安全计算环境之网络设备

1. 身份鉴别

a)应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换

1)应核查用户在登录时是否采用了身份鉴别措施

2)应核查用户列表，测试用户身份标识是否具有唯一性

3)应核查用户配置信息或访谈系统管理员，核查是否不存在空口令用户

4)应核查用户鉴别信息是否具有复杂度要求并定期更换

b)具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施

1)应核查是否配置并启用了登录失败处理功能:如果网络中部署堡垒主机，先核查堡垒主机是否具有登录失败处理功能，如果没有部署堡垒主机，则设置默认登录失败3次，退出登录界面

2)应核查是否配置并启用了限制非法登录达到一定次数后实现账户锁定功能

3)应核查是否配置并启用了远程登录连接超时并自动退出功能

以华为路由器为例，设置超时时间为5分钟，输入"“display current-configuration”命令，在VTY下查看是否存在如下类似配置:
line vty 0 4
access-list 101 in
transport input ssh
idle-timeout 5”

c)当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听

1)应核查是否采用加密等安全方式对系统进行远程管理，防止鉴别信息在网络传输过程中被窃听。如果网络中部署堡垒主机，先核查堡垒主机采用何种措施在进行远程登录时，防止鉴别信息在网络传输过程中被窃听，如SSH等方式</