网络设备安全基线技术规范.docx
- 文档编号:10562147
- 上传时间:2023-02-21
- 格式:DOCX
- 页数:162
- 大小:725.68KB
网络设备安全基线技术规范.docx
《网络设备安全基线技术规范.docx》由会员分享,可在线阅读,更多相关《网络设备安全基线技术规范.docx(162页珍藏版)》请在冰豆网上搜索。
网络设备安全基线技术规范
安全基线技术要求
1.1网络设备
1.1.1网络通用安全基线技术要求
1.1.1.1网络设备防护
基线名称
安全设备的用户进行身份鉴别。
基线编号
IB-WLSB-01-01
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
设备通过相关参数配置,通过与认证服务器(RADIUS或TACACS服务器)联动的方式实现对用户的认证,满足账号、口令和授权的要求,对登录设备的用户进行身份鉴别。
备注
基线名称
网络设备用户的标识唯一。
基线编号
IB-WLSB-01-02
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
网络设备用户的标识应唯一;禁止多个人员共用一个账号。
备注
基线名称
身份鉴别信息应具有复杂度要求并定期更换。
基线编号
IB-WLSB-01-03
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应修改控制中心登录的默认账户和密码,密码长度应不小于8,密码应由字母、数字、特殊符号中的至少2种组成。
备注
基线名称
登录失败处理。
基线编号
IB-WLSB-01-04
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应为设备配置用户连续认证失败次数上限,当用户连续认证失败次数超过上限时,设备自动断开该用户账号的连接,并在一定时间内禁止该用户账号重新认证。
备注
基线名称
清除无关的账号。
基线编号
IB-WLSB-01-05
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应删除与设备运行、维护等工作无关的账号。
备注
基线名称
配置console口密码保护
基线编号
IB-WLSB-01-06
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
对于具备console口的设备,应配置console口密码保护功能。
备注
基线名称
按照用户分配账号
基线编号
IB-WLSB-01-07
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应按照用户分配账号。
避免不同用户间共享账号。
避免用户账号和设备间通信使用的账号共享。
备注
基线名称
配置使用SSH
基线编号
IB-WLSB-01-08
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
对于使用IP协议进行远程维护的设备,设备应配置使用SSH等加密协议。
备注
基线名称
对用户进行分级权限控制
基线编号
IB-WLSB-01-09
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
原则上应采用预定义级别的授权方法,实现对不同用户权限的控制。
备注
基线名称
配置访问IP地址限制
基线编号
IB-WLSB-01-10
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应对发起SNMP访问的源IP地址进行限制,并对设备接收端口进行限制。
备注
基线名称
授权粒度控制
基线编号
IB-WLSB-01-11
基线类型
强制要求
适用范围
□等保一、二级□等保三级☑涉普通商秘(工作秘密)□涉核心商秘
基线要求
原则上应采用对命令组或命令进行授权的方法,实现对用户权限细粒度的控制的能力。
备注
基线名称
按最小权限方法分配帐号权限
基线编号
IB-WLSB-01-12
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
在设备权限配置能力内,根据用户的业务需要,配置其所需的最小权限。
备注
基线名称
配置定时账户自动登出
基线编号
IB-WLSB-01-13
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
对于具备字符交互界面的设备,应配置定时账户自动登出。
备注
基线名称
限制NTP通信地址范围
基线编号
IB-WLSB-01-14
基线类型
可选要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
通过ACL对NTP服务器与设备间的通信进行控制。
备注
基线名称
启用NTP服务
基线编号
IB-WLSB-01-15
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应开启NTP,保证设备日志记录时间的准确性。
备注
基线名称
配置会话超时
基线编号
IB-WLSB-01-16
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
对于具备字符交互界面的设备,应配置定时账户自动登出。
备注
基线名称
配置屏幕自动锁定
基线编号
IB-WLSB-01-17
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
对于具备图形界面(含WEB界面)的设备,应配置定时自动屏幕锁定。
备注
基线名称
修改缺省BANNER
基线编号
IB-WLSB-01-18
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
隐藏设备字符管理界面的bannner信息。
备注
基线名称
Community字符串加密存放
基线编号
IB-WLSB-01-19
基线类型
可选要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
支持对SNMP协议RO、RW的Community字符串的加密存放。
备注
基线名称
配置路由信息发布和接受策略
基线编号
IB-WLSB-01-20
基线类型
可选要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
采用动态路由协议时,使用ipprefix-list过滤缺省和私有路由、设置最大路由条目限制、严格限制BGPPEER的源地址等方法避免设备发布或接收不安全的路由信息。
备注
基线名称
配置路由协议的认证和口令加密
基线编号
IB-WLSB-01-21
基线类型
可选要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
启用动态IGP(RIPV2、OSPF、ISIS等)或EGP(BGP)协议时,启用路由协议认证功能,如MD5加密,确保与可信方进行路由协议交互。
备注
基线名称
SNMP配置-修改SNMP的默认Community
基线编号
IB-WLSB-01-22
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应修改SNMP协议RO和RW的默认Community字符串,并设置复杂的字符串作为SNMP的Community。
备注
基线名称
SNMP配置-禁用有写权限的SNMPCommunity
基线编号
IB-WLSB-01-23
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应关闭未使用的SNMP协议,尽量不开启SNMP的RW权限。
备注
基线名称
SNMP配置-配置选用较高SNMP版本
基线编号
IB-WLSB-01-24
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
使用SNMPV3以上的版本对设备做远程管理。
备注
1.1.1.2访问控制
基线名称
避免从内网主机直接访问外网
基线编号
IB-WLSB-02-01
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应用代理服务器,将从内网到外网的访问流量通过代理服务器。
设备只开启代理服务器到外部网络的访问规则,避免在设备上配置从内网的主机直接到外网的访问规则。
备注
基线名称
配置流量控制
基线编号
IB-WLSB-02-02
基线类型
可选要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
使用合理的ACL或其它分组过滤技术,对设备控制流量、管理流量及其它由路由器引擎直接处理的流量(如traceroute、ICMP流量)进行控制,实现对路由器引擎的保护。
备注
基线名称
配置安全域的访问控制规则
基线编号
IB-WLSB-02-03
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
所有的安全域都具有相应的规则进行防护,对进出流量进行控制。
备注
基线名称
VPN用户按照访问权限进行分组
基线编号
IB-WLSB-02-04
基线类型
可选要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
对于VPN用户,必须按照其访问权限不同而进行分组,并在访问控制规则中对该组的访问权限进行严格限制。
备注
基线名称
过滤不相关流量-ACL
基线编号
IB-WLSB-02-05
基线类型
可选要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
对于具备TCP/UDP协议功能的设备,设备应根据业务需要,
配置基于源IP地址、通信协议TCP或UDP、目的IP地址、源端口、目的端口的流量过滤,过滤所有和业务不相关的流量。
备注
基线名称
最小化服务
基线编号
IB-WLSB-02-06
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
禁用非必要的服务。
备注
1.1.1.3安全审计
基线名称
开启日志功能
基线编号
IB-WLSB-03-01
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
开启记录日志,记录访问登录、退出等信息。
备注
基线名称
配置日志存储位置
基线编号
IB-WLSB-03-02
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
将重要或指定级别的日志发送到日志服务器或其它位置,进行安全存放,要求能追溯至少60天内的日志记录。
备注
基线名称
配置安全事件日志记录
基线编号
IB-WLSB-03-03
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
设备应配置日志功能,记录对与设备自身相关的安全事件。
备注
基线名称
配置操作日志
基线编号
IB-WLSB-03-04
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
设备应配置日志功能,记录用户对设备的操作,
包括但不限于以下内容:
账号创建、删除和权限修改,口令修改,
读取和修改设备配置,读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。
记录需要包含用户账号,操作时间,操作内容以及操作结果。
备注
1.1.1.4入侵防范
基线名称
开启告警功能
基线编号
IB-WLSB-04-01
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
设备应具备向管理员告警的功能,配置告警功能,报告对设备本身的攻击或者设备的系统严重错误。
备注
基线名称
配置拒绝常见漏洞所对应端口或者服务的访问
基线编号
IB-WLSB-04-02
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
配置访问控制规则,拒绝对常见漏洞所对应端口或者服务的访问。
备注
基线名称
防止仿冒ARP网关攻击
基线编号
IB-WLSB-04-03
基线类型
可选要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应对仿冒ARP网关攻击进行防护。
备注
基线名称
配置网络层异常报文攻击告警
基线编号
IB-WLSB-04-04
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
配置告警功能,报告网络流量中对TCP/IP协议网络层异常报文攻击的相关告警。
备注
基线名称
关闭不必要的服务
基线编号
IB-WLSB-04-05
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应关闭设备上不必要的服务(如CDP、DNSlookup、DHCP、finger、udp-small-server、tcp-small-server、http、bootp、IP源路由、PAD等)。
备注
基线名称
关闭不必要的服务-禁用FTP服务
基线编号
IB-WLSB-04-06
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
设备设备必须关闭非必要服务。
禁用FTP服务。
备注
1.1.2Cisco路由器/交换机安全基线技术要求
1.1.2.1网络设备防护
基线名称
使用认证服务器认证
基线编号
IB-CISCO(SW)-01-01
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
设备通过相关参数配置,通过与认证服务器(RADIUS或TACACS服务器)联动的方式实现对用户的认证,满足账号、口令和授权的要求。
配置方法
参考配置操作
1、Cisco(config)#aaanew-model
2、Cisco(config)#aaaauthenticationlogindefaultgroup
)
3、Cisco(config)#aaaauthenticationenabledefaultgroup
4、Cisco(config)#end
5、Cisco#write
基线名称
禁止无关账号
基线编号
IB-CISCO(SW)-01-02
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应删除与设备运行、维护等工作无关的账号。
配置方法
参考配置操作
1、Cisco(config)#nousername
基线名称
口令加密
基线编号
IB-CISCO(SW)-01-03
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
静态口令应采用安全可靠的单向散列加密算法(如md5、sha1等)进行加密,并以密文形式存放。
如使用enablesecret配置Enable密码,不使用enablepassword配置Enable密码。
配置方法
参考配置操作
1、Cisco(config)#noenablepassword#配置enable密码
2、Cisco(config)#enablesecret
3、Cisco(config)#username
若已用password设置用户密码,则需要先删除用户(nousername
4、Cisco(config)#servicepassword-encryption#启用密码加密服务
5、Cisco(config)#end
6、Cisco#write
基线名称
对用户设置授权等级
基线编号
IB-CISCO(SW)-01-04
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
原则上应采用预定义级别的授权方法,实现对不同用户权限的控制。
配置方法
参考配置操作
1、Switch(config)#username
2、Switch(config)#end
3、Switch#write
基线名称
避免共享账号
基线编号
IB-CISCO(SW)-01-05
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应按照用户分配账号。
避免不同用户间共享账号。
避免用户账号和设备间通信使用的账号共享。
配置方法
参考配置操作
1、Cisco(config)#username
2、Cisco(config)#end
3、Cisco#write
基线名称
配置console口密码保护
基线编号
IB-CISCO(SW)-01-06
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
配置console口密码保护功能。
配置方法
参考配置操作
1、Cisco(config)#lineconsole0
2、Cisco(config-line)#loginlocal
3、Cisco(config-line)#password
4、Cisco(config-line)#end
5、Cisco#write
基线名称
管理默认账号与口令
基线编号
IB-CISCO(SW)-01-07
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
应删除或锁定默认或缺省账号与口令。
配置方法
参考配置操作
1、Cisco(config)#nousernamecisco#删除cisco账号
2、Cisco(config)#end
3、Cisco#write
基线名称
关闭未使用的管理口
基线编号
IB-CISCO(SW)-01-08
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
设备应关闭未使用的管理口(AUX、或者没开启业务的端口)
配置方法
参考配置操作
1、Cisco(config)#interface<接口>
2、Cisco(config-if)#shutdown#关闭未使用的接口。
3、Cisco(config-if)#end
4、Cisco#write
基线名称
远程管理通信安全-SSH
基线编号
IB-CISCO(SW)-01-09
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
对于使用IP协议进行远程维护的设备,设备应配置使用SSH等加密协议。
配置方法
参考配置操作
1、Cisco(config)#ipdomain-name
2、Cisco(config)#aaanew-model
3、Cisco(config)#cryptokeygeneratersa
4、Cisco(config)#linevty04
5、Cisco(config-line)#transportinputssh#配置仅允许ssh远程登录
6、Cisco(config-line)#end
7、Cisco#write
基线名称
使用SNMPV3版本
基线编号
IB-CISCO(SW)-01-10
基线类型
强制要求
适用范围
☑等保一、二级□等保三级□涉普通商秘(工作秘密)□涉核心商秘
基线要求
对于支持SNMPV3版本的设备,必须使用V3版本SNMP协议。
配置方法
参考配置操作
1、Cisco(config)#snmp-serverhost
2、Cisco(config-line)#end
3、Cisco#write
基线名称
SNMP配置-修改SNMP的默认Community
基线编号
IB-CISCO(SW)-01-11
基
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络设备 安全 基线 技术规范