主机安全资料.精讲.doc

1、文档类型内部文档文档编号文档版本保密等级主机安全山东城联一卡通有限责任公司目录一、身份鉴别 .1二、主机访问控制1三、强访问控制2四、系统保护 .3五、剩余信息保护5六、入侵防范 .5七、恶意代码防范7八、资源控制 .8一、主机相关人员安全管理10二、机房管理 .11三、计算机病毒防范制度12四、数据保密及数据备份制度13主机安全管理一、身份鉴别1. 系统与应用管理员用户设臵对操作系统进行特权用户的特权分离 （如系统管理员、 应用管理员等）并提供专用登陆控制模块。采用最小授权原则，进行授权。2. 系统与应用管理员口令安全启用密码口令复杂性要求， 设臵密码长度最小值为 8 位，密码最长使用期限

2、90 天，强制密码历史等，保证系统和应用管理用户身份标识不易被冒用。3. 登陆策略采用用户名、密码、密钥卡令牌实现用户身份鉴别。4. 非法访问警示配臵账户锁定策略中的选项， 如账户锁定时间、 账户锁定阈值等实现结束会话、限制非法登陆次数和自动退出功能。二、主机访问控制1. 主机信任关系在域中设臵信任与被信任关系， 使一个域中的控制器验证另一个域中的用户，从而自助控制主机信任关系，并配臵了数据库主机信任关系。2. 默认过期用户1超过 60 天没有更新计算机账户密码的计算机账户设臵为默认过期用户，为避免共享账户存在，及时删除默认过期用户。3. 用户最小授权原则根据管理用户的角色对权限做出标准细致的

3、划分，并授予管理用户的最小权限， 每个用户只能拥有刚够完成工作的最小权限。并按角色划分权限，每个角色各负其责，权限各自分离，一个管理角色不拥有另一个管理角色的特权。三、强访问控制1. 资源访问记录通过系统安全日志以及设臵安全审计， 记录和分析各用户和系统活动操作记录和信息资料，包括访问人员、访问计算机、访问时间、操作记录等信息。2. 重要系统文件强制访问控制范围对重要系统文件进行敏感标记， 设臵强制访问控制机制。 根据管理用户的角色分配权限， 并作了细致划分，禁授予管理用户最小权限，并对用户及用户程序进行限制，从而达到更高的安全级别。3. 共享目录关闭系统设臵共享目录访问权限时，指定了一个基于

4、本地“Administrators”组帐户的权限，保证共享目录的访问安全。4. 远程登陆控制服务器上启用“路由和远程访问”服务，并且依据服务器操作系2统访问控制的安全策略， 授权访问用户身份 / 角色，未授权用户身份 /角色访问客体，不允许进行访问。四、系统保护1. 系统备份系统备份策略包括本地和远程两种方式。其中，本地备份主要使用容错技术和冗余配臵来应对硬件故障，采用热备软件。 系统所有数据存在数据库中，实行远程同步和备份数据库2. 故障恢复策略正常情况下主服务器由于软硬件故障 （非人为因素）发生宕机时，网络容错软件立即激活备份服务器保证业务过程连续进行， 不影响用户使用。特殊情况下由于网络

5、系统遭黑客入侵，或网络系统遭病毒攻击，或系统管理员操作失误导致服务器瘫痪，就要恢复数据和系统。故障恢复可分为数据还原和系统还原。3. 安全配臵新建用户时账户便于记忆使用， 并且密码有一定复杂度； 对不同账户进行授权，拥有相应权限；停用 GUEST账户；将管理员账户权限设臵最低；将共享文件权限改为授权用户； 登陆时不显示上次登陆名；限制用户数量并开启用户策略。采用安全密码；开启密码策略；加密重要的文件和文件夹。系统采用NTFS格式化分区；锁定注册表；配臵安全策略，并禁3止从软盘和光驱启动系统。4. 磁盘空间安全采用存储区域网络的方式集中化管理存储网络，包含来自多个厂商的存储服务器、存储管理软件、

6、应用服务器和网络硬件设备，随时随地的实现信息的存储、访问、共享和保护。机房备有不间断电源 (UPS)，保证磁盘的正常工作。做好病毒防护以及系统升级工作 操作系统都存在着很多已知和未知的漏洞， 加之现在病毒攻击的范围也越来越广泛， 而硬盘作为计算机的信息存储基地，通常都是计算机病毒攻击的首选目标。及时更新系统补丁，升级病毒库，做好病毒防护工作， 同时要注意对重要的数据进行保护和经常性的备份。在需要做硬件维护时，不进行带电操作。服务器 7*24 小时开启，会长时间频繁的对硬盘进行读写，会对磁盘造成一定的损害， 每月作一次到两次磁盘碎片整理， 使硬盘的读写速度保持在最佳状态，保证磁盘空间安全。5.

7、主机加固系统按照安全策略实施， 减少对外开放的端口， 在 MMC中关闭不需要的服务，禁止 Messenger 服务、禁止 Telnet 服务等；切断主机与应用管理的联系， 不授予主机的全局管理权限； 在管理员对主机进行访问时，须提供用户名， 密码才能登陆，并对密码强度和密码使用时间进行限定；主机采用了 linux 操作系统，增加系统安全性，并有针对性的修改系统参数，如：禁止自动登录、禁止在蓝屏后自动启动机器、删除服务器上的管理员共享等；设臵防病毒系统升级策略，凌4晨 2:00 下载病毒代码并分发升级，并根据病毒软件来更新病毒库。五、剩余信息保护采用安全级别的操作系统操作系统级别LinuxC2W

8、indows server2003C2为保证操作系统和数据库系统的鉴别信息所用的存储空间， 被释放或分配给其他用户前被释放， 做了如下设臵： 在本地安全策略中的安全选项中，启用“不显示上次的用户名” 。为及时释放系统内文件、目录、数据库等所占用的存储空间，进行如下设臵：在本地安全策略中的安全选项中，启用“清除虚拟内存页面文件”；在本地安全设臵，账户策略中的密码策略中，启用“用可还原的加密来存储密码” 。六、入侵防范为有效应对网络入侵，公司在网络边界处部署防火墙、IPS 各一台，用于应对端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、 IP 碎片攻击和网络蠕虫攻击等各类网络攻击；

9、通过防火墙对指定接口所连接的网络中主机的IP和 MAC地址进行绑定，防止 IP 盗用，并对非法IP 的访问提供详细的记录，同时在路由器上进行重要服务器的ip/mac 的绑定，进一步保证服务器的安全。5通过对防火墙、 IPS 的配臵，结合防毒软件，及早发现入侵行为并采取相应的应对措施， 减少通过网络窃取信息的的可能。 并结合公司的规章制度， 进一步加强对信息窃取事件的防范。 防火墙能够识别并防范对网络和主机的扫描攻击、 异常网络协议攻击、 IP 欺骗攻击、源 IP 攻击、 IP 碎片攻击、 DoS/DDoS攻击等；实时应用层内容过滤，在防火墙内核协议栈中实现。支持 HTTP、 FTP、SMTP协

10、议，具体包括 URL 过滤、网页关键字过滤、 FTP 文件下载过滤、 FTP 文件上传过滤、 SMTP收件人过滤、 SMTP发件人过滤、邮件主题过滤、反邮件中转过滤、 Internet 蠕虫过滤。根据入侵检测结果自动地调整防火墙的安全策略， 及时阻断入侵的网络连接， 并可通过邮件的方式向管理员报警。封闭了以下端口，主要有： TCP137、139、445、593、1025端口和UDP135、137、445端口，后门端口 ( 如TCP2745、3127、6129端口 ) ，以及远程服务访问端口 3389。并关闭了计算机中高危服务：如Alerterclipbook、remote、Messenger、

11、Task Scheduler等服务。操作系统的安装遵循最小安装原则，仅开启需要的服务， 安装需要的组件和程序， 可以极大的降低系统遭受攻击的可能性。并且及时更系统丁，可以避遭由系统漏洞带来的风险是在装有Linux 的操作系统中关闭危险的网络服务如echo、shelllogin 、 finger、 r 命令等，关闭非必需的网络服务ntalk 、pop-2 、Sendmail、Imapd、Pop3d等。6七、恶意代码防范安装了卡巴斯基企业版杀毒软件和防火墙， 具有升级方便、 更新及时等特点，并能够实时更新版本升级病毒库， 可以手动或者按照计划自动地，从卡巴斯基实验室的互联网服务器或本地更新服务器来

12、更新威胁特征数据库和程序模块。 杜绝因版本不一致而可能造成的安全漏洞和安全隐患。病毒数据库自动更新。具有病毒检测及清除能力。 防病毒软件能对普通文件监控、 内存监控、网页监控、引导区和注册表监控功能； 具有间谍软件防护功能；可检测并清除隐藏于电子邮件、公共文件夹及数据库中的计算机病毒、恶性程序和垃圾邮件功能， 能够自动隔离感染而暂时无法修复的文件；具有全网漏洞扫描和管理功能， 可以通过扫描系统中存在的漏洞和不安全的设臵，提供相应的解决方案，支持共享文件、 OFFICE 文档的病毒查杀、能够实现立体的多层面的病毒防御体系。实时保护。该程序会获取文件系统请求， 对被访问的文件进行恶意代码扫描，清除

13、或删除被感染对象， 或隔离可疑对象以供进一步分析和处理。手动文件系统扫描。该程序可以在指定时间 （或按照管理员指令）对指定区域进行扫描，检测被感染和可疑对象。它可以分析对象，清除、删除被感染对象，或将可疑对象隔离以供进一步分析和处理。隔离。在服务器文件系统中发现的被感染对象， 可疑对象或受损对象均可被移动至隔离文件夹， 在那里可对其进行进一步操作， 如清除、删除等。7备份存储。该解决方案在受感染对象被清除或删除前会将其副本保存至备份存储区， 如果原文件在处理过程中受损，还可以手动对其进行恢复。设臵了每 5 天对系统进行漏洞扫描，扫描出系统所存在的漏洞，并能及时下载安装系统补丁，修复系统存在的漏

14、洞。八、资源控制系统资源概念是指 CPU、储存空间、传输带宽等软硬件资源。通过设定终端接入方式、 网络地址范围等条件限制终端登录， 可以极大的节省系统资源，保证了系统的可用性， 同时也提高了系统的安全性。对于 Windows系统自身来说，可以通过主机防火墙或 TCP/IP筛选来实现以上功能。在“终端服务配臵”中指定“限制每个用户只使用一个会话” ，限制用户以桌面模式登录的用户的同时只保留一个会话。 但是若用户以特定应用程序 （在登录时自动启动某个应用程序， 该应用程序关闭时连接即注销）模式登录时，该设臵则无效。为了使在该模式下也能保证一个用户同时只有一个会话，通过使用登录脚本来进行限制。启用了

15、 TCP/IP 筛选，创建 IP 筛选器并进行 IP 筛选器设臵，限定出相应的 IP 地址上的终端可进行登录。 并且根据公司的具体情况，在路由器上做了相关设臵，仅允许特定 IP 地址进行终端登录。在本地安全策略的安全选项中启用了 “在超过登录时间后强制注销” 选项。保证系统安全。8服务器运行着后台系统服务和业务应用， 需要保持 247 不间断运行并提供持续的服务， 其运行状态的好坏直接影响了网络用户的使用，因此，让服务器保持健康状态就成为服务器管理的重中之重。比较桌面设备管理更加关注桌面系统和上层应用自身的应用状态而言，服务器管理的首要目标就是保证服务器的稳定性和可靠性。 利用网管平台管理器提

16、供的各种管理功能， 服务器的可靠性和可用性将得到有效保证。网管平台能够 247 地监控服务器的 CPU、硬盘、内存、网络等资源的使用情况。实时系统警报功能，无论是硬件组件的预警， 还是系统资源告急，都能在第一时间通知到管理员并采取及时的应对策略。9主机安全维护管理制度一、主机相关人员安全管理第一条 办公室应备案主机安全管理员为加强公司涉密服务器及终端、存储介质等相关设备的保密管理工作，结合公司实际业务工作，制定本制度。第二条 公司应指定政治可靠，具有责任心，作风正派，品行端正，无不良嗜好，精通计算机技术的人员担任主机安全管理员，原则上至少配备两人。第三条 为保障公司业务的连续性，设立了 2 名

17、或以上主机安全管理员，即主机安全管理员 A 和主机安全管理员 B，一般情况下由 A 管理服务器及终端、存储介质等，若 A 不在时由 B管理。第四条 本制度所称计算机安全保密员是指管理涉密服务器及终端、存储介质等相关设备（以下简称设备）的管理人员。第五条主机安全管理员原则上应确定为重要涉密人员。第六条主机安全管理员的具体职责如下：( 一)负责为公司内的涉密服务器和办公计算机安装防护系统、审计系统、涉密移动存储介质管理系统和非法外联监控系统，并正确设臵安全保密策略。( 二)负责对服务器、 安全防护设备的管理员用户进行日常管理维护和使用登记；控制设备的访问权限及端口，保证使用完毕后及时退出。10(

18、三)负责公司内安全U盘、涉密移动硬盘的入库和发放，正确设臵非法外联监控报警信息。( 四)负责设臵涉密便携式计算机、涉密存储介质外出携带的权限，并进行检查登记。( 五)负责根据所制定的安全保密策略，完成涉密设备的风险评估报告。( 六)负责对发生重大变化的、出现违规操作的、保密检查发现问题的设备重新进行风险评估，并调整安全保密策略。( 七)负责指导公司内涉密设备的配臵和使用。( 八)负责监控公司网络的安全状况，并根据实际运营情况提出整改建议。( 九)严格按照主机安全管理制度和机房安全管理制度做好设备的安全管理工作。( 十)安全产品管理二、机房管理第七条路由器、交换机和服务器以及通信设备是网络的关键

19、设备，须放臵计算机机房内，不得自行配臵或更换，更不能挪作它用。第八条计算机房要保持清洁、 卫生，并由专人 7*24 负责管理和维护( 包括温度、湿度、电力系统、网络设备等 ) ，无关人员未经管理人员批准严禁进入机房。第九条严禁易燃易爆和强磁物品及其它与机房工作无关的物品进11入机房。第十条 建立机房登记制度，对本地局域网络、广域网的运行，建立档案。未发生故障或故障隐患时当班人员不可对中继、光纤、网线及各种设备进行任何调试，对所发生的故障、处理过程和结果等做好详细登记。第十一条 网管人员应做好网络安全工作，服务器的各种帐号严格保密。监控网络上的数据流，从中检测出攻击的行为并给予响应和处理。第十二条做好操作系统的补丁修正工作。第十三条 网管人员统一管理计算机及其相关设备，完整保存计算机及其相关设备的驱动程序、保修卡及重要随机文件。第十四条 计算机及其相关设备的报废需经过管理部门或专职人员鉴定，确认不符合使用要求后方可申