網(wǎng)絡(luò)安全通用網(wǎng)絡(luò)設(shè)備測(cè)評(píng)指導(dǎo)書三年級(jí)版

編：測(cè)評(píng)指導(dǎo)書《信息系安全等級(jí)?；疽蟆坊W(wǎng)安全用絡(luò)備-第級(jí)V1.0天融信信安全等保中1測(cè)對(duì)對(duì)象名稱及P址2入確

備注（測(cè)評(píng)地點(diǎn)及環(huán)境等）序號(hào)開始時(shí)間

確認(rèn)內(nèi)容測(cè)評(píng)對(duì)象中的關(guān)鍵數(shù)據(jù)已備份。如果沒(méi)有備份則不進(jìn)行測(cè)評(píng)測(cè)評(píng)對(duì)象工作正常。如工作異常則不進(jìn)行測(cè)評(píng)。確認(rèn)簽字3離確序號(hào)

確認(rèn)內(nèi)容結(jié)束時(shí)間

測(cè)評(píng)工作未對(duì)測(cè)評(píng)對(duì)象造成不良影響，測(cè)評(píng)對(duì)象工作正常。確認(rèn)簽字

序號(hào)

類別

測(cè)評(píng)項(xiàng)

測(cè)評(píng)實(shí)施檢：a)應(yīng)在網(wǎng)絡(luò)邊部署訪問(wèn)制設(shè)備，用訪

檢查網(wǎng)絡(luò)拓結(jié)構(gòu)和相交換機(jī)配看

交換機(jī)啟問(wèn)控制功能

是否在交換上啟用了問(wèn)控制功。

要配置了輸入命令showaccess-listsb)問(wèn)控制設(shè)應(yīng)能根據(jù)話狀態(tài)信為數(shù)據(jù)流提供明的允許/拒絕訪的能力粒度為端口；

檢：輸入命令shourunning，

根據(jù)會(huì)話明確的訪口級(jí)。c)應(yīng)對(duì)進(jìn)出網(wǎng)的信息內(nèi)進(jìn)行過(guò)濾實(shí)現(xiàn)對(duì)應(yīng)用層HTTP、TELNET、SMTP、POP3等協(xié)議命令的控制；

檢：檢查防火墻IPS安全策略是否對(duì)重要數(shù)據(jù)流啟用應(yīng)層協(xié)議檢、過(guò)濾功。

防火墻或用層協(xié)議用層HTT等協(xié)議進(jìn)訪：訪談系統(tǒng)管員否在會(huì)處于非活一1

訪控

定時(shí)間或會(huì)結(jié)束后終網(wǎng)絡(luò)連接

1）會(huì)話處d)應(yīng)在話處于非躍一定時(shí)或會(huì)話結(jié)檢：

結(jié)束后，束后終止網(wǎng)連接；

輸入命令showrunning，查看置中是否存在命令設(shè)管理會(huì)話超時(shí)時(shí)間

2）交換機(jī)配置。linevty04exec-timeoutxx檢：

1）網(wǎng)絡(luò)出1）網(wǎng)絡(luò)出口和核心網(wǎng)絡(luò)處的交換機(jī)是

配置了合e)應(yīng)限制絡(luò)最大流數(shù)及網(wǎng)絡(luò)接數(shù)；

配置了網(wǎng)絡(luò)大流量數(shù)網(wǎng)絡(luò)連接；

大流量數(shù)2）否有專用的流量控制設(shè)備限制網(wǎng)絡(luò)

2）通過(guò)專大流量數(shù)及絡(luò)連接數(shù)

絡(luò)最大流檢：

1過(guò)配f)重要網(wǎng)應(yīng)采取技手段防止址欺騙；

是否通過(guò)IP/MAC綁定手段防止地址欺騙，輸入命令showrunning，

定防止地2）通專檢查配置文中是否存arp綁定配置：

地址綁定

序號(hào)

類別

測(cè)評(píng)項(xiàng)

測(cè)評(píng)實(shí)施檢：

1）對(duì)個(gè)g)應(yīng)按用戶和統(tǒng)之間的許訪問(wèn)規(guī)，決

1）是否針對(duì)單遠(yuǎn)程撥號(hào)戶或VPN用戶

訪問(wèn)受控定允許或拒用戶對(duì)受系統(tǒng)進(jìn)行源訪

訪問(wèn)受控資進(jìn)行了有控制；

2）通撥問(wèn)，控制粒為單個(gè)用；

2）以撥號(hào)或等方式接入絡(luò)的，是否

時(shí)，采用采用強(qiáng)認(rèn)證式。

等h)應(yīng)限制有撥號(hào)訪權(quán)限的用數(shù)量。

檢：是否限制具遠(yuǎn)程訪問(wèn)限的用戶量。

限制了具量。a)應(yīng)對(duì)網(wǎng)絡(luò)系中的網(wǎng)絡(luò)備運(yùn)行狀、網(wǎng)絡(luò)流量、用行為等進(jìn)日志記錄

檢：1）絡(luò)系統(tǒng)中的交換機(jī)是否開啟日志記功能；輸入showlogging命令，檢查Sysloglogging進(jìn)程是為enable狀態(tài)；2）否對(duì)交換機(jī)的運(yùn)行狀況、網(wǎng)絡(luò)流量行監(jiān)控和記。

1）交換機(jī)令showSyslogl2）對(duì)交換進(jìn)行監(jiān)控監(jiān)控軟件b)審計(jì)記錄應(yīng)括：事件日期和時(shí)、用

檢：

日志內(nèi)容戶、事件類、事件是成功及其與審計(jì)

查看日志內(nèi)，是否包事件的日和時(shí)備管理員2

安審

相關(guān)的信息

間管理員操行為件類等信息。息。c)應(yīng)能夠根據(jù)錄數(shù)據(jù)進(jìn)分析，并成審計(jì)報(bào)表；

檢：查看如何實(shí)審計(jì)記錄據(jù)的分析報(bào)表生成。

定期對(duì)審成紙質(zhì)或檢：

1）設(shè)置了1）查對(duì)審計(jì)記錄監(jiān)控和保護(hù)的措施。

交換機(jī)日d)應(yīng)對(duì)審計(jì)記進(jìn)行保護(hù)避免受到預(yù)期

如過(guò)專用日志務(wù)器或存設(shè)備對(duì)審計(jì)

器或第三的刪除、修或覆蓋等

記錄進(jìn)行備避對(duì)審計(jì)記未預(yù)期的

2、由專人修改、刪除覆蓋；

免審計(jì)記2）輸入命令showrunning

或覆蓋。3

網(wǎng)設(shè)防

a)應(yīng)對(duì)登網(wǎng)絡(luò)設(shè)備用戶進(jìn)行份鑒別；

訪、查1）談設(shè)備管理員，詢問(wèn)登錄設(shè)備的身

1）交換機(jī)用戶進(jìn)行

并在并在網(wǎng)絡(luò)管員的配合驗(yàn)證雙因鑒序號(hào)

類別

測(cè)評(píng)項(xiàng)

測(cè)評(píng)實(shí)施標(biāo)識(shí)和鑒別制采用何措施實(shí)現(xiàn)2）錄交換機(jī)，查看是否提示輸入用戶令然后以正口令登錄統(tǒng)再以錯(cuò)口令或空口令新登錄，察是否成。

2）登錄時(shí)以錯(cuò)誤口錄失敗，性；3換機(jī)檢：輸入命令showrunning，b)應(yīng)對(duì)絡(luò)設(shè)備的理員登錄址進(jìn)行限查看配置文里是否存在似如下配項(xiàng)

配置了合制；

限制管理員錄地址：linevty04

交換機(jī)進(jìn)access-class1inc)網(wǎng)絡(luò)設(shè)用戶的標(biāo)應(yīng)唯一；

檢：1）檢查交換機(jī)識(shí)是否唯；2）檢查同一交機(jī)的用戶識(shí)是否唯；3）查是否不存在多個(gè)人員共用一個(gè)賬的現(xiàn)象。

1）交機(jī)2）同交3）不存在現(xiàn)象。訪：d)主要絡(luò)設(shè)備應(yīng)同一用戶擇兩種或訪談采用了種鑒別技術(shù)現(xiàn)雙因子別，兩種以上組的鑒別技來(lái)進(jìn)行身鑒別；的有效性。

用戶的認(rèn)上組合的法認(rèn)證成訪、查

1換機(jī)e)身份鑒信息應(yīng)具不易被冒的特點(diǎn)，1談交機(jī)管理員,詢問(wèn)用口令是否

由字母、口令應(yīng)有復(fù)度要求并期更換；

足復(fù)雜性要；2）檢查配置文中口令是加密存儲(chǔ)

期更換；2在置訪：

1）以錯(cuò)誤f)應(yīng)具有登錄敗處理功，可采取束會(huì)話、限制非登錄次數(shù)當(dāng)網(wǎng)絡(luò)登連接超

訪談設(shè)備管員換機(jī)是設(shè)置了登失敗處理功能檢：

次數(shù)超過(guò)或鎖定一2常登時(shí)自動(dòng)退出措施；

在允許的情下?lián)褂玫卿浭±?/p>

超過(guò)設(shè)定方式，采用下測(cè)試方進(jìn)行測(cè)試

動(dòng)退出。

序號(hào)

類別

測(cè)評(píng)項(xiàng)

測(cè)評(píng)實(shí)施a)以錯(cuò)的口令登交換機(jī)，察反應(yīng)；b)當(dāng)網(wǎng)登錄連接時(shí)時(shí)察連接終反應(yīng)。訪：詢問(wèn)設(shè)備管員否采用安全的遠(yuǎn)管

1）使g)當(dāng)對(duì)網(wǎng)絡(luò)設(shè)進(jìn)行遠(yuǎn)程理時(shí)，應(yīng)取必要措施防止別信息在絡(luò)傳輸過(guò)中被竊

理方法。檢：輸入命令showrunning

管理；2）沒(méi)有采機(jī)進(jìn)行遠(yuǎn)聽；

查看配置文中是否存類似如下置項(xiàng):

3）采用第linevty04

理的鑒別transportinputssh訪、查1）談設(shè)備管理員，是否實(shí)現(xiàn)了特權(quán)用的權(quán)限分離h)應(yīng)實(shí)現(xiàn)備特權(quán)用的權(quán)限分。

2）輸入命令showrunning檢查配置文中是否存類似如下置項(xiàng)：usernamecisco1privilege0passwordciscous