安全加固解决方案.docx

安全加固解决方案.docx

《安全加固解决方案.docx》由会员分享，可在线阅读，更多相关《安全加固解决方案.docx（28页珍藏版）》请在冰豆网上搜索。

安全加固解决方案

1.1安全加固解决方案

1.1.1安全加固范围及方法确定

加固的范用是陕西电视台全台网中的主机系统和网络设备，以及相关的数据库系统。

主要有：

服务器加固。

主要包括对Windows服务器和Unix服务器的评估加固，其中还包括对服务器操作系统层面的评估和数据库层面的评估加固。

网络设备加固。

主要包括对防火墙，交换机的评佔加固。

安全加固服务主要以人工的方式实现。

1.1.2安全加固流程

败脚I1：

：

-12

安全加固流程匡

图Error!

Notextofspecifiedstyleindocument.-1安全加固流程图

*

观察系统运行

图Error!

Notextofspecifiedstyleindocument.-2系统加固实施流程图2

1.1.3安全加固步

1.准备工作

一人操作，一人记录，尽量防止可能出现的误操作。

2.收集系统信息

加固之前收集所有的系统信息和用户服务需求，收集所有应用和服务软件信息，做好加固前预备工作。

3.做好备份工作

系统加固之前，先对系统做完全备份。

加固过程可能存在任何不可遇见的风险，当加固失败时，可以恢复到加固前状态。

贝w内容12

4.加固系统

按照系统加固核对表，逐项按顺序执行操作。

5.复查配置

对加固后的系统，全部复查一次所作加固内容，确保正确无误。

6.应急恢复

当出现不可预料的后果时，首先使用备份恢复系统提供服务，同时与安全专家小组取得联系，寻求帮助，解决问题

败脚I1：

：

-12

1.1.4安全加固内容

表Error!

Notextofspecifiedstyleindocument•-1安全加固内容说明表

加固

对象

操作系统

加固项目

说明

UNIX系统及类UNIX系统

Solaris,HP-UX,AIX>linuxiFreeBSD♦OpenBSD»SCO

补丁

从厂家网站或者可信任站点下载系统的补丁包，不同的操作系统版本以及运行不同的服务，都可能造成需要安装的补丁包不同，所以必须选择适合本机的补丁包安装。

［视机器配置而定］

文件系统

UNIX文件系统的权限配置项目繁多，要求也很严格，不适当的配置可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。

［有30项左右配置］

配置文件

%IX配置文件功能有点类似微软的注册表，UNIX对操作系统配置基本上都是通过各种配苣文件来完成，不合理的配宜文件可能造成用户非法取得操作系统超级用户的控制权，从而完全控制操作系统。

例如：

/etc/inittab文件是系统加载时首先自动执行的文件，/etc/hostsoequiv是限制主机信任关系的文件等。

［有20项左右配置］

帐号管理

帐号口令是从网络访问UNIX系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配置策略（例如：

密码长度，更换时间，帐号所在组，帐号锁泄等多方而）。

有些系统可以配置使用更强的加密算法。

〔有10项左右配置］

网络及服务

UNIX有很多缺省打开的服务，这些服务都可能泄露本机信息，或存在未被发现的安全漏洞，关闭不必要的服务，能尽量降低被入侵的可能性。

例如r系列服务和rpc的rstatd都岀过不止一次远程安全漏洞。

UNIX缺省的网络配置参数也不尽合理，例如TCP序列号随机强度，对D。

0。

S攻击的抵抗能力等，合理配這网络参数，能优化操作系统性能，提髙安全性。

［视机器配宜而定＞30项］

NFS系统

网络文件系统协议最早是SUN公司开发出来的，以实现文件系统共享。

NFS使用RPC服务，其验证方式存在缺陷，NFS服务的缺省配宜也很不安全，如果必须使用NFS系统，一上进行安全的配宜。

［视操作系统而定］

应用软件

我们建议操作系统安装最小软件包，例如不安装开发包，不安装不必要的库，不安装编绎器等，但很多情况下必须安装一些软件包。

APACHE或NETSCAPEENTERPRISESERVER是一般UNIX首选的WEB服务器，其配置本身就是一项独立的服务邮件和域名服务等都需要进行合理的配置。

审计，日志

做好系统的审计和日志工作，对于事后取证追查，帮助发现问题，都能提供很多必要信息。

例如，打开帐号审计功能，记录所有用户执行过的命令。

例如实现日志集中管理，避免被入侵主机日志被删除等。

［视机器配巻而定］

其它

不同的UNIX系统有一些特別的安全配置，例如Solaris有ASET,HP的高级别安全,FreeBSD的jail等。

［视机器配宜而定］

最后工作

建议用户做系统完全备份,并对关键部份做数字签名。

微软操作系统

NT4.0/

W2K

（workstation»

server,professiona

1,advancedserver）

补丁

微软操作系统对新发现的漏洞修补是使用ServicePack及hotfix,

另外，还需要安装C2级安全配苣。

［视机器配置而定］

文件系统

配苣NTFS文件系统，NTFS可以支持更多更强大的的安全配置，设置需要特殊保护的目录和文件，设置不同目录和文件的权限，移动或删除特別的系统命令文件，增加入侵者操作的难度。

［有20项左右配置］

帐号管理

帐号口令是从网络访问NT/2K系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配宜策略（例如：

密码长度，更换时间，帐号所在组，帐号可访问资源，帐号锁左等多方而），GUEST帐号以及加强的密码管理（SYSKEY）等。

［有10项左右配置］

网络及服务

网络和服务是互联网上用户与此服务器接口的部分，网络协议的配置不当，服务进程设置不当，都可能为入侵系统打开方便之门。

合理地配置网络及服务将能阻挡80弔的普通入侵［视机器配巻而定］

注册表

微软操作系统缺省的安装是为了能兼容各种运行坏境，因此很多权限设置都很宽，这不符合"最小权限"的基本原则，我们需要根据不同的环境，备份注册表，再人为地更改注册表内容，配置最小权限的稳左运行的系统。

例如：

不允许远程注册表配置，设巻LSA尽量减少远程用户可以获取的信息，设宜注册表本身的访问控制，禁止空连接，对其它操作系统和POSIX的支持，对登录信息的缓存等。

也有很多选项需要根据不同用户需求来制左，例如：

当安全策略因为某些因素（磁盘满）而不能运作时，是否强制系统停止运行。

［有40项以上配苣］

共享

共享是向网络上的用户开放对本机的资源访问权限，不合理的配苣以及系统的缺省共享配置，都可能造成远程用户对系统的文件，打印机等资源的非法访问和操作。

我们需要删除不必要的共享，合理配置共享的访问控制列表。

［视机器配置而泄］

应用软件

我们建议安装最小的软件包，不安装不必要的应用软件。

但是很多情况应用软件提供不可缺少的服务，这时我们就必须安全地配巻它们。

IE被微软绑左为操作系统的一部分，IE的安全直接影响到系统的安全。

我们需要升级IE的版本，安装IE的补丁，设置IE的安全级别，及各项安全相关配置outlook,powerpoint及英它等多种软件都可能存在安全问题，需要安装补丁程序。

IIS提供WWW的服务，这是一般NT服务器首选的WEB服务器，但是IIS本身存在很多安全漏洞，直到现在仍然经常发现新的安全漏洞，IIS的缺省配置，目录设置，权限设置，安全设宜等多方而配置不当也是系统安全的巨大隐患。

IIS的加固本身就可以成为一项独立的服务内容。

［视机器配置而定］

审计,日志

做好系统的审计和日志工作，对于事后取证追査，帮助发现问题，都能提供很多必要信息［视机器配置而定］

其它

其它方而视不同环境而左，例如需要删除多余的系统安装包，安装主机防病毒软件，等多项操作。

最后工作

重新制作新的系统紧急恢复盘（ERD）,建议用户做系统完全备份，并对关键部份做数字签名。

网络设备

交换机，路由器，防火墙

检査及加固项目会根据不同厂商的设备而不同，具

制订或调整完善网络设备安全策略

配置登录地址限制

配宜登录用户身份鉴别

配宜特权用户权限分离

消除共享用户

配程口令复杂度与更换要求

体内容在加固前将会根据评估的实际情况而定

配置登录失败处理功能

配宜远程管理采用SSH等加密方式

采购与配置网络设备双因素鉴别设备

用户拿到I0S升级包，在设备厂家工程师现场协助下进行I0S升级。

关闭不必要的服务

关闭不使用的网络接口

给出重要协议、地址和端口访问控制配置原型

SNMP,TFTP,NTP等服务

建议网络设备的配置文件离线备份，并由专人保管

期进行网络设备用户和口令维护，进行口令强度管理

使用、访问权限进行严格限制

相应的日志检查，审计和归档安全管理策略

1.1.5满足指标

表Error!

Notextofspecifiedstyleindocument.-2安全加固等保符合性说

明表1

解决方案

名称

制类

控

制点

指标名称

措施名称

改进动作

改进对象

安全加固解决方案

网络安全

网络设备防护

应对登录网络设备的用户进行身份鉴

配置登录用户身份鉴别

网络设备安全配置与加固

网络设备

应对网络设备的管理员登录地址进行限制：

配置登录地址限制

网络设备安全配置与加固

网络设备

网络设备用户的标识应唯一：

消除共享用户

网络设备安全配置与加固

网络设备

主要网络设备应对同一用户选择两种或两种以上组合的鉴别技术来进行身份鉴别：

采购与配置网络设备双因素鉴别设备

采购

部署

双因素鉴别

身份鉴别信息应具有不易被冒用的特点，口令应有复杂度

配置口令复杂度与更换

网络设备安全配置与加

网络设备

安全加固解决方案

要求并左期更换：

要求

固

应具有登录失败处理功能，可采取结束会话、限制非法登录次数和当网络登录连接超时自动退岀等措施;

配置登录失败处理功能

网络设备安全配置与加固

网络设备

当对网络设备进行远程管理时，应采取必要措施防止鉴别信息在网络传输过程中被窃听；

配置远程管理采用SSH等加密方式

网络设备安全配置与加固

网络设备

应实现设备特权用户的权限分离。

配置特权用户权限分离

网络设备安全配置与加固

网络设备

访问控制

应启用访问控制功能，依据安全策略控制用户对资源的访问；

访问控制策略

操作系统与数据库安全配置与加固

操作系统与数据库等软件

应根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限：

管理用户权限最小化

古is

骯据配固

操作系统与数据库等软件

应实现操作系统和数据库系统特权用户的权限分离；

特权用户权限分离

操作系统与数据库安全配置与加固

操作系统与数据库等软件

应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令：

限制默认帐户

操作系统与数据库安全配置与加固

操作系统与数据库等软件

应及时删除多余的.过期的帐户，避免共享帐户的存在。

淸理帐户

操作系统与数据库安全配置与加固

操作系统与数据库等软件

应对重要信息资源设置敏感标记：

重要信息资源设置敏感标记

采购部署

操作系统与数据库等软件

应依据安全策略严格控制用戸对有敏感标记重要信息资源的操作：

配置敏感信息资源访问策略

操作系统与数据库安全配置与加

操作系统与数据库等软件

主

机安全

固

入侵防范

应能够检测到对重要服务器进行入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报氷

采购与配置主机入侵检测软件

采购部署

主机入侵检测软件

应能够对重要程序的7E整性进行检测，并在检测到完整性受到破坏后具有恢复的措施：

宜侵件性恢配入软整和能机测完测功主检的检复

安全产品配置

主机入侵检测软件

操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。

主机最小安装

操作系统与数据库安全配置与加固

操作系统

操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新。

设置补丁服务器

采购部署

补丁服务器和软件

解决方案

名称

控制类

控

制点

指标名称

措施

需称

改进动作

改进对象

系统安全加固

主机安全

剩余信息保护

应保证操作系统和数据库系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用戸前得到完全淸除，无论这些信息是存放在硬盘上还是在内存中：

鉴别信息存储空间淸除

操作系统与数据库安全配置与加固

操作系统和数据库

应确保系统内的文件、目录和数据库记录等资源所在的存储空间，被释放或重新分配给其他用户前得到完全淸除。

存储空间淸除

操作系统与数据库安全配置与加固

操作系统和数据库

源控制

应通过设肚终端接入方式、网络地址范用等条件限制终端登录；

主机安全配置与加固

操作系统与数据库安全配置与

操作系统

加固

应根据安全策略设置登录终端的操作超时锁定：

主机安全配置与加固

作系统与数据库安全配置与加固

操作系统

应对重要服务器进行监视，包括监视服务器的CPU、硬盘、内存、网络等资源的使用情况；

采购部署网管监控系统，实现重要服务器监控

采购部署

主机性能管理

应限制单个用户对系统资源的最大或最小使用限度：

主机安全配置与加固

操作系统与数据库安全配置与加固

操作系统

应能够对系统的服务水平降低到预先规立的最小值进行检测和报警。

配置网管系统的监控与报警，实现服务水平监控

产品配置

主机

性能管理

解决方案名称

控制类

控

制点

指标名称

措施名称

改进动作

改进对象

安全加固解决方案

应用安全

访问控制

应提供访问控制功能，依据安全策略控制用户对文件、数据库表等客体的访问；

访问控制功能

应用软件安全开发与改造

业务系统

访问控制的覆盖范围应包括与资源访问相关的主体.客体及它们之间的操作：

访问控制主体.客体及操作要求

应用软件安全开发与改适

业务系统

应由授权主体配置访问控制策略，并严格限制默认帐户的访问权限：

配置访问控制策略

应用软件安全开发与改造

业务系统

应授予不同帐户为完成各自承担任务所需的最小权限，并在它们之间形成相互制约的关系。

最小权限与制约

应用软件安全开发与改适

业务系统

应具有对重要信息资源设宜敏感标记的功能：

设置敏感标记的功能

应用软件安全开发与改造

业务系统

应依据安全策略严格控制用戸对有敏感标记重要信息资源的操作；

控制敏感重要信息资源操作

应用软件安全开发与改造

业务

系统

剩余信息保护

应保证用户鉴别信息所在的存储空间被释放或再分配给其他用户前得到完全淸除，无论这些信息是存放在硬盘上还是在内存中：

鉴别信息存储空间淸除

应用软件安全开发与改造

业务

系统

应保证系统内的文件、目录和数据库记录等资源所在的存储空间被释放或重新分配给其他用户前得到完全淸除。

存储空间淸除

应用软件安全开发与改适

业务系统

抗抵赖

应具有在请求的情况下为数据原发者或接收者提供数据原发证据的功能：

配

置抗抵赖

应用软件安全开发与改造

业务系统

应具有在请求的情况下为数拯原发者或接收者提供数据接收证拯的功能。

配

置抗抵赖

应用软件安全开发与改造

业务

系统

件容错

应提供数据有效性检验功能，保证通过人机接口输入或通过通信接口输入的数据格式或长度符合系统设定要求；

输入有效性验证，防止溢出或注入

应用软件安全开发与改造

业务系统

应提供自动保护功能，当故障发生时自动保护当前所有状态，保证系统能够进行恢复。

开发设计自动保存状态功能

应用软件安全开发与改适

业务

系统

表Error!

Notextofspecifiedstyleindocument.~3安全加固等保符合性说明表

2

解决方案名称

控制类

制点

指标名称

措施

名称

改进

动作

改进对象

安全加固解决方案

应用安全

资源控制

当应用系统的通信双方中的一方在一段时间内未作任何响应，另一方应能够自动结束会话：

业务系统开发

应用软件安全开发与改造

操作系统和业务系统

应能够对系统的最大并发会话连接数

配置操作系统

应用软件安全

操作系统和业

进行限制：

及业务系

统

开发与改

造

务系统

应能够对单个帐户的多重并发会话进行限制：

配置操作系统及业务系统

应用软件安全开发与改造

操作系统和业务系统

应能够对一个时间段内可能的并发会话连接数进行限制；

配置操作系统及业务系统

应用软件安全开发与改造

操作系统和业务系统

应能够对一个访问帐户或一个谙求进程占用的资源分配最大限额和最小限额；

配置操作系统及业务系统

应用软件安全开发与改造

操作系统和业务系统

应能够对系统服务水平降低到预先规泄的最小值进行检测和报警：

配置操作系统及业务系统

应用软件安全开发与改

操作系统和业务系统

应提供服务优先级设左功能，并在安装后根据安全策略设定访问帐户或请求进程的优先级，根据优先级分配系统资源。

配置操作系统及业务系统

应用软件安全开发与改造

操作系统和业务系统