【样例】XXX系统差距评估报告

AA公司ChinaInformationSecurityIndustryPark报告摘要 -2- XXXXXXXXXX管理系统等级保护改造项目差距评估报告新垣结衣科技有限公司20XX年X月X日深信服科技有限公司 -PAGEIII-AA公司名称目录TOC\o"1-4"\h\z\u1 系统基本情况说明 41.1 系统定级说明 41.2 业务系统说明 41.3 网络结构说明 41.4 系统现状 51.4.1 业务应用软件 51.4.2 关键数据类别 61.4.3 主机/存储设备 61.4.4 网络互联与安全设备 71.4.5 安全相关人员 71.4.6 安全管理文档 82 物理安全 82.1 结果记录 82.2 问题分析 102.2.1 物理访问控制 102.2.2 防盗窃和防破坏 102.2.3 电力供应 102.2.4 电磁防护 113 网络安全 113.1 结果记录 113.1.1 交换机_H3CS5100 113.1.2 交换机_H3CS3100 133.1.3 防火墙_NetEyeFW4120 153.1.4 入侵检测系统_NetEyeIDS2100 173.1.5 负载均衡_AD6050 193.2 问题分析 223.2.1 结构安全 223.2.2 访问控制 223.2.3 安全审计 233.2.4 边界完整性检查 233.2.5 恶意代码防范 233.2.6 网络设备防护 244 主机安全 244.1 结果记录 244.1.1 服务器_数据库_1（DELLPowerEdge） 244.1.2 服务器_数据库_2（DELLPowerEdge） 264.1.3 服务器_签名服务器_1（HPPROLIANT） 294.1.4 服务器_签名服务器_2（HPPROLIANT） 314.1.5 服务器_WEB应用服务器_1（HPPROLIANT） 334.1.6 服务器_WEB应用服务器_2（HPPROLIANT） 354.1.7 服务器_WEB应用服务器_3（HPPROLIANT） 374.1.8 服务器_WEB应用服务器_4（HPPROLIANT） 394.1.9 服务器_WEB应用服务器_5（HPPROLIANT） 414.1.10 服务器_WEB应用服务器_6（HPPROLIANT） 434.1.11 服务器_应用服务器（银行）_1（HPPROLIANT） 454.1.12 服务器_应用服务器（银行）_2（HPPROLIANT） 474.2 问题分析 494.2.1 身份鉴别 494.2.2 访问控制 494.2.3 安全审计 504.2.4 恶意代码防范 504.2.5 资源控制 515 应用安全 515.1 结果记录 515.2 问题分析 535.2.1 访问控制 535.2.2 剩余信息保护 545.2.3 资源控制 546 数据安全及备份恢复 556.1 结果记录 556.2 问题分析 556.2.1 数据保密性 556.2.2 备份与恢复 567 安全管理制度 567.1 结果记录 567.2 问题分析 578 安全管理机构 578.1 结果记录 578.2 问题分析 589 人员安全管理 599.1 结果记录 599.2 问题分析 6010 系统建设管理 6010.1 结果记录 6010.2 问题分析 6311 系统运维管理 6311.1 结果记录 6311.2 问题分析 6812 评估结果 6912.1 评估结果 6912.2 统计图表 72深信服科技有限公司 第27页共72页系统基本情况说明系统定级说明福建省XXXXXX综合考虑了XXXXXX管理系统的业务信息和系统服务类型，以及其受到破坏时可能受到侵害的客体以及受侵害的程度，经福建省公安厅的批准，已将这2个系统等级为等级保护第三级。业务系统说明XXXXXX管理系统：2012年XXXXXX管理系统（网络版）历经系统开发、模拟测试、网络、硬件设备安装部署，于2012年12月份正式启动试运行工作，在试点和实施过程当中发现系统仍有不足之处，需要对系统进行深入完善和改进，主要考虑到由于XXXXXX管理系统（网络版）作为全省集中部署的网络化财政重要业务系统，其具有应用面广、用户规模大，并涉及到财政性资金的重要数据信息，以及基于公众网上部署的特性，因此系统自身和运行环境均存在一定的安全风险，在数据传输、安全加密、网络监控、防入侵等方面的必须要建立一套更有效更完善的安全保护体系和措施。网络结构说明系统现状业务应用软件序号软件名称主要功能重要程度1XXXXXX管理系统XXXXXX管理系统应用平台非常重要2Oracle11gXXXXXX管理系统数据库管理系统非常重要3RedHatEnterpriseLinux6.0XXXXXX管理系统应用平台非常重要4OracleLinux6.0XXXXXX管理系统数据库管理系统非常重要关键数据类别序号数据类型所属业务应用主机/存储设备重要程度1数据库表、配置文件、系统日志文件Oracle11g数据库数据库服务器非常重要2数据库表、配置文件、系统日志文件Oracle11g数据库数据库服务器（2台）非常重要3配置文件、应用程序、系统日志文件XXXXXX管理系统Web与应用服务器非常重要4配置文件、应用程序、系统日志文件XXXXXX管理系统Web与应用服务器（6台）非常重要5配置文件、日志文件XXXXXX管理系统Web与应用服务器（6台）非常重要6配置文件、系统日志文件XXXXXX管理系统Web与应用服务器（6台）非常重要7配置文件、系统日志文件XXXXXX管理系统Web与应用服务器（6台）非常重要8配置文件、系统日志文件XXXXXX管理系统Web与应用服务器（6台）非常重要主机/存储设备级别IP地址服务器厂商/型号/数量服务器用途操作系统数据库备注数据库服务器ETH0:xx.xx.xx.xxETH1：xx.xx.xx.xxVIPIP：xx.xx.xx.xxSCANIP:xx.xx.xx.xDELLPowerEdge11GR810（2U）数据库Oraclelinux6.0Oracle11GSCANIP:xx.xx.xx.xVipip:xx.xx.xx.xEhto内网xx.xx.xx.xEth1心跳xx.xx.xx.xDELLPowerEdge11GR810（2U）数据库Oraclelinux6.0Oracle11G银行借口服务器刀片服务器Eth0xx.xx.xx.xxEth1xx.xx.xx.xxHPPROLIANT比例60cg7银行接口服务器（未使用）Linuxredhat6.2刀片服务器Eth0xx.xx.xx.xxEht1xx.xx.xx.xxHPPROLIANT比例60cg7银行接口服务器Linuxredhat6.2签名服务器刀片服务器Eth0xx.xx.xx.xxEht1xx.xx.xx.xxHPPROLIANT比例60cg7签名服务器Linuxredhat6.2刀片服务器Eth0xx.xx.xx.xEht1xx.xx.xx.xHPPROLIANT比例60cg7签名服务器Linuxredhat6.2Web和应用服务器刀片服务器Eth0xx.xx.xx.xEth1xx.xx.xx.xHPPROLIANT比例60cg7Web服务器Linuxredhat6.2刀片服务器Eth0xx.xx.xx.xEth1xx.xx.xx.xHPPROLIANT比例60cg7Web服务器Linuxredhat6.2刀片服务器Eth0xx.xx.xx.xxEth1xx.xx.xx.xxHPPROLIANT比例60cg7Web服务器Linuxredhat6.2刀片服务器Eth0xx.xx.xx.xxEth1xx.xx.xx.xxHPPROLIANT比例60cg7Web服务器Linuxredhat6.2刀片服务器Eth0xx.xx.xx.xxEth1xx.xx.xx.xxHPPROLIANT比例60cg7Web服务器Linuxredhat6.2刀片服务器Eth0xx.xx.xx.xxEth1xx.xx.xx.xxHPPROLIANT比例60cg7Web服务器Linuxredhat6.2网络互联与安全设备序号设备名称用途重要程度1防火墙东软/FW4120非常重要2入侵检测系统东软/neteyeIDS2100一般重要3负载均衡新垣结衣/AD6050非常重要4交换机H3C/S5100非常重要5交换机H3C/S3100非常重要安全相关人员序号姓名岗位/角色联系方式1信息安全领导小组组长2信息安全领导小组副组长3信息安全领导小组组员4信息安全领导小组组员5信息安全领导小组组员6信息安全领导小组组员7信息安全领导小组组员8信息安全领导小组组员9信息安全领导小组组员10安全管理文档序号文档名称主要内容1福建省XXXXXX机房管理制度机房管理2其他上级单位下发的管理制度34567891011物理安全结果记录类别评估内容结果记录符合情况物理位置的选择机房和办公场地应选择在具有防震、防风和防雨等能力的建筑内建筑具有防震、防风和防雨等能力符合机房场地应避免设在建筑物的高层或地下室，以及用水设备的下层或隔壁机房在3楼，在机房的上层、下层、隔壁都没有用水设备符合物理访问控制机房出入口应安排专人值守，控制、鉴别和记录进入的人员机房出入口有专人在工作时间进行值守，通过指纹识别门禁系统鉴别和记录出入人员符合需进入机房的来访人员应经过申请和审批流程，并限制和监控其活动范围来访人员需要进入机房，暂无申请和审批流程，也没有对其活动范围进行限制和监控不符合应对机房划分区域进行管理，区域和区域之间设置物理隔离装置，在重要区域前设置交付或安装等过渡区域机房分成三个区域：控制室、休息室、主机房，控制室和主机房之间有指纹识别的门禁系统隔离，和休息室有门锁隔离。重要程度主机房高于控制室，高于休息室。符合重要区域应配置电子门禁系统，控制、鉴别和记录进入的人员机房入口、主机房入口已经配置了电子门禁系统以达到控制、鉴别和记录进入的人员的目的符合防盗窃与防破坏应将主要设备放置在机房内主要设备均已放置在机房内符合应将设备或主要部件进行固定，并设置明显的不易除去的标记设备或主要部件均已进行固定，但没有设置明显的标记部分符合应将通信线缆铺设在隐蔽处，可铺设在地下或管道中通信线缆均已铺设在地下或管道等隐蔽处符合应对介质分类标识，存储在介质库或档案室中暂时没有存储的介质库和档案室不适用应利用光、电等技术设置机房防盗报警系统在控制室和主机房都有摄像监控，运行正常，非上班时间有人进入机房，可以报警。符合应对机房设置监控报警系统已在机房内部署了一套监控报警系统符合防雷击机房建筑应设置避雷装置机房建筑已经设置避雷装置（三级防雷）符合应设置防雷保安器，防止感应雷已设置防雷保安器符合机房应设置交流电源地线机房已经设置交流电源地线符合防火机房应设置火灾自动消防系统，能够自动检测火情、自动报警，并自动灭火机房已经部署气体灭火设备，若发生火灾会自动报警符合机房及相关的工作房间和辅助房应采用具有耐火等级的建筑材料机房及相关的工作房间和辅助房均采用了具有耐火等级的建筑材料符合机房应采取区域隔离防火措施，将重要设备与其他设备隔离开机房没有将重要的设备和其他设备隔离开，不存在防火设施不适用防水和防潮水管安装，不得穿过机房屋顶和活动地板下机房内没有穿过屋顶和活动地板下的水管符合应采取措施防止雨水通过机房窗户、屋顶和墙壁渗透机房无窗户、不在顶楼，可防止墙壁渗透符合应采取措施防止机房内水蒸气结露和地下积水的转移与渗透已经采取措施防止机房水蒸气结露和地下积水的转移和渗透符合应安装对水敏感的检测仪表或元件，对机房进行防水检测和报警有部署了漏水检测，可以对机房进行防水报警符合防静电主要设备应采用必要的接地防静电措施机柜接地，主要设备通过机柜接地防静电措施符合机房应采用防静电地板机房内已经铺设了防静电地板符合温湿度控制机房应设置温、湿度自动调节设施，使机房温、湿度的变化在设备运行所允许的范围之内机房通过安装精密空调进行温湿度调节，机房温湿度的变化均已控制在设备运行所允许的范围之内符合电力供应应在机房供电线路上配置稳压器和过电压防护设备机房供电线路上已经配置了稳压器和过电压防护设备符合应提供短期的备用电力供应，至少满足主要设备在断电情况下的正常运行要求机房已经部署了UPS为其提供短期的备用电力供应，UPS可满负荷1小时，可以满足关键设备在断电情况下的正常运行要求符合应设置冗余或并行的电力电缆线路为计算机系统供电机房有冗余的电力线路符合应建立备用供电系统机房设有备用供电系统，有后备柴油发电机系统符合电磁防护应采用接地方式防止外界电磁干扰和设备寄生耦合干扰机房已经采用接地方式防止外界电磁干扰和设备寄生耦合干扰符合电源线和通信线缆应隔离铺设，避免互相干扰电源线和通信线缆已经隔离铺设，避免了互相干扰符合应对关键设备和磁介质实施电磁屏蔽机房内不包含需要实施电磁屏蔽的设施不适用问题分析物理访问控制（1）差距小结机房来访人员需要进入机房，暂无申请和审批流程，进入机房后也没有对其活动范围进行限制和监控。（2）后果分析来访人员进入机房缺乏申请和审批流程，存在管理薄弱环节，缺乏管理规范性，可能导致非法接入、设备遭破坏、设备被盗、信息外泄等不良后果。防盗窃和防破坏（1）差距小结设备或主要部件均已进行固定，没有明显的标记。（2）后果分析没有明显的标记，如果资产被盗无法及时发现，也不方便管理。电磁防护（1）差距小结机房尚未对关键设备和磁介质实施电磁屏蔽。（2）后果分析电磁屏蔽是电磁防护的重点。如机房尚未对关键设备和磁介质进行电磁屏蔽，则可能出现电磁干扰情况，严重影响设备使用，而电磁泄漏也可能会带来信息外泄等安全事件的发生。网络安全结果记录交换机_H3CS5100类别评估内容结果记录符合情况结构安全应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要无法查看日常网络设备的负载情况，也缺乏对网络设备性能的监控不符合应保证网络各个部分的带宽满足业务高峰期需要互联网出口带宽100M，各银行出口带宽2M，XXXXXX的其他业务系统共用互联网出口，平时业务应用占用带宽无法确定。暂时无法预测网络高峰带宽，我们会根据业务情况增加带宽。不适用应在业务终端与业务服务器之间进行路由控制建立安全的访问路径在防火墙上配置了路由控制策略，使用静态路由，建立了安全的访问路径符合应绘制与当前运行情况相符的网络拓扑结构图已经绘制了与当前运行情况相符的网络拓扑结构图符合应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段业务系统的前端服务器使用172网段，业务系统的核心数据库服务器使用192网段符合应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段业务系统的前端服务器使用172网段，部署于拓扑图的外端；业务系统的核心数据库服务器使用192网段，部署于网络拓扑图的里端；两者之间通过VLAN隔离符合应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机没有配置不符合访问控制应在网络边界部署访问控制设备，启用访问控制功能在网络边界部署了防火墙，启用了访问控制功能符合应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级通过防火墙制定访问安全策略，细化至端口符合应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制没有对网络信息内容进行过滤，无法对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令进行控制。（通过部署IPS实现）不符合应在会话处于非活跃一定时间或会话结束后终止网络连接没有在交换机、防火墙上配置自动终止功能。（通过安全加固实现）不符合应限制网络最大流量数及网络连接数没有在网络设备上进行最大流量数和网络连接数限制（通过安全加固实现）不符合重要网段应采取技术手段防止地址欺骗重要网段，如内网服务器区尚未采取IP地址与MAC地址绑定等措施防止地址欺骗（通过安全加固实现）内部只有服务器，没有终端不符合应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户路由器上只做了用户名和口令的控制，ftp服务器上做了目录访问读写权限的控制符合没有拨号用户没有拨号用户不适用安全审计应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录没有监控和审计设备（部署安全审计设备）不符合审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息没有监控和审计设备（部署安全审计设备）不符合应能够根据记录数据进行分析，并生成审计报表没有监控和审计设备（部署安全审计设备）不符合应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等没有监控和审计设备（部署安全审计设备）不符合边界完整性检查应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断没有限制。通过物理安全保障此情况不会发生。不适用应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断没有相关措施。通过物理安全保障此情况不会发生。不适用入侵防范应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等在连接Internet的网络边界处部署了IDS，能够监视攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等符合当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警现有的IDS能检测到攻击行为时，能记录攻击源IP、攻击类型、攻击目的、攻击时间，且提供报警符合恶意代码防范应在网络边界处对恶意代码进行检测和清除尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除（部署设备实现）不符合应维护恶意代码库的升级和检测系统的更新尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除（部署设备实现）不符合网络设备防护应对登录网络设备的用户进行身份鉴别交换机_H3CS5100采用帐户+密码方式对用户进行身份鉴别符合应对网络设备的管理员登录地址进行限制交换机_H3CS5100只有通过机房监控室的控制机才能登录网络设备和服务器符合网络设备用户的标识应唯一交换机_H3CS5100设备用户的标识是唯一的符合主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别交换机_H3CS5100设备没有采用两种技术手段来进行身份鉴别（部署堡垒主机解决）不符合身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换交换机_H3CS5100没有配置复杂口令策略（部署堡垒主机解决）不符合应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施交换机_H3CS5100没有配置该策略（部署堡垒主机解决）不符合当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听没有使用远程管理，只能在机房内使用console线进行管理；不适用应实现设备特权用户的权限分离交换机_H3CS5100尚未实现设备特权用户的权限分离（部署堡垒主机解决）不符合交换机_H3CS3100类别评估内容结果记录符合情况结构安全应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要无法查看日常网络设备的负载情况，也缺乏对网络设备性能的监控不符合应保证网络各个部分的带宽满足业务高峰期需要互联网出口带宽100M，银行出口带宽2M，XXXXXX的其他业务系统共用互联网出口，平时业务应用占用带宽无法确定不符合应在业务终端与业务服务器之间进行路由控制建立安全的访问路径在防火墙上配置了路由控制策略，使用静态路由，建立了安全的访问路径符合应绘制与当前运行情况相符的网络拓扑结构图已经绘制了与当前运行情况相符的网络拓扑结构图符合应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段业务系统的前端服务器使用172网段，业务系统的核心数据库服务器使用192网段符合应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段业务系统的前端服务器使用172网段，部署于拓扑图的外端；业务系统的核心数据库服务器使用192网段，部署于网络拓扑图的里端；两者之间通过VLAN隔离符合应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机没有配置不符合访问控制应在网络边界部署访问控制设备，启用访问控制功能在网络边界部署了防火墙，启用了访问控制功能符合应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级通过防火墙制定访问安全策略，细化至端口符合应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制没有对网络信息内容进行过滤不符合应在会话处于非活跃一定时间或会话结束后终止网络连接没有在交换机、防火墙上配置自动终止功能不符合应限制网络最大流量数及网络连接数没有在网络设备上进行最大流量数和网络连接数限制不符合重要网段应采取技术手段防止地址欺骗重要网段，如内网服务器区尚未采取IP地址与MAC地址绑定等措施防止地址欺骗不符合应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户路由器上只做了用户名和口令的控制，ftp服务器上做了目录访问读写权限的控制符合没有拨号用户没有拨号用户不适用安全审计应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录没有监控和审计设备不符合审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息没有监控和审计设备不符合应能够根据记录数据进行分析，并生成审计报表没有监控和审计设备不符合应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等没有监控和审计设备不符合边界完整性检查应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断没有限制不符合应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断没有相关措施不符合入侵防范应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等在连接Internet的网络边界处部署了IDS，能够监视攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等符合当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警现有的IDS能检测到攻击行为时，能记录攻击源IP、攻击类型、攻击目的、攻击时间，且提供报警符合恶意代码防范应在网络边界处对恶意代码进行检测和清除尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除不符合应维护恶意代码库的升级和检测系统的更新尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除不符合网络设备防护应对登录网络设备的用户进行身份鉴别交换机_H3CS3100采用帐户+密码方式对用户进行身份鉴别符合应对网络设备的管理员登录地址进行限制交换机_H3CS3100只有通过机房监控室的控制机才能登录网络设备和服务器符合网络设备用户的标识应唯一交换机_H3CS3100设备用户的标识是唯一的符合主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别交换机_H3CS3100设备没有采用两种技术手段来进行身份鉴别不符合身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换交换机_H3CS3100没有配置复杂口令策略不符合应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施交换机_H3CS3100没有配置该策略不符合当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听没有使用远程管理，只能在机房内使用console线进行管理；不适用应实现设备特权用户的权限分离交换机_H3CS3100尚未实现设备特权用户的权限分离不符合防火墙_NetEyeFW4120类别评估内容结果记录符合情况结构安全应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要无法查看日常网络设备的负载情况，也缺乏对网络设备性能的监控不符合应保证网络各个部分的带宽满足业务高峰期需要互联网出口带宽100M，银行出口带宽2M，XXXXXX的其他业务系统共用互联网出口，平时业务应用占用带宽无法确定不符合应在业务终端与业务服务器之间进行路由控制建立安全的访问路径在防火墙上配置了路由控制策略，使用静态路由，建立了安全的访问路径符合应绘制与当前运行情况相符的网络拓扑结构图已经绘制了与当前运行情况相符的网络拓扑结构图符合应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段业务系统的前端服务器使用172网段，业务系统的核心数据库服务器使用192网段符合应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段业务系统的前端服务器使用172网段，部署于拓扑图的外端；业务系统的核心数据库服务器使用192网段，部署于网络拓扑图的里端；两者之间通过VLAN隔离符合应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机没有配置不符合访问控制应在网络边界部署访问控制设备，启用访问控制功能在网络边界部署了防火墙，启用了访问控制功能符合应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级通过防火墙制定访问安全策略，细化至端口符合应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制没有对网络信息内容进行过滤不符合应在会话处于非活跃一定时间或会话结束后终止网络连接没有在交换机、防火墙上配置自动终止功能不符合应限制网络最大流量数及网络连接数没有在网络设备上进行最大流量数和网络连接数限制不符合重要网段应采取技术手段防止地址欺骗重要网段，如内网服务器区尚未采取IP地址与MAC地址绑定等措施防止地址欺骗不符合应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户路由器上只做了用户名和口令的控制，ftp服务器上做了目录访问读写权限的控制符合没有拨号用户没有拨号用户不适用安全审计应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录没有监控和审计设备不符合审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息没有监控和审计设备不符合应能够根据记录数据进行分析，并生成审计报表没有监控和审计设备不符合应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等没有监控和审计设备不符合边界完整性检查应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断没有限制不符合应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断没有相关措施不符合入侵防范应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等在连接Internet的网络边界处部署了IDS，能够监视攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等符合当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警现有的IDS能检测到攻击行为时，能记录攻击源IP、攻击类型、攻击目的、攻击时间，且提供报警符合恶意代码防范应在网络边界处对恶意代码进行检测和清除尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除不符合应维护恶意代码库的升级和检测系统的更新尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除不符合网络设备防护应对登录网络设备的用户进行身份鉴别防火墙_NetEye_FW4120采用帐户+密码方式对用户进行身份鉴别符合应对网络设备的管理员登录地址进行限制防火墙_NetEye_FW4120只有通过机房监控室的控制机才能登录网络设备和服务器符合网络设备用户的标识应唯一防火墙_NetEye_FW4120设备用户的标识是唯一的符合主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别防火墙_NetEye_FW4120设备没有采用两种技术手段来进行身份鉴别不符合身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换防火墙_NetEye_FW4120没有配置复杂口令策略不符合应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施防火墙_NetEye_FW4120没有配置该策略不符合当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听没有使用远程管理，只能在机房内使用console线进行管理；不适用应实现设备特权用户的权限分离防火墙_NetEye_FW4120尚未实现设备特权用户的权限分离不符合入侵检测系统_NetEyeIDS2100类别评估内容结果记录符合情况结构安全应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要无法查看日常网络设备的负载情况，也缺乏对网络设备性能的监控不符合应保证网络各个部分的带宽满足业务高峰期需要互联网出口带宽100M，银行出口带宽2M，XXXXXX的其他业务系统共用互联网出口，平时业务应用占用带宽无法确定不符合应在业务终端与业务服务器之间进行路由控制建立安全的访问路径在防火墙上配置了路由控制策略，使用静态路由，建立了安全的访问路径符合应绘制与当前运行情况相符的网络拓扑结构图已经绘制了与当前运行情况相符的网络拓扑结构图符合应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段业务系统的前端服务器使用172网段，业务系统的核心数据库服务器使用192网段符合应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段业务系统的前端服务器使用172网段，部署于拓扑图的外端；业务系统的核心数据库服务器使用192网段，部署于网络拓扑图的里端；两者之间通过VLAN隔离符合应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机没有配置不符合访问控制应在网络边界部署访问控制设备，启用访问控制功能在网络边界部署了防火墙，启用了访问控制功能符合应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级通过防火墙制定访问安全策略，细化至端口符合应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制没有对网络信息内容进行过滤不符合应在会话处于非活跃一定时间或会话结束后终止网络连接没有在交换机、防火墙上配置自动终止功能不符合应限制网络最大流量数及网络连接数没有在网络设备上进行最大流量数和网络连接数限制不符合重要网段应采取技术手段防止地址欺骗重要网段，如内网服务器区尚未采取IP地址与MAC地址绑定等措施防止地址欺骗不符合应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户路由器上只做了用户名和口令的控制，ftp服务器上做了目录访问读写权限的控制符合没有拨号用户没有拨号用户不适用安全审计应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录没有监控和审计设备不符合审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息没有监控和审计设备不符合应能够根据记录数据进行分析，并生成审计报表没有监控和审计设备不符合应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等没有监控和审计设备不符合边界完整性检查应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断没有限制不符合应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断没有相关措施不符合入侵防范应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等在连接Internet的网络边界处部署了IDS，能够监视攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等符合当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警现有的IDS能检测到攻击行为时，能记录攻击源IP、攻击类型、攻击目的、攻击时间，且提供报警符合恶意代码防范应在网络边界处对恶意代码进行检测和清除尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除不符合应维护恶意代码库的升级和检测系统的更新尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除不符合网络设备防护应对登录网络设备的用户进行身份鉴别入侵检测系统_NetEyeIDS2100采用帐户+密码方式对用户进行身份鉴别符合应对网络设备的管理员登录地址进行限制入侵检测系统_NetEyeIDS2100只有通过机房监控室的控制机才能登录网络设备和服务器符合网络设备用户的标识应唯一入侵检测系统_NetEyeIDS2100设备用户的标识是唯一的符合主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别入侵检测系统_NetEyeIDS2100设备没有采用两种技术手段来进行身份鉴别不符合身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换入侵检测系统_NetEyeIDS2100没有配置复杂口令策略不符合应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施入侵检测系统_NetEyeIDS2100没有配置该策略不符合当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听没有使用远程管理，只能在机房内使用console线进行管理；不适用应实现设备特权用户的权限分离入侵检测系统_NetEyeIDS2100尚未实现设备特权用户的权限分离不符合负载均衡_AD6050类别评估内容结果记录符合情况结构安全应保证主要网络设备的业务处理能力具备冗余空间，满足业务高峰期需要无法查看日常网络设备的负载情况，也缺乏对网络设备性能的监控不符合应保证网络各个部分的带宽满足业务高峰期需要互联网出口带宽100M，银行出口带宽2M，XXXXXX的其他业务系统共用互联网出口，平时业务应用占用带宽无法确定不符合应在业务终端与业务服务器之间进行路由控制建立安全的访问路径在防火墙上配置了路由控制策略，使用静态路由，建立了安全的访问路径符合应绘制与当前运行情况相符的网络拓扑结构图已经绘制了与当前运行情况相符的网络拓扑结构图符合应根据各部门的工作职能、重要性和所涉及信息的重要程度等因素，划分不同的子网或网段，并按照方便管理和控制的原则为各子网、网段分配地址段业务系统的前端服务器使用172网段，业务系统的核心数据库服务器使用192网段符合应避免将重要网段部署在网络边界处且直接连接外部信息系统，重要网段与其他网段之间采取可靠的技术隔离手段业务系统的前端服务器使用172网段，部署于拓扑图的外端；业务系统的核心数据库服务器使用192网段，部署于网络拓扑图的里端；两者之间通过VLAN隔离符合应按照对业务服务的重要次序来指定带宽分配优先级别，保证在网络发生拥堵的时候优先保护重要主机没有配置不符合访问控制应在网络边界部署访问控制设备，启用访问控制功能在网络边界部署了防火墙，启用了访问控制功能符合应能根据会话状态信息为数据流提供明确的允许/拒绝访问的能力，控制粒度为端口级通过防火墙制定访问安全策略，细化至端口符合应对进出网络的信息内容进行过滤，实现对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令级的控制没有对网络信息内容进行过滤不符合应在会话处于非活跃一定时间或会话结束后终止网络连接没有在交换机、防火墙上配置自动终止功能不符合应限制网络最大流量数及网络连接数没有在网络设备上进行最大流量数和网络连接数限制不符合重要网段应采取技术手段防止地址欺骗重要网段，如内网服务器区尚未采取IP地址与MAC地址绑定等措施防止地址欺骗不符合应按用户和系统之间的允许访问规则，决定允许或拒绝用户对受控系统进行资源访问，控制粒度为单个用户路由器上只做了用户名和口令的控制，ftp服务器上做了目录访问读写权限的控制符合没有拨号用户没有拨号用户不适用安全审计应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录没有监控和审计设备不符合审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息没有监控和审计设备不符合应能够根据记录数据进行分析，并生成审计报表没有监控和审计设备不符合应对审计记录进行保护，避免受到未预期的删除、修改或覆盖等没有监控和审计设备不符合边界完整性检查应能够对非授权设备私自联到内部网络的行为进行检查，准确定出位置，并对其进行有效阻断没有限制不符合应能够对内部网络用户私自联到外部网络的行为进行检查，准确定出位置，并对其进行有效阻断没有相关措施不符合入侵防范应在网络边界处监视以下攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等在连接Internet的网络边界处部署了IDS，能够监视攻击行为：端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击和网络蠕虫攻击等符合当检测到攻击行为时，记录攻击源IP、攻击类型、攻击目的、攻击时间，在发生严重入侵事件时应提供报警现有的IDS能检测到攻击行为时，能记录攻击源IP、攻击类型、攻击目的、攻击时间，且提供报警符合恶意代码防范应在网络边界处对恶意代码进行检测和清除尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除不符合应维护恶意代码库的升级和检测系统的更新尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除不符合网络设备防护应对登录网络设备的用户进行身份鉴别负载均衡_AD6050采用帐户+密码方式对用户进行身份鉴别符合应对网络设备的管理员登录地址进行限制负载均衡_AD6050只有通过机房监控室的控制机才能登录网络设备和服务器符合网络设备用户的标识应唯一负载均衡_AD6050设备用户的标识是唯一的符合主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别负载均衡_AD6050设备没有采用两种技术手段来进行身份鉴别不符合身份鉴别信息应具有不易被冒用的特点，口令应有复杂度要求并定期更换负载均衡_AD6050没有配置复杂口令策略不符合应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退出等措施负载均衡_AD6050没有配置该策略不符合当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听没有使用远程管理，只能在机房内使用console线进行管理；不适用应实现设备特权用户的权限分离负载均衡_AD6050尚未实现设备特权用户的权限分离不符合问题分析结构安全（1）差距小结无法查看日常网络设备的负载情况，也缺乏对网络设备性能的监控。互联网出口带宽100M，银行出口带宽2M，XXXXXX的其他业务系统共用互联网出口，平时业务应用占用带宽无法确定。没有按照对业务服务的重要次序来指定带宽分配优先级别。（2）后果分析无法了解网络设备的运行情况，会造成长期满负荷运转带来的设备损坏。无法了解各个业务应用占用的带宽比例，不清楚业务高峰期带宽的使用情况对用户产生的影响。在业务高峰期网络拥堵的时候，无法优先对重要业务的运行进行优先级处理，影响使用。访问控制（1）差距小结没有对网络信息内容进行过滤，无法对应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令进行控制。没有在交换机、防火墙上配置自动终止功能没有在网络设备上进行最大流量数和网络连接数限制重要网段，如内网服务器区尚未采取IP地址与MAC地址绑定等措施防止地址欺骗。（2）后果分析没有控制应用层HTTP、FTP、TELNET、SMTP、POP3等协议命令，有被获取到一些控制权限的危险。没有配置自动终止功能，可能造成资源的浪费。没有限制网络设备的最大流量和最大连接数，可能造成设备由于流量过大或者连接数过大而引起的宕机。IP地址欺骗是外部攻击者实现中间人攻击，进行网络渗透和绕过网络安全保密措施的常用手段之一，也是DDos等攻击的一种方式，可能会引起带宽拥堵、服务延时或中断、系统信息外泄等严重后果。安全审计（1）差距小结没有审计和监控设备。（2）后果分析监控网络设备运行状况是对整个网络架构进行管理、维护、监控的可靠方法。没有监控和审计设备无法体现具体的网络安全事件，也无法为事件调查和责任追究提供有力的证据，不利于对设备运行状况及用户行为进行更深层次的审计。边界完整性检查（1）差距小结各网络设备与安全设备无法有效检查、定位和阻断非授权设备或内部用户未通过准许私自联到外部网络的行为。（2）后果分析非授权设备、内部用户未通过准许私自联到外部网络的行为，是导致外部入侵攻击、病毒木马散播、敏感信息外泄的主要原因之一，无法对这类行为进行有效的监控，很可能导致整个网络边界完整性受到破坏，导致在边界处的安全防护措施形同虚设，从而引发一系列的安全事件，后果极为严重。恶意代码防范（1）差距小结在连接总局的广域网边界处部署了防毒墙，尚未在网络区域边界处部署专门的恶意代码防范设备对恶意代码进行检测和清除，无法实现恶意代码库升级和系统更新。（2）后果分析所谓“术业有专攻”，在网络恶意代码防范方面，防火墙、入侵检测系统、入侵防御系统的检测和防御能力均不够完善，只有采用专门的恶意代码防范设备才能实现对恶意代码进行全面、有效、及时的检测和清除。此外，恶意代码的研制、变种、扩散速度非常快，因此，必须保证网络恶意代码防范设备的恶意代码库做到实时更新和系统定期升级维护，才能适应恶意代码的发展，从而有效的保障网络安全。网络设备防护（1）差距小结网络设备和安全设备没有采用两种技术手段来进行身份鉴别。网络设备和安全设备尚未实现口令定期更改。网络设备和安全设备没有登录失败的策略配置。网络设备和安全设备尚未实现设备特权用户的权限分离。（2）后果分析网络设备和安全设备登录只通过用户名密码的形式来验证用户身份，没有其他的身份鉴别，可能存在被盗用的风险。如未定期修改设备的口令，将会导致外部攻击破解网络口令的成功率的提高。没有设置登录失败的策略，可能被暴力破解的方式攻破。未实现设备特权用户的权限分离，则无法有效监管系统管理员的操作，导致系统管理员的权限过大，无法进行责任认定，无法有效控制利用系统管理员权限进行攻击和破坏的行为。主机安全结果记录服务器_数据库_1（DELLPowerEdge）类别评估内容结果记录符合情况身份鉴别应对登录操作系统和数据库系统的用户进行身份标识和鉴别服务器操作系统和数据库系统均采用“帐号+密码”的保护机制对用户进行身份识别和鉴别符合操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换操作系统和数据库系统管理的密码复杂度没有要求，不会定期更换（通过安全加固解决）不符合应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施系统登录没有做限制（通过安全加固解决）不符合当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听采用ssh远程管理服务器可防止鉴别信息在网络传输过程中被窃听符合应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性操作系统和数据库系统不同的用户分配不同的用户名，用户名都是唯一的符合应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别系统只能在机房使用用户名和密码登录基本符合访问控制应启用访问控制功能，依据安全策略控制用户对资源的访问系统使用默认的服务，重要文件的权限没有控制不符合应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限没有对管理员进行权限分配不符合应实现操作系统和数据库系统特权用户的权限分离操作系统和数据库系统有外包公司掌握不符合应限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令系统中存在ftp、games默认账号不符合应及时删除多余的、过期的账户、避免共享账户的存在没有删除多余的、过期的账户不符合应对重要信息资源设置敏感标记系统没有对重要信息资源设置敏感标记不符合应依据安全策略严格控制用户对有敏感标记重要信息资源的操作尚未采取强制访问控制策略控制用户对有敏感标记重要信息资源的操作不符合安全审计审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户审计范围已覆盖服务器操作系统、服务器数据库、重要客户端（管理员主机）上的各个用户符合审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件审计内容包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件符合审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等审计记录包括事件的日期、时间、类型、主体标识、客体标识和结果等符合应能够根据记录数据进行分析，并生成审计报表审计日志记录没有人查看，无法自动生成审计报表不符合应保护审计进程，避免受到未预期的中断尚未对审计进程采取保护措施，难以避免审计进程受到未预期的中断不符合应保护审计记录，避免受到未预期的删除、修改或覆盖等只有超级用户可以对审计记录进行删除、修改或覆盖等符合剩余信息保护应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除符合应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前进行数据清除基本符合入侵防范应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警采用东软的IDS功能，可实现对重要服务器进行入侵行为的检测，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，在发生严重入侵事件时提供报警符合应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施系统自身有完整性检查机制，可以保障系统受到破坏后可以自动恢复符合操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新操作系统遵循了最小安装原则，仅安装了需要的组件和应用程序，系统通过升级的方式安装系统补丁符合恶意代码防范应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库主机尚未安装恶意代码软件不符合主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库主机尚未安装防恶意代码软件，网络尚未部署恶意代码防范系统不符合应支持防恶意代码软件的统一管理尚未安装恶意代码软件不符合资源控制应通过设定终端接入方式、网络地址范围等条件限制终端登录服务器_数据库系统只能在机房登陆符合应根据安全策略设置登录终端操作超时锁定尚未配置登录终端操作超时锁定功能不符合应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况有nigos监控系统，检查服务器的CPU、硬盘、内存、网络等资源的使用情况符合应限制单个用户对系统资源的最大或最小使用限度尚未限制单个用户对系统资源的最大或最小使用限度不符合应能够对系统的服务水平降低到预先规定的最小值进行检测和报警尚未对系统服务水平降低到预先规定的最小值进行检测和报警不符合服务器_数据库_2（DELLPowerEdge）类别评估内容结果记录符合情况身份鉴别应对登录操作系统和数据库系统的用户进行身份标识和鉴别服务器操作系统和数据库系统均采用“帐号+密码”的保护机制对用户进行身份识别和鉴别符合操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换操作系统和数据库系统管理的密码复杂度没有要求，不会定期更换不符合应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施系统登录没有做限制不符合当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听采用ssh远程管理服务器可防止鉴别信息在网络传输过程中被窃听符合应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性操作系统和数据库系统不同的用户分配不同的用户名，用户名都是唯一的符合应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别系统只能在机房使用用户名和密码登录基本符合访问控制应启用访问控制功能，依据安全策略控制用户对资源的访问系统使用默认的服务，重要文件的权限没有控制不符合应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限没有对管理员进行权限分配不符合应实现操作系统和数据库系统特权用户的权限分离操作系统和数据库系统有外包公司掌握不符合应限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令系统中存在ftp、games默认账号不符合应及时删除多余的、过期的账户、避免共享账户的存在没有删除多余的、过期的账户不符合应对重要信息资源设置敏感标记系统没有对重要信息资源设置敏感标记不符合应依据安全策略严格控制用户对有敏感标记重要信息资源的操作尚未采取强制访问控制策略控制用户对有敏感标记重要信息资源的操作不符合安全审计审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户审计范围已覆盖服务器操作系统、服务器数据库、重要客户端（管理员主机）上的各个用户符合审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件审计内容包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件符合审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等审计记录包括事件的日期、时间、类型、主体标识、客体标识和结果等符合应能够根据记录数据进行分析，并生成审计报表审计日志记录没有人查看，无法自动生成审计报表不符合应保护审计进程，避免受到未预期的中断尚未对审计进程采取保护措施，难以避免审计进程受到未预期的中断不符合应保护审计记录，避免受到未预期的删除、修改或覆盖等只有超级用户可以对审计记录进行删除、修改或覆盖等符合剩余信息保护应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除符合应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前进行数据清除基本符合入侵防范应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警采用东软的IDS功能，可实现对重要服务器进行入侵行为的检测，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，在发生严重入侵事件时提供报警符合应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施系统自身有完整性检查机制，可以保障系统受到破坏后可以自动恢复符合操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新操作系统遵循了最小安装原则，仅安装了需要的组件和应用程序，系统通过升级的方式安装系统补丁符合恶意代码防范应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库主机尚未安装恶意代码软件不符合主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库主机尚未安装防恶意代码软件，网络尚未部署恶意代码防范系统不符合应支持防恶意代码软件的统一管理尚未安装恶意代码软件不符合资源控制应通过设定终端接入方式、网络地址范围等条件限制终端登录服务器_数据库系统只能在机房登陆符合应根据安全策略设置登录终端操作超时锁定尚未配置登录终端操作超时锁定功能不符合应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况有nigos监控系统，检查服务器的CPU、硬盘、内存、网络等资源的使用情况符合应限制单个用户对系统资源的最大或最小使用限度尚未限制单个用户对系统资源的最大或最小使用限度不符合应能够对系统的服务水平降低到预先规定的最小值进行检测和报警尚未对系统服务水平降低到预先规定的最小值进行检测和报警不符合服务器_签名服务器_1（HPPROLIANT）类别评估内容结果记录符合情况身份鉴别应对登录操作系统和数据库系统的用户进行身份标识和鉴别服务器操作系统和数据库系统均采用“帐号+密码”的保护机制对用户进行身份识别和鉴别符合操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换操作系统和数据库系统管理的密码复杂度没有要求，不会定期更换不符合应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施系统登录没有做限制不符合当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听采用ssh远程管理服务器可防止鉴别信息在网络传输过程中被窃听符合应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性操作系统和数据库系统不同的用户分配不同的用户名，用户名都是唯一的符合应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别系统只能在机房使用用户名和密码登录基本符合访问控制应启用访问控制功能，依据安全策略控制用户对资源的访问系统使用默认的服务，重要文件的权限没有控制不符合应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限没有对管理员进行权限分配不符合应实现操作系统和数据库系统特权用户的权限分离操作系统和数据库系统有外包公司掌握不符合应限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令系统中存在ftp、games默认账号不符合应及时删除多余的、过期的账户、避免共享账户的存在没有删除多余的、过期的账户不符合应对重要信息资源设置敏感标记系统没有对重要信息资源设置敏感标记不符合应依据安全策略严格控制用户对有敏感标记重要信息资源的操作尚未采取强制访问控制策略控制用户对有敏感标记重要信息资源的操作不符合安全审计审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户审计范围已覆盖服务器操作系统、服务器数据库、重要客户端（管理员主机）上的各个用户符合审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件审计内容包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件符合审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等审计记录包括事件的日期、时间、类型、主体标识、客体标识和结果等符合应能够根据记录数据进行分析，并生成审计报表审计日志记录没有人查看，无法自动生成审计报表不符合应保护审计进程，避免受到未预期的中断尚未对审计进程采取保护措施，难以避免审计进程受到未预期的中断不符合应保护审计记录，避免受到未预期的删除、修改或覆盖等只有超级用户可以对审计记录进行删除、修改或覆盖等符合剩余信息保护应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除符合应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前进行数据清除基本符合入侵防范应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警采用东软的IDS功能，可实现对重要服务器进行入侵行为的检测，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，在发生严重入侵事件时提供报警符合应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施系统自身有完整性检查机制，可以保障系统受到破坏后可以自动恢复符合操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新操作系统遵循了最小安装原则，仅安装了需要的组件和应用程序，系统通过升级的方式安装系统补丁符合恶意代码防范应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库主机尚未安装恶意代码软件不符合主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库主机尚未安装防恶意代码软件，网络尚未部署恶意代码防范系统不符合应支持防恶意代码软件的统一管理尚未安装恶意代码软件不符合资源控制应通过设定终端接入方式、网络地址范围等条件限制终端登录服务器_数据库系统只能在机房登陆符合应根据安全策略设置登录终端操作超时锁定尚未配置登录终端操作超时锁定功能不符合应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况有nigos监控系统，检查服务器的CPU、硬盘、内存、网络等资源的使用情况符合应限制单个用户对系统资源的最大或最小使用限度尚未限制单个用户对系统资源的最大或最小使用限度不符合应能够对系统的服务水平降低到预先规定的最小值进行检测和报警尚未对系统服务水平降低到预先规定的最小值进行检测和报警不符合服务器_签名服务器_2（HPPROLIANT）类别评估内容结果记录符合情况身份鉴别应对登录操作系统和数据库系统的用户进行身份标识和鉴别服务器操作系统和数据库系统均采用“帐号+密码”的保护机制对用户进行身份识别和鉴别符合操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换操作系统和数据库系统管理的密码复杂度没有要求，不会定期更换不符合应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施系统登录没有做限制不符合当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听采用ssh远程管理服务器可防止鉴别信息在网络传输过程中被窃听符合应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性操作系统和数据库系统不同的用户分配不同的用户名，用户名都是唯一的符合应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别系统只能在机房使用用户名和密码登录基本符合访问控制应启用访问控制功能，依据安全策略控制用户对资源的访问系统使用默认的服务，重要文件的权限没有控制不符合应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限没有对管理员进行权限分配不符合应实现操作系统和数据库系统特权用户的权限分离操作系统和数据库系统有外包公司掌握不符合应限制默认账户的访问权限，重命名系统默认账户，修改这些账户的默认口令系统中存在ftp、games默认账号不符合应及时删除多余的、过期的账户、避免共享账户的存在没有删除多余的、过期的账户不符合应对重要信息资源设置敏感标记系统没有对重要信息资源设置敏感标记不符合应依据安全策略严格控制用户对有敏感标记重要信息资源的操作尚未采取强制访问控制策略控制用户对有敏感标记重要信息资源的操作不符合安全审计审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户审计范围已覆盖服务器操作系统、服务器数据库、重要客户端（管理员主机）上的各个用户符合审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件审计内容包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件符合审计记录应包括事件的日期、时间、类型、主体标识、客体标识和结果等审计记录包括事件的日期、时间、类型、主体标识、客体标识和结果等符合应能够根据记录数据进行分析，并生成审计报表审计日志记录没有人查看，无法自动生成审计报表不符合应保护审计进程，避免受到未预期的中断尚未对审计进程采取保护措施，难以避免审计进程受到未预期的中断不符合应保护审计记录，避免受到未预期的删除、修改或覆盖等只有超级用户可以对审计记录进行删除、修改或覆盖等符合剩余信息保护应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，无论这些信息是存放在硬盘上还是在内存中操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除符合应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全清除系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前进行数据清除基本符合入侵防范应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警采用东软的IDS功能，可实现对重要服务器进行入侵行为的检测，记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，在发生严重入侵事件时提供报警符合应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后具有恢复的措施系统自身有完整性检查机制，可以保障系统受到破坏后可以自动恢复符合操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新操作系统遵循了最小安装原则，仅安装了需要的组件和应用程序，系统通过升级的方式安装系统补丁符合恶意代码防范应安装防恶意代码软件，并及时更新防恶意代码软件版本和恶意代码库主机尚未安装恶意代码软件不符合主机防恶意代码产品应具有与网络防恶意代码产品不同的恶意代码库主机尚未安装防恶意代码软件，网络尚未部署恶意代码防范系统不符合应支持防恶意代码软件的统一管理尚未安装恶意代码软件不符合资源控制应通过设定终端接入方式、网络地址范围等条件限制终端登录服务器_数据库系统只能在机房登陆符合应根据安全策略设置登录终端操作超时锁定尚未配置登录终端操作超时锁定功能不符合应对重要服务器进行监视，包括监视服务器的CPU、硬盘、