路由等保测评

1.身份鉴别

应对登录的用户进行身份标识和鉴别， 身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。

可以使用“ service password-encryption"命令对存储在配置文件中的所有口令和类似数据进行加密， 以避免攻击者通过读取配置文件获取口令的明文。

［测评方法］

(1)核查是否在用户登录时采用了身份鉴别措施[lc1] 。退出登录：Router#logout

(2)核查用户列表， 测试用户身份标识是否具有唯一性[lc2] 。

(3)查看用户配置信息或访谈系统管理员，核查是否存在空口令[lc3] 用户（应为不存在）。

(4)核查用户鉴别信息是否满足复杂度[lc4] 要求并定期更换。

控制台端口本地登录:

虚拟终端vty(telnet/ssh):

思科：

设置远程登入(telnet)用户名和密码（注意，路由和客户机的telnet服务都要提前开启）

enable

#configure terminal

(config)#enable password cisco  设置特权密码

(config)#username lly secret lly 设置telnet用户名和密码

(config)#line vty 0 4

(config-line)#transport input ?

  all     All protocols

  none    No protocols

  ssh     TCP/IP SSH protocol

  telnet  TCP/IP Telnet protocol

(config-line)#transport input telnet

r1(config-line)#login ?

  authentication  authenticate using aaa method list

  local           Local password checking

(config-line)#login local   启动本地认证

登录：

C:\>telnet 10.1.2.254(路由器接口ip)

Trying 10.1.2.254 ...Open

User Access Verification

Username: lly

Password:

r1#exit      退出登录

[Connection to 10.1.2.254 closed by foreign host]

C:\>

华为：

查看是否配好了ip

[r1]display current-configuration interface GigabitEthernet 0/0/0

[V200R003C00]

#

interface GigabitEthernet0/0/0

 ip address 10.1.1.1 255.255.255.0

 ipsec policy my-policy

#

return

[r1]telnet server enable    开启本地的telnet服务

[r1]user-interface vty 0 4   可以允许5个用户管理

[r1-ui-vty0-4]authentication-mode aaa  

aaa方式是账户+密码方式登录，另外password方式是只要密码就可以登录

[r1-ui-vty0-4]aaa

[r1-aaa]local-user lcy password cipher 123qwe   指定密码加密算法为cipher

[r1-aaa]local-user lcy service-type telnet         远程登录方式

尝试控制：

<r2>telnet 10.1.1.1

  Press CTRL_] to quit telnet mode

  Trying 10.1.1.1 ...

  Connected to 10.1.1.1 ...

Login authentication

Username:lcy

Password:

<r1> 成功

应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。

［测评方法〕

(1)核查是否配置并启用了登录失败处理功能。如果网络中部署了堡垒机，则先核查堡垒机是否具有登录失败处理功能。如果网络中没有部署堡垒机，则核查设备是否默认启用了登录失败处理功能[lc5] ，例如登录失败3次即退出登录界面。

(2 )核查是否配置并启用了非法登录达到一定次数后锁定账户的功能。

(3)核查是否配置并启用了远程登录连接超时自动退出[lc6] 的功能。

当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。

【测评方法】

核查是否采用了加密等安全方式对系统进行远程管理，以防止鉴别信息在网络传输过程中被窃听。如果网络中部署了堡垒机，则先核查堡垒机在进行远程连接时采用何种措施防止鉴别信息在网络传输过程中被窃听(例如SSH等方式)。

Router(config)# hostname r1

r1(config)# ip domain-name lcy.com

r1(config)# username lcy privilege 15 secret 123qwe

r1(config)# crypto key generate rsa modulus 2048

r1(config)# ip ssh version 2

r1(config)# line vty 0 4

r1(config-line)# login local    启用本地身份验证，只允许用本地(路由器配置好的)账户登录

r1(config-line)# transport input ssh

r1(config-line)# exit

r1(config)# ip ssh authentication-retries 3   登陆失败次数为3次

---

 [lc1]display current-configuration | include local-user

local-user lcy class manage

 [lc2]查看在线用户列表：

Router# show users

查看用户：show run

新建用户：

Router(config)# username newuser privilege 15 password newpassword

 [lc3]Router# show running-config

查找 "username" 命令行，该命令用于创建或修改用户账户。如果某个用户账户的密码为空，则该行将类似于下面的形式：

username user1 privilege 15 password 0

 [lc4]HCL:

<Intetnet>display password-control

 Global password control configurations:

 Password control:   Disabled (device management users)                                   Disabled (network access users)

密码控制：设备管理用户和网络访问用户的密码控制都被禁用。

Password composition:  Enabled (2 types, 1 characters per type) 

密码组成：密码组成要求已启用，要求密码包含至少2种类型的字符（如字母、数字或特殊字符），并且每种类型至少包含1个字符

 Password history:  Enabled (max history records:4)

密码历史：密码历史记录已启用，最多保存4个历史密码记录，以防止用户在更改密码时重复使用先前的密码。

 User account idle time:            90 days

用户帐户空闲时间：如果用户帐户处于空闲状态超过90天，系统将自动注销该用户。

 Logins with aged password:   3 times in 30 days

使用过期密码进行登录：如果用户在过去30天内已经3次使用过期密码进行登录，系统将采取相应的操作。                                   

 Password change:       Enabled (first login)                                   Disabled (mandatory weak password change)

密码更改：首次登录时要求用户更改密码，但没有强制要求使用弱密码更改

思科：

show running-config | include password complexity

 [lc5]<Intetnet>display password-control

Maximum login attempts:              3

 Action for exceeding login attempts: Lock user for 1 minutes

 [lc6]display current-configuration | include idle-time

Router#show running-config | include exec-timeout

exec-timeout 20 0

配置：

Router(config)#line console 0

Router(config-line)#exec-timeout 20

Router(config-line)#end

Router#copy running-config startup-config

Destination filename [startup-config]? 直接回车确认

Building configuration...

[OK]