信息安全等級評測師課堂筆記

1、信息安全 等級測評師 （初級） 1. 網(wǎng)絡(luò)安全測評 1.1 網(wǎng)絡(luò)全局 1.1.1 結(jié)構(gòu)安全 1. 應(yīng)該保證主要網(wǎng)絡(luò)設(shè)備的業(yè)務(wù)處理能力具備冗余空間，滿足業(yè)務(wù)高峰期需要；/硬件要達(dá)標(biāo),也就是硬件的性能不能局限于剛好夠用的地步 2. 應(yīng)該保證網(wǎng)絡(luò)的各個部分的帶寬滿足業(yè)務(wù)高峰期需要；/帶寬要達(dá)標(biāo) 3. 應(yīng)在業(yè)務(wù)終端與服務(wù)器之間進(jìn)行路由控制，簡歷安全的訪問路徑；/傳輸過程中的信息要加密，節(jié)點和節(jié)點之間要進(jìn)行認(rèn)證，例如OSPF的認(rèn)證：檢測方法：Cisco show ru & display cu 4. 繪制與當(dāng)前運行狀況相符合的網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)圖； 5. 根據(jù)各個部門工作智能，重要性和所涉及信息的重要

2、程度等一些因素，劃分不同的子網(wǎng)或者網(wǎng)段，并按照方便管理和控制的原則為各子網(wǎng)，網(wǎng)段分配地址段；/ 劃分VLAN最合適,檢測方法： Cisco show vlan Huawei display vlan all 6. 避免將重要的網(wǎng)段不是在網(wǎng)絡(luò)邊界處且直接連接到外部信息系統(tǒng)，重要網(wǎng)段與其他網(wǎng)段之間采取可靠的技術(shù)手段隔離；/重要網(wǎng)段與其他網(wǎng)段之間采用訪問控制策略，安全區(qū)域邊界處要采用防火墻，網(wǎng)閘等設(shè)備 7. 按照對業(yè)務(wù)的重要次序來指定帶寬的分配優(yōu)先級別，保證在網(wǎng)絡(luò)發(fā)生擁堵時優(yōu)先保護(hù)重要主機(jī)；/有防火墻是否存在策略帶寬配置，邊界網(wǎng)絡(luò)設(shè)備是否存在相關(guān)策略配置（僅僅在邊界進(jìn)行檢查？） 1.1.2 邊界完整

3、性檢查 1 能夠應(yīng)對非授權(quán)的設(shè)備私自連接到內(nèi)部網(wǎng)絡(luò)的行為進(jìn)行檢查，能夠做到準(zhǔn)確定位，并能夠?qū)ζ溥M(jìn)行有效阻斷；/防止外部未經(jīng)授權(quán)的設(shè)備進(jìn)來 2 應(yīng)該能夠?qū)?nèi)部網(wǎng)絡(luò)用戶私自連接到外部網(wǎng)絡(luò)的行為進(jìn)行檢查，能夠做到準(zhǔn)確定位，并對其進(jìn)行有效的阻斷；/防止內(nèi)部設(shè)備繞過安全設(shè)備出去 1.1.3 入侵防范 1. 應(yīng)該在網(wǎng)絡(luò)邊界處監(jiān)視以下行為的攻擊：端口掃描，強力攻擊，木馬后門攻擊，拒絕服務(wù)攻擊，緩沖區(qū)溢出攻擊，IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊/邊界網(wǎng)關(guān)處是否部署了相應(yīng)的設(shè)備，部署的設(shè)備是否能夠完成上述功能 2. 當(dāng)檢測到攻擊行為時，能夠記錄攻擊源IP，攻擊類型，攻擊目的，攻擊時間，在發(fā)生嚴(yán)重入侵事件時應(yīng)該提供報警；

4、/邊界網(wǎng)關(guān)處事都部署了包含入侵防范功能的設(shè)備，如果部署了，是否能夠完成上述功能 1.1.4 惡意代碼防范 1. 應(yīng)該在網(wǎng)絡(luò)邊界處對惡意代碼進(jìn)行檢查和清除；/網(wǎng)絡(luò)中應(yīng)該有防惡意代碼的產(chǎn)品，可以是防病毒網(wǎng)關(guān)，可以是包含防病毒模塊的多功能安全網(wǎng)關(guān)，也可以是網(wǎng)絡(luò)版的防病毒系統(tǒng)產(chǎn)品 2. 維護(hù)惡意代碼庫的升級和檢測系統(tǒng)升級；/應(yīng)該能夠更新自己的代碼庫文件 1.2 路由器 1.2.1 訪問控制 1 應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能；/路由器本身就具有訪問控制功能，看看是否開啟了，如果在網(wǎng)絡(luò)邊界處單獨布置了其他訪問控制的產(chǎn)品，那就更好了 2 應(yīng)能根據(jù)會話狀態(tài)的信息為數(shù)據(jù)流提供明確的允許/拒絕訪

5、問的能力，控制力度為端口級；/要求ACL為擴(kuò)展的ACL，檢測：show ip access-list & display acl config all 依據(jù)安全策略，下列的服務(wù)建議關(guān)閉： 序號 服務(wù)名稱 描述 關(guān)閉方式 1 CDP Cisco 設(shè)備間特有的2 層協(xié)議 No cdp run No cdp enable 2 TCP UDP small service 標(biāo)準(zhǔn)TCP UDP的網(wǎng)絡(luò)服務(wù)：回應(yīng)，生成字符等 No service tcp-small-service No service ucp-small-service 3 Finger UNIX用戶查找服務(wù)，允許用戶遠(yuǎn)程列表 No

6、 ip finger No service finger 4 BOOTP 允許其他服務(wù)器從這個路由器引導(dǎo) No ip bootp server 5 Ip souer routing IP 特性允許數(shù)據(jù)包指定他們自己的路由 No ip source-route 6 ARP-Proxy 啟用它容易引起路由表混亂 No ip proxy-arp 7 IP directed broadcast 數(shù)據(jù)包能為廣播識別目的的VLAN No ip directed broadcast 8 WINS和DNS 路由器能實行DNS解析 No ip domain-lookup 3 應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實現(xiàn)

7、對應(yīng)用層HTTP，F(xiàn)TP，TELNET，SMTP，POP3等協(xié)議命令級的控制；/網(wǎng)絡(luò)中如果部署了防火墻，這個一般要在防火墻上實現(xiàn) 4 應(yīng)該在會話處于非活躍一段時間后自動終止連接；/防止無用的連接占用較多的資源，也就是會話超時自動退出 5 應(yīng)該限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；/根據(jù)IP地址，端口，協(xié)議來限制應(yīng)用數(shù)據(jù)流的最大帶寬，從而保證業(yè)務(wù)帶寬不被占用，如果網(wǎng)絡(luò)中有防火墻，一般要在防火墻上面實現(xiàn) 6 重要網(wǎng)絡(luò)應(yīng)該采取技術(shù)手段防止地址欺騙；/ARP欺騙，解決方法：把網(wǎng)絡(luò)中的所有設(shè)備都輸入到一個靜態(tài)表中，這叫IP-MAC綁定;或者在內(nèi)網(wǎng)的所有PC上設(shè)置網(wǎng)關(guān)的靜態(tài)ARP信息，這叫PC IP-MAC綁定

8、，一般這兩個都做，叫做IP-MAC的雙向綁定 7 應(yīng)該按照用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個用戶；/限制用戶對一些敏感受控資源的訪問，驗證：show crypto isakmp policy | show crypto ipsec transform-set | show ip access-list 8 應(yīng)該限制具有撥號訪問權(quán)限的用戶數(shù)量；/對通過遠(yuǎn)程采用撥號方式或通過其他方式連入單位內(nèi)網(wǎng)的用戶，路由器等相關(guān)設(shè)備應(yīng)提供限制具有撥號訪問權(quán)限的用戶數(shù)量的相關(guān)功能，驗證 ：show run & dis dialer 1.2.2 安全審計

9、1. 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況，網(wǎng)絡(luò)流量，用戶行為等進(jìn)行日志記錄；/ 默認(rèn)情況下，路由器的這個服務(wù)處于啟動狀態(tài)，驗證：show logging & dis cu 2. 審計記錄應(yīng)該包括：事件的日期和時間，用戶，事件類型，事件是否成功等相關(guān)信息；/思科華為路由器開啟日志功能就可以實現(xiàn) 3. 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計報表；/使用什么手段實現(xiàn)了審計記錄數(shù)據(jù)的分析和報表生成 4. 應(yīng)對審計記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除，修改或者覆蓋；/要備份日志記錄，驗證：show logging & dis cu 1.2.3 網(wǎng)絡(luò)設(shè)備保護(hù) 1. 應(yīng)該對登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行

10、身份鑒別；/身份鑒別，也就是要有密碼，vty的密碼，enable的密碼 con 0 的密碼.,驗證：show run & dis cu 2. 應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；/利用ACL等對登錄到該設(shè)備的人員范圍進(jìn)行控制，驗證：show run & dis cu 3. 網(wǎng)絡(luò)設(shè)備用戶的表示應(yīng)該唯一；/本意是不能有多人公用一個帳號，這樣方便出現(xiàn)問題的時候進(jìn)行追溯,show run & dis cu 4. 主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一用戶選擇兩種或者兩種以上組合鑒別技術(shù)來進(jìn)行身份鑒別；/感覺好像是多次的認(rèn)證 5. 身份鑒別信息應(yīng)該具有不易被冒用的特點，口令應(yīng)該具有復(fù)雜度要求并且

11、定期更換；/網(wǎng)絡(luò)中或者是服務(wù)器上的密碼存儲應(yīng)該采用密文存儲：show run & dis cu 6. 應(yīng)該具有登錄失敗處理的能力，可采取結(jié)束會話，限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時的時候自動退出等措施；/也就是超時自動退出，輸入多少次錯誤的密碼后自動凍結(jié)帳號一段時間：show run & dis cu 7. 當(dāng)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時，應(yīng)該采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸?shù)倪^程中被竊聽；/建議采用一些安全帶的協(xié)議，ssh，https等 8. 應(yīng)該實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離； 1.3 交換機(jī) 1.3.1 訪問控制 1. 應(yīng)在網(wǎng)絡(luò)邊界部署訪問控制設(shè)備，啟用訪問控制功能； 2. 應(yīng)

12、能根據(jù)會話狀態(tài)的信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制力度為端口級； 3. 應(yīng)對進(jìn)出網(wǎng)絡(luò)的信息內(nèi)容進(jìn)行過濾，實現(xiàn)對應(yīng)用層HTTP，F(xiàn)TP，TELNET，SMTP，POP3等協(xié)議命令級的控制； 4. 應(yīng)該在會話處于非活躍一段時間后自動終止連接； 5. 應(yīng)該限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)； 6. 重要網(wǎng)絡(luò)應(yīng)該采取技術(shù)手段防止地址欺騙； 7. 應(yīng)該按照用戶和系統(tǒng)之間的允許訪問規(guī)則，決定允許或拒絕用戶對受控系統(tǒng)進(jìn)行資源訪問，控制粒度為單個用戶； 8. 應(yīng)該限制具有撥號訪問權(quán)限的用戶數(shù)量； 1.3.2 安全審計 1. 應(yīng)對網(wǎng)絡(luò)系統(tǒng)中的網(wǎng)絡(luò)設(shè)備運行狀況，網(wǎng)絡(luò)流量，用戶行為等進(jìn)行日志記錄； 2.

13、審計記錄應(yīng)該包括：事件的日期和時間，用戶，事件類型，事件是否成功等相關(guān)信息； 3. 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行分析，并生成審計報表； 4. 應(yīng)對審計記錄進(jìn)行保護(hù)，避免受到未預(yù)期的刪除，修改或者覆蓋； 1.3.3 網(wǎng)絡(luò)設(shè)備的保護(hù) 1. 應(yīng)該對登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別； 2. 應(yīng)對網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；/利用ACL等對登錄到該設(shè)備的人員范圍進(jìn)行控制； 3. 網(wǎng)絡(luò)設(shè)備用戶的表示應(yīng)該唯一；/本意是不能有多人公用一個帳號，這樣方便出現(xiàn)問題的時候進(jìn)行追溯 4. 主要網(wǎng)絡(luò)設(shè)備應(yīng)對同一用戶選擇兩種或者兩種以上組合鑒別技術(shù)來進(jìn)行身份鑒別；/感覺好像是多次的認(rèn)證 5. 身份鑒別信息應(yīng)該具有不易被冒用

14、的特點，口令應(yīng)該具有復(fù)雜度要求并且定期更換； 6. 應(yīng)該具有登錄失敗處理的能力，可采取結(jié)束會話，限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時的時候自動退出等措施； 7. 當(dāng)網(wǎng)絡(luò)設(shè)備進(jìn)行遠(yuǎn)程管理時，應(yīng)該采取必要措施防止鑒別信息在網(wǎng)絡(luò)傳輸?shù)倪^程中被竊聽；/建議采用一些安全帶的協(xié)議，ssh，https等 8. 應(yīng)該實現(xiàn)設(shè)備特權(quán)用戶的權(quán)限分離； 1.4 防火墻 防火墻的要求完全和路由交換機(jī)完全一樣。 1.5 IDS IDS的要求完全和路由交換機(jī)完全一樣。 2. 主機(jī)安全測評 2.1 操作系統(tǒng)測評 2.1.1 身份鑒別 1. 應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份表示和鑒別；/登錄階段要有密碼保護(hù)機(jī)制，例如

15、window的登錄界面；linux用戶密碼的保存路徑：/etc/shadow 2. 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應(yīng)該具有不易被冒用的特點，口令應(yīng)該具有復(fù)雜度要求并且定期更換；/口令最好要定期更換，并且應(yīng)該具有一定的復(fù)雜度，例如數(shù)字+大小寫字母+符號之類的 使用more /etc/login.defs查看linux下的文件內(nèi)容及其各自含義 PASS_MAX_DAYS 90 #登錄密碼有效期90天 PASS_MIN_DAYS 0 #登錄密碼最短修改時間 PASS_MIN_LEN 8 #登錄密碼的最小長度8位 PASS_WARN_AGE 7 #登錄密碼過期提前7天提示修改 FALL_DE

16、LAY 10 #登錄錯誤時等待時間10秒 FALLOG_ENAB yes #登錄錯誤記錄到日志 SYSLOG_SU_ENAB yes #當(dāng)限定超級用戶管理日志時使用 SYSLOG_SG_ENAB yes #當(dāng)限定超級用戶組管理日志時使用 MD5_CRYPT_ENAB yes #當(dāng)使用md5為密碼的加密方法時使用 3. 啟用登錄失敗處理功能，可采取結(jié)束會話，限制非法登錄次數(shù)和自動退出等措施；/window下直接測試錯誤次數(shù)；linux下記錄/etc/pam.d/system-auth文件中是否存在 account required /lib.security.pam_tally.so deny=

17、5 no_magic_root reset 4. 當(dāng)對服務(wù)器進(jìn)行遠(yuǎn)程管理時，應(yīng)該采取必要措施，防止信息在網(wǎng)絡(luò)傳輸過程中被竊聽；/linux下查看：1.首先查看是否安裝ssh的相應(yīng)包：rpm aq | grep ssh 或者查看是否運行了該服務(wù)：service status-all | grep sshd 2.如果已經(jīng)安裝則看相應(yīng)端口是否打開： netstat an|grep 22 3.若有SSH，則查看是否還有Telnet 方式進(jìn)行遠(yuǎn)程連接：serivce status-all|grep running 5. 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫的不同用戶分配不同的用戶名，確保用戶名具有唯一性；/linux下

18、 cat /etc/passwd 6. 應(yīng)采取兩種或者兩種以上的認(rèn)證對管理員用戶進(jìn)行鑒別； 2.1.2 訪問控制 1. 實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離； 2. 應(yīng)該啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問；/Linux下使用ls l 文件名 命令 查看重要文件和目錄權(quán)限設(shè)置是否合理，例如 ls l /etc/passwd #744 (默認(rèn)存在問題的賬戶，/etc/passwd 文件權(quán)限為666) 3. 應(yīng)該嚴(yán)格限制默認(rèn)賬戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)賬戶，修改這些賬戶的默認(rèn)口令；/默認(rèn)賬戶建議禁止，建議默認(rèn)賬戶重命名；linux下查看 cat /etc/shadow, 用戶

19、名前有#號，表示已經(jīng)被禁用 4. 及時刪除多余的，過期 的賬戶，避免共享賬戶的存在； 5. 應(yīng)對重要的資源設(shè)置敏感標(biāo)記；/cat /etc/passwd 6. 應(yīng)該根據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作； 2.1.3 安全審計 1. 審計范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個操作系統(tǒng)和數(shù)據(jù)庫用戶； 2. 審計內(nèi)容應(yīng)該包括重要的用戶行為，系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件； 3. 審計的記錄應(yīng)該包括時間的日期，時間，類型。主體標(biāo)識，客體標(biāo)識和結(jié)果等； 4. 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行數(shù)據(jù)分析，并生成審計報表； 5. 應(yīng)保護(hù)審計進(jìn)程，避免受到未預(yù)期的中斷；

20、 6. 應(yīng)該保護(hù)審計記錄，避免受到未預(yù)期的刪除，修改和覆蓋等； 2.1.4 剩余信息保護(hù) 1. 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用骨灰的鑒別信息所在的存儲空間，被釋放活再分配給其他用戶前得到完全清除，無論這些信息是存放在硬盤上還是存在內(nèi)存中； 2. 應(yīng)確保系統(tǒng)內(nèi)的文件，目錄和數(shù)據(jù)庫記錄等資源所在存儲空間，被釋放活重新分配給其他用戶前得到完全清楚； 2.1.5 入侵防范 1. 應(yīng)該能夠檢測到對重要服務(wù)器進(jìn)行入侵的行為，能夠記錄入侵的源 IP，攻擊的類型，目的，時間，并在發(fā)生嚴(yán)重入侵事件時提供報警； 2. 能夠?qū)χ匾绦虻耐暾赃M(jìn)行檢測，并在檢測到完整性收到破壞后具有恢復(fù)措施； 3. 操作系統(tǒng)應(yīng)該遵循最

21、小安裝原則，僅僅安裝需要的組件和應(yīng)用程序，并通過設(shè)置升級服務(wù)器等方式保持系統(tǒng)補丁及時得到更新； 2.1.6 惡意代碼防范 1. 應(yīng)安裝防范惡意代碼的軟件，并及時更新防范惡意代碼軟件版本和惡意代碼庫； 2. 主機(jī)防范惡意代碼庫產(chǎn)品應(yīng)具有與網(wǎng)絡(luò)防惡意代碼產(chǎn)品不同的惡意代碼庫； 3. 應(yīng)支持防惡意代碼的同意管理； 2.1.7 資源控制 1. 通過設(shè)置終端接入方式，網(wǎng)絡(luò)地址范圍等條件限制終端登錄； 2. 應(yīng)根據(jù)安全策略設(shè)置登錄終端的操作超時鎖定； 3. 應(yīng)對重要服務(wù)器進(jìn)行監(jiān)視，包括監(jiān)視服務(wù)器的CPU，硬盤，內(nèi)存，網(wǎng)絡(luò)等資源的使用情況； 4. 應(yīng)該限制單一用戶對系統(tǒng)資源的最大或最小使用限度； 5. 應(yīng)能

22、夠?qū)ο到y(tǒng)的服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報警； 2.2 數(shù)據(jù)庫系統(tǒng)測評 2.2.1 身份鑒別 1. 應(yīng)對登錄操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)的用戶進(jìn)行身份標(biāo)記和鑒別； 2. 操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)管理用戶身份鑒別信息應(yīng)該具有不易被冒用的特點，口令應(yīng)該具有復(fù)雜度要求并且定期更換； 3. 啟用登錄失敗處理功能，可采取結(jié)束會話，限制非法登錄次數(shù)和自動退出等措施； 4. 當(dāng)對服務(wù)器進(jìn)行遠(yuǎn)程管理時，應(yīng)該采取必要措施，防止信息在網(wǎng)絡(luò)傳輸過程中被竊聽 5. 應(yīng)為操作系統(tǒng)和數(shù)據(jù)庫的不同用戶分配不同的用戶名，確保用戶名具有唯一性； 2.2.2 訪問控制 1. 應(yīng)該啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問；

23、 2. 應(yīng)根據(jù)管理用戶的角色分配權(quán)限，實現(xiàn)管理用戶的權(quán)限分離，僅僅授予管理用戶最小的權(quán)限 3. 實現(xiàn)操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)特權(quán)用戶的權(quán)限分離； 4. 應(yīng)該嚴(yán)格限制默認(rèn)賬戶的訪問權(quán)限，重命名系統(tǒng)默認(rèn)賬戶，修改這些賬戶的默認(rèn)口令； 5. 及時刪除多余的，過期 的賬戶，避免共享賬戶的存在； 6. 應(yīng)對重要的資源設(shè)置敏感標(biāo)記； 7. 應(yīng)該根據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作； 2.2.3 安全審計 1. 審計范圍應(yīng)覆蓋到服務(wù)器和重要客戶端上的每個操作系統(tǒng)和數(shù)據(jù)庫用戶； 2. 審計內(nèi)容應(yīng)該包括重要的用戶行為，系統(tǒng)資源的異常使用和重要系統(tǒng)命令的使用等系統(tǒng)內(nèi)重要的安全相關(guān)事件； 3. 審計的

24、記錄應(yīng)該包括時間的日期，時間，類型。主體標(biāo)識，客體標(biāo)識和結(jié)果等； 4. 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行數(shù)據(jù)分析，并生成審計報表； 5. 應(yīng)保護(hù)審計進(jìn)程，避免受到未預(yù)期的中斷； 6. 應(yīng)該保護(hù)審計記錄，避免受到未預(yù)期的刪除，修改和覆蓋等； 2.2.4 資源控制 1. 應(yīng)通過設(shè)定終端接入方式，網(wǎng)絡(luò)地址范圍等條件限制終端登錄； 2. 應(yīng)該根據(jù)安全策略設(shè)置登錄終端操作超時鎖定； 3. 應(yīng)該限制單個用戶對系統(tǒng)資源的最大或最小使用限度。 3. 應(yīng)用安全測評 3.1 身份鑒別 1. 應(yīng)提供專用的登錄控制模塊對登錄用戶進(jìn)行身邊標(biāo)記和鑒別； 2. 應(yīng)對同一個用戶采用兩種或者兩種以上組合的鑒別技術(shù)實現(xiàn)用書身份鑒別； 3.

25、 應(yīng)提供用戶身份標(biāo)識唯一和鑒別信息復(fù)雜度檢查功能，保證應(yīng)用系統(tǒng)中不存在重復(fù)用戶身份標(biāo)識，身份鑒別信息應(yīng)該不易被冒用； 4. 應(yīng)能夠提供登錄失敗的處理功能，可采取結(jié)束會話，限制非法登錄次數(shù)和自動退出等措施； 5. 應(yīng)用身份鑒別，用戶身份標(biāo)識唯一性檢查，用戶身份鑒別信息復(fù)雜度檢查，以及登錄失敗處理能力，并根據(jù)安全策略配置相關(guān)參數(shù)； 3.2 訪問控制 1. 應(yīng)提供訪問控制功能，依據(jù)安全策略控制用戶對文件，數(shù)據(jù)庫表等客體的訪問； 2. 訪問控制的覆蓋范圍應(yīng)該包括與資源訪問相關(guān)的注意，客體以及他們之間的操作； 3. 應(yīng)該由授權(quán)主體配置訪問控制策略，并嚴(yán)格限制默認(rèn)賬戶的訪問權(quán)限； 4. 應(yīng)授予不同賬戶為完

26、成各自承擔(dān)任務(wù)所需要的最小權(quán)限，并在他們之間形成相互制約的關(guān)系； 5. 應(yīng)具有對重要信息戲院設(shè)置敏感標(biāo)記的功能； 6. 應(yīng)依據(jù)安全策略嚴(yán)格控制用戶對有敏感標(biāo)記重要信息資源的操作； 3.3 安全審計 1. 應(yīng)提供覆蓋到每個用戶的安全審計功能，對應(yīng)用系統(tǒng)重要安全時間進(jìn)行審計； 2. 應(yīng)保證無法單獨終端審計進(jìn)程，無法刪除，修改或者覆蓋審計記錄； 3. 審計的記錄應(yīng)該包括時間的日期，時間，類型。主體標(biāo)識，客體標(biāo)識和結(jié)果等； 4. 應(yīng)能夠根據(jù)記錄數(shù)據(jù)進(jìn)行數(shù)據(jù)分析，并生成審計報表； 3.4 剩余信息的保護(hù) 1. 應(yīng)保證操作系統(tǒng)和數(shù)據(jù)庫系統(tǒng)用骨灰的鑒別信息所在的存儲空間，被釋放活再分配給其他用戶前得到完全清

27、除，無論這些信息是存放在硬盤上還是存在內(nèi)存中； 2. 應(yīng)確保系統(tǒng)內(nèi)的文件，目錄和數(shù)據(jù)庫記錄等資源所在存儲空間，被釋放活重新分配給其他用戶前得到完全清楚； 3.5 通信完整性 1. 應(yīng)采用密碼技術(shù)保證通信過程中數(shù)據(jù)的完整性； 3.6 通信的保密性 1. 在通信雙方簡歷連接之前，應(yīng)用系統(tǒng)應(yīng)該利用密碼技術(shù)進(jìn)行會話的初始化驗證； 2. 應(yīng)對通信過程中的整個報文活會話過程進(jìn)行加密； 3.7 抗抵賴 1. 應(yīng)具有在請求的情況下為數(shù)據(jù)原發(fā)者或者接收者提供數(shù)據(jù)原發(fā)者證據(jù)的功能； 2. 應(yīng)具有在請求情況下為數(shù)據(jù)原發(fā)者或接收者提供數(shù)據(jù)接收證據(jù)的功能； 3.8 軟件容錯 1. 應(yīng)提供數(shù)據(jù)有效性校驗功能，保證通過人機(jī)

28、接口或者通過通信接口輸入的數(shù)據(jù)格式或者長度符合系統(tǒng)設(shè)定要求； 2. 應(yīng)該提供自我保護(hù)功能，當(dāng)故障發(fā)生時自動保護(hù)當(dāng)前所有狀態(tài)，保證系統(tǒng)能夠進(jìn)行恢復(fù)； 3.9 資源控制 1. 當(dāng)應(yīng)用系統(tǒng)的通信雙方中的一方在一段時間內(nèi)未做任何響應(yīng)，另一方能夠自動結(jié)束會話； 2. 應(yīng)能夠?qū)ο到y(tǒng)的最大并發(fā)連接數(shù)進(jìn)行限制； 3. 應(yīng)能夠?qū)蝹€賬戶的多重并發(fā)會話進(jìn)行限制； 4. 應(yīng)能夠?qū)σ粋€時間段內(nèi)可能的并發(fā)會話書進(jìn)行限制； 5. 能夠?qū)σ粋€訪問賬戶或者一個請求進(jìn)程占用的資源分配最大限額和最小限額進(jìn)行控制； 6. 應(yīng)能夠?qū)ο到y(tǒng)服務(wù)水平降低到預(yù)先規(guī)定的最小值進(jìn)行檢測和報警； 4 數(shù)據(jù)安全測評 4.1 數(shù)據(jù)完整性 1. 應(yīng)能夠

29、檢測系統(tǒng)管理數(shù)據(jù)，鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在傳輸過程中完整性是否受到破壞，并在檢測到完整性錯誤時采取必要的恢復(fù)機(jī)制； 2. 應(yīng)能夠檢測到系統(tǒng)管理數(shù)據(jù)，鑒別信息和重要業(yè)務(wù)數(shù)據(jù)在存儲過程中完整性是否收到破壞，并在檢測到破壞的時候能夠采取必要的恢復(fù)措施； 4.2 數(shù)據(jù)保密性 1. 應(yīng)采用加密或者其他有效措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)，鑒別信息和重要業(yè)務(wù)數(shù)據(jù)傳輸?shù)谋Ｃ苄裕?2. 應(yīng)采用加密或者其他有效措施實現(xiàn)系統(tǒng)管理數(shù)據(jù)，鑒別信息和重要業(yè)務(wù)數(shù)據(jù)存儲的保密性； 4.3 備份和恢復(fù) 1. 應(yīng)提供本地數(shù)據(jù)備份與恢復(fù)功能，完全數(shù)據(jù)備份至少每天一次，備份介質(zhì)場外存放； 2. 應(yīng)提供數(shù)據(jù)異地備份功能，利用通信網(wǎng)絡(luò)將關(guān)鍵數(shù)據(jù)定

30、時批量傳送至備用場地； 3. 應(yīng)采用冗余技術(shù)設(shè)計網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)，避免關(guān)鍵節(jié)點存在單點故障； 4. 應(yīng)提供主要網(wǎng)絡(luò)設(shè)備，通信線路和數(shù)據(jù)處理系統(tǒng)的硬件冗余，保證系統(tǒng)的高可用性； 5 物理安全測評 5.1 物理位置的選擇；選擇在具有防風(fēng)防震防雨等能力的建筑物內(nèi)，避免在建筑物的頂層或者地下室，用水設(shè)備的下層或者隔壁 5.2 物理訪問控制；不能讓人隨便進(jìn)出機(jī)房，進(jìn)出必須授權(quán)， 5.3 防盜和防破壞； 5.4 防雷擊； 5.5 防火；有無消防器材 5.6 防水和防潮；機(jī)房內(nèi)不能有漏水，積水或者返潮現(xiàn)象 5.7 防靜電；機(jī)房的地板，工作臺和主要設(shè)備是否采用了不易產(chǎn)生靜電的材料 5.8 溫濕度控制；機(jī)房是否有溫

31、濕度自動調(diào)節(jié)設(shè)備 5.9 電力供應(yīng)和電磁防護(hù)；是否有電源穩(wěn)壓器，UPS，設(shè)備是否有電磁屏蔽層，設(shè)備外殼是否接地 6 安全管理測評 6.1 安全管理制度 6.1.1 管理制度/了解安全管理制度體系的構(gòu)成 6.1.2 安全管理制度的指定和發(fā)布/了解安全制度指定的流程和方法 6.1.3 評審和修訂/對安全管理制度進(jìn)行定期的評審和修訂 6.2 安全管理機(jī)構(gòu) 6.2.1 崗位設(shè)定 6.2.2 人員配備 6.2.3 授權(quán)和審批 6.2.4 溝通和合作 6.2.5 審核和審查 6.3 人員安全管理 6.3.1 人員錄用 6.3.2 人員離崗 6.3.3 人員考核 6.3.4 安全意識教育和培訓(xùn) 6.3.5

32、外部人員訪問管理 6.4 系統(tǒng)建設(shè)管理 6.4.1 系統(tǒng)定級 6.4.2 安全方案設(shè)計 6.4.3 產(chǎn)品采購 6.4.4 自行軟件開發(fā) 6.4.5 外包軟件開發(fā) 6.4.6 工程實施 6.4.7 測試驗收 6.4.8 系統(tǒng)支付 6.4.9 系統(tǒng)備案 6.4.10 登記測評 6.4.11 安全服務(wù)商選擇 6.5 系統(tǒng)運維管理 6.5.1 環(huán)境管理 6.5.2 資產(chǎn)管理 6.5.3 介質(zhì)管理 6.5.4 設(shè)備管理 6.5.5 監(jiān)控管理和安全管理中心 6.5.6 網(wǎng)絡(luò)安全管理 6.5.7 系統(tǒng)安全管理 6.5.8 惡意代碼防范管理 6.5.9 密碼管理 6.5.10 變更管理 6.5.11 備份與恢復(fù)管理 6.5.12