华三路由交换安全配置基线V1.0 .docxVIP

H3C路由交换安全配置基线  目录 TOC \o 1-3 \h \z \u 1 概述 4 1.1 目的 4 1.2 适用范围 4 2 基本安全设置 4 2.1 账号管理 4 2.1.1 用户帐号分配 4 2.1.2 避免共享帐号 5 2.1.3 禁止无用帐号 5 2.1.4 用户锁定策略 6 2.1.5 同一帐号连接数限制 6 2.1.6 默认帐号与口令管理 7 2.1.7 命名规则 7 2.2 口令要求 8 2.2.1 口令变更周期 8 2.2.2 口令长度与复杂度 8 2.2.3 配置console口密码保护 9 2.2.4 设置访问级密码 9 2.2.5 加密口令 10 3 日志审计 10 3.1 记录用户操作日志 10 3.2 记录用户登录日志 11 3.3 配置系统日志记录 12 3.4 远程日记功能 12 4 设备管理 13 4.1 SNMP默认Community更改 13 4.2 使用SNMP V2或以上版本 13 4.3 SNMP访问控制 14 4.4 关闭未使用端口 14 4.5 账户超时退出 15 4.6 远程主机IP限制 15 4.7 最小化服务 16 5 服务安全 16 5.1 禁用不需要的服务 16 5.2 启用NTP服务 17 6 协议安全 17 6.1 使用SSH加密管理 17 6.2 路由协议的认证和口令加密 18 概述 目的 本基线依据工程网络设备安全配置规范要求，旨在指导网络设备管理人员或安全检查人员进行H3C路由交换系列的安全配置，提高H3C路由交换的安全防护能力。 适用范围 本基线仅适用于工程中所使用的H3C系列路由交换。 基本安全设置 账号管理 用户帐号分配 安全基线项目名称 H3C路由交换用户帐号分配安全基线要求项 安全基线编号 H3C路由交换安全配置技术要求-1 安全基线项说明 原则上应采用预定义级别的授权方法，实现对不同用户权限的控制。 检测操作步骤 执行如下命令检测账号配置信息 display local-user 基线符合性判定依据 各账号都可以正常使用，且能够输入的命令权限不同。 加固方案 参考配置操作 local-user user123 service-type ssh user privilege level 2 风险等级 低 备注 避免共享帐号 安全基线项目名称 H3C路由交换避免共享帐号安全基线要求项 安全基线编号 H3C路由交换安全配置技术要求-2 安全基线项说明 应对不同的用户分配不同的账号，避免不同用户间账号共享。 检测操作步骤 执行如下命令检测账号配置信息 display current-configuration configuration | include user 基线符合性判定依据 各账号都可以正常使用 加固方案 参考配置操作 local-user user1 service-type ssh user privilede level 2 风险等级 低 备注 禁止无用帐号 安全基线项目名称 H3C路由交换禁止无关账号安全基线要求项 安全基线编号 H3C路由交换安全配置技术要求-3 安全基线项说明 应禁止配置与设备运行、维护等工作无关的账号。 检测操作步骤 执行如下命令检测账号配置信息 display current-configuration configuration | include user 基线符合性判定依据 不存在与设备运行、维护等工作无关的账号。 加固方案 参考配置操作 删除无关账号 undo local-user username 注： username 表示无关账号名称。 风险等级 低 备注 用户锁定策略 安全基线项目名称 H3C路由交换账户锁定策略安全基线要求项 安全基线编号 H3C路由交换安全配置技术要求-4 安全基线项说明 应为设备配置用户 连续认证失败次数上限，当用户连续认证失败次数超过上限时，设备自动断开该用户账号的连接，并在一定时间内禁止该用户账号重新认证 检测操作步骤 执行如下命令检测账号配置信息 display current-configuration | include password 基线符合性判定依据 账号密码输入连续多次错误，账号被锁定。 加固方案 参考配置操作 password-control login-attempt 5 exceed lock-time 60 风险等级 低 备注 同一帐号连接数限制 安全基线项目名称