2024年2月26日发(作者：)
1. 操作系统安全基线技术要求
1.1. AIX系统安全基线
1.1.1. 系统管理
通过配置操作系统运维管理安全策略，提高系统运维管理安全性，详见表1。
表1 AIX系统管理基线技术要求
序号
1
2
3
基线技术要求
限制超级管理员权限的用户远程登录
使用动态口令令牌登录
配置本机访问控制列表（可选）
基线标准点（参数）
PermitRootLogin no
安装动态口令
配置/etc/,
/etc/
说明
限制root用户远程使用telnet登录（可选）
安装TCP Wrapper，提高对系统访问控制
1.1.2. 用户账号与口令
通过配置操作系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表2。
表2 AIX系统用户账户与口令基线技术要求
序号 基线技术要求 基线标准点（参数）
daemon（禁用）
bin（禁用）
sys（禁用）
adm（禁用）
uucp（禁用）
nuucp（禁用）
lpd（禁用）
guest（禁用）
pconsole（禁用）
esaadmin（禁用）
sshd（禁用）
10分钟
8位
1个
90天
说明
4
限制系统无用默认账号登录
清理多余用户账号，限制系统默认账号登录，同时，针对需要使用的用户，制订用户列表，并妥善保存
5
6
7
8
..
控制用户登录超时时间
控制用户登录会话，设置超时时间
口令安全策略（口令为超级用户静态口令）
口令安全策略（口令为超级用户静态口令）
口令安全策略（口令为超级用户静态口令）
口令最小长度
口令中最少非字母数字字符
信息系统的口令的
最大周期
9 口令不重复的次数 10次
口令安全策略（口令为超级用户静态口令）
1.1.3. 日志与审计
通过对操作系统的日志进行安全控制与管理，提高日志的安全性，详见表3。
表3 AIX系统日志与审计基线技术要求
序号
10
11
12
13
14
基线技术要求 基线标准点（参数）
authlog、sulog、wtmp、failedlogin
对接到统一日志服务器
6个月
400
400
说明
记录必需的日志信息，以便进行审计
使用日志服务器接收与存储主机日志，网管平台统一管理
等保三级要求日志必须保存6个月
修改配置文件权限为管理员账号只读
修改日志文件authlog、wtmp、sulog、failedlogin的权限管理员账号只读
系统日志记录（可选）
系统日志存储（可
选)
日志保存要求（可
选）
配置日志系统文件
保护属性（可选）
修改日志文件保护权限（可选）
1.1.4. 服务优化
通过优化操作系统资源，提高系统服务安全性，详见表4。
表4 AIX系统服务优化基线技术要求
序号
15
基线技术要求 基线标准点（参数）
禁止
说明
网络测试服务，丢弃输入, 为“拒绝服务”攻击提供机会, 除非正在测试网络，否则禁用
网络测试服务，显示时间, 为“拒绝服务”攻击提供机会, 除非正在测试网络，否则禁用
网络测试服务，回应随机字符串,
为“拒绝服务”攻击提供机会, 除非正在测试网络，否则禁用
comsat通知接收的电子邮件，以
root 用户身份运行，因此涉及安全性, 除非需要接收邮件，否则禁用
ntalk允许用户相互交谈，以 root
用户身份运行，除非绝对需要，否则禁用
在网上两个用户间建立分区屏幕，不是必需服务，与 talk 命令一起使用，在端口 517 提供 UDP 服务
discard 服务
16 daytime 服务 禁止
17 chargen 服务 禁止
18 comsat 服务 禁止
19 ntalk 服务 禁止
20 talk 服务 禁止
..
21
22
23
24
25
26
27
tftp 服务
ftp 服务（可选）
telnet服务
uucp 服务
禁止
禁止
禁止
禁止
以 root 用户身份运行并且可能危及安全
防范非法访问目录风险
远程访问服务
除非有使用 UUCP 的应用程序，否则禁用
CDE 子过程控制不用图形管理则禁用
Kerberos 登录，如果站点使用
Kerberos 认证则启用
Kerberos shell，如果站点使用
Kerberos 认证则启用
dtspc 服务（可选） 禁止
klogin 服务（可选） 禁止
kshell 服务（可选） 禁止
1.1.5. 访问控制
通过对操作系统安全权限参数进行调整，提高系统访问安全性，详见表5。
表5 AIX系统访问控制基线技术要求
序号
28
基线技术要求
修改Umask权限
基线标准点（参数）
022或027
passwd、group、security的所有者必须是root和security组成员
audit的所有者必须是root和audit组成员
/etc/passwd
rw-r--r--
/etc/group
rw-r--r--
统一时间 接入统一NTP服务器
说明
要求修改默认文件权限
设置/etc/passwd，/etc/group，
/etc/security等关键文件和目录的权限
/etc/security/audit的所有者必须是root和audit组成员
/etc/passwd目录权限为 644所有用户可读，root用户可写
/etc/group root目录权限为644
所有用户可读，root用户可写
保障生产环境所有系统时间统一
29
30
关键文件权限控制
31
32
33
1.2. Windows系统安全基线
1.2.1. 用户账号与口令
通过配置操作系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表6。
表6 Windows系统用户账号与口令基线技术要求
..
序号
1
2
3
4
5
6
7
8
9
10
基线技术要求
口令必须符合复杂性要求
口令长度最小值
口令最长使用期限
强制口令历史
基线标准点（参数）
启用
8位
90天
10次
说明
口令安全策略（不涉及终端及动态口令）
口令安全策略（不涉及终端）
口令安全策略（不涉及终端）
口令安全策略（不涉及终端）
账号锁定策略（不涉及终端）
账号锁定策略（不涉及终端）
账号锁定策略（不涉及终端）
禁用guest账号
保护administrator安全
禁用无需使用账号
复位账号锁定计数器 10分钟
账号锁定时间（可选） 10分钟
账号锁定阀值（可选） 10次
guest账号 禁止
administrator（可重命名
选）
无需账号检查与管理 禁用
1.2.2. 日志与审计
通过对操作系统日志进行安全控制与管理，提高日志的安全性与有效性，详见表7。
表7 Windows系统日志与审计基线技术要求
序号
11
12
13
14
15
16
17
18
基线技术要求
审核账号登录事件
审核账号管理
审核目录服务访问
审核登录事件
审核策略更改
审核系统事件
基线标准点（参数）
成功与失败
成功与失败
成功
成功与失败
成功与失败
成功
说明
日志审核策略
日志审核策略
日志审核策略
日志审核策略
日志审核策略
日志审核策略
日志存储在统一日志服务器中
等保三级要求日志保存6个月
日志存储地址（可选） 接入到统一日志服务器
日志保存要求（可选） 6个月
1.2.3. 服务优化
通过优化系统资源，提高系统服务安全性，详见表8。
表8 Windows系统服务优化基线技术要求
..
序号
19
20
21
22
23
24
25
26
27
基线技术要求
Alerter服务
Clipbook（可选）
Computer Browser服务（可选）
Messenger服务
Remote Registry
Service服务
Routing and Remote
Access服务
Print Spooler（可选）
Automatic Updates服务（可选）
Terminal Service服务（可选）
基线标准点（参数）
禁止
禁止
禁止
禁止
禁止
禁止
禁止
禁止
禁止
说明
禁止进程间发送信息服务
禁止机器间共享剪裁板上信息服务
禁止跟踪网络上一个域内的机器服务
禁止即时通讯服务
禁止远程操作注册表服务
禁止路由和远程访问服务
禁止后台打印处理服务
禁止自动更新服务
禁止终端服务
1.2.4. 访问控制
通过对系统配置参数调整，提高系统安全性，详见表9。
表9 Windows系统访问控制基线技术要求
序号
28
29
30
31
32
33
34
35
36
37
38
39
基线技术要求
文件系统格式
桌面屏保
防病毒软件
防病毒代码库升级时间
文件共享（可选）
基线标准点（参数）
NTFS
10分钟
安装赛门铁克
7天
禁止
说明
磁盘文件系统格式为NTFS
桌面屏保策略
生产环境安装赛门铁克防病毒最新版本软件
禁止配置文件共享，若工作需要必须配置共享，须设置账号与口令
禁止自带防火墙
安全控制选项优化
网络访问安全控制选项优化
交互式登录安全控制选项优化
禁止自动运行
禁止蓝屏后自动启动机器
保障生产环境所有系统时间统一
系统自带防火墙（可选） 禁止
默认共享IPC$、ADMIN$、C$、D$等
不允许匿名枚取SAM账号与共享
不显示上次的用户名
控制驱动器
蓝屏后自动启动机器（可选）
统一时间
禁止
启用
启用
禁止
禁止
接入统一NTP服务器
..
1.2.5. 补丁管理
通过进行定期更新，降低常见的漏洞被利用，详见表10。
表10 Windows系统补丁管理基线技术要求
序号
40
41
基线技术要求
安全服务包
基线标准点（参数） 说明
安装微软最新的安全服务包
根据实际需要更新安全补丁
win2003 SP2
win2008 SP1
安全补丁（可选） 更新到最新
1.3. Linux系统安全基线
1.3.1. 系统管理
通过配置系统安全管理工具，提高系统运维管理的安全性，详见表11。
表11 Linux系统管理基线技术要求
序号
1
基线技术要求
安装SSH管理远程工具(可选)
基线标准点（参数）
安装OpenSSH
说明
OpenSSH为远程管理高安全性工具，保护管理过程中传输数据的安全
安装TCP Wrapper，提高对系统访问控制
2
配置本机访问控配置/etc/,
制列表（可选） /etc/
1.3.2. 用户账号与口令
通过配置Linux系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表12。
表12 Linux系统用户账号与口令基线技术要求
序号 基线技术要求
禁止系统无用默认账号登录
1) Operator
2) Halt
3) Sync
4) News
5) Uucp
6) Lp
7) nobody
8) Gopher
root远程登录
口令使用最长周基线标准点（参数） 说明
3 禁止
清理多余用户账号，限制系统默认账号登录，同时，针对需要使用的用户，制订用户列表进行妥善保存
4
5
..
禁止
90天
禁止root远程登录
口令安全策略（超级用户口令）
6
7
8
期
口令过期提示修改时间
口令最小长度
设置超时时间
28天
8位
10分钟
口令安全策略（超级用户口令）
口令安全策略
口令安全策略
1.3.3. 日志与审计
通过对Linux系统的日志进行安全控制与管理，提高日志的安全性与有效性，详见表13。
表13 Linux系统日志与审计基线技术要求
序号
9
10
11
12
基线技术要求
记录安全日志
基线标准点（参数）
authpriv日志
说明
记录网络设备启动、usermod、change等方面日志
使用统一日志服务器接收并存储系统日志
等保三级要求日志必须保存6个月
修改配置文件权限为管理员用户只读
日志存储（可选） 接入到统一日志服务器
日志保存时间
日志系统配置文件保护
6个月
400
1.3.4. 服务优化
通过优化Linux系统资源，提高系统服务安全性，详见表14。
表14 Linux系统服务优化基线技术要求
序号
13
14
15
16
17
18
19
20
21
22
23
基线技术要求
ftp 服务（可选）
sendmail 服务
基线标准点（参数）
禁止
禁止
说明
文件上传服务
邮件服务
Kerberos 登录，如果站点使用
Kerberos 认证则启用
Kerberos shell，如果站点使用
Kerberos 认证则启用
new talk
以 root 用户身份运行可能危及安全
邮件服务
邮件服务
远程访问服务
图形管理服务
增强系统安全
klogin 服务（可选） 禁止
kshell 服务（可选） 禁止
ntalk 服务
tftp 服务
禁止
禁止
imap 服务（可选） 禁止
pop3服务（可选） 禁止
telnet 服务(可选 ) 禁止
GUI服务（可选） 禁止
xinetd服务（可选） 启动
1.3.5. 访问控制
..
通过对Linux系统配置参数调整，提高系统安全性，详见表15。
表15 Linux系统访问控制基线技术要求
序号
24
25
26
27
28 统一时间
关键文件权限控制
基线技术要求
Umask权限
基线标准点（参数）
022或027
1) /etc/passwd 目录权限为644
2) /etc/shadow目录权限为400
3) /etc/group root目录权限为644
接入统一NTP服务器
说明
修改默认文件权限
/etc/passwd rw-r--r—
所有用户可读，root用户可写
/etc/shadow r--------
只有root可读
/etc/group rw-r--r—
所有用户可读，root用户可写
保障生产环境所有系统时间统一
2. 数据库安全基线技术要求
2.1. Oracle数据库系统安全基线
2.1.1. 用户账号与口令
通过配置数据库系统用户账号与口令安全策略，提高数据库系统账号与口令安全性，详见表16。
表16 Oracle系统用户账号与口令基线技术要求
序号
1
基线技术要求
Oracle无用账号
TIGER
SCOTT等
默认管理账号管理
SYSTEM
DMSYS等
数据库自动登录SYSDBA账号
口令最小长度
口令有效期
禁止使用已设置过的口令次数
基线标准点（参数）
禁用
说明
禁用无用账号
2
3
4
5
6
更改口令
禁止
8位
12个月
10次
账号安全策略（新系统）
账号安全策略
口令安全策略（新系统）
新系统执行此项要求
口令安全策略
2.1.2. 日志与审计
通过对数据库系统的日志进行安全控制与管理，提高日志的安..
全性与有效性，详见表17。
表17 Oracle系统日志与审计基线技术要求
序号
7
8
基线技术要求 基线标准点（参数） 说明
日志必须保存3个月
设置访问日志文件权限
日志保存要求（可选） 3个月
日志文件保护 启用
2.1.3. 访问控制
通过对数据库系统配置参数调整，提高数据库系统安全性，详见表18。
表18 Oracle系统访问控制基线技术要求
序号
9
10
基线技术要求 基线标准点（参数） 说明
设置监听器口令（新系统）
系统可执行此项要求
监听程序加密（可选） 设置口令
修改服务监听默认端口（可选）
非TCP1521
3. 中间件安全基线技术要求
3.1. Tong（TongEASY、TongLINK等）中间件安全基线
3.1.1. 用户账号与口令
通过配置中间件用户账号与口令安全策略，提高系统账号与口令安全，详见表19。
表19 Tong用户账号与口令基线技术要求
序号
1
基线技术要求
优化Tong服务账号和应用共用同一用户（可选）
基线标准点（参数）
Tong和应用共用同一用户
说明
与操作系统应用用户保持一致
3.1.2. 日志与审计
通过对中间件的日志进行安全控制与管理，保护日志的安全与有效性，详见表20。
表20 Tong日志与审计基线技术要求
序号
..
基线技术要求 基线标准点（参数） 说明
2
3
4
5
6
7
8
9
事务包日志备份
交易日志备份
通信管理模块运行日志备份
系统日志备份
名字服务日志备份
调试日志备份
通信管理模块错误日志备份
日志保存时间(可选)
1.5G
1.5G
1.5G
1.5G
1.5G
1.5G
1.5G
6个月
Pktlog达到1.5G进行备份
Txlog达到1.5G进行备份
达到1.5G进行备份
syslog达到1.5G进行备份
Nsfwdlog达到1.5G进行备份
Testlog达到1.5G进行备份
达到1.5G进行备份
等保三级要求日志必须保存6个月
3.1.3. 访问控制
通过配置中间件系统资源，提高中间件系统服务安全，详见表21。
表21 Tong访问控制基线技术要求
序号
10
基线技术要求
共享内存
基线标准点（参数）
SHMMAX：4G
SHMSEG： 3个以上
SHMALL：12G
MSGTQL ：4096
MSGMAX：8192
MSGMNB：16384
Maxuproc：1000以上
SEMMSL：13以上
SEMMNS：26以上
NPROC：2000以上
MAXUP：1000以上
说明
根据不同操作系统调整Tong的3个核心参数
设置Tong核心应用系统程序进行数据传递参数
设置Tong信号灯参数
11 消息队列
12 信号灯
13 进程数 设置同时运行进程数参数
3.1.4. 安全防护
通过对中间件配置参数调整，提高中间件系统安全，详见表22。
表22 Tong安全防护基线技术要求
序号
14
15
基线技术要求
数据传输安全
守护进程安全
基线标准点（参数）
根据应用需求设置加密标识
tld
tmmoni
tmrcv
说明
根据应用需求保护数据传输安全
通信管理模块、运行监控、接收处理、发送处理守护进程处于常开状态，随时处理应用程序的请..
tmsnd 求
3.1.5. 补丁管理
通过对Tong的补丁进行定期更新，达到管理基线，防止常见的漏洞被利用，详见表23。
表23 Tong补丁管理基线技术要求
序号
16
基线技术要求 基线标准点（参数） 说明
根据实际需要更新安全补丁Tong4.2、Tong4.5、Tong4.6适用于AIX5.3以上版本
安全补丁（可选） 根据实际需要更新
3.2. Apache中间件安全基线
3.2.1. 用户账号与口令
通过配置中间件用户账号与口令安全策略，提高系统账号与口令安全性，详见表24。
表24 Apache用户账号与口令基线技术要求
序号
1
基线技术要求
优化WEB服务账号
基线标准点（参数）
新建Apache可访问80端口用户账号
说明
使用WAS中间件用户安装，root用户启动
3.2.2. 日志与审计
通过对中间件的日志进行安全控制与管理，提高日志的安全性与有效性，详见表25。
表25 Apache日志与审计基线技术要求
序号
2
3
4
基线技术要求 基线标准点（参数） 说明
采用Info日志级别，分析问题时采用更高日志级别
配置错误日志文件名及位置
配置访问日志文件名及位置
日志级别（可选） Info
错误日志及记录 ErrorLog
访问日志（可选） CustomLog
3.2.3. 服务优化
通过优化中间件系统资源，提高中间件系统服务安全性，详见表26。
..
表26 Apache服务优化基线技术要求
序号
5
基线技术要求
无用模块
基线标准点（参数）
禁用
说明
禁用无用模块
3.2.4. 安全防护
通过对中间件配置参数调整，提高中间件系统安全性，详见表27。
表27 Apache安全防护基线技术要求
序号
6
7
8
基线技术要求
遍历操作系统目录（可选）
服务器应答头中的版本信息
服务器生成页面的页脚中版本信息
基线标准点（参数）
禁止
关闭
关闭
说明
修改参数文件，禁止目录遍历
隐藏版本信息，防止软件版本信息泄漏
不显示服务器默认欢迎页面
3.3. WAS中间件安全基线
3.3.1. 用户账号与口令
通过配置用户账号与口令安全策略，提高系统账号与口令安全性，详见表28。
表28 WAS用户账号与口令基线技术要求
序号
1
2
基线技术要求
账号安全策略
口令安全策略
基线标准点（参数）
按照操作系统账号管理规范执行
按照操作系统口令管理规范执行
说明
符合应用系统运行要求
符合应用系统运行要求
3.3.2. 日志与审计
通过对系统的日志进行安全控制与管理，提高日志的安全性与有效性，详见表29。
表29 WAS日志与审计基线技术要求
序号
3
基线技术要求
故障日志
基线标准点（参数）
开启
说明
记录相关日志
..
4 记录级别 Info 记录相关日志级别
3.3.3. 服务优化
通过优化系统资源，提高系统服务安全性，详见表30。
表30 WAS服务优化基线技术要求
序号
5
6
基线技术要求 基线标准点（参数） 说明
开启用户可能非法浏览应用服务器目录和文件
config和properties目录权限不当存在安全隐患
file serving服务 禁止
配置config和properties目录权限
755
3.3.4. 安全防护
通过对系统配置参数调整，提高系统安全性，详见表31。
表31 WAS安全防护基线技术要求
序号
7
8
9
10
基线技术要求
删除sample例子程序
连接会话超时控制
数据传输安全
设置控制台会话最长时间
基线标准点（参数）
删除示例域
10分钟
加密传送
30分钟
说明
防止已知攻击
设置超时时间，控制用户登录会话
在服务器console管理中浏览器与服务器传输信息配置SSL
控制台会话timeout低于30分钟
3.3.5. 补丁管理
通过进行定期更新，达到管理基线，降低常见的的漏洞被利用，详见表32。
表32 WAS补丁管理基线技术要求
序号
11
基线技术要求
安全补丁（可选）
基线标准点（参数）
按照系统管理室年度版本执行
说明
根据应用系统实际情况选择
4. 网络设备安全基线技术要求
4.1. Cisco路由器/交换机安全基线
4.1.1. 系统管理
..
通过配置网络设备管理，提高系统运维管理安全性，详见表33。
表33 Cisco系统管理基线技术要求
序号
1
2
3
4
5
基线技术要求 基线标准点（参数） 说明
采用ssh服务代替telnet服务管理网络设备，提高设备管理安全性
启用设备认证
配置访问控制列表，只允许管理员IP或网段能访问网络设备管理服务
console需配置口令认证信息
保障生产环境所有设备时间统一
远程ssh服务（可选） 启用
认证方式
非管理员IP地址
配置console端口
统一时间
tacas/radius认证
禁止
口令认证
接入统一NTP服务器
4.1.2. 用户账号与口令
通过配置网络设备用户账号与口令安全策略，提高系统账号与口令安全性，详见表34。
表34 Cisco用户账号与口令基线技术要求
序号
6
7
8
9
基线技术要求
Service password口令
enable口令
账号登录空闲超时时间
口令最小长度
基线标准点（参数）
加密
加密
5分钟
8位
说明
采用password-encryption
service
采用secret对口令进行加密
设置console和vty的登录超时时间5分钟
口令长度为8个字符
4.1.3. 日志与审计
通过对网络设备的日志进行安全控制与管理，提高日志的安全性与有效性，详见表35。
表35 Cisco日志与审计基线技术要求
序号
10
11
12
..
基线技术要求 基线标准点（参数） 说明
更改SNMP的团体修改默认值public
更改SNMP Community
串（可选） 更改SNMP主机IP
使用日志服务器接收与存储主机系统日志存储 对接到网管日志服务器
日志，网管平台统一管理
等保三级要求日志必须保存6个日志保存要求 6个月
月
4.1.4. 服务优化
通过优化网络设备，提高系统服务安全性，详见表36。
表36 Cisco服务优化基线技术要求
序号
13
14
15
16
17
18
19
20
21
基线技术要求
TCP、UDP Small服务（可选）
Finger服务
HTTP服务
HTTPS服务
BOOTp服务
IP Source Routing服务
ARP-Proxy服务
cdp服务（可选）
基线标准点（参数）
禁止
禁止
禁止
禁止
禁止
禁止
禁止
禁止
禁用无用服务
禁用无用服务
禁用无用服务
禁用无用服务
禁用无用服务
禁用无用服务
禁用无用服务
禁用无用服务(只适用于边界设备)
禁用无用服务
说明
FTP服务（可选） 禁止
4.1.5. 访问控制
通过对设备配置进行调整，提高设备或网络安全性，详见表37。
表37 Cisco访问控制基线技术要求
序号
22
23
24
25
26
27
28
基线技术要求
login banner信息
BGP认证（可选）
EIGRP认证（可选）
OSPF认证（可选）
RIPv2认证（可选）
MAC绑定（可选）
基线标准点（参数） 说明
修改默认值为警示语 默认值不为空
启用
启用
启用
启用
IP+MAC+端口绑定
加强路由信息安全
加强路由信息安全
加强路由信息安全
加强路由信息安全
重要服务器采用IP+MAC+端口绑定
关闭没用网络端口 网络端口AUX（可选） 关闭
4.2. H3C路由器/交换机安全基线
..
4.2.1. 系统管理
通过配置网络设备管理，预防远程访问服务攻击或非授权访问，提高网络设备远程管理安全性，详见表38。
表38 H3C系统管理基线技术要求
序号
1
2
3
4
5
基线技术要求 基线标准点（参数） 说明
采用ssh服务代替telnet服务管理网络设备，提高设备管理安全性
启用设备认证
配置访问控制列表，只允许管理员IP或网段能访问网络设备管理服务
console需配置口令认证信息
保障生产环境所有设备时间统一
远程ssh服务（可选） 启用
认证方式
非管理员IP地址
配置console端口
统一时间
tacas/radius认证
禁止
口令认证
接入统一NTP服务器
4.2.2. 用户账号与口令
通过配置用户账号与口令安全策略，提高系统账号与口令安全，详见表39。
表39 H3C用户账号与口令基线技术要求
序号
6
7
8
基线技术要求
system口令
账号登录空闲超时时间
口令最小长度
基线标准点（参数）
加密方式
5分钟
8位
说明
采用cipher对口令进行加密
设置console和vty的登录超时时间5分钟
口令安全策略
4.2.3. 日志与审计
通过对网络设备的日志进行安全控制与管理，提高日志的安全性与有效性，详见表40。
表40 H3C日志与审计基线技术要求
序号
9
10
基线技术要求
系统日志
日志保存要求
基线标准点（参数）
接入到网管日志服务器
6个月
说明
使用网管平台统一日志服务器接收与存储
等保三级要求日志必须保存6个月
4.2.4. 服务优化
..
通过优化网络设备资源，提高设备服务安全性，详见表41。
表41 H3C服务优化基线技术要求
序号
11
12
基线技术要求
http服务
FTP服务（可选）
基线标准点（参数）
禁用
禁止
关闭弱服务
禁用Ftp服务
说明
4.2.5. 访问控制
通过对网络设备配置参数调整，提高设备安全性，详见表42。
表42 H3C访问控制基线技术要求
序号
13
14
15
16
17
18
基线技术要求
BGP认证（可选）
OSPF认证（可选）
RIPv2认证（可选）
统一时间
基线标准点（参数）
启用
启用
启用
说明
加强路由信息安全
加强路由信息安全
加强路由信息安全
接入统一NTP服务保障生产环境所有设备时间统一
器
重要服务器采用IP+MAC+端口绑定
关闭没用网络端口
重要服务器采用IP+MAC+端口绑定（可IP+MAC+端口绑定
选）
网络端口AUX（可选） 关闭
4.3. 防火墙安全基线
4.3.1. 系统管理
通过配置网络设备管理，提高安全设备运维管理安全性，详见表43。
表43 防火墙系统管理基线技术要求
序号
1
2
3
4
基线技术要求 基线标准点（参数） 说明
采用ssh(https)服务代替telnet(http)服务管理防火墙设备
安全网络登录方式，启用
SSH或者HTTPS
限制登录口令录入时间
限制可登录的访问地址
只接收管理流量的逻辑管理IP地址（可选）
30秒
配置管理客户端IP 地址
启用
设置登录口令录入时间，建议为30秒
限制对特定工作站的管理能力
网络用户流量分离管理流量大大增加了管理安全性，并确保了稳定的管理带宽
..
5
6
HTTP监听端口号（可选）
统一时间
更改
接入统一NTP服务器
通过更改HTTP监听端口号提高系统安全性
保障生产环境所有设备时间统一
4.3.2. 用户账号与口令
通过配置网络设备用户账号与口令安全策略，提高设备账号与口令安全性，详见表44。
表44 防火墙用户账号与口令基线技术要求
序号
7
基线技术要求
系统初始账号和口令
口令最短长度
基线标准点（参数）
修改
8位
说明
在完成初始配置后应尽快修改缺省用户名和口令
口令安全策略
4.3.3. 日志与审计
通过对网络设备的日志进行安全控制与管理，提高日志的安全性与有效性，详见表45。
表45 防火墙日志与审计基线技术要求
序号
8
9
10
11
基线技术要求 基线标准点（参数）
限定源IP
开启
对接到统一网管日志服务器
6个月
说明
限制发起SNMP连接的源地址
针对重要策略开启信息流日志
使用网管平台统一日志服务器接收与存储系统日志
等保三级要求日志必须保存6个月
发起SNMP 连接
信息流日志
系统日志（可选)
日志保存要求（可选）
4.3.4. 安全防护
通过对网络设备配置参数调整，提高设备安全性，详见表46。
表46 防火墙安全防护基线技术要求
序号 基线技术要求 基线标准点（参数） 说明
防火墙安全设置选项（可选）
SYN Attack、ICMP Flood、UDP Flood、 开启
Port Scan
ttack、 Limit
session、SYN-ACK-ACK
12
防攻击选项包括：SYN Attack、ICMP Flood、UDP Flood、Port
Scan Attack、 Limit session、SYN-ACK-ACK Proxy 保护、SYN Fragment（SYN 碎片）等。
..
Proxy、SYN
Fragment
..
发布评论