下载文档原格式
操作系统安全测评指导书LINUX1 概述1.1 适用范围本测评指导书适用于信息系统等级为三级的主机Linux 操作系统测评。
1.2 说明本测评指导书基于《信息系统安全等级保护根本要求》的根底上进展设计。
本测评指导书是主机安全对于Linux 操作系统身份鉴别、访问把握、安全审计、剩余信息保护、备份与恢复安全配置要求，对Linux 操作系统主机的安全配置审计作起到指导性作用。
1.4 保障条件1)需要相关技术人员〔系统治理员〕的乐观协作2)需要测评主机的治理员帐户和口令3)提前备份系统及配置文件第2 页/共10 页序号测评指标测评项操作步骤预期记录实际状况记录1 身份鉴别(S3) a)应为操作系统的不同用户安排不同的用户名，确保用户名具有唯一性。
b)应对登录操作系统的用户进展身份标识和鉴别。
查看用户名与UIDcat /etc/passwd、cat /etc/shadow查看登录是否需要密码cat /etc/passwd、cat /etc/shadow分别查看用户名〔第1 列〕与UID〔第3 列〕是否有重复项全部用户具有身份标识和鉴别，用户密码栏项〔第2 项〕带有X，表示登陆都需要密码验证。
假设留空则表示空密码。
序号测评指标测评项操作步骤预期记录实际状况记录c)操作系统治理用户身份标识应具有不易被冒用的特点，系统的静态口令应在8 位以上并由字母、数字和符号等混合组成并每三个月更换口令。
①查看登录配置文件cat /etc/login.defs②查看密码策略配置文件(CentOS、Fedora、RHEL 系统)cat /etc/pam.d/system-auth(Debian、Ubuntu 或Linux Mint 系统)cat /etc/pam.d/common-password①登录相关配置内容：PASS_MAX_DAYS=90#登陆密码有效期90 天PASS_MIN_DAYS=2#登陆密码最短修改时间，增加可以防止非法用户短期更改屡次PASS_MIN_LEN=7#登陆密码最小长度7 位PASS_WARN_AGE=10#登陆密码过期提前10 天提示修改②密码策略相关配置password requisite pam_cracklib.soretry=3 minlen=7 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1#“minlen=7”表示最小密码长度为7# “difok=3”启用3 种类型符号#“ucredit=-1”至少1 个大写字符# “lcredit=-1”至少1 个小写字符#“dcredit=-1”至少1 个数字字符#“ucredit=-1”至少1 个标点字符序号测评指标测评项d)应启用登录失败处理功能，可实行完毕会话、限制登录间隔、限制非法登录次数和自动退出等措施。
信息安全风险评估表
精心整理
表1：基本信息调查
1.硬件资产情况
1.1.网络设备情况
网络设备名称、型号、物理位置、所属网络区域、IP地
址/掩码/网关、系统软件及版本、端口类型及数量、主要用途、是否热备、重要程度。
1.2.安全设备情况
安全设备名称、型号、软件/硬件位置、所属网络区域、
IP地址/掩码/网关、操作系统版本/补丁、安装应用系统软件名称、主要业务应用、涉及数据、是否热备。
1.3.服务器设备情况
服务器设备型号、物理位置。
1.4.终端设备情况
终端设备名称、型号、物理位置、所属网络、设备数量、IP地址/掩码/网关、操作系统版本。
2.软件资产情况
2.1.系统软件情况
系统软件名称、版本、开发商、软件厂商、硬件/软件平台、C/S或B/S模式、B/S硬件平台、涉及数据、涉及应用系统、现有用户数量、主要用户角色。
2.2.应用软件情况
应用系统软件名称、涉及数据。
3.文档资产情况
3.1.信息系统安全文档列表
信息系统文档类别、文档名称。
4.信息系统情况
4.1、系统网络拓扑图
网络结构图要求：标识网络设备、服务器设备和主要终端设备及其名称；标识服务器设备的IP地址；标识网络区域划分等情况。
设备安全风险评估表格以下是一个示例设备安全风险评估表格:
设备名称:_________________________
评估日期:_________________________
风险级别: 高 / 中 / 低
风险类型:
1.物理安全风险:
- 设备易受到盗窃或失窃的风险
- 设备易受到物理破坏的风险
- 设备易受到自然灾害的影响
- 设备易受到电源故障的影响
- 设备易受到灰尘、湿气或温度变化的影响 - 设备易受到未授权访问的风险
2.网络安全风险:
- 设备易受到网络攻击的风险
- 设备易受到恶意软件的感染
- 设备易受到密码攻击的风险
- 设备易受到未授权访问的风险
- 设备易受到数据泄露的风险
3.操作安全风险:
- 设备易受到误操作的风险
- 设备易受到人为疏忽或错误设置的影响
- 设备易受到未经授权的操作的风险
- 设备易受到缺乏合适的培训或教育的影响 - 设备易受到未更新的软件或操作系统的风险 - 设备易受到未安装或过期的安全补丁的风险评估者签名:_________________________
备注:_________________________。
信息安全风险评估-安全漏洞评估-操作系统安全漏洞表格这份文档旨在详细记录操作系统中存在的安全漏洞，并对每个漏洞进行评估。
以下是操作系统安全漏洞表格的示例，帮助您更好地了解和管理系统的安全风险。
请根据您所使用的操作系统和已知的漏洞，将以上表格补充完整。
您可以根据实际情况添加或删除列，并填写相应的信息。
以下是对表格中各列所包含信息的解释：- 漏洞编号：每个漏洞都有一个唯一的标识符，通常使用CVE 编号。
漏洞编号：每个漏洞都有一个唯一的标识符，通常使用CVE编号。
- 漏洞描述：对该漏洞的详细描述，包括其可能导致的潜在风险和影响。
漏洞描述：对该漏洞的详细描述，包括其可能导致的潜在风险和影响。
- 漏洞类型：该漏洞属于哪个类型的安全漏洞，如身份验证漏洞、权限提升漏洞等。
漏洞类型：该漏洞属于哪个类型的安全漏洞，如身份验证漏洞、权限提升漏洞等。
- 影响程度：评估该漏洞对系统的影响程度，通常使用高、中、低等级别进行评定。
影响程度：评估该漏洞对系统的影响程度，通常使用高、中、低等级别进行评定。
- 风险级别：根据漏洞的影响程度和系统重要性，评定该漏洞的风险级别，通常使用高、中、低等级别进行评定。
风险级别：根据漏洞的影响程度和系统重要性，评定该漏洞的风险级别，通常使用高、中、低等级别进行评定。
- 建议措施：针对该漏洞的修复或缓解措施建议，包括补丁安装、修改配置等。
建议措施：针对该漏洞的修复或缓解措施建议，包括补丁安装、修改配置等。
通过进行操作系统安全漏洞评估，并填写这个表格，您可以更好地了解系统的安全状况，并制定相应的安全策略和措施来减少潜在的安全风险。
请根据您的具体需求和环境，使用以上表格进行操作系统安全漏洞评估，并及时更新和维护这个表格，以确保系统的安全性。
机器安全风险评估表
1. 硬件风险：
- 错误配置或组装导致硬件故障
- 硬件设备的老化或损坏导致无法正常工作
- 设备的缺陷或有漏洞存在，可能导致安全威胁或数据泄露
2. 软件风险：
- 操作系统或应用程序的漏洞可能被攻击者利用
- 未经授权的软件安装可能引入恶意软件或病毒
- 操作系统或应用程序的配置错误可能增加安全威胁
3. 网络风险：
- 未加密的网络通信可能被窃听或篡改
- 未经授权的访问可能导致数据泄露或系统被攻击
- 信号干扰或中断可能影响网络连接和通信
4. 数据风险：
- 数据损坏或丢失可能导致数据无法恢复或无法使用
- 数据泄露或未经授权的访问可能导致隐私泄露或法律责任 - 数据备份或存储不足可能导致数据丢失或不可恢复
5. 人为风险：
- 人员不当操作或错误可能导致设备损坏或数据丢失
- 未经授权的访问或内部泄露可能导致机密信息泄露或系统被攻击
- 员工培训不足或安全意识不强可能导致安全漏洞
6. 物理风险：
- 设备被盗或丢失可能导致数据泄露或系统被攻击
- 自然灾害或电力故障可能导致设备损坏或数据丢失
- 火灾或水灾等意外事件可能导致设备损坏或无法使用
以上是一些常见的机器安全风险评估表，可根据具体情况进行适当调整和补充。
同时，在评估风险时应考虑各种因素，并采取相应的防护措施来降低风险。
查看系统的版本信息、主机名及配置信息检查网卡数目与状态检查系统端口开放情况及路由查看系统已经安装了哪些程序包以root权限，执行：以root 权限，执行：查看网卡数目、网络配置、是否开启混杂监听模式。
以root 权限，执行：以root 权限，执行：了解系统备份情况、备份机制审核补丁安装情况检查passwd 、shadow 及group 文件检查有无对于login 进行口令认证检查是否问询相关的管理员。
重点了解备份介质，方式，人员，是否有应急恢复制度等状况。
# patchadd -p 检查系统的补丁情况# showrev -p 查看所有已经安装的patch或者# ls /var/sadm/patch 或者ls /var/adm/patchcat /etc/passwdcat /etc/shadowcat /etc/group保存后检查文件执行：执行：设置了口令最短长度要求检查是否设置了口令过期策略无用帐号审核为新增用户配置安全模板执行：查看/etc/passwd 中是否存在uucp,news 等帐号以及确认拥有shell 权限的帐号是否合理确认/usr/sadm/defadduser 有以下类似配置内容：检查是否设置登录超时检查root 的搜索路径检查/tmp 目录的属性检查查看/etc/default/login 文件，确认其中存在合理的设置，下面的举例为30 秒执行：检查root 的$PATH环境变量中是否浮现当前目录“. ”。
执行：查看执行结果是否如下：drwxrwxrwt 7 sys sys 496 6 月8 15:41 /tmp/确认有“t”的粘合位/var/adm/utmp、/var/adm/utmpx、/etc/group、/var/adm /utmp 、/var/adm /utmpx 、/etc/gro up 、/var/adm /wtmp 文件的权限检查是否有属主非有效用户的文件/ 目录检查是否有属组非有效组的文件/目录检查/var/adm 目/var/adm/wtmp 文件的权限应该是 644执行：(检查风险：根目录下目录及文件数量非常大，执行时间会很长，建议采用系统利用率比较底的时间执行)执行：(检查风险：根目录下目录及文件数量非常大，执行时间会很长，建议采用系统利用率比较底的时间执行)执行：(检查风险：/var/adm 目录下目录及文件数量非常大，执录下是否存在所有人可写文件检查/var/cron 目录的属性检查是否存在所有人可写的目录检查属性为777 的文件/目录检查属性为666 的文件/目录检查移动介质上的文件系统行时间会很长，建议采用系统利用率比较底的时间执行) 检查/var/cron 目录权限是否为：root:sys 755执行：(检查风险：根目录下目录及文件数量非常大，执行时间会很长，建议采用系统利用率比较底的时间执行)执行：find / -type f -perm 777 | xargs ls -las(检查风险：根目录下目录及文件数量非常大，执行时间会很长，建议采用系统利用率比较底的时间执行)执行：find / -type f -perm 666 | xargs ls -las(检查风险：根目录下目录及文件数量非常大，执行时间会很长，建议采用系统利用率比较底的时间执行)执行：，查看是否做了如下设置执行：(检查风险：如果/etc 目录下目录及文件数量非常大，执 行时间会很长，建议采用系统利用率比较底的时间执行) 执行： (检查风险：如果/etc 目录下目录及文件数量非常大，执 行时间会很长，建议采用系统利用率比较底的时间执行) 查看/etc/default/login 文件中是否有如下配置： 查看 root 的掩码设置，确认/etc/profile 文件中将 umask 设 为 077 或者 027 执行：安全配置检查/etc 目 录 下 所 有 文 件 的 组 可写权限检查/etc 目 录 下 所 有 文 件 的 其 他 用 户 可 写权限检 查 初 始 文 件 权 限 掩码配置检 查 Root 的 文 件 权 限 掩 码 设置查 看 磁 盘 分区情况检查/etc/inetd.c onf 中的各项服务配置检查telnet & SSH 服务状况审核root 用户远程telnet\ftp 登录检查是否限制telnet 或者ssh 等的登录IP 执行：more /etc/inetd.conf查看是否禁止了部份不必要的、危（wei）险的服务。
系统安全性评估表1. 引言系统安全性评估是评估一个系统在安全方面的强弱和风险的过程。
本文档将对系统进行全面的安全性评估，以便确保系统的隐私和数据的保密性。
评估过程将包括系统的架构、身份验证、访问控制、数据加密和漏洞扫描等方面的考虑。
2. 系统架构评估2.1 网络拓扑系统的网络拓扑结构是确保安全性的关键。
需要评估网络的边界设置、内部网络的隔离、网络设备的安全配置等方面。
2.2 系统组件对系统的各个组件进行评估，包括服务器、数据库和客户端等。
需要确保每个组件都有足够的安全保护措施。
3. 身份验证评估身份验证是系统安全的一项基础措施。
评估系统的身份验证机制，包括密码策略、双因素认证和访问控制等。
需要确保身份验证过程安全可靠。
4. 访问控制评估评估系统的访问控制策略，包括用户权限的分配、角色管理和访问审计等。
需要确保只有授权用户能够访问系统的相关资源。
5. 数据加密评估对系统的数据加密方案进行评估。
包括传输过程中的数据加密、存储数据的加密、以及密钥管理等方面。
需要确保系统中的敏感数据得到足够的保护。
6. 漏洞扫描评估对系统进行漏洞扫描，评估系统是否存在已知的安全漏洞，以及采取了哪些补救措施。
需要及时修复潜在的漏洞，以避免被黑客利用。
7. 结论通过对系统的安全性评估，我们可以得到系统存在的潜在风险和安全性弱点。
针对这些问题，我们需要采取相应的安全措施和控制策略，以确保系统的安全性和可靠性。
同时，建议定期进行安全性评估，以保持系统的稳定和安全。
8. 参考文献在编写本文档的过程中参考了以下文献：。
...................................................................1.1 目的 (1)1.2 合用范围 (1)1.3 合用版本 (1).....................................................2.1 账号 (2)2.1.1 用户口令设置 (2)2.1.2 root 用户远程登录限制 (2)2.1.3 检查是否存在除root 之外UID 为0 的用户 (3)2.1.4 root 用户环境变量的安全性 (3)2.2 认证 (4)2.2.1 远程连接的安全性配置 (4)2.2.2 用户的umask 安全配置 (4)2.2.3 重要目录和文件的权限设置 (4)2.2.4 查找未授权的SUID/SGID 文件 (5)2.2.5 检查任何人都有写权限的目录 (6)2.2.6 查找任何人都有写权限的文件 (6)2.2.7 检查没有属主的文件 (7)2.2.8 检查异常隐含文件 (7)...............................................................3.1 日志 (9)3.1.1 syslog 登录事件记录 (9)3.2 审计 (9)3.2.1 Syslog.conf 的配置审核 (9)...............................................................4.1 系统状态 (11)4.1.1 系统core dump 状态 (11)本文档规定了LINUX 操作系统的主机应当遵循的操作系统安全性设置标准，本文档旨在指导系统管理人员或者安全检查人员进行LINUX 操作系统的安全合规性检查和配置。
本配置标准的使用者包括：服务器系统管理员、应用管理员、网络安全管理员。
LINUX 系列服务器；操作系统Linux 用户口令安全基线要求项SBL-Linux-02-01-01帐号与口令-用户口令设置1 、问询管理员是否存在如下类似的简单用户密码配置，比如：root/root, test/test, root/root12342、执行：more /etc/login，检查PASS_MAX_DAYS/PASS_MIN_LEN/PASS_MIN_DAYS/PASS_RN_AGE 参数3、执行：awk -F: '($2 == "") { print $1 }' /etc/shadow, 检查是否存在空口令账号建议在/etc/login 文件中配置：PASS_MIN_LEN=6不允许存在简单密码，密码设置符合策略，如长度至少为6不存在空口令账号操作系统Linux 远程登录安全基线要求项SBL-Linux-02-01-02帐号与口令-root 用户远程登录限制执行：more /etc/securetty，检查Console 参数建议在/etc/securetty 文件中配置：CONSOLE = /dev/tty01操作系统Linux 超级用户策略安全基线要求项SBL-Linux-02-01-03帐号与口令-检查是否存在除root 之外UID 为0 的用户执行：awk -F: '($3 == 0) { print $1 }' /etc/passwd返回值包括“root”以外的条目，则低于安全要求；补充操作说明UID 为0 的任何用户都拥有系统的最高特权，保证惟独root 用户的UID 为0操作系统Linux 超级用户环境变量安全基线要求项SBL-Linux-02-01-04帐号与口令-root 用户环境变量的安全性执行：echo $PATH | egrep '(^|:)(\.|:|$)，' 检查是否包含父目录，执行：find `echo $PATH | tr ':' ' '` -type d \( -perm -002 -o -perm -020 \) -l 检查是否包含组目录权限为777 的目录返回值包含以上条件，则低于安全要求；补充操作说明确保root 用户的系统路径中不包含父目录，在非必要的情况下，不应包含组权限为777 的目录操作系统Linux 远程连接安全基线要求项SBL-Linux-02-02-01帐号与口令-远程连接的安全性配置执行：find / -name .netrc，检查系统中是否有.netrc 文件，执行：find / -name .rhosts ，检查系统中是否有.rhosts 文件返回值包含以上条件，则低于安全要求；补充操作说明如无必要，删除这两个文件操作系统Linux 用户umask 安全基线要求项SBL-Linux-02-02-02帐号与口令-用户的umask 安全配置执行：more /etc/profile more /etc/csh.login more /etc/csh.cshrc more /etc/bashrc 检查是否包含umask 值umask 值是默认的，则低于安全要求补充操作说明建议设置用户的默认umask=077操作系统Linux 目录文件权限安全基线要求项SBL-Linux-02-02-03文件系统-重要目录和文件的权限设置执行以下命令检查目录和文件的权限设置情况：ls –l /etc/ls –l /etc/rc.d/init.d/ls –l /tmpls –l /etc/inetd.confls –l /etc/passwdls –l /etc/shadowls –l /etc/groupls –l /etc/securityls –l /etc/servicesls -l /etc/rc*.d若权限过低，则低于安全要求；补充操作说明对于重要目录，建议执行如下类似操作：# chmod -R 750 /etc/rc.d/init.d/*这样惟独root 可以读、写和执行这个目录下的脚本。
操作系统Linux SUID/SGID 文件安全基线要求项SBL-Linux-02-02-04文件系统-查找未授权的SUID/SGID 文件用下面的命令查找系统中所有的SUID 和SGID 程序，执行：for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; do find $PART \( -perm -04000 -o -perm -02000 \) -type f -xdev -print Done若存在未授权的文件，则低于安全要求；补充操作说明建议时常性的对照suid/sgid 文件列表，以便能够及时发现可疑的后门程序操作系统Linux 目录写权限安全基线要求项SBL-Linux-02-02-05文件系统-检查任何人都有写权限的目录在系统中定位任何人都有写权限的目录用下面的命令：for PART in `awk '($3 == "ext2" || $3 == "ext3") \{ print $2 }' /etc/fstab`; dofind $PART -xdev -type d \( -perm -0002 -a ! -perm - 1000 \) -printDone若返回值非空，则低于安全要求；操作系统Linux 文件写权限安全基线要求项SBL-Linux-02-02-06文件系统-查找任何人都有写权限的文件在系统中定位任何人都有写权限的文件用下面的命令：for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; dofind $PART -xdev -type f \( -perm -0002 -a ! -perm - 1000 \) -printDone若返回值非空，则低于安全要求；操作系统Linux 文件所有权安全基线要求项SBL-Linux-02-02-07文件系统-检查没有属主的文件定位系统中没有属主的文件用下面的命令：for PART in `grep -v ^# /etc/fstab | awk '($6 != "0") {print $2 }'`; dofind $PART -nouser -o -nogroup -printdone注意：不用管“/dev”目录下的那些文件。
若返回值非空，则低于安全要求；补充操作说明发现没有属主的文件往往就意味着有黑客入侵你的系统了。
不能允许没有主人的文件存在。
如果在系统中发现了没有主人的文件或者目录，先查看它的完整性，如果一切正常，给它一个主人。
有时候卸载程序可能会浮现一些没有主人的文件或者目录，在这种情况下可以把这些文件和目录删除掉。
操作系统Linux 隐含文件安全基线要求项SBL-Linux-02-02-08文件系统-检查异常隐含文件用“find”程序可以查找到这些隐含文件。
例如：# find / -name ".. *" -print –xdev# find / -name "…*" -print -xdev | cat -v同时也要注意象“.xx”和“.mail”这样的文件名的。
(这些文件名看起来都很象正常的文件名)若返回值非空，则低于安全要求；补充操作说明在系统的每一个地方都要查看一下有没有异常隐含文件(点号是起始字符的，用“ls”命令看不到的文件)，因为这些文件可能是隐藏的黑客工具或者其它一些信息(口令破解程序、其它系统的口令文件，等等)。
在UNIX 下，一个常用的技术就是用一些特殊的名，如：“… ”、“.. ”(点点空格) 或者“..^G”(点点control-G)，来隐含文件或者目录。
操作系统Linux 登录审计安全基线要求项SBL-Linux-03-01-01日志审计-syslog 登录事件记录执行命令：more /etc/syslog.conf查看参数authpriv 值若未对所有登录事件都记录，则低于安全要求；操作系统Linux 配置审计安全基线要求项SBL-Linux-03-02-01日志审计-Syslog.conf 的配置审核执行：more /etc/syslog.conf，查看是否设置了下列项：kern.warning;*.err;authpriv.none\t@loghost*.info;mail.none;authpriv.none;cron.none\t@loghost *.emerg\t@loghostlocal7.*\t@loghost若未设置，则低于安全要求；补充操作说明建议配置专门的日志服务器，加强日志信息的异地同步备份操作系统Linux core dump 状态安全基线要求项SBL-Linux-04-01-01系统文件-系统core dump 状态执行：more /etc/security/limits.conf 检查是否包含下列项：* soft core 0* hard core 0若不存在，则低于安全要求补充操作说明core dump 中可能包括系统信息，易被入侵者利用，建议关闭。
