网络设备安全基线

2024年1月31日发(作者：)

华为交换机序号1控制点关闭不必要的服务基线要求禁止FTP服务器(File TransferProtocol)2关闭不必要的服务禁止NTP服务3关闭不必要的服务禁止Dhcp Server服务4关闭不必要的服务禁止HGMP服务5登录要求远程登录的安全要求6SNMP协议设置SNMP读写密码7帐号管理开启日志审计功能

8二层安全要求端口配置广播抑制9其它安全要求禁止未使用或空闲的端口启用源地址路由检查(二层不适用）10其它安全要求

交换机安全基线: 共10项，适用于华为交换机 （注意: 部分配置完成后需要重启操作指南加固方法:全局模式下启用如下命令:Quidway# undo ftp server加固方法:全局模式下启用如下命令:Quidway# undo ntp-service加固方法:全局模式下启用如下命令:Quidway# undo dhcp server加固方法:全局模式下启用如下命令:Quidway# hgmpserver disableQuidway# undo hgmpserver加固方法:全局模式下启用如下命令:方法一: 用户终端的本地口令认证# user-interface vty 0 4# authentication-mode password# set authentication password [simple | cipher] xxxxx方法二: 本地用户名/密码认证# local-user xxx password [simple | cipher] xxx# user-interface vty 0 4# authentication-mode local方法三: 本地AAA认证# aaa enable# aaa authentication-scheme login default local# local-user xxx password [simple | cipher] xxx# authentication-mode scheme default方法四: 远程RADIUS认证# aaa-enable# aaa authentication-scheme login xxx radius# radius-server authentication-port xxxx# authentication-mode scheme xxx其中，xxx为认证方法表名加固方法:全局模式下启用如下命令:snmp-agent community read xxxxxxxxsnmp-agent community write xxxxxxxx （xxxxxxxx建议使用8位以上)加固方法:全局模式下启用如下命令:第一种: SNMP TRAP的方式#snmp-agent target-host trap ip-address#snmp-agent trap enable第二种: SYSLOG的方式#info-center loghost 10.113.0.41

加固方法:全局模式下启用如下命令:#broadcast-suppression 10加固方法:不用端口模式下启用如下命令:# shutdown（不用端口）加固方法: 不用端口模式下启用如下命令:# urpf enable

要重启服务）检测方法检查方法:全局模式下是否启用如下命令:Quidway# undo ftp server检查方法:全局模式下是否启用如下命令:Quidway# undo ntp-service检查方法:全局模式下是否启用如下命令:Quidway# undo dhcp server检查方法:全局模式下是否启用如下命令:Quidway# hgmpserver disableQuidway# undo hgmpserver检查方法:全局模式下是否启用如下命令:方法一: 用户终端的本地口令认证# user-interface vty 0 4# authentication-mode password# set authentication password [simple | cipher] xxxxx方法二: 本地用户名/密码认证# local-user xxx password [simple | cipher] xxx# user-interface vty 0 4# authentication-mode local方法三: 本地AAA认证# aaa enable# aaa authentication-scheme login default local# local-user xxx password [simple | cipher] xxx# authentication-mode scheme default方法四: 远程RADIUS认证# aaa-enable# aaa authentication-scheme login xxx radius# radius-server authentication-port xxxx# authentication-mode scheme xxx其中，xxx为认证方法表名检查方法:全局模式下是否启用如下命令:snmp-agent community read xxxxxxxxsnmp-agent community write xxxxxxxx （xxxxxxxx建议使用8位以上)检查方法:全局模式下是否启用如下命令:第一种: SNMP TRAP的方式#snmp-agent target-host trap ip-address#snmp-agent trap enable第二种: SYSLOG的方式#info-center loghost 10.113.0.41

检查方法:全局模式下是否启用如下命令:#broadcast-suppression 10检查方法:不用端口模式下是否启用如下命令:# shutdown（不用端口）检查方法:不用端口模式下是否启用如下命令:# urpf enable