安全配置核查系统测评工具指导书1.0版

《安全配置核查系统测评工具指导书1.0版》由会员分享，可在线阅读，更多相关《安全配置核查系统测评工具指导书1.0版（23页珍藏版）》请在装配图网上搜索。

1、密级内部测 评 指 导 书等级保护测评工具安全配置核查系统HD-DJCP-AQHC-2011091001V1.0贵州亨达集团信息安全技术有限公司文档编号：HD-DJCP-AQHC-2011091001文档名称：安全配置核查系统测评工具指导书V1.0版本说明修订人修订内容修订时间版本号审阅人测评服务部初稿2011-09-10V1.0文档信息文档名称安全配置核查系统测评工具指导书 V1.0文档编号HD-DJCP-AQHC-2011091001文档版本号1.0保密级别内部扩散范围内部扩散批准人版权声明本文件中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属贵州亨达

2、集团信息安全技术有限公司所有，受到有关产权及版权法保护。任何个人、机构未经贵州亨达集团信息安全技术有限公司的书面授权许可，不得以任何方式复制或引用本文件的任何片断。2011 贵州亨达集团信息安全技术有限公司 目 录1工具简介22设备安装指导22.1设备面板说明22.2设备部署方式32.2设备登陆说明43设备操作说明63.1用户管理63.2用户权限划分63.3模板管理73.4创建任务93.5创建空任务103.6创建正常任务103.7获取主机信息144报表分析164.1在线报表164.1.1任务列表概览164.1.2主机列表164.1.3主机信息174.2报表输出185数据保存20附录A设备出厂参

3、数21A.1初始网络设置21A.2初始用户帐号21A.3串口通讯参数21- 21 -文档编号：HD-DJCP-AQHC-2011091001文档名称：安全配置核查系统测评工具指导书V1.01 工具简介绿盟安全配置核查系统（NSFOCUS Benchmark Verification System， 简称：NSFOCUS BVS）。NSFOCUS BVS具备完善的安全配置库，采用高效、智能的识别技术，主动实现对网络资产设备自动化的安全配置检测、分析，并生成专业的安全配置建议与合规性报表. NSFOCUS BVS能帮助测评机构了解被测机构的信息系统的安全状况从而提出有针对性的强化安全建议。2 设备

4、安装指导2.1 设备面板说明 BVS的硬件外观如图2.1所示，产品硬件的前面板如图2.2所示（实际产品会因批次不同而略有不同）。图2.1BVS产品硬件外观图2.2 BVS前面板2.2设备部署方式请根据实际的网络结构，将BVS设备接入网络，请根据自己网络的拓扑结构加以调整，如图2.3所示。图2.3BVS的网络部署图接入网络时，需注意以下几点：n 使用网络直连线连接交换机和AURORA BVS设备的扫描口（SCAN口）。n AURORA BVS设备无论接入网络何处都能使用，但考虑到使用性能建议将其接入到公司主干网的交换机上。n 使用网络直连线将AURORA BVS设备连接到公司网络中。n 将AUR

5、ORA BVS设备接入网络后请立即修改网络配置，适应所在网络。n 管理员也可以使用管理口（Config口）对AURORA BVS设备进行管理。关于AURORA BVS设备各端口的出厂参数，请参见附录。2.2 设备登陆说明 管理员将扫描接口配置完毕，即可将扫描接口接入网络，并在网络中的选择一台管理机，通过Web管理界面进行网络参数配置。下面介绍登录BVS的Web管理界面的操作方法：（1）确定客户端主机是否已正常联网。（2）打开浏览器IE，用HTTPS方式连接BVS的IP地址，例如：https:/192.168.1.1。（3）回车后出现如图2.4所示界面，单击【是】，接受BVS证书加密的通道。图2

6、.4登录Web管理界面时的安全警报弹出框（4）在如图2.5所示的登录界面中，输入初始用户名和密码，单击【确认】。图2.5BVS的Web登录界面（5）成功登录后，进入AURORA BVS的Web管理界面（以任务管理员user登录为例），如图2.6所示。图2.6成功登录AURORA BVS后的Web管理界面3 设备操作说明3.1 用户管理 使用系统管理员admin账户登陆，选择菜单【系统】【用户管理】，进入用户列表的页面。如下图所示，初始状态下用户列表中只有系统自带的四个用户。3.2用户权限划分BVS包括四类用户：任务管理员、审计管理员、报表管理员和系统管理员，它们的权限如下表所示。用户名权限任务

7、管理员user创建评估任务、查看任务信息、检查任务结果、报表输出、系统管理（查看系统状态、重启系统、关闭系统、查看授权注册信息）、查看日志、下载配置规范检查脚本、常用工具的使用、升级设置/（自定义）审计管理员auditor日志审计（查看日志、删除日志、导出日志）报表管理员reportor查看任务信息、检查任务结果、报表输出、修改报表信息（修改使用模板配置检查项的分值和主机检查结果）系统管理员admin模板管理（新建模板、编辑模板、删除模板、导入模板、导出模板）、用户管理（创建任务管理员、删除任务管理员、编辑除auditor以外的用户）、系统管理（证书的导入/导出、查看系统状态、重启系统、关闭系

8、统、查看授权注册信息、网络配置、系统时间设置、升级设置、任务还原、系统服务）3.3模板管理模板是用来检查和展示AURORA BVS报表信息的规范，根据不同的证书，系统自带的模板也不同，主要包括以下六类：Windows配置规范、Solaris配置规范、Oracle配置规范、Juniper Router配置规范、Cisco Router配置规范和Huawei Router配置规范。只有系统管理员admin有权限对模板进行管理操作。选择菜单【系统】【模板参数】，进入模板管理的页面，如图3.1所示。图3.1模板管理u 增加模板增加模板有以下两种方法：方法一（1）在页面左侧的模板列表下方，单击【增加模板

9、】，输入模板名称并选择模板类型。（2）单击刚刚添加成功的模板名称，并在页面右侧选择检查项以及设置分值权重。（3）新的模板定制完毕，单击右下方的【保存】。方法二（1）在模板列表中，单击某个缺省模板，进入该模板内容的页面。（2）在该模板内容的右下角，单击【另存为】，输入新的模板名称并保存。（3）单击刚刚另存的模板名称，并在页面右侧选择检查项以及设置分值权重。（4）新的模板定制完毕，单击右下方的【保存】。u 修改模板在模板列表中，单击某个模板名称，并在页面右侧重新选择检查项以及设置分值权重，完成后单击右下方的【保存】。系统自带的报表模板不允许修改。u 删除模板在模板列表的“操作”一栏下，单击图标确定

10、后即可将对应的报表模板删除。3.4创建任务只有任务管理员（User）有权限创建任务。选择菜单【新建任务】，进入创建任务的页面，如图3.2所示。图3.2创建任务创建任务时，各项参数含义如下：任务名称检查任务的名称。检查目标接受安全配置检查的主机（具体配置方法请参见4.2创建正常任务）。保存密码选择是，表示检查目标的登录密码被自动保存，任务结束后可以进行重新检查的操作；否则，将不保存检查目标的登录密码，任务结束后无法重新检查。设备信息填写本次检查目标的设备管理人、所属部门、设备用户和备注信息（可选项）。创建任务时，页面上方的红色字体会提示目前允许用户扫描的IP范围。通过修改用户信息可以修改允许扫描

11、的IP范围.3.5创建空任务BVS允许创建空任务（即没有实际检查目标的任务），任务管理员可以进入该任务参数的页面，通过导入单个主机的检查结果文件到该任务，然后自动生成相应的报表。导入单个主机检查结果的文件创建评估任务 导入数据到空任务中3.6创建正常任务创建正常任务，即在创建任务的页面中单击【增加主机】，设置检查目标的各项参数，并显示目前系统授权IP数量。选择不同的配置规范模板，需要设置不同的参数，下面分别介绍。u Windows配置规范创建任务 设置Windows配置规范模板的任务参数Windows配置规范模板的任务参数含义如下：选择行业目前，只能选择中国移动（此项与产品证书有关）。类型/端

12、口检查目标的登录方式和端口号。IP范围检查目标的IP地址。一个检查目标最多支持一个C类网段，例如：192.168.*.*（具体的填写格式请参见页面的帮助说明）。用户名/密码登录检查目标主机的用户名和密码。Windows配置规范模板支持域用户登录检查，登录方式是intraguest。u Solaris 配置规范选中此项，表示使用SU用户登录，保证检查任务拥有完整的执行权限。创建任务 设置Solaris配置规范模板的任务参数Solaris配置规范模板的任务参数含义，与Windows配置规范模板的基本相同。u Oracle 配置规范选中此项，表示以指定的Oracle超级用户权限登录创建任务 设置Or

13、acle配置规范模板的任务参数Oracle配置规范模板的任务参数含义，与Windows配置规范模板的基本相同。u Juniper Router配置规范创建任务 设置Juniper Router配置规范模板的任务参数Juniper Router配置规范模板的任务参数含义，与Windows配置规范模板的基本相同。Cisco Router配置规范缺省选中此项，必须设置Enable密码创建任务 设置Cisco Router配置规范模板的任务参数Cisco Router配置规范模板的任务参数含义，与Windows配置规范模板的基本相同。u Huawei Router配置规范创建任务 设置Huawei R

14、outer配置规范模板的任务参数Huawei Router配置规范模板的任务参数含义，与Windows配置规范模板的基本相同。3.7获取主机信息选择菜单【系统】【下载执行】，即可下载配置规范检查工具，便于任务管理员在被检查的主机上执行本地检查任务，获取主机信息。如下图所示，列出了当前系统自带和用户自定义的配置规范检查工具，单击“操作”一栏下的图标即可下载对应的配置规范检查工具。创建任务 配置规范检查工具列表配置规范检查工具下载完毕，即可执行本地检查任务，操作方法如下：（1）将下载的配置规范检查工具文件解压缩，然后运行文件win.bat（运行过程中不要关闭窗口）。（2）win.bat运行完毕，自

15、动关闭窗口，同时在该目录下自动生成一个XML文件（以被检查主机IP命名），文件中包含了该主机被检查的所有信息。（3）任务管理员登录AURORA BVS，创建一个空任务并进入任务参数页面，将刚刚生成的主机检查结果文件导入，即可生成相应的报表。4 报表分析4.1在线报表4.1.1 任务列表概览在任务列表中，单击任务名称即可查看当前任务的在线报表，并可以根据检查目标的IP或者任务名称进行任务的筛选查询，如下所示在线报表管理操作导入任务根据IP地址或任务名称进行筛选单击任务名称，进入该任务的在线报表任务列表4.1.2 主机列表在主机列表中，默认列出当前被检查全部主机的IP地址、主机名、操作系统、平均符

16、合读和风险平均分，如下图所示。在主机列表页面的底部，单击【保存为EXCEL】，即可将当前任务的主机列表信息保存为xls格式的文件下载到本地。报表分析 主机列表4.1.3 主机信息在主机列表中，单击某个主机的IP地址，即可查看它的详细检查信息，包括主机概况（包括IP地址、配置模板、主机名、平均符合度、风险平均分和操作系统/应用程序）、检查结果（主机使用模板检查项的结果信息，表示对应的检查项不符合安全标准，表示对应的检查项符合安全标准）、需要手工判断的检查项以及辅助信息，如下图所示。报表分析 查看单个主机的详细检查信息4.2 报表输出只有报表管理员和任务管理员有权限进行报表的输出。除了可以查看在线

17、报表，也可以选择菜单【报表输出】将检查结果生成报告的形式并输出查看。如下图，报表输出范围的方式有以下两种：n 按任务输出输出想要查看的评估任务。支持主机筛选和模板筛选，即只输出想要查看的主机信息。n 按IP范围输出输出想要查看的IP地址范围。支持主机筛选和模板筛选，即只输出想要查看的主机信息。报表分析 报表输出输出报表的各项参数含义如下：输出格式报表输出的格式有HTML和EXCEL（XML）。其中，HTML是系统默认的报表格式；EXCEL（XML）报表用于高级用户编辑输出成想要的格式。报表标题自定义输出的报表标题，默认是“极光安全配置核查系统”评估报告。EXCEL（XML）报表采用xls格式，请使用OFFICE 2003或以上版本的软件打开报表。5 数据保存 将BVS输出的数据另存到安全的第3方存储介质中。 附录A 设备出厂参数A.1 初始网络设置管理口IP1.1.1.1扫描口IP192.168.1.1网络掩码255.255.255.0网关192.168.1.254DNS服务器无A.2 初始用户帐号系统管理员审计管理员报表管理员任务管理员用户名adminauditorreportoruser密码nsfocusA.3 串口通讯参数波特率115200传输位数8