系统安全配置技术规范-cisco防火墙

《系统安全配置技术规范-cisco防火墙》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、系统安全配置技术规范—Cisco防火墙版本V0.9日期2013-06-03文档编号文档发布15文档说明（一）变更信息版本号变更日期变更者变更理由/变更内容备注（二）文档审核人姓名职位签名日期15目录1适用范围42账号管理与授权42.1【基本】设置非特权模式密码42.2【基本】enablepassword的使用42.3【基本】设置与认证系统联动52.4【基本】设置登录失败处理功能52.5认证授权最小化63日志配置要求73.1【基本】设置日志服务器74IP协议安全要求74.1【基本】设置SSH方式访问系统74.2【基本】远程访问源地址限制84.3【基本】设置

2、FailoverKEY84.4【基本】关闭不使用的SNMP服务或更正不当权限设置94.5【基本】SNMP服务的共同体字符串设置94.6【基本】SNMP服务的访问控制设置94.7【基本】防火墙策略修订104.8常见攻击防护104.9VPN安全加固105服务配置要求115.1【基本】启用NTP服务115.2禁用HTTP配置方式115.3禁用DHCP服务125.4启用serviceresetoutside125.5启用Floodguard125.6启用Fragmentchain保护135.7启用RPF保护136其他配置要求136.1【基本】系统漏洞检测136.

3、2【基本】设置登录超时时间146.3【基本】检查地址转换超时时间146.4信息内容过滤14151适用范围如无特殊说明，本规范所有配置项适用于CiscoASA/FWSM7.x系列版本。其中有“基本”字样的配置项，均为本公司对此类系统的基本安全配置要求；未涉及“基本”字样的配置项，请各系统管理员视实际需求酌情遵从。2账号管理与授权2.1【基本】设置非特权模式密码配置项描述查看是否设置非特权模式密码，且密码长度和强度符合规范要求。检查方法查看配置文件中是否存在：passwd********encrypted操作步骤1、参考配置操作：(config)#usern

4、amexxxpasswd********encrypted2、补充操作说明：建议设定本地passwd，并使用了加密命令。密码不少于8位，包含大小写字母、数字和特殊符号。回退操作(config)#nousernamexxx操作风险低风险2.2【基本】enablepassword的使用配置项描述启用enablepassword，使用encrypted关键字，同时应保证密码不少于8位，包含大小写字母、数字和特殊符号。检查方法查看配置文件中是否有如下配置：enablepassword********encrypted操作步骤1、参考配置操作：(config)#e

5、nablepassword********encrypted2、补充操作说明：建议使用enablepassword，15并进行加密，密码不少于8位，包含大小写字母、数字和特殊符号。回退操作(config)#noenablepassword操作风险低风险1.1【基本】设置与认证系统联动配置项描述设置与认证系统联动，对登陆网络设备的用户进行身份鉴别。检查方法Showrunning-configaaa查看配置：#aaaauthenticationenableconsoleTACACS+LOCAL#aaaauthenticationsshconsoleTACAC

6、S+LOCAL#aaaauthorizationcommandTACACS+LOCAL #aaaaccountingenableconsoleTACACS+#aaaaccountingserialconsoleTACACS+#aaaaccountingsshconsoleTACACS+操作步骤1、参考配置操作：#aaaserverserver_tagprotocol{tacacs+

7、radius}#aaaserverserver_tagif_namehostserver_ip#aaaauthenticationserialconsoleTACACS+LO

8、CAL #aaaauthenticationenableconsoleTACACS+LOCAL#aaaauthenticationsshconsoleTACACS+LOCAL#aaaauthorizationcommandTACACS+LOCAL #aaaaccountingenableconsoleTACACS+#aaaaccountingsshconsoleTACACS+2、补充操作说明：如果远程认证服务器发生故障，防火墙不能与之取得联系，则该用户验证就会失败，意味着不能更改防火墙任何配置或者执行任何命令，作为补救措施，建议添加关键字LOCAL，在防

9、火墙尝试AAA服务器组之后，启用本地验证。回退操作#noaaa-serverse