【精品】操作系统安全审计

1、a. 1. 1 redhat li nux操作系统redhat linux操作系统一安全审计测试类别：风险评估测试对象：redhat测试类：安全审计测试项：测试内容：确信对系统的主要行为都有审计口志，对于重要服务（ftp , telnet , http）及重要操作 （su登录等操作）ftlh,忐记录。并且所有的h志文件都有适当的访问权限，除root z外， 其它用八没有修改权限。测试方法: 查ft/ctc/syslog.conf的配置文件，确定是否对系统h志和网络服务配置了适当的h志记 录策略； 杳看syslog.conf中制定的，存放在/var/log卜'h志文件的更新h期，确定是否

2、对相应的 动作有实时h志功能（仅对linux系统而言）； 确保这些文件的应该屈于root川八所有，文件的权限应该是644； 查看 hosts.allow 和 hosts.deny 文件内容。测试记录：1. 己配置的日志:2. 日志功能是否有效实施，td志记录的日期和内容是否与配置相符合:3. 口志文件的访问权限:4. 查看 hosts.allow 和 hosts.deny 文件内容:备注:测试类別：风险评估测试对彖：redhat测试类：系统安全测试项：测试内容：被测操作系统应安装故新的系统补丁程序，只开启必要的服务；系统应保证和常用命令 相关配置文件的安全性。设置安全的访问旗标；并对系统资源作

3、适当的使用限制。测试方法: 查看或询问是否安装最新补丁程序； telnet/ftp登录系统，确定系统旗标信息的焰否安全； 是否为用户不成功的鉴别尝试次数定义阀值。测试记录:补丁女装情况（控制面板i在线更新）：是否有安全的系统访问旗标？显示操作系统类型口显示操作系统内核版本 口ftp登录察看显示信息：是否使用了用户磁盘限额？ 口用户磁盘限额策略：川户连续登录失败的次数： 默认 umask 值（#umask）： 重要文件和目录的读写权和属主：/etc/security属主访问许可：/usr/etc局主访问许可：/bin属主访问许可:/usr/bin属主访问许可:/sbin属主访问许可：/vai71

4、og属主访问许可:/etc/* .conf属主访问许可:/etc/login.defs属主访问许可:备注:测试类别：风险评估测试对象：redhat测试类：用户属性测试项：测试内容:操作系统应设置安全有效的口令策略（密码强度、密码长度、口令有效期等）。应限制 能够sii成root的川户，限制root的远程登录，根据需要设置可以进入单丿ij户模式的川户， 应启用用户超时自动注销的功能。测试方法: 查看/etc/passwd中是否有空口令账丿、'； 查看/etc/login.defs是否设置了适当的口令策略； 查看wheel川户组成员。测试记录:login.defs 口令策略（）：pass_

5、max_days pass_min_days pass_min_len pass_warn_age 能够su为root的用八 （/etc/group中 wheel纟ii.成员）： 察看/etc/pam.d/su文件是否存在以卜项： auth sufficient /lib/security/pam_rootok.so debug auth required /lib/security/pam_wheel.so group=wheel是否允许root远程登录（登陆验证）？ 口是否启用了用户超时自动注销功能？ 口histfilesize二tmout=/etc/security/access.con

6、f 内容：系统引导程序的访问许可位：文件中是否有口令保护（/ctc/lilo.conf） ? 备注:测试类別：风险评估测试对象：redhat测试类：网络及服务安全测试项：测试内容： 操作系统应只开放必要的网络服务。无多余的网络端口开放； 操作系统应使用高强度加密机制替代明文传输数据的协议或服务； 应开启iptables防火墙，并h规则得到有效实施；应该有防病毒软件安装并且有效运行。 限制能够访问本机的ip地址。测试方法： 使用netstat命令来获得系统的端口列表，并记录关键的端口列表； 察看telnet, ftp等明文传输协议是否运行，察看telnet和ftp的用丿属性； 察看iptable

7、s是否已开启，iptables 口志是否有效记录了现有规则的实施结果。测试记录：开放网络端口有：tcp端口： udp端口： 启用的服务有（#setup）或查看/etc/xinetd.d 1=1录下的各个文件l disable项的赋值：ftp和telnet等网络服务的访问限制：（如果系统没有安装ftp和telnet略过此项）ftptelnet:是否启用了 ssh等安全远程登录工具？ 口取代方法：对连接到木机的访问限制：iptables是否己开启？ 主要规则有：日志内容是否有效？ ： 查看防火墙设置的安全级别：是否安装了防病毒软件？ 口是否有效运行（察看日志和病毒库更新情况）： 备注:测试对象：r

8、cdhat测试类：备份/恢复容错机制测试项：测试内容： 操作系统要求在故障事件发生时能够保证业务的连续性； 操作系统应根据自身情况，对系统数据、川八数据、审计日志、策略文档及注册表数据 制定合理的备份/恢复策略，以满足系统在遇到意外事故数据遭受破坏时，系统恢复操 作的需要。测试方法: 查看服务器是否有ups电源支持，是否有raid保护； 杳看系统备份/恢复机制是否满足系统安全耍求。测试记录：操作系统是否有磁盘兀余阵列？服务器是否有ups支持？ 口系统是否有双机热备？ 口操作系统备份/恢复机制？川户数据备份/恢复机制？h志数据备份/恢复机制？业务应川程序备份/恢复机制？是否使用cron和at定期

9、执行系统管理任务和备份/恢复任务. 记录当前的cron任务记录当前的麵任务 备注:a. 1. 2 solaris操作系统solaris操作系统一安全审计（标准的solaris审计）测试类別：风险评估测试对象：solariss测试类：安全审计（标准的solaris审计）测试项：测试内容： 操作系统的syslogd应当开启。系统应该确保错误信息和失败登录信息等的日志记录， 并冃对日志数据有适当的的访问控制（-般不允许任何川八写日志数据，只有管理员或 审计员才能阅读口志数据）； 应定期浏览口志数据； 并对日志结果文件的大小、覆盖策略、存放位置和备份清理作必要配置。测试方法: 查看syslogd是否启

10、动； 查看sydeslog的配置； 查看日志相关文件的内容和最后修改h期； 查看日志相关文件的访问许可； 询问或查看口志相关文件的存放位置，溢满处理和备份清理策略。测试记录:是否开启syslogd： 察看syslog. conf系统审计配置：falaci1ity. 1evelaction査看inetd的服务是否启动口志功能：ftp的日志功能：查看审计功能是否有效实施，访问许可位和属主：/dev/sysmsg：/var/adm/cron/log：/var/adm/wtmp：/var/log/syslog：/var/adm/su1og:/var/1og/authlog:/var/adm/messa

11、ges：/etc/security/lastlog：是否有单独的日志分区（日志文件是否存放在单独的文件系统）：如果有，察看分区大小是否有定期的日志备份和清理策略：口备份策略备注:solaris操作系统一安全审计（bsm审计）测试对象：solaris测试类：安全审计（bsm审计）测试项：测试内容： 操作系统的审计子系统secu solaris p2.3 bsm应处于开启状态，并且根据需耍定制必 要的审计内容； 应能对被定制的操作事件自动生成审计纪录； 系统应针对审计结果文件的人小、覆盖策略、存放位置和备份清理作必要配置。 测试方法: 检查系统的安全审计功能是否已经开； 检査系统设置的审计事件和审

12、计对象； 査看审计功能的运行是否实时有效； 检查审计h志是否存储在单独的磁盘分区上，存储审计h志的磁盘分区是否足够大； 是否有定期的日志备份和清理策略。测试记录：（有条件的话，运行测试脚木文件）是否开启系统审计功能：（开启：bsmconv）audit_control 的配置:审计文件存放位置：审计文件所需剩余空间： 指定的系统川户审计事件类：指定的普通审计事件类：查看审计功能是否有效实施，审计记录是否包含事件的h期和时间，事件类型，主体身份, 事件的结果：口是否有单独的日志分区（trai 1文件是否存放在单独的文件系统）：如果有，察看分区大小审计文件的访问许可：是否有定期的口志备份和清理策略（

13、询问）：备份策略查看用户审计事件：solaris操作系统一系统安全（1）测试类别：风险评估 测试对象：solaris测试项：测试内容：被测操作系统应安装最新的系统补丁程序，只开启必要的服务，限制服务配置文件的访 问权限；系统应保证r族命令和常用命令相关配置文件的安全性；设置安全的访问旗标。 测试方法: 查看操作系统版本和补丁安装情况； 查看超级守护进程配置文件属性及内容，service配置文件属性； 检查是否存在r族配置文件，确定系统是否运行族命令； telnet/ftp登录系统，确定系统旗标信息的是否安全。测试记录:1. 版本和补丁信息：操作系统版本：补丁集：（如果可以连接internet,

14、试图tip匿名访问 中获取专门的补丁检查工具如patchpro）来查看女全补丁女装情况（系统所 有的patch文件都存储在/var/sadm/patch中，命名方式为patchld-version）2. 超级守护进程配置文件/etc/inetd.conf （#ls -1）：属主： 访问许可权： 开启服务：3. 查看是否使用了族配置文件，并口查看其配置情况$ h ome/.rh ostsd .netre hosts.equivd4. 是否有女全的系统访问旗标？telnet的旗标：显示操作系统类型口显示操作系统版本口显示ftp软件版本口ftp的旗标：显示操作系统类型口显示操作系统版本口显示ftp软

15、件版本口 备注:日期签名solaris操作系统一系统安全（2）测试类别：风险评估测试对象：solaris测试类：系统安全（2）测试项：测试内容：被测操作系统应保证相关命令文件和配置文件的访问许可合理；对用户、登录设备、失败登录阀值、无操作自动锁定等加以限制；并对系统资源的使用作适当的限制。测试方法: 查看是否针对用户使用了用户磁盘限额（尤其是邮件服务器）; 是否定义了登录相关参数； 是否对重要的命令文件和配置文件设置女全的访问许可权； 是否安装了防病毒软件，邮件过滤软件。测试记录：是否使川了用八磁盘限额？用户磁盘限额策略：察看login登录相关参数console=/dev/console （登

16、录到 console 的终端）注销：passreq二yes （登录是否需要口令）：yes口 timeout （登录超时限制）注销：口 umask： syslog=（是否记录到 log_crit）： yes口 retries （允许连续尝试登录次数）：注销：口 syslog_failed_logins （失败登录记录之前允许的尝试次数）：注销：口垂要文件和1=1录的读写权和属主（#ls -la ）：/usr/ctc属主访问许可：/usr/bin属主访问许可:/bin属主访问许可:/sbin属主访问许可：/etc属主访问许可：/etc/security/*屈主访问许可:是否安装了防病毒软件： 类型

17、及版本： 备注:solaris操作系统一用户属性测试对象：solaris测试类：用户属性测试项：测试内容： 操作系统应设置了有效的口令策略（密码强度、密码长度、口令有效期等）； 确保系统伪账号（如sys, uucp, nobody等）没有登录shell, 口令域设为np； 用户口令有效性设置合理。测试方法: 察看系统屮是否心在与所提供服务无关的无川账号； 査看passwd屮的口令相关设置； 查看shadow文件，确定是否为每一用户设置了 口令更改最短天数，口令更改最长天数, 口令过期前的警告天数、休眠天数利失效期限。测试记录:1. 无用账号：2. passwd 口令策略：max weeks：

18、minweeks： passlength： 3. shadow文件中用户口令有效性设置:4. 是否限制使川su的组口5. 应川服务器是否有密钥和证书口则试类別：风险评估则试对象：solariss则试类：网络及服务安全则试项：测试内容： 操作系统应只开放必要的网络服务。无多余的网络端口开放； 操作系统应使用高强度加密机制替代明文传输数据的协议或服务； 远程控制的终端访问应采川高强度的认证和加密机制，保证数据的完整性和机密性; 限制能够访问本机的ip地址。测试方法： 使用netstat命令来获得系统的端口列表，并记录关键的端口列表； 察看telnet, ftp等明文传输协议是否运行，察看telne

19、t和ftp的川户属性； 查看对访问本机的ip限制。测试记录：察看netstat开放网络端口1、20, 21/tcp： ftp-data , ftp 2、22/tcp： ssh 3、23/tcp： telnet 4、25/tcp： smtp 5、43/tcp： whois 6、53/tcp： domain 7、69/udp： tftp 8>80/tcp： http 9、80/udp： http 10 109, 110/tcp： pop2, pop3 察看inetd.conf /h川的网络服务有ftp的拒绝访问用户列表：是否限制root的远程登录：查看/etc/default/log1n 是

20、否设置 console 为 console 或 null,查看/etc/ftpusers是否加入root及其他root组成员，查看ssh配置文件中是否加入如：permitrootlogin = no是否启用加密协议/服务来取代明文传输的telnet和ftp等：是否限制能够访问木机的ip地址：本机ip地址为：是否限制ip转发（多网卡）：备注：测试类別：风险评估测试对象：solariss测试类：备份/恢复容错机制测试项：测试内容： 操作系统要求在故障事件发生时能够保证业务的连续性； 操作系统应根据自身情况，对系统数据、川八数据、审计日志、策略文档及注册表数据 制定合理的备份/恢复策略，以满足系统在

21、遇到意外爭故数据遭受破坏时，系统恢复操 作的需要。测试方法: 查看服务器是否有ups电源支持，是否有raid保护； 查看系统备份/恢复机制是否满足系统安全要求。测试记录：统是否有定期任务用来备份记录当前的cron任务记录当前的at任务cron.allow cron.deny 操作系统是否有磁盘兀余阵列？是否有物理备份？冷备份？ 口服务器是否有ups支持？ 口系统是否有双机热备？ 口操作系统备份/恢复机制？ 口核心的系统文件：如系统配管，核心映像的备份/恢复机制？h志、审计数据的备份/恢复机制？系统是否有定期任务用來备份：针对集群、netback叩软件、suncluster软件设置一些特别的测试

22、项;a. 1.3 aix操作系统测试类别：风险评估测试对象：aix操作系统测试类： 安全审计（标准的 aix 审计）测试项：测试内容： 操作系统应运行在标准模式下； 系统应该确保错误信息和失败登录信息等的h志记录，并且对h志数据的读写权限加以 限制，应定期浏览日志数据； 对日志结果文件的大小、覆盖策略、存放位置和备份清理作必要配置。测试方法: 查看syslogd是否启动； 查看sydeslog的配置； 查看日志相关文件的内容和最后修改日期； 査看口志相关文件的访问许可； 询问或査看口志相关文件的存放位置，溢满处理和备份清理策略。测试记录:是否开丿1 syslogd： 系统审计配置：falaci

23、lity. levelaction查看审计功能是否有效实施：/var/adm/wtmp：/var/adm/sulog：/var/adm/cron/log：/etc/security/lastlog：/etc/security/failedlogin：是否有单独的日志分区（trail文件是否存放在单独的文件系统）：如果有，察看分区大小（#df） 审计文件的访问许可：（#ls-l /audit）是否有定期的日志备份和清理策略（询问）：备份策略测试类別：风险评估测试对象：atx操作系统测试类：安全审计（可信模式下的aix审计系统）测试项：测试内容: 操作系统应运行在可信模式下，开启安全审计功能，并冃

24、根据需要定制必要的审计内容; 开启了审计功能的操作系统应能对被定制的操作事件自动生成审计纪录； 系统应针对审计结果文件的人小、覆盖策略、存放位置和备份清理作必要配置。测试方法: 检查系统的女全审计功能是否已经开； 检查系统设置的审计事件和审计对象； 查看审计功能的运行是否实吋有效； 检査审计h志是否存储在单独的磁盘分区上，存储审计h志的磁盘分区是否足够大，是 否有定期的日志备份和清理策略。测试记录:是否开启系统审计功能：口系统审计配置：开启模式：bin stream bin 模式的trail文件： bin文件路径及大小：预定义的审计类：general objects src kenel fil

25、essvipc mail cron tcpipdivm 其它自定义审计类： 配置的用户审计: 査看审计功能是否有效实施：是否有单独的日志分区（trai 1文件是否存放在单独的文件系统）：如果有，察看分区大小审计文件的访问许可：是否有定期的日志备份和清理策略（询问）：备份策略aix操作系统一系统安全（1）测试类别：风险评估测试对象：aix操作系统测试类：系统安全（1）测试项：测试内容: 被测操作系统应安装最新的系统补丁程序，貝开启必要的服务，限制服务配置文件的访 问权限； 系统应保证1族命令和常用命令相关配置文件的安全性。设置安全的访问旗标。测试方法: 查看操作系统版本和补丁安装情况； 查看系统

26、的安装模式是否为可信计算基库（tcb）； 杏看超级守护进程配置文件属性及内容，service配置文件属性； 检査是否存在1族配置文件，确定系统是否运行r族命令； telnet/ftp登录系统，确定系统旗标信息否安全。测试记录:版本信息：补丁安装情况：操作系统的tcb运行模式1. tcbck命令是否可用2. 检杳可信文件：3. 检杳文件系统树：acl是否启用：超级守护进程配置文件/etc/inetd.conf：属主： 访问许可权：是否存在r族配置文件？hosts.equiv 设置条目： .rhosts 设置条目： 是否有安全的系统访问旗标？ （telnet, ftp）telnet显示操作系统类型

27、口显示操作系统版本口ftp証示ftp软件版本口察看允许su的用户记录su=true的用户:记录rlogin=true的用八：签名atx操作系统一系统安全（2）测试类别：风险评估测试对象：atx操作系统测试类：系统安全（2）测试项：测试内容： 被测操作系统应保证相关命令文件和配置文件的访问许可合理； 对用户登录的旗标、允许登录时间、登录设备、火败登录阀值、无操作自动锁定等加以 限制； 并对系统资源的使川作适当的限制。测试方法： 查看是否针对用户使用了用户磁盘限额； 是否定义了登录相关参数。测试记录：是否使用了用户磁盘限额？用户磁盘限额策略：察看login.cfg登录相关参数herald： log

28、indelay： logindisable: logininterval： loginreenable： logintimes: sak_enabled： synonym： maxlogins： logintimeout： 是否启用超吋自动注销功能：参数tmout=安全配置文件的读写权和属主：/etc/security/* 属主 访问许i）： 查看某个进程相关的启动程序：#ps-elaf 查看sendmail的版木：备注：ajlx操作系统一用户加性测试类別：风险评估测试对象：aix操作系统测试类：用户属性测试项：测试内容: 操作系统应确保所有用户设置口令； 设置了有效的口令策略（密码强度、密码

29、长度、口令有效期等）； 确保系统伪账号（如sys, uucp, nobody等）没有登录shell, 口令域设为np； 川户角色和权限的分配应该遵循最小权限原则。测试方法: 查看系统支持的认证方式； 是否有空口令用户，并且釆用可信模式； 察看系统中是否存在与所提供服务无关的无用账号； 查看川户安全属性的默认设置和root用户的设置； 杳看用户角色和权限的分配是否合理。测试记录:1 认证方式 2. 空口令用户3. 残余账号4. 默认的用户安全屈性default：admin = falsetpath = nosakminage = 0login = trueumask = 022maxage =

30、0su = tineexpires = 0maxexpired = -1daemon = truesystem = ,compat,'minalpha = 0rlogin = truelogintimes =minother = 0sugroups = allpwdwarntime = 0minlen = 0admgroups =account_locked = falsemindiff = 0ttys = allloginretries = 0maxrepeats = 8authl = systemhistexpire = 0dictionlist =auth2 = nonehist

31、size = 0pwdchecks =root：admin =system =loginretries =account_locked =login=5. 角色分配：备注：atx操作系统一网络及服务安全测试类別：风险评估测试对象：atx操作系统测试类：网络及服务安全测试项：测试内容: 操作系统应只开放必要的网络服务。无多余的网络端口开放； 操作系统应使用高强度加密机制替代明文传输数据的协议或服务； 远程控制的终端访问应采川高强度的认证和加密机制，保证数据的完整性和机密性; 限制能够访问本机的ip地址。测试方法： 使用netstat命令来获得系统的端口列表，并记录关键的端口列表; 察看telne

32、t, ftp等明文传输协议是否运行，察看telnet和ftp的用户属性。测试记录:开放网络端口有:1、20, 21/tcp： ftp-data , ftp 3、23/tcp：telnet 4、5、43/tcp：whois 67、69/udp：tftp 8>9、80/tcp：http 1011、109, 110/tcp： pop2, pop3 13、111, 135/udp： portmap, loc-serv 15> 161, 162/tcp： snmp, snmp-trap 2、22/tcp： ssh 25/tcp： smtp 53/tcp： domain 79/tcp： fin

33、ger 80/udp： http 12、111, 135/tcp： portmap, loc-serv 14、143/tcp： imap 16、161, 162/udp： snmp, snmp-trap 其他端口:tcp端口： udp端口： 启川的网络服务有：ftp bootps nfs client nis nfs sever tftp nfs rlogin 其它：ftp的拒绝访问用户列表：对连接到木机的访问限制：远程监控采用的软件： 认证和加密方式： 测试类別：风险评估测试对象：atx操作系统测试类：备份/恢复容错机制测试项：测试内容： 操作系统要求在故障事件发生时能够保证业务的连续性；

34、操作系统应根据自身情况，对系统数据、川八数据、审计日志、策略文档及注册表数据 制定合理的备份/恢复策略，以满足系统在遇到意外爭故数据遭受破坏时，系统恢复操 作的需要。测试方法: 查看服务器是否有ups电源支持，是否有raid保护； 查看系统备份/恢复机制是否满足系统安全要求。测试记录：操作系统是否有磁盘兀余阵列？（#smit查看device）服务器是否有ups支持？ 口 系统是否有双机热备？ 口操作系统备份/恢复机制？核心的系统文件，如系统配置，核心映像的备份/恢复机制?日志、审计数据的备份/恢复机制? 系统是否有定期任务：cron.de ny cron, allow 记录当前的cron任务记

35、录当前的at任务a. 1.4 hp-unix操作系统hp-unix操作系统一安全审计测试类别：风险评估测试对象：hp-unix操作系统测试类：安全'市计测试项：测试内容： 操作系统应开启安全审计功能，并且根据需要定制必要的宙计内容； 开出了'市计功能的操作系统应能对被定制的操作事件自动生成审计纪录； 系统应针对审计结果文件的大小、覆需策略、存放位置和备份清理作必要配置。测试方法: 检査系统的女全审计功能是否已经开启； 执行相应的审计事件，检查审计h志，看系统是否正确的进行了审计； 检查审计日志是否存储在单独的磁盘分区上，存储审计日志的磁盘分区是否足够人，是 否有定期的h志备份和

36、清理策略。测试记录：是否开启系统审计功能：口当前审计存储文件 文件大小使用率路径：下一个审计存储文件路径：系统中已开启的审计项：audited events：audited syscall：audited users：川户相关审计： 是否有单独的日志分区：口如果有，察看分区大小是否有定期的审计数据备份和清理策略（询问）：备份策略测试对象：hp-unix操作系统测试类：安全审计（系统日志）测试项：测试内容： 操作系统应运行在标准模式下，系统的审计功能应相对简单一些； 系统应该确保错误信息和失败登录信息等的日志记录，并冃对日志数据的读写权限加以 限制，应定期浏览h志数据； 对口志结果文件的人小、覆

37、盖策略、存放位置和备份清理作必要配置。测试方法: 查看syslogd是否启动； 査看sydeslog的配置； 查看日志相关文件的内容和最后修改日期； 查看口志相关文件的访问许可； 询问或查看h志相关文件的存放位置，溢满处理和备份淸理策略。测试记录：是否开启syslogd： 系统审计配置：falaci1ity. 1 evelaction查看审计功能是否有效实施:是否有单独的口志分区（trai 1文件是否存放在单独的文件系统）：如果有，察看分区大小是否有定期的h志备份和清理策略（询问）：备份策略iip-untx操作系统一系统安全则试类別：风险评估则试对象：hp-unix操作系统则试类：系统安全则试项：则试内容： 被测操作系统应安装最新的系统补程序，只开启必要的服务，限制服务配置文件的访问权限； 系统应保证族命令和常川命令相关配置文件的安全性。设置安全的访问旗标；并对系 统资源作适当的使川限制。测试方法: 查看是否安装最新补丁程序； 查看超级守护进程配置文件属性及内容； 检查是否存在族配置文件，确定系统是否运行族命令； telnet, ftp登录系统，或者查看配置文件，确定系统旗标信息的是否