中国移动CheckPoint防火墙配置规范V1.0
Checkpoint防火墙与ASA IPSEC VPN步骤(亲手搭建绝非抄袭)
Checkpoint与ASA做IPsec vpn 实验步骤实验拓扑：实验步骤：一、Checkpoint端配置步骤1、在防火墙属性页面里勾选IPsec VPN,并设置本端名称及外网口IP址，点击确认。
（红框部分为必要设置）再次打开防火墙属性，在Topology页面，定义本端VPN加密域，确保拓扑与实际一致，Localnet-1.0为本端内网网段2、添加VPN对端设备，定义对端名称及对端设备建立VPN使用的出口IP地址确保Topology与实际一致，定义对端拓扑和加密Domain，peer-2.0为对方需走VPN 隧道的内网网段3、建立Ipsec VPN隧道,点击Communities—New—Meshed设定隧道名称添加本地和对端VPN网关设备定义VPN建立过程中两个阶段的加密和验证方式，必须与路由器端一致，第一个阶段对应对端设备的IKE第一阶段配置crypto isakmp policy 10，第二个阶段对应对端设备转换集配置。
设置预共享密钥设置VPN的高级属性，注： group组两端必须一致4、定义VPN策略，双向允许，否则只能进行单向通信。
二、对端ASA防火墙IPSEC配置interface GigabitEthernet0/0nameif outsidesecurity-level 0ip address 192.168.2.1 255.255.255.0!interface GigabitEthernet0/1nameif insidesecurity-level 100ip address 172.16.2.1 255.255.255.0access-list CPVPN extended permit ip 172.16.2.0 255.255.255.0 172.16.1.0 255.255.255.0route outside 0.0.0.0 0.0.0.0 192.168.2.2 1crypto ipsec transform-set deppon esp-3des esp-md5-hmaccrypto map outside_map 10 match address CPVPNcrypto map outside_map 10 set peer 192.168.3.1crypto map outside_map 10 set transform-set depponcrypto map outside_map interface outsidecrypto isakmp enable outsidecrypto isakmp policy 10authentication pre-shareencryption 3deshash md5group 2lifetime 86400tunnel-group 180.168.12.10 type ipsec-l2ltunnel-group 180.168.12.10 ipsec-attributespre-shared-key hfq@123456至此配置完成！三、验证是否建立成功1、ASA端VPN状态ciscoasa# SH cry isa saIKEv1 SAs:Active SA: 1Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey) Total IKE SA: 11 IKE Peer: 192.168.3.1Type : L2L Role : initiatorRekey : no State : MM_ACTIVEThere are no IKEv2 SAsciscoasa# show cry ips sainterface: outsideCrypto map tag: outside_map, seq num: 10, local addr: 192.168.2.1access-list CPVPN extended permit ip 172.16.2.0 255.255.255.0 172.16.1.0 255.255.255.0local ident (addr/mask/prot/port): (172.16.2.0/255.255.255.0/0/0)remote ident (addr/mask/prot/port): (172.16.1.0/255.255.255.0/0/0)current_peer: 192.168.3.1#pkts encaps: 19, #pkts encrypt: 19, #pkts digest: 19#pkts decaps: 19, #pkts decrypt: 19, #pkts verify: 19#pkts compressed: 0, #pkts decompressed: 0#pkts not compressed: 19, #pkts comp failed: 0, #pkts decomp failed: 0#pre-frag successes: 0, #pre-frag failures: 0, #fragments created: 0#PMTUs sent: 0, #PMTUs rcvd: 0, #decapsulated frgs needing reassembly: 0 #TFC rcvd: 0, #TFC sent: 0#Valid ICMP Errors rcvd: 0, #Invalid ICMP Errors rcvd: 0#send errors: 0, #recv errors: 0local crypto endpt.: 192.168.2.1/0, remote crypto endpt.: 192.168.3.1/0 path mtu 1500, ipsec overhead 58(36), media mtu 1500PMTU time remaining (sec): 0, DF policy: copy-dfICMP error validation: disabled, TFC packets: disabledcurrent outbound spi: 36CA5528current inbound spi : 6901DACAinbound esp sas:spi: 0x6901DACA (1761729226)transform: esp-3des esp-md5-hmac no compressionin use settings ={L2L, Tunnel, IKEv1, }slot: 0, conn_id: 31961088, crypto-map: outside_mapsa timing: remaining key lifetime (kB/sec): (3914998/28704) IV size: 8 bytesreplay detection support: YAnti replay bitmap:0x00000000 0x000FFFFFoutbound esp sas:spi: 0x36CA5528 (919229736)transform: esp-3des esp-md5-hmac no compressionin use settings ={L2L, Tunnel, IKEv1, }slot: 0, conn_id: 31961088, crypto-map: outside_mapsa timing: remaining key lifetime (kB/sec): (3914998/28704) IV size: 8 bytesreplay detection support: YAnti replay bitmap:0x00000000 0x000000012、 Checkpoint端VPN状态。
中国移动通信集团网络设备安全配置规范-总则
密级：内部文档编号：项目代号：中国移动通信集团网络设备安全配置规范总则版本：草稿二零零三年十一月中国移动通信公司福建移动通信公司版本控制目录第一部分概述和介绍 (5)1 概述 (5)1.1 项目背景 (5)1.2 项目目标 (5)1.3 参考资料 (5)第二部分设备的安全机制 (7)1 访问控制 (7)2 数据加密 (7)3 日志问题 (7)4 自身的防攻击能力 (8)第三部分设备安全配置建议 (9)1 访问控制列表及其管理 (9)1.1 实施原则 (9)1.2 存在问题 (10)1.3 要求配置部分 (10)2 路由协议的安全性 (11)2.1 路由协议认证 (11)2.2 源地址路由检查 (12)2.3 黑洞路由 (12)3 网管及认证问题 (13)3.1 访问管理 (13)3.1.1 限制登录空闲时间 (14)3.1.2 限制尝试次数 (14)3.1.3 限制并发数 (14)3.1.4 访问地址限制 (14)3.2 帐号和密码管理 (15)3.3 帐号认证和授权 (15)3.3.1 本机认证和授权 (15)3.3.2 AAA认证 (16)3.4 snmp协议 (16)3.5 HTTP的配置要求 (17)4 安全审计 (17)4.1 设备的登录信息 (18)4.2 设备异常事件 (18)4.3 SYSLOG服务器的设置 (18)5 设备IOS升级方法 (18)5.1 前期准备 (19)5.1.1 软件的获取 (19)5.1.2 制定升级计划 (19)5.1.3 配置同步 (19)5.1.4 数据备份 (20)5.1.5 其他准备工作 (20)5.2 升级操作 (20)5.2.1 记录升级前系统状态 (20)5.2.2 升级IOS或装载补丁 (20)5.2.3 检查升级后系统的状态 (21)5.3 应急保障措施 (21)6 特定的安全配置 (21)6.1 更改标准端口 (21)6.2 关闭不必要的服务 (21)6.3 防DOS攻击 (22)6.3.1 Smurf进攻的防范。
[精品]checkpoint安装配置详解
![[精品]checkpoint安装配置详解](https://img.taocdn.com/s3/m/1460951c83c4bb4cf7ecd1fb.png)
浏览协议选择y 表示同意 继续
选择安装 一 继续
一 新的组件安装
二 升级
选择一后 输入n继续
选择需要安装的 组件
1 VPN-1
2 用户认证
3 智能中心 4 访问事件记录 5 Pack 6 智能入口
选择相应组件 进 行安装
选择智能中心类型
二
Upgrade from a cd
进入expert模式 命令 #expert
使用命令patch add cd <patch_name>
从光盘安装
三 Upgrade using smartupdate 添加补丁到升级库 升级管理 升级平台
备份要求：全盘 每月 备份介质：硬盘 备份方式：同机异盘 整盘Ghost 备份存放地：五楼机房 恢复预演内容及要求： 切换备份硬盘 恢复时间要求：半小时
回到主菜单后 按n 继续 出现设置时间日期菜单 这里不做说明
输入n 继续
选择是否需要从TFTP服务器上 获取文件 如果需要 选择1 进行IP等设置 如果不需要 输入 n继续
出现安装check point组件界面 这里需准备证书
准备证书的方法 登陆网站 https://
VLAN2
DMZ
小知识
机架式是为了尽可能进少服务器空间的占 用，高度以U为单位，通常有1U 2U 3U 4U 5U 7U几种标准
1U=1.75英寸=44.45毫米
标准配置
在前置面板，左边二竖排为六个易拔插硬盘架位，可安装六 个热拔插SCSI硬盘，支持36GB/73GB/146GB 万转或一万五 千转高速SCSI硬盘。上图右边从上至下依次为超薄24X笔记 本光驱和1.44M软驱。
中国移动AIX操作系统安全配置规范V1.0
中国移动A I X操作系统安全配置规范S p e c i f i c a t i o n f o r A I X O S C o n f i g u r a t i o nU s e d i n C h i n a M o b i l e版本号：1.0.0x x x发布x x x实施中国移动通信有限公司网络部目录1范围 (1)2规范性引用文件 (1)3术语和定义和缩略语 (3)4AIX设备安全配置要求 (3)4.1账号管理、认证授权 (3)4.1.1账号 (3)4.1.2口令 (6)4.1.3授权 (8)4.2日志配置要求 (12)4.3IP协议安全配置要求 (15)4.3.1IP协议安全 (15)4.3.2路由协议安全 (19)4.4设备其他安全配置要求 (21)4.4.1屏幕保护 (21)4.4.2文件系统及访问权限 (22)4.4.3物理端口设置 (23)4.4.4补丁管理 (24)4.4.5服务 (25)4.4.6内核调整 (28)4.4.7启动项 (29)5编制历史 (30)前言为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。
有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。
本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。
本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。
本标准起草单位：中国移动通信有限公司网络部、中国移动通信集团天津、江苏有限公司。
本标准解释单位：同提出单位。
本标准主要起草人：张瑾、赵强、石磊、陈敏时、周智、曹一生。
1范围本规范适用于中国移动通信网、业务系统和支撑系统中使用AIX操作系统的设备。
本规范明确了AIX操作系统配置的基本安全要求，在未特别说明的情况下，均适用于所有运行的AIX操作系统版本。
Checkpoint防火墙基本操作和应急操作
网路安全的基本概念
• 通过采用各种技术和管理措施 • 使网络系统正常运行，从而确保网络数
据的可用性、完整性和保密性 • 建立网络安全保护措施的目的: • 是确保经过网络传输和交换的数据不会
发生增加、修改、丢失和泄露等
2020/3/2
Checkpoint防火墙的基本操作
• Checkpoint防火墙结构 • Checkpoint防火墙部署方式 • IPSO的基础配置 • Checkpoint的安装和初始化 • 防火墙策略配置及下发 • SmartCenter备份与恢复 • 防火墙日志管理 • 系统性能指标巡检
2020/3/2
防火墙日志管理
• 通过SmartView Tracter查看日志
2020/3/2
Checkpoint防火墙的基本操作
• Checkpoint防火墙结构 • Checkpoint防火墙部署方式 • IPSO的基础配置 • Checkpoint的安装和初始化 • 防火墙策略配置及下发 • SmartCenter备份与恢复 • 防火墙日志管理 • 系统性能指标巡检
Checkpoint防火墙结构
• Checkpoint防火墙为软件防火墙， 可以在不同的操作系统上安装
– Windows操作系统 – Solaris操作体统 – Linux操作系统 – Nokia的专有操作系统IPSO
2020/3/2
Checkpoint防火墙结构
• Checkpoint防火墙层次结构
2020/3/2
防火墙策略配置及下发
2020/3/2
Checkpoint防火墙的基本操作
• Checkpoint防火墙结构 • Checkpoint防火墙部署方式 • IPSO的基础配置 • Checkpoint的安装和初始化 • 防火墙策略配置及下发 • SmartCenter备份与恢复 • 防火墙日志管理 • 系统性能指标巡检
中国移动PIX防火墙安全配置手册V0.1.doc
中国移动PIX防火墙安全配置手册Version 1.0中国移动通信有限公司二零零四年十二月拟制: 审核: 批准: 会签: 标准化:版本控制分发控制目录1 综述 (5)2 CISCO PIX的几种典型配置 (6)2.1 典型配置（1）——访问控制、包过滤和NA T (6)2.1.1 网络拓扑图 (6)2.1.2 配置环境 (6)2.1.3 配置举例 (9)2.2 典型配置（2）——IPsec VPN Tunnel (13)2.2.1 网络拓扑图 (13)2.2.2 配置 (13)2.3 典型配置（3）——双机热备 (15)2.4 典型配置（4）——内容过滤 (20)2.4.1 filter activex示例 (20)2.4.2 filter url示例 (20)2.5 典型配置（5）——入侵检测 (21)3 PIX防火墙自身加固 (23)3.1 PIX防火墙操作系统版本较低 (23)3.2 PIX防火墙没有安全配置SNMP (23)3.3 配置了telnet允许，地址段是调试时的地址，没有更改为管理工作站的地址 (24)3.4 telnet远程管理是明文传输，没有配置SSH (24)3.5没有在PIX防火墙上配置防止恶意攻击的特性 (24)3.6策略配置inside<--→outside的策略不严格，如any---→any等 (25)1综述本配置手册介绍了Cisco PIX防火墙的几种典型的配置场景，以加强防火墙对网络的安全防护作用。
同时也提供了PIX防火墙自身的安全加固建议，防止针对防火墙的直接攻击。
通用和共性的有关防火墙管理、技术、配置方面的内容，请参照《中国移动防火墙安全规范》。
2CISCO PIX的几种典型配置2.1 典型配置（1）——访问控制、包过滤和NAT2.1.1网络拓扑图2.1.2配置环境本配置中没有用户认证和授权，NAT（网络地址转换）完成地址转换工作。
下面的例子中，所有接口上的用户可以访问所有服务器，而在内部、dmz1、dmz2、dmz3和dmz4接口上的主机可以启动连接。
防火墙配置规范
2.地址转换方式
防火墙映射地址建议采用DIP的转换方式而非MIP的 转换方式。
防火墙地址转换
2.地址转换方式
防火墙地址转换采用一一对应的方式，区域一的同一IP地址映 射到另一区域时的映射地址保持不变，例如Trust域的地址A经过防 火墙映射到Untrust域为A1， Untrust 域的B经过防火墙映射到 Trust域为B1 A访问B时： 在防火墙Trust域A访问B1，经过防火墙映射后在Untrust域 变为A1访问B； B同时需要访问A时： 在防火墙Untrust域B访问A1，经过防火墙映射后在Untrust 域为B1访问A，此时的A1和B1需与A访问B时防火墙转换的A1 和B1地址相同
2. 规则尽量简单清晰
规则力求简单清晰，在满足业务需求的情况下，规 则尽量简单，避免出现策略互相重叠、包容甚至冲突的情 况，同时可以通过增加注释、使用策略组等方式增加清晰 度；
3. 策略次序安排
按照业务的重要性，策略由前往后。
防火墙地址转换
1.地址转换
通过防火墙进行不同安全区域的隔离，数据在经过 防火墙后必须进行地址转换。
外联区网络部署规范
谢谢！
防火墙地址转换
2.地址转换方式
防火墙本身安全
1. 拒绝非安全域访问
不允许非安全域主机访问防火墙
2. 设置授信地址
允许哪些位于安全域的主机来访问防火墙，对防火 墙进行操作
外联区网络部署规范
1. 外联第三方 2. 外联交换机及路由器配置思路 3. 外联防火墙配置 4. DMZ交换机 5. 内联防火墙 6. 生产/管理接入 7. 测试接入
防火墙端口使用
1. 主备防火墙连接端口
防火墙在主备模式时，互联端口使用最后一个可用端 口；
防火墙设计要求
中国移动多媒体消息业务中心工程防火墙配置一般性要求Ver：1.0二零零二年九月中国移动通信集团公司中国移动MMSC工程防火墙一般性配置要求以下为中国移动多媒体消息业务中心工程中防火墙配置的一般性要求，厂家在工程实施中应满足以下要求。
厂家对防火墙所作的所有配置应在工程实施文档中予以全面反映。
第1条防火墙与CMNET连接侧为非信任区域；第2条防火墙上的访问策略应该遵循“缺省全部关闭，按需求开通的原则”，拒绝除明确许可外的任何服务；也即是拒绝一切未予准许的服务；第3条防火墙的访问策略中，必须禁止Rlogin，NNTP，Finger，Gopher，Rsh，NFS等危险服务，若维护管理不需要，也必须禁止Telnet，SNMP，TerminalServer等远程管理服务；第4条防火墙的外部管理端口必须关闭Telnet，http，ping，Snmp,Web等各种防火墙管理协议，保证防火墙外部端口在Internet上不可被管理，管理IP地址应该保密，且要严格限制可登录到防火墙上进行配置活动的IP地址，应该尽量减少并细化到具体IP地址；防火墙管理端口必须配置足够强度的登录口令；第5条防火墙应该对登录的用户的所有操作进行日志记录，保证用户的活动有记录可依，防火墙应启用全面的统计功能；第6条防火墙上必须设置成执行间隔时间过长的管理登录被强制中断；第7条防火墙上必须设置成用户多次登录失败后不能再次登陆；第8条防火墙应该配置自动报警功能，至少在受到严重威胁和被攻破时应立即通过Email通知防火墙管理员；第9条对于MMSC通过防火墙实现的与WAP网关、短信网关、MMSC之间、梦网邮箱系统、BOSS系统的逻辑连接应配置IP地址范围访问控制和端口号的访问控制；第10条防火墙上配置静态路由实现与CMNET的路由连接；第11条防火墙应进行相关的配置实现主备切换；第12条防火墙所有接口应启用各种网络攻击防护功能。
2。
中国移动Netscreen防火墙安全配置手册V0.1.doc
中国移动Netscreen防火墙安全配置手册密级：文档编号：项目代号：中国移动Netscreen防火墙安全配置手册Version 1.0中国移动通信有限公司二零零四年十二月目录1 综述 (3)2 Netscreen的几种典型配置 (4)2.1典型配置（1）――跟踪IP地址 (4)2.2典型配置（2）――接口模式配置 (5)2.2.1透明模式 (5)2.2.2路由模式 (8)2.2.3NAT模式 (11)2.3 典型配置（3）――信息流整形与优先级排列 (13)2.3.1 信息流整形 (13)2.3.2 优先级排列 (18)2.4 典型配置（4）――攻击监视 (23)2.5 典型配置（5）――三层IP欺骗保护 (24)2.6 典型配置（6）――基于源的会话限制 (26)2.7 典型配置（7）――SYN泛滥保护 (27)2.8 典型配置（8）――URL过滤配置 (30)2.9 典型配置（9）――站点到站点IPSEC VPN 配置 (33)2.10 典型配置（10）――高可靠性 (44)2.10.1 NSRP 概述 (44)2.10.2 主动/被动配置的NSRP (45)2.10.3 双主动配置的NSRP (48)3 Netscreen防火墙自身加固 (54)3.1 网管及认证问题 (54)3.1.1远程登录 (54)3.1.2 帐号和密码管理 (56)3.1.3 帐号认证和授权 (57)3.1.4 SNMP协议 (58)3.1.5 HTTP的配置要求 (59)3.2 安全审计 (61)3.2.1 针对重要策略开启信息流日志 (62)3.2.2 根据需要开启SELF日志功能 (62)3.2.3 将日志转发至SYSLOG服务器 (62)3.3 设备IOS升级方法 (63)3.3.1 前期准备 (63)3.3.2 升级操作 (64)3.4 特定的安全配置 (65)3.4.1NetScreen防火墙的防攻击选项 (65)3.4.2 NetScreen防火墙防攻击选项配置方法 (71)1综述本配置手册介绍了Netscreen防火墙的几种典型的配置场景，以加强防火墙对网络的安全防护作用。
《防火墙配置规范》课件
防火墙的安全策略配置规范
安全区域划分
根据网络环境，合理划分 安全区域，并设置相应的 访问控制策略。
流量管理策略
对网络流量进行合理管控 ，限制恶意流量和异常行 为，保障网络正常运行。
漏洞与补丁管理
定期检测和修复防火墙漏 洞，及时更新补丁，提高 设备安全性。
03
防火墙的部署与实施
防火墙的部署方式
路由模式
《防火墙配置规范》PPT 课件
• 防火墙概述 • 防火墙配置规范 • 防火墙的部署与实施 • 防火墙的维护与管理 • 防火墙配置规范的应用与发展
01
防火墙概述
防火墙的定义
防火墙是指一种将内部网和公众访问网 （如Internet）分开的方法，它实际上 是一种建立在现代通信网络技术和信息 安全技术基础上的应用性安全技术，隔
。
02
防火墙配置规范
防火墙的硬件配置规范
防火墙设备型号选择
防火墙物理环境要求
根据企业规模、网络架构和安全需求 ，选择合适的防火墙设备型号，确保 具备足够的处理能力和端口密度。
提供适宜的温湿度环境，确保设备散 热良好，同时具备防尘、防潮、防雷 等防护措施。
防火墙冗余设计
为保证网络的高可用性，应采用冗余 设计，包括电源冗余、风扇冗余和模 块冗余等。
02
制定防火墙应急响应计划，明确应急响应流程和责任人，确保
在紧急情况下能够快速响应和处理。
故障恢复与备份
03
对防火墙进行定期备份，以便在出现故障时能够快速恢复，减
少对业务的影响。
05
防火墙配置规范的应用与发展
防火墙配置规范在企业中的应用
保护企业网络安全
通过制定和实施防火墙配置规范，企业可以有效防止外部攻击和 内部数据泄露，保护核心业务和客户数据的安全。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
中国移动通信有限公司网络部
中国移动 CHECKPOINT 防火墙配置规范
目录
1 概述........................................................................................................................................................................ 1 1.1 适用范围........................................................................................................................................................ 1 1.2 内部适用性说明............................................................................................................................................ 1 1.3 外部引用说明................................................................................................................................................ 3 1.4 术语和定义.................................................................................................................................................... 3 1.5 符号和缩略语................................................................................................................................................ 3
地址，从内网口进行远程管理。
29. 设定统一时钟源
完全采纳
30. 设定对防火墙的保护安全规则
完全采纳
31. 根据实际的网络连接调整防火墙并
完全采纳
发连接数
32. 双机集群架构采用 VRRP 模式部署
部分采纳
33. 透明桥模式须关闭状态检测有关项
完全采纳
34. 对管理服务器的日志文件大小和转
完全采纳
存必须进行设置，并保护系统磁盘
前言
为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节， 明确并落实安全功能和配置要求。有限公司组织部分省公司编制了中国移动设备安全功能 和配置系列规范。本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手 册，局数据模板等文档的依据。本规范是该系列规范之一，明确了中国移动各类型设备所 需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。
内同一主机发送的次数。 23. 对于各端口要开启防欺骗功能。 24. 对于具备字符交互界面的设备，应
配置定时账户自动登出。 25. 对于具备图形界面（含 WEB 界面）
的设备，应配置定时自动登出。 26. 对于具备 console 口的设备，应配置
完全采纳
完全采纳 完全采纳
完全采纳 完全采纳 完全采纳
完全采纳
设备的重要操作。
10. 设备应配置日志功能，记录对与设
完全采纳
备相关的安全事件。
11. 设备配置远程日志功能，将需要重
完全采纳
点关注的日志内容传输到日志服务
器。
12. 防火墙应根据业务需要，配置基于
完全采纳
源 IP 地址、通信协议 TCP 或 UDP、
目的 IP 地址、源端口、目的端口的
流量过滤，过滤所有和业务不相关
条款中描述了增强的要求。对于“不采纳”的情况，说明采纳的原因）。
内容 1. 不同等级管理员分配不同账号，避
免账号混用。 2. 应删除或锁定与设备运行、维护等
工作无关的账号。 3. 防火墙管理员账号口令长度至少 8
位，并包括数字、小写字母、大写 字母和特殊符号 4 类中至少 2 类。 4. 账户口令的生存期不长于 90 天。 5. 应配置设备，使用户不能重复使用 最近 5 次（含 5 次）内已使用的口 令。 6. 应配置当用户连续认证失败次数超 过 6 次（不含 6 次），锁定该用户使 用的账号。 7. 在设备权限配置能力内，根据用户 的管理等级，配置其所需的最小管 理权限。 8. 设备应配置日志功能，对用户登录 进行记录，记录内容包括用户登录
1、参考配置操作
设备无此功能。
2、补充操作说明
无。
检测方法
1. 判定条件
无。
2. 检测操作
无。
3. 补充说明
无。
编号：CHECKPOINTFW-PZ-6
要求内容
应配置当用户连续认证失败次数超过 6 次（不含 6 次），锁
定该用户使用的账号。
操作指南
1、参考配置操作
设备无此功能
2、补充操作说明
无。
检测方法
操作指南
1、参考配置操作
设备无此功能
2、补充操作说明
无。
检测方法
1、 判定条件
设备无此功能
2、 检测操作
6
无。
中国移动 CHECKPOINT 防火墙配置规范
3、 补充说明
无。
编号：CHECKPOINTFW-PZ-5
要求内容
应配置设备，使用户不能重复使用最近 5 次（含 5 次）内
已使用的口令。
操作指南
2 CHECKPOINT 防火墙设备配置要求 ....................................................................................................................... 4
中国移动 CHECKPOINT 防火墙配置规范
1.1 适用范围
本规范适用于中国移动通信网、业务系统和支撑系统的 CHECKPOINT 防火墙 设备。本规范明确了设备的基本配置要求，为在设备入网测试、工程验收和设备 运行维护环节明确相关配置要求提供指南。本规范可作为编制设备入网测试规 范，工程验收手册，局数据模板等文档的参考
1.2 内部适用性说明
空间
35. 配置 SNMP 监控
完全采纳
36. 设置与防火墙互联的网络设备端口
完全采纳
速率，双工状态
1.3 外部引用说明
《中国移动网络与信息安全保障体系总纲》 《中国移动内部控制手册（第二版）》 《中国移动标准化控制矩阵（第二版）》
1.4 术语和定义
设备配置要求：描述在规范适用范围内设备必须和推荐采用的配置要求。在 工程验收和运行维护时采用。功能要求是实现配置要求的基础。
中 国 移 动 CheckPoint 防 火 墙 配置规范
Specification for CheckPoint FireWall Configuration Used in China Mobile
版 本 号 ： １ .０ .０
╳ ╳ ╳ ╳ -╳ ╳ -╳ ╳ 发 布
╳ ╳ ╳ ╳ -╳ ╳ -╳ ╳ 实 施
本标准明确了CheckPoint防火墙的配置要求。 本标准主要包括日志配置、告警配置、安全策略配置、攻击防护配置，虚拟防火墙配 置、设备其他安全要求等方面的配置要求。
本标准起草单位：中国移动通信有限公司网络部、中国移动通信集团江苏有限公司。 本标准主要起草人：来晓阳，石磊、周智、曹一生。
1 概述
中国移动 CHECKPOINT 防火墙配置规范
完全采纳 完全采纳 完全采纳 完全采纳 完全采纳 完全采纳 完全采纳 完全采纳
2
中国移动 CHECKPOINT 防火墙配置规范
console 口密码保护功能。
27. 对于登陆账户的 ip 地址，配置为只
完全采纳
允许从某些 ip 地址登陆。
28. 对于外网口地址，关闭对 ping 包的
完全采纳
回应。建议通过 VPN 隧道获得内网
采纳意见 完全采纳 完全采纳 完全采纳
部分采纳 部分采纳
部分采纳
完全采纳
完全采纳
备注
IPSO 操作系统支持 IPSO 操作系统支持 IPSO 操作系统支持
1
中国移动 CHECKPOINT 防火墙配置规范
使用的账号，登录是否成功，登录
时间，以及远程登录时，用户使用
的 IP 地址。
9. 设备应配置日志功能，记录用户对
1. 判定条件 不同用户登陆，尝试访问不同的模块。用户不能访问自己权限以外 的模块。 2. 检测操作 不同用户登陆，尝试访问不同的模块。
3. 补充说明
无。
编号：CHECKPOINTFW-PZ-8
8
要求内容 操作指南
中国移动 CHECKPOINT 防火墙配置规范
设备应配置日志功能，对用户登录进行记录，记录内容包 括用户登录使用的账号，登录是否成功，登录时间，以及 远程登录时，用户使用的 IP 地址。
的流量。
13. 对于使用 IP 协议进行远程维护的设 备，设备应配置使用 SSH，HTTPS 等加密协议。
14. 所有防火墙在配置访问规则时，最 后一条必须是拒绝一切流量。
15. 在配置访问规则时，源地址和目的 地址的范围必须以实际访问需求为 前提，尽可能的缩小范围。