网络设备安全基线技术规范

1、网络设备安全基线技术规范12020 年 5 月 29 日文档仅供参考安全基线技术要求1.1网络设备1.1.1网络通用安全基线技术要求1.1.1.1网络设备防护基线名称基线编号适用范围基线要求备注基线名称基线编号适用范围基线要求备注基线名称基线编号适用范围基线要求备注基线名称基线编号适用范围安全设备的用户进行身份鉴别。ib-wlsb-01-01基线类型强制要求等保一、二级 等保三级涉普通商秘 (工作秘密 ) 涉核心商秘设备经过相关参数配置,经过与认证服务器(radius或 tacacs 服务器 )联动的方式实现对用户的认证 ,满足账号、口令和授权的要求 ,对登录设备的用户进行身份鉴别。网络设备用

2、户的标识唯一。ib-wlsb-01-02基线类型强制要求等保一、二级等保三级涉普通商秘(工作秘密 ) 涉核心商秘网络设备用户的标识应唯一;禁止多个人员共用一个账号。身份鉴别信息应具有复杂度要求并定期更换。ib-wlsb-01-03基线类型强制要求等保一、二级等保三级涉普通商秘(工作秘密 ) 涉核心商秘应修改控制中心登录的默认账户和密码, 密码长度应不小于8,密码应由字母、数字、特殊符号中的至少2 种组成。登录失败处理。ib-wlsb-01-04基线类型强制要求等保一、二级等保三级涉普通商秘(工作秘密 ) 涉核心商秘22020 年 5 月 29 日基线要求备注基线名称基线编号适用范围基线要求备注

3、基线名称基线编号适用范围基线要求备注基线名称基线编号适用范围基线要求备注基线名称基线编号适用范围基线要求备注基线名称文档仅供参考应为设备配置用户连续认证失败次数上限,当用户连续认证失败次数超过上限时 ,设备自动断开该用户账号的连接 ,并在一定时间内禁止该用户账号重新认证。清除无关的账号。ib-wlsb-01-05基线类型强制要求等保一、二级等保三级涉普通商秘(工作秘密 ) 涉核心商秘应删除与设备运行、维护等工作无关的账号。配置 console 口密码保护ib-wlsb-01-06基线类型强制要求等保一、二级 等保三级涉普通商秘 (工作秘密 ) 涉核心商秘对于具备console 口的设备 ,应配

4、置 console 口密码保护功能。按照用户分配账号ib-wlsb-01-07基线类型强制要求等保一、二级等保三级涉普通商秘(工作秘密 ) 涉核心商秘应按照用户分配账号。避免不同用户间共享账号。避免用户账号和设备间通信使用的账号共享。配置使用sshib-wlsb-01-08基线类型强制要求等保一、二级等保三级涉普通商秘(工作秘密 ) 涉核心商秘对于使用ip 协议进行远程维护的设备,设备应配置使用ssh 等加密协议。对用户进行分级权限控制32020 年 5 月 29 日基线编号适用范围基线要求备注基线名称基线编号适用范围基线要求备注基线名称基线编号适用范围基线要求备注基线名称基线编号适用范围基线

5、要求备注基线名称基线编号适用范围基线要求备注基线名称基线编号文档仅供参考ib-wlsb-01-09基线类型强制要求等保一、二级等保三级 涉普通商秘 (工作秘密 ) 涉核心商秘原则上应采用预定义级别的授权方法,实现对不同用户权限的控制。配置访问ip 地址限制ib-wlsb-01-10基线类型强制要求等保一、二级等保三级涉普通商秘(工作秘密 ) 涉核心商秘应对发起snmp 访问的源ip 地址进行限制,并对设备接收端口进行限制。授权粒度控制ib-wlsb-01-11基线类型强制要求等保一、二级等保三级涉普通商秘 (工作秘密 ) 涉核心商秘原则上应采用对命令组或命令进行授权的方法,实现对用户权限细粒度

6、的控制的能力。按最小权限方法分配帐号权限ib-wlsb-01-12基线类型强制要求等保一、二级等保三级涉普通商秘(工作秘密 ) 涉核心商秘在设备权限配置能力内,根据用户的业务需要,配置其所需的最小权限。配置定时账户自动登出ib-wlsb-01-13基线类型强制要求等保一、二级 等保三级涉普通商秘 (工作秘密 ) 涉核心商秘对于具备字符交互界面的设备,应配置定时账户自动登出。限制 ntp 通信地址范围ib-wlsb-01-14基线类型可选要求42020 年 5 月 29 日适用范围基线要求备注基线名称基线编号适用范围基线要求备注文档仅供参考等保一、二级 等保三级 涉普通商秘 (工作秘密 ) 涉核

7、心商秘经过 acl 对 ntp 服务器与设备间的通信进行控制。启用 ntp 服务ib-wlsb-01-15基线类型强制要求等保一、二级等保三级涉普通商秘(工作秘密 ) 涉核心商秘应开启 ntp,保证设备日志记录时间的准确性。基线名称基线编号适用范围基线要求备注基线名称配置会话超时ib-wlsb-01-16等保一、二级 等保三级对于具备字符交互界面的设备配置屏幕自动锁定基线类型 强制要求涉普通商秘 (工作秘密 ) 涉核心商秘,应配置定时账户自动登出。基线编号适用范围基线要求备注基线名称基线编号适用范围基线要求备注基线名称基线编号适用范围基线要求ib-wlsb-01-17基线类型强制要求等保一、二级等保三级 涉普通商秘 (工作秘密 ) 涉核心商秘对于具备图形界面(含 web 界面 )的设备 ,应配置定时自动屏幕锁定。修改缺省bannerib-wlsb-01-18基线类型强制要求等保一、二级等保三级涉普通商秘(工作秘密 ) 涉核心商秘隐藏设备字符管理界面的bannner 信息。comm