主流网络设备三级等保测评指导与加固

一、查看设备版本

通过display version命令的回显，查看交换机的版本信息。

二、登录设备

1. 打开网络浏览器，输入交换机的IP地址，输入具有管理权限的用户名和密码，即可查看交换机的配置状态。

2. 在PC上打开浏览器，输入交换机的IP地址，进入Web网管登录界面。

3. 通过Console口连接交换机，使用命令行配置Web登录的IP地址和接口。

三、现场测评

1、身份鉴别：

为确保网络设备的安全，必须对网络设备的每个用户进行有效的标识与鉴别。只有通过鉴别的用户，才能被赋予相应的权限进入网络设备，并在规定的权限范围内进行操作

a）应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换；

【要求解读】

用户登录网络设备的方式包括通过串口本地连接登录、通过TCP/IP网络进行远程Telnet、SSH登录。无论采用哪种登录方式都需要对用户身份进行鉴别。口令是网络设备用来防止非授权访问的常用手段，网络设备不允许配置相同用户名的用户，要防止多人共用一个账户，应为每名管理员设置单独的账户，并保证口令复杂度，满足定期更改口令的要求。

【测评方法】

（1）核查是否在用户登录时采用了身份鉴别措施。

（2）核查用户列表，测试用户身份标识是否具有唯一性。

（3）查看用户配置信息，核查是否存在空口令用户。

      （4）核查用户鉴别信息是否满足复杂度和定期更换要求。

  Cisco设备：输入“show run | include username”命令，在返回的配置信息里查找如下用户列表配置，查看用户名、密码、权限配置信息：

输入“show password-control”命令，在返回的配置信息里查找如下配置：口令复杂度、口令定期更换周期。

华为/H3C设备：输入aaa进入aaa视图，再次输入dis this，查看用户名、密码、权限配置信息：

H3C设备输入“display password-control”命令，在返回的配置信息里查找如下配置：口令复杂度、口令定期更换周期。

华为设备执行命令display local-aaa-user password policy

【测评结果】

（1）网络设备使用口令对登录用户进行身份标识和鉴别。用户登录时提示输入用户名和口令。以错误口令或空口令登录时提示登录失败,证明了登录控制功能的有效性。网络设备中不存在密码为空的用户。

【安全加固】

配置网络设备使用用户名+密码认证方式，认证通过才可以登录并管理网络设备，后期密码定期进行更换并满足高复杂度要求。

华为/H3C设备：输入local-user xitong password cipher Admin@123456，创建新用户并设置密码。

密码复杂度和定期更换要求：

Password control: Enabled为已开启口令复杂度策略要求，Disabled为未开启口令复杂度策略要求；

Password aging: Enabled (90 days) 为密码最长使用期限90天。

Password length: Enabled (8 characters) 为密码最小长度8位。

Password composition: Enabied(3 types, 1 characters per type) 为最少包含三种字符，且每种字符最少使用1位；

Password history: Enabled (max history records：4)为新密码中最多包含旧密码中的4个字符。

Early notice on password expiration: 7 days为密码有效期到期前7天提示更换。

User authentication timeout:600 seconds为用户认证超时时间6分钟。

Maximum failedlogin attempts: 5 times为最多登录失败次数5次。

Login attempt-failed action: Lock for 5 minutes为达到最多登录失败次数5次后，处理动作为锁定账户5分钟。

Cisco设备:创建新用户并设置密码username admin privilege 1 password Admin@123456。

密码复杂度和定期更换要求：

输入password-control min-length 8 special-char 1 upper-case 1 lower-case 1 numeric-count 1，配置密码复杂度最小长度为8，至少各包含大小写字母、数字、特殊字符1位。

思科设备默认无法直接配置密码定期更换要求。

b）应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施；

【要求解读】

网络设备，可以通过配置结束会话、限制管理员的最大登录失败次数、设置网络连接超时自动退出等多种措施提高设备自身安全性，一旦管理员的登录失败次数超过设定的数值，系统将对其进行登录锁定，从而防止非法用户通过暴力破解的方式登录网络设备。

【测评方法】

(1)核查是否配置并启用了登录失败处理功能。如果设备只允许通过堡垒机维护管理，则先核查堡垒机是否具有登录失败处理功能。如果网络中没有部署堡垒机，则核查设备是否启用了登录失败处理功能。

(2)核查是否配置并启用了非法登录达到一定次数后锁定账户的功能。

(3)核查是否配置并启用了远程登录连接超时自动退出的功能。

登录失败处理查询：

华为/H3C网络设备：输入“display password-control”命令，在返回的配置信息里查找如下配置