網絡設備防護

網絡設備防護信息安全等級保護–網絡安全測評刑事執(zhí)行專業(yè)教學資源庫刑事執(zhí)行專業(yè)教學資源庫網絡設備防護七、網絡設備防護（8項）

網絡設備的防護主要是對用戶登錄前后的行為進行控制，對網絡設備的權限進行管理。條款解讀網絡設備防護a)應對登錄網絡設備的用戶進行身份鑒別條款理解刑事執(zhí)行專業(yè)教學資源庫檢查方法

對于網絡設備，可以采用CON、AUX、VTY等方式登錄。

對于安全設備，可以采用WEB、GUI、命令行等方式登錄。

檢查測評對象采用何種方式進行登錄，是否對登錄用戶的身份進行鑒別，是否修改了默認的用戶名及密碼。網絡設備防護刑事執(zhí)行專業(yè)教學資源庫line

vty

0

4loginpassword

xxxxxxxline

aux

0loginpassword

xxxxxxxline

con

0loginpassword

xxxxxxx以CISCOIOS為例，檢查配置文件中應當存在類似如下配置項：網絡設備防護b)應對網絡設備的管理員登錄地址進行限制；條款理解刑事執(zhí)行專業(yè)教學資源庫檢查方法

為了保證安全，需要對訪問網絡設備的登錄地址進行限制，避免未授權的訪問。

以CISCO

IOS為例，輸入命令：show

running-configaccess-list

3

permit

x.x.x.x

logaccess-list

3

deny

anyline

vty

0

4access-class

3

in網絡設備防護以聯(lián)想網域防火墻為例，如下圖所示：刑事執(zhí)行專業(yè)教學資源庫網絡設備防護c)網絡設備用戶的標識應唯一；條款理解刑事執(zhí)行專業(yè)教學資源庫檢查方法

不允許在網絡設備上配置用戶名相同的用戶，要防止多人共用

一個帳戶，實行分帳戶管理，每名管理員設置一個單獨的帳戶

，避免出現問題后不能及時進行追查。

登錄網絡設備，查看設置的用戶是否有相同用戶名。詢問網絡管理員，是否為每個管理員設置了單獨的賬戶。網絡設備防護d)主要網絡設備應對同一用戶選擇兩種或兩種以上組合的鑒別條款理解刑事執(zhí)行專業(yè)教學資源庫檢查方法

采用雙因子鑒別是防止身份欺騙的有效方法，雙因子鑒別不僅

要求訪問者知道一些鑒別信息，還需要訪問者擁有鑒別特征，

例如采用令牌、智能卡等。

訪談網絡設備管理員，詢問采用了何種鑒別技術實現了雙因子鑒別，并在管理員的配合下驗證雙因子鑒別的有效性。技術來進行身份鑒別；網絡設備防護以聯(lián)想網域防火墻為例，如下圖所示：刑事執(zhí)行專業(yè)教學資源庫網絡設備防護e)身份鑒別信息應具有不易被冒用的特點條款理解刑事執(zhí)行專業(yè)教學資源庫檢查方法

為避免身份鑒別信息被冒用，可以通過采用令牌、認證服務器

等措施，加強身份鑒別信息的保護。如果僅僅基于口令的身份

鑒別，應當保證口令復雜度和定期更改的要求。

詢問網絡管理員對身份鑒別所采取的具體措施，使用口令的組成、長度和更改周期等。口令應有復雜度要求并定期更換；網絡設備防護以聯(lián)想網域防火墻為例，如下圖所示：刑事執(zhí)行專業(yè)教學資源庫網絡設備防護f)應具有登錄失敗處理功能，可采取結束會話、限制非法登錄條款理解刑事執(zhí)行專業(yè)教學資源庫檢查方法

應對登錄失敗進行處理，避免系統(tǒng)遭受惡意的攻擊。

以CISCO

IOS為例，輸入命令：show

running-config檢查配置文件中應當存在類似如下配置項：line

vty

0

4exec-timeout

5

0次數和當網絡登錄連接超時自動退出等措施；網絡設備防護以聯(lián)想網域防火墻為例，如下圖所示：刑事執(zhí)行專業(yè)教學資源庫網絡設備防護g)當對網絡設備進行遠程管理時，應采取必要措施防止鑒別信條款理解刑事執(zhí)行專業(yè)教學資源庫檢查方法

對網絡設備進行管理時，應采用SSH、HTTPS等加密協(xié)議，防止鑒別信息被竊聽。

以CISCO

IOS為例，輸入命令：show

running-config檢查配置文件中應當存在類似如下配置項：line

vty

0

4transport

input

ssh息在網絡傳輸過程中被竊聽；網絡設備防護h)應實現設備特權用戶的權限分離。條款理解刑事執(zhí)行專業(yè)教學資源庫檢查方法

應根據實際需要為用戶分配完成其任務的最小權限。

登錄設備，查看有多少管理員賬戶，每個管理員賬戶是否僅分