目的

建立网络设备的安全管理规定，并以此规定为指导，审视生产环境的网络设备的安全性，降低网络系统存在的安全风险，确保网络系统安全可靠地运行。

范围

本标准适用于网络环境运行的网络设备（路由器、交换机）。

关联性

遵照主策略3.3.1 网络 Policy 030101 配置网络、Policy 030102管理网络、3.3.2系统操作和管理 Policy 030206 管理系统操作和管理。

内容

定义

  • 网络设备安全管理规定

原则

  • 网络设备的登录口令必须足够强壮难以被破译
  • 网络设备的当前配置文件必须在主机上有备份文件
  • 网络设备的拓扑结构、IP地址等信息在一定范围内保密
  • 定期检查网络设备的日志，及时发现攻击行为
  • 网络设备的软件版本应该统一升级到较新版本
  • 网络设备的远程登录操作应限制在指定网段范围内
  • 网络设备的MIB库设置读/写密码且访问限定在指定网段范围内
  • 网络设备的安装、配置、变更、撤销等操作必须严格走流程

安全管理规定

用户和口令

  • 要求对网络设备的登录采用分级用户的保护机制，不同的个人用户必须采用不同的用户名和口令登录，并且拥有不同的权限级别。不同用户的登录操作在设备日志文件上均有记录，便于追查问题。
  • 网络设备的直接责任人拥有超级用户权限，其他网络管理员按照工作需求拥有相应的用户权限．网络管理员不得私开用户权限给其它人员。
  • 用户的口令尤其是超级用户的口令必须足够强壮难以被破译，这是保证设备安全性的基本条件。口令的设置应该满足规定的标准：
  • 口令长度不得少于8位，必须同时包含字母和数字
  • 口令中不要使用常用单词、英文简称、个人信息等
  • 不要将口令写在纸上或存在电脑上
  • 至少3个月要改变一次口令
  • 在配置文件中对口令进行隐藏设置
  • 选择口令尽可能做到自己好记别人难猜

配置文件

  • 配置文件存储着网络设备的所有配置信息。网络设备中的运行配置文件和启动配置文件应该随时保持一致。
  • 通过TFTP或FTP的方式可以将设备的配置文件下载到本地主机上作备份文件以防不测，在设备配置文件损坏时可再通过TFTP或FTP的方式从本地主机上载到设备的FLASH中恢复备份的配置文件。
  • 在配置文件中加入适当的注释语句，便于其它人的理解．

信息文档

  • 网络设备的拓扑结构、IP地址等信息文档属于网管中心的机密信息，应该在一定范围内予以保密。

设备日志管理

  • 网络设备通常可以设置日志功能，日志可以直接登录到设备上查看，也可以设置将日志发送到某台指定的UNIX主机上查看。日志中具体包含的内容可以在命令行配置方式下设定。
  • 在日志文件中可以查看到曾经登录过该设备的用户名、时间和所作的命令操作等详细信息，为发现潜在攻击者的不良行为提供有力依据。
  • 网络管理员必须定期查看所管设备的日志文件，发现异常情况要及时处理和报告上级主管，尽早消除网络安全隐患。

设备软件版本

  • 网络设备的软件版本（IOS或VRP等）较低可能会带来安全性和稳定性方面的隐患，因此要求在设备的FLASH容量的情况下统一升级到较新的版本。必要情况下可升级设备的FLASH容量。
  • 具体执行可参照“网络设备软件版本管理规定”

设备远程登录

  • 网络设备一般都具有允许远程登录的功能，远程登录给网络管理员带来很多方便，但同时也带来一定的网络安全隐患。
  • 通常在网络设备上可以设置相应的ACL限定可远程登录的主机在指定网段范围内，拒绝部分潜在的攻击者，保证网络安全。

设备MIB库管理

  • 网络设备一般采用SNMP协议提供网络管理功能，MIB库中包含了网络管理相关的所有信息。
  • MIB库的读／写密码必须设定为非缺省值，防止其中的信息被潜在攻击者获取，威胁网络安全。同时，允许对MIB库进行读／写操作的主机也可通过ACL设置限定在指定网段范围内．

设备变更流程

  • 网络设备的安装、配置、变更、撤销等操作必须严格走相应的流程进行不能由网络管理员独自进行，以使生产环境的网络设备随时处于可控状态。
  • 对网络设备的变更全过程进行严密的控制，在流程中明确规定对网络设备执行一项变更操作必须经过相关的技术评审，有主管审批，具备变更操作指导书等条件后才能具体实施，变更实施完成后要进行测试，这样才能将变更过程中可能带来的风险减小到最低限度。