CheckPoint防火墙安全配置基线要点

CheckPoint防火墙安全配置基线

show ssh server allow-groups allow-users deny-groups deny-users permit-root-login 3. 补充说明 无。 备注 第 6 页 共 20 页

CheckPoint防火墙安全配置基线

第3章 日志及配置安全要求

3.1 日志安全

3.1.1 记录用户对设备的操作

安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 用户对设备记录安全基线要求项 SBL-CP-03-01-01 配置记录防火墙管理员操作日志，如管理员登录，修改管理员组操作，帐号解锁等信息。配置防火墙将相关的操作日志送往操作日志审计系统或者其他相关的安全管控系统。 1．参考配置操作 2．补充操作说明 在启动日志记录的情况下，CP会记录相关的日志，无需额外配置。 基线符合性判定依据 1.判定条件 SmartView Tracker 2.检测操作 可以通过“开始”?“程序”?“Check Point SmartCosole R75”?“SmartView Tracker”或登录“SmartDashboard”?“Windows”?“SmartViewTracker”打开该工具，Management：显示审计相关的数据，记录管理员、应用和操作详细信息。比如修改对象、添加策略、安装策略等双击日志条目可以查看详细信息。 备注 3.1.2 开启记录NAT日志*

安全基线项目名称 安全基线编号 安全基线项

开启记录NAT日志安全基线要求项 SBL-CP-03-01-02 开启记录NAT日志，记录转换前后IP地址的对应关系。

第 7 页 共 20 页

CheckPoint防火墙安全配置基线

说明 检测操作步骤 1．参考配置操作 I.启动日志记录 2．补充操作说明 在启动日志记录的情况下，CP会记录NAT的日志，无需额外配置。 基线符合性判定依据 1.判定条件 检查配置中的loggig相关配置 2.检测操作 可以通过“开始”?“程序”?“Check Point SmartCosole R75”?“SmartView Tracker”或登录“SmartDashboard”?“Windows”?“SmartViewTracker”打开该工具，双击日志条目可以查看详细信息。 在滤镜工具里面选择NAT 备注 根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。 3.1.3 开启记录VPN日志*

安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 开启记录VPN日志安全基线要求项 SBL-CP-03-01-03 开启记录VPN日志，记录VPN访问登陆、退出等信息。 1．参考配置操作 2．补充操作说明 在启动日志记录的情况下，CP会记录VPN的日志，无需额外配置。 基线符合性判定依据 1.判定条件 检查配置中的loggig相关配置 2.检测操作 可以通过“开始”?“程序”?“Check Point SmartCosole R75”?“SmartView Tracker”或登录“SmartDashboard”?“Windows”?“SmartViewTracker”打开该工具，双击日志条目可以查看详细信息。 左侧选择VPN 备注 根据应用场景的不同，如部署场景需开启此功能，则强制要求此项。 第 8 页 共 20 页

CheckPoint防火墙安全配置基线

3.1.4 配置记录流量日志

安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 配置记录流量日志安全基线要求项 SBL-CP-03-01-04 配置记录流量日志，记录通过防火墙的网络连接的信息。 1．参考配置操作 SmartView Monitor 2．补充操作说明 基线符合性判定依据 1.判定条件 2.检测操作 可以通过“开始”?“程序”?“Check Point SmartCosole R75”?“SmartView Monitor”或登录“SmartDashboard”?“Windows”?“SmartView Monitor”打开该工具 左侧Traffic 备注 3.1.5 配置记录拒绝和丢弃报文规则的日志

安全基线项目名称 安全基线编号 安全基线项说明 检测操作步骤 配置记录拒绝和丢弃报文规则的日志安全基线要求项 SBL-CP-03-01-05 配置防火墙规则，记录防火墙拒绝和丢弃报文的日志。 1．参考配置操作 CP防火墙自动将在访问控制列表（access-list）中拒绝（deny）的数据包生成log信息。 2．补充操作说明 可以通过“开始”?“程序”?“Check Point SmartCosole R75”?“SmartView Tracker”或登录“SmartDashboard”?“Windows”?“SmartViewTracker”打开该工具,选择Drop 基线符合性判定依据 备注 第 9 页 共 20 页