主机安全管理制度教学教材

1、主机安全管理制度XXXX公司主机安全管理制度一、身份鉴别系统与应用管理员用户设置 对操作系统进行特权用户的特权分离（如系统管理员、应用管理员等）并 提供专用登陆控制模块。采用最小授权原则，进行授权。系统与应用管理员口令安全启用密码口令复杂性要求，设置密码长度最小值为 8 位，密码最长使用期限 90 天，强制密码历史等，保证系统和应用管理用户身份标识不易被冒用。 登陆策略采用用户名、密码、密钥卡令牌实现用户身份鉴别。非法访问警示 配置账户锁定策略中的选项，如账户锁定时间、账户锁定阈值等实现结束 会话、限制非法登陆次数和自动退出功能。二、主机访问控制主机信任关系在域中设置信任与被信任关系，使一个域

2、中的控制器验证另一个域中的用 户，从而自助控制主机信任关系，并配置了数据库主机信任关系。默认过期用户超过 60 天没有更新计算机账户密码的计算机账户设置为默认过期用户，为 避免共享账户存在，及时删除默认过期用户。用户最小授权原则根据管理用户的角色对权限做出标准细致的划分，并授予管理用户的最小 权限，每个用户只能拥有刚够完成工作的最小权限。并按角色划分权限，每个 角色各负其责，权限各自分离，一个管理角色不拥有另一个管理角色的特权。三、强访问控制资源访问记录通过系统安全日志以及设置安全审计，记录和分析各用户和系统活动操作 记录和信息资料，包括访问人员、访问计算机、访问时间、操作记录等信息。重要系统

3、文件强制访问控制范围对重要系统文件进行敏感标记，设置强制访问控制机制。根据管理用户的 角色分配权限，并作了细致划分，禁授予管理用户最小权限，并对用户及用户 程序进行限制，从而达到更高的安全级别。共享目录关闭系统设置共享目录访问权限时，指定了一个基于本地“Administrators ”组帐户的权限，保证共享目录的访问安全。远程登陆控制服务器上启用“路由和远程访问”服务，并且依据服务器操作系统访问控制 的安全策略，授权访问用户身份 /角色，未授权用户身份 / 角色访问客体，不允 许进行访问。四、系统保护系统备份系统备份策略包括本地和远程两种方式。其中，本地备份主要使用容错技 术和冗余配置来应对硬

4、件故障，采用热备软件。系统所有数据存在数据库中， 实行远程同步和备份数据库。故障恢复策略 正常情况下主服务器由于软硬件故障(非人为因素)发生宕机时，网络容 错软件立即激活备份服务器保证业务过程连续进行，不影响用户使用。特殊情况下由于网络系统遭黑客入侵，或网络系统遭病毒攻击，或系统管 理员操作失误导致服务器瘫痪，就要恢复数据和系统。故障恢复可分为数据还原和系统还原。安全配置 新建用户时账户便于记忆使用，并且密码有一定复杂度；对不同账户进行 授权，拥有相应权限；停用 GUES账户；将管理员账户权限设置最低；将共享 文件权限改为授权用户；登陆时不显示上次登陆名；限制用户数量并开启用户 策略。采用安全

5、密码；开启密码策略；加密重要的文件和文件夹。系统采用NTFS格式化分区；锁定注册表；配置安全策略，并禁止从软盘和 光驱启动系统。磁盘空间安全采用存储区域网络的方式集中化管理存储网络，包含来自多个厂商的存储 服务器、存储管理软件、应用服务器和网络硬件设备，随时随地的实现信息的 存储、访问、共享和保护。腾讯云机房备有不间断电源(UPS)，保证磁盘的正常工作。做好病毒防护以 及系统升级工作 操作系统都存在着很多已知和未知的漏洞，加之现在病毒攻 击的范围也越来越广泛，而硬盘作为计算机的信息存储基地，通常都是计算机 病毒攻击的首选目标。及时更新系统补丁，升级病毒库，做好病毒防护工作， 同时要注意对重要的

6、数据进行保护和经常性的备份。在需要做硬件维护时，不 进行带电操作。服务器7*24小时开启，会长时间频繁的对硬盘进行读写，会对磁盘造成一 定的损害，每月作一次到两次磁盘碎片整理，使硬盘的读写速度保持在最佳状 态，保证磁盘空间安全。主机加固系统按照安全策略实施，减少对外开放的端口，在MM（中关闭不需要的服务，禁止Messe nger服务、禁止Tel net服务等；切断主机与应用管理的联系， 不授予主机的全局管理权限；在管理员对主机进行访问时，须提供用户名，密 码才能登陆，并对密码强度和密码使用时间进行限定；主机采用了linux操作系统，增加系统安全性，并有针对性的修改系统参数，如：禁止自动登录、禁

7、 止在蓝屏后自动启动机器、删除服务器上的管理员共享等；设置防病毒系统升 级策略，凌晨2:00下载病毒代码并分发升级，并根据病毒软件来更新病毒库。五、剩余信息保护采用安全级别的操作系统操作系统级别LinuxC2为保证操作系统和数据库系统的鉴别信息所用的存储空间，被释放或分配 给其他用户前被释放，做了如下设置：在本地安全策略中的安全选项中，启用 “不显示上次的用户名”。为及时释放系统内文件、目录、数据库等所占用的存储空间，进行如 下设置：在本地安全策略中的安全选项中，启用“清除虚拟内存页面文件”；在 本地安全设置，账户策略中的密码策略中，启用“用可还原的加密来存储密 码”。六、资源控制系统资源概念

8、是指CPU储存空间、传输带宽等软硬件资源。通过设定终 端接入方式、网络地址范围等条件限制终端登录，可以极大的节省系统资源， 保证了系统的可用性，同时也提高了系统的安全性。对于Win dows系统自身来说，可以通过主机防火墙或 TCP/IP 筛选来实现以上功能。在“终端服务配置”中指定“限制每个用户只使用一个会话”，限制用户以桌面 模式登录的用户的同时只保留一个会话。但是若用户以特定应用程序（在登录 时自动启动某个应用程序，该应用程序关闭时连接即注销）模式登录时，该设 置则无效。为了使在该模式下也能保证一个用户同时只有一个会话，通过使用 登录脚本来进行限制。启用了 TCP/IP 筛选，创建 IP

9、 筛选器并进行 IP 筛选器设置，限定出相应的 IP 地址上的终端可进行登录。并且根据公司的具体情况，在路由器上做了相关 设置，仅允许特定 IP 地址进行终端登录。在本地安全策略的安全选项中启用了 “在超过登录时间后强制注销”选项。保证系统安全。服务器运行着后台系统服务和业务应用，需要保持24X7不间断运行并提供持续的服务，其运行状态的好坏直接影响了网络用户的使用，因此，让服务 器保持健康状态就成为服务器管理的重中之重。比较桌面设备管理更加关注桌 面系统和上层应用自身的应用状态而言，服务器管理的首要目标就是保证服务 器的稳定性和可靠性。利用网管平台管理器提供的各种管理功能，服务器的可 靠性和可

10、用性将得到有效保证。腾讯云云监控能够24X7地监控服务器的CPU硬盘、内存、网络等资源的 使用情况。实时系统警报功能，无论是硬件组件的预警，还是系统资源告急，都能在 第一时间通知到管理员并采取及时的应对策略。主机安全维护管理制度七、主机相关人员安全管理办公室应备案主机安全管理员为加强公司涉密服务器及终端、存储介质等 相关设备的保密管理工作，结合公司实际业务工作，制定本制度。公司应指定政治可靠，具有责任心，作风正派，品行端正，无不良嗜好， 精通计算机技术的人员担任主机安全管理员，原则上至少配备两人。为保障公司业务的连续性，设立了 2 名或以上主机安全管理员，即主机安 全管理员A和主机安全管理员B

11、, 般情况下由A管理服务器及终端、存储介 质等，若A不在时由B管理。本制度所称计算机安全保密员是指管理涉密服务器及终端、存储介质等相 关设备（以下简称设备）的管理人员。主机安全管理员原则上应确定为重要涉密人员。主机安全管理员的具体职责如下：负责为公司内的涉密服务器和办公计算机安装防护系统、审计系统、涉密 移动存储介质管理系统和非法外联监控系统，并正确设置安全保密策略。负责对服务器、安全防护设备的管理员用户进行日常管理维护和使用登 记；控制设备的访问权限及端口，保证使用完毕后及时退出。负责公司内安全U盘、涉密移动硬盘的入库和发放，正确设置非法外联监 控报警信息。负责设置涉密便携式计算机、涉密存储

12、介质外出携带的权限，并进行检查 登记。负责根据所制定的安全保密策略，完成涉密设备的风险评估报告。负责对发生重大变化的、出现违规操作的、保密检查发现问题的设备重新 进行风险评估，并调整安全保密策略。负责指导公司内涉密设备的配置和使用负责监控公司网络的安全状况，并根据实际运营情况提出整改建议。严格按照资产安全管理制度和机房安全管理制度做好设备的安全 管理工作。八、机房管理路由器、交换机和服务器以及通信设备是网络的关键设备，须放置计算机 机房内，不得自行配置或更换，更不能挪作它用。计算机房要保持清洁、卫生，并由专人 7*24 负责管理和维护 （ 包括温度、 湿度、电力系统、网络设备等 ） ，无关人员

13、未经管理人员批准严禁进入机房。严禁易燃易爆和强磁物品及其它与机房工作无关的物品进入机房。 建立机房登记制度，对本地局域网络、广域网的运行，建立档案。未发生 故障或故障隐患时当班人员不可对中继、光纤、网线及各种设备进行任何调 试，对所发生的故障、处理过程和结果等做好详细登记。网管人员应做好网络安全工作，服务器的各种帐号严格保密。监控网络上 的数据流，从中检测出攻击的行为并给予响应和处理。做好操作系统的补丁修正工作。网管人员统一管理计算机及其相关设备，完整保存计算机及其相关设备的 驱动程序、保修卡及重要随机文件。计算机及其相关设备的报废需经过管理部门或专职人员鉴定，确认不符合 使用要求后方可申请报

14、废。制定数据管理制度。对数据实施严格的安全与保密管理，防止系统统完整 性、补丁和修正程序方面实时修改九、计算机病毒防范制度网络管理人员应有较强的病毒防范意识，定期进行病毒检测 （ 特别是数据的 非法生成、变更、泄露、丢失及破坏。当班人员应在数据库的系统认证、系统 授权、系邮件服务器 ） ，发现病毒立即处理并通知管理部门或专职人员。采用国家许可的正版防病毒软件并及时更新软件版本。 未经上级管理人员许可，当班人员不得在服务器上安装新软件，若确为需 要安装，安装前应进行病毒例行检测。经远程通信传送的程序或数据，必须经过检测确认无病毒后方可使用。十、 数据保密及数据备份制度根据数据的保密规定和用途，确定使用人员的存取权限、存取方式和审批 手续。禁止泄露、外借和转移专业数据信息。 制定业务数据的更改审批制度，未经批准