安全加固解决方案

1.1 安全加固解决方案1.1.1 安全加固范围及方法确定加固的范围是陕西电视台全台网中的主机系统和网络设备，以及相关的数据库系统。主要有：服务器加固。主要包括对windows 服务器和 unix 服务器的评估加固，其中还包括对服务器操作系统层面的评估和数据库层面的评估加固。网络设备加固。主要包括对防火墙，交换机的评估加固。安全加固服务主要以人工的方式实现。1.1.2 安全加固流程图 错误！文档中没有指定样式的文字。-1 安全加固流程图检查当前设备确定系统漏洞重新启动主机确定实施方法更改系统配置版本升级按 方 案 实施加固步骤下载最新补丁软件重新启动系统观察系统运行图 错误！文档中没有指定样式的文字。-2 系统加固实施流程图21.1.3 安全加固步骤1. 准备工作一人操作，一人记录，尽量防止可能出现的误操作。2. 收集系统信息加固之前收集所有的系统信息和用户服务需求，收集所有应用和服务软件信息，做好加固前预备工作。3. 做好备份工作系统加固之前， 先对系统做完全备份。 加固过程可能存在任何不可遇见的风险，当加固失败时，可以恢复到加固前状态。4. 加固系统按照系统加固核对表，逐项按顺序执行操作。5. 复查配置对加固后的系统，全部复查一次所作加固内容，确保正确无误。6. 应急恢复当出现不可预料的后果时， 首先使用备份恢复系统提供服务，同时与安全专家小组取得联系，寻求帮助，解决问题1.1.4 安全加固内容表错误！文档中没有指定样式的文字。-1 安全加固内容说明表加固对象操作系统加固项目说明unix 系 统及 类 unix 系统solaris，hp-ux，aix ， linux， freebsd， openbsd ， sco补丁文件系统配置文件帐号管理网络及服务nfs 系统从厂家网站或者可信任站点下载系统的补丁包，不同的操作系统版本以及运行不同的服务，都可能造成需要安装的补丁包不同，所以必须选择适合本机的补丁包安装。 视机器配置而定 unix 文件系统的权限配置项目繁多， 要求也很严格， 不适当的配置可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。 有 30 项左右配置unix 配置文件功能有点类似微软的注册表， unix对操作系统配置基本上都是通过各种配置文件来完 成，不合理的配置文件可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。例如：/etc/inittab文件是系统加载时首先自动执行的文件，/etc/hosts 。equiv 是限制主机信任关系的文件等。有20 项左右配置 帐号口令是从网络访问unix系统的基本认证方式， 很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配置策略(例如：密码长度，更换时间，帐号所在组，帐号锁定等多方面)。有些系统可以配置使用更强的加密算法。有 10 项左右配置 unix有很多缺省打开的服务，这些服务都可能泄露本机信息，或存在未被发现的安全漏洞，关闭不必要的服务，能尽量降低被入侵的可能性。例如r 系列服务和 rpc 的 rstatd 都出过不止一次远程安全漏洞。unix 缺省的网络配置参数也不尽合理，例如 tcp 序列号随机强度，对 d 。o。s 攻击的抵抗能力等，合理配置网络参数，能优化操作系统性能，提高安全性。视机器配置而定 30 项网络文件系统协议最早是sun 公司开发出来的， 以实现文件系统共享。nfs 使用 rpc 服务， 其验证方式存在缺陷， nfs 服务的缺省配置也很不安全，如果必须使用 nfs 系统，一定进行安全的配置。视操作系统而定应用软件审计，日志其它我们建议操作系统安装最小软件包，例如不安装开发包，不安装不必要的库，不安装编绎器等，但很多情况下必须安装一些软件包。apache或 netscape enterprise server是一般 unix首选的 web 服务器，其配置本身就是一项独立的服务邮件和域名服务等都需要进行合理的配置。做好系统的审计和日志工作，对于事后取证追查，帮助发现问题，都能提供很多必要信息。例如，打开帐号审计功能，记录所有用户执行过的命令。例如实现日志集中管理，避免被入侵主机日志被删除等。 视机器配置而定 不同的 unix 系统有一些特别的安全配置， 例如 solaris 有 aset ，hp 的高级别安全， freebsd 的 jail 等。 视机器配置而定 微 软 操 作系统nt4.0/w2k(workstation， server ，professional，advanced server )最后工作建议用户做系统完全备份，并对关键部份做数字签名。 补丁微软操作系统对新发现的漏洞修补是使用service pack及 hotfix ，另外，还需要安装c2 级安全配置。 视机器配置而定文件系统配置 ntfs 文件系统， ntfs 可以支持更多更强大的的安全配置，设置需要特殊保护的目录和文件，设置 不同目录和文件的权限，移动或删除特别的系统命令 文件，增加入侵者操作的难度。有 20 项左右配置 帐号管理帐号口令是从网络访问nt/2k系统的基本认证方式， 很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配置策略(例如：密码长度， 更换时间，帐号所在组，帐号可访问资源，帐号锁定等 多 方 面 ) ， guest帐 号 以 及 加 强 的 密 码 管 理(syskey)等。 有 10 项左右配置 网络及服务网络和服务是互联网上用户与此服务器接口的部分， 网络协议的配置不当，服务进程设置不当，都可能为入侵系统打开方便之门。合理地配置网络及服务将能阻挡 80%的普通入侵 视机器配置而定 注册表 微软操作系统缺省的安装是为了能兼容各种运行环境，因此很多权限设置都很宽，这不符合 最小权限 的基本原则， 我们需要根据不同的环境， 备份注册表， 再人为地更改注册表内容，配置最小权限的稳定运行的系统。例如：不允许远程注册表配置，设置 lsa 尽量减少远程用户可以获取的信息，设置注册表本身的访问控制， 禁止空连接， 对其它操作系统和posix 的支持，对登录信息的缓存等。也有很多选项需要根据不同用户需求来制定，例如：当安全策略因为某些因素(磁盘满 )而不能运作时， 是否强制系统停止运行。有40 项以上配置 共享 共享是向网络上的用户开放对本机的资源访问权限， 不合理的配置以及系统的缺省共享配置，都可能造成远程用户对系统的文件，打印机等资源的非法访问和操作。我们需要删除不必要的共享，合理配置共享的访问控制列表。 视机器配置而定 应用软件 我们建议安装最小的软件包，不安装不必要的应用软件。但是很多情况应用软件提供不可缺少的服务，这时我们就必须安全地配置它们。ie被微软绑定为操作系统的一部分，ie 的安全直接影响到系统的安全。我们需要升级ie 的版本，安装ie 的补丁，设置ie 的安全级别， 及各项安全相关配置outlook ，powerpoint 及其它等多种软件都可能存在安全问题，需要安装补丁程序。iis 提供 www 的服务，这是一般nt 服务器首选的 web 服务器，但是 iis 本身存在很多安全漏洞，直到现在仍然经常发现新的安全漏洞，iis 的缺省配置，目录设置，权限设置，安全设置等多方面配置不当也是系统安全的巨大隐患。iis 的加固本身就可以成为一项独立的服务内容。视机器配置而定审计，日志做好系统的审计和日志工作，对于事后取证追查，帮 助发现问题，都能提供很多必要信息 视机器配置而定其它其它方面视不同环境而定，例如需要删除多余的系统安装包，安装主机防病毒软件，等多项操作。最后工作重新制作新的系统紧急恢复盘(erd) ，建议用户做系统完全备份，并对关键部份做数字签名。网络设备交换机，路由器，防火墙检查及加固项目会根据不同厂商的设备 而不同，具体内容在加固前将会根据评估的实际情况而定制订或调整完善网络设备安全策略配置登录地址限制配置登录用户身份鉴别配置特权用户权限分离消除共享用户配置口令复杂度与更换要求配置登录失败处理功能配置远程管理采用ssh 等加密方式采购与配置网络设备双因素鉴别设备用户拿到 ios 升级包，在设备厂家工程师现场协助下进行 ios 升级。关闭不必要的服务关闭不使用的网络接口给出重要协议、地址和端口访问控制配置原型snmp， tftp， ntp 等服务建议网络设备的配置文件离线备份，并由专人保管 期进行网络设备用户和口令维护，进行口令强度管理使用、访问权限进行严格限制相应的日志检查，审计和归档安全管理策略1.1.5 满足指标表错误！文档中没有指定样式的文字。-2 安全加固等保符合性说明表1解决方案名称控制类控制点指标名称措施名称改进动作改进对象安全加固解决方案网络安全网络设备防护ab应对登录网络设备的用户进行身份鉴别；应对网络设备的管理员登录地址进行限 制；配置登录用户身份鉴别配置登录地址限制网络设备安全配置与 加 固 网络设备安全配置与加固网络设备网络设备网络设备c 网络设备用户的标识应唯一；主要网络设备应对同消除共享用户采购与配安全配置与加固网络设备d 一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别；身份鉴别信息应具有不易被冒用的特点，e口令应有复杂度要求并定期更换；应具有登录失败处理功能，可采取结束会置网络设备双因素鉴别设备别配置口令网络设备复杂度与更换要求安全配置与加固网络设备配置登录双因素鉴采购部署网络设备安全加固解决主机安访问控f 话、限制非法登录次数和当网络登录连接超时自动退出等措施；当对网络设备进行远程管理时，应采取必g 要措施防止鉴别信息在网络传输过程中被窃听；应实现设备特权用户h的权限分离。应启用访问控制功失败处理功能配置远程管理采用ssh 等加密方式配置特权用户权限分离访问控制安全配置与加固网络设备安全配置与加固网络设备安全配置与 加 固 操作系统网络设备网络设备网络设备操作系统方案全制a能，依据安全策略控策略制用户对资源的访与数据库安全配置与数据库等软件问；与加固应根据管理用户的角色分配权限，实现管b 理用户的权限分离，仅授予管理用户所需的最小权限；应实现操作系统和数c 据库系统特权用户的权限分离；应严格限制默认帐户的访问权限，重命名d 系统默认帐户，修改这些帐户的默认口 令；应及时删除多余的、e 过期的帐户，避免共享帐户的存在。管理用户权限最小化特权用户权限分离限制默认帐户清理帐户操作系统与数据库安全配置与加固操作系统与数据库安全配置与加固操作系统与数据库安全配置与加固操作系统与数据库安全配置操作系统与数据库等软件操作系统与数据库等软件操作系统与数据库等软件与加固重要信息操作系统资源设置采购部署与数据库敏感标记等软件操作系统与数据库等软件f 应对重要信息资源设置敏感标记；入侵防范应依据安全策略严格g 控制用户对有敏感标记重要信息资源的操作；应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源 ip、攻击的类型、a攻击的目的、攻击的时间，并在发生严重入侵事件时提供报 警；应能够对重要程序的完整性进行检测，并b 在检测到完整性受到破坏后具有恢复的措施；操作系统应遵循最小c 安装的原则，仅安装需要的组件和应用程序，并通过设置升级配置敏感信息资源访问策略采购与配置主机入侵检测软件配置主机入侵检测软件的完整性检测和恢复功能主机最小安装操作系统与数据库安全配置与加固采购部署安全产品配置操作系统与数据库安全配置与加固操作系统与数据库等软件主机入侵检测软件主机入侵检测软件操作系统服务器等方式保持系统补丁及时得到更 新。操作系统应遵循最小安装的原则，仅安装需要的组件和应用程c序，并通过设置升级服务器等方式保持系统补丁及时得到更 新。设置补丁服务器采购部署补丁服务器和软件解决方案名称控制类控制点指标名称措施名称改进动作改进对象系统安全加固主机安全剩余信息保护应保证操作系统和数据库系统用户的鉴别信息所在的存储空全清除，无论这些信与加固息是存放在硬盘上还是在内存中；应确保系统内的文件、目录和数据库记操作系统录等资源所在的存储存储空间与数据库操作系统空间，被释放或重新清除安全配置和数据库分配给其他用户前得与加固到完全清除。a间，被释放或再分配给其他用户前得到完鉴别信息存储空间清除操作系统与数据库安全配置操作系统和数据库b资源控制a应通过设定终端接入方式、网络地址范围等条件限制终端登主机安全配置与加固操作系统与数据库安全配置与加固操作系 统与数据库安全配置与加固操作系统操作系统录；b应根据安全策略设置登录终端的操作超时主机安全配置与加锁定；固应对重要服务器进行采购部署监视，包括监视服务网管监控c器的 cpu、硬盘、内系统，实存、网络等资源的使现重要服用情况；务器监控d应限制单个用户对系统资源的最大或最小主机安全配置与加使用限度；固采购部署操作系统与数据库安全配置与加固主机性能管理操作系统应能够对系统的服务e水平降低到预先规定的最小值进行检测和报警。配置网管系统的监控 与 报 警，实现服务水平监控主机性能产品配置管理解决方案名称控制类控制点指标名称措施名称改进动作改进对象安全加固解决方案应用安全访问控制abcdef应提供访问控制功 能，依据安全策略控制用户对文件、数据库表等客体的访问； 访问控制的覆盖范围应包括与资源访问相关的主体、客体及它们之间的操作；应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限；应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。应具有对重要信息资源设置敏感标记的功能；应依据安全策略严格控制用户对有敏感标记重要信息资源的操访问控制功能访问控制主体、客体及操作要求配置访问控制策略最小权限与制约设置敏感标记的功能控制敏感重要信息资源操作应用软件安全开发与改造应用软件安全开发与改造应用软件安全开发与改造应用软件安全开发与改造应用软件安全开发与改造作；剩余信息保护应保证用户鉴别信息所在的存储空间被释a放或再分配给其他用户前得到完全清除， 无论这些信息是存放鉴别信息存储空间清除应用软件安全开发与改造业务系统在硬盘上还是在内存中；应保证系统内的文应用软件安全开发与改造业务系统业务系统业务系统业务系统业务系统业务系统件、目录和数据库记录等资源所在的存储b空间被释放或重新分配给其他用户前得到完全清除。存储空间清除应用软件安全开发与改造业务系统抗抵赖软件容错应具有在请求的情况a下为数据原发者或接收者提供数据原发证据的功能；