服務器安全方案(編輯修改稿)

　

【文章內容簡介】 1 ICN 區域 關鍵設備組二 SHDC_ICN_SW_02 內聯接入區 域匯聚交換機 2 ICN 區域 關鍵設備組二 SHDC_ICN_RT_01 遠程數據中心接入區域 ASR 路由器 1 ICN 區域 關鍵設備組二 SHDC_ICN_RT_02 遠程數據中心接入區域 ASR 路由器 2 ICN 區域 關鍵設備組二 SHDC_ICN_RT_03 系統遠程管理通道區域路由器 1 ICN 區域 關鍵設備組二 SHDC_ICN_RT_04 CCPC 子區域路由器 1 ICN 區域 關鍵設備組二 SHDC_ICN_RT_05 CCPC 子區域路由器 2 ICN 區域 圖表 40 ACS 設備組分類表 命令組 對網絡設備進行管理的命令級別分為三個組，分別為： level1level level5。 ? level15 的命令集只分配給超級用戶，具有對所有網絡設備登錄和配置任何命令的權限。 ? level10 級別對應的管理權限需要能使用大部分配置命令、查看系統配置參數、網絡運行狀態、進行網絡故障診斷，但不能使用涉及 AAA 安全參數的命令，對單臺網絡設備的參數配置應不能影響網絡的全局數據路由通訊。該權限分配的設想是在 level15 的用戶權限中，除去以下 的配置模式權限： aaa Authentication, Authorization and Accounting enable Modify enable password parameters line Configure a terminal line radiusserver Modify RADIUS query parameters router Enable a routing process tacacsserver Modify TACACS query parameters ? 在網絡核心設備組上，另外設置 level5 的用戶，其管理權限的分配是在level1 用戶權限的基礎上，增加進行日常網絡運行維護所需要的基本權限： configure terminal 進入全局配置模式，才能進入需要的子配置模式；需要在全局配置模式下的一些常用配置命令，如“ ip route”等 controller Controller configuration mode exec Exec mode(能查看系統配置參數、 進行網絡故障診斷等，對應于level15 的 exec 命令集，但除去所有的 debug 命令 ) interface Interface configuration mode interfacedlci Frame Relay dlci configuration mode 相關的網管用戶，命令級別和設備組的排列見下表： 用戶類型 關鍵設備組一 關鍵設備組二 超級用戶 Level 15 Level 15 用戶組 1 Level 5 Level 10 用戶組 2 deny Level 5 圖表 41 ACS 用戶等級分配表 應急步驟 在 console口通過靜態口令和密碼來進行登錄，如果無法使用 ACS方式登錄到網絡設備，則在緊急情況下，可以通過進入機房，登錄 Console 口，使用靜態口令和密碼進行配置 ,在路由器界面下需要做額外的配置。 測試 ? 使用動態口令測試登陸網絡設備是否成功 ? 使用不同權限用戶登陸網絡查看命令權限 ? ACS 服務器故障時，使用本地口令登陸網絡設備 數據庫備份與恢復 數據庫備份 對于 ACS 的數據庫（ server database）和日志數據庫（ log database）的備份，可以設置認證服務器定時按照所選方式將日志數據庫保存到歸檔的文件中。對 ACS 服務器中的用戶、用戶組及系統相關配置進行備份，備份的目錄更改為 D 盤下，這樣保證即使損傷系統崩潰，數據資料不受影響。 數據庫恢復 管理員可手工操作 ACS Server 從指定的目錄的備份文件恢復用戶配置、用戶組配置及系統相關配置，實現 ACS 的數據庫恢復。 在 console口通過靜態口令和密碼來進行登錄，如果無法使用 ACS方式登錄到網絡設備， 則在緊急情況下，可以通過進入機房，登錄 Console 口，使用靜態口令和密碼進行配置 ,在路由器界面下需要做額外的配置。 操作系統安全加固 （ 紅色代表可以實施， 藍色代表了解后再 討論確定 ） 操作系統加固 編號 機器名 內部 IP 地址 域名服務器 IP 操作系統 Windows 2020 Server 網關 IP CPU 內存 檢查日期 檢查人 編號 檢查內容 檢查結果 加固建議 補丁安裝情況 1 操作系統是否已經安裝相關的補丁 是 無 2 操作系統是否已經安裝了全部 的HOTFIX 是 無 3 應用程序是否及時進行補丁的更新，包括 Office 和 IE 等 是 無 賬戶策略 4 密碼是否符合復雜性要求 否 開啟密碼復雜性要求 5 密碼長度是否符合要求 否 啟用密碼最小長度，最小 8 位 6 是否設置了密碼最長使用期限 否 啟用密碼最長使用期限（不小于30 天） 7 是否設置了帳戶鎖定閥值 否 開啟帳戶鎖定，一般 5 次 8 是否設定了帳戶鎖定時間 否 啟用帳戶鎖定時間 9 是否設置了復位帳戶鎖定計數器 否 啟用帳戶鎖定復位時間 10 是否將審核策略更改為 成功和失敗 否 審核策略更改的成功和失敗事件 11 是否將審核登錄事件更改為 成功和失敗 否 審核對登錄事件的成功和失敗事件 12 是否將審核對象訪問設置為 失 敗 否 審核對象訪問的失敗事件 安全 設置 13 當登錄時間用完時自動注銷用戶 （啟用） 是 無 14 在掛起會話之前所需的空閑時間 （小于等于 30 分鐘） 是 無 15 發送未加密的密碼到第三方 SMB 服務器 :（禁用） 是 無 16 允許對所有驅動器和文件夾進行軟盤復制和訪問 （禁用） 是 無 17 故障恢復控制臺 :允許自動系統管理級登錄 （禁用） 是 無 18 清除虛擬內存頁面文件 （啟用） 否 建議啟用清除虛擬內存頁面文件 該項影響 ：系統在關機時會清除虛擬內存頁面文件 19 允許系統在未登錄前關機 （禁用） 是 無 20 交互式登錄：不顯示上次的用戶名（啟用） 否 建議在登錄時不顯示上次的用戶名 注冊表安全 21 抑制 Dr. Watson Crash Dump: HKLM\Software\Microsoft\DrWatson\ CreateCrashDump (REG_DWORD) 0 否 建議設置 CreateCrashDump 鍵值為 0 該項影響 ：系統崩 潰時不會生成Dump 文件 22 禁止在任何驅動器上自動運行任何程序： HKLM\Software\ Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDriveTypeAutoRun (REG_DWORD) 255 否 建議創建并設置NoDriveTypeAutoRun 鍵值為 255 該項影響 ：在驅動器上無法自動運行任何程序 23 用星號掩藏任何的口令輸入：HKLM\Software\Microsoft\ Windows\CurrentVersion\Policies\Network\HideSharePwds (REG_DWORD) 1 否 建議創建并設置 HideSharePwds鍵值為 1 24 禁止自動執行系統調試器： HKLM\Software\ Microsoft\ Windows NT\CurrentVersion\ AeDebug\Auto (REG_DWORD) 0 否 建議創建并設置 AeDebug\Auto鍵值為 0 該項影響 ：無系統調試功能 25 禁止自動登錄：