reference中國(guó)移動(dòng)通信集團(tuán)網(wǎng)絡(luò)設(shè)備安全配置規(guī)范－思(編輯修改稿)
2025-05-13 13:10 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 統(tǒng)日志支持 提供遠(yuǎn)程監(jiān)控和日志功能，并能夠與思科和第三方管理應(yīng)用集成。PIX Firewall 設(shè)備管理器（PDM）可以為管理員提供一個(gè)直 觀的、基于 Web 的界面，從而使他們可以方便地配置和監(jiān)控一臺(tái) PIX Firewall，而不需要在管理員的計(jì)算機(jī)上安裝任何軟件（除了一個(gè)標(biāo)準(zhǔn)的 Web 瀏覽 器以外）。管理員可以利用PIX Firewall 所提供的命令行界面（CLI），通過(guò)多種方式（包括遠(yuǎn)程登陸、安全解釋程序（SSH），以及通過(guò)控制端口實(shí)現(xiàn)的帶外接入）對(duì) PIX Firewall 進(jìn)行遠(yuǎn)程配置、監(jiān)控和診斷。管理員還可以通過(guò) Cisco VPN/安全管理解決方案（VMS）中提供的 Cisco 安8 / 22全策略管理器（CSPM ）方便地對(duì)很多 PIX Firewall 防火墻進(jìn)行遠(yuǎn)程管理。 CSPM 是一種可擴(kuò)展的、下一代的 PIX 防火墻集中管理解決方案，具有多種功能，包括基于任務(wù)的接口、交互式網(wǎng)絡(luò)拓?fù)鋱D、策略向 導(dǎo)、策略輸出功能等等。9 / 22第三部分 設(shè)備安全配置建議設(shè)備安全配置建議是本規(guī)范重要的一個(gè)部分，該部分將對(duì)思科 PIX 防火墻安全配置的細(xì)節(jié)進(jìn)行描述，并 對(duì)配置適用的網(wǎng)絡(luò)層次、對(duì)設(shè)備性能的影響和配置實(shí)施的注意點(diǎn)進(jìn)行詳細(xì)說(shuō)明。1 網(wǎng)管及認(rèn)證問(wèn)題 訪問(wèn)管理一般而言，維護(hù)人員都習(xí)慣使用 CLI 來(lái)進(jìn)行設(shè)備配置和日常管理，使用Tel 工具來(lái)遠(yuǎn)程登錄設(shè)備 ，并且大部分 設(shè)備都提供 標(biāo)準(zhǔn)的 Tel 接口，開(kāi)放TCP 23 端口。雖然 Tel 在連接建立初期需要進(jìn)行帳號(hào)和密碼的核查，但是在此過(guò)程，以及后續(xù)會(huì)話中，都是明文方式傳送所有數(shù)據(jù)，容易造竊聽(tīng)而泄密。同時(shí) Tel 并不是一個(gè)安全的 協(xié)議。要求采用 SSH 協(xié)議來(lái)取代 Tel 進(jìn)行設(shè)備的遠(yuǎn)程登錄，SSH 與 Tel 一樣，提供遠(yuǎn)程連接登錄的手段。但是 SSH 傳送的數(shù)據(jù)（包括帳號(hào)和密碼）都會(huì)被加密，且密鑰會(huì)自動(dòng)更新，極大提高了連接的安全性。 SSH 可以非常有效地防止竊聽(tīng)、防止使用地址欺騙手段實(shí)施的連接嘗試。規(guī)范的配置文檔提供遠(yuǎn)程登陸 SSH 開(kāi)啟的方式，和 SSH 相關(guān)屬性的設(shè)置，如：超時(shí)間隔、嘗試登錄次數(shù)、控制連接的并發(fā)數(shù)目、如何采用訪問(wèn)列表嚴(yán)格控制訪問(wèn)的地址，對(duì)采用 AAA 的設(shè)置見(jiàn)帳號(hào)認(rèn)證和授權(quán) 部分。10 / 22 tel 服務(wù)的配置在默然情況下，PIX 的以太端口是不允許 tel 的，這一點(diǎn)與路由器有區(qū)別。Inside 端口可以做 tel 就能用了 ,但 outside 端口還 跟一些安全配置有關(guān)。如果不設(shè)置 tel 的相關(guān)屬性，對(duì) PIX 的配置只能通過(guò) CONSOLE 進(jìn)行。要求關(guān)閉tel 服務(wù)，采用 ssh 協(xié)議，否 則必須對(duì) tel 進(jìn)行訪問(wèn)地址限制和強(qiáng)口令認(rèn)證?！緫?yīng)用網(wǎng)絡(luò)層次】：在所有層面防火墻設(shè)備 【影響】：只有指定的網(wǎng)管網(wǎng)段可以登陸設(shè)備，其他地址將被限制【具體配置】：！開(kāi)啟 tel 服務(wù)：PIX(Config)tel inside PIX(Config)tel outside！對(duì) tel 訪問(wèn)地址進(jìn)行限制：PIX(Config)tel PIX(config) tel timeout 20！關(guān)閉 tel 服務(wù)：PIX(Config)no tel xxxx xxxx inside SSH 配置【應(yīng)用網(wǎng)絡(luò)層次】：所有層面防火墻設(shè)備 【影響】：需使用支持 SSHD 終端登陸，如 SecureCRT 等【具體配置】：PIX(config)domainname PIX(config) ca generate rsa key 1024 PIX(config) ca save all 11 / 22!生成 RSA 密鑰對(duì)PIX(config) show ca mypubkey rsa !查看本地生成的公鑰PIX(config) ssh outside_ip_addr outside PIX(config) ssh timeout 20!配置限制訪問(wèn)地址可以 SSH 進(jìn)來(lái)，另 設(shè) SSH 的超 時(shí)時(shí)間為 20 分鐘PIX(config) username test password testPIX(config) aaa authenticate ssh console LOCAL!認(rèn)證方式采用本地方式，也可以用 RADIUS/TACACS+進(jìn)行認(rèn)證。PIX(config) sh ssh sessionSession ID Client IP Version Encryption State Username 0 DES 6 test 帳號(hào)和密碼管理要求應(yīng)在日常維護(hù)過(guò)程中周期性地（至少按季度）更改登錄密碼，甚至登錄帳號(hào)。當(dāng)外方人員需要登錄設(shè)備時(shí)， 應(yīng)創(chuàng)建臨時(shí)帳號(hào)，并指定合適的權(quán)限。臨時(shí)帳號(hào)使用完后應(yīng)及時(shí)刪除。登 錄帳號(hào)及密碼的保管和更新應(yīng)由專(zhuān)人負(fù)責(zé)，并注意保密。帳號(hào)名字應(yīng)該與使用者存在對(duì)應(yīng)關(guān)系，如能反 應(yīng) 使用者的級(jí)別、從屬關(guān)系。為了提高安全性，在方便記憶的前提下， 帳號(hào)名字應(yīng) 盡量混用字符的大小寫(xiě)、數(shù)字和符號(hào)，提高猜度的難度。同樣的，密碼必須至少使用四種可用字符 類(lèi)型中的三種：小寫(xiě)字母、大寫(xiě)字母、數(shù)字和符號(hào)，而且密碼不得包含用戶(hù)名或用戶(hù)全名的一部分。一般情況下密碼至少包含 8 個(gè)字符。我們建議用密碼生成器軟件（如 ）來(lái)制造隨機(jī)密碼。12 / 22要考慮有些設(shè)備密碼以明文形式存放問(wèn)題，建議必須啟用相關(guān)特性，保證密碼以加密方式存放在配置文件中。對(duì)無(wú)法以密文存放的，要加強(qiáng)配置文件的管理。密碼設(shè)置配置如下：【適用網(wǎng)絡(luò)層次】：根據(jù)需要在所有層次實(shí)施?！居绊憽浚涸鰪?qiáng)系統(tǒng)安全性【具體配置】：PIX(config)enable [priv_1evel]PIX(config)disable [priv_1evel]PIX(config)enable password [pw] [level priv_1evel] [encrypted]PIX(config)no enable password [level priv_1evel]PIX(config)show enable 帳號(hào)認(rèn)證和授權(quán)帳號(hào)的認(rèn)證和授權(quán)分為設(shè)備本省的認(rèn)證和授權(quán)和 AAA 服務(wù)器的認(rèn)證和授權(quán)兩個(gè)部分。這主要介紹 AAA 服務(wù)器的設(shè)置。 AAA 認(rèn)證思科 PIX 防火墻支持 RADIUS 或 TACACS＋的 AAA（認(rèn)證、授權(quán)、計(jì)費(fèi)）客戶(hù)端功能，通過(guò) AAA 認(rèn)證 可以方便實(shí)現(xiàn)對(duì)大量設(shè)備 的登錄帳號(hào)和密碼的管理。建議采用集中認(rèn)證和授權(quán)模式，通過(guò) AAA 服務(wù)器還 可以彌補(bǔ)設(shè)備本省對(duì)執(zhí)行權(quán)限管理的不足。在 AAA 認(rèn)證設(shè) 置上，最好選用支持對(duì)用戶(hù)操作內(nèi)容日志功能的AAA 服 務(wù)器軟件，這樣可以加 強(qiáng)對(duì)用
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1