Huawei防火墙安全配置基线

Huawei防火墙安全配置基线

中国移动通信有限公司管理信息系统部

2012年 04月

备注：

1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。

目录

第1章概述 (1)

1.1目的 (1)

1.2适用范围 (1)

1.3适用版本 (1)

1.4实施 (1)

1.5例外条款 (1)

第2章帐号管理、认证授权安全要求 (2)

2.1帐号管理 (2)

2.1.1用户帐号分配* (2)

2.1.2删除无关的帐号* (2)

2.1.3帐户登录超时* (3)

2.1.4帐户密码错误自动锁定* (4)

2.2口令 (5)

2.2.1口令复杂度要求 (5)

2.3授权 (5)

2.3.1远程维护的设备使用加密协议 (5)

第3章日志及配置安全要求 (7)

3.1日志安全 (7)

3.1.1记录用户对设备的操作 (7)

3.1.2记录与设备相关的安全事件 (7)

3.1.3开启记录NAT日志 (8)

3.1.4配置记录流量日志 (9)

3.1.5配置日志容量告警阈值 (9)

3.2告警配置要求 (10)

3.2.1配置对防火墙本身的攻击或内部错误告警 (10)

3.2.2配置TCP/IP协议网络层异常报文攻击告警 (10)

3.2.3配置DOS和DDOS攻击告警 (11)

3.2.4配置关键字内容过滤功能告警* (12)

3.3安全策略配置要求 (12)

3.3.1访问规则列表最后一条必须是拒绝一切流量 (12)

3.3.2配置访问规则应尽可能缩小范围 (13)

3.3.3访问规则进行分组* (13)

3.3.4配置NAT地址转换 (14)

3.3.5隐藏防火墙字符管理界面的bannner信息 (15)

3.3.6关闭非必要服务 (15)

3.4攻击防护配置要求 (16)

3.4.1拒绝常见漏洞所对应端口或者服务的访问 (16)

3.4.2防火墙各逻辑接口配置开启防源地址欺骗功能* (17)

3.4.3限制ICMP包大小* (17)

第4章IP协议安全要求 (19)

4.1功能配置 (19)

4.1.1使用SNMP V2或V3版本对防火墙远程管理 (19)

第5章其他安全要求 (21)

5.1其他安全配置 (21)

5.1.1外网口地址关闭对ping包的回应 (21)

5.1.2对防火墙的管理地址做源地址限制 (21)

5.1.3配置consol口密码保护功能 (22)

第6章评审与修订 (24)

第1章概述

1.1 目的

本文档规定了中国移动管理信息系统部所维护管理的Huawei防火墙应当遵循的设备安全性设置标准，本文档旨在指导系统管理人员进行Huawei防火墙的安全配置。

1.2 适用范围

本配置标准的使用者包括：网络管理员、网络安全管理员、网络监控人员。

本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的Huawei 防火墙。

1.3 适用版本

Huawei防火墙。

1.4 实施

本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。

本标准发布之日起生效。

1.5 例外条款

欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。

第2章帐号管理、认证授权安全要求2.1 帐号管理

2.1.1用户帐号分配*

2.1.2删除无关的帐号*

2.1.3帐户登录超时*

2.1.4帐户密码错误自动锁定*

2.2 口令

2.2.1口令复杂度要求

2.3 授权

2.3.1远程维护的设备使用加密协议

第3章日志及配置安全要求3.1 日志安全

3.1.1记录用户对设备的操作

3.1.2记录与设备相关的安全事件

3.1.3开启记录NAT日志

3.1.4配置记录流量日志

3.1.5配置日志容量告警阈值

3.2 告警配置要求

3.2.1配置对防火墙本身的攻击或内部错误告警

3.2.2配置TCP/IP协议网络层异常报文攻击告警

3.2.3配置DOS和DDOS攻击告警

3.2.4配置关键字内容过滤功能告警*

3.3 安全策略配置要求

3.3.1访问规则列表最后一条必须是拒绝一切流量

3.3.2配置访问规则应尽可能缩小范围

3.3.3访问规则进行分组*

3.3.4配置NAT地址转换

3.3.5隐藏防火墙字符管理界面的bannner信息

3.3.6关闭非必要服务

3.4 攻击防护配置要求

3.4.1拒绝常见漏洞所对应端口或者服务的访问