JSXA-ZDS-V3-004-江苏讯安等保2.0-测评指导书 - 安全计算环境 - 华三交换机对象 - Version 7版本 - 3级.xlsxVIP

内部资料&保密资料指导书编号:JSXA-ZDS-V3-004修订日期：2020/3/18

江苏讯安信息安全技术有限公司等保2.0测评指导书-安全计算环境-3级

测评对象：华三/华为系统版本：Version

类

控制点

测评对象

测评指标

测评实施

操作方法

预期结果

高危风险判定

补偿措施

判定标准

安全计算环境

身份鉴别

终端和服务器等设备中的操作系统（包括宿主机和虚拟机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备）、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等。

a)应对登录的用户进行身份标识和鉴别,身份标识具有唯一性,身份鉴别信息具有复杂度要求并

定期更换;

1）应核查用户在登录时是否采用了身份鉴别措施；

2）应核查用户列表确认用户身份标识是否具有唯一性；

3）应核查用户配置信息或测试验证是否不存在空口令用户；

4）应核查用户鉴别信息是否具有复杂度要求并定期更换。

1）输入

displaycurrent-configuration

命令，核查linecon0与linevty04字段，是否启用身份鉴别。

2）输入displaylocal-user命令，查看local-user配置是否存在相同标识用户；

3）输入displaycurrent-configuration命令local-user下所有用户的password字段，是否存在空值；

4）输入

displaypassword-control

命令核查交换机是否具有密码复杂度功能；

查看是否启用如下配置：

Passwordcontrol:Enabled;

(启用密码控制策略)

Passwordaging:Enabled;(密码老化时间)

Passwordlength:Enabled;(密码长度)

Passwordcomposition;(密码组合)

Passwordhistory:Enabled;(密码历史记录)

1）交换机对远程和本地登录用户进行AAA身份鉴别或其它身份鉴别措施；

linecon0

authentication-modescheme

linevty04

authentication-modescheme

2）启用AAA身份认证，系统不存在相同标识的用户

hwtacacsschemeXXXXX;

primaryauthenticationXXXXX;

primaryauthorizationXXXXXX;

PrimaryaccountingXXXX;

keyauthenticationcipherXXXXXX;

keyauthorizationcipherXXXXXX;

keyaccountingcipherXXXXXX;

3）所有用户的password字段，不存在空值：

local-usernetadminpasswordirreversible-cipherXXXXXX

4）Passwordcontrol为Enabled状态

密码策略配置如下：

a)复杂性要求：3种类型，每种类型3个字符；

b)密码长度最小值：长度最小值至少为8位；

c)密码长度最长使用期限不为0；

d)强制密码历史：至少记住5个密码以上。

适用范围：二级及以上系统。

判例场景（任意）：

1）网络设备、安全设备、主机设备（包括操作系统、数据库等）存在可登录的弱口令账户（包括空口令、无身份鉴别机制）；

2）大量设备管理员账户口令相同，单台设备口令被破解将导致大量设备被控制。

补偿因素：对于因业务场景需要，使用无法设置口令或口令强度达不到要求的专用设备，可从设备登录方式、物理访问控制、访问权限、其他技术防护措施、相关管理制度落实等角度进行综合风险分析,根据分析结果，酌情判定风险等级。

如果1）?4）均为肯定，则符合本测评单元指标要求，否则不符合或部分符合本测评单元指标要求。

b)应具有登录失败处理功能,应配置并启用结束会话、限制非法登录次数和当登录连接超时自动

退出等相关措施;

1）应核查是否配备并启用了登录失败处理功能；

2）应核查是否配置并启用了限制非法登录达到一定次数后实现账户锁定功能；

3）应核查是否配置并启用了登录连接超时及自动退出功能。

1）2）核查并查看交换机是否启用登录失败处理功能；查看方式：

displaypassword-control

查看是否存在如下配置：

Passwordcontrol:Enabled；

(密码控制)

查看是否存在如下配置：

Maximumloginattempts：

(最大登录尝试次数)；

Actionforexceedin