当前已经进入了互联网+的时代，几乎绝大部分商家、企业、甚至国企央企都在拓展互联网业务，经济的飞速发展，人民生活水平提高，人们都忙于工作没有时间和精力去享受经济带来的福利，而网络业务能够给大众提供更加方便快捷的服务，所以引得互联网更加的火热。但是快捷背后时候存在着诸多的安全隐患，在巨大利益的引诱下许多商家大量的投入人力、财力去发展互联网业务，却极少重视它的安全稳定，千里之堤毁于蚁穴，信息安全的建设不是一朝一夕，而是循序渐进，防微杜渐。
那么本篇文章主要介绍的就是从最基本的安全角度出发，来规范和完善系统的安全问题，主要针对的是Cisco交换机、Juniper防火墙、mysql数据库、linux服务器，本篇文章主要介绍的Cisco核心交换机、写的不好，后续还会继续更新，请大家多多指导。
安全基线（BaseLine）：是保持信息系统安全的机密性、完整性、可用性的最小安全控制，是系统的最小安全保证，最基本的安全要求。安全基线 的根本目的是保障业务系统的安全，使业务系统的风险维持在可控范围内，为了避免人为疏忽或错误，或使用默认的安全配置，给业务系统安全造成风险，而制定安全检查标准，并且采取必要的安全检查措施，使业务系统达到相对的安全指标要求。安全基线检查工具是采用技术手段，自动完成安全配置检查的产品，并提供详尽的解决方案。
第一、思科核心交换机安全基线整改建议
一、口令策略
总结：用户登录是否启用AAA认证，本地用户是否有lever，snmp是否有ip访问限制，远程登录限制ip
1.使用认证服务器认证
#show running-config | include aaa
判定依据
1、已配置aaa认证服务器，实现用户认证。
2、已配置aaa认证服务器，实现enable认证。
以上条件需同时满足。
参考配置操作
1、Cisco(config)#aaa new-model
2、Cisco(config)#aaa authentication login default group <server> local #<server>为认证服务器名称（首先通过认证服务器认证，认证服务器认证失败的情况下通过本地认证。）
3、Cisco(config)#aaa authentication enable default group <server> enable
4、Cisco(config)#end
5、Cisco#write
2.VTY端口访问的认证
检测方法
执行如下命令检测远程登陆认证
#show running-config | include aaa
判定依据
登陆认证未设置为none则合规，否则不合规
3.远程主机IP地址段限制
检测方法
执行如下命令检测vty口配置信息
#show running-config | begin line vty
判定依据
vty端口已绑定ACL则合规，否则不合规。
参考配置操作
1、Cisco(config)#access-list <tag> <access-list> #<tag>表示access-list标号，<access-list>表示ACL规则内容。
2、Cisco(config)#line vty <num1> [<num2>] #<num1>、<num2>（可选）表示要配置的vty起止序号。
3、Cisco(config-line)#access-class <tag> <in/out> #<in/out>表示要过滤的连接的类型。
4、Cisco(config-line)#end
5、Cisco#write
4.限制可发起SNMP的源IP
检测方法
执行如下命令检测snmp团体名配置信息
#show running-config | include snmp-server community
判定依据
所有SNMP community均已绑定ACL则合规，否则不合规。
参考配置操作
1、Cisco(config)#access-list <tag> <access-list> #<tag>表示access-list标号，<access-list>表示acl规则内容。
2、Cisco(config)#snmp-server community <name> <ro/rw> <tag> #<name>表示community名称，<ro/rw>表示分配的权限。
3、Cisco(config)#end
4、Cisco#write
5.对用户设置授权等级
#show running-config | include username
参考配置操作
1、Switch(config)#username <username> privilege <level> #<username>用户名，<level>权限级别。
2、Switch(config)#end
3、Switch#write
6.已对命令设置授权等级
检测方法
执行如下命令，检测命令授权信息
#show running-config | include ^privilege
判定依据
1、对命令"snmp-server"设置了授权等级
2、对命令"ping"设置了授权等级
3、对命令"configure"设置了授权等级
以上三个条件均满足则合规，否则不合规。
参考配置操作
1、Cisco(config)#privilege configure level 7 snmp-server #对snmp-server命令设置授权等级
2、Cisco(config)#privilege exec level 7 ping #对ping命令设置授权等级
3、Cisco(config)#privilege exec level 7 configure #对configure命令设置授权等级
4、Cisco(config)#end
5、Cisco#write
二、认证授权
总结：禁止ip-mask-reply不返回ping值，log日志服务器，log发送的source-interface，log缓冲区禁止向控制台溢出，启用aaa审计功能
1.关闭不必要的功能-禁用IP mask-reply（掩码应答）
#show running-config interface <interface_name>
判定依据
已禁用IP mask-reply则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <InterfaceName> # <InterfaceName> 表示接口名称。
2、Ciscoconfig-if)#no ip mask-reply
3、Cisco(config-if)#end
4、Cisco#write
2.日志存储位置
检测方法
执行如下命令检测系统日志配置
#show running-config | include logging
判定依据
已禁止系统日志向控制台输出则合规，否则不合规。
参考配置操作
1、Cisco(config)#logging host <ip地址> #<ip地址>为远程日志服务器地址。
2、Cisco(config)#end
3、Cisco#write
3.调整系统日志的缓冲区大小
检测方法
执行如下命令检测日志缓冲区大小配置
#show running-config | include logging buffered
判定依据
系统日志缓冲区大小，不小于2048000则合规，否则不合规。
参考配置操作
1、Cisco(config)#logging buffered <size> #其中<size>表示缓冲区大小。
2、Cisco(config)#end
3、Cisco#write
4.配置发送系统日志的源地址
检测方法
执行如下命令检测系统日志中的源地址配置
#show running-config | include logging source-interface
判定依据
系统日志中的源地址配置为loopback地址则合规，否则不合规。
参考配置操作
1、Cisco(config)#logging source-interface loopback0
2、Cisco(config)#end
3、Cisco#write
5.禁止系统日志向控制台输出
检测方法
执行如下命令检测系统日志设置
#show running-config | include logging console
判定依据
禁止系统日志向控制台输出则合规，否则不合规。
参考配置操作
1、Cisco(config)#no logging console
2、Cisco(config)#end
3、Cisco#write
6.使用认证服务器审计系统行为
检测方法
执行如下命令检测认证服务器审计行为
#show running-config | include aaa accounting
判定依据
已配置使用认证服务器对系统行为进行审计则合规，否则不合规。
参考配置操作
1、Cisco(config)#aaa accounting system default start-stop group <server> #<server>为认证服务器名称。
2、Cisco(config)#end
3、Cisco#write
三、文件权限
总结：启用ntp服务，ntp做acl，关闭TCP Small，UDP Small服务,配置对SQL slammer蠕虫的防护,配置对Della蠕虫的防护,配置对震荡波端口及Blaster端口的防护,关闭的端口禁用cdp协议，PROXYARP，
全局禁用HTTP Server，禁用DNS查询服务，会话超时配置（console和vty），禁用Finger服务（默认关闭），IPUnreachables（不显示不可达，显示超时，损！！！），禁用IP Redirects（必须经过网关）
禁用IP source-route（默认关闭），关闭IP直接广播（默认关闭），开启的端口配置报文速率限制，开启STP功能，未关闭的端口指定 switchport 模式，配置为trunk口的VLAN都有允许列表
配置预防源地址伪造攻击(默认关闭，否启用uRPF)，对设备引擎直接处理的流量进行控制（contro-plane下是否配置service-policy，ip receive access-list比较复杂），关闭LACP，pagp
关闭flowcontrol，配置ARP攻击防护（mac 认证），典型协议报文防护（hsrp，vrry认证有秘钥）
1.配置启用NTP服务
检测方法
执行如下命令检测ntp配置
#show running-config | include ntp
判定依据
已配置NTP同步时钟则合规，否则不合规。
参考配置操作
1、Cisco(config)#ntp server <ip> #<ip>表示NTP服务器IP
2、Cisco(config)#end
3、Cisco#write
2.关闭不必要的服务-禁用TCP Small服务
检测方法
执行如下命令检测UDP Small服务状态
#show running-config | include tcp-small-servers
判定依据
TCP Small服务被关闭则合规，否则不合规。
参考配置操作
1、Cisco(config)#no service tcp-small-servers
2、Cisco(Config-if)#end
3、Cisco#write
3.已知典型攻击防护
检测方法
1、执行如下命令检测ACL规则配置信息
（1）、#show access-lists
2、执行如下命令检测 vlan 和物理接口配置信息
（1）、#show running-config | begin interface
判定依据
1、已配置对SQL slammer蠕虫的防护
2、已配置对Della蠕虫的防护
3、已配置对震荡波端口及Blaster端口的防护
以上三个条件同时满足时则合规，否则不合规。
参考配置操作
1、配置对SQL slammer蠕虫的防护
（1）、Cisco(config)#access-list <tag> deny udp any any eq 1434 #<tag>表示access-list标号
2、应配置对Della蠕虫的防护
（1）、Cisco(config)#access-list <tag> deny tcp any any eq 445 #<tag>表示access-list标号
（2）、Cisco(config)#access-list <tag> deny tcp any any eq 5800
（3）、Cisco(config)#access-list <tag> deny tcp any any eq 5900
3、应配置对震荡波端口及Blaster端口的防护
（1）、Cisco(config)#access-list <tag> deny tcp any any eq 5554 #<tag>表示access-list标号
（2）、Cisco(config)#access-list <tag> deny tcp any any eq 9996
（3）、Cisco(config)#access-list <tag> deny tcp any any eq 4444
4、配置指定接口的ACL
（1）、Cisco(config)#interface <InterfaceName> #接口名称
（2）、Cisco(config-if)#ip access-group <tag> in
（3）、Cisco(config-if)#end
（4）、Cisco#write
5.应关闭所有接口的CDP协议
检测方法
1、执行如下命令检测全局配置下是否关闭cdp协议
（1）、#show running-config | include cdp
2、执行如下命令接口检测配置信息
（1）#show running-config | begin interface
判定依据
1、全局配置下关闭cdp协议
2、所有未关闭的接口均已关闭cdp协议
以上两个条件满足其一则合规，否则不合规。
参考配置操作
1、Cisco(Config)#no cdp run
2、Cisco(Config)#interface <interface> #<interface>表示接口名称。
3、Cisco(Config-if)# no cdp enable
4、Cisco(Config-if)#end
5、Cisco#write
6.关闭不必要的功能禁用-PROXYARP
检测方法
执行如下命令检测arp 代理状态
#show running-config interface <interface_name>
判定依据
arp 代理被禁用则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <InterfaceName> #<InterfaceName> 表示接口名称
2、Cisco(config-if)#no ip proxy-arp
3、Ciscoh(Config-if)#end
4、Cisco#write
7.关闭不必要的服务-禁用HTTP Server
检测方法
执行如下命令检测http server状态
#show running-config | include http
判定依据
已关闭http server则合规，否则不合规。
参考配置操作
1、Cisco(config)#no ip http server
2、Cisco(Config)#end
3、Cisco#write
8.关闭不必要的服务-禁用DNS查询服务
检测方法
执行如下命令检测是否禁用DNS查询服务
#show running-config | include domain-lookup
判定依据
已禁用DNS查询服务则合规，否则不合规。
参考配置操作
1、Cisco(config)#no ip domain-lookup
2、Cisco(Config-if)#end
3、Cisco#write
9.会话超时配置
检测方法
执行如下命令检测console口和所有vty端口的会话超时配置信息
#show running-config | begin line
判定依据
cisco交换机默认会话超时配置为10分钟
1、console口不存在如下配置 exec-timeout 0 0
2、所有vty端口不存在如下配置 exec-timeout 0 0
条件1和条件2均满足则合规，否则不合规。
参考配置操作
1、console口会话超时配置
（1）、Cisco(config)#line console 0
（2）、Cisco(config-line)#exec-timeout <mins> [<seconds>] #<mins>单位为分，<seconds>单位为秒。
2、vty口会话超时配置
（1）、Cisco(config)#line vty <num1> [<num2>] #<num1>，<num2>(可选)表示要配置的vty起止序号。
（2）、Cisco(config-line)#exec-timeout <mins> [<seconds>]
（3）、Cisco(config-line)#end
（4）、Cisco#write
10.关闭不必要的服务-禁用UDP Small服务
检测方法
执行如下命令检测UDP Small服务状态
#show running-config | include udp-small-servers
判定依据
已关闭UDP Small服务则合规，否则不合规。
参考配置操作
1、Cisco(config)#no service udp-small-servers
2、Cisco(Config-if)#end
3、Cisco#write
11.关闭不必要的服务-禁用Finger服务
检测方法
执行如下命令检测Finger服务状态
#show running-config | include finger
判定依据
已关闭Finger服务则合规，否则不合规。
参考配置操作
1、Cisco(config)#no ip finger
2、Cisco(Config)#end
3、Cisco#write
12.关闭不必要的功能-禁用IPUnreachables
检测方法
执行如下命令检测ip unreachable功能是否禁用
#show running-config | include unreachables
判定依据
接口已禁用unreachables功能则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <InterfaceName>
2、Cisco(config-if)#no ip unreachables
3、Cisco(Config-if)#end
4、Cisco#write
13.关闭不必要的功能-禁用IP Redirects
检测方法
执行如下命令检测ICMP重定向功能
#show running-config interface <interface_name>
判定依据
ICMP重定向功能被禁用则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <InterfaceName> #<InterfaceName> 表示接口名称。
2、Cisco(config-if)#no ip redirects
3、Cisco(Config-if)#end
4、Cisco#write
14关闭不必要的功能-禁用IP source-route
检测方法
执行如下命令检测是否开启source-route服务
#show running-config | include source-route
判定依据
已关闭source-route服务则合规，否则不合规
参考配置操作
1、Cisco(config)#no ip source-route #关闭source-route服务。
2、Cisco(config)#end
3、Cisco#write
15.关闭IP直接广播
检测方法
执行如下命令检测ip directed-broadcast配置
#show running-config | include directed-broadcast
判定依据
所有接口均关闭ip directed-broadcast则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <InterfaceName> 关闭指定接口的ip directed-broadcast
2、Cisco(config-if)#no ip directed-broadcast
3、Cisco(config-if)#end
4、Cisco#write
16.限制NTP通信地址范围
检测方法
执行如下命令检测ntp配置
#show running-config | include ntp access-group
判定依据
已配置通过ACL限制NTP服务器和设备之间的通信则合规，否则不合规。
参考配置操作
1、Cisco(config)#ntp access-group peer <tag> #<tag>表示access-list标号。
2、Ciscoh(config)#end
3、Cisco#write
17报文速率限制
检测方法
执行如下命令检测物理接口配置
#show running-config | begin interface
判定依据
所有处于未关闭状态的物理接口均配置广播/组播/未知单播报文速率限制则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <InterfaceName> #配置指定接口
2、Cisco(config-if)#storm-control broadcast level <threshold> #配置广播报文限制
3、Cisco(config)#interface <InterfaceName> #配置指定接口
4、Ciscoh(config-if)#storm-control multicast level <threshold> #配置组播报文限制
5、Cisco(config)#interface <InterfaceName> # 配置指定接口
6、Cisco(config-if)#storm-control unicast level <threshold> #配置单播报文限制
7、Cisco(config-if)#end
8、Cisco#write
18.开启STP功能
检测方法
执行如下命令检测STP模式
#show spanning-tree summary
判定依据
STP模式为pvst则合规，否则不合规。
1、Cisco(config)#spanning-tree mode pvst
2、Cisco(config-if)#end
3、Cisco#write
19.关闭未使用的管理口
检测方法
执行如下命令检测接口状态
#show interfaces | include protocol
判定依据
没有使用的接口都被关闭则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <接口>
2、Cisco(config-if)#shutdown #关闭未使用的接口。
3、Cisco(config-if)#end
4、Cisco#write
20.配置端口安全防护
执行如下命令检测物理接口配置
#show running-config | begin interface
判定依据
所有处于未关闭状态的物理接口都指定 switchport 模式则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <InterfaceName> #配置指定物理接口的switchport模式
2、Cisco(config-if)#switchport mode <mode> #<mode>接口类型为Access或者trunk
3、Cisco(config-if)#end
4、Cisco#write
21.配置MAC攻击防护
测方法
执行如下命令检测物理接口配置
#show running-config | begin interface
判定依据
所有处于未关闭状态且类型为access的物理接口都已配置允许最大的地址数目则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <InterfaceName> #配置指定接口允许的最大地址数。
2、Cisco(config-if)#switchport port-security maximum <num> #<num>表示最大地址数。
3、Cisco(config-if)#end
4、Cisco#write
22.配置VLAN攻击防护
检测方法
执行如下命令检测物理接口配置
#show running-config | begin interface
判定依据
所有处于未关闭状态的 trunk 模式的物理接口都已配置允许的 VLAN id 则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <InterfaceName> #进入指定接口
2、Cisco(config-if)#switchport trunk allowed vlan <vlanid> #配置trunk模式的接口允许的VLAN。
3、Cisco(config-if)#end
4、Cisco#write
23.限制非法数据流
检测方法
1、执行如下命令查看ACL配置信息
（1）、#show access-lists
2、执行如下命令检测 vlan 和物理接口配置信息
（1）、#show running-config | begin interface
判定依据
1、配置acl规则过滤非法流量数据
2、所有未关闭的物理接口均已下发ACL规则
以上两个条件同时满足时合规，否则不合规。
24.配置预防源地址伪造攻击(默认关闭)
检测方法
执行如下命令检测接口下是否启用uRPF
#show running-config | include ip verify
判定依据
所有未关闭的物理接口都已启用uRPF则合规，否则不合规。
参考配置操作
Cisco(config)#interface <InterfaceName> #<InterfaceName>表示接口名称。
Cisco(config-if)#ip verify unicast source reachable-via any
Cisco(config-if)#end
Cisco#write
25.对设备引擎直接处理的流量进行控制
检测方法
1、执行如下命令检测 contro-plane下是否配置service-policy
（1）、#show running-config | include ^(control-plane|service-policy)
2、执行如下命令检测是否配置 ip receive access-list
（1）、#show running-config | include ip receive access-list
判定依据
1、contro-plane下已配置service-policy
2、已配置ip receive access-list
以上两个条件均满足则合规，否则不合规。
26.关闭不必要的协议-LACP
检测方法
执行如下命令检测接口配置信息
#show running-config | begin interface
判定依据
所有接口均已关闭 LACP 协议则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <interface> 接口名称
2、Cisco(config-if)# no lacp port-priority
3、Cisco(config-if)#end
4、Cisco#write
27.关闭不必要的协议-PAgP
检测方法
执行如下命令检测接口配置信息
#show running-config | begin interface
判定依据
所有接口均已关闭 PAGP 协议则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <interface> #<interface>表示接口名称。
2、Cisco(config-if)#no pagp learn-method
3、Cisco(config-if)#end
4、Cisco#write
28.关闭不必要的协议-flowcontrol
检测方法
执行如下命令检测接口配置信息
#show running-config | begin interface
判定依据
所有接口均已关闭 flowcontrol 协议则合规，否则不合规。
参考配置操作
1、Cisco(Config)#interface <interface> #<interface>表示接口名称。
2、Cisco(Config-if)#flowcontrol receive off
3、Cisco(Config-if)#end
4、Cisco#write
29.配置ARP攻击防护
检测方法
执行如下命令检测接口配置信息
#show running-config | begin interface
判定依据
所有类型为 access 的未关闭的物理接口都配置ARP攻击防护则合规，否则不合规。
参考配置操作
1、Cisco(config)#interface <InterfaceName> #<InterfaceName> 表示接口名称
2、Cisco(config-if)#switchport port-security violation restrict
3、Cisco(Config-if)#end
4、Cisco#write
30.典型协议报文防护
检测方法
、执行如下命令查看是否配置HSRP报文防护
#show running-config | include standby
二、执行如下命令查看是否配置VRRP报文防护
#show running-config | include vrrp
判定依据:
1)配置了HSRP报文防护
2)配置了VRRP报文防护
以上两个条件同时满足则合规,否则不合规.
参考配置操作
1、配置HSRP报文防护
（1）、Cisco(config)#interface <InterfaceName>
（2）、Cisco(config-if)#standby 1 authentication md5 key-string <key>
2、配置VRRP报文防护
（1）、Cisco(config)#interface <InterfaceName>
（2）、Cisco(config-if)#vrrp 1 authentication md5 key-string <key>
（3）、Cisco(config-if)#end
（4）、Cisco#write
四、系统服务
总结：远程登录只能使用ssh，snmp的community在监控时不能为默认需要修改为public或者private，snmpv3开启（如果支持），snmp需要aaa认证审计
1.SNMP配置-修改SNMP的默认Community
检测方法
执行如下命令检测snmp团体名配置信息
#show running-config | include snmp-server community
判定依据
不存在名称为public、private的SNMP community，则合规，否则不合规。
参考配置操作
1、Cisco(config)#no snmp-server community public 删除名称为public的SNMP commnity
2、Cisco(config)#end
3、Cisco#write
2.远程管理通信安全-SSH
检测方法
1、执行如下命令检测ssh协议配置信息
（1）、#show ip ssh
2、执行如下命令查看vty接口配置信息
（1）、#show running-config | begin line vty
判定依据
1、已启用ssh加密协议
2、只允许使用ssh协议访问vty接口
3、以上条件需同时满足。
参考配置操作
1、Cisco(config)#ip domain-name <domain_name> #配置域名 <domain_name>域名名称可自定义
2、Cisco(config)#aaa new-model
3、Cisco(config)#crypto key generate rsa
4、Cisco(config)#line vty 0 4
5、Cisco(config-line)#transport input ssh #配置仅允许ssh远程登录
6、Cisco(config-line)#end
7、Cisco#write
3.SNMP服务读写权限管理
检测方法
执行如下命令检测snmp团体名配置信息
#show running-config | include snmp-server community
判定依据
所有SNMP community的权限均为ro，则合规，否则不合规。
参考配置操作
1、Cisco(config)#snmp-server community <name> <RO> [<tag>] #<name>表示community名称，<RO/RW>表示分配的权限，<tag>表示access-list标号。
2、Cisco(config)#end
3、Cisco#write
4.VTY端口防护策略
检测方法
执行如下命令检测vty端口配置信息
#show running-config | begin line vty
判定依据
vty接口数量小于等于 15 则合规，否则不合规。
5.使用SNMP V3版本
检测方法
执行如下命令检测SNMP协议配置信息
#show running-config | include snmp-server host
判定依据
对于支持SNMP V3版本的设备，必须使用V3版本SNMP协议，对于不支持v3版本协议的设备建议通过自定义参数的方式修改其标准值为1或者2c。
参考配置操作
1、Cisco(config)#snmp-server host <ip> version 3 auth <username> #其中<ip>表示IP，<username>表示用户名。
2、Cisco(config-line)#end
3、Cisco#write
6.使用认证服务器审计设备操作
检测方法
执行如下命令检测认证服务器审计行为
#show running-config | include aaa accounting
判定依据
已配置使用认证服务器对设备操作进行审计则合规，否则不合规。
参考配置操作
1、Cisco(config)#aaa accounting exec default start-stop group <server> #<server>为认证服务器名称。
2、Cisco(config)#end
3、Cisco#write
四、账号管理
总结：远程登录有提示信息，两个以上用户名密码，密码加密存放，不存在平常不用的账号，console密码最好有
1.修改缺省BANNER，未配置banner login则合规，否则不合规。
#show running-config | include banner
参考配置操作
1、Cisco(config)#banner <options> #<options>表示banner命令的参数
2、Cisco(config)#end
3、Cisco#write
2.配置console口密码保护,console口已配置密码则合规，否则不合规。
#show running-config | begin line con
参考配置操作
1、Cisco(config)#line console 0
2、Cisco(config-line)#login local
3、Cisco(config-line)#password <password> #<password>为console口密码
4、Cisco(config-line)#end
5、Cisco#write
3.避免共享账号
#show running-config | include username
参考配置操作
1、Cisco(config)# username <username> privilege <level> password <password> #<username>用户名、<level>权限级别、<password>用户口令。
2、Cisco(config)# end
3、Cisco#write
4.禁止无关账号(人工确认)
5.管理默认账号与口令，不存在cisco默认账号则合规，否则不合规。
#show running-config | include username
6.口令加密
1、执行如下命令检测enable和用户口令是否加密存放
（1）、#show running-config | include ^(enable|username.*)
2、执行如下命令检测是否启用密码加密服务
#show running-config | include password-encryption
判定依据
1、启用密码加密服务
2、enable密码加密存放
3、用户口令加密存放
条件1必须满足，条件2和3满足其一则合规，否则不合规
后续将更新juniper防火墙、mysql数据库、linux服务器，请大家多多关注。
本文出自 “小资” 博客，请务必保留此出处http://tianzhen910.blog.51cto.com/5889820/1878164
原文地址：http://tianzhen910.blog.51cto.com/5889820/1878164
