(完整版)安全加固解决方案.doc

1、1.1安全加固解决方案1.1.1安全加固范围及方法确定加固的范围是陕西电视台全台网中的主机系统和网络设备，以及相关的数据库系统。主要有：服务器加固。主要包括对 WindoWS服务器和UniX服务器的评估加固， 其中还包括对服务器操作系统层面的评估和数据库层面的评估加固。网络设备加固。主要包括对防火墙，交换机的评估加固。 安全加固服务主要以人工的方式实现。1.1.2安全加固流程安仝加固沆程现场继续;加固放弃图错误！文档中没有指定样式的文字。-1安全加固流程图网络优化方系及系统耳固方采根据规范及丢统特点兰或风险规避方案新加固' f <切舌启用风险规避万案/二次评佔确修改：检查当前设备

2、 确定系统漏洞重新启动主机J确定实施方法观察系统运行图错误！文档中没有指定样式的文字。-2系统加固实施流程图 21.1.3安全加固步骤1. 准备工作一人操作，一人记录，尽量防止可能岀现的误操作。2. 收集系统信息加固之前收集所有的系统信息和用户服务需求，收集所有应用和服务软件信息，做好加固前预备工作。3. 做好备份工作系统加固之前，先对系统做完全备份。加固过程可能存在任何不可遇见的风险，当加固失败时，可以恢复到加固前状态。4. 加固系统按照系统加固核对表，逐项按顺序执行操作。5. 复查配置对加固后的系统，全部复查一次所作加固内容，确保正确无误。6. 应急恢复同时与安全专当出现不可预料的后果时，

3、首先使用备份恢复系统提供服务，家小组取得联系，寻求帮助，解决问题1.1.4安全加固内容表错误！文档中没有指定样式的文字。-1安全加固内容说明表加固对象操作系统加固项目说明UNIX系统 及类UNiX系统SOIariS,HP-UX, AIX ,IinUX,FreeBSD ,OpenBSD, SC补丁从厂家网站或者可信任站点下载系统的补丁包，不同 的操作系统版本以及运行不同的服务，都可能造成需要安装的补丁包不同，所以必须选择适合本机的补丁 包安装。视机器配置而定0文件系统UNiX文件系统的权限配置项目繁多，要求也很严格， 不适当的配置可能造成用户非法取得操作系统超级用 户的控制权，从而完全控制操作系

4、统。有30项左右配置配置文件UNIX配置文件功能有点类似微软的注册表，UNlX对操作系统配置基本上都是通过各种配置文件来完成，不 合理的配置文件可能造成用户非法取得操作系统超级 用户的控制权，从而完全控制操作系统。例如：etcinittab文件是系统加载时首先自动执行的文件，/etc/hostso equiv是限制主机信任关系的文件等。有20项左右配置帐号管理帐号口令是从网络访问UNiX系统的基本认证方式，很多系统被入侵都是因为帐号管理不善，设置超级用户密码强度，密码的缺省配置策略 （例如：密码长度，更 换时间，帐号所在组，帐号锁定等多方面）。有些系统 可以配置使用更强的加密算法。有10项左右

5、配置网络及服 务UNIX有很多缺省打开的服务，这些服务都可能泄露本机信息，或存在未被发现的安全漏洞，关闭不必要的 服务，能尽量降低被入侵的可能性。例如r系列服务和rc的rstatd都出过不止一次远程安全漏洞。UNIX 缺省的网络配置参数也不尽合理，例如TCP序列号随机强度，对DO Oo S攻击的抵抗能力等，合理配置网 络参数，能优化操作系统性能，提高安全性。视机器配置而定30项NFS系统网络文件系统协议最早是 SUN公司开发出来的，以实 现文件系统共享。NFS使用RPC服务，其验证方式存 在缺陷，NFS服务的缺省配置也很不安全，如果必须 使用NFS系统，一定进行安全的配置。视操作系统而定应用软

6、件我们建议操作系统安装最小软件包，例如不安装开发 包，不安装不必要的库，不安装编绎器等，但很多情 况下必须安装一些软件包。APACHE或NETSCAPENTERPRlSE SERVER 是一般 UNIX 首选的 WEB 服务 器，其配置本身就是一项独立的服务邮件和域名服务等都需取讲行合理的西Fl曾C审计，日 志做好系统的审计和日志工作，对于事后取证追查，帮 助发现问题，都能提供很多必要信息。例如，打开帐 号审计功能，记录所有用户执行过的命令。例如实现 日志集中管理，避免被入侵主机日志被删除等。视和器阳骨而定其它不同的UNIX系统有一些特别的安全配置，例如SOIariS 有 ASET, HP 的

7、高级别安全，FreeBSD 的 jail 等 r视机器配置而定1最后丁作隼议用口仲率统完仝备份- 并对*键部份仰魏字皴名-微软操作 系统NT 4.0/W2K(WOrkStatiOn,SerVer,PrOfeSSiOna1,advancedSerVer)补丁微软操作系统对新发现的漏洞修补是使用SerViCePaCk 及 hotfix,旦从 迂垂亜必2C O如 必 仝丽雪如n殛师-L 1文件系统配置NTFS文件系统，NTFS可以支持更多更强大的的 安全配置，设置需要特殊保护的目录和文件，设置不 同目录和文件的权限，移动或删除特别的系统命令文 征 槪h入信主隔沧殆帶F右* M TiH七七师皆1帐号管

8、理帐号口令是从网络访问NT/2K系统的基本认证方式， 很多系统被入侵都是因为帐号管理不善，设置超级用 户密码强度，密码的缺省配置策略（例如：密码长度，更换时间，帐号所在组，帐号可访问资源，帐号锁定 等多方面），GUEST帐号以及加强的密码管理（SYSKEY）网络及服 务网络和服务是互联网上用户与此服务器接口的部分， 网络协议的配置不当，服务进程设置不当，都可能为 入侵系统打开方便之门。合理地配置网络及服务将能P口 4k CCm AA -fc2S、r ITI 4- 亦Zl 厢 H宀 注册表IH J3 UU 儿 LrJ 口殳M丿L¾HL. Inj ）41 丨微软操作系统缺省的安装是为了能

9、兼容各种运行环境，因此很多权限设置都很宽，这不符合”最小权限”的基本原则，我们需要根据不同的环境，备份注册表，再人为地更改注册表内容，配置最小权限的稳定运行 的系统。例如：不允许远程注册表配置，设置LSA尽量减少远程用户可以获取的信息，设置注册表本身的 访问控制，禁止空连接，对其它操作系统和POSIX的支持，对登录信息的缓存等。也有很多选项需要根据 不同用户需求来制定，例如：当安全策略因为某些因 素（磁盘满）而不能运作时，是否强制系统停止运行。!右m诩1、1 "】比1网络设备交换机，路由 器，防火墙共享共享是向网络上的用户开放对本机的资源访问权限，不合理的配置以及系统的缺省共享配置，

10、都可能造成 远程用户对系统的文件，打印机等资源的非法访问和 操作。我们需要删除不必要的共享，合理配置共享的 访问控制列表。视机器配置而定应用软件 我们建议安装最小的软件包，不安装不必要的应用软 件。但是很多情况应用软件提供不可缺少的服务，这时我们就必须安全地配置它们。IE 被微软绑定为操作系统的一部分，IE的安全直接影响到系统的安全。 我们需要升级 E的版本，安装 IE的补丁，设置IE 的安全级别，及各项安全相关配置OUtIook , POWelpoint及其它等多种软件都可能存在安全问题， 需要安装补丁程序。s提供WWW的服务，这是一-般 NT服务器首选的WEB服务器，但是IIS本身存在很多

11、 安全漏洞，直到现在仍然经常发现新的安全漏洞， S 的缺省配置，目录设置，权限设置，安全设置等多方 面配置不当也是系统安全的巨大隐患。S的加固本身就可以成为一项独立的服务内容。视机器配置而定做好系统的审计和日志工作，对于事后取证追查，帮 助发现问题，都能提供很多必要信息视机器配置而定其它其它方面视不同环境而定，例如需要删除多余的系统安装包，安装主机防病毒软件，等多项操作。最后工作 重新制作新的系统紧急恢复盘(ERD),建议用户做系统 完全备份，并对关键部份做数字签名。检查及加固项目会 根据不同厂商的设备而不同，具体内容在加固前将会根据评估的实际情况而定制订或调整完善网络设备安全策略配置登录地址

12、限制配置登录用户身份鉴别配置特权用户权限分离消除共享用户配置口令复杂度与更换要求配置登录失败处理功能配置远程管理采用SSH等加密方式采购与配置网络设备双因素鉴别设备用户拿到IoS升级包，在设备厂家工程师现场协助下 进行IoS升级。关闭不必要的服务关闭不使用的网络接口t卜和端口访问檸制配SNMP, TFTP, NTP 等服务 建议网络设备的配置文件离线备份，并由专人保管期进行网络设备用户和口令维护，进行口令强度管理使用、访问权限进行严格限制相应的日志检查，审计和归档安全管理策略1.1.5满足指标表错误！文档中没有指定样式的文字。-2安全加固等保符合性说明表 1解决方案名称安全加固解决方案控制类网

13、络安安全加固解决方案主机安指标名称措施名称改进动作改进对象a应对登录网络设备的 用户进行身份鉴别；配置登录用户身份 鉴别网络设备安全配置加固网络设备b应对网络设备的管理 员登录地址进行限 制1,配置登录 地址限制网络设备 安全配置 加 ll网络设备C网络设备用户的标识 应唯一；消除共享 用户网络设备 安全配置 加I古I网络设备d主要网络设备应对同 一用户选择两种或两 种以上组合的鉴别技 术来讲行身份鉴别：采购与配 置网络设 备双因素 鉴别设备采购部署双因素鉴别e身份鉴别信息应具有 不易被冒用的特点， 口令应有复杂度要求 并宗期审换，配置口令 复杂度与 更换要求网络设备 安全配置 与加固网络设备

14、f应具有登录失败处理 功能，可采取结束会 话、限制非法登录次 数和当网络登录连接 超时自动退出等措配置登录 失败处理 功能网络设备 安全配置 与加固网络设备g当对网络设备进行远 程管理时，应采取必 要措施防止鉴别信息 在网络传输过程中被 窃听；配置远程 管理采用SSH等加密方式网络设备 安全配置 与加固网络设备h应实现设备特权用户 的权限分离。配置特权 用户权限 分离网络设备 安全配置 与加固网络设备a应启用访问控制功 能，依据安全策略控 制用户对资源的访访问控制 策略操作系统 与数据库 安全配置 与加l½l操作系统 与数据库 等软件控制点网络设备防护访问控制入侵防范应根据管理用户的

15、角色分配权限，实现管 b 理用户的权限分离，仅授予管理用户所需的最小权限；应实现操作系统和数C据库系统特权用户的 权限分离；应严格限制默认帐户 的访问权限，重命名 d系统默认帐户，修改这些帐户的默认口应及时删除多余的、e 过期的帐户，避免共-享帐户的存在。 应对重要信息资源设1置敏感标记;应依据安全策略严格控制用户对有敏感标 记垂要佶息资源的操 作；应能够检测到对重要 服务器进行入侵的行 为，能够记录入侵的 源IP、攻击的类型、 攻击的目的、攻击的 时间，并在发生严重 入侵事件时提供报应能够对重要程序的 完整性进行检测，并 b 在检测到完整性受到 一破坏后具有恢复的措施；操作系统应遵循最小 安

16、装的原则，仅安装 需要的组件和应用程 C序，并通过设置升级服务器等方式保持系 统补丁及时得到更 新。操作系统应遵循最小 的原则，仅安诜 需要的组件和应用程序，并通过设置升级管理用户权限最小化特权用户 权限分离限制默认 帐户清理帐户重要信息资源设置 敏感标记配置敏感信息符源访问策略采购与配 置主机入 侵检测软 件配置主机入侵检测软件的完整性检测和恢复功能主机最小安装设置补丁服务器操作系统 与数据库 安全配置 与加固操作系统与数据库 安全配置 与加固操作系统与数据库 安全配置 与加固一操作系统与数据库 安全配置 与加固采购部署操作系统 与数据库 安全配国 与加固采购部署安全产品配置操作系统与数据库

17、 安全配置 与加固采购部署操作系统 与数据库 等软件操作系统 与数据库 等软件操作系统 与数据库 等软件操作系统 与数据库 等软件操作系统与数据库等软件操作系统 与数抿库 等软件主机入侵 检测软件主机入侵 检测软件操作系统补丁服务器和软件服务器等方式保持系 统补丁及时得到更 新。解决方案名称控制类控制点指标名称措施名称改进动作改进对象系统安全加固主机安 全剩余信 息保护a应保证操作系统和数 据库系统用户的鉴别 信息所在的存储空 间，被释放或再分配 给其他用户前得到完 全清除，无论这此信 息是存放在硬盘上还 是在内存中;鉴别信息 存储空间 清除操作系统 与数据库 安全配置 与加固操作系统 和数据

18、库b应确保系统内的文 件、目录和数据库记 录等资源所在的存储 空间，被释放或重新 分配给其他用户前得 到完全清除。存储空间 清除操作系统 与数据库 安全配置 与加固操作系统 和数据库资源控制a应通过设定终端接入 方式、网络地址范围 等条件限制终端登 录；主机安全配置与加 固操作系 统与数据 库安全配 置与加固操作系统b应根据安全策略设置 登录终端的操作超时 锁定；主机安全 配置与加 固操作系 统与数据 库安全配 置与加固操作系统C应对重要服务器进行 监视，包括监视服务 器的CPU、硬盘、内 存、网络等资源的使 用情况；采购部署 网管监控 系统，实 现重要服 务器监控采购部署主机性能 管理d应限

19、制单个用户对系 统资源的最大或最小 使用限度；主机安全 配置与加 固操作系 统与数据 库安全配 置与加固操作系统©应能够对系统的服务 水平降低到预先规定 的最小值进行检测和 报警。配置网管 系统的监 控与报 警，实现 服务水平 监控产品配置主机性能 管理解决方案名称控制类控制点指标名称措施名称改进动作改进对象安全加固解决 方案应用安 全访问控 制a应提供访问控制功 能，依据安全策略控 制用户对文件、数据 库表等客体的访问；访问控制 功能应用软件安全开发 与改造业务系统b访问控制的覆盖范围 应包括与资源访问相 关的主体、客体及它访问控制 主体、客 体及操作应用软件 安全开发 与改造业务

20、系统们Z间的操作;要求应由授权主体配置访应用软件问控制策略，并严格 限制默认帐户的访问 权限；应授予不同帐户为完 成各自承担任务所需配置访问 控制策略安全开发 与改造应用软件的最小权限，并在它们之间形成相互制约应具有对重要信息资源设置敏感标记的功Tfe应依据安全策略严格最小权限 与制约安全开发 与改造业务系统业务系统剩余信息保护控制用户对有敏感标 记重要信息资源的操应保证用户鉴别信息 所在的存储空间被释 放或再分配给其他用 户前得到完全清除， 无论这些信息是存放 在硬盘上还是在内存 屮；应保证系统内的文 件、目录和数据库记抗抵赖录等资源所在的存储 空间被释放或重新分 配给其他用户前得到 完全清除。应具有在请求的情况下为数据原发者或接据的功能；应具有在请求的情况软件容错下为数据原发者或接 收者提供数据接收i止 据的功能。应提供数据有效性检 验功能，保证通过人机接口输入或通过通 信接口输入的数据格 式或长度符合系统设 定要求；应提供自动保护功 能，当故障发生时自动保护当前所右状 态，保证系统能够进 行恢复。设置敏感标记的功应用软件 安全开发JT以业务系统控制敏感重要信息鉴别信息 存储空间 清除存储空间清除配置抗 «配置抗输入有效性验证