10-SGISLOP-SA11-10 网络设备HW等级保护测评作业指导书(四级)

信息安全等级保护测评作业指导书网络设备－华为（三级）版号：第2版修改次数：第0次生效日期：2010年01月06日中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA11-10-3-修改页修订号控制编号版号/章节号修改人修订原因批准人批准日期备注1SGISL/OP-SA11-10李梦涛按公安部要求修订詹雄2010.3.8-4--5-目录网络设备－华为（三级）.............................................11.检查网络边界防护情况..........................................12.检查路由器安全策略精度........................................13.检查路由器日志功能............................................14.检查路由器是否建立本地用户并启用用户认证......................25.路由器vty口限制登陆地址......................................26.检查路由器用户信息............................................37.路由器VTY弱口令检查..........................................38.路由器超时退出非法登陆次数....................................49.检查路由器SSH配置............................................410.检查路由器备份冗余情况........................................511.检查链路备份冗余备份情况......................................612.检查路由器版本信息............................................613.检查路由器资源占用情况........................................614.检查路由器启动一致性..........................................715.路由器http服务配置检查.......................................716.检查路由器SNMP服务配置.......................................717.路由器SNMP配置默认团体字符串检查.............................818.检查路由器SNMPagent配置可写字符串...........................819.检查路由器SNMPagentACL访问控制配置.........................820.检查路由器IP源路由服务配置...................................921.检查路由器Bootp服务配置......................................922.检查路由器操作人员的管理情况.................................1023.检查路由器电源设备...........................................1024.检查路由器静态配置安全策略...................................1125.检查路由器banner信息........................................1126.检查路由器NTP服务配置.......................................1127.检查路由器ACL................................................1228.检查路由器AAA配置...........................................12-6-中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA11-10第1页共56页网络设备HW等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日-1-1.检查网络边界防护情况测评项编号ADT-NW-RT-01要求点a)应在网络边界部署访问控制设备，启用访问控制功能。测评项名称检查网络边界防护情况测评分项1确定网络边界是否部署了防火墙、IPS等安全设备，是否开启了访问控制功能。操作步骤查看：根据拓朴图查看网络边界是否部署了防火墙、IPS等安全设备，是否开启了访问控制功能，并登陆相应设备查看是否设备了安全策略。询问：网络边界是否部署了防火墙、IPS等安全设备，是否开启了访问控制功能。适用版本：符合性判定网络边界是否部署了防火墙、IPS等安全设备，开启了访问控制功能为符合，否则为不符合。备注2.检查路由器安全策略精度测评项编号ADT-NW-RT-02要求点b)应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为网段级。测评项名称检查路由器安全策略精度测评分项1得到网络安全策略精度操作步骤访谈：查看访问控制策略列表，查看防火墙是否存在无用策略、重复策略、无效策略；查看：登陆路由器查看访问控制策略（ACL）是否能够达到网段级。如：是否划分了VLAN，VLAN间是否有访问控制策略等。适用版本：符合性判定精度达到网段级为符合，否则为不符合。备注3.检查路由器日志功能测评项编号ADT-NW-RT-03要求点a)应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录测评项名称检查路由器日志审核中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA11-10第2页共56页网络设备HW等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日-2-测评分项1检查路由器是否配置了日志审核机制。操作步骤访谈：询问管理员日志的存储策略和审计策略，是否有日志服务器。执行：运行命令Sysnamedisplayinfo-center查看：路由器日志审核状态。导出路由器配置，截取配置图片。检查是否通过网管等第三方工具对运行状况、网络流量等进行记录适用版本：华为路由器符合性判定符合：InformationCenter:enabled；Loghost:XXX.XXX.XXX.XXX；Informationtimestampsetting:log-date,trap-date,debug-date,loghost-date不符合：InformationCenter:disabled备注4.检查路由器是否建立本地用户并启用用户认证测评项编号ADT-NW-RT-04要求点a)应对登录网络设备的用户进行身份鉴别测评项名称检查路由器是否建立本地用户并启用用户认证测评分项1得到路由器现有配置中是否具有用户名和口令操作步骤执行：1）输入Sysnamesystem-view，进入系统视图。2）运行命令[Sysname]displaycurrent-configuration|beginuser-interface查看：con0的配置。导出路由器配置，截取配置图片。访谈：网络管理员密码策略。适用版本：华为路由器符合性判定符合：console口配置密码，密码已加密，运行结果如下：user-interfacecon0authentication-modepassworduserprivilegelevel1setauthenticationpasswordcipher不符合：user-interfacecon0authentication-modenone5.路由器vty口限制登陆地址测评项编号ADT-NW-RT-05要求点b)应对网络设备的管理员登录地址进行限制；测评项名称检查路由器vty的ACL配置中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA11-10第3页共56页网络设备HW等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日-3-测评分项1路由器管理端口访问控制检查。操作步骤执行：1）输入Sysnamesystem-view，进入系统视图。2）运行命令[Sysname]displaycurrent-configuration|beginuser-interfacevty查看：vty的配置。导出路由器配置，截取配置图片。访谈：网络管理员密码策略。适用版本：华为路由器符合性判定符合：配置了VTY的ACL，运行结果如下：user-interfacevty04acl2001inbound不符合：未配置ACL。备注6.检查路由器用户信息测评项编号ADT-NW-RT-06网络安全：网络设备防护c)网络设备用户的标识应唯一；测评项名称检查路由器是否建立本地用户并启用用户认证测评分项1得到路由器现有配置中是否具有用户名和口令操作步骤执行：1）输入Sysnamesystem-view，进入系统视图。2）运行命令[Sysname]displaycurrent-configuration|beginlocal-user查看：用户级别配置信息。导出路由器配置，截取配置图片。适用版本：华为路由器符合性判定符合：启用用户权限级别配置，运行结果如下：local-useruser1passwordcipherauthorization-attributelevel1service-typetelnetlocal-useruser2passwordcipherauthorization-attributelevel3service-typessh……不符合：未启用用户权限级别配置。备注7.路由器VTY弱口令检查中国电力科学研究院信息安全实验室控制编号：SGISL/OP-SA11-10第4页共56页网络设备HW等级保护测评作业指导书（三级）第2版第0次修订发布日期：2010年01月06日-4-测评项编号ADT-NW-RT-07要求点d)身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换测评项名称路由器VTY弱口令检查测评分项1得到路由器当前vty口配置情况操作步骤执行：1）输入Sysnamesystem-view，进入系统视图。2）运行命令[Sysname]displaycurrent-configuration|beginuser-interfacevty查看：vty的配置。导出路由器配置，截取配置图片。访谈：网络管理员密码策略。适用版本：华为路由器符合性判定符合：VTY口口令加密，结果如下：user-interfacevty04setauthenticationpasswordcipher不符合：user-interfacevty04setauthenticationpasswordsimple备注8.路由器超时退出非法登陆次数测评项编号ADT-NW-RT-08要求点e)应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施；测评项名称路由器超时退出和非法登陆次数测评分项1检查用户是否为VTY远程登陆配置了超时登陆。操作步骤执行：1）输入Sysnamesystem-view，进入系统视图。2）运行命令[Sysname]displaycurrent-configuration|beginuser-interfacevty查看：vty的配置。导出路由器配置，截取配置图片。访谈：网络管理员密码策略。适用版本：华为路由器符合性判定符合：配置了VTY超时，运行结果如下：user-interfacevty04idle-timeout130不符合：无idle-timeout设置备注9.检查路由器SSH配置中国电力科学研究院信息安全实