信息安全等級(jí)測(cè)評(píng)師考試重點(diǎn)梳理.doc

第1章 網(wǎng)絡(luò)安全測(cè)評(píng)網(wǎng)絡(luò)全局1.1結(jié)構(gòu)安全（G3）a) 應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；b) 應(yīng)保證網(wǎng)絡(luò)各個(gè)部分的帶寬滿足業(yè)務(wù)高峰期需要；c) 應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)服務(wù)器之間進(jìn)行路由控制建立安全的訪問(wèn)路徑；（靜態(tài)路由，動(dòng)態(tài)路由）d) 應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖；e) 應(yīng)根據(jù)各部門的工作職能、重要性和所涉及信息的重要程度等因素，劃分不同的子網(wǎng)或網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)、網(wǎng)段分配地址段；（VLAN劃分）f) 應(yīng)避免將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)隔離手段；（在網(wǎng)絡(luò)邊界處部署：防火墻、網(wǎng)閘、或邊界網(wǎng)絡(luò)設(shè)備配置并啟用acl）g) 應(yīng)按照對(duì)業(yè)務(wù)服務(wù)的重要次序來(lái)指定帶寬分配優(yōu)先級(jí)別，保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí)候優(yōu)先保護(hù)重要主機(jī)。（檢查防火墻是否存在策略帶寬配置）注釋： 1）靜態(tài)路由是指由網(wǎng)絡(luò)管理員手工配置的路由信息，當(dāng)網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)或鏈路的狀態(tài)發(fā) 生變化 時(shí)，網(wǎng)絡(luò)管理員需要手工修改路由表中相關(guān)的靜態(tài)路由信息。 2）動(dòng)態(tài)路由是指路由器能夠自動(dòng)地建立自己的路由表，并且能夠根據(jù)實(shí)際情況的變化適時(shí)的進(jìn)行調(diào) 整。動(dòng)態(tài)路由機(jī)制的運(yùn)作依賴路由的兩個(gè)基本功能：對(duì)路由表的維護(hù)和路由器之間適時(shí)的路由信 息交換。路由器之間的信息交換是基于路由協(xié)議實(shí)現(xiàn)的，如ospf路由協(xié)議是一種典型的鏈路狀態(tài) 路由協(xié)議，它通過(guò)路由器之間通告網(wǎng)絡(luò)接口的狀態(tài)，來(lái)建立鏈路狀態(tài)數(shù)據(jù)庫(kù)，生成最短路徑樹， 每個(gè)ospf路由器使用這寫最短路徑構(gòu)造路由表。如果使用動(dòng)態(tài)路由協(xié)議應(yīng)配置使用路由協(xié)議認(rèn)證 功能，保證網(wǎng)絡(luò)路由安全。 3）vlan是一種通過(guò)將局域網(wǎng)內(nèi)的設(shè)備邏輯而不是物理劃分成不同子網(wǎng)從而實(shí)現(xiàn)虛擬工作組的新技術(shù)。 不同vlan內(nèi)的報(bào)文在傳輸時(shí)是相互隔離的。如果不同vlan要進(jìn)行通信，則需要通過(guò)路由器或三層交 換機(jī)等三層設(shè)備實(shí)現(xiàn)。 思科 華為 4）是否存在路由協(xié)議認(rèn)證：show running-config display current-configuration 查看vlan劃分情況： show vlan display vlan all1.2邊界完整性檢查（S3）a) 應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對(duì)其進(jìn)行有效阻斷；（技術(shù)手段:網(wǎng)絡(luò)接入控制、關(guān)閉網(wǎng)絡(luò)未使用的端口、ip/mac地址綁定；管理措施：進(jìn)入機(jī)房全程陪同、紅外視頻監(jiān)控）b) 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，準(zhǔn)確定出位置，并對(duì)其進(jìn)行有效阻斷。（方法：非法外聯(lián)監(jiān)控功能、非法外聯(lián)軟件）1.3入侵防范（G3）a) 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為：端口掃描、強(qiáng)力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等；（入侵防范的技術(shù)：入侵檢測(cè)系統(tǒng)IDS，包含入侵防范模塊的多功能安全網(wǎng)關(guān)UTM）b) 當(dāng)檢測(cè)到攻擊行為時(shí)，記錄攻擊源IP、攻擊類型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警。（報(bào)警方式：短信、郵件、聲光報(bào)警等）注釋： 1）入侵檢測(cè)的分類：主動(dòng)入侵檢測(cè)、被動(dòng)入侵檢測(cè)。 主動(dòng)入侵檢測(cè)：在攻擊的同時(shí)檢測(cè)到。它會(huì)查找已知的攻擊模式或命令，并阻止這些命令的執(zhí)行。 被動(dòng)入侵檢測(cè)：攻擊之后的檢測(cè)。只有通過(guò)檢查日志文件，攻擊才得以根據(jù)日志信息進(jìn)行復(fù)查和再現(xiàn)。 2）多功能安全網(wǎng)關(guān)的功能：防火墻、虛擬防火墻、入侵檢測(cè)和防御、防病毒、防垃圾郵件、p2p流量控 制、URL過(guò)濾等功能。1.4惡意代碼防范（G3）a) 應(yīng)在網(wǎng)絡(luò)邊界處對(duì)惡意代碼進(jìn)行檢測(cè)和清除。（防惡意代碼產(chǎn)品：防病毒網(wǎng)關(guān)、包含防病毒模塊的多功能安全網(wǎng)關(guān)、網(wǎng)絡(luò)版防病毒系統(tǒng)等）b) 應(yīng)維護(hù)惡意代碼庫(kù)的升級(jí)和檢測(cè)系統(tǒng)的更新。（更新方式：自動(dòng)遠(yuǎn)程更新、手動(dòng)遠(yuǎn)程更新、手動(dòng)本地更新等）訪問(wèn)控制（G3）（路由器、交換機(jī)、防火墻、入侵檢測(cè)系統(tǒng)/防御系統(tǒng)）a) 應(yīng)在網(wǎng)絡(luò)邊界部署訪問(wèn)控制設(shè)備，啟用訪問(wèn)控制功能；（訪問(wèn)控制設(shè)備：網(wǎng)閘、防火墻、路由器、三層路由交換機(jī)等）b) 應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)的能力，控制粒度為端口級(jí)；（路由器通過(guò)配置合理的訪問(wèn)控制列表ACL）c) 應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過(guò)濾，實(shí)現(xiàn)對(duì)應(yīng)用層HTTP、FTP、TELNET、SMTP、POP3等協(xié)議命令級(jí)的控制；（一般實(shí)現(xiàn)方式：防火墻）d) 應(yīng)在會(huì)話處于非活躍一定時(shí)間或會(huì)話結(jié)束后終止網(wǎng)絡(luò)連接；（5一般在防火墻上實(shí)現(xiàn)）e) 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；（2一般在防火墻上實(shí)現(xiàn)）f) 重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；（3）g) 應(yīng)按用戶和系統(tǒng)之間的允許訪問(wèn)規(guī)則，決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)行資源訪問(wèn)，控制粒度為單個(gè)用戶；（4）h) 應(yīng)限制具有撥號(hào)訪問(wèn)權(quán)限的用戶數(shù)量。（路由或相關(guān)設(shè)備應(yīng)提供限制具有撥號(hào)訪問(wèn)權(quán)限的用戶數(shù)量的相關(guān)功能） 注釋：1 ) 路由器上配置合理的訪問(wèn)列表為數(shù)據(jù)流提供明確的允許/拒絕訪問(wèn)的能力，對(duì)進(jìn)出網(wǎng)絡(luò)的流量進(jìn)行 過(guò)濾。流入流量過(guò)濾：用于過(guò)濾掉一些源IP不是公網(wǎng)IP的數(shù)據(jù)包，同時(shí)也用于限制外部對(duì)內(nèi)部網(wǎng) 絡(luò)服務(wù)的訪問(wèn)。流出流量過(guò)濾：用于防止由單位內(nèi)部機(jī)器發(fā)出的偽造源ip的攻擊數(shù)據(jù)流。 查看acl的命令： show ip access-list display acl config all 2 ）限制網(wǎng)絡(luò)的最大流量的方法：路由器、交換機(jī)可根據(jù)ip地址、端口、協(xié)議來(lái)限制應(yīng)用數(shù)據(jù)流的最 大流量，還可以根據(jù)ip地址來(lái)限制網(wǎng)絡(luò)連接數(shù)，從而保證業(yè)務(wù)帶寬不被占用，業(yè)務(wù)系統(tǒng)可以對(duì)外正 常提供服務(wù)。路由器的帶寬策略一般采用分層的帶寬管理機(jī)制，管理員可以通過(guò)設(shè)置細(xì)粒度的帶寬 策略，對(duì)數(shù)據(jù)報(bào)文做帶寬限制和優(yōu)先級(jí)別設(shè)定，還可以通過(guò)源地址、目的地址、用戶和協(xié)議四個(gè)方面 來(lái)限制帶寬。show running-config display acl config al2 3 ）地址欺騙可以是mac地址，也可以是ip地址。目前發(fā)生比較多的是arp地址欺騙，arp地址欺騙是 mac地址欺騙的一種。Arp地址解析協(xié)議是一種位于TCP/IP協(xié)議棧中的低層協(xié)議，負(fù)責(zé)將某個(gè)IP地 址解析成對(duì)應(yīng)的MAC地址。 ARP的分類：截獲網(wǎng)關(guān)數(shù)據(jù)。它通知網(wǎng)絡(luò)設(shè)備一系列錯(cuò)誤的MAC地址，并按照一定的頻率不斷進(jìn) 行，使真實(shí)的地址信息無(wú)法通過(guò)更新保存在網(wǎng)絡(luò)設(shè)備中，結(jié)果網(wǎng)絡(luò)設(shè)備的所有數(shù)據(jù)只能發(fā)給錯(cuò)誤的 MAC地址，造成正常pc無(wú)法收到信息。 偽造網(wǎng)關(guān)。建立假網(wǎng)關(guān)，讓被他欺騙的pc向假網(wǎng)關(guān)發(fā)送數(shù)據(jù)，而不是通過(guò)正常的途徑上網(wǎng)。一般 來(lái)說(shuō)，arp欺騙攻擊的后果很嚴(yán)重，大多數(shù)情況下會(huì)造成大面積掉線。解決方法：在網(wǎng)絡(luò)設(shè)備中把所有pc的ip-mac輸入一個(gè)靜態(tài)表中，這叫ip-mac綁定；在內(nèi)網(wǎng)所有pc上設(shè)置網(wǎng)管的靜態(tài)arp信息，這叫pc ip-mac綁定Show ip arp display arp4） 通過(guò)配置用戶、用戶組，并結(jié)合訪問(wèn)控制規(guī)則可以實(shí)現(xiàn)對(duì)認(rèn)證成功的用戶允許訪問(wèn)受控資源show crypto isakmp policy；show crypto ipsec transform-set；show ip access-list。 Display ipsec5） 當(dāng)惡意用戶進(jìn)行網(wǎng)絡(luò)攻擊時(shí)，有時(shí)會(huì)發(fā)起大量會(huì)話連接，建立會(huì)話后長(zhǎng)時(shí)間保持狀態(tài)連接，從而占用大量網(wǎng)絡(luò)資源，最終將網(wǎng)絡(luò)資源耗盡的情況。因此應(yīng)在會(huì)話終止或長(zhǎng)時(shí)間無(wú)響應(yīng)的情況下終止網(wǎng)絡(luò)連接，釋放被占用網(wǎng)絡(luò)資源，保證業(yè)務(wù)可以被正常訪問(wèn)。一般在防火墻上實(shí)現(xiàn)。安全審計(jì)（G3）（路由器、交換機(jī)、防火墻、入侵檢測(cè)系統(tǒng)/防御系統(tǒng)）a) 應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)行日志記錄；b) 審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、事件類型、事件是否成功及其他與審計(jì)相關(guān)的信息；c) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；d) 應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除、修改或覆蓋等。注釋： 查看日志記錄情況： show logging display current-configuration網(wǎng)絡(luò)設(shè)備防護(hù)（G3）（路由器、交換機(jī)、防火墻、入侵檢測(cè)系統(tǒng)/防御系統(tǒng)）a) 應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別；（1）b) 應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；（2）c) 網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)唯一；d) 主要網(wǎng)絡(luò)設(shè)備應(yīng)對(duì)同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來(lái)進(jìn)行身份鑒別；（采用方法：雙因子鑒別）e) 身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；（使用口令的組成、長(zhǎng)度和更改周期。對(duì)儲(chǔ)存在配置文件中的所有口令和類似數(shù)據(jù)進(jìn)行加密，可以避免通過(guò)讀取配置文件而獲取明文口令）f) 應(yīng)具有登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施；（可以利用命令配置VTY的超時(shí)，避免一個(gè)空閑的任務(wù)一直占用VTY，從而避免惡意攻擊或遠(yuǎn)端系統(tǒng)的意外崩潰導(dǎo)致的資源獨(dú)占。）g) 當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽；（不應(yīng)當(dāng)使用明文傳送的telnet、http服務(wù)，而應(yīng)當(dāng)采用ssh、https等加密協(xié)議等方式進(jìn)行交互式管理）h) 應(yīng)實(shí)現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離。（應(yīng)根據(jù)實(shí)際需要為用戶分配完成其任務(wù)的最小權(quán)限）注釋：1 ）用戶登錄路由器、交換機(jī)的方式： 利用控制臺(tái)端口（console）通過(guò)串口進(jìn)行本地連接登錄； 利用輔助端口（AUX）通過(guò)MODEM進(jìn)行遠(yuǎn)程撥號(hào)鏈接登錄； MODEM（調(diào)制解調(diào)器）實(shí)現(xiàn)數(shù)字信號(hào)和模擬信號(hào)之間的轉(zhuǎn)換。 利用虛擬終端（VTY）通過(guò)TCP/IP網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程Telnet登錄等。 無(wú)論那種登錄方式，都需要對(duì)用戶身份進(jìn)行鑒別，口令是路由器用來(lái)防止非授權(quán)訪問(wèn)的常用手段，是路 由器本身安全的一部分。因此需要加強(qiáng)對(duì)路由器口令的管理，包括口令的設(shè)置、儲(chǔ)存，最好的口令存儲(chǔ) 方法是保存在TACACS+或RADIUS認(rèn)證服務(wù)器上。管理員應(yīng)當(dāng)依據(jù)需要為路由器相應(yīng)的端口加上身份 鑒別最基本的安全控制。 路由器、交換機(jī)的口令安全包括兩類：設(shè)置登錄口令和設(shè)置使能口令（特權(quán)密碼）。當(dāng)為特權(quán)用戶設(shè)置 口令時(shí)，應(yīng)當(dāng)使用 enable secret命令，該命令用于設(shè)定具有管理員權(quán)限的口令，enable secret命令采用 的是MD5算法，這種算法比enable password加密算法強(qiáng)，不容易被破解。 show running-config display current-configuration2 ）為了保證網(wǎng)絡(luò)管理員對(duì)路由器安全訪問(wèn)的同時(shí)，避免其他人的未授權(quán)訪問(wèn)，最好的方法是采用帶外管理，使用專用的管理終端和通訊路徑，將管理數(shù)據(jù)流和其他數(shù)據(jù)流分開，能夠有效地增加安全性。 利用ip access-class限制訪問(wèn)VTY（虛擬終端）的IP地址范圍。同時(shí)由于VTY的數(shù)目有一定的限制，當(dāng) 所有的vty用完，就不能再建立遠(yuǎn)程的網(wǎng)絡(luò)連接了，通過(guò)限制登錄地址，限制能夠防止DOS攻擊（拒絕服務(wù)攻擊）。3 ）雙因子鑒別不僅需要訪問(wèn)者知道一些信息，還需要訪問(wèn)者擁有鑒別特征，如：令牌、智能卡、數(shù)字證 書和生物信息等。第二章 主機(jī)安全測(cè)評(píng)身份鑒別（S3）（操作系統(tǒng)測(cè)評(píng)、數(shù)據(jù)庫(kù)系統(tǒng)測(cè)評(píng)）a) 應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)行身份標(biāo)識(shí)和鑒別；（1）b) 操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；（2）c) 應(yīng)啟用登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施;d) 當(dāng)對(duì)服務(wù)器進(jìn)行遠(yuǎn)程管理時(shí)，應(yīng)采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過(guò)程中被竊聽；e) 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同的用戶名，確保用戶名具有唯一性。f) 應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對(duì)管理用戶進(jìn)行身份鑒別。注釋：1 ）身份標(biāo)識(shí)和鑒別就是用戶向系統(tǒng)以一種安全的方式提交自己的身份證實(shí)，然后由系統(tǒng)確認(rèn)用戶的身 份是否屬實(shí)的過(guò)程。linux用戶的口令經(jīng)過(guò)加密處理后存放于/etc/passwd文檔中。現(xiàn)在的linux系統(tǒng) 中口令不再直接保存在passwd文件中，通常將passwd文件中的口令字段使用一個(gè)“x”來(lái)代替，將 /etc/shadow作為真正的口令文件，用于保存包括個(gè)人口令在內(nèi)的數(shù)據(jù)。淡然，shadow文件時(shí)不能 被普通用戶讀取的，只有超級(jí)用戶才有權(quán)讀取。 在root權(quán)限下，使用命令more、cat、vi查看 /etc/passwd 和 /etc/shadow文件中各用戶名的狀態(tài)。以root 身份登錄進(jìn)入linux。 #cat/etc/passwd #cat/etc/shadow 2 ）控制和監(jiān)視密碼是不可缺少的。在windows中，如設(shè)置密碼歷史記錄、設(shè)置密碼最常使用期限、設(shè)置 密碼最短使用期限、設(shè)置最短密碼長(zhǎng)度，設(shè)置密碼復(fù)雜性要求。 Linux中的 /etc/login.defs是登錄程序的配置文件，在這里我們可以配置最大過(guò)期天數(shù)，密碼的 最大長(zhǎng)度約束等內(nèi)容。由于該文件對(duì)root用戶無(wú)效，如果 /etc/shadow文件里有相同的選項(xiàng)，則以 /etc/shadow里的設(shè)置為準(zhǔn)，也就是說(shuō) /etc/shadow的配置優(yōu)先級(jí)別高于 /etc/login.defs 。 以root身份登錄進(jìn)入linux。 #more/etc/login.defs PASS-MAX-DAYS 90 #登錄密碼有效期90天 PASS-MIN-DAYS 0 #登錄密碼最短修改時(shí)間，設(shè)置為0，則禁用此功能。防止非法用戶短期修改多次。 PASS-MIN-LEN 8 #登錄密碼最小長(zhǎng)度8位 PASS-WARN-AGE 7 #登錄密碼過(guò)期提前7天提示修改 FAIL-DELAY 10 #登錄錯(cuò)誤時(shí)等待時(shí)間10秒 FAILLOG-ENAB yes #登錄錯(cuò)誤記錄到日志 SYSLOG-SU-ENAB yes #當(dāng)限定超級(jí)用戶管理日志時(shí)使用 SYSLOG-SG-ENAB yes #當(dāng)限定超級(jí)用戶組管理日志時(shí)使用 MD5-CRYPT-ENAB yes #當(dāng)使用MD5的加密方法時(shí)使用 3 )windows操作系統(tǒng)具備了登錄失敗處理功能，可以通過(guò)適當(dāng)?shù)呐渲谩百~戶鎖定策略”來(lái)對(duì)用戶的的登 錄進(jìn)行限制，如賬戶鎖定闕值、賬戶鎖定時(shí)間、復(fù)位賬戶鎖定計(jì)數(shù)器等。當(dāng)?shù)卿浭〈螖?shù)超過(guò)管理員 指定值時(shí)可以禁用該賬戶。 賬戶鎖定闕值：確定用戶賬戶被鎖定的登錄嘗試失敗的次數(shù)，在管理員重置鎖定賬戶或賬戶鎖定時(shí)期 滿之前，無(wú)法使用該鎖定賬戶，次數(shù)可介于0-999之間，如果將值置為0，則永遠(yuǎn)不會(huì)鎖定賬戶。 賬戶鎖定時(shí)間：確定鎖定賬戶在自動(dòng)解鎖前，保持鎖定的分鐘數(shù)，可用范圍0-99,999.如果將鎖定時(shí) 設(shè)置為0，賬戶將被一直鎖定，指導(dǎo)管理員明確對(duì)它的鎖定。如果定義了賬戶鎖定闕值，則賬戶鎖定 時(shí)間必須大于等于重置時(shí)間。 復(fù)位賬戶鎖定計(jì)數(shù)器：確定在某次登錄嘗試失敗之后將登錄嘗試失敗計(jì)數(shù)器重置為0次錯(cuò)誤登錄嘗試 之前需要的時(shí)間?？捎梅秶?1 到 99,999 分鐘。如果定義了帳戶鎖定閾值，此重置時(shí)間必須小于 或等于帳戶鎖定時(shí)間。只有在指定了帳戶鎖定閾值時(shí)，此策略設(shè)置才有意義。 4 ）linux系統(tǒng)具有調(diào)用PAM的應(yīng)用程序可以用來(lái)認(rèn)證用戶、登錄服務(wù)、屏保等功能，其中的一個(gè)重要的文件/etc/pam.d/system-auth，它是pam-stack.so模塊的標(biāo)準(zhǔn)控制文件，在這個(gè)文件中可以通過(guò)配置參數(shù)，設(shè)置登錄失敗斷開連接的次數(shù)等。要獲得最大程度的安全性，建議在3-5次登錄嘗試失敗后鎖定賬戶，且不要在30分鐘內(nèi)重新啟用該賬戶，并將鎖定時(shí)間設(shè)置為“永久鎖定（直到管理員解開鎖定）” 在linux操作系統(tǒng)中，以root身份登錄進(jìn)入linux的命令： #cat/etc/pam.d/system-auth 查看是否存在“account required/lib/security/pam-tally.so deny=5 no-magic-root reset ” 5 )在linux操作系統(tǒng)中：以root身份登錄linux。 首先查看是否安裝SSH的相應(yīng)的包：#rpm -aq|grep ssh 或查看是否安裝SSH的相應(yīng)包：# service -status-all | grep sshd 如果已經(jīng)安裝則查看相關(guān)的端口是否打開：# netstat -an|grep sshd 22 若未使用SSH方式進(jìn)行遠(yuǎn)程管理，則查看是否使用了Telnet方式進(jìn)行遠(yuǎn)程管理： # service -status-all | grep running查看是否存在Telnet服務(wù)。 數(shù)據(jù)庫(kù)系統(tǒng) Sql 查看是否存在空口令用戶：select * from syslogins where password is null Oracle查看是否啟用口令復(fù)雜度函數(shù) select limit from dba-profiles where profile=“DEFAULT” and resource-name=PASSWORD-VERIFY-FUNTION登錄失敗嘗試次數(shù)的限制 select limit from dba-profiles where profile=“DEFAULT” and resource-name=FAILED-LOGIN-ATTEMPTS(值為unlimited表示沒(méi)有限制) 口令鎖定時(shí)間的設(shè)置語(yǔ)句 select limit from dba-profiles where profile=“DEFAULT” and resource-name=PASSWORD-LOCK-TIME(值為unlimited表示沒(méi)有限制) 訪問(wèn)控制（S3）（操作系統(tǒng)測(cè)評(píng)、數(shù)據(jù)庫(kù)系統(tǒng)測(cè)評(píng)）a) 應(yīng)啟用訪問(wèn)控制功能，依據(jù)安全策略控制用戶對(duì)資源的訪問(wèn)；b) 應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實(shí)現(xiàn)管理用戶的權(quán)限分離，僅授予管理用戶所需的最小權(quán)限；（2）c) 應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限分離；（3）d) 應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問(wèn)權(quán)限，重命名系統(tǒng)默認(rèn)帳戶，修改這些帳戶的默認(rèn)口令；e) 應(yīng)及時(shí)刪除多余的、過(guò)期的帳戶，避免共享帳戶的存在。f) 應(yīng)對(duì)重要信息資源設(shè)置敏感標(biāo)記；（4）g) 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作；注釋：1 ） 訪問(wèn)控制是安全防范和保護(hù)的主要策略，它不僅僅用于網(wǎng)絡(luò)層面，同樣也適用于主機(jī)層面。它的主 要任務(wù)是保證系統(tǒng)資源不被非法使用和訪問(wèn)，使用訪問(wèn)控制的目的在于通過(guò)限制用戶對(duì)特定資源的 訪問(wèn)，來(lái)保護(hù)系統(tǒng)資源。在操作系統(tǒng)中的每一個(gè)文件和目錄都包含有訪問(wèn)權(quán)限，這些訪問(wèn)權(quán)限決定 了誰(shuí)能訪問(wèn)和如何訪問(wèn)這些文件和目錄。對(duì)于linux中的一些重要文件，應(yīng)檢查linux系統(tǒng)主要的權(quán) 限設(shè)置情況，對(duì)于配置文件權(quán)限值不能大于644，對(duì)于可執(zhí)行文件不能大于755. 以root身份登錄進(jìn)入linux，使用命令：ls -l文件名，查看重要文件和目錄權(quán)限設(shè)置是否合理，如： #ls -l/etc/passwd #744 查看共享情況，在命令行模式下輸入net share查看注冊(cè)表： HKEY-LOCAL-MACHINESYSTEMCurrentControlSetControllsarestrictanony mous值是否為0（0 表示共享）2 ）根據(jù)管理用戶的角色對(duì)權(quán)限做出標(biāo)準(zhǔn)細(xì)致的劃分，有利于各崗位細(xì)致協(xié)調(diào)的工作。同時(shí)對(duì)授權(quán)模塊 進(jìn)行一些授權(quán)管理，并且系統(tǒng)的授權(quán)安全管理工作要做到細(xì)致，今授予管理用戶所需的最小權(quán)限，避 免出現(xiàn)權(quán)限的漏洞，使一些高級(jí)用戶擁有過(guò)大的權(quán)限。3 ）操作系統(tǒng)特權(quán)用戶可以擁有以下權(quán)限：安裝和配置系統(tǒng)的硬件和軟件、建立和管理用戶賬戶、升級(jí) 軟件、備份和恢復(fù)等業(yè)務(wù)，從而保證操作系統(tǒng)的可用性、完整性和安全性。 數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶對(duì)數(shù)據(jù)庫(kù)的安裝、配置、升級(jí)和遷移以及數(shù)據(jù)庫(kù)用戶的管理，從而保證數(shù)據(jù)庫(kù) 系統(tǒng)的可用性、完整性安全性。 將操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限分離，能夠避免一些特權(quán)用戶擁有過(guò)大的權(quán)限以及減少一些 認(rèn)為的誤操作，做到職責(zé)分明。4 ）敏感標(biāo)記：是強(qiáng)制訪問(wèn)控制的依據(jù)，主客體都有，它存在的形式無(wú)所謂，可能是整形的數(shù)字，也肯能 是字母，他表示主客體的安全級(jí)別。敏感標(biāo)記是由強(qiáng)認(rèn)證的安全管理員進(jìn)行設(shè)置的，通過(guò)對(duì)重要信息資 源設(shè)置敏感標(biāo)記，決定主體以何種權(quán)限為客體進(jìn)行操作，實(shí)現(xiàn)強(qiáng)制訪問(wèn)控制。數(shù)據(jù)庫(kù) Sql中查看是否存在多余過(guò)期的賬戶：select from syslogins oracle中查看是否存在多余過(guò)期的賬戶：select username，account-status from dba-users 查看是否安裝oracle label security模塊：select username from dba-users 查看是否創(chuàng)建策略：select policy_name，status from DBA-SA-POLICIES 查看是否創(chuàng)建級(jí)別：select * from dba-sa-levels order by lever-num 查看標(biāo)簽創(chuàng)建情況：select * from dba-sa-label 查看策略與模式、表的對(duì)應(yīng)關(guān)系：select * from dba-sa-tabel-policies；判斷是否針對(duì)重要信息資 源設(shè)置敏感標(biāo)簽。 安全審計(jì)（G3）（操作系統(tǒng)測(cè)評(píng)、數(shù)據(jù)庫(kù)系統(tǒng)測(cè)評(píng)）a) 審計(jì)范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶；（1）b) 審計(jì)內(nèi)容應(yīng)包括重要用戶行為、系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件；（2）c) 審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等； d) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計(jì)報(bào)表；e) 應(yīng)保護(hù)審計(jì)進(jìn)程，避免受到未預(yù)期的中斷；（4）f) 應(yīng)保護(hù)審計(jì)記錄，避免受到未預(yù)期的刪除、修改或覆蓋等。（5）注釋：1） 以root身份登錄進(jìn)入Linux，查看服務(wù)進(jìn)程：系統(tǒng)日志服務(wù)#service syslog status #service audit status或 #service -status-all|grep auditd2 ）在linux中/etc/audit/audit.conf文件制定如何寫入審查記錄以及在那里寫入、日志超出可用磁盤 空間后如何處理等內(nèi)容。/etc/audit/filesets.conf和/etc/audit/filters.conf指定內(nèi)核用來(lái)判定 系統(tǒng)調(diào)用是否要審查的規(guī)則。3 ）在linux操作系統(tǒng)中，使用aucat和augrep工具查看審計(jì)日志： #aucat|tail-100 #查看最近的100條審計(jì)記錄； #augrep -e TEXT -U AUTH-success #查看所有成功PAM授權(quán)。 4 )在Linux中，Auditd是審計(jì)守護(hù)進(jìn)程，syslogd是日志守護(hù)進(jìn)程，保護(hù)好審計(jì)進(jìn)程當(dāng)事件發(fā)生時(shí)，能 及時(shí)記錄事件發(fā)生的詳細(xì)內(nèi)容。 5 ）非法用戶進(jìn)入系統(tǒng)后的第一件事情就是去清理系統(tǒng)日志和審計(jì)日志，而發(fā)現(xiàn)入侵的最簡(jiǎn)單最直接的 方法就是去看系統(tǒng)記錄和安全審計(jì)文件。數(shù)據(jù)庫(kù)Oracle 查看是否開啟審計(jì)功能：select value from v$paramater where name=audit-trail或 Show parmeter audit-trail查看是否對(duì)所有sys用戶的操作進(jìn)行了記錄：show parameter audit-sys-operation查看是否對(duì) sel，upd，del ins操作進(jìn)行了審計(jì)：select sel，upd，del ins from dba-obj-audit-opts查看審計(jì)是否設(shè)置成功：select * from dba-stmt-audit-opts查看權(quán)限審計(jì)選項(xiàng)：select * from dba-priv-audit-opts剩余信息保護(hù)（S3）（操作系統(tǒng)測(cè)評(píng)）a) 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)用戶的鑒別信息所在的存儲(chǔ)空間，被釋放或再分配給其他用戶前得到完全清除，無(wú)論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)確保系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間，被釋放或重新分配給其他用戶前得到完全清除。入侵防范（G3）（操作系統(tǒng)測(cè)評(píng)）a) 應(yīng)能夠檢測(cè)到對(duì)重要服務(wù)器進(jìn)行入侵的行為，能夠記錄入侵的源IP、攻擊的類型、攻擊的目的、攻擊的時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警；b) 應(yīng)能夠?qū)χ匾绦虻耐暾赃M(jìn)行檢測(cè)，并在檢測(cè)到完整性受到破壞后具有恢復(fù)的措施；c) 操作系統(tǒng)應(yīng)遵循最小安裝的原則，僅安裝需要的組件和應(yīng)用程序，并通過(guò)設(shè)置升級(jí)服務(wù)器等方式保持系統(tǒng)補(bǔ)丁及時(shí)得到更新。（涉及的兩個(gè)方面系統(tǒng)服務(wù)和監(jiān)聽端口，補(bǔ)丁升級(jí)，對(duì)多余的系統(tǒng)服務(wù)可以禁用或卸載）注釋： 1 ）入侵威脅分為：外部滲透、內(nèi)部滲透和不法行為。 入侵行為分為：物理入侵、系統(tǒng)入侵和遠(yuǎn)程入侵。 造成入侵威脅的入侵行為主要是系統(tǒng)入侵和遠(yuǎn)程入侵兩種。 系統(tǒng)入侵指入侵者在擁有系統(tǒng)的一個(gè)低級(jí)賬號(hào)權(quán)限下進(jìn)行的破壞活動(dòng)。（如果系統(tǒng)沒(méi)有及時(shí)更新最 近的補(bǔ)丁程序，那么擁有低級(jí)權(quán)限的用戶就可能利用系統(tǒng)漏洞獲取更高的管理權(quán)限） 遠(yuǎn)程入侵指入侵者通過(guò)網(wǎng)絡(luò)滲透到一個(gè)系統(tǒng)中，這種情況下，入侵者通常不具備任何特殊權(quán)限，他 們要通過(guò)漏洞掃描或端口掃描等技術(shù)發(fā)現(xiàn)攻擊目標(biāo)，再利用相關(guān)技術(shù)執(zhí)行破壞活動(dòng)。 2 ）查看入侵的重要線索的命令：#more/var/log/secure|grep refused 查看是否啟用了主機(jī)防火墻、RCP SYN保護(hù)機(jī)制等設(shè)置的命令： find/-name-print 檢查是否安裝了一下主機(jī)入侵檢測(cè)軟件。 3 ) 監(jiān)聽端口的命令： netstat -an 確認(rèn)系統(tǒng)目前正在運(yùn)行的服務(wù)：#service -status-all|grep running 查看補(bǔ)丁安裝情況的命令：#rpm-qa|grep patch惡意代碼防范（G3）（操作系統(tǒng)測(cè)評(píng)）a) 應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫(kù)；b) 主機(jī)防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫(kù)；c) 應(yīng)支持防惡意代碼的統(tǒng)一管理。（統(tǒng)一更新，定時(shí)查殺）資源控制（A3）（操作系統(tǒng)測(cè)評(píng)、數(shù)據(jù)庫(kù)系統(tǒng)測(cè)評(píng)a、b、d）a) 應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；（1）b) 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時(shí)鎖定；（2）c) 應(yīng)對(duì)重要服務(wù)器進(jìn)行監(jiān)視，包括監(jiān)視服務(wù)器的CPU、硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使用情況；d) 應(yīng)限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度；e) 應(yīng)能夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測(cè)和報(bào)警。（3）注釋： 1 ）系統(tǒng)資源是指CPU、存儲(chǔ)空間、傳輸帶寬等軟硬件資源。 應(yīng)通過(guò)設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄，可以極大地節(jié)省系統(tǒng)資源，保證了 系統(tǒng)的可用性，同時(shí)也提高了系統(tǒng)的安全性。 Windows系統(tǒng)可以通過(guò)主機(jī)防火墻或TCP/IP篩選來(lái)實(shí)現(xiàn)以上功能，在linux系統(tǒng)中存在 /etc/hosts.allow和/etc/hosts.deny兩個(gè)文件，它們是tcpd服務(wù)器的配置文件，tcpd服務(wù)器可以控 制外部IP對(duì)本機(jī)服務(wù)的訪問(wèn)。其中/etc/hosts.allow控制可以訪問(wèn)本機(jī)的IP,/etc/hosts.deny控制 禁止訪問(wèn)本機(jī)的IP，如果兩個(gè)文件的配置有沖突，以/etc/hosts.deny為準(zhǔn)。2 ）若是通過(guò)遠(yuǎn)程終端進(jìn)行連接windows服務(wù)器系統(tǒng)，可以通過(guò)設(shè)置超時(shí)連接來(lái)限制終端操作超時(shí)； 若是本地登錄，則通過(guò)開啟帶有密碼功能屏幕保護(hù)。3 ）如磁盤空間不足、CPU利用率過(guò)高、硬件發(fā)生故障等，通過(guò)報(bào)警機(jī)制，將問(wèn)題現(xiàn)象發(fā)送給相關(guān)負(fù)責(zé)人， 及時(shí)定位引起問(wèn)題的原因和對(duì)異常情況進(jìn)行處理，從而避免故障的發(fā)生或?qū)⒂绊憸p小到最低。數(shù)據(jù)庫(kù)Sql查看是否設(shè)置了超時(shí)時(shí)間:在查詢分析器中執(zhí)行命令sp-configure remote login timeout(s) Oracle查看空閑超時(shí)設(shè)置：select limit from dba-profiles where profile=“DEFAULT” and resource-name=IDLE-TIME(值為unlimited表示沒(méi)有限制) 確定用戶使用的profile，針對(duì)指定用戶的profile，查看其限制（以defaut為例）： select username，profile from dba-users 查看是否對(duì)每個(gè)用戶所允許的并行會(huì)話數(shù)進(jìn)行了限制：select limit from dba-profiles where profile=“DEFAULT” and resource-name=SESSION-PER-USERS(值為unlimited表示沒(méi)有限制) 查看是否對(duì)一個(gè)會(huì)話可以使用的CPU時(shí)間進(jìn)行了限制：select limit from dba-profiles where profile=“DEFAULT” and resource-name=CPU-PER-SESSION(值為unlimited表示沒(méi)有限制) 查看是否對(duì)允許空閑會(huì)話的時(shí)間進(jìn)行了限制：select limit from dba-profiles where profile=“DEFAULT” and resource-name=IDLE-TIME(值為unlimited表示沒(méi)有限制)第三章 應(yīng)用安全3.1 身份鑒別（S3）a) 應(yīng)提供專用的登錄控制模塊對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)和鑒別； b) 應(yīng)對(duì)同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別；c) 應(yīng)提供用戶身份標(biāo)識(shí)唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識(shí)，身份鑒別信息不易被冒用；d) 應(yīng)提供登錄失敗處理功能，可采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施；e) 應(yīng)啟用身份鑒別、用戶身份標(biāo)識(shí)唯一性檢查、用戶身份鑒別信息復(fù)雜度檢查以及登錄失敗處理功能，并根據(jù)安全策略配置相關(guān)參數(shù)。3.2 訪問(wèn)控制（S3）a) 應(yīng)提供訪問(wèn)控制功能，依據(jù)安全策略控制用戶對(duì)文件、數(shù)據(jù)庫(kù)表等客體的訪問(wèn)；b) 訪問(wèn)控制的覆蓋范圍應(yīng)包括與資源訪問(wèn)相關(guān)的主體、客體及它們之間的操作；c) 應(yīng)由授權(quán)主體配置訪問(wèn)控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問(wèn)權(quán)限；d) 應(yīng)授予不同帳戶為完成各自承擔(dān)任務(wù)所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。e) 應(yīng)具有對(duì)重要信息資源設(shè)置敏感標(biāo)記的功能；f) 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作；3.3 安全審計(jì)（G3）a) 應(yīng)提供覆蓋到每個(gè)用戶的安全審計(jì)功能，對(duì)應(yīng)用系統(tǒng)重要安全事件進(jìn)行審計(jì)；b) 應(yīng)保證無(wú)法單獨(dú)中斷審計(jì)進(jìn)程，無(wú)法刪除、修改或覆蓋審計(jì)記錄；(1)c) 審計(jì)記錄的內(nèi)容至少應(yīng)包括事件的日期、時(shí)間、發(fā)起者信息、類型、描述和結(jié)果等；d) 應(yīng)提供對(duì)審計(jì)記錄數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能。注釋：1 )應(yīng)用系統(tǒng)應(yīng)對(duì)審計(jì)進(jìn)程或功能進(jìn)行保護(hù)，如果處理審計(jì)的事務(wù)是一個(gè)單獨(dú)的進(jìn)程，那么應(yīng)用系統(tǒng)對(duì)審 計(jì)進(jìn)程進(jìn)行保護(hù)，不允許非授權(quán)用戶對(duì)進(jìn)程進(jìn)行中斷；如果審計(jì)是一個(gè)獨(dú)立的功能，則應(yīng)用系統(tǒng)應(yīng)防 止非授權(quán)用戶關(guān)閉審計(jì)功能。應(yīng)用系統(tǒng)應(yīng)對(duì)審計(jì)記錄進(jìn)行保護(hù)，防止非授權(quán)刪除、修改或覆蓋審計(jì)記錄。3.4 剩余信息保護(hù)（S3）a) 應(yīng)保證用戶鑒別信息所在的存儲(chǔ)空間被釋放或再分配給其他用戶前得到完全清除，無(wú)論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)保證系統(tǒng)內(nèi)的文件、目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間被釋放或重新分配給其他用戶前得到完全清除。注釋：1 ）有的應(yīng)用系統(tǒng)將用戶的鑒別信息放在內(nèi)存中進(jìn)行處理，處理完成后沒(méi)有及時(shí)將其清除，這樣其他的 用戶通過(guò)一些非正常手段就有可能獲取該用戶的鑒別信息。2 ）有的應(yīng)用系統(tǒng)在使用過(guò)程中可能會(huì)產(chǎn)生一些臨時(shí)文件，這些臨時(shí)文件中可能會(huì)記錄一些敏感信息， 當(dāng)將這些資源分配給其他用戶是我，其他用戶就可能獲取到這些敏感信息。3.5 通信完整性（S3）應(yīng)采用密碼技術(shù)保證通信過(guò)程中數(shù)據(jù)的完整性。注釋：為了防止數(shù)據(jù)在傳輸時(shí)被修改或破壞，應(yīng)用系統(tǒng)必須確保通信過(guò)程中的數(shù)據(jù)完整性，通信雙方利用密碼算法，來(lái)保證數(shù)據(jù)的完整性。3.6 通信保密性（S3）a) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)行會(huì)話初始化驗(yàn)證；b) 應(yīng)對(duì)通信過(guò)程中的整個(gè)報(bào)文或會(huì)話過(guò)程進(jìn)行加密。3.7 抗抵賴（G3）a) 應(yīng)具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；b) 應(yīng)具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。3.8 軟件容錯(cuò)（A3）a) 應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能，保證通過(guò)人機(jī)接口輸入或通過(guò)通信接口輸入的數(shù)據(jù)格式或長(zhǎng)度符合系統(tǒng)設(shè)定要求；b) 應(yīng)提供自動(dòng)保護(hù)功能，當(dāng)故障發(fā)生時(shí)自動(dòng)保護(hù)當(dāng)前所有狀態(tài)，保證系統(tǒng)能夠進(jìn)行恢復(fù)。3.9資源控制（A3）a) 當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)，另一方應(yīng)能夠自動(dòng)結(jié)束會(huì)話；b) 應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)行限制；c) 應(yīng)能夠?qū)蝹€(gè)帳戶的多重并發(fā)會(huì)話進(jìn)行限制；d) 應(yīng)能夠?qū)σ粋€(gè)時(shí)間段內(nèi)可能的并發(fā)會(huì)話連接數(shù)進(jìn)行限制；e) 應(yīng)能夠?qū)σ粋€(gè)訪問(wèn)帳戶或一個(gè)請(qǐng)求進(jìn)程占用的資源分配最大限額和最小限額；f) 應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測(cè)和報(bào)警；g) 應(yīng)提供服務(wù)優(yōu)先級(jí)設(shè)定功能，并在安裝后根據(jù)安全策略設(shè)定訪問(wèn)帳戶或請(qǐng)求進(jìn)程的優(yōu)先級(jí)，根據(jù)優(yōu)先級(jí)分配系統(tǒng)資源。第四章 數(shù)據(jù)安全4.1數(shù)據(jù)完整性（S3）a) 應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過(guò)程中完整性受到破壞，并在檢測(cè)到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施；（重傳或其他方式）b) 應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲(chǔ)過(guò)程中完整性受到破壞，并在檢測(cè)到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施。4.2數(shù)據(jù)保密性（S3）a) 應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密性；b) 應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲(chǔ)保密性。4.3備份和恢復(fù)（A3）a) 應(yīng)提供本地?cái)?shù)據(jù)備份與恢復(fù)功能，完全數(shù)據(jù)備份至少每天一次，備份介質(zhì)場(chǎng)外存放；b) 應(yīng)提供異地?cái)?shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時(shí)批量傳送至備用場(chǎng)地；c) 應(yīng)采用冗余技術(shù)設(shè)計(jì)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，避免關(guān)鍵節(jié)點(diǎn)存在單點(diǎn)故障；d) 應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性。注釋： 1 ）對(duì)數(shù)據(jù)進(jìn)行備份，是防止數(shù)據(jù)遭到破壞后無(wú)法使用的最好方法。通過(guò)對(duì)數(shù)據(jù)采取不同的備份方式和 形式等，保證系統(tǒng)重要數(shù)據(jù)在發(fā)生破壞后能夠被恢復(fù)。 2 ）對(duì)于配置文件、應(yīng)用程序這類數(shù)據(jù)一般變化較小，一般是在其發(fā)生變化時(shí)才進(jìn)行備份。而業(yè)務(wù)數(shù)據(jù) 由于其具有重要程度高、變化快等特點(diǎn)，它是備份的主題（如每天、每小時(shí)等）批量傳送至備用場(chǎng)地。第五章 物理安全5.1 物理位置的選擇（G3）a) 機(jī)房和辦公場(chǎng)地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；b) 機(jī)房和辦公場(chǎng)地應(yīng)避免在建筑物的頂層或地下室，以及用水設(shè)備的下層或隔壁。5.2物理訪問(wèn)控制（G3）a) 機(jī)房出入口應(yīng)安排專人值守，控制、鑒別和記錄進(jìn)入的人員；b) 需進(jìn)入機(jī)房的來(lái)訪人員應(yīng)經(jīng)過(guò)申請(qǐng)和審批流程，并限制和監(jiān)控其活動(dòng)范圍；c) 應(yīng)對(duì)機(jī)房劃分區(qū)域進(jìn)行管理，區(qū)域和區(qū)域之間設(shè)置物理隔離裝置，在重要區(qū)域前設(shè)置交付或安裝等過(guò)渡區(qū)域；d) 重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員。注釋： 采取門禁、專人值守、專人陪同、審批登記、區(qū)域隔離等必要的措施，對(duì)機(jī)房的出入及人員進(jìn)入機(jī)房 后的活動(dòng)進(jìn)行管理和控制5.3 防盜竊和防破壞（G3）a) 應(yīng)將主要設(shè)備放置在機(jī)房?jī)?nèi)；b) 應(yīng)將設(shè)備或主要部件進(jìn)行固定，并設(shè)置明顯的不易除去的標(biāo)記；c) 應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中；d) 應(yīng)對(duì)介質(zhì)分類標(biāo)識(shí)，存儲(chǔ)在介質(zhì)庫(kù)或檔案室中；e) 應(yīng)利用光、電等技術(shù)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)；f) 應(yīng)對(duì)機(jī)房設(shè)置監(jiān)控報(bào)警系統(tǒng)。注釋：機(jī)房安裝視頻監(jiān)控和防盜報(bào)警系統(tǒng)，設(shè)備固定并粘貼標(biāo)記，存儲(chǔ)介質(zhì)分類安全存放，通信線纜隱蔽鋪設(shè)5.4 防雷擊（G3）a) 機(jī)房建筑應(yīng)設(shè)置避雷裝置；b) 應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；c) 機(jī)房應(yīng)設(shè)置交流電源地線。注釋：