Q GDW 11445-2015 国家电网公司管理信息系统安全基线要求

国家电网公司管理信息系统安全基线要求Securitybaselinerequirementofmanagementinfo2016-11-09发布国家电网公司发布2016-11-09实施前言 Ⅱ1范围 2规范性引用文件 3术语和定义 4安全基线要求 2 5 84.6中间件安全基线要求 4.7应用系统安全基线要求 4.8外部设备安全基线要求 4.9数据备份、恢复与销毁安全基线要求 编制说明 IⅡ为规范国家电网公司信息系统与相关设备的基础防护，消除网络与信息安全防护工作中存在的薄弱环节，提高信息系统安全防护能力，结合电力行业及国家电网公司防护要求，制定本标准。本标准由国家电网公司信息通信部提出并解释。本标准由国家电网公司科技部归口。本标准起草单位：南瑞集团公司信息通信技术分公司、国网山东省电力公司、国网江苏省电力公司、国网浙江省电力公司、国网四川省电力公司、国网黑龙江省电力有限公司、国网陕西省电力公司。本标准主要起草人：陈刚、刘莹、金倩倩、杨维永、朱世顺、刘行、刘寅、丁晓玉、栾国强、韩勇、屠正伟、曲延盛、王烨、杜猛俊、卢黎明、刘萧、江勇、梁晖辉、权长荣、张永平、苏哈江、代长生、雷大洋、俞庚申、郭靓、黄伟、李祉岐、张盈、刘强、徐亮、张志伟、张宪康、欧阳利剑、范永。本标准在执行过程中的意见或建议反馈至国家电网公司科技部。1国家电网公司管理信息系统安全基线要求本标准规定了国家电网公司总部和各单位管理类信息系统与相关设备的安全基线要求。本标准适用于国家电网公司总部和各单位管理类信息系统及相关设备的基础防护工作。按照等级保护标准定级为二级的系统应按照本标准进行防护，三级及以上信息系统应在本标准的基础上结合国家及行业主管部门相关要求进行防护。2规范性引用文件下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本(包括所有的修改单)适用于本文件。GB/T25069信息安全技术术语3术语和定义GB/T25069界定的以及下列术语和定义适用于本文件。安全基线securitybaseline信息系统或设备的最低安全配置要求，即该信息系统或设备的最小安全保证。外部设备peripheral指连接在计算机主机以外的设备，如网络打印机、传真机等具备打印、复印、传输的硬件设备。4安全基线要求4.1物理安全安全基线要求4.1.1物理防护物理环境应按照物理防护安全基线要求进行防护(见表1),预防物理环境遭到破坏，提高系统所涉及的物理环境安全防护能力。表1物理防护安全基线要求要求点安全基线要求说明机房位置应位于建筑中间楼层，远离建筑物水源。如不可避免顶层、地下室、用水设备的下层或隔壁，应部署漏水监测、漏水保护、自动化排水系统等防水措施。环境监控应部署涵盖视频、烟感、温湿度、漏水监测等功能的监控系统并能实现自动报警。监控系统监测范围应覆盖机房内所有资产设备并配置自动报警功能。防雷击应部署防雷击保护装置。设置防雷装置，信息系统所有设备和部件应安装在有防雷保护的范围内。防静电应采用防静电地板，并配备静电消除设备：关键设备必须满足接地、防静电等要求。电磁防护应采用接地的方式防止外界电磁干扰和设备寄生耦合干扰。机房强弱电线缆应隔离铺设，采用屏蔽性能良好的屏蔽电缆作为机房的电源引入线。24.1.2物理管理物理环境管理应按照物理管理安全基线要求进行防护(见表2),强化物理环境管理，提高系统所涉及的物理环境安全防护能力。表2物理管理安全基线要求要求点安全基线要求说明机房出入口管理应安排专人值守或配置电子门禁系统。内部人员需进行登记，外来人员进入机房需进行登记并由内部人员全程陪同。机房区域划分应按照功能进行区域划分。应划分为服务器区、网络设备区、存储区、监控操作区、调试区等，调试区与其他区域应采用物理方式进行隔断。设备标签管理应落实公司针对机房设备标签的相关要求。设备应进行标识，并设置明显的不易除去的标记，标签形式、内容应符合公司信息机房标识标准相关规定。电力供应管理机房市电电源供应应实现双路且能自动切换，并建立备用供电系统。提供必要的备用电力供应(如UPS、柴油发电机等),输入电源采用双路自动切换供电方式，且至少满足主要设备在断电情况下正常运行2小时。通信冗余网络通信设备和通道进行冗余配置。核心网络通信设备具备N-1运行要求，通信通道从不同的电缆沟道分设。4.2网络设备安全基线要求4.2.1设备管理网络设备管理应按照网络设备设备管理安全基线要求进行防护(见表3),预防远程访问服务攻击或非授权访问，提高网络设备安全防护能力。表3网络设备设备管理安全基线要求要求点安全基线要求说明设备命名应采用唯一标识。按照公司设备标识规范统一网络设备标识，确保网络设备标识唯一，且对设备物理接口明确描述。远程管理应采用加密的安全方式进行远程管理。采用SSH服务代替Telnet等明文方式进行远程管理提高设备管理安全性，条件不具备的设备需进行审批并备案。认证方式应采用本地认证。启用网络设备本地认证。管理地址控制应配置管理员远程管理IP地址访问控制策略。配置访问控制策略，只允许管理员IP地址远程管理网络设备。console口管理应启用console口令认证。配置console口令认证策略，口令长度不得小于8位，且为字母、数字或特殊字符的混合组合。网络设备应按照网络设备帐户与口令安全基线要求进行防护(见表4),配置用户帐户与口令安全策略，防止存在弱口令，提高网络设备帐户与口令的安全性。表4网络设备帐户与口令安全基线要求要求点安全基线要求说明初始帐户/应修改初始帐户与口令，禁止使用在完成初始配置后应立即修改缺省帐户和口令；如账户3口令修改默认值。名无法修改，必须修改初始口令。口令存储应启用帐户口令加密存储策略，禁止在设备配置中明文存储口令信息。通过网络设备配置命令对口令进行加密，确保设备配置中不存在明文口令信息。表4(续)要求点安全基线要求说明口令复杂度应满足公司口令复杂度要求。配置帐户口令复杂度，口令长度不得小于8位，且为字母、数字或特殊字符的混合组合，帐户与口令不得相同。超时退出应设置帐户登录超时退出时间。帐户登录超时自动退出时间应为5分钟。锁定阈值应启用非法登录次数限制，设置锁定阈值。配置帐户登录失败处理功能，限制非法登录次数为5次、锁定时间应20分钟以上。口令周期应定期修改帐户口令。口令至少应每三个月修改一次。4.2.3安全防护网络设备应按照网络设备安全防护安全基线要求进行防护(见表5),通过对网络设备安全配置调整和服务优化，提高网络设备及网络的安全性。表5网络设备安全防护安全基线要求要求点安全基线要求说明版本信息应修改设备版本信息默认值。称、设备型号、制造商、设备版本、管理员等信息。SNMP管理应更改SNMPCommunity的读写值。按照公司口令复杂度要求修改SNMPCommunity读写值，禁止使用Public、Private等默认字段。SNMP版本应采用较为安全的SNMP协议版本。采用安全增强的SNMPV2C及以上版本。SNMP访问控制应配置SNMP访问控制列表。设置ACL访问控制列表，仅允许特定的IP地址与设备进行数据交互，控制并规范网络访问行为。服务管理应禁用非必须的服务。危服务。地址管理应启用IP、MAC、物理端口绑定。服务器应采用IP+MAC+交换机物理端口绑定策略。ICMP服务加强应启用ICMP加强服务。启用ICMP流量控制策略。网络设备日志与审计应按照网络设备日志与审计安全基线要求进行配置(见表6),为日志审计与事件分析提供基础数据，确保操作与事件的可追溯。表6网络设备日志与审计安全基线要求要求点安全基线要求说明日志开启应启用日志功能。启用网络设备日志审计功能。4日志保存应定期备份日志信息或配置日志服务器对日志进行归档。备份日志信息应传输至日志服务器保存，日志信息应至少每月备份一次，应保存6个月以上。日志分析应定期对日志进行分析并形成审计报告。应每月定期对网络设备日志进行分析，归类总结各类攻击事件，形成日志审计分析报告并存档。4.3安全设备安全基线要求4.3.1设备管理安全设备管理应按照安全设备设备管理安全基线要求进行防护(见表7),提高安全设备运维管理的表7安全设备设备管理安全基线要求要求点安全基线要求说明设备命名应采用唯一标识。统一安全设备标识格式，确保安全设备标识唯一。远程管理应采用加密的安全方式进行远程管理。采用SSH、HTTPS等安全服务代替Telnet、HTTP等明文方式进行远程管理，条件不具备的设备需进行审批并备案。管理地址控制应配置管理员远程管理IP地址访问控制策略。配置访问控制策略，只允许管理员IP地址远程管理网络设备。root控制应限制root登录方式。应设置root用户只能通过console接口访问设备。4.3.2帐户与口令安全设备帐户与口令应按照安全设备帐户与口令安全基线要求进行防护(见表8),配置用户帐户与口令安全策略，防止存在弱口令，提高安全设备帐户与口令的安全性。表8安全设备帐户与口令安全基线要求要求点安全基线要求说明初始帐户/口令修改应修改初始帐户与口令，禁止使用默认值。在完成初始配置后应立即修改缺省帐户和口令；如帐户无法修改，必须修改初始口令。口令存储应启用帐户口令加密存储策略，禁止在设备配置中明文存储口令信息。应确保设备配置中不存在明文口令信息。口令复杂度应满足公司口令复杂度要求。配置帐户口令复杂度，口令长度不得小于8位，且为字母、数字或特殊字符的混合组合，帐户与口令不得相同。超时退出应设置帐户登录超时退出时间。帐户登录超时自动退出时间应为5分钟。锁定阈值应启用非法登录次数限制，设置锁定阈值。配置帐户登录失败处理功能，限制非法登录次数为5次、锁定时间应20分钟以上。口令周期应定期修改帐户口令。口令应至少每三个月修改一次。4.3.3安全防护安全设备防护应按照安全设备安全防护安全基线要求进行防护(见表9),通过对设备安全配置进行调整，提高设备和网络的安全性。表9安全设备安全防护安全基线要求要求点安全基线要求说明版本信息应修改设备版本信息默认值。修改设备出厂版本信息，包括安全设备名称、单位名称、设备型号、制造商、设备版本、管理员等信息。5SNMP管理应更改SNMPCommunity的读写值。按照公司口令复杂度要求修改SNMPCommunity读写值，禁止使用Public、Private等默认字段。SNMP访问控制应配置SNMP访问控制列表。设置ACL访问控制列表，仅允许特定的IP地址与设备进行数据交互，控制并规范网络访问行为。表9(续)要求点安全基线要求说明应采用较为安全的SNMP协议版本。采用安全增强的SNMPV2C及以上版本。服务管理应禁用非必须的服务。仅启用SSH等安全服务，禁止ftp、tftp、Telnet、http等高危服务。地址管理应启用IP、MAC、物理端口绑定，应与网络设备配合启用地址管理策略。防攻击设置应开启安全设备防攻击选项，并实现告警功能。防攻击选项包括：SYNAttack、ICMPFlood、UDPFlood、护、SYNFragment(SYN碎片)等。端口控制应配置访问控制策略限制高危端口的访问。应对服务器的TCP135、TCP139、TCP445等共享端口的访问进行限制。基础策略应禁止存在全通策略，定期梳理现有安全策略。应禁止全通策略，应每月定期对现有策略进行梳理和清理，及时清理过期、临时策略。特征库更新应及时更新特征库。及时更新IDS、IPS、防病毒服务器等安全设备特征库，特征库更新周期禁止超过三个月。策略开启管理策略开启应进行备案并明确开启与关闭或变更时间。策略开启应进行纸质备案，明确开启时间、关闭、变更时间，并严格按照时间要求执行。安全设备日志与审计应按照安全设备日志与审计安全基线要求进行配置(见表10),为日志审计与事件分析提供基础数据，确保网络攻击与事件的可追溯。表10安全设备日志与审计安全基线要求要求点安全基线要求说明日志开启应启用日志功能。启用安全设备日志审计功能。日志保存应定期备份日志信息或配置日志服务器对日志进行归档。备份日志信息应传输至日志服务器保存，日志信息应至少每月备份一次，应保存6个月以上。日志分析应定期对日志进行分析并形成审计报告。应每月定期对安全设备日志进行分析，归类总结各类攻击事件，形成日志审计分析报告并存档。4.4操作系统安全基线要求系统管理UNIX类操作系统管理应按照UNIX类操作系统管理安全基线要求进行防护(见表11),通过配置系统安全管理策略，预防远程访问服务攻击或非授权访问，提高主机系统远程管理安全性。6表11UNIX类操作系统管理安全基线要求要求点安全基线要求说明远程管理应采用加密的安全方式进行远程管理。应采用SSH进行远程管理，应通过网络设备或安全设备限定远程管理服务端口并限定访问地址。补丁管理应及时更新补丁。应及时更新操作系统补丁，更新前应做好系统备份。UNIX类操作系统账户与口令应按照UNIX类操作系统帐户与口令安全基线要求进行防护(见表12),配置帐户与口令安全策略，防止存在弱口令，提高系统帐户与口令安全。表12UNIX类操作系统帐户与口令安全基线要求要求点安全基线要求说明帐户权限应根据数据库、中间件等非操作系统帐户的业务需求进行权限设置。将数据库、中间件、FTP等应用的帐户权限设置为业务所需最低级别，不应设置为操作系统管理员权限。帐户管理应锁定操作系统自带的非必须帐户。应锁定daemon、bin、sys、adm、uucp、nuucp、Ipd、imnadmhpsmh、named、nobody、noaccess、hpdb、useradm默认帐户，如业务需求，应进行备案。口令复杂度应满足公司口令复杂度要求。应通过操作系统配置策略配置帐户口令复杂度，口令长度不得小于8位，且为字母、数字或特殊字符的混合组合，帐户与口令不得相同。超时退出应设置帐户登录超时退出时间。帐户登录超时自动退出时间应为5分钟。锁定阈值应启用非法登录次数限制，设置锁定阈值。配置帐户登录失败处理功能，限制非法登录次数为5次、锁定时间应20分钟以上。帐户/口令文件保护应设置帐户/口令文件及目录访问权限。应设置帐户/口令敏感文件的保护，如/etc/passwd、/etc/group、/etc/shadow等文件和目录的权限仅管理员可读root远程登录应限制root远程登录。禁止root帐户远程登录。口令周期应定期修改帐户口令。口令应至少每三个月修改一次。UNIX类操作系统应按照UNIX类操作系统安全防护安全基线要求进行防护(见表13),通过对系表13UNIX类操作系统安全防护安全基线要求要求点安全基线要求说明Umask权限应修改默认文件权限。应设置文件默认访问权限为022。版本信息应修改系统版本信息默认值。统的任何特定信息。服务管理应关闭非必须服务。应关闭Discard、Daytime、Chargen、Comsat、Ntalk、Talk、TFTP、FTP、Telnet、UUCP等服务，如需开启，应进行备案。SNMP管理应关闭SNMP服务。应关闭SNMP服务。若操作系统需开启SNMP服务，应按照公司口令复杂度要求修改SNMPCommunity读写值，7禁止使用Public、Private等默认字段。cron安全应设置权限为400。root拥有只读权限。UNIX类操作系统日志与审计应按照UNIX类操作系统日志与审计安全基线要求进行配置(见表14),通过对系统日志进行安全控制和管理，保护日志的安全及有效性。表14UNIX类操作系统日志与审计安全基线要求要求点安全基线要求说明日志开启应启用日志功能。应记录authlog、wtmp.log、sulog、failedlogin、authpriv等基础日志信息。日志保存应定期备份日志信息或配置日志服务器对日志进行归档。备份日志信息应传输至日志服务器保存，日志信息应至少每月备份一次，应保存6个月以上。日志保护应设置日志文件属性。应设置文件权限属性为400(管理员帐户只读)。日志分析应定期对日志进行分析并形成审计报告。应每月定期对系统日志进行分析，归类总结各类攻击事件，形成日志审计分析报告并存档。4.4.2Windows类操作系统安全基线要求系统管理Windows类操作系统应按照Windows类操作系统管理安全基线要求进行防护(见表15),通过配置系统安全管理策略，预防远程访问服务攻击或非授权访问，提高主机系统远程管理安全性。表15Windows类操作系统管理安全基线要求要求点安全基线要求说明远程管理应控制远程桌面访问。应修改远程桌面服务端口号，通过网络设备或安全设备限定远程桌面服务端口并限定访问地址。补丁管理应及时更新补丁。应及时更新操作系统补丁，更新前应做好系统备份。帐户与口令Windows类操作系统账户与口令应按照Windows类操作系统帐户与口令安全基线要求进行防护(见表16),配置帐户与口令安全策略，防止存在弱口令，提高系统帐户与口令安全。表16Windows类操作系统帐户与口令安全基线要求要求点安全基线要求说明帐户权限应根据数据库、中间件等非操作系统帐户的业务需求进行权限设置。将数据库、中间件、FTP等应用的帐户权限设置为业务所需最低级别，不应设置为操作系统管理员权限。帐户管理应重命名Administrator帐户名称并禁用无效及闲置帐户。Administrator帐户应修改为其他名称，禁用Guest帐户。口令复杂度应满足公司口令复杂度要求。修改Windows类操作系统“帐户策略”中的“密码策略",口令长度不得小于8位，且为字母、数字或特殊字符的混合组合，帐户与口令不得相同。8超时退出应设置帐户登录超时退出时间。修改Windows类操作系统“帐户策略”中的“帐户锁定策略”,帐户登录超时自动退出时间应为5分钟，限制非法登录次数为5次、锁定时间应20分钟以上。登录信息应禁止显示上次登录帐户的帐户名。配置安全策略，禁止显示上一帐户登录信息。帐户/口令文件保护应设置帐户/口令文件访问权限。不可匿名枚举SAM帐户。口令周期应定期修改帐户口令。口令应至少每三个月修改一次。安全防护Windows类操作系统应按照Windows类操作系统安全防护安全基线要求进行防护(见表17),通过对系统安全配置参数调整，提高系统安全性。表17Windows类操作系统安全防护安全基线要求要求点安全基线要求说明文件系统格式应采用NTFS文件系统格式。应设置磁盘文件格式为NTFS。桌面屏保应启用屏幕保护程序。开启屏幕保护，等待时间应为10分钟，在恢复时显示登录屏幕。防病毒软件应安装防病毒软件并及时更新。安装防病毒软件并及时更新，最新版本应为一周共享文件应禁用共享文件。应禁止IPC$、ADMIN$、C$、D$等操作系统默认共享，禁用Server服务。如需配置自定义共享文件夹，必须设置帐户与口令，口令应符合公司口令复杂度要求。敏感目录应限制操作系统敏感目录访问权限，设置为只读。配置系统敏感目录及文件访问权限为只读，如system32、system等。驱动器运行应禁止驱动器自动运行。禁止驱动器自动运行。服务管理应关闭非必须服务。应关闭Alerter、Clipbook、ComputerBrowser、RemoteAccess、SimpleNetworkManagementProtocol(SNMP)Service、SimpleNetworkManagementProtocol(SNMP)Trap、Telnet、PrintSpooler、应进行备案。Windows类操作系统日志与审计应按照Windows类操作系统日志与审计基线要求进行配置(见表18),通过对系统日志进行安全控制和管理，保护日志的安全及有效性。表18Windows类操作系统日志与审计安全基线要求要求点安全基线要求说明日志开启应启用日志功能。启用操作系统日志审计功能，审核帐户登录事件应设置为成功与失败、审核帐户管理应设置为成功与失败、审核目录服务访问应设置为成功、审核策略更改应设置为成功与失败、审核系统事件应设置为成功。日志保存应设置操作系统日志文件大小，定期备份日志信息或配置日志服务器对日志进行归档。应用、安全、系统等日志文件大小应设置为50M以上，日志文件应传输至日志服务器保存，日志文件应至少每月备份一次，应保存6个月以上。9日志分析应定期对日志进行分析并形成审计报告。应每月定期对系统日志进行分析，归类总结各类攻击事件，形成日志审计分析报告并存档。4.5数据库安全基线要求4.5.1帐户与口令数据库帐户与口令应按照数据库帐户与口令安全基线要求进行防护(见表19),通过配置帐户与口令安全策略，提高数据库系统帐户与口令安全防护能力。表19数据库帐户与口令安全基线要求要求点安全基线要求说明帐户权限应控制账户权限，遵循最小化访问原则。应控制用户帐户权限最小化，限制Guest帐户对数据库的访问。帐户管理应修改默认帐户及口令，删除多余帐户。修改默认帐户默认口令，应删除无用帐户，如TIGER、SCOTT等。口令复杂度应满足公司口令复杂度要求。口令长度不得小于8位，且为字母、数字或特殊字符的混合组合，帐户与口令不得相同。SYSDBA管理应禁止SYSDBA自动登录获取配置连接。修改配置参数，禁止SYSDBA自动登录。登录失败锁定应启用登录失败处理功能。配置帐户安全策略，应设置为5次连续登录失败后锁定用户帐户。口令周期应定期修改帐户口令。口令应至少每三个月修改一次。4.5.2安全防护数据库安全防护应按照数据库安全防护安全基线要求进行防护(见表20),通过对数据库系统安全配置参数调整，提高数据库系统安全性。表20数据库安全防护安全基线要求要求点安全基线要求说明数据字典保护应启用数据字典保护。限制只有SYSDBA权限的用户才能访问数据字典。监听程序应消除监听器弱口令。设置监听器口令。默认数据库应分离或删除默认实例。应分离默认安装数据库自带的实例，如pubsNorthWind等。数据库补丁更新应及时更新数据库补丁。应安装最新的数据库补丁，修补系统漏洞，防止利用已知漏洞进行攻击，安装补丁前应进行备份。敏感组件应删除或停用敏感组件。应禁用敏感组件，如xp_cmd_shell。服务监听端口应更改默认端口。在不影响应用的情况下，应修改默认端口TCP1521、数据库日志与审计应按照数据库日志与审计安全基线要求进行防护(见表21),通过对数据库系统日志进行安全控制和管理，保护日志的安全及有效性。表21数据库日志与审计安全基线要求要求点安全基线要求说明日志开启应启用日志功能。应启用安全设备日志审计功能，至少包含用户登录信息。日志保存应定期备份日志信息或配置日志服务器对日志进行归档。日志信息应传输至日志服务器保存，日志信息应至少每月备份一次，应保存6个月以上。日志分析应定期对日志进行分析并形成审计报告。应每月定期对数据库日志进行分析，归类总结各类攻击事件，形成日志审计分析报告并存档。4.6中间件安全基线要求4.6.1帐户与口令中间件帐户与口令应按照中间件帐户与口令安全基线要求配置(见表22),提高帐户与口令安全防表22中间件帐户与口令安全基线要求要求点安全基线要求说明帐户优化应优化中间件服务帐户。对于具备建立独立用户组的帐号，应根据实际需要建立相关帐户权限。默认口令应修改默认口令。口令长度不得小于8位，且含字母、数字和特殊字符，用户名和口令不得相同。默认帐户应禁用默认帐户。禁用中间件的默认帐户。锁定阈值应设置失败登录次数阈值。开启登录失败处理功能，限制登录失败次数为5次。超时退出应设置会话超时时间阈值。帐户15分钟内未操作，应自动保存当前状态并退口令周期应定期修改帐户口令。口令应至少每三个月修改一次。4.6.2安全防护中间件应按照中间件安全防护安全基线要求进行配置(见表23),提高中间件安全防护能力。表23中间件安全防护安全基线要求要求点安全基线要求说明版本信息应修改中间件版本信息默认值。修改中间件版本信息，禁止显示中间件名称、单位名称、制造商、软件版本管理员等信息。端口管理应修改中间件默认服务端口。修改中间件默认的配置、管理服务端口。精简服务应禁用不需要的模块和服务。删除或关闭中间件示例域及非必须服务，缩小被恶意攻击的目标范围。禁止目录遍历应修改参数文件，禁止目录遍历。禁止遍历操作系统目录，防止恶意用户利用进行目录遍历攻击。错误信息自定义应自定义错误文件反馈内容。修改错误文件信息内容，防止信息泄漏。中间件补丁更新应及时更新中间件补丁。安装最新的中间件补丁，防止恶意用户利用已知漏洞进行攻击。中间件应按照中间件日志与审计安全基线要求开启日志功能(见表24),对系统的日志进行安全控制与管理，保护日志的安全与有效性。表24中间件日志与审计安全基线要求要求点安全基线要求说明日志开启应启用日志功能。启用中间件日志审计功能。日志保存应定期备份日志信息或配置日志服务器对日志进行归档。备份日志信息应传输至日志服务器保存，应每月备份一次，应保存6个月以上。表24(续)要求点安全基线要求说明日志分析应定期对日志进行分析并形成审计报应每月定期对中间件日志进行分析，归类总结各类攻击事件，形成日志审计分析报告并存档。4.7应用系统安全基线要求4.7.1帐户与口令应用系统用户帐户与口令应按照应用系统帐户与口令安全基线要求配置安全策略(见表25),消除弱口令、越权访问等问题，提高应用系统帐户与口令安全。表25应用系统帐户与口令安全基线要求要求点安全基线要求说明初始口令应为每一个帐户设置随机初始口令。初始口令应随机生成，且长度不得小于8位，含字母、数字和特殊字符。口令策略应设置口令复杂度检测功能。配置口令复杂度检测功能，强制所有帐户口令复杂度满足公司要求。口令复杂度帐户口令应满足长度、复杂度要求。口令长度不得小于8位，且含字母、数字和特殊字符，用户名和口令不得相同。口令周期应定期修改帐户口令。口令应至少每三个月修改一次。默认帐户应在系统上线30日内删除默认帐户。必须使用的默认帐户，严格控制其访问权限并修改默认口令，口令符合帐户口令策略安全基线要求。临时帐户应每月定期清理临时帐户。如需延长使用的临时帐户应做好使用归档与备案，签署使用说明。长期不登录的账户应禁用3个月未登录的帐户。禁用3个月未使用的帐户，重新使用需提交申请。失败登录次数应设置失败登录次数阈值。配置登录失败处理功能，连续失败登录5次后锁定帐户15分钟。会话超时退出应设置会话超时时间。帐户15分钟内未操作，应用程序应自动保存当前状态并退出。验证码认证应采用验证码鉴别技术。新上线系统口令认证应采用验证码。单点登录应限制单个帐户多重并发登录。应限制每一个帐户只允许在一个客户端上同时登录到系统中。4.7.2安全防护应用系统应按照应用系统安全防护安全基线要求配置安全防护策略(见表26),确保应用系统安全表26应用系统安全防护安全基线要求要求点安全基线要求说明身份验证应在应用系统服务端完成身份验证。防止恶意用户修改客户端身份验证信息对应用系统进行破坏。文件交互应限制可执行文件、程序、图片、代码等文件或代码上传。应对上传数据的大小、类型进行限制、过滤和病毒查杀。表26(续)要求点安全基线要求说明字符过滤应对危险字符进行转码，防止被利用于构建恶意语句。殊字符进行转换，防止恶意用户通过构造特殊代码进行破坏。插件使用第三方插件应更新到最新版本。应用系统如使用第三方插件，必须与插件供应商最新版本一致并更新补丁。调试信息应删除调试页面、临时数据。删除调试代码、页面、数据等临时信息。后台管理应修改并隐藏后台管理页面。隐藏系统后台管理员登录页面，修改后台管理页面文件名。用户敏感信息加密应对用户敏感信息加密存储及传输。用户敏感信息加密存储数据库并通过https等加密传输。应用系统应按照应用系统日志与审计安全基线要求开启日志审计功能(见表27),对用户及业务操作进行审计，确保事件可追溯。表27应用系统日志与审计安全基线要求要求点安全基线要求说明审计内容应启用日志审计，对用户登录与业务操作进行审计。审计内容应包含但不限于用户名、时间、登录IP、操作内容等信息。审计权限应设置独立审计帐户。确保仅审计员可对日志信息进行访问，但审计员不可对日志信息进行删除与修改。日志保存应定期备份日志信息或配置日志服务器对日志进行归档。备份日志信息应传输至日志服务器保存，应每月备份一次，应保存6个月以上。日志分析应定期对日志进行分析并形成审计报告。应每月定期对应用系统日志进行分析，归类总结各类攻击事件，形成日志审计分析报告并存档。4.8外部设备安全基线要求外部设备应按照外部设备安全基线要求配置安全防护策略(见表28),预防外部设备被恶意用户远程控制，提高外部设备安全防护能力。表28外部设备安全基线要求要求点安全基线要求说明口令策略应设置口令长度、复杂度。建议口令长度不得小于8位，且为字母、数字或特殊字符的混合组合。服务优化应关闭或限制非必须服务。关闭http、telnet、ftp等非必须服务。存储清理应定期清理外部设备内存、硬盘上的信息。每月定期清理外部设备中存储的信息，包含外部设备内存和硬盘。4.9数据备份、恢复与销毁安全基线要求数据备份、恢复与销毁应按照数据备份、恢复与销毁安全基线要求落实安全防护要求(见表29),预防数据丢失和泄露，保障数据的可用性、保密性与完整性。表29数据备份、恢复与销毁安全基线要求要求点安全基线要求说明备份策略应定期备份系统配置、业务数据。应按照《国家电网公司信息系统数据备份与管理规定》开展数据备份，同时应利用公司三地灾备中心对重要业务数据进行备份。备份数据恢复应定期开展备份数据恢复验证。每月定期开展一次备份数据恢复验证工作，确保备份数据可用。介质数据恢复应规范数据恢复流程，选取可信机构完成相关工作。数据恢复应按照公司办公厅关于电子数据恢复、擦除与销毁的相关要求开展。数据销毁与擦除设备腾退、系统下线等应进行数据销毁与擦数据擦除与销毁应按照公司办公厅关于电子数据恢复、擦除与销毁的相关要求开展。Q/GDW11445—2015国家电网公司管理信息系统安全基线要求1编制背景 2编制主要原则 3与其他标准文件的关系 4主要工作过程 5标准结构和内容 6条文说明 本标