防火墙设备安全配置作业指导书(安全加固)

安全配置作业指导书防火墙设备XXXX集团公司2012年7月1前言为规范XXXX集团公司网络设备的安全管理，建立统一的防火墙设备安全配置标准，特制定本安全配置作业指导书。本技术基线由XXXX集团公司提出并归口本技术基线起草单位：XXXX集团公司本技术基线主要起草人：本技术基线主要审核人：1目录1.适用范围.12.规范性引用文件.13.术语和定义.14.防火墙安全配置规范.24.1.防火墙自身安全性检查.24.1.1.检查系统时间是否准确.24.1.2.检查是否存在分级用户管理.24.1.3.密码认证登录.34.1.4.登陆认证机制.44.1.5.登陆失败处理机制.44.1.6.检查是否做配置的定期备份.54.1.7.检查双防火墙冗余情况下，主备切换情况.64.1.8.防止信息在网络传输过程中被窃听.74.1.9.设备登录地址进行限制.84.1.10.SNMP访问控制..84.1.11.防火墙自带的病毒库、入侵防御库、应用识别、web过滤及时升级.94.2.防火墙业务防御检查...104.2.1.启用安全域控制功能...104.2.2.检查防火墙访问控制策略...114.2.3.防火墙访问控制粒度检查...124.2.4.检查防火墙的地址转换转换情况...134.3.日志与审计检查...144.3.1.设备日志的参数配置...144.3.2.防火墙流量日志检查...154.3.3.防火墙设备的审计记录...1511.1.适用范围适用范围本基作业指导书范适用于XXXX集团公司各级机构。2.2.规范性引用文件规范性引用文件ISO27001标准/ISO27002指南GB17859-1999《计算机信息系统安全保护等级划分准则》GB/T20271-2006《信息安全技术信息系统通用安全技术要求》GB/T20272-2006《信息安全技术操作系统安全技术要求》GB/T20273-2006《信息安全技术数据库管理系统安全技术要求》GB/T22239-2008《信息安全技术信息系统安全等级保护基本要求》3.3.术语术语和定义和定义安全安全设备安全基线：设备安全基线：指针对各类安全设备的安全特性，选择合适的安全控制措施，定义不同网络设备的最低安全配置要求，则该最低安全配置要求就称为安全设备安全基线。严重严重漏洞漏洞（Critical）：攻击者可利用此漏洞以网络蠕虫或无需用户任何操作等方式实现完全控制受影响的系统重要漏洞重要漏洞（Important）：攻击者可利用此漏洞实现破坏用户数据和信息资源的机密性、完整性或可用性。中等漏洞中等漏洞（Moderate）：攻击者利用此漏洞有可能未经授权访问信息。注意，虽然攻击者无法利用此漏洞来执行代码提升他们的用户权限，但此漏洞可用于生成有用信息，这些信息可用于进一步危及受影响系统的安全。轻微漏洞轻微漏洞（Low）：攻击者通常难以利用此漏洞，或者几乎不会对信息安全造成明显损失。24.4.防火墙防火墙安全配置规范安全配置规范4.1.4.1.防火墙防火墙自身自身安全性安全性检查检查4.1.1.4.1.1.检查系统时间是否准确检查系统时间是否准确编号要求内容要求内容检查系统时间是否准确加固方法加固方法重新和北京时间做校队检测方法检测方法1现场检查：如下截图路径，检查系统时间是否和北京时间一致，如果相差在一分钟之内，则认为符合要求，否则需要重新修正。天融信该功能截图：路径：系统管理=》配置备注4.1.2.4.1.2.检查是否存在分级用户管理检查是否存在分级用户管理编号要求内容要求内容管理员分：超级管理员、管理用户、审计用户、虚拟系统用户加固方法加固方法在防火墙设备上配置管理账户和审计账户检测方法检测方法1现场检查：如下截图路径，如果系统中仅存在四个账户，分别为：超级管理员、管理用户、审计用户、虚拟系统用户，且四个账号分别对应于各自不同级别的权限，则符合要求；如果无三个，则不符合要求3天融信该功能截图：路径：系统管理=》管理员备注4.1.3.4.1.3.密码认证登录密码认证登录编号要求内容要求内容检查防火墙内置账户不得存在缺省密码或弱口令帐户加固方法加固方法修改防火墙设备的登录设备的口令，满足安全性及复杂性要求检测方法检测方法1、口令复杂度口令复杂度查看防火墙设备的管理员登录设备的口令安全性及复杂性，登录设备验证口令的复杂性，。如果需要输入口令并且口令为8位以上，并且是包含字母、数字、特殊字符的混合体，判定结果为符合；如果不需要任何认证过程，判定结果为不符合2、检查账户不得使用缺省密码。、检查账户不得使用缺省密码。天融信天融信防火墙该功能截图：防火墙该功能截图：路径：系统管理=》管理员备注44.1.4.4.1.4.登陆认证机制登陆认证机制编号要求内容要求内容检查登陆时是否采用多重身份认证的鉴别技术加固方法加固方法采用强度高