当前位置：文档之家 › 信息安全 风险评估 检查流程 信息安全加固手册 Windows Checklist 免费版

信息安全 风险评估 检查流程 信息安全加固手册 Windows Checklist 免费版

  • 格式：doc
  • 大小：889.50 KB
  • 文档页数：42

1 /42 8/6/2013

Cnliuy免费版

信息安全加固手册

WINDOWS系统

二零零五年四月

2 /42 8/6/2013

文档修改记录

修改日期 修改人 修改说明 版本号

2005.4.14

3 /42 8/6/2013

1 补丁类....................................................................................................................................... 5

1.1 最新的Service Pack ..................................................................................................... 5

1.2 最新的Hotfixs .............................................................................................................. 5

2 端口服务类 ............................................................................................................................... 6

2.1 禁止Messenger服务 ................................................................................................... 6

2.2 禁止Telnet服务 ........................................................................................................... 7

3系统参数类 .................................................................................................................................... 7

3.1禁止自动登录 ..................................................................................................................... 7

3.2禁止在蓝屏后自动启动机器 ............................................................................................. 8

3.4删除服务器上的管理员共享 ............................................................................................. 9

3.5防止计算机浏览器欺骗攻击 ............................................................................................. 9

4网络参数类 .................................................................................................................................. 10

4.1防止碎片包攻击 ............................................................................................................... 10

4.2 keep-alive时间 ................................................................................................................. 11

5用户管理、访问控制、审计功能类 .......................................................................................... 12

5.1验证Passwd强度 ............................................................................................................. 12

5.2密码长度 ........................................................................................................................... 12

5.3密码使用时间 ................................................................................................................... 14

5.4账号登录事件审计 ........................................................................................................... 15

5.5账号管理审计 ................................................................................................................... 16

5.6目录服务访问审计 ........................................................................................................... 18

5.7登录事件审计 ................................................................................................................... 19

5.8对象访问审计 ................................................................................................................... 21

5.9策略更改审计 ................................................................................................................... 22

5.10特权使用审计 ................................................................................................................. 24

5.11进程跟踪审计 ................................................................................................................. 25

5.12系统事件审计 ................................................................................................................. 27

5.13失败登录账号锁定 ......................................................................................................... 28

5.14失败登录账号锁定时间 ................................................................................................. 29

5.15登录时间到期时自动退出登录 ..................................................................................... 30

5.16不显示上次登录的用户名 ............................................................................................. 31

5.17 防止系统保持计算机账号和口令 ................................................................................ 32

5.18防止用户安装打印机驱动程序 ..................................................................................... 34

5.19恢复控制台禁止管理员自动登录 ................................................................................. 35

6防病毒.......................................................................................................................................... 36

6.1安装防病毒软件及其更新 ............................................................................................... 37

合集下载

信息安全内审checklist完整版

信息安全内审checklist完整版

信息安全内审checklist

HEN system office room 【HEN16H-HENS2AHENS8Q8-HENH1688】 审查内容 审查要点 检查是否开展了信息安全的检查活动？ 有安全检查记录或者报告，和改善记录 1，是否制定了资产清单，包含了所有的客户信息资产，包括服务器，个人电脑，网络设备，支持设备，人员，数据

2，对这些资产清单是否有定期的更新

1. 确认资产清单正确2. 确认更新记录3. 客户的资产的保护

上面的资产清单上是否标识了所有人和保管人？ （要点：确认资产的所有人和保管人被清楚的标识，并且和实际情况相符）

是否按客户文档的密级规则进行了适当的保护 确认对于机密信息(电子文档，打印文档),限定范围的信息(电子文档，打印文档)是否有‘明确标识’。根据需要，确认‘限定范围’，‘附带标识’，‘制定日期’，‘制定者’。

是否使所有员工和信息安全相关人员签署了保密协议/合同？

是否有信息安全意识、教育和培训计划？ 确认培训计划 是否执行了信息安全意识、教育和培训？ 培训记录（实施日期，培训内容/教材,参加人员） 是否制定了信息安全惩戒规程？ 是否执行了信息安全惩戒？ 邮件用户是否清除了？ 抽查是否有离职人员的用户权限没有被清除 门禁权限是否清除了？ 内部OA权限是否清除了？

抽查是否有离职人员的用户权限没有被清除

SVN/CC/VSS权限是否清除了部门服务器的权限是否清除了 （要点：实地检查是否有离职员工/转出员工的访问权限没有被清除）

是否制订规则划分了安全区域？ 确认风险评估时是否划分了安全区域等级

是否执行了安全区域划分规则？ 对不同等级的区域是否有相应措施，措施是否被执行

是否制订安全区域出入规则？ 1. 在公司内部，员工是否佩带可以识别身份的门卡。2. 机房，实验室是否有出入管制规则

1.信息安全风险评估服务流程

1.信息安全风险评估服务流程

信息系统安全风险评估流程图

输出文件详细实施流程

风险准备阶段1.评估对象相关信息2.调研报告

风险识别阶段1.调研报告2.重要资产清单3.资产赋值表4.脆弱性列表5.脆弱性赋值表

风险分析阶段1.调研报告2.风险评估规范3.威胁利用脆弱性可能性列表4.脆弱性发生对组织造成影响列表5.风险列表1.重要资产清单2.资产赋值表3.脆弱性列表4.脆弱性赋值表5.威胁分类清单6.威胁识别请购单7.威胁利用脆弱性可能性列表8.脆弱性发生对组织造成影响列表9.已有安全措施列表10.安全措施有效性列表

1.风险分析模型2.风险计算方法3风险列表4.风险评估报告阶段工作职责

合同签订后，风险评估小组对评估对象进行充分的系统调研

对资产进行分类，识别重要信息资产，分析重要资产的保密性、完整性、可用性和业务相关性，并对其进行赋值。

识别已有安全措施并进行有效性分析需求调研

资产识别制定方案

已安全措施的确认

风险分析模型建立

风险计算输入文件

风险评价、风险评估报告

风险处置建议根据调研情况，编制风险评估实施方案，组建风险评估团队并进行安全教育与技术培训，确定风险评估拟使用的工具，并对工具进行检查和测试。

对已识别资产的脆弱性进行识别，包括管理脆弱性和技术脆弱性，并 对脆弱性进行赋值。对威胁进行分类，识别资产面临的威胁，分析威胁利用脆弱的可能性，分析威胁利用脆弱性对组织可能造成的影响。

根据调研报告，结合风险评估规范，建立合适的风险分析模型

根据风险识别情况，结合风险分析模型，制定合适的风险计算方法

根据风险计算方法，结合风险评估准则、通过威胁利用脆弱性可能性 列表、脆弱性发生对组织造成影响列表对系统风险进行评价，编制风险评估报告

确定风险处置原则和风险处置措施，提出风险处置建议。脆弱性识别威胁识别1.调研报告2.风险评估实施方案、3.培训记录表、4.工具测试记录表

1.风险列表风险处置阶段1.风险处置建议

1. 总则

为了完善制度化建设、优化流程管理，抓好风险评估流程建设，达到对所承担的风险评估项目进行有效控制和管理的目的，结合公司实际，特制定本流程。 2. 准备阶段

信息安全_风险评估_检查流程_防火墙安全评估检查表Firewall

信息安全_风险评估_检查流程_防火墙安全评估检查表Firewall

第 1 页 共 2 页 科技风险外部审计项目

防火墙审计检查表

防火墙 安全审核

被审核部门 审核人员 审核日期 陪同人员

序号 审核项目 审核步骤/方法 审核结果 补充说明 备注

1 防火墙安全策略审核 检查防火墙安全策略的设置是否合理：

1. 检查防火墙是否只开放了必须要开放的端口；

2. 检查防火墙是否禁止了所有不必要开放的端口；

3. 检查防火墙是否设置了防DOS攻击安全策略；

4. 检查防火墙是否设置了抗扫描安全措施。

2 防火墙应用模式安全审核 防火墙采用何种应用模式（透明、NAT、路由），是否采用了必要的NAT、PAT措施隐藏服务器及内部网络结构

3 防火墙软件检查 检查防火墙操作系统是否为最新版本、是否安装相应的安全补丁。

4 防火墙管理检查 1. 检查防火墙的通过什么方式进行管理，是否为安全的管理方式

2. 检查防火墙是否根据权限不同进行分级管理

3. 检查防火墙的口令设置情况，口令设置是否满足

第 2 页 共 2 页 防火墙 安全审核

被审核部门 审核人员 审核日期 陪同人员

序号 审核项目 审核步骤/方法 审核结果 补充说明 备注

安全要求

5 防火墙日志检查 1. 检查防火墙的日志设置是否合理，是否有所有拒绝数据包的记录日志。

2. 检查防火墙的日志保存情况，所记录的日志是否有连续性；

3. 检查防火墙日志的查看情况，网络安全管理员是否按照防火墙管理制度对防火墙进行日常维护

信息安全风险评估项目工序与操作流程

信息安全风险评估项目工序与操作流程

信息安全风险评估项目工序与流程

由于写报告的需要，上网找的资料，把它保存起来。

原文地址：

一、项目启动

1．双方召开项目启动会议，确定各自接口负责人。

==工作输出

1．《业务安全评估相关成员列表》（包括双方人员）

2．《报告蓝图》

==备注

1．务必请指定业务实施负责人作为项目接口和协调人；列出人员的电话号码和电子邮件帐号以备联络。

二、确定工作范围

1．请局方按合同范围提供《资产表》，也即扫描评估范围。

2．请局方指定需进行人工评估的资产，确定人工评估范围。

3．请局方给所有资产赋值（双方确认资产赋值）

4．请局方指定安全管理问卷调查（访谈）人员，管理、员工、安全主管各一人。

==工作输出

1．《会议备忘》（要求签字确认）

2．《资产表》（包括人工评估标记和资产值）

==备注

1．资产数量正负不超过15%；给资产编排序号，以方便事后检查。

2．给人工评估资产做标记，以方便事后检查。

3．资产值是评估报告的重要数据。

三、制定整体实施计划

1．按照工作范围制定整个项目的总体计划，包括现场准备、扫描评估、人工评估、问卷调查、加固实施等各阶段。

2．与接口负责人共同确定针对各相关资产进行管理评估，入侵检测系统实施扫描评估、人工评估的日期和时间段。

==工作输出

1．《总体项目进度甘特图》

2．《评估阶段工作计划表》

==备注

1．扫描评估、人工评估、问卷调查在可能的情况下可以同期进行；《工作计划表》交项目经理参考，以便配合。

2．确定日期以便于制定工作计划；确定时间段（白天、晚间、夜间甚至钟点）对加固阶段详细计划的确定更重要。

四、管理评估阶段

1．提供现有的安全管理规范和管理制度。

2．提供对应业务的系统信息，包括拓扑图、业务功能说明、业务流程说明（如能提供系统设计方案更佳）。

3．对应业务的管理、员工、安全主管进行访谈。

4．对现有安全管理制度的实行情况进行审计。