Q GDW 11445-2015 國家電網(wǎng)公司管理信息系統(tǒng)安全基線要求

國家電網(wǎng)公司管理信息系統(tǒng)安全基線要求Securitybaselinerequirementofmanagementinfo2016-11-09發(fā)布國家電網(wǎng)公司發(fā)布2016-11-09實施前言 Ⅱ1范圍 2規(guī)范性引用文件 3術(shù)語和定義 4安全基線要求 2 5 84.6中間件安全基線要求 4.7應(yīng)用系統(tǒng)安全基線要求 4.8外部設(shè)備安全基線要求 4.9數(shù)據(jù)備份、恢復(fù)與銷毀安全基線要求 編制說明 IⅡ為規(guī)范國家電網(wǎng)公司信息系統(tǒng)與相關(guān)設(shè)備的基礎(chǔ)防護，消除網(wǎng)絡(luò)與信息安全防護工作中存在的薄弱環(huán)節(jié)，提高信息系統(tǒng)安全防護能力，結(jié)合電力行業(yè)及國家電網(wǎng)公司防護要求，制定本標(biāo)準(zhǔn)。本標(biāo)準(zhǔn)由國家電網(wǎng)公司信息通信部提出并解釋。本標(biāo)準(zhǔn)由國家電網(wǎng)公司科技部歸口。本標(biāo)準(zhǔn)起草單位：南瑞集團公司信息通信技術(shù)分公司、國網(wǎng)山東省電力公司、國網(wǎng)江蘇省電力公司、國網(wǎng)浙江省電力公司、國網(wǎng)四川省電力公司、國網(wǎng)黑龍江省電力有限公司、國網(wǎng)陜西省電力公司。本標(biāo)準(zhǔn)主要起草人：陳剛、劉瑩、金倩倩、楊維永、朱世順、劉行、劉寅、丁曉玉、欒國強、韓勇、屠正偉、曲延盛、王燁、杜猛俊、盧黎明、劉蕭、江勇、梁暉輝、權(quán)長榮、張永平、蘇哈江、代長生、雷大洋、俞庚申、郭靚、黃偉、李祉岐、張盈、劉強、徐亮、張志偉、張憲康、歐陽利劍、范永。本標(biāo)準(zhǔn)在執(zhí)行過程中的意見或建議反饋至國家電網(wǎng)公司科技部。1國家電網(wǎng)公司管理信息系統(tǒng)安全基線要求本標(biāo)準(zhǔn)規(guī)定了國家電網(wǎng)公司總部和各單位管理類信息系統(tǒng)與相關(guān)設(shè)備的安全基線要求。本標(biāo)準(zhǔn)適用于國家電網(wǎng)公司總部和各單位管理類信息系統(tǒng)及相關(guān)設(shè)備的基礎(chǔ)防護工作。按照等級保護標(biāo)準(zhǔn)定級為二級的系統(tǒng)應(yīng)按照本標(biāo)準(zhǔn)進(jìn)行防護，三級及以上信息系統(tǒng)應(yīng)在本標(biāo)準(zhǔn)的基礎(chǔ)上結(jié)合國家及行業(yè)主管部門相關(guān)要求進(jìn)行防護。2規(guī)范性引用文件下列文件對于本文件的應(yīng)用是必不可少的。凡是注日期的引用文件，僅所注日期的版本適用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改單)適用于本文件。GB/T25069信息安全技術(shù)術(shù)語3術(shù)語和定義GB/T25069界定的以及下列術(shù)語和定義適用于本文件。安全基線securitybaseline信息系統(tǒng)或設(shè)備的最低安全配置要求，即該信息系統(tǒng)或設(shè)備的最小安全保證。外部設(shè)備peripheral指連接在計算機主機以外的設(shè)備，如網(wǎng)絡(luò)打印機、傳真機等具備打印、復(fù)印、傳輸?shù)挠布O(shè)備。4安全基線要求4.1物理安全安全基線要求4.1.1物理防護物理環(huán)境應(yīng)按照物理防護安全基線要求進(jìn)行防護(見表1),預(yù)防物理環(huán)境遭到破壞，提高系統(tǒng)所涉及的物理環(huán)境安全防護能力。表1物理防護安全基線要求要求點安全基線要求說明機房位置應(yīng)位于建筑中間樓層，遠(yuǎn)離建筑物水源。如不可避免頂層、地下室、用水設(shè)備的下層或隔壁，應(yīng)部署漏水監(jiān)測、漏水保護、自動化排水系統(tǒng)等防水措施。環(huán)境監(jiān)控應(yīng)部署涵蓋視頻、煙感、溫濕度、漏水監(jiān)測等功能的監(jiān)控系統(tǒng)并能實現(xiàn)自動報警。監(jiān)控系統(tǒng)監(jiān)測范圍應(yīng)覆蓋機房內(nèi)所有資產(chǎn)設(shè)備并配置自動報警功能。防雷擊應(yīng)部署防雷擊保護裝置。設(shè)置防雷裝置，信息系統(tǒng)所有設(shè)備和部件應(yīng)安裝在有防雷保護的范圍內(nèi)。防靜電應(yīng)采用防靜電地板，并配備靜電消除設(shè)備：關(guān)鍵設(shè)備必須滿足接地、防靜電等要求。電磁防護應(yīng)采用接地的方式防止外界電磁干擾和設(shè)備寄生耦合干擾。機房強弱電線纜應(yīng)隔離鋪設(shè)，采用屏蔽性能良好的屏蔽電纜作為機房的電源引入線。24.1.2物理管理物理環(huán)境管理應(yīng)按照物理管理安全基線要求進(jìn)行防護(見表2),強化物理環(huán)境管理，提高系統(tǒng)所涉及的物理環(huán)境安全防護能力。表2物理管理安全基線要求要求點安全基線要求說明機房出入口管理應(yīng)安排專人值守或配置電子門禁系統(tǒng)。內(nèi)部人員需進(jìn)行登記，外來人員進(jìn)入機房需進(jìn)行登記并由內(nèi)部人員全程陪同。機房區(qū)域劃分應(yīng)按照功能進(jìn)行區(qū)域劃分。應(yīng)劃分為服務(wù)器區(qū)、網(wǎng)絡(luò)設(shè)備區(qū)、存儲區(qū)、監(jiān)控操作區(qū)、調(diào)試區(qū)等，調(diào)試區(qū)與其他區(qū)域應(yīng)采用物理方式進(jìn)行隔斷。設(shè)備標(biāo)簽管理應(yīng)落實公司針對機房設(shè)備標(biāo)簽的相關(guān)要求。設(shè)備應(yīng)進(jìn)行標(biāo)識，并設(shè)置明顯的不易除去的標(biāo)記，標(biāo)簽形式、內(nèi)容應(yīng)符合公司信息機房標(biāo)識標(biāo)準(zhǔn)相關(guān)規(guī)定。電力供應(yīng)管理機房市電電源供應(yīng)應(yīng)實現(xiàn)雙路且能自動切換，并建立備用供電系統(tǒng)。提供必要的備用電力供應(yīng)(如UPS、柴油發(fā)電機等),輸入電源采用雙路自動切換供電方式，且至少滿足主要設(shè)備在斷電情況下正常運行2小時。通信冗余網(wǎng)絡(luò)通信設(shè)備和通道進(jìn)行冗余配置。核心網(wǎng)絡(luò)通信設(shè)備具備N-1運行要求，通信通道從不同的電纜溝道分設(shè)。4.2網(wǎng)絡(luò)設(shè)備安全基線要求4.2.1設(shè)備管理網(wǎng)絡(luò)設(shè)備管理應(yīng)按照網(wǎng)絡(luò)設(shè)備設(shè)備管理安全基線要求進(jìn)行防護(見表3),預(yù)防遠(yuǎn)程訪問服務(wù)攻擊或非授權(quán)訪問，提高網(wǎng)絡(luò)設(shè)備安全防護能力。表3網(wǎng)絡(luò)設(shè)備設(shè)備管理安全基線要求要求點安全基線要求說明設(shè)備命名應(yīng)采用唯一標(biāo)識。按照公司設(shè)備標(biāo)識規(guī)范統(tǒng)一網(wǎng)絡(luò)設(shè)備標(biāo)識，確保網(wǎng)絡(luò)設(shè)備標(biāo)識唯一，且對設(shè)備物理接口明確描述。遠(yuǎn)程管理應(yīng)采用加密的安全方式進(jìn)行遠(yuǎn)程管理。采用SSH服務(wù)代替Telnet等明文方式進(jìn)行遠(yuǎn)程管理提高設(shè)備管理安全性，條件不具備的設(shè)備需進(jìn)行審批并備案。認(rèn)證方式應(yīng)采用本地認(rèn)證。啟用網(wǎng)絡(luò)設(shè)備本地認(rèn)證。管理地址控制應(yīng)配置管理員遠(yuǎn)程管理IP地址訪問控制策略。配置訪問控制策略，只允許管理員IP地址遠(yuǎn)程管理網(wǎng)絡(luò)設(shè)備。console口管理應(yīng)啟用console口令認(rèn)證。配置console口令認(rèn)證策略，口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合。網(wǎng)絡(luò)設(shè)備應(yīng)按照網(wǎng)絡(luò)設(shè)備帳戶與口令安全基線要求進(jìn)行防護(見表4),配置用戶帳戶與口令安全策略，防止存在弱口令，提高網(wǎng)絡(luò)設(shè)備帳戶與口令的安全性。表4網(wǎng)絡(luò)設(shè)備帳戶與口令安全基線要求要求點安全基線要求說明初始帳戶/應(yīng)修改初始帳戶與口令，禁止使用在完成初始配置后應(yīng)立即修改缺省帳戶和口令；如賬戶3口令修改默認(rèn)值。名無法修改，必須修改初始口令?？诹畲鎯?yīng)啟用帳戶口令加密存儲策略，禁止在設(shè)備配置中明文存儲口令信息。通過網(wǎng)絡(luò)設(shè)備配置命令對口令進(jìn)行加密，確保設(shè)備配置中不存在明文口令信息。表4(續(xù))要求點安全基線要求說明口令復(fù)雜度應(yīng)滿足公司口令復(fù)雜度要求。配置帳戶口令復(fù)雜度，口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，帳戶與口令不得相同。超時退出應(yīng)設(shè)置帳戶登錄超時退出時間。帳戶登錄超時自動退出時間應(yīng)為5分鐘。鎖定閾值應(yīng)啟用非法登錄次數(shù)限制，設(shè)置鎖定閾值。配置帳戶登錄失敗處理功能，限制非法登錄次數(shù)為5次、鎖定時間應(yīng)20分鐘以上?？诹钪芷趹?yīng)定期修改帳戶口令?？诹钪辽賾?yīng)每三個月修改一次。4.2.3安全防護網(wǎng)絡(luò)設(shè)備應(yīng)按照網(wǎng)絡(luò)設(shè)備安全防護安全基線要求進(jìn)行防護(見表5),通過對網(wǎng)絡(luò)設(shè)備安全配置調(diào)整和服務(wù)優(yōu)化，提高網(wǎng)絡(luò)設(shè)備及網(wǎng)絡(luò)的安全性。表5網(wǎng)絡(luò)設(shè)備安全防護安全基線要求要求點安全基線要求說明版本信息應(yīng)修改設(shè)備版本信息默認(rèn)值。稱、設(shè)備型號、制造商、設(shè)備版本、管理員等信息。SNMP管理應(yīng)更改SNMPCommunity的讀寫值。按照公司口令復(fù)雜度要求修改SNMPCommunity讀寫值，禁止使用Public、Private等默認(rèn)字段。SNMP版本應(yīng)采用較為安全的SNMP協(xié)議版本。采用安全增強的SNMPV2C及以上版本。SNMP訪問控制應(yīng)配置SNMP訪問控制列表。設(shè)置ACL訪問控制列表，僅允許特定的IP地址與設(shè)備進(jìn)行數(shù)據(jù)交互，控制并規(guī)范網(wǎng)絡(luò)訪問行為。服務(wù)管理應(yīng)禁用非必須的服務(wù)。危服務(wù)。地址管理應(yīng)啟用IP、MAC、物理端口綁定。服務(wù)器應(yīng)采用IP+MAC+交換機物理端口綁定策略。ICMP服務(wù)加強應(yīng)啟用ICMP加強服務(wù)。啟用ICMP流量控制策略。網(wǎng)絡(luò)設(shè)備日志與審計應(yīng)按照網(wǎng)絡(luò)設(shè)備日志與審計安全基線要求進(jìn)行配置(見表6),為日志審計與事件分析提供基礎(chǔ)數(shù)據(jù)，確保操作與事件的可追溯。表6網(wǎng)絡(luò)設(shè)備日志與審計安全基線要求要求點安全基線要求說明日志開啟應(yīng)啟用日志功能。啟用網(wǎng)絡(luò)設(shè)備日志審計功能。4日志保存應(yīng)定期備份日志信息或配置日志服務(wù)器對日志進(jìn)行歸檔。備份日志信息應(yīng)傳輸至日志服務(wù)器保存，日志信息應(yīng)至少每月備份一次，應(yīng)保存6個月以上。日志分析應(yīng)定期對日志進(jìn)行分析并形成審計報告。應(yīng)每月定期對網(wǎng)絡(luò)設(shè)備日志進(jìn)行分析，歸類總結(jié)各類攻擊事件，形成日志審計分析報告并存檔。4.3安全設(shè)備安全基線要求4.3.1設(shè)備管理安全設(shè)備管理應(yīng)按照安全設(shè)備設(shè)備管理安全基線要求進(jìn)行防護(見表7),提高安全設(shè)備運維管理的表7安全設(shè)備設(shè)備管理安全基線要求要求點安全基線要求說明設(shè)備命名應(yīng)采用唯一標(biāo)識。統(tǒng)一安全設(shè)備標(biāo)識格式，確保安全設(shè)備標(biāo)識唯一。遠(yuǎn)程管理應(yīng)采用加密的安全方式進(jìn)行遠(yuǎn)程管理。采用SSH、HTTPS等安全服務(wù)代替Telnet、HTTP等明文方式進(jìn)行遠(yuǎn)程管理，條件不具備的設(shè)備需進(jìn)行審批并備案。管理地址控制應(yīng)配置管理員遠(yuǎn)程管理IP地址訪問控制策略。配置訪問控制策略，只允許管理員IP地址遠(yuǎn)程管理網(wǎng)絡(luò)設(shè)備。root控制應(yīng)限制root登錄方式。應(yīng)設(shè)置root用戶只能通過console接口訪問設(shè)備。4.3.2帳戶與口令安全設(shè)備帳戶與口令應(yīng)按照安全設(shè)備帳戶與口令安全基線要求進(jìn)行防護(見表8),配置用戶帳戶與口令安全策略，防止存在弱口令，提高安全設(shè)備帳戶與口令的安全性。表8安全設(shè)備帳戶與口令安全基線要求要求點安全基線要求說明初始帳戶/口令修改應(yīng)修改初始帳戶與口令，禁止使用默認(rèn)值。在完成初始配置后應(yīng)立即修改缺省帳戶和口令；如帳戶無法修改，必須修改初始口令?？诹畲鎯?yīng)啟用帳戶口令加密存儲策略，禁止在設(shè)備配置中明文存儲口令信息。應(yīng)確保設(shè)備配置中不存在明文口令信息?？诹顝?fù)雜度應(yīng)滿足公司口令復(fù)雜度要求。配置帳戶口令復(fù)雜度，口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，帳戶與口令不得相同。超時退出應(yīng)設(shè)置帳戶登錄超時退出時間。帳戶登錄超時自動退出時間應(yīng)為5分鐘。鎖定閾值應(yīng)啟用非法登錄次數(shù)限制，設(shè)置鎖定閾值。配置帳戶登錄失敗處理功能，限制非法登錄次數(shù)為5次、鎖定時間應(yīng)20分鐘以上?？诹钪芷趹?yīng)定期修改帳戶口令。口令應(yīng)至少每三個月修改一次。4.3.3安全防護安全設(shè)備防護應(yīng)按照安全設(shè)備安全防護安全基線要求進(jìn)行防護(見表9),通過對設(shè)備安全配置進(jìn)行調(diào)整，提高設(shè)備和網(wǎng)絡(luò)的安全性。表9安全設(shè)備安全防護安全基線要求要求點安全基線要求說明版本信息應(yīng)修改設(shè)備版本信息默認(rèn)值。修改設(shè)備出廠版本信息，包括安全設(shè)備名稱、單位名稱、設(shè)備型號、制造商、設(shè)備版本、管理員等信息。5SNMP管理應(yīng)更改SNMPCommunity的讀寫值。按照公司口令復(fù)雜度要求修改SNMPCommunity讀寫值，禁止使用Public、Private等默認(rèn)字段。SNMP訪問控制應(yīng)配置SNMP訪問控制列表。設(shè)置ACL訪問控制列表，僅允許特定的IP地址與設(shè)備進(jìn)行數(shù)據(jù)交互，控制并規(guī)范網(wǎng)絡(luò)訪問行為。表9(續(xù))要求點安全基線要求說明應(yīng)采用較為安全的SNMP協(xié)議版本。采用安全增強的SNMPV2C及以上版本。服務(wù)管理應(yīng)禁用非必須的服務(wù)。僅啟用SSH等安全服務(wù)，禁止ftp、tftp、Telnet、http等高危服務(wù)。地址管理應(yīng)啟用IP、MAC、物理端口綁定，應(yīng)與網(wǎng)絡(luò)設(shè)備配合啟用地址管理策略。防攻擊設(shè)置應(yīng)開啟安全設(shè)備防攻擊選項，并實現(xiàn)告警功能。防攻擊選項包括：SYNAttack、ICMPFlood、UDPFlood、護、SYNFragment(SYN碎片)等。端口控制應(yīng)配置訪問控制策略限制高危端口的訪問。應(yīng)對服務(wù)器的TCP135、TCP139、TCP445等共享端口的訪問進(jìn)行限制。基礎(chǔ)策略應(yīng)禁止存在全通策略，定期梳理現(xiàn)有安全策略。應(yīng)禁止全通策略，應(yīng)每月定期對現(xiàn)有策略進(jìn)行梳理和清理，及時清理過期、臨時策略。特征庫更新應(yīng)及時更新特征庫。及時更新IDS、IPS、防病毒服務(wù)器等安全設(shè)備特征庫，特征庫更新周期禁止超過三個月。策略開啟管理策略開啟應(yīng)進(jìn)行備案并明確開啟與關(guān)閉或變更時間。策略開啟應(yīng)進(jìn)行紙質(zhì)備案，明確開啟時間、關(guān)閉、變更時間，并嚴(yán)格按照時間要求執(zhí)行。安全設(shè)備日志與審計應(yīng)按照安全設(shè)備日志與審計安全基線要求進(jìn)行配置(見表10),為日志審計與事件分析提供基礎(chǔ)數(shù)據(jù)，確保網(wǎng)絡(luò)攻擊與事件的可追溯。表10安全設(shè)備日志與審計安全基線要求要求點安全基線要求說明日志開啟應(yīng)啟用日志功能。啟用安全設(shè)備日志審計功能。日志保存應(yīng)定期備份日志信息或配置日志服務(wù)器對日志進(jìn)行歸檔。備份日志信息應(yīng)傳輸至日志服務(wù)器保存，日志信息應(yīng)至少每月備份一次，應(yīng)保存6個月以上。日志分析應(yīng)定期對日志進(jìn)行分析并形成審計報告。應(yīng)每月定期對安全設(shè)備日志進(jìn)行分析，歸類總結(jié)各類攻擊事件，形成日志審計分析報告并存檔。4.4操作系統(tǒng)安全基線要求系統(tǒng)管理UNIX類操作系統(tǒng)管理應(yīng)按照UNIX類操作系統(tǒng)管理安全基線要求進(jìn)行防護(見表11),通過配置系統(tǒng)安全管理策略，預(yù)防遠(yuǎn)程訪問服務(wù)攻擊或非授權(quán)訪問，提高主機系統(tǒng)遠(yuǎn)程管理安全性。6表11UNIX類操作系統(tǒng)管理安全基線要求要求點安全基線要求說明遠(yuǎn)程管理應(yīng)采用加密的安全方式進(jìn)行遠(yuǎn)程管理。應(yīng)采用SSH進(jìn)行遠(yuǎn)程管理，應(yīng)通過網(wǎng)絡(luò)設(shè)備或安全設(shè)備限定遠(yuǎn)程管理服務(wù)端口并限定訪問地址。補丁管理應(yīng)及時更新補丁。應(yīng)及時更新操作系統(tǒng)補丁，更新前應(yīng)做好系統(tǒng)備份。UNIX類操作系統(tǒng)賬戶與口令應(yīng)按照UNIX類操作系統(tǒng)帳戶與口令安全基線要求進(jìn)行防護(見表12),配置帳戶與口令安全策略，防止存在弱口令，提高系統(tǒng)帳戶與口令安全。表12UNIX類操作系統(tǒng)帳戶與口令安全基線要求要求點安全基線要求說明帳戶權(quán)限應(yīng)根據(jù)數(shù)據(jù)庫、中間件等非操作系統(tǒng)帳戶的業(yè)務(wù)需求進(jìn)行權(quán)限設(shè)置。將數(shù)據(jù)庫、中間件、FTP等應(yīng)用的帳戶權(quán)限設(shè)置為業(yè)務(wù)所需最低級別，不應(yīng)設(shè)置為操作系統(tǒng)管理員權(quán)限。帳戶管理應(yīng)鎖定操作系統(tǒng)自帶的非必須帳戶。應(yīng)鎖定daemon、bin、sys、adm、uucp、nuucp、Ipd、imnadmhpsmh、named、nobody、noaccess、hpdb、useradm默認(rèn)帳戶，如業(yè)務(wù)需求，應(yīng)進(jìn)行備案?？诹顝?fù)雜度應(yīng)滿足公司口令復(fù)雜度要求。應(yīng)通過操作系統(tǒng)配置策略配置帳戶口令復(fù)雜度，口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，帳戶與口令不得相同。超時退出應(yīng)設(shè)置帳戶登錄超時退出時間。帳戶登錄超時自動退出時間應(yīng)為5分鐘。鎖定閾值應(yīng)啟用非法登錄次數(shù)限制，設(shè)置鎖定閾值。配置帳戶登錄失敗處理功能，限制非法登錄次數(shù)為5次、鎖定時間應(yīng)20分鐘以上。帳戶/口令文件保護應(yīng)設(shè)置帳戶/口令文件及目錄訪問權(quán)限。應(yīng)設(shè)置帳戶/口令敏感文件的保護，如/etc/passwd、/etc/group、/etc/shadow等文件和目錄的權(quán)限僅管理員可讀root遠(yuǎn)程登錄應(yīng)限制root遠(yuǎn)程登錄。禁止root帳戶遠(yuǎn)程登錄。口令周期應(yīng)定期修改帳戶口令?？诹顟?yīng)至少每三個月修改一次。UNIX類操作系統(tǒng)應(yīng)按照UNIX類操作系統(tǒng)安全防護安全基線要求進(jìn)行防護(見表13),通過對系表13UNIX類操作系統(tǒng)安全防護安全基線要求要求點安全基線要求說明Umask權(quán)限應(yīng)修改默認(rèn)文件權(quán)限。應(yīng)設(shè)置文件默認(rèn)訪問權(quán)限為022。版本信息應(yīng)修改系統(tǒng)版本信息默認(rèn)值。統(tǒng)的任何特定信息。服務(wù)管理應(yīng)關(guān)閉非必須服務(wù)。應(yīng)關(guān)閉Discard、Daytime、Chargen、Comsat、Ntalk、Talk、TFTP、FTP、Telnet、UUCP等服務(wù)，如需開啟，應(yīng)進(jìn)行備案。SNMP管理應(yīng)關(guān)閉SNMP服務(wù)。應(yīng)關(guān)閉SNMP服務(wù)。若操作系統(tǒng)需開啟SNMP服務(wù)，應(yīng)按照公司口令復(fù)雜度要求修改SNMPCommunity讀寫值，7禁止使用Public、Private等默認(rèn)字段。cron安全應(yīng)設(shè)置權(quán)限為400。root擁有只讀權(quán)限。UNIX類操作系統(tǒng)日志與審計應(yīng)按照UNIX類操作系統(tǒng)日志與審計安全基線要求進(jìn)行配置(見表14),通過對系統(tǒng)日志進(jìn)行安全控制和管理，保護日志的安全及有效性。表14UNIX類操作系統(tǒng)日志與審計安全基線要求要求點安全基線要求說明日志開啟應(yīng)啟用日志功能。應(yīng)記錄authlog、wtmp.log、sulog、failedlogin、authpriv等基礎(chǔ)日志信息。日志保存應(yīng)定期備份日志信息或配置日志服務(wù)器對日志進(jìn)行歸檔。備份日志信息應(yīng)傳輸至日志服務(wù)器保存，日志信息應(yīng)至少每月備份一次，應(yīng)保存6個月以上。日志保護應(yīng)設(shè)置日志文件屬性。應(yīng)設(shè)置文件權(quán)限屬性為400(管理員帳戶只讀)。日志分析應(yīng)定期對日志進(jìn)行分析并形成審計報告。應(yīng)每月定期對系統(tǒng)日志進(jìn)行分析，歸類總結(jié)各類攻擊事件，形成日志審計分析報告并存檔。4.4.2Windows類操作系統(tǒng)安全基線要求系統(tǒng)管理Windows類操作系統(tǒng)應(yīng)按照Windows類操作系統(tǒng)管理安全基線要求進(jìn)行防護(見表15),通過配置系統(tǒng)安全管理策略，預(yù)防遠(yuǎn)程訪問服務(wù)攻擊或非授權(quán)訪問，提高主機系統(tǒng)遠(yuǎn)程管理安全性。表15Windows類操作系統(tǒng)管理安全基線要求要求點安全基線要求說明遠(yuǎn)程管理應(yīng)控制遠(yuǎn)程桌面訪問。應(yīng)修改遠(yuǎn)程桌面服務(wù)端口號，通過網(wǎng)絡(luò)設(shè)備或安全設(shè)備限定遠(yuǎn)程桌面服務(wù)端口并限定訪問地址。補丁管理應(yīng)及時更新補丁。應(yīng)及時更新操作系統(tǒng)補丁，更新前應(yīng)做好系統(tǒng)備份。帳戶與口令Windows類操作系統(tǒng)賬戶與口令應(yīng)按照Windows類操作系統(tǒng)帳戶與口令安全基線要求進(jìn)行防護(見表16),配置帳戶與口令安全策略，防止存在弱口令，提高系統(tǒng)帳戶與口令安全。表16Windows類操作系統(tǒng)帳戶與口令安全基線要求要求點安全基線要求說明帳戶權(quán)限應(yīng)根據(jù)數(shù)據(jù)庫、中間件等非操作系統(tǒng)帳戶的業(yè)務(wù)需求進(jìn)行權(quán)限設(shè)置。將數(shù)據(jù)庫、中間件、FTP等應(yīng)用的帳戶權(quán)限設(shè)置為業(yè)務(wù)所需最低級別，不應(yīng)設(shè)置為操作系統(tǒng)管理員權(quán)限。帳戶管理應(yīng)重命名Administrator帳戶名稱并禁用無效及閑置帳戶。Administrator帳戶應(yīng)修改為其他名稱，禁用Guest帳戶。口令復(fù)雜度應(yīng)滿足公司口令復(fù)雜度要求。修改Windows類操作系統(tǒng)“帳戶策略”中的“密碼策略",口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，帳戶與口令不得相同。8超時退出應(yīng)設(shè)置帳戶登錄超時退出時間。修改Windows類操作系統(tǒng)“帳戶策略”中的“帳戶鎖定策略”,帳戶登錄超時自動退出時間應(yīng)為5分鐘，限制非法登錄次數(shù)為5次、鎖定時間應(yīng)20分鐘以上。登錄信息應(yīng)禁止顯示上次登錄帳戶的帳戶名。配置安全策略，禁止顯示上一帳戶登錄信息。帳戶/口令文件保護應(yīng)設(shè)置帳戶/口令文件訪問權(quán)限。不可匿名枚舉SAM帳戶。口令周期應(yīng)定期修改帳戶口令。口令應(yīng)至少每三個月修改一次。安全防護Windows類操作系統(tǒng)應(yīng)按照Windows類操作系統(tǒng)安全防護安全基線要求進(jìn)行防護(見表17),通過對系統(tǒng)安全配置參數(shù)調(diào)整，提高系統(tǒng)安全性。表17Windows類操作系統(tǒng)安全防護安全基線要求要求點安全基線要求說明文件系統(tǒng)格式應(yīng)采用NTFS文件系統(tǒng)格式。應(yīng)設(shè)置磁盤文件格式為NTFS。桌面屏保應(yīng)啟用屏幕保護程序。開啟屏幕保護，等待時間應(yīng)為10分鐘，在恢復(fù)時顯示登錄屏幕。防病毒軟件應(yīng)安裝防病毒軟件并及時更新。安裝防病毒軟件并及時更新，最新版本應(yīng)為一周共享文件應(yīng)禁用共享文件。應(yīng)禁止IPC$、ADMIN$、C$、D$等操作系統(tǒng)默認(rèn)共享，禁用Server服務(wù)。如需配置自定義共享文件夾，必須設(shè)置帳戶與口令，口令應(yīng)符合公司口令復(fù)雜度要求。敏感目錄應(yīng)限制操作系統(tǒng)敏感目錄訪問權(quán)限，設(shè)置為只讀。配置系統(tǒng)敏感目錄及文件訪問權(quán)限為只讀，如system32、system等。驅(qū)動器運行應(yīng)禁止驅(qū)動器自動運行。禁止驅(qū)動器自動運行。服務(wù)管理應(yīng)關(guān)閉非必須服務(wù)。應(yīng)關(guān)閉Alerter、Clipbook、ComputerBrowser、RemoteAccess、SimpleNetworkManagementProtocol(SNMP)Service、SimpleNetworkManagementProtocol(SNMP)Trap、Telnet、PrintSpooler、應(yīng)進(jìn)行備案。Windows類操作系統(tǒng)日志與審計應(yīng)按照Windows類操作系統(tǒng)日志與審計基線要求進(jìn)行配置(見表18),通過對系統(tǒng)日志進(jìn)行安全控制和管理，保護日志的安全及有效性。表18Windows類操作系統(tǒng)日志與審計安全基線要求要求點安全基線要求說明日志開啟應(yīng)啟用日志功能。啟用操作系統(tǒng)日志審計功能，審核帳戶登錄事件應(yīng)設(shè)置為成功與失敗、審核帳戶管理應(yīng)設(shè)置為成功與失敗、審核目錄服務(wù)訪問應(yīng)設(shè)置為成功、審核策略更改應(yīng)設(shè)置為成功與失敗、審核系統(tǒng)事件應(yīng)設(shè)置為成功。日志保存應(yīng)設(shè)置操作系統(tǒng)日志文件大小，定期備份日志信息或配置日志服務(wù)器對日志進(jìn)行歸檔。應(yīng)用、安全、系統(tǒng)等日志文件大小應(yīng)設(shè)置為50M以上，日志文件應(yīng)傳輸至日志服務(wù)器保存，日志文件應(yīng)至少每月備份一次，應(yīng)保存6個月以上。9日志分析應(yīng)定期對日志進(jìn)行分析并形成審計報告。應(yīng)每月定期對系統(tǒng)日志進(jìn)行分析，歸類總結(jié)各類攻擊事件，形成日志審計分析報告并存檔。4.5數(shù)據(jù)庫安全基線要求4.5.1帳戶與口令數(shù)據(jù)庫帳戶與口令應(yīng)按照數(shù)據(jù)庫帳戶與口令安全基線要求進(jìn)行防護(見表19),通過配置帳戶與口令安全策略，提高數(shù)據(jù)庫系統(tǒng)帳戶與口令安全防護能力。表19數(shù)據(jù)庫帳戶與口令安全基線要求要求點安全基線要求說明帳戶權(quán)限應(yīng)控制賬戶權(quán)限，遵循最小化訪問原則。應(yīng)控制用戶帳戶權(quán)限最小化，限制Guest帳戶對數(shù)據(jù)庫的訪問。帳戶管理應(yīng)修改默認(rèn)帳戶及口令，刪除多余帳戶。修改默認(rèn)帳戶默認(rèn)口令，應(yīng)刪除無用帳戶，如TIGER、SCOTT等?？诹顝?fù)雜度應(yīng)滿足公司口令復(fù)雜度要求。口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合，帳戶與口令不得相同。SYSDBA管理應(yīng)禁止SYSDBA自動登錄獲取配置連接。修改配置參數(shù)，禁止SYSDBA自動登錄。登錄失敗鎖定應(yīng)啟用登錄失敗處理功能。配置帳戶安全策略，應(yīng)設(shè)置為5次連續(xù)登錄失敗后鎖定用戶帳戶?？诹钪芷趹?yīng)定期修改帳戶口令?？诹顟?yīng)至少每三個月修改一次。4.5.2安全防護數(shù)據(jù)庫安全防護應(yīng)按照數(shù)據(jù)庫安全防護安全基線要求進(jìn)行防護(見表20),通過對數(shù)據(jù)庫系統(tǒng)安全配置參數(shù)調(diào)整，提高數(shù)據(jù)庫系統(tǒng)安全性。表20數(shù)據(jù)庫安全防護安全基線要求要求點安全基線要求說明數(shù)據(jù)字典保護應(yīng)啟用數(shù)據(jù)字典保護。限制只有SYSDBA權(quán)限的用戶才能訪問數(shù)據(jù)字典。監(jiān)聽程序應(yīng)消除監(jiān)聽器弱口令。設(shè)置監(jiān)聽器口令。默認(rèn)數(shù)據(jù)庫應(yīng)分離或刪除默認(rèn)實例。應(yīng)分離默認(rèn)安裝數(shù)據(jù)庫自帶的實例，如pubsNorthWind等。數(shù)據(jù)庫補丁更新應(yīng)及時更新數(shù)據(jù)庫補丁。應(yīng)安裝最新的數(shù)據(jù)庫補丁，修補系統(tǒng)漏洞，防止利用已知漏洞進(jìn)行攻擊，安裝補丁前應(yīng)進(jìn)行備份。敏感組件應(yīng)刪除或停用敏感組件。應(yīng)禁用敏感組件，如xp_cmd_shell。服務(wù)監(jiān)聽端口應(yīng)更改默認(rèn)端口。在不影響應(yīng)用的情況下，應(yīng)修改默認(rèn)端口TCP1521、數(shù)據(jù)庫日志與審計應(yīng)按照數(shù)據(jù)庫日志與審計安全基線要求進(jìn)行防護(見表21),通過對數(shù)據(jù)庫系統(tǒng)日志進(jìn)行安全控制和管理，保護日志的安全及有效性。表21數(shù)據(jù)庫日志與審計安全基線要求要求點安全基線要求說明日志開啟應(yīng)啟用日志功能。應(yīng)啟用安全設(shè)備日志審計功能，至少包含用戶登錄信息。日志保存應(yīng)定期備份日志信息或配置日志服務(wù)器對日志進(jìn)行歸檔。日志信息應(yīng)傳輸至日志服務(wù)器保存，日志信息應(yīng)至少每月備份一次，應(yīng)保存6個月以上。日志分析應(yīng)定期對日志進(jìn)行分析并形成審計報告。應(yīng)每月定期對數(shù)據(jù)庫日志進(jìn)行分析，歸類總結(jié)各類攻擊事件，形成日志審計分析報告并存檔。4.6中間件安全基線要求4.6.1帳戶與口令中間件帳戶與口令應(yīng)按照中間件帳戶與口令安全基線要求配置(見表22),提高帳戶與口令安全防表22中間件帳戶與口令安全基線要求要求點安全基線要求說明帳戶優(yōu)化應(yīng)優(yōu)化中間件服務(wù)帳戶。對于具備建立獨立用戶組的帳號，應(yīng)根據(jù)實際需要建立相關(guān)帳戶權(quán)限。默認(rèn)口令應(yīng)修改默認(rèn)口令?？诹铋L度不得小于8位，且含字母、數(shù)字和特殊字符，用戶名和口令不得相同。默認(rèn)帳戶應(yīng)禁用默認(rèn)帳戶。禁用中間件的默認(rèn)帳戶。鎖定閾值應(yīng)設(shè)置失敗登錄次數(shù)閾值。開啟登錄失敗處理功能，限制登錄失敗次數(shù)為5次。超時退出應(yīng)設(shè)置會話超時時間閾值。帳戶15分鐘內(nèi)未操作，應(yīng)自動保存當(dāng)前狀態(tài)并退口令周期應(yīng)定期修改帳戶口令?？诹顟?yīng)至少每三個月修改一次。4.6.2安全防護中間件應(yīng)按照中間件安全防護安全基線要求進(jìn)行配置(見表23),提高中間件安全防護能力。表23中間件安全防護安全基線要求要求點安全基線要求說明版本信息應(yīng)修改中間件版本信息默認(rèn)值。修改中間件版本信息，禁止顯示中間件名稱、單位名稱、制造商、軟件版本管理員等信息。端口管理應(yīng)修改中間件默認(rèn)服務(wù)端口。修改中間件默認(rèn)的配置、管理服務(wù)端口。精簡服務(wù)應(yīng)禁用不需要的模塊和服務(wù)。刪除或關(guān)閉中間件示例域及非必須服務(wù)，縮小被惡意攻擊的目標(biāo)范圍。禁止目錄遍歷應(yīng)修改參數(shù)文件，禁止目錄遍歷。禁止遍歷操作系統(tǒng)目錄，防止惡意用戶利用進(jìn)行目錄遍歷攻擊。錯誤信息自定義應(yīng)自定義錯誤文件反饋內(nèi)容。修改錯誤文件信息內(nèi)容，防止信息泄漏。中間件補丁更新應(yīng)及時更新中間件補丁。安裝最新的中間件補丁，防止惡意用戶利用已知漏洞進(jìn)行攻擊。中間件應(yīng)按照中間件日志與審計安全基線要求開啟日志功能(見表24),對系統(tǒng)的日志進(jìn)行安全控制與管理，保護日志的安全與有效性。表24中間件日志與審計安全基線要求要求點安全基線要求說明日志開啟應(yīng)啟用日志功能。啟用中間件日志審計功能。日志保存應(yīng)定期備份日志信息或配置日志服務(wù)器對日志進(jìn)行歸檔。備份日志信息應(yīng)傳輸至日志服務(wù)器保存，應(yīng)每月備份一次，應(yīng)保存6個月以上。表24(續(xù))要求點安全基線要求說明日志分析應(yīng)定期對日志進(jìn)行分析并形成審計報應(yīng)每月定期對中間件日志進(jìn)行分析，歸類總結(jié)各類攻擊事件，形成日志審計分析報告并存檔。4.7應(yīng)用系統(tǒng)安全基線要求4.7.1帳戶與口令應(yīng)用系統(tǒng)用戶帳戶與口令應(yīng)按照應(yīng)用系統(tǒng)帳戶與口令安全基線要求配置安全策略(見表25),消除弱口令、越權(quán)訪問等問題，提高應(yīng)用系統(tǒng)帳戶與口令安全。表25應(yīng)用系統(tǒng)帳戶與口令安全基線要求要求點安全基線要求說明初始口令應(yīng)為每一個帳戶設(shè)置隨機初始口令。初始口令應(yīng)隨機生成，且長度不得小于8位，含字母、數(shù)字和特殊字符?？诹畈呗詰?yīng)設(shè)置口令復(fù)雜度檢測功能。配置口令復(fù)雜度檢測功能，強制所有帳戶口令復(fù)雜度滿足公司要求?？诹顝?fù)雜度帳戶口令應(yīng)滿足長度、復(fù)雜度要求?？诹铋L度不得小于8位，且含字母、數(shù)字和特殊字符，用戶名和口令不得相同?？诹钪芷趹?yīng)定期修改帳戶口令?？诹顟?yīng)至少每三個月修改一次。默認(rèn)帳戶應(yīng)在系統(tǒng)上線30日內(nèi)刪除默認(rèn)帳戶。必須使用的默認(rèn)帳戶，嚴(yán)格控制其訪問權(quán)限并修改默認(rèn)口令，口令符合帳戶口令策略安全基線要求。臨時帳戶應(yīng)每月定期清理臨時帳戶。如需延長使用的臨時帳戶應(yīng)做好使用歸檔與備案，簽署使用說明。長期不登錄的賬戶應(yīng)禁用3個月未登錄的帳戶。禁用3個月未使用的帳戶，重新使用需提交申請。失敗登錄次數(shù)應(yīng)設(shè)置失敗登錄次數(shù)閾值。配置登錄失敗處理功能，連續(xù)失敗登錄5次后鎖定帳戶15分鐘。會話超時退出應(yīng)設(shè)置會話超時時間。帳戶15分鐘內(nèi)未操作，應(yīng)用程序應(yīng)自動保存當(dāng)前狀態(tài)并退出。驗證碼認(rèn)證應(yīng)采用驗證碼鑒別技術(shù)。新上線系統(tǒng)口令認(rèn)證應(yīng)采用驗證碼。單點登錄應(yīng)限制單個帳戶多重并發(fā)登錄。應(yīng)限制每一個帳戶只允許在一個客戶端上同時登錄到系統(tǒng)中。4.7.2安全防護應(yīng)用系統(tǒng)應(yīng)按照應(yīng)用系統(tǒng)安全防護安全基線要求配置安全防護策略(見表26),確保應(yīng)用系統(tǒng)安全表26應(yīng)用系統(tǒng)安全防護安全基線要求要求點安全基線要求說明身份驗證應(yīng)在應(yīng)用系統(tǒng)服務(wù)端完成身份驗證。防止惡意用戶修改客戶端身份驗證信息對應(yīng)用系統(tǒng)進(jìn)行破壞。文件交互應(yīng)限制可執(zhí)行文件、程序、圖片、代碼等文件或代碼上傳。應(yīng)對上傳數(shù)據(jù)的大小、類型進(jìn)行限制、過濾和病毒查殺。表26(續(xù))要求點安全基線要求說明字符過濾應(yīng)對危險字符進(jìn)行轉(zhuǎn)碼，防止被利用于構(gòu)建惡意語句。殊字符進(jìn)行轉(zhuǎn)換，防止惡意用戶通過構(gòu)造特殊代碼進(jìn)行破壞。插件使用第三方插件應(yīng)更新到最新版本。應(yīng)用系統(tǒng)如使用第三方插件，必須與插件供應(yīng)商最新版本一致并更新補丁。調(diào)試信息應(yīng)刪除調(diào)試頁面、臨時數(shù)據(jù)。刪除調(diào)試代碼、頁面、數(shù)據(jù)等臨時信息。后臺管理應(yīng)修改并隱藏后臺管理頁面。隱藏系統(tǒng)后臺管理員登錄頁面，修改后臺管理頁面文件名。用戶敏感信息加密應(yīng)對用戶敏感信息加密存儲及傳輸。用戶敏感信息加密存儲數(shù)據(jù)庫并通過https等加密傳輸。應(yīng)用系統(tǒng)應(yīng)按照應(yīng)用系統(tǒng)日志與審計安全基線要求開啟日志審計功能(見表27),對用戶及業(yè)務(wù)操作進(jìn)行審計，確保事件可追溯。表27應(yīng)用系統(tǒng)日志與審計安全基線要求要求點安全基線要求說明審計內(nèi)容應(yīng)啟用日志審計，對用戶登錄與業(yè)務(wù)操作進(jìn)行審計。審計內(nèi)容應(yīng)包含但不限于用戶名、時間、登錄IP、操作內(nèi)容等信息。審計權(quán)限應(yīng)設(shè)置獨立審計帳戶。確保僅審計員可對日志信息進(jìn)行訪問，但審計員不可對日志信息進(jìn)行刪除與修改。日志保存應(yīng)定期備份日志信息或配置日志服務(wù)器對日志進(jìn)行歸檔。備份日志信息應(yīng)傳輸至日志服務(wù)器保存，應(yīng)每月備份一次，應(yīng)保存6個月以上。日志分析應(yīng)定期對日志進(jìn)行分析并形成審計報告。應(yīng)每月定期對應(yīng)用系統(tǒng)日志進(jìn)行分析，歸類總結(jié)各類攻擊事件，形成日志審計分析報告并存檔。4.8外部設(shè)備安全基線要求外部設(shè)備應(yīng)按照外部設(shè)備安全基線要求配置安全防護策略(見表28),預(yù)防外部設(shè)備被惡意用戶遠(yuǎn)程控制，提高外部設(shè)備安全防護能力。表28外部設(shè)備安全基線要求要求點安全基線要求說明口令策略應(yīng)設(shè)置口令長度、復(fù)雜度。建議口令長度不得小于8位，且為字母、數(shù)字或特殊字符的混合組合。服務(wù)優(yōu)化應(yīng)關(guān)閉或限制非必須服務(wù)。關(guān)閉http、telnet、ftp等非必須服務(wù)。存儲清理應(yīng)定期清理外部設(shè)備內(nèi)存、硬盤上的信息。每月定期清理外部設(shè)備中存儲的信息，包含外部設(shè)備內(nèi)存和硬盤。4.9數(shù)據(jù)備份、恢復(fù)與銷毀安全基線要求數(shù)據(jù)備份、恢復(fù)與銷毀應(yīng)按照數(shù)據(jù)備份、恢復(fù)與銷毀安全基線要求落實安全防護要求(見表29),預(yù)防數(shù)據(jù)丟失和泄露，保障數(shù)據(jù)的可用性、保密性與完整性。表29數(shù)據(jù)備份、恢復(fù)與銷毀安全基線要求要求點安全基線要求說明備份策略應(yīng)定期備份系統(tǒng)配置、業(yè)務(wù)數(shù)據(jù)。應(yīng)按照《國家電網(wǎng)公司信息系統(tǒng)數(shù)據(jù)備份與管理規(guī)定》開展數(shù)據(jù)備份，同時應(yīng)利用公司三地災(zāi)備中心對重要業(yè)務(wù)數(shù)據(jù)進(jìn)行備份。備份數(shù)據(jù)恢復(fù)應(yīng)定期開展備份數(shù)據(jù)恢復(fù)驗證。每月定期開展一次備份數(shù)據(jù)恢復(fù)驗證工作，確保備份數(shù)據(jù)可用。介質(zhì)數(shù)據(jù)恢復(fù)應(yīng)規(guī)范數(shù)據(jù)恢復(fù)流程，選取可信機構(gòu)完成相關(guān)工作。數(shù)據(jù)恢復(fù)應(yīng)按照公司辦公廳關(guān)于電子數(shù)據(jù)恢復(fù)、擦除與銷毀的相關(guān)要求開展。數(shù)據(jù)銷毀與擦除設(shè)備騰退、系統(tǒng)下線等應(yīng)進(jìn)行數(shù)據(jù)銷毀與擦數(shù)據(jù)擦除與銷毀應(yīng)按照公司辦公廳關(guān)于電子數(shù)據(jù)恢復(fù)、擦除與銷毀的相關(guān)要求開展。Q/GDW11445—2015國家電網(wǎng)公司管理信息系統(tǒng)安全基線要求1編制背景 2編制主要原則 3與其他標(biāo)準(zhǔn)文件的關(guān)系 4主要工作過程 5標(biāo)準(zhǔn)結(jié)構(gòu)和內(nèi)容 6條文說明 本標(biāo)