中国移动安氏防火墙安全系统配置要求规范V1.0

网络安全公司防火墙配置规范一、背景介绍随着互联网的迅猛发展，网络安全问题变得日益突出，网络安全公司承担着保护用户信息和企业机密的重要责任。

为了确保网络安全公司的网络环境安全稳定，防火墙的配置规范十分关键。

二、配置原则1. 安全性原则：以保障网络安全为最高优先级，防止未授权访问和恶意攻击。

2. 合规性原则：严格遵循国家相关法规、政策和行业标准，确保网络安全公司的合规性。

3. 灵活性原则：根据网络安全公司的实际需求，灵活配置防火墙策略，保证网络正常运行。

三、防火墙配置规范1. 访问控制策略1.1. 内部网络：限制内部网络对外的访问，只允许经过授权的主机和服务与外部网络进行通信。

1.2. 外部网络：严格控制外部网络对内部网络的访问，只开放必要的端口和协议。

1.3. DMZ区域：为暴露在公网上的服务器设立DMZ区域，限制与内部网络的通信，确保内部网络的安全。

2. 安全策略2.1. 用户认证和授权：限制访问网络的用户必须进行身份认证，并根据权限分配访问权限。

2.2. 内部网络和DMZ网络隔离：确保内部网络和DMZ网络之间的隔离，防止内部网络受到来自DMZ网络的攻击。

2.3. 内外网隔离：严格控制内外网之间的通信，只允许经过授权的主机和服务进行通信。

2.4. 恶意行为防护：配置内容过滤、入侵检测和抗DDoS等功能，防止恶意行为对网络安全公司造成危害。

3. 审计和日志管理3.1. 审计策略：配置防火墙进行审计记录，包括访问请求、拒绝请求、策略变更等操作。

3.2. 日志管理：配置日志管理系统，对防火墙产生的日志进行集中存储和定期备份，便于安全管理员进行日志分析和事件溯源。

3.3. 异常报警：设置异常报警机制，及时发现并响应异常事件，保障网络安全公司的运行稳定。

4. 更新和管理4.1. 定期更新防火墙固件和补丁，提供更好的安全性和稳定性。

4.2. 全面备份：定期对防火墙的配置文件、日志文件进行全面备份，防止数据丢失。

2008-01-01实施2007-12-18发布中国移动WINDOWS操作系统安全配置规范Specification for Windows OS Configuration Used in China Mobile版本号：１.0.0中国移动通信集团公司发布目录1 概述 11.1 适用范围 11.2 内部适用性说明 11.3 外部引用说明 21.4 术语和定义 31.5 符号和缩略语 32 WINDOWS设备安全配置要求3 2.1 账号管理、认证授权 32.1.1 账号 42.1.2 口令 52.1.3 授权 72.2 日志配置操作 112.3 IP协议安全配置操作 172.4 设备其他配置操作 202.4.1 屏幕保护 202.4.2 共享文件夹及访问权限 21 2.4.3 补丁管理 222.4.4 防病毒管理 232.4.5 Windows服务 242.4.6 启动项 25前言本标准由中国移动通信有限公司网络部提出并归口。

本标准由标准提出并归口部门负责解释。

本标准起草单位：中国移动通信有限公司网络部。

本标准解释单位：同提出单位。

本标准主要起草人：中国移动通信集团浙江公司朱国萃 139********中国移动集团公司陈敏时 139********概述适用范围本规范所指的设备为Windows系统设备。

本规范明确了运行Windows操作系统的设备在安全配置方面的基本要求。

在未特别说明的情况下，均适用于所有运行的Windows操作系统，包括Windows 2000、Windows XP、Windows2003以及各版本中的Sever、Professional版本。

内部适用性说明配置要求说明外部引用说明《中国移动通用安全功能和配置规范》术语和定义符号和缩略语WINDOWS设备安全配置要求本规范从Windows系统设备的认证授权功能、安全日志功能以及IP网络安全功能，和其他自身安全配置功能四个方面提出安全要求。

中国移动安氏防火墙安全配置规范S p e c i f i c a t i o n f o r C o n f i g u r a t i o no f F i r e w a l l U s e d i n C h i n a M o b i l e版本号：1.0.0╳╳╳╳-╳╳-╳╳发布╳╳╳╳-╳╳-╳╳实施中国移动通信有限公司网络部目录1.范围 (1)2.规范性引用文件 (1)3.术语、定义和缩略语 (1)4.防火墙功能和配置要求 (1)4.1.引用说明 (1)4.2.日志配置要求 (3)4.3.告警配置要求 (3)4.4.安全策略配置要求 (3)4.5.攻击防护配置要求 (4)4.6.虚拟防火墙配置要求 (4)4.7.设备其他安全要求 (5)5.编制历史 (5)前言为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。

有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。

本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。

本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。

本标准明确了安氏防火墙的配置要求。

本标准主要包括日志配置、告警配置、安全策略配置、攻击防护配置，虚拟防火墙配置、设备其他安全要求等方面的配置要求。

本标准起草单位：中国移动通信有限公司网络部、中国移动通信集团天津、江苏有限公司本标准主要起草人：张瑾、赵强、来晓阳、周智、曹一生、陈敏时。

1.范围本标准规定了安氏防火墙的配置要求，供内部和厂商共同使用；适用于通信网、业务系统和支撑系统的防火墙。

2.规范性引用文件下列文件中的条款通过本标准的引用而成为本标准的条款。

凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。

中国移动公司--S o l a r i s操作系统安全配置规范S p e c i f i c a t i o n f o r S o l a r i s O SC o n f i g u r a t i o n U s e d i n C h i n a M o b i l e版本号：2.0.0X X X X-X X-X X发布X X X X-X X-X X实施中国移动通信有限公司网络部目录1概述 (1)1.1适用范围 (1)1.2内部适用性说明 (1)1.3外部引用说明 (3)1.4术语和定义 (3)1.5符号和缩略语 (3)2SOLARIS设备安全配置要求 (3)2.1账号管理、认证授权 (3)2.1.1账号 (3)2.1.2口令 (6)2.1.3授权 (11)2.2日志配置要求 (14)2.3IP协议安全配置要求 (18)2.3.1IP协议安全 (18)2.3.2路由协议安全 (22)2.4设备其他安全配置要求 (24)2.4.1屏幕保护 (24)2.4.2文件系统及访问权限 (25)2.4.3物理端口及EEPROM的口令设置 (26)2.4.4补丁管理 (27)2.4.5服务 (28)2.4.6内核调整 (31)2.4.7启动项 (32)3编制历史 (33)前言本为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。

有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。

本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。

本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。

本标准起草单位：中国移动通信有限公司网络部、中国移动集团重庆公司。

本标准解释单位：同提出单位。

本标准主要起草人：邓光艳、陈敏时、周智、曹一生。

1概述1.1 适用范围本规范适用于中国移动通信网、业务系统和支撑系统中使用SOLARIS操作系统的设备。

中国移动设备通用安全功能和配置规范S p e c i f i c a t i o n f o r G e n e r a lS e c u r i t y F u n c t i o n a n dC o n f i g u r a t i o n o fD e v i c e s U s e d版本号：2.0.0╳╳╳╳-╳╳-╳╳发布╳╳╳╳-╳╳-╳╳实施中国移动通信有限公司网络部目录1. 范围 (1)2. 规范性引用文件 (1)2.1. 内部引用 (1)2.2. 外部引用 (1)3. 术语、定义和缩略语 (1)4. 设备安全要求框架 (2)4.1. 背景 (2)4.2. 设备安全要求框架说明 (2)4.3. 本框架内各规范的使用原则 (3)4.4. 设备安全要求编号原则 (3)5. 设备通用安全功能和配置要求 (4)5.1. 账号管理及认证授权要求 (4)5.1.1. 账号安全要求 (4)5.1.2. 口令安全要求 (5)5.1.3. 授权安全要求 (6)5.2. 日志安全要求 (6)5.2.1. 功能要求： (6)5.2.2. 配置要求： (7)5.3. IP协议安全要求 (7)5.3.1. 功能要求： (7)5.3.2. 配置要求： (8)5.4. 设备其他安全要求 (8)5.4.1. 功能要求： (8)5.4.2. 配置要求： (8)6. 编制历史 (8)前言为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。

有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。

本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。

本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。

本规范主要从账号管理及认证授权要求、日志安全要求、IP协议安全要求和设备其他安全要求4个方面，提出了28项基本安全功能要求和19项基本安全配置要求。

内部网络防火墙配置规范1. 概述2. 配置基本原则2.1 最小权限原则内部网络防火墙的配置应以最小权限原则为基础，即仅允许必要的网络流量通过，并阻止所有未经授权的请求。

2.2 分层防御原则内部网络防火墙应根据不同的安全需求划分多个安全区域，每个安全区域都有相应的安全策略和访问控制规则。

还可以将内部网络划分为内外两个区域，以增强网络的安全性。

2.3 定期审查和更新3. 防火墙配置规范3.1 防火墙规则管理所有的防火墙规则必须有明确的目的和描述，并经过审批后才能添加或修改。

防火墙规则的优先级应根据具体需求进行适当的设置，以确保流量的正确处理顺序。

禁止使用过于宽松的默认规则，应该为每个安全区域设置特定的规则。

3.2 访问控制策略内部网络防火墙应实施严格的访问控制策略，允许仅必要的服务和端口通过。

禁止使用不必要的服务和端口。

根据安全需求，可以设置双向通信或单向通信的访问控制策略。

3.3 内外网通信控制内网向外网的通信必须经过许可，可以根据需求设置不同的出站规则，禁止内部网络未经授权向外部发送数据。

外网向内网的通信必须经过严格的审查和授权，可以设置具体的入站规则，保护内部网络的安全。

3.4 审计和日志记录内部防火墙应开启审计和日志记录功能，记录所有的网络流量和事件。

日志应包括源IP地质、目的IP地质、应用程序、动作等信息。

日志记录应定期审查，快速发现潜在的安全威胁，并采取相应的应对措施。

4. 配置管理和维护为了确保内部网络防火墙的可靠性和安全性，应对其进行适当的配置管理和维护。

4.1 配置备份与恢复定期对内部网络防火墙的配置进行备份，并将备份文件存放在安全的地方。

备份频率根据具体要求进行设置。

在发生配置错误或设备故障时，能够快速恢复到可用状态。

4.2 定期安全审计对内部网络防火墙的配置进行定期安全审计，检查是否存在配置错误、漏洞和异常活动。

安全审计应由专业的安全团队进行，并及时修复和处理审计结果中的问题。

中国移动设备通用安全功能和配置规范S p e c i f i c a t i o n f o r G e n e r a lS e c u r i t y F u n c t i o n a n dC o n f i g u r a t i o n o fD e v i c e s U s e d版本号：2.0.0╳╳╳╳-╳╳-╳╳发布╳╳╳╳-╳╳-╳╳实施中国移动通信有限公司网络部目录1. 范围 (1)2. 规范性引用文件 (1)2.1. 内部引用 (1)2.2. 外部引用 (1)3. 术语、定义和缩略语 (1)4. 设备安全要求框架 (2)4.1. 背景 (2)4.2. 设备安全要求框架说明 (2)4.3. 本框架内各规范的使用原则 (3)4.4. 设备安全要求编号原则 (3)5. 设备通用安全功能和配置要求 (4)5.1. 账号管理及认证授权要求 (4)5.1.1. 账号安全要求 (4)5.1.2. 口令安全要求 (5)5.1.3. 授权安全要求 (6)5.2. 日志安全要求 (6)5.2.1. 功能要求： (6)5.2.2. 配置要求： (7)5.3. IP协议安全要求 (7)5.3.1. 功能要求： (7)5.3.2. 配置要求： (8)5.4. 设备其他安全要求 (8)5.4.1. 功能要求： (8)5.4.2. 配置要求： (8)6. 编制历史 (8)前言为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和配置要求。

有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。

本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。

本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。

本规范主要从账号管理及认证授权要求、日志安全要求、IP协议安全要求和设备其他安全要求4个方面，提出了28项基本安全功能要求和19项基本安全配置要求。

密级：文档编号：项目代号：中国移动Checkpoint防火墙安全配置手册Version *.*中国移动通信有限公司二零零四年十一月拟制: 审核: 批准: 会签: 标准化:Firewall 版本控制分发控制目录1 综述 (5)2 Checkpoint的几种典型配置 (6)2.1 checkpoint 初始化配置过程： (6)2.2 Checkpoint Firewall-1 GUI安装 (13)2.3 Checkpoint NG的对象定义和策略配置 (18)3 Checkpoint防火墙自身加固 (34)1综述本配置手册介绍了Checkpoint防火墙的几种典型的配置场景，以加强防火墙对网络的安全防护作用。

同时也提供了Checkpoint防火墙自身的安全加固建议，防止针对防火墙的直接攻击。

通用和共性的有关防火墙管理、技术、配置方面的内容，请参照《中国移动防火墙安全规范》。

2Checkpoint的几种典型配置2.1 checkpoint 初始化配置过程：在安装完Checkpoint软件之后，需要在命令行使用cpconfig命令来完成Checkpoint的配置。

如下图所示，SSH连接到防火墙，在命令行中输入以下命令：IP350[admin]# cpconfigWelcome to Check Point Configuration Program=================================================Please read the following license agreement.Hit 'ENTER' to continue...（显示Checkpoint License版权信息，敲回车继续，敲q可直接跳过该License提示信息）Do you accept all the terms of this license agreement (y/n) ?y（输入y同意该版权声明）Which Module would you like to install ?-------------------------------------------(1) VPN-1 & FireWall-1 Enterprise Primary Management and Enforcement Module(2) VPN-1 & FireWall-1 Enforcement Module(3) VPN-1 & FireWall-1 Enterprise Primary ManagementCheckpoint Firewall-1/VPN-1支持多种安装模式，Firewall-1/VPN-1主要包括三个模块：GUI：用户看到的图形化界面，用于配置安全策略，上面并不存储任何防火墙安全策略和对象，安装于一台PC机上；Management：存储为防火墙定义的各种安全策略和对象；Enforcement Module：起过滤数据包作用的过滤模块，它只与Managerment通信，其上的安全策略由管理模块下载；以上三个选项中如果Management与Enforcement Module安装于同一台设备上，则选择（1），如果Management与Enforcement Module分别安装于不同的设备上，则选择（2）或（3）。

安氏防火墙安全配置基线备注：1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。

目录第1章概述 (1)1.1目的 (1)1.2适用范围 (1)1.3适用版本 (1)1.4实施 (1)1.5例外条款 (1)第2章账号管理、认证授权安全要求 (2)2.1账号管理 (2)2.1.1用户账号分配* (2)2.1.2删除无关的账号* (2)2.1.3帐户登录超时* (3)2.1.4帐户密码错误自动锁定* (4)2.2口令 (4)2.2.1口令复杂度要求 (4)2.3授权 (5)2.3.1远程维护的设备使用加密协议 (5)第3章日志及配置安全要求 (6)3.1日志安全 (6)3.1.1对用户登录进行记录 (6)3.1.2记录与设备相关的安全事件 (7)3.1.3配置设备远程日志功能 (8)3.2告警配置要求 (9)3.2.1配置对防火墙本身的攻击或内部错误告警 (9)3.2.2配置DOS和DDOS攻击告警 (10)3.2.3配置扫描攻击检测告警* (11)3.3安全策略配置要求 (11)3.3.1访问规则列表最后一条必须是拒绝一切流量 (11)3.3.2配置访问规则应尽可能缩小范围 (12)3.3.3VPN用户按照访问权限进行分组* (13)3.3.4配置NAT地址转换* (14)3.3.5关闭仅开启必要服务 (14)3.3.6禁止使用any to anyall允许规则 (15)3.4攻击防护配置要求 (16)3.4.1配置应用层攻击防护* (16)3.4.2配置网络扫描攻击防护* (16)3.4.3限制ping包大小* (17)3.4.4启用对带选项的IP包及畸形IP包的检测 (18)3.4.5防火墙各逻辑接口配置开启防源地址欺骗功能 (19)第4章IP协议安全要求 (20)4.1IP协议 (20)4.1.1使用SNMP V2或者V3以上的版本对防火墙远程管理 (20)第5章其他安全要求 (21)5.1其他安全配置 (21)5.1.1配置定时账户自动登出 (21)5.1.2配置consol口密码保护功能 (21)第6章评审与修订 (23)第1章概述1.1 目的本文档旨在指导系统管理人员进行安氏防火墙的安全配置。