1、（2）网络管理员确认用户与账号分配关系明确6、检测操作：使用命令dis cur命令查看：#aaa authentication-scheme default authorization-scheme default accounting-scheme default domain default domain default_admin local-user admin password cipher =LP!6$-IYNZPO3JBXBHA! local-user admin privilege level 15 local-user admin service-type sshlocal-
2、user user password cipher 6$-IYNZPlocal-user user privilege level 4local-user user service-type ssh对比命令显示结果与运维人员名单，如果运维人员之间不存在共享账号，表明符合安全要求。2.1.2 删除无关的帐号*删除无关的账号SBL-HUAWEI-02-01-02应删除与设备运行、维护等工作无关的账号。Huawei-aaaundo local-user user（1）配置文件存在多个账号（2）网络管理员确认账号与设备运行、维护等工作无关使用dis cur | include local-user命令
3、查看：Huaweidis cur | include local-user若不存在无用账号则说明符合安全要求。2.2 口令2.2.1 静态口令以密文形式存放静态口令以密文形式存放SBL-HUAWEI-02-02-01配置本地用户和super口令使用密文密码。Huaweiaaa Huawei-aaalocal-user admin password cipher admin123Huaweisuper password cipher admin123配置文件中没有明文密码字段。查看本地用户密码：查看super密码：Huaweidis cur | include supersuper passwo
4、rd level 3 cipher mPZr=2!Zu:|l#3M#3Icf# #2.2.2 密码复杂度密码复杂度SBL-HUAWEI-02-02-02对于采用静态口令认证技术的设备，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号四类中至少两类。且5次以内不得设置相同的口令。密码应至少每90天进行更换。Huawei-aaalocal-user admin password cipher adminxiangyun密码强度符合要求，密码至少90天进行更换。2.3 授权2.3.1 用IP协议进行远程维护的设备使用SSH等加密协议用IP协议进行远程维护设备SBL-HUAWEI-02-03
5、-01使用IP协议进行远程维护设备，应配置使用SSH等加密协议连接。Huaweirsa local-key-pair createHuaweistelnet server enable Huaweissh user admin service-type stelnet Huaweissh user admin authentication-type passwordHuaweiuser-interface vty 0 4Huawei-ui-vty0-4protocol inbound ssh配置文件中只允许SSH等加密协议连接。使用dis cur | include ssh命令：Huaweid
6、is cur | include sshssh user adminssh user admin authentication-type passwordssh user admin service-type stelnet第3章 日志安全要求3.1 日志安全3.1.1 启用信息中心启用信息中心SBL-HUAWEI-03-01-01启用信息中心，记录与设备相关的事件。HUAWEIinfo-center enable（1）设备应配置日志功能，能对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录使用的IP地址。（2）记录用户登录设备后所进行的所有操作。使用di
7、s info-center有显示Information Center: Enabled类似信息，如：Huaweidis info-center Information Center:enabledLog host:Console: channel number : 0, channel name : console Monitor: 1, channel name : monitor SNMP Agent: 5, channel name : snmpagent Log buffer: enabled,max buffer size 1024, current buffer size 512,
8、current messages 56, channel number : 4, channel name : logbufferdropped messages 0, overwritten messages 0 Trap buffer: enabled,max buffer size 1024, current buffer size 256,current messages 4, channel number:3, channel name:trapbufferInformation timestamp setting: log - date, trap - date, debug -
9、date millisecond Sent messages = 1227, Received messages = 1226 IO Reg messages = 0 IO Sent messages = 03.1.2 开启NTP服务保证记录的时间的准确性日志记录时间准确性SBL-HUAWEI-03-01-02开启NTP服务，保证日志功能记录的时间的准确性。配置ntp客户端，服务器地址为192.168.1.1：Huaweintp-service authentication enable Huaweintp-service unicast-server 192.168.1.1日志记录时间准确。
10、Huaweidis cur | include ntpntp-service authentication enablentp-service unicast-server 192.168.1.13.1.3 远程日志功能*远程日志功能SBL-HUAWEI-03-01-03配置远程日志功能，使设备能通过远程日志功能传输到日志服务器。HUAWEIinfo-center loghost *.*.*.* /配置接收日志的服务器地址Huaweiinfo-center source default channel loghost log level emergencies /配置发送的日志级别日志服务器能
11、够正确接收网络设备发送的日志。使用命令dis cur | include info-center查看：Huaweidis cur | include info-centerinfo-center source default channel 2 log level emergencies第4章 IP协议安全要求4.1 IP协议4.1.1 VRRP认证VRRP认证SBL-HUAWEI-04-01-01VRRP启用认证，防止非法设备加入到VRRP组中。4、安全判定条件：查看VRRP组，只存在正确的设备。5、检测操作：使用命令dis vrrp4.1.2 系统远程服务只允许特定地址访问系统远程服务只允
12、许特定地址访问SBL-HUAWEI-04-01-02设备以UDP/TCP协议对外提供服务，供外部主机进行访问，如作为NTP服务器、TELNET服务器、TFTP服务器、FTP服务器、SSH服务器等，应配置设备，只允许特定主机访问。通过配置访问控制列表ACL，只允许特定的地址访问设备的服务，如：HUAWEIacl number 3000HUAWEI-acl-adv-3000 rule 0 permit tcp source 10.18.54.12 0 destination 10.1.0.50 0 destination-port eq 443HUAWEI-acl-adv-3000 rule 65
13、534 deny ipHuaweitraffic behavior 1Huawei-behavior-1permitHuaweitraffic policy 1Huawei-classifier-1if-match acl 3000 Huawei-trafficpolicy-1classifier 1 behavior 1Huaweivlan 20Huawei-vlan20traffic-policy 1 inbound在相关端口上绑定相应的ACL。使用dis cur命令查看：acl number 3000 rule 5 permit tcp source 10.18.1.1 0traffic
14、 classifier 1 operator and if-match acl 3000traffic behavior 1 permittraffic policy 1 classifier 1 behavior 1drop-profile defaultvlan 20 traffic-policy 1 inbound4.2 功能配置4.2.1 SNMP的Community默认通行字口令强度SNMP协议的community团体字SBL-HUAWEI-04-02-01修改SNMP的community默认团体字，字符串应符合口令强度要求。HUAWEIsnmp-agent community re
15、ad HUAWEI snmp-agent community write Community非默认，口令长度至少8位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。使用命令dis cur | include snmp查看：HUAWEIdis cur | include snmp snmp-agent snmp-agent local-engineid 800063A280A4F25325010000000001 snmp-agent community read xiangyun_readsnmp-agent community write xiangyun_write snmp-a
16、gent sys-info version v3 snmp-agent trap enable arp snmp-agent trap enable radius snmp-agent trap enable stp7、补充：若设备不需要使用SNMP协议应关闭SNMP功能，若需要用到应使用V2版本以上的SNMP协议。4.2.2 只与特定主机进行SNMP协议交互只与特定主机进行SNMP协议交互SBL-HUAWEI-04-02-02设备只与特定主机进行SNMP协议交互使用ACL限制只与特定主机进行SNMP交互HUAWEIacl number 2000HUAWEI-acl-adv-2000 rule
17、 0 permit ip source 10.18.54.12 0 HUAWEI-acl-adv-2000 rule 65534 deny ip HUAWEIsnmp-agent community read xiangyun acl 2000Snmp绑定了acl使用dis cur | include snmp命令查看： snmp-agent community read xiangyun snmp-agent sys-info version 3 snmp-agent community read xiangyun acl 20004.2.3 配置SNMPV2或以上版本配置SNMPv2或以上
18、版本SBL-HUAWEI-04-02-03系统应配置SNMPv2或以上版本HUAWEIsnmp-agent sys-info version v3系统可以成功使用snmpv2或v3版本协议。.snmp-agent sys-info version 34.2.4 关闭未使用的SNMP协议及未使用write权限关闭未使用的SNMP协议及未使用write权限SBL-HUAWEI-04-02-04系统应及时关闭未使用的SNMP协议及未使用write权限Huaweiundo snmp-agent community write pipaxingSnmp权限为read。使用dis cur | includ
19、e snmp命令查看，权限只有read：snmp-agent community read xiangyun第5章 IP协议安全要求5.1 其他安全配置5.1.1 关闭未使用的接口关闭未使用的接口SBL-HUAWEI-05-01-01HUAWEIint g1/0/10HUAWEI-GigabitEthernet1/0/10shutdown未使用接口应该管理员down。HUAWEIdis cur.# interface GigabitEthernet1/0/10 port link-mode bridge combo enable fiber shutdown5.1.2 修改设备缺省BANNER
20、语修改设备缺省BANNER语SBL-HUAWEI-05-01-02要修改设备缺省BANNER语，BANNER最好不要有系统平台或地址等有碍安全的信息。Huaweiheader login information 需要显示的登录信息欢迎界面、提示符等不包含敏感信息。通过远程登录或console口登录查看设备提示信息。5.1.3 配置定时账户自动登出配置账号定时自动退出 SBL-HUAWEI-05-01-03如Telnet、ssh、console登录连接超时退出配置vty登录3分钟无操作自动退出：HUAWEI user-interface vty 0 4HUAWEI-line-vty0-4idle
21、-timeout 3每种登录方式均设备了超时退出时间。使用dis cur查看：line vty 0 4 authentication-mode scheme user-role level-4 idle-timeout 3 05.1.4 配置console口密码保护功能配置console口密码保护SBL-HUAWEI-05-01-04Huaweiuser-interface console 0Huawei-ui-console0authentication-mode passwordHuawei-ui-console0set authentication password cipher adm
22、in123通过console口登录，确认需要密码。使用命令dis cur查看：user-interface con 0 authentication-mode password set authentication password cipher t（e+hKEBi%Tn/.IV8e#5.1.5 端口与实际应用相符端口与实际应用相符SBL-HUAWEI-05-01-05系统使用的端口默认无描述，安全事件处理及后期日志查询较为不变，出于安全考虑，应该将使用的端口添加符合实际应用的描述。HUAWEI-GigabitEthernet1/0/10description shangxinag正在使用的端口
