華為交換機安全基線

華為設備安全配置基線

目錄帳號管理、認證授權安全要求帳號管理用戶帳號分配*1、安全基線名稱：用戶帳號分配安全2、安全基線編號：SBL-HUAWEI-02-01-013、安全基線說明：應按照用戶分配帳號，避免不同用戶間共享帳號，避免用戶帳號和設備間通信使用的帳號共享。4、參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin123[Huawei-aaa]local-useradminprivilegelevel15[Huawei-aaa]local-useradminservice-typessh[Huawei-aaa]local-useruserpasswordcipheruser123[Huawei-aaa]local-useruserprivilegelevel4[Huawei-aaa]local-useruserservice-typessh5、安全判定條件：（1）配置文件中，存在不同的賬號分配（2）網(wǎng)絡管理員確認用戶與賬號分配關系明確6、檢測操作：使用命令discur命令查看：…#aaaauthentication-schemedefaultauthorization-schemedefaultaccounting-schemedefaultdomaindefaultdomaindefault_adminlocal-useradminpasswordcipher"=LP!6$^-IYNZPO3JBXBHA!!local-useradminprivilegelevel15local-useradminservice-typesshlocal-useruserpasswordcipher"=LP!6$^-IYNZPlocal-useruserprivilegelevel4local-useruserservice-typessh#對比命令顯示結果與運維人員名單，如果運維人員之間不存在共享賬號，表明符合安全要求。刪除無關的帳號*1、安全基線名稱：刪除無關的賬號2、安全基線編號：SBL-HUAWEI-02-01-023、安全基線說明：應刪除與設備運行、維護等工作無關的賬號。4、參考配置操作：[Huawei]aaa[Huawei-aaa]undolocal-useruser5、安全判定條件：（1）配置文件存在多個賬號（2）網(wǎng)絡管理員確認賬號與設備運行、維護等工作無關6、檢測操作：使用discur|includelocal-user命令查看：[Huawei]discur|includelocal-userlocal-useradminpasswordcipher"=LP!6$^-IYNZPO3JBXBHA!!local-useradminprivilegelevel15local-useradminservice-typessh若不存在無用賬號則說明符合安全要求。口令靜態(tài)口令以密文形式存放1、安全基線名稱：靜態(tài)口令以密文形式存放2、安全基線編號：SBL-HUAWEI-02-02-013、安全基線說明：配置本地用戶和super口令使用密文密碼。4、參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin123[Huawei]superpasswordcipheradmin1235、安全判定條件：配置文件中沒有明文密碼字段。6、檢測操作：查看本地用戶密碼：[Huawei]discur|includelocal-userlocal-useradminpasswordcipher"=LP!6$^-IYNZPO3JBXBHA!!local-useradminprivilegelevel15local-useradminservice-typessh查看super密碼：[Huawei]discur|includesupersuperpasswordlevel3ciphermPZr=2!Z<@u:|l#3M^#3Icf##密碼復雜度1、安全基線名稱：密碼復雜度2、安全基線編號：SBL-HUAWEI-02-02-023、安全基線說明：對于采用靜態(tài)口令認證技術的設備，口令長度至少8位，并包括數(shù)字、小寫字母、大寫字母和特殊符號四類中至少兩類。且5次以內(nèi)不得設置相同的口令。密碼應至少每90天進行更換。4、參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin@xiangyun5、安全判定條件：密碼強度符合要求，密碼至少90天進行更換。授權用IP協(xié)議進行遠程維護的設備使用SSH等加密協(xié)議1、安全基線名稱：用IP協(xié)議進行遠程維護設備2、安全基線編號：SBL-HUAWEI-02-03-013、安全基線說明：使用IP協(xié)議進行遠程維護設備，應配置使用SSH等加密協(xié)議連接。4、參考配置操作：[Huawei]aaa[Huawei-aaa]local-useradminpasswordcipheradmin123[Huawei-aaa]local-useradminprivilegelevel15[Huawei-aaa]local-useradminservice-typessh[Huawei]rsalocal-key-paircreate[Huawei]stelnetserverenable[Huawei]sshuseradminservice-typestelnet[Huawei]sshuseradminauthentication-typepassword[Huawei]user-interfacevty04[Huawei-ui-vty0-4]protocolinboundssh5、安全判定條件：配置文件中只允許SSH等加密協(xié)議連接。6、檢測操作：使用discur|includessh命令：[Huawei]discur|includesshlocal-useradminservice-typesshsshuseradminsshuseradminauthentication-typepasswordsshuseradminservice-typestelnet日志安全要求日志安全啟用信息中心1、安全基線名稱：啟用信息中心2、安全基線編號：SBL-HUAWEI-03-01-013、安全基線說明：啟用信息中心，記錄與設備相關的事件。4、參考配置操作：[HUAWEI]info-centerenable5、安全判定條件：（1）設備應配置日志功能，能對用戶登錄進行記錄，記錄內(nèi)容包括用戶登錄使用的賬號，登錄是否成功，登錄時間，以及遠程登錄使用的IP地址。（2）記錄用戶登錄設備后所進行的所有操作。6、檢測操作：使用disinfo-center有顯示InformationCenter:Enabled類似信息，如：[Huawei]disinfo-centerInformationCenter:enabledLoghost:Console:channelnumber:0,channelname:consoleMonitor:channelnumber:1,channelname:monitorSNMPAgent:channelnumber:5,channelname:snmpagentLogbuffer:enabled,maxbuffersize1024,currentbuffersize512,currentmessages56,channelnumber:4,channelname:logbufferdroppedmessages0,overwrittenmessages0Trapbuffer:enabled,maxbuffersize1024,currentbuffersize256,currentmessages4,channelnumber:3,channelname:trapbufferdroppedmessages0,overwrittenmessages0Informationtimestampsetting:log-date,trap-date,debug-datemillisecondSentmessages=1227,Receivedmessages=1226IORegmessages=0IOSentmessages=0開啟NTP服務保證記錄的時間的準確性1、安全基線名稱：日志記錄時間準確性2、安全基線編號：SBL-HUAWEI-03-01-023、安全基線說明：開啟NTP服務，保證日志功能記錄的時間的準確性。4、參考配置操作：配置ntp客戶端，服務器地址為：[Huawei]ntp-serviceauthenticationenable[Huawei]ntp-serviceunicast-server5、安全判定條件：日志記錄時間準確。6、檢測操作：[Huawei]discur|includentpntp-serviceauthenticationenablentp-serviceunicast-server遠程日志功能*1、安全基線名稱：遠程日志功能2、安全基線編號：SBL-HUAWEI-03-01-033、安全基線說明：配置遠程日志功能，使設備能通過遠程日志功能傳輸?shù)饺罩痉掌鳌?、參考配置操作：[HUAWEI]info-centerloghost*.*.*.*//配置接收日志的服務器地址[Huawei]info-centersourcedefaultchannelloghostloglevelemergencies//配置發(fā)送的日志級別5、安全判定條件：日志服務器能夠正確接收網(wǎng)絡設備發(fā)送的日志。6、檢測操作：使用命令discur|includeinfo-center查看：[Huawei]discur|includeinfo-centerinfo-centersourcedefaultchannel2loglevelemergenciesIP協(xié)議安全要求IP協(xié)議VRRP認證1、安全基線名稱：VRRP認證2、安全基線編號：SBL-HUAWEI-04-01-013、安全基線說明：VRRP啟用認證，防止非法設備加入到VRRP組中。4、安全判定條件：查看VRRP組，只存在正確的設備。5、檢測操作：使用命令disvrrp系統(tǒng)遠程服務只允許特定地址訪問1、安全基線名稱：系統(tǒng)遠程服務只允許特定地址訪問2、安全基線編號：SBL-HUAWEI-04-01-023、安全基線說明：設備以UDP/TCP協(xié)議對外提供服務，供外部主機進行訪問，如作為NTP服務器、TELNET服務器、TFTP服務器、FTP服務器、SSH服務器等，應配置設備，只允許特定主機訪問。4、參考配置操作：通過配置訪問控制列表ACL，只允許特定的地址訪問設備的服務，如：[HUAWEI]aclnumber3000[HUAWEI-acl-adv-3000]rule0permittcpsource20destination00destination-porteq443[HUAWEI-acl-adv-3000]rule65534denyip[Huawei]trafficbehavior1[Huawei-behavior-1]permit[Huawei]trafficpolicy1[Huawei-classifier-1]if-matchacl3000[Huawei]trafficpolicy1[Huawei-trafficpolicy-1]classifier1behavior1[Huawei]vlan20[Huawei-vlan20]traffic-policy1inbound5、安全判定條件：在相關端口上綁定相應的ACL。6、檢測操作：使用discur命令查看：…#aclnumber3000rule5permittcpsource0#trafficclassifier1operatorandif-matchacl3000#trafficbehavior1permit#trafficpolicy1classifier1behavior1#drop-profiledefault#vlan20traffic-policy1inbound#功能配置SNMP的Community默認通行字口令強度1、安全基線名稱：SNMP協(xié)議的community團體字2、安全基線編號：SBL-HUAWEI-04-02-013、安全基線說明：修改SNMP的community默認團體字，字符串應符合口令強度要求。4、參考配置操作：[HUAWEI]snmp-agentcommunityread<community團體字>[HUAWEI]snmp-agentcommunitywrite<community團體字>5、安全判定條件：Community非默認，口令長度至少8位，并包括數(shù)字、小寫字母、大寫字母和特殊符號4類中至少2類。6、檢測操作：使用命令discur|includesnmp查看：[HUAWEI]discur|includesnmpsnmp-agentsnmp-agentlocal-engineid800063A280A4F25325010000000001snmp-agentcommunityreadxiangyun_readsnmp-agentcommunitywritexiangyun_writesnmp-agentsys-infoversionv3snmp-agenttrapenablearpsnmp-agenttrapenableradiussnmp-agenttrapenablestp7、補充：若設備不需要使用SNMP協(xié)議應關閉SNMP功能，若需要用到應使用V2版本以上的SNMP協(xié)議。只與特定主機進行SNMP協(xié)議交互1、安全基線名稱：只與特定主機進行SNMP協(xié)議交互2、安全基線編號：SBL-HUAWEI-04-02-023、安全基線說明：設備只與特定主機進行SNMP協(xié)議交互4、參考配置操作：使用ACL限制只與特定主機進行SNMP交互[HUAWEI]aclnumber2000[HUAWEI-acl-adv-2000]rule0permitipsource20[HUAWEI-acl-adv-2000]rule65534denyip[HUAWEI]snmp-agentcommunityreadxiangyunacl20005、安全判定條件：Snmp綁定了acl6、檢測操作：使用discur|includesnmp命令查看：[HUAWEI]discur|includesnmpsnmp-agentsnmp-agentlocal-engineid800063A280A4F25325010000000001snmp-agentcommunityreadxiangyunsnmp-agentsys-infoversion3snmp-agenttrapenablearpsnmp-agenttrapenableradiussnmp-agenttrapenablestpsnmp-agentcommunityreadxiangyunacl2000配置SNMPV2或以上版本1、安全基線名稱：配置SNMPv2或以上版本2、安全基線編號：SBL-HUAWEI-04-02-033、安全基線說明：系統(tǒng)應配置SNMPv2或以上版本4、參考配置操作：[HUAWEI]snmp-agentsys-infoversionv35、安全判定條件：系統(tǒng)可以成功使用snmpv2或v3版本協(xié)議。6、檢測操作：使用discur|includesnmp命令查看：[HUAWEI]discur|includesnmp…..snmp-agentsys-infoversion3…..關閉未使用的SNMP協(xié)議及未使用write權限1、安全基線名稱：關閉未使用的SNMP協(xié)議及未使用write權限2、安全基線編號：SBL-HUAWEI-04-02-043、安全基線說明：系統(tǒng)應及時關閉未使用的SNMP協(xié)議及未使用write權限4、參考配置操作：[Huawei]undosnmp-agentcommunitywritepipaxing5、安全判定條件：Snmp權限為read。6、檢測操作：使用discur|includesnmp命令查看，權限只有read：[HUAWEI]discur|includesnmp…..snmp-agentcommunityreadxiangyun…..IP協(xié)議安全要求其他安全配置關閉未使用的接口1、安全基線名稱：關閉未使用的接口2、安全基線編號：SBL-HUAWEI-05-01-013、安全基線說明：關閉未使用的接口4、參考配置操作：[HUAWEI]intg1/0/10[HUAWEI-GigabitEthernet1/0/10]shutdown5、安全判定條件：未使用接口應該管理員down。6、檢測操作：[HUAWEI]discur….#interfaceGigabitEthernet1/0/10portlink-modebridgecomboenablefibershutdown#….修改設備缺省BANNER語1、安全基線名稱：修改設備缺省BANNER語2、安全基線編號：SBL-HUAWEI-05-01-023、安全基線說明：要修改設備缺省BANNER語，BANNER最好不要有系統(tǒng)平臺或地址等有礙安全的信息。4、參考配置操作：[Huawei]headerlogininformation{需要顯示的登錄信息}5、安全判定條件：歡迎界面、提示符等不包含敏感信息。6、檢測操作：通過遠程登錄或console口登錄查看設備提示信息。配置定時賬戶自動登出1、安全基線名稱：配置賬號定時自動退出2、安全基線編號：SBL-HUAWEI-05-01-033、安全基線說明：如Telnet、ssh、console登錄連接超時退出4、參考配置操作：配置vty登錄3分鐘無操作自動退出：[HUAWEI]user-interfacevty04[HUAWEI-line-