©2010-2026 宁波自信网络信息技术有限公司 版权所有
客服电话：0574-28810668 投诉电话：18658249818
浙ICP备2021020529号-1 | 浙B2-20240490
关注我们 ：
1、安全基线技术要求 1.1 网络设备 1.1.1 网络通用安全基线技术要求 1.1.1.1 网络设备防护 基线名称 安全设备的用户进行身份鉴别。 基线编号 IB-WLSB-01-01 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 设备通过相关参数配置，通过与认证服务器（RADIUS或TACACS服务器）联动的方式实现对用户的认证，满足账号、口令和授权的要求，对登录设备的用户进行身份鉴别。 备注 基线名称 网络设备用户的标识唯一。 基线编号 IB-WLSB-01-02 基线类型 强制要
2、求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 网络设备用户的标识应唯一；禁止多个人员共用一个账号。 备注 基线名称 身份鉴别信息应具有复杂度要求并定期更换。 基线编号 IB-WLSB-01-03 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应修改控制中心登录的默认账户和密码，密码长度应不小于8，密码应由字母、数字、特殊符号中的至少2种组成。 备注 基线名称 登录失败处理。 基线编号 IB-WLSB-01-04 基线类型
3、 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应为设备配置用户连续认证失败次数上限，当用户连续认证失败次数超过上限时，设备自动断开该用户账号的连接，并在一定时间内禁止该用户账号重新认证。 备注 基线名称 清除无关的账号。 基线编号 IB-WLSB-01-05 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应删除与设备运行、维护等工作无关的账号。 备注 基线名称 配置console口密码保护 基线编号 IB-WLSB-
4、01-06 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 对于具备console口的设备，应配置console口密码保护功能。 备注 基线名称 按照用户分配账号 基线编号 IB-WLSB-01-07 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应按照用户分配账号。 避免不同用户间共享账号。 避免用户账号和设备间通信使用的账号共享。 备注 基线名称 配置使用SSH 基线编号 IB-WLSB-01-08
5、 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 对于使用IP协议进行远程维护的设备，设备应配置使用SSH等加密协议。 备注 基线名称 对用户进行分级权限控制 基线编号 IB-WLSB-01-09 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 原则上应采用预定义级别的授权方法，实现对不同用户权限的控制。 备注 基线名称 配置访问IP地址限制 基线编号 IB-WLSB-01-10 基线类型 强制要求 适
6、用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应对发起SNMP访问的源IP地址进行限制，并对设备接收端口进行限制。 备注 基线名称 授权粒度控制 基线编号 IB-WLSB-01-11 基线类型 强制要求 适用范围 □等保一、二级 □等保三级 R涉普通商秘（工作秘密） □涉核心商秘 基线要求 原则上应采用对命令组或命令进行授权的方法，实现对用户权限细粒度的控制的能力。 备注 基线名称 按最小权限方法分配帐号权限 基线编号 IB-WLSB-01-12 基线类型 强制要求 适用范围 R等保一
7、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。 备注 基线名称 配置定时账户自动登出 基线编号 IB-WLSB-01-13 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 对于具备字符交互界面的设备，应配置定时账户自动登出。 备注 基线名称 限制NTP通信地址范围 基线编号 IB-WLSB-01-14 基线类型 可选要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作
8、秘密） □涉核心商秘 基线要求 通过ACL对NTP服务器与设备间的通信进行控制。 备注 基线名称 启用NTP服务 基线编号 IB-WLSB-01-15 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应开启NTP，保证设备日志记录时间的准确性。 备注 基线名称 配置会话超时 基线编号 IB-WLSB-01-16 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 对于具备字符交互界面的设备，应配置定时账户自动
9、登出。 备注 基线名称 配置屏幕自动锁定 基线编号 IB-WLSB-01-17 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 对于具备图形界面（含WEB界面）的设备，应配置定时自动屏幕锁定。 备注 基线名称 修改缺省BANNER 基线编号 IB-WLSB-01-18 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 隐藏设备字符管理界面的bannner信息。 备注 基线名称 Community字符
10、串加密存放 基线编号 IB-WLSB-01-19 基线类型 可选要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 支持对SNMP协议RO、RW的Community字符串的加密存放。 备注 基线名称 配置路由信息发布和接受策略 基线编号 IB-WLSB-01-20 基线类型 可选要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 采用动态路由协议时，使用ip prefix-list 过滤缺省和私有路由、设置最大路由条目限制、严格限制BGP PEER的源地址等
11、方法避免设备发布或接收不安全的路由信息。 备注 基线名称 配置路由协议的认证和口令加密 基线编号 IB-WLSB-01-21 基线类型 可选要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 启用动态IGP（RIPV2、OSPF、ISIS等）或EGP（BGP）协议时，启用路由协议认证功能，如MD5加密，确保与可信方进行路由协议交互。 备注 基线名称 SNMP配置-修改SNMP的默认Community 基线编号 IB-WLSB-01-22 基线类型 强制要求 适用范围 R等保一、二级 □等保三
12、级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应修改SNMP协议RO和RW的默认Community字符串，并设置复杂的字符串作为SNMP的Community。 备注 基线名称 SNMP配置-禁用有写权限的SNMP Community 基线编号 IB-WLSB-01-23 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应关闭未使用的SNMP协议，尽量不开启SNMP的RW权限。 备注 基线名称 SNMP配置-配置选用较高SNMP版本 基线编号 IB-WLSB-01-2
13、4 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 使用SNMP V3以上的版本对设备做远程管理。 备注 1.1.1.2 访问控制 基线名称 避免从内网主机直接访问外网 基线编号 IB-WLSB-02-01 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应用代理服务器，将从内网到外网的访问流量通过代理服务器。设备只开启代理服务器到外部网络的访问规则，避免在设备上配置从内网的主机直接到外网的访问规则。 备注 基线
14、名称 配置流量控制 基线编号 IB-WLSB-02-02 基线类型 可选要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 使用合理的ACL或其它分组过滤技术，对设备控制流量、管理流量及其它由路由器引擎直接处理的流量（如traceroute、ICMP流量）进行控制，实现对路由器引擎的保护。 备注 基线名称 配置安全域的访问控制规则 基线编号 IB-WLSB-02-03 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 所有的安全域都具有相应
15、的规则进行防护，对进出流量进行控制。 备注 基线名称 VPN用户按照访问权限进行分组 基线编号 IB-WLSB-02-04 基线类型 可选要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 对于VPN用户，必须按照其访问权限不同而进行分组，并在访问控制规则中对该组的访问权限进行严格限制。 备注 基线名称 过滤不相关流量-ACL 基线编号 IB-WLSB-02-05 基线类型 可选要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 对于具备TCP
16、/UDP协议功能的设备，设备应根据业务需要， 配置基于源IP地址、通信协议TCP或UDP、目的IP地址、源端口、目的端口的流量过滤，过滤所有和业务不相关的流量。 备注 基线名称 最小化服务 基线编号 IB-WLSB-02-06 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 禁用非必要的服务。 备注 1.1.1.3 安全审计 基线名称 开启日志功能 基线编号 IB-WLSB-03-01 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘
17、密） □涉核心商秘 基线要求 开启记录日志，记录访问登录、退出等信息。 备注 基线名称 配置日志存储位置 基线编号 IB-WLSB-03-02 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 将重要或指定级别的日志发送到日志服务器或其它位置，进行安全存放，要求能追溯至少60天内的日志记录。 备注 基线名称 配置安全事件日志记录 基线编号 IB-WLSB-03-03 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线
18、要求 设备应配置日志功能，记录对与设备自身相关的安全事件。 备注 基线名称 配置操作日志 基线编号 IB-WLSB-03-04 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 设备应配置日志功能，记录用户对设备的操作， 包括但不限于以下内容：账号创建、删除和权限修改，口令修改， 读取和修改设备配置，读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。 记录需要包含用户账号，操作时间，操作内容以及操作结果。 备注 1.1.1.4 入侵防范 基线名称 开启告警功能 基线编号
19、 IB-WLSB-04-01 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 设备应具备向管理员告警的功能，配置告警功能，报告对设备本身的攻击或者设备的系统严重错误。 备注 基线名称 配置拒绝常见漏洞所对应端口或者服务的访问 基线编号 IB-WLSB-04-02 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 配置访问控制规则，拒绝对常见漏洞所对应端口或者服务的访问。 备注 基线名称 防止仿冒ARP网关攻击
20、基线编号 IB-WLSB-04-03 基线类型 可选要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应对仿冒ARP网关攻击进行防护。 备注 基线名称 配置网络层异常报文攻击告警 基线编号 IB-WLSB-04-04 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 配置告警功能，报告网络流量中对TCP/IP协议网络层异常报文攻击的相关告警。 备注 基线名称 关闭不必要的服务 基线编号 IB-WLSB-04-05 基线类型
21、 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 应关闭设备上不必要的服务(如CDP、DNS lookup、DHCP、finger、udp-small-server、tcp-small-server、http、bootp、IP源路由、PAD等)。 备注 基线名称 关闭不必要的服务-禁用FTP服务 基线编号 IB-WLSB-04-06 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 设备设备必须关闭非必要服务。禁用FTP服务。 备注
22、 1.1.2 Cisco路由器/交换机安全基线技术要求 1.1.2.1 网络设备防护 基线名称 使用认证服务器认证 基线编号 IB-CISCO（SW）-01-01 基线类型 强制要求 适用范围 R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘 基线要求 设备通过相关参数配置，通过与认证服务器（RADIUS或TACACS服务器）联动的方式实现对用户的认证，满足账号、口令和授权的要求。 配置方法 参考配置操作 1、Cisco(config)#aaa new-model 2、Cisco(config)#aaa authentication l
23、ogin default group
24、求
应删除与设备运行、维护等工作无关的账号。
配置方法
参考配置操作
1、Cisco(config)#no username
25、le密码。
配置方法
参考配置操作
1、Cisco(config)#no enable password #配置enable密码
2、Cisco(config)#enable secret
26、encryption #启用密码加密服务
5、Cisco(config)#end
6、Cisco#write
基线名称
对用户设置授权等级
基线编号
IB-CISCO（SW）-01-04
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
原则上应采用预定义级别的授权方法，实现对不同用户权限的控制。
配置方法
参考配置操作
1、Switch(config)#username
27、2、Switch(config)#end
3、Switch#write
基线名称
避免共享账号
基线编号
IB-CISCO（SW）-01-05
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
应按照用户分配账号。避免不同用户间共享账号。避免用户账号和设备间通信使用的账号共享。
配置方法
参考配置操作
1、Cisco(config)# username 28、>权限级别、 29、ord 30、write
基线名称
关闭未使用的管理口
基线编号
IB-CISCO（SW）-01-08
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
设备应关闭未使用的管理口（AUX、或者没开启业务的端口）
配置方法
参考配置操作
1、Cisco(config)#interface <接口>
2、Cisco(config-if)#shutdown #关闭未使用的接口。
3、Cisco(config-if)#end
4、Cisco#write
基线名称
远程管理通信安全-SSH
基线编号 31、
IB-CISCO（SW）-01-09
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
对于使用IP协议进行远程维护的设备，设备应配置使用SSH等加密协议。
配置方法
参考配置操作
1、Cisco(config)#ip domain-name 32、ne vty 0 4
5、Cisco(config-line)#transport input ssh #配置仅允许ssh远程登录
6、Cisco(config-line)#end
7、Cisco#write
基线名称
使用SNMP V3版本
基线编号
IB-CISCO（SW）-01-10
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
对于支持SNMP V3版本的设备，必须使用V3版本SNMP协议。
配置方法
参考配置操作
1、Cisco(config)#snmp-server host 33、 34、server community [name] #删除名称为public，并修改SNMP comm 团体名
2、Cisco(config)#end
3、Cisco#write
基线名称
限制可发起SNMP的源IP
基线编号
IB-CISCO（SW）-01-12
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
应对发起SNMP访问的源IP地址进行限制，并对设备接收端口进行限制。
配置方法
参考配置操作
1、Cisco(config)#access-list 35、t> # 36、使用SNMP的WRITE功能时，禁用SNMP的写（WRITE）功能。
配置方法
参考配置操作
1、Cisco(config)#snmp-server community 37、涉核心商秘
基线要求
通过ACL对NTP服务器与设备间的通信进行控制。
配置方法
参考配置操作
1、Cisco(config)#ntp access-group peer 38、VTY口的防护策略，避免由于恶意攻击或者错误操作等导致VTY口不可用情况的发生。（如：网管系统尽量采用snmp方式对设备进行操作，避免使用对设备CPU负载较大的telnet方式。）
配置方法
参考配置操作
1、vty不能删除，仅提供检查作用，不提供配置方法。
基线名称
远程主机IP地址段限制
基线编号
IB-CISCO（SW）-01-16
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
应通过ACL限制可远程管理设备的IP地址段。
配置方法
参考配置操作
1、Cisco(config)#ac 39、cess-list 40、O（SW）-01-17
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
对广播/组播/未知单播报文速率限制和阻断。
配置方法
参考配置操作
1、Cisco(config)#interface 41、nfig-if)#storm-control multicast level 42、一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
原则上应采用预定义级别的授权方法，实现对不同用户权限的控制。
配置方法
参考配置操作
1、Cisco(config)#privilege configure level 7 snmp-server #对snmp-server命令设置授权等级
2、Cisco(config)#privilege exec level 7 ping #对ping命令设置授权等级
3、Cisco(config)#privilege exec level 7 configure #对configure命令设置授 43、权等级
4、Cisco(config)#end
5、Cisco#writee
基线名称
修改缺省BANNER
基线编号
IB-CISCO（SW）-01-19
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
要修改缺省器缺省BANNER语，BANNER最好不要有系统平台或地址等有碍安全的信息。
配置方法
参考配置操作
1、Cisco(config)#banner 44、e
基线名称
会话超时配置
基线编号
IB-CISCO（SW）-01-20
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
配置定时账户自动登出。如TELNET、SSH、HTTP等管理连接和CONSOLE口登录连接等。
配置方法
参考配置操作
1、console口会话超时配置
（1）、Cisco(config)#line console 0
（2）、Cisco(config-line)#exec-timeout 45、 46、
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
通过ACL实现对地址为未注册或私有的非法数据流的控制。
配置方法
参考配置操作
1、Cisco(config)#access-list 47、 #对进或出的流量进行限制。
4、Cisco(config-if)#end
5、Cisco#write
基线名称
对设备引擎直接处理的流量进行控制
基线编号
IB-CISCO（SW）-02-02
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
使用合理的ACL或其它分组过滤技术，对设备控制流量、管理流量及其它由设备引擎直接处理的流量（如traceroute、ICMP流量）进行控制，实现对设备引擎的保护。
配置方法
参考配置操作
1、Cisco(config)#access-list 48、ag> 49、pmap)#class 50、
1.1.2.3 安全审计
基线名称
日志存储位置
基线编号
IB-CISCO（SW）-03-01
基线类型
强制要求
适用范围
R等保一、二级 □等保三级 □涉普通商秘（工作秘密） □涉核心商秘
基线要求
设备应支持远程日志功能，所有设备日志均能通过远程日志功能传输到日志服务器，设备应支持至少一种通用的远程标准日志接口，如SYSLOG、FTP等。
配置方法
参考配置操作
1、Cisco(config)#logging host
©2010-2026 宁波自信网络信息技术有限公司 版权所有
客服电话：0574-28810668 投诉电话：18658249818
浙ICP备2021020529号-1 | 浙B2-20240490
关注我们 ：
