华为 HUAWEI 网络设备路由交换 基线安全加固操作

目录

 

帐号管理 ELK-Huawei-01-01-01

登录要求 ELK-Huawei-01-02-01

认证和授权 ELK-Huawei-01-03-01

日志配置 ELK-Huawei-02-01-01

通信协议 ELK-Huawei-03-01-01

设备其它安全要求 ELK-Huawei-04-01-01


 

帐号管理 ELK-Huawei-01-01-01

编号:

ELK-Huawei-01-01-01

名称:

无效帐户清理

实施目的:

删除与设备运行、维护等工作无关的账号

问题影响:

账号混淆,权限不明确,存在用户越权使用的可能。

系统当前状态:

查看备份的系统配置文件中帐号信息。

实施方案:

  1. 参考配置操作

aaa

undo local-user test 

 

回退方案:

还原系统配置文件。

判断依据:

标记用户用途,定期建立用户列表,比较是否有非法用户

实施风险:

重要等级:

★★★

实施风险:

重要等级:

★★★

 

 

登录要求 ELK-Huawei-01-02-01

编号:

Huawie-01-02-01

名称:

远程登录加密传输

实施目的:

远程登陆采用加密传输

问题影响:

泄露密码

系统当前状态:

查看备份的系统配置文件中远程登陆的配置状态。

实施方案:

1、参考配置操作

全局模式下配置如下命令:

(1)R36xxE系列、R2631E系列

#protocol inbound ssh x [acl xxxx];

#ssh user xxxx assign rsa-key xxxxxx;

#ssh user xxxx authentication-type [ password | RSA | all ]

(2)NE系列

#local-user username password [simple | cipher] password

#aaa enable

#ssh user username authentication-type password

#user-interface vty x

#authentication-mode scheme default

#protocol inbound ssh

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中远程登陆的配置状态。

实施风险:

重要等级:

 

ELK-Huawei-01-02-02

编号:

ELK-Huawei-01-02-02

名称:

加固AUX端口的管理

实施目的:

除非使用拨号接入时使用AUX端口,否则禁止这个端口。

问题影响:

用户非法登陆

系统当前状态:

查看备份的系统配置文件中关于CON配置状态。

实施方案:

1、参考配置操作

# undo modem

设置完成后无法通过AUX拨号接入路由器

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于CON配置状态。

实施风险:

重要等级:

 

ELK-Huawei-01-02-03

编号:

ELK-Huawei-01-02-03

名称:

远程登陆源地址限制

实施目的:

对登录用户的源IP地址进行过滤,防止某些获得登录密码的用户从非法的地址登录到设备上。

问题影响:

非法登陆。

系统当前状态:

查看备份的系统配置文件中关于登录配置状态。

实施方案:

  1. 参考配置操作

全局模式下配置如下命令:

acl acl-number [match [config | auto]];

rule {normal |special} {permit | deny} [source xxx xxx] [destination xxx xxx] ….

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于登录配置状态。

实施风险:

重要等级:

 

认证和授权 ELK-Huawei-01-03-01

编号:

ELK-Huawei-01-03-01

名称:

认证和授权设置

实施目的:

设备通过相关参数配置,与认证系统联动,满足帐号、口令和授权的强制要求。

问题影响:

非法登陆。

系统当前状态:

查看备份的系统配置文件中相关配置。

实施方案:

  1. 参考配置操作

#对远程登录用户先用RADIUS服务器进行认证,如果没有响应,则不认证。

#认证服务器IP地址为129.7.66.66,无备用服务器,端口号为默认值1812。

# 配置RADIUS服务器模板。

[Router] radius-server template shiva

# 配置RADIUS认证服务器IP地址和端口。

Router-radius-shiva]radius-server authentication 129.7.66.66 1812

# 配置RADIUS服务器密钥、重传次数。

[Router-radius-shiva] radius-server shared-key it-is-my-secret

[Router-radius-shiva] radius-server retransmit 2

[Router-radius-shiva] quit

# 进入AAA视图。

[Router] aaa

# 配置认证方案r-n,认证方法为先RADIUS,如果没有响应,则不认证。

[Router–aaa] authentication-scheme r-n

[Router-aaa-authen-r-n] authentication-mode radius none

[Router-aaa-authen-r-n] quit

# 配置default域,在域下采用r-n认证方案、缺省的计费方案(不计费),shiva的RADIUS模板。

[Router-aaa] domain default

[Router-aaa-domain-default] authentication-scheme r-n

[Router-aaa-domain-default]radius-server shiva

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中相关配置。

实施风险:

重要等级:

 

 

日志配置 ELK-Huawei-02-01-01

编号:

ELK-Huawei-02-01-01

名称:

开启日志功能

实施目的:

支持数据日志,可以记录系统日志与用户日志。系统日志指系统运行过程中记录的相关信息,用以对运行情况、故障进行分析和定位,日志文件可以通过XModem、FTP、TFTP协议,远程传送到网管中心。

判断依据:

无法对用户的登陆进行日志记录。

系统当前状态:

查看备份的系统配置文件中关于日志功能的配置。

实施方案:

  1. 参考配置操作

#info-center enable; 默认已启动

#info-center console; 向控制台输出日志

#info-center logbuffer;     向路由器内部缓冲器输出日志

#info-center loghost; 向日志主机输出日志

#info-center monitor; 向telnet终端或哑终端输出日志

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于日志功能的配置。

实施风险:

重要等级:

★★★

 

通信协议 ELK-Huawei-03-01-01

编号:

ELK-Huawei-03-01-01

名称:

SNMP服务配置

实施目的:

如不需要提供SNMP服务的,要求禁止SNMP协议服务,注意在禁止时删除一些SNMP服务的默认配置。

问题影响:

对系统造成不安全影响。

系统当前状态:

查看备份的系统配置文件中关于SNMP服务的配置。

实施方案:

  1. 参考配置操作

全局模式下配置如下命令:

Undo snmp enable

undo snmp-agent community RWuser

关闭snmp的设备不能被网管检测到,关闭写权限的设备不能进行set操作。

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于SNMP服务的配置。

实施风险:

重要等级:

 

ELK-Huawei-03-01-02

编号:

ELK-Huawei-03-01-02

名称:

更改SNMP TRAP协议端口;

实施目的:

如开启SNMP协议,要求更改SNMP trap协议的标准端口号,以增强其安全性。

问题影响:

容易引起拒绝服务攻击。

系统当前状态:

查看备份的系统配置文件中关于SNMP服务的配置。

实施方案:

  1. 参考配置操作

全局模式下配置如下命令:

  1. R36xxE系列、R2631E系列

#snmp-agent

#snmp-agent target-host trap address xxx.xxx.xxx.xxx security xxx port xxx

#snmp-agent trap enable

(2)NE系列

#snmp-agent

#snmp-agent target-host trap address udp-domain xxx.xxx.xxx.xxx securityname xxx udp-port xxx

#snmp-agent trap enable

回退方案:

还原系统配置文件。

判断依据:

Show SNMP

实施风险:

重要等级:

 

​​​​​​​ELK-Huawei-03-01-03

编号:

ELK-Huawei-03-01-03

名称:

限制发起SNMP连接的源地址

实施目的:

如开启SNMP协议,要求更改SNMP 连接的源地址,以增强其安全性。

问题影响:

被非法攻击。

系统当前状态:

查看备份的系统配置文件中关于SNMP服务的配置。

实施方案:

1、参考配置操作

全局模式下配置如下命令:

#snmp-agent

# snmp-agent community [read | write] XXXX acl xxxx

【影响】:只有指定的网管网段才能使用SNMP维护

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于SNMP服务的配置。

实施风险:

重要等级:

 

​​​​​​​ELK-Huawei-03-01-04

编号:

ELK-Huawei-03-01-04

名称:

设置SNMP密码

实施目的:

如开启SNMP协议,要求设置并定期更改SNMP Community(至少半年一次),以增强其安全性。

系统当前状态:

查看备份的系统配置文件中关于SNMP服务的配置。

问题影响:

泄露密码,引起非法登陆。

实施方案:

1、参考配置操作

全局模式下配置如下命令:

#snmp-agent

# snmp-agent community [read | write] XXXX(不建议打开write特性)

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于SNMP服务的配置。

实施风险:

重要等级:

 

​​​​​​​ELK-Huawei-03-01-05

编号:

ELK-Huawei-03-01-05

名称:

SNMP访问安全限制

实施目的:

设置SNMP访问安全限制,只允许特定主机通过SNMP访问网络设备。

问题影响:

非法登陆。

系统当前状态:

查看备份的系统配置文件中关于SNMP服务的配置。

实施方案:

  1. 参考配置操作

#snmp-agent community read XXXX01 acl 2000

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于SNMP服务的配置。

实施风险:

重要等级:

 

 

​​​​​​​ELK-Huawei-03-01-06

编号:

ELK-Huawei-03-01-06

名称:

源地址路由检查

实施目的:

为了防止利用IP Spoofing手段假冒源地址进行的攻击对整个网络造成的冲击,要求在所有的边缘路由设备(即直接与终端用户网络互连的路由设备)上,根据用户网段规划添加源路由检查。此外,该功能会对设备的转发性能造成影响,所以它更适用于网络接入层设备,汇聚层和核心层设备不建议使用。

问题影响:

会对设备负荷造成影响。

系统当前状态:

查看备份的系统配置文件中关于CEF 服务的配置。

实施方案:

  1. 参考配置操作

全局模式下配置如下命令:

#urpf enable

回退方案:

还原系统配置文件。

判断依据:

查看配置文件,核对参考配置操作

实施风险:

重要等级:

 

 

设备其它安全要求 ELK-Huawei-04-01-01

编号:

ELK-Huawei-04-01-01

名称:

禁止未使用或空闲的端口

实施目的:

防止从空闲端口渗透到系统内部

问题影响:

从空闲端口渗透到系统内部

系统当前状态:

查看备份的系统配置文件中关于端口启用的配置。

实施方案:

  1. 参考配置操作

在不使用的端口启用如下命令:

# shutdown

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于端口启用的配置。

实施风险:

重要等级:

★★★

 

 

​​​​​​​ELK-Huawei-04-01-02

编号:

ELK-Huawei-04-01-02

名称:

关闭不必要的服务

实施目的:

关闭网络设备不必要的服务,比如FTP、NTP、HGMP、Dhcp Server服务等

问题影响:

造成系统不安全性增加,难以管理。

系统当前状态:

查看备份的系统配置文件。

实施方案:

  1. 参考配置操作

全局模式下配置如下命令:

!FTP服务的关闭

#undo  ftp server

回退方案:

还原系统配置文件。

判断依据:

查看配置文件,核对参考配置操作。

实施风险:

重要等级:

 

 

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/165723.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

本地websocket服务端暴露至公网访问【cpolar内网穿透】

本地websocket服务端暴露至公网访问【cpolar内网穿透】 文章目录 本地websocket服务端暴露至公网访问【cpolar内网穿透】1. Java 服务端demo环境2. 在pom文件引入第三包封装的netty框架maven坐标3. 创建服务端,以接口模式调用,方便外部调用4. 启动服务,出现以下信息表示启动成功…

C++设计模式之工厂模式(中)——工厂模式

工厂模式 工厂模式介绍示例示例使用运行结果工厂模式与简单工厂模式区别 工厂模式 工厂模式在简单工厂模式的基础之上进行了改进。当需要生产的产品种类增加,可以通过新增子类工厂来生产,没有破坏程序设计原则中的开放封闭原则。 介绍 工厂模式先抽象…

1.2.1 C语言结构体初始化方法总结

文章目录 结构体定义通用定义注册事项结构体初始化方法一简述示例方法二简述示例方法三简述示例方法四简述示例方法五简述示例结构体定义 通用定义 常用的结构体定义,有2种形式, 一种是关键字struct 结构体形式,如下

域控操作五:统一熄屏睡眠时间

直接看图路径,我只设置了熄屏,如果要睡眠就下面那个启用设置时间

Pytorch中的Tensorboard常用API

SummaryWriter函数 这个函数用于创建一个tensorboard文件,其中常用参数有 log_dir:tensorboard文件的存放路径。不设置log_dir默认会在当前程序所在的文件夹下创建个runs文件夹存储flush_secs:表示写入tensorboard文件的时间间隔comment&…

一文2000字使用JMeter进行接口测试教程!(建议收藏)

安装 使用JMeter的前提需要安装JDK,需要JDK1.7以上版本目前在用的是JMeter5.2版本,大家可自行下载解压使用 运行 进入解压路径如E: \apache-jmeter-5.2\bin,双击jmeter.bat启动运行 启动后默认为英文版本,可通过Options – Cho…

IIC驱动OLED HAL库+CubeMX

一.IIC传输数据的格式 1.写操作 2.读操作 3.IIC信号 二. IIC底层驱动 #define SCL_PIN GPIO_PIN_6 #define SDA_PIN GPIO_PIN_7#define SCL_PORT GPIOB #define SDA_PORT GPIOB/********************** 函数宏定义 **********************/ #d…

Navicat 技术指引 | 连接 GaussDB 主备版

Navicat Premium(16.2.8 Windows版或以上) 已支持对GaussDB 主备版的管理和开发功能。它不仅具备轻松、便捷的可视化数据查看和编辑功能,还提供强大的高阶功能(如模型、结构同步、协同合作、数据迁移等),这…

LangChain(0.0.339)官方文档一:快速入门

LangChain官网、LangChain官方文档 、langchain Github、langchain API文档、llm-universe 文章目录 一、LangChain简介(v0.0.338)1.1 整体框架1.2 主要组件1.2.1 Model I/O1.2.2 Retrieval1.2.2.1 RAG1.2.2.2 Retrieval 1.2.3 Chain 1.3 其它组件1.3.1 …

STM32笔记---RTC

目录 一、RTC简介 二、主要特性 三、功能描述 3.1 读RTC寄存器 3.2 配置RTC寄存器 四、BKP简介 五、RTC_Init() 1. 函数BKP_ReadBackupRegister 2.RCC_LSEConfig设置外部低速晶振(LSE) 3.RTC基本结构 5.RTC_Init()实现 6.time.h 一、R…

九州未来联合联通智网科技发布白皮书,促进车联网融合发展

2023年11月21日,由2023中国5G工业互联网大会组委会、工业和信息化部主办,联通智网科技承办的2023中国5G工业互联网大会——5G车联网与智慧交通创新发展平行会议,在武汉成功举办。 九州未来作为中国联通车联网创新联合体成员单位,受…

【Sql】sql server还原数据库的时候,提示:因为数据库正在使用,所以无法获得对数据库的独占访问权。

【问题描述】 sql server 还数据库的时候,提示失败。 点击左下角进度位置,可以得到详细信息: 因为数据库正在使用,所以无法获得对数据库的独占访问权。 【解决方法】 针对数据库先后执行下述语句,获得独占访问权后&a…

【Leetcode合集】2824. 统计和小于目标的下标对数目

2824. 统计和小于目标的下标对数目 2824. 统计和小于目标的下标对数目 代码仓库地址: https://github.com/slience-me/Leetcode 个人博客 :https://slienceme.xyz 给你一个下标从 0 开始长度为 n 的整数数组 nums 和一个整数 target ,请你…

线性空间(也叫向量空间)、线性运算

线性空间、线性运算 线性空间,也称向量空间。 假设是一个非空集合,是一个实数域。 在中定义了一个加法:即对中任何两个元素和,总有中另外一个元素与它们相对应,称为和的和,记作: 在定义了一个…

mac电脑系统活动监控:iStat Menus 中文 for Mac

iStat Menus是一款Mac操作系统上的系统监控工具,它提供了实时的系统状态和性能数据,让用户可以方便地监控和管理自己的电脑。iStat Menus以菜单栏图标的形式显示各种系统指标,用户可以轻松访问和查看这些信息。 以下是iStat Menus软件的一些…

debian 设置系统默认以命令行方式启动,关闭x windows

debian 设置系统默认以命令行方式启动,关闭x windows 2021-01-02 tech linux 设置 grub启动设置在/etc/default/grub中,打开 default grub 配置: $ sudo vim /etc/default/grub修改以下配置: 更新grub,设置多用户启动: …

针对MySql知识的回顾

MySql虽然是一个相对简单的关系型数据库,但也是一个最常用的数据库,也是一个非常经典的数据库,很多云产品也是基于MySql做了二开,从而变得非常强大,其中MySql最常用的是Innodb引擎,因为该引擎支持事务&…

第14章 多线程三 (线程同步)

目录 内容说明 章节内容 1、为什么需要多线程同步? 2、Java如何实现多线程同步?

CUDA学习笔记9——CUDA 共享内存 / Shared Memory

由于共享内存拥有仅次于寄存器的读写速度,比全局内存快得多。因此,能够用共享内存访问替换全局内存访问的场景都可以考虑做对应的优化。 不利用共享内存的矩阵乘法 不利用共享内存的矩阵乘法的直接实现。每个线程读取A的一行和B的一列,并计…

『Linux升级路』基础开发工具——gcc/g++篇

🔥博客主页:小王又困了 📚系列专栏:Linux 🌟人之为学,不日近则日退 ❤️感谢大家点赞👍收藏⭐评论✍️ 目录 一、快速认识gcc/g 二、预处理 📒1.1头文件展开 📒1…