Windows主机操作系统加固规范
2019年9月
目录
1账号管理、认证授权 (1)
1.1 账号 (1)
1.1.1SHG-Windows-01-01-01 (1)
1.1.2SHG-Windows-01-01-02 (2)
1.1.3SHG-Windows-01-01-03 (3)
1.2 口令 (4)
1.2.1SHG-Windows-01-02-01 (4)
1.2.2SHG-Windows-01-02-02 (5)
1.3 授权 (6)
1.3.1SHG-Windows-01-03-01 (6)
1.3.2SHG-Windows-01-03-02 (7)
1.3.3SHG-Windows-01-03-03 (8)
1.3.4SHG-Windows-01-03-04 (9)
1.3.5SHG-Windows-01-03-05 (10)
2日志配置 (11)
2.1.1SHG-Windows-02-01-01 (11)
2.1.2SHG-Windows-02-01-02 (12)
3通信协议 (13)
3.1 IP协议安全 (13)
3.1.1SHG-Windows-03-01-01 (13)
3.1.2SHG-Windows-03-01-02 (14)
3.1.3SHG-Windows-03-01-03 (16)
4设备其他安全要求 (17)
4.1 屏幕保护 (17)
4.1.1SHG-Windows-04-01-01 (17)
4.1.2SHG-Windows-04-01-02 (18)
4.2 共享文件夹及访问权限 (19)
4.2.1SHG-Windows-04-02-01 (19)
4.2.2SHG-Windows-04-02-02 (20)
4.3 补丁管理 (21)
4.3.1SHG-Windows-04-03-01 (21)
4.4 防病毒管理 (22)
4.4.1SHG-Windows-04-04-01 (22)
4.4.2SHG-Windows-04-04-02 (23)
4.5 W INDOWS服务 (24)
4.5.1SHG-Windows-04-05-01 (24)
4.5.2SHG-Windows-04-05-02 (26)
4.6 启动项 (27)
4.6.1SHG-Windows-04-06-01 (27)
4.6.2SHG-Windows-04-06-02 (28)
本文档是Windows操作系统的对于Win系统的设备账号认证、日志、协议、补丁升级、文件系统管理等方面的安全配置要求，共26项。对系统的安全配置审计、加固操作起到指导性作用。1账号管理、认证授权
1.1账号
1.1.1S H G-W i n d o w s-01-01-01
1.1.2S H G-W i n d o w s-01-01-02
1.1.3S H G-W i n d o w s-01-01-03
1.2口令
1.2.1S H G-W i n d o w s-01-02-01
1.2.2S H G-W i n d o w s-01-02-02
1.3授权
1.3.1S H G-W i n d o w s-01-03-01
1.3.2S H G-W i n d o w s-01-03-02
1.3.3S H G-W i n d o w s-01-03-03
1.3.4S H G-W i n d o w s-01-03-04
1.3.5S H G-W i n d o w s-01-03-05
2日志配置
2.1.1S H G-W i n d o w s-02-01-01
2.1.2S H G-W i n d o w s-02-01-02
3通信协议
3.1I P协议安全
3.1.1S H G-W i n d o w s-03-01-01
3.1.2S H G-W i n d o w s-03-01-02
3.1.3S H G-W i n d o w s-03-01-03
4设备其他安全要求4.1屏幕保护
4.1.1S H G-W i n d o w s-04-01-01
Linux主机安全加固 V1.0 hk有限公司 二零一五年二月
一、修改密码策略 1、cp /etc/login.defs /etc/login.defs.bak 2、vi /etc/login.defs PASS_MAX_DAYS 90 （用户的密码不过期最多的天数） PASS_MIN_DAYS 0 （密码修改之间最小的天数） PASS_MIN_LEN 8 （密码最小长度） PASS_WARN_AGE 7 (口令失效前多少天开始通知用户更改密码) 按要求修改这几个密码选项，修改完之后保存（：wq!）退出即可。 二、查看系统是否已设定了正确UMASK值（022） 1、用命令umask查看umask值是否是 022， 如果不是用下面命令进行修改： cp/etc/profile/etc/profile.bak vi/etc/profile 找到umask 022，修改这个数值即可。 三、锁定系统中不必要的系统用户和组 1、cp /etc/passwd /etc/passwd.bak cp /etc/shadow /etc/shadow.bak 锁定下列用户 2、for i in admlp sync news uucp games ftp rpcrpcusernfsnobodymailnullgdm do usermod -L $i done 3、检查是否锁定成功 more /etc/shadow 如：lp:!*:15980:0:99999:7:::lp帐户后面有！号为已锁定。 4、禁用无关的组： 备份： cp /etc/group /etc/group.bak
甘肃海丰信息科技有限公司Windows系统安全加固技术指导书 ◆版本◆密级【绝密】 ◆发布甘肃海丰科技◆编号GSHF-0005-OPM- ?2006-2020 HIGHFLYER INFORMATION TECHNOLOGY ,INC.
目录 文档信息 (2) 前言 (3) 一、编制说明 (3) 二、参照标准文件 (3) 三、加固原则 (3) 1.业务主导原则 (3) 2.业务影响最小化原则 (4) 3.实施风险控制 (4) (一)主机系统 (4) (二)数据库或其他应用 (4) 4.保护重点 (5) 5.灵活实施 (5) 6.周期性的安全评估 (5) 四、安全加固流程 (5) 1.主机分析安全加固 (6) 2.业务系统安全加固 (7) 五、W INDOWS 2003操作系统加固指南 (8) 1.系统信息 (8) 2.补丁管理 (8) (一)补丁安装 (8) 3.账号口令 (8) (一)优化账号 (8) (二)口令策略 (8) 4.网络服务 (9) (三)优化服务 (9) (四)关闭共享 (9) (五)网络限制 (10) 5.文件系统 (10) (一)使用NTFS (10) (二)检查Everyone权限 (10) (三)限制命令权限 (10) 6.日志审核 (11) (一)增强日志 (11) (二)增强审核 (11)
文档信息 ■版权声明 本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程等内容，除另有特别注明，版权均属甘肃海丰所有，受到有关产权及版权法保护。任何个人、机构未经甘肃海丰的书面授权许可，不得以任何方式复制或引用本文的任何片断。 ■变更记录 时间版本说明修改人 2008-07-09新建本文档郑方 2009-05-27修正了4处错误、删除了IIS5加固部分郑方 2010-10-11新增加固IIS6、SQL2000加固操作指南郑方
网络安全主机安全加固 一、安全加固概述 网络与应用系统加固和优化服务是实现客户信息系统安全的关键环节。通过使用该项服务，将在客户信息系统的网络层、主机层和应用层等层次建立符合客户安全需求的安全状态，并以此作为保证客户信息系统安全的起点。 网络与应用系统加固和优化服务的目的是通过对主机和网络设备所存在安全问题执行以下操作： ●? 正确的安装； ●? 安装最新和全部OS和应用软件的安全补丁； ●? 操作系统和应用软件的安全配置； ●? 系统安全风险防范； ●? 提供系统使用和维护建议； ●? 系统功能测试； ●? 系统安全风险测试； ●? 系统完整性备份； ●? 必要时重建系统等。 上述工作的结果决定了网络与应用系统加固和优化的流程、实施的内容、步骤和复杂程度。具体说，则可以归纳为： （1）加固目标也就是确定系统在做过加固和优化后，达到的安全级别，通常不同环境下的系统对安全级别的要求不同，由此采用的加固方案也不同。 （2）明确系统运行状况的内容包括: ●? 系统的具体用途,即明确系统在工作环境下所必需开放的端口和服务等。
●? 系统上运行的应用系统及其正常所必需的服务。 ●? 我们是从网络扫描及人工评估里来收集系统的运行状况的。 （3）明确加固风险：网络与应用系统加固是有一定风险的，一般可能的风险包括停机、应用程序不能正常使用、最严重的情况是系统被破坏无法使用。这些风险一般是由于系统运行状况调查不清导致，也有因为加固方案的代价分析不准确，误操作引起。因此在加固前做好系统备份是非常重要的。 （4）系统备份：备份内容包括：文件系统、关键数据、配置信息、口令、用户权限等内容；最好做系统全备份以便快速恢复。 二．加固和优化流程概述 网络与应用系统加固和优化的流程主要由以下四个环节构成： 1. 状态调查 对系统的状态调查的过程主要是导入以下服务的结果： ●? 系统安全需求分析 ●? 系统安全策略制订 ●? 系统安全风险评估(网络扫描和人工评估) 对于新建的系统而言，主要是导入系统安全需求分析和系统安全策略制订这两项服务的结果。在导入上述服务的结果后，应确定被加固系统的安全级别，即确定被加固系统所能达到的安全程度。同时，也必须在分析上述服务结果的基础上确定对网络与应用系统加固和优化的代价。 2. 制订加固方案 制订加固方案的主要内容是根据系统状态调查所产生的结果制订对系统实施加固和优化的内容、步骤和时间表。
Linux主机操作系统加固规范 目录 第1章概述 (2) 1、1目得..................................... 错误!未定义书签。 1、2适用范围................................. 错误!未定义书签。 1、3适用版本................................. 错误!未定义书签。 1、4实施..................................... 错误!未定义书签。 1、5例外条款................................. 错误!未定义书签。 第2章账号管理、认证授权 (2) 2、1账号 (2) 2、1、1用户口令设置 (2) 2、1、2.......................................................... root用户远程登录限制 3 2、1、3检查就是否存在除root之外UID为0得用户 (3) 2、1、4...................................................... root用户环境变量得安全性 3 2、2认证..................................... 错误!未定义书签。 2、2、1远程连接得安全性配置 (4) 2、2、2用户得umask安全配置 (4) 2、2、3重要目录与文件得权限设置 (5) 2、2、4查找未授权得SUID/SGID文件 (5) 2、2、5检查任何人都有写权限得目录 (6) 2、2、6查找任何人都有写权限得文件 (6) 2、2、7检查没有属主得文件 (7) 2、2、8检查异常隐含文件 (8) 第3章日志审计 (9) 3、1日志 (9) 3、1、1............................................................ syslog登录事件记录 9 3、2审计 (9) 3、2、1........................................................ Syslog、conf得配置审核 9 第4章系统文件 (11) 4、1系统状态 (11) 4、1、1系统core dump状态 (11)
Linux主机操作系统加固规范
目录 第1章概述 (3) 1.1 目的............................................................................................................ 错误！未定义书签。 1.2 适用范围..................................................................................................... 错误！未定义书签。 1.3 适用版本..................................................................................................... 错误！未定义书签。 1.4 实施............................................................................................................ 错误！未定义书签。 1.5 例外条款..................................................................................................... 错误！未定义书签。第2章账号管理、认证授权.. (4) 2.1 账号 (4) 2.1.1 用户口令设置 (4) 2.1.2 root用户远程登录限制 (4) 2.1.3 检查是否存在除root之外UID为0的用户 (5) 2.1.4 root用户环境变量的安全性 (5) 2.2 认证............................................................................................................ 错误！未定义书签。 2.2.1 远程连接的安全性配置 (6) 2.2.2 用户的umask安全配置 (6) 2.2.3 重要目录和文件的权限设置 (6) 2.2.4 查找未授权的SUID/SGID文件 (7) 2.2.5 检查任何人都有写权限的目录 (8) 2.2.6 查找任何人都有写权限的文件 (8) 2.2.7 检查没有属主的文件 (9) 2.2.8 检查异常隐含文件 (9) 第3章日志审计 (11) 3.1 日志 (11) 3.1.1 syslog登录事件记录 (11) 3.2 审计 (11) 3.2.1 Syslog.conf的配置审核 (11) 第4章系统文件 (13) 4.1 系统状态 (13) 4.1.1 系统core dump状态 (13)
Windows 操作系统安全防护 强制性要求 二〇一四年五月
目录 1.系统用户口令及策略加固1 1.1.系统用户口令策略加固 1 1.2.用户权限设置 1 1.3.禁用Guest（来宾）帐户 2 1.4.禁止使用超级管理员帐号 3 1.5.删除多余的账号 4 2.日志审核策略配置4 2.1.设置主机审核策略 4 2.2.调整事件日志的大小及覆盖策略 5 2.3.启用系统失败日志记录功能 5 3.安全选项策略配置6 3.1.设置挂起会话的空闲时间 6 3.2.禁止发送未加密的密码到第三方SMB 服务器
6 3.3.禁用对所有驱动器和文件夹进行软盘复制和访问 7 3.4.禁止故障恢复控制台自动登录 7 3.5.关机时清除虚拟内存页面文件 7 3.6.禁止系统在未登录前关机 8 3.7.不显示上次登录的用户名 8 3.8.登录时需要按CTRL+ALT+DEL 8 3.9.可被缓存的前次登录个数 9 3.10. 不允许SAM 帐户和共享的匿名枚举 (9) 3.11.不允许为网络身份验证储存凭证或.NET Passports 9 3.12. 如果无法记录安全审核则立即关闭系统 (10) 3.13. 禁止从本机发送远程协助邀请 (10) 3.14. 关闭故障恢复自动重新启动 (11) 4.用户权限策略配置11 4.1.禁止用户组通过终端服务登录 11 4.2.只允许管理组通过终端服务登录 11
4.3.限制从网络访问此计算机 12 5.用户权限策略配置12 5.1.禁止自动登录 12 5.2.禁止光驱自动运行 12 5.3.启用源路由欺骗保护 13 5.4.删除IPC 共享 13 6.网络与服务加固14 6.1.卸载、禁用、停止不需要的服务 14 6.2.禁用不必要进程，防止病毒程序运行 15 6.3.关闭不必要启动项，防止病毒程序开机启动 24 6.4.检查是否开启不必要的端口 34 6.5.修改默认的远程桌面端口 34 6.6.启用客户端自带防火墙 35 6.7.检测DDOS 攻击保护设置
主机问题解决方案 部分主机未禁用GUEST 账户，需禁用所有主机Guest 账号 （只适用于windows）。旗标曝露操作系统的版本： AIX : 修改/etc/motd 中的内容为“ hello ” “ welcome” 或其 他，以覆盖系统版本信息。 HP-UNIX 修改/etc/issue 中的内容。 超时退出功能，已加固部分服务器，剩余服务器，Windows 设置屏保，时间为10 分钟以内，启用屏保密码功能。HP-UNIX：修改/etc/profile 文件，增加TMOUT值，建议设定600以 内。AIX：编辑/etc/profile 文件，添加TMOUT参数设置，例如TMOUT=600 以内，系统600 秒无操作后将自动执行帐户注销操作。 明文管理方式，部分设备目前还需要使用TELNET 服务，逐步关闭，建议采用SSH ，在网络和主机层面逐步关闭TELNET协议，禁用TELNET启用SSH协议（适用于AIX与HP-UNIX）： 1.禁用telnet vi /etc/inetd.conf 把telnet 行注释掉，然后refresh -s inetd 2.加速ssh 的登录 第一: 如有/etc/resolv.conf ，rm 掉 第二：vi /etc/ssh/sshd_config 去掉注释userDns , 把yes 改
为no stopsrs -s sshd startsrc -s sshd 未关闭远程桌面，易受本地局域网恶意用户攻击，需转运行后，在网络层面增加访问控制策略。 允许root 账户远程登录，各网省建立专用账号实现远程管理，关闭root 账号运程管理功能在。 主机操作系统提供FTP 服务，匿名用户可访问，易导致病毒的传播，禁用AIX 自身的FTP 服务（适用于AIX 与HP-UNIX） 1、编辑/etc/inetd.conf 将ftpd 一项注释； 2、refresh -s inetd 。 其它FTP服务软件使用注意：先关闭所有FTP服务，用时开启，用完后关闭。
计算机操作系统的安全加固探析 在当前的信息化社会，由于信息资源传输和共享的需要，计算机技术与计算机网络技术在各个领域和行业中都得到了前所未有的发展。在整个计算机的运行过程中，计算机操作系统的安全直接影响着其性能的有效发挥，也影响着信息传输的稳定和安全。文章对计算机操作系统中存在的安全问题进行了分析，并就相应的安全加固策略进行了研究和阐述。 标签：计算机；操作系统；安全加固 前言 在科学技术快速发展的带动下，计算机网络应用日益普遍，也使得网络安全问题成为社会发展中一个非常重要的问题。计算机操作系统作为用户针对信息进行处理的软件环境，其运行的高效性、安全性和可靠性直接关系着信息处理质量。因此，重视计算机操作系统的安全问题，做好相应的防范和加固措施，切实保障计算机操作系统的运行安全，是需要相关技术人员重点关注的问题。 1 计算机操作系统常见安全问题 在计算机运行过程中，受各种因素的影响，计算机操作系统中经常会出现一些安全问题，影响系统安全，这些问题主要体现在以下几个方面。 1.1 系统漏洞 系统漏洞是指在操作系统内部存在的，可能允许未经授权用户对系统进行访问的软硬件特征，属于操作系统自身的缺陷。系统漏洞表现为三种形式，一是物理漏洞，即未经授权的用户能够对系统中不被允许的内容进行访问，导致系统信息的泄露；二是软件漏洞，主要是由于错误授权的应用程序所导致的漏洞；三是不兼容漏洞，即由于操作系统在开发过程中存在不兼容问题，进而导致的漏洞。计算机漏洞的存在严重影响了系统安全，如果不能及时打上安全补丁，则系统可能会遭受黑客的恶意攻击，从而造成难以估量的损失。 1.2 程序安全 用户程序自身的安全性通常表现在程序的耗时性、兼容性、稳定性、病毒性以及死锁问题等，受各种因素的影响，在用户程序中，或多或少都存在着一定的缺陷，这些缺陷多是由于程序设计或者编程过程中的不合理逻辑造成的，可能是设计人员无意识的误操作，也可能是有意为之。 1.3 数据库安全 操作系统中的数据库安全，通常体现在数据库的完整性、可审计性、访问控
h主机安全 一、身份鉴别（S3） 本项要求包括： a) 应对登录操作系统和数据库系统的用户进行身份标识和鉴别；设置登陆密码 b) 操作系统和数据库系统管理用户身份标识应具有不易被冒用的特点，口令应有复杂度要求并定期更换； 依次展开[开始]->（[控制面板] ->）[管理工具]->[本地安全策略]->[账户策略]->[密码策略]，查看以下项的情况：1)复杂性要求-启用、2)长度最小值-大于8、3)最长存留期-不为0、4)最短存留期-不为0、5)强制密码历史-大于3。 c) 应启用登录失败处理功能，可采取结束会话、限制非法登录次数和自动退出等措施； 依次展开[开始]->（[控制面板] ->）[管理工具]->[本地安全策略]->[账户策略]->[账户锁定策略]； d) 当对服务器进行远程管理时，应采取必要措施，防止鉴别信息在网络传输过程中被窃听；如果是本地管理或KVM等硬件管理方式，此要求默认满足； 如果采用远程管理，则需采用带加密管理的远程管理方式，如启用了加密功能的3389(RDP 客户端使用ssl加密)远程管理桌面或修改远程登录端口。
e) 应为操作系统和数据库系统的不同用户分配不同的用户名，确保用户名具有唯一性。Windows Server 2003默认不存在相同用户名的用户，但应防止多人使用同一个账号。（访谈时无多人共用一个账号） f) 应采用两种或两种以上组合的鉴别技术对管理用户进行身份鉴别。 动态口令、数字证书、生物信息识别等 二、访问控制（S3） 本项要求包括： a) 应启用访问控制功能，依据安全策略控制用户对资源的访问； 制定用户权限表，管理员账号仅由系统管理员登陆删除默认共享？ b) 应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限； 系统管理员、安全管理员、安全审计员由不同的人员和用户担当 c) 应实现操作系统和数据库系统特权用户的权限分离； 应保证操作系统管理员和审计员不为同一个账号，且不为同一个人访谈时候注意 d) 应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；重命名系统默认账户，禁用guest、SUPPORT_388945a0这些用户名 e) 应及时删除多余的、过期的帐户，避免共享帐户的存在。 清理已离职员工的账户确保木有多余账号，确保木有多人共享账号 f) 应对重要信息资源设置敏感标记； Server2003无法做到 g) 应依据安全策略严格控制用户对有敏感标记重要信息资源的操作； Server2003无法做到 三、安全审计（G3） 本项要求包括： a) 审计范围应覆盖到服务器和重要客户端上的每个操作系统用户和数据库用户； b) 审计内容应包括重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件； 依次展开[开始]->([控制面板] ->) [管理工具]->[本地安全策略]->[本地策略]->[审核策略]；全部开启
HP-Unix主机操作系统加固规范 1 账号管理、认证授权 1.1 账号 1.1.1 SHG-HP-UX-01-01-01 编号 SHG-HP-UX-01-01-01 名称为不同的管理员分配不同的账号 实施目的根据不同类型用途设置不同的帐户账号，提高系统安全。 问题影响账号混淆，权限不明确，存在用户越权使用的可能。 系统当前状态 cat /etc/passwd 记录当前用户列表 实施步骤 1、参考配置操作 为用户创建账号： #useradd username #创建账号 #passwd username #设置密码 修改权限： #chmod 750 directory #其中755为设置的权限，可根据实际情况设置相应的权限，directory是要更改权限的目录) 使用该命令为不同的用户分配不同的账号，设置不同的口令及权限信息等。 回退方案删除新增加的帐户 判断依据标记用户用途，定期建立用户列表，比较是否有非法用户 实施风险高 重要等级★★★ 备注 1.1.2 SHG-HP-UX-01-01-02 编号 SHG-HP-UX-01-01-02 名称删除或锁定无效账号 实施目的删除或锁定无效的账号，减少系统安全隐患。 问题影响允许非法利用系统默认账号 系统当前状态 cat /etc/passwd 记录当前用户列表，cat /etc/shadow 记录当前密码配置实施步骤参考配置操作 删除用户：#userdel username; 锁定用户： 1) 修改/etc/shadow文件，用户名后加*LK* 2) 将/etc/passwd文件中的shell域设置成/bin/false 3) #passwd -l username 只有具备超级用户权限的使用者方可使用，#passwd -l username锁定用户,用#passwd –d username解锁后原有密码失效，登录需输入新密码，修改/etc/shadow能保留原有密码。 回退方案新建删除用户 判断依据如上述用户不需要，则锁定。 实施风险高 重要等级★★★ 备注
Windows 操作系统安全防护强制性要求 1、系统用户口令及策略加固 11、1、系统用户口令策略加固 11、2、用户权限设置 11、3、禁用Guest（来宾）帐户 21、4、禁止使用超级管理员帐号 31、5、删除多余的账号 32、日志审核策略配置 42、1、设置主机审核策略 42、2、调整事件日志的大小及覆盖策略 42、3、启用系统失败日志记录功能 53、安全选项策略配置 53、1、设置挂起会话的空闲时间 53、2、禁止发送未加密的密码到第三方 SMB 服务器 63、3、禁用对所有驱动器和文件夹进行软盘复制和访问 63、4、禁止故障恢复控制台自动登录 63、5、关机时清除虚拟内存页面文件 73、6、禁止系统在未登录前关机 73、7、不显示上次登录的用户名 73、8、登录时需要按 CTRL+ALT+DEL 83、9、可被缓存的前次登录个数 83、 10、不允许 SAM 帐户和共享的匿名枚举 83、 11、不允许为网络身份验证储存凭证或、NET Passports 93、 12、如果无法记录安全审核则立即关闭系统 93、
13、禁止从本机发送远程协助邀请 93、 14、关闭故障恢复自动重新启动 94、用户权限策略配置104、1、禁止用户组通过终端服务登录104、2、只允许管理组通过终端服务登录104、3、限制从网络访问此计算机105、用户权限策略配置1 15、1、禁止自动登录1 15、2、禁止光驱自动运行1 15、3、启用源路由欺骗保护1 15、4、删除 IPC 共享1 26、网络与服务加固1 26、1、卸载、禁用、停止不需要的服务1 26、2、禁用不必要进程，防止病毒程序运行1 36、3、关闭不必要启动项，防止病毒程序开机启动2 26、4、检查是否开启不必要的端口306、5、修改默认的远程桌面端口3 16、6、启用客户端自带防火墙3 16、7、检测 DDOS 攻击保护设置3 26、8、检测 ICMP攻击保护设置3 26、9、检测 TCP碎片攻击保护设置3 37、其他安全性加固3 47、1、安装防火墙和防病毒软件3 47、2、使用NTFS文件系统3 47、3、文件权限安全3 57、4、未经签名的驱动程序软件安装管理3 57、5、屏幕保护3 67、6、检查数据执行保护36 1、系统用户口令及策略加固 1、 1、系统用户口令策略加固实施名称：系统用户口令策略加固系统当前状态：
目 录 1.安装最新安全补丁 地址: RedHat Linux: Caldera OpenLinux: Conectiva Linux: Debian GNU/Linux: Mandrake Linux: LinuxPPC: Yellow Dog Linux : 2.网络和系统服务 先把所有通过ineted/xineted 运行的网络服务关闭,再打开确实需要的服务 服务都可以被禁止,比如echo, exec, login, shell,who,finger 等.对于telnet, r 系列服务, ftp 等, 强烈建议使用SSH 来代替. 2 设置xinetd 访问控制 在 /etc/xinetd.conf 文件的”default {}”块中加入如下行: only_from=
3 关闭NIS客户端进程: chkconfig ypbind off NIS系统在设计时就存在安全隐患 4 关闭NIS服务器进程: 运行 chkconfig ypserv off chkconfig yppasswd off 5 关闭其它基于RPC的服务: 运行 chkconfig portmap off 基于RPC的服务通常非常脆弱或者缺少安全的认证,但是还可能共享敏感信息.除非确实必需,否则应该完全禁 chkconfig netfs off 8 关闭打印机守护进程 chkconfig lpd off 如果用户从来不通过该机器打印文件则应该禁止该服务.Unix的打印服务有糟糕的安全记录. 9 关闭启动时运行的 X Server sed 's/id:5:initdefault:/id:3:initdefault:/' \ < /etc/inittab > /etc/inittab.new mv /etc/inittab.new /etc/inittab chown root:root /etc/inittab chmod 0600 /etc/inittab 对于专门的服务器没有理由要运行X Server, 比如专门的Web服务器 10 关闭Mail Server chkconfig postfix off 多数Unix/Linux系统运行Sendmail作为邮件服务器, 而该软件历史上出现过较多安全漏洞,如无必要,禁止该服务 11 关闭Web Server chkconfig httpd off 可能的话,禁止该服务. 12 关闭SNMP chkconfig snmpd off 如果必需运行SNMP的话,应该更改缺省的community string 13 关闭DNS Server chkconfig named off 可能的话,禁止该服务 14 关闭 Database Server chkconfig postgresql off Linux下常见的数据库服务器有Mysql, Postgre, Oracle等, 没有必要的话,应该禁止这些服务 15 关闭路由守护进程 chkconfig routed off chkconfig gated off 组织里仅有极少数的机器才需要作为路由器来运行.大多数机器都使用简单的”静态路由”, 并且它不需要运行特殊的守护进程 16 关闭Webmin远程管理工具 chkconfig webmin off Webmin是一个远程管理工具,它有糟糕的认证和会话管理历史, 所以应该谨慎使用 17 关闭Squid Web Cache chkconfig squid off 如果必需使用, 应该谨慎配置 18 可能的话禁止inetd/xinetd chkconfig inetd off 或如果没有网络服务通过inetd/xinetd运行则可以禁止它们
9 安全规范 9.1 安全设计原则 9.1.1 规范性原则 医院信息平台需按照信息系统等级保护三级（或以上>的要求进行安全建设，安全设计应遵循已颁布的相关国家标准。 9.1.2先进性和适用性原则 安全设计应采用先进的设计思想和方法，尽量采用国内外先进的安全技术。所采用的先进技术应符合实际情况；应合理设置系统功能、恰当进行系统配置和设备选型，保障其具有较高的性价比，满足业务管理的需要。 9.1.3可扩展性原则 安全设计应考虑通用性、灵活性，以便利用现有资源及应用升级。 9.1.4 开放性和兼容性原则 对安全子系统的升级、扩充、更新以及功能变化应有较强的适应能力。即当这些因素发生变化时，安全子系统可以不做修改或少量修改就能在新环境下运行。 9.1.5 可靠性原则 安全设计应确保系统的正常运行和数据传输的正确性，防止由内在因素和硬件环境造成的错误和灾难性故障，确保系统可靠性。在保证关键技术实现的前提下，尽可能采用成熟安全产品和技术，保证系统的可用性、工程实施的简便快捷。 9.1.6 系统性原则 应综合考虑安全子系统的整体性、相关性、目的性、实用性和适应性。另外，与业务系统的结合相对简单且独立。 9.1.7 技术和管理相结合原则 安全体系应遵循技术和管理相结合的原则进行设计和实施，各种安全技术应该与运行管理机制、人员思想教育与技术培训、安全规章制度建设相结合。从社会系统工程的角度综合考虑，最大限度发挥人防、物防、技防相结合的作用。 9.2 总体框架 总体框架的设计要求包括： ——医院信息平台安全体系从安全技术、安全管理为要素进行框架设计； ——应从网络安全（基础网络安全和边界安全）、主机安全（终端系统安全、服务端系统安全）、应用安全、数据安全几个层面实现安全技术类要求； ——应从安全管理制度、安全管理机构、人员安全管理、系统建设管理和系统运维管理几个层面实现安全管理类要求。 9.3 技术要求 9.3.1 物理安全 物理安全主要是指医院信息平台所在机房和办公场地的安全性，主要应考虑以下几个方面内容。 ——物理位置的选择：应满足GB/T 22239-2008申7.1.1.1的要求； ——物理访问控制：应满足GB/T 22239-2008中7.1.1.2的要求； ——防盗窃和防破坏：应满足GB/T 22239-2008中7.1.1.3的要求； ——防雷击：应满足GB/T 22239-2008中7.1.1.4的要求； ——防火：应满足GB/T 22239-2008中7.1.1.5的要求； ——防水和防潮：应满足GB/T 22239-2008中7.1.1.6的要求； ——防静电：应满足GB/T 22239-2008中7.1.1.7的要求； ——温湿度控制：应满足GB/T 22239-2008中7.1.1.8的要求；
操作系统安全与信息安全 信息安全体系相当于整个信息系统的免疫系统，免疫系统不健全，信息系统不仅是低效的，甚至是危险的。党和国家领导人多次指示：信息安全是个大问题，必须把安全问题放到至关重要的位置上，信息安全问题解决不好，后果不堪设想。 国家计算机信息系统安全保护条例要求，信息安全等级保护要实现五个安全层面（即物理层、网络层、系统层、应用层和管理层）的整体防护。其中系统层面所要求的安全操作系统是全部安全策略中的重要一环，也是国内外安全专家提倡的建立可信计算环境的核心。操作系统的安全是网络系统信息安全的基础。所有的信息化应用和安全措施都依赖操作系统提供底层支持。操作系统的漏洞或配置不当有可能导致整个安全体系的崩溃。各种操作系统之上的应用要想获得运行的高可靠性和信息的完整性、机密性、可用性和可控性，必须依赖于操作系统提供的系统软件基础，任何脱离操作系统的应用软件的安全性都是不可能的。目前，普遍采用的国际主流C级操作系统其安全性远远不够，访问控制粒度粗、超级用户的存在以及不断被发现的安全漏洞，是操作系统存在的几个致命性问题。中共中央办公厅、国务院办公厅近期印发的《2006-2020年国家信息化发展战略》中明确指出: “我国信息技术领域存在着自主创新技术不足，核心技术和关键设备主要依赖进口。”长期以来，我国广泛应用的主流操作系统都是进口产品，无安全性可言。如不从根本上解决，长此以往，就无法保障国家安全与经济社会安全。我们国家计算机信息系统中的主流操作系统基本采用的是国外进口的C级操作系统，即商用操作系统。商用操作系统不是安全的操作系统，它在为我们计算机信息系统带来无限便捷的同时，也为我们的信息安全、通信保密乃至国家安全带来了非常令人担忧的隐患！操作系统是计算机系统软硬件资源和数据的“总管”，担负着计算机系统庞大的资源管理，频繁的输入输出控制以及不可间断的用户与操作系统之间的通信等重要功能。 一般来讲，包括病毒在内的各种网络安全问题的根源和症结，主要是由于商用操作系统的安全脆弱性。当今的信息系统产生安全问题的基本原因是操作系统的结构和机制不安全。这样就导致：资源配置可以被篡改、恶意程序被植入执行、利用缓冲区（栈）溢出攻击非法接管系统管理员权限等安全事故。病毒在世界范围内传播泛滥，黑客利用各种漏洞攻击入侵，
节点-操作系统安全加固（服务器版）客户端(Windows) 安装配置手册 北京中软华泰信息技术有限责任公司 版本:1.4
北京中软华泰信息技术有限责任公司版权所有：○C北京中软华泰信息技术有限责任公司，本手册所有权由北京中软华泰信息技术有限责任公司独家所有。未经本公司书面许可，任何单位或个人都无权以任何形式复制、传播本手册的任何部分，否则一切后果由违者 自负。 销售许可：中软华泰节点-操作系统安全加固产品已通过公安部认证和计算机信息系统安全专用产品的销售许可。 注意：北京中软华泰信息技术有限责任公司保留以后对本手册内容及本手册所描述的产品进行修改的权利，恕不另行通知。
北京中软华泰信息技术有限责任公司 目录 1 前言 (4) 1.1公司简介 (4) 2 说明 (4) 2.1适用范围 (4) 2.2定义 (5) 2.3注意事项 (5) 2.4联系方式 (5) 3客户端的安装 (6) 3.1下发KEY (6) 3.2安装模块驱动 (7) 3.3修改配置文件 (8) 3.4安装客户端 (10) 4客户端的使用 (16) 4.1程序列表 (16) 4.1.1升级程序列表 (16) 4.1.2未知程序列表 (17) 4.1.3已安装软件列表 (17) 4.2安装和采集接口 (19) 4.2.1软件安装接口 (19) 4.2.2软件扫描接口 (20) 4.2.3网络控件扫描接口 (22) 4.3存储安全保护 (22) 4.3.1文件保密柜 (22) 4.3.2移动存储注册 (23) 4.4强制访问及文件加解密功能 (24) 4.4.1强制访问控制 (24) 4.4.2移动设备的加密存储功能 (25) 4.4.3文件保密柜的加密存储功能 (26) 5 卸载节点-操作系统安全加固产品 (27)
1概述......................................................................................................................... - 1 - 1.1适用范围...................................................................................................... - 1 - 2用户账户安全加固................................................................................................. - 1 - 2.1修改用户密码策略 ...................................................................................... - 1 - 2.2锁定或删除系统中与服务运行，运维无关的的用户 .............................. - 1 - 2.3锁定或删除系统中不使用的组 .................................................................. - 2 - 2.4限制密码的最小长度 .................................................................................. - 2 - 3用户登录安全设置................................................................................................. - 3 - 3.1禁止root用户远程登录.............................................................................. - 3 - 3.2设置远程ssh登录超时时间 ....................................................................... - 3 - 3.3设置当用户连续登录失败三次，锁定用户30分钟 ................................ - 4 - 3.4设置用户不能使用最近五次使用过的密码 .............................................. - 5 - 3.5设置登陆系统账户超时自动退出登陆 ...................................................... - 5 - 4系统安全加固......................................................................................................... - 5 - 4.1关闭系统中与系统正常运行、业务无关的服务 ...................................... - 5 - 4.2禁用“CTRL+ALT+DEL”重启系统 ............................................................... - 6 - 4.3加密grub菜单 ............................................................................................. - 6 -
Windows主机操作系统加固规范 2020年5月
目录 1账号管理、认证授权 (1) 1.1账号 (1) 1.1.1SHG-Windows-01-01-01 (1) 1.1.2SHG-Windows-01-01-02 (2) 1.1.3SHG-Windows-01-01-03 (3) 1.2口令 (4) 1.2.1SHG-Windows-01-02-01 (4) 1.2.2SHG-Windows-01-02-02 (5) 1.3授权 (6) 1.3.1SHG-Windows-01-03-01 (6) 1.3.2SHG-Windows-01-03-02 (7) 1.3.3SHG-Windows-01-03-03 (8) 1.3.4SHG-Windows-01-03-04 (9) 1.3.5SHG-Windows-01-03-05 (10) 2日志配置 (11) 2.1.1SHG-Windows-02-01-01 (11) 2.1.2SHG-Windows-02-01-02 (12) 3通信协议 (14) 3.1IP协议安全 (14) 3.1.1SHG-Windows-03-01-01 (14) 3.1.2SHG-Windows-03-01-02 (15) 3.1.3SHG-Windows-03-01-03 (16)
4设备其他安全要求 (18) 4.1屏幕保护 (18) 4.1.1SHG-Windows-04-01-01 (18) 4.1.2SHG-Windows-04-01-02 (19) 4.2共享文件夹及访问权限 (20) 4.2.1SHG-Windows-04-02-01 (20) 4.2.2SHG-Windows-04-02-02 (22) 4.3补丁管理 (23) 4.3.1SHG-Windows-04-03-01 (23) 4.4防病毒管理 (24) 4.4.1SHG-Windows-04-04-01 (24) 4.4.2SHG-Windows-04-04-02 (25) 4.5W INDOWS服务 (26) 4.5.1SHG-Windows-04-05-01 (26) 4.5.2SHG-Windows-04-05-02 (28) 4.6启动项 (29) 4.6.1SHG-Windows-04-06-01 (29) 4.6.2SHG-Windows-04-06-02 (30)
通用应用系统安全加固方法
目录 1安全加固的目的....................................................................................................................... - 3 - 2系统加固的基本原则............................................................................................................... - 3 - 3系统加固流程........................................................................................................................... - 3 - 3.1确定加固范围................................................................................................................ - 4 - 3.2采集系统状况................................................................................................................ - 4 - 3.3系统状况评估................................................................................................................ - 4 - 3.4给出加固建议................................................................................................................ - 4 - 3.5加固建议实施................................................................................................................ - 4 - 4安全加固风险规避措施........................................................................................................... - 4 - 5 Windows 2000操作系统安全加固实践.................................................................................. - 5 - 6 Solaris操作系统安全加固实践............................................................................................. - 18 - 7 Oracle数据库系统安全加固实践 ......................................................................................... - 24 -