【正文】 置路由器防止地址欺騙安全基線要求項安全基線編號SBLCiscoRouter040101 安全基線項說明 配置路由器，防止地址欺騙。檢測操作步驟 1. 參考配置操作配置命令如下：Router config tEnter configuration mands, one per line. End with CNTL/Z.Router(config) interface eth0/0Router(configif) no ntp disableRouter(configif) exit Router(config) ntp server source loopback0Router(config) exit2. 補充操作說明需要到每個端口開啟 NTP基線符合性判定依據(jù)1. 判定條件I. 存在 ntp server 配置條目II. 日志記錄時間準確2. 檢測操作I. 使用 show runningconfig 命令，如下例：routershow runningconfigBuilding configuration...Current configuration:!…no ntp disablentp updatecalendarntp server ntp server 14 / 44II. show logging | include NTP000019: Jan 29 10:57: EST: %NTP5PEERSYNC: NTP synced to peer 000020: Jan 29 10:57: EST: %NTP6PEERREACH: Peer is reachable3. 補充說明日志時間不準確導(dǎo)致安全事件定位的不準確備注 遠程日志功能*安全基線項目名稱遠程日志功能安全基線要求項安全基線編號SBLCiscoRouter030104 安全基線項說明 設(shè)備應(yīng)支持遠程日志功能。V. 配置遠程訪問協(xié)議為 ssh基線符合性判定依據(jù)1. 判定條件I. 存在 rsa 密鑰對II. 遠程登錄指定 ssh 協(xié)議2. 檢測操作I. 使用 show crypto key mypubkey rsa 命令，如下例：Router(config) show crypto key mypubkey rsa% Key pair was generated at: 06:07:49 UTC Jan 13 1996Key name: Usage: Signature Key Key Data: 005C300D 06092A86 4886F70D 01010105 00034B00 30480241 00C5E23B 55D6AB2204AEF1BA A54028A6 9ACC01C5 129D99E4 64CAB820 847EDAD9 DF0B4E4C 73A05DD2BD62A8A9 FA603DD2 E2A8A6F8 98F76E28 D58AD221 B583D7A4 71020301 0001% Key pair was generated at: 06:07:50 UTC Jan 13 1996Key name: Usage: Encryption Key Key Data: 00302022 4A7D385B 1234EF29 335FC973 2DD50A37 C4F4B0FD 9DADE748 429618D5 18242BA3 2EDFBDD3 4296142A DDF7D3D8 08407685 2F2190A0 0B43F1BD 9A8A26DB 07953829 791FCDE9 A98420F0 6A82045B 90288A26 DBC64468 7789F76E EE21II. 使用 show runningconfig 命令，如下例：routershow runningconfigBuilding configuration...Current configuration:10 / 44!line vty 0 4transport input ssh3. 補充說明使用非加密協(xié)議在傳輸過程中容易被截獲口令備注11 / 44第 3 章 日志安全要求 日志安全 對用戶登錄進行記錄安全基線項目名稱用戶登錄進行記錄安全基線要求項安全基線編號SBLCiscoRouter030101 安全基線項說明 與記賬服務(wù)器(如 RADIUS 服務(wù)器或 TACACS 服務(wù)器)配合，設(shè)備應(yīng)配置日志功能，對用戶登錄進行記錄，記錄內(nèi)容包括用戶登錄使用的帳號，登錄是否成功，登錄時間，以及遠程登錄時，用戶使用的 IP 地址。密碼應(yīng)至少每 90 天進行更換。如使用 enable secret 配置 Enable 密碼，不使用 enable password 配置 Enable 密碼。檢測操作步驟 1．參考配置操作Router config tEnter configuration mands, one per line. End with CNTL/Z.Router(config) no username ruser32．補充操作說明基線符合性判定依據(jù)1. 判定條件I. 配置文件存在多帳號II. 網(wǎng)絡(luò)管理員確認所有帳號與設(shè)備運行、維護等工作有關(guān)2. 檢測操作使用 show runningconfig 命令，如下例：routershow runningconfigBuilding configuration...Current configuration:!username user1 privilege 1 password password1username nobodyuse privilege 1 password password13. 補充說明刪除不用的帳號，避免被利用4 / 44備注 需要手工檢查，由管理員判斷是否存在無關(guān)帳號 限制具備管理員權(quán)限的用戶遠程登錄*安全基線項目名稱限制具備管理員權(quán)限的用戶遠程登錄安全基線要求項安全基線編號SBLCiscoRouter020103 安全基線項說明 限制具備管理員權(quán)限的用戶遠程登錄。避免不同用戶間共享帳號。 實施本標準的解釋權(quán)和修改權(quán)屬于中國移動集團管理信息系統(tǒng)部，在本標準的執(zhí)行過程中若有任何疑問或建議，應(yīng)及時反饋。3 / 44目 錄第 1 章 概述 ...........................................................................................................................................1 目的 ...........................................................................................................................................1 適用范圍 ...................................................................................................................................1 適用版本 ...................................................................................................................................1 實施 ...........................................................................................................................................1 例外條款 ...................................................................................................................................1第 2 章 帳號管理、認證授權(quán)安全要求 ...............................................................................................2 帳號管理 ...................................................................................................................................2 用戶帳號分配 *................................................................................................................2 刪除無關(guān)的帳號 *............................................................................................................3 限制具備管理員權(quán)限的用戶遠程登錄 *........................................................................4 口令 ...........................................................................................................................................5 靜態(tài)口令以密文形式存放 ..............................................................................................5 帳號、口令和授權(quán) ..........................................................................................................6 密碼復(fù)雜度 ......................................................................................................................7 授權(quán) ...........................................................................................................................................8 用 IP 協(xié)議進行遠程維護的設(shè)備使用 SSH 等加密協(xié)議 ................................................8第 3 章 日志安全要求 .........................................................................................................................11 日志安全 .................................................................................................................................11 對用戶登錄進行記錄 ....................................................................................................11 記錄用戶對設(shè)備的操作 ................................................................................................12 開啟 NTP 服務(wù)保證記錄的時間的準確性 ...................................................................13 遠程日志功能 *..............................................................................................................14第 4 章 IP 協(xié)議安全要求 ................................................