華為交換機安全基線

華為設(shè)備安全配置基線

目錄帳號管理、認證授權(quán)安全要求帳號管理用戶帳號分配*1、安全基線名稱：用戶帳號分配安全2、安全基線編號：SBL-HUAWEI-02-01-013、安全基線說明：應(yīng)按照用戶分配帳號，避免不同用戶間共享帳號，避免用戶帳號和設(shè)備間通信使用的帳號共享。4、參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin123[Huawei-aaa]local-useradminprivilegelevel15[Huawei-aaa]local-useradminservice-typessh[Huawei-aaa]local-useruserpasswordcipheruser123[Huawei-aaa]local-useruserprivilegelevel4[Huawei-aaa]local-useruserservice-typessh5、安全判定條件：（1）配置文件中，存在不同的賬號分配（2）網(wǎng)絡(luò)管理員確認用戶與賬號分配關(guān)系明確6、檢測操作：使用命令discur命令查看：…#aaaauthentication-schemedefaultauthorization-schemedefaultaccounting-schemedefaultdomaindefaultdomaindefault_adminlocal-useradminpasswordcipher"=LP!6$^-IYNZPO3JBXBHA!!local-useradminprivilegelevel15local-useradminservice-typesshlocal-useruserpasswordcipher"=LP!6$^-IYNZPlocal-useruserprivilegelevel4local-useruserservice-typessh#對比命令顯示結(jié)果與運維人員名單，如果運維人員之間不存在共享賬號，表明符合安全要求。刪除無關(guān)的帳號*1、安全基線名稱：刪除無關(guān)的賬號2、安全基線編號：SBL-HUAWEI-02-01-023、安全基線說明：應(yīng)刪除與設(shè)備運行、維護等工作無關(guān)的賬號。4、參考配置操作：[Huawei]aaa[Huawei-aaa]undolocal-useruser5、安全判定條件：（1）配置文件存在多個賬號（2）網(wǎng)絡(luò)管理員確認賬號與設(shè)備運行、維護等工作無關(guān)6、檢測操作：使用discur|includelocal-user命令查看：[Huawei]discur|includelocal-userlocal-useradminpasswordcipher"=LP!6$^-IYNZPO3JBXBHA!!local-useradminprivilegelevel15local-useradminservice-typessh若不存在無用賬號則說明符合安全要求。口令靜態(tài)口令以密文形式存放1、安全基線名稱：靜態(tài)口令以密文形式存放2、安全基線編號：SBL-HUAWEI-02-02-013、安全基線說明：配置本地用戶和super口令使用密文密碼。4、參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin123[Huawei]superpasswordcipheradmin1235、安全判定條件：配置文件中沒有明文密碼字段。6、檢測操作：查看本地用戶密碼：[Huawei]discur|includelocal-userlocal-useradminpasswordcipher"=LP!6$^-IYNZPO3JBXBHA!!local-useradminprivilegelevel15local-useradminservice-typessh查看super密碼：[Huawei]discur|includesupersuperpasswordlevel3ciphermPZr=2!Z<@u:|l#3M^#3Icf##密碼復(fù)雜度1、安全基線名稱：密碼復(fù)雜度2、安全基線編號：SBL-HUAWEI-02-02-023、安全基線說明：對于采用靜態(tài)口令認證技術(shù)的設(shè)備，口令長度至少8位，并包括數(shù)字、小寫字母、大寫字母和特殊符號四類中至少兩類。且5次以內(nèi)不得設(shè)置相同的口令。密碼應(yīng)至少每90天進行更換。4、參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin@xiangyun5、安全判定條件：密碼強度符合要求，密碼至少90天進行更換。授權(quán)用IP協(xié)議進行遠程維護的設(shè)備使用SSH等加密協(xié)議1、安全基線名稱：用IP協(xié)議進行遠程維護設(shè)備2、安全基線編號：SBL-HUAWEI-02-03-013、安全基線說明：使用IP協(xié)議進行遠程維護設(shè)備，應(yīng)配置使用SSH等加密協(xié)議連接。4、參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin123[Huawei-aaa]local-useradminprivilegelevel15[Huawei-aaa]local-useradminservice-typessh[Huawei]rsalocal-key-paircreate[Huawei]stelnetserverenable[Huawei]sshuseradminservice-typestelnet[Huawei]sshuseradminauthentication-typepassword[Huawei]user-interfacevty04[Huawei-ui-vty0-4]protocolinboundssh5、安全判定條件：配置文件中只允許SSH等加密協(xié)議連接。6、檢測操作：使用discur|includessh命令：[Huawei]discur|includesshlocal-useradminservice-typesshsshuseradminsshuseradminauthentication-typepasswordsshuseradminservice-typestelnet日志安全要求日志安全啟用信息中心1、安全基線名稱：啟用信息中心2、安全基線編號：SBL-HUAWEI-03-01-013、安全基線說明：啟用信息中心，記錄與設(shè)備相關(guān)的事件。4、參考配置操作：[HUAWEI]info-centerenable5、安全判定條件：（1）設(shè)備應(yīng)配置日志功能，能對用戶登錄進行記錄，記錄內(nèi)容包括用戶登錄使用的賬號，登錄是否成功，登錄時間，以及遠程登錄使用的IP地址。（2）記錄用戶登錄設(shè)備后所進行的所有操作。6、檢測操作：使用disinfo-center有顯示InformationCenter:Enabled類似信息，如：[Huawei]disinfo-centerInformationCenter:enabledLoghost:Console:channelnumber:0,channelname:consoleMonitor:channelnumber:1,channelname:monitorSNMPAgent:channelnumber:5,channelname:snmpagentLogbuffer:enabled,maxbuffersize1024,currentbuffersize512,currentmessages56,channelnumber:4,channelname:logbufferdroppedmessages0,overwrittenmessages0Trapbuffer:enabled,maxbuffersize1024,currentbuffersize256,currentmessages4,channelnumber:3,channelname:trapbufferdroppedmessages0,overwrittenmessages0Informationtimestampsetting:log-date,trap-date,debug-datemillisecondSentmessages=1227,Receivedmessages=1226IORegmessages=0IOSentmessages=0開啟NTP服務(wù)保證記錄的時間的準確性1、安全基線名稱：日志記錄時間準確性2、安全基線編號：SBL-HUAWEI-03-01-023、安全基線說明：開啟NTP服務(wù)，保證日志功能記錄的時間的準確性。4、參考配置操作：配置ntp客戶端，服務(wù)器地址為：[Huawei]ntp-serviceauthenticationenable[Huawei]ntp-serviceunicast-server5、安全判定條件：日志記錄時間準確。6、檢測操作：[Huawei]discur|includentpntp-serviceauthenticationenablentp-serviceunicast-server遠程日志功能*1、安全基線名稱：遠程日志功能2、安全基線編號：SBL-HUAWEI-03-01-033、安全基線說明：配置遠程日志功能，使設(shè)備能通過遠程日志功能傳輸?shù)饺罩痉?wù)器。4、參考配置操作：[HUAWEI]info-centerloghost*.*.*.*//配置接收日志的服務(wù)器地址[Huawei]info-centersourcedefaultchannelloghostloglevelemergencies//配置發(fā)送的日志級別5、安全判定條件：日志服務(wù)器能夠正確接收網(wǎng)絡(luò)設(shè)備發(fā)送的日志。6、檢測操作：使用命令discur|includeinfo-center查看：[Huawei]discur|includeinfo-centerinfo-centersourcedefaultchannel2loglevelemergenciesIP協(xié)議安全要求IP協(xié)議VRRP認證1、安全基線名稱：VRRP認證2、安全基線編號：SBL-HUAWEI-04-01-013、安全基線說明：VRRP啟用認證，防止非法設(shè)備加入到VRRP組中。4、安全判定條件：查看VRRP組，只存在正確的設(shè)備。5、檢測操作：使用命令disvrrp系統(tǒng)遠程服務(wù)只允許特定地址訪問1、安全基線名稱：系統(tǒng)遠程服務(wù)只允許特定地址訪問2、安全基線編號：SBL-HUAWEI-04-01-023、安全基線說明：設(shè)備以UDP/TCP協(xié)議對外提供服務(wù)，供外部主機進行訪問，如作為NTP服務(wù)器、TELNET服務(wù)器、TFTP服務(wù)器、FTP服務(wù)器、SSH服務(wù)器等，應(yīng)配置設(shè)備，只允許特定主機訪問。4、參考配置操作：通過配置訪問控制列表ACL，只允許特定的地址訪問設(shè)備的服務(wù)，如：[HUAWEI]aclnumber3000[HUAWEI-acl-adv-3000]rule0permittcpsource20destination00destination-porteq443[HUAWEI-acl-adv-3000]rule65534denyip[Huawei]trafficbehavior1[Huawei-behavior-1]permit[Huawei]trafficpolicy1[Huawei-classifier-1]if-matchacl3000[Huawei]trafficpolicy1[Huawei-trafficpolicy-1]classifier1behavior1[Huawei]vlan20[Huawei-vlan20]traffic-policy1inbound5、安全判定條件：在相關(guān)端口上綁定相應(yīng)的ACL。6、檢測操作：使用discur命令查看：…#aclnumber3000rule5permittcpsource0#trafficclassifier1operatorandif-matchacl3000#trafficbehavior1permit#trafficpolicy1classifier1behavior1#drop-profiledefault#vlan20traffic-policy1inbound#功能配置SNMP的Community默認通行字口令強度1、安全基線名稱：SNMP協(xié)議的community團體字2、安全基線編號：SBL-HUAWEI-04-02-013、安全基線說明：修改SNMP的community默認團體字，字符串應(yīng)符合口令強度要求。4、參考配置操作：[HUAWEI]snmp-agentcommunityread<community團體字>[HUAWEI]snmp-agentcommunitywrite<community團體字>5、安全判定條件：Community非默認，口令長度至少8位，并包括數(shù)字、小寫字母、大寫字母和特殊符號4類中至少2類。6、檢測操作：使用命令discur|includesnmp查看：[HUAWEI]discur|includesnmpsnmp-agentsnmp-agentlocal-engineid800063A280A4F25325010000000001snmp-agentcommunityreadxiangyun_readsnmp-agentcommunitywritexiangyun_writesnmp-agentsys-infoversionv3snmp-agenttrapenablearpsnmp-agenttrapenableradiussnmp-agenttrapenablestp7、補充：若設(shè)備不需要使用SNMP協(xié)議應(yīng)關(guān)閉SNMP功能，若需要用到應(yīng)使用V2版本以上的SNMP協(xié)議。只與特定主機進行SNMP協(xié)議交互1、安全基線名稱：只與特定主機進行SNMP協(xié)議交互2、安全基線編號：SBL-HUAWEI-04-02-023、安全基線說明：設(shè)備只與特定主機進行SNMP協(xié)議交互4、參考配置操作：使用ACL限制只與特定主機進行SNMP交互[HUAWEI]aclnumber2000[HUAWEI-acl-adv-2000]rule0permitipsource20[HUAWEI-acl-adv-2000]rule65534denyip[HUAWEI]snmp-agentcommunityreadxiangyunacl20005、安全判定條件：Snmp綁定了acl6、檢測操作：使用discur|includesnmp命令查看：[HUAWEI]discur|includesnmpsnmp-agentsnmp-agentlocal-engineid800063A280A4F25325010000000001snmp-agentcommunityreadxiangyunsnmp-agentsys-infoversion3snmp-agenttrapenablearpsnmp-agenttrapenableradiussnmp-agenttrapenablestpsnmp-agentcommunityreadxiangyunacl2000配置SNMPV2或以上版本1、安全基線名稱：配置SNMPv2或以上版本2、安全基線編號：SBL-HUAWEI-04-02-033、安全基線說明：系統(tǒng)應(yīng)配置SNMPv2或以上版本4、參考配置操作：[HUAWEI]snmp-agentsys-infoversionv35、安全判定條件：系統(tǒng)可以成功使用snmpv2或v3版本協(xié)議。6、檢測操作：使用discur|includesnmp命令查看：[HUAWEI]discur|includesnmp…..snmp-agentsys-infoversion3…..關(guān)閉未使用的SNMP協(xié)議及未使用write權(quán)限1、安全基線名稱：關(guān)閉未使用的SNMP協(xié)議及未使用write權(quán)限2、安全基線編號：SBL-HUAWEI-04-02-043、安全基線說明：系統(tǒng)應(yīng)及時關(guān)閉未使用的SNMP協(xié)議及未使用write權(quán)限4、參考配置操作：[Huawei]undosnmp-agentcommunitywritepipaxing5、安全判定條件：Snmp權(quán)限為read。6、檢測操作：使用discur|includesnmp命令查看，權(quán)限只有read：[HUAWEI]discur|includesnmp…..snmp-agentcommunityreadxiangyun…..IP協(xié)議安全要求其他安全配置關(guān)閉未使用的接口1、安全基線名稱：關(guān)閉未使用的接口2、安全基線編號：SBL-HUAWEI-05-01-013、安全基線說明：關(guān)閉未使用的接口4、參考配置操作：[HUAWEI]intg1/0/10[HUAWEI-GigabitEthernet1/0/10]shutdown5、安全判定條件：未使用接口應(yīng)該管理員down。6、檢測操作：[HUAWEI]discur….#interfaceGigabitEthernet1/0/10portlink-modebridgecomboenablefibershutdown#….修改設(shè)備缺省BANNER語1、安全基線名稱：修改設(shè)備缺省BANNER語2、安全基線編號：SBL-HUAWEI-05-01-023、安全基線說明：要修改設(shè)備缺省BANNER語，BANNER最好不要有系統(tǒng)平臺或地址等有礙安全的信息。4、參考配置操作：[Huawei]headerlogininformation{需要顯示的登錄信息}5、安全判定條件：歡迎界面、提示符等不包含敏感信息。6、檢測操作：通過遠程登錄或console口登錄查看設(shè)備提示信息。配置定時賬戶自動登出1、安全基線名稱：配置賬號定時自動退出2、安全基線編號：SBL-HUAWEI-05-01-033、安全基線說明：如Telnet、ssh、console登錄連接超時退出4、參考配置操作：配置vty登錄3分鐘無操作自動退出：[HUAWEI]user-interfacevty04[HUAWEI-line-