华为网络设备安全基线配置指南

1     帐号管理、认证授权

1.1  账号管理

1.1.1 ELK-Huawei-01-01-01

编号:

ELK-Huawei-01-01-01

名称:

无效帐户清理

实施目的:

删除与设备运行、维护等工作无关的账号

问题影响:

账号混淆,权限不明确,存在用户越权使用的可能。

系统当前状态:

查看备份的系统配置文件中帐号信息。

实施方案:

参考配置操作

aaa

undo local-user test

 

回退方案:

还原系统配置文件。

判断依据:

标记用户用途,定期建立用户列表,比较是否有非法用户

实施风险:

重要等级:

★★★

实施风险:

重要等级:

★★★

1.2   登录要求

1.2.1 ELK-Huawei-01-02-01

编号:

Huawie-01-02-01

名称:

远程登录加密传输

实施目的:

远程登陆采用加密传输

问题影响:

泄露密码

系统当前状态:

查看备份的系统配置文件中远程登陆的配置状态。

实施方案:

参考配置操作

全局模式下配置如下命令:

(1)R36xxE系列、R2631E系列

#protocol inbound ssh x [acl xxxx];

#ssh user xxxx assign rsa-key  xxxxxx;      

#ssh user xxxx authentication-type [ password | RSA | all ]

(2)NE系列

#local-user username password [simple | cipher] password

#aaa enable

#ssh user username authentication-type password

#user-interface vty x

#authentication-mode scheme  default

#protocol inbound ssh

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中远程登陆的配置状态。

实施风险:

重要等级:

1.2.2 ELK-Huawei-01-02-02

编号:

ELK-Huawei-01-02-02

名称:

加固AUX端口的管理

实施目的:

除非使用拨号接入时使用AUX端口,否则禁止这个端口。

问题影响:

用户非法登陆

系统当前状态:

查看备份的系统配置文件中关于CON配置状态。

实施方案:

参考配置操作

# undo modem

设置完成后无法通过AUX拨号接入路由器

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于CON配置状态。

实施风险:

重要等级:

1.2.3 ELK-Huawei-01-02-03

编号:

ELK-Huawei-01-02-03

名称:

远程登陆源地址限制

实施目的:

对登录用户的源IP地址进行过滤,防止某些获得登录密码的用户从非法的地址登录到设备上。

问题影响:

非法登陆。

系统当前状态:

查看备份的系统配置文件中关于登录配置状态。

实施方案:

参考配置操作

全局模式下配置如下命令:

acl acl-number [match [config  | auto]];

rule {normal |special} {permit | deny}  [source xxx xxx] [destination xxx xxx] ….

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于登录配置状态。

实施风险:

重要等级:

1.3   认证和授权

1.3.1 ELK-Huawei-01-03-01

编号:

ELK-Huawei-01-03-01

名称:

认证和授权设置

实施目的:

设备通过相关参数配置,与认证系统联动,满足帐号、口令和授权的强制要求。

问题影响:

非法登陆。

系统当前状态:

查看备份的系统配置文件中相关配置。

实施方案:

参考配置操作

#对远程登录用户先用RADIUS服务器进行认证,如果没有响应,则不认证。

#认证服务器IP地址为129.7.66.66,无备用服务器,端口号为默认值1812。

# 配置RADIUS服务器模板。

[Router] radius-server template shiva

# 配置RADIUS认证服务器IP地址和端口。

Router-radius-shiva]radius-server authentication  129.7.66.66 1812

# 配置RADIUS服务器密钥、重传次数。

[Router-radius-shiva] radius-server shared-key  it-is-my-secret

[Router-radius-shiva] radius-server retransmit 2

[Router-radius-shiva] quit

# 进入AAA视图。

[Router] aaa

# 配置认证方案r-n,认证方法为先RADIUS,如果没有响应,则不认证。

[Router–aaa] authentication-scheme r-n

[Router-aaa-authen-r-n] authentication-mode radius none

[Router-aaa-authen-r-n] quit

# 配置default域,在域下采用r-n认证方案、缺省的计费方案(不计费),shiva的RADIUS模板。

[Router-aaa] domain default

[Router-aaa-domain-default]  authentication-scheme r-n

[Router-aaa-domain-default]radius-server shiva

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中相关配置。

实施风险:

重要等级:

2     日志配置

2.1 ELK-Huawei-02-01-01

编号:

ELK-Huawei-02-01-01

名称:

开启日志功能

实施目的:

支持数据日志,可以记录系统日志与用户日志。系统日志指系统运行过程中记录的相关信息,用以对运行情况、故障进行分析和定位,日志文件可以通过XModem、FTP、TFTP协议,远程传送到网管中心。

判断依据:

无法对用户的登陆进行日志记录。

系统当前状态:

查看备份的系统配置文件中关于日志功能的配置。

实施方案:

参考配置操作

#info-center enable;                     默认已启动

#info-center console;                   向控制台输出日志

#info-center logbuffer;                 向路由器内部缓冲器输出日志

#info-center loghost;                   向日志主机输出日志

#info-center monitor;                   向telnet终端或哑终端输出日志

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于日志功能的配置。

实施风险:

重要等级:

★★★

3     通信协议

3.1 ELK-Huawei-03-01-01

编号:

ELK-Huawei-03-01-01

名称:

SNMP服务配置

实施目的:

如不需要提供SNMP服务的,要求禁止SNMP协议服务,注意在禁止时删除一些SNMP服务的默认配置。

问题影响:

对系统造成不安全影响。

系统当前状态:

查看备份的系统配置文件中关于SNMP服务的配置。

实施方案:

 参考配置操作

全局模式下配置如下命令:

Undo snmp enable

undo snmp-agent community RWuser

关闭snmp的设备不能被网管检测到,关闭写权限的设备不能进行set操作。

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于SNMP服务的配置。

实施风险:

重要等级:

3.2 ELK-Huawei-03-01-02

编号:

ELK-Huawei-03-01-02

名称:

更改SNMP TRAP协议端口;

实施目的:

如开启SNMP协议,要求更改SNMP trap协议的标准端口号,以增强其安全性。

问题影响:

容易引起拒绝服务攻击。

系统当前状态:

查看备份的系统配置文件中关于SNMP服务的配置。

实施方案:

 参考配置操作

全局模式下配置如下命令:

 R36xxE系列、R2631E系列

#snmp-agent

#snmp-agent target-host trap  address xxx.xxx.xxx.xxx security xxx port xxx

#snmp-agent trap enable

NE系列

#snmp-agent

#snmp-agent target-host trap  address udp-domain xxx.xxx.xxx.xxx securityname xxx udp-port xxx

#snmp-agent trap enable

回退方案:

还原系统配置文件。

判断依据:

Show SNMP

实施风险:

重要等级:

3.3 ELK-Huawei-03-01-03

编号:

ELK-Huawei-03-01-03

名称:

限制发起SNMP连接的源地址

实施目的:

如开启SNMP协议,要求更改SNMP 连接的源地址,以增强其安全性。

问题影响:

被非法攻击。

系统当前状态:

查看备份的系统配置文件中关于SNMP服务的配置。

实施方案:

参考配置操作

全局模式下配置如下命令:

#snmp-agent

# snmp-agent community [read |  write] XXXX acl xxxx

【影响】:只有指定的网管网段才能使用SNMP维护

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于SNMP服务的配置。

实施风险:

重要等级:

3.4 ELK-Huawei-03-01-04

编号:

ELK-Huawei-03-01-04

名称:

设置SNMP密码

实施目的:

如开启SNMP协议,要求设置并定期更改SNMP Community(至少半年一次),以增强其安全性。

系统当前状态:

查看备份的系统配置文件中关于SNMP服务的配置。

问题影响:

泄露密码,引起非法登陆。

实施方案:

参考配置操作

全局模式下配置如下命令:

#snmp-agent

# snmp-agent community [read |  write] XXXX(不建议打开write特性)

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于SNMP服务的配置。

实施风险:

重要等级:

3.5   ELK-Huawei-03-01-05

编号:

ELK-Huawei-03-01-05

名称:

SNMP访问安全限制

实施目的:

设置SNMP访问安全限制,只允许特定主机通过SNMP访问网络设备。

问题影响:

非法登陆。

系统当前状态:

查看备份的系统配置文件中关于SNMP服务的配置。

实施方案:

参考配置操作

#snmp-agent community read XXXX01 acl 2000

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于SNMP服务的配置。

实施风险:

重要等级:

3.6 ELK-Huawei-03-01-06

编号:

ELK-Huawei-03-01-06

名称:

源地址路由检查

实施目的:

为了防止利用IP Spoofing手段假冒源地址进行的攻击对整个网络造成的冲击,要求在所有的边缘路由设备(即直接与终端用户网络互连的路由设备)上,根据用户网段规划添加源路由检查。此外,该功能会对设备的转发性能造成影响,所以它更适用于网络接入层设备,汇聚层和核心层设备不建议使用。

问题影响:

会对设备负荷造成影响。

系统当前状态:

查看备份的系统配置文件中关于CEF 服务的配置。

实施方案:

参考配置操作

全局模式下配置如下命令:

#urpf enable

回退方案:

还原系统配置文件。

判断依据:

查看配置文件,核对参考配置操作

实施风险:

重要等级:

4     设备其它安全要求

4.1 ELK-Huawei-04-01-01

编号:

ELK-Huawei-04-01-01

名称:

禁止未使用或空闲的端口

实施目的:

防止从空闲端口渗透到系统内部

问题影响:

从空闲端口渗透到系统内部

系统当前状态:

查看备份的系统配置文件中关于端口启用的配置。

实施方案:

参考配置操作

在不使用的端口启用如下命令:

# shutdown

回退方案:

还原系统配置文件。

判断依据:

查看备份的系统配置文件中关于端口启用的配置。

实施风险:

重要等级:

★★★

4.2 ELK-Huawei-04-01-02

编号:

ELK-Huawei-04-01-02

名称:

关闭不必要的服务

实施目的:

关闭网络设备不必要的服务,比如FTP、NTP、HGMP、Dhcp Server服务等

问题影响:

造成系统不安全性增加,难以管理。

系统当前状态:

查看备份的系统配置文件。

实施方案:

参考配置操作

全局模式下配置如下命令:

!FTP服务的关闭

#undo   ftp server

回退方案:

还原系统配置文件。

判断依据:

查看配置文件,核对参考配置操作。

实施风险:

重要等级:

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:http://www.mzph.cn/news/628016.shtml

如若内容造成侵权/违法违规/事实不符,请联系多彩编程网进行投诉反馈email:809451989@qq.com,一经查实,立即删除!

相关文章

C#:单例,闭包,委托与事件,线程,Parallel,Params,扩展方法,接口与抽象类

单例模式 在对泛型的约束中,最常使用的关键字有where 和 new。 其中where关键字是约束所使用的泛型,该泛型必须是where后面的类,或者继承自该类。 new()说明所使用的泛型,必须具有无参构造函数,这是为了能够正确的初始…

系统添加深色模式实现方案

业务需求,夜间看系统太刺眼,要求添加夜间模式 效果如下: 依赖如下: 参考了官方解决方案,尝试后没有有效的解决. 官方解决方案 后续打算换框架,发现antdesign pro vue版本的暗黑模式禁用了. ant design pro 预览地址 思路: 引入andesign 暗黑模式的样式 , 手动修改自定义类…

在Linux上使用PHP-FPM与Nginx实现高效的HTTP处理

当谈到高效的HTTP处理时,PHP-FPM(FastCGI进程管理器)与Nginx的结合是许多web开发者的首选。这种组合提供了出色的性能、可扩展性和稳定性,尤其适用于高流量的网站和应用程序。 1. 为什么选择PHP-FPM与Nginx? 性能优化…

C++I/O流——(3)文件输入/输出(第一节)

归纳编程学习的感悟, 记录奋斗路上的点滴, 希望能帮到一样刻苦的你! 如有不足欢迎指正! 共同学习交流! 🌎欢迎各位→点赞 👍 收藏⭐ 留言​📝 含泪播种的人一定能含笑收获&#xff…

【python入门】day27: 模拟高铁售票系统

界面 代码 #-*- coding:utf-8 -*- import prettytable as pt#---------导入漂亮表格 import os.path filename ticket.txt#更新座位状态 def update(row_num):#------更新购票状态with open(filename,w,encodingutf-8) as wfile:for i in range(row_num):lst1 [f{i1},有票,有…

java自动化将用例和截图一起执行测试放入world中直接生成测试报告【搬代码】

1.首先我们得用例写好之后放入文档中,把不用的案例类型、前置条件去掉之后,如图: 放到桌面后,先看执行结果: 首先,我们先创建一个时间,这个时间主要是给图片创建名称,并且要在插入world中使用该时间去查找对应的图片名称,且该图片名称是唯一值 //创建时间public st…

原生js监听当前元素之外的点击事件

监听当前元素之外的点击事件 一、具体场景二、具体实现三、完整代码 一、具体场景 当我们需要实现点击其他位置关闭弹窗的时候,就需要监听当前元素之外的点击事件。 二、具体实现 实现思路:监听整个dom的点击事件,判断当前元素是否包含点击…

数据库重点简答题

文章目录(持续更新) 数据库重点简答题📣一、SQL语言的作用?📣二、说一下你对ER图的认识?📣三、数据库中的三个模型?📣四、数据库基本表和视图的区别和联系?&a…

Qt 信号和槽机制

一. 简介 在Qt中使用信号和槽机制来完成对象之间的协同操作。简单来说,信号和槽都是函数,比如按下窗口上的一个按钮后想要弹出一个对话框,那么就可以将这个按钮的单击信号和我们定义的槽关联起来,在这个槽中可以创建一个对话框&am…

Linux相关命令使用

一、Vi与Vim编辑器 1、正常模式 以vim打开一个档案就直接进入一般模式了,在这个模式中,你可以使用【上下左右】移动光标,可以使用【删除字符】或【删除整行】来处理档案内容,也可以使用【复制、粘贴】来处理你的文件数据。 2、…

训练DAMO-YOLO(damoyolo_tinynasL25_S.py)

文章目录 参考链接1 准备数据1.1 转为COCO格式1.2 指明数据路径 2 设置训练配置文件,在configs/damoyolo_tinynasL25_S.py进行如下两块修改2.1 关于训练参数的设置2.2 根据自己数据集设置 3 开始训练4 调用tools/eval.py进行测试5 训练时可能遇到的报错5.1 RuntimeE…

前端JS实现全屏和退出全屏的效果

全屏效果想必我们都很清楚把,平时追剧看电视剧什么都会使用全屏方便我们看,我们键盘的第一个键esc可以退出全屏,那么我们如何用js实现全屏的办法呢? 设置全屏 Document.requestFullscreen(),该方法用于异步请求使元素…

详解Matlab深度学习进行波形分割

🔗 运行环境:Matlab 🚩 撰写作者:左手の明天 🥇 精选专栏:《python》 🔥 推荐专栏:《算法研究》 🔐#### 防伪水印——左手の明天 ####🔐 💗 大家…

【DB】Redis缓存优化策略之,缓存预热与缓存清除

文章目录 1、什么是缓存优化?2、缓存预热3、缓存清除/更新4、reids缓存预热与清除5、总结 1、什么是缓存优化? 缓存是一种数据存储技术,用于存储经常访问的数据,以便在需要时快速获取。通过缓存数据,可以减少数据的访…

mysql进阶-深度为2的B+Tree树能存储多少行数据?

目录 1. 非叶子节点计算 2. 叶子节点存储的是完整的数据。 3. 整体计算 BTree树需要计算有叶子节点和非叶子节点。 假设一张商品表的数据结构如下: CREATE TABLE t_good (good_id int(12) NOT NULL AUTO_INCREMENT COMMENT 主键,good_name varchar(20) DEFAULT…

深度学习的基本概念汇总

这里小小总结一下看论文时常见到的名词,不用再一个个搜索啦!!! 1.batch size batch size是指在训练集中取的样本数,batch的size设置的不能太大也不能太小,因此实际工程中最常用的就是mini-batch&#xff0c…

C#编程-实现委托

实现委托 委托是可以存储对方法的引用的对象。在C#中,委托允许您动态地改变类中方法的引用。 考虑咖啡售货机的示例,它配置不同口味的咖啡,例如卡布奇诺咖啡和黑咖啡。在选择所需口味的咖啡时,售货机决定混合各种成分,例如奶粉、咖啡粉、热水、卡布奇诺咖啡粉。所有的材…

.Net Core 使用 AspNetCoreRateLimit 实现限流

上一篇文章介绍过ASP.NET Core 的 Web Api 实现限流 中间件-CSDN博客 使用.NET 7 自带的中间件 Microsoft.AspNetCore.RateLimiting 可以实现简单的Api限流,但是这个.NET 7以后才集成的中间件,如果你使用的是早期版本的.NET,可以使用第三方库…

React函数式组件学习笔记

React是一种用于构建用户界面的JavaScript库,它采用组件化的方式来构建复杂的UI。在React中,函数式组件是一种声明式的方式去描述UI的状态和行为。 React的特性 1.声明式设计-React采用声明范式,可以轻松描述应用 2.高效-React通过对DOM的模…

LaTeX系列1——主结构

初学,可交流,轻喷 \documentclass{book} \begin{document} \title{Book Title} \author{Author Name} \date{\today} \maketitle\chapter{Introduction} This is the introduction chapter of the book.\section{First Section} The first section of t…