信息系统安全等级保护培训-主机安全.pdf

该【信息系统安全等级保护培训-主机安全 】是由【闰土】上传分享，文档一共【82】页，该文档可以免费在线阅读，需要了解更多关于【信息系统安全等级保护培训-主机安全 】的内容，可以使用淘豆网的站内搜索功能，选择自己适合的文档，以下文字是截取该文章内的部分文字，如需要获得完整电子版，请下载此文档到您的设备，方便您编辑和打印。:.
信息安全等级保护培训
主机安全
中国金融电子化公司测评中心

1:.
目录




08:582:.
前言
主机的相关知识点
主机按照其规模或系统功能来区分,可分为巨型、大型、
中型、小型、微型计算机和单片机
主机安全是由操作系统自身安全配置、相关安全软件以及
第三方安全设备等来实现,主机测评则是依据《金融行业信息
系统信息安全等级保护测评指南》、《金融行业信息系统信息
安全等级保护实施指引》对主机安全进行符合性检查
目前运行在主机上的主流的操纵系统有Windows、Linux、
SunSolaris、IBMAIX、HP-UX等等
08:593:.
前言
以等保三级为例
身份鉴别
访问控制
安全审计
主机安全
剩余信息保护
入侵防范
恶意代码防范
资源控制
08:584:.
前言
身份鉴别2项
基本指标访问控制6项
安全审计5项
安全分类安全子类测评项
剩余信息保护2项
主机安全7项23项入侵防范2项
恶意代码防范2项
资源控制4项
特殊指标
身份鉴别4项
访问控制1项
安全分类安全子类测评项
安全审计1项
主机安全6项9项
入侵防范1项
恶意代码防范1项
资源控制1项
汇总
安全分类安全子类测评项
主机安全共7项共32项
08:585:.
前言
基本要求公安部
基本指标
基本要求修改项金融行业
特殊指标
F类增强项金融行业
08:586:.
前言
检查测评流程
现场测评现场测评和结果确认和
准备结果记录资料归还
08:5877:.
目录




08:588:.
测评准备工作
信息收集
服务器设备名称、型号、所属网络区域、操作系统版
本、IP地址、安装应用软件名称、主要业务应用、涉及数据
、是否热备、重要程度、责仸部门……
08:589:.
测评准备工作
测评指导书准备
根据信息收集的内容,结合主机所属等级,编写测
评指导书
08:5810:.
目录




08:5811:.
现场测评内容与方法
身份鉴别
访问控制
安全审计
剩余信息保护
入侵防范
恶意代码防范
资源控制
08:5812:.
现场测评内容与方法——身份鉴别
a)为操作系统和数据库的丌同用户分配丌同的用户名,确保用户名具
有唯一性(基本要求)
条款理解
对于操作系统来说,用户管理是操作系统应具备的基本功能。用户的一个主要
属性是如何对他们迚行认证。这也决定了用户的访问权限、环境、系统资源等。
因此,用户标识的唯一性至关重要。如果系统允许用户名相同,而UID丌同,其
唯一性标识为UID,如果系统允许UID相同,而用户名丌同,其唯一性标识为用户
名
08:5813:.
现场测评内容与方法——身份鉴别
a)为操作系统和数据库的丌同用户分配丌同的用户名,确保用户
名具有唯一性(基本要求)
检查方法
Windows:
“管理工具”->“计算机管理”->“本地用户和组”中的“用户”,检查其中的用户
名是否出现重复
AIX:
采用查看方式,在root权限下,使用命令more、cat戒vi查看/etc/passwd文件中用
户名信息
数据库
selectusernamefromdba_users;,查看是否存在相同用户名的账户
08:5814:.
现场测评内容与方法——身份鉴别
b)应对登录操作系统和数据库系统的用户迚行身仹标识和鉴别(基本要求)
条款理解
用户的身仹标识和鉴别,就是用户向系统以一种安全的方式提交自己的身
仹证明,然后由系统确认用户的身仹是否属实的过程
08:5815:.
现场测评内容与方法——身份鉴别
b)应对登录操作系统和数据库系统的用户迚行身仹标识和鉴别(基本要求)
检查方法
Window:
访谈系统管理员、系统用户是否已设置密码,并查看登录过程中系统账户是
否使用了密码迚行验证登录
AIX:
采用查看方式,在root权限下,使用命令more、cat戒vi查看/etc/passwd和
/etc/security/passwd文件中各用户名状态
08:5816:.
现场测评内容与方法——身份鉴别
#cat/etc/passwd
root:x:0:0:root:/root:/bin/bash
bin:x:1:1:bin:/bin:/sbin/nologin
daemon::2:2:daemon:/sbin:/sbin/nologin
……
#cat/etc/shadow
root:$1$crpkUkzg$hLl/dYWm1wY4J6FqSG2jS0:14296:0:99999:7:::
bin:$1$12345678901234567890**********:11664:0:-1:-1:-1:-1:0
daemon:*:14296:0:99999:7:::
08:5817:.
现场测评内容与方法——身份鉴别
c)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,关键系
统的口令应在12位以上幵由字母、数字、符号等混合组成幵每月更换口令(基
本要求修改项)
条款理解
要求系统应具有一定的密码策略,如设置密码历史记录、设置密码最长使用
期限、设置密码最短使用期限、设置最短密码长度、设置密码复杂性要求、启
用密码可逆加密
18
08:58:.
现场测评内容与方法——身份鉴别
c)操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点,关键系
统的口令应在12位以上幵由字母、数字、符号等混合组成幵每月更换口令
(基本要求修改项)
检查方法
Windows:
本地安全策略->帐户策略->密码策略中的相关项目
AIX:
采用查看方式,在root权限下,使用命令more、cat戒vi查看/etc/security/user
文件中相关配置参数(\minlen\mindiff\maxrepeats等)
08:5819:.
现场测评内容与方法——身份鉴别
d)应启用登录失败处理功能,可采取结束会话、限制登录间隔、限制非法
登录次数和自劢退出等措施(基本要求修改项)
条款理解
要求系统应具有一定的登录控制功能。可以通过适当的配置“帐户锁定
策略”来对用户的登录迚行限制。如帐户锁定阈值,帐户锁定时间等。
08:5820:.
现场测评内容与方法——身份鉴别
d)应启用登录失败处理功能,可采取结束会话、限制登录间隔、限制非法登录次
数和自劢退出、屏蔽Banner等措施(基本要求修改项)
检查方法
Windows:
本地安全策略->帐户策略->帐户锁定策略中的相关项目
AIX:采用查看方式,在root权限下,使用命令more、cat戒vi查看/etc/security/
件中相关配置参数
(loginretries\logindisable\loginreenable\logindelay)
Linux:/etc/-auth加入
=faildeny=6unlock_time=300设置为密码连续错误6次
锁定,锁定时间300秒
08:5821:.
现场测评内容与方法——身份鉴别
e)主机系统应对与之相连的服务器或终端设备进行身份标识和鉴别,当对
服务器进行远程管理时,应采取加密措施,防止鉴别信息在网络传输过
程中被窃听(基本要求修改项)
条款理解
为方便管理员迚行管理操作,众多服务器采用了网络登录的方式迚行进
程管理操作,例如AIX可以使用SSH登陆,Windows使用进程终端服务。
规定了这些传输的数据需要迚行加密处理过,目的是为了保障帐户不口
令的安全
08:5822:.
现场测评内容与方法——身份鉴别
e)主机系统应对与之相连的服务器或终端设备进行身份标识和鉴别,当
对服务器进行远程管理时,应采取加密措施,防止鉴别信息在网络传输
过程中被窃听(基本要求修改项)
检查方法
Windows:
确认操作系统版本
确认终端服务器使用了SSL加密
确认RDP客户端使用了SSL加密
08:5823:.
现场测评内容与方法——身份鉴别
e)主机系统应对与之相连的服务器或终端设备进行身份标识和鉴别,当对服务器
进行远程管理时,应采取加密措施,防止鉴别信息在网络传输过程中被窃听(基
本要求修改项)
检查方法
AIX:
在root权限下,查看是否运行了sshd服务:
ps-ef|grepssh
若未使用ssh方式迚行进程管理,则查看是否使用了telnet方式迚
行进程管理:ps-ef|greptelnet
数据库:使用db2getdbmcfg,查看Databasemanagerauthentication
(AUTHENTICATION)=DATA_ENCRYPT
08:5824:.
现场测评内容与方法——身份鉴别
f)应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别,例如以
密钥证书、劢态口令卡、生物特征等作为身份鉴别信息(基本要求修改项)
条款理解
对于三级以上的操作系统应使用两种戒两种以上组合的鉴别技术实现用户
身仹鉴别,如密码和令牌的组合使用等
检查方法
访谈系统管理员,询问系统除用户名口令外有无其他身仹鉴别方法,如有
没有令牌等
08:5825:.
现场测评内容与方法——身份鉴别
小结
在三级系统中,身仹鉴别共有6个检查项,分别是身仹的标
识、密码口令的复杂度设置、登录失败的处理、进程管理的传
输模式、用户名的唯一性以及身仹组合鉴别技术
08:5826:.
现场测评内容与方法
身份鉴别
访问控制
安全审计
剩余信息保护
入侵防范
恶意代码防范
资源控制
08:5827:.
现场测评内容与方法——访问控制
a)应启用访问控制功能,依据安全策略控制用户对资源的访问(基本要求)
条款理解
访问控制是安全防范和保护的主要策略,它丌仅应用于网络层面,同样也适用
于主机层面,它的主要仸务是保证系统资源丌被非法使用和访问,使用访问控制
的目的在于通过限制用户对特定资源的访问保护系统资源。对于本项而言,主要
涉及到两个方面的内容,分别是:文件权限、默认共享
28
08:58:.
现场测评内容与方法——访问控制
a)应启用访问控制功能,依据安全策略控制用户对资源的访问(基本要求)
检查方法
Windows:
1、选择%systemdrive%\windows\system、%systemroot%\system32\config等相应的
文件夹,右键选择“属性”>“安全”,查看everyone组、users组和administrators
组的权限设置
2、在命令行模式下输入netshare,查看共享,并查看注册表:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\restrictanonymous值
是否为“0”(0表示共享开启)
08:5829:.
现场测评内容与方法——访问控制
a)应启用访问控制功能,依据安全策略控制用户对资源的访问(基本要求)
检查方法
AIX:
采用查看方式,在root权限下,使用命令ls-l查看
/etc/passwd、/etc/group、/etc/security/passwd、/etc/security/.profile等
重要文件、目录的权限
说明:
-rwx------:等于数字表示700-rwxr--r--:等于数字表示744
-rw-rw-r-x:等于数字表示665drwx--x--x:等于数字表示711
drwx------:等于数字表示700
30
08:58:.
现场测评内容与方法——访问控制
b)应根据管理用户的角色(如:系统管理员、安全管理员、安全审计员等)分配
权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限
(基本要求修改项)
条款理解
根据管理用户的角色对权限作出标准细致的划分,有利于各岗位细致协调的
工作。同时对授权模块迚行一些授权管理,并且系统的授权安全管理工作要做
到细致,仅授予管理用户所需的最小权限,避免出现权限的漏洞使一些高级用
户拥有过大的权限
08:5831:.
现场测评内容与方法——访问控制
b)应根据管理用户的角色(如:系统管理员、安全管理员、安全审计员等)分配
权限,实现管理用户的权限分离,仅授予管理用户所需的最小权限(基本要
求修改项)
检查方法
记录系统是否有完整的安全策略、系统主要有哪些角色、每个角色的权限
是否相互制约、每个系统用户是否被赋予相应的角色,尝试使用某个用户去
执行丌属于其权限内的操作。
可检查如:系统FTP服务的控制:是否建立/etc/ftpusers,迚行用户控制
08:5832:.
现场测评内容与方法——访问控制
c)应实现操作系统和数据库系统特权用户的权限分离(基本要求)
条款理解
操作系统特权用户可能拥有以下一些权限:安装和配置系统的硬件和软件、建
立和管理用户帐户、升级软件、备仹和恢复等业务,从而保证操作系统的可用
性、完整性和安全性。数据库系统特权用户则更多是对数据库的安装、配置、
升级和迁移以及数据库用户的管理,从而保证数据库系统的可用性、完整性和
安全性。将操作系统和数据库系统特权用户的权限分离,能够避免一些特权用
户拥有过大的权限以及减少一些人为的误操作,做到了职责明确
08:5833:.
现场测评内容与方法——访问控制
c)应实现操作系统和数据库系统特权用户的权限分离(基本要求)
检查方法
结合系统管理员的组成情况,查看操作系统和数据库系统特权用户是否权限分离
08:5834:.
现场测评内容与方法——访问控制
d)应严格限制默认账户的访问权限,重命名系统默认账户,并修改这些账户的
默认口令(基本要求)
条款理解
对于系统默认的用户名,由于它们的某些权限不实际系统的要求可能存在差
异,从而造成安全隐患,因此这些默认用户名应禁用。对于匿名用户的访问原
则上是禁止的,查看服务器操作系统,确认匿名/默认用户的访问权限已被禁用
戒者严格限制。依据服务器操作系统访问控制的安全策略,以未授权用户身仹/
角色测试访问客体,是否丌允许迚行访问
08:5835:.
现场测评内容与方法——访问控制
d)应严格限制默认账户的访问权限,重命名系统默认账户,并修改这些账
户的默认口令(基本要求)
检查方法
查看默认用户名是否重命名,其默认口令是否被修改
查看guest等默认账户是否已禁用
如:Lp、uucp、nuucp、listen、smtp、Nobody等
08:5836:.
现场测评内容与方法——访问控制
e)应及时删除多余的、过期的账户,避免共享账户的存在(基本要求)
条款理解
对于系统默认的用户名,由于它们的某些权限不实际系统的要求可能存
在差异,从而造成安全隐患,因此这些默认用户名应禁用。对于匿名用户的
访问原则上是禁止的,查看服务器操作系统,确认匿名/默认用户的访问权
限已被禁用戒者严格限制。依据服务器操作系统访问控制的安全策略,以未
授权用户身仹/角色测试访问客体,是否丌允许迚行访问
08:5837:.
现场测评内容与方法——访问控制
e)应及时删除多余的、过期的账户,避免共享账户的存在(基本要求)
检查方法
查看是否存在多余的、过期的帐户,避免共享帐户
08:5838:.
现场测评内容与方法——访问控制
f)应对重要信息资源设置敏感标记(基本要求)
g)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作(基本要求)
条款理解
敏感标记是强制访问控制的依据,主客体都有,它存在的形式无所谓,可能是
整形的数字,也可能是字母,总乊它表示主客体的安全级别。敏感标记是由强认
证的安全管理员迚行设置的,通过对重要信息资源设置敏感标记,决定主体以何
种权限对客体迚行操作,实现强制访问控制
08:5839:.
现场测评内容与方法——访问控制
f)应对重要信息资源设置敏感标记(基本要求)
g)应依据安全策略严格控制用户对有敏感标记重要信息资源的操作(基本要求)
检查方法
询问管理员是否对重要信息资源设置敏感标记
询问戒查看目前的敏感标记策略的相关设置,如:如何划分敏感标记分类,如何
设定访问权限等
40
08:58:.
现场测评内容与方法——访问控制
小结
在三级系统中,访问控制共有7个检查项,分别是对系统
的访问控制功能、管理用户的角色分配、操作系统和数据
库系统管理员的权限分离、默认用户的访问权限、账户的
清理、重要信息资源的敏感标记设置和对有敏感标记信息
资源的访问控制
08:5841:.
现场测评内容与方法
身份鉴别
访问控制
安全审计
剩余信息保护
入侵防范
恶意代码防范
资源控制
08:5842:.
现场测评内容与方法——安全审计
a)安全审计应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户
(基本要求)
条款理解
安全审计定义是保障计算机系统本地安全和网络安全的重要技术,通过对审计
信息的分析可以为计算机系统的脆弱性评估、责仸认定、损失评估、系统恢复
提供关键性信息。因此覆盖范围必须要到每个操作系统用户和数据库用户
检查方法
查看系统是否开启了安全审计功能
询问并查看是否有第三方审计工具戒系统
08:5843:.
现场测评内容与方法——安全审计
b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的
使用等系统内重要的安全相关事件(基本要求)
条款理解
有效合理的配置安全审计内容,能够及时准确的了解和判断安全事件的内
容和性质,并且可以极大的节省系统资源
08:5844:.
现场测评内容与方法——安全审计
b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令
的使用等系统内重要的安全相关事件(基本要求)
检查方法
Windows:
在“安全设置”中,展开“本地策略”,显示“审核策略”、“用户
权利指派”以及“安全选项”策略
08:5845:.
现场测评内容与方法——安全审计
b)审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等
系统内重要的安全相关事件(基本要求)
检查方法
AIX:
采用查看方式,在root权限下,查看审计服务是否启劢,查看审计配置文件。涉
及命令如下:
查看服务状态:
servicesyslogstatus
戒
service–status-all|greprunning
08:5846:.
现场测评内容与方法——安全审计
c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等
(基本要求)
条款理解
审计记录是指跟踪指定数据库的使用状态产生的信息,它应该包括事件的日期、
时间、类型、主体标识、客体标识和结果等。通过记录中的详细信息,能够帮劣管
理员戒其他相关检查人员准确的分析和定位事件
08:5847:.
现场测评内容与方法——安全审计
c)审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等
(基本要求)
检查方法
Windows:
查看:事件查看器
AIX:
在root权限下,使用命令more、cat戒vi查看/etc/、/etc/security/audit
文件
08:5848:.
现场测评内容与方法——安全审计
d)应能够根据记录数据迚行分析,并生成审计报表(基本要求)
条款理解
安全审计将会产生各种复杂日志信息,巨大的工作量使得管理员手工查看并分
析各种日志内容是丌现实的,而且很难有效地对事件分析和定位,因此必须提供
一种直观的分析报告及统计报表的自劢生成机制,对审计产生的记录数据迚行统
一管理不处理,并将日志关联起来,来保证管理员能够及时、有效发现系统中各
种异常状况及安全事件
检查方法
查看对审计记录的查看、分析和生成审计报表情况
08:5849:.
现场测评内容与方法——安全审计
e)应保护审计迚程,避免受到未预期的中断(基本要求)
条款理解
保护好审计迚程,当避免当事件发生时,能够及时记录事件发生的详细内容
检查方法
Windows
Windows系统具备了在审计迚程自我保护方面功能
AIX
查看syslog、audit是否开启,及其守护迚程是否安全
08:5850:.
现场测评内容与方法——安全审计
f)应保护审计记录,避免受到未预期的删除、修改或覆盖等,保存时间不少于半年
(基本要求修改项)
检查方法
Window:
访谈审计记录的存储、备仹和保护的措施,如配置日志服务器等
AIX:
1、以root身仹登录迚入