中国移动思科防火墙配置规范

《中国移动思科防火墙配置规范》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、中国移动思科防火墙配置规范1!SpecificationforConfigurationofCiscoFirewaIIUsedinChinaMobiIe版本号：1•0•0xxxx-xx-xx发布xxxx-xx-xx实施中国移动通信有限公司网络部目录1.范围12.规范性引用文件13.术语、定义和缩略语14.防火墙功能要求24.1.引用说明24.2.防火墙路由模式功能规范24.3.FI志功能要求34.4.攻击防护和告警功能要求34.5.访问控制功能要求44.6.设备其他安全功能要求44.7.虚拟防火墙功能要求55.思科防火墙配直要求55.1.引用说明55.2.口志配置要求55.3.告警配置耍求1

2、05.4.安全策略配置要求145.5.攻击防护配置要求205.6.设备其他安全要求216.编制历史22附录23为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。有限公司组织部分省公司编制了小国移动设备安全功能和配置系列规范。本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。本规范是该系列规范Z-,明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。本标准明确了思科（CISCO）防火墙的功能和配置要求。本标准主要包括思科防火墙基本功能、口志配置、告警配置、安全策

3、略配置、攻击防护配置，虚拟防火墙配置、设备其他安全耍求等方面的配置耍求。本标准起草单位：屮国移动通信有限公司、中国移动通信集团广东有限公司o本标准解释单位：同提出单位。本标准主要起草人：吴卓明、严呛、周智、曹一生。1.范围本标准规定了思科防火墙的功能配置要求，供屮国移动内部和厂商共同使用；适用于屮国移动通信网、业务系统和支撑系统的思科防火墙。2.规范性引用文件下列文件屮的条款通过木标准的引用而成为木标准的条款。凡是注日期的引用文件，其随后所冇的修改单（不包括勘误的内容）或修订版均不适用于木标准，然而，鼓励根据木标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新

4、版本适用于本标准。表2-1[1]QB-XX-XXX《屮国移动设备通用安全屮国移动通信有限公司-XXXX功能和配置规范》1.0版⑵QB-XX-XXX《中国移动操作系统安全小国移动通信有限公司-XXXX功能规范》1・0版[3]QB-XX-XXX《屮国移动路由器安全功中国移动通信有限公司-xxxx能规范》1.0版[4]NetworkSecurityChecklist-firewallVersion7Release1.2DOD⑸屮国移动防火墙功能和配置规范V1.0屮国移动通信有限公司3.术语、定义和缩略语下列术语、定义和缩略语适用于本标准：表3-1词语Firewall解释防火墙1.防火墙功能要求4.

5、1.引用说明由于防火墙设备的特殊性，木规范不采纳《屮国移动设备通用设备安全功能和配置规范》中功能要求的情况如F：编号采纳意见补充说明殳土要求■设备■通用••功直匕-6不采纳不具备用户不得重复使用其最近已用口令的功能。安全要求•设备•通用•功能•10•可选不采纳不建议用户可通过人机交互界而访问防火墙文件系统。安全要求■设备•通用■功能・11・可选不采纳防火墙设备本身一般无数据库安全要求•设备•通用•功能•18•可选不采纳防火墙设备一般为嵌入式系统，或者在Unix/Linux±进行封装和安全加固，对外开放的服务已经为最小集。无需进程与IP服务端口对应表。对于未捉及的《中国移动设备通川设备安全功能

6、和配置规范》中的功能要求，木规范完全采纳，详见附录。4.2防火墙路由模式功能规范由于防火墙可工作在路由模式，本规范引用《小国移动路由器设备安全功能和配置规范》中设备功能要求的情况如下：编号采纳意见补充说明安全要求•设备•路由器•功能-13完全采纳设备应支持关闭未使用的路由协议安全要求•设备•路由器•功能-14完全采纳设备应支持路山协议(OSPF/ISIS/BGP等)认证，认证字以不可逆密文方式存放。安全要求•设备•路由器•功能-15完全采纳设备应支持路由策略和路由过滤功能。4.3•日志功能要求编号内容安全要求•设备•防火墙•功能防火墙应具备记录NAT口志功能，记录转换前后IP地址的对应关系。

7、安全要求•设备•防火墙•功能・2防火墙应具备记录VPN日志功能，记录VPN访问背陆、退出等信息。安全要求•设备•防火墙•功能・3防火墙应具备流量FI志记录功能，记录通过防火墙的网络连接。安全要求•设备•防火墙•功能・4防火墙应具备规则配置功能，记录防火墙接受，拒绝和丢弃报文的日志。安全要求•设备•防火墙•功能・5防火墙应具备PI志容量告警功能，在H志数达到指定阈值时产生告警。安全要求■设备•防火墙•功能・6防