 安全基線名稱：關(guān)閉未使用的接口2、 安全基線編號(hào)：SBL-HUAWEI-05-01-013、安全基線說明：關(guān)閉未使用的接口4、參考配置操作：[HUAWEI]intg1/0/10[HUAWEI-GigabitEthernet1/0/10]shutdown5、安全判定條件：未使用接口應(yīng)該管理員down。6、檢測(cè)操作：[HUAWEI]discur….#interfaceGigabitEthernet1/0/10portlink-modebridgecomboenablefibershutdown#….5.1.2修改設(shè)備缺省BANNER語1、 安全基線名稱：修改設(shè)備缺省BANNER語2、 安全基線編號(hào)：SBL-HUAWEI-05-01-023、 安全基線說明：要修改設(shè)備缺省BANNER語，BANNER最好不要有系統(tǒng)平臺(tái)或地址等有礙安全的信息。4、 參考配置操作：[Huawei]headerlogininformation｛需要顯示的登錄信息｝5、 安全判定條件：歡迎界面、提示符等不包含敏感信息。6、 檢測(cè)