网信试点平台工程技术规范书
限的操作。账号口令管理功能是实现正确认证和授权的基础。
对于存在字符或图形界面（WEB界面）的人机交互的设备，应提供账号管理及认证授权功能，并应满足以下各项要求。 3.5.1 账号安全要求
功能要求：
编号 安全要求-设备-通用-功能-1 安全要求-设备-通用-功能-2 安全要求-设备-通用-功能-3-可选 内容 支持按用户分配账号。 与设备运行、维护等工作无关的账号，应能够删除或锁定。 设备应能够限制允许远程登录的账号。 配置要求：
编号 安全要求-设备-通用-配置-1-可选 内容 应按照用户分配账号。避免不同用户间共享账号。避免用户账号和设备间通信使用的账号共享。 安全要求-设备-通用-配置-2-可选 安全要求-设备-通用-配置-3-可选 应删除或锁定与设备运行、维护等工作无关的账号。 限制具备管理员权限的用户远程登录。远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到管理员权限账号后执行相应操作。 3.5.2 口令安全要求 功能要求：
编号 安全要求-设备-通用-功能-4 内容 对于采用静态口令认证技术的设备，应支持数字、小写字母、大写字母和特殊符号4类字符构成的口令。应支持配置口令复杂度。在配置了复杂度后，设备自动拒绝用户设置不符合复杂度要求的口令。 安全要求-设备-通用-功能-5 对于采用静态口令认证技术的设备，应支持按天配置口令生存期功能。在配置了口令生存期后，设备在口令超过生存期的用户登录时，应提示并强迫该用户设置新口令。 中国移动北京公司 11
网信试点平台工程技术规范书
安全要求-设备-通用-功能-6-可选 对于采用静态口令认证技术的设备，应支持配置用户不得重复使用其最近已用口令的功能。当配置相应功能后，设备拒绝用户重复使用在限制次数内的口令 安全要求-设备-通用-功能-7-可选 对于采用静态口令认证技术的设备，应支持配置用户连续认证失败次数上限。当用户连续认证失败次数超过上限时，设备自动锁定该用户账号。必须由其他账号，通常为具有管理员权限的账号，才可以解除该账号锁定 安全要求-设备-通用-功能-21 对于采用静态口令认证技术的设备，必须支持口令修改，口令修改后不影响设备中业务的正常使用。 安全要求-设备-通用-功能-22 对于采用静态口令认证技术的设备，支持静态口令加密存放。 配置要求：
编号 安全要求-设备-通用-配置-4 内容 对于采用静态口令认证技术的设备，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。 安全要求-设备-通用-配置-5 对于采用静态口令认证技术的设备，账户口令的生存期不长于90天。 安全要求-设备-通用-配置-6-可选 对于采用静态口令认证技术的设备，应配置设备，使用户不能重复使用最近5次（含5次）内已使用的口令。 安全要求-设备-通用-配置-7-可选 对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过6次（不含6次），锁定该用户使用的账号。
3.5.3 授权安全要求
功能要求：
编号 安全要求-设备-通用-功能-9 安全要求-设备-通用-功能内容 设备应支持对不同用户授予不同权限。 对于用户可通过人机交互界面访问文件系统的设备，设备应支中国移动北京公司 12
网信试点平台工程技术规范书
-10-可选 持对文件系统中的目录和文件，给不同用户或用户组分别授予读、写、执行权限。 安全要求-设备-通用-功能-11-可选 对于存在关系型数据库的设备，设备应支持对数据库表，给不同数据库用户或用户组分别授予读取、修改的权限。 配置要求：
编号 安全要求-设备-通用-配置-9 内容 在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。 3.6 日志安全要求
功能要求：
编号 安全要求-设备-通用-功能-12 内容 设备日志应支持对用户登录/登出进行记录。记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。 安全要求-设备-通用-功能-13-可选 设备日志应支持记录用户对设备的操作，包括但不限于以下内容：账号创建、删除和权限修改，口令修改，读取和修改设备配置，读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。记录需要包含用户账号，操作时间，操作内容以及操作结果。 安全要求-设备-通用-功能-24-可选 安全要求-设备-通用-功能-14-可选 设备日志应支持记录与设备相关的安全事件。 设备应支持远程日志功能。所有设备日志均能通过远程日志功能传输到日志服务器。设备应支持至少一种通用的远程标准日志接口，如SYSLOG、FTP等。 安全要求-设备-通用-功能-28-可选 设备应能够按账号分配日志文件读取、修改和删除权限，从而防止日志文件被篡改或非法删除。 配置要求：
中国移动北京公司 13
网信试点平台工程技术规范书
编号 安全要求-设备-通用-配置-12 内容 设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。 安全要求-设备-通用-配置-13-可选 设备应配置日志功能，记录用户对设备的操作，包括但不限于以下内容：账号创建、删除和权限修改，口令修改，读取和修改设备配置，读取和修改业务用户的话费数据、身份数据、涉及通信隐私数据。记录需要包含用户账号，操作时间，操作内容以及操作结果。 安全要求-设备-通用-配置-24-可选 安全要求-设备-通用-配置-14-可选 设备应配置日志功能，记录对与设备相关的安全事件。 设备配置远程日志功能，将需要重点关注的日志内容传输到日志服务器。 安全要求-设备-通用-配置-27-可选 设备应配置权限，控制对日志文件读取、修改和删除权限操作。 3.7 IP协议安全要求
功能要求：
编号 安全要求-设备-通用-功能-15 内容 对于具备TCP/UDP协议功能的设备，应支持列出当前开放端口列表以及设备和其他设备连接情况。 安全要求-设备-通用-功能-16-可选 对于具备TCP/UDP协议功能的设备，应支持配置基于源IP地址、目的IP地址、通信协议类型（如TCP、UDP、ICMP）、源端口、目的端口的流量过滤。 安全要求-设备-通用-功能-17-可选 对于通过IP协议进行远程维护的设备，设备应支持使用SSH等加密协议。 安全要求-设备-通用-功能-18-可选 设备应支持列出对外开放的IP服务端口和设备内部进程的对应表。 安全要求-设备-通用-功能-22-可选 对于通过IP协议进行远程维护的设备，设备应支持对允许中国移动北京公司 14
网信试点平台工程技术规范书
登陆到该设备的IP地址范围进行设定。 配置要求：
编号 安全要求-设备-通用-配置-16-可选 内容 对于具备TCP/UDP协议功能的设备，设备应根据业务需要，配置基于源IP地址、通信协议TCP或UDP、目的IP地址、源端口、目的端口的流量过滤，过滤所有和业务不相关的流量。 安全要求-设备-通用-配置-17-可选 对于使用IP协议进行远程维护的设备，设备应配置使用SSH等加密协议。 3.8 设备其他安全要求
功能要求：
编号 安全要求-设备-通用-功能-19-可选 内容 对于具备字符交互界面的设备，应支持定时账户自动登出。登出后用户需再次登录才能进入系统。 安全要求-设备-通用-功能-20-可选 对于具备图形界面（含WEB界面）的设备，应支持手动和定时自动屏幕锁定。锁屏后需再次进行身份认证后才能解除屏幕锁定。 安全要求-设备-通用-功能-26-可选 安全要求-设备-通用-功能-27-可选 设备应具备通过补丁升级消除软件安全漏洞的能力。 对于具备consol口的设备，应配置consol口密码保护功能。 配置要求：
编号 安全要求-设备-通用-配置-19-可选 内容 对于具备字符交互界面的设备，应配置定时账户自动登出。 安全要求-设备-通用-配置-20-可选 对于具备图形界面（含WEB界面）的设备，应配置定时自动屏幕锁定。 安全要求-设备-通用-配置-27-可选 对于具备consol口的设备，应配置consol口密码保护功能。 中国移动北京公司 15