信息安全等級(jí)測(cè)評(píng)師考試重點(diǎn)梳理

1、第一章 網(wǎng)絡(luò)平安測(cè)評(píng)網(wǎng)絡(luò)全局1.1 構(gòu)造平安 G3a) 應(yīng)保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)頂峰期需要；b) 應(yīng)保證網(wǎng)絡(luò)各個(gè)局部的帶寬滿足業(yè)務(wù)頂峰期需要；c) 應(yīng)在業(yè)務(wù)終端與業(yè)務(wù)效勞器之間進(jìn)展路由控制建立平安的訪問路徑； 靜態(tài)動(dòng)態(tài)路 由、動(dòng)態(tài)路由協(xié)議認(rèn)證功能。 ospf 開放最短路徑優(yōu)先d) 應(yīng)繪制與當(dāng)前運(yùn)行情況相符的網(wǎng)絡(luò)拓?fù)錁?gòu)造圖；e) 應(yīng)根據(jù)各部門的工作職能、 重要性和所涉及信息的重要程度等因素， 劃分不同的子 網(wǎng)或網(wǎng)段，并按照方便管理和控制的原那么為各子網(wǎng)、網(wǎng)段分配地址段；VLAr劃分f) 應(yīng)防止將重要網(wǎng)段部署在網(wǎng)絡(luò)邊界處且直接連接外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采

2、取可靠的技術(shù)隔離手段； 在網(wǎng)絡(luò)邊界處部署：防火墻、網(wǎng)閘、或邊界網(wǎng)絡(luò)設(shè)備 配置并啟用 acl g) 應(yīng)按照對(duì)業(yè)務(wù)效勞的重要次序來指定帶寬分配優(yōu)先級(jí)別， 保證在網(wǎng)絡(luò)發(fā)生擁堵的時(shí) 候優(yōu)先保護(hù)重要主機(jī)。 檢查防火墻是否存在策略帶寬配置注釋：1靜態(tài)路由 是指由網(wǎng)絡(luò)管理員手工配置的路由信息，當(dāng)網(wǎng)絡(luò)的拓?fù)錁?gòu)造或鏈路的狀態(tài)發(fā)生變化時(shí)，網(wǎng)絡(luò)管理員需要手工修改路由表中相關(guān)的靜態(tài)路由信息。2 動(dòng)態(tài)路由 是指路由器能夠自動(dòng)地建立自己的路由表，并且能夠根據(jù)實(shí)際情況的變化適時(shí)的進(jìn)展調(diào) 整。動(dòng)態(tài)路由機(jī)制的運(yùn)作依賴路由的兩個(gè)根本功能：對(duì)路由表的維護(hù)和路由器之間適時(shí)的路由信 息交換。路由器之間的信息交換是基于路由協(xié)議實(shí)現(xiàn)的，如

3、 ospf 路由協(xié)議是一種典型的鏈路狀態(tài) 路由協(xié)議，它通過路由器之間通告網(wǎng)絡(luò)接口的狀態(tài)，來建立鏈路狀態(tài)數(shù)據(jù)庫(kù)，生成最短路徑樹，每個(gè)ospf路由器使用這寫最短路徑構(gòu)造路由表。如果使用動(dòng)態(tài)路由協(xié)議應(yīng)配置使用路由協(xié)議認(rèn)證 功能，保證網(wǎng)絡(luò)路由平安。3 vlan 是一種通過將局域網(wǎng)內(nèi)的設(shè)備邏輯而不是物理劃分成不同子網(wǎng)從而實(shí)現(xiàn)虛擬工作組的新技術(shù)。不同Vian內(nèi)的報(bào)文在傳輸時(shí)是相互隔離的。如果不同Vian要進(jìn)展通信，那么需要通過路由器或三層交換機(jī)等三層設(shè)備實(shí)現(xiàn)。思科華為4 是否存在路由協(xié)議認(rèn)證： show running-config dispiay current-configuration查看 Vian

4、 劃分情況： show Vian dispiay Vian aii1.2 邊界完整性檢查 S3a) 應(yīng)能夠?qū)Ψ鞘跈?quán)設(shè)備私自聯(lián)到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)展檢查， 準(zhǔn)確定出位置， 并對(duì)其進(jìn) 展有效阻斷； 技術(shù)手段 :網(wǎng)絡(luò)接入控制、 關(guān)閉網(wǎng)絡(luò)未使用的端口、 ip/mac 地址綁定； 管理措施 ： 進(jìn)入機(jī)房全程陪同、紅外視頻監(jiān)控b) 應(yīng)能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自聯(lián)到外部網(wǎng)絡(luò)的行為進(jìn)展檢查， 準(zhǔn)確定出位置， 并對(duì)其 進(jìn)展有效阻斷。 方法：非法外聯(lián)監(jiān)控功能、非法外聯(lián)軟件 1.3 入侵防范 G3a) 應(yīng)在網(wǎng)絡(luò)邊界處監(jiān)視以下攻擊行為： 端口掃描、強(qiáng)力攻擊、木馬后門攻擊、 拒絕效 勞攻擊、緩沖區(qū)溢出攻擊、 IP 碎片攻擊和

5、網(wǎng)絡(luò)蠕蟲攻擊等； 入侵防范的技術(shù) ：入侵 檢測(cè)系統(tǒng) IDS ，包含入侵防范模塊的多功能平安網(wǎng)關(guān) UTM b) 當(dāng)檢測(cè)到攻擊行為時(shí)，記錄攻擊源IP 、攻擊類型、攻擊目的、攻擊時(shí)間，在發(fā)生嚴(yán)重入侵事件時(shí)應(yīng)提供報(bào)警。 報(bào)警方式 ：短信、郵件、聲光報(bào)警等 注釋：1入侵檢測(cè)的分類 ：主動(dòng)入侵檢測(cè)、被動(dòng)入侵檢測(cè)。主動(dòng)入侵檢測(cè) ：在攻擊的同時(shí)檢測(cè)到。它會(huì)查找的攻擊模式或命令，并阻止這些命令的執(zhí)行。被動(dòng)入侵檢測(cè) ：攻擊之后的檢測(cè)。 只有通過檢查日志文件， 攻擊才得以根據(jù)日志信息進(jìn)展復(fù)查和再現(xiàn)。2 多功能平安網(wǎng)關(guān)的功能： 防火墻、虛擬防火墻、入侵檢測(cè)和防御、防病毒、防垃圾郵件、p2p 流量控制、 URL 過濾等

6、功能。1.4 惡意代碼防范 G3防惡意代碼產(chǎn)品 ：防病毒網(wǎng)關(guān)、 包含防病更新方式 ：自動(dòng)遠(yuǎn)程更新、 手動(dòng)遠(yuǎn)程更新、a) 應(yīng)在網(wǎng)絡(luò)邊界處對(duì)惡意代碼進(jìn)展檢測(cè)和去除。 毒模塊的多功能平安網(wǎng)關(guān)、網(wǎng)絡(luò)版防病毒系統(tǒng)等 b) 應(yīng)維護(hù)惡意代碼庫(kù)的升級(jí)和檢測(cè)系統(tǒng)的更新。 手動(dòng)本地更新等 訪問控制G3 路由器、交換機(jī)、防火墻、入侵檢測(cè)系統(tǒng) /防御系統(tǒng)a) 應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備， 啟用訪問控制功能； 訪問控制設(shè)備 ：網(wǎng)閘、防火墻、 路由器、三層路由交換機(jī)等 b) 應(yīng)能根據(jù)會(huì)話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級(jí)；路由器通過配置合理的訪問控制列表 ACL c) 應(yīng)對(duì)進(jìn)出網(wǎng)絡(luò)的信息內(nèi)

7、容進(jìn)展過濾，實(shí)現(xiàn)對(duì)應(yīng)用層、SMTP、POP3 等協(xié)議命令級(jí)的控制； 一般實(shí)現(xiàn)方式 ：防火墻 d) 應(yīng)在會(huì)話處于非活潑一定時(shí)間或會(huì)話完畢后終止網(wǎng)絡(luò)連接；5 一般在防火墻上實(shí)現(xiàn) e) 應(yīng)限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；f) 重要網(wǎng)段應(yīng)采取技術(shù)手段防止地址欺騙；g) 應(yīng)按用戶和系統(tǒng)之間的允許訪問規(guī)那么， 訪問，控制粒度為單個(gè)用戶； 4h) 應(yīng)限制具有撥號(hào)訪問權(quán)限的用戶數(shù)量。2 一般在防火墻上實(shí)現(xiàn) 3決定允許或拒絕用戶對(duì)受控系統(tǒng)進(jìn)展資源路由或相關(guān)設(shè)備應(yīng)提供限制具有撥號(hào)訪問權(quán)限的用戶數(shù)量的相關(guān)功能 注釋：1 ) 路由器上配置合理的訪問列表 為數(shù)據(jù)流提供明確的允許 / 拒絕訪問的能力，對(duì)進(jìn)出網(wǎng)絡(luò)的流量進(jìn)展

8、 過濾。流入流量過濾：用于過濾掉一些源ip不是公網(wǎng)ip的數(shù)據(jù)包，同時(shí)也用于限制外部對(duì)內(nèi)部網(wǎng) 絡(luò)效勞的訪問。 流出流量過濾 ：用于防止由單位內(nèi)部機(jī)器發(fā)出的偽造源 ip 的攻擊數(shù)據(jù)流。2 限制網(wǎng)絡(luò)的最大流量的方法 ：路由器、交換機(jī)可根據(jù) ip 地址、端口、協(xié)議來限制應(yīng)用數(shù)據(jù)流的最 大流量，還可以根據(jù) ip 地址來限制網(wǎng)絡(luò)連接數(shù)，從而保證業(yè)務(wù)帶寬不被占用，業(yè)務(wù)系統(tǒng)可以對(duì)外正 常提供效勞。 路由器的帶寬策略 一般采用分層的帶寬管理機(jī)制，管理員可以通過設(shè)置細(xì)粒度的帶寬 策略，對(duì)數(shù)據(jù)報(bào)文做帶寬限制和優(yōu)先級(jí)別設(shè)定，還可以通過源地址、目的地址、用戶和協(xié)議四個(gè)方面 來限制帶寬。show running-conf

9、ig display acl config al23 地址欺騙可以是 mac 地址，也可以是 ip 地址。目前發(fā)生比擬多的是 arp 地址欺騙， arp 地址欺騙是 mac 地址欺騙的一種。 Arp 地址解析協(xié)議是一種位于 TCP/IP 協(xié)議棧中的低層協(xié)議，負(fù)責(zé)將某個(gè) IP 地 址解析成對(duì)應(yīng)的 MAC 地址。ARP的分類：截獲網(wǎng)關(guān)數(shù)據(jù)。它通知網(wǎng)絡(luò)設(shè)備一系列錯(cuò)誤的MAC地址，并按照一定的頻率不斷進(jìn)行，使真實(shí)的地址信息無法通過更新保存在網(wǎng)絡(luò)設(shè)備中，結(jié)果網(wǎng)絡(luò)設(shè)備的所有數(shù)據(jù)只能發(fā)給錯(cuò)誤的 MAC 地址，造成正常 pc 無法收到信息。偽造網(wǎng)關(guān)。建立假網(wǎng)關(guān)，讓被他欺騙的pc向假網(wǎng)關(guān)發(fā)送數(shù)據(jù)，而不是通過正常

10、的途徑上網(wǎng)。一般來說， arp 欺騙攻擊的后果很嚴(yán)重，大多數(shù)情況下會(huì)造成大面積掉線。解決方法：O在網(wǎng)絡(luò)設(shè)備中把所有pc的ip-mac輸入一個(gè)靜態(tài)表中，這叫ip-mac綁定；在內(nèi)網(wǎng)所有 pc上設(shè)置網(wǎng)管的靜態(tài) arp信息，這叫pc ip-mac綁定Show ip arpdisplay arp4) 通過配置用戶、用戶組，并結(jié)合訪問控制規(guī)那么可以實(shí)現(xiàn)對(duì)認(rèn)證成功的用戶允許訪問受控資源show crypto isakmp policy； show crypto ipsec transform-set； show ip access-list。Display ipsec5) 當(dāng)惡意用戶進(jìn)展網(wǎng)絡(luò)攻擊時(shí)，有時(shí)會(huì)

11、發(fā)起大量會(huì)話連接，建立會(huì)話后長(zhǎng)時(shí)間保持狀態(tài)連接，從而占用 大量網(wǎng)絡(luò)資源，最終將網(wǎng)絡(luò)資源耗盡的情況。因此應(yīng)在會(huì)話終止或長(zhǎng)時(shí)間無響應(yīng)的情況下終止網(wǎng)絡(luò)連 接，釋放被占用網(wǎng)絡(luò)資源，保證業(yè)務(wù)可以被正常訪問。一般在防火墻上實(shí)現(xiàn)。平安審計(jì)G3路由器、交換機(jī)、防火墻、入侵檢測(cè)系統(tǒng)/防御系統(tǒng)a) 應(yīng)對(duì)網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運(yùn)行狀況、網(wǎng)絡(luò)流量、用戶行為等進(jìn)展日志記錄；b) 審計(jì)記錄應(yīng)包括：事件的日期和時(shí)間、用戶、 事件類型、 事件是否成功及其他與審 計(jì)相關(guān)的信息；c) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)展分析，并生成審計(jì)報(bào)表；d) 應(yīng)對(duì)審計(jì)記錄進(jìn)展保護(hù)，防止受到未預(yù)期的刪除、修改或覆蓋等。 注釋：查看日志記錄情況 ： show

12、logging display current-configuration網(wǎng)絡(luò)設(shè)備防護(hù)G3 路由器、交換機(jī)、防火墻、入侵檢測(cè)系統(tǒng)/防御系統(tǒng)a) 應(yīng)對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)展身份鑒別； 1b) 應(yīng)對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)展限制； 2c) 網(wǎng)絡(luò)設(shè)備用戶的標(biāo)識(shí)應(yīng)唯一；d) 主要網(wǎng)絡(luò)設(shè)備應(yīng)對(duì)同一用戶選擇兩種或兩種以上組合的鑒別技術(shù)來進(jìn)展身份鑒別；采用方法：雙因子鑒別 e) 身份鑒別信息應(yīng)具有不易被冒用的特點(diǎn)，口令應(yīng)有復(fù)雜度要求并定期更換；使用口令的組成、長(zhǎng)度和更改周期。對(duì)儲(chǔ)存在配置文件中的所有口令和類似數(shù)據(jù)進(jìn)展加密，可以防 止通過讀取配置文件而獲取明文口令 f) 應(yīng)具有登錄失敗處理功能， 可采取完畢

13、會(huì)話、 限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接 超時(shí)自動(dòng)退出等措施；可以利用命令配置 VTY 的超時(shí)，防止一個(gè)空閑的任務(wù)一直占用 VTY ， 從而防止惡意攻擊或遠(yuǎn)端系統(tǒng)的意外崩潰導(dǎo)致的資源獨(dú)占。 g) 當(dāng)對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)展遠(yuǎn)程管理時(shí)， 應(yīng)采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被 竊聽；不應(yīng)當(dāng)使用明文傳送的 telnet、 效勞，而應(yīng)當(dāng)采用 ssh、s 等加密協(xié)議等方式進(jìn)展交互式管理 h) 應(yīng)實(shí)現(xiàn)設(shè)備特權(quán)用戶的權(quán)限別離。 應(yīng)根據(jù)實(shí)際需要為用戶分配完成其任務(wù)的最小權(quán)限 注釋：1 用戶登錄路由器、交換機(jī)的方式：利用控制臺(tái)端口 console通過串口進(jìn)展本地連接登錄；利用輔助端口 AUX丨通過MODEM進(jìn)展遠(yuǎn)

14、程撥號(hào)鏈接登錄；MODEM 調(diào)制解調(diào)器實(shí)現(xiàn)數(shù)字信號(hào)和模擬信號(hào)之間的轉(zhuǎn)換。(5利用虛擬終端VTY丨通過TCP/IP網(wǎng)絡(luò)進(jìn)展遠(yuǎn)程 Telnet登錄等。無論那種登錄方式， 都需要對(duì)用戶身份進(jìn)展鑒別， 口令是路由器用來防止非授權(quán)訪問的常用手段，是路 由器本身平安的一局部。因此需要加強(qiáng)對(duì)路由器口令的管理，包括口令的設(shè)置、儲(chǔ)存，最好的口令存儲(chǔ)方法是保存在TACACS+或RADIUS認(rèn)證效勞器上。管理員應(yīng)當(dāng)依據(jù)需要為路由器相應(yīng)的端口加上身份 鑒別最根本的平安控制。路由器、交換機(jī)的口令平安包括兩類 ：設(shè)置登錄口令和設(shè)置使能口令特權(quán)密碼 。當(dāng)為特權(quán)用戶設(shè)置 口令時(shí)，應(yīng)當(dāng)使用 enable secret命令，該命

15、令用于設(shè)定具有管理員權(quán)限的口令，enable secret命令采用的是 MD5 算法，這種算法比 enable password 加密算法強(qiáng)，不容易被破解。show running-config display current-configuration2 為了保證網(wǎng)絡(luò)管理員對(duì)路由器平安訪問的同時(shí)，防止其他人的未授權(quán)訪問，最好的方法是 采用帶外管理，使用專用的管理終端和通訊路徑，將管理數(shù)據(jù)流和其他數(shù)據(jù)流分開，能夠有效地增加平安性。利用ip access-class限制訪問VTY虛擬終端的IP地址范圍。同時(shí)由于 VTY勺數(shù)目有一定的限制，當(dāng)所有的vty用完，就不能再建立遠(yuǎn)程的網(wǎng)絡(luò)連接了，通過限制

16、登錄地址，限制能夠防止DO敦?fù)艟芙^服務(wù)攻擊。3 雙因子鑒別 不僅需要訪問者知道一些信息，還需要訪問者擁有鑒別特征，如：令牌、智能卡、數(shù)字證書和生物信息等。第二章 主機(jī)平安測(cè)評(píng)身份鑒別S3操作系統(tǒng)測(cè)評(píng)、數(shù)據(jù)庫(kù)系統(tǒng)測(cè)評(píng)a) 應(yīng)對(duì)登錄操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的用戶進(jìn)展身份標(biāo)識(shí)和鑒別；1b) 操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)管理用戶身份標(biāo)識(shí)應(yīng)具有不易被冒用的特點(diǎn)， 口令應(yīng)有復(fù)雜 度要求并定期更換； 2c) 應(yīng)啟用登錄失敗處理功能， 可采取完畢會(huì)話、 限制非法登錄次數(shù)和自動(dòng)退出等措施d) 當(dāng)對(duì)效勞器進(jìn)展遠(yuǎn)程管理時(shí)， 應(yīng)采取必要措施， 防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被 竊聽；e) 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)的不同用戶分配不同

17、的用戶名，確保用戶名具有唯一 性。f) 應(yīng)采用兩種或兩種以上組合的鑒別技術(shù)對(duì)管理用戶進(jìn)展身份鑒別。注釋：1 身份標(biāo)識(shí)和鑒別就是用戶向系統(tǒng)以一種平安的方式提交自己的身份證實(shí)，然后由系統(tǒng)確認(rèn)用戶的身 份是否屬實(shí)的過程。 linux 用戶的口令經(jīng)過加密處理后存放于 /etc/passwd 文檔中?，F(xiàn)在的 linux 系統(tǒng) 中口令不再直接保存在 passwd文件中，通常將passwd文件中的口令字段使用一個(gè)“ x"來代替，將 /etc/shadow作為真正的口令文件，用于保存包括個(gè)人口令在內(nèi)的數(shù)據(jù)。淡然，shadow文件時(shí)不能被普通用戶讀取的，只有超級(jí)用戶才有權(quán)讀取。在root權(quán)限下，使用命

18、令 more、cat、vi查看/etc/passwd 和 /etc/shadow 文件中各用戶名的狀態(tài)。以 root 身份登錄進(jìn)入 linux 。 #cat/etc/passwd #cat/etc/shadow2丨控制和監(jiān)視密碼是不可缺少的。在 windows中，如設(shè)置密碼歷史記錄、設(shè)置密碼最常使用期限、設(shè)置 密碼最短使用期限、設(shè)置最短密碼長(zhǎng)度，設(shè)置密碼復(fù)雜性要求。Linux 中的 /etc/login.defs 是登錄程序的配置文件 ，在這里我們可以配置 最大過期天數(shù)，密碼的 最大長(zhǎng)度 約束等內(nèi)容。由于該文件對(duì) root 用戶無效，如果 /etc/shadow 文件里有一樣的選項(xiàng)，那么以 /

19、etc/shadow 里的設(shè)置為準(zhǔn)，也就是說 /etc/shadow 的配置優(yōu)先級(jí)別高于 /etc/login.defs 。 以root身份登錄進(jìn)入linux。#more/etc/login.defsPASS-MAX-DAYS 90 # 登錄密碼有效期 90天PASS-MIN-DAYS 0 # 登錄密碼最短修改時(shí)間， 設(shè)置為 0，那么禁用此功能。 防止非法用戶短期修改屢次。 PASS-MIN-LEN 8 # 登錄密碼最小長(zhǎng)度 8位PASS-WARN-AGE 7 # 登錄密碼過期提前 7天提示修改FAIL-DELAY 10# 登錄錯(cuò)誤時(shí)等待時(shí)間 10秒FAILLOG-ENAB yes # 登錄錯(cuò)

20、誤記錄到日志SYSLOG-SU-ENAB yes # 當(dāng)限定超級(jí)用戶管理日志時(shí)使用SYSLOG-SG-ENAB yes # 當(dāng)限定超級(jí)用戶組管理日志時(shí)使用MD5-CRYPT-ENAB yes # 當(dāng)使用MD5勺加密方法時(shí)使用3 ）windows 操作系統(tǒng)具備了登錄失敗處理功能，可以通過適當(dāng)?shù)呐渲谩百~戶鎖定策略來對(duì)用戶的的登 錄進(jìn)展限制，如賬戶鎖定闕值、賬戶鎖定時(shí)間、復(fù)位賬戶鎖定計(jì)數(shù)器等。當(dāng)?shù)卿浭〈螖?shù)超過管理員 指定值時(shí)可以禁用該賬戶。賬戶鎖定闕值 ：確定用戶賬戶被鎖定的登錄嘗試失敗的次數(shù)， 在管理員重置鎖定賬戶或賬戶鎖定時(shí)期 滿之前，無法使用該鎖定賬戶，次數(shù)可介于 0-999 之間，如果將值

21、置為 0，那么永遠(yuǎn)不會(huì)鎖定賬戶。 賬戶鎖定時(shí)間 ：確定鎖定賬戶在自動(dòng)解鎖前，保持鎖定的分鐘數(shù)，可用范圍 0-99,999. 如果將鎖定時(shí) 設(shè)置為 0，賬戶將被一直鎖定，指導(dǎo)管理員明確對(duì)它的鎖定。如果定義了賬戶鎖定闕值，那么賬戶鎖 定時(shí)間必須大于等于重置時(shí)間。 復(fù)位賬戶鎖定計(jì)數(shù)器 ：確定在某次登錄嘗試失敗之后將登錄嘗試失敗計(jì)數(shù)器重置為0次錯(cuò)誤登錄嘗試之前需要的時(shí)間。可用范圍是 1 到 99,999 分鐘。如果定義了帳戶鎖定閾值，此重置時(shí)間必須小于 或等于帳戶鎖定時(shí)間。只有在指定了帳戶鎖定閾值時(shí)，此策略設(shè)置才有意義。4linux系統(tǒng)具有調(diào)用PAM應(yīng)用程序可以用來認(rèn)證用戶、登錄效勞、屏保等功能，其中

22、的一個(gè)重要的文件/etc/pam.d/system-auth，它是pam-stack.so模塊的標(biāo)準(zhǔn)控制文件，在這個(gè)文件中可以通過配置參數(shù)，設(shè)置登錄失敗斷開連接的次數(shù)等。要獲得最大程度的平安性，建議在3-5 次登錄嘗試失敗后鎖定賬戶，且不要在 30分鐘內(nèi)重新啟用該賬戶，并將鎖定時(shí)間設(shè)置為“永久鎖定直到管理員解開鎖定在linux 操作系統(tǒng)中，以root身份登錄進(jìn)入linux的命令：#cat/etc/pam.d/system-auth查看是否存在“ account required/lib/security/pam-tally.so deny=5 no-magic-root reset5 ）在li

23、nux操作系統(tǒng)中：以root身份登錄linux 。首先查看是否安裝 SSH勺相應(yīng)的包：#rpm -aq|grep ssh或查看是否安裝 SSH勺相應(yīng)包：# service -status-all | grep sshd 如果已經(jīng)安裝那么查看相關(guān)的端口是否翻開： # netstat -an|grep sshd 22 假設(shè)未使用SSHT式進(jìn)展遠(yuǎn)程管理，那么查看是否使用了Telnet方式進(jìn)展遠(yuǎn)程管理：# service -status-all | grep running查看是否存在 Telnet 效勞。數(shù)據(jù)庫(kù)系統(tǒng)Sql 查看是否存在空口令用戶 ： select * from syslogins w

24、here password is nullOracle 查看是否啟用口令復(fù)雜度函數(shù) select limit from dba-profiles where profile=“ DEFAULTand resource-name= PASSWORD-VERIFY-FUNTI'ON登錄失敗嘗試次數(shù)的 限制 select limit from dba-profiles where profile= “ DEFAULT and resource-name="FAILED-LOGIN-ATTEMPTS"（值為 unlimited 表示沒有限制）口令鎖定時(shí)間的設(shè)置語句 sele

25、ct limit from dba-profiles where profile=“DEFAULT andresource-name="PASSWORD-LOCK-TIME'值為 unlimited 表示沒有限制）訪問控制S3操作系統(tǒng)測(cè)評(píng)、數(shù)據(jù)庫(kù)系統(tǒng)測(cè)評(píng)a）應(yīng)啟用訪問控制功能，依據(jù)平安策略控制用戶對(duì)資源的訪問；b）應(yīng)根據(jù)管理用戶的角色分配權(quán)限， 實(shí)現(xiàn)管理用戶的權(quán)限別離， 僅授予管理用戶所需 的最小權(quán)限； 2c) 應(yīng)實(shí)現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限別離；3d) 應(yīng)嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限， 重命名系統(tǒng)默認(rèn)帳戶， 修改這些帳戶的默認(rèn)口令；e) 應(yīng)及時(shí)刪除多余的、過期的帳戶

26、，防止共享帳戶的存在。f) 應(yīng)對(duì)重要信息資源設(shè)置敏感標(biāo)記； 4g) 應(yīng)依據(jù)平安策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作；注釋：1 訪問控制是平安防范和保護(hù)的主要策略，它不僅僅用于網(wǎng)絡(luò)層面，同樣也適用于主機(jī)層面。它的 主 要任務(wù) 是保證系統(tǒng)資源不被非法使用和訪問，使用訪問控制的 目的 在于通過限制用戶對(duì)特定資源的 訪問，來保護(hù)系統(tǒng)資源。在操作系統(tǒng)中的每一個(gè)文件和目錄都包含有訪問權(quán)限，這些訪問權(quán)限決定 了誰能訪問和如何訪問這些文件和目錄。對(duì)于 linux 中的一些重要文件，應(yīng)檢查 linux 系統(tǒng)主要的權(quán) 限設(shè)置情況，對(duì)于 配置文件 權(quán)限值不能大于 644，對(duì)于可執(zhí)行文件不能大于 755.以

27、root身份登錄進(jìn)入linux，使用命令：Is -I文件名，查看重要文件和目錄權(quán)限設(shè)置是否合理，如：#ls -l/etc/passwd #744查看共享情況，在命令行模式下輸入 net share 查看注冊(cè)表：HKEY-LOCAL-MACHINESYSTEMCurrentControlSetControllsarestrictanony mous值是否為 00表示共享2 根據(jù)管理用戶的角色對(duì)權(quán)限做出標(biāo)準(zhǔn)細(xì)致的劃分，有利于各崗位細(xì)致協(xié)調(diào)的工作。同時(shí)對(duì)授權(quán)模塊進(jìn)展一些授權(quán)管理，并且系統(tǒng)的授權(quán)平安管理工作要做到細(xì)致，今授予管理用戶所需的最小權(quán)限，避 免出現(xiàn)權(quán)限的漏洞，使一些高級(jí)用戶擁有過大的權(quán)限。3

28、 操作系統(tǒng)特權(quán)用戶 可以擁有以下權(quán)限：安裝和配置系統(tǒng)的硬件和軟件、建立和管理用戶賬戶、升級(jí)軟件、備份和恢復(fù)等業(yè)務(wù)，從而保證操作系統(tǒng)的可用性、完整性和平安性。數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶 對(duì)數(shù)據(jù)庫(kù)的安裝、配置、升級(jí)和遷移以及數(shù)據(jù)庫(kù)用戶的管理，從而保證數(shù)據(jù)庫(kù) 系統(tǒng)的可用性、完整性平安性。將操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)特權(quán)用戶的權(quán)限別離，能夠防止一些特權(quán)用戶擁有過大的權(quán)限以及減少一些 認(rèn)為的誤操作，做到職責(zé)清楚。4 敏感標(biāo)記 ：是強(qiáng)制訪問控制的依據(jù)，主客體都有，它存在的形式無所謂，可能是整形的數(shù)字，也肯能是字母， 他表示主客體的平安級(jí)別。 敏感標(biāo)記是由強(qiáng)認(rèn)證的平安管理員進(jìn)展設(shè)置的， 通過對(duì)重要信息資 源設(shè)置敏感標(biāo)記，

29、決定主體以何種權(quán)限為客體進(jìn)展操作，實(shí)現(xiàn)強(qiáng)制訪問控制。數(shù)據(jù)庫(kù)Sql 中查看是否存在多余過期的賬戶 ： select from sysloginsoracle 中查看是否存在多余過期的賬 戶： select username ， account-status from dba-users 查看是否安裝 oracle label security 模塊： select username from dba-users 查看是否創(chuàng)立策略 ： select policy_name ， status from DBA-SA-POLICIES 查看是否創(chuàng)立級(jí)別 ： select * from dba-sa-l

30、evels order by lever-num 查看標(biāo)簽創(chuàng)立情況 ： select * from dba-sa-label查看策略與模式、表的對(duì)應(yīng)關(guān)系 ： select * from dba-sa-tabel-policies；判斷是否針對(duì)重要信息資源設(shè)置敏感標(biāo)簽。平安審計(jì)G3 操作系統(tǒng)測(cè)評(píng)、數(shù)據(jù)庫(kù)系統(tǒng)測(cè)評(píng)a) 審計(jì)范圍應(yīng)覆蓋到效勞器和重要客戶端上的每個(gè)操作系統(tǒng)用戶和數(shù)據(jù)庫(kù)用戶； 1b) 審計(jì)內(nèi)容應(yīng)包括重要用戶行為、 系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng) 內(nèi)重要的平安相關(guān)事件； 2c) 審計(jì)記錄應(yīng)包括事件的日期、時(shí)間、類型、主體標(biāo)識(shí)、客體標(biāo)識(shí)和結(jié)果等；d) 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)展分析

31、，并生成審計(jì)報(bào)表；e) 應(yīng)保護(hù)審計(jì)進(jìn)程，防止受到未預(yù)期的中斷；4f) 應(yīng)保護(hù)審計(jì)記錄，防止受到未預(yù)期的刪除、修改或覆蓋等。5注釋：1 )以 root 身份登錄進(jìn)入 Linux ，查看效勞進(jìn)程：系統(tǒng)日志效勞 #service syslog status#service audit status或 #service -status-all|grep auditd2 在 linux 中 /etc/audit/audit.conf文件制定如何寫入審查記錄以及在那里寫入、日志超出可用磁盤空間后如何處理等內(nèi)容。 /etc/audit/ 和/etc/audit/filters.conf指定內(nèi)核用來判定系統(tǒng)調(diào)

32、用是否要審查的規(guī)那么。3丨在linux操作系統(tǒng)中，使用aucat和augrep工具查看審計(jì)日志：#aucat|tail-100 # 查看最近的 100條審計(jì)記錄；#augrep -e TEXT -U AUTH-success #查看所有成功 PAM授權(quán)。4 )在Linux中，Auditd是審計(jì)守護(hù)進(jìn)程，syslogd是日志守護(hù)進(jìn)程，保護(hù)好審計(jì)進(jìn)程當(dāng)事件發(fā)生時(shí)，能及時(shí)記錄事件發(fā)生的詳細(xì)內(nèi)容。5 非法用戶進(jìn)入系統(tǒng)后的第一件事情就是去清理系統(tǒng)日志和審計(jì)日志，而發(fā)現(xiàn)入侵的最簡(jiǎn)單最直接的方法就是去看系統(tǒng)記錄和平安審計(jì)文件。數(shù)據(jù)庫(kù)Oracle 查看是否開啟審計(jì)功能 ： select value from

33、v$paramater where name='audit-trail'或Show parmeter audit-trail查看是否對(duì)所有 sys用戶的操作進(jìn)展了記錄： show parameter audit-sys-operation查看是否對(duì) sel ， upd， del ins 操作進(jìn)展了審計(jì)： select sel ， upd， del ins from dba-obj-audit-opts 查看審計(jì)是否設(shè)置成功： select * from dba-stmt-audit-opts查看權(quán)限審計(jì)選項(xiàng)： select * from dba-priv-audit-opts剩

34、余信息保護(hù)S3操作系統(tǒng)測(cè)評(píng)a) 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫(kù)系統(tǒng)用戶的鑒別信息所在的存儲(chǔ)空間， 被釋放或再分配給 其他用戶前得到完全去除，無論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)確保系統(tǒng)內(nèi)的文件、 目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間， 被釋放或重新分 配給其他用戶前得到完全去除。入侵防范G3 操作系統(tǒng)測(cè)評(píng)a) 應(yīng)能夠檢測(cè)到對(duì)重要效勞器進(jìn)展入侵的行為，能夠記錄入侵的源IP 、攻擊的類型、攻擊的目的、攻擊的時(shí)間，并在發(fā)生嚴(yán)重入侵事件時(shí)提供報(bào)警；b) 應(yīng)能夠?qū)χ匾绦虻耐暾赃M(jìn)展檢測(cè)， 并在檢測(cè)到完整性受到破壞后具有恢復(fù)的措 施；c) 操作系統(tǒng)應(yīng)遵循最小安裝的原那么， 僅安裝需要的組件和應(yīng)用程序

35、， 并通過設(shè)置升 級(jí)效勞器等方式保持系統(tǒng)補(bǔ)丁及時(shí)得到更新。 涉及的兩個(gè)方面系統(tǒng)效勞和監(jiān)聽端口， 補(bǔ)丁升級(jí)，對(duì)多余的系統(tǒng)效勞可以禁用或卸載 注釋：1 入侵威脅 分為：外部滲透、內(nèi)部滲透和不法行為。入侵行為 分為：物理入侵、系統(tǒng)入侵和遠(yuǎn)程入侵。造成入侵威脅的入侵行為 主要是 系統(tǒng)入侵和遠(yuǎn)程入侵兩種。系統(tǒng)入侵 指入侵者在擁有系統(tǒng)的一個(gè)低級(jí)賬號(hào)權(quán)限下進(jìn)展的破壞活動(dòng)。如果系統(tǒng)沒有及時(shí)更新最 近的補(bǔ)丁程序，那么擁有低級(jí)權(quán)限的用戶就可能利用系統(tǒng)漏洞獲取更高的管理權(quán)限遠(yuǎn)程入侵 指入侵者通過網(wǎng)絡(luò)滲透到一個(gè)系統(tǒng)中，這種情況下，入侵者通常不具備任何特殊權(quán)限，他 們要通過漏洞掃描或端口掃描等技術(shù)發(fā)現(xiàn)攻擊目標(biāo)，再利用相

36、關(guān)技術(shù)執(zhí)行破壞活動(dòng)。2 查看入侵的重要線索的命令： #more/var/log/secure|grep refused查看是否啟用了主機(jī)防火墻、 RCP SY保護(hù)機(jī)制等設(shè)置的命令：find/-name<daemon name>-print檢查是否安裝了一下主機(jī)入侵檢測(cè)軟件。3 ) 監(jiān)聽端口的命令： netstat -an確認(rèn)系統(tǒng)目前正在運(yùn)行的效勞： #service -status-all|grep running查看補(bǔ)丁安裝情況的命令： #rpm-qa|grep patch惡意代碼防范G3 操作系統(tǒng)測(cè)評(píng)a) 應(yīng)安裝防惡意代碼軟件，并及時(shí)更新防惡意代碼軟件版本和惡意代碼庫(kù)；b) 主

37、機(jī)防惡意代碼產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫(kù)；c) 應(yīng)支持防惡意代碼的統(tǒng)一管理。 統(tǒng)一更新，定時(shí)查殺 資源控制A3操作系統(tǒng)測(cè)評(píng)、數(shù)據(jù)庫(kù)系統(tǒng)測(cè)評(píng) a、b、da) 應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終端登錄；1b) 應(yīng)根據(jù)平安策略設(shè)置登錄終端的操作超時(shí)鎖定；2c) 應(yīng)對(duì)重要效勞器進(jìn)展監(jiān)視，包括監(jiān)視效勞器的 CPU硬盤、內(nèi)存、網(wǎng)絡(luò)等資源的使 用情況；d) 應(yīng)限制單個(gè)用戶對(duì)系統(tǒng)資源的最大或最小使用限度；e) 應(yīng)能夠?qū)ο到y(tǒng)的效勞水平降低到預(yù)先規(guī)定的最小值進(jìn)展檢測(cè)和報(bào)警。3注釋：1 系統(tǒng)資源是指CPU存儲(chǔ)空間、傳輸帶寬等軟硬件資源。應(yīng)通過設(shè)定終端接入方式、網(wǎng)絡(luò)地址范圍等條件限制終

38、端登錄，可以極大地節(jié)省系統(tǒng)資源，保證了 系統(tǒng)的可用性，同時(shí)也提高了系統(tǒng)的平安性。Windows 系統(tǒng)可以通過主機(jī)防火墻或 TCP/IP 篩選來實(shí)現(xiàn)以上功能，在 linux 系統(tǒng)中存在/etc/hosts.allow和 /etc/hosts.deny兩個(gè)文件，它們是 tcpd 效勞器的配置文件， tcpd 效勞器可以控制外部 IP 對(duì)本機(jī)效勞的訪問。其中 /etc/hosts.allow 控制可以訪問本機(jī)的 IP,/etc/hosts.deny 控制 制止訪問本機(jī)的 IP ，如果兩個(gè)文件的配置有沖突，以 /etc/hosts.deny 為準(zhǔn)。2 假設(shè)是通過遠(yuǎn)程終端進(jìn)展連接 windows 效勞器

39、系統(tǒng)，可以通過設(shè)置超時(shí)連接來限制終端操作超時(shí)； 假設(shè)是本地登錄，那么通過開啟帶有密碼功能屏幕保護(hù)。3丨如磁盤空間缺乏、CPI利用率過高、硬件發(fā)生故障等，通過報(bào)警機(jī)制，將問題現(xiàn)象發(fā)送給相關(guān)負(fù)責(zé)人，及時(shí)定位引起問題的原因和對(duì)異常情況進(jìn)展處理，從而防止故障的發(fā)生或?qū)⒂绊憸p小到最低。數(shù)據(jù)庫(kù)Sql 查看是否設(shè)置了超時(shí)時(shí)間 : 在查詢分析器中執(zhí)行命令 sp-configure 'remote login timeout（s）'Oracle 查看空閑超時(shí)設(shè)置 ： select limit from dba-profiles where profile=“ DEFAULT andresourc

40、e-name="IDLE-TIME"（ 值為 unlimited 表示沒有限制 ）確定用戶使用的 profile ，針對(duì)指定用戶的 profile ，查看其限制 以 defaut 為例：select username ， pro dba-users查看是否對(duì)每個(gè)用戶所允許的并行會(huì)話數(shù)進(jìn)展了限制 ： select limit from dba-profiles where profile= “ DEFAULT and resource-name="SESSION-PER-USERS"（ 值為 unlimited 表示沒有限制 ）查看是否對(duì)一個(gè)會(huì)話可以使用的

41、CPU寸間進(jìn)展了限制：select limit from dba-profiles whereprofile= “ DEFAULT and resource-name="CPU-PER-SESSION"（ 值為 unlimited 表示沒有限制 ） 查看是否對(duì)允許空閑會(huì)話的時(shí)間進(jìn)展了限制： select limit from dba-profiles where profile=“DEFAULT and resource-name="IDLE-TIME"（ 值為 unlimited 表示沒有限制 ）第三章 應(yīng)用平安3.1 身份鑒別 S3a) 應(yīng)提供專用的

42、登錄控制模塊對(duì)登錄用戶進(jìn)展身份標(biāo)識(shí)和鑒別；b) 應(yīng)對(duì)同一用戶采用兩種或兩種以上組合的鑒別技術(shù)實(shí)現(xiàn)用戶身份鑒別；c) 應(yīng)提供用戶身份標(biāo)識(shí)唯一和鑒別信息復(fù)雜度檢查功能， 保證應(yīng)用系統(tǒng)中不存在重復(fù) 用戶身份標(biāo)識(shí)，身份鑒別信息不易被冒用；d) 應(yīng)提供登錄失敗處理功能， 可采取完畢會(huì)話、 限制非法登錄次數(shù)和自動(dòng)退出等措施；e) 應(yīng)啟用身份鑒別、 用戶身份標(biāo)識(shí)唯一性檢查、 用戶身份鑒別信息復(fù)雜度檢查以及登 錄失敗處理功能，并根據(jù)平安策略配置相關(guān)參數(shù)。3.2 訪問控制 S3a) 應(yīng)提供訪問控制功能，依據(jù)平安策略控制用戶對(duì)文件、數(shù)據(jù)庫(kù)表等客體的訪問；b) 訪問控制的覆蓋范圍應(yīng)包括與資源訪問相關(guān)的主體、客體及它

43、們之間的操作；c) 應(yīng)由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)帳戶的訪問權(quán)限；d) 應(yīng)授予不同帳戶為完成各自承當(dāng)任務(wù)所需的最小權(quán)限， 并在它們之間形成相互制約 的關(guān)系。e) 應(yīng)具有對(duì)重要信息資源設(shè)置敏感標(biāo)記的功能；f) 應(yīng)依據(jù)平安策略嚴(yán)格控制用戶對(duì)有敏感標(biāo)記重要信息資源的操作；3.3 平安審計(jì) G3a) 應(yīng)提供覆蓋到每個(gè)用戶的平安審計(jì)功能，對(duì)應(yīng)用系統(tǒng)重要平安事件進(jìn)展審計(jì)；b) 應(yīng)保證無法單獨(dú)中斷審計(jì)進(jìn)程，無法刪除、修改或覆蓋審計(jì)記錄； (1)c) 審計(jì)記錄的內(nèi)容至少應(yīng)包括事件的日期、 時(shí)間、 發(fā)起者信息、 類型、描述和結(jié)果等；d) 應(yīng)提供對(duì)審計(jì)記錄數(shù)據(jù)進(jìn)展統(tǒng)計(jì)、查詢、分析及生成審計(jì)報(bào)表的功能

44、。注釋：1 ) 應(yīng)用系統(tǒng)應(yīng)對(duì)審計(jì)進(jìn)程或功能進(jìn)展保護(hù)，如果處理審計(jì)的事務(wù)是一個(gè)單獨(dú)的進(jìn)程，那么應(yīng)用系統(tǒng)對(duì)審 計(jì)進(jìn)程進(jìn)展保護(hù)，不允許非授權(quán)用戶對(duì)進(jìn)程進(jìn)展中斷；如果審計(jì)是一個(gè)獨(dú)立的功能，那么應(yīng)用系統(tǒng)應(yīng)防 止非授權(quán)用戶關(guān)閉審計(jì)功能。應(yīng)用系統(tǒng)應(yīng)對(duì)審計(jì)記錄進(jìn)展保護(hù)，防止非授權(quán)刪除、修改或覆蓋審計(jì)記錄。3.4 剩余信息保護(hù) S3a) 應(yīng)保證用戶鑒別信息所在的存儲(chǔ)空間被釋放或再分配給其他用戶前得到完全去除， 無論這些信息是存放在硬盤上還是在內(nèi)存中；b) 應(yīng)保證系統(tǒng)內(nèi)的文件、 目錄和數(shù)據(jù)庫(kù)記錄等資源所在的存儲(chǔ)空間被釋放或重新分配 給其他用戶前得到完全去除。注釋：1 有的應(yīng)用系統(tǒng)將用戶的鑒別信息放在內(nèi)存中進(jìn)展處理

45、，處理完成后沒有及時(shí)將其去除，這樣其他的用戶通過一些非正常手段就有可能獲取該用戶的鑒別信息。2 有的應(yīng)用系統(tǒng)在使用過程中可能會(huì)產(chǎn)生一些臨時(shí)文件，這些臨時(shí)文件中可能會(huì)記錄一些敏感信息，當(dāng)將這些資源分配給其他用戶是我，其他用戶就可能獲取到這些敏感信息。3.5 通信完整性 S3 應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性。 注釋：為了防止數(shù)據(jù)在傳輸時(shí)被修改或破壞，應(yīng)用系統(tǒng)必須確保通信過程中的數(shù)據(jù)完整性，通信雙方利用密 碼算法，來保證數(shù)據(jù)的完整性。3.6 通信保密性 S3a) 在通信雙方建立連接之前，應(yīng)用系統(tǒng)應(yīng)利用密碼技術(shù)進(jìn)展會(huì)話初始化驗(yàn)證；b) 應(yīng)對(duì)通信過程中的整個(gè)報(bào)文或會(huì)話過程進(jìn)展加密。3.7 抗抵

46、賴 G3a) 應(yīng)具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)原發(fā)證據(jù)的功能；b) 應(yīng)具有在請(qǐng)求的情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能。3.8 軟件容錯(cuò) A3a) 應(yīng)提供數(shù)據(jù)有效性檢驗(yàn)功能， 保證通過人機(jī)接口輸入或通過通信接口輸入的數(shù)據(jù)格 式或長(zhǎng)度符合系統(tǒng)設(shè)定要求；b) 應(yīng)提供自動(dòng)保護(hù)功能， 當(dāng)故障發(fā)生時(shí)自動(dòng)保護(hù)當(dāng)前所有狀態(tài)， 保證系統(tǒng)能夠進(jìn)展恢 復(fù)。3.9 資源控制 A3a) 當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時(shí)間內(nèi)未作任何響應(yīng)， 另一方應(yīng)能夠自動(dòng)完 畢會(huì)話；b) 應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)會(huì)話連接數(shù)進(jìn)展限制；c) 應(yīng)能夠?qū)蝹€(gè)帳戶的多重并發(fā)會(huì)話進(jìn)展限制；d) 應(yīng)能夠?qū)σ粋€(gè)時(shí)間段內(nèi)可

47、能的并發(fā)會(huì)話連接數(shù)進(jìn)展限制；e) 應(yīng)能夠?qū)σ粋€(gè)訪問帳戶或一個(gè)請(qǐng)求進(jìn)程占用的資源分配最大限額和最小限額；f) 應(yīng)能夠?qū)ο到y(tǒng)效勞水平降低到預(yù)先規(guī)定的最小值進(jìn)展檢測(cè)和報(bào)警；g) 應(yīng)提供效勞優(yōu)先級(jí)設(shè)定功能， 并在安裝后根據(jù)平安策略設(shè)定訪問帳戶或請(qǐng)求進(jìn)程的 優(yōu)先級(jí)，根據(jù)優(yōu)先級(jí)分配系統(tǒng)資源。第四章 數(shù)據(jù)平安4.1 數(shù)據(jù)完整性 S3a) 應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、 鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性受到破 壞，并在檢測(cè)到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施；重傳或其他方式b) 應(yīng)能夠檢測(cè)到系統(tǒng)管理數(shù)據(jù)、 鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲(chǔ)過程中完整性受到破 壞，并在檢測(cè)到完整性錯(cuò)誤時(shí)采取必要的恢復(fù)措施。4.2 數(shù)

48、據(jù)保密性 S3a) 應(yīng)采用加密或其他有效措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、 鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸保密 性；b) 應(yīng)采用加密或其他保護(hù)措施實(shí)現(xiàn)系統(tǒng)管理數(shù)據(jù)、 鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲(chǔ)保密 性。4.3 備份和恢復(fù) A3a) 應(yīng)提供本地?cái)?shù)據(jù)備份與恢復(fù)功能， 完全數(shù)據(jù)備份至少每天一次， 備份介質(zhì)場(chǎng)外存放；b) 應(yīng)提供異地?cái)?shù)據(jù)備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定時(shí)批量傳送至備用場(chǎng)地；c) 應(yīng)采用冗余技術(shù)設(shè)計(jì)網(wǎng)絡(luò)拓?fù)錁?gòu)造，防止關(guān)鍵節(jié)點(diǎn)存在單點(diǎn)故障；d) 應(yīng)提供主要網(wǎng)絡(luò)設(shè)備、 通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余， 保證系統(tǒng)的高可用性。 注釋：1 對(duì)數(shù)據(jù)進(jìn)展備份，是防止數(shù)據(jù)遭到破壞后無法使用的最好方法。通過對(duì)數(shù)據(jù)采取

49、不同的備份方式和 形式等，保證系統(tǒng)重要數(shù)據(jù)在發(fā)生破壞后能夠被恢復(fù)。2 對(duì)于配置文件、應(yīng)用程序這類數(shù)據(jù)一般變化較小，一般是在其發(fā)生變化時(shí)才進(jìn)展備份。而業(yè)務(wù)數(shù)據(jù) 由于其具有重要程度高、 變化快等特點(diǎn)， 它是備份的主題 如每天、 每小時(shí)等 批量傳送至備用場(chǎng)地。第五章 物理平安5.1 物理位置的選擇 G3a) 機(jī)房和辦公場(chǎng)地應(yīng)選擇在具有防震、防風(fēng)和防雨等能力的建筑內(nèi)；b) 機(jī)房和辦公場(chǎng)地應(yīng)防止在建筑物的頂層或地下室，以及用水設(shè)備的下層或隔壁。5.2 物理訪問控制 G3a) 機(jī)房出入口應(yīng)安排專人值守，控制、鑒別和記錄進(jìn)入的人員；b) 需進(jìn)入機(jī)房的來訪人員應(yīng)經(jīng)過申請(qǐng)和審批流程，并限制和監(jiān)控其活動(dòng)范圍；c)

50、 應(yīng)對(duì)機(jī)房劃分區(qū)域進(jìn)展管理， 區(qū)域和區(qū)域之間設(shè)置物理隔離裝置， 在重要區(qū)域前設(shè) 置交付或安裝等過渡區(qū)域；d) 重要區(qū)域應(yīng)配置電子門禁系統(tǒng)，控制、鑒別和記錄進(jìn)入的人員。 注釋：采取門禁、專人值守、專人陪同、審批登記、區(qū)域隔離等必要的措施，對(duì)機(jī)房的出入及人員進(jìn)入機(jī)房 后的活動(dòng)進(jìn)展管理和控制5.3 防盜竊和防破壞 G3a)b)c)d)e)f) 注釋：應(yīng)將主要設(shè)備放置在機(jī)房?jī)?nèi)； 應(yīng)將設(shè)備或主要部件進(jìn)展固定，并設(shè)置明顯的不易除去的標(biāo)記； 應(yīng)將通信線纜鋪設(shè)在隱蔽處，可鋪設(shè)在地下或管道中； 應(yīng)對(duì)介質(zhì)分類標(biāo)識(shí)，存儲(chǔ)在介質(zhì)庫(kù)或檔案室中； 應(yīng)利用光、電等技術(shù)設(shè)置機(jī)房防盜報(bào)警系統(tǒng)； 應(yīng)對(duì)機(jī)房設(shè)置監(jiān)控報(bào)警系統(tǒng)。機(jī)房安

51、裝視頻監(jiān)控和防盜報(bào)警系統(tǒng)，設(shè)備固定并粘貼標(biāo)記，存儲(chǔ)介質(zhì)分類平安存放，通信線纜隱蔽鋪設(shè)5.4 防雷擊 G3a) 機(jī)房建筑應(yīng)設(shè)置避雷裝置；b) 應(yīng)設(shè)置防雷保安器，防止感應(yīng)雷；c) 機(jī)房應(yīng)設(shè)置交流電源地線。注釋：機(jī)房建筑、機(jī)房?jī)?nèi)部的電源線、信號(hào)線及電子設(shè)備采取必要的防雷措施5.5 防火 G3a) 機(jī)房應(yīng)設(shè)置火災(zāi)自動(dòng)消防系統(tǒng)，能夠自動(dòng)檢測(cè)火情、自動(dòng)報(bào)警，并自動(dòng)滅火；b) 機(jī)房及相關(guān)的工作房間和輔助房應(yīng)采用具有耐火等級(jí)的建筑材料；c) 機(jī)房應(yīng)采取區(qū)域隔離防火措施，將重要設(shè)備與其他設(shè)備隔離開。注釋：安裝消防設(shè)備和采用防火材料裝修機(jī)房，以及進(jìn)展區(qū)域隔離防火措施5.6 防水和防潮 G3a)b)c)d) 注釋：

52、水管安裝,不得穿過機(jī)房屋頂和活動(dòng)地板下； 應(yīng)采取措施防止雨水通過機(jī)房窗戶、屋頂和墻壁滲透； 應(yīng)采取措施防止機(jī)房?jī)?nèi)水蒸氣結(jié)露和地下積水的轉(zhuǎn)移與滲透； 應(yīng)安裝對(duì)水敏感的檢測(cè)儀表或元件,對(duì)機(jī)房進(jìn)展防水檢測(cè)和報(bào)警。正確、合理設(shè)計(jì)機(jī)房?jī)?nèi)的各種水、蒸汽或氣體管道，盡量避開主要設(shè)備，配備除濕裝置，安裝防水檢測(cè) 裝置及時(shí)發(fā)現(xiàn)水患隱情。5.7 防靜電 G3a)b) 注釋：主要設(shè)備應(yīng)采用必要的接地防靜電措施； 機(jī)房應(yīng)采用防靜電地板、防靜電工作臺(tái)。機(jī)房采用防靜電地板、防靜電工作臺(tái)、關(guān)鍵設(shè)備接地等。如果信息系統(tǒng)位于氣候枯燥、易產(chǎn)生靜電地區(qū)， 還應(yīng)檢查是否有靜電消除劑或靜電消除器等措施。氣候枯燥靜電極易產(chǎn)生。5.8 溫

53、濕度控制 G3 配備機(jī)房專用空調(diào)等溫、 濕度自動(dòng)調(diào)節(jié)裝置， 保證機(jī)房溫度和濕度分別在設(shè)備運(yùn)行所允 許的范圍之內(nèi)。注釋： 理想的空氣濕度范圍被定義在 40%-70% ；溫度 20度左右5.9 電力供給 A3a)b)c)d) 注釋：應(yīng)在機(jī)房供電線路上配置穩(wěn)壓器和過電壓防護(hù)設(shè)備； 應(yīng)提供短期的備用電力供給,至少滿足主要設(shè)備在斷電情況下的正常運(yùn)行要求； 應(yīng)設(shè)置冗余或并行的電力電纜線路為計(jì)算機(jī)系統(tǒng)供電； 應(yīng)建立備用供電系統(tǒng)。在供電線路或設(shè)備上安裝穩(wěn)壓器或過電壓保護(hù)裝置，設(shè)置冗余或并行的電力電纜線路，為一些關(guān)鍵系統(tǒng)和設(shè)備配備不連續(xù)電源UPS和備份供電系統(tǒng)。電力波動(dòng)對(duì)一些精細(xì)的電子配件造成嚴(yán)重物理?yè)p害,電力

54、供給的意外中斷會(huì)造成設(shè)備無法正常工作。5.10 電磁防護(hù) S3a) 應(yīng)采用接地方式防止外界電磁干擾和設(shè)備寄生耦合干擾；b) 電源線和通信線纜應(yīng)隔離鋪設(shè)，防止互相干擾；c) 應(yīng)對(duì)關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。注釋：設(shè)備外殼接地、電源線和通信線纜隔離鋪設(shè)、對(duì)關(guān)鍵設(shè)備和磁介質(zhì)實(shí)施電磁屏蔽。電磁設(shè)備的電磁輻 射不僅會(huì)造成設(shè)備之間的相互干擾，也可能造成重要數(shù)據(jù)信息的泄露。一些線路鋪設(shè)和設(shè)計(jì)的不合理也 可能會(huì)造成電磁耦合與干擾，造成數(shù)據(jù)傳輸錯(cuò)誤。第六章平安管理測(cè)評(píng)6.1平安管理制度應(yīng)制定信a)信榕平安基作網(wǎng)體絡(luò)和隱策患掃掃說明描構(gòu)平系工作統(tǒng)總體目標(biāo)、范圍、原那么和平安框架等;b)c)應(yīng)對(duì)平安管理活動(dòng)中的各

55、類管理內(nèi)容建立平安管理制度; 應(yīng)對(duì)要求管理人員或操作：行的勺日管理操作建立操作規(guī)程;d）應(yīng)形成由平安策略、管理制度、操作規(guī)程等構(gòu)成的全面的信息平安管理制度體系。建立總體方針政策文件、各類管理制度、各種操作規(guī)程構(gòu)成的信息平安管理制度文件體系，總體平安方針政策說明機(jī)構(gòu)信息平安工作的使命和意愿、定義信息平安的總體目標(biāo)、規(guī)定信息平安責(zé)任機(jī)構(gòu)和職責(zé)、建立信息平安工作運(yùn)行模式等，平安管理制度對(duì)信息系統(tǒng)的建立、 開發(fā)、運(yùn)維、升級(jí)和改造等各個(gè)階段和環(huán)節(jié)，所應(yīng)當(dāng)遵循的行為進(jìn)展了標(biāo)準(zhǔn)。制定和發(fā)布G3a）應(yīng)指定或授權(quán)專門的部門或人員負(fù)責(zé)平安管理制度的制定;b）平安管理制度應(yīng)具有統(tǒng)一的格式，并進(jìn)展版本控制;c）應(yīng)組織

56、相關(guān)人員對(duì)制定的平安管理件股份有限證和審定;d）平安管理制度應(yīng)通過正式、有效的方式發(fā)布； e平安管理制度應(yīng)注明發(fā)布范圍，并對(duì)收發(fā)文進(jìn)展登記。在相關(guān)部門的負(fù)責(zé)和指導(dǎo)下，嚴(yán)格按照制度制定的有關(guān)程序和方法，控制管理制度的起草、論證、評(píng)審和發(fā)布等環(huán)節(jié)。注釋：訪談平安主管，榕基軟解平、安管理制度制定的流程和方法，聯(lián)系方查看制度文檔的格式 1編號(hào)和要求是 地址：江蘇省南京市大光路 188號(hào)錦江麗舍1720室網(wǎng)址：否統(tǒng)一。查看平安管理制度的收發(fā)登記記錄是否符合規(guī)定的收發(fā)程序和發(fā)布范圍控制等要求。評(píng)審和修訂G3a）信息平安領(lǐng)導(dǎo)小組應(yīng)負(fù)責(zé)定期組織相關(guān)部門和相關(guān)人員對(duì)平安管理制度體系的合 理性和適用性進(jìn)展審定；b）應(yīng)定期或不定期對(duì)平安管理制度進(jìn)展檢查和審定，對(duì)存在缺乏或需要改良的平安管理制度進(jìn)展修訂。c）平安管理機(jī)構(gòu)平安管理制度文件體系的適用性定期進(jìn)展評(píng)審和修訂，尤其當(dāng)發(fā)生重大平安事故、出現(xiàn)新的漏洞及技術(shù)根底構(gòu)造發(fā)生變更時(shí)，需要對(duì)局部制度進(jìn)展評(píng)審修訂。6.2 平安管理機(jī)構(gòu)