防火墙核查脚本 on ClearSec Wiki

Cisco防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于 Cisco ASA、Firepower Threat Defense(Firepower/FTD) 等常见系统。ASA 与 FTD 命令体系不同，现场先识别版本和管控方式。

基础信息

核查命令：

show version
show running-config
show inventory
show failover

备注：
- 记录型号、版本、补丁、授权、FMC 纳管与否。
预期证据：
- 版本截图

示例输出（节选）

Cisco Adaptive Security Appliance Version 9.16(3)
...
Serial Number: JAD23xxxxxxx
up 45 days 8 hours
Failover : Active

身份鉴别

A. 管理员账户与角色

核查命令：

show aaa-server
show running-config username
show running-config aaa

备注：
- ASA 侧重点在 username/aaa，FTD/FMC 场景还需平台取证。
预期证据：
- 账号截图

示例输出（节选）

aaa-server RAD-SVR protocol radius
 radius-common-pw *****
username admin password ***** pbkdf2 privilege 15

B. 口令策略

核查命令：

H3C防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于 H3C SecPath/NGFW 常见系统。建议先执行 display version、display current-configuration。

基础信息

核查命令：

display version
display device
display current-configuration
display interface brief

备注：
- 先确认型号、版本、补丁、主备和管理地址。
预期证据：
- 版本截图
- 配置摘要截图

示例输出（节选）

H3C SecPath F100-C-G5 uptime is 12 days, 3:25:11
H3C Comware Software, Version 7.1.070, Release 0821P21

身份鉴别

A. 管理员账户与角色

核查命令：

display local-user
display user-role

备注：
- 排查默认账号、共享账号和高权账号过多问题。
预期证据：
- 本地用户截图
- 用户角色截图

示例输出（节选）

Username: secadmin Role: security-admin State: Enable
Username: audadmin Role: audit-admin State: Enable

B. 口令策略

核查命令：

display password-control
display current-configuration | include password

备注：

Palo Alto防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于 PAN-OS 常见单机、防火墙集群和 Panorama 纳管场景。CLI 与 Web 管理界面并用时，以最能稳定保留证据的方式为准。

基础信息

核查命令：

show system info
show config running
show high-availability state

备注：
- 记录型号、PAN-OS 版本、内容库版本、Panorama 纳管与否。
预期证据：
- 系统信息截图

示例输出（节选）

hostname: PA-demo
model: PA-440
serial: 012345678901
sw-version: 11.0.2
uptime: 32 days, 4:12:08

身份鉴别

A. 管理员账户与角色

核查命令：

show admins
show config running | match admin

备注：
- 注意本地管理员、角色模板和 Panorama 管理员。
预期证据：
- 管理员截图

示例输出（节选）

admin superuser yes

B. 口令策略

核查命令：

show password-profile
show config running | match password-profile

备注：

华为防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于华为 USG/NGFW/HiSecEngine 等常见防火墙系统。建议先执行 display version、display current-configuration，命令差异较大时结合 display ?、system-view 下 ? 帮助定位。

基础信息

核查命令：

display version
display device
display current-configuration
display interface brief

备注：
- 记录型号、系统版本、补丁版本、主备状态、管理地址和部署位置。
预期证据：
- 版本截图
- 当前配置摘要截图
- 资产台账或网络拓扑

示例输出（节选）

Huawei Versatile Security Platform Software
Version 5.5 (USG6000E V500R005C20SPC300)
Copyright (C) 2000-2022 Huawei Technologies Co., Ltd.
...
Up Time : 0 day, 8:32:15

身份鉴别

A. 管理员账户与角色

核查命令：

display aaa local-user
display administrator

备注：
- 关注默认账号、共享账号和角色权限是否区分。
预期证据：
- 本地用户截图
- 管理员角色截图

示例输出（节选）

UserName Level State
admin 3 Enable
secadmin 3 Enable
audadmin 3 Enable

B. 口令策略

核查命令：

绿盟防火墙与安全设备

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于绿盟 NF/NSFOCUS 防火墙及部分安全网关系统。命令和 Web 页面并用时，以能稳定取证的方式为准。

基础信息

核查命令：

show system
show version
show running-config

备注：
- 记录产品线、版本、授权和部署方式。
预期证据：
- 系统截图

身份鉴别

A. 管理员账户与角色

核查命令：

show admin
show role

备注：
- 核查默认账号、共享账号和角色分离。
预期证据：
- 管理员截图

B. 口令策略

核查命令：

show password-policy
show security-config

备注：
- 重点看复杂度和失效策略。
预期证据：
- 口令策略截图

C. 登录失败与超时

核查命令：

show login-policy
show session admin

备注：
- 查看失败锁定、超时退出和会话控制。
预期证据：
- 策略截图

D. 远程认证与 MFA

核查命令：

show radius
show ldap
show auth-server

备注：
- 可结合堡垒机或统一认证平台补证。
预期证据：

启明星辰防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于现场常见启明星辰/天清类防火墙命令风格。若设备版本命令存在差异，可先执行 system show、system show version，并结合 ? 帮助检索同类命令。

基础信息

核查命令：

system show
system show version
easyconfig show
hostname show
snmp show

备注：
- 先确认设备型号、软件版本、部署位置、管理地址、HA/双机状态。
- 若存在集中管理平台，还应记录平台名称、纳管方式和策略下发关系。
预期证据：
- 设备系统信息截图
- 版本信息截图
- 网络拓扑或部署说明
- 资产台账或设备清单

身份鉴别

A. 管理员账户与角色

核查命令：

admacct show
admhost show
easyconfig show

备注：
- 核对是否存在默认账户、共享账户、长期未清理账户。
- 关注超管、审计员、运维员是否区分，是否存在多人共用管理员账号。
预期证据：
- 管理员账号列表截图
- 角色权限截图
- 账号开通审批或授权记录

B. 口令策略

核查命令：

admacct show
system show
口令策略相关命令如 password show / policy show

备注：
- 关注口令长度、复杂度、定期更换、历史口令重用限制。
- 若设备仅支持部分复杂度项，应结合厂商手册和实际补偿措施判定。
预期证据：
- 口令策略配置截图
- 安全管理制度中口令要求
- 访谈记录

C. 登录失败处置与会话超时

核查命令：

山石网科防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于 Hillstone SG/NGFW 常见系统。先执行 show system、show config running。

基础信息

核查命令：

show system
show version
show config running
show interface

备注：
- 记录型号、版本、授权、主备和管理地址。
预期证据：
- 系统信息截图
- 运行配置截图

示例输出（节选）

Hostname: FW-demo
Software: StoneOS 5.5R6
Uptime: 25 days 6:11:42
HA state: master

身份鉴别

A. 管理员账户与角色

核查命令：

show admin
show user

备注：
- 关注默认管理员、共享账号、角色分权。
预期证据：
- 管理员截图

示例输出（节选）

admin role: admin last login: 2026-08-24 09:00 (192.168.10.10)
audit role: audit

B. 口令策略

核查命令：

show password-policy
show login-policy

备注：

深信服防火墙与安全设备

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于深信服 NGAF、AF、AC 等常见安全设备系统。现场常见为 Web 管理界面结合 CLI/诊断命令，CLI 不足时可用管理界面截图补证。

基础信息

核查命令：

show system
show version
show running-config

备注：
- 记录设备型号、固件版本、授权模块、部署位置、主备状态。
预期证据：
- 系统信息截图
- 固件版本截图

身份鉴别

A. 管理员账户与角色

核查命令：

show admin
show user

备注：
- 关注默认管理员、角色分级和共享账号。
预期证据：
- 管理员截图
- 角色截图

B. 口令策略

核查命令：

show password-policy
show security-config

备注：
- 若 CLI 无法完整展示，可改从 Web 界面取证。
预期证据：
- 口令策略截图

C. 登录失败与会话超时

核查命令：

show login-policy
show session admin

备注：
- 查看锁定、超时和并发管理会话控制。
预期证据：
- 登录策略截图

D. 远程认证与双因素

核查命令：

show radius
show ldap
show auth-server

备注：

天融信防火墙

Mon, 24 Aug 2026 00:00:00 +0800

适用说明：适用于现场常见天融信防火墙命令风格。建议先执行 show-running、system Version，并结合 show ?、system ? 检索同类命令。

基础信息

核查命令：

show-running
system Version
show interface
show route
show management

备注：
- 先确认设备型号、系统版本、管理地址、部署模式和高可用状态。
- 若采用集中管控平台，应同时确认平台纳管状态。
预期证据：
- 运行配置截图
- 版本信息截图
- 网络拓扑或设备部署材料
- 资产台账

身份鉴别

A. 管理员账户与角色

核查命令：

show admin
show user
show-running

备注：
- 核查默认账户、共享账户、僵尸账户、角色划分情况。
- 重点关注系统管理员、安全管理员、审计员是否混用同一账号。
预期证据：
- 管理员列表截图
- 角色权限截图
- 账号授权审批记录

B. 口令策略

核查命令：

show password-policy
show security-policy
show-running

备注：
- 核查密码长度、复杂度、有效期、重试次数、历史口令重用限制。
- 如命令不存在，应在 running-config 中检索 password、login、policy 关键字。
预期证据：
- 口令策略截图
- 安全制度相关条款
- 访谈记录

C. 登录失败处置与超时退出

核查命令：

show login-policy
show session
show admin

备注：