等级保护三级操作系统安全测评指导书

操作系统安全测评指导书LINUX1 概述1.1 适用范围本测评指导书适用于信息系统等级为三级的主机Linux 操作系统测评。

1.2 说明本测评指导书基于《信息系统安全等级保护根本要求》的根底上进展设计。

本测评指导书是主机安全对于Linux 操作系统身份鉴别、访问把握、安全审计、剩余信息保护、备份与恢复安全配置要求，对Linux 操作系统主机的安全配置审计作起到指导性作用。

1.4 保障条件1)需要相关技术人员〔系统治理员〕的乐观协作2)需要测评主机的治理员帐户和口令3)提前备份系统及配置文件第2 页/共10 页序号测评指标测评项操作步骤预期记录实际状况记录1 身份鉴别(S3) a)应为操作系统的不同用户安排不同的用户名，确保用户名具有唯一性。

b)应对登录操作系统的用户进展身份标识和鉴别。

查看用户名与UIDcat /etc/passwd、cat /etc/shadow查看登录是否需要密码cat /etc/passwd、cat /etc/shadow分别查看用户名〔第1 列〕与UID〔第3 列〕是否有重复项全部用户具有身份标识和鉴别，用户密码栏项〔第2 项〕带有X，表示登陆都需要密码验证。

假设留空则表示空密码。

序号测评指标测评项操作步骤预期记录实际状况记录c)操作系统治理用户身份标识应具有不易被冒用的特点，系统的静态口令应在8 位以上并由字母、数字和符号等混合组成并每三个月更换口令。

①查看登录配置文件cat /etc/login.defs②查看密码策略配置文件(CentOS、Fedora、RHEL 系统)cat /etc/pam.d/system-auth(Debian、Ubuntu 或Linux Mint 系统)cat /etc/pam.d/common-password①登录相关配置内容：PASS_MAX_DAYS=90#登陆密码有效期90 天PASS_MIN_DAYS=2#登陆密码最短修改时间，增加可以防止非法用户短期更改屡次PASS_MIN_LEN=7#登陆密码最小长度7 位PASS_WARN_AGE=10#登陆密码过期提前10 天提示修改②密码策略相关配置password requisite pam_cracklib.soretry=3 minlen=7 difok=3 ucredit=-1 lcredit=-1 dcredit=-1 ocredit=-1#“minlen=7”表示最小密码长度为7# “difok=3”启用3 种类型符号#“ucredit=-1”至少1 个大写字符# “lcredit=-1”至少1 个小写字符#“dcredit=-1”至少1 个数字字符#“ucredit=-1”至少1 个标点字符序号测评指标测评项d)应启用登录失败处理功能，可实行完毕会话、限制登录间隔、限制非法登录次数和自动退出等措施。

2.1版第0次修订金融行业Windows主机等级保护测评实施指导书（三级）序号控制点测评项操作步骤预期结果1身份鉴别a)应为操作系统和数据库的不同用户分配不同的用户名，确保用户名具有唯一性。

1、应测评主要服务器操作系统和主要数据库管理系统，添加一个新用户，其用户标识为系统原用户的标识（如用户名或UID），查看是否不会成功。

2、访谈是否存在多人使用同一账户的情况3、通过错误的用户名和口令试图登录系统，验证鉴别失败处理功能是否有效1、添加一个新用户，其用户标识为系统原用户的标识，不会成功。

2、无多人使用同一账户的情况b)应对登录操作系统和数据库系统的用户进行身份标识和鉴别。

可访谈系统管理员，询问操作系统的身份标识与鉴别机制采取何种措施实现，目前系统提供了哪些身份鉴别措施和鉴别失败处理措施.具有身份认证与标识、鉴别功能如账号与口令认证、数字证书认证等，可以实现登录用户的身份标识和鉴别。

1.系统中用户名应该唯一，且进行了密码设置2.登陆过程中系统账户使用了密码进行验证c)操作系统用户身份标识应具有不易被冒用的特点，系统的静态口令应在7位应检查主要服务器操作系统，查看是否提供了身份鉴别措施（如用户名和口令等），其身份鉴别信息是否具有不易被冒用的特点，例如，口令足够长，口令复杂（如规定字符应混有大、小写字母、数字和特殊字符），口令生命a)复杂性要求已启用；b)长度最小值至少为8位；2.1版第0次修订以上并由字母、数字、符号等混合组成并每三个月更换口令。

周期，新旧口令的替换要求（如规定替换的字符数量）或为了便于记忆使用了令牌。

1.运行secpol.msc命令2.打开“本地安全设置”对话框依次展开“帐户策略密码策略”3.查看是否具有设置启用密码复杂性要求、密码长度最小值、最长存留期、最短存留期等c)最长存留期不为0；d)最短存留期不为0；d)应启用登录失败处理功能，可采取结束会话、限制登录间隔、限制非法登录次数和自动退出等措施。

测评指导书（三级）目录第1章安全管理测评指导书 (4)1.1安全管理机构测评 (4)1.2安全管理制度测评 (9)1.3人员安全管理测评 (11)1.4系统建设管理测评 (14)1.5系统运维管理测评 (20)第2章物理安全测评指导书 (32)2.1物理安全测评 (32)第3章网络安全测评指导书 (44)3.1网络全局安全测评 (44)3.2路由器安全测评 (47)3.3交换机安全测评 (59)3.4防火墙安全测评 (67)3.5入侵检测/防御系统安全测评 (71)第4章操作系统安全测评指导书 (75)4.1WINDOWS操作系统安全测评 (75)4.2L INUX操作系统安全测评 (82)4.3S OLARIS操作系统安全测评 (92)4.4AIX操作系统安全测评 (101)第5章应用系统安全测评指导书 (109)5.1应用系统安全测评 (109)5.2IIS应用安全测评 (114)5.3A PACHE应用安全测评 (116)第6章数据库安全测评指导书 (120)6.1SQL S ERVER数据库安全测评 (120)第 2 页共135 页6.2O RACLE数据库安全测评 (124)6.3S YBASE数据库安全测评 (130)第 3 页共135 页第1章安全管理测评指导书1.1安全管理机构测评第 4 页共135 页第 5 页共135 页第 6 页共135 页第7 页共135 页第8 页共135 页1.2安全管理制度测评第9 页共135 页第10 页共135 页1.3人员安全管理测评第11 页共135 页第12 页共135 页第13 页共135 页1.4系统建设管理测评第14 页共135 页第15 页共135 页第16 页共135 页第17 页共135 页第18 页共135 页第19 页共135 页1.5系统运维管理测评第20 页共135 页第21 页共135 页第22 页共135 页第23 页共135 页第24 页共135 页第25 页共135 页第26 页共135 页第27 页共135 页第28 页共135 页第29 页共135 页第30 页共135 页第31 页共135 页第2章物理安全测评指导书2.1物理安全测评第32 页共135 页第33 页共135 页第34 页共135 页第35 页共135 页第36 页共135 页第37 页共135 页第38 页共135 页第39 页共135 页第40 页共135 页第41 页共135 页第42 页共135 页第43 页共135 页第3章网络安全测评指导书3.1网络全局安全测评第44 页共135 页第45 页共135 页第46 页共135 页3.2路由器安全测评思科路由器第47 页共135 页第48 页共135 页第49 页共135 页第50 页共135 页。

序号类别测评项a)应对登录操作系统和数据库系统的用户进展身份标识和鉴别；b)操作系统和数据库系统治理用户身份鉴别信息应具有不易被冒用的特点，口令应有简单度要求并定期更换；c)应启用登录失败处理功能，可采测评实施1〕查看登录是否需要密码1〕依次开放[开头]->〔[掌握面板] ->〕[治理工具]->[本地安全策略]->[账户策略]->[密码策略]，查看以下项的状况：a)简单性要求、b)长度最小值、c)最长存留期、d)最短存留期、e)强制密码历史。

1〕依次开放[开头]->〔[掌握面板] ->〕[治理工具]->[本地安全策略]->[账户预期结果1〕用户需要输入用户名和密码才能登录。

a)简单性要求已启用；b)长度最小值至少为 8 位；c)最长存留期不为 0；d)最短存留期不为 0；e)强制密码历史至少记住 3 个密码以上。

a)设置了“复位账户锁定计数器”说明是否必需输入密码才能登录。

全部的项只要不为默认的 0 或未启用就可以。

取完毕会话、限制非法登录次数和1 身份自动退出等措施；鉴别d) 当对效劳器进展远程治理时，应策略]->[账户锁定策略]；2〕查看以下项的状况：a)复位账户锁定计数器、b)账户锁定时间和 c)账户锁定阈值。

1〕访谈治理员在进展远程治理时如何时间；全部的项只要不为默认b)设置了“账户锁定时间”；的0或未启用就可以。

c)设置了“账户锁定阈值”。

1）假设是本地治理或KVM 等硬件治理方式，此要求默认满足；实行必要措施，防止鉴别信息在网络传输过程中被窃听；e) 为操作系统和数据库的不同用防止鉴别信息在网络传输过程中被窃听。

1 〕依次开放[ 开始]->([ 掌握面2）假设承受远程治理，则需承受带加密治理的远程治理方式，如启用了加密功能的 3389 远程治理桌面或修改远程登录端口。

关注远程治理方式及传输协议。

Windows Server 2022 默户安排不同的用户名，确保用户名具有唯一性；板 ]->)[ 管理工具 ]->[ 计算机管 1〕无多人共用同一个账号的情理]->[本地用户和组]->[用户]；查看况。

2.1版第0次修订金融行业管理制度安全等级保护测评实施指导书（三级）序号控制点测评项操作步骤判断标准1122管理制度a)应制定信息安全工作的总体方针和安全策略，说明机构安全工作的总体目标、范围、原则和安全框架等，并编制形成信息安全方针制度文件。

a)应检查总体方针、政策性文件和安全策略文件，查看文件是否明确机构安全工作的总体目标、范围、方针、原则、责任等符合：有信息安全工作的整体策略性文件，包括安全工作的总体目标、范围、原则和安全框架。

b)应对安全管理活动中的各类管理内容建立安全管理制度应检查安全管理制度清单，查看是否覆盖文件控制、安全检查、人力资源及培训、设备管理、软件开发/外包开发项目管理，机房安全管理，信息分类及管理、网络安全管理、系统安全管理、恶意代码管理、变更控制、备份及介质管理、事件管理、应急预案等符合：从制度名称或制度章节标题看已覆盖文件控制，安全检查，人力资源及培训，设备管理，软件开发/外包开发项目管理，机房安全管理，信息分类及管理，网络安全管理，系统安全管理，恶意代码管理，变更控制，备份及介质管理、事件管理、应急预案等方面c)应对要求管理人员或操作人员执行的日常管理操作建立操作规程应检查是否具有日常管理操作的操作规程（如系统维护手册和用户操作规程等）符合：至少有开关机操作手册，系统运维手册d)应形成由安全策略、管a)应访谈安全主管，询问是否制定信息安全工作的总体方针和安全策略，符合：安全策略，管理制度，操作规程2.1版第0次修订理制度、操作规程等构成的全面的信息安全管理制度体系制定安全管理制度，具有操作规程，形成信息安全管理制度体系之间存在连贯性制定和发布a)由金融机构总部科技部门负责制定适用全机构范围的你去管理制度，各分支机构的科技部门负责制定适用辖内的安全管理制度。

应访谈安全主管，询问是否有专门的部门或人员负责制定安全管理制度；负责人是何人符合：有制定部门或人员牵头负责b)安全管理制度应具有统一的格式，并进行版本控制1、应检查制度文件是否具有统一的格式，是否标识了版本编号2、应检查文件控制程序或者专门管理制度发文的管理制度，查看文档是否明确安全管理制度的制定，格式要求及版本编号等相关内容符合：若制度文件使用内部发文的格式编制判为符合。

控制编号：SGISL/OP-SA29-10
信息安全等级保护测评作业指导书Windows主机（三级）
版号：第2 版
修改次数：第0 次
生效日期：2010年01月06日中国电力科学研究院信息安全实验室
修改页
一、身份鉴别
1．用户身份标识和鉴别
2．账号口令强度
3．检查锁定策略
4．远程管理方式
5．用户名具有唯一性
6．身份鉴别
二、访问控制
1．控制用户对资源的访问
2．用户权限检查
3．用户的权限分离
4．账户权限配置
5．系统是否存在多余
6．资源敏感标记设置检查
7．有敏感标记的资源访问
三、安全审计1．审计容
2．审计日志分析
3．保护进程
4．系统日志存储
四、剩余信息保护1．鉴别信息保护
2．存储文件剩余信息保护
五、入侵防
1．操作系统补丁及程序安装原则
2．攻击事件的纪录情况
3．系统完整性及恢复
六、恶意代码防
1．检查系统防病毒软件部署
2．恶意代码统一管理
3．代码库检查
七、资源控制1．限制终端登录
2．终端超时注销
3．查看用户资源使用限度
4．性能监视情况检查
5．报警设置检查。