IT系统安全基线规范V30.docx

IT系统安全基线规范V30.docx

《IT系统安全基线规范V30.docx》由会员分享，可在线阅读，更多相关《IT系统安全基线规范V30.docx（155页珍藏版）》请在冰豆网上搜索。

IT系统安全基线规范V30

中国xx公司IT技术规范

IT系统安全基线规范

中国xx公司信息技术部

1.范围

本规范对各类操作系统、网络设备、数据库、中间件和WEB应用的安全配置和检查明确了基本的要求。

本规范适用于xxxIT系统的各类操作系统、网络设备、数据库、中间件和WEB应用，可以作为产品准入、入网测试、工程验收、系统运维配置、自我评估、安全加固的依据。

2.术语、定义和缩略语

词语

解释

SecurityBaseline

安全基线：

是设备功能和配置方面的基本安全要求，是信息系统的最小安全保证和最基本的、必须满足的安全要求。

它适用于未上线和已上线系统，用于保障组织内IT系统安全水平。

SHG

安全加固手册SecurityHardenGuideline

SBL

安全基线SecurityBaseline

安全风险

人为或自然的威胁可能利用IT系统中存在的脆弱性导致安全事件的发生及其对组织造成的影响。

安全风险评估

指运用科学的方法和手段，系统地分析IT系统所面临的威胁及其存在的脆弱性，评估安全事件一旦发生可能造成的危害程度，提出有针对性的抵御威胁的防护对策和安全措施。

防范和化解IT系统安全风险，或者将风险控制在可接受的水平，为最大限度地为保障IT系统的安全提供科学依据

资产

是安全防护保护的对象。

IT系统的资产可能是以多种形式存在，无形的、有形的、硬件、软件，包括物理布局、通信设备、物理线路、数据、软件、文档、规程、业务、人员、管理等各种类型的资源，如OA系统、ERP系统等。

资产价值

资产的重要程度或敏感程度。

资产价值是资产的属性，也是进行资产识别的主要内容。

威胁

可能导致对IT系统产生危害的不希望事故潜在起因，它可能是人为的，也可能是非人为的；可能是无意失误，也可能是恶意攻击。

常见的威胁有黑客入侵、硬件故障、人为操作失误、火灾、水灾等等。

脆弱性

是IT系统中存在的弱点、缺陷与不足，不直接对资产造成危害，但可能被威胁所利用从而危害资产的安全。

3.总体说明

3.1编写背景

xxxIT系统的设备、主机、应用等多采购自第三方，在部署之前往往只执行了功能测试，各个系统安全水平不一，容易遭受黑客攻击，存在很多安全隐患。

为了保证整体安全水平，防止系统设备因为安全配置不到位而带来安全风险，有必要对系统设备的安全性进行检查和加固。

若系统按照安全基线进行了检查和加固，则可以确保系统和设备安全符合性达到要求，杜绝大部分的安全隐患。

为此，制定各系统的安全基线，作为产品准入、入网测试、工程验收、系统运维配置、自我评估、安全加固依据，同时也是满足内控管理要求的依据。

此次系列安全基线规范覆盖了应用层、中间件层、操作系统层以及网络层，并依据这些安全基线建立准入措施，从源头和根本上控制和提高系统的安全性。

此次项目对安全基线的要求如下：

●覆盖面广，涵盖常见IT系统和设备，并涵盖Web应用和源代码的安全基线；

●可操作性强，针对每个检查项均有简洁的操作说明；

●定期更新，应当周期性的对基线进行补充和更新；

●成果可固化，基线可以被集成为检查工具；

●安全基线将作为系统和设备安全准入的必要条件。

3.2安全基线制定的方法论

安全基线制定主要基于以下方法：

1.参考产品原厂商的技术资料

2.参考安全服务及安全研究的成果

3.参考国内外大型研究机构及企业现行的安全基线

4.结合xxx集团总部下发的相关规范及xxx信息技术部的实际情况

4.安全基线范围及内容概述

4.1覆盖范围及适用版本

目前省、市公司IT系统中部署了数量众多的IT设备和系统，主要包括网络设备、主机、数据库、中间件和应用系统等。

此次安全基线制定的范围需要涵盖xxx常见的IT系统和设备，具体包括：

1、应用系统：

▪Web应用层安全基线，针对Web应用的身份与访问控制、会话管理、代码质量、内容管理等方面制定安全检查项

2、中间件：

▪Apache

▪WebSphere

▪Tomcat

▪IIS

▪Weblogic

3、数据库：

▪Oracle

▪DB2

▪SQLServer

4、主机：

▪Windows

▪AIX

▪HP-UX

▪Solaris

▪Linux

5、设备：

▪Cisco

▪HuaWei

▪Juniper

以上设备和系统之外的安全基线将根据需要进行补充。

4.2安全基线编号说明

安全基线采用SBL-设备系统名称-数字-数字-数字的方式命名，设备系统名称是指此基线适用的设备或系统，例如windows、oracle等，后续的数字编号指基线要求的具体项目编号，例如SBL-WebAPP-02-02-01是指Web应用的安全基线，属于此基线第二章身份与访问控制第二小节登录用图片验证码的第一项要求，因此后续数字编号为02-02-01。

4.3安全基线组织及内容

xxx信息技术部制定的安全基线主要分为两大类，第一大类是应用层基线，由于此层的应用系统多为定制开发，因此重在考虑设计、开发、测试环节引入的安全问题。

Web应用层安全基线通常包括以下九个范畴的要求：

1）身份与访问控制

2）会话管理

3）代码质量

4）内容管理

5）防钓鱼与防垃圾邮件

6）密码算法

7）系统日志

8）安装配置

9）安全维护

第二大类是通用的IT基础设施系统层基线，这类系统包括中间件、数据库、操作系统和网络设备等，它们多为非定制标准化产品，原厂商技术支持较好，资料完整，因此这类安全基线的内容主要关注帐号口令、安全策略，补丁情况，网络协议，日志等问题。

5.Web应用安全基线规范

5.1身份与访问控制

5.1.1账户锁定策略

安全基线项目名称

Web应用账户锁定策略安全基线要求项

安全基线编号

SBL-WebAPP-02-01-01

安全基线项说明

用户登录失败一定次数后系统自动锁定账号一段时间，以防止暴力猜测密码。

检测操作步骤

尝试使用错误用户名口令失败登录多次，

基线符合性判定依据

用户登录失败一定次数后系统自动锁定账号。

备注

5.1.2登录用图片验证码

安全基线项目名称

Web应用登录验证策略安全基线要求项

安全基线编号

SBL-WebAPP-02-02-01

安全基线项说明

用户登录需提供图片验证码，以防止固定密码暴力猜测账号。

检测操作步骤

检查登录认证界面输入项，并右键点击图片查看链接属性。

基线符合性判定依据

要求包含图片验证码输入项，并且图片链接属性不得包含明文图片验证码。

备注

5.1.3口令传输

安全基线项目名称

Web应用口令传输策略安全基线要求项

安全基线编号

SBL-WebAPP-02-03-01

安全基线项说明

不能明文传输用户登录密码。

检测操作步骤

尝试登录系统，并使用抓包工具查看交互过程中在网络传输的内容。

基线符合性判定依据

要求不得出现明文口令

备注

5.1.4保存登录功能

安全基线项目名称

Web应用保存登录安全基线要求项

安全基线编号

SBL-WebAPP-02-04-01

安全基线项说明

不能提供“保存登录”功能，该功能可能被利用于CSRF攻击。

检测操作步骤

检查登录界面是否提供了保存登录功能

基线符合性判定依据

不得提供该功能。

备注

5.1.5纵向访问控制

安全基线项目名称

Web应用纵向访问安全基线要求项

安全基线编号

SBL-WebAPP-02-05-01

安全基线项说明

合理进行纵向访问控制，不允许普通用户访问管理功能。

检测操作步骤

了解是否有不允许普通用户访问的功能，尝试直接在浏览器中访问功能链接。

基线符合性判定依据

用户不得跨权限访问受控页面

备注

5.1.6横向访问控制

安全基线项目名称

Web应用横向访问安全基线要求项

安全基线编号

SBL-WebAPP-02-06-01

安全基线项说明

合理进行横向访问控制，不允许用户访问其他用户的敏感数据。

检测操作步骤

了解是否存在敏感信息，检查是否对个人敏感信息进行了有效保护

基线符合性判定依据

用户不得跨权限查看其它用户受保护敏感信息

备注

5.1.7敏感资源的访问

安全基线项目名称

Web应用敏感资源访问安全基线要求项

安全基线编号

SBL-WebAPP-02-07-01

安全基线项说明

需要限制对敏感资源的访问，例如后台管理，日志记录等。

检测操作步骤

检查服务器的文件是否存在敏感资源，测试是否限制了这些资源的访问。

基线符合性判定依据

对敏感资源的访问应当受控。

备注

5.2会话管理

5.2.1会话超时

安全基线项目名称

Web应用会话超时安全基线要求项

安全基线编号

SBL-WebAPP-03-01-01

安全基线项说明

当用户长时间不操作时，系统自动终止超时会话。

检测操作步骤

登录系统后不操作，等待合理的时间间隔。

基线符合性判定依据

要求预先设计的时间间隔后查看页面自动中止超时会话。

备注

5.2.2会话终止

安全基线项目名称

Web应用会话终止安全基线要求项

安全基线编号

SBL-WebAPP-03-02-01

安全基线项说明

系统需提供“退出”功能，允许用户强制终止当前的会话。

检测操作步骤

登录系统后点击系统提供的“退出”功能，然后在同一IE窗口下视图回退到登录后的页面，并访问相应的功能

基线符合性判定依据

点击退出后，上述检测操作结果不成功

备注

5.2.3会话标识

安全基线项目名称

Web应用会话标识安全基线要求项

安全基线编号

SBL-WebAPP-03-03-01

安全基线项说明

会话标识必须足够随机，防止攻击者猜测标识或依据当前标识推导后续的标识。

检测操作步骤

检查多个会话标识的格式。

基线符合性判定依据

多个会话标识不得存在简单明了的逻辑关系，要求具有随机性

备注

5.2.4会话标识复用

安全基线项目名称

Web应用会话标识复用安全基线要求项

安全基线编号

SBL-WebAPP-03-04-01

安全基线项说明

用户登录后必须分配新的会话标识，不能继续使用用户未登录前所使用的标识。

检测操作步骤

检查登录前后是否使用相同的会话标识。

基线符合性判定依据

用户登录后必须分配新的会话标识，不能继续使用用户未登录前所使用的标识。

备注

5.3代码质量

5.3.1防范跨站脚本攻击

安全基线项目名称

Web应用防范跨站脚本安全基线要求项

安全基线编号

SBL-WebAPP-04-01-01

安全基线项说明

系统要防止将用户输入未经检查就直接输出到用户浏览器，防范跨站脚本攻击。

检测操作步骤

检查系统是否存在跨站脚本攻击漏洞。

例如在能够回显的输入框输入

基线符合性判定依据

要求系统能够将输入内容中的控制字当作纯文本内容处理

备注

5.3.2防范SQL注入攻击

安全基线项目名称

Web应用防范SQL注入安全基线要求项

安全基线编号

SBL-WebAPP-04-02-01

安全基线项说明

系统要防止将用户输入未经检查就用于构造数据库查询，防范SQL注入攻击。

检测操作步骤

检查系统是否存在SQL注入漏洞。

例如在输入框中输入’

基线符合性判定依据

系统要使用诸如preparedstatement等方式防止SQL注入，将输入内容中的控制字也当作纯文本处理

备注

5.3.3防止路径遍历攻击

安全基线项目名称

Web应用防范路径遍历安全基线要求项

安全基线编号

SBL-WebAPP-04-03-01

安全基线项说明

系统要防止将用户输入未经检查就用于构造文件路径，防止路径遍历攻击。

检测操作步骤

尝试在URL与输入中构造文件路径并查看页面反应

基线符合性判定依据

不允许通过构造文件路径的方式直接查看文件

备注

5.3.4防止命令注入攻击

安全基线项目名称

Web应用防范命令注入安全基线要求项

安全基线编号

SBL-WebAPP-04-04-01

安全基线项说明

系统要防止将用户输入未经检查就用于构造操作系统命令并执行。

检测操作步骤

尝试在各个输入点进行命令注入攻击

基线符合性判定依据

命令注入攻击不得成功

备注

5.3.5防止其他常见的注入攻击

安全基线项目名称

Web应用防范其它注入安全基线要求项

安全基线编号

SBL-WebAPP-04-05-01

安全基线项说明

防止系统存在LDAP注入、XML注入、XPATH注入、SMTP注入等漏洞。

检测操作步骤

尝试在各个输入点进行其它常见注入攻击

基线符合性判定依据

各类注入攻击不得成功

备注

5.3.6防止下载敏感资源文件

安全基线项目名称

Web应用防范下载漏洞安全基线要求项

安全基线编号

SBL-WebAPP-04-06-01

安全基线项说明

如果系统提供了下载功能，要防止用户通过路径遍历漏洞下载敏感资源文件。

检测操作步骤

如果系统提供了下载功能，试图通过路径遍历漏洞下载敏感资源文件。

基线符合性判定依据

各类下载攻击不得成功

备注

5.3.7防止上传后门脚本

安全基线项目名称

Web应用防范上传漏洞安全基线要求项

安全基线编号

SBL-WebAPP-04-07-01

安全基线项说明

如果系统提供了文件上传功能，要防止用户上传后门脚本。

检测操作步骤

如果系统提供了上传功能，试图通过上传功能上传恶意文件。

基线符合性判定依据

各类上传攻击不得成功

备注

5.3.8保证多线程安全

安全基线项目名称

Web应用多线程安全基线要求项

安全基线编号

SBL-WebAPP-04-08-01

安全基线项说明

如果系统某资源可被多人同时修改，或被同一用户经过不同的方式同时修改，或被用户线程与系统线程同时修改，需要保证多线程安全。

检测操作步骤

如果系统存在多线程问题，分析保护多线程访问资源的安全解决方案

基线符合性判定依据

必须有适当的解决方案

备注

5.3.9保证释放资源

安全基线项目名称

Web应用释放资源基线要求项

安全基线编号

SBL-WebAPP-04-09-01

安全基线项说明

系统需保证在正常与异常流程时都能正确释放不需要的资源，例如打开的文件，数据库连接等。

检测操作步骤

分析正常与异常流程中资源释放的动作

基线符合性判定依据

资源释放覆盖所有流程分支

备注

5.4内容管理

5.4.1加密存储敏感信息

安全基线项目名称

Web应用加密存储敏感信息基线要求项

安全基线编号

SBL-WebAPP-05-01-01

安全基线项说明

系统应当加密存储敏感信息，如密码、信用卡号等。

检测操作步骤

分析系统中敏感信息的存储与加密

基线符合性判定依据

要求加密算法安全，对信息有适当访问控制

备注

5.4.2避免泄露敏感技术细节

安全基线项目名称

Web应用信息泄漏基线要求项

安全基线编号

SBL-WebAPP-05-02-01

安全基线项说明

系统应当避免向用户提示过多的技术细节，防止被攻击者利用。

例如错误信息中可能包含SQL语句，这有利于攻击者构造合法的攻击字串；又如Html中可能包含了技术性的注释语句，可能被攻击者利用。

检测操作步骤

分析各个页面的源码，查看提示页面，尤其是出错提示页面

基线符合性判定依据

各个页面不得包含技术性注释，各个提示页面不得包含Web服务器版本、源代码等信息

备注

5.5防钓鱼与防垃圾邮件

5.5.1防钓鱼

安全基线项目名称

Web应用重定向基线要求项

安全基线编号

SBL-WebAPP-06-01-01

安全基线项说明

系统应当避免通过用户控制的参数来重定向或包含另外一个网站的内容。

检测操作步骤

分析系统存在任意重定向或包含其它网站内容的控制

基线符合性判定依据

不得由用户控制的参数生成重定向

备注

5.5.2防垃圾邮件

安全基线项目名称

Web应用垃圾邮件基线要求项

安全基线编号

SBL-WebAPP-06-02-01

安全基线项说明

如果系统提供了发送邮件的功能，应当防止被利用于发送垃圾邮件。

检测操作步骤

检查系统发送邮件功能

基线符合性判定依据

不得存在滥用此功能的可能

备注

5.6密码算法

5.6.1安全算法

安全基线项目名称

Web应用安全算法基线要求项

安全基线编号

SBL-WebAPP-07-01-01

安全基线项说明

如果系统采用了密码算法，应当采用安全的密码算法，且符合算法的应用场景。

检测操作步骤

检查所有系统中使用的安全算法

基线符合性判定依据

不得使用已经被证明为不安全的算法或者自定义不安全算法

备注

5.6.2密钥管理

安全基线项目名称

Web应用密钥管理基线要求项

安全基线编号

SBL-WebAPP-07-02-01

安全基线项说明

如果系统采用了密码算法，且拥有密钥，那么应当有文档化的密钥管理办法并严格遵照执行。

检测操作步骤

检查所有系统中使用的密钥管理

基线符合性判定依据

不得使用不安全的密钥管理办法

备注

6.中间件安全基线内容

6.1Apache安全配置基线

6.1.1日志配置

6.1.1.1审核登录

安全基线项目名称

Apache审核登录策略安全基线要求项

安全基线编号

SBL-Apache-02-01-01

安全基线项说明

设备应配置日志功能，对运行错误、用户访问等进行记录，记录内容包括时间，用户使用的IP地址等内容。

检测操作步骤

1、参考配置操作

编辑httpd.conf配置文件，设置日志记录文件、记录内容、记录格式。

LogLevelnotice

ErrorLoglogs/error_log

LogFormat"%h%l%u%t\"%r\"%>s%b\"%{Accept}i\"\"%{Referer}i\"\"%{User-Agent}i\""combined

CustomLoglogs/access_logcombined

ErrorLog指令设置错误日志文件名和位置。

错误日志是最重要的日志文件，Apachehttpd将在这个文件中存放诊断信息和处理请求中出现的错误。

若要将错误日志送到Syslog，则设置：

ErrorLogsyslog。

CustomLog指令设置访问日志的文件名和位置。

访问日志中会记录服务器所处理的所有请求。

LogFormat设置日志格式。

LogLevel用于调整记录在错误日志中的信息的详细程度，建议设置为notice。

基线符合性判定依据

1、判定条件

查看logs目录中相关日志文件内容，记录完整。

2、检测操作

查看相关日志记录。

3、补充说明

备注

6.1.2访问权限

6.1.2.1禁止访问外部文件

安全基线项目名称

Apache目录访问权限安全基线要求项

安全基线编号

SBL-Apache-03-01-01

安全基线项说明

禁止Apache访问Web目录之外的任何文件。

检测操作步骤

1、参考配置操作

编辑httpd.conf配置文件，

OrderDeny,Allow

Denyfromall

2、补充操作说明

设置可访问目录，

OrderAllow,Deny

Allowfromall

其中/web为网站根目录。

基线符合性判定依据

1、判定条件

无法访问Web目录之外的文件。

2、检测操作

访问服务器上不属于Web目录的一个文件，结果应无法显示。

3、补充说明

备注

6.1.3防攻击管理

6.1.3.1错误页面处理

安全基线项目名称

Apache错误页面安全基线要求项

安全基线编号

SBL-Apache-03-02-01

安全基线项说明

Apache错误页面重定向

检测操作步骤

1、参考配置操作

（1）修改httpd.conf配置文件：

ErrorDocument400/custom400.html

ErrorDocument401/custom401.html

ErrorDocument403/custom403.html

ErrorDocument404/custom404.html

ErrorDocument405/custom405.html

ErrorDocument500/custom500.html

Customxxx.html为要设置的错误页面。

（2）重新启动Apache服务

基线符合性判定依据

1、判定条件

指向指定错误页面

2、检测操作

URL地址栏中输入http:

//ip/xxxxxxx~~~（一个不存在的页面）

备注

6.1.3.2目录列表访问限制

安全基线项目名称

Apache目录列表安全基线要求项

安全基线编号

SBL-Apache-03-02-02

安全基线项说明

禁止Apache列表显示文件

检测操作步骤

1、参考配置操作

（1）编辑httpd.conf配置文件，

OptionsFollowSymLinks

AllowOverrideNone

Orderallow,deny

Allowfromall

将OptionsIndexesFollowSymLinks中的Indexes去掉，就可以禁止Apache显示该目录结构。

Indexes的作用就是当该目录下没有index.html文件时，就显示目录结构。

（2）设置Apache的默认页面，编辑%apache%\conf\httpd.conf配置文件，

DirectoryIndexindex.html

其中index.html即为默认页面，可根据情况改为其它文件。

（3）重新启动Apache服务

基线符合性判定依据

1、判定条件

当WEB目录中没有默认首页如index.html文件时，不会列出目录内容

2、检测操作

直接访问http:

//ip:

8800/xxx（xxx为某一目录）

备注

6.1.3.3删除无用文件

安全基线项目名称

Apache无用文件安全基线要求项

安全基线编号

SBL-Apache-03-02-04

安全基线项说明

删除缺省安装的无用文件。

检测操作步骤

1、参考配置操作

删除缺省HTML文件：

#rm-rf/usr/local/apache2/htdocs/*

删除缺省的CGI脚本：

#rm–rf/usr/local/