安全加固解决方案

1、 .1.1 安全加固解决方案1.1.1安全加固范围及方法确定加固的范围是陕西电视台全台网中的主机系统和网络设备，以及相关的数据库系统。主要有：l 服务器加固。主要包括对 windows 服务器和 unix 服务器的评估加固，其中还包括对服务器操作系统层面的评估和数据库层面的评估加固。l 网络设备加固。主要包括对防火墙，交换机的评估加固。l 安全加固服务主要以人工的方式实现。1.1.2安全加固流程word 资料 .图 错误！文档中没有指定样式的文字。-1 安全加固流程图word 资料 .确定系统漏洞重新启动主机确定实施方法版本升级更改系统配置下载最新补丁软件重新启动系统观察系统运行图 错误！文档

2、中没有指定样式的文字。-2 系统加固实施流程图 2安全加固步骤1.1.31. 准备工作一人操作，一人记录，尽量防止可能出现的误操作。2. 收集系统信息加固之前收集所有的系统信息和用户服务需求，收集所有应用和服务软件信息，做好加固前预备工作。3. 做好备份工作系统加固之前，先对系统做完全备份。加固过程可能存在任何不可遇见的风险，当加固失败时，可以恢复到加固前状态。word 资料 .4. 加固系统按照系统加固核对表，逐项按顺序执行操作。5. 复查配置对加固后的系统，全部复查一次所作加固内容，确保正确无误。6. 应急恢复当出现不可预料的后果时，首先使用备份恢复系统提供服务，同时与安全专家小组取得联系

3、，寻求帮助，解决问题word 资料 .安全加固内容1.1.4表错误！文档中没有指定样式的文字。-1 安全加固内容说明表加固对象操作系统加固项目说明unix 系 统 solaris ，及 类 unix hp-ux，aix，从厂家网站或者可信任站点下载系统的补丁包，不同的操作系统版本以及运行不同的服务，都可能造成需要安装的补丁包不同，所以必须选择适合本机的补丁包安装。 视机器配置而定补丁系统linux，unix文件系统的权限配置项目繁多，要求也很严格，不适当的配置可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。有 30项左右配置文件系统unix配置文件功能有点类似微软的注册表，

4、unix对操作系统配置基本上都是通过各种配置文件来完成，不合理的配置文件可能造成用户非法取得操作系统超级配置文件 用户的控制权，从而完全控制操作系统。例如：/etc/inittab 文件是系统加载时首先自动执行的文件，/etc/hosts。equiv 是限制主机信任关系的文件等。 有 20项左右配置帐号口令是从网络访问 unix系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户帐号管理 密码强度，密码的缺省配置策略(例如：密码长度，更换时间，帐号所在组，帐号锁定等多方面)。有些系统可以配置使用更强的加密算法。有 10项左右配置unix有很多缺省打开的服务，这些服务都可能泄露本

5、机信息，或存在未被发现的安全漏洞，关闭不必要的服务，能尽量降低被入侵的可能性。例如 r系列服务网络及服 和 rpc的 rstatd都出过不止一次远程安全漏洞。unix务缺省的网络配置参数也不尽合理，例如 tcp序列号随机强度，对 d。o。s攻击的抵抗能力等，合理配置网络参数，能优化操作系统性能，提高安全性。 视机器配置而定30项网络文件系统协议最早是 sun公司开发出来的，以实现文件系统共享。nfs 使用 rpc 服务，其验证方式存nfs系统 在缺陷，nfs 服务的缺省配置也很不安全，如果必须使用 nfs系统，一定进行安全的配置。 视操作系统而定word 资料 .我们建议操作系统安装最小软件包

6、，例如不安装开发包，不安装不必要的库，不安装编绎器等，但很多情况下必须安装一些软件包。apache 或 netscape应用软件enterprise server是一般 unix首选的 web服务器，其配置本身就是一项独立的服务邮件和域名服务等都需要进行合理的配置。做好系统的审计和日志工作，对于事后取证追查，帮助发现问题，都能提供很多必要信息。例如，打开帐号审计功能，记录所有用户执行过的命令。例如实现日志集中管理，避免被入侵主机日志被删除等。 视机器配置而定审计，日志不同的 unix 系统有一些特别的安全配置，例如solaris有 aset，hp的高级别安全，freebsd的 jail等。 视

7、机器配置而定其它最后工作 建议用户做系统完全备份，并对关键部份做数字签名。微 软 操 作系统nt 4.0 / 补丁微软操作系统对新发现的漏洞修补是使用 servicepack 及 hotfix，w2k另外，还需要安装 c2级安全配置。视机器配置而定文件系统 配置 ntfs 文件系统，ntfs可以支持更多更强大的的安全配置，设置需要特殊保护的目录和文件，设置不同目录和文件的权限，移动或删除特别的系统命令文件，增加入侵者操作的难度。有 20项左右配置帐号管理 帐号口令是从网络访问 nt/2k系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配置策略(例如：密码

8、长度，更换时间，帐号所在组，帐号可访问资源，帐号锁定等多方面)，guest帐号以及加强的密码管理(syskey)等。有 10项左右配置on，l，网络及服 网络和服务是互联网上用户与此服务器接口的部分，务网络协议的配置不当，服务进程设置不当，都可能为入侵系统打开方便之门。合理地配置网络及服务将能阻挡 80%的普通入侵视机器配置而定注册表微软操作系统缺省的安装是为了能兼容各种运行环境，因此很多权限设置都很宽，这不符合最小权限的基本原则，我们需要根据不同的环境，备份注册表，再人为地更改注册表内容，配置最小权限的稳定运行的系统。例如：不允许远程注册表配置，设置lsa尽量减少远程用户可以获取的信息，设置

9、注册表本身的访问控制，禁止空连接，对其它操作系统和 posix的支持，对登录信息的缓存等。也有很多选项需要根据不同用户需求来制定，例如：当安全策略因为某些因素(磁盘满)而不能运作时，是否强制系统停止运行。有 40项以上配置word 资料 .共享共享是向网络上的用户开放对本机的资源访问权限，不合理的配置以及系统的缺省共享配置，都可能造成远程用户对系统的文件，打印机等资源的非法访问和操作。我们需要删除不必要的共享，合理配置共享的访问控制列表。视机器配置而定应用软件 我们建议安装最小的软件包，不安装不必要的应用软件。但是很多情况应用软件提供不可缺少的服务，这时我们就必须安全地配置它们。 ie 被微软

10、绑定为操作系统的一部分，ie的安全直接影响到系统的安全。我们需要升级 ie 的版本，安装 ie 的补丁，设置 ie的 安 全 级 别 ， 及 各 项 安 全 相 关 配 置 outlook，powerpoint及其它等多种软件都可能存在安全问题，需要安装补丁程序。 iis提供 www的服务，这是一般nt服务器首选的 web服务器，但是 iis本身存在很多安全漏洞，直到现在仍然经常发现新的安全漏洞，iis的缺省配置，目录设置，权限设置，安全设置等多方面配置不当也是系统安全的巨大隐患。iis 的加固本身就可以成为一项独立的服务内容。 视机器配置而定审计，日 做好系统的审计和日志工作，对于事后取证追

11、查，帮志助发现问题，都能提供很多必要信息 视机器配置而定其它其它方面视不同环境而定，例如需要删除多余的系统安装包，安装主机防病毒软件，等多项操作。最后工作 重新制作新的系统紧急恢复盘(erd)，建议用户做系统完全备份，并对关键部份做数字签名。交换机，路由 检查及加 制订或调整完善网络设备安全策略器，防火墙 固项目会根据不同厂商的设消除共享用户同，具体配置口令复杂度与更换要求配置登录失败处理功能内容在加固前将会配置远程管理采用 ssh等加密方式采购与配置网络设备双因素鉴别设备用户拿到 ios升级包，在设备厂家工程师现场协助下进行 ios升级。根据评估的实际情况而定关闭不必要的服务关闭不使用的网络

12、接口给出重要协议、地址和端口访问控制配置原型snmp，tftp，ntp等服务建议网络设备的配置文件离线备份，并由专人保管word 资料 .期进行网络设备用户和口令维护，进行口令强度管理使用、访问权限进行严格限制相应的日志检查，审计和归档安全管理策略满足指标1.1.5安全加固等保符合性说明表 1表错误！文档中没有指定样式的文字。-2指标名称措施名称 改进动作 改进对象全网络设备网络设备网络设备鉴别与加固应对网络设备的管理b 员登录地址进行限制；网络设备用户的标识 消除共享应唯一； 用户主要网络设备应对同 采购与配一用户选择两种或两 置网络设种以上组合的鉴别技 备双因素术来进行身份鉴别； 鉴别设备

13、身份鉴别信息应具有双因素鉴别网络设备网络设备g 要措施防止鉴别信息在网络传输过程中被窃听；网络设备网络设备h应启用访问控制功 操作系统能，依据安全策略控 访问控制 与数据库操作系统与数据库等软件方案全a制用户对资源的访问；策略安全配置与加固word 资料 .操作系统与数据库等软件操作系统应实现操作系统和数c 据库系统特权用户的权限分离；操作系统与数据库等软件应严格限制默认帐户的访问权限，重命名d 系统默认帐户，修改这些帐户的默认口令；操作系统与数据库等软件帐户操作系统与数据库等软件操作系统与数据库等软件操作系统与数据库等软件入侵防范为，能够记录入侵的 采购与配源 ip、攻击的类型、 置主机入攻

14、击的目的、攻击的 侵检测软时间，并在发生严重 件入侵事件时提供报主机入侵检测软件a警；配置主机应能够对重要程序的入侵检测主机入侵检测软件b 在检测到完整性受到破坏后具有恢复的措施；能操作系统应遵循最小安装的原则，仅安装需要的组件和应用程c 序，并通过设置升级服务器等方式保持系统补丁及时得到更新。操作系统操作系统应遵循最小安装的原则，仅安装 设置补丁需要的组件和应用程 服务器序，并通过设置升级补丁服务器和软件c采购部署word 资料 .指标名称措施名称 改进动作 改进对象全息保护操作系统和数据库a应确保系统内的文件、目录和数据库记录等资源所在的存储 存储空间 与数据库操作系统操作系统和数据库空间

15、，被释放或重新 清除分配给其他用户前得到完全清除。资源控制应通过设定终端接入操作系统操作系统锁定；固应对重要服务器进行 采购部署监视，包括监视服务 网管监控c 器的 cpu、硬盘、内 系统，实 采购部署主机性能管理存、网络等资源的使 现重要服用情况； 务器监控操作系统使用限度；固应能够对系统的服务 系统的监水平降低到预先规定 控与报的最小值进行检测和 警，实现主机性能管理报警。措施名称 改进动作 改进对象方案全制能，依据安全策略控 访问控制制用户对文件、数据 功能库表等客体的访问；业务系统业务系统访问控制的覆盖范围 访问控制 应用软件b 应包括与资源访问相 主体、客 安全开发关的主体、客体及它

16、 体及操作 与改造word 资料 .们之间的操作；要求应由授权主体配置访问控制策略，并严格 配置访问限制默认帐户的访问 控制策略权限；c业务系统业务系统应授予不同帐户为完成各自承担任务所需最小权限与制约d 的最小权限，并在它们之间形成相互制约的关系。应具有对重要信息资 设置敏感 应用软件e 源设置敏感标记的功 标记的功 安全开发业务系统业务系统能；能与改造f剩余信息保护放或再分配给其他用 鉴别信息 应用软件a 户前得到完全清除， 存储空间 安全开发业务系统业务系统无论这些信息是存放 清除在硬盘上还是在内存中；件、目录和数据库记录等资源所在的存储 存储空间空间被释放或重新分 清除配给其他用户前得

17、到完全清除。b抗抵赖业务系统业务系统收者提供数据原发证 抵赖据的功能；收者提供数据接收证 抵赖据的功能。软件容错验功能，保证通过人 输入有效机接口输入或通过通 性验证，信接口输入的数据格 防止溢出式或长度符合系统设 或注入定要求；a业务系统业务系统应提供自动保护功开发设能，当故障发生时自计自动保应用软件安全开发与改造b 动保护当前所有状态，保证系统能够进行恢复。存状态功能word 资料 .表错误！文档中没有指定样式的文字。-3 安全加固等保符合性说明表 2控制类 控制点指标名称措施名称 改进动作 改进对象安全加固解决方案操作系统和业务系统应能够对系统的最大 配置操作 应用软件b 并发会话连接数进行 系统及业 安全开发操作系统和业务系统限制；务系统与改造应能够对单个帐户的 配置操作 应用软件c 多重并发会话进行限 系统及业 安全开发操作系统和业务系统