应用安全应用测评指导书三级版

测评指导书（三级）目录第1章安全管理测评指导书 (4)1.1安全管理机构测评 (4)1.2安全管理制度测评 (9)1.3人员安全管理测评 (11)1.4系统建设管理测评 (14)1.5系统运维管理测评 (20)第2章物理安全测评指导书 (32)2.1物理安全测评 (32)第3章网络安全测评指导书 (44)3.1网络全局安全测评 (44)3.2路由器安全测评 (47)3.3交换机安全测评 (59)3.4防火墙安全测评 (67)3.5入侵检测/防御系统安全测评 (71)第4章操作系统安全测评指导书 (75)4.1WINDOWS操作系统安全测评 (75)4.2L INUX操作系统安全测评 (82)4.3S OLARIS操作系统安全测评 (92)4.4AIX操作系统安全测评 (101)第5章应用系统安全测评指导书 (109)5.1应用系统安全测评 (109)5.2IIS应用安全测评 (114)5.3A PACHE应用安全测评 (116)第6章数据库安全测评指导书 (120)6.1SQL S ERVER数据库安全测评 (120)第 2 页共135 页6.2O RACLE数据库安全测评 (124)6.3S YBASE数据库安全测评 (130)第 3 页共135 页第1章安全管理测评指导书1.1安全管理机构测评第 4 页共135 页第 5 页共135 页第 6 页共135 页第7 页共135 页第8 页共135 页1.2安全管理制度测评第9 页共135 页第10 页共135 页1.3人员安全管理测评第11 页共135 页第12 页共135 页第13 页共135 页1.4系统建设管理测评第14 页共135 页第15 页共135 页第16 页共135 页第17 页共135 页第18 页共135 页第19 页共135 页1.5系统运维管理测评第20 页共135 页第21 页共135 页第22 页共135 页第23 页共135 页第24 页共135 页第25 页共135 页第26 页共135 页第27 页共135 页第28 页共135 页第29 页共135 页第30 页共135 页第31 页共135 页第2章物理安全测评指导书2.1物理安全测评第32 页共135 页第33 页共135 页第34 页共135 页第35 页共135 页第36 页共135 页第37 页共135 页第38 页共135 页第39 页共135 页第40 页共135 页第41 页共135 页第42 页共135 页第43 页共135 页第3章网络安全测评指导书3.1网络全局安全测评第44 页共135 页第45 页共135 页第46 页共135 页3.2路由器安全测评思科路由器第47 页共135 页第48 页共135 页第49 页共135 页第50 页共135 页。

三级安全指导全套(新)
介绍
本文档旨在提供全套的三级安全指导，以帮助组织和个人在不同层面上实施安全措施，保护敏感信息和确保系统安全。

一级安全指导
一级安全指导主要针对组织层面的安全问题，包括以下方面：- 确认组织的安全政策和流程，明确责任和权限
- 训练员工意识安全风险，加强安全意识教育
- 建立安全审计机制，定期检查安全措施的有效性
- 实施访问控制和权限管理，限制敏感信息的访问和传输
二级安全指导
二级安全指导主要针对系统层面的安全问题，包括以下方面：- 更新和安装最新的安全补丁，确保系统的漏洞得到及时修补- 配置和管理防火墙和入侵检测系统，监控网络流量和异常行为
- 加密敏感数据和通信，确保数据在传输和存储过程中的安全性
- 实施备份和恢复策略，确保系统可靠性和业务连续性
三级安全指导
三级安全指导主要针对个人层面的安全问题，包括以下方面：
- 设定强密码政策，确保个人账户和设备的安全性
- 定期更改密码并禁用不再使用的账户
- 将敏感信息妥善保存和处理，避免泄露和滥用
- 提供安全交流渠道，让员工可以报告安全问题和疑似事件
结论
以上是三级安全指导的全套内容。

通过按照指导实施相应的安
全措施，组织和个人可以有效应对安全风险，保护敏感信息，并确
保系统的安全性和稳定性。

请根据实际情况和需求进行调整和执行。

序号类别测评项a)应对登录操作系统和数据库系统的用户进展身份标识和鉴别；b)操作系统和数据库系统治理用户身份鉴别信息应具有不易被冒用的特点，口令应有简单度要求并定期更换；c)应启用登录失败处理功能，可采测评实施1〕查看登录是否需要密码1〕依次开放[开头]->〔[掌握面板] ->〕[治理工具]->[本地安全策略]->[账户策略]->[密码策略]，查看以下项的状况：a)简单性要求、b)长度最小值、c)最长存留期、d)最短存留期、e)强制密码历史。

1〕依次开放[开头]->〔[掌握面板] ->〕[治理工具]->[本地安全策略]->[账户预期结果1〕用户需要输入用户名和密码才能登录。

a)简单性要求已启用；b)长度最小值至少为 8 位；c)最长存留期不为 0；d)最短存留期不为 0；e)强制密码历史至少记住 3 个密码以上。

a)设置了“复位账户锁定计数器”说明是否必需输入密码才能登录。

全部的项只要不为默认的 0 或未启用就可以。

取完毕会话、限制非法登录次数和1 身份自动退出等措施；鉴别d) 当对效劳器进展远程治理时，应策略]->[账户锁定策略]；2〕查看以下项的状况：a)复位账户锁定计数器、b)账户锁定时间和 c)账户锁定阈值。

1〕访谈治理员在进展远程治理时如何时间；全部的项只要不为默认b)设置了“账户锁定时间”；的0或未启用就可以。

c)设置了“账户锁定阈值”。

1）假设是本地治理或KVM 等硬件治理方式，此要求默认满足；实行必要措施，防止鉴别信息在网络传输过程中被窃听；e) 为操作系统和数据库的不同用防止鉴别信息在网络传输过程中被窃听。

1 〕依次开放[ 开始]->([ 掌握面2）假设承受远程治理，则需承受带加密治理的远程治理方式，如启用了加密功能的 3389 远程治理桌面或修改远程登录端口。

关注远程治理方式及传输协议。

Windows Server 2022 默户安排不同的用户名，确保用户名具有唯一性；板 ]->)[ 管理工具 ]->[ 计算机管 1〕无多人共用同一个账号的情理]->[本地用户和组]->[用户]；查看况。

序号类别测评项测评实施1〕开放效劳器组，编辑SQL Server 注册属性，查看身份认证方式；预期结果说明1）选中“使用SQL Server身份认证”，a)应对登录操作系统和数据库系统的用户进展身份标识和鉴别；或者2）直接登录SQL Server 企业治理器，试图连接数据库，查看系统是否消灭用户和密码的输入框。

1〕询问是否在安装时马上修改sa 口令，用该用户和常见密码试图登录数据库系统，查看是否成功。

并且选中“总是提示输入用户名和密应避开操作系统治理员对数码”。

据库系统进展直接治理。

2）提示用户输入密码。

b)操作系统和数据库系统管身理用户身份标识应具有不易1鉴被冒用的特点，口令应有复别杂度要求并定期更换；2）在SQL 查询分析器中执行命令：use masterselect * from syslogins where password isnull查看是否有空口令用户。

3）询问口令的治理要求，如口令的长度、口令简单性和口令更周期等方面的治理要求。

1）sa 用户的口令不是常见口令。

2）无空口令用户。

3）口令治理制度规定口令设置的复杂度要求，至少包括：字符数字混合、长度不低于8 位。

SQL Server2022 未供给技术手段来强制要求口令的简单性，因此，只能通过治理手段来进展强化用户口令的简单性。

c)应启用登录失败处理功能，可实行完毕会话、限制非法1〕访谈系统治理员，了解是否实行第三登录次数和自动退出等措方工具实现该功能。

施；1）〕假设没有承受第三方工具或对SQL Server2022 安全功能进展增加，则该项要求为不符合。

SQL Server2022 默认没有供给登录失败处理功能。

份第页共8 页第 页 共 8 页问序号类别 测评项测评实施 预期结果 说明d)当对效劳器进展远程治理时，应实行必要措施，防止鉴别信息在网络传输过程中被窃听；1） 询问是否能对数据库进展远程治理； 假设能够对数据库进展远程治理，则 2） 在效劳器网络有用工具中查看是否启 应选中“强制协议加密(C)”，并对其用“强制协议加密(C)”。

等保2.0通用部分安全区域边界（三级）测评指导书通用部分包括：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心、安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理十个层面。

今天给大家分享的是通用部分【安全区域边界】（三级）测评指导书！8.1.3.1 边界防护a) 应保证跨越边界的访问和数据流通过边界设备提供的受控接口进行通信；测评对象：网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件测评方法：1、应核查在网络边界处是否部署访问控制设备；2、应核查设备配置信息是否指定端口进行跨越边界的网络通信，指定端口是否配置并启用了安全策略；3、应采用其他技术手段（如非法无线网络设备定位、核查设备配置信息等）核查或测试验证是否不存在其他未受控端口进行跨越边界的网络通信。

b) 应能够对非授权设备私自联到内部网络的行为进行检查或限制；测评对象：终端管理系统或相关设备测评方法：1、应核查是否采用技术措施防止非授权设备接入内部网络；2、应核查所有路由器和交换机等相关设备闲置端口是否已关闭。

c) 应能够对内部用户非授权联到外部网络的行为进行检查或限制；测评对象：终端管理系统或相关设备测评方法：应核查是否采用技术措施防止内部用户存在非法外联行为。

d) 应限制无线网络的使用，保证无线网络通过受控的边界设备接入内部网络。

测评对象：网络拓扑和无线网络设备测评方法：1、应核查无线网络的部署方式，是否单独组网后再连接到有限网络；2、应核查无线网络是否通过受控的边界防护设备接入到内部有线网络。

8.1.3.2 访问控制a) 应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；测评对象：网闸、防火墙、路由器、交换机和无线接入网关设备等提供访问控制功能的设备或相关组件测评方法：1、应核查在网络边界或区域之间是否部署访问控制设备并启用访问控制策略；2、应核查设备的最后一条访问控制策略是否为禁止所有网络通信。

操作系统安全测评指引书
LINUX
1概述
1.1 合用范畴
本测评指引书合用于信息系统级别为三级旳主机Linux操作系统测评。

1.2 阐明
本测评指引书基于《信息系统安全级别保护基本规定》旳基本上进行设计。

本测评指引书是主机安全对于Linux操作系统身份鉴别、访问控制、安全审计、剩余信息保护、备份与恢复安全配备规定，对Linux操作系统主机旳安全配备审计作起到指引性作用。

1.4 保障条件
1)需要有关技术人员（系统管理员）旳积极配合
2)需要测评主机旳管理员帐户和口令
3)提前备份系统及配备文献。

2.1版第0次修订金融行业人员安全管理等级保护测评实施指导书（三级）序号控制点测评项操作步骤判断标准人员录用a)应指定或授权专门的部门或人员负责人员录用询问是否有专门的部门或人员负责人员的录用符合：事业单位，机关单位人员录用工作通常是市人事局负责。

符合：企业由人事部，办公室等部分负责人员录用工作。

不符合：无专门的部门负责人员录用b)应严格规范人员录用过程，对被录用人的身份、背景、专业资格和资质等进行审查，对其所具有的技术技能进行考核应检查是否具有人员录用时对录用人身份，专业资格等进行审查的相关文档或记录，查看是否记录审查内容和审查结果等。

符合：事业单位，机构单位人员录用通过相关考试，可以视为合格符合：企业人员录用时有面试，专业考核等流程不符合：无考核c)应签署保密协议应检查保密协议，查看是否有保密范围，保密责任，违约责任，协议的有效期限和责任人签字等符合：有保密协议部分符合：劳务合同中的保密条款不符合：无保密协议，无保密条款d)应从内部人员中选拔从应访谈人事负责人，询问对从事关键岗位的人员是否从内部人员中选拔，符合：签署岗位安全协议2.1版第0次修订2.1版第0次修订钥匙、徽章等以及机构提供的软硬件设备徽章等以及机构提供的软硬件设备等登记记录查看人员调离记录，有人员离岗记录不符合：未回收各类设备资产c)应办理严格的调离手续，关键岗位人员离岗须承诺调离后的保密义务后方可离开，并保证离岗人员负责的信息技术系统的口令必须立即更换。

应访谈人事管理相关人员，询问调离手续包括哪些，是否要求关键岗位人员调离时须承诺相关保密义务后方可离开；应检查保密承诺文档，查看是否有调离人员的签字符合：保密协议，劳务合同中有相关要求不符合：无相关要求3人员考核a)应定期对各个岗位的人员进行安全技能及安全认知的考核a)应访谈安全主管，询问是否有人负责定期对各个岗位人员进行安全技能及安全知识的考核符合：有定期安全技能及安全知识的考核；有相关考核记录部分符合：有定期安全技能和知识的考核，无考核记录不符合：无考核b)应对关键岗位的人员进行全面、严格的安全审查和技能考核应访谈安全主管，询问是否有人负责定期对关键岗位人员进行全面、严格的安全审核及技能的考核符合：有定期安全技能及知识的考核，有考核记录部分符合：有定期安全技能和知识的考核，无考核记录不符合：无考核2.1版第0次修订c)应对考核结果进行记录并保存应检查考核结果及记录符合：有定期安全技能及知识的考核，有考核记录部分符合：有定期安全技能和知识的考核，无考核记录不符合：无考核4安全意识教育和培训a)应对定期安全教育和培训进行书面规定，并对不同岗位制定不同的培训计划。

三级安全指导
第一级安全：物理安全
1. 保护服务器和网络设备：确保服务器和网络设备存放在安全
且容易监控的地方，如锁定的机房或专用机柜。

2. 控制物理访问权限：只有经过授权的人员才能进入服务器和
网络设备所在的区域。

3. 使用视频监控系统：在服务器和网络设备的存放区域安装视
频监控系统，以便监视和记录物理访问情况。

4. 设立门禁系统：为服务器和网络设备存放区域设置门禁系统，仅授权人员才能进入。

第二级安全：网络安全
1. 使用防火墙：在网络边界上设置防火墙，过滤和监控进出网
络的数据流量。

2. 定期进行漏洞扫描：使用漏洞扫描工具来发现服务器和网络
设备上的安全漏洞，并及时修复。

3. 使用安全的身份验证机制：为服务器和网络设备设置强密码，禁用默认密码，并使用多重身份验证方式。

4. 加密敏感数据：对服务器和网络设备上的敏感数据进行加密，确保即使被窃取，数据也无法被解读。

第三级安全：应用安全
1. 及时更新软件补丁：及时应用供应商发布的软件补丁，以修
复已知的安全漏洞。

2. 限制应用程序权限：为每个应用程序分配最小必需的权限，
避免恶意应用程序的滥用。

3. 定期备份数据：定期备份服务器和网络设备上的数据，并将
备份数据存放在安全的地方。

4. 培训和教育：为员工提供安全培训和教育，使其能够识别和
应对各类安全威胁。

以上是三级安全指导的主要内容，通过采取这些安全措施，可
以提高服务器和网络设备的安全性，并保护敏感数据不被窃取或篡改。

2.1版第0次修订金融行业管理制度安全等级保护测评实施指导书（三级）序号控制点测评项操作步骤判断标准1122管理制度a)应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等，并编制形成信息安全方针制度文件。

a)应检查总体方针、政策性文件和安全策略文件，查看文件是否明确机构安全工作的总体目标、范围、方针、原则、责任等符合：有信息安全工作的整体策略性文件，包括安全工作的总体目标、范围、原则和安全框架。

b)应对安全管理活动中的各类管理内容建立安全管理制度应检查安全管理制度清单，查看是否覆盖文件控制、安全检查、人力资源及培训、设备管理、软件开发/外包开发项目管理，机房安全管理，信息分类及管理、网络安全管理、系统安全管理、恶意代码管理、变更控制、备份及介质管理、事件管理、应急预案等符合：从制度名称或制度章节标题看已覆盖文件控制，安全检查，人力资源及培训，设备管理，软件开发/外包开发项目管理，机房安全管理，信息分类及管理，网络安全管理，系统安全管理，恶意代码管理，变更控制，备份及介质管理、事件管理、应急预案等方面c)应对要求管理人员或操作人员执行的日常管理操作建立操作规程应检查是否具有日常管理操作的操作规程（如系统维护手册和用户操作规程等）符合：至少有开关机操作手册，系统运维手册d)应形成由安全策略、管a)应访谈安全主管，询问是否制定信息安全工作的总体方针和安全策略，符合：安全策略，管理制度，操作规程2.1版第0次修订理制度、操作规程等构成的全面的信息安全管理制度体系制定安全管理制度，具有操作规程，形成信息安全管理制度体系之间存在连贯性制定和发布a)由金融机构总部科技部门负责制定适用全机构范围的你去管理制度，各分支机构的科技部门负责制定适用辖内的安全管理制度。

应访谈安全主管，询问是否有专门的部门或人员负责制定安全管理制度；负责人是何人符合：有制定部门或人员牵头负责b)安全管理制度应具有统一的格式，并进行版本控制1、应检查制度文件是否具有统一的格式，是否标识了版本编号2、应检查文件控制程序或者专门管理制度发文的管理制度，查看文档是否明确安全管理制度的制定，格式要求及版本编号等相关内容符合：若制度文件使用内部发文的格式编制判为符合。

2.1版第0次修订金融行业安全管理机构等级保护测评实施指导书（三级）2.1版第0次修订计划，对信息科技整个生命周期和重大事件等进行审计；d)应设立信息安全管理工作的职能部门，设立安全主管、安全管理各个方面的负责人岗位，并定义各负责人的职责；应访谈安全主管，询问是否设立专职的安全管理机构（即信息安全管理工作的职能部门）；机构内部门设置情况如何，是否明确各部门的职责分工；询问是否设立安全管理各个方面的负责人，并定义了各负责人的职责符合：已明确信息安全管理工作的只能部门，已设立安全主管，统一协调管理工作，已设立系统主管、网络主管、安全主管等。

有些单位规模小，没有设立各方面的负责人，但在日常工作中明确了系统，网络，安全等方面的工作职责，也判定为符合。

不符合：未设立信息安全管理工作的职能部门，并且未明确各个方面的工作职责。

e)应设立系统管理员、网络管理员、安全管理员等岗位，并定义各个工作岗位的职责应访谈安全主管，询问单位设置了哪些工作岗位（如安全主管，安全管理各个方面的负责人，机房管理员，系统管理员，网络管理员和安全员等重要岗位），是否明确各个岗位的职责分工符合：已设置系统管理员，网络管理员，安全管理员等岗位，并明确了各岗位的职责。

如果没有按照系统管理员，网络管理员，安全管理员划分，比如按专员，科员，但在日常工作中明确了系统管理，网络维护，安全审查等方面的工作职责2.1版第0次修订2.1版第0次修订2.1版第0次修订2.1版第0次修订2.1版第0次修订等信息不符合：未建立联系列表e)应聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等应聘请信息安全专家作为常年的安全顾问，指导信息安全建设，参与安全规划和安全评审等符合：已聘请信息安全专家（组织内，外部的专家都算）不符合：没有聘请信息安全专家5审核和检查a）应制定安全审核和按检查制度规范安全审核和安全检查工作，按要求定期开展安全审核和安全检查活动应检查是否有安全检查制度，查看文档是否规定检查内容，检查程序和检查周期等，检查内容，检查程序和检查周期等，检查内容是否包括现有安全技术措施的有效性，安全配置与安全策略的一致性，安全管理制度的执行情况等，是否包括用户账号情况，系统漏洞情况，系统审计情况等。