Huawei路由安全配置基线全解.docVIP

Huawei路由器安全配置基线  版本 版本控制信息 更新日期 更新人 审批人 V1.0 创建 2009年1月 V2.0 更新 2012年4月 备注： 若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。 目 录 第1章 概述 5 1.1 目的 5 1.2 目的 5 1.3 适用范围 5 1.4 适用版本 5 1.5 实施 5 1.6 例外条款 5 第2章 华为路由其设备配置安全要求 6 2.1 帐号管理 6 2.1.1 用户帐号分配* 6 2.1.2 删除无关的帐号* 7 2.1.3 限制具备管理员权限的用户远程登录 7 2.2 口令 8 2.2.1 口令复杂度 8 2.2.2 静态口令加密保存 9 2.2.3 根据用户的业务需要配置其所需最小权限 10 2.2.4 帐号、口令和授权的强制要求 11 第3章 日志配置 13 3.1 日志配置 13 3.1.1 记录用户操作 13 3.1.2 记录设备的安全事件 14 3.1.3 远程日志功能 14 3.1.4 保证日志功能记录的时间准确性 15 3.1.5 日志记录内容要求 16 第4章 IP协议 17 4.1 IP协议 17 4.1.1 远程维护的设备配置加密协议 17 4.1.2 动态路由协议口令要求配置MD5加密* 18 4.1.3 制定路由策略 19 4.1.4 关闭未使用的SNMP协议及未使用RW权限 20 4.1.5 Community默认通行字应符合口令强度要求 20 4.1.6 配置SNMPV2或以上版本 21 4.1.7 SNMP访问安全限制 22 4.1.8 ACL配置 22 4.1.9 配置URPF 24 4.1.10 打开LDP协议认证功能* 24 第5章 其他配置 26 5.1 其他配置 26 5.1.1 关闭未使用的端口* 26 5.1.2 配置定时账户自动登出 26 5.1.3 配置consol口密码保护功能 27 5.1.4 关闭网络设备不必要的服务* 28 5.1.5 系统远程管理服务只允许特定地址访问 28 5.1.6 端口与实际应用相符* 29 5.1.7 防ARP欺骗攻击 30 第6章 评审与修订 31 概述 目的 目的 本文档旨在指导系统管理人员进行的安全配置。本的使用者包括：、网络安全管理员。实施例外条款 华为路由其设备配置安全要求 帐号管理 用户帐号分配* 安全基线项目名称 用户帐号分配安全基线要求项 安全基线编号 SBL-HuaweiRouter-02-01-01 安全基线项说明 应按照用户分配帐号。避免不同用户间共享帐号。避免用户帐号和设备间通信使用的帐号共享。 检测操作步骤 1、参考配置操作 aaa local-user user1 password cipher PWD1 local-user user1 service-type telnet local-user user2 password cipher PWD2 local-user user2 service-type ftp # user-interface vty 0 4 authentication-mode aaa 2、补充说明 无。 基线符合性判定依据 判定条件 用配置中没有的用户名去登录，结果是不能登录 参考检测操作 display current-configuration configuration aaa） 补充说明 无。 备注 需要手工检查，由管理员确认帐号分配关系。 删除无关的帐号* 安全基线项目名称 工作无关的帐号安全基线要求项 安全基线编号 SBL- HuaweiRouter -02-01-02 安全基线项说明 应删除与设备运行、维护等工作无关的帐号 检测操作步骤 1、参考配置操作 aaa undo local-user test 2、补充说明 无。 基线符合性判定依据 判定条件 配置中用户信息被删除。 参考检测操作 display current-configuration configuration aaa 补充说明 无。 备注 需要手工检查，由管理员判断是否存在无关帐号 限制具备管理员权限的用户远程登录 安全基线项目名称 限制具备管理员权限的用户远程登录安全基线要求项 安全基线编号 SBL- HuaweiRouter -02-01-03 安全基线项说明 限制具备管理员权限的用户远程登录。远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到管理员权限帐号后执行相应操作。 检测操作步骤 1、参考配置操作 super password level