AIX操作系统安全配置规范Word文件下载.docx
《AIX操作系统安全配置规范Word文件下载.docx》由会员分享，可在线阅读，更多相关《AIX操作系统安全配置规范Word文件下载.docx（47页珍藏版）》请在冰豆网上搜索。
本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。
本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。
本标准起草单位：
中国移动通信有限公司网络部、中国移动通信集团天津、江苏有限公司。
本标准解释单位：
同提出单位。
本标准主要起草人：
张瑾、赵强、石磊、陈敏时、周智、曹一生。
1范围
本规范适用于中国移动通信网、业务系统和支撑系统中使用AIX操作系统的设备。
本规范明确了AIX操作系统配置的基本安全要求，在未特别说明的情况下，均适用于所有运行的AIX操作系统版本。
2规范性引用文件
本规范是在《中国移动设备通用设备安全功能和配置规范》（以下简称《通用规范》）各项设备配置要求的基础上，提出的AIX操作系统安全配置要求。
以
本规范还针对直接引用《通用规范》的配置要求，给出了在AIX操作系统上的具体配置方法和检测方法。
编号
采纳意见
补充说明
安全要求-设备-通用-配置-1
完全采纳
安全要求-设备-通用-配置-2
安全要求-设备-通用-配置-3-可选
安全要求-设备-通用-配置-4
安全要求-设备-通用-配置-5
安全要求-设备-通用-配置-29-可选
未采纳
安全要求-设备-通用-配置-6-可选
安全要求-设备-通用-配置-7-可选
安全要求-设备-通用-配置-9
安全要求-设备-通用-配置-12
安全要求-设备-通用-配置-13-可选
安全要求-设备-通用-配置-24-可选
安全要求-设备-通用-配置-14-可选
安全要求-设备-通用-配置-28
安全要求-设备-通用-配置-16-可选
安全要求-设备-通用-配置-17-可选
安全要求-设备-通用-配置-19
安全要求-设备-通用-配置-20-可选
安全要求-设备-通用-配置-27
本规范新增的安全配置要求，如下：
安全要求-设备-AIX-配置-4-可选
安全要求-设备-AIX-配置-5-可选
安全要求-设备-AIX-配置-12-可选
安全要求-设备-AIX-配置-13-可选
安全要求-设备-AIX-配置-18-可选
安全要求-设备-AIX-配置-19-可选
安全要求-设备-AIX-配置-21-可选
安全要求-设备-AIX-配置-22-可选
安全要求-设备-AIX-配置-23-可选
安全要求-设备-AIX-配置-24-可选
安全要求-设备-AIX-配置-27-可选
安全要求-设备-AIX-配置-28-可选
安全要求-设备-AIX-配置-31-可选
安全要求-设备-AIX-配置-32-可选
安全要求-设备-AIX-配置-33-可选
安全要求-设备-AIX-配置-34-可选
安全要求-设备-AIX-配置-35-可选
安全要求-设备-AIX-配置-36-可选
安全要求-设备-AIX-配置-37-可选
3术语和定义和缩略语
（对于规范出现的英文缩略语或符号在这里统一说明。
）
语词
英文描述
中文描述
4AIX设备安全配置要求
本规范所指的设备为采用AIX操作系统的设备。
本规范提出的安全配置要求，在未特别说明的情况下，均适用于采用AIX操作系统的设备。
本规范从运行AIX操作系统设备的认证授权功能、安全日志功能、IP网络安全功能，其他自身安全配置功能四个方面提出安全配置要求。
4.1账号管理、认证授权
4.1.1账号
编号：
安全要求-设备-通用-配置-1
要求内容
应按照不同的用户分配不同的账号，避免不同用户间共享账号，避免用户账号和设备间通信使用的账号共享。
操作指南
1、参考配置操作
为用户创建账号：
#useraddusername#创建账号
#passwdusername#设置密码
修改权限：
#chmod750directory#其中755为设置的权限，可根据实际情况设置相应的权限，directory是要更改权限的目录）
使用该命令为不同的用户分配不同的账号，设置不同的口令及权限信息等。
2、补充操作说明
检测方法
1、判定条件
能够登录成功并且可以进行常用操作；
2、检测操作
使用不同的账号进行登录并进行一些常用操作；
3、补充说明
安全要求-设备-通用-配置-2
应删除或锁定与设备运行、维护等工作无关的账号。
系统内存在不
可删除的内置账号，包括root,bin等。
删除用户：
#rmuser–pusername;
锁定用户：
1）修改/etc/shadow文件，用户名后加*LK*
2）将/etc/passwd文件中的shell域设置成/bin/false
3）#passwd-lusername
只有具备超级用户权限的使用者方可使用，#passwd-lusername锁定用户,用#passwd–dusername解锁后原有密码失效，登录需输入新密码，修改/etc/shadow能保留原有密码。
需要锁定的用户：
deamon,bin,sys,adm,uucp,nuucp,printq,guest,nobody,lpd,sshd
被删除或锁定的账号无法登录成功；
使用删除或锁定的与工作无关的账号登录系统；
deamon,bin,sys,adm,uucp,nuucp,printq,guest,nobody,lpd,sshd
安全要求-设备-通用-配置-3
限制具备超级管理员权限的用户远程登录。
远程执行管理员权限操作，应先以普通权限用户远程登录后，再切换到超级管理员权限账号后执行相应操作。
1、参考配置操作
编辑/etc/security/user，加上：
在root项上输入false作为rlogin的值
此项只能限制root用户远程使用telnet登录。
用ssh登录，修改此项不会看到效果的
如果限制root从远程ssh登录，修改/etc/ssh/sshd_config文件，将PermitRootLoginyes改为PermitRootLoginno，重启sshd服务。
root远程登录不成功，提示“Notonsystemconsole”；
普通用户可以登录成功，而且可以切换到root用户；
root从远程使用telnet登录；
普通用户从远程使用telnet登录；
root从远程使用ssh登录；
普通用户从远程使用ssh登录；
限制root从远程ssh登录，修改/etc/ssh/sshd_config文件，将PermitRootLoginyes改为PermitRootLoginno，重启sshd服务。
安全要求-设备-AIX-配置-4-可选
根据系统要求及用户的业务需求，建立多帐户组，将用户账号分配到相应的帐户组。
创建帐户组：
#groupadd–gGIDgroupname#创建一个组，并为其设置GID号，若不设GID，系统会自动为该组分配一个GID号；
#usermod–ggroupusername#将用户username分配到group组中。
查询被分配到的组的GID：
#idusername
可以根据实际需求使用如上命令进行设置。
可以使用-g选项设定新组的GID。
0到499之间的值留给root、bin、mail这样的系统账号，因此最好指定该值大于499。
如果新组名或者GID已经存在，则返回错误信息。
当group_name字段长度大于八个字符，groupadd命令会执行失败；
当用户希望以其他用户组成员身份出现时，需要使用newgrp命令进行更改，如#newgrpsys即把当前用户以sys组身份运行；
可以查看到用户账号分配到相应的帐户组中；
或都通过命令检查账号是否属于应有的组：
#idusername
查看组文件：
cat/etc/group
文件中的格式说明：
group_name:
:
GID:
user_list
安全要求-设备-AIX-配置-5-可选
对系统账号进行登录限制，确保系统账号仅被守护进程和服务使用，不应直接由该账号登录系统。
如果系统没有应用这些守护进程或服务，应删除这些账号。
禁止账号交互式登录：
修改/etc/shadow文件，用户名后密码列为NP；
删除账号：
#rmuser-pusername;
禁止交互登录的系统账号，比如uucpnuucplpdguestprintq等
被禁止账号交互式登录的帐户远程登录不成功；
用root登录后，新建一账号，密码不设，从远程用此帐户登录，登录会显示loginincorrect，如果root用户没设密码没有任何提示信息直接退出；
4.1.2口令
安全要求-设备-通用-配置-4
对于采用静态口令认证技术的设备，口令长度至少6位，并包括数字、小写字母、大写字母和特殊符号4类中至少2类。
chsec-f/etc/security/user-sdefault-aminlen=6
chsec-f/etc/security/user-sdefault-aminalpha=1
chsec-f/etc/security/user-sdefault-amindiff=1
chsec-f/etc/security/user-sdefault-aminother=1
chsec–f/etc/security/user–sdefault-apwdwarntime=5
minlen=6#密码长度最少6位
minalpha=1#包含的字母最少1个
mindiff=1#包含的唯一字符最少1个
minother=1#包含的非字母最少1个
pwdwarntime=5#系统在密码过期前5天发出修改密码的警告信息给用户
不符合密码强度的时候，系统对口令强度要求进行提示；
符合密码强度的时候，可以成功设置；
1、检查口令强度配置选项是否可以进行如下配置：
i.配置口令的最小长度；
ii.将口令配置为强口令。
2、创建一个普通账号，为用户配置与用户名相同的口令、只包含字符或数字的简单口令以及长度短于6位的口令，查看系统是否对口令强度要求进行提示；
输入带有特殊符号的复杂口令、普通复杂口令，查看系统是否可以成功设置。
安全要求-设备-通用-配置-5
对于采用静态口令认证技术的设备，帐户口令的生存期不长于90天。
方法一：
chsec-f/etc/security/user-sdefault-ahistexpire=13
方法二：
用vi或其他文本编辑工具修改chsec-f/etc/security/user文件如下值：
histexpire=13
histexpire=13#密码可重复使用的星期为13周（91天）
密码过期后登录不成功；
使用超过90天的帐户口令登录会提示密码过期；
安全要求-设备-通用-配置-6-可选
对于采用静态口令认证技术的设备，应配置设备，使用户不能重复使用最近5次（含5次）内已使用的口令。
chsec-f/etc/security/user-sdefault-ahistsize=5
histsize=5
histexpire=5#可允许的密码重复次数
设置密码不成功
cat/etc/security/user，设置如下
默认没有histsize的标记，即不记录以前的密码。
安全要求-设备-通用-配置-7-可选
对于采用静态口令认证技术的设备，应配置当用户连续认证失败次数超过6次（不含6次），锁定该用户使用的账号。
指定当本地用户登陆失败次数等于或者大于允许的重试次数则账号被锁定：
chsec-f/etc/security/user-sdefault-aloginretries=6
帐户被锁定，不再提示让再次登录；
创建一个普通账号，为其配置相应的口令；
并用新建的账号通过错误的口令进行系统登录6次以上（不含6次）；
4.1.3授权
安全要求-设备-通用-配置-9
在设备权限配置能力内，根据用户的业务需要，配置其所需的最小权限。
通过chmod命令对目录的权限进行实际设置。
2、补充操作说明
chown-Rroot:
security/etc/passwd/etc/group/etc/securitychown-Rroot:
audit/etc/security/auditchmod644/etc/passwd/etc/groupchmod750/etc/securitychmod-Rgo-w,o-r/etc/security
/etc/passwd/etc/group/etc/security的所有者必须是root和security组成员
/etc/security/audit的所有者必须是iroot和audit组成员
/etc/passwd所有用户都可读，root用户可写–rw-r—r—
/etc/shadow只有root可读–r--------
/etc/group必须所有用户都可读，root用户可写–rw-r—r—
使用如下命令设置：
chmod644/etc/passwd
chmod644/etc/group
如果是有写权限，就需移去组及其它用户对/etc的写权限（特殊情况除外）
执行命令#chmod-Rgo-w,o-r/etc
1、设备系统能够提供用户权限的配置选项，并记录对用户进行权限配置是否必须在用户创建时进行；
2、记录能够配置的权限选项内容；
3、所配置的权限规则应能够正确应用，即用户无法访问授权范围之外的系统资源，而可以访问授权范围之内的系统资源。
1、利用管理员账号登录系统，并创建2个不同的用户；
2、创建用户时查看系统是否提供了用户权限级别以及可访问系统资源和命令的选项；
3、为两个用户分别配置不同的权限，2个用户的权限差异应能够分别在用户权限级别、可访问系统资源以及可用命令等方面予以体现；
4、分别利用2个新建的账号访问设备系统，并分别尝试访问允许访问的内容和不允许访问的内容，查看权限配置策略是否生效。
安全要求-设备-AIX-配置-12-可选
控制用户缺省访问权限，当在创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。
防止同属于该组的其它用户及别的组的用户修改该用户的文件或更高限制。
A.设置所有存在账户的权限：
lsuser-ahomeALL|awk'
{print$1}'
|whilereaduser;
dochuserumask=077$user
done
vi/etc/default/login在末尾增加umask027
B.设置默认的profile，用编辑器打开文件/etc/security/user，找到umask这行，修改如下：
Umask=077
如果用户需要使用一个不同于默认全局系统设置的umask，可以在需要的时候通过命令行设置，或者在用户的shell启动文件中配置。
权限设置符合实际需要；
不应有的访问允许权限被屏蔽掉；
查看新建的文件或目录的权限，操作举例如下：
#ls-ldir;
#查看目录dir的权限
#cat/etc/default/login查看是否有umask027内容
umask的默认设置一般为022，这给新创建的文件默认权限755（777-022=755），这会给文件所有者读、写权限，但只给组成员和其他用户读权限。
umask的计算：
umask是使用八进制数据代码设置的，对于目录，该值等于八进制数据代码777减去需要的默认权限对应的八进制数据代码值；
对于文件，该值等于八进制数据代码666减去需要的默认权限对应的八进制数据代码值。
安全要求-设备-AIX-配置-13-可选
控制FTP进程缺省访问权限，当通过FTP服务创建新文件或目录时应屏蔽掉新文件或目录不应有的访问允许权限。
a.限制某些系统帐户不准ftp登录:
通过修改ftpusers文件，增加帐户
#vi/etc/ftpusers
b.限制用户可使用FTP不能用Telnet，假如用户为ftpxll
创建一个/etc/shells文件,添加一行/bin/true;
修改/etc/passwd文件，ftpxll:
x:
119:
1:
/home/ftpxll:
/bin/true
注：
还需要把真实存在的shell目录加入/etc/shells文件，否则没有用户能够登录ftp
以上两个步骤可参考如下shell自动执行：
lsuser-cALL|grep-v^#name|cut-f1-d:
|whilereadNAME;
doif[`lsuser-f$NAME|grepid|cut-f2-d=`-lt200];
thenecho"
Adding$NAMEto/etc/ftpusers"
echo$NAME>
>
/etc/ftpusers.newfidonesort-u/etc/ftpusers.new>
/etc/ftpusersrm/etc/ftpusers.newchownroot:
system/etc/ftpuserschmod600/etc/ftpusers
c.限制ftp用户登陆后在自己当前目录下活动
编辑ftpaccess，加入如下一行restricted-uid*（限制所有），
restricted-uidusername（特定用户）
ftpaccess文件与ftpusers文件在同一目录
d.设置ftp用户登录后对文件目录的存取权限，可编辑/etc/ftpaccess。
chmodnoguest,anonymous
deletenoguest,anonymous
overwritenoguest,anonymous
renamenoguest,anonymous
umasknoanonymous
查看#catftpusers
说明:
在这个列表里边的用户名是不允许ftp登陆的。
root
daemon
bin
sys
adm
lp
uucp
nuucp
listen
nobody
noaccess
nobody4
#more/etc/ftpusers
#more/etc/passwd
#more/etc/ftpaccess
4.2日志配置要求
本部分对AIX操作系统设备的日志功能提出要求，主要考察设备所具备的日志功能，确保发生安全事件后，设备日志能提供充足的信息进行安全事件定位。
根据这些要求，设备日志应能支持记录与设备相关的重要事件，包括违反安全策略的事件、设备部件发生故障或其存在环境异常等，以便通过审计分析工具，发现安全隐患。
如出现大量违反ACL规则的事件时，通过对日志的审计分析，能发现隐患，提高设备维护人员的警惕性，防止恶化。
安全要求-设备-通用-配置-12
设备应配置日志功能，对用户登录进行记录，记录内容包括用户登录使用的账号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址。
修改配置文件vi/etc/syslog.conf，加上这几行：
auth.info\t\t/var/adm/authlog
*.info;
auth.none\t\t/var/ad
升级会员 