Linux 系统安全配置基线
绿盟
2009年 3月
备注：
1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录
第1章概述 (1)
1.1目的 ....................................................................................................... 错误！未定义书签。
1.2适用范围 ............................................................................................... 错误！未定义书签。
1.3适用版本 ............................................................................................... 错误！未定义书签。
1.4实施 ....................................................................................................... 错误！未定义书签。
1.5例外条款 ............................................................................................... 错误！未定义书签。第2章账号管理、认证授权 . (2)
2.1账号 (2)
2.1.1用户口令设置 (2)
2.1.2root用户远程登录限制 (2)
2.1.3检查是否存在除root之外UID为0的用户 (3)
2.1.4root用户环境变量的安全性 (3)
2.2认证 (4)
2.2.1远程连接的安全性配置 (4)
2.2.2用户的umask安全配置 (4)
2.2.3重要目录和文件的权限设置 (4)
2.2.4查找未授权的SUID/SGID文件 (5)
2.2.5检查任何人都有写权限的目录 (6)
2.2.6查找任何人都有写权限的文件 (6)
2.2.7检查没有属主的文件 (7)
2.2.8检查异常隐含文件 (7)
第3章日志审计 (9)
3.1日志 (9)
3.1.1syslog登录事件记录 (9)
3.2审计 (9)
3.2.1Syslog.conf的配置审核 (9)
第4章系统文件 (11)
4.1系统状态 (11)
4.1.1系统core dump状态 (11)
第5章评审与修订 (12)
第1章概述
1.1 目的
本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的LINUX 操作系统的主机应当遵循的操作系统安全性设置标准，本文档旨在指导系统管理人员或安全检查人员进行LINUX 操作系统的安全合规性检查和配置。
1.2 适用范围
本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。
本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的LINUX 服务器系统。
1.3 适用版本
LINUX系列服务器；
1.4 实施
本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。
本标准发布之日起生效。
1.5 例外条款
欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
第2章账号管理、认证授权2.1 账号
2.1.1用户口令设置
2.1.2root用户远程登录限制
2.1.3检查是否存在除root之外UID为0的用户
2.1.4root用户环境变量的安全性
2.2 认证
2.2.1远程连接的安全性配置
2.2.2用户的umask安全配置
2.2.3重要目录和文件的权限设置
2.2.4查找未授权的SUID/SGID文件
2.2.5检查任何人都有写权限的目录
2.2.6查找任何人都有写权限的文件
2.2.7检查没有属主的文件
2.2.8检查异常隐含文件
第3章日志审计
3.1 日志
3.1.1syslog登录事件记录
3.2 审计
3.2.1Syslog.conf的配置审核
第4章系统文件
4.1 系统状态
4.1.1系统core dump状态
第5章评审与修订
本标准由中国移动通信有限公司管理信息系统部定期进行审查，根据审视结果修订标准，并颁发执行。
Apache系统安全配置基线
Apache安全配置基线 目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 第2章账号管理、认证授权 (1) 2.1账号 ....................................................................................................... 错误！未定义书签。 2.1.1用户帐号设置............................................................................... 错误！未定义书签。 2.1.2删除或锁定无效账号 ................................................................... 错误！未定义书签。 2.2认证 (1) 2.2.1密码复杂度................................................................................... 错误！未定义书签。 2.2.2权限最小化 (1) 第3章日志审计 (2) 3.1日志审核 (2) 第4章其他配置操作 (3) 4.1.1登陆超时退出............................................................................... 错误！未定义书签。 4.1.2自定义错误信息 (3) 4.1.3限制访问IP .................................................................................. 错误！未定义书签。 4.1.4禁止目录遍历............................................................................... 错误！未定义书签。 第5章持续改进 (5) ii
TongWeb服务器安全配置基线 TongWeb服务器 安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 1.4实施 (1) 1.5例外条款 (1) 第2章账号管理、认证授权 (2) 2.1帐号 (2) 2.1.1应用帐号分配 (2) 2.1.2用户口令设置 (3) 2.1.3用户帐号删除 (3) 2.2认证授权 (4) 2.2.1控制台安全 (4) 第3章日志配置操作 (7) 3.1日志配置 (7) 3.1.1日志与记录 (7) 第4章备份容错 (9) 4.1备份容错 (9) 第5章IP协议安全配置 (10) 5.1IP通信安全协议 (10) 第6章设备其他配置操作 (12) 6.1安全管理 (12) 6.1.1禁止应用程序可显 (12) 6.1.2端口设置* (13) 6.1.3错误页面处理 (14) 第7章评审与修订 (16)
第1章概述 1.1 目的 本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的TongWeb服务器应当遵循的安全性设置标准，本文档旨在指导系统管理人员进行TongWeb服务器的安全配置。 1.2 适用范围 本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。 本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的TongWeb 服务器系统。 1.3 适用版本 5.x版本的TongWeb服务器。 1.4 实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.5 例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
Windows 系统安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (5) 1.1目的 (5) 1.2适用范围 (5) 1.3适用版本 (5) 1.4实施 (5) 1.5例外条款 (5) 第2章帐户管理、认证授权 (6) 2.1帐户 (6) 2.1.1 管理缺省帐户 (6) 2.1.2 按照用户分配帐户* (6) 2.1.3 删除与设备无关帐户* (7) 2.2口令 (7) 2.2.1密码复杂度 (7) 2.2.2密码最长留存期 (8) 2.2.3帐户锁定策略 (8) 2.3授权 (8) 2.3.1远程关机 (8) 2.3.2本地关机 (9) 2.3.3用户权利指派* (9) 2.3.4授权帐户登陆* (10) 2.3.5授权帐户从网络访问* (10) 第3章日志配置操作 (11) 3.1日志配置 (11) 3.1.1审核登录 (11) 3.1.2审核策略更改 (11) 3.1.3审核对象访问 (11) 3.1.4审核事件目录服务器访问 (12) 3.1.5审核特权使用 (12) 3.1.6审核系统事件 (13) 3.1.7审核帐户管理 (13) 3.1.8审核过程追踪 (13) 3.1.9日志文件大小 (14) 第4章IP协议安全配置 (15) 4.1IP协议 (15) 4.1.1启用SYN攻击保护 (15) 第5章设备其他配置操作 (17) 5.1共享文件夹及访问权限 (17) 5.1.1关闭默认共享 (17)
5.1.2共享文件夹授权访问* (17) 5.2防病毒管理 (18) 5.2.1数据执行保护 (18) 5.3W INDOWS服务 (18) 5.3.1 SNMP服务管理 (18) 5.3.2系统必须服务列表管理* (19) 5.3.3系统启动项列表管理* (19) 5.3.4远程控制服务安全* (19) 5.3.5 IIS安全补丁管理* (20) 5.3.6活动目录时间同步管理* (20) 5.4启动项 (21) 5.4.1关闭Windows自动播放功能 (21) 5.5屏幕保护 (21) 5.5.1设置屏幕保护密码和开启时间* (21) 5.6远程登录控制 (22) 5.6.1限制远程登陆空闲断开时间 (22) 5.7补丁管理 (23) 5.7.1操作系统补丁管理* (23) 5.7.2操作系统最新补丁管理* (23) 第6章评审与修订 (24)
Web应用安全配置基线 https://www.doczj.com/doc/9c3892102.html, 2009年 1月
1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (5) 1.1目的 (5) 1.2适用范围 (5) 1.3适用版本 (5) 1.4实施 (5) 第2章身份与访问控制 (6) 2.1账户锁定策略 (6) 2.2登录用图片验证码 (6) 2.3口令传输 (6) 2.4保存登录功能 (7) 2.5纵向访问控制 (7) 2.6横向访问控制 (7) 2.7敏感资源的访问 (8) 第3章会话管理 (9) 3.1会话超时 (9) 3.2会话终止 (9) 3.3会话标识 (9) 3.4会话标识复用 (10) 第4章代码质量 (11) 4.1防范跨站脚本攻击 (11) 4.2防范SQL注入攻击 (11) 4.3防止路径遍历攻击 (11) 4.4防止命令注入攻击 (12) 4.5防止其他常见的注入攻击 (12) 4.6防止下载敏感资源文件 (13) 4.7防止上传后门脚本 (13) 4.8保证多线程安全 (13) 4.9保证释放资源 (14) 第5章内容管理 (15) 5.1加密存储敏感信息 (15) 5.2避免泄露敏感技术细节 (15) 第6章防钓鱼与防垃圾邮件 (16) 6.1防钓鱼 (16) 6.2防垃圾邮件 (16) 第7章密码算法 (17) 7.1安全算法 (17) 7.2密钥管理 (17)
第1章概述 1.1 目的 本文档规定了所有IT基础设施范围内所有Web应用应当遵循的安全标准，本文档旨在指导系统管理人员进行Web应用安全基线检查。 1.2 适用范围 本配置标准的使用者包括：服务器系统管理员、应用程序管理员、网络安全管理员。 本配置标准适用的范围包括：支持所有业务正常运营的Web应用系统。 1.3 适用版本 基于B/S架构的Web应用 1.4 实施 本标准的解释权和修改权属于https://www.doczj.com/doc/9c3892102.html,，在本标准的执行过程中若有任何疑问或建议，应及时反馈。
Win2003 & 2008操作系统安全配置要求 2.1. 帐户口令安全 帐户分配：应为不同用户分配不同的帐户，不允许不同用户间共享同一帐户。 帐户锁定：应删除或锁定过期帐户、无用帐户。 用户访问权限指派：应只允许指定授权帐户对主机进行远程访问。 帐户权限最小化：应根据实际需要为各个帐户分配最小权限。 默认帐户管理：应对Administrator帐户重命名，并禁用Guest（来宾）帐户。 口令长度及复杂度：应要求操作系统帐户口令长度至少为8位，且应为数字、字母和特殊符号中至少2类的组合。 口令最长使用期限：应设置口令的最长使用期限小于90天。 口令历史有效次数：应配置操作系统用户不能重复使用最近 5 次（含 5 次）已使用过的口令。 口令锁定策略：应配置当用户连续认证失败次数为 5次，锁定该帐户30分钟。 2.2. 服务及授权安全 服务开启最小化：应关闭不必要的服务。 SNMP服务接受团体名称设置：应设置SNMP接受团体名称不为public或弱字符串。 系统时间同步：应确保系统时间与NTP服务器同步。 DNS服务指向：应配置系统DNS指向企业内部DNS服务器。 2.3. 补丁安全 系统版本：应确保操作系统版本更新至最新。 补丁更新：应在确保业务不受影响的情况下及时更新操作系统补丁。 2.4. 日志审计 日志审核策略设置：应合理配置系统日志审核策略。 日志存储规则设置：应设置日志存储规则，保证足够的日志存储空间。 日志存储路径：应更改日志默认存放路径。 日志定期备份：应定期对系统日志进行备份。 2.5. 系统防火墙：应启用系统自带防火墙，并根据业务需要限定允许通讯的应用程序或端口。 2.6. 防病毒软件：应安装由总部统一部署的防病毒软件，并及时更新。 2.7. 关闭自动播放功能：应关闭 Windows 自动播放功能。 2.8. 共享文件夹 删除本地默认共享：应关闭 Windows本地默认共享。 共享文件权限限制：应设置共享文件夹的访问权限，仅允许授权的帐户共享此文件夹。 2.9. 登录通信安全 禁止远程访问注册表：应禁止远程访问注册表路径和子路径。 登录超时时间设置：应设置远程登录帐户的登录超时时间为30 分钟。 限制匿名登录：应禁用匿名访问命名管道和共享。
各类操作系统安全配 置要求及操作指南 检查模块支持系统版本号 Windows Windows 2000 以上 Solaris Solaris 8 以上 AIX AIX 5.X以上 HP-UNIX HP-UNIX 11i以上 Linux 内核版本2.6以上 Oracle Oracle 8i以上 SQL Server Microsoft SQL Server 2000 以上 MySQL MySQL 5.x以上 IIS IIS 5.x以上 Apache Apache 2.x 以上 Tomcat Tomcat 5.x以上 WebLogic WebLogic 8.X以上
Windows操作系统 安全配置要求及操作指南 I 目录 目录..................................................................... I 前言.................................................................... II 1 范围 (1) 2 规范性引用文件 (1) 3 缩略语 (1) 4 安全配置要求 (2) 4.1 账号 (2) 4.2 口令 (3) 4.3 授权 (5) 4.4 补丁 (7) 4.5 防护软件 (8) 4.6 防病毒软件 (8) 4.7 日志安全要求 (9) 4.8 不必要的服务 (11) 4.9 启动项 (12) 4.10 关闭自动播放功能 (13) 4.11 共享文件夹 (13) 4.12 使用NTFS 文件系统 (14) 4.13 网络访问 (15) 4.14 会话超时设置 (16)
H3C设备安全配置基线 目录 第1章概述 ................................................................................................................................ 1.1目的.................................................................................................................................... 1.2适用范围............................................................................................................................ 1.3适用版本............................................................................................................................ 第2章帐号管理、认证授权安全要求 .................................................................................... 2.1帐号管理............................................................................................................................ 2.1.1用户帐号分配* .......................................................................................................... 2.1.2删除无关的帐号* ...................................................................................................... 2.2口令.................................................................................................................................... 2.2.1静态口令以密文形式存放 ........................................................................................ 2.2.2帐号、口令和授权 .................................................................................................... 2.2.3密码复杂度 ................................................................................................................ 2.3授权.................................................................................................................................... 2.3.1用IP协议进行远程维护的设备使用SSH等加密协议 ........................................... 第3章日志安全要求 ................................................................................................................ 3.1日志安全............................................................................................................................ 3.1.1启用信息中心 ............................................................................................................ 3.1.2开启NTP服务保证记录的时间的准确性................................................................ 3.1.3远程日志功能* .......................................................................................................... 第4章IP协议安全要求 ............................................................................................................ 4.1IP协议 ............................................................................................................................... 4.1.1VRRP认证................................................................................................................... 4.1.2系统远程服务只允许特定地址访问 ........................................................................
Windows系统安全配置基线
目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 第2章安装前准备工作 (1) 2.1需准备的光盘 (1) 第3章操作系统的基本安装 (1) 3.1基本安装 (1) 第4章账号管理、认证授权 (2) 4.1账号 (2) 4.1.1管理缺省账户 (2) 4.1.2删除无用账户 (2) 4.1.3用户权限分离 (3) 4.2口令 (3) 4.2.1密码复杂度 (3) 4.2.2密码最长生存期 (4) 4.2.3密码历史 (4) 4.2.4帐户锁定策略 (5) 4.3授权 (5) 4.3.1远程关机 (5) 4.3.2本地关机 (6) 4.3.3隐藏上次登录名 (6) 4.3.4关机清理内存页面 (7) 4.3.5用户权利指派 (7) 第5章日志配置操作 (8) 5.1日志配置 (8) 5.1.1审核登录 (8) 5.1.2审核策略更改 (8) 5.1.3审核对象访问 (8) 5.1.4审核事件目录服务器访问 (9) 5.1.5审核特权使用 (9) 5.1.6审核系统事件 (10) 5.1.7审核账户管理 (10) 5.1.8审核过程追踪 (10) 5.1.9日志文件大小 (11) 第6章其他配置操作 (11)
6.1共享文件夹及访问权限 (11) 6.1.1关闭默认共享 (11) 6.2防病毒管理 (12) 6.2.1防病毒软件保护 (12) 6.3W INDOWS服务 (12) 6.3.1 系统服务管理 (12) 6.4访问控制 (13) 6.4.1 限制Radmin管理地址 (13) 6.5启动项 (13) 6.4.1关闭Windows自动播放功能 (13) 6.4.3配置屏保功能 (14) 6.4.4补丁更新 (14) 持续改进 (15)
XX系统基线检查报告 XX部门 20XX年X月
目录 1.背景 (1) 2.人员信息 (1) 3.检查目标 (1) 4.检查结果 (1) 4.1.检查范围 (1) 4.2.检查内容 (1) 4.3.网络设备检查结果分析 (2) 4.3.1.网络设备检查结果汇总 (2) 4.3.2.网络设备检查不合规项 (2) 4.4.安全设备检查结果分析 (2) 4.4.1.安全设备检查结果汇总 (3) 4.4.2.安全设备检查不合规项 (3) 4.5.基础软件检查结果分析 (3) 4.5.1.操作系统检查结果分析 (3) 4.5.2.数据库检查结果分析 (3) 4.5.3.中间件检查结果分析 (3)
1.背景 描述本文档适用范围、场景等相关的背景情况，便于读者充分了解基线检查信息。2.人员信息 描述开展基线检查工作相关人员信息，包括姓名、联系方式、单位信息等。 3.检查目标 描述开展基线检查工作的目的、依据以及预期效果。 4.检查结果 4.1.检查范围 描述本次基线检查工作涉及到的基础设备设施类（例如操作系统、数据库、中间件等）、网络设备设施类（例如交换机、路由器等）、安全设备设施类（例如防火墙、入侵检测等）的品牌、型号或版本、数量等信息，参考示例如下： 4.2.检查内容 以列表形式描述本次检查的工作内容，示例如下：
4.3.网络设备检查结果分析 4.3.1.网络设备检查结果汇总 描述本次基线检查中针对网络设备类检查项总数、合规数、不合规数、人工确认项、检查失败数以及合规律情况,参考示例如下： 4.3.2.网络设备检查不合规项 针对检查发现的不合规项，分类逐项描述不合规名称、不合规原因以及关联的操作系统IP信息,参考示例如下： 4.4.安全设备检查结果分析 安全设备检查结果分析参考上述网络设备类进行描述。
Linux系统安全配置基线 目录 第1章概述................................................... 错误!未指定书签。 1.1目的 .................................................... 错误!未指定书签。 1.2适用范围 ................................................ 错误!未指定书签。 1.3适用版本 ................................................ 错误!未指定书签。第2章安装前准备工作 ......................................... 错误!未指定书签。 2.1需准备的光盘 ............................................ 错误!未指定书签。第3章操作系统的基本安装 ..................................... 错误!未指定书签。 3.1基本安装 ................................................ 错误!未指定书签。第4章账号管理、认证授权 ..................................... 错误!未指定书签。 4.1账号 .................................................... 错误!未指定书签。 4.1.1用户口令设置........................................ 错误!未指定书签。 4.1.2检查是否存在除root之外UID为0的用户 ............... 错误!未指定书签。 4.1.3检查多余账户........................................ 错误!未指定书签。 4.1.4分配账户............................................ 错误!未指定书签。 4.1.5账号锁定............................................ 错误!未指定书签。 4.1.6检查账户权限........................................ 错误!未指定书签。 4.2认证 .................................................... 错误!未指定书签。 4.2.1远程连接的安全性配置 ................................ 错误!未指定书签。 4.2.2限制ssh连接的IP配置 ............................... 错误!未指定书签。 4.2.3用户的umask安全配置 ................................ 错误!未指定书签。 4.2.4查找未授权的SUID/SGID文件 .......................... 错误!未指定书签。 4.2.5检查任何人都有写权限的目录 .......................... 错误!未指定书签。 4.2.6查找任何人都有写权限的文件 .......................... 错误!未指定书签。 4.2.7检查没有属主的文件 .................................. 错误!未指定书签。 4.2.8检查异常隐含文件 .................................... 错误!未指定书签。第5章日志审计............................................... 错误!未指定书签。 5.1日志 .................................................... 错误!未指定书签。 5.1.1syslog登录事件记录.................................... 错误!未指定书签。 5.2审计 .................................................... 错误!未指定书签。 5.2.1Syslog.conf的配置审核................................. 错误!未指定书签。 5.2.2日志增强............................................ 错误!未指定书签。 5.2.3syslog系统事件审计.................................... 错误!未指定书签。第6章其他配置操作 ........................................... 错误!未指定书签。 6.1系统状态 ................................................ 错误!未指定书签。 6.1.1系统超时注销........................................ 错误!未指定书签。 6.2L INUX服务................................................ 错误!未指定书签。
华为设备安全配置基线
目录 第1章概述 (4) 1.1目的 (4) 1.2适用范围 (4) 1.3适用版本 (4) 第2章帐号管理、认证授权安全要求 (5) 2.1帐号管理 (5) 2.1.1用户帐号分配* (5) 2.1.2删除无关的帐号* (6) 2.2口令 (7) 2.2.1静态口令以密文形式存放 (7) 2.2.2帐号、口令和授权 ................................................................ 错误！未定义书签。 2.2.3密码复杂度 (8) 2.3授权 (8) 2.3.1用IP协议进行远程维护的设备使用SSH等加密协议 (8) 第3章日志安全要求 (10) 3.1日志安全 (10) 3.1.1启用信息中心 (10) 3.1.2开启NTP服务保证记录的时间的准确性 (11) 3.1.3远程日志功能* (12) 第4章IP协议安全要求 (13) 4.1IP协议 (13) 4.1.1VRRP认证 (13) 4.1.2系统远程服务只允许特定地址访问 (13) 4.2功能配置 (15) 4.2.1SNMP的Community默认通行字口令强度 (15) 4.2.2只与特定主机进行SNMP协议交互 (16) 4.2.3配置SNMPV2或以上版本 (17) 4.2.4关闭未使用的SNMP协议及未使用write权限 (18) 第5章IP协议安全要求 (19)
5.1其他安全配置 (19) 5.1.1关闭未使用的接口 (19) 5.1.2修改设备缺省BANNER语 (20) 5.1.3配置定时账户自动登出 (20) 5.1.4配置console口密码保护功能 (21) 5.1.5端口与实际应用相符 (22)
H3C防火墙安全配置基线 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述.................................................................... 1.1目的..................................................................... 1.2适用范围................................................................. 1.3适用版本................................................................. 1.4实施..................................................................... 1.5例外条款................................................................. 第2章帐号管理、认证授权安全要求.............................................. 2.1帐号管理................................................................. 2.1.1用户帐号分配*........................................................ 2.1.2删除无关的帐号*...................................................... 2.1.3帐户登录超时*........................................................ 2.1.4帐户密码错误自动锁定*................................................ 2.2口令..................................................................... 2.2.1口令复杂度要求....................................................... 2.3授权..................................................................... 2.3.1远程维护的设备使用加密协议........................................... 第3章日志及配置安全要求...................................................... 3.1日志安全................................................................. 3.1.1记录用户对设备的操作................................................. 3.1.2开启记录NAT日志*.................................................... 3.1.3开启记录VPN日志*.................................................... 3.1.4配置记录拒绝和丢弃报文规则的日志..................................... 3.2告警配置要求............................................................. 3.2.1配置对防火墙本身的攻击或内部错误告警................................. 3.2.2配置TCP/IP协议网络层异常报文攻击告警................................ 3.2.3配置DOS和DDOS攻击告警.............................................. 3.2.4配置关键字内容过滤功能告警*.......................................... 3.3安全策略配置要求......................................................... 3.3.1访问规则列表最后一条必须是拒绝一切流量............................... 3.3.2配置访问规则应尽可能缩小范围......................................... 3.3.3VPN用户按照访问权限进行分组*........................................... 3.3.4配置NAT地址转换*.................................................... 3.3.5隐藏防火墙字符管理界面的bannner信息................................. 3.3.6避免从内网主机直接访问外网的规则*.................................... 3.3.7关闭非必要服务....................................................... 3.4攻击防护配置要求......................................................... 3.4.1拒绝常见漏洞所对应端口或者服务的访问................................. 3.4.2防火墙各逻辑接口配置开启防源地址欺骗功能............................. 第4章IP协议安全要求....................................................... 4.1功能配置.................................................................
信息安全配置基线(整理) xx 操作系统安全配置要求 2、 1、帐户口令安全帐户分配： 应为不同用户分配不同的帐户，不允许不同用户间共享同一帐户。 帐户锁定：应删除或锁定过期帐户、无用帐户。 用户访问权限指派：应只允许指定授权帐户对主机进行远程访问。 帐户权限最小化：应根据实际需要为各个帐户分配最小权限。 默认帐户管理：应对 Administrator 帐户重命名，并禁用 Guest（来宾）帐户。 口令长度及复杂度：应要求操作系统帐户口令长度至少为8 位，且应为数字、字母和特殊符号中至少2 类的组合。 口令最长使用期限：应设置口令的最长使用期限小于90 天。 口令历史有效次数：应配置操作系统用户不能重复使用最近5 次（含5 次）已使用过的口令。 口令锁定策略：应配置当用户连续认证失败次数为5 次，锁定该帐户30 分钟。 2、2、服务及授权安全服务开启最小化：应关闭不必要的服务。S NMP 服务接受团体名称设置：应设置 SNMP 接受团体名称不为 public 或弱字符串。 系统时间同步：应确保系统时间与 NTP 服务器同步。D NS 服务指向：应配置系统 DNS 指向企业内部 DNS 服务器。 2、3、补丁安全系统版本：应确保操作系统版本更新至最新。 补丁更新：应在确保业务不受影响的情况下及时更新操作系统补丁。
2、4、日志审计日志审核策略设置：应合理配置系统日志审核策略。 日志存储规则设置：应设置日志存储规则，保证足够的日志存储空间。 日志存储路径：应更改日志默认存放路径。 日志定期备份：应定期对系统日志进行备份。 2、5、系统防火墙：应启用系统自带防火墙，并根据业务需要限定允许通讯的应用程序或端口。 2、6、防病毒软件：应安装由总部统一部署的防病毒软件，并及时更新。 2、7、关闭自动播放功能：应关闭 Windows 自动播放功能。 2、8、共享文件夹删除本地默认共享：应关闭 Windows 本地默认共享。 共享文件权限限制：应设置共享文件夹的访问权限，仅允许授权的帐户共享此文件夹。 2、9、登录通信安全禁止远程访问注册表：应禁止远程访问注册表路径和子路径。 登录超时时间设置：应设置远程登录帐户的登录超时时间为30 分钟。 限制匿名登录：应禁用匿名访问命名管道和共享。R ed Hat Linux5 & 6、 Solaris9 & 10、 HP-UNIX11 操作系统安全配置要求
AIX 系统安全配置基线 中国移动通信有限公司管理信息系统部 2009年 3月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 1.4实施 (1) 1.5例外条款 (1) 第2章账号管理认证授权 (2) 2.1账号 (2) 2.1.1用户帐号设置 (2) 2.1.2用户组设置 (2) 2.1.3用户口令设置 (3) 2.1.4Root用户远程登录限制 (3) 2.1.5系统用户登录限制 (4) 2.2口令 (4) 2.2.1口令生存期安全要求 (4) 2.2.2口令历史安全要求 (4) 2.2.3用户口令锁定策略 (5) 2.2.4用户访问权限安全要求 (5) 2.2.5用户FTP访问的安全要求 (6) 第3章网络与服务 (7) 3.1服务 (7) 3.1.1远程维护安全要求 (7) 3.2网络 (7) 3.2.1 ICMP重定向安全要求 (7) 第4章日志审计 (8) 4.1日志 (8) 4.1.1添加认证日志 (8) 4.2审计 (8) 4.2.1安全事件审计 (8) 第5章设备其他安全配置要求 (10) 5.1设备 (10) 5.1.1屏幕保护 (10) 5.2缓冲区 (10) 5.2.1缓冲区溢出 (10) 第6章评审与修订 (12)
第1章概述 1.1 目的 本文档规定了中国移动通信有限公司管理信息系统部门所维护管理的AIX 操作系统的主机应当遵循的操作系统安全性设置标准，本文档旨在指导系统管理人员或安全检查人员进行AIX 操作系统的安全合规性检查和配置。 1.2 适用范围 本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。 本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的AIX 服务器系统。 1.3 适用版本 AIX系列服务器； 1.4 实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.5 例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
电力 安全配置核查服务解决方案 2013年月
目录 一. 背景 (3) 二. 需求分析 (3) 三. 安全基线研究 (4) 四. 安全基线的建立和应用 (7) 五. 项目概述 (8) 六. 解决方案建议 (9) 6.1组网部署 (10) 6.2产品特色功能 (11) 七. 支持型安全服务 (13) 7.1安全预警 (14) 7.2安全加固 (14) 7.3安全职守 (14) 7.4安全培训 (14) 八. 方案总结和展望 (15)
一. 背景 近年来，从中央到地方各级政府的日常政务、以及各行业企业的业务开展对IT系统依赖度的不断增强，信息系统运维人员的安全意识和安全技能也在逐步提高。最直接的体现为——传统以安全事件和新兴安全技术为主要驱动的安全建设模式，已经逐渐演进为以业务安全需求为主要驱动的主动式安全建设模式。从典型的信息安全建设过程来看，是由业务需求导出的安全需求在驱动着安全建设的全过程。 而如何获取准确全面的安全需求以指导未来的安全建设并为业务发展服务，如何建立一套行之有效的风险控制与管理手段，是每一个信息化主管所面临的共同挑战。 随着电力行业科技创新能力的日益提高，业务应用的日趋丰富，电力行业业务的开拓越来越依托于IT技术的进步；电力的发展对信息系统的依赖程度不断增强，对电力信息系统安全建设模式提出了更高更多的要求，信息安全建设工作已经是电力信息化建设中的重要内容，安全基线建设就是电力信息安全建设中一项新的举措和尝试。 在电力行业里，各类通信和IT设备采用通用操作系统、数据库，及各类设备间越来越多的使用IP协议进行通信，其网络安全问题更为凸出。为了维持电力的通信网、业务系统和支撑系统设备安全，必须从入网测试、工程验收和运行维护等，设备全生命周期各个阶段加强和落实安全要求。需要有一种方式进行风险的控制和管理。本技术方案将以安全基线建设为例，系统介绍安全基线建设在电力信息安全建设工作中的设计与应用 二. 需求分析 传统的安全建设模式逐渐向新兴的安全建设模式转变，传统的安全建设模式主要是以安全事件和新兴的安全技术为主要驱动，在安全建设的过程中处于被动的状态。而随着信息安全建设工作的不断深入，信息安全建设模式已经逐渐演变为以业务安全需求为主要驱动的主动式安全建设模式，目前，新兴的信息系统安全基线建设工作就是以业务需求为核心，制定针对不同系统的详细检查表格和操作指南，建立统一的服务器、网络设备、数据库和应用系统安全配置规范的一种新兴的安全建设模式。 随着“SGl86”系统工程和国家电网等级保护建设的开展，使电力系统的信息化建设更加迅速。同时在电力信息网络安全等方面做了大量工作，采取了许多有效措施防止网络安全事件。确保公司信息安全工作的系统性、安全性、实用性、创新性和全面性。SG186系统工程要求制定合适的安全管理规范，电力企业需要密切跟踪国内外安全标准化领域内的最新工作成果，