安氏防火墻安全配置基線

1、安氏防火墻安全配置基線中國移動通信 管理信息系統(tǒng)部2012年 04 月版本版本控制信息|更新日期更新人審批人V2.0創(chuàng)建2012年4月備注：1.若此文檔需要日后更新，請創(chuàng)建人填寫版本控制表格，否則刪除版本控制表格。目錄第1章概述11.1 目的 11.2 適用圍 11.3 適用版本 11.4 實施 11.5 例外條款 1第2章賬號管理、認證授權安全要求 22.1 賬號管理 22.1.1 用戶賬號分配* 22.1.2 刪除無關的賬號* 22.1.3 登錄超時* 32.1.4 密碼錯誤自動鎖定* 42.2 口令 42.2.1 口令復雜度要求 42.3 授權 52.3.1 遠程維護的設備使用加密協(xié)議

2、5第3章日志及配置安全要求 63.1 日志安全 63.1.1 對用戶登錄進行記錄 63.1.2 記錄與設備相關的安全事件 73.1.3 配置設備遠程日志功能 83.2 告警配置要求 93.2.1 配置對防火墻本身的攻擊或部錯誤告警 93.2.2 配置DOS DDO攻擊告警 103.2.3 配置掃描攻擊檢測告警* 113.3 安全策略配置要求 113.3.1 訪問規(guī)則列表最后一條必須是拒絕一切流量 113.3.2 配置訪問規(guī)則應盡可能縮小圍 123.3.3 VPN用戶按照訪問權限進行分組* 133.3.4 配置NAT地址轉(zhuǎn)換* 143.3.5 關閉僅開啟必要服務 143.3.6 禁止使用any

3、to anyall 允許規(guī)則 153.4 攻擊防護配置要求 163.4.1 配置應用層攻擊防護* 163.4.2 配置網(wǎng)絡掃描攻擊防護* 163.4.3 限制ping包大小* 仃3.4.4 啟用對帶選項的IP包及畸形IP包的檢測 183.4.5 防火墻各邏輯接口配置開啟防源地址欺騙功能 19第4章 IP協(xié)議安全要求 204.1 IP 協(xié)議 204.1.1 使用SNMP V或者V3以上的版本對防火墻遠程管理 20第5章其他安全要求 215.1 其他安全配置 5.1.1 配置定時賬戶自動登出第6章評審與修訂232121215.1.2 配置con sol 口密碼保護功能 第 1章 概述1.1 目的本

4、文檔規(guī)定了中國移動管理信息系統(tǒng)部所維護管理的安氏防火墻應當遵循的設備安全性設置標準，本文檔旨在指導系統(tǒng)管理人員進行安氏防火墻的安全配置。1.2 適用圍本配置標準的使用者包括：網(wǎng)絡管理員、網(wǎng)絡安全管理員、網(wǎng)絡監(jiān)控人員。本配置標準適用的圍包括：中國移動總部和各省公司信息化部門維護管理的安氏防火墻。1.3 適用版本安氏防火墻。1.4 實施本標準的解釋權和修改權屬于中國移動集團管理信息系統(tǒng)部， 在本標準的執(zhí)行過程中若 有任何疑問或建議，應及時反饋。本標準發(fā)布之日起生效。1.5 例外條款欲申請本標準的例外條款， 申請人必須準備書面申請文件， 說明業(yè)務需求和原因， 送交 中國移動通信管理信息系統(tǒng)部進行審批

5、備案。第2章賬號管理、認證授權安全要求2.1賬號管理2.1.1用戶賬號分配安全基線項 目名稱用戶賬號分配安全基線要求項安全基線編 號SBL-Li nkTrustFW-02-01-01安全基線項 說明不冋等級管理員分配不冋賬號，避免賬號混用。檢測操作步 驟1. 參考配置操作usrobj passwdp adm in NNtEDJuo3qa28usrobj passwdp guest fyRW3 nLH7ywPIusrobj addadm inp user namepasswd 2. 補充操作說明前兩個用戶為系統(tǒng)默認建立的。基線符合性 判定依據(jù)1. 判定條件用配置中沒有的用戶名去登錄，結果是不能登

6、錄。2. 檢測操作在圖形界面登陸3. 補充說明無。備注有些防火墻系統(tǒng)本身就攜帶三種不冋權限的賬號，需要手工檢查。2.1.2刪除無關的賬號安全基線項千辛的井耳左木苴牡兩步丁百目名稱無天的賬號女全基線要求項安全基線編 號SBL- Lin kTrustFW-02-01-02安全基線項 說明應刪除或鎖定與設備運行、維護等工作無關的賬號。檢測操作步 驟1. 參考配置操作usrobj del 2. 補充操作說明使用 usrobj list admin顯示信息。基線符合性 判定依據(jù)1. 判定條件配置中用戶信息被刪除。2. 檢測操作查看配置。3. 補充說明 無。備注建議手工抽查系統(tǒng)，無關賬戶更多屬于管理層面，需要人為確認。2.1.3登錄超時安全基線項 目名稱登錄超時安全基線要求項安全基線編 號SBL- Lin kTrustFW -02-01-03安全基線項 說明配置定時自動登出，空閑 5分鐘自動登出。登出