安全加固解决方案

word安全加固解决方案安全加固范围及方法确定加固的范围是陕西电视台全台网中的主机系统和网络设备，以及相关的数据库系统。主要有：效劳器加固。主要包括对Windows效劳器和Unix效劳器的评估加固，其中还包括对效劳器操作系统层面的评估和数据库层面的评估加固。网络设备加固。主要包括对防火墙，交换机的评估加固。安全加固效劳主要以人工的方式实现。安全加固流程word图错误!文档中没有指定样式的文字。-1安全加固流程图word检查当前设备确定系统漏洞重启动主机确定实施方法更改系统配置按方案实施加固步骤

版本升级下载最补丁软件重启动系统观看系统运行图错误!文档中没有指定样式的文字。-22安全加固步骤预备工作一人操作，一人记录，尽量防止可能消灭的误操作。收集系统信息加固之前收集全部的系统信息和用户效劳需求，收集全部应用和效劳软件信息，做好加固前预备工作。做好备份工作系统加固之前，先对系统做完全备份。加固过程可能存在任何不行遇见的风险，当加固失败时，可以恢复到加固前状态。加固系统依据系统加固核对表，逐项按挨次执行操作。复查配置对加固后的系统，全部复查一次所作加固内容，确保正确无误。应急恢复当消灭不行预料的后果时，首先使用备份恢复系统供给效劳，同时与安全专家小组取得联系，寻求帮助，解决问题安全加固内容表错误!文档中没有指定样式的文字。-1安全加固内容说明表加固对象操作系统加固项说明目UNIX系Solaris，从厂家网站或者可信任站点下载系统的补丁包，统 及UNIX类系HP-UXAIX，，补丁不同的操作系统版本以及运行不同的效劳，都可能造成需要安装的补丁包不同，所以必需选择适统linux，合本机的补丁包安装。[视机器配置而定]FreeBSD，OpenBSD，SCO

UNIX文件系统的权限配置工程繁多，要求也很文件系严格，不适当的配置可能造成用户非法取得操作统 系统超级用户的掌握权从而完全掌握操作系统。30UNIX配置文件功能有点类似微软的注册表，UNIX对操作系统配置根本上都是通过各种配置文件来完成，不合理的配置文件可能造成用户非配置文 法取得操作系统超级用户的掌握权，从而完全控件 制操作系统。例如：/etc/inittab文件是系统加载时首先自动执行的文件，/etc/hosts。equiv是限制主机信任关系的文件等。[有20项左右配置]帐号口令是从网络访问UNIX系统的根本认证方式，很多系统被入侵都是由于帐号治理不善，设帐号管 置超级用户密码强度，密码的缺省配置策略(例理 如：密码长度，更换时间，帐号所在组，帐号锁定等多方面)有些系统可以配置使用更强的加密算法。[有10项左右配置]UNIX有很多缺省翻开的效劳，这些效劳都可能泄露本机信息，或存在未被觉察的安全漏洞，关闭不必要的效劳，能尽量降低被入侵的可能性。网络及效劳NFS 统

例如rrpcrstatd远程安全漏洞。UNIX缺省的网络配置参数也不尽合理，例如TCP序列号随机强度，对D。o。S攻击的抵抗力量等，合理配置网络参数，能优化操作系统性能，提高安全性。[视机器配置而定>30网络文件系统协议最早是SUN公司开发出来的，以实现文件系统共享。NFS使用RPC效劳，其验证方式存在缺陷，NFSNFS配置。[视操作系统而定]我们建议操作系统安装最小软件包，例如担忧装开发包，担忧装不必要的库，担忧装编绎器等，应用软件志

但很多状况下必需安装一些软件包。APACHE或NETSCAPEENTERPRISESERVER是一般UNIX首选的WEB独立的效劳邮件和域名效劳等都需要进展合理的配置。帮助觉察问题，都能供给很多必要信息。例如，例照实现日志集中治理，避开被入侵主机日志被删除等。[视机器配置而定]不同的UNIX系统有一些特别的安全配置，例如其它 solaris有ASET，HP的高级别安全，FreeBSD的jail等。[视机器配置而定]最后工 建议用户做系统完全备份，并对关键部份做数字作 签名。微软操作系统

NT 补丁4.0/W2K(workstation，

微软操作系统对觉察的漏洞修补是使用ServicePack及hotfix，另外，还需要安装C2级安全配置。[视机器配置而定]server ， 文件系 配置NTFS文件系统，NTFS可以支持更多更强profession al ，advancedserver)

大的的安全配置，设置需要特别保护的名目和文件，设置不同名目和文件的权限，移动或删除特别20帐号管 帐号口令是从网络访问NT/2K系统的根本认证理 方式，很多系统被入侵都是由于帐号治理不善，设置超级用户密码强度密码的缺省配置策略(例如：密码长度，更换时间，帐号所在组，帐号可访问资源，帐号锁定等多方面)，GUEST帐号以及加强的密码治理(SYSKEY10项左右配置]网络及 网络和效劳是互联网上用户与此效劳器接口的部效劳 分，网络协议的配置不当，效劳进程设置不当，都可能为入侵系统翻开便利之门。合理地配置网络及效劳将能阻挡80%的一般入侵[视机器配置而定]注册表 微软操作系统缺省的安装是为了能兼容各种运行环境因此很多权限设置都很宽这不符合“最小权限“的根本原则我们需要依据不同的环境备份注册表，再人为地更改注册表内容，配置最小权限的稳定运行的系统。例如：不允许远程注册表配置设置LSA尽量削减远程用户可以猎取的信息设置注册表本身的访问掌握制止空连接，对其它操作系统和POSIX的支持对登录信息的缓存等。也有很多项选择项需要依据不同用户需求来制定，例如：当安全策略由于某些因素(磁盘满)而不能运作时，是否强制系统停顿运行。[有40项以上配置]共享 共享是向网络上的用户开放对本机的资源访问权限，不合理的配置以及系统的缺省共享配置，都可能造成远程用户对系统的文件，打印机等资源的非法访问和操作我们需要删除不必要的共享，合理配置共享的访问掌握列表。[视机器配置而定]应用软 我们建议安装最小的软件包，担忧装不必要的应件 用软件。但是很多状况应用软件供给不行缺少的效劳，这时我们就必需安全地配置它们。IE被微软绑定为操作系统的一局部，IE的安全直接影IEIEIE配置outlook，powerpoint及其它等多种软件都可能存在安全问题，需要安装补丁程序。IIS供给WWWNT效劳器首选的WEB效劳器，但是IIS本身存在很多安全漏洞，S的缺省配置，名目设置，权限设置，安全设置等多方面IIS的加固本身就可以成为一项独立的效劳内容。[视机器配置而定]审计日做好系统的审计和日志工作对于事后取证追查，志 帮助觉察问题都能供给很多必要信息[视机器配置而定]其它 其它方面视不同环境而定，例如需要删除多余的系统安装包安装主机防病毒软件等多项操作。最后工 重制作的系统紧急恢复盘(ERD)，建议用户作 做系统完全备份，并对关键部份做数字签名。网络设备 交换机，路 检查及 制订或调整完善网络设备安全策略由器，防火 加固项 配置登录地址限制墙 目会根 配置登录用户身份鉴别据不同 配置特权用户权限分别厂商的设备而内容在加固前将会根据评估的实际情况而定

消退共享用户配置口令简单度与更换要求配置登录失败处理功能配置远程治理承受SSH选购与配置网络设备双因素鉴别设备用户拿到IOSIOS关闭不必要的效劳关闭不使用的网络接口给出重要协议、地址和端口访问掌握配置原型SNMP，TFTP，NTP建议网络设备的配置文件离线备份，并由专人保管期进展网络设备用户和口令维护，进展口令强度治理使用、访问权限进展严格限制相应的日志检查，审计和归档安全治理策略满足指标表错误!文档中没有指定样式的文字。-2安全加固等保符合性说明表1解决方案名称

掌握 掌握类 点

指标名称 措施名称

改进动作 改进对象安全加固解 网络 网络

应对登录网络设备

配置登

网络设备决方案 安全 设备防护

a 的用户进展身份鉴别；

安全配置 网络设与加固 备别应对网络设备的管别应对网络设备的管配置登网络设备b 理员登录地址进展录地址安全配置限制；限制与加固网络设备用户的标

网络设备

网络设识应唯一； 享用户 安全配置 备与加固主要网络设备应对 选购与同一用户选择两种 或两种以上组合的 鉴别技术来进展身 双因素份鉴别； 备

选购部署 双因素鉴别身份鉴别信息应具有不易被冒用的特点，口令应有简单度要求并定期更换；应具有登录失败处

配置口 网络设备令简单 安全配置度与更 与加固换要求

网络设备理功能，可实行结 束会话、限制非法

网络设备 网络设登录连接超时自动退出等措施；登录连接超时自动退出等措施；能当对网络设备进展配置远网络设备网络设远程治理时，应采程治理安全配置备登录次数和当网络

与加固 备g安全加固解 主机决方案 安全

取必要措施防止鉴别信息在网络传输过程中被窃听；h 应实现设备特权用户的权限分别。访问 应启用访问掌握功掌握 a 能，依据安全策略掌握用户对资源的访问；应依据治理用户的角色安排权限，实b 现治理用户的权限分别，仅授予治理用户所需的最小权限；应实现操作系统和c 数据库系统特权用户的权限分别；应严格限制默认帐户的访问权限，重命名系统默认帐户，修改这些帐户的默认口令；应准时删除多余的、过期的帐户，避开共享帐户的存在。应对重要信息资源设置敏感标记；

承受SSH加密方式配置特权用户权限分别访问掌握治理用户权限特权用户权限分别限制默认帐户清理帐户重要信息资源设置敏感标记

与加固网络设备安全配置与加固操作系统与数据库安全配置与加固操作系统与数据库安全配置与加固操作系统与数据库安全配置与加固操作系统与数据库安全配置与加固操作系统与数据库安全配置与加固选购部署

网络设备操作系统与数据库等软件操作系统与数据库等软件操作系统与数据库等软件操作系统与数据库等软件操作系统与数据库等软件操作系统与数据库等软件应依据安全策略严配置敏操作系统应依据安全策略严配置敏操作系统操作系格掌握用户对有敏感信息与数据库统与数感标记重要信息资资源访安全配置据库等源的操作；问策略与加固软件应能够检测到对重入侵防范 要效劳器进展入侵的行为，能够记录入侵的源IP、攻击的类型、攻击的目的、攻击的时间，并在发生严峻入侵大事时供给报警；应能够对重要程序的完整性进展检测，并在检测到完整性受到破坏后具有恢复的措施；操作系统应遵循最小安装的原则，仅安装需要的组件和应用程序，并通过设置升级效劳器等

选购与配置主选购与配置主检测软选购部署主机入侵检测软件配置主机入侵检测软件的完整性检测和恢主机最

安全产品配置方式保持系统补丁准时得到更。方式保持系统补丁准时得到更。操作系统应遵循最小安装的原则，仅安装需要的组件和设置补补丁服c 应用程序，并通过设置升级效劳器等丁效劳器选购部署务器和软件方式保持系统补丁准时得到更。

主机入侵检测软件操作系统解决方案名 掌握 掌握称 类 点

指标名称 措施名称

改进动作 改进对象鉴别信息存储鉴别信息存储除操作系统与数据库安全配置与加固操作系统和数据库存储空间去除操作系统与数据库安全配置与加固操作系统和数据库主机安全配置与加固操作系统与数据库安全配置与加固操作系统与数据库安全配置与加固操作系统应依据安全策略设b 置登录终端的操作超时锁定；主机安全配置与加固操作系统c应对重要效劳器进行监视，包括监视效劳器的CPU、硬盘、内存、网络等资源的使用状况；选购部署网管监控系重要效劳器监控选购部署主机性能治理应限制单个用户对d 系统资源的最大或最小使用限度；主机安全配置与加固操作系统与数据库安全配置与加固操作系统系统安全加固系统安全加固主机安全剩余信息应保证操作系统和数据库系统用户的保护a鉴别信息所在的存储空间，被释放或再安排给其他用户前得到完全去除，无论这些信息是存放在硬盘上还是在内存中；应确保系统内的文件、名目和数据库记录等资源所在的b存储空间，被释放或重安排给其他用户前得到完全清除。资源应通过设定终端接掌握a入方式、网络地址范围等条件限制终端登录；应能够对系统的服e 务水平降低到预先规定的最小值进展检测和报警。

配置网管系统与报警，产品配置实现服务水平监控

主机性能治理解决方案名 掌握 掌握称 类 点安全加固解 应用 访问决方案 安全 掌握

指标名称应供给访问掌握功

措施名称

改进动作 改进对象a能，依据安全策略a能，依据安全策略掌握用户对文件、访问掌握功能应用软件安全开发数据库表等客体的访问；与改造访问掌握的掩盖范围应包括与资源访访问控制主体、应用软件b 问相关的主体、客客体及安全开发体及它们之间的操作；操作要求与改造业务系统应由授权主体配置c 访问掌握策略，并的访问权限；应授予不同帐户为的访问权限；应授予不同帐户为完成各自担当任务最小权应用软件d 所需的最小权限，限与制安全开发并在它们之间形成相互制约的关系。约与改造应具有对重要信息设置敏应用软件e 资源设置敏感标记感标记安全开发的功能；的功能与改造

配置访问掌握策略

应用软件安全开发与改造

业务系统业务系统应依据安全策略严f 格掌握用户对有敏感标记重要信息资源的操作；

掌握敏感重要信息资源操作

应用软件安全开发与改造

业务系统业务系统剩余信息应保证用户鉴别信剩余信息应保证用户鉴别信息所在的存储空间保护a被释放或再安排给其他用户前得到完全去除，无论这些信息是存放在硬盘上还是在内存中；应保证系统内的文件、名目和数据库记录等资源所在的b存储空间被释放或重安排给其他用户前得到完全清除。抗抵赖a应具有在恳求的状况下为数据原发者或接收者供给数据原发证据的功能；应具有在恳求的情b况下为数据原发者或接收者供给数据存储空间去除

应用软件安全开发与改造应用软件安全开发与改造

业务系统业务系统接收证据的功能。软件 应供给数据有效性容错 检验功能，保证通过人机接口输入或

配置配置输入有

应用软件安全开发与改造应用软