1.网络安全篇
1.1.目的
通过针对网络安全相应技术标准，规范的定义，以能够配合相关管理办法，进一步指导太保在技术层面实现合理的网络安全的实现和部署，达到网络层面的安全防护能力。
1.2.网络安全技术标准
1.2.1.网络结构安全及网络设备通用安全配置标准
1.2.1.1.网络冗余
局域网网络
?局域网必须采用冗余设计，不存在网络单点故障。核心交换机都采用双冗余设备；
?各接入换机必须有双链路（光纤或超5类线路）上联核心交换机；
?总部核心交换机配置双电源、双引擎卡。
广域网网络冗余备份技术规范
?核心路由器配置双电源、双引擎卡；
?城域网连接采用冗余网络，使用双线路、双路由器设备；
?总部Internet出口采用双电信运行商链路。
1.2.1.2.网络设备安全通用安全配置标准
?网络设备的不必要的服务须关闭，包括ftp服务、http服务、dhcp服务，domain-lookup等；
?网络设备的本地登录密码不允许以明文方式在配置文件中体现；
?网络设备需开启AAA认证模式；
?网络设备需设置NTP并和并设定指定的NTP服务器IP地址；
?网络设备须设定Console及远程登录的Idle Timeout时间在5分钟内。
1.2.2.网络访问控制
1.2.2.1.数据中心及同城灾备中心网络安全域访问控制策略总体原则
OA与生产区域：
?OA区域应该通过功能互联子区和生产网络核心设备连接，主要用于普通用户接入生产网络，在功能互联子区边界配置安全设备做访问控制；
?运行维护人员仅可通过运行管理区域对生产网设备进行维护。
测试开发与生产区域：
?测试开发区域必须和生产区域必须完全隔离（田林数据中心）；
?测试开发区域必须和生产区域逻辑隔离（同城灾备中心）。
测试开发和OA区域：
?原则上测试开发区域可以通过功能互联子区和OA区域互联但需要通过防火墙。
具体的网络安全域访问控制策略可以参考《数据中心网络安全域访问控制策略》。
1.2.2.2.第三方接入控制
第三方连接：在日常工作过程中，CPIC与第三方系统的连接需进行合理的管理与控制，提高对第三方的安全管理。
?第三方对CPIC内网服务器的访问应通过DMZ区域。
?和第三方的连接应有网络路由控制。
?总部的第三方连接网络必须使用防火墙，并在防火墙上设置控制策略和NAT地址翻译策略，屏蔽公司内网结构；
?在防火墙DMZ区部署前置机或通讯服务器，只允许对方合法IP地址通过特定端口访问CPIC前置机。
?总部的第三方连接前置机或通讯服务器访问内部系统也需进行安全控制。
?公司内网如需访问第三方前置机，需将前置机IP地址映射为公司内网地址，禁止内网直接访问第三方前置机IP地址。
1.2.2.3.远程接入访问
远程访问：远程访问是造成网络安全威胁的主要来源，合理的对远程访问进行控制，能提高网络安全，减少由于远程访问带来的风险。
?通过公共网络的远程连接必须使用经批准的认证方法和设备，每个连接的用户需识别。
?采用VPN的远程连接需使用双因素认证的方式（如数字证书加口令）；
?用户通过远程接入之前通过一个额外的访问控制点（防火墙）；
?通过远程连接来访问IT内网的设备，进行操作或管理必须经CPIC安全组织同意。如果通过Internet的数据应进行加密，并要求安全认证。
1.2.2.4.Internet接入访问控制
Internet连接：保护员工安全使用Internet连接，提供对Internet连接进行安全控制，保护整个网络安全。
?Internet出口只限于总公司和一级分公司，营运中心，大型职场；
?从连在任何CPIC网络的设备上拨号访问Internet是被禁止的。在特殊情况下，任何通过调制解调器拨号连接Internet都需经过集团信息安全与
内控管理部门的批准；
?Interent连接网络必须使用防火墙并在防火墙上设置控制策略和NAT地址翻译策略，屏蔽公司内网结构；
?在防火墙DMZ区部署前置机或通讯服务器，只允许Internet访问前置机特定端口。
?不允许开放Internet访问公司内网策略；
?总，分公司必须使用代理服务器或其他用户认证方式，对Internet访问用户进行控制。
1.2.3.入侵防御
1.2.3.1.入侵防御系统的部署
?需在四总部及数据中心的每个Internet入口部署入侵防御系统（IPS）；?需在分公司的每个Internet入口部署入侵防御系统（IPS）；
?需在四总部广域网互联接口间部署入侵防御系统（IPS）；
?需在分公司与田林数据中心的广域网接口间部署入侵防御系统（IPS）。
1.2.3.2.邮件病毒及垃圾邮件的过滤
?需对所有公网发给CPIC域的邮件进行病毒过滤；
?需对所有公网发给CPIC域的邮件进行垃圾邮件过滤；
?需对通过田林代理10.191.113.100进行的Internet访问内容进行病毒过滤。
1.2.3.3.拒绝服务（DoS或DDoS）功能的防护
?采用将不同的网络安全域及每个安全域的子域分为不同的虚网（VLAN），有效控制MAC地址欺骗的影响区域；
?入侵防御系统需要开启的防御功能包括高级入侵防护拒绝服务 (DoS) 和分布式拒绝服务 (DDoS) 防护、网络监控等；
?对于重要区域（如田林数据中心的Internet入口），考虑使用运营商的公网IP地址和域名的攻击流量清洗和过滤服务。
1.2.4.网络传输加密
?对于CPIC认可的终端，通过Internet接入CPIC内部网络需采用VPN连接，VPN实现身份验证和通信连接的加密方式可选取SSL VPN，IPSEC，SOCKS V5等方式；
?其他网络层面的数据传输加密请参考IT安全技术标准的加密、密钥管理及PKI章节。
1.2.5.网管、监控与审计
1.2.5.1.网管与监控
?采用SSH协议来取代Telnet进行设备的远程登录；
?采用了SSH协议后，并不一定就能保证其安全性，要求通过访问地址限制提高访问的安全性。访问地址限制是通过ACL访问控制列表实现的；
?对不支持SSH协议的设备远程访问管理，只能通过telnet进行维护管理工作，必须通过必要手段提高telnet安全性，具体如下：
?加强登录用户密码的管理，如采用AAA认证等；
?针对数据中心内网络设备，对登录该设备的IP地址进行严格限制；
?设置登录并发数、空闲时间、尝试次数等相关限制措施。
?提供远程登陆SSH的开启方式和SSH相关属性的设置，包括：?要求设定登录连接空闲时间限制，让系统自动检查当前连接是否长时间处于空闲状态，若是则自动将其断开。Timeout具体取值应视实际需要而定，建议设置为5分钟左右以内。如果出于排障目的，需要长时间登录设备检查系统状态，则需临时延长或取消这项设置。
?要求设置登录尝试次数限制，当系统收到一个连接请求，若提供的帐号或密码连续不能通过验证的的次数超过设定值（3次），就自动中断该连接；
?要求设置并发登录个数限制，该限制必须与上述的空闲时间限制一并使用。
?在日常维护过程中周期性的（至少每半年）更改登录密码，甚至登录帐号；
?当外方人员需要登录设备时，应创建临时帐号，并指定合适的权限，临时帐号使用完后应及时删除；
?登录帐号及密码的保管和更新应由专人负责，并注意保密；
?条件许可的话，要求使用SNMPv3；
?限制发起SNMP连接的源地址；
?删除或关闭“Public”和“Private”Community；
?除特殊情况，否则要求不设置SNMP RW Community；
?关闭网络及安全设备的HTTP服务；
?对非要使用HTTP服务的设备，要求通过下列措施保证其安全性：?更改HTTP服务的端口，不采用标准的80端口，而采用非标准端口；
?加强登录用户密码的管理，如采用AAA认证等；
?对登录设备的IP地址进行严格限制，或通过VPN等安全手段控制对设备的访问；
?设置登录并发数、空闲事件、尝试次数等相关限制措施。
1.2.5.2.网络安全日志
通过安全审计，网络管理者能及时的发生网络安全问题，即时解决，并且，当发生网络安全问题时，可通过审计进行回顾，分析问题发生的原因，采用相应的对策，阻止类似的问题再次发生。
?通过设置NTP，确保所有的网络设备获得一致的NTP服务，在总部核心交换、分公司核心路由器、各楼层交换机、总部局域网各路由器上进行NTP 设置；
?日志审计--下面一些基于系统的活动要求写入日志：
?非授权的访问尝试要写入日志
?成功和不成功的登录尝试写入日志
?用户访问权限的改变写入日志
?安全信息的维护、敏感命令的使用要写入日志
?具有特定权限的用户活动要写入日志
?系统日志文件的访问要写入日志
?所有的系统审核日志应该至少保留6个月；
?跟踪安全事件的记录应得到维护；
?计算机系统时钟应该和正确的记录时间同步；
?日志文件的访问应该严格限制在那些根据业务需求已得到批准的和具有适当访问权限的个人；
?所有软件、硬件、和数据的更改的审核历史记录应该被维护。此审核记录应包括，更改的原因，谁认可这个更改，谁实施了这个更改，更改的日期，谁测试了这个更改，测试的日期，测试的结果，任何测试结果纠正的日期，复测，等等；
?安全监控：
?所有CPIC Web服务器、防火墙和应用服务器应当受到实时监控，以确保这些设备的可用性；
?网络级实施适当的入侵防御或检测系统(IPS/IDS)和事件监控系统。入侵防御/检测设备应当在CPIC整个网络架构的关键部分实施和分布；
?应采用自动报警机制。
1.2.6.无线局域网安全
?无线局域网接入应该选择更加先进的加密技术，禁止使用WEP加密，应首选使用WPA2+802.1X的认证及加密方式；
?如使用802.1X条件条件不允许的情况，可选择使用WPA2-PSK，并使用至少8位的数字加字母的Preshare Key, Preshare Key至少每6个月更换一次密码；
?除仅为外来访客供Internet接入服务的无线接入设备的SSID，禁止其它SSID广播；
?除仅供外来客户提供Internet接入服务的无线接入设备，其余太保内部的无线局域网设备需采用太保统一的命名规则命名，禁止使用无线接入设备默认的SSID；
?对接入无线局域网的用户终端需绑定MAC地址或用户名或通过与Radius、LDAP或AD结合的身份验证；
?需考虑无线用户的网络访问控制，采用网络层隔离手段使无线接入对某些区域或应用的访问进控制；
?外来访客用户的无线接入不允许访问CPIC内网。
?对无线接入点（AP）在公司的部署应合理分配，考虑无线网络覆盖范围和强度，无线接入设备在办公区域的放置应固定。
2.主机及服务器安全篇
2.1.目的
为太保的操作系统、数据库和中间件提供详细的安全技术标准（包括对系统服务、端口、权限及其他安全项的配置标准），结合相应的技术解决方案与管理流程，提高系统的安全性，降低操作系统、数据库和中间件受到外部攻击和未经授权访问的风险。
2.2.操作系统安全配置
操作系统的安全配置主要内容包括用户账号、访问、加密、防恶、加固方面的内容，不包含备份恢复方面的内容。具体如下：
?文件与目录权限
?Sticky位设置：Linux系统中，在所有人可写的目录中通过设置Sticky 位可以保证只有文件的属主可以更改该文件，其他任何人没有修改权
限，这可以防止恶意破坏他人的文件。
?文件可写授权：应避免出现所有人均授权可写的文件，以防止文件被恶意篡改。
?可执行文件授权：需检查带有suid或sgid标志位的可执行文件是否均属于授权文件。
?无owner文件：无owner文件在新用户继承旧ID时可能被系统视为新用户所有，进而导致信息泄露。
?用户账号与权限
?禁止系统账号登录：系统账号通常用于后台维护，应禁止其前台登陆的行为。
?Root用户远程登录：应禁止系统root用户通过远程连接的方式登录系统。
?密码策略：较强的系统密码策略能有效抵御基于密码的攻击，防止系统受到未经授权的访问。
?系统超级用户：应检查系统uid为0的用户是否为合法用户、是否根据太保要求建立了集中日志账号和特权账号。
?危险服务管理
?Inetd网络服务、daemon网络服务：部分系统自带服务认证模式简单且用明文传输，应禁止使用此类系统服务。
?系统用户使用ftp服务：系统账号通常用于后台维护，不会使用ftp 服务。
?非必要端口关闭：应关闭不必要开启的系统端口。
?SSH配置：配置SSH可提供安全的消息传输通道，有效抵御网络上的嗅探、拦截等攻击。
?警告Banner：在用户通过ftp、telnet、网络或物理方式访问系统时，应通过banner对访问者进行警告。
?系统连接时限设置：在一定时间范围内若终端未进行任何操作，则用户将自动退出登录，防止系统被未经授权的人员操作。
?其他：根据各操作系统的特性所规定的安全配置规范
上述安全配置要求分为两类：必选项与可选项。操作系统必须符合必选项的安全配置要求，并由公司安全部门定期进行检查。可选项的安全配置要求作为加强操作系统安全的参考。
操作系统的必选项包括：
Linux/Unix：SSH配置、关闭inetd网络服务、关闭Daemon服务、检查文件与目录权限、禁止系统用户使用ftp服务、禁止root用户远程登录、检查rhosts认证的信任关系、检查cron与at的授权信息、禁止系统帐号登陆、检查其他超级用户、密码策略、TIMEOUT值、文件权限设置、警告Banner、集中日志帐号配置、特权帐号帐号配置。
Windows：设置密码策略、设置必要的审核、设置日志、禁止远程枚取帐号与共享、禁止显示上次登录用户名、禁止自动登陆、禁止自动执行系统调试器、禁
止磁盘自动运行、禁用Alert、Clipbook、Computer Browser、Print spooler、Messenger、snmp、snmp trap服务、集中日志帐号配置、特权帐号帐号配置。
详细配置要求见下文。
When the lives of employees or national property are endangered, production activities are stopped to rectify and eliminate dangerous factors. （安全管理） 单位：___________________ 姓名：___________________ 日期：___________________ 操作系统的安全策略基本配置原 则(新版)
操作系统的安全策略基本配置原则(新版)导语：生产有了安全保障，才能持续、稳定发展。生产活动中事故层出不穷，生产势必陷于混乱、甚至瘫痪状态。当生产与安全发生矛盾、危及职工生命或国家财产时，生产活动停下来整治、消除危险因素以后，生产形势会变得更好。"安全第一" 的提法，决非把安全摆到生产之上;忽视安全自然是一种错误。 安全配置方案中级篇主要介绍操作系统的安全策略配置,包括十 条基本配置原则: (1)操作系统安全策略,(2)关闭不必要的服务(3)关闭不必要的端口,(4)开启审核策略(5)开启密码策略,(6)开启帐户策略,(7)备份敏 感文件,(8)不显示上次登陆名,(9)禁止建立空连接(10)下载最新的补丁 1操作系统安全策略 利用Windows2000的安全配置工具来配置安全策略,微软提供了一套的基于管理控制台的安全配置和分析工具,可以配置服务器的安全 策略.在管理工具中可以找到"本地安全策略".可以配置四类安全策略:帐户策略,本地策略,公钥策略和IP安全策略.在默认的情况下,这些策略都是没有开启的. 2关闭不必要的服务 Windows2000的TerminalServices(终端服务)和IIS(Internet信
XXXX农商银行 信息系统安全配置基线规范 1范围 本规范适用于XXXX农商银行所有信息系统相关主流支撑平台设备。 2规范性引用文件 下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本规范。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本规范。 ——中华人民共和国计算机信息系统安全保护条例 ——中华人民共和国国家安全法 ——中华人民共和国保守国家秘密法 ——计算机信息系统国际联网保密管理规定 ——中华人民共和国计算机信息网络国际联网管理暂行规定 ——ISO27001标准/ISO27002指南 ——公通字[2007]43号信息安全等级保护管理办法 ——GB/T 21028-2007 信息安全技术服务器安全技术要求 ——GB/T 20269-2006 信息安全技术信息系统安全管理要求 ——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求 ——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南 3术语和定义 安全基线：指针对IT设备的安全特性，选择合适的安全控制措施，定义不同IT设备的最低安全配置要求，则该最低安全配置要求就称为安全基线。 管理信息大区：发电企业、电网企业、供电企业内部基于计算机和网络技术的业务系统，原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区(安全区I)和非控制区(安全区Ⅱ)；管理信息大区内部在不影响生产控制大区安全的前提下，可以根据各企业不同安全要求划分安全区。根据应用系统实际情况，在满足总体安全要求的前提下，可以简化安全区的设置，但是应当避免通过广域网形成不同安全区的纵向交叉连接。 4总则 4.1指导思想 围绕公司打造经营型、服务型、一体化、现代化的国内领先、国际著名企业的战略总体目标，为切实践行南网方略，保障信息化建设，提高信息安全防护能力，通过规范IT主流设备安全基线，建立公司管理信息大区IT主流设备安全防护的最低标准，实现公司IT主流设备整体防护的技术措施标准化、规范化、指标化。 4.2目标
AIX安全配置程序
1 账号认证 编号：安全要求-设备-通用-配置-1 编号：安全要求-设备-通用-配置-2
2密码策略 编号：安全要求-设备-通用-配置-3
编号：安全要求-设备-通用-配置-4 编号：安全要求-设备-通用-配置-5
编号：安全要求-设备-通用-配置-6 3审核授权策略 编号：安全要求-设备-通用-配置-7 (1)设置全局审核事件
配置/etc/security/audit/config文件，审核特权帐号和应用管理员帐号登录、注销，用户帐号增删，密码修改，执行任务更改，组更改，文件属主、模式更改，TCP连接等事件。 classes: custom = USER_Login,USER_Logout,USER_SU,PASSWORD_Change,USER_Create, USER_Change,USER_Remove,USER_Chpass,GROUP_Create,GROUP_Change,GROUP_Remove,CRON_J obAdd,CRON_JobRemove,TCPIP_config,TCPIP_host_id,TCPIP_connect,TCPIP_access,TCPIP_route,USER _Reboot,USER_SetGroups,INSTALLP_Inst,INSTALLP_Exec,FS_Rmdir,FS_Chroot,PORT_Locked,PORT_ Change,PROC_kill,PROC_Reboot,FS_Mount,FS_Umount,PROC_Settimer,PROC_Adjtime (2)审核系统安全文件修改 配置/etc/security/audit/objects文件，审核如下系统安全相关文件的修改。 /etc/security/environ: w = "S_ENVIRON_WRITE" /etc/security/group: w = "S_GROUP_WRITE" /etc/security/limits: w = "S_LIMITS_WRITE" /etc/security/login.cfg: w = "S_LOGIN_WRITE" /etc/security/passwd: r = "S_PASSWD_READ" w = "S_PASSWD_WRITE" /etc/security/user: w = "S_USER_WRITE" /etc/security/audit/config: w = "AUD_CONFIG_WR" 编号：安全要求-设备-通用-配置-8
系统安全配置技术规范—Cisco防火墙
文档说明（一）变更信息 （二）文档审核人
目录 1适用范围 (4) 2账号管理与授权 (4) 2.1【基本】设置非特权模式密码 (4) 2.2【基本】ENABLE PASSWORD的使用 (4) 2.3【基本】设置与认证系统联动 (5) 2.4【基本】设置登录失败处理功能 (5) 2.5认证授权最小化 (6) 3日志配置要求 (7) 3.1【基本】设置日志服务器 (7) 4IP协议安全要求 (7) 4.1【基本】设置SSH方式访问系统 (7) 4.2【基本】远程访问源地址限制 (8) 4.3【基本】设置F AILOVER KEY (8) 4.4【基本】关闭不使用的SNMP服务或更正不当权限设置 (9) 4.5【基本】SNMP服务的共同体字符串设置 (9) 4.6【基本】SNMP服务的访问控制设置 (9) 4.7【基本】防火墙策略修订 (10) 4.8常见攻击防护 (10) 4.9VPN安全加固 (10) 5服务配置要求 (11) 5.1【基本】启用NTP服务 (11) 5.2禁用HTTP配置方式 (11) 5.3禁用DHCP服务 (12) 5.4启用SERVICE RESETOUTSIDE (12) 5.5启用F LOODGUARD (12) 5.6启用F RAGMENT CHAIN保护 (13) 5.7启用RPF保护 (13) 6其他配置要求 (13) 6.1【基本】系统漏洞检测 (13) 6.2【基本】设置登录超时时间 (14) 6.3【基本】检查地址转换超时时间 (14) 6.4信息内容过滤 (14)
Windows操作系统安全配置方案 一、物理安全 服务器应当放置在安装了监视器的隔离房间内，并且监视器应当保留１５天以内的录像记录。另外，机箱、键盘、抽屉等要上锁，以保证旁人即使在无人值守时也无法使用此计算机，钥匙要放在安全的地方。 二、停止Guest帐号 在［计算机管理］中将Guest帐号停止掉，任何时候不允许Guest帐号登录系统。为了保险起见，最好给Guest帐号加上一个复杂的密码，并且修改Guest帐号属性，设置拒绝远程访问。 三、限制用户数量 去掉所有的测试帐户、共享帐号和普通部门帐号，等等。用户组策略设置相应权限、并且经常检查系统的帐号，删除已经不适用的帐号。 很多帐号不利于管理员管理，而黑客在帐号多的系统中可利用的帐号也就更多，所以合理规划系统中的帐号分配。 四、多个管理员帐号 管理员不应该经常使用管理者帐号登录系统，这样有可能被一些能够察看Winlogon进程中密码的软件所窥探到，应该为自己建立普通帐号来进行日常工作。 同时，为了防止管理员帐号一旦被入侵者得到，管理员拥有备份的管理员帐号还可以有机会得到系统管理员权限，不过因此也带来了多个帐号的潜在安全问题。 五、管理员帐号改名 在Windows 2000系统中管理员Administrator帐号是不能被停用的，这意味着攻击者可以一再尝试猜测此帐户的密码。把管理员帐户改名可以有效防止这一点。 不要将名称改为类似Admin之类，而是尽量将其伪装为普通用户。 六、陷阱帐号 和第五点类似、在更改了管理员的名称后，可以建立一个Administrator的普通用户，将其权限设置为最低，并且加上一个10位以上的复杂密码，借此花费入侵者的大量时间，并且发现其入侵企图。
编订：__________________ 单位：__________________ 时间：__________________ 操作系统的安全策略基本配置原则(正式) Standardize The Management Mechanism To Make The Personnel In The Organization Operate According To The Established Standards And Reach The Expected Level. Word格式 / 完整 / 可编辑
文件编号：KG-AO-8263-70 操作系统的安全策略基本配置原则 (正式) 使用备注：本文档可用在日常工作场景，通过对管理机制、管理原则、管理方法以及管理机构进行设置固定的规范，从而使得组织内人员按照既定标准、规范的要求进行操作，使日常工作或活动达到预期的水平。下载后就可自由编辑。 安全配置方案中级篇主要介绍操作系统的安全策略配置,包括十条基本配置原则: (1)操作系统安全策略,(2)关闭不必要的服务 (3)关闭不必要的端口, (4)开启审核策略(5)开启密码策略, (6)开启帐户策略,(7)备份敏感文件,(8)不显示上次登陆名,(9)禁止建立空连接(10)下载最新的补丁 1 操作系统安全策略 利用Windows 2000的安全配置工具来配置安全策略,微软提供了一套的基于管理控制台的安全配置和分析工具,可以配置服务器的安全策略.在管理工具中可以找到"本地安全策略".可以配置四类安全策略:帐户策略,本地策略,公钥策略和IP安全策略.在默认
的情况下,这些策略都是没有开启的. 2 关闭不必要的服务 Windows 2000的Terminal Services(终端服务)和IIS(Internet 信息服务)等都可能给系统带来安全漏洞.为了能够在远程方便的管理服务器,很多机器的终端服务都是开着的,如果开了,要确认已经正确的配置了终端服务. 有些恶意的程序也能以服务方式悄悄的运行服务器上的终端服务.要留意服务器上开启的所有服务并每天检查.Windows2000可禁用的服务服务名说明Computer Browser维护网络上计算机的最新列表以及提供这个列表Task scheduler允许程序在指定时间运行Routing and Remote Access在局域网以及广域网环境中为企业提供路由服务Removable storage管理可移动媒体,驱动程序和库Remote Registry Service允许远程注册表操作Print Spooler将文件加载到内存中以便以后打印.要用打印机的用户不能禁用这项服务IPSEC Policy Agent管
系统安全配置技术规范—Windows
212211文档说明（一）变更信息 （二）文档审核人
目录 1.适用范围.................................................. 错误!未定义书签。 2.帐号管理与授权............................................ 错误!未定义书签。 1 ........................................................... 错误!未定义书签。 2 ........................................................... 错误!未定义书签。 【基本】删除或锁定可能无用的帐户 ..................... 错误!未定义书签。 【基本】按照用户角色分配不同权限的帐号................ 错误!未定义书签。 【基本】口令策略设置不符合复杂度要求 ................. 错误!未定义书签。 【基本】设定不能重复使用口令 ......................... 错误!未定义书签。 不使用系统默认用户名 ................................. 错误!未定义书签。 口令生存期不得长于90天 .............................. 错误!未定义书签。 设定连续认证失败次数 ................................. 错误!未定义书签。 远端系统强制关机的权限设置 ........................... 错误!未定义书签。 关闭系统的权限设置 ................................... 错误!未定义书签。 取得文件或其它对象的所有权设置 ....................... 错误!未定义书签。 将从本地登录设置为指定授权用户 ....................... 错误!未定义书签。 将从网络访问设置为指定授权用户 ....................... 错误!未定义书签。 3.日志配置要求.............................................. 错误!未定义书签。 3 ........................................................... 错误!未定义书签。 【基本】审核策略设置中成功失败都要审核................ 错误!未定义书签。 【基本】设置日志查看器大小 ........................... 错误!未定义书签。 4.IP协议安全要求 ........................................... 错误!未定义书签。 4 ........................................................... 错误!未定义书签。 开启TCP/IP筛选 ...................................... 错误!未定义书签。 启用防火墙 ........................................... 错误!未定义书签。 启用SYN攻击保护 ..................................... 错误!未定义书签。
Windows 安全配置规范 2010年11月
第1章概述 1.1适用范围 本规范明确了Windows操作系统在安全配置方面的基本要求，可作为编制设备入网测试、安全验收、安全检查规范等文档的参考。 适用于中国电信所有运行的Windows操作系统，包括Windows 2000、Windows XP、Windows2003, Windows7 , Windows 2008以及各版本中的Sever、Professional版本。 第2章安全配置要求 2.1账号 编号：1 要求内容应按照不同的用户分配不同的账号，避免不同用户间共享账号，避 免用户账号和设备间通信使用的账号共享。 操作指南1、参考配置操作 进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用 户和组”： 根据系统的要求，设定不同的账户和账户组。 检测方法1、判定条件 结合要求和实际业务情况判断符合要求，根据系统的要求，设定不 同的账户和账户组 2、检测操作 进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用 户和组”：
查看根据系统的要求，设定不同的账户和账户组编号：2 要求内容应删除与运行、维护等工作无关的账号。 操作指南1．参考配置操作 A）可使用用户管理工具： 开始-运行-compmgmt.msc-本地用户和组-用户B）也可以通过net命令： 删除账号：net user account/de1 停用账号：net user account/active:no 检测方法1.判定条件 结合要求和实际业务情况判断符合要求，删除或锁定与设备运行、维护等与工作无关的账号。 注：主要指测试帐户、共享帐号、已经不用账号等 2.检测操作 开始-运行-compmgmt.msc-本地用户和组-用户 编号：3 要求内容重命名Administrator；禁用guest（来宾）帐号。 操作指南1、参考配置操作 进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用 户和组”： Administrator－>属性－> 更改名称 Guest帐号->属性－> 已停用 检测方法1、判定条件 缺省账户Administrator名称已更改。 Guest帐号已停用。 2、检测操作 进入“控制面板->管理工具->计算机管理”，在“系统工具->本地用 户和组”： 缺省帐户－>属性－> 更改名称
系统安全配置技术规范- W i n d o w s -标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII
系统安全配置技术规范—Windows
212211文档说明（一）变更信息 （二）文档审核人
目录 1. 适用范围 ..................................................................................................... 错误!未定义书签。 2. 帐号管理与授权 ......................................................................................... 错误!未定义书签。 【基本】删除或锁定可能无用的帐户 ................................................. 错误!未定义书签。 【基本】按照用户角色分配不同权限的帐号 ..................................... 错误!未定义书签。 【基本】口令策略设置不符合复杂度要求 ......................................... 错误!未定义书签。 【基本】设定不能重复使用口令......................................................... 错误!未定义书签。 不使用系统默认用户名 .................................................................... 错误!未定义书签。 口令生存期不得长于90天 .............................................................. 错误!未定义书签。 设定连续认证失败次数 .................................................................... 错误!未定义书签。 远端系统强制关机的权限设置 ........................................................ 错误!未定义书签。 关闭系统的权限设置 ........................................................................ 错误!未定义书签。 取得文件或其它对象的所有权设置 ................................................ 错误!未定义书签。 将从本地登录设置为指定授权用户 ................................................ 错误!未定义书签。 将从网络访问设置为指定授权用户 ................................................ 错误!未定义书签。 3. 日志配置要求 ............................................................................................. 错误!未定义书签。 【基本】审核策略设置中成功失败都要审核 ..................................... 错误!未定义书签。 【基本】设置日志查看器大小............................................................. 错误!未定义书签。 4. IP协议安全要求 ......................................................................................... 错误!未定义书签。 开启TCP/IP筛选................................................................................ 错误!未定义书签。 启用防火墙 ........................................................................................ 错误!未定义书签。 启用SYN攻击保护............................................................................ 错误!未定义书签。 5. 服务配置要求 ............................................................................................. 错误!未定义书签。 【基本】启用NTP服务 ........................................................................ 错误!未定义书签。 【基本】关闭不必要的服务................................................................. 错误!未定义书签。 【基本】关闭不必要的启动项............................................................. 错误!未定义书签。 【基本】关闭自动播放功能................................................................. 错误!未定义书签。 【基本】审核HOST文件的可疑条目 .................................................. 错误!未定义书签。 【基本】存在未知或无用的应用程序 ................................................. 错误!未定义书签。 【基本】关闭默认共享......................................................................... 错误!未定义书签。 【基本】非EVERYONE的授权共享 ......................................................... 错误!未定义书签。 【基本】SNMP C OMMUNITY S TRING设置................................................. 错误!未定义书签。 【基本】删除可匿名访问共享 ........................................................ 错误!未定义书签。 关闭远程注册表 ................................................................................ 错误!未定义书签。 对于远程登陆的帐号，设置不活动断开时间为1小时................. 错误!未定义书签。 IIS服务补丁更新 ............................................................................... 错误!未定义书签。 6. 其它配置要求 ............................................................................................. 错误!未定义书签。 【基本】安装防病毒软件..................................................................... 错误!未定义书签。 【基本】配置WSUS补丁更新服务器 ................................................. 错误!未定义书签。 【基本】S ERVICE P ACK补丁更新 ............................................................. 错误!未定义书签。 【基本】H OTFIX补丁更新...................................................................... 错误!未定义书签。 设置带密码的屏幕保护 .................................................................... 错误!未定义书签。
行业资料：________ 操作系统安全配置管理办法 单位：______________________ 部门：______________________ 日期：______年_____月_____日 第1 页共8 页
操作系统安全配置管理办法 1范围 1.1为了指导、规范海南电网公司信息通信分公司信息系统的操作系统安全配置方法和日常系统操作管理，提高重要信息系统的安全运行维护水平，规范化操作，确保信息系统安全稳定可靠运行，特制定本管理办法。 1.2本办法适用公司信息大区所有信息系统操作系统安全配置管理。主要操作系统包括：AIx系统、Windows系统、Linux系统及HPUNIx 系统等。 2规范性引用文件 下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本规范。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本规范。 --中华人民共和国计算机信息系统安全保护条例 --中华人民共和国国家安全法 --中华人民共和国保守国家秘密法 --ISO27001标准/ISO27002指南 --公通字[xx]43号信息安全等级保护管理办法 --GB/T21028-xx信息安全技术服务器安全技术要求 --GB/T20272-xx信息安全技术操作系统安全技术要求 --GB/T20269-xx信息安全技术信息系统安全管理要求 --GB/T22239-xx信息安全技术信息系统安全等级保护基本要求 --GB/T22240-xx信息安全技术信息系统安全等级保护定级指南 第 2 页共 8 页
3支持文件 《IT主流设备安全基线技术规范》（Q/CSG11804-xx） 4操作系统配置管理责任 4.1操作系统安全配置管理的主要责任人员是系统管理员，负责对所管辖的服务器操作系统进行安全配置。 4.2对于终端计算机操作系统的安全配置，应由终端管理员负责进行配置，或者在终端管理员指导下进行配置。 4.3系统管理员和终端管理员应定期对所管辖的服务器操作系统的配置、终端计算机操作系统的配置进行安全检查或抽查。 4.4系统管理员和终端管理员负责定期对所管辖的服务器和终端计算机操作系统安全配置的变更管理，变更应填写配置变更申请表。 4.5系统管理员和终端管理员负责定期对所管辖的服务器和终端计算机操作系统安全配置方法的修订和完善，由信息安全管理员对操作系统安全配置修订进行规范化和文档化,并经审核批准后统一发布。 5操作系统安全配置方法 5.1操作系统的安全配置规范应该根据不同的操作系统类型，不同的应用环境及不同的安全等级，结合信息系统和终端安全特性，制定合适的操作系统安全配置，以采取合适的安全控制措施。 5.2根据应用系统实际情况，在总体安全要求的前提下，操作系统的安全配置应满足《IT主流设备安全基线技术规范》（Q/CSG11804-xx）文件中对AIx系统、Windows系统、Linux系统及HPUNIx等最低安全配置要求的基础上可进行适当调节。 5.3操作系统安全配置方法应该根据技术发展和信息系统实际发展情况不断修订和完善。 第 3 页共 8 页
管理制度编号：YTO-FS-PD674 操作系统的安全策略基本配置原则通 用版 In Order T o Standardize The Management Of Daily Behavior, The Activities And T asks Are Controlled By The Determined Terms, So As T o Achieve The Effect Of Safe Production And Reduce Hidden Dangers. 标准/ 权威/ 规范/ 实用 Authoritative And Practical Standards
操作系统的安全策略基本配置原则 通用版 使用提示：本管理制度文件可用于工作中为规范日常行为与作业运行过程的管理，通过对确定的条款对活动和任务实施控制,使活动和任务在受控状态，从而达到安全生产和减少隐患的效果。文件下载后可定制修改，请根据实际需要进行调整和使用。 安全配置方案中级篇主要介绍操作系统的安全策略配置,包括十条基本配置原则: (1)操作系统安全策略,(2)关闭不必要的服务(3)关闭不必要的端口, (4)开启审核策略(5)开启密码策略, (6)开启帐户策略,(7)备份敏感文件,(8)不显示上次登陆名,(9)禁止建立空连接(10)下载最新的补丁 1 操作系统安全策略 利用Windows 2000的安全配置工具来配置安全策略,微软提供了一套的基于管理控制台的安全配置和分析工具,可以配置服务器的安全策略.在管理工具中可以找到"本地安全策略".可以配置四类安全策略:帐户策略,本地策略,公钥策略和IP安全策略.在默认的情况下,这些策略都是没有开启的. 2 关闭不必要的服务 Windows 2000的Terminal Services(终端服务)和IIS(Internet 信息服务)等都可能给系统带来安全漏洞.为了
中小学、幼儿园安全技术防范系统要求 1 范围 本标准规定了中小学校和幼儿园安全技术防范系统基本要求、重点部位和区域及其防护要求、系统技术要求、保障措施等。 本标准适用于各类中小学、幼儿园(以下统称学校)，其他未成年人集中教育培训机构或场所参照执行。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 7401 彩色电视图像质量主观评价方法 GB/T 15408-2011 安全防范系统供电技术要求 GB 50348 安全防范工程技术规范 GB 50394 入侵报警系统工程设计规范 GB 50395 视频安防监控系统工程设计规范 GB 50396 出入口控制系统工程设计规范 GA/T 644 电子巡查系统技术要求 GA/T 678 联网型可视对讲系统技术要求 3 术语和定义 GB 50348、GB 50394、GB 50395、GB 50396中界定的术语和定义适用于本文件。 4 基本要求 4.1 学校安全技术防范系统建设，应符合国家现行相关法律、法规的规定。 4.2 安全技术防范系统建设应统筹规划，坚持人防、物防、技防相结合的原则，以保障学生和教职员工的人身安全为重点。 4.3 学校安全技术防范系统中使用的产品应符合国家现行相关标准的要求，经检验或认证合格，并防止造成对人员的伤害。 4.4 学校安全技术防范系统应留有联网接口。 5 防护要求
5.1 重点部位和区域 5.1.1 下列部位和区域确定为学校安全技术防范系统的重点部位和区域： a)学校大门外一定区域； b)学校周界； c)学校大门口； d)门卫室（传达室）； e)室外人员集中活动区域； f)教学区域主要通道和出入口； g)学生宿舍楼（区）主要出入口和值班室； h)食堂操作间和储藏室及其出入口、就餐区域； i)易燃易爆等危险品储存室、实验室； j)贵重物品存放处； k)水电气热等设备间； l)安防监控室。 注：学校大门外一定区域是指学生上下学时段，校门外人员密集集中的区域。 5.2 防护要求 5.2.1 学校大门外一定区域应设置视频监控装置，监视及回放图像应能清晰显示监视区域内学生出入校园、人员活动和治安秩序情况。 5.2.2 学校周界应设置实体屏障，宜设置周界入侵报警装置。 5.2.3 学校大门口应设置视频监控装置，监视及回放图像应能清楚辨别进出人员的体貌特征和进出车辆的车型及车牌号。 5.2.4 学校大门口宜配置隔离装置，用于在学生上学、放学的人流高峰时段，大门内外一定区域内通过隔离装置设置临时隔离区，作为学生接送区。 5.2.5 学校大门口宜设置对学生、教职员工、访客等人员进行身份识别的出入口控制通道装置。 5.2.6 幼儿园大门口宜安装访客可视对讲装置。 5.2.7 学校门卫室（传达室）应设置紧急报警装置。 5.2.8 室外人员集中活动区域（操场等）宜设置视频监控装置，监视及回放图像应能清晰显示监视区域内人员活动情况。 5.2.9 教学区域内学生集中出入的主要通道和出入口宜设置视频监控装置。
操作系统安全配置方案 内容提要 Windows 的安全配置。 操作系统的安全将决定网络的安全，从保护级别上分成安全初级篇、中级篇和高级篇，共36 条基本配置原则。 安全配置初级篇讲述常规的操作系统安全配置，中级篇介绍操作系统的安全策略配置，高级篇介绍操作系统安全信息通信配置。 操作系统概述 目前服务器常用的操作系统有三类： Unix Linux Windows NT/2000/2003 Server 。 这些操作系统都是符合C2 级安全级别的操作系统。但是都存在不少漏洞，如果对这些漏洞不了解，不采取相应的措施，就会使操作系统完全暴露给入侵者。 UNIX 系统 UNIX 操作系统是由美国贝尔实验室开发的一种多用户、多任务的通用操作系统。它从一个实验室的产品发展成为当前使用普遍、影响深远的主流操作系统。 UNIX 诞生于20 世纪60 年代末期，贝尔实验室的研究人员于1969 年开始在GE645 计算机上实现一种分时操作系统的雏形，后来该系统被移植到了DEC 的PDP-7 小型机上。 1970 年给系统正式取名为Unix 操作系统。到1973 年，Unix 系统的绝大部分源代码都用C 语言重新编写过，大大提高了Unix 系统的可移植性，也为提高系统软件的开发效率创造了条件。 主要特色 UNIX 操作系统经过20 多年的发展后，已经成为一种成熟的主流操作系统，并在发展过程中逐步形成了一些新的特色，其中主要特色包括5 个方面。 （1 ）可靠性高 （2 ）极强的伸缩性 （3 ）网络功能强 （4 ）强大的数据库支持功能 （5 ）开放性好 Linux 系统 Linux 是一套可以免费使用和自由传播的类Unix 操作系统，主要用于基于Intel x86 系列CPU 的计算机上。这个系统是由全世界各地的成千上万的程序员设计和实现的。其目的是建立不受任何商品化软件的版权制约的、全世界都能自由使用的Unix 兼容产品。 Linux 最早开始于一位名叫Linus Torvalds 的计算机业余爱好者，当时他是芬兰赫尔辛基大学的学生。 目的是想设计一个代替Minix （是由一位名叫Andrew Tannebaum 的计算机教授编写的一个操作系统示教程序）的操作系统。这个操作系统可用于386 、486 或奔腾处理器的个人计算机上，并且具有Unix 操作系统的全部功能。 Linux 是一个免费的操作系统，用户可以免费获得其源代码，并能够随意修改。 它是在共用许可证GPL(General Public License) 保护下的自由软件，也有好几种版本，如Red Hat Linux 、Slackware ，以及国内的Xteam Linux 、红旗Linux 等等。Linux 的
系统安全配置技术规—Juniper防火墙
文档说明（一）变更信息 （二）文档审核人
目录 1. 适用围 (4) 2. 帐号管理与授权 (4) 2.1 【基本】删除与工作无关的帐号 (4) 2.2 【基本】建立用户帐号分类 (4) 2.3 【基本】配置登录超时时间 (5) 2.4 【基本】允许登录的帐号 (6) 2.5 【基本】失败登陆次数限制 (6) 2.6 【基本】口令设置符合复杂度要求 (6) 2.7 【基本】禁止ROOT远程登录 (7) 3. 日志配置要求 (8) 3.1 【基本】设置日志服务器 (8) 4. IP协议安全要求 (8) 4.1 【基本】禁用T ELNET方式访问系统 (8) 4.2 【基本】启用SSH方式访问系统 (9) 4.3 配置SSH安全机制 (9) 4.4 【基本】修改SNMP服务的共同体字符串 (10) 5. 服务配置要求 (10) 5.1 【基本】配置NTP服务 (10) 5.2 【基本】关闭DHCP服务 (11) 5.3 【基本】关闭FINGER服务 (11) 6. 其它安全要求 (12) 6.1 【基本】禁用A UXILIARY端口 (12) 6.2 【基本】配置设备名称 (12)
1.适用围 如无特殊说明，本规所有配置项适用于Juniper防火墙 JUNOS 8.x / 9.x / 10.x 版本。其中有“基本”字样的配置项，均为本公司对此类系统的基本安全配置要求；未涉及“基本”字样的配置项，请各系统管理员视实际需求酌情遵从。 2.帐号管理与授权 2.1【基本】删除与工作无关的帐号 2.2【基本】建立用户帐号分类
《安全系统整体解决方案设计》
第一章企业网络的现状描述 (3) 1.1企业网络的现状描述 (3) 第二章企业网络的漏洞分析 (4) 2.1物理安全 (4) 2.2主机安全 (4) 2.3外部安全 (4) 2.4内部安全 (5) 2.5内部网络之间、内外网络之间的连接安全 (5) 第三章企业网络安全整体解决方案设计 (5) 3.1企业网络的设计目标 (5) 3.2企业网络的设计原则 (6) 3.3物理安全解决方案 (6) 3.4主机安全解决方案 (7) 3.5网络安全解决方案 (7) 第四章方案的验证及调试 (8) 第五章总结 (9) 参考资料 ...................................................... 错误！未定义书签。
企业网络整体解决方案设计 第一章企业网络的现状描述 1.1企业网络的现状描述 网络拓扑图 以Internet发展为代表的全球性信息化浪潮日益深刻，信息网络技术的应用正日益普及和广泛，应用层次正在深入，应用领域从传统的、小型业务系统逐渐向大型、关键业务系统扩展,以往一直保持独立的大型机和中-高端开放式系统（Unix和NT）部分迅速融合成为一个异构企业部分。 以往安全系统的设计是采用被动防护模式，针对系统出现的各种情况采取相应的防护措施，当新的应用系统被采纳以后、或者发现了新的系统漏洞，使系统在实际运行中遭受攻击，系统管理员再根据情况采取相应的补救措施。这种以应用处理为核心的安全防护方案使系统管理人员忙于处理不同系统产生的各种故障。人力资源浪费很大，而且往往是在系统破坏造
成以后才进行处理，防护效果不理想，也很难对网络的整体防护做出规划和评估。 安全的漏洞往往存在于系统中最薄弱的环节，邮件系统、网关无一不直接威胁着企业网络的正常运行;中小企业需要防止网络系统遭到非法入侵、未经授权的存取或破坏可能造成的数据丢失、系统崩溃等问题，而这些都不是单一的防病毒软件外加服务器就能够解决的。因此无论是网络安全的现状，还是中小企业自身都向广大安全厂商提出了更高的要求。 第二章企业网络的漏洞分析 2.1 物理安全 网络的物理安全的风险是多种多样的。 网络的物理安全主要是指地震、水灾、火灾等环境事故；电源故障；人为操作失误或错误；设备被盗、被毁；电磁干扰；线路截获。以及高可用性的硬件、双机多冗余的设计、机房环境及报警系统、安全意识等。它是整个网络系统安全的前提，在这个企业区局域网内，由于网络的物理跨度不大，只要制定健全的安全管理制度，做好备份，并且加强网络设备和机房的管理，防止非法进入计算机控制室和各种盗窃，破坏活动的发生，这些风险是可以避免的。 2.2 主机安全 对于中国来说，恐怕没有绝对安全的操作系统可以选择，无论是Microsoft的Windows NT或者其他任何商用UNIX操作系统，其开发厂商必然有其Back-Door。我们可以这样讲：没有完全安全的操作系统。但是，我们可以对现有的操作平台进行安全配置、对操作和访问权限进行严格控制，提高系统的安全性。因此，不但要选用尽可能可靠的操作系统和硬件平台。而且，必须加强登录过程的认证，特别是在到达服务器主机之前的认证，确保用户的合法性；其次应该严格限制登录者的操作权限，将其完成的操作限制在最小的范围内。 与日常生活当中一样，企业主机也存在着各种各样的安全问题。使用者的使用权限不同，企业主机所付与的管理权限也不一样，同一台主机对不同的人有着不同的使用范围。同时，企业主机也会受到来自病毒，黑客等的袭击，企业主机对此也必须做好预防。在安装应用程序的时候，还得注意它的合法权限，以防止它所携带的一些无用的插件或者木马病毒来影响主机的运行和正常工作，甚至盗取企业机密。 2.3外部安全 拒绝服务攻击。值得注意的是，当前运行商受到的拒绝服务攻击的威胁正在变得越来越紧迫。对拒绝服务攻击的解决方案也越来越受到国际上先进电信提供商的关注。对大规模拒绝服务攻击能够阻止、减轻、躲避的能力是标志着一个电信企业可以向客户承诺更为健壮、具有更高可用性的服务，也是真个企业的网络安全水平进入一个新境界的重要标志。 外部入侵。这里是通常所说的黑客威胁。从前面几年时间的网络安全管理经验和渗透测试结果来看，当前大多数电信网络设备和服务都存在着被入侵的痕迹，甚至各种后门。这些是对网络自主运行的控制权的巨大威胁，使得客户在重要和关键应用场合没有信心，损失业务，甚至造成灾难性后果。