基礎(chǔ)架構(gòu)配置及變更管理制度匯編

1、基礎(chǔ)架構(gòu)配置與變更管理制度第一節(jié)總則第一條為合理配置系統(tǒng)參數(shù)，實(shí)施硬件資源的有序調(diào)配，保證硬件設(shè)施與系統(tǒng)軟件配置能在最大程度上滿(mǎn)足信息系統(tǒng)運(yùn)行與安全需要,特制定本規(guī)定。第二條本規(guī)定所指基礎(chǔ)架構(gòu)，請(qǐng)參見(jiàn)IT基礎(chǔ)架構(gòu)規(guī)范中的定義。第三條本規(guī)定所涉及配置與變更管理范圍包括：硬件設(shè)施與平臺(tái)軟件的配置與變更、基礎(chǔ)架構(gòu)布局的配置與變更。第四條規(guī)定中所指配置管理單位：省公司信息技術(shù)處。第五條本規(guī)定中所指配置管理員包括系統(tǒng)管理員、數(shù)據(jù)庫(kù)管理員、網(wǎng)絡(luò)管理員、安全管理員等。第二節(jié)平臺(tái)軟件的基準(zhǔn)配置第六條平臺(tái)軟件的基準(zhǔn)配置包括操作系統(tǒng)軟件、數(shù)據(jù)庫(kù)軟件、網(wǎng)絡(luò)設(shè)備系統(tǒng)軟件、安全設(shè)備系統(tǒng)軟件的基準(zhǔn)配置等。維護(hù)單位應(yīng)為平臺(tái)

2、軟件建立合適的配置基準(zhǔn)。配置基準(zhǔn)應(yīng)確保系統(tǒng)安全與整體安全要求的一致性。第七條經(jīng)授權(quán)的配置管理員應(yīng)根據(jù)系統(tǒng)安裝手冊(cè)與配置基準(zhǔn)對(duì)初裝系統(tǒng)或設(shè)備進(jìn)行基準(zhǔn)配置，詳細(xì)記錄安裝過(guò)程與設(shè)置，確保配置的正確性。配置管理員應(yīng)建立該配置對(duì)象的配置活單并在配置活單word完美格式中活楚體現(xiàn)基準(zhǔn)配置。第八條完成基準(zhǔn)配置的系統(tǒng)或設(shè)備需進(jìn)行運(yùn)行測(cè)試和安全性檢查。運(yùn)行測(cè)試與安全檢查通過(guò)后，配置管理員需在配置記錄上寫(xiě)明運(yùn)行測(cè)試與安全檢查結(jié)果，由配置監(jiān)管人簽字確認(rèn)。只有在測(cè)試與安全檢查沒(méi)有問(wèn)題的情況下該系統(tǒng)或設(shè)備才能在生產(chǎn)環(huán)境下運(yùn)行。第三節(jié)平臺(tái)軟件的配置變更第九條平臺(tái)軟件的配置變更包括但不限?。翰僮飨到y(tǒng)軟件、數(shù)據(jù)庫(kù)軟件、網(wǎng)絡(luò)設(shè)

3、備系統(tǒng)軟件、安全設(shè)備系統(tǒng)軟件、系統(tǒng)安全策略的配置變更；供應(yīng)商發(fā)布的補(bǔ)丁、升級(jí)包的使用等。第十條配置管理員負(fù)責(zé)對(duì)平臺(tái)軟件進(jìn)行配置管理和維護(hù)，配置監(jiān)管人負(fù)責(zé)平臺(tái)軟件配置正確性的確認(rèn)?？赏ㄟ^(guò)操作系統(tǒng)層面對(duì)系統(tǒng)配置文件的訪(fǎng)問(wèn)權(quán)限的設(shè)置、明確的職責(zé)分工來(lái)確保配置和變更只能由被授權(quán)的人進(jìn)行操作。第十一條配置變更應(yīng)有統(tǒng)一的配置變更申請(qǐng)、審批流程。己置變更申請(qǐng)、審批表中應(yīng)寫(xiě)明該配置變更所屆設(shè)備的名稱(chēng)、配置的類(lèi)別（操作系統(tǒng)、數(shù)據(jù)庫(kù)、路由策略、安全策略、補(bǔ)丁包/升級(jí)包的使用等）和配置變更的原因及內(nèi)容。若配置變更源丁第三方服務(wù)商的建議則應(yīng)同時(shí)提交第三方服務(wù)商建議文檔。第十二條配置管理員應(yīng)根據(jù)變更申請(qǐng)制定配置變更計(jì)劃

4、，變更計(jì)劃中應(yīng)詳細(xì)說(shuō)明該配置變更可能對(duì)系統(tǒng)本身以及其他系統(tǒng)產(chǎn)生的影響、配置變更發(fā)生的時(shí)間、地點(diǎn)等。第十三條配置單位管理層應(yīng)根據(jù)配置變更計(jì)劃及該配置變更所能產(chǎn)生的影響進(jìn)行分析評(píng)估，對(duì)包括獲取的補(bǔ)丁/升級(jí)包的安全性、準(zhǔn)確性及真實(shí)性的核查,確定配置變更的原因是否充分,決定是否需要進(jìn)行配置變更測(cè)試、是否同意該變更。為確保生產(chǎn)系統(tǒng)的安全性，補(bǔ)丁/升級(jí)包在安裝之前必需經(jīng)過(guò)測(cè)試。配置單位管理層應(yīng)在倆己置變更申請(qǐng)、審批表中記錄審批結(jié)果并簽字。第十四條經(jīng)授權(quán)的配置管理員應(yīng)根據(jù)審批后的配置變更計(jì)劃進(jìn)行配置變更，若需進(jìn)行配置變更測(cè)試時(shí)，應(yīng)首先完成測(cè)試并出具測(cè)試報(bào)告。配置管理員在完成配置變更后應(yīng)及時(shí)填寫(xiě)西己置變更記錄

5、表，該表要求變更申請(qǐng)人對(duì)配置變更結(jié)果進(jìn)行確認(rèn)并簽字。同時(shí)配置管理員應(yīng)更新8己置活單。第十五條配置管理員還應(yīng)將西己置變更申請(qǐng)、審批表、配置活單、測(cè)試報(bào)告做為西己置變更記錄表的附件提交給配置監(jiān)管人，由其進(jìn)行配置變更的確認(rèn)，并在配置變更記錄表的監(jiān)管人”一欄中簽字。第四節(jié)硬件設(shè)施的配置變更第十六條硬件設(shè)施的基準(zhǔn)配置參見(jiàn)總公司下發(fā)的IT基礎(chǔ)架構(gòu)規(guī)范。第十七條硬件設(shè)施配置變更包括但不限?。褐鳈C(jī)處理器、主機(jī)內(nèi)存、主機(jī)硬盤(pán)、主機(jī)HBA卡、網(wǎng)卡、光驅(qū)、磁帶機(jī)、網(wǎng)絡(luò)設(shè)備接口模塊、備份電源等硬件設(shè)施配置變更。第十八條硬件設(shè)施使用方在硬件資源使用過(guò)程中時(shí)發(fā)生硬件資源不足或壞損時(shí)可申請(qǐng)硬件設(shè)施配置的變更，并填寫(xiě)8己置變

6、更申請(qǐng)、審批表。第十九條配置管理員負(fù)責(zé)對(duì)硬件設(shè)施進(jìn)行配置管理和維護(hù)，配置監(jiān)管人負(fù)責(zé)確認(rèn)硬件設(shè)施配置的正確性。第二十條配置變更應(yīng)有統(tǒng)一的配置變更申請(qǐng)、審批流程。己置變更申請(qǐng)、審批表中應(yīng)寫(xiě)明該配置變更所屆設(shè)備的名稱(chēng)、配置的類(lèi)別（CPU、內(nèi)存、硬盤(pán)、備份電源、HBA卡、網(wǎng)卡、光驅(qū)、磁帶機(jī)、網(wǎng)絡(luò)設(shè)備接口模塊）和配置變更的原因及內(nèi)容。第二十一條配置管理員應(yīng)根據(jù)變更申請(qǐng)制定配置變更計(jì)劃，變更計(jì)劃中應(yīng)詳細(xì)說(shuō)明該配置變更可能對(duì)系統(tǒng)本身以及其他系統(tǒng)產(chǎn)生的影響、配置變更發(fā)生的時(shí)間、地點(diǎn)等。第二十二條配置單位管理層應(yīng)根據(jù)配置變更計(jì)劃及該配置變更所能產(chǎn)生的影響進(jìn)行分析評(píng)估，確定配置變更的原因是否充分，決定是否需要進(jìn)行

7、配置變更測(cè)試、是否同意該變更。配置單位管理層應(yīng)在配置變更申請(qǐng)、審批表中記錄審批結(jié)果并簽字。第二十三條經(jīng)授權(quán)的配置管理員應(yīng)根據(jù)審批后的配置變更計(jì)劃進(jìn)行配置變更，若需進(jìn)行配置變更測(cè)試時(shí)，應(yīng)首先完成測(cè)試并出具測(cè)試報(bào)告。配置管理員在完成配置變更后應(yīng)及時(shí)填寫(xiě)西己置變更記錄表，該表要求變更申請(qǐng)人對(duì)配置變更結(jié)果進(jìn)行確認(rèn)并簽字。同時(shí)配置管理員應(yīng)更新知件設(shè)備維護(hù)檔案中的硬件設(shè)備基本配置（見(jiàn)硬件設(shè)備維護(hù)規(guī)定）o第二十四條配置管理員還應(yīng)將配置變更申請(qǐng)、審批表、破件設(shè)備維護(hù)檔案、測(cè)試報(bào)告作為配置變更記錄表的附件提交給配置監(jiān)管人，由其進(jìn)行配置變更的確認(rèn)，并在西己置變更記錄表的監(jiān)管人”一欄中簽字。第五節(jié)基礎(chǔ)架構(gòu)布局的變更

8、第二十五條基礎(chǔ)架構(gòu)布局的變更包括但不限丁：設(shè)備增減、設(shè)備遷移、線(xiàn)路調(diào)整、拓?fù)渥兓?、定期停機(jī)檢修等。第二十六條維護(hù)單位應(yīng)為基礎(chǔ)架構(gòu)布局建立相關(guān)文檔，如機(jī)房布線(xiàn)圖、網(wǎng)絡(luò)拓?fù)鋱D、設(shè)備分布圖、機(jī)架分布圖、跳線(xiàn)表、地址表等。當(dāng)基礎(chǔ)架構(gòu)布局發(fā)生變更時(shí)此類(lèi)基礎(chǔ)架構(gòu)布局文檔應(yīng)得到及時(shí)的更新。第二十七條基礎(chǔ)架構(gòu)布局變更時(shí),變更提出方應(yīng)填寫(xiě)布局變更申請(qǐng)、審批表，申請(qǐng)表中應(yīng)具體描述變更的原因、內(nèi)容、時(shí)間、涉及到的部門(mén)等相關(guān)內(nèi)容，經(jīng)需求方管理層審批后提交配置管理單位。第二十八條經(jīng)授權(quán)的配置管理員應(yīng)根據(jù)審批后的布局變更計(jì)劃進(jìn)行布局變更并填寫(xiě)布局變更記錄表，該表要求變更申請(qǐng)人對(duì)布局變更結(jié)果進(jìn)行確認(rèn)。配置管理員應(yīng)同時(shí)更新相

9、關(guān)的基礎(chǔ)架構(gòu)布局文檔。第二十九條配置管理員還應(yīng)將布局變更申請(qǐng)、審批表、基礎(chǔ)架構(gòu)布局文檔一并作為布局變更記錄表的附件提交給配置監(jiān)管人，由其進(jìn)行布局變更的確認(rèn)，并在布局變更記錄表的監(jiān)管人”一欄中簽字。第六節(jié)變更事件的處理第三十條根據(jù)變更事件可能造成的影響，其范圍可以分為處室范圍、部門(mén)范圍、省公司本部范圍、省公司本部及下級(jí)地市公司范圍四類(lèi)。配置管理單位應(yīng)將可能產(chǎn)生的變更行為依據(jù)上述四種影響范圍進(jìn)行歸類(lèi)劃分，并每半年對(duì)分類(lèi)規(guī)則進(jìn)行評(píng)估更新。第三十一條根據(jù)上述分類(lèi)規(guī)則，維護(hù)單位應(yīng)詳細(xì)制定變更事件的通知細(xì)則，其內(nèi)容應(yīng)包括各種影響范圍的最遲提前申請(qǐng)時(shí)間、最遲提前通知時(shí)間、變更審批領(lǐng)導(dǎo)等，并根據(jù)變更事件影響范

10、圍的更新而重新評(píng)估通知細(xì)則。第三十二條經(jīng)過(guò)審批的配置變更或布局變更，配置管理維護(hù)單位管理層應(yīng)根據(jù)影響范圍及通知細(xì)則提前發(fā)布變更通知，以便受影響管理方能夠及時(shí)與可能影響到的有關(guān)各方聯(lián)系確認(rèn)，并提前通知有關(guān)各方預(yù)先做好準(zhǔn)備。第三十三條為減少配置變更與布局變更對(duì)正常業(yè)務(wù)和工作的影響，變更實(shí)施應(yīng)盡量安排在業(yè)務(wù)、工作的空閑時(shí)段進(jìn)行。第七節(jié)定期審閱第三十四條技術(shù)的進(jìn)步或系統(tǒng)、設(shè)備的升級(jí)可能引起配置基準(zhǔn)的改變。信息技術(shù)處應(yīng)根據(jù)設(shè)備或系統(tǒng)的升級(jí)情況決定是否更新配置基準(zhǔn)。維護(hù)單位應(yīng)定期對(duì)各類(lèi)配置對(duì)象的配置基準(zhǔn)進(jìn)行評(píng)估（每年一次），形成配置基準(zhǔn)評(píng)估表并提交管理層審閱。第三十五條若需發(fā)生配置基準(zhǔn)的變更行為則應(yīng)按照配

11、置變更申請(qǐng)、審批流程執(zhí)行。配置管理員在填寫(xiě)配置變更申請(qǐng)時(shí)，應(yīng)詳細(xì)說(shuō)明該配置變更屆配置基準(zhǔn)的變更。配置基準(zhǔn)的變更必需經(jīng)過(guò)測(cè)試成功后方可實(shí)施。第三十六條為了防止配置管理人員有意或無(wú)意的對(duì)軟、硬件的配置、基礎(chǔ)架構(gòu)布局的非法更改，應(yīng)建立對(duì)配置活單、基礎(chǔ)架構(gòu)布局文檔、配置變更記錄、布局變更記錄的年審機(jī)制，該年審工作應(yīng)由配置監(jiān)管人員執(zhí)行。配置監(jiān)管人應(yīng)根據(jù)相關(guān)文檔對(duì)真實(shí)情況進(jìn)行檢查，確保實(shí)際情況與相關(guān)文檔的記錄一致。第三十七條配置監(jiān)管人員進(jìn)行年審工作后應(yīng)填寫(xiě)基礎(chǔ)架構(gòu)變更年審表，該年審表應(yīng)說(shuō)明相關(guān)文檔與實(shí)際情況是否相符。若實(shí)際情況與相關(guān)文檔不一致則應(yīng)說(shuō)明發(fā)生的原因與處理結(jié)果。第八節(jié)文檔保存第三十八條在基礎(chǔ)架構(gòu)

12、配置與變更管理過(guò)程中產(chǎn)生的所有文檔，包括配置基準(zhǔn)、配置活單、基礎(chǔ)架構(gòu)布局相關(guān)文檔、配置變更申請(qǐng)、審批表、布局變更申請(qǐng)、審批表、配置變更記錄表、布局變更記錄表、基礎(chǔ)架構(gòu)變更年審表、配置基準(zhǔn)評(píng)估表等均應(yīng)該由配置管理單位指定專(zhuān)人進(jìn)行統(tǒng)一管理，保留工作痕跡。第九節(jié)附則第三十九條本制度由省公司信息技術(shù)處負(fù)責(zé)解釋和修訂。word完美格式第四十條本制度自發(fā)布之日起開(kāi)始執(zhí)行附件一配置變更申請(qǐng)、審批流程附件二配置變更管理流程附件三配置變更申請(qǐng)、審批表姓名部門(mén)處室設(shè)備名稱(chēng)設(shè)備編勺有效期至變更需求欄*申請(qǐng)方填寫(xiě)*變更類(lèi)型平臺(tái)軟件數(shù)據(jù)庫(kù)操作系統(tǒng)路由策略安全策略補(bǔ)丁/升級(jí)其它硬件設(shè)施CPU內(nèi)存硬盤(pán)備份電源HBA卡網(wǎng)卡光

13、驅(qū)磁帶機(jī)網(wǎng)絡(luò)設(shè)備接口模塊其它變更原因：變更內(nèi)容：申請(qǐng)單位審批人：結(jié)論：審批時(shí)間：變更分析欄*變更方填寫(xiě)*配"劃：管理員：時(shí)間：影響范圍：管理員：時(shí)間：變更實(shí)施時(shí)間：通知發(fā)布時(shí)間：通知發(fā)布對(duì)象：配置單位審批人：結(jié)論：審批時(shí)間：附件四布局變更申請(qǐng)、審批表姓名部門(mén)處室截止日期變更需求欄*申請(qǐng)方填寫(xiě)*變更類(lèi)別：設(shè)備增減設(shè)備遷移線(xiàn)路調(diào)整拓?fù)渥兓ｋ姍z修其它變更原因：變更內(nèi)容：申請(qǐng)單位審批人：結(jié)論：時(shí)間：變更分析欄*變更方填寫(xiě)*布局變更計(jì)劃：管理員：時(shí)間：影響范圍：管理員：時(shí)間:變更實(shí)施時(shí)間：通知發(fā)布時(shí)間：通知發(fā)布對(duì)象：變更單位審批人：結(jié)論:時(shí)間：附件五配置變更記錄表編號(hào)：設(shè)備編P.變更時(shí)間：管

14、理員：變更類(lèi)型數(shù)據(jù)庫(kù)操作系統(tǒng)路由策略安全策略補(bǔ)丁/升級(jí)硬件資源其它變更結(jié)論結(jié)論：申請(qǐng)人：時(shí)間：配置變更審閱變更審批審批表的鏈接（或附件）測(cè)試情況若存在測(cè)試，提供測(cè)試報(bào)告的鏈接（或附件），否則無(wú)。變更后文檔配置清單或設(shè)備維護(hù)檔案的鏈接（或附件）審核結(jié)論：監(jiān)管人：審核時(shí)間：附件六布局變更記錄表編號(hào)：結(jié)構(gòu)文檔號(hào):變更時(shí)間：管理員：變更類(lèi)型設(shè)備增減設(shè)備遷移線(xiàn)路調(diào)整拓?fù)渥兓ｋ姍z修其它變更結(jié)論結(jié)論：申請(qǐng)人：時(shí)間：配置變更審閱變更審批審批表的鏈接（或附件）測(cè)試情況若存在測(cè)試，提供測(cè)試報(bào)告的鏈接（或附件），否則無(wú)。變更后文檔布局文檔的鏈接（或附件）審核結(jié)論：監(jiān)管人：審核時(shí)間：附件七基礎(chǔ)架構(gòu)變更年審表變更對(duì)象

15、變更類(lèi)型審閱結(jié)論審閱時(shí)間監(jiān)管人附件八配置基準(zhǔn)-、路由器配置基準(zhǔn)：1、關(guān)閉不必要的服務(wù)fingerbootptcp-small-serversudp-small-serversnoipproxy-arpnoiphttpserver2、遠(yuǎn)程訪(fǎng)問(wèn)的安全使用SSH方式提供遠(yuǎn)程訪(fǎng)問(wèn)。在vty線(xiàn)路上不提供telnet協(xié)議的傳輸，路由器允許終端閑置的時(shí)間設(shè)置為5分鐘。3、口令加密使用servicepassword-encryption啟用口令加密。使用enablesecret設(shè)置特權(quán)模式的訪(fǎng)問(wèn)口令。4、snmp的安全刪除public訪(fǎng)問(wèn)申。用訪(fǎng)問(wèn)控制列表限制使用snmp的范圍。5、端口的安全在不可靠接口上輸

16、入noipunreachables停止發(fā)送icmp不可達(dá)信息，避免路由器被DOS攻擊。在不可靠接口上應(yīng)關(guān)閉CDP協(xié)議，關(guān)閉IP反向路由設(shè)置。6、訪(fǎng)問(wèn)控制列表使用訪(fǎng)問(wèn)控制列表技術(shù)進(jìn)行訪(fǎng)問(wèn)控制，只允許指定的IP地址范圍訪(fǎng)問(wèn)。7、日志設(shè)置外部的syslog日志服務(wù)器。在網(wǎng)絡(luò)設(shè)備上將日志發(fā)往該服務(wù)器,日志級(jí)別不低丁notification。8、AAA設(shè)置外在的AAA服務(wù)器。通過(guò)該服務(wù)提供以下功能：認(rèn)證authentication,即確定訪(fǎng)問(wèn)者的身份。路由器的控制臺(tái)登錄和遠(yuǎn)程登錄都要使用AAA提供的認(rèn)證服務(wù)。在A(yíng)AA服務(wù)器上為系統(tǒng)管理員和系統(tǒng)操作員分別設(shè)置用戶(hù)賬號(hào)。授權(quán)authorization,對(duì)不同

17、的訪(fǎng)問(wèn)者授予不同的訪(fǎng)問(wèn)權(quán)限。系統(tǒng)管理員賬號(hào)可以執(zhí)行修改設(shè)備配置的命令，而系統(tǒng)操作員只能執(zhí)行查看設(shè)備狀態(tài)的命令。記帳accounting,記錄訪(fǎng)問(wèn)者對(duì)網(wǎng)絡(luò)設(shè)備進(jìn)行的操作。9、路由協(xié)議網(wǎng)絡(luò)設(shè)備上配置動(dòng)態(tài)路由協(xié)議時(shí)要使用該路由協(xié)議所支持的最高級(jí)報(bào)文認(rèn)證。見(jiàn)下表：路由協(xié)議認(rèn)證方式RIPMD5OSPFMD5EIGRPMD5IS-ISMD5BGPMD5二、防火墻配置基準(zhǔn)：1、防火墻的缺省包過(guò)濾規(guī)則為允許，在調(diào)試過(guò)程完成，測(cè)試結(jié)束后，一定要將防火墻的默認(rèn)允許，改為禁止。2、若防火墻的默認(rèn)規(guī)則為全通的規(guī)則，請(qǐng)刪除默認(rèn)的安全規(guī)則，然后按照網(wǎng)絡(luò)實(shí)際環(huán)境配置相應(yīng)的安全規(guī)則，并且盡量不要設(shè)置地址和服務(wù)有ANY的規(guī)則，

18、3、為了有效保護(hù)內(nèi)網(wǎng)與防火墻自身的抗攻擊能力，可以打開(kāi)防火墻的抗攻擊功能，（建議在網(wǎng)絡(luò)流量大的情況下不會(huì)開(kāi)此功能，會(huì)影響網(wǎng)絡(luò)的處理速度）4、為了有效的保護(hù)內(nèi)部的網(wǎng)絡(luò)地址，并解決網(wǎng)絡(luò)地址不足的問(wèn)題，請(qǐng)盡量使用防火墻的NAT功能，把內(nèi)網(wǎng)的ip地址轉(zhuǎn)換成防火墻的公網(wǎng)地址后再訪(fǎng)問(wèn)外部網(wǎng)絡(luò)。5、為了保證防火墻本身的主機(jī)安全，不要隨意開(kāi)啟防火墻的遠(yuǎn)程SSH管理功能,建議使用WEB+HTTPS+密鑰等有效的管理方法。6、為了分析防火墻的數(shù)據(jù)包記錄日志，應(yīng)將防火墻的包過(guò)濾日志信息記錄下來(lái)，用丁對(duì)事件分析。三、數(shù)據(jù)庫(kù)配置基準(zhǔn)：1、對(duì)丁特權(quán)用戶(hù)組的管理：由丁特權(quán)用戶(hù)組的賬戶(hù)，如GID=0,可以進(jìn)入超級(jí)用戶(hù)所建立的

19、用戶(hù)組可寫(xiě)文件。未經(jīng)許可的用戶(hù)持有GID=0,會(huì)增加敏感系統(tǒng)配置文件被更改或刪除的風(fēng)險(xiǎn)。在Informix數(shù)據(jù)庫(kù)的管理中,Informix用戶(hù)組里的用戶(hù)能夠?qū)?shù)據(jù)庫(kù)服務(wù)器空間進(jìn)行管理，因此我們建議對(duì)Informix用戶(hù)組的授權(quán)進(jìn)行限制，只有被合理授權(quán)過(guò)的用戶(hù)才能屆丁此用戶(hù)組；2、對(duì)丁dba權(quán)限的限制由丁informix數(shù)據(jù)庫(kù)沒(méi)有專(zhuān)門(mén)的用戶(hù)賬號(hào)管理的內(nèi)容，所以是通過(guò)數(shù)據(jù)庫(kù)授權(quán)賦予操作系統(tǒng)賬號(hào)對(duì)數(shù)據(jù)庫(kù)的存取權(quán)限的方法來(lái)對(duì)Informix數(shù)據(jù)庫(kù)進(jìn)行訪(fǎng)問(wèn)，存在三個(gè)存取級(jí)別，dba,resource,connect0擁有dba權(quán)限的用戶(hù)能夠?qū)?shù)據(jù)庫(kù)進(jìn)行操作，因此不能合理賦予數(shù)據(jù)庫(kù)用戶(hù)的權(quán)限必將帶來(lái)較大的

20、風(fēng)險(xiǎn)。因此我們建議對(duì)數(shù)據(jù)庫(kù)用戶(hù)的權(quán)限進(jìn)行限制，只有被合理授權(quán)過(guò)的用戶(hù)才能擁有dba權(quán)限。系統(tǒng)中沒(méi)有創(chuàng)建通用的用戶(hù)/功能ID。同一個(gè)用戶(hù)不能同時(shí)登陸多次。供應(yīng)商使用的用戶(hù)ID已被刪除或禁用。3、對(duì)丁Informix的重要文件的保護(hù)Informix的重要文件包括系統(tǒng)文件、安裝文件以及數(shù)據(jù)庫(kù)文件等，此類(lèi)文件的未經(jīng)許可訪(fǎng)問(wèn)會(huì)對(duì)數(shù)據(jù)真實(shí)性、有效性以及保密性帶來(lái)風(fēng)險(xiǎn)。因此我們建議限制應(yīng)用程序文件的訪(fǎng)問(wèn)，只有informix用戶(hù)組的用戶(hù)才應(yīng)該有讀、寫(xiě)、執(zhí)行權(quán)限,其他用戶(hù)有只讀權(quán)限；4、明確的職責(zé)分工建議將Informix中操作與審計(jì)責(zé)任進(jìn)行職責(zé)劃分，即由不同的用戶(hù)擔(dān)任，實(shí)施明確的職責(zé)分工，例如制定用戶(hù)組將D

21、BSSO(databasesecurityofficer)和DBAO(databaseauditofficer)進(jìn)行執(zhí)行職責(zé)劃分；(如：$INFORMAIXDIR/dbssodir/seccfg文件中ixuser=*表示沒(méi)有制定用戶(hù)組）安全管理員應(yīng)該安排各種不同的角色對(duì)數(shù)據(jù)庫(kù)進(jìn)行管理。應(yīng)該為不同類(lèi)別的管理員分派不同的角色。可以通過(guò)以下命令分派角色：createrolerolename;通過(guò)以下命令為對(duì)象進(jìn)行特權(quán)授權(quán)：grantprivilegenameontablenametorolename;通過(guò)以下命令為賬號(hào)分配角色：grantrolenametousername;安全管理員應(yīng)該為“Pro

22、ces賬號(hào)'分配角色。每一種“Proces賬號(hào)'應(yīng)該分配特定的角色?？梢酝ㄟ^(guò)以下命令創(chuàng)建角色：createrolerolename;可以通過(guò)以下命令為系統(tǒng)和對(duì)象建立特權(quán)：grantprivilegenameontablenametorolename;可以通過(guò)以下命令為賬號(hào)分配角色：grantrolenametousername;安全管理員應(yīng)該為用戶(hù)分配角色。每一種不同類(lèi)別的用戶(hù)應(yīng)該分配不同的角色?？梢酝ㄟ^(guò)以下命令分配角色：CREATEROLErolename;通過(guò)以下命令為系統(tǒng)和對(duì)象分配特權(quán)：GRANTprivilegenameONtablenameTOrolename;可以通

23、過(guò)以下命令為用戶(hù)分配角色：GRANTrolenameTOusername;5、權(quán)限訪(fǎng)問(wèn)控制建議妥善賦予數(shù)據(jù)庫(kù)對(duì)象的訪(fǎng)問(wèn)權(quán)限，不然會(huì)帶來(lái)較大的風(fēng)險(xiǎn)，因此需要確認(rèn)客戶(hù)已經(jīng)限制了數(shù)據(jù)庫(kù)對(duì)象的訪(fǎng)問(wèn)權(quán)限，即將systabauth系統(tǒng)表中的tabauth歹0設(shè)為小寫(xiě)字母，表示不具備數(shù)據(jù)庫(kù)對(duì)象的訪(fǎng)問(wèn)權(quán)限；建議將系統(tǒng)表sysprocauth中的procauth歹0設(shè)置為小寫(xiě)字母“e”即限制被授權(quán)人持有對(duì)存儲(chǔ)過(guò)程和觸發(fā)器的執(zhí)行權(quán)，以借此來(lái)授予他人該權(quán)限；建議為數(shù)據(jù)庫(kù)的應(yīng)用程序文件進(jìn)行合理的用戶(hù)權(quán)限設(shè)置，確認(rèn)只有組內(nèi)用戶(hù)才擁有對(duì)數(shù)據(jù)庫(kù)的應(yīng)用程序文件進(jìn)行讀和運(yùn)行的權(quán)限。6、系統(tǒng)安全設(shè)置在Informix中沒(méi)有關(guān)丁如

24、下方面的固有控制，因此必須在操作系統(tǒng)層面對(duì)以下方面進(jìn)行控制：a. 最小密碼長(zhǎng)度；b. 保證用戶(hù)使用非空的密碼，且密碼具備一定的復(fù)雜程度；c. 強(qiáng)迫用戶(hù)在特定時(shí)間后更改密碼；d. 如果連續(xù)幾次失敗登陸后，自動(dòng)將賬號(hào)鎖死。關(guān)丁失敗登陸的記錄應(yīng)該在操作系統(tǒng)層面被記錄，并有系統(tǒng)管理員定期進(jìn)行審閱這些記錄，查看是否存在異常；e. 安全管理員應(yīng)該與系統(tǒng)管理員和數(shù)據(jù)庫(kù)管理員一起決定，在對(duì)系統(tǒng)進(jìn)行管理過(guò)程中應(yīng)該使用哪些服務(wù)/設(shè)施（例如isql,）,不需要的服務(wù)/設(shè)施應(yīng)該及時(shí)刪除。且應(yīng)該對(duì)這些需要的服務(wù)/設(shè)施進(jìn)行安全方面的考慮，確認(rèn)只有授權(quán)的人員可以使用這些服務(wù)/設(shè)施。安全管理員應(yīng)該定期審閱誰(shuí)曾經(jīng)訪(fǎng)問(wèn)過(guò)功能比較

25、大的服務(wù)/設(shè)施，確定是否該訪(fǎng)I可是必需的。一般的，如下文件不應(yīng)該是所有用戶(hù)都可執(zhí)行的：?onstat-顯示共享的存儲(chǔ)和服務(wù)空間的統(tǒng)計(jì)數(shù)據(jù)；?oncheck-檢查并修訂磁盤(pán)空間；?onmode-變更一個(gè)IDS服務(wù)空間的操作模式；?onlog-邏輯日志調(diào)試工具；?oninit-初始化并啟動(dòng)數(shù)據(jù)庫(kù)空間；?onspaces-配置數(shù)據(jù)庫(kù)space和chunk；?onparms-設(shè)置日志。7、安全監(jiān)控方面系統(tǒng)管理員應(yīng)該建立警報(bào)策略，以確保在出現(xiàn)以下事件時(shí)能夠及時(shí)通知操作人員或數(shù)據(jù)庫(kù)管理員：?創(chuàng)建表失敗(Tablefailure);?創(chuàng)建索引失敗(Indexfailure);?二進(jìn)制大對(duì)象失敗(Blobfa

26、ilure);?Chunk離線(xiàn),mirror處于激活狀態(tài)：%ld(Chunkisoff-line,mirrorisactive:%ld(chunknumber);?數(shù)據(jù)庫(kù)空間離線(xiàn)(DBSpaceisoff-line);?內(nèi)部子系統(tǒng)失敗(InternalSubsystemfailure);?數(shù)據(jù)庫(kù)服務(wù)空間初始化失敗(Databaseserverinitializationfailure);?物理修復(fù)失敗(PhysicalRestorefailed);?物理恢復(fù)失敗(PhysicalRecoveryfailed);?物理恢復(fù)失敗(LogicalRecoveryfailed);?不能打開(kāi)Chunk(

27、CannotopenChunk:'%s'(pathname);?不能打開(kāi)數(shù)據(jù)庫(kù)空間(CannotopenDbspace:'%s'(dbspacename);?性能提升(PerformanceImprovementpossible);?數(shù)據(jù)庫(kù)失敗(Databasefailure.);?可用很高的數(shù)據(jù)復(fù)制失敗(High-availabilitydata-replicationfailure.);?檔案文件異常(Archiveaborted);?日志備份異常(LogBackupaborted);?邏輯日志滿(mǎn)了一需要備份(LogicalLogsarefull-Backu

28、pisneeded);?數(shù)據(jù)庫(kù)服務(wù)空間資源溢出(Databaseserverresourceoverflow)；?長(zhǎng)期交易檢查(LongTransactiondetected);?邏輯日志完成(LogicalLogComplete);?不能分配存儲(chǔ)空間(UnabletoAllocateMemory)。啟動(dòng)事件日志(例如對(duì)于關(guān)鍵數(shù)據(jù)庫(kù)表的訪(fǎng)問(wèn)的審計(jì)痕跡)。每天對(duì)事件日志進(jìn)行審閱。數(shù)據(jù)庫(kù)管理員應(yīng)該定期監(jiān)控?cái)?shù)據(jù)庫(kù)。(可以通過(guò)使用onstat,或者oncheck、onlog等命令)?檢查消息日志：一些至關(guān)重要的信息可能來(lái)自消息日志，如防火墻的安裝，邏輯日志的備份，或者服務(wù)器崩潰。?檢察系統(tǒng)狀況(內(nèi)存，

29、硬盤(pán)和輸入輸出利用率):系統(tǒng)狀況體現(xiàn)了系統(tǒng)活動(dòng)狀態(tài)，例如顯示資源缺乏或一般的性能統(tǒng)計(jì)。通過(guò)檢查系統(tǒng)狀況，可以幫助確定弓I起系統(tǒng)問(wèn)題的性能因素。?檢查輸入輸出隊(duì)列活動(dòng)：如果系統(tǒng)中產(chǎn)生了輸入輸出隊(duì)列，就會(huì)有傳輸?shù)钠款i。當(dāng)數(shù)據(jù)從物理磁盤(pán)之間傳輸過(guò)程中不能達(dá)到預(yù)期的傳輸速度就會(huì)產(chǎn)生傳輸隊(duì)列?？梢酝ㄟ^(guò)使用onstat-gioq命令為每一個(gè)虛擬處理器(VP)監(jiān)控這些隊(duì)列。該命令的輸出結(jié)果顯示了每一個(gè)能夠進(jìn)行異步傳輸?shù)腣P的傳輸請(qǐng)求隊(duì)列的統(tǒng)計(jì)結(jié)果。該結(jié)果中有兩個(gè)重要的列：len和maxlen。Len是指當(dāng)前隊(duì)列的長(zhǎng)度，maxlen是指在服務(wù)器開(kāi)啟后或上一次onstat-z操作后的最大隊(duì)列長(zhǎng)度。如果maxle

30、n是兩位數(shù)，傳輸請(qǐng)求就需要排隊(duì)，這樣就會(huì)引起性能的降低。?檢查CPU隊(duì)列活動(dòng)：如果用戶(hù)線(xiàn)程需要排隊(duì)通過(guò)CPU的虛擬處理器處理，就會(huì)出現(xiàn)CPU的瓶頸。當(dāng)準(zhǔn)備運(yùn)行一個(gè)線(xiàn)程時(shí)，所有的CUP虛擬處理器都在執(zhí)行其他的線(xiàn)程，就會(huì)產(chǎn)生CPU隊(duì)列，。這種隊(duì)列可以通過(guò)以下命令來(lái)監(jiān)控onstat-grea。該命令的運(yùn)行結(jié)果顯示所有準(zhǔn)備啟動(dòng)的，但是需要排隊(duì)等候執(zhí)行的用戶(hù)的線(xiàn)程。四、操作系統(tǒng)配置基準(zhǔn)：UNIX系統(tǒng)：1、系統(tǒng)閑置時(shí)間設(shè)置：建議針對(duì)舊MAIX、HPUX小型機(jī)操作系統(tǒng)的和服務(wù)器SCOUNIX系統(tǒng)中設(shè)定統(tǒng)一的系統(tǒng)進(jìn)程最大閑置時(shí)間，并對(duì)最大閑置時(shí)間的大小做出規(guī)定：TIMEOUT/TMOUT<=300。2、

31、用戶(hù)賬號(hào)管理和密碼策略：?每個(gè)用戶(hù)有唯一的用戶(hù)名(username)和用戶(hù)ID(UID);?用戶(hù)UID>100,用戶(hù)GID>100,小于100的保留給系統(tǒng)使用；?通用賬號(hào)應(yīng)被禁用；?不使用的默認(rèn)系統(tǒng)賬號(hào)應(yīng)禁用；?無(wú)需授權(quán)的賬號(hào)不允許被使用；?已離職的員工賬號(hào)及時(shí)刪除或禁用；?第三方服務(wù)商技術(shù)支持賬號(hào)應(yīng)禁用，僅在需要時(shí)臨時(shí)開(kāi)啟；?控制shadowpassword文件的訪(fǎng)問(wèn)權(quán)限；?新賬號(hào)應(yīng)有唯一的初始密碼，第一次使用新賬號(hào)時(shí)應(yīng)立即修改該密碼，密碼以安全方式發(fā)布；?密碼應(yīng)不易猜測(cè)，具有一定復(fù)雜度?密碼組成：4<=maxage<=13minage>=1Minalpha&g

32、t;=1Minother>=1mindiff>=1maxrepeats<=23、超級(jí)用戶(hù)賬號(hào)管理：?只有rootUID=0;?root的路徑不能包括當(dāng)前的工作目錄；?應(yīng)該限制root用戶(hù)的遠(yuǎn)程登錄；?組內(nèi)的特權(quán)用戶(hù)（GID=0）應(yīng)被適當(dāng)查看；?只允許前臺(tái)（console）進(jìn)行root登錄，root用戶(hù)的登錄應(yīng)包含以下命令行:telnet=false;rlogin=false。4、Unix操作系統(tǒng)配置管理：?對(duì)于Umask的控制，建議設(shè)置為027'?限制SUID和SGID程序的使用；?所有的shell都必須在/etc/shells文件中列出；?建議操作系統(tǒng)為所有worl

33、d-writeable的目錄都設(shè)置粘貼位（"T”）;?建議只有root用戶(hù)才有權(quán)使用at或batch命令；?crontab命令的權(quán)限只授權(quán)給必須使用該命令的用戶(hù)；?在/etc/ftpusers文件中加入允許使用ftp得用戶(hù)列表；?不要通過(guò)hosts.equiv文件來(lái)建立信任；?建立定期對(duì)重要文件權(quán)限進(jìn)行檢查的機(jī)制；?建議檢查所有的網(wǎng)絡(luò)服務(wù)配置，所有不必要的網(wǎng)絡(luò)服務(wù)配置從/etc/inetd.conf文件中刪除；?除非必須，否則建議移除所有以r開(kāi)頭的命令和以.rhosts結(jié)尾的文件；?只在需要的情況下開(kāi)啟telnetdaemon；?禁止后臺(tái)程序finger的使用；?檢查本機(jī)是否真的需要ftp服務(wù)，如果不需要，應(yīng)禁止使用這個(gè)服務(wù)?禁止后臺(tái)程序tftp、rexec的使用；?禁止UUCP協(xié)議的使用；?系統(tǒng)中同磁盤(pán)、存儲(chǔ)、磁帶和網(wǎng)絡(luò)文件要設(shè)置為644;?下列文件的權(quán)限位將為555(r-xr-xr-x:),以保護(hù)下列系統(tǒng)程序：/usr/sbin/mount/usr/sbin/acct/acctcom/usr/sbin/login?下列文件的訪(fǎng)問(wèn)級(jí)