XXXX农商银行 信息系统安全配置基线规范 1范围 本规范适用于XXXX农商银行所有信息系统相关主流支撑平台设备。 2规范性引用文件 下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本规范。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本规范。 ——中华人民共和国计算机信息系统安全保护条例 ——中华人民共和国国家安全法 ——中华人民共和国保守国家秘密法 ——计算机信息系统国际联网保密管理规定 ——中华人民共和国计算机信息网络国际联网管理暂行规定 ——ISO27001标准/ISO27002指南 ——公通字[2007]43号信息安全等级保护管理办法 ——GB/T 21028-2007 信息安全技术服务器安全技术要求 ——GB/T 20269-2006 信息安全技术信息系统安全管理要求 ——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求 ——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南 3术语和定义 安全基线：指针对IT设备的安全特性，选择合适的安全控制措施，定义不同IT设备的最低安全配置要求，则该最低安全配置要求就称为安全基线。 管理信息大区：发电企业、电网企业、供电企业内部基于计算机和网络技术的业务系统，原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区(安全区I)和非控制区(安全区Ⅱ)；管理信息大区内部在不影响生产控制大区安全的前提下，可以根据各企业不同安全要求划分安全区。根据应用系统实际情况，在满足总体安全要求的前提下，可以简化安全区的设置，但是应当避免通过广域网形成不同安全区的纵向交叉连接。 4总则 4.1指导思想 围绕公司打造经营型、服务型、一体化、现代化的国内领先、国际著名企业的战略总体目标，为切实践行南网方略，保障信息化建设，提高信息安全防护能力，通过规范IT主流设备安全基线，建立公司管理信息大区IT主流设备安全防护的最低标准，实现公司IT主流设备整体防护的技术措施标准化、规范化、指标化。 4.2目标
系统安全配置技术规范—Cisco防火墙
文档说明（一）变更信息 （二）文档审核人
目录 1适用范围 (4) 2账号管理与授权 (4) 2.1【基本】设置非特权模式密码 (4) 2.2【基本】ENABLE PASSWORD的使用 (4) 2.3【基本】设置与认证系统联动 (5) 2.4【基本】设置登录失败处理功能 (5) 2.5认证授权最小化 (6) 3日志配置要求 (7) 3.1【基本】设置日志服务器 (7) 4IP协议安全要求 (7) 4.1【基本】设置SSH方式访问系统 (7) 4.2【基本】远程访问源地址限制 (8) 4.3【基本】设置F AILOVER KEY (8) 4.4【基本】关闭不使用的SNMP服务或更正不当权限设置 (9) 4.5【基本】SNMP服务的共同体字符串设置 (9) 4.6【基本】SNMP服务的访问控制设置 (9) 4.7【基本】防火墙策略修订 (10) 4.8常见攻击防护 (10) 4.9VPN安全加固 (10) 5服务配置要求 (11) 5.1【基本】启用NTP服务 (11) 5.2禁用HTTP配置方式 (11) 5.3禁用DHCP服务 (12) 5.4启用SERVICE RESETOUTSIDE (12) 5.5启用F LOODGUARD (12) 5.6启用F RAGMENT CHAIN保护 (13) 5.7启用RPF保护 (13) 6其他配置要求 (13) 6.1【基本】系统漏洞检测 (13) 6.2【基本】设置登录超时时间 (14) 6.3【基本】检查地址转换超时时间 (14) 6.4信息内容过滤 (14)
系统安全配置技术规范—Windows
212211文档说明（一）变更信息 （二）文档审核人
目录 1.适用范围.................................................. 错误!未定义书签。 2.帐号管理与授权............................................ 错误!未定义书签。 1 ........................................................... 错误!未定义书签。 2 ........................................................... 错误!未定义书签。 【基本】删除或锁定可能无用的帐户 ..................... 错误!未定义书签。 【基本】按照用户角色分配不同权限的帐号................ 错误!未定义书签。 【基本】口令策略设置不符合复杂度要求 ................. 错误!未定义书签。 【基本】设定不能重复使用口令 ......................... 错误!未定义书签。 不使用系统默认用户名 ................................. 错误!未定义书签。 口令生存期不得长于90天 .............................. 错误!未定义书签。 设定连续认证失败次数 ................................. 错误!未定义书签。 远端系统强制关机的权限设置 ........................... 错误!未定义书签。 关闭系统的权限设置 ................................... 错误!未定义书签。 取得文件或其它对象的所有权设置 ....................... 错误!未定义书签。 将从本地登录设置为指定授权用户 ....................... 错误!未定义书签。 将从网络访问设置为指定授权用户 ....................... 错误!未定义书签。 3.日志配置要求.............................................. 错误!未定义书签。 3 ........................................................... 错误!未定义书签。 【基本】审核策略设置中成功失败都要审核................ 错误!未定义书签。 【基本】设置日志查看器大小 ........................... 错误!未定义书签。 4.IP协议安全要求 ........................................... 错误!未定义书签。 4 ........................................................... 错误!未定义书签。 开启TCP/IP筛选 ...................................... 错误!未定义书签。 启用防火墙 ........................................... 错误!未定义书签。 启用SYN攻击保护 ..................................... 错误!未定义书签。
1.范围 本规范从应用开发安全管理要求出发，给出了WEB编码安全的具体要求。供浙江公司IT系统内部和厂商使用，适用于省市公司IT系统项目建设WEB工作。 本规范明确定义了JA V A、PHP应用开发中和WEB编码安全相关的技术细节。 与JA V A编码安全相关的内容包括：跨站脚本攻击及解决方法、SQL注入及解决方法、恶意文件执行及解决方法、不安全的直接对象引用及解决方法、跨站请求伪造及解决方法、信息泄露和错误处理不当及解决方法、残缺的认证和会话管理及解决方法、不安全的加密存储及解决方法、不安全的通信及解决方法、限制URL 访问实效解决方法。 与PHP编码安全相关的内容包括：变量滥用及解决方法、文件打开漏洞及解决方法、文件包含漏洞及解决方法、文件上传漏洞及解决方法、命令执行漏洞及解决方法、变量类型缺陷及解决方法、警告及错误信息处理解决方法、PHP与MYSQL 组合的SQL注入解决方法、跨站脚本解决方法。 2.1.规范概述 Web应用程序为结构设计人员、设计人员和开发人员提出一系列复杂的安全问题。最安全、最有能力抵御攻击的Web应用程序是那些应用安全思想构建的应用程序。 在设计初始阶段，应该使用可靠的体系结构和设计方法，同时要结合考虑程序部署以及企业的安全策略。如果不能做到这一点，将导致在现有基础结构上部署应用程序时，要不可避免地危及安全性。 本规范提供一系列安全的体系结构和设计指南，并按照常见的应用程序漏洞类别进行组织。这些指南是Web应用程序安全的重要方面，并且是经常发生错误的领域。
2.实现目标 使用本规范可以实现： 1.确定安全Web应用程序的重要体系结构和设计问题。 2.设计时考虑重要部署问题。 3.制定能增强Web应用程序输入验证的策略。 4.设计安全的身份验证和会话管理机制。 5.选择适当的授权模型。 6.实现有效的帐户管理方法，并保护用户会话。 7.对隐私、认可、防止篡改和身份验证信息进行加密。 8.防止参数操作。 9.设计审核和记录策略。 3.安全编码原则 1.程序只实现你指定的功能 2.永不要信任用户输入，对用户输入数据做有效性检查 3.必须考虑意外情况并进行处理 4.不要试图在发现错误之后继续执行 5.尽可能使用安全函数进行编程 6.小心、认真、细致地编程 4.安全背景知识 本规范主要提供设计应用程序时应该遵循的一些指南和原则。为充分理解本规范内容，请：了解应用程序将会受到的威胁，以确保通过程序设计解决这些问题。解需要考虑的威胁。在程序设计阶段应该考虑到这些威胁。 在应用程序易受攻击的重要环节应用系统的方法。将重点放在程序部署、输入验证、身份验证和授权、加密及数据敏感度、配臵、会话、异常管理以及适当的审核和记录策略上，以确保应用程序具有责任性。
AIX安全配置程序
1 账号认证 编号：安全要求-设备-通用-配置-1 编号：安全要求-设备-通用-配置-2
2密码策略 编号：安全要求-设备-通用-配置-3
编号：安全要求-设备-通用-配置-4 编号：安全要求-设备-通用-配置-5
编号：安全要求-设备-通用-配置-6 3审核授权策略 编号：安全要求-设备-通用-配置-7 (1)设置全局审核事件
配置/etc/security/audit/config文件，审核特权帐号和应用管理员帐号登录、注销，用户帐号增删，密码修改，执行任务更改，组更改，文件属主、模式更改，TCP连接等事件。 classes: custom = USER_Login,USER_Logout,USER_SU,PASSWORD_Change,USER_Create, USER_Change,USER_Remove,USER_Chpass,GROUP_Create,GROUP_Change,GROUP_Remove,CRON_J obAdd,CRON_JobRemove,TCPIP_config,TCPIP_host_id,TCPIP_connect,TCPIP_access,TCPIP_route,USER _Reboot,USER_SetGroups,INSTALLP_Inst,INSTALLP_Exec,FS_Rmdir,FS_Chroot,PORT_Locked,PORT_ Change,PROC_kill,PROC_Reboot,FS_Mount,FS_Umount,PROC_Settimer,PROC_Adjtime (2)审核系统安全文件修改 配置/etc/security/audit/objects文件，审核如下系统安全相关文件的修改。 /etc/security/environ: w = "S_ENVIRON_WRITE" /etc/security/group: w = "S_GROUP_WRITE" /etc/security/limits: w = "S_LIMITS_WRITE" /etc/security/login.cfg: w = "S_LOGIN_WRITE" /etc/security/passwd: r = "S_PASSWD_READ" w = "S_PASSWD_WRITE" /etc/security/user: w = "S_USER_WRITE" /etc/security/audit/config: w = "AUD_CONFIG_WR" 编号：安全要求-设备-通用-配置-8
DKBA DKBA 2355-2009.7 .2cto.红黑联盟收集整理 Web应用安全测试规V1.2 2009年7月5日发布2009年7月5日实施 所有侵权必究 All rights reserved
修订声明Revision declaration 本规拟制与解释部门： 安全解决方案部电信网络与业务安全实验室、软件公司安全TMG、软件公司测试业务管理部 本规的相关系列规或文件： 《Web应用安全开发规》 相关国际规或文件一致性： 《OWASP Testing Guide v3》 《信息安全技术信息安全风险评估指南》 《Information technology Security techniques Management of information and communications technology security》－ISO 13335 替代或作废的其它规或文件： 无 相关规或文件的相互关系： 本规以《Web应用安全开发规》为基础、结合Web应用的特点而制定。
目录Table of Contents 1概述 (7) 1.1背景简介 (7) 1.2适用读者 (7) 1.3适用围 (7) 1.4安全测试在IPD流程中所处的位置 (8) 1.5安全测试与安全风险评估的关系说明 (8) 1.6注意事项 (9) 1.7测试用例级别说明 (9) 2测试过程示意图 (10) 3WEB安全测试规 (11) 3.1自动化W EB漏洞扫描工具测试 (11) 3.1.1AppScan application扫描测试 (12) 3.1.2AppScan Web Service 扫描测试 (13) 3.2服务器信息收集 (13) 3.2.1运行权限测试 (13) 3.2.2Web服务器端口扫描 (14) 3.2.3HTTP方法测试 (14) 3.2.4HTTP PUT方法测试 (15) 3.2.5HTTP DELETE方法测试 (16) 3.2.6HTTP TRACE方法测试 (17) 3.2.7HTTP MOVE方法测试 (17) 3.2.8HTTP COPY方法测试 (18) 3.2.9Web服务器版本信息收集 (18) 3.3文件、目录测试 (20) 3.3.1工具方式的敏感接口遍历 (20) 3.3.2Robots方式的敏感接口查找 (21)
第二章系统安全的需求分析 本章从数据安全和业务逻辑安全两个角度对应用系统的安全进行需求分析，主要包括保密性需求、完整性需求、可用性需求三部分；随后对业务逻辑安全需求进行了分析，包括身份认证、访问控制、交易重复提交控制、异步交易处理、交易数据不可否认性、监控与审计等几个方面；最后还分析了系统中一些其它的安全需求。 2.1 数据安全需求 2.1.1 数据保密性需求 数据保密性要求数据只能由授权实体存取和识别，防止非授权泄露。从目前国内应用的安全案例统计数据来看，数据保密性是最易受到攻击的一个方面，通常表现为客户端发生的数据泄密，包括用户的基本信息、账户信息、登录信息等的泄露。在应用系统中，数据保密性需求通常主要体现在以下几个方面：A．客户端与系统交互时输入的各类密码：包括系统登录密码、转账密码、凭证查询密码、凭证交易密码等必须加密传输及存放，这些密码在应用系统中只能以密文的方式存在，其明文形式能且只能由其合法主体能够识别。 以网银系统为例，在网银系统中，通常存有四种密码：系统登录密码、网银转账密码、柜面交易密码及一次性密码。系统登录密码用来认证当前登录者为指定登录名的合法用户，网银用户的登录密码和网银转账密码由用户在柜面开户时指定，用户在首次登录网银系统时，系统必须强制用户修改初始密码，通常要求长度不得少于六位数，且不能是类似于111111、1234567、9876543等的简单数字序列，系统将进行检查。 网银转账密码是指网银系统为巩固用户资金安全，在涉及资金变动的交易中对用户身份进行了再认证，要求用户输入预设的密码，网银交易密码仅针对个人用户使用，企业用户没有网银交易密码。建立多重密码机制，将登录密码与网银转账密码分开管理，有利于加强密码的安全性。由于用户在使用网银时每次都必须先提供登录密码，故登录密码暴露的机会较多，安全性相对较弱；但登录网银的用户并不是每次都会操作账户资金的，所以专门设定网银转账密码可加强账户
系统安全配置技术规范- W i n d o w s -标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII
系统安全配置技术规范—Windows
212211文档说明（一）变更信息 （二）文档审核人
目录 1. 适用范围 ..................................................................................................... 错误!未定义书签。 2. 帐号管理与授权 ......................................................................................... 错误!未定义书签。 【基本】删除或锁定可能无用的帐户 ................................................. 错误!未定义书签。 【基本】按照用户角色分配不同权限的帐号 ..................................... 错误!未定义书签。 【基本】口令策略设置不符合复杂度要求 ......................................... 错误!未定义书签。 【基本】设定不能重复使用口令......................................................... 错误!未定义书签。 不使用系统默认用户名 .................................................................... 错误!未定义书签。 口令生存期不得长于90天 .............................................................. 错误!未定义书签。 设定连续认证失败次数 .................................................................... 错误!未定义书签。 远端系统强制关机的权限设置 ........................................................ 错误!未定义书签。 关闭系统的权限设置 ........................................................................ 错误!未定义书签。 取得文件或其它对象的所有权设置 ................................................ 错误!未定义书签。 将从本地登录设置为指定授权用户 ................................................ 错误!未定义书签。 将从网络访问设置为指定授权用户 ................................................ 错误!未定义书签。 3. 日志配置要求 ............................................................................................. 错误!未定义书签。 【基本】审核策略设置中成功失败都要审核 ..................................... 错误!未定义书签。 【基本】设置日志查看器大小............................................................. 错误!未定义书签。 4. IP协议安全要求 ......................................................................................... 错误!未定义书签。 开启TCP/IP筛选................................................................................ 错误!未定义书签。 启用防火墙 ........................................................................................ 错误!未定义书签。 启用SYN攻击保护............................................................................ 错误!未定义书签。 5. 服务配置要求 ............................................................................................. 错误!未定义书签。 【基本】启用NTP服务 ........................................................................ 错误!未定义书签。 【基本】关闭不必要的服务................................................................. 错误!未定义书签。 【基本】关闭不必要的启动项............................................................. 错误!未定义书签。 【基本】关闭自动播放功能................................................................. 错误!未定义书签。 【基本】审核HOST文件的可疑条目 .................................................. 错误!未定义书签。 【基本】存在未知或无用的应用程序 ................................................. 错误!未定义书签。 【基本】关闭默认共享......................................................................... 错误!未定义书签。 【基本】非EVERYONE的授权共享 ......................................................... 错误!未定义书签。 【基本】SNMP C OMMUNITY S TRING设置................................................. 错误!未定义书签。 【基本】删除可匿名访问共享 ........................................................ 错误!未定义书签。 关闭远程注册表 ................................................................................ 错误!未定义书签。 对于远程登陆的帐号，设置不活动断开时间为1小时................. 错误!未定义书签。 IIS服务补丁更新 ............................................................................... 错误!未定义书签。 6. 其它配置要求 ............................................................................................. 错误!未定义书签。 【基本】安装防病毒软件..................................................................... 错误!未定义书签。 【基本】配置WSUS补丁更新服务器 ................................................. 错误!未定义书签。 【基本】S ERVICE P ACK补丁更新 ............................................................. 错误!未定义书签。 【基本】H OTFIX补丁更新...................................................................... 错误!未定义书签。 设置带密码的屏幕保护 .................................................................... 错误!未定义书签。
网站WEB应用安全措施要求规范 1.安全防范措施要求 (1）数据保密性：数据加密主要是防止非授权用户截获并使用该数据，网站中有保密要求的信息只能供经过授权允许的人员，并且以经过允许的方式使用。 (2）数据完整性：使用一种方案来确认同站上的数据在传输过程中没有被篡改，而造成信息完整性破坏的原因可以分为人为的和非人为的两种： 非人为的因素：如通信传输中的干扰噪声，系统硬件或软件的故障等； 人为因素：包括有意的和无意的两种，前者如黑客对计算机的入侵、合法用户越权对网站内数据的处理，后者如操作失误或使用不当。 (3）数据安全性：数据的安全性就是保证数据库不被故意破坏和非法存取：数据的完整性是防止数据库中存在不符合语义的数据，以及防止由于错误信息的输入、输出而造成无效操作和错误结果：并发控制即数据库是一个共享资源，在多个用户程序并行地存取数据库时，就可能会产生多个用户程序通过网站并发地存取同一数据的情况，若不进行并发控制就会使取出和存入的数据不正确，破坏数据库的一致性。 (4）恶意代码防范：通过代码层屏蔽常见恶意攻击行为，防止非法数据提交；如：SQL注入； (5）双因子授权认证：应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别。 (6）密码复杂度：强制用户首次登录时修改初始口令；口令长度至少为8位，并由数字、大小字母与特殊字符组成。 (7）会话过期与超时：浏览器Cookie过期、无动作过期、强制过期、保持会话等进行限制； (8）安全审计功能：a)审计覆盖到每个用户，对重要的用户行为和重要安全事件进行审计，如：登录、退出、添加、删除、修改或覆盖等；b)审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；
中小学、幼儿园安全技术防范系统要求 1 范围 本标准规定了中小学校和幼儿园安全技术防范系统基本要求、重点部位和区域及其防护要求、系统技术要求、保障措施等。 本标准适用于各类中小学、幼儿园(以下统称学校)，其他未成年人集中教育培训机构或场所参照执行。 2 规范性引用文件 下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。 GB/T 7401 彩色电视图像质量主观评价方法 GB/T 15408-2011 安全防范系统供电技术要求 GB 50348 安全防范工程技术规范 GB 50394 入侵报警系统工程设计规范 GB 50395 视频安防监控系统工程设计规范 GB 50396 出入口控制系统工程设计规范 GA/T 644 电子巡查系统技术要求 GA/T 678 联网型可视对讲系统技术要求 3 术语和定义 GB 50348、GB 50394、GB 50395、GB 50396中界定的术语和定义适用于本文件。 4 基本要求 4.1 学校安全技术防范系统建设，应符合国家现行相关法律、法规的规定。 4.2 安全技术防范系统建设应统筹规划，坚持人防、物防、技防相结合的原则，以保障学生和教职员工的人身安全为重点。 4.3 学校安全技术防范系统中使用的产品应符合国家现行相关标准的要求，经检验或认证合格，并防止造成对人员的伤害。 4.4 学校安全技术防范系统应留有联网接口。 5 防护要求
5.1 重点部位和区域 5.1.1 下列部位和区域确定为学校安全技术防范系统的重点部位和区域： a)学校大门外一定区域； b)学校周界； c)学校大门口； d)门卫室（传达室）； e)室外人员集中活动区域； f)教学区域主要通道和出入口； g)学生宿舍楼（区）主要出入口和值班室； h)食堂操作间和储藏室及其出入口、就餐区域； i)易燃易爆等危险品储存室、实验室； j)贵重物品存放处； k)水电气热等设备间； l)安防监控室。 注：学校大门外一定区域是指学生上下学时段，校门外人员密集集中的区域。 5.2 防护要求 5.2.1 学校大门外一定区域应设置视频监控装置，监视及回放图像应能清晰显示监视区域内学生出入校园、人员活动和治安秩序情况。 5.2.2 学校周界应设置实体屏障，宜设置周界入侵报警装置。 5.2.3 学校大门口应设置视频监控装置，监视及回放图像应能清楚辨别进出人员的体貌特征和进出车辆的车型及车牌号。 5.2.4 学校大门口宜配置隔离装置，用于在学生上学、放学的人流高峰时段，大门内外一定区域内通过隔离装置设置临时隔离区，作为学生接送区。 5.2.5 学校大门口宜设置对学生、教职员工、访客等人员进行身份识别的出入口控制通道装置。 5.2.6 幼儿园大门口宜安装访客可视对讲装置。 5.2.7 学校门卫室（传达室）应设置紧急报警装置。 5.2.8 室外人员集中活动区域（操场等）宜设置视频监控装置，监视及回放图像应能清晰显示监视区域内人员活动情况。 5.2.9 教学区域内学生集中出入的主要通道和出入口宜设置视频监控装置。
系统安全配置技术规—Juniper防火墙
文档说明（一）变更信息 （二）文档审核人
目录 1. 适用围 (4) 2. 帐号管理与授权 (4) 2.1 【基本】删除与工作无关的帐号 (4) 2.2 【基本】建立用户帐号分类 (4) 2.3 【基本】配置登录超时时间 (5) 2.4 【基本】允许登录的帐号 (6) 2.5 【基本】失败登陆次数限制 (6) 2.6 【基本】口令设置符合复杂度要求 (6) 2.7 【基本】禁止ROOT远程登录 (7) 3. 日志配置要求 (8) 3.1 【基本】设置日志服务器 (8) 4. IP协议安全要求 (8) 4.1 【基本】禁用T ELNET方式访问系统 (8) 4.2 【基本】启用SSH方式访问系统 (9) 4.3 配置SSH安全机制 (9) 4.4 【基本】修改SNMP服务的共同体字符串 (10) 5. 服务配置要求 (10) 5.1 【基本】配置NTP服务 (10) 5.2 【基本】关闭DHCP服务 (11) 5.3 【基本】关闭FINGER服务 (11) 6. 其它安全要求 (12) 6.1 【基本】禁用A UXILIARY端口 (12) 6.2 【基本】配置设备名称 (12)
1.适用围 如无特殊说明，本规所有配置项适用于Juniper防火墙 JUNOS 8.x / 9.x / 10.x 版本。其中有“基本”字样的配置项，均为本公司对此类系统的基本安全配置要求；未涉及“基本”字样的配置项，请各系统管理员视实际需求酌情遵从。 2.帐号管理与授权 2.1【基本】删除与工作无关的帐号 2.2【基本】建立用户帐号分类
住宅小区安全防范系统通用技术要求 1 范围 本标准规定了住宅小区安全防范系统的通用技术要求，是住宅小区安全防范系统设计、施工的基本依据。 本标准适用于新建、改建、扩建的住宅小区安全防范系统。单幢、多幢住宅楼、公寓、别墅群的安全防范系统可参照执行。 2 规范性引用文件 下列文件中的条款通过本标准的引用而成为本标准的条款。凡是日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修改版均不适用于本标准，然而，鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。 GB/T7401 彩色电视图像质量主观评价方法 GB12663 防盗报警控制器通用技术条件 GB17565 防盗安全门通用技术条件 GB50303 建筑电气工程施工质量验收规范 GB50348—2004 安全防范工程技术规范 GB50394 入侵报警系统工程设计规范 GB50396—2007 出入口控制系统工程设计规范 GA/T72 楼寓对讲系统及电控防盗门通用技术条件 GA/T644 电子巡查系统技术要求 GA/T669.1 城市监控报警联网系统技术标准第一部分：通用技术要求 GA/T678 联网型可视对讲系统技术要求 3 术语和定义 GB50348—2004中确立的以及下列术语和定义适用于本标准。 3.1 住宅小区residentialarea 被城市道路或自然分界线围合，并与居住人口规模相适应、配套有能满足该区居民物质与文件生活所需的公共服务设施的居民生活聚集地。又称“居住小区”。 3.2 公共区域publicarea 除私人住宅以外的小区周界包围内的空间区域。
Web服务器安全标准 前言和文档控制 此文档是西安石油大学制定发布的有关信息安全政策规定、处理流程、行业标准和指导意见的系列文档之一。该文档应保证至少一年审核一次，以保证其有效性。 在没有得到文档发布者的明确授权下，此文档的全部或部分内容，均不得重制或发布。
目录 1目的 (3) 2范围 (3) 3责任 (3) 4Web服务器安全要求 (3) 4.1总则 (3) 4.2网络安全 (3) 4.3流量过滤 (3) 4.4合规性 (4) 4.5数据保护 (4) 4.6输入和输出管理 (4) 4.7安全代码/应用/插件 (4)
1目的 发布本文档所列标准的目的是为了保护学校网站和相关信息资产。本标准的目标是为了确保： ●按照现有最佳的实践经验，在全校统一部署安全控制措施，以消除或者最低限 度的减少系统漏洞和其他安全隐患。 ●学校能在信息安全的完善方面更方便的有据监管、理解风险和评估改进。 ●所有的院系部门和网站开发人员都能了解相应的安全需求 2范围 所列标准适用于学校所有的web网站服务器，包括：学校内部或第三方建设、采购、部署、修改和维护的。具体为： ●所有仅限内部和面向公共的web服务器 ●所有由外部供应商托管的面向公共的web服务器 ●所有通过学校或者代表学校的web服务器建设、采购、部署、修改和维护的 3责任 以下学校实体具体的信息安全责任 ●学校信息化委员会 ●信息安全部门领导 ●信息安全小组应支撑学校满足信息安全功能和防护的各项要求。 ●学院和部门领导对所在部门的信息安全负有义务和责任。 ●Web服务器用户对其处理的信息负有安全责任。 4Web服务器安全要求 4.1总则 4.1.1基于风险分析的深度信息安全防范手段应被采用，包括： 4.1.1.1安全控件在Web服务器的每一层次上都应部署，以避免过度依赖单一 安全防护手段。 4.1.1.2在所有Web服务器上应部署最基本的安全控制措施，以解决常见风险。 4.1.1.3安全控制措施应该是务实的、易于部署、有效和可以衡量的。 4.1.2在虚拟化环境中，所有能考虑到的安全因素都应当适用于主机系统、虚拟机 管理层和虚拟化管理工具。 4.1.3渗透性测试每年至少执行一次，并且在重要系统架构部署、应用升级或修改 后，都应测试。 4.1.4每季度应执行一次漏洞扫描。 4.2网络安全 4.2.1安全控制措施应涵盖每一个活跃版本的网络协议，包括IPv4和IPv6。 4.2.2Web服务器都应分配相应的静态IP地址，除了需要部署动态域名系统技术以 实现负载均衡的服务器。 4.2.3只使用唯一可信的授权DNS来源，避免受到DNS劫持和攻击。 4.2.4所有的非console口管理员级别的访问应使用高强度加密手段进行加密。 4.3流量过滤 4.3.1只有从Internet到特定的IP地址和授权的公共可用服务、协议和端口的入 站流量是允许的。 4.3.2从Web服务器的非授权出站流量是禁止的。
系统安全配置技术规范—Websphere
文档说明（一）变更信息 （二）文档审核人
目录 1.适用范围4 2.帐号管理与授权4 2.1............................................................................. 【基本】控制台帐号安全 4 2.2............................................................................. 【基本】帐号的口令安全 4 2.3............................................................. 【基本】为应用用户定义合适的角色 5 2.4................................................................................... 【基本】控制台安全 5 2.5............................................................... 【基本】全局安全性与J AVA2安全 6 3.日志配置要求6 3.1.......................................................................... 【基本】开启应用日志记录 6 4.服务配置要求7 4.1.......................................................................... 【基本】禁止列表显示文件 7 4.2................................................................... 【基本】禁止浏览列表显示目录 7 4.3................................................................................ 【基本】删除示例程序 8 4.4............................................................................. 【基本】控制台超时设置 8
DKBA 华为技术有限公司内部技术规范 DKBA 1606-XXXX.X Web应用安全开发规范V1.5 2013年XX月XX日发布2013年XX月XX日实施华为技术有限公司 Huawei Technologies Co., Ltd. 版权所有侵权必究 All rights reserved 修订声明Revision declaration 本规范拟制与解释部门： 网络安全能力中心&电信软件与核心网网络安全工程部 本规范的相关系列规范或文件： 《C&C++语言安全编程规范》《Java语言安全编程规范》相关国际规范或文件一致性： 无 替代或作废的其它规范或文件： 无 相关规范或文件的相互关系：
《产品网络安全红线》和《电信软件与核心网业务部安全能力基线》中的Web安全要求引用了本规范的内容，如果存在冲突，以本规范为准。 规范号主要起草部门专家主要评审部门专家修订情况 DKBA 1606-2007.4 安全解决方案：赵武42873，杨光磊57125，万振华55108 软件公司设计管理部：刘茂征11000，刘高峰63564，何伟祥33428 安全解决方案：刘海军12014，吴宇翔18167，吴海翔57182 接入网：彭东红27279 无线：胡涛46634 核心网：吴桂彬41508，甘嘉栋33229，马进32897，谢秀洪33194，张毅27651，张永锋40582 业软：包宜强56737，丁小龙63583，董鹏越60793，傅鉴杏36918，傅用成30333，龚连阳18753，胡海，胡海华52463，李诚37517，李大锋54630，李战杰21615，刘创文65632，刘飞46266，刘剑51690，栾阳62227，罗仁钧65560，罗湘武06277，马亮，孟咏喜22499，潘海涛27360，孙林46580，王福40317，王锦亮36430，王美玲，王谟磊65558，王玉龙24387，杨娟，张锋43381，张健，张轶57143，邹韬51591 V1.0 何伟祥33428 刘高峰63564，龚连阳00129383，许汝波62966，吴宇翔00120395，王欢00104062，吕晓雨56987 V1.2 增加了Web Service、Ajax和上传和下载相关的安全规范。 何伟祥V1.3 增加了防止会话固定和防止跨站请求伪造的安全规范。 何伟祥V1.4 增加了"规则 3.4.1"的实施指导；删除了"建议 3.4.1"；修改了"6 配套CBB介绍"的内容和获取方式。增加了"3.9 DWR" 何伟祥00162822 吴淑荣00197720 魏建雄00222906 谢和坤00197709 李田00042091 孙波00175839 朱双红00051429 王伟00207440 陈伟00141500 V1.5 增加"规则3.3.9、规则 3.6.5、规则 4.7.1、建议 4.7.2、4.8 PHP" 增加"3.8 RESTful Web Service" 修改"规则3.2.2.8、规则 3.2.2.3、规则 3.4.1、规则 4.6.1" 删除"3.2.1口令策略"和"规则3.1.3、规则 3.2.3.8、规则 4.7.1" 附件文档作为对象直接插入主文档 目录Table of Contents 1 概述7 1.1 背景简介7 1.2 技术框架7 1.3 使用对象8