安全系统加固解决方案设计

安全加固解决方案安全加固范畴及办法拟定加固的范畴是陕西电视台全台网中的主机系统和网络设备，以及有关的数据库系统。重要有：服务器加固。重要涉及对Windows服务器和Unix服务器的评定加固，其中还涉及对服务器操作系统层面的评定和数据库层面的评定加固。网络设备加固。重要涉及对防火墙，交换机的评定加固。安全加固服务重要以人工的方式实现。安全加固流程

图STYLEREF1\s4SEQ图\*ARABIC\s17安全加固流程图

图STYLEREF1\s4SEQ图\*ARABIC\s18系统加固实施流程图2安全加固环节准备工作一人操作，一人统计，尽量避免可能出现的误操作。收集系统信息加固之前收集全部的系统信息和顾客服务需求，收集全部应用和服务软件信息，做好加固前预备工作。做好备份工作系统加固之前，先对系统做完全备份。加固过程可能存在任何不可遇见的风险，当加固失败时，能够恢复到加固前状态。加固系统按照系统加固核对表，逐项按次序执行操作。复查配备对加固后的系统，全部复查一次所作加固内容，确保对的无误。应急恢复当出现不可预料的后果时，首先使用备份恢复系统提供服务，同时与安全专家小组获得联系，谋求协助，解决问题

安全加固内容表STYLEREF1\s4SEQ表\*ARABIC\s113安全加固内容阐明表加固对象操作系统加固项目阐明UNIX系统及类UNIX系统Solaris，HP-UX，AIX，linux，FreeBSD，OpenBSD，SCO补丁从厂家网站或者可信任站点下载系统的补丁包，不同的操作系统版本以及运行不同的服务，都可能造成需要安装的补丁包不同，因此必须选择适合本机的补丁包安装。[视机器配备而定]文献系统UNIX文献系统的权限配备项目繁多，规定也很严格，不适宜的配备可能造成顾客非法获得操作系统超级顾客的控制权，从而完全控制操作系统。[有30项左右配备]配备文献UNIX配备文献功效有点类似微软的注册表，UNIX对操作系统配备基本上都是通过多个配备文献来完毕，不合理的配备文献可能造成顾客非法获得操作系统超级顾客的控制权，从而完全控制操作系统。例如：/etc/inittab文献是系统加载时首先自动执行的文献，/etc/hosts。equiv是限制主机信任关系的文献等。[有20项左右配备]帐号管理帐号口令是从网络访问UNIX系统的基本认证方式，诸多系统被入侵都是由于帐号管理不善，设立超级顾客密码强度，密码的缺省配备方略(例如：密码长度，更换时间，帐号所在组，帐号锁定等多方面)。有些系统能够配备使用更强的加密算法。[有10项左右配备]网络及服务UNIX有诸多缺省打开的服务，这些服务都可能泄露本机信息，或存在未被发现的安全漏洞，关闭不必要的服务，能尽量减少被入侵的可能性。例如r系列服务和rpc的rstatd都出过不止一次远程安全漏洞。UNIX缺省的网络配备参数也不尽合理，例如TCP序列号随机强度，对D。o。S攻击的抵抗能力等，合理配备网络参数，能优化操作系统性能，提高安全性。[视机器配备而定>30项]NFS系统网络文献系统合同最早是SUN公司开发出来的，以实现文献系统共享。NFS使用RPC服务，其验证方式存在缺点，NFS服务的缺省配备也很不安全，如果必须使用NFS系统，一定进行安全的配备。[视操作系统而定]应用软件我们建议操作系统安装最小软件包，例如不安装开发包，不安装不必要的库，不安装编绎器等，但诸多状况下必须安装某些软件包。APACHE或NETSCAPEENTERPRISESERVER是普通UNIX首选的WEB服务器，其配备本身就是一项独立的服务邮件和域名服务等都需要进行合理的配备。审计，日志做好系统的审计和日志工作，对于事后取证追查，协助发现问题，都能提供诸多必要信息。例如，打开帐号审计功效，统计全部顾客执行过的命令。例如实现日志集中管理，避免被入侵主机日志被删除等。[视机器配备而定]其它不同的UNIX系统有某些特别的安全配备，例如solaris有ASET，HP的高级别安全，FreeBSD的jail等。[视机器配备而定]最后工作建议顾客做系统完全备份，并对核心部份做数字签名。微软操作系统NT4.0/W2K(workstation，server，professional，advancedserver)补丁微软操作系统对新发现的漏洞修补是使用ServicePack及hotfix，另外，还需要安装C2级安全配备。[视机器配备而定]文献系统配备NTFS文献系统，NTFS能够支持更多更强大的的安全配备，设立需要特殊保护的目录和文献，设立不同目录和文献的权限，移动或删除特别的系统命令文献，增加入侵者操作的难度。[有20项左右配备]帐号管理帐号口令是从网络访问NT/2K系统的基本认证方式，诸多系统被入侵都是由于帐号管理不善，设立超级顾客密码强度，密码的缺省配备方略(例如：密码长度，更换时间，帐号所在组，帐号可访问资源，帐号锁定等多方面)，GUEST帐号以及加强的密码管理(SYSKEY)等。[有10项左右配备]网络及服务网络和服务是互联网上顾客与此服务器接口的部分，网络合同的配备不当，服务进程设立不当，都可能为入侵系统打开方便之门。合理地配备网络及服务将能阻挡80%的普通入侵[视机器配备而定]注册表微软操作系统缺省的安装是为了能兼容多个运行环境，因此诸多权限设立都很宽，这不符合"最小权限"的基本原则，我们需要根据不同的环境，备份注册表，再人为地更改注册表内容，配备最小权限的稳定运行的系统。例如：不允许远程注册表配备，设立LSA尽量减少远程顾客能够获取的信息，设立注册表本身的访问控制，严禁空连接，对其它操作系统和POSIX的支持，对登录信息的缓存等。也有诸多选项需要根据不同顾客需求来制订，例如：当安全方略由于某些因素(磁盘满)而不能运作时，与否强制系统停止运行。[有40项以上配备]共享共享是向网络上的顾客开放对本机的资源访问权限，不合理的配备以及系统的缺省共享配备，都可能造成远程顾客对系统的文献，打印机等资源的非法访问和操作。我们需要删除不必要的共享，合理配备共享的访问控制列表。[视机器配备而定]应用软件我们建议安装最小的软件包，不安装不必要的应用软件。但是诸多状况应用软件提供不可缺少的服务，这时我们就必须安全地配备它们。IE被微软绑定为操作系统的一部分，IE的安全直接影响到系统的安全。我们需要升级IE的版本，安装IE的补丁，设立IE的安全级别，及各项安全有关配备outlook，powerpoint及其它等多个软件都可能存在安全问题，需要安装补丁程序。IIS提供WWW的服务，这是普通NT服务器首选的WEB服务器，但是IIS本身存在诸多安全漏洞，直到现在仍然经常发现新的安全漏洞，IIS的缺省配备，目录设立，权限设立，安全设立等多方面配备不当也是系统安全的巨大隐患。IIS的加固本身就能够成为一项独立的服务内容。[视机器配备而定]审计，日志做好系统的审计和日志工作，对于事后取证追查，协助发现问题，都能提供诸多必要信息[视机器配备而定]其它其它方面视不同环境而定，例如需要删除多出的系统安装包，安装主机防病毒软件，等多项操作。最后工作重新制作新的系统紧急恢复盘(ERD)，建议顾客做系统完全备份，并对核心部份做数字签名。网络设备交换机，路由器，防火墙检查及加固项目会根据不同厂商的设备而不同，具体内容在加固前将会根据评定的实际状况而定制订或调节完善网络设备安全方略配备登录地址限制配备登录顾客身份鉴别配备特权顾客权限分离消除共享顾客配备口令复杂度与更换规定配备登录失败解决功效配备远程管理采用SSH等加密方式采购与配备网络设备双因素鉴别设备顾客拿到IOS升级包，在设备厂家工程师现场协助下进行IOS升级。关闭不必要的服务关闭不使用的网络接口给出重要合同、地址和端口访问控制配备原型SNMP，TFTP，NTP等服务建议网络设备的配备文献离线备份，并由专人保管期进行网络设备顾客和口令维护，进行口令强度管理使用、访问权限进行严格限制对应的日志检查，审计和归档安全管理方略满足指标表STYLEREF1\s4SEQ表\*ARABIC\s114安全加固等保符合性阐明表1解决方案名称控制类控制点指标名称方法名称改善动作改善对象安全加固解决方案网络安全网络设备防护a应对登录网络设备的顾客进行身份鉴别；配备登录顾客身份鉴别网络设备安全配备与加固网络设备b应对网络设备的管理员登录地址进行限制；配备登录地址限制网络设备安全配备与加固网络设备c网络设备顾客的标记应唯一；消除共享顾客网络设备安全配备与加固网络设备d重要网络设备应对同一顾客选择两种或两种以上组合的鉴别技术来进行身份鉴别；采购与配备网络设备双因素鉴别设备采购布署双因素鉴别e身份鉴别信息应含有不易被冒用的特点，口令应有复杂度规定并定时更换；配备口令复杂度与更换规定网络设备安全配备与加固网络设备f应含有登录失败解决功效，可采用结束会话、限制非法登录次数和当网络登录连接超时自动退出等方法；配备登录失败解决功效网络设备安全配备与加固网络设备g当对网络设备进行远程管理时，应采用必要方法避免鉴别信息在网络传输过程中被窃听；配备远程管理采用SSH等加密方式网络设备安全配备与加固网络设备h应实现设备特权顾客的权限分离。配备特权顾客权限分离网络设备安全配备与加固网络设备安全加固解决方案主机安全访问控制a应启用访问控制功效，根据安全方略控制顾客对资源的访问；访问控制方略操作系统与数据库安全配备与加固操作系统与数据库等软件b应根据管理顾客的角色分派权限，实现管理顾客的权限分离，仅授予管理顾客所需的最小权限；管理顾客权限最小化操作系统与数据库安全配备与加固操作系统与数据库等软件c应实现操作系统和数据库系统特权顾客的权限分离；特权顾客权限分离操作系统与数据库安全配备与加固操作系统与数据库等软件d应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；限制默认帐户操作系统与数据库安全配备与加固操作系统与数据库等软件e应及时删除多出的、过期的帐户，避免共享帐户的存在。清理帐户操作系统与数据库安全配备与加固操作系统与数据库等软件f应对重要信息资源设立敏感标记；重要信息资源设立敏感标记采购布署操作系统与数据库等软件g应根据安全方略严格控制顾客对有敏感标记重要信息资源的操作；配备敏感信息资源访问方略操作系统与数据库安全配备与加固操作系统与数据库等软件入侵防备a应能够检测到对重要服务器进行入侵的行为，能够统计入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严重入侵事件时提供报警；采购与配备主机入侵检测软件采购布署主机入侵检测软件b应能够对重要程序的完整性进行检测，并在检测到完整性受到破坏后含有恢复的方法；配备主机入侵检测软件的完整性检测和恢复功效安全产品配备主机入侵检测软件c操作系统应遵照最小安装的原则，仅安装需要的组件和应用程序，并通过设立升级服务器等方式保持系统补丁及时得到更新。主机最小安装操作系统与数据库安全配备与加固操作系统c操作系统应遵照最小安装的原则，仅安装需要的组件和应用程序，并通过设立升级服务器等方式保持系统补丁及时得到更新。设立补丁服务器采购布署补丁服务器和软件解决方案名称控制类控制点指标名称方法名称改善动作改善对象系统安全加固主机安全剩余信息保护a应确保操作系统和数据库系统顾客的鉴别信息所在的存储空间，被释放或再分派给其它顾客前得到完全去除，无论这些信息是寄存在硬盘上还是在内存中；鉴别信息存储空间去除操作系统与数据库安全配备与加固操作系统和数据库b应确保系统内的文献、目录和数据库统计等资源所在的存储空间，被释放或重新分派给其它顾客前得到完全去除。存储空间去除操作系统与数据库安全配备与加固操作系统和数据库资源控制a应通过设定终端接入方式、网络地址范畴等条件限制终端登录；主机安全配备与加固操作系统与数据库安全配备与加固操作系统b应根据安全方略设立登录终端的操作超时锁定；主机安全配备与加固操作系统与数据库安全配备与加固操作系统c应对重要服务器进行监视，涉及监视服务器的CPU、硬盘、内存、网络等资源的使用状况；采购布署网管监控系统，实现重要服务器监控采购布署主机性能管理d应限制单个顾客对系统资源的最大或最小使用程度；主机安全配备与加固操作系统与数据库安全配备与加固操作系统e应能够对系统的服务水平减少到预先规定的最小值进行检测和报警。配备网管系统的监控与报警，实现服务水平监控产品配备主机性能管理解决方案名称控制类控制点指标名称方法名称改善动作改善对象安全加固解决方案应用安全访问控制a应提供访问控制功效，根据安全方略控制顾客对文献、数据库表等客体的访问；访问控制功效应用软件安全开发与改造业务系统b访问控制的覆盖范畴应涉及与资源访问有关的主体、客体及它们之间的操作；访问控制主体、客体及操作规定应用软件安全开发与改造业务系统c应由授权主体配备访问控制方略，并严格限制默认帐户的访问权限；配备访问控制方略应用软件安全开发与改造业务系统d应授予不同帐户为完毕各自承当任务所需的最小权限，并在它们之间形成互相制约的关系。最小权限与制约应用软件安全开发与改造业务系统e应含有对重要信息资源设立敏感标记的功效；设立敏感标记的功效应用软件安全开发与改造业务系统f应根据安全方略严格控制顾客对有敏感标记重要信息资源的操作；控制敏感重要信息资源操作应用软件安全开发与改造业务系统剩余信息保护a应确保顾客鉴别信息所在的存储空间被释放或再分派给其它顾客前得到完全去除，无论这些信息是寄存在硬盘上还是在内存中；鉴别信息存储空间去除应用软件安全开发与改造业务系统b应确保系统内的文献、目录和数据库统计等资源所在的存储空间被释放或重新分派给其它顾客前得到完全去除。存储空间去除应用软件安全开发与改造业务系统抗抵赖a应含有在请求的状况下为数据原发者或接受者提供数据原发证据的功效；配备抗抵赖应用软件安全开发与改造业务系统b应含有在请求的状况下为数据原发者或接受者提供数据接受证据的功效。配备抗抵赖应用软件安全开发与改造业务系统软件容错a应提供数据有效性检查功效，确保通过人机接口输入或通过通