系統(tǒng)安全管理規(guī)定

1、系統(tǒng)安全管理規(guī)定文檔號CSLJC_COM_STD_ISMS_1202_P_V0.1密級ISO 27001信息安全管理體系文件系統(tǒng)安全管理規(guī)定ISMS-MP-A.12-01活動簽名日期創(chuàng)建成濤2011-8-24審核批準II文檔變更歷史作者(或修訂人)版本號日期修改內(nèi)容與原因成濤V0.12011-8-24新建評審記錄評審方式版本號日期評審意見 文檔狀態(tài)：草稿目 錄1概述11.1目的11.2定義11.3范圍11.4原則12角色與職責13安全要求23.1系統(tǒng)安全規(guī)劃要求23.2系統(tǒng)運行與維護安全要求23.3操作系統(tǒng)安全配置策略53.3.1Windows系統(tǒng)安全配置管理策略53.3.2UNIX系統(tǒng)安全管

2、理策略84附錄101 概述 1.1 目的為了加強公司各類計算機系統(tǒng)的安全運維管理，特制定本規(guī)定。1.2 定義本程序引用ISO/IEC 17799:2005標準中的術語。1.3 范圍本文檔適用于公司建立的信息安全管理體系。1.4 原則本文檔將依據(jù)信息技術和信息安全技術的不斷發(fā)展和信息安全風險與信息安全保護目標的不斷變化而進行版本升級。2 角色與職責表2-1系統(tǒng)安全管理規(guī)定的角色和職責序號角色職責1信息安全管理委員會負責對系統(tǒng)安全管理進行指導和檢查2系統(tǒng)運維部負責生產(chǎn)環(huán)境系統(tǒng)的維護工作3系統(tǒng)支援及維護部負責系統(tǒng)安全管理的落地和實施工作4員工遵守公司系統(tǒng)安全管理規(guī)定3 安全要求233.1 系統(tǒng)安全規(guī)

3、劃要求1、系統(tǒng)在投入使用前需要做好前期的規(guī)劃和設計，除了要滿足公司目前業(yè)務需要外還要考慮該業(yè)務系統(tǒng)將來的應用需求，使系統(tǒng)具有一定的擴充能力。2、系統(tǒng)服務器操作系統(tǒng)應選用正版軟件并且遵守軟件規(guī)定的最終用戶使用協(xié)議，禁止使用盜版軟件。3、新規(guī)劃使用系統(tǒng)應考慮和原來系統(tǒng)的兼容性問題。4、在新系統(tǒng)安裝之前應有詳細的實施計劃，并嚴格按照計劃來實施。5、在新系統(tǒng)安裝完成，投入使用前，應對所有組件包括設備、服務或應用進行連通性測試、性能測試、安全性測試，并在系統(tǒng)測試記錄做詳細記錄，最終形成測試報告。6、在新系統(tǒng)安裝完成，測試通過，投入使用前，應刪除測試用戶和口令，最小化合法用戶的權限，最優(yōu)化配置，應及時對系

4、統(tǒng)軟件、文件和重要數(shù)據(jù)進行備份。3.2 系統(tǒng)運行與維護安全要求1、各個系統(tǒng)設備應進行資產(chǎn)登記。2、系統(tǒng)的帳號、口令應符合帳號與密碼安全管理規(guī)定，并定期對帳號口令實施安全評估。3、嚴格限制操作系統(tǒng)管理員權限帳號和普通賬號的數(shù)量和使用范圍。對于系統(tǒng)管理員的帳號要詳細登記備案，編制管理員權限賬號記錄，每季度對該記錄進行審核，更新帳號記錄。4、操作系統(tǒng)帳號的申請與變更參考帳號與密碼安全管理規(guī)定3.5節(jié)“賬號權限控制流程”。5、嚴格禁止非本系統(tǒng)管理、維護人員直接進入主機設備進行操作，若在特殊情況下（如系統(tǒng)維修、升級等）需要外部人員（主要是指廠家技術工程師、非本系統(tǒng)技術工程師、安全管理員等）進入主機設備進

5、行操作時，必須由維護人員員親自登錄，并對操作全過程進行記錄備案。 6、應盡可能減少主機設備的遠程管理方式。7、嚴禁隨意安裝、卸載系統(tǒng)組件和驅(qū)動程序，如確實需要，應及時評測可能由此帶來的影響；如果需要安裝補丁程序，參考病毒與補丁安全管理規(guī)定進行安裝。8、禁止主機系統(tǒng)上開放具有“寫”權限的共享目錄，如果確實必要，優(yōu)先考慮建立FTP站點，緊急情況下可臨時開放，但要設置強共享口令，并在使用完之后立刻取消共享；應禁止不被系統(tǒng)明確使用的服務、協(xié)議和設備的特性，避免使用不安全的服務。9、應嚴格并且合理的分配服務安裝分區(qū)或者目錄的權限，如果可能的話，給每項服務安裝在獨立分區(qū)；取消或者修改服務的banner信息

6、；避免讓應用服務運行在root或者administrator權限下。10、應嚴格控制重要文件的許可權和擁有權，重要的數(shù)據(jù)應當加密存放在主機上，取消匿名FTP訪問，并合理使用信任關系。11、應對日志功能的啟用、日志記錄的內(nèi)容、日志的管理形式、日志的審查分析做出明確的規(guī)定；對于重要主機系統(tǒng)，應建立集中的日志管理服務器，實現(xiàn)對重要主機系統(tǒng)日志的統(tǒng)一管理，以利于對主機系統(tǒng)日志的審查分析；應保證各設備的系統(tǒng)日志處于運行狀態(tài)，并定期對日志做一次全面的分析，對登錄的用戶、登錄時間、所做的配置和操作做檢查，在發(fā)現(xiàn)有異常的現(xiàn)象時應及時向相關人員報告，日志審核要求詳見安全審計管理規(guī)定。12、應及時監(jiān)視、收集主機設

7、備操作系統(tǒng)生產(chǎn)廠商公布的軟件以及補丁更新，要求下載補丁程序的站點必須是相應的官方站點，并對更新軟件或補丁進行評測，在獲得部門領導的批準下，對實際環(huán)境實施軟件更新或者補丁安裝；必須訂閱CERT (計算機緊急響應小組)公告或其他專業(yè)安全機構提供的安全漏洞信息的相關資源，應立即提醒信息安全工作組任何可能影響網(wǎng)絡正常運行的漏洞；及時評測對漏洞采取的對策，在獲得部門領導的批準下，對實際環(huán)境實施評測過的對策，并將整個過程記錄備案；軟件更新或者補丁安裝應盡量安排在非業(yè)務繁忙時段進行，操作必須由兩人以上完成，由一人監(jiān)督，一人操作，并在升級（或修補）前后做好數(shù)據(jù)和軟件的備份工作，同時將整個過程記錄備案；軟件更新

8、或者補丁安裝后應重新對系統(tǒng)進行安全設置，并進行系統(tǒng)的安全檢查。13、應定期進行安全漏洞掃描和病毒查殺工作，平均頻率應不低于每月一次，并在月度網(wǎng)絡安全掃描記錄中詳細記錄評估掃描結果。重大安全漏洞發(fā)布后，應在3個工作日內(nèi)進行；為了防止網(wǎng)絡安全掃描以及病毒查殺對網(wǎng)絡性能造成影響，應根據(jù)業(yè)務的實際情況對掃描時間做出規(guī)定，應一般安排在非業(yè)務繁忙時段；當發(fā)現(xiàn)主機設備上存在病毒、異常開放的服務或者開放的服務存在安全漏洞時應及時上報信息安全工作組，并采取相應措施。14、應至少每周1次，對所有主機設備進行檢查，確保各設備都能正常工作；應通過各種手段監(jiān)控主機系統(tǒng)的CPU利用率、進程、內(nèi)存和啟動腳本等的使用狀況，在

9、發(fā)現(xiàn)異常系統(tǒng)進程或者系統(tǒng)進程數(shù)量異常變化時，或者CPU利用率，內(nèi)存占用量等突然異常時，應立即上報信息安全工作組，并同時采取適當控制措施，并記錄備案。15、當主機系統(tǒng)出現(xiàn)以下現(xiàn)象之一時，必須進行安全問題的報告和診斷：l 系統(tǒng)中出現(xiàn)異常系統(tǒng)進程或者系統(tǒng)進程數(shù)量有異常變化。l 系統(tǒng)突然不明原因的性能下降。l 系統(tǒng)不明原因的重新啟動。l 系統(tǒng)崩潰，不能正常啟動。l 系統(tǒng)中出現(xiàn)異常的系統(tǒng)賬號l 系統(tǒng)賬號口令突然失控。l 系統(tǒng)賬號權限發(fā)生不明變化。l 系統(tǒng)出現(xiàn)來源不明的文件。l 系統(tǒng)中文件出現(xiàn)不明原因的改動。l 系統(tǒng)時鐘出現(xiàn)不明原因的改變。l 系統(tǒng)日志中出現(xiàn)非正常時間系統(tǒng)登錄，或有不明IP地址的系統(tǒng)登錄。

10、l 發(fā)現(xiàn)系統(tǒng)不明原因的在掃描網(wǎng)絡上其它主機。16、應及時報告任何已知的或可疑的信息安全問題、違規(guī)行為或緊急安全事件，并在采取適當措施的同時，應向信息安全工作組報告細節(jié)；應定期提交安全事件和相關問題的管理報告，以備管理層檢查。17、應根據(jù)“知所必需”原則嚴格限制泄漏安全違規(guī)行為、安全事件或安全漏洞。如果必須向任何公司外部方（包括任何合法的權威機構）泄漏這類受限信息，應先咨詢公司相關法律部門。18、系統(tǒng)軟件安裝之后，應立即進行備份；在后續(xù)使用過程中，在系統(tǒng)軟件的變更以及配置的修改之前和之后，也應立即進行備份工作；應至少每年1次對重要的主機系統(tǒng)進行災難影響分析，并進行災難恢復演習。19、應至少每年1

11、次對整個網(wǎng)絡進行風險評估，每次風險評估時，手工檢查的比例應不低于10，滲透測試的比例應不低于5；風險評估后應在10個工作日內(nèi)完成對網(wǎng)絡的修補和加固，并進行二次評估。3.3 操作系統(tǒng)安全配置策略3.3.1 Windows系統(tǒng)安全配置管理策略在應用以下安全策略之前應根據(jù)業(yè)務系統(tǒng)的實際情況進行操作，注意實施操作后對業(yè)務的風險。1、物理安全策略l 應設置 BIOS 口令以增加物理安全。l 應禁止遠程用戶使用光驅(qū)和軟驅(qū)。2、補丁管理策略l 應啟動 Windows 自動更新功能，及時安裝 Windows 補?。⊿P、hotfix）。l 對于不能訪問 Internet 的 Windows

12、系統(tǒng)，應采用手工打補丁的方式。3、帳戶與口令策略l 所有帳戶均應設置口令。l 應將系統(tǒng)管理員賬號 administrator 重命名。l 應禁止 Guest 賬號。l 應啟用“密碼必須符合復雜性要求”，設置“密碼長度最小值”、“密碼最長存留期”、“密碼最短存留期”、“密碼強制歷史”，停用“為域中用戶使用可還原的加密來存儲”。l 應設置“賬戶鎖定時間”，“賬戶鎖定閾值”，“復位賬戶鎖定計數(shù)器”來防止遠程密碼猜測攻擊。l 在信息安全組批準下，應定期利用口令破解軟件進行口令模擬破解測試，在發(fā)現(xiàn)脆弱性口令后及時通告并采取強制性的補救修改措施。4、網(wǎng)絡服務策略l 應盡可能減少網(wǎng)絡服務，關閉不必要的服務。

13、l 應通過修改注冊表項，調(diào)整優(yōu)化 TCP/IP 參數(shù)，來提高系統(tǒng)抵抗 DoS 攻擊的能力。l 應限制使用 SNMP 服務。如果的確需要，應使用 V3 版本替代 V1、V2 版本，并啟用 MD5 校驗等功能。5、文件系統(tǒng)策略l 所有分區(qū)均應使用 NTFS。l 盡量使用磁盤配額管理、文件加密（EFS）等功能。l 應卸載 OS/2 和 POSIX 操作環(huán)境子系統(tǒng)。l 應將所有常用的管理工具放在 %systemroot% 外的特殊目錄下，并對其進行嚴格的訪問控制，保證只有管理員才具有執(zhí)行這些工具的權限。l 應關閉 NTFS 生成 8.3 文件名格式。l 應設置訪問控制列表（ACL），對重要的目錄、文件

14、進行訪問權限的限制。6、日志策略l 應啟用系統(tǒng)和文件審核功能，包括應用程序日志、安全日志、系統(tǒng)日志、以及各種服務的日志。l 應更改日志存放的目錄，并及時監(jiān)控，特別是安全日志、系統(tǒng)日志。對于重要主機設備，應建立集中的日志管理服務器，實現(xiàn)對重要主機設備日志的統(tǒng)一管理，以利于對主機設備日志的審查分析。7、安全性增強策略l 對于獨立服務器應直接檢查本地的策略和配置。對于屬于域的服務器，應檢查域控制器上對計算機的域管理策略。檢查內(nèi)容主要為用戶、用戶組及其權限管理策略。l 應限制對注冊表的訪問，嚴禁對注冊表的匿名訪問，嚴禁遠程訪問注冊表，并對關鍵注冊表項進行訪問控制，以防止它們被攻擊者用于啟動特洛伊木馬等

15、惡意程序。l 應定期檢查注冊表啟動項目，避免系統(tǒng)被安裝非法的自啟動程序。l 應隱含最后登陸用戶名，避免攻擊者猜測系統(tǒng)內(nèi)的用戶信息。l 在登錄系統(tǒng)時應顯示告警信息，防止用戶對遠程終端服務口令進行自動化的腳本猜測，并刪除關機按鈕。l 應刪除 Windows 主機上所有默認的網(wǎng)絡共享。l 應關閉對 Windows 主機的匿名連接。l 對于不需要共享服務的主機，應徹底關閉文件和打印機共享服務。l 應限制 Pcanywhere 等遠程管理工具的使用，如確實需要，應使用最新版本，完整安裝補丁程序并經(jīng)過評測，獲得信息安全工作組的許可；并使用 Pcanywhere 加密方式進行管理。l 應安裝防病毒軟件，并及

16、時更新軟件版本和病毒庫。l 盡量安裝防火墻。3.3.2 UNIX系統(tǒng)安全管理策略1、補丁管理策略l 應及時安裝系統(tǒng)最新補丁。l 應及時升級服務至最新版本。2、帳戶與口令策略l 所有帳戶均應設置口令。l 去除不需要的帳戶、修改默認帳號的 shell 變量。l 除 root 外，不應存在其他 uid=0 的帳戶。l 應設置超時自動注銷登陸，減少安全隱患。l 應限制可以 su 為 root 的組。l 應禁止 root 遠程登陸。l 在信息安全組批準下，應定期利用口令破解軟件進行口令模擬破解測試，在發(fā)現(xiàn)脆弱性口令后及時通告并采取強制性的補救修改措施。3、網(wǎng)絡服務策略l 應盡可能減少網(wǎng)絡服務，關閉不必要

17、的服務。l 應啟用 inetd 進站連接日志記錄，增強審計功能。l 應調(diào)整優(yōu)化 TCP/IP 參數(shù)，來提高系統(tǒng)抵抗 DoS 攻擊的能力。l 應調(diào)整TCP/IP 參數(shù)，禁止 IP 源路由。l 應限制使用 SNMP 服務。如果的確需要，應使用 V3 版本替代 V1、V2 版本，并啟用 MD5 校驗等功能。l 應調(diào)整內(nèi)核參數(shù)打開“TCP隨機序列號”功能。4、文件系統(tǒng)策略l 盡量使系統(tǒng) root 用戶初始創(chuàng)建權限(umask)為077。l 盡量使用磁盤配額管理功能。l 去除適當文件的 set-uid 和 set-gid 位。l 應限制 /etc 目錄的可寫權限。l 增強對關鍵文件的執(zhí)行權限控制。l 為不同的掛載點指派不同的屬性。5、日志