H3C
H3C S 系列交换机、MSR 路由器、IRF 堆叠场景及同类 Comware 平台设备三级等保现场测评取证命令单：display version 与 display current-configuration 基础信息核查，display local-user、display password-control 与 display ssh server status 身份鉴别与远程接入核查，ACL 与管理地址访问控制核查，以及安全审计、入侵防范、数据完整性、数据保密性、备份恢复、剩余信息保护、个人信息保护核查，逐条给出预期现象与判定要点。
Categories:
4 分钟阅读
定位：三级等保现场测评取证命令单，按功能小节组织核查命令、预期现象与判定要点。
适用范围：H3C S 系列、MSR/MSR 路由器、IRF 场景及同类 Comware 平台设备。
使用说明：
- 本脚本按三级等级保护测评现场口径编排，优先服务于交换机、路由器和三层交换设备。
- 同一厂商不同产品线命令存在差异时，优先执行“推荐命令”，如提示不支持，再采用同节备注中的兼容替代口径。
- 现场判断应结合设备角色、网管平台、堡垒机、日志平台、制度文件和访谈记录综合判定，不以单条命令结果机械下结论。
基础信息
- 对应控制点：GB/T 22239-2019 8.1.4 安全计算环境（测评对象确认）；版本信息同时支撑 8.1.4.4 入侵防范的漏洞与补丁核对。
- 判定要点：设备型号、版本、角色与高可用形态记录完整并纳入资产清单为符合；版本过旧且未做漏洞评估为部分符合。
- 取证要求：版本、接口/路由摘要、运行配置首页截图，与资产台账、访谈记录互证。
核查命令：
display current-configuration
display version
display device
display interface brief
display ip routing-table
- 备注：确认设备型号、版本、系统镜像、运行配置、管理地址、业务地址、接口状态、路由角色、堆叠/IRF/VLT/VRRP 等高可用形态，并记录当前登录方式和登录源。
- 预期证据：版本截图、运行配置首页截图、接口/路由摘要截图、设备铭牌或网管资产信息、访谈记录。
示例输出（节选）
<SW-demo>display version
H3C Comware Software, Version 7.1.070, Release 6639P10
Copyright (c) 2004-2024 New H3C Technologies Co., Ltd.
H3C S6520X-54QC-HI uptime is 30 weeks, 2 days, 11 hours, 25 minutes
身份鉴别
- 对应控制点：GB/T 22239-2019 8.1.4.1 身份鉴别 a)～d)（a 标识唯一与口令复杂度/定期更换，b 登录失败处理与会话超时自动退出，c 远程管理防窃听，d 两种或以上组合鉴别技术）。
- 判定要点：唯一标识加复杂度与定期更换、失败锁定、远程管理加密均落实为符合；存在默认口令、共享账号或 Telnet 明文管理为部分符合或不符合；双因子未部署为部分符合。
- 取证要求：口令策略、登录失败处理、SSH/Telnet 服务状态截图，结合账号台账、堡垒机材料与制度文件。
高风险提示：设备存在默认口令/弱口令，或使用 Telnet 明文管理，按高风险判定，整改口径见 22、高风险判定指引与加固对照表。
A. 认证方式
核查命令：
display local-user
display current-configuration | include telnet
display ssh server status
display ldap scheme
- 备注：核查是否启用本地账号、AAA、RADIUS、TACACS+、LDAP 或证书认证；Comware V7 未提供独立的 display telnet server，Telnet 启用状态经 include telnet 查看 telnet server enable 与 VTY 的 protocol inbound 配置；若仅允许堡垒机或专用管理网接入，应记录接入链路和责任边界。
- 预期证据：认证方式截图、AAA 配置截图、堡垒机或网管平台材料、账号管理制度。
示例输出（节选）
<SW-demo>display ssh server status
Stelnet server : Enabled
SFTP server : Disabled
SCP server : Disabled
SSH server port : 22
B. 账号与权限主体
核查命令：
display local-user
display user-group
display role
- 备注：核查是否存在默认账号、共享管理员、长期未清理账号、运维外包账号和临时授权账号；需区分只读、运维、审计等角色（Comware V7 经 RBAC 角色授权，display local-user 的 Role 与 display role 交叉核对）。
- 预期证据：本地用户列表截图、权限级别截图、账号台账、访谈记录。
C. 口令复杂度与失败处理
核查命令：
display password-control
display password-control blacklist
display local-user
display current-configuration | include password-control
- 备注：重点看口令复杂度、口令有效期（aging）、失败锁定阈值（login-attempt）与黑名单；口令管理全局生效以 password-control enable 为前提，配置值经 include password-control 核对。若设备原生不支持完整复杂度策略，应结合堡垒机、AAA 或制度补充说明。
- 预期证据：口令策略截图、失败锁定截图、制度文件、例外说明。
D. 会话超时与远程接入
核查命令：
display ssh server status
display current-configuration | include idle-timeout
display user-interface
display users
- 备注：核查 SSH/Telnet/Console/VTY 登录超时（Comware V7 无 display idle-timeout，配置值经 include 过滤查看，display users 的 Idle 列为当前会话空闲时长）、并发会话控制、登录源限制和远程管理通道启停状态；Telnet 如启用应重点说明风险和补偿控制。
- 预期证据：SSH/Telnet/VTY 配置截图、超时参数截图、运维规范、堡垒机配置截图。
访问控制
- 对应控制点：GB/T 22239-2019 8.1.4.2 访问控制 a)～e)（默认/冗余账户处置、管理用户权限分离），业务面 ACL 与 packet-filter 报文过滤对应 8.1.3.2 访问控制，管理终端接入限制对应 8.1.4.4 c)。
- 判定要点：无默认/共享/冗余高权账号、管理面源地址受控、策略粒度合理且无“permit any any”放通过宽为符合；存在默认团体字或全通策略为不符合。
- 取证要求：ACL、本地用户与权限、管理平面配置截图，结合策略变更单与例外审批。
高风险提示：SNMP 采用 v1/v2c 且团体字为 public/private 等默认值，或 Telnet/HTTP 等明文服务未关闭，按高风险判定，整改口径见 22、高风险判定指引与加固对照表。
A. 管理平面访问限制
核查命令：
display acl all
display current-configuration | include ssh|stelnet|telnet|snmp|management
- 备注：核查管理地址、管理 VRF、管理 VLAN、管理 ACL、源地址白名单和仅允许管理网访问的控制措施。
- 预期证据：管理平面配置截图、ACL 截图、网络拓扑或管理网段说明。
B. 业务访问与控制策略
核查命令：
display acl all
display packet-filter interface
display qos policy interface
- 备注：核查 ACL 及接口 packet-filter 报文过滤应用情况、QoS 策略、端口安全、802.1X、MAC 绑定等访问控制措施；需关注是否存在放通过宽、测试策略遗留或高危“permit any any”。
- 预期证据：访问控制策略截图、端口安全截图、策略变更单。
C. 特权与角色分离
核查命令：
display role
display local-user
display user-group
- 备注：核查是否对查看、配置、审计、升级等操作分级授权（RBAC 角色 network-operator/network-admin 等分配情况）；共享最高权限账号应结合审批和堡垒机审计判断。
- 预期证据：权限等级截图、账号权限说明、审批记录、访谈记录。
D. 默认服务与未使用接口处置
核查命令：
display interface brief
display ssh server status
display current-configuration | include telnet|http|snmp
display snmp-agent
- 备注：核查未使用接口是否关闭、默认服务是否停用、HTTP/Telnet/SNMPv1/v2c 等弱安全服务是否仍暴露（display snmp-agent 显示 SNMP 版本与运行状态）；对无法关闭的厂商默认服务需记录原因。
- 预期证据：接口状态截图、服务配置截图、整改记录或例外审批。
安全审计
- 对应控制点：GB/T 22239-2019 8.1.4.3 安全审计 a)～d)（覆盖每个用户与重要事件、记录要素、记录保护与定期备份、审计进程保护），日志集中收集与时钟统一对应 8.1.5.4 集中管控。
- 判定要点：审计开启且覆盖登录、配置变更等重要事件，记录要素齐全并集中留存（不少于 6 个月）为符合；审计未开启或事件不可追溯为不符合。
- 取证要求：info-center/日志缓冲区配置截图、日志平台接收截图、留存策略与制度文件。
高风险提示：设备审计功能未开启或重要事件（登录、配置变更等）无法记录追溯，按高风险判定，整改口径见 22、高风险判定指引与加固对照表。
A. 本地日志配置
核查命令：
display info-center
display logbuffer
display logfile summary
display diagnostic-logfile summary
- 备注：核查日志功能是否开启、日志缓冲区是否可用、是否记录登录、配置变更、异常告警、链路切换和高危操作。
- 预期证据：日志配置截图、本地日志样例、登录日志截图。
B. 远程日志与集中审计
核查命令：
display info-center
display current-configuration | include loghost
display snmp-agent target-host
- 备注：核查是否配置 syslog（info-center loghost）、SNMP Trap、日志主机、日志平台或网管审计平台；若依赖平台集中审计，应说明设备端投递方式和平台接收情况。
- 预期证据：日志服务器配置截图、平台接收截图、平台材料、访谈记录。
C. 审计时间准确性
核查命令：
display clock
display ntp-service status
display ntp-service sessions
- 备注：核查 NTP/SNTP、时区和时间同步状态；审计时间不准会直接影响追溯有效性。
- 预期证据：系统时间截图、NTP 配置截图、时间同步状态截图。
示例输出（节选）
<SW-demo>display clock
10:15:32 CST Mon 08/24/2026
Time Zone : add 08:00:00
<SW-demo>display ntp-service sessions
source reference stratum reach poll now offset delay disper
*****************************************************************************
[12345] 192.168.10.1 127.127.1.0 3 255 64 377 0.85 1.20 0.50
D. 审计留存与轮转
核查命令：
display logbuffer
display logfile summary
dir
- 备注：设备本地日志容量通常有限，现场应结合日志平台留存策略、设备缓冲区、flash 日志文件（logfile/diagnostic logfile 占用，经 display logfile summary 与 dir 核对）和制度文件综合判断。
- 预期证据：日志缓冲/文件摘要截图、平台留存策略、制度文件、访谈记录。
入侵防范
- 对应控制点：GB/T 22239-2019 8.1.4.4 入侵防范 a)～d)（关闭非必要服务/端口、管理终端接入方式与地址范围限制、漏洞修补），边界侧协议防护与攻击抑制对应 8.1.3.3 入侵防范。
- 判定要点：非必要服务关闭、管理面收敛到受控网段、已知漏洞经评估后修补为符合；高危服务暴露或长期未修补为部分符合或不符合。
- 取证要求：服务启停与 ACL 截图、版本漏洞核对记录、加固基线或变更单。
A. 管理平面暴露与攻击面收敛
核查命令：
display acl all
display cpu-usage
display current-configuration | include telnet|http|snmp
display packet-filter interface
- 备注：重点核查管理面开放服务、控制平面暴露端口、边界 ACL、SSH/HTTPS 替代 Telnet/HTTP、异常进程和高危管理接口是否收敛到受控网络。
- 预期证据：管理面配置截图、开放服务截图、ACL 或白名单截图、堡垒机或管理网说明。
B. 协议防护与异常流量抑制
核查命令：
display storm-constrain
display arp detection
display dhcp snooping
display mac-address blackhole
display cpu-usage
- 备注：核查是否启用源地址校验、风暴控制（storm-constrain）、端口安全、ARP/DHCP/ND 防护（arp detection、dhcp snooping）、控制平面限速（可结合 display qos policy interface 的 CAR 统计）、路由协议邻居保护等措施，防止扫描、泛洪、伪造和横向攻击。
- 预期证据：防护策略截图、接口安全截图、协议防护截图、变更单或加固基线。
C. 入侵事件告警与联动处置
核查命令：
display logbuffer | include attack|defense|ssh|acl
display info-center
display snmp-agent target-host
- 备注：核查设备是否能够对暴力登录、ACL 命中、攻击防护触发、异常流量和策略拒绝事件进行日志记录，并联动日志平台、告警平台或 SNMP Trap 统一处置。
- 预期证据：告警日志样例、日志平台接收截图、SNMP Trap 或告警联动截图、运维处置记录。
数据完整性
- 对应控制点：GB/T 22239-2019 8.1.4.7 数据完整性 a)～b)（传输与存储完整性），动态路由/隧道认证可参照 8.1.2.2 通信传输。
- 判定要点：运行与启动配置一致、备份可追溯，OSPF/VRRP/IPSec 等启用认证或校验为符合；运行与启动配置长期不一致为部分符合。
- 取证要求：运行/启动配置与备份截图、路由协议认证参数截图、变更审批单。
A. 配置完整性与变更可追溯
核查命令：
display current-configuration
display saved-configuration
display startup
- 备注：核查配置是否通过保存、备份、校验、审批或双人复核机制管理（display startup 显示 main/backup 启动配置文件路径，可与备份记录比对）；对运行配置与启动配置不一致的情况应特别记录。
- 预期证据：运行/启动配置截图、备份截图、变更审批单、访谈记录。
B. 路由与传输完整性
核查命令：
display ospf routing
display ospf event-log
display vrrp
display ike sa
display ipsec sa
display irf
- 备注：核查 OSPF/BGP/VRRP/IPSec/MACsec 等相关保护措施是否启用，重点关注动态路由认证、隧道保护和堆叠/双机状态一致性。
- 预期证据：路由协议截图、认证参数截图、高可用状态截图、网络架构材料。
数据保密性
- 对应控制点：GB/T 22239-2019 8.1.4.8 数据保密性（通信过程保密性），远程管理加密同时对应 8.1.4.1 c) 远程管理防窃听。
- 判定要点：管理链路全程 SSH/SNMPv3/HTTPS/IPSec 加密且凭据密文存储为符合；仍使用明文协议承载管理流量为不符合。
- 取证要求：加密协议配置与密文口令截图、网络隔离说明或整改计划。
A. 管理链路加密
核查命令：
display ssh server status
display ssl policy
display snmp-agent usm-user
display ike sa
display ipsec sa
- 备注：优先核查 SSH、HTTPS/SSL、SNMPv3、IPSec 等加密管理方式；如仍启用明文协议，应说明隔离边界和整改计划。
- 预期证据：SSH/HTTPS/SNMPv3/IPSec 配置截图、网络隔离说明、整改计划。
B. 凭据与敏感配置保护
核查命令：
display current-configuration | include cipher|password
display local-user
display snmp-agent community
- 备注：核查账号口令是否密文存储（cipher）、配置导出时是否需脱敏、密钥或团体字是否长期默认不变；现场展示时应避免拍摄完整明文凭据。
- 预期证据：密码加密配置截图、脱敏后的运行配置、密钥管理制度或访谈记录。
备份恢复
- 对应控制点：GB/T 22239-2019 8.1.4.9 数据备份恢复 a)（重要数据本地备份与恢复）c)（重要数据处理系统热冗余）。
- 判定要点：配置/镜像定期备份并经验证可恢复为符合；关键节点无冗余或备份从未验证为部分符合。
- 取证要求：备份策略与记录、高可用状态截图、演练记录或恢复手册。
A. 配置与镜像备份
核查命令：
display startup
dir
display boot-loader
- 备注：核查启动配置、运行配置、系统镜像（display boot-loader 显示主备启动软件）、License、证书等是否纳入备份范围，备份介质和保留周期是否明确。
- 预期证据：备份目录或平台截图、备份策略、设备镜像信息截图。
B. 高可用与冗余恢复
核查命令：
display irf
display irf topology
display irf configuration
display ha service-group
display vrrp
- 备注：堆叠、IRF、VLT、M-LAG、VRRP、双机热备不能完全替代备份，但可作为恢复体系的一部分，应核查状态和切换口径。
- 预期证据：高可用状态截图、切换说明、运维手册、访谈记录。
C. 恢复验证与演练
核查命令：
display startup
display saved-configuration
display current-configuration
- 备注：现场可通过访谈、演练记录、工单、维护手册核查恢复能力；如无正式演练，至少应有明确恢复步骤和责任人。
- 预期证据：恢复手册、演练记录、工单记录、访谈纪要。
剩余信息保护
- 对应控制点：GB/T 22239-2019 8.1.4.10 剩余信息保护 a)～b)（鉴别信息、敏感数据所在存储空间释放或清除前得到完全清除）。
- 判定要点：废弃配置、测试账号、历史密钥/团体字已清理为符合；网络设备本地可核查项有限时，结合管理侧证据按部分适用口径判定。
- 取证要求：文件系统列表截图、账号与团体字清理记录、整改单或访谈记录。
A. 历史配置与临时文件清理
核查命令：
dir
display version
- 备注：核查废弃配置、旧镜像、历史备份、抓包文件、测试账号和临时策略是否长期残留（Comware 经 dir 查看文件系统，部分型号支持 display file-system）；对无法直接查看文件系统的型号，可结合升级目录或网管侧资料判定。
- 预期证据：文件系统或镜像列表截图、清理记录、整改单。
B. 退役接口与残留凭据
核查命令：
display interface brief
display acl all
display local-user
display snmp-agent community
- 备注：核查停用接口、废弃 VLAN、无效路由邻居、历史 SNMP 团体字、旧 AAA 服务器配置和过期账号是否清理。
- 预期证据：停用接口截图、废弃配置截图、账号清理记录、访谈记录。
个人信息保护
- 对应控制点：GB/T 22239-2019 8.1.4.11 个人信息保护 a)～b)（仅采集保存业务必需的个人信息，禁止未授权访问和非法使用）。
- 判定要点：设备不采集、不留存业务必需之外的个人信息且日志导出受控为符合或不适用（设备不承载个人信息时）。
- 取证要求：设备角色与业务边界说明、AAA/DHCP/Portal 配置截图、日志样例与制度文件。
A. 个人信息承载识别
核查命令：
display current-configuration | include radius|tacacs|portal|dhcp|802.1x
display local-user
- 备注：交换机与路由器通常不直接作为个人信息业务载体，但可能在 AAA、DHCP、Portal、日志或地址表中间接出现账号、手机号、IP-MAC-人员映射等信息，应结合实际业务判断。
- 预期证据：设备角色说明、AAA/Portal/DHCP 配置截图、访谈记录、业务边界说明。
B. 日志与导出中的个人信息控制
核查命令：
display logbuffer
display info-center
display snmp-agent target-host
- 备注：如日志、地址表、认证记录中含个人信息，应核查导出权限、脱敏展示、共享范围和保留周期；若明确不处理个人信息，可按对象边界说明不适用。
- 预期证据：日志样例截图、导出权限说明、个人信息保护制度、例外判定记录。
参考依据
- GB/T 22239-2019 信息安全技术 网络安全等级保护基本要求（openstd 全国标准信息公共服务平台，条款号依据）
- GB/T 28448-2019 信息安全技术 网络安全等级保护测评要求（测评实施与取证口径依据）
- H3C 命令参考：12-SSH 命令（display ssh server { session | status }）
- H3C 命令参考：11-Password Control 命令（display password-control [ super ]、display password-control blacklist）
- H3C 命令参考：登录设备命令（idle-timeout、display user-interface、display users；Telnet 服务经 telnet server enable 配置）
- H3C 命令参考：ACL 命令（display acl all）
- 《网络安全等级保护测评高风险判定指引》（中关村信息安全测评联盟团体标准）：本站对照见 22、高风险判定指引与加固对照表
- 命令核验说明：以上核查命令于 2026-09 对照新华三官方命令参考核验，现场执行以设备实际版本手册为准。
关联文章
- 配套加固：10、常见交换机加固
- 配套加固：19、H3C交换机安全加固
- 取证记录：16、安全评估加固记录表3.0
- 高风险口径：22、高风险判定指引与加固对照表