網(wǎng)絡信息安全加固報告模板

1、XX單位信息安全加固報告項目編號日期 2017-1-15文檔編號?2018版權聲明本文檔所涉及到的文字、圖表等，僅限于信息科技有限公司及被呈送方內(nèi)部使用，未經(jīng)信息科技有限公 司書面許可，請勿擴散到第三方。版本說明2015-1-151.0創(chuàng)建適用性聲明本模板用于撰寫方案等文檔使用XX單位信息安全加固報告目錄 TOC o 1-5 h z HYPERLINK l bookmark5 o Current Document 安全基線6 HYPERLINK l bookmark7 o Current Document 安全基線概要6 HYPERLINK l bookmark9 o Current Docu

2、ment 安全基線構造6 HYPERLINK l bookmark11 o Current Document 安全基線定義7 HYPERLINK l bookmark13 o Current Document 技術力口固安全基線 9 HYPERLINK l bookmark15 o Current Document 補丁加載9 HYPERLINK l bookmark17 o Current Document 服務與端口 9 HYPERLINK l bookmark19 o Current Document 鑒別和認證9 HYPERLINK l bookmark21 o Current Doc

3、ument 訪問控制9 HYPERLINK l bookmark23 o Current Document 審計和跟蹤10 HYPERLINK l bookmark25 o Current Document 內(nèi)容安全10 HYPERLINK l bookmark27 o Current Document 冗余和恢復10 HYPERLINK l bookmark29 o Current Document 安全加固內(nèi)容11 HYPERLINK l bookmark31 o Current Document 針對網(wǎng)絡設備的加固11針對 Windows操作系統(tǒng)的加固 11 HYPERLINK l bo

4、okmark33 o Current Document 針對Unix類操作系統(tǒng)的加固 12 HYPERLINK l bookmark35 o Current Document 針對防火墻的安全加固 13 HYPERLINK l bookmark37 o Current Document 數(shù)據(jù)庫安全加固14 HYPERLINK l bookmark39 o Current Document 基于基線的安全加固15 HYPERLINK l bookmark41 o Current Document 基于基線的網(wǎng)絡層加固15 HYPERLINK l bookmark43 o Current Docu

5、ment 傳輸鏈路的安全加固 15 HYPERLINK l bookmark45 o Current Document 網(wǎng)絡拓撲結構的合理性檢查 16 HYPERLINK l bookmark47 o Current Document 加固過程中風險分析及控制16 HYPERLINK l bookmark49 o Current Document 基于基線的網(wǎng)絡設備加固 16 HYPERLINK l bookmark51 o Current Document 基于基線的操作系統(tǒng)加固17 HYPERLINK l bookmark53 o Current Document Windows系統(tǒng)的安全

6、加固17 HYPERLINK l bookmark55 o Current Document Unix類系統(tǒng)的安全加固19 HYPERLINK l bookmark57 o Current Document 其他操作系統(tǒng)的安全加固213 / 37XX單位信息安全加固報告 TOC o 1-5 h z HYPERLINK l bookmark59 o Current Document 加固過程中的風險分析及控制21 HYPERLINK l bookmark61 o Current Document 基于基線的安全防護系統(tǒng)加固21 HYPERLINK l bookmark63 o Current D

7、ocument 防火墻系統(tǒng)的安全加固21 HYPERLINK l bookmark65 o Current Document 防病毒系統(tǒng)的安全加固 22 HYPERLINK l bookmark67 o Current Document 加固過程中的風險分析及控制23 HYPERLINK l bookmark69 o Current Document 基于基線的數(shù)據(jù)庫系統(tǒng)加固23 HYPERLINK l bookmark71 o Current Document 數(shù)據(jù)庫服務23 HYPERLINK l bookmark73 o Current Document 加固過程中的風險分析及控制25

8、HYPERLINK l bookmark75 o Current Document 基于基線的應用系統(tǒng)加固25 HYPERLINK l bookmark77 o Current Document WEB 服務26 HYPERLINK l bookmark79 o Current Document FTP 月艮務27 HYPERLINK l bookmark81 o Current Document 電子郵件服務27 HYPERLINK l bookmark83 o Current Document DNS 服務28 HYPERLINK l bookmark85 o Current Docume

9、nt 認證28 HYPERLINK l bookmark87 o Current Document 網(wǎng)管系統(tǒng)28 HYPERLINK l bookmark89 o Current Document 其他服務29 HYPERLINK l bookmark91 o Current Document 加固過程中風險分析及控制29 HYPERLINK l bookmark93 o Current Document 安全加固流程29 HYPERLINK l bookmark95 o Current Document 安全加固環(huán)節(jié) 30狀態(tài)調(diào)查31 HYPERLINK l bookmark97 o Cur

10、rent Document 制定加固方案31實施加固31 HYPERLINK l bookmark99 o Current Document 生成加固報告32 HYPERLINK l bookmark101 o Current Document 系統(tǒng)加固流程圖32 HYPERLINK l bookmark103 o Current Document 系統(tǒng)加固具體實施步驟33 HYPERLINK l bookmark105 o Current Document 項目風險規(guī)避措施 34 HYPERLINK l bookmark107 o Current Document 加固實施策略34 HYPE

11、RLINK l bookmark109 o Current Document 系統(tǒng)備份和恢復34 HYPERLINK l bookmark111 o Current Document 合理溝通344 / 37XX單位信息安全加固報告 TOC o 1-5 h z HYPERLINK l bookmark113 o Current Document 安全加固文檔支持 35 HYPERLINK l bookmark115 o Current Document 主機系統(tǒng)35 HYPERLINK l bookmark117 o Current Document Windows35 HYPERLINK l

12、 bookmark119 o Current Document Linux35 HYPERLINK l bookmark121 o Current Document 網(wǎng)絡設備36防火墻36數(shù)據(jù)庫36應用375 / 37XX單位信息安全加固報告1安全基線安全基線概要早在1993年4月，美國國家安全局（NSA）即贊助研究將過程能力成熟 模型（CMM ）應用到安全工程中。1995年1月，60多個組織確認這個研究的 必要性并加入到研究工作中。1996年10月，公布了第一個系統(tǒng)安全工程的過 程能力成熟模型（SSE-CMM）版本。SSE-CMM描述了一個好的安全工程所應 具有的安全工程過程。SSE-CMM

13、是將安全工程進化為一種確定、成熟并可測 量的方法體系。SSE-CMM中的第一個關鍵過程域即為安全基線 （SecuhtyBaseline）,構造信息系統(tǒng)的安全基線是實現(xiàn)系統(tǒng)安全工程的首要步 驟。安全基線構造信息系統(tǒng)安全基線是一個信息系統(tǒng)的最小安全保證，即該信息系統(tǒng)最基本 需要滿足的安全要求。信息系統(tǒng)安全往往需要在安全付出成本與所能夠承受的 安全風險之間進行平衡，而安全基線正是這個平衡的合理的分界線。不滿足系 統(tǒng)最基本的安全需求，也就無法承受由此帶來的安全風險，而非基本安全需求 的滿足同樣會帶來超額安全成本的付出，所以構造信息系統(tǒng)安全基線已經(jīng)成為 系統(tǒng)安全工程的首要步驟，同時也是解決信息系統(tǒng)安全性

14、問題的先決條件。構造信息系統(tǒng)安全基線是對信息系統(tǒng)及其內(nèi)外部環(huán)境進行系統(tǒng)的安全分 析，最終確定系統(tǒng)需要保護的安全目標以及對這些安全目標的保護程度。由此 可見，構造信息系統(tǒng)安全基線的過程也是對信息系統(tǒng)進行安全需求分析的過 程，也就是說在著手解決信息系統(tǒng)安全性問題前應該首先構造信息系統(tǒng)的安全 基線，只有建立在安全基線基礎之上，才能夠進一步建立信息系統(tǒng)安全解決方 案和實施系統(tǒng)安全工程。安全基線類別主要有物理安全基線（如對設備和數(shù)據(jù)資源的物理保護以及6 / 37XX單位信息安全加固報告對自然災害或常規(guī)犯罪活動的防范等），技術安全基線（服務與端口，訪問控制，鑒別和認證等），管理安全基線（如組織機構調(diào)整、人

15、員管理教育、培訓、 系統(tǒng)運行管理等）和系統(tǒng)實施安全基線。它們的關系如下圖所示：安全基線定義定義安全基線是指確定一組正式的安全需求，這些安全需求應覆蓋所有的 安全目標并符合所有相關的安全政策和法規(guī)等外部因素的限定。定義安全基線 任務包括以下幾個方面：確定安全目標安全目標是指使用目標系統(tǒng)內(nèi)資產(chǎn)時的安全目標以及安全保護的程度。高 層操作安全目標將影響到相應類別中所有資產(chǎn)的具體安全目標，例如“目標系 統(tǒng)內(nèi)的數(shù)據(jù)在傳輸?shù)侥繕讼到y(tǒng)外時應嚴格防止泄露。目標系統(tǒng)內(nèi)的每一個可能向外傳輸?shù)男畔ο髴谶@個目標制定相應的具體目標。確定安全基線涉及的方面安全目標的實現(xiàn)是安全基線制定的目的，所有的安全目標必須有相應的

16、安 全基線保證。安全基線定義安全基線需按類別逐條加以定義。每條安全基線應有目標系統(tǒng)范圍內(nèi)唯一 的標識，該標識可作為安全基線配置管理庫中的配置項標識。安全基線的定義 只須涉及安全需求，無須涉及要滿足需求的具體技術和方法。7 / 37XX單位信息安全加固報告匹配安全基線與安全目標安全基線構成后，應建立安全基線與安全目標的關系?？梢酝ㄟ^匹配矩陣 的形式來檢查每個安全目標是由哪些安全基線保證的。針對每一個安全目標， 檢查是否安全基線覆蓋了該目標的要求。當安全目標和安全基線數(shù)量較大時， 可按類別用多個矩陣表示安全目標與安全基線的關系。8 / 37XX單位信息安全加固報告2技術加固安全基線本節(jié)描述的技術加

17、固安全基線將成為網(wǎng)絡和系統(tǒng)評估加固過程中的基本 輪廓。原則上，每個加固過程都要考慮基線的所有部分。在實際的評估加固過 程中，特定的系統(tǒng)和網(wǎng)絡類型會對應基線中的一個部分。補丁加載修補系統(tǒng)安全漏洞類補丁修補系統(tǒng)BUG類補丁服務與端口最小化服務最小化服務端口鑒別和認證口令：在所有的系統(tǒng)入口處采用嚴格的口令策略身份：在所有的系統(tǒng)入口處采用嚴格的身份認證策略訪問控制網(wǎng)絡層訪問控制：在網(wǎng)絡邊界處部署防火墻，對正常業(yè)務外的網(wǎng)絡流量加 以屏蔽，并對業(yè)務相關的網(wǎng)絡訪問進行最小化網(wǎng)絡設備訪問控制：對網(wǎng)絡設備本身的訪問地址和用戶進行最小化操作系統(tǒng)訪問控制：部署主機訪問控制系統(tǒng)，對于用戶和文件權限進行最 小化。應用系

18、統(tǒng)訪問控制：部署主機訪問控制系統(tǒng)，對于用戶和使用權限進行最9 / 37XX單位信息安全加固報告小化。審計和跟蹤日志：在操作系統(tǒng)、路由器、防火墻、入侵檢測等設備上開啟日志記錄功能，保存并定期分析日志入侵檢測：在重要部位部署網(wǎng)絡入侵檢測系統(tǒng)，對網(wǎng)絡流量和可能的入侵 行為進行監(jiān)控和報警漏洞掃描和評估：采用先進的漏洞掃描系統(tǒng)對網(wǎng)絡設備和主機進行掃描評估內(nèi)容安全加密：對業(yè)務敏感采用強加密方式，包括鏈路加密和負載加密防病毒：部署全網(wǎng)統(tǒng)一的防毒體系，實現(xiàn)統(tǒng)一升級和管理VPN加密信道：對VPN隧道上傳輸?shù)姆庋b后的IP數(shù)據(jù)包進行加密和認證 處理，保證數(shù)據(jù)在傳遞過程的機密性、完整性和真實性冗余和恢復HA技術：對網(wǎng)

19、絡核心層設備采用負載均衡，雙機備份技術鏈路冗余：對骨干線路采用備份鏈路，保證業(yè)務連續(xù)性數(shù)據(jù)備份和恢復技術：制訂合理的備份和災難恢復策略并嚴格執(zhí)行10 / 37XX單位信息安全加固報告3安全加固內(nèi)容針對網(wǎng)絡設備的加固技術基線網(wǎng)絡設備安全加固的范圍重要程度補丁加載IOS升級高服務與端口Finger 服務，cdp, Hiip 等高鑒別認證口令加密方式高Snmp字串符問題高訪問控制telnet,設置 ACL高Snmp 設置 ACL高保留地址過濾中等：在邊界設備上配置審計跟蹤日志設置，ACL過濾日志及其重要高內(nèi)容安全telnet連接SSH加密重要冗余與恢復主要線路是否采用鏈路冗余重要：建議為主其他安全問

20、題如何防御蠕蟲病毒，DDOS攻擊高針又Windows操作系統(tǒng)的加固技術基線WINDOWS統(tǒng)需要加固范圍重要程度11/ 37XX單位信息安全加固報告補丁加載漏洞補丁高：Windows系統(tǒng)漏洞補丁對于系統(tǒng)安全性極其重要服務與端口ipc空連接等高比如：端口 135, 139, 445 等高鑒別認證密碼策略高訪問控制修改部分文件目錄權限高審計跟蹤日志（文件大小，保留天數(shù)等）高安全審計（策略設置）內(nèi)容安全檢查防病毒軟件是否升級IPSEC應用高冗余和恢復備份系統(tǒng)使用的配置文件，注冊表，制作緊急故障修復盤。高其他安全問題IIS安全設置高注冊表安全設置和優(yōu)化高：適當設置注冊表可以提高系統(tǒng)抗 DDOS攻擊的能力

21、針又Unix類操作系統(tǒng)的加固技術基線WINDOWS統(tǒng)需要加固范圍重要程度補丁加載漏洞補丁高：Windows系統(tǒng)漏洞補丁對于系統(tǒng)安全性極其重要12 / 37XX單位信息安全加固報告服務與端口ipc空連接等高比如：端口 135, 139, 445 等高鑒別認證密碼策略高訪問控制修改部分文件目錄權限高審計跟蹤日志（文件大小，保留天數(shù)等）高安全審計（策略設置）內(nèi)容安全檢查防病毒軟件是否升級IPSEC應用高冗余和恢復備份系統(tǒng)使用的配置文件，注冊表，制作緊急故障修復盤。高其他安全問題IIS安全設置高注冊表安全設置和優(yōu)化高：適當設置注冊表可以提高系統(tǒng)抗 DDOS攻擊的能力針對防火墻的安全加固技術基線防火墻需

22、要加固的范圍重要程度鑒別認證口令強度高訪問控制基本服務過濾策略高：合適的ACL策略，決定防火墻的實際作用已知攻擊過濾策略防火墻訪問控制高13 / 37XX單位信息安全加固報告審計跟蹤日志服務設置中等日志內(nèi)容設置高冗余與恢復配置備份重要數(shù)據(jù)庫安全加固技術基線數(shù)據(jù)庫需要的加固范圍重要程度補丁加載漏洞補丁修正程序服務與端口SA端口高鑒別認證高強度口令等用戶身份識別高訪問控制控制主體對客體的訪問高審計跟蹤數(shù)據(jù)庫系統(tǒng)的可審計性中等冗余與恢復數(shù)據(jù)備份和恢復14 / 37XX單位信息安全加固報告4基于基線的安全加固常規(guī)安全修復和加固服務主要依據(jù)以下流程:實施結果報告基礎設施實施報告操作系統(tǒng)實施報告安全防護系

23、統(tǒng)實施報告數(shù)據(jù)庫系統(tǒng)實施報告應用服務系統(tǒng)實施報告簽字驗收基于基線的網(wǎng)絡層加固傳輸鏈路的安全加固由于所有的信息交換都要經(jīng)過傳輸鏈路，所以確保鏈路安全十分重要，可以考 慮采用SSL、基于IPSec協(xié)議的VPN加密信道，安全傳輸協(xié)議，數(shù)據(jù)加密，鏈路冗15 / 37XX單位信息安全加固報告余和備份，增加安全性和可靠性；網(wǎng)絡拓撲結構的合理性檢查網(wǎng)絡的拓撲結構是否合理，這將直接影響到人整個網(wǎng)絡的穩(wěn)定與安全。如果存 在網(wǎng)絡拓撲混亂，布線不清晰，對各部門接入的人員無法查證，外來人員也很容易 接入網(wǎng)絡，地址的亂用等，將導致網(wǎng)絡難以管理，網(wǎng)絡工作效率下將，無法部署安 全設備，對攻擊者也就無法進行追蹤審計。例如，一

24、位非授權撥號用戶將會使在網(wǎng) 絡邊界的防火墻設備的所有安全策略形同虛設。檢查網(wǎng)絡拓撲，確保網(wǎng)絡中沒有后門和旁路。加固過程中風險分析及控制項目可能的影響和方式等級控制方式（措施）備注基礎設施加固誤操作引起設 備崩潰或數(shù)據(jù) 丟失、損壞高制定備份和恢復策 略規(guī)范審計流程； 嚴格選擇審計人員； 用戶進行全程監(jiān)控； 制定可能的恢復計 劃；網(wǎng)絡/安全設備資源占用中避開業(yè)務高峰；控制掃描策略（線程數(shù)量、強度）基于基線的網(wǎng)絡設備加固路由器、交換機等設備是網(wǎng)絡的核心部件，路由器的安全將直接影響整個網(wǎng)絡的安全，為此我們的加固包括（但不限于）：聯(lián)系各硬件廠商網(wǎng)站，確定最新的關于路由器、交換機上運行的操作系統(tǒng)的漏洞描述

25、或風險提示，對系統(tǒng)進行升級或更新；確保所有提供登陸服務的位置都有口令防護。確保AUX和Console 口都有16 / 37XX單位信息安全加固報告EXEC 口令，并使用MD5加密，建議使用支持加密的登陸方式，如 SSH 等； 對于允許遠程登陸管理的路由器、交換機，必須設置相應的ACL,限定可遠程登錄的主機IP地址范圍，VTY只接受來自可信的IP地址的連接。并 且應限制只接受一位管理員工作站的訪問，避免DoS攻擊的威脅，配置VTY連接超時，防止管理員離開時控制臺被他人使用； 關閉路由器、以太網(wǎng)交換機內(nèi)不需要的服務，對于必須開放的服務要限制 開放的范圍以及數(shù)據(jù)的流向； 對于支持SNMP,提供網(wǎng)管功

26、能的設備，必須確保 MIB庫的讀/寫密碼必 須設定為非缺省值，并推薦使用 SNMPV2;確保所有的接口都禁用CDP協(xié)議，以防止設備上的關鍵信息的泄露； 路由器、交換機應該開啟日志功能；整機和關鍵模塊的備份（包括熱備與冷備），以及采用HSRP動態(tài)路由選擇協(xié) 議等提高網(wǎng)絡的可靠性、可用性，滿足業(yè)務連續(xù)性需求；基于基線的操作系統(tǒng)加固由于采用的系統(tǒng)大多由UNIX和Windows組成，因此主要對這兩類系統(tǒng)的安全 性進行分析并提出安全加固建議。Windows系統(tǒng)的安全加固Windows操作系統(tǒng)由于其簡單明了的圖形界面以及逐漸提高的系統(tǒng)穩(wěn)定性和性 能而成為使用廣泛的網(wǎng)絡操作系統(tǒng)，并且在網(wǎng)絡中占有重要地位。但

27、是目前使用的windows系統(tǒng)中存在大量已知和未知的漏洞，Microsoft公司（包 括一些國際上的安全組織）已經(jīng)發(fā)布了大量的安全漏洞，其中一些漏洞可以導致入 侵者獲得管理員的權限，而另一些漏洞則可以被用來實施拒絕服務攻擊，對網(wǎng)絡和信 息的安全構成巨大的威脅。目前WINDOWS操作系統(tǒng)面臨的安全威脅包括：沒有安裝最新的ServicePack.17 / 37XX單位信息安全加固報告沒有關閉不必要的系統(tǒng)服務系統(tǒng)注冊表屬性安全問題文件系統(tǒng)屬性安全問題缺省帳號安全問題文件共享方面的安全問題其它方面的各種安全問題因此，在一個未加保護的 Windows系統(tǒng)上運行企業(yè)的核心業(yè)務會存在相當大的 風險。應當采取

28、的系統(tǒng)加固包括：加固措施建議操作修補系統(tǒng)BUG安裝操作系統(tǒng)的最新版本，并及時安裝操作系統(tǒng)廠商提 供的補丁 程序；同時根據(jù)國際權威安全組織的建議及 時修補已公開的安全漏洞嚴格的認證口令策略用戶認證的主要目的是提供訪問控制和訪問不可抵賴 性。用戶認證方法按其層次不同可以根據(jù)以下三種因素 提供認證。.用戶持有的證件，如大門鑰匙、門卡等等；.用戶知道的信息，如密碼；.用戶特有的特征，如指紋、聲音、視網(wǎng)膜掃描等等；對生成用戶口令的規(guī)則和口令長度作出限制，禁止用戶使用簡單口令，并強制用戶定期修改口令，如果可能，使用增強的身份驗證產(chǎn)品（如基于TokenCard的雙因素 驗證技術）代替系統(tǒng)本身的口令驗證機制，

29、或采用一次性用戶口令：如S/KEY系統(tǒng)等。這樣即使明文口令被截 獲，但由于下次登錄時系統(tǒng)將使用新口令，而使攻擊無效。嚴格的帳戶策略賬戶要盡可能少，盡快刪除已經(jīng)不再使用的賬戶。停用Guest賬號，并給 Guest加一個復雜的號碼。卸載多余的組件不要按Win2000的默認安裝組件，根據(jù)安全原則“最少 的服務+最小的權限-最大的安全”，只選擇確實需要的 服務安裝即可。典型Web服務器需要的最小組件是：公用文件、Internet 服務管理器、WWW務器。18 / 37XX單位信息安全加固報告停止多余服務只保留系統(tǒng)運行必須的服務，關，停其他的服務禁止建立空連接默認情況卜，仕何用尸可通過空連接連上服務器，

30、 枚舉 賬號并猜測密碼?？梢酝ㄟ^關閉默認共享或修改 Win2000的本地安全策略禁止建立空連接。設置審計策略在本地安全策略中審核如下的事件：用戶和組管理成功：失敗登錄和注銷成功：失敗文件及對象訪問失敗更改安全規(guī)則成功：失敗用戶權限的使用失敗系統(tǒng)事件使用NTFS格式分區(qū)把服務器的所有分區(qū)都改成 NTFS格式，并對重要目錄和系統(tǒng)日志進行權限限制。備份和緊急恢復策略針對不問的數(shù)據(jù)和重要級別， 制定相應的策略，在備份應用數(shù)據(jù)的同時也要備份系統(tǒng)使用的配置文件，注冊表，制作緊急故障修復盤。只保留TCP/IP協(xié)議，刪除NETBEUI、IPX/SPX 協(xié)議目前主要的通訊協(xié)議只有 TCP/IP,而NETBEUI

31、是一個 只能用于局域網(wǎng)的協(xié)議，IPX/SPX是面臨淘汰的協(xié)議， 放在網(wǎng)絡上沒有任何用處， 反而存在多個安全漏洞容易 被惡忌攻擊的利用。Internet服務管理器（IIS）安全配置WINDOWSIIS 服務中存在著很多高危險的漏洞，如果 不需要IIS服務，就徹底刪掉它，如果確實需要，為IIS 打上最新的補丁，并按微軟的建議去配置；特別注意應當刪除默認安裝的不必要虛擬路徑和某些IDA、IDQ等映射；對于虛擬路徑進行嚴格的權限限制。Unix類系統(tǒng)的安全加固UNIX類操作系統(tǒng)（Sun-Soaris,HP-UX,IBM-AIX等等）由于其出色的穩(wěn)定性和高性能而成為網(wǎng)絡中廣泛使用的操作系統(tǒng)，但缺省安裝的U

32、NIX操作系統(tǒng)（以SOLARIS為例）同樣會存在諸多安全問題：FINGER （泄露系統(tǒng)信息）19 / 37XX單位信息安全加固報告各類RPC （存在大量的遠程緩沖區(qū)溢出、泄露系統(tǒng)信息）SENDMAIL （許多安全漏洞、垃圾郵件轉(zhuǎn)發(fā)等）NAMED （遠程緩沖區(qū)溢出、拒絕服務攻擊等）SNMP （泄露系統(tǒng)信息）操作系統(tǒng)內(nèi)核中的網(wǎng)絡參數(shù)存在許多安全隱患（IP轉(zhuǎn)發(fā)、堆棧參數(shù)等）存在各種緩沖區(qū)溢出漏洞存在其它方面的安全問題在UNIX安全配置的安全服務中，應針對特定的系統(tǒng)和特定的應用服務，制定切實可行、安全高效的UNIX安全配置方案，建議的加固措施包括:加固措施建議操作系統(tǒng)訪問管理配置安全的系統(tǒng)訪問方式，制

33、定安全的系統(tǒng)訪問策略確保對系統(tǒng)的訪問都是通過安全加密的方式進行服務訪問管理根據(jù)制定的方案和系統(tǒng)功能，對主機提供的服務設置 訪問控制，以消除未授權的服務訪問所帶來安全隱患系統(tǒng)漏洞修補對在權威機構或是操作系統(tǒng)生產(chǎn)產(chǎn)商已公布的安全漏 洞通過打補丁或是升級操作系統(tǒng)版本的方式進行修 補。服務漏洞修補對系統(tǒng)提供的常用服務，諸如：DNS服務、FTP服務、郵件服務、WWW服務、telnet服務等，檢查軟件本身 的安全漏洞，通過打補丁或是更換服務軟件的方式修 補，并對不合理的配置進行修改。一次性口令認證根據(jù)制定的方案，兼顧全網(wǎng)原則，配置主機系統(tǒng)的一 次性口令認證機制，實現(xiàn)高效安全的口令及用戶管理。實時入侵檢測系

34、統(tǒng)根據(jù)制定的方案和系統(tǒng)功能，配置主機系統(tǒng)的實時入 侵檢測系統(tǒng)，從主機層次對入侵進行檢測，并記錄日 志，分析入侵情況。訪問控制系統(tǒng)從應用層次配置訪問控制系統(tǒng)，提供更高層次的用戶 訪問控制。DDoS攻擊檢測及防 護檢測針對主機系統(tǒng)的 DDoS攻擊，并采取相應措施進 行防護。20 / 37XX單位信息安全加固報告其他操作系統(tǒng)的安全加固其他操作系統(tǒng)包括 舊M-390/400主機類操作系統(tǒng)，NevollNetWare操作系統(tǒng)， 以及其他一些專用操作系統(tǒng)，這些操作系統(tǒng)部分在網(wǎng)絡中正在應用，除了考慮這些 系統(tǒng)的特殊性之外，對它們采取的通用加固策略與WINDOWS/UNIX類似，包括系統(tǒng)BUG修補、最新的補丁

35、程序更新、登陸認證控制等。力口固過程中的風險分析及控制項目可能的影響和方式等級控制方式（措施）備注系統(tǒng)信息泄漏高合同、協(xié)議、規(guī)章、制度、法律、法規(guī)操作系統(tǒng)平臺加固誤操作引起系統(tǒng)崩潰或數(shù)據(jù)丟失、損壞高規(guī)范加固流程； 嚴格選擇操作人員； 用戶進行全程監(jiān)控； 制定可行的恢復計劃；基于基線的安全防護系統(tǒng)加固通過在網(wǎng)絡的關鍵部位部署防火墻，入侵檢測系統(tǒng)，漏洞掃描系統(tǒng)，網(wǎng)關級防 病毒系統(tǒng)，安全審計系統(tǒng)，并制定有效的策略可有效減少來自網(wǎng)絡內(nèi)部和外部的滲 透和攻擊。防火墻系統(tǒng)的安全加固防火墻主要作用是在網(wǎng)絡入口處檢查網(wǎng)絡通訊，根據(jù)預先設定的安全規(guī)則，在 保護內(nèi)部網(wǎng)絡安全的前提下，保障內(nèi)外網(wǎng)絡通訊。在網(wǎng)絡出口處

36、安裝防火墻后，內(nèi)部網(wǎng)絡與外部網(wǎng)絡進行了有效的隔離，所有來 自外部網(wǎng)絡的訪問請求都要通過防火墻的檢查，以保證內(nèi)部網(wǎng)絡的安全。防火墻需 要審核的功能如下：21 / 37XX單位信息安全加固報告通過源地址過濾，拒絕外部非法IP地址，避免了外部網(wǎng)絡上與業(yè)務無關的主機 的越權訪問防火墻可以只保留有用的服務，將其他不需要的服務關閉，將系統(tǒng)受攻擊的可能性降低到最小限度，使黑客無機可乘；防火墻制定訪問策略，只有被授權的外部主機可以訪問內(nèi)部網(wǎng)絡的有限 IP地址, 保證外部網(wǎng)絡只能訪問內(nèi)部網(wǎng)絡中的必要資源，與業(yè)務無關的操作將被拒絕； 外部網(wǎng)絡對內(nèi)部網(wǎng)絡的所有訪問都要經(jīng)過防火墻，所以使用防火墻全面監(jiān)視外 部網(wǎng)絡對內(nèi)

37、部網(wǎng)絡的訪問活動，并進行詳細的記錄，通過分析得出可疑的攻擊 行為；防火墻進行地址轉(zhuǎn)換工作（NAT）,使外部網(wǎng)絡用戶不能看到內(nèi)部網(wǎng)絡的結構， 使黑客攻擊失去目標；防火墻的性能和配置必須能滿足如下的安全要求：在滿足系統(tǒng)業(yè)務吞吐量的前提下，將應用的延遲控制在可接受的范圍內(nèi)；能防止已知的各種攻擊方式，能過濾掉所有的活動內(nèi)容；配置LOG服務器，將每天的LOG信息記錄到指定的日志服務器上供分析使用；防病毒系統(tǒng)的安全加固當前的互聯(lián)網(wǎng)絡正面臨著日益嚴重的計算機病毒，蠕蟲，特洛伊木馬等來自于 多方面的威脅，為了免受病毒所造成的損失，應當部署多層的病毒防衛(wèi)體系。即在 每臺工作站上安裝單機版反病毒軟件，在服務器上安

38、裝基于服務器的反病毒軟件， 在網(wǎng)關上安裝基于網(wǎng)關的反病毒軟件?？紤]到病毒在網(wǎng)絡中存儲、傳播、感染的方式各異且途徑多種多樣，故相應地 在構建網(wǎng)絡防病毒系統(tǒng)時，應利用全方位的企業(yè)防毒產(chǎn)品，實施層層設防、集中控 制、以防為主、防殺結合”的策略。具體而言，就是針對網(wǎng)絡中所有可能的病毒攻擊 設置對應的防毒軟件，通過全方位、多層次的防毒系統(tǒng)配置，使網(wǎng)絡沒有薄弱環(huán)節(jié) 成為病毒入侵的缺口。安全漏洞加固措施軟件本身漏洞軟件升級病毒庫陳舊或升級方法不當更新漏洞庫22 / 37XX單位信息安全加固報告4 |J直小遭或使用/、當重新進行布置，并合理使用加固過程中的風險分析及控制項目可能的影響和方式等級控制方式（措施）

39、備注防火墻增加應用響應時間不當?shù)牟呗詫е戮W(wǎng)絡/、可用高部署時避開業(yè)務高峰準備備用設備入侵檢測系統(tǒng)產(chǎn)生的網(wǎng)絡流量低制定合適的策略防病毒系統(tǒng)安裝時占用系統(tǒng)資源低部署時避開業(yè)務高峰時間漏洞掃描系統(tǒng)產(chǎn)生的網(wǎng)絡流量低避開業(yè)務高峰；控制掃描策略（線程數(shù)量,強度）主機資源占用高避開業(yè)務高峰；控制掃描策略（線程數(shù)量、強度）基于基線的數(shù)據(jù)庫系統(tǒng)加固網(wǎng)絡中的數(shù)據(jù)庫系統(tǒng)承載核心數(shù)據(jù)業(yè)務，如果被攻擊往往會造成非常嚴重的后 果。4.5.1數(shù)據(jù)庫服務我們將的數(shù)據(jù)庫系統(tǒng)分成兩個部分:數(shù)據(jù)庫，按照一定的方式存儲各業(yè)務數(shù)據(jù)。數(shù)據(jù)庫管理系統(tǒng)（DBMS）,它為用戶及應用程序提供數(shù)據(jù)訪問，同時對23 / 37XX單位信息安全加固報告

40、數(shù)據(jù)庫進行管理，維護等多種功能。針對數(shù)據(jù)庫安全的特點，我們應該將數(shù)據(jù)庫系統(tǒng)的安全問題歸納為以下幾個方面：數(shù)據(jù)庫系統(tǒng)的保密性數(shù)據(jù)庫系統(tǒng)的用戶身份識別：保證每個用戶是合法的，且是可以識別的；數(shù)據(jù)庫系統(tǒng)的訪問控制：控制主體對客體的訪問，拒絕非授權訪問，防止信息泄露；統(tǒng)計數(shù)據(jù)庫對推理攻擊的防范：數(shù)據(jù)庫中存放的數(shù)據(jù)往往具有統(tǒng)計意義，入侵者往往利用已經(jīng)公開的，安全級別相對低的數(shù)據(jù)來推斷出安全級別高 的機密信息；數(shù)據(jù)庫系統(tǒng)的可審計性：即對非法用戶的入侵行為及信息的泄露與破壞的 情況能夠跟蹤審計；防止數(shù)據(jù)庫系統(tǒng)中隱蔽信道的攻擊；數(shù)據(jù)庫系統(tǒng)的完整性數(shù)據(jù)庫系統(tǒng)的物理完整性：保障數(shù)據(jù)庫物理存儲介質(zhì)以及物理運行環(huán)境的

41、正確與不受到侵害；數(shù)據(jù)庫系統(tǒng)的邏輯完整性：包括數(shù)據(jù)庫邏輯結構完整性和數(shù)據(jù)庫主碼完整 性兩個方面；數(shù)據(jù)庫系統(tǒng)的元素完整性：保障給客體數(shù)據(jù)元素的合法性，有效性，正確 性，一致性，可維護性，以及防止非授權修改與破壞；保障業(yè)務數(shù)據(jù)庫系統(tǒng)的可用性。它需要保障數(shù)據(jù)庫系統(tǒng)資源可以存儲，易于使用，方便操作，界面友好等。數(shù)據(jù)庫安全框架用戶分類：不同類型的用戶應該授予不同的數(shù)據(jù)庫訪問和管理權限。比如： 數(shù)據(jù)庫系統(tǒng)登陸權限，資源管理權限，數(shù)據(jù)庫管理員權限，遠程訪問權限 等，并對每一類用戶都設定嚴格的口令認證策略。數(shù)據(jù)分類：對每類用戶他能夠使用的數(shù)據(jù)庫是不同的， 要進行數(shù)據(jù)庫分類 不同的用戶訪問不同的數(shù)據(jù)庫系統(tǒng)。審計

42、功能：DBMS提供審計功能對維護數(shù)據(jù)庫的安全是十分重要的，它用24 / 37XX單位信息安全加固報告來監(jiān)視各用戶對數(shù)據(jù)庫施加的動作?？梢酝ㄟ^用戶審計和系統(tǒng)審計兩種方 式來發(fā)現(xiàn)數(shù)據(jù)庫使用過程中出現(xiàn)的問題，從而找到安全隱患。數(shù)據(jù)庫漏洞掃描：利用專業(yè)的數(shù)據(jù)庫安全掃描軟件可以對數(shù)據(jù)庫的安全狀 況進行完整的分析，并給出修補漏洞，增強安全性的方法和建議。周期性 的對數(shù)據(jù)庫進行這種掃描可以降低人為造成的（有意或無意的）數(shù)據(jù)庫的 安全風險。對于機密的數(shù)據(jù)，可以考慮以加密的形式存儲數(shù)據(jù)。數(shù)據(jù)庫備份與恢復：因為數(shù)據(jù)在存儲，傳輸過程中可能出現(xiàn)故障，同時計 算機系統(tǒng)本身也可能發(fā)生一些意料之外的事情，如果沒有事先采取數(shù)

43、據(jù)備 份措施，將會導致慘重的損失。因此數(shù)據(jù)庫的備份與恢復也是數(shù)據(jù)庫的一 個安全功能，它必須提供。數(shù)據(jù)庫系統(tǒng)的備份可以采取多種方式進行。4.5.2加固過程中的風險分析及控制項目可能的影響和方式等級控制方式（措施）備注數(shù)據(jù)庫加固產(chǎn)生非法數(shù)據(jù)，致 使系統(tǒng)不能正常工 作中和DBA SA NA協(xié)同工作做好系統(tǒng)備份和恢復措施異常輸入（畸形數(shù) 據(jù)、極限測試）導 致系統(tǒng)崩潰高和DBA SA NA協(xié)同工作做好系統(tǒng)備份和恢復措施基于基線的應用系統(tǒng)加固網(wǎng)絡中的應用服務主要包括 WEB服務、FTP服務、電子郵件系統(tǒng)、域名系統(tǒng)服務等網(wǎng)絡基本服務，以及視頻點播（VOD）系統(tǒng)、CA系統(tǒng)、上海煙草、網(wǎng)絡管理系統(tǒng)、IP-Pho

44、ne服務網(wǎng)絡，主機托管服務和以數(shù)據(jù)中心為主的數(shù)據(jù)服務等客戶服務系夕云譏寸寸025 / 37XX單位信息安全加固報告應用服務系統(tǒng)的安全目前往往依賴于基礎設施、操作系統(tǒng)、數(shù)據(jù)庫的安全，由 于應用系統(tǒng)復雜多樣，沒有特定的安全技術能夠完全解決一些特殊應用系統(tǒng)的安全 問題。但是一些通用的應用程序，如 Webserver程序，F(xiàn)TP服務程序，E-mail服務 程序，瀏覽器，MSOfice辦公軟件等這些應用程序自身的安全漏洞和由于配置不當 造成的安全漏洞會導致整個網(wǎng)絡的安全性下降。WEB月艮務利用HTTP服務器的一些漏洞，特別是在大量使用服務器腳本的系統(tǒng)上，利用 這些可執(zhí)行的腳本程序，入侵者可以很容易的獲得

45、系統(tǒng)的控制權，使服務器崩潰， 各種WEB應用服務停止；Web服務系統(tǒng)是宣傳企業(yè)形象，提供信息服務的主要窗口，它的正常運行將關 系到企業(yè)形象。由于網(wǎng)站服務器系統(tǒng)在安全檢測中存在較多的安全漏洞，經(jīng)常會成 為入侵者的首選目標；卜面列出WEB服務主要面臨的威脅及加固措施:面臨的危險建議加固措施WEB服務腳本的安全漏洞，遠程溢出 （.Printer 、.ida 等漏洞），通過 WE國艮務 服務狄取系統(tǒng)的超級用戶特權即時下載并安裝廠商提供的補丁程序WEBX囿被惡意刪改米用網(wǎng)頁保護與恢復系統(tǒng)利用WEBJ艮務器作為跳板，進而攻擊內(nèi)部的重要數(shù)據(jù)庫服務器加強訪問控制；部署防火墻， 入侵檢測系統(tǒng)拒絕服務器攻擊或分布

46、式拒絕服務攻擊調(diào)整系統(tǒng)參數(shù)；部署防火墻，入侵檢測系統(tǒng)，即時檢測并切斷攻擊網(wǎng)絡病毒的侵襲，如 Nimda系統(tǒng)不定，安全設置安裝網(wǎng)絡防病毒系統(tǒng)惡忌的JavaApplet,ActiveX 攻擊等檢查系統(tǒng)腳本部署入侵檢測系統(tǒng)安裝殺毒軟件通過WEB!艮務上傳木馬等非法后門程序， 以達到對整個服務器的控制調(diào)整系統(tǒng)組件部署入侵檢測系統(tǒng)26 / 37XX單位信息安全加固報告面臨的危險建議加固措施安裝殺毒軟件WEB1務器的數(shù)據(jù)源，被非法入侵，用戶的一些私有信息被竊加強對相關數(shù)據(jù)源的訪問控制WEB艮務的某些目錄可寫， 或某些CGI-BIN 目錄授權不當，采用默認設置，一些系統(tǒng) 程序沒有刪除刪除不必要目錄，對所有目

47、錄嚴格權限；采用網(wǎng)頁保護與恢復系統(tǒng)FTP月艮務目前較流行的FTP服務器軟件都有廣為人知的缺陷，這些缺陷會使服務器很容 易被錯誤的配置，從而導致安全問題，如被匿名用戶上載的木馬程序，下載系統(tǒng)中 的重要信息（如口令文件）并導致最終的入侵。有些服務器版本帶有嚴重的錯誤， 比如可以使任何人獲得對包括root在內(nèi)的任何帳號的訪問。卜面列出FTP服務主要面臨的威脅及加固措施面臨的危險建議加固措施匿名登錄，非法訪問未授權資源加強系統(tǒng)登陸認證管理FTP小同版本存在的安全漏洞使用最新的版本，打最新的補丁拒絕服務在入口處部署入侵檢測系統(tǒng)惡意用戶名與密碼的猜測限制同名用戶輸入口令次數(shù)FTP權限可寫修改權限分配用戶上

48、傳惡意代碼，含毒文件等部署FTP服務器防病毒系統(tǒng)電子郵件服務電子郵件的廣泛使用和廣泛傳播一方面給人們帶來極大的方便，一方面也極易 遭到攻擊和利用，同時也是病毒傳播的重要途徑:目前針對郵件服務主要的威脅有面臨的危險建議加固措施郵件服務軟件本身的漏洞使用最新的版本，打最新的補丁27 / 37XX單位信息安全加固報告郵件病毒部署SMTF務器防病毒系統(tǒng)郵件炸彈設定閾值，設置過濾規(guī)則惡意代碼部署SMTF務器防病毒系統(tǒng)拒絕服務在入口處部署入侵檢測系統(tǒng)垃圾郵件禁止relay ,設定閾值，設置過濾規(guī)則DNS月艮務DNS!網(wǎng)絡正常運作的基本元素，它們主要是由運行Unix操作系統(tǒng)的DNSK務 器構成。這些系統(tǒng)很容

49、易成為攻擊的目標或跳板。對 DNS勺攻擊通常是對其他遠程 主機進行攻擊做準備，如篡改域名解析記錄以欺騙被攻擊的系統(tǒng)，或通過獲取 DNS的區(qū)域文件而得到進一步入侵的重要信息。例如著名的域名服務系統(tǒng)BIND就存在眾多的可以被入侵者利用的漏洞。面臨的危險建議加固措施拒絕服務攻擊在入口處部署入侵檢測系統(tǒng)跳板攻擊加強系統(tǒng)自身安全配置DNSa件本身的漏洞使用最新的版本，打最新的補丁認證用專用的基于硬件令牌的身份鑒別產(chǎn)品增強各計費服務器等設備的管理員登錄 的安全性；認證系統(tǒng)建議采用全網(wǎng)統(tǒng)一的認證系統(tǒng)。網(wǎng)管系統(tǒng)對于支持SNMP,提供網(wǎng)管功能的設備，必須確保MIB庫的讀/寫密碼必須設 定為非缺省值，同時，允許對

50、 MIB庫進行讀/寫操作的主機也可通過 ACL設置限 定在指定網(wǎng)段范圍內(nèi)。確保使用SNMPV2 ,因為SNMPV2使用了較強的MD5Digest 技術。必須確保MIB庫的讀/寫密碼(CommunityStringPassword)必須設定為非缺 省值(PublicandPrivate)。CommunityStringPassword必須為健壯口令，并定期更換。28 / 37XX單位信息安全加固報告確保授權使用SNMP進行管理的主機限定在指定網(wǎng)段范圍內(nèi)（ACL）,防止網(wǎng)管信息 庫的信息泄露或丟失。其他服務其他應用服務系統(tǒng)的安全目前往往參照基礎設施、操作系統(tǒng)、數(shù)據(jù)庫的安全， 以及廠商關于應用本身的

51、安全配置建議。加固過程中風險分析及控制項目可能的影響和方式等級控制方式（措施）備注應用服務系統(tǒng)誤操作引起系統(tǒng)崩潰或服務不可用高規(guī)范加固流程； 嚴格選擇操作人員； 用戶進行全程監(jiān)控； 制定可能的恢復計 劃；部分業(yè)務暫時中斷中盡量避開用戶正常 業(yè)務時間或在非業(yè) 務高峰期操作。5安全加固流程安全加固作為一個項目的實施流程如下圖所示。29 / 37XX單位信息安全加固報告實施加固同期記錄畔城Inx評估需認放棄加固加固報告理苫優(yōu)化方贏及系統(tǒng)加固方簟II圖：安全加固流程安全加固環(huán)節(jié)系統(tǒng)加固和優(yōu)化的流程主要由以下四個環(huán)節(jié)構成：A）狀態(tài)調(diào)查；B）制定加固方案；C）實施加固；D）生成加固報告。上述這四個環(huán)節(jié)是完

52、成加固必不可少的，就其中每個環(huán)節(jié)的具體內(nèi)容根據(jù)不同 情況會有所不同。其中區(qū)別較大的是對新建系統(tǒng)和現(xiàn)存系統(tǒng)的加固和優(yōu)化。新系統(tǒng)（或重新安裝的系統(tǒng)）與現(xiàn)存系統(tǒng)相比較，新系統(tǒng)的加固和優(yōu)化工作要 相對簡單些；現(xiàn)存系統(tǒng)的加固比較復雜，在一定情況下，現(xiàn)存系統(tǒng)必須完全重建， 才能滿足客戶對系統(tǒng)的安全需求；新系統(tǒng)和舊系統(tǒng)的加固和優(yōu)化流程不同，兩者有30 / 37XX單位信息安全加固報告各自的工作流程。狀態(tài)調(diào)查對系統(tǒng)的狀態(tài)調(diào)查的過程主要是導入以下服務的結果：A）系統(tǒng)安全需求分析B）系統(tǒng)安全策略制訂C）系統(tǒng)安全風險評估（網(wǎng)絡掃描和人工評估）對于新建的系統(tǒng)而言，主要是導入系統(tǒng)安全需求分析和系統(tǒng)安全策略制訂這兩 項服

53、務的結果。在導入上述服務的結果后，應確定被加固系統(tǒng)的安全級別，即確定 被加固系統(tǒng)所能達到的安全程度。同時，也必須在分析上述服務結果的基礎上確定 對系統(tǒng)加固和優(yōu)化的代價。制定加固方案制訂加固方案的主要內(nèi)容是根據(jù)系統(tǒng)狀態(tài)調(diào)查所產(chǎn)生的結果制訂對系統(tǒng)實施加 固和優(yōu)化的內(nèi)容、步驟和時間表。實施加固加固實施操作前，應向客戶方提交加固方案書，作為加固操作申請。在客戶審 核加固操作方案無誤的情況下，安排人員配合加固工作。對系統(tǒng)實施加固和優(yōu)化主要內(nèi)容包含以下兩個方面：A）對系統(tǒng)進行加固B）對系統(tǒng)進行測試對系統(tǒng)進行測試的目的是檢驗在對系統(tǒng)使是修補加固后，系統(tǒng)在安全性和功能 性上是否能夠滿足客戶的需求。上述兩個方面

54、的工作是一個反復的過程，即，每完 成一個加固或優(yōu)化步驟后就要測試系統(tǒng)的功能性要求和安全性要求是否滿足客戶需 求；如果其中一方面的要求不能滿足，該加固步驟就要重新進行。對有些系統(tǒng)會存在加固失敗的情況，如果發(fā)生加固失敗，則根據(jù)客戶的選擇， 要么放棄加固，要么重建系統(tǒng)。31 / 37XX單位信息安全加固報告加固完成后，對加固過的目標系統(tǒng)二次使用工具掃描，檢查原有的高級，中級 漏洞是否解除。生成加固報告加固報告是向用戶提供完成系統(tǒng)加固和優(yōu)化服務后的最終報告。其中包含以下 內(nèi)容：A）加固過程的完整記錄B）有關系統(tǒng)安全管理方面的建議或解決方案C）對加固系統(tǒng)安全審計結果系統(tǒng)加固流程圖圖：系統(tǒng)加固實施流程32 / 37XX單位信息安全加固報告5.3系統(tǒng)加固具體實施步驟圖：系統(tǒng)加固具體實施步驟33 / 37XX單位信息安全加固報告6項目風險規(guī)避措施加固實施策略時間為了避免加固過程影響系統(tǒng)業(yè)務運行，加固時間應該選擇在系統(tǒng)業(yè)務量最小， 業(yè)務臨時中斷對外影響最小的時候。操作加固操作需要按照系統(tǒng)加固核對表,逐項按順序執(zhí)行操作。記錄對加固后的系統(tǒng)，全部復查一次所作加固內(nèi)容，確保正確無誤。系統(tǒng)備份和恢復系統(tǒng)加固之前，先對系統(tǒng)做完全備份.加固過程可能存在任何不可遇見的風險， 當加固失敗時,可以恢復到加固前狀態(tài)。當出現(xiàn)不可