網(wǎng)絡(luò)信息安全加固報(bào)告模板

XX單位信息安全加固報(bào)告項(xiàng)目編號(hào)日期2017-1-15文檔編號(hào)?DATE\@"yyyy"2017 ■版權(quán)聲明本文檔所涉及到的文字、圖表等，僅限于信息科技有限公司及被呈送方內(nèi)部使用，未經(jīng)信息科技有限公司書面許可，請(qǐng)勿擴(kuò)散到第三方。■版本變更記錄時(shí)間版本說(shuō)明參與人2015-1-151.0創(chuàng)建■適用性聲明本模板用于撰寫方案等文檔使用。XX單位信息安全加固報(bào)告PAGE37/37 目錄1 安全基線 61.1 安全基線概要 61.2 安全基線構(gòu)造 61.3 安全基線定義 72 技術(shù)加固安全基線 92.1 補(bǔ)丁加載 92.2 服務(wù)與端口 92.3 鑒別和認(rèn)證 92.4 訪問(wèn)控制 92.5 審計(jì)和跟蹤 102.6 內(nèi)容安全 102.7 冗余和恢復(fù) 103 安全加固內(nèi)容 113.1 針對(duì)網(wǎng)絡(luò)設(shè)備的加固 113.2 針對(duì)Windows操作系統(tǒng)的加固 113.3 針對(duì)Unix類操作系統(tǒng)的加固 123.4 針對(duì)防火墻的安全加固 133.5 數(shù)據(jù)庫(kù)安全加固 144 基于基線的安全加固 154.1 基于基線的網(wǎng)絡(luò)層加固 154.1.1 傳輸鏈路的安全加固 154.1.2 網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的合理性檢查 164.1.3 加固過(guò)程中風(fēng)險(xiǎn)分析及控制 164.2 基于基線的網(wǎng)絡(luò)設(shè)備加固 164.3 基于基線的操作系統(tǒng)加固 174.3.1 Windows系統(tǒng)的安全加固 174.3.2 Unix類系統(tǒng)的安全加固 204.3.3 其他操作系統(tǒng)的安全加固 214.3.4 加固過(guò)程中的風(fēng)險(xiǎn)分析及控制 214.4 基于基線的安全防護(hù)系統(tǒng)加固 214.4.1 防火墻系統(tǒng)的安全加固 224.4.2 防病毒系統(tǒng)的安全加固 224.4.3 加固過(guò)程中的風(fēng)險(xiǎn)分析及控制 234.5 基于基線的數(shù)據(jù)庫(kù)系統(tǒng)加固 244.5.1 數(shù)據(jù)庫(kù)服務(wù) 244.5.2 加固過(guò)程中的風(fēng)險(xiǎn)分析及控制 254.6 基于基線的應(yīng)用系統(tǒng)加固 264.6.1 WEB服務(wù) 264.6.2 FTP服務(wù) 274.6.3 電子郵件服務(wù) 284.6.4 DNS服務(wù) 284.6.5 認(rèn)證 294.6.6 網(wǎng)管系統(tǒng) 294.6.7 其他服務(wù) 294.6.8 加固過(guò)程中風(fēng)險(xiǎn)分析及控制 295 安全加固流程 305.1 安全加固環(huán)節(jié) 305.1.1 狀態(tài)調(diào)查 315.1.2 制定加固方案 315.1.3 實(shí)施加固 315.1.4 生成加固報(bào)告 325.2 系統(tǒng)加固流程圖 335.3 系統(tǒng)加固具體實(shí)施步驟 346 項(xiàng)目風(fēng)險(xiǎn)規(guī)避措施 356.1 加固實(shí)施策略 356.2 系統(tǒng)備份和恢復(fù) 356.3 合理溝通 357 安全加固文檔支持 367.1 主機(jī)系統(tǒng) 367.1.1 Windows 367.1.2 Linux 367.2 網(wǎng)絡(luò)設(shè)備 377.3 防火墻 377.4 數(shù)據(jù)庫(kù) 377.5 應(yīng)用 38

安全基線安全基線概要早在1993年4月，美國(guó)國(guó)家安全局（NSA）即贊助研究將過(guò)程能力成熟模型（CMM）應(yīng)用到安全工程中。1995年1月，60多個(gè)組織確認(rèn)這個(gè)研究的必要性并加入到研究工作中。1996年10月，公布了第一個(gè)系統(tǒng)安全工程的過(guò)程能力成熟模型（SSE-CMM）版本。SSE-CMM描述了一個(gè)好的安全工程所應(yīng)具有的安全工程過(guò)程。SSE-CMM是將安全工程進(jìn)化為一種確定、成熟并可測(cè)量的方法體系。SSE-CMM中的第一個(gè)關(guān)鍵過(guò)程域即為安全基線（SecurityBaseline），構(gòu)造信息系統(tǒng)的安全基線是實(shí)現(xiàn)系統(tǒng)安全工程的首要步驟。安全基線構(gòu)造信息系統(tǒng)安全基線是一個(gè)信息系統(tǒng)的最小安全保證，即該信息系統(tǒng)最基本需要滿足的安全要求。信息系統(tǒng)安全往往需要在安全付出成本與所能夠承受的安全風(fēng)險(xiǎn)之間進(jìn)行平衡，而安全基線正是這個(gè)平衡的合理的分界線。不滿足系統(tǒng)最基本的安全需求，也就無(wú)法承受由此帶來(lái)的安全風(fēng)險(xiǎn)，而非基本安全需求的滿足同樣會(huì)帶來(lái)超額安全成本的付出，所以構(gòu)造信息系統(tǒng)安全基線已經(jīng)成為系統(tǒng)安全工程的首要步驟，同時(shí)也是解決信息系統(tǒng)安全性問(wèn)題的先決條件。構(gòu)造信息系統(tǒng)安全基線是對(duì)信息系統(tǒng)及其內(nèi)外部環(huán)境進(jìn)行系統(tǒng)的安全分析，最終確定系統(tǒng)需要保護(hù)的安全目標(biāo)以及對(duì)這些安全目標(biāo)的保護(hù)程度。由此可見(jiàn)，構(gòu)造信息系統(tǒng)安全基線的過(guò)程也是對(duì)信息系統(tǒng)進(jìn)行安全需求分析的過(guò)程，也就是說(shuō)在著手解決信息系統(tǒng)安全性問(wèn)題前應(yīng)該首先構(gòu)造信息系統(tǒng)的安全基線，只有建立在安全基線基礎(chǔ)之上，才能夠進(jìn)一步建立信息系統(tǒng)安全解決方案和實(shí)施系統(tǒng)安全工程。安全基線類別主要有物理安全基線（如對(duì)設(shè)備和數(shù)據(jù)資源的物理保護(hù)以及對(duì)自然災(zāi)害或常規(guī)犯罪活動(dòng)的防范等），技術(shù)安全基線（服務(wù)與端口，訪問(wèn)控制，鑒別和認(rèn)證等），管理安全基線（如組織機(jī)構(gòu)調(diào)整、人員管理教育、培訓(xùn)、系統(tǒng)運(yùn)行管理等）和系統(tǒng)實(shí)施安全基線。它們的關(guān)系如下圖所示：安全基線定義定義安全基線是指確定一組正式的安全需求，這些安全需求應(yīng)覆蓋所有的安全目標(biāo)并符合所有相關(guān)的安全政策和法規(guī)等外部因素的限定。定義安全基線任務(wù)包括以下幾個(gè)方面：確定安全目標(biāo)安全目標(biāo)是指使用目標(biāo)系統(tǒng)內(nèi)資產(chǎn)時(shí)的安全目標(biāo)以及安全保護(hù)的程度。高層操作安全目標(biāo)將影響到相應(yīng)類別中所有資產(chǎn)的具體安全目標(biāo)，例如“目標(biāo)系統(tǒng)內(nèi)的數(shù)據(jù)在傳輸?shù)侥繕?biāo)系統(tǒng)外時(shí)應(yīng)嚴(yán)格防止泄露”。目標(biāo)系統(tǒng)內(nèi)的每一個(gè)可能向外傳輸?shù)男畔?duì)象應(yīng)基于這個(gè)目標(biāo)制定相應(yīng)的具體目標(biāo)。確定安全基線涉及的方面安全目標(biāo)的實(shí)現(xiàn)是安全基線制定的目的，所有的安全目標(biāo)必須有相應(yīng)的安全基線保證。安全基線定義安全基線需按類別逐條加以定義。每條安全基線應(yīng)有目標(biāo)系統(tǒng)范圍內(nèi)唯一的標(biāo)識(shí)，該標(biāo)識(shí)可作為安全基線配置管理庫(kù)中的配置項(xiàng)標(biāo)識(shí)。安全基線的定義只須涉及安全需求，無(wú)須涉及要滿足需求的具體技術(shù)和方法。匹配安全基線與安全目標(biāo)安全基線構(gòu)成后，應(yīng)建立安全基線與安全目標(biāo)的關(guān)系。可以通過(guò)匹配矩陣的形式來(lái)檢查每個(gè)安全目標(biāo)是由哪些安全基線保證的。針對(duì)每一個(gè)安全目標(biāo)，檢查是否安全基線覆蓋了該目標(biāo)的要求。當(dāng)安全目標(biāo)和安全基線數(shù)量較大時(shí)，可按類別用多個(gè)矩陣表示安全目標(biāo)與安全基線的關(guān)系。

技術(shù)加固安全基線本節(jié)描述的技術(shù)加固安全基線將成為網(wǎng)絡(luò)和系統(tǒng)評(píng)估加固過(guò)程中的基本輪廓。原則上，每個(gè)加固過(guò)程都要考慮基線的所有部分。在實(shí)際的評(píng)估加固過(guò)程中，特定的系統(tǒng)和網(wǎng)絡(luò)類型會(huì)對(duì)應(yīng)基線中的一個(gè)部分。補(bǔ)丁加載修補(bǔ)系統(tǒng)安全漏洞類補(bǔ)丁修補(bǔ)系統(tǒng)BUG類補(bǔ)丁服務(wù)與端口最小化服務(wù)最小化服務(wù)端口鑒別和認(rèn)證口令：在所有的系統(tǒng)入口處采用嚴(yán)格的口令策略身份：在所有的系統(tǒng)入口處采用嚴(yán)格的身份認(rèn)證策略訪問(wèn)控制網(wǎng)絡(luò)層訪問(wèn)控制：在網(wǎng)絡(luò)邊界處部署防火墻，對(duì)正常業(yè)務(wù)外的網(wǎng)絡(luò)流量加以屏蔽，并對(duì)業(yè)務(wù)相關(guān)的網(wǎng)絡(luò)訪問(wèn)進(jìn)行最小化網(wǎng)絡(luò)設(shè)備訪問(wèn)控制：對(duì)網(wǎng)絡(luò)設(shè)備本身的訪問(wèn)地址和用戶進(jìn)行最小化操作系統(tǒng)訪問(wèn)控制：部署主機(jī)訪問(wèn)控制系統(tǒng)，對(duì)于用戶和文件權(quán)限進(jìn)行最小化。應(yīng)用系統(tǒng)訪問(wèn)控制：部署主機(jī)訪問(wèn)控制系統(tǒng)，對(duì)于用戶和使用權(quán)限進(jìn)行最小化。審計(jì)和跟蹤日志：在操作系統(tǒng)、路由器、防火墻、入侵檢測(cè)等設(shè)備上開(kāi)啟日志記錄功能，保存并定期分析日志入侵檢測(cè)：在重要部位部署網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，對(duì)網(wǎng)絡(luò)流量和可能的入侵行為進(jìn)行監(jiān)控和報(bào)警漏洞掃描和評(píng)估：采用先進(jìn)的漏洞掃描系統(tǒng)對(duì)網(wǎng)絡(luò)設(shè)備和主機(jī)進(jìn)行掃描評(píng)估內(nèi)容安全加密：對(duì)業(yè)務(wù)敏感采用強(qiáng)加密方式，包括鏈路加密和負(fù)載加密防病毒：部署全網(wǎng)統(tǒng)一的防毒體系，實(shí)現(xiàn)統(tǒng)一升級(jí)和管理VPN加密信道：對(duì)VPN隧道上傳輸?shù)姆庋b后的IP數(shù)據(jù)包進(jìn)行加密和認(rèn)證處理，保證數(shù)據(jù)在傳遞過(guò)程的機(jī)密性、完整性和真實(shí)性冗余和恢復(fù)HA技術(shù)：對(duì)網(wǎng)絡(luò)核心層設(shè)備采用負(fù)載均衡，雙機(jī)備份技術(shù)鏈路冗余：對(duì)骨干線路采用備份鏈路，保證業(yè)務(wù)連續(xù)性數(shù)據(jù)備份和恢復(fù)技術(shù)：制訂合理的備份和災(zāi)難恢復(fù)策略并嚴(yán)格執(zhí)行

安全加固內(nèi)容針對(duì)網(wǎng)絡(luò)設(shè)備的加固技術(shù)基線網(wǎng)絡(luò)設(shè)備安全加固的范圍重要程度補(bǔ)丁加載IOS升級(jí)高服務(wù)與端口Finger服務(wù)，cdp，HTTP等高鑒別認(rèn)證口令加密方式高Snmp字串符問(wèn)題高訪問(wèn)控制telnet,設(shè)置ACL高Snmp設(shè)置ACL高保留地址過(guò)濾中等：在邊界設(shè)備上配置審計(jì)跟蹤日志設(shè)置，ACL過(guò)濾日志及其重要高內(nèi)容安全telnet連接SSH加密重要冗余與恢復(fù)主要線路是否采用鏈路冗余重要：建議為主其他安全問(wèn)題如何防御蠕蟲病毒，DDOS攻擊高針對(duì)Windows操作系統(tǒng)的加固技術(shù)基線WINDOWS系統(tǒng)需要加固范圍重要程度補(bǔ)丁加載漏洞補(bǔ)丁高：Windows系統(tǒng)漏洞補(bǔ)丁對(duì)于系統(tǒng)安全性極其重要服務(wù)與端口ipc空連接等高比如：端口135，139，445等高鑒別認(rèn)證密碼策略高訪問(wèn)控制修改部分文件目錄權(quán)限高審計(jì)跟蹤日志（文件大小，保留天數(shù)等）高安全審計(jì)（策略設(shè)置）內(nèi)容安全檢查防病毒軟件是否升級(jí)IPSEC應(yīng)用高冗余和恢復(fù)備份系統(tǒng)使用的配置文件，注冊(cè)表，制作緊急故障修復(fù)盤。高其他安全問(wèn)題IIS安全設(shè)置高注冊(cè)表安全設(shè)置和優(yōu)化高：適當(dāng)設(shè)置注冊(cè)表可以提高系統(tǒng)抗DDOS攻擊的能力針對(duì)Unix類操作系統(tǒng)的加固技術(shù)基線WINDOWS系統(tǒng)需要加固范圍重要程度補(bǔ)丁加載漏洞補(bǔ)丁高：Windows系統(tǒng)漏洞補(bǔ)丁對(duì)于系統(tǒng)安全性極其重要服務(wù)與端口ipc空連接等高比如：端口135，139，445等高鑒別認(rèn)證密碼策略高訪問(wèn)控制修改部分文件目錄權(quán)限高審計(jì)跟蹤日志（文件大小，保留天數(shù)等）高安全審計(jì)（策略設(shè)置）內(nèi)容安全檢查防病毒軟件是否升級(jí)IPSEC應(yīng)用高冗余和恢復(fù)備份系統(tǒng)使用的配置文件，注冊(cè)表，制作緊急故障修復(fù)盤。高其他安全問(wèn)題IIS安全設(shè)置高注冊(cè)表安全設(shè)置和優(yōu)化高：適當(dāng)設(shè)置注冊(cè)表可以提高系統(tǒng)抗DDOS攻擊的能力針對(duì)防火墻的安全加固技術(shù)基線防火墻需要加固的范圍重要程度鑒別認(rèn)證口令強(qiáng)度高訪問(wèn)控制基本服務(wù)過(guò)濾策略高：合適的ACL策略，決定防火墻的實(shí)際作用已知攻擊過(guò)濾策略防火墻訪問(wèn)控制高審計(jì)跟蹤日志服務(wù)設(shè)置中等日志內(nèi)容設(shè)置高冗余與恢復(fù)配置備份重要數(shù)據(jù)庫(kù)安全加固技術(shù)基線數(shù)據(jù)庫(kù)需要的加固范圍重要程度補(bǔ)丁加載漏洞補(bǔ)丁修正程序服務(wù)與端口SA端口高鑒別認(rèn)證高強(qiáng)度口令等用戶身份識(shí)別高訪問(wèn)控制控制主體對(duì)客體的訪問(wèn)高審計(jì)跟蹤數(shù)據(jù)庫(kù)系統(tǒng)的可審計(jì)性中等冗余與恢復(fù)數(shù)據(jù)備份和恢復(fù)

基于基線的安全加固常規(guī)安全修復(fù)和加固服務(wù)主要依據(jù)以下流程：基于基線的網(wǎng)絡(luò)層加固傳輸鏈路的安全加固由于所有的信息交換都要經(jīng)過(guò)傳輸鏈路，所以確保鏈路安全十分重要，可以考慮采用SSL、基于IPSec協(xié)議的VPN加密信道，安全傳輸協(xié)議，數(shù)據(jù)加密，鏈路冗余和備份，增加安全性和可靠性；網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)的合理性檢查網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)是否合理，這將直接影響到人整個(gè)網(wǎng)絡(luò)的穩(wěn)定與安全。如果存在網(wǎng)絡(luò)拓?fù)浠靵y，布線不清晰，對(duì)各部門接入的人員無(wú)法查證，外來(lái)人員也很容易接入網(wǎng)絡(luò)，地址的亂用等，將導(dǎo)致網(wǎng)絡(luò)難以管理，網(wǎng)絡(luò)工作效率下將，無(wú)法部署安全設(shè)備，對(duì)攻擊者也就無(wú)法進(jìn)行追蹤審計(jì)。例如，一位非授權(quán)撥號(hào)用戶將會(huì)使在網(wǎng)絡(luò)邊界的防火墻設(shè)備的所有安全策略形同虛設(shè)。檢查網(wǎng)絡(luò)拓?fù)?，確保網(wǎng)絡(luò)中沒(méi)有后門和旁路。加固過(guò)程中風(fēng)險(xiǎn)分析及控制項(xiàng)目可能的影響和方式等級(jí)控制方式（措施）備注基礎(chǔ)設(shè)施加固誤操作引起設(shè)備崩潰或數(shù)據(jù)丟失、損壞高制定備份和恢復(fù)策略規(guī)范審計(jì)流程；嚴(yán)格選擇審計(jì)人員；用戶進(jìn)行全程監(jiān)控；制定可能的恢復(fù)計(jì)劃；網(wǎng)絡(luò)/安全設(shè)備資源占用中避開(kāi)業(yè)務(wù)高峰；控制掃描策略（線程數(shù)量、強(qiáng)度）基于基線的網(wǎng)絡(luò)設(shè)備加固路由器、交換機(jī)等設(shè)備是網(wǎng)絡(luò)的核心部件，路由器的安全將直接影響整個(gè)網(wǎng)絡(luò)的安全，為此我們的加固包括（但不限于）：聯(lián)系各硬件廠商網(wǎng)站，確定最新的關(guān)于路由器、交換機(jī)上運(yùn)行的操作系統(tǒng)的漏洞描述或風(fēng)險(xiǎn)提示，對(duì)系統(tǒng)進(jìn)行升級(jí)或更新；確保所有提供登陸服務(wù)的位置都有口令防護(hù)。確保AUX和Console口都有EXEC口令，并使用MD5加密，建議使用支持加密的登陸方式，如SSH等；對(duì)于允許遠(yuǎn)程登陸管理的路由器、交換機(jī)，必須設(shè)置相應(yīng)的ACL，限定可遠(yuǎn)程登錄的主機(jī)IP地址范圍，VTY只接受來(lái)自可信的IP地址的連接。并且應(yīng)限制只接受一位管理員工作站的訪問(wèn)，避免DoS攻擊的威脅，配置VTY連接超時(shí)，防止管理員離開(kāi)時(shí)控制臺(tái)被他人使用；關(guān)閉路由器、以太網(wǎng)交換機(jī)內(nèi)不需要的服務(wù)，對(duì)于必須開(kāi)放的服務(wù)要限制開(kāi)放的范圍以及數(shù)據(jù)的流向；對(duì)于支持SNMP，提供網(wǎng)管功能的設(shè)備，必須確保MIB庫(kù)的讀／寫密碼必須設(shè)定為非缺省值，并推薦使用SNMPV2；確保所有的接口都禁用CDP協(xié)議，以防止設(shè)備上的關(guān)鍵信息的泄露；路由器、交換機(jī)應(yīng)該開(kāi)啟日志功能；整機(jī)和關(guān)鍵模塊的備份(包括熱備與冷備),以及采用HSRP,動(dòng)態(tài)路由選擇協(xié)議等提高網(wǎng)絡(luò)的可靠性、可用性，滿足業(yè)務(wù)連續(xù)性需求；基于基線的操作系統(tǒng)加固由于采用的系統(tǒng)大多由UNIX和Windows組成，因此主要對(duì)這兩類系統(tǒng)的安全性進(jìn)行分析并提出安全加固建議。Windows系統(tǒng)的安全加固Windows操作系統(tǒng)由于其簡(jiǎn)單明了的圖形界面以及逐漸提高的系統(tǒng)穩(wěn)定性和性能而成為使用廣泛的網(wǎng)絡(luò)操作系統(tǒng)，并且在網(wǎng)絡(luò)中占有重要地位。但是目前使用的windows系統(tǒng)中存在大量已知和未知的漏洞，Microsoft公司（包括一些國(guó)際上的安全組織）已經(jīng)發(fā)布了大量的安全漏洞，其中一些漏洞可以導(dǎo)致入侵者獲得管理員的權(quán)限，而另一些漏洞則可以被用來(lái)實(shí)施拒絕服務(wù)攻擊,對(duì)網(wǎng)絡(luò)和信息的安全構(gòu)成巨大的威脅。目前WINDOWS操作系統(tǒng)面臨的安全威脅包括：沒(méi)有安裝最新的ServicePack.沒(méi)有關(guān)閉不必要的系統(tǒng)服務(wù)系統(tǒng)注冊(cè)表屬性安全問(wèn)題文件系統(tǒng)屬性安全問(wèn)題缺省帳號(hào)安全問(wèn)題文件共享方面的安全問(wèn)題其它方面的各種安全問(wèn)題因此，在一個(gè)未加保護(hù)的Windows系統(tǒng)上運(yùn)行企業(yè)的核心業(yè)務(wù)會(huì)存在相當(dāng)大的風(fēng)險(xiǎn)。應(yīng)當(dāng)采取的系統(tǒng)加固包括：加固措施建議操作修補(bǔ)系統(tǒng)BUG安裝操作系統(tǒng)的最新版本，并及時(shí)安裝操作系統(tǒng)廠商提供的"補(bǔ)丁"程序；同時(shí)根據(jù)國(guó)際權(quán)威安全組織的建議及時(shí)修補(bǔ)已公開(kāi)的安全漏洞嚴(yán)格的認(rèn)證口令策略用戶認(rèn)證的主要目的是提供訪問(wèn)控制和訪問(wèn)不可抵賴性。用戶認(rèn)證方法按其層次不同可以根據(jù)以下三種因素提供認(rèn)證。1.用戶持有的證件,如大門鑰匙、門卡等等;2.用戶知道的信息,如密碼;3.用戶特有的特征,如指紋、聲音、視網(wǎng)膜掃描等等；對(duì)生成用戶口令的規(guī)則和口令長(zhǎng)度作出限制，禁止用戶使用簡(jiǎn)單口令，并強(qiáng)制用戶定期修改口令，如果可能，使用增強(qiáng)的身份驗(yàn)證產(chǎn)品（如基于TokenCard的雙因素驗(yàn)證技術(shù)）代替系統(tǒng)本身的口令驗(yàn)證機(jī)制,或采用一次性用戶口令：如S/KEY系統(tǒng)等。這樣即使明文口令被截獲，但由于下次登錄時(shí)系統(tǒng)將使用新口令，而使攻擊無(wú)效。嚴(yán)格的帳戶策略賬戶要盡可能少，盡快刪除已經(jīng)不再使用的賬戶。停用Guest賬號(hào)，并給Guest加一個(gè)復(fù)雜的密碼。卸載多余的組件不要按Win2000的默認(rèn)安裝組件，根據(jù)安全原則“最少的服務(wù)+最小的權(quán)限=最大的安全”，只選擇確實(shí)需要的服務(wù)安裝即可。典型Web服務(wù)器需要的最小組件是：公用文件、Internet服務(wù)管理器、WWW服務(wù)器。停止多余服務(wù)只保留系統(tǒng)運(yùn)行必須的服務(wù)，關(guān)，停其他的服務(wù)禁止建立空連接默認(rèn)情況下，任何用戶可通過(guò)空連接連上服務(wù)器，枚舉賬號(hào)并猜測(cè)密碼。可以通過(guò)關(guān)閉默認(rèn)共享或修改Win2000的[本地安全策略]禁止建立空連接。設(shè)置審計(jì)策略在[本地安全策略]中審核如下的事件：

用戶和組管理成功：失敗

登錄和注銷成功：失敗

文件及對(duì)象訪問(wèn)失敗

更改安全規(guī)則成功：失敗

用戶權(quán)限的使用失敗

系統(tǒng)事件使用NTFS格式分區(qū)把服務(wù)器的所有分區(qū)都改成NTFS格式，并對(duì)重要目錄和系統(tǒng)日志進(jìn)行權(quán)限限制。備份和緊急恢復(fù)策略針對(duì)不同的數(shù)據(jù)和重要級(jí)別，制定相應(yīng)的策略，在備份應(yīng)用數(shù)據(jù)的同時(shí)也要備份系統(tǒng)使用的配置文件，注冊(cè)表，制作緊急故障修復(fù)盤。只保留TCP/IP協(xié)議，刪除NETBEUI、IPX/SPX協(xié)議目前主要的通訊協(xié)議只有TCP/IP，而NETBEUI是一個(gè)只能用于局域網(wǎng)的協(xié)議，IPX/SPX是面臨淘汰的協(xié)議，放在網(wǎng)絡(luò)上沒(méi)有任何用處，反而存在多個(gè)安全漏洞容易被惡意攻擊者利用。Internet服務(wù)管理器(IIS)

安全配置WINDOWSIIS服務(wù)中存在著很多高危險(xiǎn)的漏洞，如果不需要IIS服務(wù)，就徹底刪掉它，如果確實(shí)需要，為IIS打上最新的補(bǔ)丁，并按微軟的建議去配置；特別注意應(yīng)當(dāng)刪除默認(rèn)安裝的不必要虛擬路徑和某些IDA、IDQ等映射；對(duì)于虛擬路徑進(jìn)行嚴(yán)格的權(quán)限限制。Unix類系統(tǒng)的安全加固UNIX類操作系統(tǒng)（Sun-Soaris,HP-UX,IBM-AIX等等）由于其出色的穩(wěn)定性和高性能而成為網(wǎng)絡(luò)中廣泛使用的操作系統(tǒng)，但缺省安裝的UNIX操作系統(tǒng)（以SOLARIS為例）同樣會(huì)存在諸多安全問(wèn)題：FINGER（泄露系統(tǒng)信息）各類RPC（存在大量的遠(yuǎn)程緩沖區(qū)溢出、泄露系統(tǒng)信息）SENDMAIL（許多安全漏洞、垃圾郵件轉(zhuǎn)發(fā)等）NAMED（遠(yuǎn)程緩沖區(qū)溢出、拒絕服務(wù)攻擊等）SNMP（泄露系統(tǒng)信息）操作系統(tǒng)內(nèi)核中的網(wǎng)絡(luò)參數(shù)存在許多安全隱患（IP轉(zhuǎn)發(fā)、堆棧參數(shù)等）存在各種緩沖區(qū)溢出漏洞存在其它方面的安全問(wèn)題在UNIX安全配置的安全服務(wù)中，應(yīng)針對(duì)特定的系統(tǒng)和特定的應(yīng)用服務(wù)，制定切實(shí)可行、安全高效的UNIX安全配置方案，建議的加固措施包括：加固措施建議操作系統(tǒng)訪問(wèn)管理配置安全的系統(tǒng)訪問(wèn)方式，制定安全的系統(tǒng)訪問(wèn)策略確保對(duì)系統(tǒng)的訪問(wèn)都是通過(guò)安全加密的方式進(jìn)行服務(wù)訪問(wèn)管理根據(jù)制定的方案和系統(tǒng)功能，對(duì)主機(jī)提供的服務(wù)設(shè)置訪問(wèn)控制，以消除未授權(quán)的服務(wù)訪問(wèn)所帶來(lái)安全隱患系統(tǒng)漏洞修補(bǔ)對(duì)在權(quán)威機(jī)構(gòu)或是操作系統(tǒng)生產(chǎn)產(chǎn)商已公布的安全漏洞通過(guò)打補(bǔ)丁或是升級(jí)操作系統(tǒng)版本的方式進(jìn)行修補(bǔ)。服務(wù)漏洞修補(bǔ)對(duì)系統(tǒng)提供的常用服務(wù)，諸如：DNS服務(wù)、FTP服務(wù)、郵件服務(wù)、WWW服務(wù)、telnet服務(wù)等，檢查軟件本身的安全漏洞，通過(guò)打補(bǔ)丁或是更換服務(wù)軟件的方式修補(bǔ)，并對(duì)不合理的配置進(jìn)行修改。一次性口令認(rèn)證根據(jù)制定的方案，兼顧全網(wǎng)原則，配置主機(jī)系統(tǒng)的一次性口令認(rèn)證機(jī)制，實(shí)現(xiàn)高效安全的口令及用戶管理。實(shí)時(shí)入侵檢測(cè)系統(tǒng)根據(jù)制定的方案和系統(tǒng)功能，配置主機(jī)系統(tǒng)的實(shí)時(shí)入侵檢測(cè)系統(tǒng)，從主機(jī)層次對(duì)入侵進(jìn)行檢測(cè)，并記錄日志，分析入侵情況。訪問(wèn)控制系統(tǒng)從應(yīng)用層次配置訪問(wèn)控制系統(tǒng)，提供更高層次的用戶訪問(wèn)控制。DDoS攻擊檢測(cè)及防護(hù)檢測(cè)針對(duì)主機(jī)系統(tǒng)的DDoS攻擊，并采取相應(yīng)措施進(jìn)行防護(hù)。其他操作系統(tǒng)的安全加固其他操作系統(tǒng)包括IBM-390/400主機(jī)類操作系統(tǒng)，NevollNetWare操作系統(tǒng)，以及其他一些專用操作系統(tǒng)，這些操作系統(tǒng)部分在網(wǎng)絡(luò)中正在應(yīng)用，除了考慮這些系統(tǒng)的特殊性之外，對(duì)它們采取的通用加固策略與WINDOWS/UNIX類似，包括系統(tǒng)BUG修補(bǔ)、最新的補(bǔ)丁程序更新、登陸認(rèn)證控制等。加固過(guò)程中的風(fēng)險(xiǎn)分析及控制項(xiàng)目可能的影響和方式等級(jí)控制方式（措施）備注操作系統(tǒng)平臺(tái)加固系統(tǒng)信息泄漏高合同、協(xié)議、規(guī)章、制度、法律、法規(guī)誤操作引起系統(tǒng)崩潰或數(shù)據(jù)丟失、損壞高規(guī)范加固流程；嚴(yán)格選擇操作人員；用戶進(jìn)行全程監(jiān)控；制定可行的恢復(fù)計(jì)劃；基于基線的安全防護(hù)系統(tǒng)加固通過(guò)在網(wǎng)絡(luò)的關(guān)鍵部位部署防火墻，入侵檢測(cè)系統(tǒng)，漏洞掃描系統(tǒng)，網(wǎng)關(guān)級(jí)防病毒系統(tǒng)，安全審計(jì)系統(tǒng)，并制定有效的策略可有效減少來(lái)自網(wǎng)絡(luò)內(nèi)部和外部的滲透和攻擊。防火墻系統(tǒng)的安全加固防火墻主要作用是在網(wǎng)絡(luò)入口處檢查網(wǎng)絡(luò)通訊，根據(jù)預(yù)先設(shè)定的安全規(guī)則，在保護(hù)內(nèi)部網(wǎng)絡(luò)安全的前提下，保障內(nèi)外網(wǎng)絡(luò)通訊。在網(wǎng)絡(luò)出口處安裝防火墻后，內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)進(jìn)行了有效的隔離，所有來(lái)自外部網(wǎng)絡(luò)的訪問(wèn)請(qǐng)求都要通過(guò)防火墻的檢查，以保證內(nèi)部網(wǎng)絡(luò)的安全。防火墻需要審核的功能如下：通過(guò)源地址過(guò)濾，拒絕外部非法IP地址，避免了外部網(wǎng)絡(luò)上與業(yè)務(wù)無(wú)關(guān)的主機(jī)的越權(quán)訪問(wèn)防火墻可以只保留有用的服務(wù)，將其他不需要的服務(wù)關(guān)閉，將系統(tǒng)受攻擊的可能性降低到最小限度，使黑客無(wú)機(jī)可乘；防火墻制定訪問(wèn)策略，只有被授權(quán)的外部主機(jī)可以訪問(wèn)內(nèi)部網(wǎng)絡(luò)的有限IP地址，保證外部網(wǎng)絡(luò)只能訪問(wèn)內(nèi)部網(wǎng)絡(luò)中的必要資源，與業(yè)務(wù)無(wú)關(guān)的操作將被拒絕；外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)的所有訪問(wèn)都要經(jīng)過(guò)防火墻，所以使用防火墻全面監(jiān)視外部網(wǎng)絡(luò)對(duì)內(nèi)部網(wǎng)絡(luò)的訪問(wèn)活動(dòng)，并進(jìn)行詳細(xì)的記錄，通過(guò)分析得出可疑的攻擊行為；防火墻進(jìn)行地址轉(zhuǎn)換工作（NAT），使外部網(wǎng)絡(luò)用戶不能看到內(nèi)部網(wǎng)絡(luò)的結(jié)構(gòu)，使黑客攻擊失去目標(biāo)；防火墻的性能和配置必須能滿足如下的安全要求：在滿足系統(tǒng)業(yè)務(wù)吞吐量的前提下，將應(yīng)用的延遲控制在可接受的范圍內(nèi)；能防止已知的各種攻擊方式，能過(guò)濾掉所有的活動(dòng)內(nèi)容；配置LOG服務(wù)器，將每天的LOG信息記錄到指定的日志服務(wù)器上供分析使用；防病毒系統(tǒng)的安全加固當(dāng)前的互聯(lián)網(wǎng)絡(luò)正面臨著日益嚴(yán)重的計(jì)算機(jī)病毒，蠕蟲，特洛伊木馬等來(lái)自于多方面的威脅，為了免受病毒所造成的損失，應(yīng)當(dāng)部署多層的病毒防衛(wèi)體系。即在每臺(tái)工作站上安裝單機(jī)版反病毒軟件，在服務(wù)器上安裝基于服務(wù)器的反病毒軟件，在網(wǎng)關(guān)上安裝基于網(wǎng)關(guān)的反病毒軟件。考慮到病毒在網(wǎng)絡(luò)中存儲(chǔ)、傳播、感染的方式各異且途徑多種多樣，故相應(yīng)地在構(gòu)建網(wǎng)絡(luò)防病毒系統(tǒng)時(shí)，應(yīng)利用全方位的企業(yè)防毒產(chǎn)品，實(shí)施"層層設(shè)防、集中控制、以防為主、防殺結(jié)合"的策略。具體而言，就是針對(duì)網(wǎng)絡(luò)中所有可能的病毒攻擊設(shè)置對(duì)應(yīng)的防毒軟件，通過(guò)全方位、多層次的防毒系統(tǒng)配置，使網(wǎng)絡(luò)沒(méi)有薄弱環(huán)節(jié)成為病毒入侵的缺口。安全漏洞加固措施軟件本身漏洞軟件升級(jí)病毒庫(kù)陳舊或升級(jí)方法不當(dāng)更新漏洞庫(kù)布置不當(dāng)或使用不當(dāng)重新進(jìn)行布置，并合理使用加固過(guò)程中的風(fēng)險(xiǎn)分析及控制項(xiàng)目可能的影響和方式等級(jí)控制方式（措施）備注防火墻增加應(yīng)用響應(yīng)時(shí)間不當(dāng)?shù)牟呗詫?dǎo)致網(wǎng)絡(luò)不可用高部署時(shí)避開(kāi)業(yè)務(wù)高峰準(zhǔn)備備用設(shè)備入侵檢測(cè)系統(tǒng)產(chǎn)生的網(wǎng)絡(luò)流量低制定合適的策略防病毒系統(tǒng)安裝時(shí)占用系統(tǒng)資源低部署時(shí)避開(kāi)業(yè)務(wù)高峰時(shí)間漏洞掃描系統(tǒng)產(chǎn)生的網(wǎng)絡(luò)流量低避開(kāi)業(yè)務(wù)高峰；控制掃描策略（線程數(shù)量,強(qiáng)度）主機(jī)資源占用高避開(kāi)業(yè)務(wù)高峰；控制掃描策略（線程數(shù)量、強(qiáng)度）基于基線的數(shù)據(jù)庫(kù)系統(tǒng)加固網(wǎng)絡(luò)中的數(shù)據(jù)庫(kù)系統(tǒng)承載核心數(shù)據(jù)業(yè)務(wù)，如果被攻擊往往會(huì)造成非常嚴(yán)重的后果。數(shù)據(jù)庫(kù)服務(wù)我們將的數(shù)據(jù)庫(kù)系統(tǒng)分成兩個(gè)部分：數(shù)據(jù)庫(kù)，按照一定的方式存儲(chǔ)各業(yè)務(wù)數(shù)據(jù)。數(shù)據(jù)庫(kù)管理系統(tǒng)（DBMS），它為用戶及應(yīng)用程序提供數(shù)據(jù)訪問(wèn)，同時(shí)對(duì)數(shù)據(jù)庫(kù)進(jìn)行管理，維護(hù)等多種功能。針對(duì)數(shù)據(jù)庫(kù)安全的特點(diǎn)，我們應(yīng)該將數(shù)據(jù)庫(kù)系統(tǒng)的安全問(wèn)題歸納為以下幾個(gè)方面：數(shù)據(jù)庫(kù)系統(tǒng)的保密性數(shù)據(jù)庫(kù)系統(tǒng)的用戶身份識(shí)別：保證每個(gè)用戶是合法的，且是可以識(shí)別的；數(shù)據(jù)庫(kù)系統(tǒng)的訪問(wèn)控制：控制主體對(duì)客體的訪問(wèn)，拒絕非授權(quán)訪問(wèn)，防止信息泄露；統(tǒng)計(jì)數(shù)據(jù)庫(kù)對(duì)推理攻擊的防范：數(shù)據(jù)庫(kù)中存放的數(shù)據(jù)往往具有統(tǒng)計(jì)意義，入侵者往往利用已經(jīng)公開(kāi)的，安全級(jí)別相對(duì)低的數(shù)據(jù)來(lái)推斷出安全級(jí)別高的機(jī)密信息；數(shù)據(jù)庫(kù)系統(tǒng)的可審計(jì)性：即對(duì)非法用戶的入侵行為及信息的泄露與破壞的情況能夠跟蹤審計(jì)；防止數(shù)據(jù)庫(kù)系統(tǒng)中隱蔽信道的攻擊；數(shù)據(jù)庫(kù)系統(tǒng)的完整性數(shù)據(jù)庫(kù)系統(tǒng)的物理完整性：保障數(shù)據(jù)庫(kù)物理存儲(chǔ)介質(zhì)以及物理運(yùn)行環(huán)境的正確與不受到侵害；數(shù)據(jù)庫(kù)系統(tǒng)的邏輯完整性：包括數(shù)據(jù)庫(kù)邏輯結(jié)構(gòu)完整性和數(shù)據(jù)庫(kù)主碼完整性兩個(gè)方面；數(shù)據(jù)庫(kù)系統(tǒng)的元素完整性：保障給客體數(shù)據(jù)元素的合法性，有效性，正確性，一致性，可維護(hù)性，以及防止非授權(quán)修改與破壞；保障業(yè)務(wù)數(shù)據(jù)庫(kù)系統(tǒng)的可用性。它需要保障數(shù)據(jù)庫(kù)系統(tǒng)資源可以存儲(chǔ)，易于使用，方便操作，界面友好等。數(shù)據(jù)庫(kù)安全框架用戶分類：不同類型的用戶應(yīng)該授予不同的數(shù)據(jù)庫(kù)訪問(wèn)和管理權(quán)限。比如：數(shù)據(jù)庫(kù)系統(tǒng)登陸權(quán)限，資源管理權(quán)限，數(shù)據(jù)庫(kù)管理員權(quán)限，遠(yuǎn)程訪問(wèn)權(quán)限等,并對(duì)每一類用戶都設(shè)定嚴(yán)格的口令認(rèn)證策略。數(shù)據(jù)分類：對(duì)每類用戶他能夠使用的數(shù)據(jù)庫(kù)是不同的，要進(jìn)行數(shù)據(jù)庫(kù)分類。不同的用戶訪問(wèn)不同的數(shù)據(jù)庫(kù)系統(tǒng)。審計(jì)功能：DBMS提供審計(jì)功能對(duì)維護(hù)數(shù)據(jù)庫(kù)的安全是十分重要的，它用來(lái)監(jiān)視各用戶對(duì)數(shù)據(jù)庫(kù)施加的動(dòng)作?？梢酝ㄟ^(guò)用戶審計(jì)和系統(tǒng)審計(jì)兩種方式來(lái)發(fā)現(xiàn)數(shù)據(jù)庫(kù)使用過(guò)程中出現(xiàn)的問(wèn)題，從而找到安全隱患。數(shù)據(jù)庫(kù)漏洞掃描：利用專業(yè)的數(shù)據(jù)庫(kù)安全掃描軟件可以對(duì)數(shù)據(jù)庫(kù)的安全狀況進(jìn)行完整的分析，并給出修補(bǔ)漏洞，增強(qiáng)安全性的方法和建議。周期性的對(duì)數(shù)據(jù)庫(kù)進(jìn)行這種掃描可以降低人為造成的（有意或無(wú)意的）數(shù)據(jù)庫(kù)的安全風(fēng)險(xiǎn)。對(duì)于機(jī)密的數(shù)據(jù)，可以考慮以加密的形式存儲(chǔ)數(shù)據(jù)。數(shù)據(jù)庫(kù)備份與恢復(fù)：因?yàn)閿?shù)據(jù)在存儲(chǔ)，傳輸過(guò)程中可能出現(xiàn)故障，同時(shí)計(jì)算機(jī)系統(tǒng)本身也可能發(fā)生一些意料之外的事情，如果沒(méi)有事先采取數(shù)據(jù)備份措施，將會(huì)導(dǎo)致慘重的損失。因此數(shù)據(jù)庫(kù)的備份與恢復(fù)也是數(shù)據(jù)庫(kù)的一個(gè)安全功能，它必須提供。數(shù)據(jù)庫(kù)系統(tǒng)的備份可以采取多種方式進(jìn)行。加固過(guò)程中的風(fēng)險(xiǎn)分析及控制項(xiàng)目可能的影響和方式等級(jí)控制方式（措施）備注數(shù)據(jù)庫(kù)加固產(chǎn)生非法數(shù)據(jù)，致使系統(tǒng)不能正常工作中和DBA、SA、NA協(xié)同工作做好系統(tǒng)備份和恢復(fù)措施異常輸入（畸形數(shù)據(jù)、極限測(cè)試）導(dǎo)致系統(tǒng)崩潰高和DBA、SA、NA協(xié)同工作做好系統(tǒng)備份和恢復(fù)措施基于基線的應(yīng)用系統(tǒng)加固網(wǎng)絡(luò)中的應(yīng)用服務(wù)主要包括WEB服務(wù)、FTP服務(wù)、電子郵件系統(tǒng)、域名系統(tǒng)服務(wù)等網(wǎng)絡(luò)基本服務(wù)，以及視頻點(diǎn)播(VOD)系統(tǒng)、CA系統(tǒng)、上海煙草、網(wǎng)絡(luò)管理系統(tǒng)、IP-Phone服務(wù)網(wǎng)絡(luò)，主機(jī)托管服務(wù)和以數(shù)據(jù)中心為主的數(shù)據(jù)服務(wù)等客戶服務(wù)系統(tǒng)等等。應(yīng)用服務(wù)系統(tǒng)的安全目前往往依賴于基礎(chǔ)設(shè)施、操作系統(tǒng)、數(shù)據(jù)庫(kù)的安全，由于應(yīng)用系統(tǒng)復(fù)雜多樣，沒(méi)有特定的安全技術(shù)能夠完全解決一些特殊應(yīng)用系統(tǒng)的安全問(wèn)題。但是一些通用的應(yīng)用程序，如WebServer程序，F(xiàn)TP服務(wù)程序，E-mail服務(wù)程序，瀏覽器，MSOffice辦公軟件等這些應(yīng)用程序自身的安全漏洞和由于配置不當(dāng)造成的安全漏洞會(huì)導(dǎo)致整個(gè)網(wǎng)絡(luò)的安全性下降。WEB服務(wù)利用HTTP服務(wù)器的一些漏洞，特別是在大量使用服務(wù)器腳本的系統(tǒng)上，利用這些可執(zhí)行的腳本程序，入侵者可以很容易的獲得系統(tǒng)的控制權(quán)，使服務(wù)器崩潰，各種WEB應(yīng)用服務(wù)停止；Web服務(wù)系統(tǒng)是宣傳企業(yè)形象，提供信息服務(wù)的主要窗口，它的正常運(yùn)行將關(guān)系到企業(yè)形象。由于網(wǎng)站服務(wù)器系統(tǒng)在安全檢測(cè)中存在較多的安全漏洞，經(jīng)常會(huì)成為入侵者的首選目標(biāo)；下面列出WEB服務(wù)主要面臨的威脅及加固措施：面臨的危險(xiǎn)建議加固措施WEB服務(wù)腳本的安全漏洞，遠(yuǎn)程溢出(.Printer、.ida等漏洞)，通過(guò)WEB服務(wù)服務(wù)獲取系統(tǒng)的超級(jí)用戶特權(quán)即時(shí)下載并安裝廠商提供的補(bǔ)丁程序WEB頁(yè)面被惡意刪改采用網(wǎng)頁(yè)保護(hù)與恢復(fù)系統(tǒng)利用WEB服務(wù)器作為跳板，進(jìn)而攻擊內(nèi)部的重要數(shù)據(jù)庫(kù)服務(wù)器加強(qiáng)訪問(wèn)控制；部署防火墻，入侵檢測(cè)系統(tǒng)拒絕服務(wù)器攻擊或分布式拒絕服務(wù)攻擊調(diào)整系統(tǒng)參數(shù)；部署防火墻，入侵檢測(cè)系統(tǒng)，即時(shí)檢測(cè)并切斷攻擊網(wǎng)絡(luò)病毒的侵襲，如Nimda系統(tǒng)不定，安全設(shè)置安裝網(wǎng)絡(luò)防病毒系統(tǒng)惡意的JavaApplet,ActiveX攻擊等檢查系統(tǒng)腳本部署入侵檢測(cè)系統(tǒng)安裝殺毒軟件通過(guò)WEB服務(wù)上傳木馬等非法后門程序，以達(dá)到對(duì)整個(gè)服務(wù)器的控制調(diào)整系統(tǒng)組件部署入侵檢測(cè)系統(tǒng)安裝殺毒軟件WEB服務(wù)器的數(shù)據(jù)源，被非法入侵，用戶的一些私有信息被竊加強(qiáng)對(duì)相關(guān)數(shù)據(jù)源的訪問(wèn)控制WEB服務(wù)的某些目錄可寫，或某些CGI-BIN目錄授權(quán)不當(dāng)，采用默認(rèn)設(shè)置，一些系統(tǒng)程序沒(méi)有刪除刪除不必要目錄，對(duì)所有目錄嚴(yán)格權(quán)限；采用網(wǎng)頁(yè)保護(hù)與恢復(fù)系統(tǒng)FTP服務(wù)目前較流行的FTP服務(wù)器軟件都有廣為人知的缺陷，這些缺陷會(huì)使服務(wù)器很容易被錯(cuò)誤的配置，從而導(dǎo)致安全問(wèn)題，如被匿名用戶上載的木馬程序，下載系統(tǒng)中的重要信息（如口令文件）并導(dǎo)致最終的入侵。有些服務(wù)器版本帶有嚴(yán)重的錯(cuò)誤，比如可以使任何人獲得對(duì)包括root在內(nèi)的任何帳號(hào)的訪問(wèn)。下面列出FTP服務(wù)主要面臨的威脅及加固措施面臨的危險(xiǎn)建議加固措施匿名登錄，非法訪問(wèn)未授權(quán)資源加強(qiáng)系統(tǒng)登陸認(rèn)證管理FTP不同版本存在的安全漏洞使用最新的版本，打最新的補(bǔ)丁拒絕服務(wù)在入口處部署入侵檢測(cè)系統(tǒng)惡意用戶名與密碼的猜測(cè)限制同名用戶輸入口令次數(shù)FTP權(quán)限可寫修改權(quán)限分配用戶上傳惡意代碼，含毒文件等部署FTP服務(wù)器防病毒系統(tǒng)電子郵件服務(wù)電子郵件的廣泛使用和廣泛傳播一方面給人們帶來(lái)極大的方便，一方面也極易遭到攻擊和利用，同時(shí)也是病毒傳播的重要途徑：目前針對(duì)郵件服務(wù)主要的威脅有面臨的危險(xiǎn)建議加固措施郵件服務(wù)軟件本身的漏洞使用最新的版本，打最新的補(bǔ)丁郵件病毒部署SMTP服務(wù)器防病毒系統(tǒng)郵件炸彈設(shè)定閾值，設(shè)置過(guò)濾規(guī)則惡意代碼部署SMTP服務(wù)器防病毒系統(tǒng)拒絕服務(wù)在入口處部署入侵檢測(cè)系統(tǒng)垃圾郵件禁止relay，設(shè)定閾值，設(shè)置過(guò)濾規(guī)則DNS服務(wù)DNS是網(wǎng)絡(luò)正常運(yùn)作的基本元素，它們主要是由運(yùn)行Unix操作系統(tǒng)的DNS服務(wù)器構(gòu)成。這些系統(tǒng)很容易成為攻擊的目標(biāo)或跳板。對(duì)DNS的攻擊通常是對(duì)其他遠(yuǎn)程主機(jī)進(jìn)行攻擊做準(zhǔn)備，如篡改域名解析記錄以欺騙被攻擊的系統(tǒng)，或通過(guò)獲取DNS的區(qū)域文件而得到進(jìn)一步入侵的重要信息。例如著名的域名服務(wù)系統(tǒng)BIND就存在眾多的可以被入侵者利用的漏洞。面臨的危險(xiǎn)建議加固措施拒絕服務(wù)攻擊在入口處部署入侵檢測(cè)系統(tǒng)跳板攻擊加強(qiáng)系統(tǒng)自身安全配置DNS軟件本身的漏洞使用最新的版本，打最新的補(bǔ)丁認(rèn)證用專用的基于硬件令牌的身份鑒別產(chǎn)品增強(qiáng)各計(jì)費(fèi)服務(wù)器等設(shè)備的管理員登錄的安全性；認(rèn)證系統(tǒng)建議采用全網(wǎng)統(tǒng)一的認(rèn)證系統(tǒng)。網(wǎng)管系統(tǒng)對(duì)于支持SNMP，提供網(wǎng)管功能的設(shè)備，必須確保MIB庫(kù)的讀／寫密碼必須設(shè)定為非缺省值，同時(shí)，允許對(duì)MIB庫(kù)進(jìn)行讀／寫操作的主機(jī)也可通過(guò)ACL設(shè)置限定在指定網(wǎng)段范圍內(nèi)。確保使用SNMPV2，因?yàn)镾NMPV2使用了較強(qiáng)的MD5Digest技術(shù)。必須確保MIB庫(kù)的讀／寫密碼（CommunityStringPassword）必須設(shè)定為非缺省值（PublicandPrivate）。CommunityStringPassword必須為健壯口令，并定期更換。確保授權(quán)使用SNMP進(jìn)行管理的主機(jī)限定在指定網(wǎng)段范圍內(nèi)（ACL）,防止網(wǎng)管信息庫(kù)的信息泄露或丟失。其他服務(wù)其他應(yīng)用服務(wù)系統(tǒng)的安全目前往往參照基礎(chǔ)設(shè)施、操作系統(tǒng)、數(shù)據(jù)庫(kù)的安全，以及廠商關(guān)于應(yīng)用本身的安全配置建議。加固過(guò)程中風(fēng)險(xiǎn)分析及控制項(xiàng)目可能的影響和方式等級(jí)控制方式（措施）備注應(yīng)用服務(wù)系統(tǒng)誤操作引起系統(tǒng)崩潰或服務(wù)不可用高規(guī)范加固流程；嚴(yán)格選擇操作人員；用戶進(jìn)行全程監(jiān)控；制定可能的恢復(fù)計(jì)劃；部分業(yè)務(wù)暫時(shí)中斷中盡量避開(kāi)用戶正常業(yè)務(wù)時(shí)間或在非業(yè)務(wù)高峰期操作。安全加固流程安全加固作為一個(gè)項(xiàng)目的實(shí)施流程如下圖所示。圖：安全加固流程安全加固環(huán)節(jié)系統(tǒng)加固和優(yōu)化的流程主要由以下四個(gè)環(huán)節(jié)構(gòu)成：狀態(tài)調(diào)查；制定加固方案；實(shí)施加固；生成加固報(bào)告。上述這四個(gè)環(huán)節(jié)是完成加固必不可少的，就其中每個(gè)環(huán)節(jié)的具體內(nèi)容根據(jù)不同情況會(huì)有所不同。其中區(qū)別較大的是對(duì)新建系統(tǒng)和現(xiàn)存系統(tǒng)的加固和優(yōu)化。新系統(tǒng)（或重新安裝的系統(tǒng)）與現(xiàn)存系統(tǒng)相比較，新系統(tǒng)的加固和優(yōu)化工作要相對(duì)簡(jiǎn)單些；現(xiàn)存系統(tǒng)的加固比較復(fù)雜，在一定情況下，現(xiàn)存系統(tǒng)必須完全重建，才能滿足客戶對(duì)系統(tǒng)的安全需求；新系統(tǒng)和舊系統(tǒng)的加固和優(yōu)化流程不同，兩者有各自的工作流程。狀態(tài)調(diào)查對(duì)系統(tǒng)的狀態(tài)調(diào)查的過(guò)程主要是導(dǎo)入以下服務(wù)的結(jié)果：系統(tǒng)安全需求分析系統(tǒng)安全策略制訂系統(tǒng)安全風(fēng)險(xiǎn)評(píng)估(網(wǎng)絡(luò)掃描和人工評(píng)估)對(duì)于新建的系統(tǒng)而言，主要是導(dǎo)入系統(tǒng)安全需求分析和系統(tǒng)安全策略制訂這兩項(xiàng)服務(wù)的結(jié)果。在導(dǎo)入上述服務(wù)的結(jié)果后，應(yīng)確定被加固系統(tǒng)的安全級(jí)別，即確定被加固系統(tǒng)所能達(dá)到的安全程度。同時(shí)，也必須在分析上述服務(wù)結(jié)果的基礎(chǔ)上確定對(duì)系統(tǒng)加固和優(yōu)化的代價(jià)。制定加固方案制訂加固方案的主要內(nèi)容是根據(jù)系統(tǒng)狀態(tài)調(diào)查所產(chǎn)生的結(jié)果制訂對(duì)系統(tǒng)實(shí)施加固和優(yōu)化的內(nèi)容、步驟和時(shí)間表。實(shí)施加固加固實(shí)施操作前，應(yīng)向客戶方提交加固方案書，作為加固操作申請(qǐng)。在客戶審核加固操作方案無(wú)誤的情況下，安排人員配合加固工作。對(duì)系統(tǒng)實(shí)施加固和優(yōu)化主要內(nèi)容包含以下兩個(gè)方面：對(duì)系統(tǒng)進(jìn)行加固對(duì)系統(tǒng)進(jìn)行測(cè)試對(duì)系統(tǒng)進(jìn)行測(cè)試的目的是檢驗(yàn)在對(duì)系統(tǒng)使是修補(bǔ)加固后，系統(tǒng)在安全性和功能性上是否能夠滿足客戶的需求。上述兩個(gè)方面的工作是一個(gè)反復(fù)的過(guò)程，即，每完成一個(gè)加固或優(yōu)化步驟后就要測(cè)試系統(tǒng)的功能性要求和安全性要求是否滿足客戶需求；如果其中一方面的要求不能滿足，該加固步驟就要重新進(jìn)行。對(duì)有些系統(tǒng)會(huì)存在加固失敗的情況，如果發(fā)生加固失敗，則根據(jù)客戶的選擇，要么放棄加固，要么重建系統(tǒng)。加固完成后，對(duì)加固過(guò)的目標(biāo)系統(tǒng)二次使用工具掃描，檢查原有的高級(jí)，中級(jí)漏洞是否解除。生成加固報(bào)告加固報(bào)告是向用戶提供完成系統(tǒng)加固和優(yōu)化服務(wù)后的最終報(bào)告。其中包含以下內(nèi)容：加固過(guò)程的完整記錄有關(guān)系統(tǒng)安全管理方面的建議或解決方案對(duì)加固系統(tǒng)安全審計(jì)結(jié)果系統(tǒng)加固流程圖圖：系統(tǒng)加固實(shí)施流程系統(tǒng)加固具體實(shí)施步驟圖：系統(tǒng)加固具體實(shí)施步驟項(xiàng)目風(fēng)險(xiǎn)規(guī)避措施加固實(shí)施策略時(shí)間為了避免加固過(guò)程影響系統(tǒng)業(yè)務(wù)運(yùn)行，加固時(shí)間應(yīng)該選擇在系統(tǒng)業(yè)務(wù)量最小，業(yè)務(wù)臨時(shí)中斷對(duì)外影響最小的時(shí)候。操作加固操作需要按照系統(tǒng)加固核對(duì)表,逐項(xiàng)按順序執(zhí)行操作。記錄對(duì)加固后的系統(tǒng),全部復(fù)查一次所作加固內(nèi)容，確保正確無(wú)誤。系統(tǒng)備份和恢復(fù)系統(tǒng)加固之前,先對(duì)系統(tǒng)做完全備份.加固過(guò)程可能存在任何不可遇見(jiàn)的風(fēng)險(xiǎn),當(dāng)加固失敗時(shí),可以恢復(fù)到加固前狀態(tài)。當(dāng)出現(xiàn)不可預(yù)料的后果時(shí),首先使用備份恢復(fù)系統(tǒng)提供服務(wù),同時(shí)與總部安全專家小組取得聯(lián)系,尋求幫助,解決問(wèn)題。合理溝通在工程實(shí)施過(guò)程中，確定不同階段的測(cè)試人員以及客戶方的配合人員，建立直接溝通的渠道，并在工程出現(xiàn)難題的過(guò)程中保持合理溝通。

安全加固文檔支持主機(jī)系統(tǒng)Windows《-SVC-MS01WINDOWS安全檢查列表》列出了WINDOWS安全檢查/系統(tǒng)調(diào)查的時(shí)候所檢查的條目，也可以作為當(dāng)時(shí)的記錄單?！?SVC-MS02WINDOWS安全配置手冊(cè)》WINDOWS系統(tǒng)修補(bǔ)加固方面比較詳細(xì)的文檔，設(shè)計(jì)了修補(bǔ)加固可能涉及到的各個(gè)方面和具體的