Huawei防火墙安全配的置基线.docVIP

Huawei防火墙 版本 版本控制信息 更新日期 更新人 审批人 V2.0 创建 2012年4月 备注： 若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。 目 录 第1章 概述 1 1.1 目的 1 1.2 适用范围 1 1.3 适用版本 1 1.4 实施 1 1.5 例外条款 1 第2章 帐号管理、认证授权安全要求 2 2.1 帐号管理 2 2.1.1 用户帐号分配* 2 2.1.2 删除无关的帐号* 2 2.1.3 帐户登录超时* 3 2.1.4 帐户密码错误自动锁定* 4 2.2 口令 5 2.2.1 口令复杂度要求 5 2.3 授权 5 2.3.1 远程维护的设备使用加密协议 5 第3章 日志及配置安全要求 7 3.1 日志安全 7 3.1.1 记录用户对设备的操作 7 3.1.2 记录与设备相关的安全事件 7 3.1.3 开启记录NAT日志 8 3.1.4 配置记录流量日志 9 3.1.5 配置日志容量告警阈值 9 3.2 告警配置要求 10 3.2.1 配置对防火墙本身的攻击或内部错误告警 10 3.2.2 配置TCP/IP协议网络层异常报文攻击告警 10 3.2.3 配置DOS和DDOS攻击告警 11 3.2.4 配置关键字内容过滤功能告警* 12 3.3 安全策略配置要求 12 3.3.1 访问规则列表最后一条必须是拒绝一切流量 12 3.3.2 配置访问规则应尽可能缩小范围 13 3.3.3 访问规则进行分组* 13 3.3.4 配置NAT地址转换 14 3.3.5 隐藏防火墙字符管理界面的bannner信息 15 3.3.6 关闭非必要服务 15 3.4 攻击防护配置要求 16 3.4.1 拒绝常见漏洞所对应端口或者服务的访问 16 3.4.2 防火墙各逻辑接口配置开启防源地址欺骗功能* 17 3.4.3 限制ICMP包大小* 17 第4章 IP协议安全要求 19 4.1 功能配置 19 4.1.1 使用SNMP V2或 V3版本对防火墙远程管理 19 第5章 其他安全要求 21 5.1 其他安全配置 21 5.1.1 外网口地址关闭对ping包的回应 21 5.1.2 对防火墙的管理地址做源地址限制 21 5.1.3 配置consol口密码保护功能 22 第6章 评审与修订 24 概述 目的 本文档规定了应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行的安全配置。本的使用者包括：、网络安全管理员。本适用的范围包括：的。实施本的解释权和修改权属于，在本标准的执行过程中若有任何疑问或建议，应及时反馈。本标准生效。例外条款欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交进行审批备案。 用户帐号分配* 安全基线项目名称 用户帐号分配安全基线要求项 安全基线编号 SBL-HuaweiFW-02-01-01 安全基线项说明 不同等级管理员分配不同帐号，避免帐号混用。 参考配置操作 补充操作说明 前两个用户为系统默认建立的帐号。 判定条件 用配置中没有的用户名去登录，结果是不能登录检测操作 在图形界面登陆 补充说明 无。 2 安全基线项说明 应删除或锁定与设备运行、维护等工作无关的帐号。 参考配置操作 usr del name 补充操作说明 判定条件 配置中用户信息被删除。 检测操作 。 补充说明 无。 安全基线项目名称 帐户登录超时安全基线要求项 安全基线编号 SBL- HuaweiFW -02-01-03 安全基线项说明 配置定时帐户自动登出，空闲5分钟自动登出。登出后用户需再次登录才能进入系统。 检测操作步骤 参考配置操作 设置超时时间为5分钟 2、补充说明 无。 基线符合性判定依据 判定条件 在超出设定时间后，用户自动登出设备。 参考检测操作 补充说明 无。 备注 需要手工检查。 帐户密码错误自动锁定* 安全基线项目名称 帐户密码错误自动锁定安全基线要求项 安全基线编号 SBL- HuaweiFW -02-01-04 安全基线项说明 在10次尝试登录失败后锁定帐户，不允许登录。 解锁时间设置为300秒 检测操作步骤 参考配置操作 设置尝试失败锁定次数为10次 2、补充说明 无。 基线符合性判定依据 判定条件 超出重试次数后帐号锁定，不允许登录，解锁时间到达后可以登录。 参考检测操作 补充说明 无。 备注 注意！此项设置会影响性能，建议设置后对访问此设备做源地址做限制。 需要手工检查。 口令 口令复杂度要求 安全基线项目名称 口令复杂度要求安全基线要求项 安全基线编号 SBL- HuaweiFW -02-02-01 安全基线项