1.身份鉴别

应对登录的用户进行身份标识和鉴别， 身份标识具有唯一性，身份鉴别信息具有复杂度要求并定期更换。

可以使用“ service password-encryption"命令对存储在配置文件中的所有口令和类似数据进行加密， 以避免攻击者通过读取配置文件获取口令的明文。

［测评方法］

(1)核查是否在用户登录时采用了身份鉴别措施[lc1] 。退出登录：Router#logout

(2)核查用户列表， 测试用户身份标识是否具有唯一性[lc2] 。

(3)查看用户配置信息或访谈系统管理员，核查是否存在空口令[lc3] 用户（应为不存在）。

(4)核查用户鉴别信息是否满足复杂度[lc4] 要求并定期更换。

控制台端口本地登录:

虚拟终端vty(telnet/ssh):

思科：

设置远程登入(telnet)用户名和密码（注意，路由和客户机的telnet服务都要提前开启）

enable

#configure terminal

(config)#enable password cisco  设置特权密码

(config)#username lly secret lly 设置telnet用户名和密码

(config)#line vty 0 4

(config-line)#transport input ?

  all     All protocols

  none    No protocols

  ssh     TCP/IP SSH protocol

  telnet  TCP/IP Telnet protocol

(config-line)#transport input telnet

r1(config-line)#login ?

  authentication  authenticate using aaa method list

  local           Local password checking

(config-line)#login local   启动本地认证

登录：

C:\>telnet 10.1.2.254(路由器接口ip)

Trying 10.1.2.254 ...Open

User Access Verification

Username: lly

Password:

r1#exit      退出登录

[Connection to 10.1.2.254 closed by foreign host]

C:\>

华为：

查看是否配好了ip

[r1]display current-configuration interface GigabitEthernet 0/0/0

[V200R003C00]

#

interface GigabitEthernet0/0/0

 ip address 10.1.1.1 255.255.255.0

 ipsec policy my-policy

#

return

[r1]telnet server enable    开启本地的telnet服务

[r1]user-interface vty 0 4   可以允许5个用户管理

[r1-ui-vty0-4]authentication-mode aaa  

aaa方式是账户+密码方式登录，另外password方式是只要密码就可以登录

[r1-ui-vty0-4]aaa

[r1-aaa]local-user lcy password cipher 123qwe   指定密码加密算法为cipher

[r1-aaa]local-user lcy service-type telnet         远程登录方式

尝试控制：

<r2>telnet 10.1.1.1

  Press CTRL_] to quit telnet mode

  Trying 10.1.1.1 ...

  Connected to 10.1.1.1 ...

Login authentication

Username:lcy

Password:

<r1> 成功

应具有登录失败处理功能，应配置并启用结束会话、限制非法登录次数和当登录连接超时自动退出等相关措施。

［测评方法〕

(1)核查是否配置并启用了登录失败处理功能。如果网络中部署了堡垒机，则先核查堡垒机是否具有登录失败处理功能。如果网络中没有部署堡垒机，则核查设备是否默认启用了登录失败处理功能[lc5] ，例如登录失败3次即退出登录界面。

(2 )核查是否配置并启用了非法登录达到一定次数后锁定账户的功能。

(3)核查是否配置并启用了远程登录连接超时自动退出[lc6] 的功能。

当进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听。

【测评方法】

核查是否采用了加密等安全方式对系统进行远程管理，以防止鉴别信息在网络传输过程中被窃听。如果网络中部署了堡垒机，则先核查堡垒机在进行远程连接时采用何种措施防止鉴别信息在网络传输过程中被窃听(例如SSH等方式)。

Router(config)# hostname r1

r1(config)# ip domain-name lcy.com

r1(config)# username lcy privilege 15 secret 123qwe

r1(config)# crypto key generate rsa modulus 2048

r1(config)# ip ssh version 2

r1(config)# line vty 0 4

r1(config-line)# login local    启用本地身份验证，只允许用本地(路由器配置好的)账户登录

r1(config-line)# transport input ssh

r1(config-line)# exit

r1(config)# ip ssh authentication-retries 3   登陆失败次数为3次