信息安全管理制度-網(wǎng)絡安全設備配置規(guī)范

網(wǎng)絡安全設備配置規(guī)范XXX2011年1月網(wǎng)絡安全設備配置規(guī)范網(wǎng)絡安全設備配置規(guī)范--#-＃configtEnterconfigurationcommands，oneperline.EndwithCNTL/Z.(config)#routerospf1(config-router)＃area0authenticationmessage-digest(config-router)＃network14.1.0。00。0。255.255area0(config-router)#network14。2.6.00.0.0。255area0(config—router)＃exit(config)＃inteth0(config—if)#ipospfmessage-digest—key1md5r0utes—4—all(config-if)#endRIPAuthenticationRIP2支持此功能#configtEnterconfigurationcommands,oneperline。EndwithCNTL/Z.(config)#keychain—KC(config—keychain)#key1(config—keychain-key)#key-stringmy—supersecret—key(config-keychain—key)#exit(config—keychain)#key2(config-keychain-key)＃key—stringmy-othersecret-key(config—keychain—key)#end#＃configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z。(config)＃keychain—KC(config—keychain)＃key1(config—keychain—key)#key-stringmy-supersecret—key(config—keychain-key)＃exit(config—keychain)#key2(config—keychain—key)#key-stringmy—othersecret-key(config-keychain—key)#end＃configtEnterconfigurationcommands,oneperline。EndwithCNTL/Z。(config)＃intethernet0/1(config-if)#ipripauthenticationkey-chain—KC(config—if)＃ipripauthenticationmodemd5(config-if)＃end＃＃configtEnterconfigurationcommands,oneperline。EndwithCNTL/Z.(config)＃intethernet0/0(config-if)＃ipripauthenticationkey-chain—KC(config-if)＃ipripauthenticationmodemd5(config—if)#end＃EIGRPAuthentication＃configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.(config)#routereigrp100(config—router)＃network14。1.0.0255。255.0。0(config—router)#exit(config)#interfaceeth0/1(config-if)＃ipauthenticationmodeeigrp100md5(config-if)＃ipauthenticationkey-chaineigrp100—KC(config—if)＃exit(config)#keychain—KC(config-keychain)#key1(config—keychain—key)#key-stringsecret-key(config—keychain—key)＃send—lifetime00：00：00Oct1200200：00:00Jan12003(config-keychain-key)#accept-lifetime00:00:00Oct1200200:00:00Jan72003(config-keychain-key)＃end##configtEnterconfigurationcommands，oneperline。EndwithCNTL/Z.(config)#routereigrp100(config-router)#network14。1。0。0255.255.0。0(config-router)#network14。2.6.0255.255。255。0(config-router)#passive-interfaceeth1(config-router)＃exit(config)＃interfaceeth0(config—if)#ipauthenticationmodeeigrp100md5(config-if)＃ipauthenticationkey—chaineigrp100—KC(config—if)＃exit(config)＃keychain-KC(config-keychain)＃key1(config-keychain—key)＃key—stringsecret-key(config-keychain—key)#send-lifetime00：00:00Oct1200200:00:00Jan12003(config-keychain-key)#accept—lifetime00:00：00Oct1200200：00:00Jan72003(config—keychain-key)#end＃關閉ARPPROXY功能＃configtEnterconfigurationcommands，oneperline。EndwithCNTL/Z。(config)＃interfaceethernet0/0(config-if)＃noipproxy—arp(config—if)#exit(config)＃interfaceethernet0/1(config—if)#noipproxy—arp(config—if)#endDisablingunneededrouting-relatedservicesPassiveInterfaces(被動態(tài)接口)Router1#showconfig.。interfaceethernet0descriptionActiveroutinginterfacefor14。1。0。0netipaddress14.1。15.250！interfaceethernet1descriptionActiveroutinginterfacefor14。2.0。0netipaddress14。2.13.150255。255.0.0！interfaceethernet2descriptionPassiveinterfaceonthe14.3.0。0netipaddress14。3。90。50255.255。0。0routerospf1network14.0.0。00。0。0.255area0passive—interfaceethernet2說明只在ETHERNET1、ETHERNET2上運行OSPF協(xié)議。在ETHERNET2上禁止＃configtEnterconfigurationcommands，oneperline.EndwithCNTL/Z。(config)＃routerrip(config-router)#passive-interfaceethernet0/0(config-router)＃end#Usingfilterstoblockroutingupdates#configtEnterconfigurationcommands，oneperline.EndwithCNTL/Z.(config)#access—list55deny14.2。10.00。0。0。255(config)#access-list55permitany(config)#end#configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.(config)＃routerospf1(config-router)＃distribute-list55out(config—router)＃endRip協(xié)議＃configtEnterconfigurationcommands,oneperline。EndwithCNTL/Z。(config)＃access-list55deny14。2.10。055(config)#access-list55permitany(config)#routerrip(config-router)#distribute—list55out(config-router)#endBGPandMD5Authentication＃configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z.(config)＃routerbgp26625(config—router)＃neighbor14。2。0.250remote-as27701(config—router)#neighbor14.2。0。250passwordr0utes4all(config—router)#end#ISPCust7#configtEnterconfigurationcommands,oneperline.EndwithCNTL/Z。ISPCust7(config)＃routerbgp27701ISPCust7(config—router)#neighbor14.2.0。20remote—as26625ISPCust7(config-router)＃neighbor14。2。0.20passwordr0utes4allISPCust7(config-router)#endISPCust7＃管理路由器設置管理路由器的登錄機制。在專用的管理子網(wǎng)只允許本地固定IP管理路由器管理路由器的主機與路由器間的信息加密(VTY使用SSH)更新路由器只有在下列情況下更新路由器修復安全脆弱性增加新的功能增加內存設置和測試管理主機和路由器間的文件傳輸能力按計劃停止運行路由器和網(wǎng)絡重啟后關停端口備份配置文件安裝新的配置文件日志審計日志訪問列表中端口是否正確設置日志，并標識、配置日志主機精確設置并維護路由器時間按照策略定期檢查、分析并存檔日志4入侵檢測.配置IDS產品安全策略策略包括需要保護對象的優(yōu)先順序、規(guī)定誰可以對IDS產品進行配置管理、以及根據(jù)操作系統(tǒng)、應用服務或部署位置等來制定的IDS檢測策略。.定期維護IDS安全策略IDS的安全策略應該是活動的，當環(huán)境發(fā)生變化時，安全策略應該改變，并應該通知相關人員..將IDS產品（傳感器和管理器）放置在一個環(huán)境安全且可控的區(qū)域，以保證IDS產品的物理安全.安全地配置裝有IDS的主機系統(tǒng).IDS配置文件離線保存、注釋、有限訪問，并保持與運行配置同步。.使用IDS產品的最新穩(wěn)定版本或補丁..保持IDS產品的最新的簽名數(shù)據(jù)庫。.定期檢查IDS產品自身的安全性,特別在改變重要配置之后。.對管理用戶進行權限分級，并對用戶進行鑒別。要求不同權限級別的用戶應該具有相應的技術能力（掌握信息安全知識）及非技術能力（責任心、管理能力、分析能力等）。.口令配置安全例如，使用難以猜測的口令、限制知曉范圍、重要員工辭職時更換口令..精確設置并維護