信息系統(tǒng)等級安全服務(wù)方案

1、PAGE PAGE 61信息系統(tǒng)等級安全方案二零零九年八月版權(quán)聲明本文中出現(xiàn)的任何文字敘述、文檔格式、插圖、照片、方法、過程等內(nèi)容，除另有特別注明，版權(quán)均屬國網(wǎng)電力科學(xué)研究院/國網(wǎng)信息網(wǎng)絡(luò)安全實驗室和山東省電力集團公司所有，受到有關(guān)產(chǎn)權(quán)及版權(quán)法保護.任何個人、機構(gòu)未經(jīng)國網(wǎng)電力科學(xué)研究院/國網(wǎng)信息網(wǎng)絡(luò)安全實驗室和山東省電力集團公司的書面授權(quán)許可，不得以任何方式復(fù)制或引用本文的任何片斷。文檔信息文檔名稱山東省電力集團公司信息系統(tǒng)等級保護建設(shè)方案文檔管理編號INSL-SDDL-BLT2009FA保密級別商 密文檔版本號V3.0制作人郭騫制作日期2009年6月復(fù)審人余 勇復(fù)審日期2009年6月擴散范圍

2、國家電網(wǎng)公司信息網(wǎng)絡(luò)安全實驗室山東省電力集團公司擴散批準人林為民版本變更記錄時間版本說明修改人2009-V1。0創(chuàng)建文檔郭騫2009-V2.0修改文檔俞庚申2009-V3.0文檔復(fù)審定稿余 勇適用性聲明本報告由國網(wǎng)電力科學(xué)研究院/國網(wǎng)信息網(wǎng)絡(luò)安全實驗室撰寫，適用于山東省電力集團公司信息系統(tǒng)等級保護項目。目 錄 TOC o 13 h z u HYPERLINK l _Toc235008945” 1。項目概述 PAGEREF _Toc235008945 h 1 HYPERLINK l _Toc235008946” 1.1目標與范圍 PAGEREF _Toc235008946 h 1 HYPERLI

3、NK l ”_Toc235008947” 1.2方案設(shè)計 PAGEREF _Toc235008947 h 2 HYPERLINK l ”_Toc235008948” 1.3參照標準 PAGEREF _Toc235008948 h 2 HYPERLINK l _Toc235008949” 2.等?，F(xiàn)狀及建設(shè)總目標 PAGEREF _Toc235008949 h 2 HYPERLINK l ”_Toc235008950 2。1等級保護現(xiàn)狀 PAGEREF _Toc235008950 h 2 HYPERLINK l _Toc235008951” 2.1.1國家電網(wǎng)公司等保評測結(jié)果 PAGEREF _

4、Toc235008951 h 2 HYPERLINK l _Toc235008952” 2.1.2公安部等保測評結(jié)果 PAGEREF _Toc235008952 h 4 HYPERLINK l ”_Toc235008953 2.2等級保護建設(shè)總體目標 PAGEREF _Toc235008953 h 5 HYPERLINK l _Toc235008954 3。安全域及網(wǎng)絡(luò)邊界防護 PAGEREF _Toc235008954 h 5 HYPERLINK l _Toc235008955” 3。1信息網(wǎng)絡(luò)現(xiàn)狀 PAGEREF _Toc235008955 h 5 HYPERLINK l ”_Toc235

5、008956” 3。2安全域劃分方法 PAGEREF _Toc235008956 h 8 HYPERLINK l _Toc235008957” 3。3安全域邊界 PAGEREF _Toc235008957 h 9 HYPERLINK l _Toc235008958 3。3。1二級系統(tǒng)邊界 PAGEREF _Toc235008958 h 9 HYPERLINK l ”_Toc235008959 3.3.2三級系統(tǒng)邊界 PAGEREF _Toc235008959 h 10 HYPERLINK l ”_Toc235008960” 3。4安全域的實現(xiàn)形式 PAGEREF _Toc235008960 h

6、 11 HYPERLINK l _Toc235008961” 3.5安全域劃分及邊界防護 PAGEREF _Toc235008961 h 12 HYPERLINK l ”_Toc235008962 3。5.1安全域的劃分 PAGEREF _Toc235008962 h 12 HYPERLINK l ”_Toc235008963” 4。信息安全管理建設(shè) PAGEREF _Toc235008963 h 16 HYPERLINK l ”_Toc235008964” 4.1建設(shè)目標 PAGEREF _Toc235008964 h 16 HYPERLINK l _Toc235008965” 4。2安全管

7、理機構(gòu)建設(shè) PAGEREF _Toc235008965 h 17 HYPERLINK l ”_Toc235008966 4。3安全管理制度完善 PAGEREF _Toc235008966 h 17 HYPERLINK l ”_Toc235008967” 5。二級系統(tǒng)域建設(shè) PAGEREF _Toc235008967 h 17 HYPERLINK l _Toc235008968” 5。1概述與建設(shè)目標 PAGEREF _Toc235008968 h 17 HYPERLINK l ”_Toc235008969 5.2網(wǎng)絡(luò)安全 PAGEREF _Toc235008969 h 18 HYPERLINK

8、 l ”_Toc235008970” 5.2。1網(wǎng)絡(luò)安全建設(shè)目標 PAGEREF _Toc235008970 h 18 HYPERLINK l _Toc235008971 5.2。2地市公司建設(shè)方案 PAGEREF _Toc235008971 h 19 HYPERLINK l ”_Toc235008972” 5。3主機安全 PAGEREF _Toc235008972 h 24 HYPERLINK l _Toc235008973” 5。3.1主機安全建設(shè)目標 PAGEREF _Toc235008973 h 24 HYPERLINK l _Toc235008974” 5。3.2主機身份鑒別 PAG

9、EREF _Toc235008974 h 25 HYPERLINK l ”_Toc235008975 5。3.3訪問控制 PAGEREF _Toc235008975 h 27 HYPERLINK l _Toc235008976” 5.3.4安全審計 PAGEREF _Toc235008976 h 29 HYPERLINK l ”_Toc235008977” 5.3.5入侵防范 PAGEREF _Toc235008977 h 31 HYPERLINK l ”_Toc235008978” 5。3.6惡意代碼防范 PAGEREF _Toc235008978 h 33 HYPERLINK l ”_To

10、c235008979 5。3。7資源控制 PAGEREF _Toc235008979 h 33 HYPERLINK l _Toc235008980 5。4應(yīng)用安全 PAGEREF _Toc235008980 h 35 HYPERLINK l ”_Toc235008981 5。4.1應(yīng)用安全建設(shè)目標 PAGEREF _Toc235008981 h 35 HYPERLINK l _Toc235008982 5.4。2身份鑒別 PAGEREF _Toc235008982 h 36 HYPERLINK l _Toc235008983” 5.4.3安全審計 PAGEREF _Toc235008983 h

11、 36 HYPERLINK l _Toc235008984 5.4。4通信完整性、通信保密性 PAGEREF _Toc235008984 h 37 HYPERLINK l ”_Toc235008985” 5.4.5資源控制 PAGEREF _Toc235008985 h 38 HYPERLINK l _Toc235008986” 5.5數(shù)據(jù)安全及備份恢復(fù) PAGEREF _Toc235008986 h 39 HYPERLINK l _Toc235008987” 5.5。1數(shù)據(jù)安全及備份恢復(fù)建設(shè)目標 PAGEREF _Toc235008987 h 39 HYPERLINK l _Toc23500

12、8988” 5.5.2數(shù)據(jù)完整性、數(shù)據(jù)保密性 PAGEREF _Toc235008988 h 39 HYPERLINK l ”_Toc235008989 6.三級系統(tǒng)域建設(shè) PAGEREF _Toc235008989 h 41 HYPERLINK l ”_Toc235008990” 6.1概述與建設(shè)目標 PAGEREF _Toc235008990 h 41 HYPERLINK l _Toc235008991” 6.2物理安全 PAGEREF _Toc235008991 h 41 HYPERLINK l ”_Toc235008992” 6.2.1物理安全建設(shè)目標 PAGEREF _Toc2350

13、08992 h 41 HYPERLINK l ”_Toc235008993 6.2。2機房感應(yīng)雷防護措施 PAGEREF _Toc235008993 h 42 HYPERLINK l ”_Toc235008994” 6.2。3物理訪問控制 PAGEREF _Toc235008994 h 42 HYPERLINK l ”_Toc235008995 6.2。4防盜措施 PAGEREF _Toc235008995 h 42 HYPERLINK l _Toc235008996” 6。2.5防火措施 PAGEREF _Toc235008996 h 43 HYPERLINK l ”_Toc23500899

14、7 6。2。6防水和防潮 PAGEREF _Toc235008997 h 44 HYPERLINK l ”_Toc235008998 6。2.7電磁防護 PAGEREF _Toc235008998 h 44 HYPERLINK l _Toc235008999 6.3網(wǎng)絡(luò)安全建設(shè)方案 PAGEREF _Toc235008999 h 45 HYPERLINK l _Toc235009000 6。3。1網(wǎng)絡(luò)安全建設(shè)目標 PAGEREF _Toc235009000 h 45 HYPERLINK l ”_Toc235009001” 6.3。2山東省電力集團公司建設(shè)方案 PAGEREF _Toc23500

15、9001 h 45 HYPERLINK l _Toc235009002” 6.4主機安全 PAGEREF _Toc235009002 h 51 HYPERLINK l ”_Toc235009003” 6。4.1主機安全建設(shè)目標 PAGEREF _Toc235009003 h 51 HYPERLINK l _Toc235009004” 6.4。2主機身份鑒別 PAGEREF _Toc235009004 h 51 HYPERLINK l _Toc235009005 6.4.3訪問控制 PAGEREF _Toc235009005 h 54 HYPERLINK l ”_Toc235009006 6。4

16、。4安全審計 PAGEREF _Toc235009006 h 57 HYPERLINK l ”_Toc235009007” 6.4.5剩余信息保護 PAGEREF _Toc235009007 h 60 HYPERLINK l _Toc235009008” 6。4.6入侵防范 PAGEREF _Toc235009008 h 60 HYPERLINK l ”_Toc235009009” 6。4.7惡意代碼防范 PAGEREF _Toc235009009 h 62 HYPERLINK l ”_Toc235009010” 6。4。8資源控制 PAGEREF _Toc235009010 h 63 HYP

17、ERLINK l _Toc235009011” 6.5應(yīng)用安全 PAGEREF _Toc235009011 h 64 HYPERLINK l _Toc235009012” 6。5。1應(yīng)用安全建設(shè)目標 PAGEREF _Toc235009012 h 64 HYPERLINK l _Toc235009013” 6。5.2身份鑒別 PAGEREF _Toc235009013 h 64 HYPERLINK l _Toc235009014 6.5.3訪問控制 PAGEREF _Toc235009014 h 66 HYPERLINK l _Toc235009015” 6。5。4安全審計 PAGEREF _

18、Toc235009015 h 66 HYPERLINK l _Toc235009016” 6。5。5剩余信息保護 PAGEREF _Toc235009016 h 68 HYPERLINK l _Toc235009017” 6.5.6通信完整性、通信保密性、抗抵賴 PAGEREF _Toc235009017 h 68 HYPERLINK l _Toc235009018 6。5.7資源控制 PAGEREF _Toc235009018 h 70 HYPERLINK l ”_Toc235009019 6.6數(shù)據(jù)安全及備份恢復(fù) PAGEREF _Toc235009019 h 71 HYPERLINK l

19、 ”_Toc235009020 6。6。1數(shù)據(jù)安全及備份恢復(fù)建設(shè)目標 PAGEREF _Toc235009020 h 71 HYPERLINK l ”_Toc235009021” 6。6。2數(shù)據(jù)完整性、數(shù)據(jù)保密性 PAGEREF _Toc235009021 h 71 HYPERLINK l ”_Toc235009022” 6。6.3備份和恢復(fù) PAGEREF _Toc235009022 h 72項目概述根據(jù)國家電網(wǎng)公司關(guān)于信息安全等級保護建設(shè)的實施指導(dǎo)意見（信息運安200927號）和山東省電力集團公司對等級保護相關(guān)工作提出的要求，落實等級保護各項任務(wù),提高山東省電力集團公司信息系統(tǒng)安全防護能力

20、，特制定本方案.目標與范圍公司為了落實和貫徹公安部、國家保密局、國家密碼管理局、電監(jiān)會等國家有關(guān)部門信息安全等級保護工作要求，全面完善公司信息安全防護體系，落實公司“雙網(wǎng)雙機、分區(qū)分域、等級防護、多層防御”的安全防護策略，確保等級保護工作在各單位的順利實施，提高公司整體信息安全防護水平，開展等級保護建設(shè)工作。前期在省公司及地市公司開展等級保護符合性測評工作,對地市公司進行測評調(diào)研工作，范圍涵蓋內(nèi)網(wǎng)門戶、外網(wǎng)門戶、財務(wù)管理系統(tǒng)、營銷管理系統(tǒng)、電力市場交易系統(tǒng)、生產(chǎn)管理信息系統(tǒng)、協(xié)同辦公系統(tǒng)、人力資源管理系統(tǒng)、物資管理系統(tǒng)、項目管理系統(tǒng)、郵件系統(tǒng)、公司廣域網(wǎng)SGInet、管理制度這13個業(yè)務(wù)系統(tǒng)分

21、類,分析測評結(jié)果與等級保護要求之間的差距，提出本的安全建設(shè)方案.本方案主要遵循GB/T222392008信息安全技術(shù)信息安全等級保護基本要求、信息安全等級保護管理辦法（公通字200743號）、信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范(GB/T 209842007）、國家電網(wǎng)公司信息化“SG186”工程安全防護總體方案、ISO/IEC 27001信息安全管理體系標準和ISO/IEC 13335信息安全管理標準等。實施的范圍包括：省公司本部、各地市公司。通過本方案的建設(shè)實施，進一步提高信息系統(tǒng)等級保護符合性要求，將整個信息系統(tǒng)的安全狀況提升到一個較高的水平，并盡可能地消除或降低信息系統(tǒng)的安全風(fēng)險。方案設(shè)

22、計根據(jù)等級保護前期測評結(jié)果，省公司本部及各地市公司信息系統(tǒng)存在的漏洞、弱點提出相關(guān)的整改意見，并最終形成安全解決方案。參照標準GB/T22239-2008信息安全技術(shù)信息安全等級保護基本要求信息安全等級保護管理辦法（公通字200743號）信息安全技術(shù) 信息安全風(fēng)險評估規(guī)范(GB/T 209842007）國家電網(wǎng)公司信息化“SG186工程安全防護總體方案ISO/IEC 27001信息安全管理體系標準ISO/IEC 13335信息安全管理標準國家電網(wǎng)公司“SG186”工程信息系統(tǒng)安全等級保護驗收測評要求(征求意見稿)國家電網(wǎng)公司信息機房設(shè)計及建設(shè)規(guī)范國家電網(wǎng)公司信息系統(tǒng)口令管理規(guī)定GB50057-

23、94建筑防雷設(shè)計規(guī)范國家電網(wǎng)公司應(yīng)用軟件通用安全要求建設(shè)總目標等級保護建設(shè)總體目標綜合考慮省公司現(xiàn)有的安全防護措施,針對與信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求間存在的差異，整改信息系統(tǒng)中存在的問題，使省公司及地市公司信息系統(tǒng)滿足信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求中不同等級的防護要求,順利通過國家電網(wǎng)公司或公安部等級保護建設(shè)測評。安全域及網(wǎng)絡(luò)邊界防護根據(jù)GB/T222392008信息安全技術(shù)信息安全等級保護基本要求、國家電網(wǎng)公司信息化“SG186”工程安全防護總體方案及國家電網(wǎng)公司“SG186”工程信息系統(tǒng)安全等級保護驗收測評要求（征求意見稿）的要求，省公司及地市公司信息系統(tǒng)按照業(yè)務(wù)系

24、統(tǒng)定級，根據(jù)不同級別保護需求，按要求劃分安全區(qū)域進行分級保護。因此，安全域劃分是進行信息安全等級保護建設(shè)的首要步驟。信息網(wǎng)絡(luò)現(xiàn)狀山東省電力集團公司各地市信息內(nèi)網(wǎng)拓撲典型結(jié)構(gòu)：圖：典型信息網(wǎng)絡(luò)現(xiàn)狀主要問題:各安全域之間缺乏有效的控制措施不能夠保障業(yè)務(wù)系統(tǒng)安全、獨立運行，不受其他業(yè)務(wù)系統(tǒng)的影響。根據(jù)GB/T222392008信息安全技術(shù)信息安全等級保護基本要求和國家電網(wǎng)公司信息化“SG186”工程安全防護總體方案的建設(shè)要求，省公司和各地市信息網(wǎng)絡(luò)安全域需根據(jù)業(yè)務(wù)系統(tǒng)等級進行重新劃分。安全域劃分方法依據(jù)國家電網(wǎng)公司安全分區(qū)、分級、分域及分層防護的原則,管理信息大區(qū)按照雙網(wǎng)隔離方案又分為信息內(nèi)網(wǎng)與信息

25、外網(wǎng).本方案主要針對公司信息系統(tǒng)進行等級保護建設(shè)。在進行安全防護建設(shè)之前，首先實現(xiàn)對信息系統(tǒng)的安全域劃分。依據(jù)SG186總體方案中 “二級系統(tǒng)統(tǒng)一成域，三級系統(tǒng)獨立分域的要求,結(jié)合省公司MPLS VPN現(xiàn)狀，采用縱向MPLS VPN結(jié)合VLAN劃分的方法,將全省信息系統(tǒng)分為：信息內(nèi)網(wǎng)區(qū)域可分為：電力市場交易系統(tǒng)MPLS VPN（或相應(yīng)縱向通道）：包含省公司電力市場交易應(yīng)用服務(wù)器VLAN、省公司電力市場交易辦公終端;財務(wù)管理系統(tǒng)MPLS VPN（或相應(yīng)縱向通道）：包含省公司財務(wù)管理系統(tǒng)VLAN、省公司財務(wù)辦公終端VLAN、各地市財務(wù)辦公終端VLAN（13個）；營銷管理系統(tǒng)MPLS VPN(或相應(yīng)

26、縱向通道）：省公司營銷系統(tǒng)VLAN、省公司營銷辦公終端VLAN、各地市營銷系統(tǒng)VLAN(13個）、各地市營銷辦公終端VLAN（13個）二級系統(tǒng)MPLS VPN（或相應(yīng)縱向通道）（二級系統(tǒng)包括：內(nèi)部門戶（網(wǎng)站）、生產(chǎn)管理信息系統(tǒng)、協(xié)同辦公系統(tǒng)、人力資源管理系統(tǒng)、物資管理系統(tǒng)、項目管理系統(tǒng)和郵件系統(tǒng)):公共服務(wù)MPLS VPN（或相應(yīng)縱向通道)：包含DNS、FTP等全省需要訪問的公共服務(wù)信息內(nèi)網(wǎng)桌面終端域信息外網(wǎng)區(qū)的系統(tǒng)可分為：電力市場交易系統(tǒng)域營銷管理系統(tǒng)域（95598)外網(wǎng)二級系統(tǒng)域（外網(wǎng)門戶等）信息外網(wǎng)桌面終端域安全域的具體實現(xiàn)采用物理防火墻隔離、虛擬防火墻隔離或Vlan隔離等形式進行安全域

27、劃分。安全域邊界二級系統(tǒng)邊界二級系統(tǒng)域存在的邊界如下表:邊界類型邊界描述第三方網(wǎng)絡(luò)邊界Internet邊界縱向網(wǎng)絡(luò)邊界省公司與華北電網(wǎng)公司間、省公司與其地市公司之間橫向域間邊界在信息內(nèi)外網(wǎng)區(qū)與桌面終端域的邊界在信息內(nèi)外網(wǎng)區(qū)與基礎(chǔ)系統(tǒng)域的邊界與財務(wù)系統(tǒng)域之間的邊界與電力市場交易系統(tǒng)域的邊界與營銷管理系統(tǒng)域間的邊界二級系統(tǒng)域的網(wǎng)絡(luò)邊界拓撲示意圖如下：三級系統(tǒng)邊界財務(wù)管理系統(tǒng)、電力市場交易系統(tǒng)和營銷系統(tǒng)均涉及信息內(nèi)網(wǎng)與銀行聯(lián)網(wǎng)存在第三方網(wǎng)絡(luò)邊界接口、省公司與地市公司之間網(wǎng)絡(luò)邊界接口、信息內(nèi)網(wǎng)橫向域間其它二級系統(tǒng)域間接口,電力市場交易系統(tǒng)還涉及信息外網(wǎng)與Internet存在第三方網(wǎng)絡(luò)邊界接口.三級系統(tǒng)

28、域存在的邊界如下表:邊界類型邊界描述信息外網(wǎng)第三方邊界與Internet互聯(lián)網(wǎng)的邊界，實現(xiàn)：公共服務(wù)通道（邊遠站所、移動服務(wù)、PDA現(xiàn)場服務(wù)、居民集中抄表、負控終端采集、搶修車輛GPS定位等）與其他社會代收機構(gòu)連接（VPN）網(wǎng)上營業(yè)廳短信服務(wù)時鐘同步信息內(nèi)網(wǎng)第三方邊界銀企互聯(lián)邊界與其他社會代收機構(gòu)的邊界（專線連接）公共服務(wù)通道（專線、GPRS、CDMA等）縱向網(wǎng)絡(luò)邊界省公司與地市公司橫向域間邊界與二級系統(tǒng)域間的邊界與內(nèi)外網(wǎng)桌面終端域的邊界與內(nèi)外網(wǎng)基礎(chǔ)系統(tǒng)域的邊界與其它三級域之間的邊界三級系統(tǒng)域的網(wǎng)絡(luò)邊界拓撲示意圖如下:安全域的實現(xiàn)形式安全域?qū)崿F(xiàn)方式以劃分邏輯區(qū)域為主,旨在實現(xiàn)各安全區(qū)域的邏輯劃

29、分，明確邊界以對各安全域分別防護，并且進行域間邊界控制，安全域的實體展現(xiàn)為一個或多個物理網(wǎng)段或邏輯網(wǎng)段的集合.對公司信息系統(tǒng)安全域的劃分手段采用如下方式：防火墻安全隔離：采用雙接口或多接口防火墻進行邊界隔離，在每兩個安全域的邊界部署雙接口防火墻，或是采用多接口防火墻的每個接口分別與不同的安全域連接以進行訪問控制.虛擬防火墻隔離:采用虛擬防火墻實現(xiàn)各安全域邊界隔離，將一臺防火墻在邏輯上劃分成多臺虛擬的防火墻，每個虛擬防火墻系統(tǒng)都可以被看成是一臺完全獨立的防火墻設(shè)備，可擁有獨立的系統(tǒng)資源、管理員、安全策略、用戶認證數(shù)據(jù)庫等。在本方案實現(xiàn)中，可以為每個安全域建立獨立的虛擬防火墻進行邊界安全防護。三層

30、交換機Vlan隔離：采用三層交換機為各安全域劃分Vlan，采用交換機訪問控制列表或防火墻模塊進行安全域間訪問控制。二層交換機Vlan隔離：在二層交換機上為各安全域劃分Vlan，采用Trunk與路由器或防火墻連接,在上聯(lián)的路由器或防火墻上進行訪問控制.對于一個應(yīng)用的子系統(tǒng)跨越多個物理環(huán)境如設(shè)備機房所帶來的分域問題，由于安全域為邏輯區(qū)域，可以將公司層面上的多個物理網(wǎng)段或子網(wǎng)歸屬于同一安全域?qū)崿F(xiàn)安全域劃分.安全域劃分及邊界防護安全域的劃分結(jié)合SG186總體方案中定義的“二級系統(tǒng)統(tǒng)一成域,三級系統(tǒng)獨立分域”,在不進行物理網(wǎng)絡(luò)調(diào)整的前提下，將財務(wù)系統(tǒng)和物資與項目系統(tǒng)進行分離，使三級財務(wù)系統(tǒng)獨立成域，二級

31、系統(tǒng)物資和項目管理歸并和其他二級系統(tǒng)統(tǒng)一成域，在VPN內(nèi)，建立ACL控制桌面終端與服務(wù)器間的訪問，現(xiàn)將省公司信息系統(tǒng)邏輯安全域劃分如下：圖:省公司內(nèi)網(wǎng)邏輯劃分圖圖：全省信息系統(tǒng)MPLS VPN安全域劃分邏輯圖圖:信息外網(wǎng)安全域劃分邏輯圖在原有的MPLS VPN的基礎(chǔ)上結(jié)合VLAN劃分方法，根據(jù)等級保護及國網(wǎng)SG186總體防護方案有求，對全省信息系統(tǒng)進行安全域劃分。三級系統(tǒng)與二級系統(tǒng)進行分離：集中集成區(qū)域的三臺小型機采用集群模式部署了財務(wù)、物資、項目這三個業(yè)務(wù)系統(tǒng)，由于財務(wù)為三級業(yè)務(wù)系統(tǒng)，應(yīng)要獨立成域，必須將財務(wù)系統(tǒng)從集群中分離出來，安裝在獨立的服務(wù)器或者小型機上，接入集中集成區(qū)域或新大樓服務(wù)器

32、區(qū).劃分安全域，明確保護邊界:采用MPLS VPN將三級系統(tǒng)劃分為獨立安全域.財務(wù)系統(tǒng)MPLS VPN、電力市場交易系統(tǒng)MPLS VPN、營銷系統(tǒng)MPLS VPN、二級系統(tǒng)安全域、桌面安全域、公共應(yīng)用服務(wù)安全域。二級系統(tǒng)安全域包含除三級系統(tǒng)外的所有應(yīng)用系統(tǒng)服務(wù)器;桌面安全域包含各業(yè)務(wù)部門桌面終端VLAN；公共引用服務(wù)安全域為全省均需要訪問的應(yīng)用服務(wù)器，如DNS等.目前信息外網(wǎng)存在三大業(yè)務(wù)系統(tǒng)：外網(wǎng)門戶、營銷系統(tǒng)95598網(wǎng)站、電力市場交易系統(tǒng)外網(wǎng)網(wǎng)站。根據(jù)等級保護要求應(yīng)將營銷系統(tǒng)95598網(wǎng)站和電力市場交易系統(tǒng)外網(wǎng)網(wǎng)站分別劃分獨立的VLAN，并在邊界防火墻上設(shè)置符合等級保護三級要求的VLAN訪

33、問控制策略。部署訪問控制設(shè)備或設(shè)置訪問控制規(guī)則在各安全域邊界設(shè)置訪問控制規(guī)則,其中安全域邊界按照“安全域邊界章節(jié)所列舉的邊界進行防護。訪問控制規(guī)則可以采用交換機訪問控制策略或模塊化邏輯防火墻的形式實現(xiàn)。二級系統(tǒng)安全域邊界訪問控制規(guī)則可以通過交換機的訪問控制規(guī)則實現(xiàn)，訪問控制規(guī)則滿足如下條件：根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為網(wǎng)段級。按用戶和系統(tǒng)之間的允許訪問規(guī)則，控制粒度為單個用戶.三級系統(tǒng)安全域邊界的安全防護需滿足如下要求：根據(jù)會話狀態(tài)信息為數(shù)據(jù)流提供明確的允許/拒絕訪問的能力，控制粒度為端口級；對進出網(wǎng)絡(luò)的信息內(nèi)容進行過濾，實現(xiàn)對應(yīng)用層協(xié)議命令級的控制.入侵

34、檢測系統(tǒng)部署：二級系統(tǒng)、三級系統(tǒng)安全域內(nèi)應(yīng)部署入侵檢測系統(tǒng),并根據(jù)業(yè)務(wù)系統(tǒng)情況制定入侵檢測策略，檢測范圍應(yīng)包含二級系統(tǒng)服務(wù)器、三級系統(tǒng)服務(wù)器、其他應(yīng)用服務(wù)器，入侵檢測應(yīng)滿足如下要求：定制入侵檢測策略,如根據(jù)所檢測的源、目的地址及端口號，所需監(jiān)測的服務(wù)類型以定制入侵檢測規(guī)則;定制入侵檢測重要事件即時報警策略；入侵檢測至少可監(jiān)視以下攻擊行為：端口掃描、強力攻擊、木馬后門攻擊、拒絕服務(wù)攻擊、緩沖區(qū)溢出攻擊、IP碎片攻擊和網(wǎng)絡(luò)蠕蟲攻擊等;當(dāng)檢測到攻擊行為時，入侵檢測系統(tǒng)應(yīng)當(dāng)記錄攻擊源IP、攻擊類型、攻擊目的IP、攻擊時間,在發(fā)生嚴重入侵事件時應(yīng)能提供及時的報警信息。信息安全管理建設(shè)建設(shè)目標省公司信息系

35、統(tǒng)的管理與運維總體水平較高，各項管理措施比較到位，經(jīng)過多年的建設(shè)，已形成一整套完備有效的管理制度。省公司通過嚴格、規(guī)范、全面的管理制度，結(jié)合適當(dāng)?shù)募夹g(shù)手段來保障信息系統(tǒng)的安全.管理規(guī)范已經(jīng)包含了信息安全策略、信息安全組織、資產(chǎn)管理、人力資源安全、物理與環(huán)境安全、通訊與操作管理、訪問控制、信息系統(tǒng)的獲取、開發(fā)和維護、信息安全事故管理、業(yè)務(wù)連續(xù)性管理等方面，但與信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求存在一定的差距，需進行等級保護建設(shè).通過等級保護管理機構(gòu)與制度建設(shè),完善公司信息系統(tǒng)管理機構(gòu)和管理制度，落實信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求管理制度各項指標和要求，提高公司信息系統(tǒng)管理與運維水

36、平。通過等級保護建設(shè)，實現(xiàn)如下目標：落實信息安全技術(shù)信息系統(tǒng)安全等級保護基本要求管理制度各項指標和要求。在公司信息安全總體方針和安全策略的引導(dǎo)下，各管理機構(gòu)能按時需要規(guī)劃公司信息安全發(fā)展策略，及時發(fā)布公司各類信息安全文件和制度，對公司各類安全制度中存在的問題定期進行修訂與整改。系統(tǒng)管理員、網(wǎng)絡(luò)管理員、安全管理員等信息安全管理與運維工作明確，明確安全管理機構(gòu)各個部門和崗位的職責(zé)、分工和技能要求。在安全技術(shù)培訓(xùn)與知識交流上,能擁有安全業(yè)界專家、專業(yè)安全公司或安全組織的技術(shù)支持,以保證省公司信息系統(tǒng)安全維護符合各類安全管理要求并與時俱進。二級系統(tǒng)域建設(shè)概述與建設(shè)目標二級系統(tǒng)域是依據(jù)等級保護定級標準將

37、國家電網(wǎng)公司應(yīng)用系統(tǒng)定為二級的所有系統(tǒng)的集合，按分等級保護方法將等級保護定級為二級的系統(tǒng)集中部署于二級系統(tǒng)域進行安全防護，二級系統(tǒng)域主要涵蓋與二級系統(tǒng)相關(guān)的主機、服務(wù)器、網(wǎng)絡(luò)等。省公司二級系統(tǒng)主要包括內(nèi)部門戶（網(wǎng)站)、對外門戶（網(wǎng)站)、生產(chǎn)管理信息系統(tǒng)、協(xié)同辦公系統(tǒng)、人力資源管理系統(tǒng)、物資管理系統(tǒng)、項目管理系統(tǒng)和郵件系統(tǒng)等共8個二級系統(tǒng)，除對外門戶外，其它七個內(nèi)網(wǎng)二級系統(tǒng)需按二級系統(tǒng)要求統(tǒng)一成域進行安全防護。二級系統(tǒng)域等級保護建設(shè)目標是落實信息安全技術(shù)信息安全等級保護基本要求中二級系統(tǒng)各項指標和要求,實現(xiàn)信息系統(tǒng)二級系統(tǒng)統(tǒng)一成域,完善二級系統(tǒng)邊界防護，配置合理的網(wǎng)絡(luò)環(huán)境，增強二級系統(tǒng)主機系統(tǒng)安

38、全防護及二級系統(tǒng)各應(yīng)用的安全與穩(wěn)定運行.針對信息安全技術(shù)信息安全等級保護基本要求中二級系統(tǒng)各項指標和要求，保障系統(tǒng)穩(wěn)定、安全運行,本方案將二級系統(tǒng)域安全解決方案分為邊界防護、網(wǎng)絡(luò)環(huán)境、主機系統(tǒng)及應(yīng)用安全四個層面進行安全建設(shè).網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全建設(shè)目標省公司下屬各地市公司網(wǎng)絡(luò)安全建設(shè)按照二級系統(tǒng)要求進行建設(shè)，通過等級保護建設(shè),實現(xiàn)如下目標：網(wǎng)絡(luò)結(jié)構(gòu)清晰,具備冗余空間滿足業(yè)務(wù)需求，根據(jù)各部門和業(yè)務(wù)的需求,劃分不同的子網(wǎng)或網(wǎng)段,網(wǎng)絡(luò)圖譜圖與當(dāng)前運行情況相符;各網(wǎng)絡(luò)邊界間部署訪問控制設(shè)備，通過訪問控制功能控制各業(yè)務(wù)間及辦公終端間的訪問；啟用網(wǎng)絡(luò)設(shè)備安全審計,以追蹤網(wǎng)絡(luò)設(shè)備運行狀況、設(shè)備維護、配置修改等各

39、類事件；網(wǎng)絡(luò)設(shè)備口令均符合國家電網(wǎng)公司口令要求，采用安全的遠程控制方法對網(wǎng)絡(luò)設(shè)備進行遠程控制.地市公司建設(shè)方案根據(jù)測評結(jié)果，地市公司信息網(wǎng)絡(luò)中網(wǎng)絡(luò)設(shè)備及技術(shù)方面主要存在以下問題：網(wǎng)絡(luò)設(shè)備的遠程管理采用明文的Telnet方式；部分網(wǎng)絡(luò)設(shè)備采用出廠時的默認口令，口令以明文的方式存儲于配置文件中；交換機、IDS等未開啟日志審計功能,未配置相應(yīng)的日志服務(wù)器；供電公司內(nèi)網(wǎng)與各銀行間的防火墻未配置訪問控制策略；網(wǎng)絡(luò)設(shè)備采用相同的SNMP口令串進行管理；未開啟網(wǎng)絡(luò)設(shè)備登錄失敗處理功能，未限制非法登錄次數(shù)，當(dāng)網(wǎng)絡(luò)登錄連接超時時未設(shè)置自動退出等措施;缺少對內(nèi)部網(wǎng)絡(luò)中出現(xiàn)的內(nèi)部用戶未通過準許私自聯(lián)到外部網(wǎng)絡(luò)的行為

40、進行檢查與監(jiān)測措施；未限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)；未限制具有撥號訪問權(quán)限的用戶數(shù)量.針對以上問題，結(jié)合信息安全技術(shù)信息安全等級保護基本要求給出相應(yīng)整改方案如下:關(guān)閉防火墻、交換機和IDS的telnet服務(wù)，啟用安全的管理服務(wù)，如SSH和https。部分不支持SSH的交換機應(yīng)在交換機上限制可telnet遠程管理的用戶地址，實施配置如下（以思科交換機為例）：Routerconfig terminalRouter（config）access-list 10 permit tcp 10。144.99。120 0。0。0。0 eq 23 any(只允許10.144。99.120機器telnet登錄，

41、如需配置某一網(wǎng)段可telnet遠程管理，可配置為：accesslist 10 permit tcp 10。144.99。1 0。0。0.255 eq 23 any）Router(config）line vty 0 4(配置端口0-4）Router(Configline）#Transport input telnet（開啟telnet協(xié)議,如支持ssh，可用ssh替換telnet)Router(Configline）#exectimeout 5 0Router（Configline）access-class 10 inRouter(Config-line）endRouter#config ter

42、minalRouter（config）line vty 5 15Router（Configline）no login(建議vty開放5個即可，多余的可以關(guān)閉）Router(Configline）#exitRouter(Config）#exitRouter#write修改網(wǎng)絡(luò)設(shè)備出廠時的默認口令,且修改后的口令應(yīng)滿足長度大于等于8位、含字母數(shù)字和字符的強度要求，其它不滿足此口令強度要求的，均應(yīng)要進行修改。部分樓層接入交換機，應(yīng)及時修改口令；交換機應(yīng)修改其SNMP口令串；防火墻口令應(yīng)滿足口令強度要求。交換機SNMP口令串修改實施步驟如下(以思科交換機為例)：Router#config termin

43、al Router(config)# no snmp-server community COMMUNITYNAME1 RO （刪除原來具有RO權(quán)限的COMMUNITY-NAME1）Router（config）# snmp-server community COMMUNITY-NAME RO （如需要通過snmp進行管理，則創(chuàng)建一個具有讀權(quán)限的COMMUNITY-NAME，若COMMUNITY-NAME權(quán)限為RW，則將命令行中RO更改為RW）Router(config） snmp-server enable traps (允許發(fā)出Trap）Router（config）exitRouter#wri

44、te交換機、IDS和防火墻等應(yīng)開啟日志審計功能，并配置日志服務(wù)器保存交換機、IDS和防火墻的日志信息。以思科交換機為例，日志審計和日志收集存儲于服務(wù)器實施配置如下:Routeconfig terminalRoute(config)logging on （啟用日志審計） Route(config)#logging console notification (設(shè)置控制等級為5級:notification）Route(config）#！Set a 16K log buffer at information level Route（config）#logging buffered 16000 info

45、rmation (設(shè)置其大小為16K）Route(config）！turn on time/date stamps in log messages Route(config)service timestamp log datetime msec local showtimezone Route(config）#！set monitor logging level to level 6 Route(config）logging monitor information Route（config）#exit Route!make this session receive log messages R

46、oute#terminal monitor Routeconfig terminal Route（config）logging trap information （控制交換機發(fā)出日志的級別為6級:information)Route(config)#logging 88 （將日志發(fā)送到192.168.10。188，如需修改服務(wù)器,可采用Route(config)no logging 192.168。10.188刪除，然后重新配置日志服務(wù)器）Route（config）logging facility local6 Route（config)#logging sourceinterface Fast

47、Ethernet 0/1 (設(shè)置發(fā)送日志的以太網(wǎng)口）Route(config)exit Routeconfig terminal Route(config）logging trap information Route(config）#snmp-server host 192.168。10。1 traps public (配置發(fā)送trap信息主機）Route(config)#snmpserver trap-source Ethernet 0/1 Route(config）snmp-server enable traps syslog Route（config)#exitRoute# write供

48、電公司內(nèi)網(wǎng)與各銀行和移動或電信間的防火墻應(yīng)配置訪問控制策略保證供電公司信息內(nèi)網(wǎng)的安全。根據(jù)國家電網(wǎng)公司信息系統(tǒng)口令管理規(guī)定制定或沿用其以管理省公司網(wǎng)絡(luò)設(shè)備口令。國家電網(wǎng)公司信息系統(tǒng)口令管理規(guī)定具體內(nèi)容如下：第四條口令必須具有一定強度、長度和復(fù)雜度，長度不得小于8位字符串，要求是字母和數(shù)字或特殊字符的混合，用戶名和口令禁止相同。第五條個人計算機必須設(shè)置開機口令和操作系統(tǒng)管理員口令，并開啟屏幕保護中的密碼保護功能。第六條口令要及時更新，要建立定期修改制度，其中系統(tǒng)管理員口令修改間隔不得超過3個月，并且不得重復(fù)使用前3次以內(nèi)的口令。用戶登錄事件要有記錄和審計，同時限制同一用戶連續(xù)失敗登錄次數(shù)，一般不

49、超過3次。所有網(wǎng)絡(luò)設(shè)備均應(yīng)開啟網(wǎng)絡(luò)設(shè)備登錄失敗處理功能、限制非法登錄次數(shù)、當(dāng)網(wǎng)絡(luò)登錄連接超時時自動退出等措施。以思科交換機為例，網(wǎng)絡(luò)登錄連接超時時自動退出實施如下：Routerconfig terminalRouter（Config)line con 0 配置控制口Router(Config-line）#exec-timeout 5 0 設(shè)置超時5分鐘Router（Config-line）#exitRouter(Config）exitRouterwrite部署桌面管理系統(tǒng)，對內(nèi)部網(wǎng)絡(luò)中的用戶網(wǎng)絡(luò)連接狀態(tài)進行實時監(jiān)控,以保證內(nèi)部用戶不可私自聯(lián)到外部網(wǎng)絡(luò)；配置桌面管理系統(tǒng)策略，對私自連接到外網(wǎng)的內(nèi)

50、部用戶進行準確定位并阻斷內(nèi)外網(wǎng)互通。在交換機上限制網(wǎng)絡(luò)最大流量數(shù)及網(wǎng)絡(luò)連接數(shù)，通過限制某些網(wǎng)段網(wǎng)絡(luò)服務(wù)提高網(wǎng)絡(luò)通信流量.以思科交換機為例，實施配置如下：Router#config terminal Router（config） accesslist 101 deny tcp 172.16.3。0 0.0。0.255 any www（禁止172.16。3。0網(wǎng)段訪問Internet)Router(config） accesslist 102 deny tcp 172。16。5.0 0。0。0。255 any ftp（禁止172.16。5.0網(wǎng)段ftp服務(wù)）Router（config） ip na

51、t translation max-entries 172.16.55。0 55 200（限制172。16.55。0網(wǎng)段的主機NAT的條目為200條）Route(config)exitRoute# write限制具有撥號訪問權(quán)限的用戶.由于營銷系統(tǒng)存儲EMC，需要進行遠程撥號維護；需要關(guān)閉遠程撥號服務(wù),采用更為安全的管理維護方式.主機安全主機安全建設(shè)目標省公司及其各地市公司信息中心對主機進行了一定的安全策略配置，并建立相關(guān)安全管理制度，由專人負責(zé)主機安全運行與維護，總體安全性較高.但仍有一些安全問題亟待解決，如安全審計不嚴格、開啟非必須服務(wù)以及默認的用戶口令策略等。針對省公司及其地市公司二級系

52、統(tǒng)主機存在的問題，結(jié)合信息安全技術(shù)信息安全等級保護基本要求，從主機身份鑒別、訪問控制、安全審計、入侵防范、惡意代碼防范和資源控制等方面進行主機安全等級保護建設(shè)與改造,以實現(xiàn)以下目標:對主機的登錄有嚴格的身份標識和鑒別;有嚴格的訪問控制策略限制用戶對主機的訪問與操作；有嚴密的安全審計策略保證主機出現(xiàn)故障時可查;擁有相關(guān)技術(shù)手段,抵抗非法入侵和惡意代碼攻擊。主機身份鑒別省公司及地市公司主機身份鑒別現(xiàn)狀與等級保護要求存在一定的差距，應(yīng)對以下幾個方面進行完善主機身份鑒別：對登錄操作系統(tǒng)的用戶進行身份標識和鑒別；操作系統(tǒng)管理用戶身份標識具有不易被冒用的特點，口令有復(fù)雜度并定期更換；啟用登錄失敗處理功能，

53、可采取結(jié)束會話、限制非法登錄次數(shù)和自動退出等措施;對服務(wù)器進行遠程管理時，采取必要措施，防止鑒別信息在網(wǎng)絡(luò)傳輸過程中被竊聽；整改措施：對登錄操作系統(tǒng)的管理員用戶和普通用戶均設(shè)置口令；刪除操作系統(tǒng)中過期的賬戶，修改操作系統(tǒng)中默認帳戶和口令，檢查操作系統(tǒng)中是否存在相同用戶名的賬戶。操作系統(tǒng)操作方式AIX檢查/etc/passwd密碼域中存在“的帳戶，刪除不必要的賬戶,或增設(shè)口令；WINDOWS刪除非法帳號或多余帳號，更改默認管理員帳號,將原Administrator名稱改成不被人熟識的帳戶，新建一個普通用戶,將其重命名為Administrator，并將其權(quán)限設(shè)為最低,口令復(fù)雜度為32位以上；選擇“

54、本地用戶和組”的“用戶”,可設(shè)置口令、刪除或禁用非必需賬戶或禁用Guest賬戶.注：管理員賬號Administrator重命名后，可能會導(dǎo)致某些服務(wù)不能用,如SQL Server數(shù)據(jù)庫可能無法啟動，修改前，需在備機上進行測試運行一周時間,無任何問題，再在主機上進行修改。增強操作系統(tǒng)口令強度設(shè)置： 操作系統(tǒng)操作方式AIX修改passwd參數(shù)：/etc/security/user maxage=30 口令最長生存期30天- maxrepeat=4 每個口令在系統(tǒng)中重復(fù)出現(xiàn)的次數(shù) minalpha=4 口令中最小含有的字符個數(shù) mindiff=2 新口令不同于舊口令的最小個數(shù) minlen = 8

55、口令最短長度（包含字母、數(shù)字和特殊字符)WINDOWS修改“密碼策略”,開啟復(fù)雜性要求，設(shè)置口令最小長度等：密碼復(fù)雜性要求啟用密碼長度最小值8字符密碼最長存留期30天密碼最短存留期0天復(fù)位帳戶鎖定計數(shù)器10分鐘帳戶鎖定時間10分鐘帳戶鎖定閥值5次注：設(shè)置密碼策略后可能導(dǎo)致不符合密碼策略的帳號無法登錄.在修改密碼策略前，需修改不符合帳號策略的密碼使其符合策略要求，最后再修改密碼策略。啟用登錄失敗處理功能,設(shè)置限制非法登錄次數(shù)和自動退出等措施。操作系統(tǒng)操作方式AIX配置登錄策略：修改/etc/security/login。cfg文件logindelay=3 失敗登錄后延遲3秒顯示提示符logind

56、isable=5 5次失敗登錄后鎖定端口logininterval=60 在60秒內(nèi)3次失敗登錄才鎖定端口loginreenable15 端口鎖定15分鐘后解鎖增加或修改/etc/profile文件中如下行：TMOUT=600 ;WINDOWS修改“賬戶鎖定策略”,設(shè)置帳戶鎖定相關(guān)設(shè)置：復(fù)位賬戶鎖定計數(shù)器 15分鐘賬戶鎖定時間 15分鐘賬戶鎖定閾值 5次當(dāng)對服務(wù)器進行遠程管理時，對于UNIX類服務(wù)器，用當(dāng)前穩(wěn)定版本的SSH等安全工具取代明文傳輸?shù)膖elnet，并及時升級，保證傳輸數(shù)據(jù)的安全性；對于windows類服務(wù)器,關(guān)閉不必要的telnet服務(wù),采用加密或認證的方式保證數(shù)據(jù)才網(wǎng)絡(luò)傳輸過程中

57、的保密性、完整性和可用性.操作系統(tǒng)操作方式AIX增加或修改/etc/security/user文件中如下行root: admin = true SYSTEM = ”compat” loginretries = 0 account_locked = false rlogin=false如果無法禁用telnet服務(wù)，也可使用TCP wrapper、防火墻或包過濾技術(shù)禁止不可信IP對telnet服務(wù)（例如 23/TCP端口）訪問。WINDOWS禁用不需要的服務(wù),如remote Registry 、telnet等（遠程管理注冊表，開啟此服務(wù)帶來一定的風(fēng)險）。采用其他加密的遠程桌面管理軟件代替遠程桌面管

58、理，或者在遠程桌面管理上啟用證書認證系統(tǒng).注：應(yīng)用系統(tǒng)或程序可能對特定的系統(tǒng)服務(wù)有依賴關(guān)系，在未確定某個服務(wù)是否需要前，請勿關(guān)閉該服務(wù)，否則會影響應(yīng)用系統(tǒng)或程序的正常運行。訪問控制省公司及地市公司主機身份鑒別現(xiàn)狀與等級保護要求存在一定的差距，應(yīng)對以下幾個方面進行完善：啟用訪問控制功能，依據(jù)安全策略控制用戶對資源的訪問;實現(xiàn)操作系統(tǒng)特權(quán)用戶的權(quán)限分離；限制默認帳戶的訪問權(quán)限，重命名系統(tǒng)默認帳戶，修改帳戶的默認口令；及時刪除多余的、過期的帳戶，避免共享帳戶的存在。整改措施：在交換機和防火墻上設(shè)置不同網(wǎng)段、不同用戶對服務(wù)器的訪問控制權(quán)限；關(guān)閉操作系統(tǒng)開啟的默認共享，對于需開啟的共享及共享文件夾設(shè)置不

59、同的訪問權(quán)限，對于操作系統(tǒng)重要文件和目錄需設(shè)置權(quán)限要求。操作系統(tǒng)操作方式AIX修改普通用戶對下列文件的權(quán)限：/bin;/sbin;/etc;/etc/passwd；/etc/group;/usr/bin;WINDOWS修改訪問控制策略，將注冊標中restrictanonymous值改為1；刪除不必要的共享文件夾或修改其權(quán)限,重要共享文件夾的權(quán)限屬性不能為everyone完全控制。設(shè)置不同的管理員對服務(wù)器進行管理，分為系統(tǒng)管理員、安全管理員、安全審計員等以實現(xiàn)操作系統(tǒng)特權(quán)用戶的權(quán)限分離,并對各個帳戶在其工作范圍內(nèi)設(shè)置最小權(quán)限，如系統(tǒng)管理員只能對系統(tǒng)進行維護，安全管理員只能進行策略配置和安全設(shè)置，

60、安全審計員只能維護審計信息等。限制默認帳戶的訪問權(quán)限，重命名系統(tǒng)默認帳戶，修改帳戶的默認口令；刪除操作系統(tǒng)和數(shù)據(jù)庫中過期或多余的賬戶，禁用無用帳戶或共享帳戶。操作系統(tǒng)操作方式AIX禁用 文件/etc/security/user中，sys, bin, uucp, nuucp， daemon等系統(tǒng)默認帳戶。在用戶前面加上注釋號“WINDOWS修改administrator名稱，將原Administrator名稱改成不被人熟識的帳戶,同時將一個普通帳戶名稱改成Administrator，登錄普通帳戶執(zhí)行系統(tǒng)所有操作；禁用Guest賬號。根據(jù)管理用戶的角色分配權(quán)限，實現(xiàn)管理用戶的權(quán)限分離，僅授予管理用