衣服图案设计网站,广告联盟接广告,微信开发网站,小程序开发者文档1.身份鉴别
应对登录的用户进行身份标识和鉴别#xff0c; 身份标识具有唯一性#xff0c;身份鉴别信息具有复杂度要求并定期更换。
可以使用“ service password-encryption命令对存储在配置文件中的所有口令和类似数据进行加密#xff0c; 以避免攻击者通过读取配…1.身份鉴别
应对登录的用户进行身份标识和鉴别 身份标识具有唯一性身份鉴别信息具有复杂度要求并定期更换。
可以使用“ service password-encryption命令对存储在配置文件中的所有口令和类似数据进行加密 以避免攻击者通过读取配置文件获取口令的明文。
测评方法
(1)核查是否在用户登录时采用了身份鉴别措施[lc1] 。退出登录Router#logout
(2)核查用户列表 测试用户身份标识是否具有唯一性[lc2] 。
(3)查看用户配置信息或访谈系统管理员核查是否存在空口令[lc3] 用户应为不存在。
(4)核查用户鉴别信息是否满足复杂度[lc4] 要求并定期更换。
控制台端口本地登录:
虚拟终端vty(telnet/ssh):
思科
设置远程登入(telnet)用户名和密码注意路由和客户机的telnet服务都要提前开启
enable
#configure terminal
(config)#enable password cisco 设置特权密码
(config)#username lly secret lly 设置telnet用户名和密码
(config)#line vty 0 4
(config-line)#transport input ? all All protocols none No protocols ssh TCP/IP SSH protocol telnet TCP/IP Telnet protocol
(config-line)#transport input telnet
r1(config-line)#login ? authentication authenticate using aaa method list local Local password checking
(config-line)#login local 启动本地认证
登录
C:\telnet 10.1.2.254(路由器接口ip)
Trying 10.1.2.254 ...Open
User Access Verification
Username: lly
Password:
r1#exit 退出登录
[Connection to 10.1.2.254 closed by foreign host]
C:\
华为
查看是否配好了ip
[r1]display current-configuration interface GigabitEthernet 0/0/0
[V200R003C00]
#
interface GigabitEthernet0/0/0 ip address 10.1.1.1 255.255.255.0 ipsec policy my-policy
#
return
[r1]telnet server enable 开启本地的telnet服务
[r1]user-interface vty 0 4 可以允许5个用户管理
[r1-ui-vty0-4]authentication-mode aaa
aaa方式是账户密码方式登录另外password方式是只要密码就可以登录
[r1-ui-vty0-4]aaa
[r1-aaa]local-user lcy password cipher 123qwe 指定密码加密算法为cipher
[r1-aaa]local-user lcy service-type telnet 远程登录方式 尝试控制
r2telnet 10.1.1.1 Press CTRL_] to quit telnet mode Trying 10.1.1.1 ... Connected to 10.1.1.1 ...
Login authentication
Username:lcy
Password:
r1 成功
应具有登录失败处理功能应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。
测评方法〕
(1)核查是否配置并启用了登录失败处理功能。如果网络中部署了堡垒机则先核查堡垒机是否具有登录失败处理功能。如果网络中没有部署堡垒机则核查设备是否默认启用了登录失败处理功能[lc5] 例如登录失败3次即退出登录界面。
(2 )核查是否配置并启用了非法登录达到一定次数后锁定账户的功能。
(3)核查是否配置并启用了远程登录连接超时自动退出[lc6] 的功能。 当进行远程管理时应采取必要措施防止鉴别信息在网络传输过程中被窃听。
【测评方法】
核查是否采用了加密等安全方式对系统进行远程管理以防止鉴别信息在网络传输过程中被窃听。如果网络中部署了堡垒机则先核查堡垒机在进行远程连接时采用何种措施防止鉴别信息在网络传输过程中被窃听(例如SSH等方式)。 Router(config)# hostname r1
r1(config)# ip domain-name lcy.com
r1(config)# username lcy privilege 15 secret 123qwe
r1(config)# crypto key generate rsa modulus 2048
r1(config)# ip ssh version 2
r1(config)# line vty 0 4
r1(config-line)# login local 启用本地身份验证只允许用本地(路由器配置好的)账户登录
r1(config-line)# transport input ssh
r1(config-line)# exit
r1(config)# ip ssh authentication-retries 3 登陆失败次数为3次 [lc1]display current-configuration | include local-user local-user lcy class manage [lc2]查看在线用户列表 Router# show users 查看用户show run 新建用户 Router(config)# username newuser privilege 15 password newpassword [lc3]Router# show running-config 查找 username 命令行该命令用于创建或修改用户账户。如果某个用户账户的密码为空则该行将类似于下面的形式 username user1 privilege 15 password 0 [lc4]HCL: Intetnetdisplay password-control Global password control configurations: Password control: Disabled (device management users) Disabled (network access users) 密码控制设备管理用户和网络访问用户的密码控制都被禁用。 Password composition: Enabled (2 types, 1 characters per type) 密码组成密码组成要求已启用要求密码包含至少2种类型的字符如字母、数字或特殊字符并且每种类型至少包含1个字符 Password history: Enabled (max history records:4) 密码历史密码历史记录已启用最多保存4个历史密码记录以防止用户在更改密码时重复使用先前的密码。 User account idle time: 90 days 用户帐户空闲时间如果用户帐户处于空闲状态超过90天系统将自动注销该用户。 Logins with aged password: 3 times in 30 days 使用过期密码进行登录如果用户在过去30天内已经3次使用过期密码进行登录系统将采取相应的操作。 Password change: Enabled (first login) Disabled (mandatory weak password change) 密码更改首次登录时要求用户更改密码但没有强制要求使用弱密码更改 思科 show running-config | include password complexity [lc5]Intetnetdisplay password-control Maximum login attempts: 3 Action for exceeding login attempts: Lock user for 1 minutes [lc6]display current-configuration | include idle-time Router#show running-config | include exec-timeout exec-timeout 20 0 配置 Router(config)#line console 0 Router(config-line)#exec-timeout 20 Router(config-line)#end Router#copy running-config startup-config Destination filename [startup-config]? 直接回车确认 Building configuration... [OK]
