5) 防火墙目前为网段级的访问控制，控制粒度较粗；
6) IDS登录身份鉴别信息复杂度较低，口令简单并未定期更换； 7) 未开启网络设备登录失败处理功能，未限制非法登录次数，当网络登录
连接超时时未设置自动退出等措施；
8) 缺少对内部网络中出现的内部用户未通过准许私自联到外部网络的行
为进行检查与监测措施；
9) 未限制网络最大流量数及网络连接数。
针对以上问题，结合《信息安全技术信息安全等级保护基本要求》，整改方案如下：
1) 关闭防火墙、交换机和IDS的telnet服务，启用安全的管理服务，如
SSH和https。部分不支持SSH的交换机应在交换机上限制可telnet远程管理的用户地址，实施配置如下（以思科交换机为例）：
Router#config terminal Router(config)#access-list 10 permit tcp 10.144.99.120 0.0.0.0 eq 23 any（只允许10.144.99.120机器telnet登录，如需配置某一网段可telnet远程管理，可配置为：access-list 10 permit tcp 10.144.99.1 0.0.0.255 eq 23 any） Router(config)#line vty 0 4（配置端口0-4） Router(Config-line)#Transport input telnet（开启telnet协议，如支持ssh，可用ssh替换telnet） Router(Config-line)#exec-timeout 5 0 Router(Config-line)#access-class 10 in Router(Config-line)#end Router#config terminal
41
Router(config)#line vty 5 15 Router(Config-line)#no login(建议vty开放5个即可，多余的可以关闭) Router(Config-line)#exit Router(Config)#exit Router#write 2) 修改网络设备出厂时的默认口令，且修改后的口令应满足长度大于等于
8位、含字母数字和字符的强度要求，其它不满足此口令强度要求的，均需要进行修改。IDS验收后，需及时修改口令；交换机需修改其SNMP口令串；防火墙口令应满足口令强度要求。交换机SNMP口令串修改实施步骤如下（以思科交换机为例）：
Router#config terminal Router(config)# no snmp-server community COMMUNITY-NAME1 RO （删除原来具有RO权限的COMMUNITY-NAME1） Router(config)# snmp-server community COMMUNITY-NAME RO （如需要通过snmp进行管理，则创建一个具有读权限的COMMUNITY-NAME，若COMMUNITY-NAME权限为RW,则将命令行中RO更改为RW） Router(config)# snmp-server enable traps （允许发出Trap） Router(config)#exit Router#write 3) 交换机、IDS和防火墙等应开启日志审计功能，并配置日志服务器保存
交换机、IDS和防火墙的日志信息。以思科交换机为例，日志审计和日志收集存储于服务器实施配置如下：
Route#config terminal
42
Route(config)#logging on （启用日志审计）
Route(config)#logging console notification （设置控制等级为5级：notification） Route(config)#!Set a 16K log buffer at information level
Route(config)#logging buffered 16000 information （设置其大小为16K） Route(config)#!turn on time/date stamps in log messages
Route(config)#service timestamp log datetime msec local show-timezone Route(config)#!set monitor logging level to level 6 Route(config)#logging monitor information Route(config)#exit
Route#!make this session receive log messages Route#terminal monitor Route#config terminal
Route(config)#logging trap information （控制交换机发出日志的级别为6级：information）
Route(config)#logging 192.168.10.188 （将日志发送到192.168.10.188，如需修改服务器，可采用Route(config)#no logging 192.168.10.188删除，然后重新配置日志服务器）
Route(config)#logging facility local6
Route(config)#logging source-interface FastEthernet 0/1 （设置发送日志的以太网口）
Route(config)#exit Route#config terminal
43
Route(config)#logging trap information Route(config)#snmp-server host 192.168.10.1 traps public （配置发送trap信息主机） Route(config)#snmp-server trap-source Ethernet 0/1 Route(config)#snmp-server enable traps syslog Route(config)#exit Route# write 4) 对IDS管理服务器地址和登录设置访问控制。在交换机和防火墙上配
置访问控制策略，限制仅管理员用户可进行管理和登录。交换机上配置访问控制策略ACL，限定仅管理员用户可进行管理和登录IDS服务器；在防火墙上设置策略限制可访问IDS的用户策略。通过交换机和防火墙的策略设置，限制IDS的管理员登录地址。整改防火墙上的访问控制策略粒度，使其从现在的网段级调整为单个用户级。以思科交换机为例，配置IDS管理服务器地址访问策略如下：
Router#config terminal Router(config)# access-list 101 permit tcp 172.16.3.128 0.0.0.255 172.16.0.252 0.0.0.3 eq 8080 log（注：主机地址为假设，实际整改中按真实地址） 5) 根据《国家电网公司信息系统口令管理规定》制定或沿用其以管理省公
司网络设备口令。《国家电网公司信息系统口令管理规定》具体内容如下：
第四条 口令必须具有一定强度、长度和复杂度，长度不得小于8位字符串，要求是字母和数字或特殊字符的混合，用户名和口令禁止相同。 第五条 个人计算机必须设置开机口令和操作系统管理员口令，并开启屏幕
44
保护中的密码保护功能。 第六条 口令要及时更新，要建立定期修改制度，其中系统管理员口令修改间隔不得超过3个月，并且不得重复使用前3次以内的口令。用户登录事件要有记录和审计，同时限制同一用户连续失败登录次数，一般不超过3次。 6) 所有网络设备均应开启网络设备登录失败处理功能、限制非法登录次
数、当网络登录连接超时时自动退出等措施。以思科交换机为例，网络登录连接超时时自动退出实施如下：
Router#config terminal Router(Config)#line con 0 配置控制口 Router(Config-line)#exec-timeout 5 0 设置超时5分钟 Router(Config-line)#exit Router(Config)#exit Router#write 7) 部署桌面管理系统，对内部网络中的用户网络连接状态进行实时监控，
以保证内部用户不可私自联到外部网络；配置桌面管理系统策略，对私自连接到外网的内部用户进行准确定位并阻断内外网互通。
8) 在交换机上限制网络最大流量数及网络连接数。以思科交换机为例，实
施配置如下：
Router#config terminal Router(config)# access-list 101 deny tcp 172.16.3.0 0.0.0.255 any www（禁止172.16.3.0网段访问Internet） Router(config)# access-list 102 deny tcp 172.16.5.0 0.0.0.255 any ftp（禁止
45