华为交换机安全基线

华为设备安全配置基线目录

概述

目的

规范配置华为路由器、交换机设备，保证设备基本安全。

适用范围

本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。

适用版本

华为交换机、路由器。

帐号管理、认证授权安全要求

帐号管理

1.1.1用户帐号分配*

1、安全基线名称：用户帐号分配安全

2、安全基线编号：SBL-HUAWEI-02-01-01

3、安全基线说明：应按照用户分配帐号，避免不同用户间共享帐号，避免用户帐号和设备间通信使用的帐号共享。

4、参考配置操作：

[Huawei]aaa

[Huawei-aaa]local-user admin password cipher admin123

[Huawei-aaa]local-user admin privilege level 15

[Huawei-aaa]local-user admin service-type ssh

[Huawei-aaa]local-user user password cipher user123

[Huawei-aaa]local-user user privilege level 4

[Huawei-aaa]local-user user service-type ssh

5、安全判定条件：

（1）配置文件中，存在不同的账号分配

（2）网络管理员确认用户与账号分配关系明确

6、检测操作：

使用命令dis cur命令查看：

…

#

aaa

authentication-scheme default

authorization-scheme default

accounting-scheme default

domain default

domain default_admin

local-user admin password cipher "=LP!6$^-IYNZPO3JBXBHA!!

local-user admin privilege level 15

local-user admin service-type ssh

local-user user password cipher "=LP!6$^-IYNZP

local-user user privilege level 4

local-user user service-type ssh

#

对比命令显示结果与运维人员名单，如果运维人员之间不存在共享账号，表明符合安全要求。

1.1.2删除无关的帐号*

1、安全基线名称：删除无关的账号

2、安全基线编号：SBL-HUAWEI-02-01-02

3、安全基线说明：应删除与设备运行、维护等工作无关的账号。

4、参考配置操作：

[Huawei]aaa

[Huawei-aaa]undo local-user user

5、安全判定条件：

（1）配置文件存在多个账号

（2）网络管理员确认账号与设备运行、维护等工作无关

6、检测操作：

使用dis cur | include local-user命令查看：

[Huawei]dis cur | include local-user

local-user admin password cipher "=LP!6$^-IYNZPO3JBXBHA!!

local-user admin privilege level 15

local-user admin service-type ssh

若不存在无用账号则说明符合安全要求。

口令

1.1.3静态口令以密文形式存放

1、安全基线名称：静态口令以密文形式存放

2、安全基线编号：SBL-HUAWEI-02-02-01

3、安全基线说明：配置本地用户和super口令使用密文密码。

4、参考配置操作：

[Huawei]aaa

[Huawei-aaa]local-user admin password cipher admin123

[Huawei]super password cipher admin123

5、安全判定条件：

配置文件中没有明文密码字段。

6、检测操作：

查看本地用户密码：

[Huawei]dis cur | include local-user

local-user admin password cipher "=LP!6$^-IYNZPO3JBXBHA!!

local-user admin privilege level 15

local-user admin service-type ssh

查看super密码：

[Huawei]dis cur | include super

super password level 3 cipher mPZr=2!Z<@u:|l#3M^#3Icf# #

1.1.4密码复杂度

1、安全基线名称：密码复杂度

2、安全基线编号：SBL-HUAWEI-02-02-02

3、安全基线说明：对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。

4、参考配置操作：

[Huawei]aaa

[Huawei-aaa]local-user admin password cipher admin@xiangyun

5、安全判定条件：

密码强度符合要求，密码至少90天进行更换。

授权

1.1.5用IP协议进行远程维护的设备使用SSH等加密协议

1、安全基线名称：用IP协议进行远程维护设备

2、安全基线编号：SBL-HUAWEI-02-03-01

3、安全基线说明：使用IP协议进行远程维护设备，应配置使用SSH等加密协议连接。

4、参考配置操作：

[Huawei]aaa

[Huawei-aaa] local-user admin password cipher admin123

[Huawei-aaa] local-user admin privilege level 15

[Huawei-aaa] local-user admin service-type ssh

[Huawei]rsa local-key-pair create

[Huawei]stelnet server enable

[Huawei]ssh user admin service-type stelnet

[Huawei]ssh user admin authentication-type password

[Huawei]user-interface vty 0 4

[Huawei-ui-vty0-4]protocol inbound ssh

5、安全判定条件：

配置文件中只允许SSH等加密协议连接。

6、检测操作：

使用dis cur | include ssh命令：

[Huawei]dis cur | include ssh

local-user admin service-type ssh

ssh user admin

ssh user admin authentication-type password

ssh user admin service-type stelnet

日志安全要求

日志安全

1.1.6启用信息中心

1、安全基线名称：启用信息中心

2、安全基线编号：SBL-HUAWEI-03-01-01

3、安全基线说明：启用信息中心，记录与设备相关的事件。

4、参考配置操作：

[HUAWEI]info-center enable

5、安全判定条件：

（1）设备应配置日志功能，能对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录使用的IP地址。

（2）记录用户登录设备后所进行的所有操作。

6、检测操作：

使用dis info-center有显示Information Center: Enabled类似信息，如：[Huawei]dis info-center

Information Center:enabled

Log host:

Console:

channel number : 0, channel name : console

Monitor:

channel number : 1, channel name : monitor

SNMP Agent:

channel number : 5, channel name : snmpagent

Log buffer:

enabled,max buffer size 1024, current buffer size 512,

current messages 56, channel number : 4, channel name : logbuffer

dropped messages 0, overwritten messages 0

Trap buffer:

enabled,max buffer size 1024, current buffer size 256,

current messages 4, channel number:3, channel name:trapbuffer

dropped messages 0, overwritten messages 0

Information timestamp setting:

log - date, trap - date, debug - date millisecond

Sent messages = 1227, Received messages = 1226

IO Reg messages = 0 IO Sent messages = 0

1.1.7开启NTP服务保证记录的时间的准确性

1、安全基线名称：日志记录时间准确性

2、安全基线编号：SBL-HUAWEI-03-01-02

3、安全基线说明：开启NTP服务，保证日志功能记录的时间的准确性。

4、参考配置操作：

[Huawei]ntp-service authentication enable

5、安全判定条件：

日志记录时间准确。

6、检测操作：

[Huawei]dis cur | include ntp

ntp-service authentication enable

1.1.8远程日志功能*

1、安全基线名称：远程日志功能

2、安全基线编号：SBL-HUAWEI-03-01-03

3、安全基线说明：配置远程日志功能，使设备能通过远程日志功能传输到日志服务器。

4、参考配置操作：

[HUAWEI]info-center loghost *.*.*.*

snmp-agent sys-info version 3

…..

1.1.9关闭未使用的SNMP协议及未使用write权限

1、安全基线名称：关闭未使用的SNMP协议及未使用write权限

2、安全基线编号：SBL-HUAWEI-04-02-04

3、安全基线说明：系统应及时关闭未使用的SNMP协议及未使用write权限

4、参考配置操作：

[Huawei]undo snmp-agent community write pipaxing

5、安全判定条件：

Snmp权限为read。

6、检测操作：

使用dis cur | include snmp命令查看，权限只有read：

[HUAWEI]dis cur | include snmp

…..

snmp-agent community read xiangyun

…..

IP协议安全要求

其他安全配置

1.1.10关闭未使用的接口

1、安全基线名称：关闭未使用的接口

2、安全基线编号：SBL-HUAWEI-05-01-01

3、安全基线说明：关闭未使用的接口

4、参考配置操作：

[HUAWEI]int g1/0/10

[HUAWEI-GigabitEthernet1/0/10]shutdown

5、安全判定条件：

未使用接口应该管理员down。

6、检测操作：

[HUAWEI]dis cur

….

#

interface GigabitEthernet1/0/10

port link-mode bridge

combo enable fiber

shutdown

#

….

1.1.11修改设备缺省BANNER语

1、安全基线名称：修改设备缺省BANNER语

2、安全基线编号：SBL-HUAWEI-05-01-02

3、安全基线说明：要修改设备缺省BANNER语，BANNER最好不要有系统平台或地址等有碍安全的信息。

4、参考配置操作：

[Huawei]header login information {需要显示的登录信息}

5、安全判定条件：

欢迎界面、提示符等不包含敏感信息。

6、检测操作：

通过远程登录或console口登录查看设备提示信息。

1.1.12配置定时账户自动登出

1、安全基线名称：配置账号定时自动退出

2、安全基线编号：SBL-HUAWEI-05-01-03

3、安全基线说明：如Telnet、ssh、console登录连接超时退出

4、参考配置操作：

配置vty登录3分钟无操作自动退出：

[HUAWEI]user-interface vty 0 4

[HUAWEI-line-vty0-4]idle-timeout 3

5、安全判定条件：

每种登录方式均设备了超时退出时间。

6、检测操作：

使用dis cur查看：

[HUAWEI]dis cur

…

#

line vty 0 4

authentication-mode scheme

user-role level-4

idle-timeout 3 0

#

…

1.1.13配置console口密码保护功能

1、安全基线名称：配置console口密码保护

2、安全基线编号：SBL-HUAWEI-05-01-04

3、安全基线说明：配置console口密码保护

4、参考配置操作：

[Huawei]user-interface console 0

[Huawei-ui-console0]authentication-mode password

[Huawei-ui-console0]set authentication password cipher admin123

5、安全判定条件：

通过console口登录，确认需要密码。

6、检测操作：

使用命令dis cur查看：

[HUAWEI]dis cur

…

#

user-interface con 0

authentication-mode password

set authentication password cipher t(<'@e^+hKEBi%T]n/.IV8e#

#

…

1.1.14端口与实际应用相符

1、安全基线名称：端口与实际应用相符

2、安全基线编号：SBL-HUAWEI-05-01-05

3、安全基线说明：系统使用的端口默认无描述，安全事件处理及后期日志查询较为不变，出于安全考虑，应该将使用的端口添加符合实际应用的描述。

4、参考配置操作：

[HUAWEI]int g1/0/10

[HUAWEI-GigabitEthernet1/0/10]description shangxinag

5、安全判定条件：

正在使用的端口配置了相应的描述。

6、检测操作：

使用dis cur命令查看对应使用的端口是否有描述：

[HUAWEI]dis cur

….

#

interface GigabitEthernet1/0/10 description shangxinag

#