业务平台安全检查指引v3.1.doc

业务平台安全检查指引第1章安全检查指引综述41.1组织机构41.2检查目的41.3检查范围41.4重要平台划分标准51.5业务平台安全检查流程61.6注意事项7第2章管理制度类安全检查82.1概述82.1.1目的82.1.2范围82.1.3方法82.2检查内容82.2.1管理办法82.2.2组织架构92.2.3人员安全102.2.4资产管理112.2.5安全评估122.2.6操作维护安全122.2.7用户隐私安全142.2.8安全考核152.2.9安全通报152.2.10安全检查162.2.11安全作业计划162.2.12安全文档、记录管理172.2.13主机备份系统配置172.2.14远程维护管控措施182.2.15业务容灾18第3章网络系统安全检查193.1概述193.1.1目的193.1.2范围193.1.3方法203.2检查内容203.2.1网络架构安全检查203.2.1网络设备检查243.2.2安全设备安全检查26第4章主机系统安全检查274.1概述274.1.1目的274.1.2范围284.1.3方法284.2检查内容284.2.1操作系统检查284.2.2数据库检查42第5章应用系统安全检查535.1任务概述535.1.1目的535.1.2范围535.1.3方法535.2检查内容535.2.1Ftp检查535.2.2IIS检查555.2.3APACHE检查575.2.4WEB应用检查595.2.5WAP应用检查645.2.6彩信应用层安全检查685.2.7彩铃应用层安全检查695.2.8其他业务安全检查71第6章机房环境安全检查746.1概述746.1.1目的746.1.2范围746.1.3方法746.2检查内容756.2.1机房管理756.2.2机房环境766.2.3机房设备796.2.4机房线缆83附录1：安全评估工具安装说明851.工具介绍851.1.Nessus851.2.Webscan861.3.Nmap861.4.X-scan871.5.Acunetix Web Vulnerability Scanner881.6.Shadow Database Scanner891.7.SolarWinds Engineer Edition Toolkits901.8.Iris Network Traffic Analyzer911.9.wlsc921.10.ulsc932.软件说明933.开源软件、商业软件、安全服务比较944.安装及使用说明954.1.Nessus954.2.WebScan1014.3.Nmap1054.4.X-SCAN1124.5.Acunetix Web Vulnerability Scanner1194.6.Shadow Database Scanner1334.7.SolarWinds Engineers Edition1424.8.Iris Network Traffic Analyzer147第1章 安全检查指引综述1.1 组织机构组长：李洪联系人：渠凯、谭海华 集团工作小组：集团网运部（渠凯、谭海华、戴新）、集团移动建设部（蓝曾威）、集团运营中心（幸宇、刘利、陈银星）、广东公司（林贵东、陈子琨、李孟锶）、江苏公司（陈美、魏渊）、浙江公司（郭伟锋、王毅鹏）、福建公司（刘翔、陈凯）、省工作小组：各省工作小组。 支撑小组：广州研究院（谭志远、宫云平）、北京研究院（王燕蒙）、部分集团维护骨干、系统集成公司（赵士刚）、厂家支撑小组（华为、中兴、阿朗等）、北邮信息安全中心（北京安码科技有限公司）（杜晓峰、蒋辉柏、谢永涛、辛阳、刘为） 1.2 检查目的1. 全面检查各业务平台存在的安全漏洞，良好地完成集团、工信部的检查；2. 建立安全检查、防护的长效机制，全面提升中国电信业务平台的安全防护水平。1.3 检查范围本次安全整治所涉及的平台包括：集团级业务平台和省级业务平台（不含短信和智能网相关业务平台）。检查主要从以下五个方面进行：1. 管理制度类安全检查2. 网络系统安全检查3. 主机系统安全检查4. 应用系统安全检查5. 机房环境安全检查结合人工检查和工具扫描的方法全面发现业务平台在安全配置、安全管理、安全防护措施等方面的漏洞和安全隐患。1.4 重要平台划分标准综合考虑业务平台设备规模、服务用户量、影响范围、核心程度等多种因素，把业务平台分为重要性业务平台和非重要性业务平台，在本操作指引中所要求的内容（包含可选项）重要平台都需要检查。表1所列为重要业务平台，其他未列其中属于非重要性平台集团-NMSC集团-WAP管理中心平台集团-NSAG集团-WAP门户集团-ISAG ROUTER集团-OTA平台集团-Brew集团-彩E平台集团-ENUM-DNS集团-UNIWISE集团-彩信互通网关集团-IVR集团-天翼Live集团-声讯台集团-定位集团-Kjava集团-PIM集团-PRL集团-手机报集团-EMA管理平台基地-爱音乐（广东）基地-189邮箱（广东）基地-天翼视讯（上海）基地-ECP（浙江）省-WAP GW省-WAP门户省-ISMP省-168声讯省-ISAG省-PTT省-MMSC省-互联星空省-EMA（NMA）省-IPTV省-全球眼省-新视通省-彩铃平台表 1 重要业务平台列表1.5 业务平台安全检查流程业务平台安全隐患检查流程如下：根据发现的问题，各省根据实际情况先制定初步解决方案及整改计划，按期组织落实解决安全隐患，安全隐患扫描、分析、分类结束后按照要求统一汇总问题并上报集团安全小组，另对于需要集团协调落实到的在调研表中反馈并填写初步建议。1.6 注意事项在业务平台安全检查及整改过程中应注意以下事项：1. 业务平台安全扫描、整改方案制定和加固时必须以保证业务的安全运行为前提，扫描和加固时要求平台厂家在场保障。2. 在安全扫描时要求首先使用指引中列出的工具完成基线扫描，在此基础上具备资源和技术力量条件的省可以根据自身实际条件进行进一步的扫描，提升平台的安全防护能力。3. 无论是收费软件还是免费软件，所有扫描工具必须使用正式版本。4. 安全扫描尽量使用免费工具，若使用收费工具或者购买第三方安全扫描收费服务产生的费用需要由各省自行解决。5. 对于业务平台安全功能缺陷和新功能需求由各省收集后上报集团，集团统一转相关部门处理。6. 由于业务平台较多，对应用系统安全问题，请各省找相应的业务平台厂家（比如：天翼live是微软负责）共同检查应用安全漏洞。本指引中仅仅对较常使用的WEB、WAP、彩铃、彩信等系统可能的应用安全漏洞做出指导。第2章 管理制度类安全检查2.1 概述2.1.1 目的 检查业务平台在安全管理方面是否存在安全隐患，对发现的安全隐患及时整改并制定相应的长效机制。2.1.2 范围本次安全整治所涉及的平台包括：集团级业务平台和省级业务平台（不含短信和智能网相关业务平台）。安全管理方面的主要内容包括：安全管理制度、安全管理组织架构、安全管理流程、人员安全管理、安全评估与加固安全评测、操作维护安全、安全考核情况、安全维护作业计划、客户隐私安全等方面。2.1.3 方法1. 查阅文档：排查现有安全管理办法或制度，核对是否存在安全管理相关内容，并针对各项内容有相应的管理办法或要求，以及相应的管理流程；2. 比较：根据管理办法中的相关要求，结合实际情况，比照安全管理办法中要求的内容是否满足实际操作，是否存在安全漏洞。2.2 检查内容2.2.1 管理办法检查目标：检查是否有相关的业务平台安全管理办法、管理办法是否适合实际维护工作要求。检查方法：1. 查阅相关安全管理办法；2. 对维护人员进行访谈。主要检查项l 是否有业务平台相关的安全管理办法；l 管理办法中是否对管理制度的制定、发布、评审、修改等流程有明确的管理细则；l 安全管理办法是否适应所有业务平台；l 安全管理办法中是否有明确的安全管理操作流程；l 安全管理流程是否闭环管理。l 是否有软硬件安全功能缺陷或需求上报机制整改措施l 根据实际情况制定业务平台安全管理办法； l 在管理办法中明确安全管理制度的制定、发布、评审、修改等相关管理要求及流程；l 管理办法要适应各业务平台特点；l 管理办法中要求对各种管理操作流程进行明确，主要包括安全策略管理（主要包括：组织架构、资产安全、人力、物理环境、维护操作、访问控制、安全事件管理等）、人员安全、机房安全、账户、口令及权限等安全管理规章制度及相关流程；l 对各安全管控措施要实现闭环管理。l 建立软硬件安全功能缺陷和需求的上报机制2.2.2 组织架构检查目标：核查是否成立业务平台安全维护组织架构，明确组织成员间的职责分工等。检查方法：1. 查阅管理办法是否有相关的规章制度；2. 通过访谈等掌握是否落实安全组织架构相关事项。主要检查项l 安全管理办法中是否明确安全管理的组织架构；l 安全组织架构中是否明确各级人员的安全职责及分工；l 是否有安全责任制度和岗位责任制度等。整改措施l 成立安全领导小组、工作小组，落实工作小组成员；l 明确安全组织架构及各成员的安全职责分工、职责范围、工作联系机制等；l 明确各级安全人员的责任制度及岗位责任制度。 2.2.3 人员安全检查目标：检查安全管理办法中是否明确人员方面的安全管理细则，并落实到日常的工作中。检查方法：1. 查阅安全管理办法相关内容；2. 对维护人员进行访谈了解安全管理措施落实情况。主要检查项l 是否有人员安全方面的相关管理措施及办法；l 人员入职、离岗、岗位调换等是否有相应的管理制度及流程；l 针对高安全级别的人员是否有签署保密协议；l 是否与第三方平台维护人员签署相关保密协议；l 外部人员访问是否有明确的管理措施及流程并落实到日常工作中；l 是否有对操作维护人员进行安全考核制度及措施；l 对业务平台相关人员是否有安全意识和技能培训制度并落实。整改措施l 加强人员使用各环节的安全管理，明确相关流程及制度，包括入职（背景审查、劳动合同、保密协议、岗位职责、安全培训等）、离职（工作交接、脱密措施、保密协议等）、岗位调换（工作交接、操作权限撤销、相关口令修改、脱密措施、保密协议等）等环节；l 根据不同安全等级签署不同级别的安全保密协议，第三方维护人员（含厂家维护支撑人员）等根据实际情况需要签署保密协议；l 制度外部人员访问的安全管理制度，包括：访问申请及审批、审核，访问登记制度，时间范围，活动范围（划分安全区域，重要安全区域需要电信人员陪同）等；l 根据维护人员的岗位职责，制定相应的安全管理考核标准；l 对相关人员定期进行安全意识和技能的培训，根据实际情况灵活应用各种培训手段（如远程网络视频、培训PPT、各种宣传资料或现场技能培训等；安全管理人员根据岗位和工作职责向主管部门提出相应的培训需求等。2.2.4 资产管理检查目标：检查是否有资产相关安全管理制度及落实到实处。检查方法：1. 查阅相关安全管理办法；2. 通过对场地的视察、人员访谈了解资产安全管理情况。主要检查项l 是否有明确的资产安全管理制度及细则；l 是否有资产清单与标识，对资产的增加、转移、销毁是否有相应的管理制度；l 对资产安全是否落实的实处。整改措施l 明确资产管理制度，落实管理责任人，对资产的增加、转移、销户制定详细的操作流程及制度；l 特别是对于业务平台重要数据的存储（如硬盘、磁带等）故障件更换过程等做好安全措施（如数据销毁等），以免安全数据泄漏。2.2.5 安全评估检查目标：是否引入安全评估机制，并定期组织对业务平台进行安全评估及评测。检查方法：1. 查阅安全规章制度，是否有安全评估相关内容；2. 检查相关安全评估记录及整改措施。主要检查项l 是否定期组织对业务平台进行安全评估，按计划进行第三方安全评估与审核；l 是否对风险进行控制、加固、转移，接受标准。整改措施l 在安全维护管理办法中，明确安全评估机制、评估范围、评估方式，评估组织等要素，定期对业务平台进行安全评估，有条件的可以采取第三方进行安全评估与审核；l 对安全评估发现的安全隐患进行风险控制、加固、转移及接收标准的相关策略。2.2.6 操作维护安全检查目标：检查业务平台日常维护操作是否有明确的安全管理规定，是否落实到日常工作中。检查方法：1. 查阅安全管理规章制度；2. 查阅相关安全操作维护记录；3. 对操作维护人员进行访谈；4. 检查操作维护区域。主要检查项l 业务平台操作维护人员登录账号是否有安全管理；l 业务平台操作账户是否分权分域；l 业务平台配置信息是否有安全管理规章制度；l 业务平台用户数据信息是否有安全管理规章制度；l 业务平台维护网段与业务网段是否分离；l 操作维护终端是否存在安全隐患；l 是否使用独立的操作维护终端；l 远程接入是否安全，是否使用SSL/IPSec加密；l 远程接入是否通过堡垒主机跳转；l 登录账号是否分权分域；l 账号是否专人专用且定期更新密码；l 是否使用弱口令；l 业务版本升级过程中，是否一人操作，一人审核；l 是否定期对业务配置信息进行备份；l 是否定期对业务用户数据进行安全备份；l 关键用户数据信息是否加密措施。整改措施l 在管理规范中明确账户及口令等管理要求，各级维护人员严格遵照执行，内容至少包括：账户管理制度及流程（账户分级、账户申请、审批、系统管理员开通、账户变更、账户回收等），以及对第三方人员使用账户的管理；口令管理（口令组成规则、避免弱口令、口令定期修改、口令重复限制、口令回收、口令保存形式、口令变更等）；l 在管理办法中明确对各级人员的操作账户的权限管理进行严格管理，坚持权限最小化的原则进行账户分配，明确各级账户的权限申请、审批、权限操作范围等相关要求；l 制定业务平台数据配置的相关安全管理规章制度；l 制定业务平台用户数据相关的安全管理规章制度；l 严格划分操作维护区和业务区的网段；l 加强操作维护终端的安全管理及漏洞检查；l 使用专用的操作维护终端；l 远程接入使用SSL/IPSec加密；l 设置安全堡垒主机；l 原则上各操作维护账号使用最小权限；l 加强账号的管理策略，账号申请、审批、注销等严格按照安全管理相关流程执行；l 禁止使用弱口令，加强操作账户和口令的管理；l 制定业务升级管理相关制度，加强对业务配置数据的安全管理；l 定期对业务配置数据进行备份；l 定期对用户数据进行备份；l 完善业务软件的关键数据加密措施。2.2.7 用户隐私安全检查目标：检查现有安全管理办法中是否明确对用户隐私进行相关的安全防范措施并落实到实际的工作中。检查方法：1. 查阅安全管理规章制度；2. 检查业务平台是否具备保护业务平台相关隐私措施。主要检查项l 业务平台是否存在用户隐私方面的安全隐患；l 是否有保护用户隐私相关的安全管理规章制度。整改措施l 对不同的操作维护人员分配不同级别的操作维护权限，对用户私密数据进行加密等。l 制定防范泄露用户隐私相关的安全管理制度；2.2.8 安全考核检查目标：核查是否有相关的安全考核制度并进行考核检查方法：1. 查阅安全管理规章制度；2. 查阅考核记录。主要检查项l 是否有安全管理的考核制度。整改措施l 对维护单位、维护人员制定安全考核制度（例行检查、安全事故发生情况等）。2.2.9 安全通报检查目标：检查是否有安全事故通报机制及相关流程。检查方法：1. 查阅安全管理相关制度文件；2. 查阅相关安全通报记录。主要检查项l 当出现重大安全故障时是否有明确的安全管理通报机制及相关流程。整改措施l 各级主管部门负责本部门人员对安全管理办法的具体落实，对违反安全管理策略的行为要及时指正，对严重违反者要立即上报；l 上级主管部门定期对安全管理办法的执行情况进行检查，对违反管理规定的情况要通报批评，对严重违反规定，可能或已经造成重大安全事故的要立即向上级汇报。2.2.10 安全检查检查目标：检查各级维护单位是否有定期对业务平台进行安全检查。检查方法：1. 查阅相关管理制度是否有明确相关细则；2. 查阅安全检查记录。主要检查项l 是否对业务平台稳定性进行安全检查（含网络设备、主机、容灾备份等）；l 是否经常对业务平台进行应用层面的安全检查；l 是否引进第三方专业机构或者安全专家定期检查。整改措施l 在日常安全工作计划中明确并落实业务平台各方面的安全检查（包括网络、主机、容灾备份等方面）；l 在日常安全工作计划中明确并落实业务平台应用层面的相关安全检查项目、检查内容、检查频度等；l 有条件的可借助第三方专业机构定期对业务平台进行安全检查。2.2.11 安全作业计划检查目标：检查是否有相关安全作业计划并落实执行。检查方法：1. 查阅安全管理规章制度；2. 查阅安全作业计划执行记录。主要检查项l 是否对业务平台制定详细的维护安全作业计划；l 是否定期执行安全维护作业计划。整改措施l 要求根据业务平台实际情况制定切实可行的安全维护作业计划，安全维护内容至少要包括：网络、主机、应用、IT等相关内容；l 各级主管部门随机对业务平台安全维护责任单位进行检查，安全维护责任单位及时向上级部门汇报执行情况。2.2.12 安全文档、记录管理检查目标：检查是否有相关管理规章制度并落实执行。检查方法：1. 查阅安全管理规章制度；2. 查阅相关安全记录。主要检查项l 是否有文档、记录管理制度，是否有涉密文档记录的销毁、转移、重用管理流程。整改措施l 加强对安全管理相关文档、记录的管理，严格执行安全管理办法中规定的各种流程并保存详细的工作记录（如账户申请、变更、外部人员出入审核等）；制定涉密文档记录的销毁、转移、重用等的管理制度及相关流程。2.2.13 主机备份系统配置 检查目标：检查主机备份系统紧急情况下是否达到容灾目的。 检查方法：进行主备倒换测试（有条件的省），验证主备机是否能正常切换、切换后业务系统能否正常使用。主要检查项目：1、备机的业务数据配置是否和主机一致；2、进行主备切换测试；3、切换后业务系统是否正常使用。整改措施：1、完善主备机相关数据配置确保一致；2、定期进行主备切换测试验证主备容灾机制是否发挥作用。 2.2.14 远程维护管控措施 检查目标： 1、针对开放给局方维护人员、厂家维护人员、第三方维护人员等远程接入方式的维护手段是否有相应的管控措施； 2、是否有专门针对第三方维护的业务平台制定相关安全管控措施； 3、是否针对个人用户信息安全制定相关的管理措施。检查方法： 1、查看。主要检查项目： 1、查阅相关安全管理规章制度； 2、查询远程接入相关设备； 3、核查存放有用户个人信息的业务平台，是否存在用户信息泄露等方面的安全隐患。整改措施： 1、制定相关管理制度； 2、有条件的组织厂家对业务平台用户数据信息加密。2.2.15 业务容灾检查目标：检查业务层面、网络层面等是否有容灾措施/应急方案等；检查方法：检查相关方案及容灾措施；主要检查项目： 1、检查是否有业务层面容灾措施； 2、检查是否有业务层面应急预案，是否可行； 3、检查业务平台设计是否有异地容灾节点（酌情考虑）； 4、检查是否定期对容灾演练方案进行演练及修订方案； 5、是否有明确的容灾预案启动条件； 6、业务异常情况下是否有可操作的疏通方案。整改措施： 1、加强并落实业务层面、网络层面可操作的容灾措施； 2、制定相关业务应急预案； 3、加强应急预案的演练并及时修订。第3章 网络系统安全检查3.1 概述3.1.1 目的全面发现网络系统在安全配置、安全管理、安全防护措施等方面的漏洞和安全隐患。3.1.2 范围n 业务平台自有接入设备（如：防火墙、F5、路由器）以内的网络系统中的网络设备、网络安全设备及链路。如下图所示。3.1.3 方法网络系统的安全检查方法主要通过三种途径进行。分别是工具扫描和手工检查和顾问访谈1. 工具扫描：通过国内外主流的网络层漏洞扫描工具，从外部评估各网络系统的安全漏洞状况。特点是能对被评估目标进行自动化的安全漏洞检查。2. 手工检查：主要通过依照安全检查手册等对各网络系统进行详细的安全检查。特点是能够从安全检查结果中分析网络系统配置和策略方面的弱点3. 顾问访谈：针对业务网络系统架构对管理员进行访谈，充分、清晰地记录访谈内容，最后对系统网络架构的规范性，可靠性进行全面检查评估。3.2 检查内容3.2.1 网络架构安全检查检查目标： 网络结构检查安全域划分是否合理，边界划分是否清晰检测方法：人工检查、访谈l加固措施：根据业务系统安全等级或网络分区情况合理划分安全域和边界。注：安全域划分：1、可以参照等级保护划分原则2、按照设备及其业务类型划分注：业务平台可以划分为：核心生产区、内部互联区、互联网接口区、核心交换区核心生产区：本区域仅和该业务系统其它安全子域直接互联，不与任何外部网络直接互联。该业务系统中资产价值最高的设备位于本区域，如服务器群、数据库以及重要存储设备，外部不能通过互联网直接访问该区域内设备。内部互联接口区：本区域放置的设备和公司内部网络，如IP专网等连接，具体包括与支撑系统、其它业务系统或可信任的第三方互联的设备，如网管采集设备。互联网接口区：本区域和互联网直接连接，主要放置互联网直接访问的设备。如业务系统门户（Portal）。该区域的设备具备实现互联网与内部核心生产区数据的转接作用。核心交换区：负责连接核心生产区、内部互联接口区和外部互联接口区等安全域 边界访问控制检查是否部署了合理网络边界访问控制（包括内外网络间及内网子网间的访问控制）检测方法：主要使用漏洞扫描工具（例如Nessus或X-Scan等,前者为收费软件，后者为免费软件，使用漏扫主要是来检查是否可以从本网段直接探测获取其它网段及安全域的漏洞信息），配合手工方式进行检测。加固措施：强化边界访问控制机制，增加访问控制配置。如在防火墙上配置对常见病毒和攻击端口的ACL过滤控制策略，防止发生病毒或者蠕虫扩散，影响核心设备正常工作。 网络协议安全检查是否选用了高效，可靠的路由协议，是否对路由协议启用加密认证机制，如OSPF,BGP加密认证检查方法：主要使用漏洞扫描工具和人工检查的方法，对路由协议的版本和状况进行检查。加固措施：采用可靠的路由协议，启用加密认证。 网络设备冗余检查重要业务平台关键网络设备是否有冗余机制；如双出口路由器是否使用HSRP热备机制，双防火墙是启用failover机制、重要板卡链路冗余备份等。检查方法：人工检查路由器和防火墙策略设置。加固措施：如果具备热备条件，应启用热备策略。 异常流量监控（可选）检查是否部署异常流量的监测及隐患排除手段，如布署抗拒绝服务系统防止DDOS攻击检查方法：人工核实时候部署抗异常流量监控和DDOS措施，有条件的采用SYN FLOOD、ACK FLOOD发生器人工模拟DDOS攻击，检验系统是否能够检测甄别、告警、防御响应的攻击。加固措施：启动系统IPS的防SYN FLOOD功能，酌情部署专业的流量监控和抗DDOS防护措施。 网络审计（可选）检查是否部署网络审计系统。如对设备日志、网页内容 、邮件内容、IM&P2P进行全方位审计。检查方法：访谈和现场查看加固措施：酌情部署网络和数据审计措施，对网页内容、邮件内容等敏感信息进行审计。3.2.1 网络设备检查检查目标：路由、交换设备： 检测口令安全对设备提供的管理方式如web、telnet、ssh、snmp、tftp、ftp等进行弱口令检测检查方法：使用 telnet、ssh 等客户端工具连接网络设备手工测试或使用NC等工具进行密码的远程暴力猜解。加固措施：健壮账号口令。（注：要求包含至少6位） 设备及服务配置方面的问题检测设备所提供的管理方式自身漏洞以及配置漏洞，如ssh服务漏洞、snmp配置(snmp community字串允许写操作)、tftp配置问题(开放tftp服务并允许匿名下载配置文件)检查方法：使用漏洞扫描器（例如Nessus或X-Scan等,前者为收费软件，后者为免费软件）工具，结合手工测试(针对重点关注的漏洞再次进行人工扫描确认)。加固措施：已公布安全漏洞的IOS版本必须升级及更新补丁。 设备IOS版本存在的安全问题检查是否安全最新的补丁及时更新（注：在保证业务及网络安全的前提下，经过实验室测试后）；检查方法：主要使用漏洞扫描工具和人工检查的方法，对已公布安全漏洞IOS的版本使用情况进行检查。加固措施：更新至安全的IOS版本。 ACL配置问题检测设备中配置的ACL是否有缺陷以及冲突。检查方法人工检查配合与运维人员访谈的方式加固措施确保ACL规则的合理性和有效性等。（注：要求不同安全域间必须设置ACL隔离） 开放端口测试检查网络设备是否开放不需要的网络服务。如：IP源路由Directed Broadcast服务Finger服务Http服务bootp服务DNS服务CDP服务ICMP重定向检查方法：端口扫描器（例如nmap等）进行扫描。加固措施：在保证业务及网络安全的前提下，禁用不必要的网络服务。同时，完善管理手段，记录打开、关闭端口的责任人。 Banner 信息测试检查网络服务的 Banner 信息是否可以被攻击者利用。检查方法：使用 nmap、telnet等手段获取Banner 信息。加固措施：默认关闭3.2.2 安全设备安全检查检查对象：防火墙： 口令安全检测安全防护设备所提供的管理方式如web、telnet、ssh、snmp、ftp等进行弱口令检测检查方法：使用 telnet、ssh 等客户端工具连接网络设备手工测试或使用NC等工具进行密码的远程暴力猜解。加固措施：健壮账号口令。（注：要求包含至少6位） 安全防护设备策略缺陷检测防火墙是否阻止源路由、IP分片等绕过防火墙的方法，是否对设置登录起用了认证授权机制，如AAA认证，是否对设备访问的登录地址进行了限制，是否删除了无关账号，设置了审计员，操作员，超级管理员权限分离机制。检查方法：访谈、人工检查加固措施：经过测试，确认对业务及网络安全没有影响的前提下，启用AAA授权认证机制、管理权限分离、对登录地址进行限制等相关的安全策略。第4章 主机系统安全检查4.1 概述4.1.1 目的全面发现信息系统主机操作系统和数据库系统在安全配置、安全管理、安全防护措施等方面的漏洞和安全隐患。4.1.2 范围n 承载业务系统的服务器、主机及数据库；n 能够直接管理业务系统的内网专用维护终端主机，包括：程序维护、备份存储、监控等终端主机。4.1.3 方法主机系统的安全检查方法主要通过两种途径进行。分别是工具扫描和人工检查。1. 工具扫描：通过国内外主流的主机漏洞扫描工具，从外部评估各主机系统的安全漏洞状况。特点是能对被评估目标进行自动化的安全漏洞检查。2. 人工检查：主要通过安全检查手册对各主机系统进行详细的安全检查。特点是可参照国际/国内标准的最佳实践，能够从安全配置、安全管理等方面更加全面的反映出目前存在的安全隐患和安全状况。4.2 检查内容4.2.1 操作系统检查 操作系统安全漏洞工具扫描检查内容：扫描主机操作系统可能存在的安全漏洞检查方法：1. 部署漏洞扫描工具（如nessus、X-scan等，前者为收费软件，后者为免费软件）2. 执行扫描3. 记录扫描结果扫描原则：l 先对备份机器进行扫描，确认没有任何问题后再对其他业务系统进行扫描l 扫描过程中，利用Ping对主机进行测试，观察主机的响应扫描范围：扫描涉及以下主流操作系统：l Windows系统扫描l UNIX类系统扫描l Linux类系统扫描具体的扫描内容如下，根据实际情况选择： 开放端口测试检查目的检查操作系统是否开放不需要的网络服务。（此项检测在下面的人工检测中仍会进行，两方式相辅相成）检查方法使用端口扫描器（例如nmap等）进行扫描。加固措施经过测试，确认对业务及设备安全没有影响的前提下，禁用不必要的服务，或者通过主机访问控制策略限制对外开放的端口。 版本信息测试检查目的检查操作系统的版本和补丁更新情况。检查方法使用扫描工具（例如Nessus或X-Scan等，前都为收费软件，后者为免费软件），配合手工检查。（在本文下面的系统层手工检测部分）加固措施经过测试，确认对业务及设备安全没有影响的前提下，及时更新OS版本和补丁。 弱口令测试检查目的检查操作系统是否存在常见的弱口令。检查方法手工登录操作系统测试或者使用NC 等工具进行密码的远程暴力猜解。（弱口令字在下面的手工检测中仍会提到）加固措施为所有系统账号设置健壮口令（一般应至少6位字母数字符号以上）。 通用漏洞测试检查目的检查操作系统是否包含已知、可利用的安全漏洞。(注：在保证业务及主机安全的前提下，进行测试)检查方法使用漏洞扫描器（例如Nessus或X-Scan等，前都为收费软件，后者为免费软件）工具，结合手工测试。加固措施经过测试，确认对业务及设备安全没有影响的前提下，更新系统补丁。 Windows系统人工检查.1 系统补丁检查目标：操作系统安全补丁的安装状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 系统是否是厂商支持的版本l 系统已经安装了最新的安全补丁（注：在保证业务及网络安全的前提下，经过实验室测试后）加固措施在不影响系统稳定运行的前提下，更新使用最新版本的操作系统补丁。.2 密码策略检查目标：操作系统密码策略的配置状况检查方法：3. 通过checklist人工检查4. 记录检查结果主要检查项l 密码复杂度： 数字字符特殊字符混合l 密码最小长度： 6位l 密码最长使用期限：90天l 强制密码历史：不能与前三次密码重复加固措施根据上述要求增加密码的复杂度，定期更新密码，做好密码管理工作。.3 账号和审计策略检查目标：操作系统账号和审计策略的配置状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 账号启用状况l 账号锁定策略（时间、阈值、复位计数器）l 审核策略（审核对象、过程跟踪、审核目录、权限提升、账户登陆、账户管理（添加删除账户过程）l 事件查看器必须开启（建议日志存储空间根据硬盘存储空间合理设置）加固措施启用windows帐号审计策略。.4 注册表（可选项）检查目标：操作系统注册表的安全选项配置状况检查方法：1. 通过checklist人工检查，配合使用专用工具（例如：微软基线安全分析仪MBSA）2. 记录检查结果主要检查项l Dr. Watson crash dumpl 驱动器自动运行l 口令保护l 自动执行系统调试器l 自动登录l 管理员共享l 源路由欺骗保护l 碎片攻击保护l Syn flood 攻击保护加固措施在不影响系统稳定运行的前提下，使用windows注册表安全加固脚本（例如：微软基线安全分析仪MBSA），对注册表信息进行更新。.5 不必要服务检查目标：操作系统不必要服务端口的禁用状况检查方法：1. 首先确认下列检查项没有在业务使用范围之内的需要关闭2. 通过checklist人工检查3. 记录检查结果主要检查项l alertl clipbookl computer browerl internet connection sharingl messengerl remote registry servicel routing and remote accessl telnetl www publishing servicel snmpl ftp加固措施关闭上述不必要的端口。.6 威胁防护检查目标：操作系统中第三方威胁防护软件的安装部署状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 是否安装主机防火墙l 是否安装防病毒软件l 防病毒软件的特征码和检查引擎的更新状况加固措施安装主机防火墙、防病毒软件，开启病毒库自动升级功能。 Unix类系统人工检查.1 系统补丁检查目标：操作系统安全补丁的安装状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 系统已经安装了最新的安全补丁（注：在保证业务及网络安全的前提下，经过实验室测试后）加固措施在不影响系统稳定运行的前提下，更新使用最新版本的操作系统补丁。.2 账户口令检查目标：检查系统多余账户、临时账户及应用程序账户口令状况。检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项 系统是否存在多余账户、临时账户，应用程序是否存在弱口令。加固措施根据上述要求删除多余帐号、临时账户，增加口令的复杂度，定期更新密码，做好密码管理工作。.3 inetd启动的网络服务检查目标：Inetd启动的网络服务的安全配置状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l dtspcl execl echol ntalkl shelll loginl telnetl bootpsl ttdbserver加固措施关闭上述不必要的服务。.4 Daemon服务检查目标：守护进程的安全配置状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l sendmaill nfsl routedl gatedl namedl timedl rwhodl mrouted加固措施关闭上述不必要的服务。.5 文件与目录权限（可选项）检查目标：文件与目录权限的安全配置状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 是否存在未设置的sticky位，任何人可写的目录l 是否存在owner或group不存在的文件l 是否存在未授权的root用户的suid或sgid程序加固措施清除可疑文件，增加文件权限控制。.6 系统访问控制检查目标：系统访问、认证、授权的安全配置状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 是否存在root权限用户远程登录（须使用一般用户用户名登录之后转换成root用户登录）l 是否存在不合理的信任关系l 检查是否有非法的cron任务l 建议使用ssh2方式登录l 是否设置登陆超时策略加固措施禁止ROOT帐号远程登录、禁止使用telnet远程登录方式，统一使用SSH2登录，设置登录超时策略。.7 账户策略检查目标：系统账户和密码的安全配置状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 定义密码策略（minlen、maxage、minage、pwdwarntime）l 是否存在其他root权限账户加固措施根据上述要求增加密码的复杂度，定期更新密码，做好密码管理工作。.8 日志启用状况检查检查目标：系统syslog日志功能是否正常检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 检查syslog日志启动情况是否正常加固措施启动syslog日志。（注：在保证业务和系统安全的前提下） Linux类系统人工检查.1 系统补丁检查目标：操作系统安全补丁的安装状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 系统已经安装了最新的安全补丁l 系统是否是厂商支持的版本l 系统的内核系统是否存在本地缓冲区溢出漏洞加固措施在不影响系统稳定运行的前提下，更新使用最新版本的操作系统补丁。.2 xinetd启动的网络服务检查目标：xinetd启动的网络服务的安全配置状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l cups-lpdl fingerl rexecl rloginl rshl rsyncl telnetl talk/ntalkl tftp加固措施关闭上述不必要的服务。.3 文件与目录权限（可选项）检查目标：文件与目录权限的安全配置状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 是否存在未授权的root用户的suid或sgid程序l 移动介质的nosuid挂载l /tmp和/var/tmp目录的粘滞位加固措施清除可疑文件，增加文件权限控制。.4 系统访问控制检查目标：系统访问、认证、授权的安全配置状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 是否存在root权限用户远程登录（须使用一般用户用户名登录之后转换成root用户登录）l 是否存在不合理的信任关系l 检查是否有非法的cron任务l 建议使用ssh2方式登录l 是否设置登陆超时策略加固措施加强对操作维护人员的培训及管理，严格避免远程使用ROOT用户登录，取消不合理的信任关系，对非法的CRON任务核对后取消任务，严格要求各级维护人员使用SSH2方式登录。.5 账户策略检查目标：系统账户和密码的安全配置状况检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l 定义密码策略（minlen、maxage、minage、pwdwarntime）l 是否存在其他root权限账户加固措施根据上述要求增加密码的复杂度，定期更新密码，做好密码管理工作。.6 不必要服务检查目标：检查相关的服务是否存在或为off状态检查方法：1. 通过checklist人工检查2. 记录检查结果主要检查项l sendmaill xfsl apmdl cannal freewnnl gpml inndl irda加固措施关闭上述不必要的服务。4.2.2 数据库检查 数据库系统安全漏洞工具扫描检查目标：扫描主机数据库系统可能存在的安全漏洞检查方法：1. 部署扫描工具（如Nessus或X-Scan等，前都为收费