服务器、数据库安全检查基线

服务器、数据库安全检查基线

填表人：联系电话：审核人签字:

服务器、数据库名称：IP地址:

控制点序号指标满足说明不满足说明

例：操作系统需输入用户名、

应对登录操作系统和数据库系统的

密码才能进入，并对不同用户

1用户进行身份标识和鉴别

设置有不同标识

截图说明

例：PASS_MAX_DAYS

99999

PASS_MIN_DAYS0

操作系统和数据库系统管理用户身

PASS_MIN_LEN5

份标识应具有不易被冒用的特点，口

身份鉴别2PASS_WARN_AGE7

令应有复杂度要求并定期更换

建议登录密码定期更换，

pass_max_days建议修改为

90

截图说明

应启用登录失败处理功能，可采取结

束会话、限制非法登录次数和自动退例：未启用登录失败处理功能

3

出等措施；

截图说明

当对服务器进行远程管理时，应采取

例：使用ssh远程连接，防止

必要措施，防止鉴别信息在网络传输

4鉴别信息被窃听

过程中被窃听；

截图说明

应为操作系统和数据库系统的不同例：系统中存在root,

用户分配不同的用户名，确保用户名ubuntu,ubuntu6,sync等用

5

具有唯一性。户,且userid唯一。

截图说明

应启用访问控制功能，依据安全策略例：不同用户具有不同访问权

6控制用户对资源的访问；限

截图说明

应根据管理用户的角色分配权限，实

现管理用户的权限分离，仅授予管理例：未对用户进行权限分离

访问控制7

用户所需的最小权限；

截图说明

应实现操作系统和数据库系统特权

例：不适用

8用户的权限分离；

武囹说明

应严格限制默认帐户的访问权限，重

例：未对默认用户及口令进行

命名系统默认帐户，修改这些帐户的

9重命名

默认口令；

截图说明

应及时删除多余的、过期的帐户，避例：存在ubuntu默认用户，

10免共享帐户的存在。该用户未使用

截图说明

审计范围应覆盖到服务器和重要客

户端上的每个操作系统用户和数据例：审计范围覆盖服务器。

库用户；

11

截图说明

安全审计

例：审计内容包括重要用户行

审计内容应包括重要用户行为、系统

为、系统资源的异常使用和重

资源的异常使用和重要系统命令的

12要系统命令的使用等系统内

使用等系统内重要的安全相关事件；

重要的安全相关事件；

截图说明

例：审计记录包括事件的日

审计记录应包括事件的日期、时间、

期、时间、类型、主体标识、

13类型、主体标识、客体标识和结果等

客体标识和结果等；

截图说明

应能够根据记录数据进彳亍分析，并生

例：未开启日志审计功能

14成审计报表

截图说明

应保护审计进程，避免受到未预期的

例：linux默认保护审计进程

15中断

截图说明

应保护审计记录，避免受到未预期的

例：linux默认保护审计记录

16删除、修改或覆盖等

截图说明

应能够检测到对重要服务器进行入

例：在公共服务器区前配备两

侵的行为，能够记录入侵的源IP、攻

台ips（主备）提供服务器区

入侵防范17击的类型、攻击的目的、攻击的时间

入侵防御功能

并在发生严重入侵事件砌是供报警

截图说明

应能够对重要程序的完整性进行检

例：linux默认进行完整性检

测，并在检测到完整性受到破坏后具

18测

有恢复的措施

截图说明

操作系统应遵循最小安装的原则，仅

例：操作系统仅安装应用所需

安装需要的组件和应用程序，并通过

组件，但未对操作系统补丁及

19设置升级服务器等方式保J寺系统补

时进行更新

丁及时得到更新。

截图说明

应安装防恶意代码软件，并及时更新

防恶意代码软件版本和恶意代码库；

恶意代码主机防恶意代码产品应具有与网络例：未安装防恶意代码软件

20

防范防恶意代码产品不同的恶意代码库；

应支持防恶意代码的统一管理。

截图说明

例：终端登录需提交申请给网

应通过设定终端接入方式、网络地址

络管理员后，在机房网络获得

21范围等条件限制终端登录

访问权限。

资源控制