Cisco
Cisco Catalyst 交换机、ISR/ASR 路由器及 IOS/IOS-XE 平台网络设备三级等保现场测评取证命令单：show version、show running-config、show ip interface brief、show ip route 与 show vlan brief 基础信息核查，show users、show ip ssh 与 login block-for 口令策略身份鉴别核查，AAA 与线路访问控制核查，以及安全审计、入侵防范、数据完整性、数据保密性、备份恢复、剩余信息保护、个人信息保护核查，逐条给出预期现象与判定要点。
Categories:
5 分钟阅读
定位：三级等保现场测评取证命令单，按功能小节组织核查命令、预期现象与判定要点。
适用范围：Cisco Catalyst、ISR/ASR 路由器及常见 IOS/IOS-XE 平台网络设备。
使用说明：
- 本脚本按三级等级保护测评现场口径编排，优先服务于交换机、路由器和三层交换设备。
- 同一厂商不同产品线命令存在差异时，优先执行“推荐命令”，如提示不支持，再采用同节备注中的兼容替代口径。
- 现场判断应结合设备角色、网管平台、堡垒机、日志平台、制度文件和访谈记录综合判定，不以单条命令结果机械下结论。
基础信息
- 对应控制点：非独立控制点（测评对象与资产确认）；堆叠/VRRP 等高可用形态佐证 GB/T 22239-2019 8.1.2.1 网络架构 e) 关键网络设备硬件冗余。
- 判定要点：设备型号、版本、角色与资产台账一致且运行正常即符合；版本过旧或信息与台账不符记部分符合。
- 取证要求：show version 与运行配置首页截图、接口/路由摘要截图，与资产台账、拓扑材料交叉核对并记录登录方式与登录源。
核查命令：
show running-config
show version
show ip interface brief
show ip route
show vlan brief
- 备注：确认设备型号、版本、系统镜像、运行配置、管理地址、业务地址、接口状态、路由角色、堆叠/IRF/VLT/VRRP 等高可用形态，并记录当前登录方式和登录源。
- 预期证据：版本截图、运行配置首页截图、接口/路由摘要截图、设备铭牌或网管资产信息、访谈记录。
示例输出（节选）
SW-demo#show version
Cisco IOS XE Software, Version 17.06.04
Cisco IOS Software [Bangalore Valley], Catalyst L3 Switch Software (CAT9K_IOSXE), Version 17.6.4
SW-demo uptime is 32 weeks, 1 day, 4 hours, 12 minutes
System image file is "flash:packages.conf"
cisco C9300-48T (X86) processor with 1616719K/6147K bytes of memory.
SW-demo#show ip interface brief
Interface IP-Address OK? Method Status Protocol
GigabitEthernet1/0/1 unassigned YES unset up up
Vlan10 192.168.10.1 YES manual up up
Vlan99 unassigned YES unset administratively down down
身份鉴别
- 对应控制点：GB/T 22239-2019 8.1.4.1 身份鉴别 a)～d)。
- 判定要点：身份标识唯一、口令复杂且定期更换、失败锁定与超时退出有效、远程管理走 SSH 加密即符合；存在默认/共享/弱口令记不符合，仅单因素但由堡垒机统一强认证与审计可记部分符合，纯业务汇聚层未启用双因素结合补偿措施可说明后判定。
- 取证要求：认证方式与 AAA 配置截图、口令策略与 show login / show login failures 结果、超时参数截图，结合账号台账与访谈记录。
高风险提示：存在默认口令/弱口令，或通过 Telnet 明文管理网络设备，属高风险情形，应按 22、高风险判定指引与加固对照表 核查并出具整改意见。
A. 认证方式
核查命令：
show users
show running-config | include username|aaa
show ip ssh
- 备注：核查是否启用本地账号、AAA、RADIUS、TACACS+、LDAP 或证书认证；若仅允许堡垒机或专用管理网接入，应记录接入链路和责任边界。
- 预期证据：认证方式截图、AAA 配置截图、堡垒机或网管平台材料、账号管理制度。
示例输出（节选）
SW-demo#show ip ssh
SSH Enabled - version 2.0
Authentication timeout: 120 secs; Authentication retries: 3
Minimum expected Diffie Hellman key size : 2048 bits
B. 账号与权限主体
核查命令：
show users
show running-config | include username|privilege
- 备注：核查是否存在默认账号、共享管理员、长期未清理账号、运维外包账号和临时授权账号；需区分只读、运维、审计等角色。
- 预期证据：本地用户列表截图、权限级别截图、账号台账、访谈记录。
C. 口令复杂度与失败处理
核查命令：
show running-config | include secret|password|login block-for
show login
show login failures
show aaa servers
- 备注：重点看口令复杂度、口令有效期、失败锁定阈值、黑名单或弱口令控制。
security passwords min-length设定最短口令长度；本地账号建议username <user> secret（MD5/Scrypt 哈希）而非username <user> password（Type 7 或明文）。若设备原生不支持完整复杂度策略，应结合堡垒机、AAA 或制度补充说明。 - 预期证据：口令策略截图、失败锁定截图、制度文件、例外说明。
D. 会话超时与远程接入
核查命令：
show line
show users
show ip ssh
show running-config | section line vty
- 备注：核查 SSH/Telnet/Console/VTY 登录超时、并发会话控制、登录源限制和远程管理通道启停状态；vty 应仅允许
transport input ssh并配置exec-timeout（建议不大于 10 分钟）。Telnet 如启用应重点说明风险和补偿控制。 - 预期证据：SSH/Telnet/VTY 配置截图、超时参数截图、运维规范、堡垒机配置截图。
访问控制
- 对应控制点：GB/T 22239-2019 8.1.4.2 访问控制 a)～f)；接口/业务 ACL 策略结合 8.1.3.2 安全区域边界访问控制 a)。
- 判定要点：账户按岗分配权限、默认账户已改名或禁用、无多余共享账户、管理面与业务面由授权 ACL 控制即符合；管理面无来源限制或策略“permit any any”放通过宽记部分符合/不符合。
- 取证要求：ACL 定义与接口应用（ip access-group）截图、账户与权限列表、默认服务处置说明与例外审批记录。
高风险提示：SNMP 使用 public/private 等默认团体字，或 SNMPv1/v2c 团体字长期未更换，属高风险情形，应按 22、高风险判定指引与加固对照表 核查并整改。
A. 管理平面访问限制
核查命令：
show running-config | section access-list
show access-lists
show ip access-list
show running-config | include ip access-group
- 备注：核查管理地址、管理 VRF、管理 VLAN、管理 ACL、源地址白名单和仅允许管理网访问的控制措施。
- 预期证据：管理平面配置截图、ACL 截图、网络拓扑或管理网段说明。
B. 业务访问与控制策略
核查命令：
show access-lists
show port-security
show running-config | section interface
- 备注：核查 ACL、traffic policy、service-policy、端口安全、802.1X、MAC 绑定等访问控制措施；需关注是否存在放通过宽、测试策略遗留或高危“permit any any”。
- 预期证据：访问控制策略截图、端口安全截图、策略变更单。
C. 特权与角色分离
核查命令：
show running-config | include privilege
show users
- 备注：核查是否对查看、配置、审计、升级等操作分级授权；共享最高权限账号应结合审批和堡垒机审计判断。
- 预期证据：权限等级截图、账号权限说明、审批记录、访谈记录。
D. 默认服务与未使用接口处置
核查命令：
show ip interface brief
show running-config | include transport input|ip http|snmp-server
- 备注：核查未使用接口是否关闭、默认服务是否停用、HTTP/Telnet/SNMPv1/v2c 等弱安全服务是否仍暴露；
ip http口径同时覆盖ip http server与ip http secure-server。对无法关闭的厂商默认服务需记录原因。 - 预期证据：接口状态截图、服务配置截图、整改记录或例外审批。
安全审计
- 对应控制点：GB/T 22239-2019 8.1.4.3 安全审计 a)～d)。
- 判定要点：审计覆盖每个登录用户并记录配置变更，记录含日期时间/用户/事件类型/是否成功且外送日志平台留存即符合；日志功能未启用、无本地留存且无平台接收记不符合。
- 取证要求：show logging 与 logging 配置截图、show archive log config all 输出、日志平台接收记录、NTP 同步状态截图。
高风险提示：网络设备安全审计功能未开启（无审计），审计记录无法留存追溯，属高风险情形，应按 22、高风险判定指引与加固对照表 核查并整改。
A. 本地日志配置
核查命令：
show logging
show archive log config all
- 备注：核查日志功能是否开启、日志缓冲区是否可用、是否记录登录、配置变更、异常告警、链路切换和高危操作；
show archive log config all需已在archive log config下启用记录，未启用时结合show running-config | section archive判定配置变更记录能力。 - 预期证据：日志配置截图、本地日志样例、登录日志截图。
B. 远程日志与集中审计
核查命令：
show running-config | include logging host|snmp-server host
show logging
- 备注：核查是否配置 syslog、SNMP Trap、日志主机、日志平台或网管审计平台；若依赖平台集中审计，应说明设备端投递方式和平台接收情况。
- 预期证据：日志服务器配置截图、平台接收截图、平台材料、访谈记录。
C. 审计时间准确性
核查命令：
show clock
show ntp status
show ntp associations
- 备注：核查 NTP/SNTP、时区和时间同步状态；审计时间不准会直接影响追溯有效性。
- 预期证据：系统时间截图、NTP 配置截图、时间同步状态截图。
示例输出（节选）
SW-demo#show clock
10:15:32.123 CST Mon Aug 24 2026
SW-demo#show ntp status
Clock is synchronized, stratum 3, reference is 192.168.10.1
nominal freq is 250.0000 Hz, actual freq is 249.9995 Hz
D. 审计留存与轮转
核查命令：
show logging
show archive log config all
- 备注：设备本地日志容量通常有限，现场应结合日志平台留存策略、设备缓冲区、告警历史和制度文件综合判断。
- 预期证据：日志缓冲/文件摘要截图、平台留存策略、制度文件、访谈记录。
入侵防范
- 对应控制点：GB/T 22239-2019 8.1.4.4 入侵防范 b)、c)、e)、f)（网络设备就近适用）。
- 判定要点：不需要的服务与高危端口已关闭、管理终端接入范围受 ACL 限制、异常登录与攻击事件可告警联动即符合；Telnet/HTTP/SNMPv1 等高危服务对外暴露且无来源限制记不符合。
- 取证要求：开放服务/端口截图、管理 ACL 与控制平面防护配置截图、版本与已知漏洞情况说明、告警联动与处置记录。
A. 管理平面暴露与攻击面收敛
核查命令：
show access-lists
show control-plane host open-ports
show processes cpu
show ip ssh
show port-security
- 备注：重点核查管理面开放服务、控制平面暴露端口、边界 ACL、SSH/HTTPS 替代 Telnet/HTTP、异常进程和高危管理接口是否收敛到受控网络。
- 预期证据：管理面配置截图、开放服务截图、ACL 或白名单截图、堡垒机或管理网说明。
B. 协议防护与异常流量抑制
核查命令：
show storm-control
show ip verify source
show running-config | include login block-for|transport input|ip http
show control-plane
- 备注：核查是否启用源地址校验、风暴控制、端口安全、ARP/DHCP/ND 防护、控制平面限速、路由协议邻居保护等措施，防止扫描、泛洪、伪造和横向攻击。
- 预期证据：防护策略截图、接口安全截图、协议防护截图、变更单或加固基线。
C. 入侵事件告警与联动处置
核查命令：
show logging
show archive log config all
show running-config | include logging host|snmp-server host
- 备注：核查设备是否能够对暴力登录、ACL 命中、攻击防护触发、异常流量和策略拒绝事件进行日志记录，并联动日志平台、告警平台或 SNMP Trap 统一处置。
- 预期证据：告警日志样例、日志平台接收截图、SNMP Trap 或告警联动截图、运维处置记录。
数据完整性
- 对应控制点：GB/T 22239-2019 8.1.4.7 数据完整性 a)（鉴别数据、重要配置数据的传输完整性）。
- 判定要点：配置变更可追溯（保存/备份/审批），动态路由协议与隧道启用认证或校验保护即符合；配置无备份可追溯且路由协议无认证记部分符合/不符合。
- 取证要求：archive 配置与配置备份截图、路由协议认证配置截图、变更审批单与访谈记录。
A. 配置完整性与变更可追溯
核查命令：
show running-config
show startup-config
show archive
show running-config | section archive
- 备注：核查配置是否通过保存、备份、校验、审批或双人复核机制管理；对运行配置与启动配置不一致的情况应特别记录。
- 预期证据：运行/启动配置截图、备份截图、变更审批单、访谈记录。
B. 路由与传输完整性
核查命令：
show ip ospf
show vrrp all
show crypto isakmp policy
show crypto ipsec transform-set
- 备注：核查 OSPF/BGP/VRRP/IPSec/MACsec 等相关保护措施是否启用，重点关注动态路由认证、隧道保护和堆叠/双机状态一致性。
- 预期证据：路由协议截图、认证参数截图、高可用状态截图、网络架构材料。
数据保密性
- 对应控制点：GB/T 22239-2019 8.1.4.8 数据保密性 a)、b)。
- 判定要点：远程管理采用 SSH/HTTPS/SNMPv3/IPSec 等加密方式、口令与团体字密文存储即符合；鉴别信息明文传输或明文存储记不符合。
- 取证要求：SSH/SNMPv3/IPSec 配置与 show snmp user 截图、口令存储方式说明、明文协议隔离边界与整改计划。
A. 管理链路加密
核查命令：
show ip ssh
show running-config | include ip ssh|ip http|snmp-server group|snmp-server user
show snmp user
show crypto isakmp policy
- 备注：优先核查 SSH、HTTPS、SSL/TLS、SNMPv3、IPSec 等加密管理方式；如仍启用明文协议，应说明隔离边界和整改计划。
- 预期证据：SSH/HTTPS/SNMPv3/IPSec 配置截图、网络隔离说明、整改计划。
B. 凭据与敏感配置保护
核查命令：
show running-config | include secret|service password-encryption|snmp-server community
show key chain
- 备注：核查账号口令是否密文存储、配置导出时是否需脱敏、密钥或团体字是否长期默认不变；
service password-encryption仅提供可逆的 Type 7 混淆，关键口令应使用enable secret/username secret（MD5/Scrypt 哈希）。现场展示时应避免拍摄完整明文凭据。 - 预期证据：密码加密配置截图、脱敏后的运行配置、密钥管理制度或访谈记录。
备份恢复
- 对应控制点：GB/T 22239-2019 8.1.4.9 数据备份恢复 a)、c)。
- 判定要点：启动/运行配置与系统镜像纳入备份且有明确周期与介质、关键设备有 VRRP/堆叠等热冗余即符合；无任何备份记录记不符合；b) 异地实时备份通常在网络与平台侧取证，设备侧可说明后标不适用。
- 取证要求：备份文件与备份策略截图、show boot 与镜像信息截图、高可用状态截图、演练或恢复步骤记录。
A. 配置与镜像备份
核查命令：
show startup-config
show boot
dir flash:
- 备注：核查启动配置、运行配置、系统镜像、License、证书等是否纳入备份范围，备份介质和保留周期是否明确。
- 预期证据：备份目录或平台截图、备份策略、设备镜像信息截图。
B. 高可用与冗余恢复
核查命令：
show vrrp all
show etherchannel summary
show standby brief
- 备注：堆叠、IRF、VLT、M-LAG、VRRP、双机热备不能完全替代备份，但可作为恢复体系的一部分，应核查状态和切换口径。
- 预期证据：高可用状态截图、切换说明、运维手册、访谈记录。
C. 恢复验证与演练
核查命令：
show startup-config
show running-config
show boot
- 备注：现场可通过访谈、演练记录、工单、维护手册核查恢复能力；如无正式演练，至少应有明确恢复步骤和责任人。
- 预期证据：恢复手册、演练记录、工单记录、访谈纪要。
剩余信息保护
- 对应控制点：GB/T 22239-2019 8.1.4.10 剩余信息保护 a)、b)（网络设备就近适用）。
- 判定要点：无废弃配置、旧镜像、测试账号与历史凭据残留即符合；存在过期账号、旧 SNMP 团体字或旧 AAA 配置记部分符合。
- 取证要求：文件系统列表截图、配置中账号/团体字/密钥核查截图、清理记录与访谈记录。
A. 历史配置与临时文件清理
核查命令：
dir flash:
show boot
show archive
- 备注：核查废弃配置、旧镜像、历史备份、抓包文件、测试账号和临时策略是否长期残留；对无法直接查看文件系统的型号，可结合升级目录或网管侧资料判定。
- 预期证据：文件系统或镜像列表截图、清理记录、整改单。
B. 退役接口与残留凭据
核查命令：
show running-config | include username|snmp-server|key
show interfaces status
- 备注：核查停用接口、废弃 VLAN、无效路由邻居、历史 SNMP 团体字、旧 AAA 服务器配置和过期账号是否清理。
- 预期证据：停用接口截图、废弃配置截图、账号清理记录、访谈记录。
个人信息保护
- 对应控制点：GB/T 22239-2019 8.1.4.11 个人信息保护 a)、b)（网络设备通常不适用，需结合业务边界说明）。
- 判定要点：设备不承载个人信息且配置/日志未含个人信息记不适用；间接承载（AAA/Portal/DHCP 记录）时有访问控制与导出脱敏即符合。
- 取证要求：设备角色说明、AAA/Portal/DHCP 配置截图、日志样例核查、不适用判定记录。
A. 个人信息承载识别
核查命令：
show running-config | include radius|tacacs|dot1x|dhcp
show users
- 备注：交换机与路由器通常不直接作为个人信息业务载体，但可能在 AAA、DHCP、Portal、日志或地址表中间接出现账号、手机号、IP-MAC-人员映射等信息，应结合实际业务判断。
- 预期证据：设备角色说明、AAA/Portal/DHCP 配置截图、访谈记录、业务边界说明。
B. 日志与导出中的个人信息控制
核查命令：
show logging
show archive log config all
- 备注：如日志、地址表、认证记录中含个人信息，应核查导出权限、脱敏展示、共享范围和保留周期；若明确不处理个人信息，可按对象边界说明不适用。
- 预期证据：日志样例截图、导出权限说明、个人信息保护制度、例外判定记录。
参考依据
- GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》（三级 8.1.2 安全通信网络、8.1.3 安全区域边界、8.1.4 安全计算环境）：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=BAFB47E8874764186BDB7865E8344DAF
- GB/T 28448-2019《信息安全技术 网络安全等级保护测评要求》：http://openstd.samr.gov.cn/bzgk/gb/newGbInfo?hcno=7E736CDF4502B6FF1258DD250AA3EC8C
- Cisco Guide to Harden Cisco IOS Devices（username secret、service password-encryption、transport input ssh、exec-timeout、snmp-server group v3、logging host、ntp server 等）：https://www.cisco.com/c/en/us/support/docs/ip/access-lists/13608-21.html
- Cisco IOS Login Enhancements（login block-for、show login、show login failures）：https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_usr_cfg/configuration/xe-16/sec-usr-cfg-xe-16-book/sec-login-enhance.html
- Cisco IOS 15M&T Secure Shell Configuration Guide（ip ssh version/time-out、show ip ssh）：https://www.cisco.com/c/en/us/td/docs/ios-xml/ios/sec_usr_ssh/configuration/15-mt/sec-usr-ssh-15-mt-book/sec-usr-ssh-sec-shell.html
- 《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准），站内对照表：22、高风险判定指引与加固对照表
- 命令核验说明：本文命令已于 2026-09 对照上述 Cisco 官方文档逐条核验，全部为只读取证操作；增补与修正处（show login failures、show snmp user、ip http 口径等）见正文标注。
关联文章
- 配套加固：10、常见交换机加固
- 配套加固：02、思科网络设备安全配置命令
- 取证记录：16、安全评估加固记录表3.0
- 高风险口径：22、高风险判定指引与加固对照表