4.6抵御常见攻击能力

4. 7 身份标识与鉴别

交换机设备： 应不存在未向用户公开的身份鉴别信息； 应对访问控制主体进行身份标识和鉴别； C 用户身份标识应具有唯一性； d 应支持登录用户空闲超时锁定或自动退出等安全策略，以防范会话空闲时间过长导致的安全风 险； e) 对身份鉴别信息，如用户登录口令、SNMP团体名等应使用安全强度较高的密码算法，如AES、 SM3/4、SHA2等，来保障身份鉴别信息存储的机密性，避免使用baSe64、DES、SHA1等安全强 度弱的密码算法； f 对于使用口令鉴别方式的设备，用户首次管理设备时，应提示并允许用户修改默认口令或设置 口令；

交换机设备： a）应不存在未向用户公开的身份鉴别信息； b）应对访问控制主体进行身份标识和鉴别； 用户身份标识应具有唯一性； d 应支持登录用户空闲超时锁定或自动退出等安全策略，以防范会话空闲时间过长导致的安全风 险； e 对身份鉴别信息，如用户登录口令、SNMP团体名等应使用安全强度较高的密码算法，如AES、 SM3/4、SHA2等，来保障身份鉴别信息存储的机密性，避免使用baSe64、DES、SHA1等安全强 度弱的密码算法； f） 对于使用口令鉴别方式的设备，用户首次管理设备时，应提示并允许用户修改默认口令或设置 口令；

g）应支持设置口令修改周期； h）对于使用口令鉴别方式的设备，应默认开启口令复杂度检查功能。开启口令复杂度检查功能时， 口令长度应不少于8位，且至少包含2种不同类型字符； i）用户输入的用户登录口令、SNMP团体名等鉴别信息默认应是不可见的 i）鉴别失败时，设备应返回最少且无差别信息

4. 8 访问控制安全

交换机设备 应提供日志记录功能，对用户关键操作，如增/删账户、修改鉴别信息、修改关键配置、开启/ 关闭日志记录、用户登录/注销、用户权限修改、重启/关闭设备、更新等行为进行记录；对常 见攻击行为例如SYNFlood、ICMPFlood、UDPFlood、IP Flood、IP地址扫描、端口扫描、 PingofDeath、TearDrop、IP选项伪造、TCP异常、Smurf、Fraggle、Land等攻击行为进行 记录： 应提供日志信息本地存储功能，当日志记录存储达到极限时，应采取覆盖旧的审计记录，保留 最新的审计记录等措施； 应支持日志信息输出功能； 应提供安全功能，保证设备异常断电恢复后，已记录的日志不丢失； ）日志审计记录中应记录必要的日志要素，至少包括事件发生日期和时间、主体、事件描述（如 类型、操作结果等）、IP地址（采用远程管理方式时）等，为查阅和分析提供足够的信息； 应提供日志分析功能或为日志分析功能提供接口； 日志记录应受到保护，防止日志内容被修改，防止未经授权的操作； 不应在日志中明文记录敏感信息，如用户口令、SNMP团体名、WEB会话ID以及私钥等。

交换机设备 a） 应提供日志记录功能，对用户关键操作，如增/删账户、修改鉴别信息、修改关键配置、开启/ 关闭日志记录、用户登录/注销、用户权限修改、重启/关闭设备、更新等行为进行记录；对常 见攻击行为例如SYNFlood、ICMPFlood、UDPFlood、IP Flood、IP地址扫描、端口扫描、 PingofDeath、TearDrop、IP选项伪造、TCP异常、Smurf、Fraggle、Land等攻击行为进行 记录： b） 应提供日志信息本地存储功能，当日志记录存储达到极限时，应采取覆盖旧的审计记录，保留 最新的审计记录等措施； 应支持日志信息输出功能； d) 应提供安全功能，保证设备异常断电恢复后，已记录的日志不丢失； 日志审计记录中应记录必要的日志要素，至少包括事件发生日期和时间、主体、事件描述（如 类型、操作结果等）、IP地址（采用远程管理方式时）等，为查阅和分析提供足够的信息； f 应提供日志分析功能或为日志分析功能提供接口； 日志记录应受到保护，防止日志内容被修改，防止未经授权的操作； h 不应在日志中明文记录敏感信息，如用户口令、SNMP团体名、WEB会话ID以及私钥等。

交换机设备： a）应对存储在设备上的数据进行分类管理，如对用户口令等敏感数据具备安全防护措施； b）设备提供者通过设备收集用户信息功能的，应当向用户明示并取得同意。

固定资产标准附录A （规范性附录） 标准修订历史

附录B （资料性附录） 用户信息说明

对于网络关键设备而言，用户可能是运营商、大中型企业等组织。其所涉及的用户信息，可能 由表、设备及软件配置信息、设备运行日志等信息，