1.操作系统安全基线技术要求
1.1. AIX 系统安全基线
1.1.1.系统管理
通过配置操作系统运维管理安全策略，提高系统运维管理安全性，详见表1。
表 1 AIX 系统管理基线技术要求
序号基线技术要求基线标准点（参数）说明
限制超级管理员
限制 root用户远程使用 telnet登1权限的用户远程PermitRootLogin no
录（可选）
登录
2使用动态口令令
安装动态口令
牌登录
配置本机访问控
配置
3/etc/hosts.allow,安装 TCPWrapper ，提高对系统访问
制列表（可选）控制
/etc/hosts.deny
1.1.
2.用户账号与口令
通过配置操作系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表2。
表 2 AIX 系统用户账户与口令基线技术要求
序号基线技术要求基线标准点（参数）说明
daemon（禁用）
bin （禁用）
sys （禁用）
adm（禁用）
限制系统无用默认uucp （禁用）
清理多余用户账号，限制系统默认
4nuucp （禁用）
账号登录账号登录，同时，针对需要使用的
lpd （禁用）
用户，制订用户列表，并妥善保存
guest （禁用）
pconsole （禁用）
esaadmin （禁用）
sshd （禁用）
5控制用户登录超时
10 分钟控制用户登录会话，设置超时时间时间
6口令最小长度8 位口令安全策略（口令为超级用户静态口令）
7口令中最少非字母
1 个
口令安全策略（口令为超级用户静数字字符态口令）
8信息系统的口令的
90 天
口令安全策略（口令为超级用户静最大周期态口令）
9口令不重复的次数10 次口令安全策略（口令为超级用户静
态口令）
1.1.3.日志与审计
通过对操作系统的日志进行安全控制与管理，提高日志的安全性，详见表3。
表 3 AIX 系统日志与审计基线技术要求
序号基线技术要求基线标准点（参数）说明
10系统日志记录（可authlog 、sulog 、wtmp、记录必需的日志信息，以便进行审选）failedlogin计
11系统日志存储（可对接到统一日志服务使用日志服务器接收与存储主机日选 )器志，网管平台统一管理
12日志保存要求（可
6 个月等保三级要求日志必须保存 6 个月选）
13配置日志系统文件
400
修改配置文件 syslog.conf权限为保护属性（可选）管理员账号只读
修改日志文件保护
修改日志文件 authlog、 wtmp、
14400sulog 、failedlogin的权限管理员权限（可选）
账号只读
1.1.4.服务优化
通过优化操作系统资源，提高系统服务安全性，详见表4。
表 4 AIX 系统服务优化基线技术要求
序号基线技术要求基线标准点（参数）说明
网络测试服务，丢弃输入,为“拒15discard服务禁止绝服务”攻击提供机会,除非正在
测试网络，否则禁用
网络测试服务，显示时间,为“拒16daytime服务禁止绝服务”攻击提供机会,除非正在
测试网络，否则禁用
网络测试服务，回应随机字符串, 17chargen服务禁止为“拒绝服务”攻击提供机会,除
非正在测试网络，否则禁用
comsat 通知接收的电子邮件，以
18comsat服务禁止root用户身份运行，因此涉及安全
性 ,除非需要接收邮件，否则禁用
ntalk允许用户相互交谈，以root 19ntalk服务禁止用户身份运行，除非绝对需要，否
则禁用
20talk服务禁止在网上两个用户间建立分区屏幕，
不是必需服务，与 talk命令一起
使用，在端口 517 提供 UDP 服务 21
tftp
服务
禁止 以 root 用户身份运行并且可能危
及安全
22 ftp 服务（可选） 禁止 防范非法访问目录风险 23 telnet 服务 禁止 远程访问服务
24
uucp
服务
禁止
除非有使用 UUCP 的应用程序，否
则禁用
25
dtspc
服务（可选） 禁止
CDE 子过程控制不用图形管理则禁 用
26
klogin
服务（可
禁止 Kerberos 登 录 ， 如 果 站 点 使 用 选）
Kerberos 认证则启用
27
kshell
服务（可
禁止
Kerberos shell ， 如 果 站 点 使 用
选）
Kerberos 认证则启用
1.1.5.
访问控制
通过对操作系统安全权限参数进行调整， 提高系统访问安全性，
详见表 5。
表 5 AIX 系统访问控制基线技术要求
序号 基线技术要求 基线标准点（参数）
说明
28
修改 Umask 权限
022 或 027 要求修改默认文件权限
passwd
、 group
、
， /etc/group ，
security
设置 /etc/passwd
29
的所有者必须
等关键文件和目
是 root 和 security
/etc/security
组
成员
录的权限
30
audit
的所有者必须是
/etc/security/audit 的所 有者
root 和 audit 组成员 必须是 root
和 audit 组成员
关键文件权限控制
31
/etc/passwdrw-r--r--
/etc/passwd 目录权限为 644
所
有用户可读， root 用户可写
32
/etc/group rw-r--r--
/etc/group root
目录权限为 644 所有用户可读， root 用户可写
33 统一时间 接入统一 NTP 服务器 保障生产环境所有系统时间统一
1.2. Windows 系统安全基线
1.2.1. 用户账号与口令
通过配置操作系统用户账号与口令安全策略， 提高系统账号与
口令安全性，详见表6。
表 6Windows 系统用户账号与口令基线技术要求序号基线技术要求基线标准点（参数）说明
1口令必须符合复杂性
启用
口令安全策略（不涉及终端及动要求态口令）
2口令长度最小值8 位口令安全策略（不涉及终端）3口令最长使用期限90天口令安全策略（不涉及终端）4强制口令历史10次口令安全策略（不涉及终端）5复位账号锁定计数器10分钟账号锁定策略（不涉及终端）6账号锁定时间（可选）10分钟账号锁定策略（不涉及终端）7账号锁定阀值（可选）10次账号锁定策略（不涉及终端）8guest 账号禁止禁用 guest 账号
9administrator（可
重命名保护 administrator安全选）
10无需账号检查与管理禁用禁用无需使用账号
1.2.2.日志与审计
通过对操作系统日志进行安全控制与管理，提高日志的安全性与有效性，详见表7。
表 7Windows 系统日志与审计基线技术要求
序号基线技术要求基线标准点（参数）说明
11审核账号登录事件成功与失败日志审核策略
12审核账号管理成功与失败日志审核策略
13审核目录服务访问成功日志审核策略
14审核登录事件成功与失败日志审核策略
15审核策略更改成功与失败日志审核策略
16审核系统事件成功日志审核策略
17日志存储地址（可选）接入到统一日志服务器日志存储在统一日志服务器中
18日志保存要求（可选） 6 个月等保三级要求日志保存 6 个月
1.2.3.服务优化
通过优化系统资源，提高系统服务安全性，详见表8。
表 8Windows 系统服务优化基线技术要求
序号基线技术要求基线标准点（参数）说明
19Alerter 服务禁止禁止进程间发送信息服务
20Clipbook （可选）禁止禁止机器间共享剪裁板上信息服务
21Computer Browser服
禁止
禁止跟踪网络上一个域内的机器服务（可选）务
22Messenger 服务禁止禁止即时通讯服务
23Remote Registry
禁止禁止远程操作注册表服务Service 服务
24Routing and Remote
禁止禁止路由和远程访问服务Access 服务
25Print Spooler （可选）禁止禁止后台打印处理服务
26Automatic Updates服
禁止禁止自动更新服务务（可选）
27Terminal Service服禁止禁止终端服务
务（可选）
1.2.4.访问控制
通过对系统配置参数调整，提高系统安全性，详见表9。
表 9Windows 系统访问控制基线技术要求
序号基线技术要求基线标准点（参数）说明
28文件系统格式NTFS磁盘文件系统格式为 NTFS
29桌面屏保10 分钟桌面屏保策略
30防病毒软件安装赛门铁克生产环境安装赛门铁克防病毒最新版本软件
31防病毒代码库升级时间7 天
禁止配置文件共享，若工作需要32文件共享（可选）禁止必须配置共享，须设置账号与口
令
33系统自带防火墙（可选）禁止禁止自带防火墙
34默认共享 IPC$、ADMIN$、
禁止安全控制选项优化C$、 D$等
35不允许匿名枚取 SAM账
启用网络访问安全控制选项优化号与共享
36不显示上次的用户名启用交互式登录安全控制选项优化
37控制驱动器禁止禁止自动运行
38蓝屏后自动启动机器禁止禁止蓝屏后自动启动机器
（可选）
39统一时间接入统一
器
NTP 服务
保障生产环境所有系统时间统一
1.2.5.补丁管理
通过进行定期更新，降低常见的漏洞被利用，详见表10。
表 10Windows 系统补丁管理基线技术要求
序号基线技术要求基线标准点（参数）说明
40安全服务包win2003 SP2
安装微软最新的安全服务包win2008 SP1
41安全补丁（可选）更新到最新根据实际需要更新安全补丁
1.3. Linux 系统安全基线
1.3.1.系统管理
通过配置系统安全管理工具，提高系统运维管理的安全性，详见表 11。
表 11Linux 系统管理基线技术要求
序号基线技术要求基线标准点（参数）说明
安装 SSH管理远OpenSSH为远程管理高安全性工
1安装 OpenSSH具，保护管理过程中传输数据的程工具 (可选)
安全
配置本机访问控配置 /etc/hosts.allow,安装 TCPWrapper，提高对系统访
2问控制
制列表（可选）/etc/hosts.deny
1.3.
2.用户账号与口令
通过配置Linux 系统用户账号与口令安全策略，提高系统账号与口令安全性，详见表12。
表 12Linux 系统用户账号与口令基线技术要求
序号基线技术要求基线标准点（参数）说明
禁止系统无用默
认账号登录
1)Operator
2)Halt 清理多余用户账号，限制系统默认账号登录，同时，针对需要使
33)Sync禁止
4)News 用的用户，制订用户列表进行妥善保存
5)Uucp
6)Lp
7)nobody
8) Gopher
4 root 远程登录 禁止 禁止 root 远程登录
5
口令使用最长周 90 天
口令安全策略（超级用户口令） 期
6
口令过期提示修 28 天
口令安全策略（超级用户口令）
改时间
7 口令最小长度 8 位 口令安全策略 8
设置超时时间
10 分钟
口令安全策略
1.3.3.
日志与审计
通过对 Linux 系统的日志进行安全控制与管理，
提高日志的安
全性与有效性，详见表
13。
表 13Linux 系统日志与审计基线技术要求
序号 基线技术要求 基线标准点（参数）
说明
9
记录安全日志
记录网络设备启动、
usermod 、
authpriv 日志
change 等方面日志 10
日志存储（可选） 使用统一日志服务器接收并存储
接入到统一日志服务器
系统日志
11
日志保存时间
等保三级要求日志必须保存
6 个
6 个月
月
12
日志系统配置文 修改配置文件
syslog.conf
权限
件保护
400
为管理员用户只读
1.3.4.
服务优化
通过优化 Linux 系统资源， 提高系统服务安全性， 详见表 14。
表 14Linux 系统服务优化基线技术要求
序号 基线技术要求 基线标准点（参数）
说明
13 ftp 服务（可选） 禁止 文件上传服务 14 sendmail 服务 禁止 邮件服务
15
klogin
服务（可 禁止
Kerberos 登录，如果站点使用 选）
Kerberos 认证则启用
16
kshell 服务（可
禁止
Kerberos shell ，如果站点使用 选） Kerberos 认证则启用
17 ntalk 服务 禁止 new talk
18
tftp
服务
禁止 以 root 用户身份运行可能危及
安全
19 imap 服务（可选） 禁止 邮件服务 20 pop3 服务（可选） 禁止 邮件服务 21
telnet
服务(可
禁止
远程访问服务
选 )
22GUI 服务（可选）禁止图形管理服务
23xinetd 服务（可选）启动增强系统安全
1.3.5.访问控制
通过对Linux系统配置参数调整，提高系统安全性，详见表15。
表 15Linux系统访问控制基线技术要求
序号基线技术要求基线标准点（参数）说明
24Umask权限022 或 027修改默认文件权限
251)/etc/passwd目录权限/etc/passwd rw-r--r—
为 644所有用户可读， root用户可写
26关键文件权限2)/etc/shadow目录权限/etc/shadow r--------控制为 400只有 root 可读
273)/etc/group root 目录权/etc/group rw-r--r—
限为 644所有用户可读， root用户可写
28统一时间接入统一 NTP服务器保障生产环境所有系统时间统一
2.数据库安全基线技术要求
2.1. Oracle 数据库系统安全基线
2.1.1.用户账号与口令
通过配置数据库系统用户账号与口令安全策略，提高数据库系统账号与口令安全性，详见表16。
表 16Oracle 系统用户账号与口令基线技术要求
序号基线技术要求基线标准点（参数）说明
Oracle 无用账号
1TIGER禁用禁用无用账号
SCOTT等
默认管理账号管理
2SYSTEM更改口令账号安全策略（新系统）
DMSYS等
3数据库自动登录
禁止账号安全策略SYSDBA账号
4口令最小长度8 位口令安全策略（新系统）5口令有效期12 个月新系统执行此项要求
6禁止使用已设置过
10 次口令安全策略的口令次数
2.1.2.日志与审计
通过对数据库系统的日志进行安全控制与管理，提高日志的安全性与有效性，详见表17。
表 17Oracle系统日志与审计基线技术要求
序号基线技术要求基线标准点（参数）说明
7日志保存要求（可选） 3 个月日志必须保存 3 个月
8日志文件保护启用设置访问日志文件权限
2.1.
3.访问控制
通过对数据库系统配置参数调整，提高数据库系统安全性，详见表 18。
表 18Oracle系统访问控制基线技术要求
序号基线技术要求基线标准点（参数）说明
9监听程序加密（可选）设置口令设置监听器口令（新系统）
10修改服务监听默认端
非 TCP1521系统可执行此项要求口（可选）
3.中间件安全基线技术要求
3.1.Tong（TongEASY、 TongLINK 等）中间件安全基线
3.1.1.用户账号与口令
通过配置中间件用户账号与口令安全策略，提高系统账号与口令安全，详见表19。
表 19Tong 用户账号与口令基线技术要求
序号基线技术要求基线标准点（参数）说明
优化 Tong 服务账号
Tong 和应用共用同一用
1和应用共用同一用与操作系统应用用户保持一致
户
户（可选）
3.1.2.日志与审计
通过对中间件的日志进行安全控制与管理，保护日志的安全与有效性，详见表20。
表 20Tong 日志与审计基线技术要求
序号基线技术要求基线标准点（参数）说明
2事务包日志备份 1.5G Pktlog达到 1.5G 进行备份3交易日志备份 1.5G Txlog达到 1.5G 进行备份
4通信管理模块运行
1.5G Tonglink.log达到 1.5G 进行备份日志备份
5系统日志备份 1.5G syslog达到 1.5G 进行备份6名字服务日志备份 1.5G Nsfwdlog 达到 1.5G 进行备份7调试日志备份 1.5G Testlog 达到 1.5G 进行备份
8通信管理模块错误 1.5G Tonglink.err达到 1.5G 进行备份日志备份
9日志保存时间( 可
6 个月
等保三级要求日志必须保存 6 个选 )月
3.1.3.访问控制
通过配置中间件系统资源，提高中间件系统服务安全，详见表21。
表 21Tong 访问控制基线技术要求
序号基线技术要求基线标准点（参数）说明
SHMMAX：4G
根据不同操作系统调整Tong 的 3 10共享内存SHMSEG： 3 个以上
个核心参数
SHMALL： 12G
MSGTQL： 4096
设置 Tong 核心应用系统程序进行11消息队列MSGMAX：8192
数据传递参数
MSGMNB：16384
Maxuproc： 1000 以上
12信号灯SEMMSL： 13 以上设置 Tong 信号灯参数
SEMMNS：26 以上
13进程数NPROC： 2000 以上
设置同时运行进程数参数MAXUP： 1000 以上
3.1.
4.安全防护
通过对中间件配置参数调整，提高中间件系统安全，详见表22。
表 22Tong 安全防护基线技术要求
序号基线技术要求基线标准点（参数）说明
14数据传输安全根据应用需求设置加密标识根据应用需求保护数据传输安全
tld通信管理模块、运行监控、接收
tmmoni处理、发送处理守护进程处于常15守护进程安全
开状态，随时处理应用程序的请
tmrcv
tmsnd求
3.1.5.补丁管理
通过对 Tong 的补丁进行定期更新，达到管理基线，防止常见
的漏洞被利用，详见表23。
表 23Tong 补丁管理基线技术要求
序号基线技术要求基线标准点（参数）说明
根据实际需要更新安全补丁16安全补丁（可选）根据实际需要更新Tong4.2 、Tong4.5 、Tong4.6 适用
于 AIX5.3 以上版本
3.2.Apache 中间件安全基线
3.2.1.用户账号与口令
通过配置中间件用户账号与口令安全策略，提高系统账号与口令安全性，详见表24。
表 24Apache 用户账号与口令基线技术要求
序号基线技术要求基线标准点（参数）说明
1优化 WEB服务账新建 Apache 可访问 80 端口使用 WAS中间件用户安装， root 号用户账号用户启动
3.2.2.日志与审计
通过对中间件的日志进行安全控制与管理，提高日志的安全性与有效性，详见表25。
表 25Apache 日志与审计基线技术要求
序号基线技术要求基线标准点（参数）说明
2日志级别（可选）Info 采用 Info 日志级别，分析问题时采用更高日志级别
3错误日志及记录ErrorLog配置错误日志文件名及位置
4访问日志（可选）CustomLog配置访问日志文件名及位置
3.2.3.服务优化
通过优化中间件系统资源，提高中间件系统服务安全性，详见
表26。
表 26Apache 服务优化基线技术要求
序号基线技术要求基线标准点（参数）说明
5无用模块禁用禁用无用模块
3.2.
4.安全防护
通过对中间件配置参数调整，提高中间件系统安全性，详见表27。
表 27Apache 安全防护基线技术要求
序号基线技术要求基线标准点（参数）说明
6遍历操作系统目
禁止修改参数文件，禁止目录遍历录（可选）
7服务器应答头中
关闭
隐藏版本信息，防止软件版本信的版本信息息泄漏
服务器生成页面
8的页脚中版本信关闭不显示服务器默认欢迎页面
息
3.3.WAS中间件安全基线
3.3.1.用户账号与口令
通过配置用户账号与口令安全策略，提高系统账号与口令安全性，详见表28。
表 28WAS用户账号与口令基线技术要求
序号基线技术要求基线标准点（参数）说明
1账号安全策略按照操作系统账号管理规
符合应用系统运行要求范执行
2口令安全策略按照操作系统口令管理规
符合应用系统运行要求范执行
3.3.2.日志与审计
通过对系统的日志进行安全控制与管理，提高日志的安全性与有效性，详见表29。
表 29WAS日志与审计基线技术要求
序号基线技术要求基线标准点（参数）说明
3 故障日志 开启 记录相关日志 4
记录级别
Info
记录相关日志级别
3.3.3.
服务优化
通过优化系统资源，提高系统服务安全性，详见表
30。
表 30WAS 服务优化基线技术要求
序号 基线技术要求 基线标准点（参数）
说明
5
file serving
服
开启用户可能非法浏览应用服务
务
禁止
器目录和文件
配置 config 和 config 和 properties
目录权限不
6
properties 目 755
录权限
当存在安全隐患
3.3.
4.
安全防护
通过对系统配置参数调整，提高系统安全性，详见表
31。
表 31WAS 安全防护基线技术要求
序号 基线技术要求 基线标准点（参数） 说明
7
删除 sample 例
删除示例域
防止已知攻击
子程序
8
连接会话超时控
10 分钟
设置超时时间，控制用户登录会
制
话
9
数据传输安全
加密传送
在服务器 console
管理中浏览器
与服务器传输信息配置 SSL
10
设置控制台会话 30 分钟 控制台会话 timeout
低于 30 分钟
最长时间
3.3.5. 补丁管理
通过进行定期更新， 达到管理基线， 降低常见的的漏洞被利用，
详见表 32。
表 32WAS 补丁管理基线技术要求
序号 基线技术要求 基线标准点（参数） 说明
11
安全补丁（可选）
按照系统管理室年度版本 根据应用系统实际情况选择
执行
4. 网络设备安全基线技术要求
4.1. Cisco 路由器 / 交换机安全基线
4.1.1.系统管理
通过配置网络设备管理，提高系统运维管理安全性，详见表
33。
表 33Cisco系统管理基线技术要求
序号基线技术要求基线标准点（参数）说明
采用 ssh 服务代替 telnet 服务管1远程 ssh 服务（可选）启用理网络设备，提高设备管理安全
性
2认证方式tacas/radius 认证启用设备认证
配置访问控制列表，只允许管理3非管理员 IP 地址禁止员 IP 或网段能访问网络设备管理
服务
4配置 console 端口口令认证console 需配置口令认证信息
5统一时间接入统一 NTP服务器保障生产环境所有设备时间统一
4.1.2.用户账号与口令
通过配置网络设备用户账号与口令安全策略，提高系统账号与口令安全性，详见表34。
表 34Cisco用户账号与口令基线技术要求
序号基线技术要求基线标准点（参数）说明
6Service password口采用service 令
加密
password-encryption
7enable口令加密采用 secret对口令进行加密
8账号登录空闲超时时
5 分钟
设置 console 和 vty的登录超时间时间 5分钟
9口令最小长度8 位口令长度为8 个字符
4.1.3.日志与审计
通过对网络设备的日志进行安全控制与管理，提高日志的安全性与有效性，详见表35。
表 35Cisco日志与审计基线技术要求
序号基线技术要求基线标准点（参数）说明
10更改 SNMP的团体串
更改 SNMP Community
修改默认值 public （可选）更改 SNMP主机 IP
11系统日志存储对接到网管日志服务器使用日志服务器接收与存储主机
日志，网管平台统一管理
12日志保存要求
等保三级要求日志必须保存 6 个6 个月
月
4.1.4.服务优化
通过优化网络设备，提高系统服务安全性，详见表36。
表 36Cisco 服务优化基线技术要求
序号基线技术要求基线标准点（参数）说明
13TCP、 UDP Small 服
禁止禁用无用服务务（可选）
14Finger 服务禁止禁用无用服务15HTTP服务禁止禁用无用服务16HTTPS服务禁止禁用无用服务17BOOTp服务禁止禁用无用服务
18IPSource Routing
禁止禁用无用服务服务
19ARP-Proxy 服务禁止禁用无用服务
20cdp 服务（可选）禁止禁用无用服务 ( 只适用于边界设备 )
21FTP 服务（可选）禁止禁用无用服务
4.1.
5.访问控制
通过对设备配置进行调整，提高设备或网络安全性，详见表37。
表 37Cisco访问控制基线技术要求
序号基线技术要求基线标准点（参数）说明
22login banner 信息修改默认值为警示语默认值不为空
23BGP认证（可选）启用加强路由信息安全
24EIGRP认证（可选）启用加强路由信息安全
25OSPF认证（可选）启用加强路由信息安全
26RIPv2 认证（可选）启用加强路由信息安全
27MAC绑定（可选）IP+MAC+端口绑定重要服务器采用IP+MAC+端口绑定
28网络端口 AUX（可选）关闭关闭没用网络端口
4.2. H3C路由器 / 交换机安全基线
4.2.1.系统管理
通过配置网络设备管理，预防远程访问服务攻击或非授权访问，提高网络设备远程管理安全性，详见表38。
表 38H3C系统管理基线技术要求
序号基线技术要求基线标准点（参数）说明
采用 ssh 服务代替 telnet 服务管1远程 ssh 服务（可选）启用理网络设备，提高设备管理安全
性
2认证方式tacas/radius 认证启用设备认证
配置访问控制列表，只允许管理3非管理员 IP 地址禁止员 IP 或网段能访问网络设备管理
服务
4配置 console 端口口令认证console 需配置口令认证信息
5统一时间接入统一 NTP服务器保障生产环境所有设备时间统一
4.2.2.用户账号与口令
通过配置用户账号与口令安全策略，提高系统账号与口令安全，详见表 39。
表 39H3C用户账号与口令基线技术要求
序号基线技术要求基线标准点（参数）说明
6system 口令加密方式采用 cipher对口令进行加密
7账号登录空闲超时
5分钟
设置 console和 vty的登录超时时间时间 5分钟
8口令最小长度8位口令安全策略
4.2.3.日志与审计
通过对网络设备的日志进行安全控制与管理，提高日志的安全性与有效性，详见表40。
表 40H3C日志与审计基线技术要求
序号基线技术要求基线标准点（参数）说明
9系统日志接入到网管日志服务器使用网管平台统一日志服务器接收与存储
10日志保存要求 6 个月等保三级要求日志必须保存 6 个月
4.2.4.服务优化
通过优化网络设备资源，提高设备服务安全性，详见表41。
表 41H3C服务优化基线技术要求
序号基线技术要求基线标准点（参数）说明
11http 服务禁用关闭弱服务
12FTP 服务（可选）禁止禁用 Ftp 服务
4.2.
5.访问控制
通过对网络设备配置参数调整，提高设备安全性，详见表 42。
表 42H3C访问控制基线技术要求
序号基线技术要求基线标准点（参数）说明
13BGP认证（可选）启用加强路由信息安全
14OSPF认证（可选）启用加强路由信息安全
15RIPv2 认证（可选）启用加强路由信息安全
16统一时间接入统一 NTP服务器保障生产环境所有设备时间统一重要服务器采用
重要服务器采用IP+MAC+端口绑17IP+MAC+端口绑定（可IP+MAC+端口绑定
定
选）
18网络端口 AUX（可选）关闭关闭没用网络端口
4.3.防火墙安全基线
4.3.1.系统管理
通过配置网络设备管理，提高安全设备运维管理安全性，详见表43。
表 43 防火墙系统管理基线技术要求
序号基线技术要求基线标准点（参数）说明
1安全网络登录方式，
启用
采用 ssh(https)服务代替SSH或者 HTTPS telnet(http)服务管理防火墙设备
2限制登录口令录入
30 秒
设置登录口令录入时间，建议为时间30 秒
3限制可登录的访问配置管理客户端IP地
地址址
限制对特定工作站的管理能力
只接收管理流量的网络用户流量分离管理流量大大4逻辑管理IP 地址启用增加了管理安全性，并确保了稳（可选）定的管理带宽
5HTTP 监听端口号
更改
通过更改 HTTP监听端口号提高
系
（可选）统安全性
6统一时间接入统一 NTP服务器保障生产环境所有设备时间统一
4.3.2.用户账号与口令
通过配置网络设备用户账号与口令安全策略，提高设备账号与口令安全性，详见表44。
表 44 防火墙用户账号与口令基线技术要求
序号基线技术要求基线标准点（参数）说明
系统初始账号和
修改在完成初始配置后应尽快修改缺
7口令省用户名和口令
口令最短长度8 位口令安全策略
4.3.3.日志与审计
通过对网络设备的日志进行安全控制与管理，提高日志的安全性与有效性，详见表45。
表 45 防火墙日志与审计基线技术要求
序号基线技术要求基线标准点（参数）说明
8发起 SNMP连接限定源 IP限制发起 SNMP连接的源地址
9信息流日志开启针对重要策略开启信息流日志
10系统日志（可选
对接到统一网管日志服务使用网管平台统一日志服务器接)
收与存储系统日志
器
11日志保存要求（可等保三级要求日志必须保存 6 个选） 6 个月月
4.3.4.安全防护
通过对网络设备配置参数调整，提高设备安全性，详见表 46。
表 46 防火墙安全防护基线技术要求
序号基线技术要求基线标准点（参数）说明
防火墙安全设置
防攻击选项包括： SYN Attack 、选项（可选）
ICMP Flood 、UDPFlood 、Port Scan SYN Attack 、
12开启Attack 、 Limit session、
、UDP
SYN-ACK-ACK Proxy 保护、 SYN
Flood 、
Fragment （ SYN 碎片）等。
Port Scan
ttack 、 Limit session 、SYN-ACK-ACK Proxy 、 SYN Fragment
XXXX农商银行 信息系统安全配置基线规范 1范围 本规范适用于XXXX农商银行所有信息系统相关主流支撑平台设备。 2规范性引用文件 下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本规范。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本规范。 ——中华人民共和国计算机信息系统安全保护条例 ——中华人民共和国国家安全法 ——中华人民共和国保守国家秘密法 ——计算机信息系统国际联网保密管理规定 ——中华人民共和国计算机信息网络国际联网管理暂行规定 ——ISO27001标准/ISO27002指南 ——公通字[2007]43号信息安全等级保护管理办法 ——GB/T 21028-2007 信息安全技术服务器安全技术要求 ——GB/T 20269-2006 信息安全技术信息系统安全管理要求 ——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求 ——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南 3术语和定义 安全基线：指针对IT设备的安全特性，选择合适的安全控制措施，定义不同IT设备的最低安全配置要求，则该最低安全配置要求就称为安全基线。 管理信息大区：发电企业、电网企业、供电企业内部基于计算机和网络技术的业务系统，原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区(安全区I)和非控制区(安全区Ⅱ)；管理信息大区内部在不影响生产控制大区安全的前提下，可以根据各企业不同安全要求划分安全区。根据应用系统实际情况，在满足总体安全要求的前提下，可以简化安全区的设置，但是应当避免通过广域网形成不同安全区的纵向交叉连接。 4总则 4.1指导思想 围绕公司打造经营型、服务型、一体化、现代化的国内领先、国际著名企业的战略总体目标，为切实践行南网方略，保障信息化建设，提高信息安全防护能力，通过规范IT主流设备安全基线，建立公司管理信息大区IT主流设备安全防护的最低标准，实现公司IT主流设备整体防护的技术措施标准化、规范化、指标化。 4.2目标
Win2003 & 2008操作系统安全配置要求 2.1. 帐户口令安全 帐户分配：应为不同用户分配不同的帐户，不允许不同用户间共享同一帐户。 帐户锁定：应删除或锁定过期帐户、无用帐户。 用户访问权限指派：应只允许指定授权帐户对主机进行远程访问。 帐户权限最小化：应根据实际需要为各个帐户分配最小权限。 默认帐户管理：应对Administrator帐户重命名，并禁用Guest（来宾）帐户。 口令长度及复杂度：应要求操作系统帐户口令长度至少为8位，且应为数字、字母和特殊符号中至少2类的组合。 口令最长使用期限：应设置口令的最长使用期限小于90天。 口令历史有效次数：应配置操作系统用户不能重复使用最近 5 次（含 5 次）已使用过的口令。 口令锁定策略：应配置当用户连续认证失败次数为 5次，锁定该帐户30分钟。 2.2. 服务及授权安全 服务开启最小化：应关闭不必要的服务。 SNMP服务接受团体名称设置：应设置SNMP接受团体名称不为public或弱字符串。 系统时间同步：应确保系统时间与NTP服务器同步。 DNS服务指向：应配置系统DNS指向企业内部DNS服务器。 2.3. 补丁安全 系统版本：应确保操作系统版本更新至最新。 补丁更新：应在确保业务不受影响的情况下及时更新操作系统补丁。 2.4. 日志审计 日志审核策略设置：应合理配置系统日志审核策略。 日志存储规则设置：应设置日志存储规则，保证足够的日志存储空间。 日志存储路径：应更改日志默认存放路径。 日志定期备份：应定期对系统日志进行备份。 2.5. 系统防火墙：应启用系统自带防火墙，并根据业务需要限定允许通讯的应用程序或端口。 2.6. 防病毒软件：应安装由总部统一部署的防病毒软件，并及时更新。 2.7. 关闭自动播放功能：应关闭 Windows 自动播放功能。 2.8. 共享文件夹 删除本地默认共享：应关闭 Windows本地默认共享。 共享文件权限限制：应设置共享文件夹的访问权限，仅允许授权的帐户共享此文件夹。 2.9. 登录通信安全 禁止远程访问注册表：应禁止远程访问注册表路径和子路径。 登录超时时间设置：应设置远程登录帐户的登录超时时间为30 分钟。 限制匿名登录：应禁用匿名访问命名管道和共享。
Windows 系统安全配置基线 中国移动通信有限公司管理信息系统部 2012年 04月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (5) 1.1目的 (5) 1.2适用范围 (5) 1.3适用版本 (5) 1.4实施 (5) 1.5例外条款 (5) 第2章帐户管理、认证授权 (6) 2.1帐户 (6) 2.1.1 管理缺省帐户 (6) 2.1.2 按照用户分配帐户* (6) 2.1.3 删除与设备无关帐户* (7) 2.2口令 (7) 2.2.1密码复杂度 (7) 2.2.2密码最长留存期 (8) 2.2.3帐户锁定策略 (8) 2.3授权 (8) 2.3.1远程关机 (8) 2.3.2本地关机 (9) 2.3.3用户权利指派* (9) 2.3.4授权帐户登陆* (10) 2.3.5授权帐户从网络访问* (10) 第3章日志配置操作 (11) 3.1日志配置 (11) 3.1.1审核登录 (11) 3.1.2审核策略更改 (11) 3.1.3审核对象访问 (11) 3.1.4审核事件目录服务器访问 (12) 3.1.5审核特权使用 (12) 3.1.6审核系统事件 (13) 3.1.7审核帐户管理 (13) 3.1.8审核过程追踪 (13) 3.1.9日志文件大小 (14) 第4章IP协议安全配置 (15) 4.1IP协议 (15) 4.1.1启用SYN攻击保护 (15) 第5章设备其他配置操作 (17) 5.1共享文件夹及访问权限 (17) 5.1.1关闭默认共享 (17)
5.1.2共享文件夹授权访问* (17) 5.2防病毒管理 (18) 5.2.1数据执行保护 (18) 5.3W INDOWS服务 (18) 5.3.1 SNMP服务管理 (18) 5.3.2系统必须服务列表管理* (19) 5.3.3系统启动项列表管理* (19) 5.3.4远程控制服务安全* (19) 5.3.5 IIS安全补丁管理* (20) 5.3.6活动目录时间同步管理* (20) 5.4启动项 (21) 5.4.1关闭Windows自动播放功能 (21) 5.5屏幕保护 (21) 5.5.1设置屏幕保护密码和开启时间* (21) 5.6远程登录控制 (22) 5.6.1限制远程登陆空闲断开时间 (22) 5.7补丁管理 (23) 5.7.1操作系统补丁管理* (23) 5.7.2操作系统最新补丁管理* (23) 第6章评审与修订 (24)
Web应用安全配置基线 https://www.doczj.com/doc/ce6606678.html, 2009年 1月
1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (5) 1.1目的 (5) 1.2适用范围 (5) 1.3适用版本 (5) 1.4实施 (5) 第2章身份与访问控制 (6) 2.1账户锁定策略 (6) 2.2登录用图片验证码 (6) 2.3口令传输 (6) 2.4保存登录功能 (7) 2.5纵向访问控制 (7) 2.6横向访问控制 (7) 2.7敏感资源的访问 (8) 第3章会话管理 (9) 3.1会话超时 (9) 3.2会话终止 (9) 3.3会话标识 (9) 3.4会话标识复用 (10) 第4章代码质量 (11) 4.1防范跨站脚本攻击 (11) 4.2防范SQL注入攻击 (11) 4.3防止路径遍历攻击 (11) 4.4防止命令注入攻击 (12) 4.5防止其他常见的注入攻击 (12) 4.6防止下载敏感资源文件 (13) 4.7防止上传后门脚本 (13) 4.8保证多线程安全 (13) 4.9保证释放资源 (14) 第5章内容管理 (15) 5.1加密存储敏感信息 (15) 5.2避免泄露敏感技术细节 (15) 第6章防钓鱼与防垃圾邮件 (16) 6.1防钓鱼 (16) 6.2防垃圾邮件 (16) 第7章密码算法 (17) 7.1安全算法 (17) 7.2密钥管理 (17)
第1章概述 1.1 目的 本文档规定了所有IT基础设施范围内所有Web应用应当遵循的安全标准，本文档旨在指导系统管理人员进行Web应用安全基线检查。 1.2 适用范围 本配置标准的使用者包括：服务器系统管理员、应用程序管理员、网络安全管理员。 本配置标准适用的范围包括：支持所有业务正常运营的Web应用系统。 1.3 适用版本 基于B/S架构的Web应用 1.4 实施 本标准的解释权和修改权属于https://www.doczj.com/doc/ce6606678.html,，在本标准的执行过程中若有任何疑问或建议，应及时反馈。
操作系统安全与信息安全 信息安全体系相当于整个信息系统的免疫系统，免疫系统不健全，信息系统不仅是低效的，甚至是危险的。党和国家领导人多次指示：信息安全是个大问题，必须把安全问题放到至关重要的位置上，信息安全问题解决不好，后果不堪设想。 国家计算机信息系统安全保护条例要求，信息安全等级保护要实现五个安全层面（即物理层、网络层、系统层、应用层和管理层）的整体防护。其中系统层面所要求的安全操作系统是全部安全策略中的重要一环，也是国内外安全专家提倡的建立可信计算环境的核心。操作系统的安全是网络系统信息安全的基础。所有的信息化应用和安全措施都依赖操作系统提供底层支持。操作系统的漏洞或配置不当有可能导致整个安全体系的崩溃。各种操作系统之上的应用要想获得运行的高可靠性和信息的完整性、机密性、可用性和可控性，必须依赖于操作系统提供的系统软件基础，任何脱离操作系统的应用软件的安全性都是不可能的。目前，普遍采用的国际主流C级操作系统其安全性远远不够，访问控制粒度粗、超级用户的存在以及不断被发现的安全漏洞，是操作系统存在的几个致命性问题。中共中央办公厅、国务院办公厅近期印发的《2006-2020年国家信息化发展战略》中明确指出: “我国信息技术领域存在着自主创新技术不足，核心技术和关键设备主要依赖进口。”长期以来，我国广泛应用的主流操作系统都是进口产品，无安全性可言。如不从根本上解决，长此以往，就无法保障国家安全与经济社会安全。我们国家计算机信息系统中的主流操作系统基本采用的是国外进口的C 级操作系统，即商用操作系统。商用操作系统不是安全的操作系统，它在为我们计算机信息系统带来无限便捷的同时，也为我们的信息安全、通信保密乃至国家安全带来了非常令人担忧的隐患！操作系统是计算机系统软硬件资源和数据的“总管”，担负着计算机系统庞大的资源管理，频繁的输入输出控制以及不可间断的用户与操作系统之间的通信等重要功能。一般来讲，包括病毒在内的各种网络安全问题的根源和症结，主要是由于商用操作系统的安全脆弱性。当今的信息系统产生安全问题的基本原因是操作系统的结构和机制不安全。这样就导致：资源配置可以被篡改、恶意程序被植入执行、利用缓冲区（栈）溢出攻击非法接管系统管理员权限等安全事故。病毒在世界范围内传播泛滥，黑客利用各种漏洞攻击入侵， 非授权者任意窃取信息资源，使得安全防护形成了防火墙、防病毒、入侵检测、漏洞检测和加密这老几样防不胜防的被动局面。 计算机病毒是利用操作系统漏洞，将病毒代码嵌入到执行代码、程序中实现病毒传播的；黑客是利用操作系统漏洞，窃取超级用户权限，植入攻击程序，实现对系统的肆意破坏；更为严重的是由于操作系统没有严格的访问控制，即便是合法用户也可以越权访问，造成不经意的安全事故； 而内部人员犯罪则可以利用操作系统的这种脆弱性，不受任何限制地、轻而易举地达到内外勾结，窃取机密信息等严重犯罪。 特别是，据中科院2003年《中国高新技术成果报告》中所载：有调查证实：美国国家安全局(NSA)对销往全球的信息产品，尤其是大规模集成电路芯片和操作系统安装了NSA所需要的技术后门，用于平时搜集这些信息产品使用国的敏感信息和数据；战时启动后门程序，瘫痪对方的政治、经济、军事等运行系统，使其不战自败。这是令人触目惊心的国家安全和民
各类操作系统安全配 置要求及操作指南 检查模块支持系统版本号 Windows Windows 2000 以上 Solaris Solaris 8 以上 AIX AIX 5.X以上 HP-UNIX HP-UNIX 11i以上 Linux 内核版本2.6以上 Oracle Oracle 8i以上 SQL Server Microsoft SQL Server 2000 以上 MySQL MySQL 5.x以上 IIS IIS 5.x以上 Apache Apache 2.x 以上 Tomcat Tomcat 5.x以上 WebLogic WebLogic 8.X以上
Windows操作系统 安全配置要求及操作指南 I 目录 目录..................................................................... I 前言.................................................................... II 1 范围 (1) 2 规范性引用文件 (1) 3 缩略语 (1) 4 安全配置要求 (2) 4.1 账号 (2) 4.2 口令 (3) 4.3 授权 (5) 4.4 补丁 (7) 4.5 防护软件 (8) 4.6 防病毒软件 (8) 4.7 日志安全要求 (9) 4.8 不必要的服务 (11) 4.9 启动项 (12) 4.10 关闭自动播放功能 (13) 4.11 共享文件夹 (13) 4.12 使用NTFS 文件系统 (14) 4.13 网络访问 (15) 4.14 会话超时设置 (16)
Windows系统安全配置基线
目录 第1章概述 (1) 1.1目的 (1) 1.2适用范围 (1) 1.3适用版本 (1) 第2章安装前准备工作 (1) 2.1需准备的光盘 (1) 第3章操作系统的基本安装 (1) 3.1基本安装 (1) 第4章账号管理、认证授权 (2) 4.1账号 (2) 4.1.1管理缺省账户 (2) 4.1.2删除无用账户 (2) 4.1.3用户权限分离 (3) 4.2口令 (3) 4.2.1密码复杂度 (3) 4.2.2密码最长生存期 (4) 4.2.3密码历史 (4) 4.2.4帐户锁定策略 (5) 4.3授权 (5) 4.3.1远程关机 (5) 4.3.2本地关机 (6) 4.3.3隐藏上次登录名 (6) 4.3.4关机清理内存页面 (7) 4.3.5用户权利指派 (7) 第5章日志配置操作 (8) 5.1日志配置 (8) 5.1.1审核登录 (8) 5.1.2审核策略更改 (8) 5.1.3审核对象访问 (8) 5.1.4审核事件目录服务器访问 (9) 5.1.5审核特权使用 (9) 5.1.6审核系统事件 (10) 5.1.7审核账户管理 (10) 5.1.8审核过程追踪 (10) 5.1.9日志文件大小 (11) 第6章其他配置操作 (11)
6.1共享文件夹及访问权限 (11) 6.1.1关闭默认共享 (11) 6.2防病毒管理 (12) 6.2.1防病毒软件保护 (12) 6.3W INDOWS服务 (12) 6.3.1 系统服务管理 (12) 6.4访问控制 (13) 6.4.1 限制Radmin管理地址 (13) 6.5启动项 (13) 6.4.1关闭Windows自动播放功能 (13) 6.4.3配置屏保功能 (14) 6.4.4补丁更新 (14) 持续改进 (15)
操作系统安全保障措施集团企业公司编码：（LL3698-KKI1269-TM2483-LUI12689-ITT289-
操作系统安全保障措施系统安全防护能力 一．文件访问控制 1.所有办公终端的命名应符合公司计算机命名规范。 2.所有的办公终端应加入公司的域管理模式，正确是使用公司的各项资源。 3.所有的办公终端应正确安装防病毒系统，确保及时更新病毒码。 4.所有的办公终端应及时安装系统补丁，应与公司发布的补丁保持一致。 5.公司所有办公终端的密码不能为空，根据《云南地方IT系统使用手册》中的密码规定严格执行。 6.所有办公终端不得私自装配并使用可读写光驱、磁带机、磁光盘机和USB硬盘等外置存储设备。
7.所有办公终端不得私自转借给他人使用，防止信息的泄密和数据破坏。 8.所有移动办公终端在外出办公时，不要使其处于无人看管状态。 9.办公终端不得私自安装盗版软件和与工作无关的软件，不得私自安装扫描软件或黑客攻击工具。 10.未经公司IT服务部门批准，员工不得在公司使用modem进行拨号上网。 11.员工不允许向外面发送涉及公司秘密、机密和绝密的信息。 二。用户权限级别 1.各系统应根据“最小授权”的原则设定账户访问权限，控制用户仅能够访问到工作需要的信息。 2.从账号管理的角度，应进行基于角色的访问控制权限的设定，即对系统的访问控制权限是以角色或组为单位进行授予。
3.细分角色根据系统的特性和功能长期存在，基本不随人员和管理岗位的变更而变更。 4.一个用户根据实际情况可以分配多个角色。 5.各系统应该设置审计用户的权限，审计用户应当具备比较完整的读权限，审计用户应当能够读取系统关键文件，检查系统设置、系统日志等信息。 三．防病毒软件/硬件 1.所有业务系统服务器、生产终端和办公电脑都应当按照公司要求安装了相应的病毒防护软件或采用了相应的病毒防护手段。 2.应当确保防止病毒软件每天进行病毒库更新，设置防病毒软件定期（每周或没月）对全部硬盘进行病毒扫描。 3.如果自己无法对病毒防护措施的有效性进行判断，应及时通知公司IT 服务部门进行解决。
第一章：绪论 1 操作系统是最基本的系统软件，是计算机用户和计算机硬件之间的接口程序模块，是计算机系统的核心控制软件，其功能简单描述就是控制和管理计算机系统内部各种资源，有效组织各种程序高效运行，从而为用户提供良好的、可扩展的系统操作环境，达到使用方便、资源分配合理、安全可靠的目的。 2 操作系统地安全是计算机网络信息系统安全的基础。 3 信息系统安全定义为：确保以电磁信号为主要形式的，在计算机网络化(开放互联)系统中进行自动通信、处理和利用的信息内容，在各个物理位置、逻辑区域、存储和传输介质中，处于动态和静态过程中的机密性（保密性）、完整性、可用性、可审查性和抗抵赖性，与人、网络、环境有关的技术安全、结构安全和管理安全的总和。 4 操作系统面临的安全威胁可分为保密性威胁、完整性威胁和可用性威胁。 5 信息的保密性：指信息的隐藏，目的是对非授权的用户不可见。保密性也指保护数据的存在性，存在性有时比数据本身更能暴露信息。 6 操作系统受到的保密性威胁：嗅探，木马和后门。 7 嗅探就是对信息的非法拦截，它是某一种形式的信息泄露. 网卡构造了硬件的―过滤器―通过识别MAC地址过滤掉和自己无关的信息，嗅探程序只需关闭这个过滤器，将网卡设置为―混杂模式―就可以进行嗅探。 8 在正常的情况下，一个网络接口应该只响应这样的两种数据帧： 1.与自己硬件地址相匹配的数据帧。 2.发向所有机器的广播数据帧。 9 网卡一般有四种接收模式：广播方式，组播方式，直接方式，混杂模式。 10 嗅探器可能造成的危害： ?嗅探器能够捕获口令； ?能够捕获专用的或者机密的信息； ?可以用来危害网络邻居的安全，或者用来获取更高级别的访问权限； ?分析网络结构，进行网络渗透。 11 大多数特洛伊木马包括客户端和服务器端两个部分。不管特洛伊木马的服务器和客户程序如何建立联系，有一点是不变的，攻击者总是利用客户程序向服务器程序发送命令，达到操控用户机器的目的。 特洛伊木马：一种恶意程序，它悄悄地在宿主机器上运行，在用户毫无察觉的情况下让攻击者获得了远程访问和控制系统的权限。特洛伊木马也有一些自身的特点，例如它的安装和操作都是在隐蔽之中完成；大多数特洛伊木马包括客户端和服务器端两个部分。 12 木马的作用是赤裸裸的偷偷监视别人和盗窃别人密码,数据等, 达到偷窥别人隐私和得到经济利益的目的. 13 后门：绕过安全性控制而获取对程序或系统访问权的方法。 14 间谍软件是一种能够在用户不知情的情况下，在其电脑上安装后门、收集用户信息的软件。通常具备实用的、具吸引力的基本功能，它还收集有关用户操作习惯的信息并将这些信息通过互联网发送给软件的发布者。 蠕虫(worm)可以算是病毒中的一种，但是它与普通病毒之间有着很大的区别。一般认为:蠕虫是一种通过网络传播的恶性病毒，它具有病毒的一些共性同时具有自己的一些特征。15 信息的完整性指的是信息的可信程度。完整性的信息应该没有经过非法的或者是未经授权的数据改变。完整性包括信息内容的完整性和信息来源的完整性. 16 信息的完整性威胁主要分为两类:破坏和欺骗。破坏：指中断或妨碍正常操作。数据遭到破坏后。其内容可能发生非正常改变，破坏了信息内容的完整性。欺骗：指接受虚假数据。 17 有几种类型的攻击可能威胁信息的完整性，即篡改(modification)、伪装(masquerading)、
XX系统基线检查报告 XX部门 20XX年X月
目录 1.背景 (1) 2.人员信息 (1) 3.检查目标 (1) 4.检查结果 (1) 4.1.检查范围 (1) 4.2.检查内容 (1) 4.3.网络设备检查结果分析 (2) 4.3.1.网络设备检查结果汇总 (2) 4.3.2.网络设备检查不合规项 (2) 4.4.安全设备检查结果分析 (2) 4.4.1.安全设备检查结果汇总 (3) 4.4.2.安全设备检查不合规项 (3) 4.5.基础软件检查结果分析 (3) 4.5.1.操作系统检查结果分析 (3) 4.5.2.数据库检查结果分析 (3) 4.5.3.中间件检查结果分析 (3)
1.背景 描述本文档适用范围、场景等相关的背景情况，便于读者充分了解基线检查信息。2.人员信息 描述开展基线检查工作相关人员信息，包括姓名、联系方式、单位信息等。 3.检查目标 描述开展基线检查工作的目的、依据以及预期效果。 4.检查结果 4.1.检查范围 描述本次基线检查工作涉及到的基础设备设施类（例如操作系统、数据库、中间件等）、网络设备设施类（例如交换机、路由器等）、安全设备设施类（例如防火墙、入侵检测等）的品牌、型号或版本、数量等信息，参考示例如下： 4.2.检查内容 以列表形式描述本次检查的工作内容，示例如下：
4.3.网络设备检查结果分析 4.3.1.网络设备检查结果汇总 描述本次基线检查中针对网络设备类检查项总数、合规数、不合规数、人工确认项、检查失败数以及合规律情况,参考示例如下： 4.3.2.网络设备检查不合规项 针对检查发现的不合规项，分类逐项描述不合规名称、不合规原因以及关联的操作系统IP信息,参考示例如下： 4.4.安全设备检查结果分析 安全设备检查结果分析参考上述网络设备类进行描述。
操作系统安全解决方案 （1）比较各操作系统安全特性 Linux的操作比较复杂，windows的比较简单 Linux速度比较快，安全性比windows好 但是有很多软件只能在windows里运行 与Linux兼容的软件正在开发中 Linux适用在网络方面 Linux的特性：开放性、多用户、多任务、良好的用户界面、设备独立性、丰富的网络功能、可靠的系统安全性、良好的可移植性 Windows 2008的特性：自修复NTFS文件系统、并行Session创建、快速关机服务、核心事务管理器（KTM）SMB2网络文件系统、随机地址空间分布（ASLR）、Windows硬件错误架构（WHEA）、虚拟化、PowerShell命令、Server Core 手机操作系统特性：应用程序框架支持组件的重用与替换；Dalvik虚拟机专门为移动设备做了优化；内部集成浏览器该浏览器基于开源的WebKit 引擎；优化的图形包括2D 和3D图形库，3D图形库基于OpenGL ES1.0（硬件加速可选）；GSM 电话（依赖于硬件）蓝牙Bluetooth，EDGE，3G，and WiFi（依赖于硬件）；照相机，GPS，指南针，和加速度计（依赖于硬件）；丰富的开发环境包括设备模拟器，调式工具，内存及性能分析图表，和Eclipsc集成开发环境插件。 （2）Window系统管理的方法及安全加固策略 安全加固策略 1．系统的安全加固：我们通过配置目录权限，系统安全策略，协议栈加强，系统服务和访问控制加固您的系统，整体提高服务器的安全性。 2．IIS手工加固：手工加固iis可以有效的提高iweb站点的安全性，合理分配用户权限，配置相应的安全策略，有效的防止iis用户溢出提权。 3．系统应用程序加固，提供应用程序的安全性，例如sql的安全配置以及服务器应用软件的安全加固。 （3）Linux系统管理的方法及安全加固策略 安全加固策略 1．取消不必要的服务 2．限制系统的出入 3．保持最新的系统核心 4．检查登录密码 5．设定用户账号的安全等级 6．消除黑客犯罪的温床
安全基线项目 项目简介： 安全基准项目主要帮助客户降低由于安全控制不足而引起的安全风险。安全基准项目在NIST、CIS、OVAL等相关技术的基础上，形成了一系列以最佳安全实践为标准的配置安全基准。 二. 安全基线的定义 2.1 安全基线的概念 安全基线是一个信息系统的最小安全保证, 即该信息系统最基本需要满足的安全要求。信息系统安全往往需要在安全付出成本与所能够承受的安全风险之间进行平衡, 而安全基线正是这个平衡的合理的分界线。不满足系统最基本的安全需求, 也就无法承受由此带来的安全风险, 而非基本安全需求的满足同样会带来超额安全成本的付出, 所以构造信息系统安全基线己经成为系统安全工程的首要步骤, 同时也是进行安全评估、解决信息系统安全性问题 的先决条件。 2.2 安全基线的框架 在充分考虑行业的现状和行业最佳实践，并参考了运营商下发的各类安全政策文件，继承和吸收了国家等级保护、风险评估的经验成果等基础上，构建出基于业务系统的基线安全模型 如图2.1所示：
图 2.1 基线安全模型 基线安全模型以业务系统为核心，分为业务层、功能架构层、系统实现层三层架构： 1. 第一层是业务层，这个层面中主要是根据不同业务系统的特性，定义不同安 全防护的要求，是一个比较宏观的要求。 2. 第二层是功能架构层，将业务系统分解为相对应的应用系统、数据库、操作系统、网络设备、安全设备等不同的设备和系统模块，这些模块针对业务层定义的安全防护 要求细化为此层不同模块应该具备的要求。 3. 第三层是系统实现层，将第二层模块根据业务系统的特性进一步分解，如将操作系统可分解为Windows、Solaris等系统模块，网络设备分解为华为路由器、Cisco路由器等系统模块……这些模块中又具体的把第二层的安全防护要求细化到可执行和实现的要求，称为Windows安全基线、华为路由器安全基线等。 下面以运营商的WAP系统为例对模型的应用进行说明：
Oracle数据库系统安全配置基线 中国移动通信有限公司管理信息系统部 2009年 3月
备注： 1.若此文档需要日后更新，请创建人填写版本控制表格，否则删除版本控制表格。
目录 第1章概述 (4) 1.1目的 (4) 1.2适用范围 (4) 1.3适用版本 (4) 1.4实施 (4) 1.5例外条款 (4) 第2章账号 (5) 2.1账号安全 (5) 2.1.1 删除不必要账号 (5) 2.1.2 限制超级管理员远程登录 (5) 2.1.3 用户属性控制 (6) 2.1.4 数据字典访问权限 (6) 第3章口令 (7) 3.1口令安全 (7) 3.1.1 账户口令的生存期 (7) 3.1.2 重复口令使用 (7) 3.1.3 认证控制 (8) 3.1.4 更改默认帐户密码 (8) 3.1.5 密码更改策略 (9) 3.1.6 密码复杂度策略 (9) 第4章日志 (11) 4.1日志审计 (11) 4.1.1 数据库审计策略 (11) 第5章其他 (12) 5.1其他配置 (12) 5.1.1 设置监听器密码 (12) 5.1.2 加密数据 (12) 第6章评审与修订 (13)
第1章概述 1.1 目的 本文档规定了中国移动管理信息系统部所维护管理的ORACLE数据库系统应当遵循的数据库安全性设置标准，本文档旨在指导数据库管理人员进行ORACLE数据库系统的安全配置。 1.2 适用范围 本配置标准的使用者包括：数据库管理员、应用管理员、网络安全管理员。 本配置标准适用的范围包括：中国移动总部和各省公司信息化部门维护管理的ORACLE数据库系统。 1.3 适用版本 ORACLE数据库系统； 1.4 实施 本标准的解释权和修改权属于中国移动集团管理信息系统部，在本标准的执行过程中若有任何疑问或建议，应及时反馈。 本标准发布之日起生效。 1.5 例外条款 欲申请本标准的例外条款，申请人必须准备书面申请文件，说明业务需求和原因，送交中国移动通信有限公司管理信息系统部进行审批备案。
Linux系统安全配置基线 目录 第1章概述................................................... 错误!未指定书签。 1.1目的 .................................................... 错误!未指定书签。 1.2适用范围 ................................................ 错误!未指定书签。 1.3适用版本 ................................................ 错误!未指定书签。第2章安装前准备工作 ......................................... 错误!未指定书签。 2.1需准备的光盘 ............................................ 错误!未指定书签。第3章操作系统的基本安装 ..................................... 错误!未指定书签。 3.1基本安装 ................................................ 错误!未指定书签。第4章账号管理、认证授权 ..................................... 错误!未指定书签。 4.1账号 .................................................... 错误!未指定书签。 4.1.1用户口令设置........................................ 错误!未指定书签。 4.1.2检查是否存在除root之外UID为0的用户 ............... 错误!未指定书签。 4.1.3检查多余账户........................................ 错误!未指定书签。 4.1.4分配账户............................................ 错误!未指定书签。 4.1.5账号锁定............................................ 错误!未指定书签。 4.1.6检查账户权限........................................ 错误!未指定书签。 4.2认证 .................................................... 错误!未指定书签。 4.2.1远程连接的安全性配置 ................................ 错误!未指定书签。 4.2.2限制ssh连接的IP配置 ............................... 错误!未指定书签。 4.2.3用户的umask安全配置 ................................ 错误!未指定书签。 4.2.4查找未授权的SUID/SGID文件 .......................... 错误!未指定书签。 4.2.5检查任何人都有写权限的目录 .......................... 错误!未指定书签。 4.2.6查找任何人都有写权限的文件 .......................... 错误!未指定书签。 4.2.7检查没有属主的文件 .................................. 错误!未指定书签。 4.2.8检查异常隐含文件 .................................... 错误!未指定书签。第5章日志审计............................................... 错误!未指定书签。 5.1日志 .................................................... 错误!未指定书签。 5.1.1syslog登录事件记录.................................... 错误!未指定书签。 5.2审计 .................................................... 错误!未指定书签。 5.2.1Syslog.conf的配置审核................................. 错误!未指定书签。 5.2.2日志增强............................................ 错误!未指定书签。 5.2.3syslog系统事件审计.................................... 错误!未指定书签。第6章其他配置操作 ........................................... 错误!未指定书签。 6.1系统状态 ................................................ 错误!未指定书签。 6.1.1系统超时注销........................................ 错误!未指定书签。 6.2L INUX服务................................................ 错误!未指定书签。
1范围 本规范适用于中国XX电网有限责任公司及所属单位管理信息大区所有信息系统相关主流支撑平台设备。 2规范性引用文件 下列文件对于本规范的应用是必不可少的。凡是注日期的引用文件，仅注日期的版本适用于本规范。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本规范。 ——中华人民共和国计算机信息系统安全保护条例 ——中华人民共和国国家安全法 ——中华人民共和国保守国家秘密法 ——计算机信息系统国际联网保密管理规定 ——中华人民共和国计算机信息网络国际联网管理暂行规定 ——ISO27001标准/ISO27002指南 ——公通字[2007]43号信息安全等级保护管理办法
——GB/T 21028-2007 信息安全技术服务器安全技术要求 ——GB/T 20269-2006 信息安全技术信息系统安全管理要求 ——GB/T 22239-2008 信息安全技术信息系统安全等级保护基本要求 ——GB/T 22240-2008 信息安全技术信息系统安全等级保护定级指南 3术语和定义 安全基线：指针对IT设备的安全特性，选择合适的安全控制措施，定义不同IT设备的最低安全配置要求，则该最低安全配置要求就称为安全基线。 管理信息大区：发电企业、电网企业、供电企业内部基于计算机和网络技术的业务系统，原则上划分为生产控制大区和管理信息大区。生产控制大区可以分为控制区(安全区I)和非控制区(安全区Ⅱ)；管理信息大区内部在不影响生产控制大区安全的前提下，可以根据各企业不同安全要求划分安全区。根据应用系统
实际情况，在满足总体安全要求的前提下，可以简化安全区的设置，但是应当避免通过广域网形成不同安全区的纵向交叉连接。4总则 4.1指导思想 围绕公司打造经营型、服务型、一体化、现代化的国内领先、国际著名企业的战略总体目标，为切实践行南网方略，保障信息化建设，提高信息安全防护能力，通过规范IT主流设备安全基线，建立公司管理信息大区IT主流设备安全防护的最低标准，实现公司IT主流设备整体防护的技术措施标准化、规范化、指标化。 4.2目标 管理信息大区内IT主流设备安全配置所应达到的安全基线规范，主要包括针对AIX系统、Windows系统、Linux系统、HP UNIX 系统、Oracle数据库系统、MS SQL数据库系统,WEB Logic中间件、Apache HTTP Server中间件、Tomcat中间件、IIS中间件、Cisco路由器/交换机、华为网络设备、Cisco防火墙、Juniper 防火墙和Nokia防火墙等的安全基线设置规范。通过该规范的实
信息安全配置基线(整理) xx 操作系统安全配置要求 2、 1、帐户口令安全帐户分配： 应为不同用户分配不同的帐户，不允许不同用户间共享同一帐户。 帐户锁定：应删除或锁定过期帐户、无用帐户。 用户访问权限指派：应只允许指定授权帐户对主机进行远程访问。 帐户权限最小化：应根据实际需要为各个帐户分配最小权限。 默认帐户管理：应对 Administrator 帐户重命名，并禁用 Guest（来宾）帐户。 口令长度及复杂度：应要求操作系统帐户口令长度至少为8 位，且应为数字、字母和特殊符号中至少2 类的组合。 口令最长使用期限：应设置口令的最长使用期限小于90 天。 口令历史有效次数：应配置操作系统用户不能重复使用最近5 次（含5 次）已使用过的口令。 口令锁定策略：应配置当用户连续认证失败次数为5 次，锁定该帐户30 分钟。 2、2、服务及授权安全服务开启最小化：应关闭不必要的服务。S NMP 服务接受团体名称设置：应设置 SNMP 接受团体名称不为 public 或弱字符串。 系统时间同步：应确保系统时间与 NTP 服务器同步。D NS 服务指向：应配置系统 DNS 指向企业内部 DNS 服务器。 2、3、补丁安全系统版本：应确保操作系统版本更新至最新。 补丁更新：应在确保业务不受影响的情况下及时更新操作系统补丁。
2、4、日志审计日志审核策略设置：应合理配置系统日志审核策略。 日志存储规则设置：应设置日志存储规则，保证足够的日志存储空间。 日志存储路径：应更改日志默认存放路径。 日志定期备份：应定期对系统日志进行备份。 2、5、系统防火墙：应启用系统自带防火墙，并根据业务需要限定允许通讯的应用程序或端口。 2、6、防病毒软件：应安装由总部统一部署的防病毒软件，并及时更新。 2、7、关闭自动播放功能：应关闭 Windows 自动播放功能。 2、8、共享文件夹删除本地默认共享：应关闭 Windows 本地默认共享。 共享文件权限限制：应设置共享文件夹的访问权限，仅允许授权的帐户共享此文件夹。 2、9、登录通信安全禁止远程访问注册表：应禁止远程访问注册表路径和子路径。 登录超时时间设置：应设置远程登录帐户的登录超时时间为30 分钟。 限制匿名登录：应禁用匿名访问命名管道和共享。R ed Hat Linux5 & 6、 Solaris9 & 10、 HP-UNIX11 操作系统安全配置要求
华为设备安全配置基线
目录 第1章概述 (4) 1.1目的 (4) 1.2适用范围 (4) 1.3适用版本 (4) 第2章帐号管理、认证授权安全要求 (5) 2.1帐号管理 (5) 2.1.1用户帐号分配* (5) 2.1.2删除无关的帐号* (6) 2.2口令 (7) 2.2.1静态口令以密文形式存放 (7) 2.2.2帐号、口令和授权 ................................................................ 错误！未定义书签。 2.2.3密码复杂度 (8) 2.3授权 (8) 2.3.1用IP协议进行远程维护的设备使用SSH等加密协议 (8) 第3章日志安全要求 (10) 3.1日志安全 (10) 3.1.1启用信息中心 (10) 3.1.2开启NTP服务保证记录的时间的准确性 (11) 3.1.3远程日志功能* (12) 第4章IP协议安全要求 (13) 4.1IP协议 (13) 4.1.1VRRP认证 (13) 4.1.2系统远程服务只允许特定地址访问 (13) 4.2功能配置 (15) 4.2.1SNMP的Community默认通行字口令强度 (15) 4.2.2只与特定主机进行SNMP协议交互 (16) 4.2.3配置SNMPV2或以上版本 (17) 4.2.4关闭未使用的SNMP协议及未使用write权限 (18) 第5章IP协议安全要求 (19)
5.1其他安全配置 (19) 5.1.1关闭未使用的接口 (19) 5.1.2修改设备缺省BANNER语 (20) 5.1.3配置定时账户自动登出 (20) 5.1.4配置console口密码保护功能 (21) 5.1.5端口与实际应用相符 (22)
四川长虹电器股份有限公司 虹微公司管理文件 信息安全基线管理办法 ××××–××–××发布××××–××–××实施 四川长虹虹微公司发布 第 I 页共 5 页
目录 1目的 (1) 2 正文 (1) 2.1术语定义 (1) 2.2职责分工 (1) 2.2.1信息安全服务部 (1) 2.2.2各职能部门 (1) 2.3管理内容 (2) 2.3.1 信息安全基线的编制 (2) 2.3.2 信息安全基线的评审 (2) 2.3.3 信息安全基线的发布 (2) 2.3.4信息安全基线的实施 (2) 2.3.5信息安全基线的修订 (2) 3 检查计划 (2) 4 解释 (2) 5 附录 (3)
1目的 明确公司各部门在业务开展、管理活动执行过程中的最低信息安全要求，有效防范信息安全风险，提高公司的抗风险能力。 2 正文 2.1 术语定义 信息安全：广义上是指信息网络的硬件、软件及其系统中的数据受到保护，不受偶然的或者恶意的原因而遭到破坏、更改、泄露，保证系统连续可靠正常地运行，信息服务不中断。 信息安全基线：信息安全基线是公司最低的信息安全保证，即公司在业务开展、管理活动执行过程中需要满足的最基本安全要求。信息安全基线是实现信息安全风险评估和风险管理的前提和基础。 2.2 职责分工 2.2.1信息安全服务部 负责本管理办法及附录安全基线的制定和发布，并定期维护和更新。 监督和指导本管理办法及附录安全基线在公司范围内的执行。 定期检查信息安全基线在公司各部门的落实情况，并向公司管理层汇报。 2.2.2各职能部门 根据本管理办法和安全基线要求，组织编制和优化本部门/事业群（以下统称“部门”）的安全管理制度和工作流程，保证安全基线在本部门的落地执行。 配合信息安全服务部确认信息安全基线内容，编制信息安全基线在本部门的落实计划。 协助和配合信息安全基线检查、风险整改等工作。 配合公司关于信息安全基线的宣贯和推广工作，并在本部门内进一步宣贯和落实。