IIS系统加固规范
https://www.doczj.com/doc/fc13643404.html,
2010年9月
目录
1账号管理、认证授权 (1)
1.1.1SHG-IIS-01-01-01 (1)
1.1.2SHG-IIS-01-01-02 (2)
1.1.3SHG-IIS-01-01-03 (2)
1.1.4SHG-IIS-01-01-04 (4)
2日志配置 (5)
2.1.1SHG-IIS-02-01-01 (5)
2.1.2SHG-IIS-02-01-02 (6)
2.1.3SHG-IIS-02-01-03 (7)
3通信协议 (8)
3.1.1SHG-IIS-03-01-01 (8)
4设备其他安全要求 (10)
4.1.1SHG-IIS-04-01-01 (10)
4.1.2SHG-IIS-04-01-02 (13)
4.1.3SHG-IIS-04-01-03 (14)
4.1.4SHG-IIS-04-01-04 (14)
4.1.5SHG-IIS-04-01-05 (15)
本文档是Windows 操作系统的对于IIS服务IIS应用服务在安全等方面的安全配置要求，对系统的安全配置审计、加固操作起到指导性作用。
1账号管理、认证授权
1.1.2S H G-I I S-01-01-02
1.1.3S H G-I I S-01-01-03
取消IP访问控制
1.1.4S H G-I I S-01-01-04
2日志配置
2.1.1S H G-I I S-02-01-01
2.1.2S H G-I I S-02-01-02
2.1.3S H G-I I S-02-01-03
3.1.1S H G-I I S-03-01-01
4设备其他安全要求4.1.1S H G-I I S-04-01-01
然后选择编辑：
然后选择主目录，点击配置：
选择需要删除的扩展名，点击删除：（以下图示仅供参考，依据实际需求操作）
4.1.3S H G-I I S-04-01-03
4.1.4S H G-I I S-04-01-04
4.1.5S H G-I I S-04-01-05
网络信息系统常见安全问题及其对策 发表时间：2010-11-18T11:32:41.043Z 来源：《中小企业管理与科技》2010年6月下旬刊供稿作者：刘若珍[导读] 文化安全主要指有害信息的传播对我国的政治制度及文化传统的威胁，主要表现在舆论宣传方面。刘若珍（中国电子科技集团公司第二十八研究所）摘要：当前，随着信息技术发展和社会信息化进程的全面加快，国民经济对信息和信息系统的依赖越来越大。由此而产生的信息安全问题 也日益突出，需高度重视，并有充分的对策。论文在介绍了有关网络信息安全的知识的基础上，对以下内容进行了阐述：网络信息安全的脆弱性体现、网络信息安全的关键技术、常见攻击方法，提出并阐述针对这些问题的对策。最后提出任何一个信息系统的安全，很大程度上依赖于最初设计时制定的网络信息系统安全策略及相关管理策略，在网络信息系统安全领域，技术手段和完善的管理制度与措施不可或缺。 关键词：网络信息安全网络攻击信息安全产品网络安全管理引言 随着计算机技术的飞速发展，信息网络已经成为社会发展的重要保证。信息网络涉及到国家的政府、军事、文教等诸多领域，存储、传输和处理的许多信息是政府宏观调控决策、商业经济信息、银行资金转账、股票证券、能源资源数据、科研数据等重要的信息。其中有很多是敏感信息，甚至是国家机密，所以难免会吸引来自世界各地的各种人为攻击（例如信息泄漏、信息窃取、数据篡改、数据删添、计算机病毒等）。通常利用计算机犯罪很难留下犯罪证据，这也大大刺激了计算机高技术犯罪案件的发生。计算机犯罪率的迅速增加，使各国的计算机系统特别是网络系统面临着很大的威胁，并成为严重的社会问题之一。 1 网络安全分析 网络信息系统安全已引起各国的高度重视。对于上网的信息，如果安全得不到保障，攻击破坏者就可以通过窃取相关数据密码获得相应的权限，然后进行非法操作。所以，在这个虚拟的网络社会中，安全问题显得至关重要。随着社会信息化程度的不断提高，网络信息系统的安全与否已成为影响国家安全的重要因素。因此，可以认为网络信息系统的安全性主要集中在网络安全、信息安全和文化安全三个主要方面。 网络安全包含物理线路和连接的安全、网络系统安全、操作系统安全、应用服务安全、人员管理安全几个方面。我们在承认不可能有绝对安全的网络系统的前提下，努力探讨如何加强网络安全防范性能，如何通过安全系列软件、硬件及相关管理手段提高网络信息系统的安全性能，降低安全风险，及时准确地掌握网络信息系统的安全问题及薄弱环节，及早发现安全漏洞、攻击行为并针对性地做出预防处理。 信息安全本身包括的范围很大，大到国家军事政治等机密安全，小范围的当然还包括如防范商业企业机密泄露，防范青少年对不良信息的浏览，个人信息的泄露等。网络环境下的信息安全体系是保证信息安全的关键，包括计算机安全操作系统、各种安全协议、安全机制（数字签名，信息认证，数据加密等），直至安全系统，其中任何一个安全漏洞便可以威胁全局安全。信息安全的实质就是要保护信息系统或信息网络中的信息资源免受各种类型的威胁、干扰和破坏，即保证信息的安全性。 文化安全主要指有害信息的传播对我国的政治制度及文化传统的威胁，主要表现在舆论宣传方面。 2 网络攻击的常见方法 在笔者进行网络信息系统安全研究的过程中发现，网络攻击主要是利用计算机网络软硬件漏洞、操作系统缺陷以及对网络安全认识不足导致的人为失误进行的。 2.1 口令入侵所谓口令入侵是指使用某些合法用户的帐号和口令登录到目的主机，然后再实施攻击活动。这种方法的前提是必须先得到该主机上的某个合法用户的帐号，然后再进行合法用户口令的破译。 2.2 放置特洛伊木马程序特洛伊木马程序可以直接侵入用户的电脑并进行破坏，它常被伪装成工具程序或者游戏等诱使用户打开带有特洛伊木马程序的邮件附件或从网上直接下载，一旦用户打开了这些邮件的附件或者执行了这些程序之后，它们就会象古特洛伊人在敌人城外留下的藏满士兵的木马一样留在自己的电脑中，并在自己的计算机系统中隐藏一个可以在Windows启动时悄悄执行的程序。当您连接到因特网上时，这个程序就会通知攻击者，来报告您的IP地址以及预先设定的端口。攻击者在收到这些信息后，再利用这个潜伏在其中的程序，就可以任意地修改你的计算机的参数设定、复制文件、窥视你整个硬盘中的内容等，从而达到控制你的计算机的目的。 2.3 WWW的欺骗技术在网上用户可以利用IE等浏览器进行各种各样的WEB站点的访问，如阅读新闻组、咨询产品价格、订阅报纸、电子商务等。然而一般的用户恐怕不会想到有这些问题存在：正在访问的网页已经被黑客篡改过，网页上的信息是虚假的！例如黑客将用户要浏览的网页的URL改写为指向黑客自己的服务器，当用户浏览目标网页的时候，实际上是向黑客服务器发出请求，那么黑客就可以达到欺骗的目的了。 2.4 电子邮件攻击电子邮件是互联网上运用得十分广泛的一种通讯方式。攻击者可以使用一些邮件炸弹软件或CGI程序向目的邮箱发送大量内容重复、无用的垃圾邮件，从而使目的邮箱被撑爆而无法使用。当垃圾邮件的发送流量特别大时，还有可能造成邮件系统对于正常的工作反映缓慢，甚至瘫痪。相对于其它的攻击手段来说，这种攻击方法具有简单、见效快等优点。 2.5 安全漏洞攻击许多系统都有这样那样的安全漏洞（Bugs）。其中一些是操作系统或应用软件本身具有的。如缓冲区溢出攻击。由于很多系统在不检查程序与缓冲之间变化的情况，就任意接受任意长度的数据输入，把溢出的数据放在堆栈里，系统还照常执行命令。这样攻击者只要发送超出缓冲区所能处理的长度的指令，系统便进入不稳定状态。若攻击者特别配置一串准备用作攻击的字符，他甚至可以访问根目录，从而拥有对整个网络的绝对控制权。 3 保证网络信息系统安全的主要技术及产品 3.1 防火墙技术 “防火墙”是一种形象的说法，其实它是一种由计算机硬件和软件的组合，使互联网与内部网之间建立起一个安全网关（security gateway），从而保护内部网免受非法用户的侵入，它其实就是一个把互联网与内部网（通常指局域网或城域网）隔开的屏障。 从物理上说，防火墙就是放在两个网络之间的各种系统的集合，这些组建具有以下特性：①所有从内到外和从外到内的数据包都要经过防火墙；②只有安全策略允许的数据包才能通过防火墙；③防火墙本身应具有预防侵入的功能，防火墙主要用来保护安全网络免受来自不安全的侵入。
一、SQL注入漏洞 SQL注入攻击（SQL Injection），简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。 通常情况下，SQL注入的位置包括： （1）表单提交，主要是POST请求，也包括GET请求； （2）URL参数提交，主要为GET请求参数； （3）Cookie参数提交； （4）HTTP请求头部的一些可修改的值，比如Referer、User_Agent等； （5）一些边缘的输入点，比如.mp3文件的一些文件信息等。
SQL注入的危害不仅体现在数据库层面上，还有可能危及承载数据库的操作系统；如果SQL注入被用来挂马，还可能用来传播恶意软件等，这些危害包括但不局限于： （1）数据库信息泄漏：数据库中存放的用户的隐私信息的泄露。作为数据的存储中心，数据库里往往保存着各类的隐私信息，SQL注入攻击能导致这些隐私信息透明于攻击者。 （2）网页篡改：通过操作数据库对特定网页进行篡改。 （3）网站被挂马，传播恶意软件：修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。 （4）数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员帐户被篡改。 （5）服务器被远程控制，被安装后门。经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统。
（6）破坏硬盘数据，瘫痪全系统。 解决SQL注入问题的关键是对所有可能来自用户输入的数据进行严格的检查、对数据库配置使用最小权限原则。通常使用的方案有： （1）所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。当前几乎所有的数据库系统都提供了参数化SQL语句执行接口，使用此接口可以非常有效的防止SQL注入攻击。 （2）对进入数据库的特殊字符（'"\<>&*;等）进行转义处理，或编码转换。 （3）确认每种数据的类型，比如数字型的数据就必须是数字，数据库中的存储字段必须对应为int型。 （4）数据长度应该严格规定，能在一定程度上防止比较长的SQL注入语句无法正确执行。
LINUX安全加固手册
目录 1概述 (3) 2 安装 (3) 3 用户帐号安全Password and account security (4) 3.1 密码安全策略 (4) 3.2 检查密码是否安全 (4) 3.3 Password Shadowing (4) 3.4 管理密码 (4) 3.5 其它 (5) 4 网络服务安全(Network Service Security) (5) 4.1服务过滤Filtering (6) 4.2 /etc/inetd.conf (7) 4.3 R 服务 (7) 4.4 Tcp_wrapper (7) 4.5 /etc/hosts.equiv 文件 (8) 4.6 /etc/services (8) 4.7 /etc/aliases (8) 4.8 NFS (9) 4.9 Trivial ftp (tftp) (9) 4.10 Sendmail (9) 4.11 finger (10) 4.12 UUCP (10) 4.13 World Wide Web (WWW) – httpd (10) 4.14 FTP安全问题 (11) 5 系统设置安全(System Setting Security) (12) 5.1限制控制台的使用 (12) 5.2系统关闭Ping (12) 5.3关闭或更改系统信息 (12) 5.4 /etc/securetty文件 (13) 5.5 /etc/host.conf文件 (13) 5.6禁止IP源路径路由 (13) 5.7资源限制 (13) 5.8 LILO安全 (14) 5.9 Control-Alt-Delete 键盘关机命令 (14) 5.10日志系统安全 (15) 5.11修正脚本文件在“/etc/rc.d/init.d”目录下的权限 (15) 6 文件系统安全(File System Security) (15) 6.1文件权限 (15) 6.2控制mount上的文件系统 (16) 6.3备份与恢复 (16) 7 其它 (16) 7.1使用防火墙 (16)
一、注入漏洞 注入攻击（），简称注入攻击、注入，被广泛用于非法获取网站控制权，是发生在应用程序地数据库层上地安全漏洞.在设计程序，忽略了对输入字符串中夹带地指令地检查，被数据库误认为是正常地指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害. 通常情况下，注入地位置包括： （）表单提交，主要是请求，也包括请求； （）参数提交，主要为请求参数； （）参数提交； （）请求头部地一些可修改地值，比如、等； （）一些边缘地输入点，比如文件地一些文件信息等.
注入地危害不仅体现在数据库层面上，还有可能危及承载数据库地操作系统；如果注入被用来挂马，还可能用来传播恶意软件等，这些危害包括但不局限于： （）数据库信息泄漏：数据库中存放地用户地隐私信息地泄露.作为数据地存储中心，数据库里往往保存着各类地隐私信息，注入攻击能导致这些隐私信息透明于攻击者. （）网页篡改：通过操作数据库对特定网页进行篡改. （）网站被挂马，传播恶意软件：修改数据库一些字段地值，嵌入网马链接，进行挂马攻击. （）数据库被恶意操作：数据库服务器被攻击，数据库地系统管理员帐户被篡改. （）服务器被远程控制，被安装后门.经由数据库服务器提供地操作系统支持，让黑客得以修改或控制操作系统.
（）破坏硬盘数据，瘫痪全系统. 解决注入问题地关键是对所有可能来自用户输入地数据进行严格地检查、对数据库配置使用最小权限原则. 通常使用地方案有： （）所有地查询语句都使用数据库提供地参数化查询接口，参数化地语句使用参数而不是将用户输入变量嵌入到语句中.当前几乎所有地数据库系统都提供了参数化语句执行接口，使用此接口可以非常有效地防止注入攻击. （）对进入数据库地特殊字符（'"\<>*;等）进行转义处理，或编码转换. （）确认每种数据地类型，比如数字型地数据就必须是数字，数据库中地存储字段必须对应为型. （）数据长度应该严格规定，能在一定程度上防止比较长地注入语句无法正确执行. （）网站每个数据层地编码统一，建议全部使用编码，上下层编码不一致有可能导致一些过滤模型被绕过.
网络通信安全管理员培训 WEB安全加固 操 作 指 南 邮电职业技术学院培训中心 二零一二年五月 1、Windows server 2003系统加固 (4)
1.1采集系统信息 (4) 1.2账号 (5) 1.2.1优化账号 (5) 1.2.2检测隐藏 (6) 1.2.3更改默认管理员用户名 (7) 1.3口令策略 (7) 1.4授权 (9) 1.5补丁管理 (10) 1.6安全配置 (11) 1.6.1IP协议安全配置 (11) 1.6.2屏幕保护 (13) 1.6.3安装防病毒软件 (14) 1.6.4病毒查杀 (15) 1.6.5木马查杀 (16) 1.7日志审核 (18) 1.7.1增强日志 (18) 1.7.2增强审核 (20) 1.8关闭不必要的端口、服务 (21) 1.8.1修改远程桌面端口 (21) 1.8.2关闭高危的数据库端口 (22) 1.8.3优化服务 (22) 1.8.4修改SNMP服务 (24) 1.9启动项 (24) 1.10关闭自动播放功能 (26) 1.11关闭共享 (26) 1.12使用NTFS (27) 1.13网络访问 (28) 1.14会话超时设置 (29) 1.15注册表设置 (29) 1.16其他 (30) 1.16.1网络限制 (30) 1.16.2安全性增强 (31) 1.16.3检查Everyone权限 (31) 1.16.4限制命令操作权限 (32) 1.16.5防病毒软件建立计划任务，每天深夜执行全盘扫描 (33) 1.16.6进行IP-MAC双向绑定 (33) 1.16.7第三方软件升级 (34) 1.16.8开启360safe arp防火墙 (34) 1.17Apache系统加固 (35) 1.17.1 (35) 1.17.2授权 (36) 1.17.3日志 (37) 1.17.4禁止访问外部文件 (38) 1.17.5目录列出 (39)
1.信息安全问题产生的根源有哪些？ 造成信息安全问题的因素很多，技术故障、骇客攻击、病毒、漏洞等因素都可以造成信息系统安全问题。从根源来说，信息安全问题可以归因于内因和外因。 1)信息安全问题的内因 内因方面主要是信息系统复杂性导致漏洞的存在不可避免，换句话说，漏洞是一种客观存在。这些复杂性包括过程复杂性，结构复杂和应用复杂等方面。 2)信息安全问题的外因 外因主要包括环境因素和人为因素。从自然环境的角度看，雷击、地震、火灾、洪水等自然灾害和极端天气也容易引发信息安全问题；从人为因素来看，有骇客、犯罪团伙、恐怖分子等多种，我们可以分为个人层面威胁、组织层面威胁和国家层面威胁三个层面，从所掌握的资源来看和具备的能力，这三个层面依次递增。 2.信息安全主要包括哪几个发展阶段？ 通信安全阶段、计算机安全阶段、信息系统安全阶段、信息安全保障阶段和网络安全空间/信息安全保障阶段。 3.信息隐藏技术与加密技术有什么区别？ 经典的以密码学为基础的加密技术，是过去主要的信息安全手段，在今后许多场合仍将发挥重要的作用。但是传统的加密技术存在这样一些问题：保护秘密信息时容易遭受攻击（破译）；保护媒体产品（比如加密电视频道）时数据传输过程中虽有保护作用，然而数据一旦被截获并破译，其保护作用也将消失。因此，传统的加密技术只能满足有限的要求。 信息隐藏作为近些年来信息安全和多媒体领域中提出一种解决媒体信息安全的新方法。它通过把秘密信息永久地隐藏在可公开的媒体信息中，达到证实该媒体信息的所有权归属和数据完整性或传递秘密信息的目的，从而为数字信息的安全问题提供一种崭新的解决办法。由此可以看出，信息隐藏技术所解决的安全有两方面的含义：一是可以公开媒体信息（非秘密信息）在版权和使用权上的安全；二是秘密信息在传输和存储中的安全。 4.信息隐藏的的种类有哪些？ 5.信息隐藏的基本方法包括哪些？ 1)基于空域的信息隐藏方法 2)基于变换域的信息隐藏方法 3)基于压缩域的信息隐藏方法 4)基于视觉性的隐写技术 6.消息认证的目的是什么？ 验证消息的完整性，确认数据在传送和存储过程中未受到主动攻击。 7.消息认证的主要方式是什么？ 散列函数和消息认证码 8.什么是MAC函数？它的作用是什么？ 使用一个密钥生成一个固定大小的小数据块，并加入到消息中，称MAC，或密码校验和（cryptographic checksum）。 MAC的作用：
因为IIS(即Internet Information Server)的方便性和易用性，使它成为最受欢迎的Web 服务器软件之一。但是，IIS的安全性却一直令人担忧。如何利用IIS建立一个安全的Web 服务器，是很多人关心的话题。要创建一个安全可靠的Web服务器，必须要实现Windows 2003和IIS的双重安全，因为IIS的用户同时也是Windows 2003的用户，并且IIS目录的权限依赖Windows的NTFS文件系统的权限控制，所以保护IIS安全的第一步就是确保Windows 2000操作系统的安全，所以要对服务器进行安全加固，以免遭到黑客的攻击，造成严重的后果。 我们通过以下几个方面对您的系统进行安全加固： 1. 系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体提高服务器的安全性。 2. IIS手工加固：手工加固iis可以有效的提高iweb站点的安全性，合理分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。 3. 系统应用程序加固，提供应用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。 系统的安全加固： 1.目录权限的配置： 1.1 除系统所在分区之外的所有分区都赋予Administrators和SYSTEM有完全控制权，之后再对其下的子目录作单独的目录权限，如果WEB站点目录，你要为其目录权限分配一个与之对应的匿名访问帐号并赋予它有修改权限，如果想使网站更加坚固，可以分配只读权限并对特殊的目录作可写权限。 1.2 系统所在分区下的根目录都要设置为不继承父权限，之后为该分区只赋予Administrators和SYSTEM有完全控制权。 1.3 因为服务器只有管理员有本地登录权限，所在要配置Documents and Settings这个目录权限只保留Administrators和SYSTEM有完全控制权，其下的子目录同样。另外还有一个隐藏目录也需要同样操作。因为如果你安装有PCAnyWhere那么他的的配置信息都保存在其下，使用webshell或FSO可以轻松的调取这个配置文件。 1.4 配置Program files目录，为Common Files目录之外的所有目录赋予Administrators和SYSTEM有完全控制权。
密级：商业秘密LINUX评估加固手册 安氏领信科技发展有限公司 二〇二〇年八月
目录 1、系统补丁的安装 RedHat使用RPM包实现系统安装的管理，系统没有单独补丁包（Patch）。如果出现新的漏洞，则发布一个新的RPM包，版本号（Version）不变，Release做相应的调整。因此检查RH Linux的补丁安装情况只能列出所有安装的软件，和RH网站上发布的升级软件对照，检查其中的变化。
通过访问官方站点下载最新系统补丁，RedHat公司补丁地址如下： -qa 查看系统当前安装的rpm包 rpm -ivh package1安装RPM包 rpm -Uvh package1升级RPM包 rpm -Fvh package1升级RPM包（如果原先没有安装，则不安装） 2、帐户、口令策略的加固 2．1、删除或禁用系统无用的用户 询问系统管理员，确认其需要使用的帐户 如果下面的用户及其所在的组经过确认不需要，可以删除。 lp, sync, shutdown, halt, news, uucp, operator, games, gopher 修改一些系统帐号的shell变量，例如uucp,ftp和news等，还有一些仅仅需要FTP功能的帐号，检查并取消/bin/bash或者/bin/sh等Shell变量。可以在/etc/passwd中将它们的shell变量设为/bin/false或者/dev/null等。也可以通过passwd groupdel 来锁定用户、删除组。 passwd -l user1锁定user1用户 passwd -u user1解锁user1用户 groupdel lp 删除lp组。 2．2、口令策略的设置 RedHat Linux总体口令策略的设定分两处进行，第一部分是在/etc/文件中定义，其中有四项相关内容： PASS_MAX_DAYS 密码最长时效（天） PASS_MIN_DAYS 密码最短时效（天） PASS_MIN_LEN 最短密码长度 PASS_WARN_AGE 密码过期前PASS_WARN_AGE天警告用户 编辑/etc/文件，设定：
十五个典型信息安全问题急需解决 互联网和IT技术的普及，使得应用信息突破了时间和空间上的障碍，信息的价值在不断提高。但与此同时，网页篡改、计算机病毒、系统非法入侵、数据泄密、网站欺骗、服务瘫痪、漏洞非法利用等信息安全事件时有发生。据公安部公共信息网络安全监察局的调查结果显示，2005年5月至2006年5月间，有54％的被调查单位发生过信息网络安全事件，其中，感染计算机病毒、蠕虫和木马程序的安全事件为84%，遭到端口扫描或网络攻击的占36%，垃圾邮件占35%。未修补和防范软件漏洞仍然是导致安全事件发生的最突出原因，占发生安全事件总数的73%。 互联网和IT技术的普及，使得应用信息突破了时间和空间上的障碍，信息的价值在不断提高。但与此同时，网页篡改、计算机病毒、系统非法入侵、数据泄密、网站欺骗、服务瘫痪、漏洞非法利用等信息安全事件时有发生。据公安部公共信息网络安全监察局的调查结果显示，2005年5月至2006年5月间，有54％的被调查单位发生过信息网络安全事件，其中，感染计算机病毒、蠕虫和木马程序的安全事件为84%，遭到端口扫描或网络攻击的占36%，垃圾邮件占35%。未修补和防范软件漏洞仍然是导致安全事件发生的最突出原因，占发生安全事件总数的73%。 目前，许多企事业单位的业务依赖于信息系统安全运行，信息安全重要性日益凸显。信息已经成为各企事业单位中的重要资源，也是一种重要的“无形财富”，分析当前的信息安全问题，有十五个典型的信息安全问题急需解决。 1 网络共享与恶意代码防控 网络共享方便了不同用户、不同部门、不同单位等之间的信息交换，但是，恶意代码利用信息共享、网络环境扩散等漏洞，影响越来越大。如果对恶意信息交换不加限制，将导致网络的QoS下降，甚至系统瘫痪不可用。 2 信息化建设超速与安全规范不协调 网络安全建设缺乏规范操作，常常采取“亡羊补牢”之策，导致信息安全共享难度递增，也留下安全隐患。 3 信息产品国外引进与安全自主控制 国内信息化技术严重依赖国外，从硬件到软件都不同程度地受制于人。目前, 国外厂商的操作系统、数据库、中间件、办公文字处理软件、浏览器等基础性软件都大量地部署在国内的关键信息系统中,但是这些软件或多或少存在一些安全漏洞，使得恶意攻击者有机可乘。目前，我们国家的大型网络信息系统许多关键信息产品长期依赖于国外，一旦出现特殊情况，后果就不堪设想。 4 IT产品单一性和大规模攻击问题 信息系统中软硬件产品单一性，如同一版本的操作系统、同一版本的数据库软件等，这样一来攻击者可以通过软件编程，实现攻击过程的自动化，从而常导致大规模网络安全事件的发生，例如网络蠕虫、计算机病毒、“零日”攻击等安全事件。 5 IT产品类型繁多和安全管理滞后矛盾 目前，信息系统部署了众多的IT产品，包括操作系统、数据库平台、应用系统。但是不同类型的信息产品之间缺乏协同,特别是不同厂商的产品,不仅产品之间安全管理数据缺乏共享,而且各种安全机制缺乏协同,各产品缺乏统一的服务接口,从而造成信息安全工程建设困难,系统中安全功能重复开发,安全产品难以管理,也给信息系统管理留下安全隐患。 6 IT系统复杂性和漏洞管理 多协议、多系统、多应用、多用户组成的网络环境，复杂性高，存在难以避免的安全漏洞。据SecurityFocus公司的漏洞统计数据表明，绝大部分操作系统存在安全漏洞。由于管理、软件工程难度等问题，新的漏洞不断地引入到网络环境中，所有这些漏洞都将可能成为
服务器安全加固(以Windows Server 2008为示例，Windows server 2003和Windows Server 2012根据实际需要进行修正) 1、服务器登录安全加固 1）为登录用户添加密码，密码长度在10位以上，并满足密码包括字母数字和特殊字符组成等复杂度要求。（请回答） 2）禁用系统多余帐号，如不需要Guest帐号访问服务器，则应禁用。（请截图） 3）设置Windows用户密码策略，可通过“控制面板－管理工具－本地安全策略”中“帐户策略”下的“帐户策略”进行安全设置如下。（请截图） 序号属性可选择值 1 密码必须符合复杂性要求已启用 2 密码长度最小值10个字符 3 密码最短使用期限5天 4 密码最长使用期限40天 5 强制密码历史3次 6 用可还原的加密来储存密码已禁用 4）设置Windows系统非法登录锁定次数，可通过“控制面板－管理工具－本地安全策略”中“帐户策略”下的“帐户锁定策略”进行安全加固，参数设置参考如下；（请 序号属性可选择值 1 帐户锁定阈值5次 2 帐户锁定时间10分钟
2、服务器安全事件审核安全加固。（请截图） 1）设置Windows服务器安全事件审核策略，可通过“控制面板－管理工具－本地安全策略”中“本地策略”下的“审核策略”进行安全设置，将其下的所有审核都设置成“成功”、“失败”（默认为“无审核”）。 2）设置日志系统的安全加固，打开“控制面板－管理工具－事件查看器”中，在“Windows日志”中选择一个日志类型，右击鼠标，设置“属性”的存储大小不小于512KB（4096KB）；覆盖周期不小于15天（60天）。（请截图）
AIX安全加固操作手册 作为宽带智能网中的Appserver，在完成AIX操作系统上智能网系统的安装和配置以后（除系统加固之外的所有安装和配置，包括双机），需要立即进行系统加固，以防止非法入侵，系统加固的具体步骤如下： 一、系统推荐补丁升级加固 1．检查是否打上了AIX操作系统要求补丁（433要求10以上；5.1要求5以上；5.2要求使用IBM最新发布的补丁） 检查补丁版本命令：oslevel –r 或instfix –i |grep ML (看返回结果中OS版本后带的小版本号) 2．如果未安装补丁，使用如下方式安装补丁 1)将补丁盘放入光驱、以root执行：mount /cdrom 2)执行：smitty update_all （选择/dev/cd0为安装介质） 注意选择安装选项中： COMMIT software updates? no SA VE replaced files? yes 安装结束后使用以上方式检查是否已经安装成功，并使用：shutdown –Fr 重起系统 二、AIX系统配置安全加固 1.编辑/etc/inetd.conf文件，关闭所有服务。 将inetd.conf文件中的内容清空 > /etc/inetd.conf refresh –s inetd 2.编辑/etc/rc.tcpip文件，关闭除以下服务外的所有服务： portmap syslog inetd sendmail snmpd 如关闭dpid2，则只要注销以下行：(前面加#号即可) #start /usr/sbin/dpid2 "$src_running" 再使用： stopsrc –s XXX来停止这些已经启动的服务 3./etc/inittab中关闭 用:注释服务，不是‘#’ piobe Printer IO BackEnd qdaemon Printer Queueing Daemon writesrv write server httpdlite docsearch Web Server
WindowsXP 安全加固配置手册 目录 一、安全加固配置说明..........................................................................................................- 2 - 1.1 安全加固配置目的............................................................................................................- 2 - 1.2 适用系统...........................................................................................................................- 2 - 1.3 相关说明...........................................................................................................................- 2 - 二、主机加固方案..................................................................................................................- 2 - 2.1 操作系统加固方案...........................................................................................................- 2 - 2.1.1 安全补丁检测及安装............................................................................................- 2 - 2.1.2 系统用户口令及策略加固....................................................................................- 3 - 2.1.3 日志及审核策略配置.............................................................................................- 4 - 2.1.4 安全选项策略配置................................................................................................- 6 - 2.1.5 用户权限策略配置..............................................................................................- 12 - 2.1.6 注册表安全设置..................................................................................................- 14 - 2.1.7 网络与服务加固..................................................................................................- 16 - 2.1.8 其他安全性加固..................................................................................................- 18 -
安全加固手册 8.2 系统安全值设置 8.2.1 查看目前系统值: WRKSYSV AL 一个一个顺序在终端上显示 或者 DSPSYSVAL SYSV AL （system value） 8.2.2 系统安全级别推荐设置为40 QSECURITY 40 10 没有用户认证，没有资源保护 20 用户使用密码认证，没有资源保护 30 用户认证和默认的资源保护 40 跟 30 相似，但是控制了特权指令和设备的接口 （在客户端被认为具有高的风险的时候应用安全级别40。他会限制对对象，其他工作的数据和系统内部程序的直接访问） 50 增强型的安全访问控制，达到真正的 C2 级安全控制 8.2.3 建议设置口令复杂度策略 QPWDVLDPGM *NONE 无密码检测 8.2.4 密码长度 最小密码长度 QPWDMINLEN 6 最大密码长度 QPWDMAXLEN 10 8.2.5 设置帐户最大尝试登陆次数 QMAXSIGN 3（默认值） 达到最大尝试次数措施 QMAXSGNACN 3（默认值） 1 禁用终端 2 禁用用户配置文件 3 全部
（注 :建议根据自己的情况选择，禁用终端后，可能会给别人的造成误解，怀疑设备损坏。管理员要十分清楚该参数的含义） 8.2.6 设置密码有效期 QPWDEXPITV 30-90 *NOMAX 不限 1-366 天 QPWDRQDDIF 1 0 可以和以前的历史记录中的 32 个密码一样 1 必须和以前的历史记录中的 3 2 个密码不同 8.2.7 限制安全设备登陆 QLMTSECOFR 1 0 允许所有有 *ALLOBJ 授权的用户在任意显示终端登陆，有 *SERVICE 授权的用户可以使用*CHANGE 公开认证手段登陆到任意显示终端 1 不允许有 *ALLOBJ 或 *SERVICE 的用户登陆到任一显示终端上（主控制台除外），除非他们有特别的授权允许访问 8.2.8 设置超时策略 QINACTITV 无活动的任务超时 *NONE: 无超时 5-300 超时最大允许时间（分钟）推荐 15 非授权用户在某个时间段无操作，系统将会根据该参数值决定是否断开当前的session。 认证用户通过再次登陆，可以继续以前session 所保留的屏幕。当设置中断连接任务 （*DSCJOB ）值去中断任意交互式登陆。 8.2.9 限制设备sessions QLMTDEVSSN 0 不限制一个终端的特定用户 ID 的在同一时刻的使用数 1 限制同一时刻只能有一个特定用户登录到这台工作站 8.2.10 用户登录信息是否显示在屏幕上 QDSPSGNINF 0 在用户登录时 ,登陆信息不显示 1 以下信息会被显示最后登陆时间 从上次登陆以来的失败登陆 密码 7 天或之内密码将要过期的警告
、SQL注入漏洞 SQL 注入攻击( SQL Injection )，简称注入攻击、SQL注入，被广泛用于非法获取网站控制权，是发生在应用程序的数据库层上的安全漏洞。在设计程序，忽略了对输入字符串中夹带的SQL指令的检查，被数据库误认为是正常的SQL指令而运行，从而使数据库受到攻击，可能导致数据被窃取、更改、删除，以及进一步导致网站被嵌入恶意代码、被植入后门程序等危害。 通常情况下，SQL注入的位置包括： 1) 表单提交，主要是POST请求，也包括GET请求； 2) URL参数提交，主要为GET请求参数； 3) Cookie 参数提交； 4)HTTP请求头部的一些可修改的值，比如Referer 、User_Agent 等； 5)一些边缘的输入点，比如.mp3 文件的一些文件信息等。
SQL注入的危害不仅体现在数据库层面上，还有可能危及承载数据库的操作系统；如果SQL注入被用来挂马，还可能用来传播恶意软件等，这些危害包括但不局限于： （1）数据库信息泄漏：数据库中存放的用户的隐私信息的泄露。作为数据的存储中心，数据库里往往保存着各类的隐私信息，SQL注入攻击能导致这些隐私 信息透明于攻击者。 （2）网页篡改：通过操作数据库对特定网页进行篡改。 （3）网站被挂马，传播恶意软件：修改数据库一些字段的值，嵌入网马链接，进行挂马攻击。 （4）数据库被恶意操作：数据库服务器被攻击，数据库的系统管理员帐户被篡改。 （5）服务器被远程控制，被安装后门。经由数据库服务器提供的操作系统支持，让黑客得以修改或控制操作系统。 （6）破坏硬盘数据，瘫痪全系统。 解决SQL注入问题的关键是对所有可能来自用户输入的数据进行严格的 检查、对数据库配置使用最小权限原则通常使用的方案有： （1）所有的查询语句都使用数据库提供的参数化查询接口，参数化的语句使用参数而不是将用户输入变量嵌入到SQL语句中。当前几乎所有的数据库系统
信息安全漏洞分类及介绍 本文是一个安全漏洞相关的科普，介绍安全漏洞的概念认识，漏洞在几个维度上的分类及实例展示。 1 安全漏洞及相关的概念 本节介绍什么是安全漏洞及相关的概况。 1.1 安全漏洞的定义 我们经常听到漏洞这个概念，可什么是安全漏洞？想给它一个清晰完整的定义其实是非常困难的。如果你去搜索一下对于漏洞的定义，基本上会发现高大上的学术界和讲求实用的工业界各有各的说法，漏洞相关的各种角色，比如研究者、厂商、用户，对漏洞的认识也是非常不一致的。 从业多年，我至今都找不到一个满意的定义，于是我自己定义一个： 安全漏洞是信息系统在生命周期的各个阶段（设计、实现、运维等过程）中产生的某类问题，这些问题会对系统的安全（机密性、完整性、可用性）产生影响。 这是一个从研究者角度的偏狭义的定义，影响的主体范围限定在了信息系统中，以尽量不把我们所不熟悉的对象扯进来。 漏洞之所以被描述为某种”问题”，是因为我发现无法简单地用脆弱性、缺陷和Bug 等概念来涵盖它，而更象是这些概念的一个超集。 漏洞会在系统生命周期内的各个阶段被引入进来，比如设计阶段引入的一个设计得非常容易被破解的加密算法，实现阶段引入的一个代码缓冲区溢出问题，运维阶段的一个错误的安全配置，这些都有可能最终成为漏洞。 定义对安全的影响也只涉及狭义信息安全的三方面：机密性、完整性和可用性。漏洞造成的敏感信息泄露导致机密性的破坏；造成数据库中的信息被非法篡改导致完整性的破坏；造成服务器进程的崩溃导致可用性的丧失。漏洞也可能同时导致多个安全属性的破坏。
1.2 安全漏洞与Bug的关系 漏洞与Bug并不等同，他们之间的关系基本可以描述为：大部分的Bug影响功能性，并不涉及安全性，也就不构成漏洞；大部分的漏洞来源于Bug，但并不是全部，它们之间只是有一个很大的交集。可以用如下这个图来展示它们的关系 1.3 已知漏洞的数量 各个漏洞数据库和索引收录了大量已知的安全漏洞，下表是一个主流漏洞库的数量的大致估计，漏洞一般最早从20世纪90年代开始：
安全手册 XXX科技发展有限公司 编制：审核批准日期 公司的安全愿景 成为零工伤工厂 公司的安全承诺 确保使员工能以在安全的环境下以安全的方式进行工作。 公司的安全政策 ·所有公司员工和来访者的安全都必须受到保护； ·没有比使员工避免受到伤害更重要的事情； ·预防工伤/职业病事故的发生是非常重要的道德和法律责任； 1.安全总则 1.1安全第一，预防为主； 1.2遵守安全的法律法规； 1.3在安全上不要有侥幸心理。 2.安全职责 1.1管理层安全职责 ·安全教育和培训； ·给员工提供充分的、符合要求的劳保用品； ·不断加强安全管理。 2.2员工安全职责 ·遵守所有安全规章制度； ·按规定穿戴劳保用品，并妥善保管，使其处于良好状况； ·采用安全的工作方式，预防事故发生。 3.安全培训 3.1企业必须开展安全教育，普及安全知识，倡导安全文化。 3.2安全培训由公司行政人力资源部和工艺部负责组织。 3.3生产岗位员工的安全培训： A.新入职员工上岗前必须进行公司级、部门级、车间班组级三级安全教育， 并经考核合格后方可上岗；
B.公司级安全教育应包括劳动安全文化的基本知识，公司劳动安全卫生规 章制度及状况、劳动纪律和有关事故案例等项内容； C.部门级安全教育应包括本部门劳动安全卫生状况和规章制度，主要危险 危害因素及安全事项，预防工伤事故和职业病的主要措施，典型事故案 例及事故应急处理措施等项内容； D.车间班组级安全教育应包括遵章守纪，岗位安全操作规程，岗位间工作 衔接配合的安全卫生事项，典型事故案例，劳动防护用品（用具）的性 能及正确使用方法等项内容； E.从事特种作业的人员必须经过专门的安全知识与安全操作技能培训，并 以过考核，取得特种作业资格方可上岗工作。 3.4管理人员的安全培训： ·主管以上人员 A.必须进行安全培训经考核合格后方可上岗； B.培训内容应包括国家有关劳动安全卫生的方钍、政策、法律、法规及有 关规章制度，工伤保险法律、法规，安全生产管理职责、企业劳动安全 卫生管理知识及安全文化，有关事故案例及事故应急处理措施等内容。 ·工程技术及其他人员 A.培训时间不得少于十二学时； B.培训内容应包括劳动安全卫生法律、法规及本部门、本岗位安全卫生职 责，安全技术、劳动卫生和安全文化的知识，有关事故案例及事故应急 处理措施等项内容。 4.办公室安全 4.1保持行走区域和工作区域畅通无阻，及时排除或示示出绊倒隐患； 4.2保持工作区域清洁、光线充足、无水； 4.3办公室要求整理、整顿、清扫、清洁并养成习惯; 4.4严禁私拉乱按各种电线，未经许可，不得进行电器维修； 4.5操作任何机器前，要确保你已接受过适当的培训和指导； 4.6不要对任何处于开启状态的机器进行清洗工作； 4.7不在办公室使用电炉，快速热水器，加热器等。 5.吸烟规定 5.1公司内除了在规定的吸烟点外，一律禁止吸烟；特别禁止吸游烟 5.2吸烟点的设置：各部门根据实际需求提出申请，经审核批准后设置。 6.劳保用品 6.1遵守劳保用品相关的法律法规。