H3C交换机安全配置基线.doc

H3C交换机安全配置基线H3C交换机安全配置基线版本版本控制信息更新日期更新人审批人V2.0创建2012年4月备注：1. 若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。目 录第1章概述11.1目的11.2适用范围11.3适用版本11.4实施11.5例外条款1第2章帐号管理、认证授权安全要求22.1帐号22.1.1配置默认级别*22.2口令32.2.1密码认证登录32.2.2设置访问级密码42.2.3加密口令4第3章日志安全要求63.1日志安全63.1.1配置远程日志服务器6第4章IP协议安全要求74.1IP协议74.1.1使用SSH加密管理74.1.2系统远程管理服务只允许特定地址访问7第5章SNMP安全要求95.1SNMP安全95.1.1修改SNMP默认通行字95.1.2使用SNMPV2或以上版本95.1.3SNMP访问控制10第6章其他安全要求126.1其他安全配置126.1.1关闭未使用的端口126.1.2帐号登录超时126.1.3关闭不需要的服务*13第7章评审与修订1514修项项制则此需部，不备无说 操测务等 的条依定无说充 操置步作等等 如务服不 明 0- 编编基求线安的名名务要备无说 - - 操测备出动，时条依性无说充 - - 0 - 分 时操置配步步操钟 为时。入能再需登登号 项 -00 编线求线全录名目线超超备无说 操测 为口条依定无说充补 0 操配步作口的 项 - - 编编求线安的名项端用配配要要备无说 操测问行才定过来 条依定无说充00 -操置考步作备备访 主许，安问 项 00- 编线求要安问名项控问备无说 操测本本、 条依性无明说 - -操操步作本上 置 项 -00 编编求线全版名项版以 备无说 - 操测求求口合， 常令定为 改条依性无说说 - 操配步作求度令合字字默 的改 0 - 编编求线安通 名项行行 安 要安备无说 操测问的滤过，条依性无说充 0 - .00 0 操配考步作问址定许该全于连地任以 、 理管 说 - 编编求求安访定许理名项访地许允服备无说操测检依定无说充补 - 0 - - - < 。 持 0 面 置 步作 议协 闭议加 使置备 的程 进 明 - - 编编 求求基 理加 名项管密 协要要启 况实 它必 心建项 制则能启安署，配的用基备无说 操测检息信录正服志址志的置确条依判作行进说充 操配步作操等 、 接日远用少支备务日传志日过日设能日持 项 - 编线求线安服程名项务日安要要备 操测文文中 密条依定 -操配步步中文置保法加可须 说 编线求要安名目线口备 条依判无说充 > 操操步作操码换级配，操进此败失，换级置没误的如置命 通码换别密级入时别高低且登户 或 是级户低换件 说 - 编线求线全码名目密问备无说 操测登能结，户有条依判无说说 操置步作换更0少码令同设不 类两四殊母字字小数包 长口登码需终和制 项 - -编线求要基证名项登登口检备无说 操测登不果录名的中条依定无说充 0 - - 0 操置步作 -级问认登置 标别，级理系监问分级 说 - -编线求线基级名名别认帐要安证理条实机机版员人网理全、员络者的范置配机 行进统指目概 _ 订审 _" _ *服不 " _ 登帐. _" _ 口用使关. _ 置安." " 全 " 制访 . 0 _ 本以 使. _ 字认 修. 安 " 要安 第 _ 访定允服程统. " 管加 . " _ 协 " _ 要安协 第 " _ 器志程配. _ 0 安 0 " 要安第 _ 口. _ _ 密访置 录证 _ 口 " _ 别默 _ _ 号. _ _ 要安认管帐章 _ 条例. 0 实. 0 " _ 版 _ _ 范用." " 的 述 " " 格制本则格制版建创更需注 创.批新日信制控版基配全换 全基制批.需更版制 " " 用 _ 版_ .条 章认 _ 号 默 " 证录 _ 志 协要 _ _ 管 统程访 _ 要 " 字 使以 制 .安 使 .登 *_ 订 目进机范者、人机实安要别线线- 级问， 级 步 说依的录测 备登名要编 -项制码长包字殊 不码更置 说依户，操 说问目线线 换是或登且入密通 的误，此操换操操> 充无 备目线 保置步 定条 文 要安程线编 - 能日传备用接、等步 进判确志志信检操 说备启则建它启密管理求 -明 备置闭协步置 < 补定测备许项许安求 -理、任于全问考操 . 无依过测 无要 行 线 - 字令度操 性改 为 ，求 - 说备版版求 -项 上操 说无 、测 无名安编 - 安主 作步 充定 定问操 备配项名编 - 口配操0 补无为 操 说备线录线 0 登再。 钟配 分 - 充条动测 - -说要名安编编- 不 等置操 充定等操 备部则项 第 14 页 共 11 页第1章 概述1.1 目的本文档旨在指导系统管理人员进行H3C交换机的安全配置。1.2 适用范围本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。1.3 适用版本H3C交换机。1.4 实施1.5 例外条款第2章 帐号管理、认证授权安全要求2.1 帐号2.1.1 配置默认级别*安全基线项目名称配置默认级别安全基线要求项安全基线编号SBL-H3CSwitch-02-01-01 安全基线项说明 交换机命令级别共分为访问、监控、系统、管理4 个级别，分别对应标识0、1、2、3。配置登录默认级别为访问级（0-VISIT）检测操作步骤1、参考配置操作user-interface aux 0 8authentication-mode password user privilege level 0 set authentication password cipher xxxuser-interface vty 0 4authentication-mode password user privilege level 0 set authentication password cipher xxx2、补充说明无。基线符合性判定依据1、 判定条件用配置中没有的用户名去登录，结果是不能登录2、 参考检测操作<H3C>display current-configuration3、 补充说明无。备注手工检查2.2 口令2.2.1 密码认证登录安全基线项目名称密码认证登录安全基线要求项安全基线编号SBL-H3CSwitch-02-02-01 安全基线项说明 通过控制台和远程终端，需要密码才能登录. 口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。检测操作步骤1、参考配置操作user-interface aux 0 8authentication-mode passworduser privilege level 0 set authentication password cipher xxxuser-interface vty 0 4authentication-mode password /或authentication-mode scheme user privilege level 0 set authentication password cipher xxx2、补充说明无。基线符合性判定依据1、 判定条件用配置中没有的用户名去登录，结果是不能登录2、 参考检测操作<H3C>display current-configuration3、 补充说明无。备注2.2.2 设置访问级密码安全基线项目名称设置访问级密码安全基线要求项安全基线编号SBL-H3CSwitch-02-02-02 安全基线项说明 用户可以无条件切换到比当前低的用户级别，但是当使用AUX 或VTY 用户界面登录，并且从低级别往高级别切换时，需要输入级别切换密码（级别切换密码可以通过 super password 命令设置）。如果输入的密码错误或者没有配置级别切换密码，切换操作失败。因此，在进行切换操作前，请先配置级别切换密码。检测操作步骤1、参考配置操作<Sysname> system-view Sysname super password level 1 cipher password1Sysname super password level 2 cipher password2Sysname super password level 3 cipher password32、补充说明无。基线符合性判定依据1、 判定条件Sysname display current-configuration 备注2.2.3 加密口令安全基线项目名称加密口令安全基线要求项安全基线编号SBL-H3CSwitch-02-02-03 安全基线项说明 静态口令必须使用不可逆加密算法加密后保存于配置文件中。检测操作步骤1、参考配置操作user-interface aux 0 8 user privilege level 0 set authentication password cipher xxxuser-interface vty 0 4 user privilege level 0 set authentication password cipher xxxsuper password level 1 cipher password1super password level 2 cipher password2super password level 3 cipher password3基线符合性判定依据1. 判定条件用户的加密口令在config文件中显示的密文。2. 参考检测操作display current-configuration 备注第3章 日志安全要求3.1 日志安全3.1.1 配置远程日志服务器安全基线项目名称配置远程日志服务器安全基线要求项安全基线编号SBL-H3CSwitch-03-01-01 安全基线项说明 设备应支持远程日志功能。所有设备日志均能通过远程日志功能传输到日志服务器。设备应支持至少一种通用的远程标准日志接口，如SYSLOG、FTP等。检测操作步骤1、参考配置操作h3c info-center enableh3c info-center loghost xxxxx channel loghost2、补充说明在系统模式下进行操作。基线符合性判定依据1. 判定条件是否正确配置了相应的日志服务器地址，日志服务器正确记录了日志信息。2. 参考检测操作display current-configuration3. 补充说明无。备注根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。建议核心设备必选，其它根据实际情况启用第4章 IP协议安全要求4.1 IP协议4.1.1 使用SSH加密管理安全基线项目名称使用SSH加密管理安全基线要求项安全基线编号SBL-H3CSwitch-04-01-01 安全基线项说明 对于使用IP协议进行远程维护的设备，设备应配置使用SSH等加密协议，关闭TELNET协议。检测操作步骤1、 参考配置操作 # 设置用户界面VTY 0 到VTY 4 支持SSH 协议。 <Sysname> system-view Sysname user-interface vty 0 4 Sysname-ui-vty0-4 authentication-mode scheme Sysname-ui-vty0-4 protocol inbound ssh2、补充说明无。基线符合性判定依据1. 参考检测操作2. 补充说明无。备注4.1.2 系统远程管理服务只允许特定地址访问安全基线项目名称系统远程管理服务只允许特定地址访问安全基线要求项安全基线编号SBL-H3CSwitch-04-01-02 安全基线项说明 系统远程管理服务TELNET、SSH默认可以接受任何地址的连接，出于安全考虑，应该只允许特定地址访问。检测操作步骤1、参考配置操作Acl number 2000rule 1 permit source 192.168.0.0 0.0.255.255User-interface vty 0 4acl 2000 inbound2、补充说明无。基线符合性判定依据1. 判定条件通过设定acl，成功过滤非法的访问。2. 参考检测操作display current-configuration 3. 补充说明无。备注第5章 SNMP安全要求5.1 SNMP安全5.1.1 修改SNMP默认通行字安全基线项目名称修改SNMP默认通行字安全基线要求项安全基线编号SBL-H3CSwitch-05-01-01 安全基线项说明 系统应修改SNMP的Community默认通行字，通行字应符合口令强度要求。检测操作步骤1、参考配置操作snmp-agent community read xxxsnmp-agent community write xxxx2、补充说明无。基线符合性判定依据1. 判定条件系统成功修改SNMP的Community为用户定义口令，非常规private或者public，并且符合口令强度要求。2. 参考检测操作display current-configuration3. 补充说明无。备注5.1.2 使用SNMPV2或以上版本安全基线项目名称SNMP版本安全基线要求项安全基线编号SBL-H3CSwitch-05-01-02 安全基线项说明 系统应配置为SNMPV2或以上版本。检测操作步骤1、参考配置操作snmp-agent sys-info version v32、补充说明 无。基线符合性判定依据1. 判定条件成功使能snmpv2c、和v3版本。2. 参考检测操作display current-configuration3. 补充说明无。备注5.1.3 SNMP访问控制安全基线项目名称SNMP访问控制安全基线要求项安全基线编号SBL-H3CSwitch-05-01-03 安全基线项说明 设置SNMP访问安全限制，只允许特定主机通过SNMP访问网络设备。检测操作步骤1、参考配置操作snmp-agent community read XXXX01 acl 20002、补充说明无。基线符合性判定依据1. 判定条件通过设定acl来成功过滤特定的源才能进行访问。2. 参考检测操作display current-configuration3. 补充说明无。备注第6章 其他安全要求6.1 其他安全配置6.1.1 关闭未使用的端口安全基线项目名称关闭未使用的端口安全基线要求项安全基线编号SBL-H3CSwitch-06-01-01 安全基线项说明 关闭未使用的端口。检测操作步骤1、参考配置操作HW-Ethernet3/0/0shutdown2、补充说明无。基线符合性判定依据1. 判定条件未使用端口状态为admin down。2. 参考检测操作Display interface3. 补充说明无。备注6.1.2 帐号登录超时安全基线项目名称帐号登录超时安全基线要求项安全基线编号SBL-H3CSwitch-06-01-02 安全基线项说明 配置定时帐号自动登出，登出后用户需再次登录才能进入系统。设置超时时间为5分钟.检测操作步骤1、 参考配置操作设置超时时间为5分钟<Sysname> system-view Sysname user-interface console 0 /Or user-interface aux 0 8Sysname-ui-console0 idle-timeout 5 02、补充说明无。基线符合性判定依据1. 判定条件在超出设定时间后，用户自动登出设备。2. 参考检测操作display current-configuration configuration user-interface3. 补充说明无。备注6.1.3 关闭不需要的服务*安全基线项目名称关闭不需要的服务安全基线要求项安全基线编号SBL-H3CSwitch-06-01-03 安全基线项说明 关闭网络设备不必要的服务，比如FTP、TFTP服务等。检测操作步骤1、参考配置操作undo ftp server2、补充说明无。基线符合性判定依据1. 判定条件不能访问设备的ftp等服务。2. 参考检测操作display current-configuration 3. 补充说明无。备注根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。第7章 评审与修订