《h3c交换机设备安全基线》由会员分享，可在线阅读，更多相关《h3c交换机设备安全基线（23页珍藏版）》请在金锄头文库上搜索。
1、H3C设备安全配置基线目录第1章概述41.1目的41.2适用范围41.3适用版本4第2章帐号管理、认证授权安全要求62.1帐号管理62.1.1用户帐号分配*62.1.2删除无关的帐号*72.2口令82.2.1静态口令以密文形式存放82.2.2帐号、口令和授权92.2.3密码复杂度102.3授权112.3.1用IP协议进行远程维护的设备使用SSH等加密协议11第3章日志安全要求123.1日志安全123.1.1启用信息中心123.1.2开启NTP服务保证记录的时间的准确性133.1.3远程日志功能*14第4章IP协议安全要求154.1IP协议154.1.1VRRP认证154.1.2系统远程服务只允
2、许特定地址访问154.2功能配置164.2.1SNMP的Community默认通行字口令强度164.2.2只与特定主机进行SNMP协议交互174.2.3配置SNMPV2或以上版本184.2.4关闭未使用的SNMP协议及未使用write权限19第5章IP协议安全要求205.1其他安全配置205.1.1关闭未使用的接口205.1.2修改设备缺省BANNER语215.1.3配置定时账户自动登出215.1.4配置console口密码保护功能225.1.5端口与实际应用相符23第1章 概述1.1 目的规范配置H3C路由器、交换机设备，保证设备基本安全。1.2 适用范围本配置标准的使用者包括：网络管理员、
3、网络安全管理员、网络监控人员。1.3 适用版本comwareV7版本交换机、路由器。第2章 帐号管理、认证授权安全要求2.1 帐号管理2.1.1 用户帐号分配*1、安全基线名称：用户帐号分配安全2、安全基线编号：SBL-H3C-02-01-013、安全基线说明：应按照用户分配帐号，避免不同用户间共享帐号，避免用户帐号和设备间通信使用的帐号共享。4、参考配置操作：H3C local-user adminH3C-luser-manage-admin password hash adminmmu2H3C-luser-manage-admin authorization-attribute user-
4、role level-15H3C local-user userH3C-luser-network-user password hash usernhesaH3C-luser-network-user authorization-attribute user-role network-operator5、安全判定条件：（1）配置文件中，存在不同的账号分配（2）网络管理员确认用户与账号分配关系明确6、检测操作：使用命令dis cur命令查看：#local-user admin class managepassword hash $h$6$mmu2MlqLkGMnNyKy$9R2lM4uRDsxu
5、oWQ= service-type ssh authorization-attribute user-role level-15#local-user user class networkpassword hash $h$6$mmu2MlqLkGMnNyservice-type ssh authorization-attribute user-role network-operator#对比命令显示结果与运维人员名单，如果运维人员之间不存在共享账号，表明符合安全要求。2.1.2 删除无关的帐号*1、安全基线名称：删除无关的账号2、安全基线编号：SBL-H3C-02-01-023、安全基线说明：
6、应删除与设备运行、维护等工作无关的账号。4、参考配置操作：H3Cundo local-user user class network5、安全判定条件：（1）配置文件存在多个账号（2）网络管理员确认账号与设备运行、维护等工作无关6、检测操作：使用dis cur | include local-user命令查看：H3Cdis cur | include local-userlocal-user admin class managelocal-user user1 class manage若不存在无用账号则说明符合安全要求。2.2 口令2.2.1 静态口令以密文形式存放1、安全基线名称：静态口令以密
7、文形式存放2、安全基线编号：SBL-H3C-02-02-013、安全基线说明：配置本地用户和super口令使用密文密码。4、参考配置操作：H3Clocal-user admin H3C-luser-manage-adminpassword hash /配置本地用户密文密码H3Csuper password hash /配置super密码使用密文加密5、安全判定条件：配置文件中没有明文密码字段。6、检测操作：使用dis cur显示本地用户账号和super密码为密文密码#local-user admin class manage password hash $h$6$mmu2MlqLkGMnNyK
8、y$9R2lM4uRDoZlLwO/4Jn/G1OXExEKsv+c2lNRICxCEUU13fGSGCqkVojcHvn8a6u8gcHLXVWaCgq4/VI0sxuoWQ= service-type ssh telnet authorization-attribute user-role level-15#local-user user1 class manage password hash $h$6$Vq2YRqXUGH5+Rb7H$gXyN9RI9CPidNbbabnP8Ul6RvR9p8+AchsO5MmNV+ePgOJ6z8/mZTL1hlnQV14oDAbvP5uHhG7gP1
9、/U0pwHGFQ= authorization-attribute user-role network-operator# super password role network-admin hash $h$6$5hCfLSGRV20XIu31$CMRoTM2axjYWGsOuwnhH7jdyczUUTGupjH0RinySGYft6k9RDySQS29QyciznpJoVS/thfJHRWEmiPQG7c13WQ=#2.2.2 帐号、口令和授权1、安全基线名称：账号、口令和授权安全基线2、安全基线编号：SBL-H3C-02-02-023、安全基线说明：通过认证系统，确认远程用户身份，判断是
10、否为合法的网络用户。4、参考配置操作：H3Clocal-user adminH3C-luser-manage-adminpassword hash pipaxingxiangyunH3C-luser-manage-admin authorization-attribute user-role level-15H3Cdomain adminH3C-isp-adminauthentication default local5、安全判定条件：账号和口令的配置，指定了认证的系统。6、检测操作：H3Cdis cur#domain admin#domain system# domain default e
11、nable system#2.2.3 密码复杂度1、安全基线名称：密码复杂度2、安全基线编号：SBL-H3C-02-02-033、安全基线说明：对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。4、参考配置操作：H3Clocal-user adminH3C-luser-manage-adminpassword pipaxingxiangyun5、安全判定条件：密码强度符合要求，密码至少90天进行更换。2.3 授权2.3.1 用IP协议进行远程维护的设备使用SSH等加密协议1、安全基
12、线名称：用IP协议进行远程维护设备2、安全基线编号：SBL-H3C-02-03-013、安全基线说明：使用IP协议进行远程维护设备，应配置使用SSH等加密协议连接。4、参考配置操作：H3Cssh server enableH3Clocal-user adminH3C-luser-manage-admin service-type ssh5、安全判定条件：配置文件中只允许SSH等加密协议连接。6、检测操作：使用dis cur | include ssh命令：H3Cdis cur | include ssh ssh server enable service-type ssh ssh 服务为ena
13、ble状态表明符合安全要求。第3章 日志安全要求3.1 日志安全3.1.1 启用信息中心1、安全基线名称：启用信息中心2、安全基线编号：SBL-H3C-03-01-013、安全基线说明：启用信息中心，记录与设备相关的事件。4、参考配置操作：H3Cinfo-center enable5、安全判定条件：（1）设备应配置日志功能，能对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录使用的IP地址。（2）记录用户登录设备后所进行的所有操作。6、检测操作：使用dis info-center有显示Information Center: Enabled类似信息，如：H3
14、Cdis info-center Information Center: EnabledConsole: EnabledMonitor: EnabledLog host: Enabled 10.1.0.20, port number: 514, host facility: local7 10.1.0.95, port number: 514, host facility: local7 10.1.0.99, port number: 514, host facility: local7Log buffer: Enabled Max buffer size 1024, current buffer size 512 Current messages 512, dropped messages 0, overwritten messages 3736Log file: EnabledSecurity log file: DisabledInformation timestamp format: Log host: D
