供电公司信息安全基线达标自评报告

附件一菏泽供电公司信息安全基线达标自评报告 为认真贯彻国家电网公司“ 安全年” 工作的工作部署，落实信息系统安全运行“ 巩固提升年” 的工作要求，按照鲁电集团科信2012550号关于开展公司信息安全基线达标工作的通知要求，菏泽供电公司组织开展了信息安全基线达标自查自评工作。一、自查自评总体情况菏泽供电公司组织信息技术人员对照信息安全基线测评表，从物理安全、网络安全、WINDOWS主机安全、AIX主机安全、安全平台、ORACEL数据库安全、SQL数据库安全进行了自查自评（无HP-UNIX主机），信息安全基线考核自评总得分97.98分各项测评指标得分：1、物理安全：98.52、网络安全：973、应用安全：1064、Windows主机安全：485、AIX主机安全：21.56、安全平台：1007、Oracle数据库安全：558、SQL数据库安全：39二、自查自评详细情况（一）物理安全1、物理位置选择机房建设时与大楼建设部门沟通确认，6楼信息机房场地防震，防风，防雨，耐久，可防止不均匀沉陷，无变形缝和伸缩缝，机房及电源室沉重能力合格，得3分；机房设在6楼，不在建筑物底层和顶层，布线合理，不在用水设备的下层和隔壁，得3分；机房远离火源，无粉尘油烟等物品堆积，正压压差合格，得2分；机房周围无强干扰源，噪音在68db以下，磁场干扰小于800A/m，得2分；信息机房设电源室、网络区、存储区、服务器区、操作监控室、值班室，分区布置，各个区域分割明显，净高和通风要求以及机柜之间距离合理，UPS所在地与机房分开，设安全出口三个，符合要求，得2分。2、物理访问控制机房出入口有专人值守控制，门禁系统和出入机房有登记，得2分；出入机房有审批手续，非相关人员不能进入，但审批记录不全，扣0.5分，得1.5分。3、防盗窃和防破坏应用系统、网络安全和主设备全部位于机房内，分区放置，得2分；服务器，交换机，路由器彩带库磁盘阵列防火墙等设备均固定在机柜内，且固定牢靠标示清晰，得2分；通讯线缆设置在隐蔽处的管道内，得2分；介质储存安全，得2分；机房安装了门禁系统，运行正常，得3分；视频监控系统完善，监控设备运转正常，得3分。4、防雷击建筑物防雷设备和措施完善，设置符合要求的避雷装置，得2分；机房采用四级防雷措施，设置交流电源地线和防雷保护器，得3分。5、防火机房设七氟丙烷自动灭火系统，得2分； 有自动灭火报警系统，配有烟感、温感两种探测器，安装位置、数量合理，得2分;机房和装修材料均符合防火防尘耐油要求，得2分;机房出口有明显疏散方向指示，门是防火材料，紧急情况下能从机房内部打开，符合消防规定，得3分。6、防水和防潮机房合理避开水源无不相关的水管穿越机房,得2分；机房内部给排水均有密封措施，得2分； 机房内部给排水管系统有防渗措施，地面已作防水处理，空调周围有防水围堰，得3分；机房无窗户，已做封闭措施，已经做好防火分区，屋顶墙壁无漏水，渗透和返潮，得3分；机房内无水蒸气结露，地板屋顶做隔热保温处理，得3分；机房用水有报警设备灵敏度合理，得3分。 7、防静电主要设备都有良好的接地，做有防静电措施，得2分；机房内采用防静电地板，高度合理，地板支架可靠接地，得2分。8、防尘除尘进出机房有衣橱和放置鞋套的橱柜，得2分；机房不存在食物存放情况，得2分；机房环境整洁无杂物，设备摆放整齐地板无损坏，得2分。 9、温湿度控制机房空调具有温湿度调节功能，温湿度都处于合理范围内，机房空调具有温湿度计量功能，得5分；具备温湿度告警功能，得2分。 10、电力供应有专用动力电，计算机系统电源与照明、空调等设备电源分开设置，设备运行正常，得3分；机房内用电设备和设施有安全可靠的接地装置，布置合理，得5分；机房供电有可靠的UPS不间断电源，采用两路UPS供电，后备电源符合要求，得2分； 机房供电为双路市电，供应有明显标志，具备自动投切功能，得3分。11、电磁防护交流、安全保护接地，接地电阻小于4欧姆，得2分；电源线和通讯线隔离敷设，得2分。 12、标志标识机房标示清晰规范，各线缆和配套设施有明显标示，得2分。13、机房巡视机房定期巡视，巡视记录不详尽，记录部分缺失扣1分，得4分。物理安全总分：98.5分（二）网络安全1、双网隔离菏泽供电公司严格执行双网隔离制度，信息内、外网之间完全物理隔离，得3分；内、外网邮件使用集团公司统一建设的邮件系统，没有单独部署邮件系统，得3分；变电站、营业所等没有互联网业务要求的生产经营单位，不允许办公和业务终端接入互联网，得2分；公司信息内、外网不存在专线接入方式，得3分；信息内、外网服务器均为独立部署；集团公司信息外网统一出口项目还未实施完毕，DNS服务器暂未部署。得3分；不存在终端直接通过互联网到VPN设备的方式接入信息内网的现象，得3分；公司禁止使用远程移动办公系统或无线局域网接入信息内网，得3分。2、结构安全公司关键网络设备均具备冗余机制，得3分；主干网络链路带宽为10000M，满足业务需求，得2分；网络拓扑当前实际网络运行情况相符，网络结构发生变更时及时更新拓扑结构图，得3分；根据公司需求，划分不同VLAN，得3分；服务器汇聚交换机和部分楼层交换机仍为单机单链路，信息网络冗余度不够，扣1分，得1分；业务通信链路安全可靠，得2分；按业务需要分配带宽优先级，公司暂未作QOS，得0分。3、访问控制公司信息网络进行“分区、分级、分域”管理，在各网络边界处部署了访问控制设备，并启用访问控制策略，得3分；根据业务应用的访问需求，制定严格的访问控制策略，控制粒度达到端口级，得3分；信息外网部署了上网行为管理系统，对进出网络的信息内容进行过滤，得2分；暂未全部限制网络最大流量及网络连接数，得1分；信息内外网部署了H3C的EAD终端准入业务进行接入控制，得3分；公司不存在通过拨号或VPN等接入方式访问信息内外网，得4分。4、安全审计公司内外网部署了H3C的IMC智能管理平台，可以实现网络设备的日志记录、审计记录、日志存储管理、分析报表、审计记录保护等功能，得10分。5、边界完整性检查公司信息内、外网均部署了H3C的EAD终端准入业务，可以杜绝已私自连接到办公内网或外网的情况发生，内网还部署了桌面管理系统，对违规外联的行为进行记录，得5分。6、入侵防范公司在网络边界处部署了入侵防御系统，开启了端口扫描、木马后门攻击、拒绝服务攻击等策略，可以对相应攻击行为进行检测与记录，得4分。7、恶意代码防范公司在信息内、外网均部署了Symantec网络防病毒系统，并定时对恶意代码库进行维护升级更新，得4分。8、网络设备防护公司部署了H3C的智能管理平台，可以对网络设备进行安全管理。所有网络设备均已设置了强口令，口令长度超过8位、由字母、数字和特殊字符组成；对网络设备的管理员地址进行登录地址限制，采用用户名+静态口令的认证机制实现用户身份鉴别，不存在多人共用同一账号的情况；关闭了不必要的网络端口和网络服务，SNMP配置符合安全要求；启用VTY ACL、SNMP ACL访问控制功能，设置了网络登录限制次数限制，当登录失败达到3次即自动退出；网络设备的远程管理使用SSH，防止鉴别信息在网络传输过程中被窃听。得20分。网络安全总分：97分。（三）应用安全1、身份鉴别具备用户登录控制手段，实现门户单点统一认证，用户登录方式满足用户名+密码要求，得3分；有效防控登录测试，得2分；用户登录后，用户名在系统中是唯一的。得分2分；用户口令具备一定复杂度：用户口令为8位以上数字字母混合组成，得3分；用户定义有期限选，具备用户口令期限控制，得2分；账户信息具备要求的口令长度、复杂度类型、最长使用时间、允许登录失败次数、登录失效时间等管理参数配置，得2分；应用只采用用户名+口令的认证机制实现用户身份鉴别，身份鉴别方法多样性不能满足要求，扣1分，得2分；有用户审批表，应用系统账户注册及权限调整履行审批手续，得1分。2、访问控制系统设计有修改用户授权的模块，新建账户在不更改权限是仅具有登录权限，新建用户满足最低权限要求，得3分；不存在临时账户和测试账户，得3分；无匿名账户登录功能，得3分；具有控制策略并执行，得3分；访问控制覆盖全面，得3分；授权设置策略满足权限最小化原则和权限互斥原则，得3分。3、安全审计有安全审计功能策略并覆盖所有用户，得3分；具备对审计信息使用控制，得3分；可以提供查询报表，审计信息全面，得3分；审计信息完整，得3分；审计数据管理规范符合要求，得3分；无法单独中断审计进程，审计进程严谨，得3分；可进行审计信息报表查询统计，得3分。4、剩余信息保护账户退出后，任何情况下不存在未消除的账户登录信息，账户登录信息及时消除，得3分；账户登录信息在系统中被保护，不存在明文的口令数据，得2分；账户退出后，操作系统根目录不存在系统业务数据，业务数据信息及时消除，得3分。5、通信完整性具有数据完整性措施。得2分。6、通信保密性通信建立前采用密码技术进行初始化验证，得2分；对报文或会话进行了加密，得2分7、抵赖性具有发送抵赖性记录，得2分；具有接受抵赖性记录：可查询到数据接收证据，得2分；8、软件容错具备数据合法性检查，得2分；具有数据冲突保护措施，得2分；具有分级的系统异常事件，得1分；系统自动保护功能，可实现，得3分。9、资源控制具有通信异常中断审核功能，得3分；具有并发会话连接数控制功能，得3分；具有监控用户连接状态控制，得3分；具有用户单一会话控制，得3分；采用IP地址限制功能，实现网络级用户登录控制，得3分；大部分应用系统不能够根据账户优先级进行登录，得0分；系统占用资源分配最大额限额和最小限额，得3分。应用安全总分：106分。（四）Windows主机安全1、身份鉴别操作系统采用身份标识和鉴别，得1分；口令复杂度应满足要求，得2分；开启屏幕自动锁屏，得1分；启用登录失败处理功能，得2分远程管理方式均禁止启用，得3分；大部分Windows主机只采用用户名+口令的方式实现管理用户身份鉴别，不能满足两种或两种以上方式的要求，扣1分，得1分；用户名具有唯一性，得2分。2、访问控制启用访问控制功能，默认共享全部关闭；设置文件夹的共享权限；重要数据的访问进行了安全设置, 得3分；实现操作系统和数据库系统特权用户的权限分离，得2分；重命名系统默认账户ADMINISTRATOR，并更改默认口令；Guest账户停用，得3分；重要信息资源管理：对重要信息资源设置敏感标记，得2分；账户使用的要求：不存在过期多余账户,无共享账户存在，得2分。3、安全审计本地安全策略审计功能已启用，得2分策略启用,日志有记录，审计内容符合要求，得2分；审计记录内容包括事件的日期、时间、类型、主体标识、客体标识和结果，符合要求，得2分；审计日志权限已设置,“安全”和“系统”日志存储大小已设置，审计记录保护符合要求，得2分。4、入侵防范操作系统遵循最小安装的原则，仅安装必要的组件和应用程序，并通过设置升级服务器等方式保持系统补丁及时得到更新，补丁安装前应进行安全性和兼容性测试：补丁定时更新；多余服务已关闭；多余Windows组件已关闭，得分3分。5、恶意代码防范安装了防病毒软件，病毒库及时更新，得2分。6、资源控制通过设定终端接入方式、网络地址范围等条件限制终端登录：禁止除管理员外的一般用户远程登录计算机或关闭计算机，不存在无用账号；端口进行了限制，得3分；根据安全策略设置，登录终端的操作超时锁定已设置。得2分；应根据需要限制单个用户对系统资源的最大或最小使用限度：启动磁盘配额，对用户操作进行限制，得2分；磁盘剩余空间充分满足近期的业务需求，得1分。7、剩余信息保护操作系统用户的鉴别信息所在的存储空间的管理要求：操作系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前得到完全清除，得1分。8、运行监控通过监控平台能查看各监控参数，得1分。9、硬件冗余：主机配有磁盘冗余（RAID）、双机冷备，得1分。Windows主机安全总分：48分。（五）AIX主机安全1、身份鉴别不存在空口令账号，得1分；操作系统管理用户身份标识、口令复杂度符合要求并定期更换，得1分；系统设有密码，开启屏幕自动锁屏，得1分；启用登录失败处理功能，采取结束会话、限制非法登录次数和自动退出等措施，限制同一用户连续失败登录次数，得1分；SSH服务正常启动，得1分；只采用用户名+口令的方式对管理用户进行身份鉴别，此项不得分；为操作系统的不同用户分配不同的用户名，用户名具有唯一性，得1分；2、访问控制按要求设置passwd、group、security等关键文件和目录的权限，得1分；实现了操作系统和数据库系统特权用户的权限分离，得1分；不存在未被停用的不使用账号，得1分；修改默认文件权限，控制用户缺省访问权限，得1分；限制root用户远程登录，得1分；依据安全策略严格控制用户对有敏感标记重要信息资源的操作, 1分；不存在未被停用的不使用帐号，得1分。3、安全审计安全审计范围覆盖到服务器上的每个用户，得1分；对每一个用户的每次登录都进行记录，记录内容包括用户登录使用的帐号，登录是否成功，登录时间，以及远程登录时，用户使用的IP地址，登录用户注销退出时间，得1分；安全审计包括事件的日期、时间、类型、主体标识、客体标识和结果，得1分；系统日志配置文件（syslog.conf）权限已修改为只读；日志文件authlog、wtmp.log、sulog、failedlogin的权限已修改为400，得1分。4、入侵防范在系统安装时只安装了基本的操作系统部份，可选部分组件未安装。能及时检查补丁升级情况，检查并记录系统版本，但影响系统应用的补丁未及时安装；已禁用不必要的系统服务，提高系统服务安全，优化系统资源；已关闭Finger 服务、telnet 服务、sendmail 服、Time 服务、Echo 服务、Discard 服务、Daytime 服务、Chargen 服务、comsat 服、klogin 服务、kshell 服务、ntalk 服务、talk 服务、tftp 服务、uucp 服务、dtspc 服务，扣0.5分，得1.5分。5、恶意代码防范未安装部署防病毒软件，得0分。7、剩余信息保护操作系统用户的鉴别信息所在的存储空间，被释放或再分配给其他用户前都已得到完全清除，无论这些信息是存放在硬盘上还是在内存中，得1分。8、通过监控平台能查看各监控参数定期对主机状态、进程占用CPU时间、内存大小，配置和告警数据等进行监控；及时对系统的服务水平降低到预先规定的最小值进行检测和报警，得1分。9、硬件冗余主机服务器配置了负载均衡，系统磁盘配有磁盘冗余阵列RAID及双机热备，得1分。AIX主机安全总分：21.5分。（六）安全平台1、网络运行监控公司信息内网部署了北塔综合网管系统，外网部署了H3C得智能管理平台，能够对网络链路状态、设备端口状态、端口类型、IP地址、所在VLAN等进行监控，实现了内网网络设备、主机设备等的实时在线监控，得10分。2、内外网边界安全监测在信息外网部署了ISS系统，实现了信息外网设备日志的采集、分析、统计等功能，可以发现和定位安全攻击事件的危险度，及时地发现与定位问题，得30分。3、主机运行监控公司在信息内网部署了北塔综合网管系统，能够对主机的CPU、内存等运行状态进行监控，得5分。4、数据库运行监控公司部署北塔综合网管系统，对数据库状态、进程占用CPU时间、内存和告警信息进行监控，得5分。5、Web服务监控公司部署北塔综合网管系统，对Web服务器的运行状态和响应时间进行监控，得5分。6、桌面终端监控部署了桌面终端管理系统，对桌面终端运行指标进行监控，制定了进程及软件管理、违规外联监控、主机安全等策略，能够对桌面终端数量、注册率、软件分发、非法外联等情况进行实时监控。公司安排日常巡检，保障各项指标100%，得25分。7、安全风险监控通过部署漏洞扫描系统，实现对网络设备、主机操作系统等的威胁、脆弱性情况进行扫描和分析，得20分。安全平台总分：100分。（七）Oracle数据库安全1、系统架构在业务应用环境中，数据库服务器上未同时运行 Web 逻辑或业务逻辑等应用，数据库与业务应用系统实现了分离部署，得3分；业务应用数据库已实现整合在统一的数据库平台中，得3分；配备双机热备。已实现Oracle数据库平台实现双机容错，得2分；公司重要业务系统数据均存储在专业的Oracle数据库平台中，得2分。2、安装部署Oracle数据库只安装了必须的基础数据库服务的组件，未安装不必要的组件，得2分；未开启XDB服务，得2分；因业务系统受限未修改默认的1521监听端口的，应做数据库问控制，但对数据库做了访问控制，得1分；数据库系统安装了不影响系统应用的安全补丁，得2分；所有业务数据和日志都未存储在系统盘中，业务数据和日志放置在存储设备上，得1分；删除数据库安装时生成的示例表空间，得1分。3、身份鉴别业务系统未使用sys或system账户连接表空间，也未使用同一个账户连接若干不同的业务表空间，根据管理用户的角色分配权限，实现管理用户的权限分离，仅授予管理用户所需的最小权限，每个业务应用采用独立的数据库账户进行连接，该账户只对本业务应用的表空间有管理权限，不允许访问其他表空间，得2分；登录数据库系统的账户均使用强壮的符合要求的口令。未使用缺省口令，得2分；数据库帐户登录过程中使用强壮的密码进行登录验证，口令满足一定强度、长度和复杂度，并能定期更换，得2分；系统密码策略定义满足口令有效期、最大锁定天数、口令历史记录保留口令数、保留天数、复杂性、最大登录失败次数，锁定天数，得2分；系统不存在多余的、过期的帐户或调试账号，也没有共享帐户的存在，得2分；系统禁止在远程以SYSDBA身份登录，remote_login_passwordfile的键值为NONE，得2分。4、访问控制系统启用访问控制功能，依据安全策略控制用户对资源的访问，得2分；系统禁止远端操作系统验证，“remote_os_authent”的值为FALSE，得1分；“O7_DICTIONARY_ACCESSIBILITY”的值为FALSE，得1分；普通用户账号只拥有相关业务权限，没有SYSDBA、SYSOPER权限，得2分；系统赋予PUBLIC组以最少权限的方式运行，得1分；已设置密码限制远程对监听程序的管理，未经授权对Oracle Listener无权限管理，得1分；配置数据库访问的加密通信方面，安装启用Oracle Advanced Securit，得1分；.开启Extproc功能，安装oracle最新补丁，得1分。5、安全审计审计范围未覆盖到服务器上的每个数据库用户，经检查“audit_trail”的值为“NONE”，得2分；审计内容包括所有重要用户行为、系统资源的异常使用和重要系统命令的使用等系统内重要的安全相关事件，及时删除多余的、过期的账户，得1分；审计记录未能包括所有事件的日期、时间、类型、主体标识、客体标识和结果，得0分；因启用安全审计功能，系统不能正常使用，故未启用安全审计功能，得0分；因未启用安全审计功能，未提供对审计跟踪管理功能的保护，得0分；没有对保护审计记录的保护功能，得0分。6、运行监控能够对数据库的数据库状态、进程占用CPU时间、内存大小，配置和告警数据等进行监控，得2分；表空间的利用率未超过80%，表空间的“数据文件”设置为自动扩充，表空间没有达到或接近扩充上限，得2分。7、剩余信息保护操作系统和数据库管理系统用户的鉴别信息所在的存储空间（无论这些信息是存放在硬盘上还是在内存中），被释放或再分配给其他用户前均已得到完全清除，得1分；数据库系统内的文件、目录等资源所在的存储空间，被释放或重新分配给其他用户前均得到完全清除，得1分。8、数据备份根据业务需要及数据更新的频率，对重要数据选择全库备份、对更新频繁的数据选择增量及差异备份，至少每周进行一次全库备份，每天进行一次增量及差异备份，在每个小时或更短的时间进行一次事务日志的备份，得4分。Oracle数据库总分：55分。（八）SQL数据库1、系统架构业务系统与数据库实现分离部署，数据库服务器运行环境独立性满足要求，得3分；重要业务数据库平台已整合，数据库平台整合性符合要求，得3分；实现了数据库平台容错未，得2分；重要业务系统数据已存放在桌面型数据库平台中，数据库平台可靠性满足要求，得2分。2、安装部署未安装不必要组件，得2分；修改了默认的1433监听端口，得2分；SQL数据库系统高版本补丁与Pluswell双机软件不兼容，未安装最新的安全补丁，得0分；数据和日志未存储在系统盘中，得1分；删除全部示例数据库，未发现示例数据库，得1分；根据最小权限定义专门的账户启动和运行数据库，得2分。3、身份鉴别管理用户权限均已分离，数据库账户管理符合要求，得2分；不存在多余和过期账户，数据库账户清理满足要求，得2分；制定强制实施密码策略、强制密码过期，通过登录属性加强口令强壮性，得3分。4、访问控制：将Xp_cmdshell 权限授予sysadmin 角色以外的用户，得2分。5、设置注册“审核级别”为“全部”，安全审计满足要求，得3分。6、运行监控能够对数据库的数据库状态、进程占用CPU时间、内存大小，配置和告警数据等进行监控，得分2分监控表空间的利用率：表空间的利用率不超过90%，并且可自动扩展。得分1分7、安