安全計算環境-路由器

控制點

2.

訪問控制

在路由器中實施訪問控制的目的是保證系統資源受控、合法地被使用。使用者只能根據自己的許可權來訪問系統資源，不得越權訪問。

a)

安全要求：應對登入的使用者分配賬戶和許可權。

要求解讀:為了確保路由器的安全，需要為登入的使用者分配賬戶併合理配置賬戶許可權。

例如，相關管理人員具有與職位相對應證的賬戶和許可權。

檢查方法

1. 訪談網路管理員、安全管理員、系統管理員或核查使用者賬戶和許可權設定情況。

2. 核查是否已禁用或限制匿名、預設賬戶的訪間許可權。

期望結果

1. 相關管理人員具有與職位租對應的賬戶和許可權；

2. 網路裝置中已禁用或限制匿名、預設賬戶的訪問許可權。

b)

安全要求：應重新命名或刪除預設賬戶，修改預設賬戶的預設口令。

要求解讀：路由器預設賬戶的某些權跟與實際要求可能存在差異，從而造成安全隱患，因此，這些預設賬戶應被禁用，且應不存在預設賬戶（例如admin、huawei）及預設口令。

檢查方法

1. 核查預設賬戶是否已經重新命名或預設賬戶是否已被刪除。

2. 核查預設賬戶的預設口令是否已經修改。登入路由器，使用路由器預設賬戶和預設口令進行登入測試，核查能否登入（應為不能登入）。

• Cisco路由器：賬戶為：cisco、Cisco，口令為cisco。

• 華為路由器：賬戶為admin、huawei，口令為admin、[email protected]。

期望結果

1、使用預設賬戶和預設口令無法登入路由器。

2、Cisco路由器不存在預設賬戶cisco、Cisco。華為/H3C路由器中不存在預設賬戶admin、huawei。

c)

安全要求：應及時刪除或停用多餘的、過期的賬戶，避免共享賬戶的存在。

要求解讀：路由器中如果存在多餘的、過期的賬戶，就可能被攻擊者利用進行非法操作，因此，應及時清理路由器中的賬戶，刪除或停用多餘的、過期的賬戶，避免共享賬戶的存在。

檢查方法

1. 核查是否不存在多餘的或過期的賬戶（應為不存在），以及管理員使用者與賬戶之間是否一一對應。

2. 核查並測試多餘的、過期的賬戶是否已被刪除或停用。

• Cisco路由器：輸入show run命令，檢視每條類似如下命令所配置的使用者名稱是否確實、必要。

• 華為/H3C路由器：輸入display current-configuration命令，檢視每條類似如下命令所配置的使用者名稱是否確實、必要。

期望結果

1. 配置的使用者名稱都是確實和必要的。

• Cisco路由器：輸入show run命令，每條類似如下命令所配置的使用者名稱都是確實和必要的。

• 華為/H3C路由器：輸入display current-configuration命令，每條類似如下命令所配置的使用者名稱都是確實和必要的。

2. 網路管理員、安全管理員和系統管理員等不同的使用者使用不同的賬戶登入系統。

d)

安全要求：應授予管理使用者所需的最小許可權，實現管理使用者的許可權分離。

要求解讀：根據管理使用者的角色對許可權進行細緻的劃分，有利於各崗位精準協調工作。同時，僅授予管理使用者所需的最小許可權，可以避免因出現許可權漏洞而使一些高階使用者擁有過高的許可權。例如，應進行角色劃分，分為網路管理員、安全管理員、系統管理員三個角色，並設定對應的許可權。

檢查方法

1. 訪談管理員，核查是否進行了角色劃分，例如劃分為網路管理員、安全管理員、系統管理員等角色。

2. 核查管理使用者的許可權是否已經分離。

3. 核查管理使用者許可權是否為其工作任務所需的最小許可權。

期望結果

1. 進行了角色劃分，分為網路管理員，安全管理員、系統管理員三個角色，並設定對應的許可權。

2. 訪問控制策略，示例如下。

• Cisco路由器：輸入show run命令，存在如下類似配置。

• 華為/H3C路由器：輸入display current-configuration命令，存在如下類似配置。

3. 網路管理員、安全管理員、系統管理員對應的賬戶許可權為其工作任務所需的最小許可權。